Novelliertes Kirchliches Datenschutzgesetz (KDG) in Kraft getreten

Am 1. März 2026 sind das novellierte Gesetz über den kirchlichen Datenschutz (KDG) und seine Durchführungsverordnung (KDG-DVO) in Kraft getreten. Es handelt sich dabei um die erste große Reform seit der Einführung der europäischen DS-GVO. Der Verband der Diözesen Deutschlands (VDD) hatte die Neufassung im November 2025 beschlossen; um wirksam zu werden, musste sie von den einzelnen Diözesanbischöfen für ihr jeweiliges Bistum in Kraft gesetzt werden.

Geltungsbereich und Einordnung

Das KDG gilt auf Grundlage des in Art. 91 DS-GVO verankerten Selbstbestimmungsrechts der Kirchen für alle deutschen (Erz-)Diözesen, Kirchengemeinden, Caritas-Verbände, Krankenhäuser, Pflegeeinrichtungen und sonstigen kirchlichen Rechtsträger. Das KDG rückt mit der Reform näher an die Systematik der DS-GVO heran, ohne das verfassungsrechtlich abgesicherte kirchliche Selbstbestimmungsrecht aufzugeben.

Wesentliche inhaltliche Neuerungen

Ein zentraler Schwerpunkt betrifft die Aufarbeitung von Missbrauch: Das neue KDG stellt ausdrücklich klar, dass die Aufarbeitung sexualisierter Gewalt ein überragendes kirchliches Interesse darstellt und datenschutzrechtlich privilegiert wird. Damit erhalten die meisten Diözesen, die bereits Spezialgesetze zur Aktennutzung erlassen haben, eine konsistente Grundlage im übergeordneten Gesetz.

Im digitalen Bereich schafft die Reform mehrere neue Rechtsgrundlagen: Die Übertragung von Gottesdiensten und anderen kirchlichen Veranstaltungen wird in einem eigenen Paragraphen geregelt; Streaming ist grundsätzlich zulässig, sofern Betroffene vorab informiert werden, schutzwürdige Interessen insbesondere von Minderjährigen beachtet werden und bei Gottesdiensten die Möglichkeit eingeräumt wird, nicht im Bild einer Aufzeichnung aufzutauchen. Ein neuer § 18 KDG-DVO schafft einen eigenen Rechtsrahmen für Cloud-Dienste, löst bisherige Rechtsunsicherheiten ab und fordert klare Risikobewertungen sowie Exit-Strategien für Anbieter.

Weitere strukturelle Anpassungen: Die Pflicht zur Bestellung eines Datenschutzbeauftragten greift künftig erst ab 20 Mitarbeitenden statt bisher ab 10; Einwilligungen bedürfen nicht mehr zwingend einer Unterschrift auf Papier. Ehrenamtliche werden datenschutzrechtlich Beschäftigten gleichgestellt. Mehrere Änderungen schützen zudem die Integrität von Kirchenbüchern und kirchlichen Urkunden, darunter eine ausdrückliche Ausnahme vom Löschrecht für Taufregister.

Handlungsbedarf

Die Reform ist insbesondere für Krankenhäuser, Pflegeeinrichtungen, Bildungsträger, kirchliche Verwaltungen und deren Dienstleister relevant. Prioritär zu prüfen sind die Anpassung interner Datenschutzdokumentationen, die Überprüfung von Verträgen mit IT- und Cloud-Dienstleistern auf Konformität mit den neuen Standards sowie die Schulung der Mitarbeitenden zu den geänderten Regelungen. Mit der katholischen Reform ist der Konsolidierungsprozess des kirchlichen Datenschutzes in Deutschland abgeschlossen: Die evangelische Kirche hatte ihr Datenschutzgesetz (DSG-EKD) bereits im Mai 2025 in Kraft gesetzt.

(Foto: DatenschutzStockfoto – stock.adobe.com)