Microsoft 365 in Kirche, Diakonie und Caritas: DSG-EKD, KDG und Mitarbeitervertretung

Es gibt einen Moment in kirchlichen Einführungsprojekten, den man fast auf die Minute vorhersagen kann. Er kommt meistens in der dritten Sitzung, wenn das Konzept schon steht, die Architektur gezeichnet ist und alle guter Dinge sind. Dann fragt jemand aus der Verwaltungsleitung beiläufig: „Und die Aufsicht — das ist dann die Landesbeauftragte, oder?“ Es folgt eine Pause. In dieser Pause entscheidet sich, ob das Projekt vier Wochen verliert oder sieben Monate.

Kirchliche Träger arbeiten in einem eigenen Datenschutzrechtskreis. Das ist keine Fußnote und keine Formalie, sondern eine durchgehende Parallelwelt: eigenes Gesetz, eigene Aufsichtsbehörden, eigene Gerichte, eigene Fristen, eigene Betriebsverfassung. Wer ein Microsoft-365-Konzept aus einer Kommune übernimmt — und das ist naheliegend, denn die Technik ist dieselbe —, übernimmt einen Text, dessen rechtliche Hälfte nicht passt. Man merkt das nicht sofort. Man merkt es bei der ersten Betroffenenanfrage, beim ersten Prüftermin oder in dem Augenblick, in dem die Mitarbeitervertretung sich zu Wort meldet und der Zeitplan sich anders sortiert als geplant.

Dieser Beitrag gehört zur Serie Microsoft 365 in der öffentlichen Verwaltung. Er ist der Seitenweg für alle, die eben nicht Kommune sind: Landeskirchen und Bistümer, Kirchenkreise und Dekanate, diakonische und caritative Träger, kirchliche Krankenhäuser, Kindertagesstättenverbünde und Beratungsdienste. Wir sortieren zuerst die Rechtskreise, halten dann Zeile für Zeile fest, was gegenüber einer Kommune gleich bleibt und was neu geschrieben werden muss, und kommen schließlich zu den beiden Themen, die in kirchlichen Projekten am meisten Zeit kosten: Klientendaten und Mitarbeitervertretung.

FAKTEN · Die Kurzfassung für die Leitungsrunde Sieben Sätze, die den Kern beschreiben: › Kirchliche Stellen unterliegen nicht der DSGVO-Aufsicht des Landes, sondern eigenem Recht: DSG-EKD im evangelischen, KDG im katholischen Bereich. › Beide Gesetze sind kürzlich novelliert worden — das DSG-EKD gilt in neuer Fassung seit dem 1. Mai 2025, das KDG in novellierter Fassung seit dem 1. März 2026. › Evangelisch gibt es eine zentrale Aufsicht, katholisch fünf regionale Diözesandatenschutzbeauftragte. Der Rechtsweg führt zunächst über kirchliche Gerichte. › Technisch ändert sich gegenüber einer Kommune nahezu nichts: Schutzbedarf, Tenant-Härtung, Berechtigungen, Aufbewahrung und Protokollierung bleiben identisch. › Rechtlich ändert sich fast alles am Rahmen: Rechtsgrundlage, Verzeichnis, Meldeweg, Folgenabschätzung, Beteiligung. › Die eigentliche Zusatzarbeit steckt in Klientendaten — dort liegen bis zu vier Schutzschichten übereinander. › Statt Personalrat beteiligen Sie die Mitarbeitervertretung nach MVG-EKD oder MAVO. Bei technischen Einrichtungen greift die Mitbestimmung.

 

Zwei Rechtskreise neben der DSGVO

Beginnen wir mit dem, was viele als exotisch empfinden und was juristisch seit über hundert Jahren stabil ist. Das Grundgesetz übernimmt in Artikel 140 die Kirchenartikel der Weimarer Reichsverfassung. Danach ordnen die Religionsgesellschaften ihre Angelegenheiten selbständig innerhalb der Schranken des für alle geltenden Gesetzes. Der europäische Gesetzgeber hat diese Konstruktion in Artikel 91 DSGVO ausdrücklich anerkannt: Religionsgemeinschaften, die zum Zeitpunkt des Inkrafttretens der Verordnung umfassende Datenschutzregeln hatten, dürfen diese weiter anwenden, sofern sie mit der Verordnung in Einklang gebracht werden und eine unabhängige Aufsicht besteht.

Das Ergebnis ist ein Datenschutzrecht, das die DSGVO in Aufbau, Begriffen und Grundprinzipien spiegelt, aber eben nicht die DSGVO ist. Wer im Verzeichnis der Verarbeitungstätigkeiten „Art. 6 Abs. 1 lit. e DSGVO“ als Rechtsgrundlage einträgt, hat in einem kirchlichen Träger eine Norm zitiert, die für ihn nicht gilt. Das ist kein Weltuntergang und in fünf Minuten korrigiert — wenn es jemand bemerkt. Bemerkt es niemand, steht dieselbe Falschangabe später in vierzig Einträgen, in zwei Auftragsverarbeitungsverträgen und in der Datenschutzinformation auf der Website.

Zwei Novellen, die man kennen sollte

Beide Rechtskreise haben in den vergangenen Jahren aufgeräumt. Die EKD-Synode hat im November 2024 eine umfangreiche Reform des Kirchengesetzes über den Datenschutz der EKD beschlossen; die neue Fassung ist seit dem 1. Mai 2025 in Kraft. Ziel war eine stärkere Annäherung an die DSGVO und mehr Rechtssicherheit im digitalen Alltag. Zu den praktisch spürbaren Punkten gehören: Einwilligungen von Beschäftigten bedürfen nicht mehr der Schriftform, Textform genügt; Jugendliche können ab dem 14. Lebensjahr — dem Alter der Religionsmündigkeit — datenschutzrechtlich selbst einwilligen; und der Umgang mit nichtkirchlichen Dienstleistern wurde entschärft. Auf den letzten Punkt kommen wir gleich zurück, denn er ist für Microsoft 365 der wichtigste Satz der ganzen Novelle.

Auf katholischer Seite hat der Verband der Diözesen Deutschlands im November 2025 die Neufassung des Gesetzes über den kirchlichen Datenschutz und der zugehörigen Durchführungsverordnung beschlossen. In Kraft ist sie seit dem 1. März 2026. Auch hier geht die Richtung zur Angleichung an DSGVO und Bundesrecht, ohne die kirchlichen Besonderheiten aufzugeben. Der Bußgeldrahmen wurde deutlich angehoben — für kirchliche Stellen von 500.000 Euro auf eine Million Euro, für am Wettbewerb teilnehmende Unternehmen auf bis zu vier Prozent des Jahresumsatzes mit einer Deckelung bei drei Millionen Euro. Wer bisher damit gerechnet hat, dass kirchlicher Datenschutz vor allem eine Frage des guten Willens sei, sollte diese Zahl im Hinterkopf behalten.

Wer bei Ihnen zuständig ist

Die Aufsichtsstruktur unterscheidet sich zwischen den Konfessionen erheblich, und das hat praktische Folgen für Meldewege und Abstimmungen. Im evangelischen Bereich gibt es eine zentrale Aufsicht: den Beauftragten für den Datenschutz der EKD, mit Dienstsitz in Hannover und mehreren Außenstellen. Zuständig ist diese Stelle für die EKD, ihre Gliedkirchen, deren Einrichtungen und die Diakonie. Wo Ihr Träger konkret zugeordnet ist, klären Sie trotzdem zu Projektbeginn — bei gemischten Trägerschaften und Beteiligungsgesellschaften ist die Antwort seltener eindeutig, als sie in der Organigrammdarstellung aussieht.

Im katholischen Bereich teilen sich fünf Diözesandatenschutzbeauftragte die Aufsicht regional auf: eine Stelle für den Norden, eine für den Osten, eine für die nordrhein-westfälischen Bistümer mit Sitz in Dortmund, eine für den Südwesten mit Sitz in Frankfurt am Main und eine für die bayerischen Diözesen. Wer als Träger in mehreren Bistümern arbeitet — bei größeren Caritasverbänden und Ordensgemeinschaften ist das der Normalfall —, hat es entsprechend mit mehreren Aufsichten zu tun. Das ist beherrschbar, muss aber früh geklärt und dokumentiert werden, weil sonst im Ernstfall die 72 Stunden für eine Meldung mit der Frage vergehen, an wen sie eigentlich geht.

Auch der Rechtsweg ist ein eigener. Katholisch entscheidet in erster Instanz das Interdiözesane Datenschutzgericht in Köln, in zweiter Instanz das Datenschutzgericht der Deutschen Bischofskonferenz in Bonn. Evangelisch führt der Weg über die kirchliche Gerichtsbarkeit. Der staatliche Rechtsweg steht grundsätzlich erst offen, wenn der kirchliche ausgeschöpft ist. Für Ihr Projekt heißt das: Die Eskalationskette in Ihrem Datenschutzkonzept sieht anders aus als die in der Vorlage, die Sie sich von der Nachbarkommune besorgt haben.

Skizze 1: Dieselbe Technik, drei verschiedene Zuständigkeiten — und drei verschiedene Rechtswege.

Thema	Kommune, Kreis, Land	Evangelisch (EKD, Diakonie)	Katholisch (Bistum, Caritas)
Datenschutzrecht	DSGVO und Landesdatenschutzgesetz	DSG-EKD, neue Fassung seit 1. Mai 2025	KDG, novellierte Fassung seit 1. März 2026
Aufsicht	Landesbeauftragte für den Datenschutz	Ein zentraler Beauftragter für den Datenschutz der EKD	Fünf regionale Diözesandatenschutzbeauftragte
Rechtsweg	Verwaltungsgericht	Kirchliche Gerichtsbarkeit, danach staatlicher Rechtsweg	Interdiözesanes Datenschutzgericht, dann Datenschutzgericht der Bischofskonferenz
Datenschutzbeauftragter	Benennungspflicht nach DSGVO und Landesrecht	Örtlich Beauftragte ab etwa zehn ständig mit Verarbeitung betrauten Personen oder bei umfangreicher Verarbeitung besonderer Kategorien	Für kirchliche Stellen im engeren Sinn stets, für sonstige Stellen ab einer Schwelle von etwa 20 Personen
Meldung von Datenpannen	An die Landesaufsicht, Richtwert 72 Stunden	An die kirchliche Aufsicht, Richtwert 72 Stunden	An die zuständige Diözesanaufsicht, Richtwert 72 Stunden
Beschäftigtenvertretung	Personalrat nach dem Landespersonalvertretungsgesetz	Mitarbeitervertretung nach MVG-EKD	Mitarbeitervertretung nach MAVO
Technische Einrichtungen	Mitbestimmung, in der Regel bei Eignung zur Überwachung	Mitbestimmung, Anknüpfung an die Eignung zur Überwachung	Zustimmung, Anknüpfung an die Bestimmung zur Überwachung
Konfliktlösung	Einigungsstelle, dann Verwaltungsgericht	Einigungsstelle, dann kirchliche Gerichte für Mitarbeitervertretungsrecht	Einigungsstelle, dann kirchliche Arbeitsgerichtsbarkeit
Beschaffung	Vergaberecht: GWB, VgV, UVgO, Landesrecht	In der Regel kein Vergaberecht, aber Zuwendungs- und Haushaltsrecht des Trägers	In der Regel kein Vergaberecht, aber Zuwendungs- und Haushaltsrecht des Trägers
Schriftgut und Archiv	E-Government-Recht und Archivgesetz des Landes	Kirchliches Archivrecht der Landeskirche	Diözesanes Archivrecht

Tabelle 1: Der Vergleich in einer Zeile pro Thema. Die Angaben sind Orientierung; maßgeblich ist die Fassung, die für Ihre Körperschaft konkret gilt.

WICHTIG · Keine Rechtsberatung, sondern Projektorientierung Dieser Beitrag ordnet ein, was in Einführungsprojekten erfahrungsgemäß gefragt wird. Er ersetzt weder die Prüfung durch Ihre Datenschutzbeauftragten noch die Abstimmung mit der für Sie zuständigen kirchlichen Aufsicht. Paragraphen, Schwellenwerte und Fristen nennen wir als Orientierung; verbindlich ist die Fassung, die in Ihrer Landeskirche oder Ihrem Bistum gilt — beide Rechtskreise kennen Ausführungsbestimmungen und Übergangsregelungen auf der Ebene darunter.

 

Was gleich bleibt — und was neu geschrieben werden muss

Die gute Nachricht zuerst, weil sie in dieser Diskussion regelmäßig untergeht: Der weitaus größte Teil eines Microsoft-365-Konzepts überlebt den Wechsel des Rechtskreises unverändert. Ein Tenant verhält sich in einem diakonischen Träger genau so wie in einer Kreisverwaltung. Berechtigungen werden auf dieselbe Weise vererbt, Aufbewahrungsrichtlinien greifen nach denselben Regeln, und Oversharing entsteht aus denselben drei Ursachen wie überall sonst. Wer also befürchtet, ein kirchliches Projekt sei ein grundsätzlich anderes Vorhaben, kann sich entspannen. Es ist dasselbe Vorhaben mit einem zusätzlichen Kapitel.

Skizze 2: Was ein Kommunalkonzept unverändert beisteuert — und wo es umgeschrieben werden muss.

Der Teil, der unverändert gilt

Die Schutzbedarfsfeststellung nach IT-Grundschutz funktioniert in kirchlichen Trägern genauso wie in Kommunen; das BSI-Kompendium kennt keine Konfession. Die Methodik aus Schutzbedarf und Microsoft 365: IT-Grundschutz-Abgleich für die Praxis können Sie eins zu eins übernehmen — Sie ersetzen lediglich die Verweise auf das Landesdatenschutzgesetz durch die kirchlichen Normen. Gleiches gilt für die Härtung des Tenants, für Conditional Access für Verwaltungen und für den Umgang mit privilegierten Konten. Ein Global Administrator, der dauerhaft angemeldet ist, ist in einem Bistum genauso ein Problem wie in einer Stadtverwaltung.

Auch die Informationsarchitektur trägt: Wie Sie Teams und SharePoint entlang der Organisationseinheiten schneiden, unterscheidet sich nicht grundsätzlich, ob die Einheit nun Fachamt oder Fachbereich, Sozialamt oder Beratungsdienst heißt. Die Überlegungen aus Microsoft Teams in der Verwaltung einführen: Informationsarchitektur entlang der Ämter lassen sich auf Dekanatsstrukturen, Regionalverbände und Einrichtungsträger übertragen, ohne dass am Grundmuster etwas geändert werden müsste. Und die Fragen rund um Aufbewahrung, Löschung und die Nachweise gegenüber der Innenrevision stellen sich identisch.

Die Stellen, an denen ein Kommunalkonzept auseinanderfällt

Anders sieht es überall dort aus, wo das Dokument auf Recht, Aufsicht oder Beteiligung verweist. Das Verzeichnis der Verarbeitungstätigkeiten braucht eine andere Normenspalte. Die Datenschutzinformationen für Beschäftigte und für Betroffene verweisen auf andere Rechte und eine andere Beschwerdestelle. Das Verfahren für Datenpannen benennt eine andere Meldeadresse. Die Folgenabschätzung folgt kirchlichen Vorgaben mit eigenen Schwellenwerten und eigenen Konsultationspflichten. Und die Beteiligungskapitel — meist die dünnsten Kapitel des ganzen Konzepts — sind vollständig neu zu schreiben.

In der Praxis lässt sich das in etwa zwei bis drei Arbeitstagen erledigen, wenn jemand dabei ist, der beide Welten kennt. Es kostet ein Vielfaches, wenn es erst nachträglich auffällt: Dann sind Dokumente bereits in Gremien gegangen, Beschlüsse gefasst und Verträge unterschrieben, und jede Korrektur zieht eine Schleife durch dieselben Gremien.

Auftragsverarbeitung: die stillste, aber wichtigste Änderung

Jahrelang war der zentrale Stolperstein für Cloud-Dienste in kirchlichen Einrichtungen eine einzige Anforderung: Der Auftragsverarbeiter musste sich der kirchlichen Datenschutzaufsicht unterwerfen. Für kleine, regionale Dienstleister war das verhandelbar. Für einen global tätigen Cloud-Anbieter war es eine Hürde, die zu einer eigenen Vertragsanlage geführt hat — Microsoft hat eine solche Zusatzvereinbarung für den evangelischen Bereich über Jahre angeboten, und ohne sie ging schlicht nichts.

Mit der Novelle des DSG-EKD hat sich das geändert. Die Neufassung lässt es zu, Auftragsverarbeitungsverträge mit Dienstleistern zu schließen, für die das kirchliche Datenschutzrecht nicht gilt, sofern sich der Inhalt des Vertrages an Artikel 28 DSGVO orientiert. Die Unterwerfung unter die kirchliche Aufsicht ist damit als generelle Voraussetzung entfallen. Auf katholischer Seite hat die Novelle unter anderem die frühere Beschränkung der Verarbeitung auf den Europäischen Wirtschaftsraum gestrichen und die Formanforderungen an den Vertrag gelockert.

TIPP · Was das konkret für Ihre Aktenlage bedeutet Die Erleichterung betrifft die vertragliche Konstruktion — nicht die inhaltliche Prüfung. Die bleibt vollständig bestehen: › Der Auftragsverarbeitungsvertrag muss den Anforderungen entsprechen, die das für Sie geltende kirchliche Gesetz stellt. Prüfen Sie ihn gegen den Katalog, nicht gegen das Gefühl. › Drittlandtransfers brauchen weiterhin eine tragfähige Grundlage und eine dokumentierte Bewertung. Standardvertragsklauseln allein sind keine Begründung, sondern deren Anfang. › Unterauftragsverhältnisse gehören dokumentiert, samt Verfahren für den Fall, dass ein neuer Unterauftragnehmer hinzukommt. › Die Löschung nach Vertragsende und die Herausgabe der Daten gehören in denselben Ordner wie der Vertrag selbst. › Halten Sie das Prüfergebnis schriftlich fest — genau danach wird gefragt, und zwar Jahre später von jemandem, der beim Vertragsschluss nicht dabei war.

 

Ein Wort zur Datenlage bei Microsoft selbst, weil die Frage in jeder Sitzung kommt: Die EU Data Boundary ist im Februar 2025 abgeschlossen worden. Seither werden Kundendaten und pseudonymisierte personenbezogene Daten der Kerndienste — Microsoft 365, Dynamics 365, Power Platform und der überwiegende Teil von Azure — innerhalb der EU und der EFTA gespeichert und verarbeitet. Mit der letzten Ausbaustufe kamen die Supportvorgänge hinzu: Daten, die im Rahmen technischer Unterstützung übermittelt oder erzeugt werden, etwa Protokolle und Fallnotizen, verbleiben ebenfalls in der Region. Das löst nicht jede Diskussion über Zugriffsmöglichkeiten von außerhalb, aber es verschiebt die Debatte weg von der Frage, wo die Daten liegen, hin zu der Frage, wer unter welchen Bedingungen darauf zugreifen kann. Das ist ein deutlich produktiverer Streitpunkt.

Nachweis	Was verlangt wird	Unterschied zur Kommune
Verzeichnis der Verarbeitungstätigkeiten	Je Verarbeitung: Zweck, Rechtsgrundlage, Kategorien, Empfänger, Fristen, technische Maßnahmen	Rechtsgrundlage aus DSG-EKD oder KDG, nicht aus der DSGVO
Auftragsverarbeitungsvertrag	Vollständiger Vertrag samt Unterauftragnehmern und Löschregelung	Prüfmaßstab ist das kirchliche Gesetz; die frühere Pflicht zur Aufsichtsunterwerfung ist evangelisch entfallen
Folgenabschätzung	Beschreibung, Risikoanalyse, Maßnahmen, Bewertung	Eigene Schwellen und eigene Konsultationspflicht gegenüber der kirchlichen Aufsicht
Verfahren bei Datenpannen	Meldekette, Fristen, Vorlagen, Übungsnachweis	Meldung an die kirchliche Aufsicht; bei mehreren Bistümern an mehrere Stellen
Berechtigungskonzept	Wer darf was, warum, und wie wird das überprüft	Zusätzliche Trennlinien für Klienten-, Sozial- und Seelsorgedaten
Protokollierung	Was wird protokolliert, wie lange, wer wertet aus	Auswertung ist zugleich Gegenstand der Mitbestimmung
Beteiligungsnachweis	Beschluss oder Vereinbarung zur Einführung	Mitarbeitervertretung statt Personalrat, eigene Konfliktlösung
Löschkonzept	Fristen je Datenart, Umsetzung, Nachweis	Kirchliches Archivrecht statt Landesarchivgesetz

Tabelle 2: Die Nachweise, die bei einer Prüfung tatsächlich abgefragt werden — und wo sie im kirchlichen Kontext anders aussehen als in einer Kommune.

Klientendaten: die Schicht, die kein Kommunalprojekt kennt

Jetzt zum Teil, der wirklich neu ist. In einer Stadtverwaltung haben Sie es im Regelfall mit einer Schutzschicht zu tun: dem allgemeinen Datenschutzrecht, ergänzt um bereichsspezifische Vorgaben etwa im Sozial- oder Meldewesen. In einem diakonischen oder caritativen Träger können über einem einzigen Beratungsvermerk vier Schichten gleichzeitig liegen. Sie gelten nebeneinander, nicht nacheinander, und sie haben unterschiedliche Reichweiten. Das ist der Grund, warum kirchliche Projekte im Sozialbereich mehr Analysezeit brauchen als vergleichbare Kommunalprojekte — nicht das Datenschutzrecht als solches.

Skizze 3: Vier Schichten über demselben Dokument. Die unterste kennt keine Abwägung.

Die vier Schichten im Einzelnen

Die erste Schicht ist das kirchliche Datenschutzrecht, das wir eben behandelt haben. Es gilt für alles, was der Träger verarbeitet, und es liefert Rechtsgrundlage, Betroffenenrechte und Aufsicht.

Die zweite Schicht ist der Sozialdatenschutz. Er greift überall dort, wo Leistungen nach den Sozialgesetzbüchern erbracht werden — in der Kinder- und Jugendhilfe, in der Eingliederungshilfe, in der Pflege, in der Suchtberatung. Besonders scharf ist die Regelung in der Kinder- und Jugendhilfe: § 65 SGB VIII schützt Daten, die einer Fachkraft im Rahmen persönlicher oder erzieherischer Hilfe anvertraut wurden, mit einem eigenen, sehr engen Weitergaberegime. Über § 61 Abs. 3 SGB VIII wirkt dieser Schutz auch dann, wenn die Leistung von einem freien Träger erbracht wird — und freie Träger sind Diakonie und Caritas in aller Regel. Für die IT bedeutet das: Ein Vermerk aus einer Erziehungsberatung ist nicht einfach ein Dokument mit erhöhtem Schutzbedarf. Er ist ein Dokument, bei dem schon die Frage, wer es überhaupt sehen darf, gesetzlich vorgezeichnet ist.

Die dritte Schicht ist die strafbewehrte Schweigepflicht nach § 203 StGB. Sie trifft unter anderem staatlich anerkannte Sozialarbeiter und Sozialpädagogen sowie Angehörige der Heilberufe — also einen beträchtlichen Teil der Belegschaft in Beratungsstellen, Kliniken und Pflegeeinrichtungen. Bis 2017 war unklar, ob die Einbindung externer IT-Dienstleister damit vereinbar ist. Seit der Neuregelung, die im November 2017 in Kraft getreten ist, dürfen Berufsgeheimnisträger sonstige mitwirkende Personen einbinden, ausdrücklich einschließlich IT- und Cloud-Dienstleister, soweit das für deren Tätigkeit erforderlich ist. Die Bedingungen sind allerdings echte Bedingungen: sorgfältige Auswahl, Beschränkung auf das Erforderliche und eine förmliche Verpflichtung zur Geheimhaltung. Das ist machbar — es ist nur nichts, was man nebenbei mit einem Häkchen erledigt.

Die vierte Schicht ist das Seelsorgegeheimnis. Es ist die Schicht, bei der die Abwägungslogik endet. Evangelisch ist es im Seelsorgegeheimnisgesetz der EKD geregelt, das seit Anfang 2010 gilt: Aufzeichnungen, die in Wahrnehmung einer seelsorglichen Aufgabe entstehen, dürfen Dritten nicht zugänglich gemacht werden; bei Seelsorge über technische Kommunikationsmittel ist sicherzustellen, dass die Vertraulichkeit im höchstmöglichen Maß gewahrt bleibt. Katholisch schützt das Kirchenrecht das Beichtgeheimnis absolut, bis hin zum ausdrücklichen Verbot der Aufzeichnung mit technischen Hilfsmitteln. Wer versucht, diese Schicht mit einer Vertraulichkeitsbezeichnung und einem engen Berechtigungsschnitt zu lösen, hat die Frage nicht verstanden. Die Antwort lautet nicht „mit besonderen Schutzmaßnahmen“, sondern „nicht dort“.

Was das fürs Tenant-Design bedeutet

Aus den vier Schichten folgt eine sehr praktische Konsequenz: Es gibt keinen Schalter für „vertraulich“. Es gibt eine Entscheidung je Datenklasse, und die trifft man am besten einmal richtig, in einer festen Reihenfolge, mit einem Ergebnis, das ins Verzeichnis der Verarbeitungstätigkeiten wandert und nicht in ein Besprechungsprotokoll.

Skizze 4: Die Reihenfolge der Fragen entscheidet darüber, wie lange die Diskussion dauert.

Der wichtigste Grundsatz dabei ist unspektakulär: Fachverfahren bleiben Fachverfahren. Die Klientenakte gehört in das dafür vorgesehene System — in die Pflegedokumentation, in die Klientenverwaltung der Beratungsstelle, in das Krankenhausinformationssystem. Microsoft 365 ist die Zusammenarbeits- und Büroumgebung darum herum. Diese Trennlinie ist dieselbe, die auch in Kommunen gilt und die im Beitrag SharePoint als E-Akte? Was geht, was nicht und wo die Grenze nach Landesrecht liegt ausführlich begründet wird. In kirchlichen Trägern ist sie nur schärfer, weil die Schichten zwei bis vier hinzukommen. Wo ein kirchlicher Träger Schriftgut ordnen will, gelten außerdem nicht die E-Government-Gesetze der Länder, sondern das kirchliche Archivrecht der Landeskirche oder des Bistums — die Systematik ähnelt sich, die Zuständigkeit für Anbietung und Aussonderung ist eine andere.

Datenklasse	Beispiel	Sinnvoller Ort	Begründung in einem Satz
Allgemeine Verwaltung	Haushalt, Gremienvorlagen, Bauunterhalt, Öffentlichkeitsarbeit	Microsoft 365 ohne Einschränkung	Normaler Schutzbedarf, keine Sonderschicht
Personaldaten	Bewerbungen, Beurteilungen, Abmahnungen	Fachverfahren, ergänzend enger SharePoint-Bereich	Hoher Schutzbedarf, klassische Oversharing-Falle
Mitgliederdaten	Kirchengemeindeglieder, Kirchenbuchwesen	Kirchliches Meldewesen und Fachverfahren	Eigene kirchliche Regelwerke und Aufbewahrungspflichten
Klientendaten Beratung	Erziehungsberatung, Schuldnerberatung, Suchtberatung	Fachverfahren; in Microsoft 365 nur verwaltungsbezogene Randdaten	Sozialdatenschutz plus Schweigepflicht
Klientendaten Pflege und Klinik	Pflegedokumentation, Behandlungsunterlagen	Fachverfahren beziehungsweise Klinikinformationssystem	Berufsgeheimnis, eigene Aufbewahrungsfristen
Seelsorgliche Aufzeichnungen	Gesprächsnotizen aus Seelsorge, Beichte	Nicht im Tenant; im Zweifel gar nicht digital	Absoluter Schutz ohne Abwägungsspielraum
Meldungen zu Kindeswohl und Schutzkonzepten	Verdachtsmeldungen, Aufarbeitungsvorgänge	Eng abgegrenzter Bereich mit dokumentierter Zugriffsliste	Höchster Schutzbedarf, oft mehrere Rechtskreise gleichzeitig

Tabelle 3: Eine Zuordnung, wie sie sich in kirchlichen Trägern bewährt hat. Die Spalte rechts ist die, die in der ersten Sitzung am meisten diskutiert wird.

WARNUNG · Der Klassiker, der immer wieder passiert Eine Beratungsstelle richtet ein Team ein, um sich die Arbeit zu erleichtern. Fallbesprechungen werden dort vorbereitet, Terminlisten geführt, Vermerke abgelegt. Niemand hat etwas Böses vor, jeder wollte nur ein Problem lösen. Nach acht Monaten liegen in dieser Ablage Klientennamen mit Diagnosen, das Team hat zwischenzeitlich drei Gäste aus einem Kooperationsprojekt, und die Standardsuche eines KI-Assistenten würde all das finden. Die Prüfung stellt dann nicht die Frage, ob es böse Absicht gab, sondern warum es technisch möglich war. Genau diese Frage lässt sich nur vorher beantworten — durch Bereichstrennung, Vertraulichkeitsbezeichnungen und eine Gastregelung, die den Namen verdient.

 

Für den letzten Punkt lohnt der Blick in Gäste in Teams und SharePoint: Planungsbüros, Träger und Gremienmitglieder sicher einbinden. Kirchliche Träger arbeiten strukturell mehr mit Externen als Kommunen: Kooperationspartner in Netzwerken, Ehrenamtliche in Gremien, Fachberatungen von Landesverbänden, Honorarkräfte. Jede dieser Gruppen ist ein legitimer Zugriffsbedarf und jede ist eine potenzielle Lücke. Und bevor irgendein KI-Assistent aktiviert wird, gilt derselbe Befund wie im kommunalen Umfeld — nachzulesen in Oversharing im Verwaltungs-Tenant: Warum Copilot die Personalakte findet.

Und wenn Copilot ins Spiel kommt?

Die Frage kommt inzwischen in jedem Projekt, meist von der Leitungsebene und meist begleitet von der Bemerkung, andere seien schon weiter. Fachlich gilt für kirchliche Träger dieselbe Prüfkette wie für Kommunen: Rechtsgrundlage klären, Folgenabschätzung durchführen, Berechtigungen bereinigen, Protokollierung und Auswertung regeln, Beteiligung sicherstellen. Der Aufbau dieser Kette ist in Microsoft 365 Copilot in der Verwaltung: Datenschutz, Rechtsgrundlage, DSFA beschrieben und lässt sich übertragen. Was Sie ersetzen müssen, sind wieder nur die Verweise: kirchliche Rechtsgrundlage statt DSGVO-Artikel, kirchliche Aufsicht statt Landesbehörde, Mitarbeitervertretung statt Personalrat. Was Sie ergänzen müssen, ist die Schichtenprüfung aus diesem Kapitel — und zwar bevor der erste Pilot startet, nicht danach.

Mitarbeitervertretung statt Personalrat

Kommen wir zum zweiten großen Unterschied, und zwar zu dem, der über den Zeitplan entscheidet. Kirchliche Träger haben keinen Betriebsrat und keinen Personalrat. Sie haben eine Mitarbeitervertretung — evangelisch nach dem Mitarbeitervertretungsgesetz der EKD, katholisch nach der Mitarbeitervertretungsordnung. Beide Regelwerke sind eigenständige Betriebsverfassungen mit eigener Systematik, eigenen Fristen und eigener Konfliktlösung über Einigungsstellen und kirchliche Gerichte.

Skizze 5: Der Beteiligungspfad — und der Wortlautunterschied, über den in jeder zweiten Sitzung diskutiert wird.

Mitbestimmung bei technischen Einrichtungen

Der für IT-Projekte entscheidende Tatbestand betrifft technische Einrichtungen, die zur Überwachung von Verhalten oder Leistung taugen. Hier lohnt ein genauer Blick auf den Wortlaut, weil er sich zwischen den Rechtskreisen unterscheidet. Das MVG-EKD erfasst in seinem Katalog der mitbestimmungspflichtigen organisatorischen und sozialen Angelegenheiten die Einführung und Anwendung von Maßnahmen oder technischen Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung zu überwachen. Die MAVO formuliert in ihrem Zustimmungskatalog enger: Sie fragt nach technischen Einrichtungen, die dazu bestimmt sind.

Man kann diesen Unterschied ausreizen. Man sollte es nicht. In der Praxis läuft beides auf dasselbe hinaus, weil moderne Cloud-Dienste durchgehend protokollieren, ohne dass irgendjemand eine Überwachungsabsicht hätte — Anmeldeprotokolle, Zugriffsprotokolle, Aktivitätsberichte, Nutzungsauswertungen sind Teil des Produkts. Die Auswertbarkeit ist da; ob sie ausgewertet wird, ist eine organisatorische Frage, und genau die ist Gegenstand der Beteiligung. Wer sich auf den engeren Wortlaut zurückzieht, spart im besten Fall zwei Sitzungen und riskiert im schlechtesten Fall, dass die Einführung angreifbar wird. Der Zeitgewinn steht in keinem Verhältnis.

WICHTIG · Mitbestimmung ist keine Anhörung Der häufigste Denkfehler in Projektplänen: Die Beteiligung wird als Informationsschritt eingeplant, mit zwei Wochen Puffer irgendwo vor dem Rollout. Mitbestimmung bedeutet aber, dass die Maßnahme ohne Zustimmung nicht durchgeführt werden darf. Kommt keine Einigung zustande, entscheidet die Einigungsstelle, und danach steht der kirchliche Rechtsweg offen. Rechnen Sie diesen Pfad realistisch in den Terminplan ein — und beteiligen Sie früh genug, dass er gar nicht erst beschritten werden muss.

 

Was in die Dienstvereinbarung gehört

Inhaltlich ähneln sich kirchliche Dienstvereinbarungen und kommunale Dienstvereinbarungen stark. Die Bausteine, die in Copilot und Personalrat: Bausteine einer Dienstvereinbarung beschrieben sind, tragen im kirchlichen Umfeld genauso: klar benannter Gegenstand, Zweckbindung, ausdrücklicher Ausschluss der Verhaltens- und Leistungskontrolle, ein abschließend geregeltes Verfahren für Auswertungen im Verdachtsfall, Löschfristen für Protokolle, Beteiligung bei Änderungen, Schulungszusage und eine Laufzeit mit Überprüfungspunkt. Was Sie anpassen, sind die Verweise auf die Rechtsgrundlage und die Konfliktlösung.

Ein Konstruktionshinweis aus der Praxis, der viel Ärger erspart: Verhandeln Sie eine Rahmenvereinbarung für die Plattform und hängen Sie kurze Anlagen je Dienst daran — eine für Teams, eine für die Telefonie, eine für die Protokollierung, eine für KI-Funktionen. Microsoft ändert den Funktionsumfang laufend. Wenn jede Änderung das gesamte Werk aufreißt, sitzen Sie zweimal im Jahr wieder am Anfang. Mit Anlagenstruktur ändern Sie eine Seite und behalten den Rest.

Aspekt	Kommune	Kirchlicher Träger
Gremium	Personalrat, teils Gesamt- und Hauptpersonalrat	Mitarbeitervertretung, teils Gesamt- und Arbeitsgemeinschaften auf Verbandsebene
Instrument	Dienstvereinbarung nach Landespersonalvertretungsgesetz	Dienstvereinbarung nach MVG-EKD oder MAVO
Auslöser bei IT	Technische Einrichtungen zur Überwachung	Ebenso; evangelisch Anknüpfung an die Eignung, katholisch an die Bestimmung
Beteiligungsform	Mitbestimmung, teils Mitwirkung	Mitbestimmung beziehungsweise Zustimmung
Bei Nichteinigung	Einigungsstelle, dann Verwaltungsgericht	Einigungsstelle, dann kirchliche Gerichtsbarkeit
Typische Dauer	Zwei bis fünf Monate bei guter Vorbereitung	Vergleichbar; länger, wenn mehrere Einrichtungen mit eigenen Vertretungen beteiligt sind
Häufigster Fehler	Zu spät informiert	Zu spät informiert — und übersehen, dass jede Einrichtung eine eigene Vertretung haben kann

Tabelle 4: Beteiligung im Vergleich. Die rechte Spalte ist der Grund, warum kirchliche Projektpläne einen anderen Puffer brauchen.

TIPP · Aus der Arbeit mit kirchlichen Trägern Ein diakonischer Träger mit rund 2.400 Beschäftigten an knapp 40 Standorten wollte Microsoft 365 einführen. Das Konzept stammte aus einer benachbarten Kreisverwaltung und war fachlich gut. Drei Punkte haben trotzdem Monate gekostet — und alle drei waren vermeidbar: › Die Trägerstruktur war gewachsen: mehrere gemeinnützige Gesellschaften unter einem Dach, jede mit eigener Mitarbeitervertretung. Verhandelt wurde zunächst nur mit einer. Die Korrektur hat elf Wochen gekostet, die Gesamtvertretung war am Ende die bessere Lösung. › Das Verzeichnis der Verarbeitungstätigkeiten verwies durchgehend auf DSGVO-Artikel. Die Umstellung auf die kirchlichen Normen war in zwei Tagen erledigt — aber erst, nachdem sie jemandem aufgefallen war, und das war der Datenschutzbeauftragte drei Wochen vor dem geplanten Start. › In den Beratungsdiensten existierten bereits Teams mit Fallbezug. Die Bereinigung vor dem Rollout hat mehr Zeit gebraucht als der Rollout selbst — war aber der Punkt, an dem das Projekt seine Glaubwürdigkeit gewonnen hat. › Was gut lief: Die Mitarbeitervertretungen waren ab der zweiten Projektwoche in der Steuerungsgruppe. Die Dienstvereinbarung war vor dem Pilotbetrieb unterschrieben, und niemand musste eine Einigungsstelle bemühen.

 

Zum Vergleich der Blick über den Zaun: Bei einer Stadtverwaltung mit SharePoint im Sozialbereich lag exakt dasselbe fachliche Problem auf dem Tisch — Fallbezug in einer Teamablage —, nur mit einer Schutzschicht weniger und einem Personalrat statt drei Mitarbeitervertretungen. Die Lösung war technisch identisch. Der Weg dorthin war deutlich kürzer. Wer beides erlebt hat, plant den kirchlichen Fall nicht mehr mit dem Zeitansatz des kommunalen. Wie ein solcher Projektzuschnitt aussieht, steht in Microsoft-365-Einführung in der Verwaltung: Konzeptionsphase in 4,5 Tagen und die Beschlussvorlage — die Struktur trägt auch für Verwaltungsräte und Aufsichtsgremien kirchlicher Träger.

Beschaffung, Betrieb und die Frage nach der Souveränität

Ohne Vergabestelle, aber nicht ohne Regeln

Kirchliche Träger sind in der Regel keine öffentlichen Auftraggeber im Sinne des Vergaberechts. Das klingt nach Erleichterung und ist es teilweise auch: Kein Oberschwellenwert, keine europaweite Bekanntmachung, keine Rügefristen. Es bedeutet aber nicht, dass Sie frei einkaufen. An die Stelle des Vergaberechts treten Haushalts- und Beschaffungsordnungen des Trägers, die Vorgaben der Landeskirche oder des Bistums und — der in der Praxis wichtigste Punkt — das Zuwendungsrecht. Wo öffentliche Mittel im Spiel sind, und in Diakonie und Caritas sind sie fast immer im Spiel, verweisen die Nebenbestimmungen der Zuwendungsgeber regelmäßig auf vergaberechtliche Grundsätze. Dann sind Sie doch wieder in einem geregelten Verfahren, nur ohne eigene Vergabestelle im Haus. Die Systematik der Leistungsbeschreibung aus Microsoft 365 rechtssicher beschaffen: Vergabe, Leistungsbeschreibung, Rahmenverträge hilft hier trotzdem: Eine gute Leistungsbeschreibung ist auch ohne Vergaberecht die beste Versicherung gegen ein Angebot, das an der eigenen Organisation vorbeigeht.

Bei den Konditionen lohnt eine gezielte Nachfrage. Neben den Behördenkonditionen gibt es für gemeinnützige Organisationen eigene Programme, und viele kirchliche Träger fallen unter mindestens eines davon — manche Einrichtungen sogar unter verschiedene, je nach Gesellschaft. Welche Lizenzstufe fachlich trägt, ist davon unabhängig; die Abwägung zwischen den Editionen und die Frage, wo Zusatzkomponenten notwendig werden, ist in Microsoft 365 Lizenzen für Verwaltungen: E3, E5, F3 und die Behördenkonditionen ausgeführt. Ein Hinweis speziell für soziale Träger: Die Beschäftigten in Pflege, Küche, Hauswirtschaft und Fahrdienst brauchen selten dieselbe Ausstattung wie die Verwaltung. Genau hier entscheidet sich, ob die Kalkulation trägt.

Souveränität nüchtern betrachtet

Die Souveränitätsdebatte erreicht kirchliche Träger mit etwas Verzögerung, dafür mit voller Wucht — meist über einen Zeitungsartikel, den ein Gremienmitglied mitbringt. Ordnen wir die Lage sachlich. Die Delos Cloud ist ein Angebot, das sich ausdrücklich an den öffentlichen Dienst richtet und im Kontext der Deutschen Verwaltungscloud-Strategie steht; Kundendaten sollen in Deutschland bleiben, der Betrieb ist organisatorisch von Microsoft getrennt. Für kirchliche Träger ist damit zunächst einmal offen, ob sie überhaupt zum adressierten Kundenkreis gehören — das ist im Einzelfall zu klären und keine Frage, die man in einer Gremiensitzung entscheidet. Wie das Angebot einzuordnen ist und welche Fragen offen sind, behandelt Delos Cloud für Kommunen: Was das Angebot ist, wen es betrifft und was fehlt.

Unabhängig davon hat Microsoft das eigene Souveränitätsangebot in den vergangenen Jahren ausgebaut: Neben der abgeschlossenen EU Data Boundary gibt es Bausteine für Datenresidenz, kundenverwaltete Schlüssel und Transparenz beim Administratorzugriff, bis hin zu Betriebsmodellen, in denen Fernzugriffe von Technikern über eine europäische Instanz geführt und dort überwacht werden können. Für stark abgeschottete Szenarien existieren Varianten mit lokaler Steuerungsebene. Ob das für Ihren Träger relevant ist, hängt nicht an der Technik, sondern am Ergebnis Ihrer Schutzbedarfsfeststellung — und die wiederum hängt an der Datenklassenzuordnung aus dem vorigen Kapitel. Wer diese Reihenfolge einhält, führt eine sachliche Diskussion. Wer sie umdreht, kauft Souveränität für Daten, die gar nicht im Tenant liegen sollten.

Für den Betrieb selbst gilt ein Punkt, der in kirchlichen Strukturen oft unterschätzt wird: Viele Träger arbeiten mit kirchlichen Rechenzentren oder verbandseigenen IT-Dienstleistern zusammen, die eine ähnliche Rolle einnehmen wie kommunale Rechenzentren in der Verwaltung. Diese Häuser kennen die Fachverfahren, die Trägerstrukturen und die Aufsichtslandschaft oft besser als jeder externe Berater. Die Rollenklärung zwischen Träger, Dienstleister und Beratung sollte trotzdem schriftlich erfolgen — die Systematik dafür ist in Microsoft 365 und das kommunale Rechenzentrum: Rollen, Schnittstellen, Zweitmeinung beschrieben und lässt sich übertragen. Und für kirchliche Krankenhäuser, die noch einmal eigene Anforderungen mitbringen, lohnt der Blick in Microsoft 365 im Krankenhaus in kommunaler Trägerschaft: Büro-IT, Zusammenarbeit, Telefonie.

Passend dazu aus dieser Serie › Schutzbedarf und Microsoft 365: IT-Grundschutz-Abgleich für die Praxis — die Methodik, die auch im kirchlichen Kontext trägt › Oversharing im Verwaltungs-Tenant: Warum Copilot die Personalakte findet — die Aufräumarbeit vor jedem KI-Projekt › Copilot und Personalrat: Bausteine einer Dienstvereinbarung — übertragbar auf MVG-EKD und MAVO › Aufbewahrung und Aussonderung mit Purview: Fristen, Disposition, Vernichtungsnachweis — Fristenlogik, hier gegen kirchliches Archivrecht zu spiegeln › Backup und Wiederherstellung in Microsoft 365: Die Risikoentscheidung fürs Rechnungsprüfungsamt — die Frage stellt auch jeder Verwaltungsrat › Microsoft 365 Audit-Log und Rechnungsprüfung: Nachweise, die Verwaltungen liefern müssen — Protokolle sind zugleich Gegenstand der Mitbestimmung

 

Häufige Fragen

Gilt für kirchliche Träger die DSGVO nun oder nicht?

Beides, je nach Blickwinkel. Die DSGVO gilt als europäisches Recht; sie erlaubt in Artikel 91 aber, dass Religionsgemeinschaften mit eigenen umfassenden Regeln diese weiter anwenden, wenn sie in Einklang gebracht werden und eine unabhängige Aufsicht besteht. Praktisch arbeiten Sie deshalb mit DSG-EKD oder KDG als Ihrem Gesetz, während die DSGVO den Rahmen bildet. Für Ihr Verzeichnis und Ihre Informationstexte heißt das: kirchliche Normen zitieren, nicht DSGVO-Artikel.

Muss Microsoft sich der kirchlichen Aufsicht unterwerfen?

Diese Anforderung war lange der Knackpunkt. Mit der Novelle des DSG-EKD ist sie als generelle Voraussetzung entfallen: Verträge mit Auftragsverarbeitern, für die kirchliches Recht nicht gilt, sind möglich, wenn sich der Vertragsinhalt an Artikel 28 DSGVO orientiert. Prüfen Sie den konkreten Stand für Ihren Rechtskreis und Ihre Vertragsgeneration; Verträge, die vor der Novelle geschlossen wurden, enthalten häufig noch die alte Konstruktion. Die inhaltliche Prüfung des Vertrages entfällt dadurch in keinem Fall.

Wir sind ein Träger mit Einrichtungen in mehreren Bistümern. Wer ist zuständig?

Im katholischen Bereich richtet sich die Zuständigkeit regional nach den fünf Diözesandatenschutzbeauftragten. Bei Trägern mit Einrichtungen in mehreren Regionen können mehrere Aufsichten zuständig sein. Klären Sie das zu Projektbeginn und legen Sie die Zuordnung schriftlich ab — besonders für den Meldefall, in dem die Frage nach der richtigen Adresse keine Zeit mehr hat. In gemischten Konzernstrukturen mit evangelischen und katholischen Gesellschaften gilt das doppelt.

Dürfen Klientendaten überhaupt in Microsoft 365?

Die Frage ist zu allgemein gestellt, und deshalb dauern die Antworten darauf so lange. Sinnvoll ist die Aufteilung in Datenklassen. Seelsorgliche Aufzeichnungen gehören nicht in den Tenant. Anvertraute Daten aus persönlicher und erzieherischer Hilfe gehören ins Fachverfahren. Für Bestände unter der strafbewehrten Schweigepflicht braucht es die Verpflichtung der mitwirkenden Personen und einen engen Berechtigungsschnitt. Was danach bleibt — Verwaltung, Organisation, Gremienarbeit, Fortbildung, ein großer Teil der internen Kommunikation — arbeitet in Microsoft 365 gut, und das ist der weitaus größte Teil des Alltags.

Brauchen wir eine Datenschutz-Folgenabschätzung?

Bei einer Plattformeinführung mit Verarbeitung besonderer Datenkategorien und neuen Auswertungsmöglichkeiten spricht regelmäßig viel dafür. Beide kirchlichen Gesetze kennen das Instrument mit eigenen Schwellen und eigener Konsultationspflicht gegenüber der Aufsicht. Führen Sie die Abschätzung früh durch, nicht als Abschlussdokument: Ihre Ergebnisse gehören in die Architektur und in die Dienstvereinbarung, nicht in einen Ordner hinter dem Rollout.

Wie unterscheidet sich die Mitbestimmung von der im Personalrat?

Im Kern wenig, im Detail spürbar. Beide kirchlichen Regelwerke sehen bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung taugen, ein echtes Mitbestimmungs- beziehungsweise Zustimmungsrecht vor. Der Wortlaut unterscheidet sich — evangelisch wird an die Eignung angeknüpft, katholisch an die Bestimmung. Der Weg bei Nichteinigung führt über eine Einigungsstelle und danach in die kirchliche Gerichtsbarkeit, nicht zum Verwaltungsgericht. Planen Sie den Pfad ein, statt auf seine Vermeidung zu setzen.

Ist die Delos Cloud für uns eine Option?

Möglicherweise, möglicherweise auch nicht. Das Angebot richtet sich an den öffentlichen Dienst; ob ein kirchlicher Träger dazu zählt, ist eine Frage des konkreten Vertrags- und Kundenmodells und im Einzelfall zu klären. Unabhängig davon gilt: Die Betriebsmodellfrage beantwortet man nach der Schutzbedarfsfeststellung, nicht davor. Wenn nach der Datenklassenzuordnung ohnehin keine hochsensiblen Bestände im Tenant landen, ändert ein souveräneres Betriebsmodell an der Risikolage weniger, als die Diskussion vermuten lässt.

Was ist mit Ehrenamtlichen?

Ein Thema, das Kommunen so nicht kennen und das in kirchlichen Trägern erhebliche Zahlen erreicht — Gemeindekirchenräte, Pfarrgemeinderäte, Besuchsdienste, Helferkreise, Chorleitungen. Sie brauchen Zugang, sind aber keine Beschäftigten. Praktisch bewährt sich eine bewusste Entscheidung zwischen eigenem Konto mit engem Rechteschnitt und Gastzugang mit klarer Befristung, beides flankiert von einer Verpflichtung zur Vertraulichkeit. Wichtig ist vor allem, dass die Entscheidung getroffen und dokumentiert wird — die schlechteste Variante ist der geteilte Zugang, den vier Personen benutzen und niemand verantwortet.

Können wir unser bestehendes Konzept aus der Kommune weiterverwenden?

Ja, und das ist ausdrücklich zu empfehlen — die technischen und organisatorischen Kapitel sind wertvolle Vorarbeit. Ersetzen Sie die rechtlichen Verweise, ergänzen Sie das Kapitel zu Klientendaten und schreiben Sie das Beteiligungskapitel neu. Wenn Sie dabei Unterstützung brauchen: Der Zuschnitt einer Microsoft-365-Beratung für Verwaltungen lässt sich auf kirchliche Träger übertragen, und für den Wissensaufbau in Fachbereichen und Einrichtungen gilt dasselbe für eine Microsoft-365-Schulung für Verwaltungen.

Fazit

Microsoft 365 ist in Kirche, Diakonie und Caritas kein grundsätzlich anderes Vorhaben als in einer Kommune. Es ist dasselbe Vorhaben mit einem zusätzlichen Kapitel — und mit einem sorgfältigen Austausch aller rechtlichen Verweise. Wer das früh erledigt, verliert dadurch etwa eine Projektwoche. Wer es verschiebt, verliert Monate, und zwar an der unangenehmsten Stelle: nach dem Beschluss, vor dem Rollout, mit einem Gremium, das nachvollziehbar wissen möchte, wie das passieren konnte.

Die drei Punkte, an denen sich kirchliche Projekte entscheiden, sind nach unserer Erfahrung immer dieselben. Erstens die Rechtskreisfrage: DSG-EKD oder KDG statt DSGVO, kirchliche Aufsicht statt Landesbehörde, kirchlicher Rechtsweg statt Verwaltungsgericht — konsequent durch alle Dokumente. Zweitens die Datenklassen: eine einmalige, saubere Zuordnung, die seelsorgliche Aufzeichnungen ausschließt, anvertraute Daten im Fachverfahren belässt und die Schweigepflicht organisatorisch absichert. Drittens die Beteiligung: die Mitarbeitervertretung als Teil der Steuerung, nicht als Empfänger einer fertigen Lösung.

Alles andere — Architektur, Berechtigungen, Aufbewahrung, Protokollierung, Schulung, Betrieb — ist die vertraute Arbeit, für die es gute Muster gibt. Es lohnt sich, diese Muster zu nutzen und die eigene Energie dorthin zu lenken, wo der kirchliche Kontext wirklich eigene Antworten verlangt. Das sind weniger Stellen, als die erste Sitzung befürchten lässt. Aber es sind genau die Stellen, an denen nachher jemand nachschaut.