SharePoint-Informationsarchitektur für Kirchengemeinde und Kirchenkreis: Pfarramt, Gremien, Ausschüsse und Gebäude

Es gibt einen Satz, an dem du sofort erkennst, dass eine Kirchengemeinde ihre Informationsarchitektur nie geplant hat: „Das liegt bei Frau H. im Ordner.“ Frau H. ist seit vierzehn Jahren im Pfarramtssekretariat, sie weiß, wo alles liegt, und sie ist damit die eigentliche Informationsarchitektur der Gemeinde. Das funktioniert hervorragend, bis Frau H. in den Ruhestand geht, erkrankt oder — der Klassiker — aus dem Urlaub nicht rechtzeitig zurückkommt, während die Kirchenaufsicht das Bauakten-Konvolut sehen möchte.

Kirchengemeinden sind organisatorisch der schwierigste Fall, den Microsoft 365 zu bieten hat. Nicht wegen ihrer Größe — sie sind klein —, sondern wegen ihres Verhältnisses von Rollen zu Köpfen. Ein mittelständisches Unternehmen mit fünfzig Leuten hat vielleicht sechs Abteilungen. Eine Kirchengemeinde mit fünf hauptamtlichen Stellen hat ein Pfarramt, eine Küsterei, eine Kirchenmusik, eine Kita, einen Friedhof, mehrere Gebäude mit eigenen Bauakten, ein Presbyterium beziehungsweise einen Kirchenvorstand, drei bis fünf Ausschüsse, einen Förderverein, die Konfirmandenarbeit, den Besuchsdienst und eine Redaktion für den Gemeindebrief. Macht grob fünfzehn Arbeitsbereiche auf fünf Schreibtische verteilt, plus zwei Dutzend Menschen im Ehrenamt, deren Zugehörigkeit sich alle paar Jahre per Wahl ändert.

Dieser Beitrag gehört zur Serie Microsoft 365 in Kirche, Diakonie und Caritas und beantwortet die vier Fragen, die in jedem Einführungsprojekt in genau dieser Reihenfolge aufschlagen: Wie schneidest du Hubs, Sites und Teams zwischen Kirchenkreis beziehungsweise Dekanat und Gemeinde? Wie benennst du das Ganze, damit es in fünf Jahren noch trägt? Wie vergibst du Rechte, ohne dass irgendjemand jemals ein Einzelrecht klickt? Und wie bekommst du Menschen wieder heraus, wenn ihre Amtszeit endet? Die letzte Frage ist die, an der es scheitert. Immer.

FAKTEN · Die Kurzfassung, falls gleich Sitzung ist Ein Hub je Kirchenkreis oder Dekanat. Eine Site je Gemeinde und je Einrichtung — flach, nebeneinander, keine Unterwebs. Ein Team je Gremium und je dauerhaftem Arbeitsbereich, nicht je Sitzung. Berechtigung ausschließlich über Gruppen, deren Mitgliederliste identisch mit der Gremienliste ist. Und: › Kita, Friedhof, Meldewesen und Seelsorge liegen außerhalb dieser Struktur — mit eigenen Containern oder ganz außerhalb der Plattform. › Der Zugangsentzug gehört in denselben Tagesordnungspunkt wie die Verabschiedung des ausscheidenden Gremienmitglieds. › Wenn du nur eine Sache mitnimmst: Namenskonvention zuerst. Sie kostet einen Nachmittag und spart dir drei Jahre.

 

Warum die Gemeinde der schwierigste Fall ist — und was daran wirklich kirchlich ist

Bevor wir Kästchen malen: Es lohnt sich, sauber zu trennen, was an einer Kirchengemeinde tatsächlich besonders ist und was einfach nur normales Microsoft 365 mit kirchlichem Vokabular. Die Unterscheidung spart dir in der Projektdiskussion viel Zeit, weil du sonst über Dinge verhandelst, die gar nicht verhandelbar sind, und Dinge ungeprüft lässt, die es sehr wohl wären.

Das Rollenkarussell: viele Hüte, wenige Köpfe

Der erste Unterschied ist struktureller Natur. In einer Verwaltung gehört ein Mensch zu einer Organisationseinheit, und diese Zugehörigkeit ändert sich alle paar Jahre. In einer Gemeinde gehört ein Mensch zu fünf Arbeitsbereichen gleichzeitig, und jede dieser Zugehörigkeiten endet zu einem anderen Zeitpunkt. Die ehrenamtliche Presbyterin sitzt im Bauausschuss, führt den Besuchsdienst und schreibt für den Gemeindebrief. Ihr Mandat im Presbyterium endet mit der nächsten Wahl, ihre Mitarbeit am Gemeindebrief läuft weiter, den Besuchsdienst gibt sie irgendwann ab, ohne dass das je irgendwo protokolliert wird.

Skizze 1: Sechs Personen, sieben Arbeitsbereiche, neunzehn Beziehungen. Wer diese Matrix mit Einzelrechten auf Ordnern abbildet, hat nach der zweiten Neuwahl eine Berechtigungsstruktur, die niemand mehr erklären kann — und niemand mehr zurückbauen.

Genau deshalb ist die Versuchung so groß, es „schnell“ zu machen. Ein Ordner „Bauausschuss“, und dann klickt man die vier Leute einzeln drauf. Das dauert zwei Minuten und funktioniert sofort. Es ist auch der Grund, warum in der Gemeinde, die wir gleich als Praxisbeispiel sehen, ein ausgeschiedener Presbyter drei Jahre lang Zugriff auf die Bauakten hatte. Zwei Minuten sparen, drei Jahre Haftungsrisiko einkaufen — das ist keine gute Rendite.

Was wirklich kirchlich ist

Vier Dinge unterscheiden die Kirchengemeinde und den Kirchenkreis tatsächlich von der Stadtverwaltung, und zwar nicht kosmetisch, sondern rechtlich und architektonisch relevant.

Erstens gilt eigenes Datenschutzrecht. Kirchengemeinden, Kirchenkreise und Landeskirchen auf evangelischer Seite unterliegen dem EKD-Datenschutzgesetz, katholische Pfarreien, Dekanate, Bistümer und ihre Einrichtungen dem Kirchlichen Datenschutzgesetz. Nicht der Datenschutz-Grundverordnung. Das ist kein Formalismus: Es bedeutet eine andere Aufsicht, ein anderes Verzeichnis von Verarbeitungstätigkeiten, andere Musterverträge zur Auftragsverarbeitung und andere Ansprechpartner, wenn etwas schiefgeht.

Zweitens ist die Aufsicht eine andere. Auf evangelischer Seite ist es der Beauftragte für den Datenschutz der EKD, dazu die örtlich Beauftragten für den Datenschutz in den Landeskirchen, Kirchenkreisen und größeren Einrichtungen. Auf katholischer Seite sind es die Diözesandatenschutzbeauftragten beziehungsweise die Katholischen Datenschutzzentren, die für mehrere Bistümer zuständig sind. Die Landesdatenschutzbehörde ist nicht zuständig und wird dir bei einer Anfrage genau das mitteilen.

Drittens heißt die Interessenvertretung der Belegschaft Mitarbeitervertretung, nicht Personalrat und nicht Betriebsrat. Grundlage ist auf evangelischer Seite das Mitarbeitervertretungsgesetz der EKD, auf katholischer Seite die Mitarbeitervertretungsordnung. Beide kennen ein Mitbestimmungsrecht bei der Einführung technischer Einrichtungen, mit denen das Verhalten oder die Leistung der Mitarbeiterinnen und Mitarbeiter überwacht werden kann. Die evangelische Formulierung stellt dabei auf die Eignung zur Überwachung ab, die katholische enger auf die Bestimmung dazu — praktisch landest du in beiden Fällen bei einer Dienstvereinbarung, bevor du eine Plattform ausrollst, in der Anwesenheitsanzeigen, Nutzungsberichte und Anmeldeprotokolle technisch verfügbar sind.

Viertens gibt es Datenkategorien, die es in der Kommune in dieser Form nicht gibt: das Seelsorgegeheimnis, das kirchliche Meldewesen mit den Gemeindegliederdaten und — in diakonischen und caritativen Einrichtungen — Klientendaten aus Beratung, Pflege und Jugendhilfe. Alles andere, und das ist der größte Teil, ist schlicht normales Microsoft 365: Dokumentablage, Zusammenarbeit, Terminplanung, Postfächer.

FAKTEN · Die Rechtsgrundlagen, auf die du dich stützt Beide kirchlichen Datenschutzgesetze sind der Datenschutz-Grundverordnung nachgebildet und verlangen im Kern dasselbe wie sie — nur in eigener Zählung: › Evangelisch: Grundsätze der Verarbeitung einschließlich Zweckbindung, Datenminimierung und Speicherbegrenzung in § 5 DSG-EKD, das Recht auf Löschung in § 21, technische und organisatorische Maßnahmen samt IT-Sicherheit in § 27. › Katholisch: Grundsätze der Verarbeitung in § 7 KDG, Recht auf Löschung in § 19, technische und organisatorische Maßnahmen in § 26. › Für die Informationsarchitektur zählt vor allem der Zweckbindungsgrundsatz: Wer auf etwas zugreifen kann, braucht dafür einen Zweck. „War halt historisch so“ ist keiner.

 

Wenn du die rechtliche Seite vertiefen willst, findest du sie in den eigenen Beiträgen dieser Serie zum DSG-EKD und zum KDG. Die Einordnung, was an kirchlicher IT insgesamt anders ist als in Kommune und Mittelstand, steht in Microsoft 365 in Kirche, Diakonie und Caritas: Was wirklich anders ist als in Kommune und Mittelstand. Und die Mitbestimmungsfrage — die dir sonst mitten im Rollout auf die Füße fällt — behandelt Mitarbeitervertretung und Microsoft 365 ausführlich.

Hub, Site, Team: die drei Bausteine und wie sie zusammenpassen

Microsoft 365 hat für Strukturierung genau drei Werkzeuge, und alle drei werden in kirchlichen Projekten regelmäßig falsch eingesetzt. Die Hubsite ist eine Klammer, keine Hierarchie. Die Site ist ein Verantwortungsbereich, kein Ordner. Das Team ist ein Arbeitsraum auf Zeit, keine Mailingliste. Wer diese drei Unterscheidungen verinnerlicht hat, kommt mit erstaunlich wenig Diskussion durch die Architekturwerkstatt.

Die Hubsite: Klammer und Suchraum, kein Organigramm

Eine Hubsite verbindet Sites zu einer Familie. Sie liefert gemeinsame Navigation, gemeinsames Erscheinungsbild, einen gemeinsamen Suchbereich und eine Startseite, auf der Nachrichten und Aktivitäten der zugeordneten Sites zusammenlaufen. Was sie ausdrücklich nicht liefert: Berechtigungen. Die Zuordnung einer Site zu einem Hub ändert an deren Rechten nichts. Alles, was auf der Hub-Startseite zusammenläuft, ist sicherheitsgefiltert — wer keinen Zugriff auf die Quelle hat, sieht den Beitrag dort schlicht nicht. Das ist die gute Nachricht für alle, die befürchten, ein Kirchenkreis-Hub mache die Personalvorgänge der Gemeinde sichtbar. Tut er nicht.

Technisch sind Hubs großzügig bemessen: Eine Organisation kann bis zu 2.000 davon anlegen, und die Zahl der zugeordneten Sites ist nicht begrenzt. Praktisch liegen die Grenzen woanders. Die Hub-Navigation verträgt drei Ebenen; Microsoft empfiehlt, nicht mehr als rund 100 Navigationslinks zu setzen, und das Webpart, das alle Sites eines Hubs dynamisch auflistet, zeigt maximal 99. Hubs lassen sich zudem untereinander verknüpfen — Inhalte werden über bis zu drei Ebenen von Hub-Beziehungen hinweg durchsuchbar. Für eine Landeskirche mit Kirchenkreisen und Gemeinden reicht das locker; es ist trotzdem keine Einladung, das Organigramm nachzubauen.

Für eine Landeskirche oder ein Bistum sieht das Muster so aus: ein Hub je Kirchenkreis beziehungsweise Dekanat, gegebenenfalls darüber ein Hub für die landeskirchliche oder diözesane Ebene. Einzelne Gemeinden bekommen keinen eigenen Hub — sie sind zu klein dafür, und die Hub-Zuordnung ist exklusiv: Eine Site kann nur an genau einen Hub angebunden sein. Wer Gemeinden zu Hubs macht, kann sie anschließend nicht mehr in den Kirchenkreis einhängen, ohne umzubauen.

Die Site: ein Verantwortungsbereich, flach nebeneinander

Die Grundregel der modernen SharePoint-Architektur lautet: Jede Arbeitseinheit bekommt eine eigene Websitesammlung. Keine Unterwebs. Der Grund ist nicht Ästhetik, sondern Betrieb: Unterwebs bilden Beziehungen als Hierarchie ab, und diese Hierarchie steckt in der Adresse. Wenn zwei Gemeinden fusionieren — und sie fusionieren, mit einer Verlässlichkeit, die Kirchenleitungen selbst überrascht —, brichst du jeden Link, den irgendjemand jemals auf ein Dokument gesetzt hat. Dazu kommt, dass viele Richtlinien für Aufbewahrung und Klassifizierung auf der Ebene der Websitesammlung greifen, nicht auf der Ebene des Unterwebs. Du schaltest dann eine Aufbewahrungsregel für die ganze Sammlung ein, obwohl nur ein einziges Unterweb sie braucht.

WARNUNG · Unterwebs sind der Klassiker, und sie sind eine Sackgasse Unterwebs funktionieren weiterhin und werden von Microsoft als klassisches Feature unterstützt — die Empfehlung lautet aber seit Jahren eindeutig, Sites flach anzulegen und über Hubs zu verbinden. In kirchlichen Projekten taucht die Unterweb-Struktur trotzdem regelmäßig auf, weil sie das Organigramm so schön abbildet. Genau das ist das Problem: Das Organigramm ändert sich, die Adresse nicht. › Gemeindefusion, Pfarrsprengel, Pfarreiengemeinschaft: Jede dieser Reorganisationen zerlegt eine Unterweb-Struktur. › Gebrochene Rechtevererbung in Unterwebs ist der zweithäufigste Grund, warum niemand mehr sagen kann, wer worauf zugreifen darf.

 

Eine Site je Gemeinde ist also gesetzt. Dazu eine Site für das Kirchenkreisamt beziehungsweise die Rendantur, eine für die Superintendentur oder das Dekanat, und je eine für Einrichtungen, die einen eigenen Verantwortungsbereich haben. Das sind pro Kirchenkreis selten mehr als zwanzig bis fünfzig Sites — vollkommen unproblematisch.

Das Team: Arbeitsraum auf Zeit, mit eigener Site im Rücken

Jedes Team in Microsoft Teams bringt eine Microsoft-365-Gruppe und genau eine SharePoint-Site mit. Kanäle sind Ordner in der Dokumentbibliothek dieser Site — mit zwei Ausnahmen: Private Kanäle und freigegebene Kanäle bekommen jeweils eine eigene, getrennte Site. Das ist praktisch relevant, wenn du Schutzmaßnahmen konfigurierst: Was du auf der Team-Site einstellst, gilt für diese Sonder-Sites nicht automatisch mit. Die Grenzen sind auch hier großzügig — bis zu 1.000 Kanäle pro Team einschließlich der gelöschten, die noch 30 Tage lang wiederherstellbar sind und in dieser Zeit weiter mitzählen —, aber wer in einer Kirchengemeinde an diese Grenze stößt, hat ein anderes Problem.

Die entscheidende Frage lautet: Team je Gremium oder Team je Arbeitsbereich? Die ehrliche Antwort ist: beides, aber nach unterschiedlichen Kriterien. Ein Team je Gremium ist richtig, wenn es eine formale Mitgliedschaft gibt, die mit einer Wahl beginnt und mit einer Wahl endet — Presbyterium, Kirchenvorstand, Pfarrgemeinderat, Kirchenverwaltung, Kreissynodalvorstand, Ausschüsse. Ein Team je Arbeitsbereich ist richtig, wenn die Zusammenarbeit dauerhaft ist und die Mitwirkenden fließend wechseln — Gemeindebrief, Kirchenmusik, Gebäudeverwaltung, Konfirmandenarbeit.

Was du nicht tun solltest: ein Team je Sitzung, je Projekt unterhalb von sechs Monaten oder je Personengruppe, die sich ohnehin nur einmal trifft. Dafür reicht ein Kanal, ein Besprechungstermin oder ein geteilter Ordner. Wie Gremienarbeit inhaltlich in Teams funktioniert — Einladung, Tagesordnung, Beschlusslage, Protokoll, Umlaufbeschluss —, ist ein Thema für sich und steht in Gremienarbeit in Microsoft Teams: Presbyterium, Kirchenvorstand, Pfarrgemeinderat und Synode digital.

Skizze 2: Die Zielarchitektur für einen Kirchenkreis. Ein Hub klammert die Sites, jede Gemeinde ist eine eigene Websitesammlung, darunter hängen Teams je Gremium und je Arbeitsbereich. Rechts der Trennlinie liegt, was aus guten Gründen nicht mitschwimmt.

Modell	Passt für	Fallstrick
Hub je Kirchenkreis, Site je Gemeinde	Der Regelfall. Kirchenkreise und Dekanate mit 5 bis 40 Gemeinden, gemeinsamer Verwaltung und gemeinsamer Öffentlichkeitsarbeit.	Der Hub verführt dazu, Gemeinde-Nachrichten zentral zu redigieren. Die Gemeinde verliert dann das Interesse an der eigenen Site, und du hast eine Karteileiche mehr.
Eine Site für alle Gemeinden, Ordner je Gemeinde	Sehr kleine Verbünde mit einer einzigen Verwaltungsstelle und ohne getrennte Zuständigkeiten.	Ordnerrechte. Sobald die erste Gemeinde etwas vor der zweiten verbergen will, brichst du die Vererbung — und ab da ist die Struktur nicht mehr prüfbar.
Site je Gemeinde, zusätzlich Hub je Gemeinde	Große Stadtkirchengemeinden mit eigenen Einrichtungen, Kitas und Diensten in nennenswerter Zahl.	Hub-Zuordnung ist exklusiv: Die Gemeinde-Sites hängen dann am Gemeinde-Hub und nicht mehr am Kirchenkreis-Hub. Roll-up und Suchbereich der Kreisebene fehlen.
Team je Gremium und je Arbeitsbereich	Presbyterium, Kirchenvorstand, Pfarrgemeinderat, Ausschüsse, Gemeindebrief, Kirchenmusik, Gebäude.	Wildwuchs. Ohne Antragsweg und Namenskonvention hast du nach zwei Jahren vier Teams mit Namen wie „Bauausschuss neu“, „Bauausschuss 2“ und „Bau (aktuell!)“.

Tabelle 1: Vier Zuschnitte, die in kirchlichen Projekten vorgeschlagen werden — und was sie jeweils kosten.

TIPP · Die Faustregel für den Zuschnitt Ein eigener Container ist gerechtfertigt, wenn sich mindestens zwei der drei folgenden Fragen mit Ja beantworten lassen. Wenn nur eine zutrifft, reicht ein Kanal oder eine Bibliothek in einem bestehenden Container. › Gibt es einen eigenen Personenkreis, der sich vom übergeordneten unterscheidet? › Gibt es eine eigene Verantwortung — jemand, der schriftlich sagt: Das ist meins? › Gibt es eine eigene Aufbewahrungs- oder Schutzanforderung?

 

Namen, die auch nach der nächsten Fusion noch stimmen

Namenskonventionen gelten als das langweiligste Thema der Informationsarchitektur. Sie sind auch das einzige, das sich später praktisch nicht mehr reparieren lässt, ohne jeden Bestandslink zu brechen. Eine halbe Stunde Diskussion am Anfang ersetzt drei Jahre Ratlosigkeit beim Suchen.

Vier Bausteine, feste Reihenfolge

Das Muster, das sich in kirchlichen Trägern bewährt hat, besteht aus vier Segmenten: Kirchenkreis, Einheit, Typ, Klartext. Es sortiert sich von selbst, es filtert sich von selbst, und es überlebt Neuwahlen ebenso wie Zusammenlegungen. Wichtig ist nur, dass es überall gilt — für den Namen der Site, für die Adresse, für den Namen der Microsoft-365-Gruppe und für den Mail-Alias.

Skizze 3: Der Aufbau eines Namens. Die ersten beiden Segmente ändern sich fast nie, das dritte ist eine geschlossene Liste, das vierte steht wörtlich so in der Kirchenordnung. Kreativität gehört in den Gemeindebrief, nicht in den Site-Namen.

Ebene	Muster	Beispiel
Hub Kirchenkreis	KK-Kürzel + Klartext	KKN-Kirchenkreis-Nord
Site Gemeinde	KK + GEM + Klartext	KKN-GEM-MITTE
Site Verwaltung	KK + Einheit + Klartext	KKN-AMT-Kirchenkreisamt
Team Gremium	KK + Einheit + GRE + Klartext	KKN-GEM-MITTE-GRE-Presbyterium
Team Ausschuss	KK + Einheit + AUS + Klartext	KKN-GEM-MITTE-AUS-Bauausschuss
Team Arbeitsbereich	KK + Einheit + ARB + Klartext	KKN-GEM-MITTE-ARB-Gemeindebrief
Site Einrichtung	Träger + EIN + Klartext	KKN-EIN-Kitaverbund

Tabelle 2: Ein Namensschema, das vom Landeskirchenamt bis zum Bauausschuss durchhält.

Zwei Details, die in der Praxis den Unterschied machen. Erstens: Keine Jahreszahlen im Namen. „Presbyterium 2024–2028“ ist im Moment der Wahl eine gute Idee und vier Jahre später eine Migrationsaufgabe. Das Gremium besteht dauerhaft, es wechselt nur die Besetzung — also bleibt der Container, und die Mitgliederliste ändert sich. Zweitens: Keine Personennamen. „Team Pfarrer Schmidt“ überlebt den Stellenwechsel nicht, und es beleidigt zuverlässig den Nachfolger.

Metadaten statt Ordnertiefe

Der zweite Teil der Namensfrage betrifft das Innere der Sites. Die klassische Gemeindeablage hat sieben Ordnerebenen und heißt auf der untersten „Endgültig_final_v3_NEU“. Der Ausweg sind Bibliotheken mit Spalten: Dokumentart, Gremium, Sitzungsdatum, Gebäude, Status. Drei bis fünf Spalten reichen; jede weitere wird nicht mehr gepflegt. Eine flache Bibliothek mit guten Spalten findet sich besser als eine tiefe Ordnerstruktur, und sie überlebt Umbenennungen.

Für die Gebäude lohnt sich eine eigene Überlegung. Bauakten, Verträge, Wartungsnachweise, Gutachten und Denkmalschutzauflagen gehören zu einem Objekt, nicht zu einem Gremium. Ein Bauausschuss-Team bearbeitet sie, aber sie überdauern jeden Bauausschuss — oft um Jahrzehnte. Die saubere Lösung ist eine Gebäudebibliothek auf der Gemeinde-Site mit einer Spalte „Objekt“, auf die das Bauausschuss-Team verweist, statt die Unterlagen im Team zu halten. Sonst verschwindet die Bauakte mit dem Team, das irgendwann aufgelöst wird.

TIPP · Die Antragsseite, die dir Wildwuchs erspart Lass Teams und Sites nicht frei anlegen. Eine schlichte Liste mit einem Formular — Name, Zweck, verantwortliche Person, Gremium oder Arbeitsbereich, Enddatum falls absehbar — plus eine kurze Freigabe genügt. Der Aufwand liegt bei Minuten pro Antrag, und du verhinderst damit dauerhaft die Sorte Container, die niemand bestellt hat und niemand aufräumt. › Der Antrag erzeugt gleichzeitig den Eintrag im Verzeichnis der Verarbeitungstätigkeiten — den du nach beiden kirchlichen Datenschutzgesetzen ohnehin führen musst.

 

Berechtigungen ohne Einzelrechte — und der Ausstieg, der tatsächlich stattfindet

Jetzt zum Kern. Alles Bisherige war Vorbereitung; die Berechtigungsfrage entscheidet, ob die Architektur nach drei Jahren noch prüfbar ist oder ob du bei der nächsten Anfrage der Aufsicht ins Schwitzen kommst.

Die Regel: vier Stufen, kein Klick dazwischen

Der Weg in einen Inhalt führt über vier Stufen: Person, Rolle, Container, Inhalt. Die Person ist in einer Sicherheitsgruppe, die nach dem Amt benannt ist. Diese Gruppe ist Mitglied der Microsoft-365-Gruppe hinter Team und Site. Die Site berechtigt nichts weiter — keine gebrochene Vererbung, keine Ordnerrechte, keine Direktfreigaben. Wer Zugriff hat, hat ihn, weil er in einer Gruppe ist, und diese Mitgliedschaft ist an einer einzigen Stelle nachvollziehbar.

Skizze 4: Der einzige zulässige Weg hinein und die vier Abkürzungen, die es nicht geben darf. Jede dieser Abkürzungen überlebt Neuwahl, Wegzug und Übergabe — und genau darin besteht das Problem.

In der Praxis heißt das: Drei Gruppen pro Container, mehr nicht. Besitzer sind zwei Personen, nie eine — die Pfarrerin und die Verwaltungsleitung, oder die Vorsitzende des Gremiums und die Geschäftsführung. Mitglieder sind genau die Gremienmitglieder beziehungsweise die Mitarbeiterinnen und Mitarbeiter des Arbeitsbereichs. Besucher gibt es in einem Gremien-Team gar nicht; wer nur lesen soll, liest auf der Gemeinde-Site, nicht im Gremienraum.

Wo die Trennung technisch hart sein muss, gibt es seit einiger Zeit ein wirksameres Mittel als Rechtekonfiguration: die eingeschränkte Websitezugriffssteuerung. Damit kann ein Zugriff auf die Mitglieder bestimmter Gruppen begrenzt werden, und zwar auch dann, wenn jemand über einen alten Freigabelink oder eine Altberechtigung eigentlich noch dürfte. Bis zu zehn Gruppen sind je Site möglich, und — das ist der entscheidende Punkt für alles, was mit Copilot zu tun hat — die Einschränkung wird auch in der organisationsweiten Suche und in den Copilot-Erlebnissen beachtet. Das Verfahren gehört zu SharePoint Advanced Management und ist lizenzpflichtig; für Beratungsstellen, Personalakten und Kita-Verwaltung ist es die Investition wert.

WARNUNG · Was Oversharing in der Gemeinde konkret bedeutet „Jeder in der Organisation“ klingt in einer Gemeinde harmlos — es sind ja nur fünfzehn Leute. Im Tenant einer Landeskirche oder eines Bistums sind es mehrere tausend, und dazu gehören die Belegschaften diakonischer und caritativer Einrichtungen. Ein Freigabelink vom Typ „Jeder mit dem Link“ auf ein Protokoll mit Personalangelegenheiten ist dann keine Bequemlichkeit mehr, sondern eine meldepflichtige Panne. › Standardfreigabetyp auf „Bestimmte Personen“ setzen, tenantweit. › Externe Freigabe für Gremien- und Personal-Sites vollständig aus. › Vor jedem Copilot-Rollout eine Überprüfung auf überbreite Berechtigungen — das ist der Punkt, an dem alte Sünden sichtbar werden.

 

Der Zusammenhang zwischen Berechtigungsqualität und KI-Assistenten ist kein Nebenschauplatz: Copilot zeigt zuverlässig alles, worauf der anfragende Mensch Zugriff hat — auch das, wovon niemand mehr wusste, dass er es hat. Was das für kirchliche Träger bedeutet, steht in Copilot in Kirche und Diakonie: Nutzen, Grenzen, Oversharing und die Copilot-Überprüfung vor dem Rollout. Ergänzend lohnt ein Blick auf Sensitivity Labels für kirchliche Träger: Vertraulichkeitsbezeichnungen lassen sich auch auf Container anwenden und steuern dort Privatsphäre, Gastzugang und Zugriff von nicht verwalteten Geräten — sie kennzeichnen dabei den Raum, nicht automatisch dessen Inhalt.

Der Lebenszyklus: die Kette, die bei Nummer vier reißt

Ein Gremium hat einen Lebenszyklus, der ordentlich dokumentiert ist: Wahl, Einführung, Konstituierung, Amtszeit, Ausscheiden. Jeder einzelne Schritt steht in der Kirchenordnung, wird protokolliert und in der Regel im Gottesdienst begangen. Nur einer dieser Schritte hat keine technische Entsprechung: das Ausscheiden. Der Zugang wird bei der Konstituierung erteilt, weil jemand ihn braucht und danach fragt. Er wird beim Ausscheiden nicht entzogen, weil niemand ihn braucht und deshalb niemand fragt.

Skizze 5: Sechs Stationen, ein Bruch. Zwischen Amtszeit und Ausscheiden gibt es in den meisten Gemeinden keinen Informationsfluss zu der Stelle, die Berechtigungen setzt.

WICHTIG · Aus der Praxis: der Presbyter mit drei Jahren Nachlauf Eine Kirchengemeinde in einem ländlichen Kirchenkreis führte Microsoft 365 mit viel Energie und wenig Konzept ein. Ein Presbyter, hauptberuflich Architekt, betreute ehrenamtlich die Bauvorhaben — Kirchendach, Gemeindehaus, Pfarrhaus. Er bekam Zugriff auf die Bauaktenbibliothek, direkt auf den Ordner, weil das schneller ging. Bei der nächsten Wahl trat er nicht mehr an. Drei Jahre später fiel bei einer Bestandsaufnahme auf, dass sein Konto aktiv war und er weiterhin Zugriff hatte — auf Bauakten, Angebote konkurrierender Firmen, Gutachten und, über eine zweite Direktberechtigung, auf einen Ordner mit Personalvorgängen der Küsterei. › Es gab keinen Hinweis darauf, dass er den Zugriff je genutzt hätte. Das war Glück, keine Sicherheitsmaßnahme. › Der Vorgang war nach beiden kirchlichen Datenschutzgesetzen aufklärungsbedürftig: Zugriff ohne Zweck, über Jahre, unbemerkt. › Die Ursache war nicht Nachlässigkeit einzelner Personen, sondern das Fehlen eines Schritts im Ablauf — kein Mensch war je dafür zuständig, das Ende einer Amtszeit an die IT zu melden.

 

Die Lösung ist organisatorisch, nicht technisch. Die Mitgliederliste des Gremiums ist die Berechtigung. Es gibt genau eine Stelle, an der sie gepflegt wird, und genau einen Termin, an dem sie gepflegt wird: die konstituierende Sitzung nach der Wahl. Wer vorher drin war und jetzt nicht mehr auf der Liste steht, verliert den Zugang am selben Tag. Das ist kein Misstrauensvotum, sondern dieselbe Selbstverständlichkeit wie die Rückgabe des Kirchenschlüssels.

Zeitpunkt	Was passiert	Wer
Nach der Wahl, vor der Konstituierung	Neue und ausscheidende Mitglieder gegen die Gruppenliste abgleichen. Konten für neue Ehrenamtliche beantragen.	Vorsitz des Gremiums, Verwaltung
Konstituierende Sitzung	Gruppenmitgliedschaft auf den neuen Stand setzen — Zugänge erteilen und entziehen in einem Vorgang.	Benannte Pflegestelle, protokolliert
Am Tag des Ausscheidens	Austritt aus der Sicherheitsgruppe. Persönliche Ablagen des ausscheidenden Mitglieds sichten, Gremienunterlagen verbleiben im Container.	Pflegestelle, Vorsitz
Innerhalb von vier Wochen	Prüfen, ob Direktberechtigungen, Freigabelinks oder Gastkonten auf dieselbe Person zeigen. Das ist der Schritt, der in der Praxis fehlt.	IT beziehungsweise Kirchenkreisamt
Jährlich	Zugriffsüberprüfung je Container: Stimmt die Mitgliederliste noch mit dem Gremium überein?	Örtlich Beauftragter für den Datenschutz, Verwaltungsleitung
Bei Auflösung des Gremiums	Container in den Nur-Lese-Zustand, Aufbewahrungsfrist nach Kassationsordnung, danach Löschung oder Abgabe ans Archiv.	Verwaltung, Archiv

Tabelle 3: Der Gremienwechsel als Ablauf mit benannten Zuständigkeiten. Ohne Spalte „Wer“ passiert nichts.

Technisch lässt sich ein Teil davon automatisieren. Microsoft-365-Gruppen können mit einer Ablauffrist versehen werden — eine Gruppe, die nicht genutzt und nicht verlängert wird, läuft aus und wird gelöscht, bleibt danach aber 30 Tage lang wiederherstellbar. Aktiv genutzte Gruppen verlängern sich automatisch. Darüber hinaus bietet SharePoint Advanced Management Lebenszyklusrichtlinien für Sites: eine Richtlinie zur Websiteinhaberschaft, die eine Mindestzahl an Besitzern erzwingt, eine Richtlinie für inaktive Sites und eine Richtlinie zur regelmäßigen Bestätigung, dass eine Site noch gebraucht wird. Alle drei laufen zunächst im Simulationsmodus, bevor sie aktiv Benachrichtigungen verschicken; als letzte Stufe können sie Sites schreibgeschützt setzen oder archivieren. Löschen tun sie von sich aus nichts.

TIPP · Zwei Besitzer, immer Die häufigste Havarie in kleinen Einheiten ist nicht der Angriff, sondern das verwaiste Team: Der einzige Besitzer wechselt die Stelle, und niemand kommt mehr an die Mitgliederverwaltung heran. Eine Richtlinie zur Websiteinhaberschaft mit Mindestanzahl zwei kostet nichts an Diskussion und erspart dir den Anruf bei der Administration der Landeskirche. › Zweiter Besitzer ist immer eine hauptamtliche Person, nie zwei Ehrenamtliche. › Bei Gremien-Teams: Vorsitz plus Geschäftsführung beziehungsweise Verwaltung.

 

Kita, Friedhof, Meldewesen: wo die Trennlinien wirklich verlaufen

Die letzte Frage ist die, bei der die meisten Projekte zu großzügig sind. Nicht alles, was zur Gemeinde gehört, gehört in die Gemeindestruktur. Es gibt Datenbestände, die räumlich in der Gemeinde liegen, organisatorisch aber einem anderen Träger, einer anderen Aufsicht oder einer anderen Schutzstufe unterliegen. Die Trennung dieser Bestände ist kein Misstrauen gegenüber dem Pfarramt, sondern eine rechtliche Anforderung.

Die Kita ist eine Einrichtung, kein Arbeitsbereich

Der häufigste Fehler ist die Kita als Kanal im Gemeinde-Team. Sie gehört dort nicht hin, aus mehreren Gründen gleichzeitig. Die Kita verarbeitet Daten von Kindern und Familien — Entwicklungsdokumentation, Eingewöhnungsberichte, Elterngespräche, Angaben zu gesundheitlichen Besonderheiten, gelegentlich Meldungen im Kinderschutzverfahren. Das sind durchweg Daten mit erhöhtem Schutzbedarf, teils besondere Kategorien personenbezogener Daten. Die Kita hat zudem oft einen eigenen Träger — einen Kitaverband auf Kreisebene, eine gemeinnützige Gesellschaft, einen Zweckverband —, und dieser Träger ist datenschutzrechtlich Verantwortlicher, nicht die Gemeinde.

Die Konsequenz für die Architektur: eigene Sites, eigene Berechtigungsgruppen, gegebenenfalls ein eigener Hub für den Kitaverbund, und keine Roll-ups zwischen den beiden Welten. Wenn die Kita-Leitung auch im Presbyterium sitzt, hat sie zwei Rollen und zwei Gruppenmitgliedschaften — nicht eine breitere.

Personalseitig kommt eine zweite Schwierigkeit dazu: Ein großer Teil der Kita-Belegschaft arbeitet ohne festen Schreibtisch und ohne Vollzeit-Arbeitsplatzlizenz. Wie du diese Gruppe mit Frontline-Lizenzen und einer für Mobilgeräte gedachten Struktur sinnvoll anbindest, behandelt Microsoft-365-Lizenzierung für kirchliche Träger auf der Lizenzseite; der Schutz der Fachdaten selbst ist Thema in Klientendaten in Diakonie und Caritas: Sozialdaten, Schweigepflicht und Schutz mit Microsoft Purview.

Friedhof, Meldewesen und Seelsorge: drei Nein

Das Friedhofswesen wird in aller Regel durch ein Fachverfahren geführt — Grabstellenverwaltung, Nutzungsrechte, Gebühren, Ruhefristen. Diese Daten gehören dorthin und nicht in eine SharePoint-Liste, die jemand „zur Übersicht“ gepflegt hat. SharePoint kann daneben stehen, für Schriftverkehr, Satzungen und die Gremienvorlagen des Friedhofsausschusses. Der Datenbestand selbst bleibt im Fachverfahren.

Beim kirchlichen Meldewesen ist die Antwort noch klarer. Gemeindegliederdaten stammen aus dem Meldewesen der Landeskirche beziehungsweise des Bistums, unterliegen eigenen Regelungen zur Verwendung und Weitergabe und haben in einer allgemein zugänglichen Kollaborationsplattform nichts verloren. Die Praxis, eine Excel-Liste mit Geburtstagen für den Besuchsdienst in ein Team zu legen, ist genau der Weg, auf dem diese Daten aus dem Meldewesen herauswandern und nie wieder eingefangen werden. Warum das so ist und wie die Alternative aussieht, steht in Meldewesen und Gemeindegliederdaten: Warum Kirchenmitgliederdaten getrennt von Microsoft 365 bleiben.

Und die Seelsorge: gar nicht. Das Seelsorgegeheimnis ist auf evangelischer Seite im EKD-Datenschutzgesetz ausdrücklich adressiert und im kirchlichen Recht darüber hinaus eigenständig geschützt; auf katholischer Seite tritt das Beichtgeheimnis hinzu, das keiner Abwägung zugänglich ist. Seelsorgenotizen gehören nicht in OneNote, nicht in ein Team, nicht in ein Postfach und schon gar nicht in einen Index, den ein KI-Assistent durchsucht. Die Einzelheiten — auch die unangenehmen, etwa was mit Terminkalendern und Anrufprotokollen passiert — behandelt Seelsorgegeheimnis und Beichtgeheimnis in Microsoft 365: Was nie in Teams, OneNote oder Copilot landen darf.

Datenbestand	Gehört nach	Grund der Trennung
Gremienunterlagen, Protokolle, Beschlüsse	Team des Gremiums, Site der Gemeinde	Kein besonderer Schutzbedarf, aber klare Aufbewahrung nach Kassationsordnung.
Bauakten, Verträge, Gutachten	Objektbibliothek auf der Gemeinde-Site	Überdauert jedes Gremium. Gehört zum Gebäude, nicht zum Ausschuss.
Gemeindebrief, Öffentlichkeitsarbeit	Eigenes Team, Veröffentlichung über die Gemeinde-Site	Fließender Personenkreis, oft mit Ehrenamt. Keine schutzbedürftigen Daten.
Personalvorgänge, Dienstvereinbarungen	Eigene Site der Verwaltung, streng begrenzter Zugriff	Personaldaten. Mitbestimmung der MAV berührt.
Kita: Kinder- und Familiendaten	Eigene Struktur des Kita-Trägers	Anderer Verantwortlicher, erhöhter Schutzbedarf, teils besondere Kategorien.
Friedhof: Grabstellen, Nutzungsrechte	Fachverfahren	Führendes System bleibt führend. SharePoint nur für Schriftverkehr.
Gemeindegliederdaten aus dem Meldewesen	Kirchliches Meldeverfahren	Eigene Verwendungsregeln. Kein Export in Listen und Tabellen.
Seelsorge und Beichte	Gar nicht in der Plattform	Eigenständig geschütztes Geheimnis, keiner Abwägung zugänglich.

Tabelle 4: Wohin welcher Datenbestand gehört — und warum die Trennung keine Geschmacksfrage ist.

Die Aufbewahrungsseite dieser Tabelle — welche Frist wofür gilt, wie Kassationsordnungen und kirchliche Archivgesetze technisch abgebildet werden und warum „für immer aufheben“ genauso falsch ist wie „nach drei Jahren weg“ — steht in Kirchliche Aufbewahrungsfristen, Kassationsordnungen und Archivgesetze in Microsoft Purview abbilden. Für die Frage, ob Kirchengemeinde, Kirchenkreis und Landeskirche überhaupt im selben Tenant leben sollten — eine Entscheidung, die der Informationsarchitektur vorgelagert ist —, lohnt Ein Tenant oder viele? Kirchengemeinde, Kirchenkreis, Landeskirche, Bistum und die Frage der Tenant-Architektur.

Ehrenamtliche: die Gruppe, die keine Lizenz hat

Ein Sonderfall, der jede Gemeindestruktur berührt: Ehrenamtliche haben typischerweise kein Konto im Tenant, keine Lizenz und keinen Arbeitsvertrag. Sie sollen aber in Gremien-Teams arbeiten. Die drei Wege dahin — Gastzugang, eigene Konten mit Nonprofit-Lizenz oder bewusst gar kein Zugriff — haben jeweils eigene Konsequenzen für Berechtigung, Lebenszyklus und Datenschutz.

Für die Architektur ist nur eines wichtig: Welchen Weg du auch wählst, er muss ein Enddatum kennen. Ein Gastkonto ohne Ablauf ist der Presbyter aus dem Praxiskasten, nur mit weniger Protokollen darüber. Die Abwägung im Einzelnen behandelt Ehrenamtliche in Microsoft 365: Gastzugang, eigene Konten, geteilte Postfächer oder besser gar nichts?.

Häufige Fragen

Brauchen wir wirklich einen Hub, wenn wir nur vier Gemeinden haben?

Nein, zwingend ist das nicht. Vier Gemeinde-Sites funktionieren auch ohne Klammer, und die globale Navigation der SharePoint-App-Leiste liefert dir einen Einstieg für alle. Der Hub lohnt sich ab dem Moment, in dem du einen gemeinsamen Suchbereich willst — also wenn jemand „Muster für Vermietungsverträge“ sucht und nicht wissen kann, welche der vier Gemeinden eines hat. Wenn du ihn anlegst, leg ihn auf der Ebene des Kirchenkreises oder Dekanats an, nicht darunter.

Können Kirchenkreis und Gemeinden getrennte Tenants haben?

Technisch ja, praktisch fast nie sinnvoll. Getrennte Tenants bedeuten getrennte Identitäten, getrennte Lizenzverträge, getrennte Administration und Gastzugänge für jede Zusammenarbeit über die Grenze hinweg — was in kirchlichen Strukturen ständig vorkommt. Die übliche Antwort ist ein Tenant auf Ebene der Landeskirche oder des Bistums mit sauber getrennten Bereichen darin. Die Ausnahmen betreffen meist diakonische oder caritative Gesellschaften mit eigener Rechtsform, eigenem Personalbestand und eigenen Fachverfahren.

Wie halten wir Kita-Daten getrennt, wenn dieselbe Person in beiden Welten arbeitet?

Über Rollen, nicht über Personen. Die Kita-Leitung, die auch im Presbyterium sitzt, ist Mitglied in zwei Gruppen und arbeitet in zwei Containern. Das ist keine Erschwernis, sondern genau der Punkt: Wenn sie die Kita-Leitung abgibt, verliert sie eine Mitgliedschaft und behält die andere. Bei einer gemeinsamen Ablage ginge das nicht ohne Nacharbeit — und genau diese Nacharbeit findet erfahrungsgemäß nicht statt.

Was passiert mit den Unterlagen eines aufgelösten Ausschusses?

Sie bleiben. Der Container wird schreibgeschützt gesetzt, nicht gelöscht, und die Aufbewahrungsfrist richtet sich nach der Kassationsordnung der jeweiligen Landeskirche oder des Bistums. Erst danach folgt Löschung oder Abgabe an das kirchliche Archiv. Wichtig ist, dass die Aufbewahrungsrichtlinie am Container hängt und nicht an der Person, die ihn einmal angelegt hat — sonst verschwindet die Frist mit dem Konto.

Müssen wir die MAV beteiligen, wenn wir nur SharePoint strukturieren?

Die Informationsarchitektur als solche ist kein mitbestimmungspflichtiger Vorgang. Die Plattform, in der sie entsteht, ist es sehr wohl: Microsoft 365 liefert Anwesenheitsanzeigen, Nutzungsberichte, Anmelde- und Aktivitätsprotokolle. Sowohl das evangelische Mitarbeitervertretungsgesetz als auch die katholische Mitarbeitervertretungsordnung sehen Mitbestimmung bei der Einführung technischer Einrichtungen vor, die zur Verhaltens- oder Leistungskontrolle geeignet sind beziehungsweise dazu bestimmt sind. Der saubere Weg ist eine Dienstvereinbarung, die vor dem Rollout steht — und in der auch geregelt ist, wer Berichte und Protokolle auswerten darf.

Wie viele Sites sind zu viele?

Die technischen Grenzen erreichst du in einer kirchlichen Struktur nicht. Die praktische Grenze liegt bei der Zahl der Container, für die noch jemand benannt Verantwortung trägt. Wenn du Sites hast, deren Besitzer nicht mehr im Haus arbeiten oder deren Zweck niemand mehr erklären kann, hast du zu viele — unabhängig von der absoluten Zahl. Eine jährliche Bestandsaufnahme, ob jeder Container noch einen Zweck und zwei Besitzer hat, ist die einzige Zahl, die wirklich zählt.

Sollen ehrenamtliche Gremienmitglieder eigene Postfächer bekommen?

Wenn sie regelmäßig in Gremien arbeiten und dort Unterlagen mit Personenbezug sehen: ja. Der Grund ist nicht Komfort, sondern Nachvollziehbarkeit und Trennung — Gremienunterlagen auf einem privaten Freemail-Konto sind unter beiden kirchlichen Datenschutzgesetzen schwer zu rechtfertigen und im Ernstfall nicht löschbar. Für gelegentlich Mitwirkende reicht ein Gastzugang mit Enddatum. Für beides gilt: Der Zugang endet mit dem Mandat, nicht mit der Erinnerung daran.

Fazit

Die Informationsarchitektur einer Kirchengemeinde scheitert nicht an der Technik. SharePoint kann alles, was hier gebraucht wird, und zwar seit Jahren und mit großzügigen Grenzen. Sie scheitert an zwei Stellen, und beide sind organisatorisch: an der Versuchung, Einzelrechte zu klicken, weil es schneller geht, und am fehlenden Schritt im Ablauf, der das Ende einer Amtszeit mit dem Ende eines Zugangs verbindet.

Wenn du also priorisieren musst, priorisiere so. Zuerst die Namenskonvention — sie kostet einen Nachmittag und ist später nicht mehr zu reparieren. Dann das Berechtigungsprinzip: Rolle statt Person, Gruppe statt Klick, Container statt Ordner, ohne Ausnahme und ohne „nur dieses eine Mal“. Dann den Zuschnitt: Hub je Kirchenkreis, Site je Gemeinde, Team je Gremium und je dauerhaftem Arbeitsbereich, flach nebeneinander. Dann die Trennlinien für Kita, Friedhof, Meldewesen und Seelsorge. Und zuletzt — aber verbindlich — den Lebenszyklus mit einer benannten Pflegestelle und einem festen Termin.

Der Presbyter aus dem Praxiskasten hat übrigens nie etwas Unrechtes getan. Er hatte bloß drei Jahre lang die Möglichkeit dazu, und niemand wusste davon. Eine Architektur, die gut ist, erkennst du daran, dass sie diese Möglichkeit gar nicht erst entstehen lässt — nicht daran, dass bisher nichts passiert ist. Dienstgemeinschaft heißt nicht, dass man sich nicht anschaut, wer worauf zugreifen kann. Sie heißt, dass man es gemeinsam ordentlich regelt.

Weiterlesen in dieser Serie › Gremienarbeit in Microsoft Teams: Presbyterium, Kirchenvorstand, Pfarrgemeinderat und Synode digital — der inhaltliche Betrieb der Container, die hier entstehen › Ein Tenant oder viele? Kirchengemeinde, Kirchenkreis, Landeskirche, Bistum und die Frage der Tenant-Architektur — die Entscheidung vor der Informationsarchitektur › Kirchliche Datenschutzaufsicht in der Praxis: Was BfD EKD und Diözesandatenschutzbeauftragte von einem Microsoft-365-Tenant erwarten — worauf die Prüfung tatsächlich schaut › Microsoft 365 für Kirche, Diakonie und Caritas: DSG-EKD, KDG und MAV — die rechtliche Grundlage kompakt

 

Wenn du diese Struktur für einen Kirchenkreis, eine Landeskirche oder ein Bistum aufsetzen oder eine gewachsene Ablage in sie überführen willst, geht das erfahrungsgemäß in zwei bis drei Werkstattterminen — vorausgesetzt, die Gremienlisten liegen vor. Zur Microsoft-365-Beratung für kirchliche Träger; wenn es eher darum geht, Pfarrämter und Ehrenamtliche mit der fertigen Struktur arbeitsfähig zu machen, passen die Schulungen für kirchliche Träger besser.