Datenschutz in der Kita: Aufgaben und Prüfwege

Beim Datenschutz in der Kita setzt du als Leitung die abgestimmten Abläufe für Erhebung, Nutzung, Zugriff und Löschung personenbezogener Daten um. Der Träger beziehungsweise der tatsächlich Verantwortliche legt Rechtsgrundlagen und Schutzmaßnahmen fest; offene Fragen gibst du an ihn weiter.

Datenschutz wird im Kita-Alltag konkret, wenn ein Foto verschickt, ein Gesprächsprotokoll abgelegt oder eine Elternliste weitergegeben werden soll. Dann brauchst du eine klare Antwort auf die Fragen: Wozu brauchen wir diese Daten, wer darf sie sehen und welcher Weg ist freigegeben?

Eine Einwilligungsmappe allein beantwortet das nicht. Als Leitung setzt du die vereinbarten Abläufe um und meldest offene Fragen. Der Träger beziehungsweise der tatsächlich Verantwortliche legt die rechtlichen Grundlagen und Schutzmaßnahmen fest.

Wer entscheidet und wer handelt?

Nach Art. 4 Nr. 7 DSGVO ist verantwortlich, wer über Zwecke und Mittel der Verarbeitung entscheidet. In einer Kita ist das regelmäßig der Träger. Entscheidend ist aber die tatsächliche Rolle, nicht allein die Bezeichnung auf einem Organigramm. (Europäische Union: Datenschutz-Grundverordnung)

Aufgabe	Was geklärt sein sollte
Formulare, Software und Datenzwecke festlegen	Entscheidung des Verantwortlichen, fachlich und rechtlich geprüft
Freigegebene Abläufe im Alltag anwenden	Zuständigkeiten und Vertretung innerhalb der Einrichtung
Neue Verarbeitung einführen	Vorherige Freigabe, etwa für neue App oder neuen Fotokanal
Datenpanne bewerten und gegebenenfalls melden	Verfahren des Verantwortlichen mit erreichbarer Ansprechstelle
Auskunft und Löschung bearbeiten	Klare Zuständigkeit, damit eine Anfrage nicht im Alltagsbetrieb liegen bleibt

Eine selbst ausgesuchte private Cloud ist deshalb keine praktische Abkürzung. Sie kann eine neue Verarbeitung schaffen, deren Verantwortlichkeit, Zugriff und Weitergabe noch ungeklärt sind.

Ich würde zunächst einen tatsächlich verwendeten Datenweg vollständig durchgehen. Eine sauber geklärte Elternliste zeigt häufig deutlicher, welche Entscheidungen fehlen, als eine lange allgemeine Datenschutz-Checkliste.

Ein Datenvorgang als Ausgangspunkt

Kläre für die Einladung zu einem Entwicklungsgespräch diese Fragen mit dem Verantwortlichen:

Prüffrage	Beispiel für die Klärung
Zweck	Termin für einen geschützten kindbezogenen Austausch abstimmen
Benötigte Daten	Nur die für Zuordnung und Kontakt erforderlichen Angaben
Betroffene Personen	Kind und kontaktiertes Elternteil getrennt betrachten
Rechtsgrundlage	Vom Verantwortlichen für diesen Zweck bestätigen lassen
Empfänger	Zuständige Fachkraft und berechtigte Kontaktperson
Übermittlung	Freigegebener Kanal; keine offene Empfängerliste an andere Familien
Ablage	Vereinbarter Ort für Terminstand, getrennt von ausführlicher Gesprächsdokumentation
Ende des Zwecks	Prüfen, welche Termindaten danach noch benötigt werden

Übertrage diesen Blick anschließend auf Anmeldung, Abholung, Fotos, Bildungsdokumentation und Beschäftigtendaten. Gleiche Personen in mehreren Listen bedeuten nicht, dass alle Listen denselben Zweck oder dieselbe Rechtsgrundlage haben.

Rechtsgrundlage und Trägerrahmen prüfen

Art. 6 und Art. 9 sind unterschiedliche Prüfungen

Art. 6 DSGVO enthält mehrere mögliche Rechtsgrundlagen. Keine davon ist allein wegen des Wortes „Kita“ für jede Verarbeitung richtig. (Europäische Union: Datenschutz-Grundverordnung)

Mögliche Grundlage	Entscheidende Prüfung
Vertragserfüllung	Ist die Verarbeitung erforderlich für einen Vertrag, dessen Vertragspartei die betroffene Person ist? Bei Kinderdaten kann das Kind vertreten Vertragspartei sein; der konkrete Vertrag entscheidet.
Rechtliche Verpflichtung	Welche benennbare Pflicht trifft den Verantwortlichen und welche Daten sind dafür erforderlich?
Übertragene öffentliche Aufgabe	Welche gesetzliche Grundlage trägt die Aufgabe und diese Verarbeitung?
Berechtigtes Interesse	Erforderlichkeit und Interessenabwägung prüfen; für die Aufgabenerfüllung von Behörden steht dieser Tatbestand nicht zur Verfügung.
Einwilligung	Bestimmter Zweck, Freiwilligkeit und Nachweis müssen tatsächlich vorliegen.

Für Gesundheitsdaten und weitere besondere Kategorien kommt die zusätzliche Prüfung nach Art. 9 DSGVO hinzu. Eine ausdrückliche Einwilligung ist dort ein möglicher Erlaubnistatbestand, aber nicht die einzig denkbare Grundlage. Die bloße Unterschrift im Betreuungsvertrag ersetzt die Prüfung nicht.

Allergieinformationen, Impfstatus oder therapeutische Berichte können Gesundheitsdaten sein. Bei einem Verwaltungsmerkmal wie „Integrationsstatus“ zählt, welche Information es tatsächlich offenbart. Die Bezeichnung eines Feldes entscheidet nicht allein über die Datenkategorie.

Sozialdatenschutz und anvertraute Angaben

§ 61 Abs. 1 SGB VIII erfasst Stellen des Trägers der öffentlichen Jugendhilfe, soweit sie Aufgaben nach dem SGB VIII wahrnehmen. Dass eine Kita kommunal getragen wird, belegt diesen Anwendungsbereich nicht automatisch. Für Einrichtungen freier Träger ist nach Absatz 3 ein entsprechender Schutz sicherzustellen. (Bundesamt für Justiz: SGB VIII: Anwendungsbereich des Sozialdatenschutzes)

Innerhalb des anwendbaren Rahmens gelten unter anderem Erforderlichkeit der Datenerhebung und Zweckbindung. § 62 begrenzt die Erhebung auf die jeweilige Aufgabe; § 64 regelt Nutzung und Übermittlung. (Bundesamt für Justiz: SGB VIII: Datenerhebung) (Bundesamt für Justiz: SGB VIII: Datenübermittlung und Nutzung)

Zum Zweck persönlicher und erzieherischer Hilfe anvertraute Sozialdaten schützt § 65 besonders. Der dort geregelte Weitergabekatalog darf nicht durch die allgemeine Aussage „Das Team muss das wissen“ ersetzt werden. Zugleich gilt die Norm nicht automatisch unmittelbar für jede Fachkraft in jeder Trägerform. (Bundesamt für Justiz: SGB VIII: Besonderer Vertrauensschutz)

Das ist von arbeitsvertraglicher Verschwiegenheit und möglichen weiteren Pflichten zu unterscheiden. Kläre für eure Beschäftigten, welche davon gelten.

Kirchliche Träger: den geltenden Rahmen benennen lassen

Art. 91 DSGVO lässt unter seinen Voraussetzungen eigene kirchliche Datenschutzregeln fortgelten. Ob und in welcher Fassung sie deine Einrichtung erfassen, klärt der Träger. Lass dir das geltende Regelwerk, die zuständige Datenschutzaufsicht und den internen Meldeweg nennen. Die Bezeichnung „katholisch“ oder „diakonisch“ ersetzt diese Zuordnung nicht. (Europäische Union: Datenschutz-Grundverordnung)

Fotos und Einwilligungen nach Zweck unterscheiden

Ein Foto kann für ein Portfolio, einen Aushang oder eine öffentlich erreichbare Website vorgesehen sein. Das sind unterschiedliche Nutzungen mit unterschiedlichen Empfängern und Risiken. Für Fototage und Smartphone-Fotos im Alltag gibt es den Leitfaden Kita-Fotos selbst machen mit Checklisten und Einwilligungsmustern.

Geplante Verwendung	Vorher klären
Interne pädagogische Dokumentation	Erforderlicher Zweck, Rechtsgrundlage, Zugriff und Löschung
Portfolio, das einer Familie übergeben wird	Welche Personen sind erkennbar, wer erhält das Material, welche Grundlage trägt die Weitergabe?
Aushang in der Einrichtung	Wer kann ihn sehen und ist genau dieser Empfängerkreis umfasst?
Website oder öffentliches soziales Netzwerk	Ist die öffentliche Nutzung ausdrücklich erfasst und rechtlich freigegeben?
Fotograf oder anderer Dienstleister	Eigene Verantwortlichkeit oder Auftragsverarbeitung sowie die Weitergabegrundlage prüfen

Die niedersächsische Datenschutzaufsicht beschreibt die Fotoaufnahme mit Einwilligung als zulässigen Weg. Daraus folgt nicht, dass dieselbe Einwilligung automatisch jeden späteren Zweck umfasst. (Landesbeauftragter für den Datenschutz Niedersachsen: FAQ Kindertagesstätten)

Wird eine Einwilligung verwendet, verlangt Art. 7 DSGVO unter anderem Nachweisbarkeit, klare Unterscheidbarkeit von anderen Erklärungen, verständliche Sprache und einen ebenso einfachen Widerruf wie die Erteilung. Ob die Einwilligung freiwillig ist, muss auch im Zusammenhang mit dem Betreuungsvertrag der Kita betrachtet werden. (Europäische Union: Datenschutz-Grundverordnung)

Beim Widerruf: Stoppt die betroffene Nutzung und klärt, welche Daten ohne andere Rechtsgrundlage zu löschen sind. Die bis zum Widerruf rechtmäßige Verarbeitung wird dadurch nicht rückwirkend rechtswidrig. Bereits weitergegebene Druckerzeugnisse sind praktisch nicht einfach zurückholbar; das entbindet nicht von der Prüfung weiterer Pflichten und der Daten im eigenen Zugriff.

Halte im internen Fotodatensatz fest, welche Nutzung auf welcher Grundlage freigegeben wurde und wie Änderungen die tatsächlichen Ablage- und Veröffentlichungskanäle erreichen. Prüfpunkte für eure Foto- und Geräteregeln enthält der kostenlose Medienkonzept-Baukasten.

Aufbewahren heißt nicht alles behalten

Die DSGVO verlangt Speicherbegrenzung. Ein Dokument wird nicht dadurch länger erforderlich, dass es in einem Sammelordner liegt. Kläre für pädagogische Dokumentation die Aufbewahrung anhand ihres Zwecks und der anwendbaren Vorschriften. (Europäische Union: Datenschutz-Grundverordnung)

Unterlagenart	Was sich belegen lässt	Anwendungsgrenze
Bücher, Inventare, Jahresabschlüsse	Zehnjährige Aufbewahrung nach den entsprechenden Buchführungsvorschriften	Nur für die erfassten Unterlagen und den jeweils verpflichteten Träger
Buchungsbelege	Achtjährige Aufbewahrung im einschlägigen AO-/HGB-Rahmen	Keine allgemeine Frist für Kinderakten
Weitere gesetzlich erfasste Geschäftsunterlagen	Je nach Unterlagenkategorie sechs Jahre	Kategorie und anwendbare Norm prüfen
Vertragsunterlagen zur Anspruchsprüfung	Regelmäßige Verjährung kann ein Erforderlichkeitsargument sein	Keine automatische Aufbewahrungspflicht
Entwicklungsdokumentation, Portfolio, Personalakte	Zweck, spezielle Vorschriften und begründete Trägerregelung prüfen	Keine pauschale Frist aus der Buchführung übernehmen

Die Buchführungsfristen stehen in § 147 AO und § 257 HGB. Ob handelsrechtliche Pflichten greifen, hängt unter anderem an der entsprechenden Stellung des Trägers. (Bundesamt für Justiz: AO: Aufbewahrung von Unterlagen) (Bundesamt für Justiz: HGB: Aufbewahrung von Unterlagen)

Verjährung genauer lesen: § 195 BGB nennt grundsätzlich drei Jahre. Nach § 199 Abs. 1 beginnt diese Frist grundsätzlich mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und die erforderliche Kenntnis von den anspruchsbegründenden Umständen und der Person des Schuldners vorliegt oder ohne grobe Fahrlässigkeit vorliegen müsste. „Drei Jahre nach Vertragsende“ verkürzt das falsch. Auch die korrekte Verjährungsprüfung rechtfertigt nicht das Aufbewahren sämtlicher Unterlagen ohne Zweckprüfung. (Bundesamt für Justiz: BGB: Regelmäßige Verjährungsfrist) (Bundesamt für Justiz: BGB: Beginn der regelmäßigen Verjährungsfrist)

Beschäftigtendaten nicht mit der Kinderakte vermischen

Personalakten brauchen eigene Zuständigkeiten und Löschregeln. Für die Führungszeugnis-Einsichtnahme im neben- beziehungsweise ehrenamtlichen Bereich nach § 72a Abs. 3 und 4 SGB VIII begrenzt Absatz 5 den speicherbaren Datenumfang und verlangt spätestens sechs Monate nach der letztmaligen Tätigkeit die Löschung. Diese Regel darf nicht pauschal auf alle Personalakten übertragen werden. (Bundesamt für Justiz: SGB VIII: Tätigkeitsausschluss einschlägig vorbestrafter Personen)

Der Masernnachweis hat wiederum einen eigenen gesetzlichen Rahmen. § 20 IfSG benennt die Einrichtungsleitung als Empfängerin des vorgeschriebenen Nachweises; das ist kein Auftrag, vorsorglich vollständige Gesundheitsunterlagen zu sammeln. Die jeweils erfasste Personengruppe, Nachweisform und weitere Verfahrenspflicht sind nach dieser Norm zu prüfen. (Bundesamt für Justiz: IfSG: Schutzimpfungen und spezifische Prophylaxe)

Ein Löschprüfschritt zum Betreuungsende

1. Unterlagen nach ihrem Zweck und ihrer Kategorie sichten.
2. Feststellen, welche Zwecke fortbestehen und welche beendet sind.
3. Konkrete Aufbewahrungspflichten oder laufende Anspruchsfragen prüfen lassen.
4. Überflüssige Kopien und nicht mehr benötigte Daten über den freigegebenen Weg löschen.
5. Für verbleibende Unterlagen Grund, Zugriff und nächsten Prüfanlass festhalten.

Die Datenschutzaufsicht Niedersachsen beschreibt denselben Grundsatz: Daten sind zu löschen, wenn sie für die Aufgabenerfüllung nicht mehr erforderlich sind. (Landesbeauftragter für den Datenschutz Niedersachsen: FAQ Kindertagesstätten)

Apps, Cloud und Dienstleister freigeben

Vor einer neuen Kita-App oder Cloud ist zu klären, wer welche Daten für wen verarbeitet. Nicht jeder Dienstleister ist automatisch Auftragsverarbeiter.

Wenn Auftragsverarbeitung vorliegt, verlangt Art. 28 Abs. 3 DSGVO einen entsprechenden Vertrag. Art. 32 fordert geeignete technische und organisatorische Maßnahmen für ein risikoangemessenes Schutzniveau. (Europäische Union: Datenschutz-Grundverordnung)

Gib dem Träger vor Einführung diese Fragen:

• Welche Daten und Funktionen werden tatsächlich benötigt?
• Welche Rolle übernimmt der Anbieter?
• Wer kann zugreifen, auch beim Anbieter?
• Wie werden Konten, Rollen und ausgeschiedene Mitarbeitende verwaltet?
• Wie funktionieren Export, Löschung, Sicherung und Störungsmeldung?
• Sind Übermittlungswege und gegebenenfalls weitere beteiligte Stellen geprüft?

Ein EU-Serverstandort oder ein Passwort allein beantwortet diese Fragen nicht. Nutze für Elternkommunikation die freigegebenen Kanäle und halte private Konten aus der dienstlichen Ablage heraus. Welche Kriterien bei der Auswahl zählen, zeigt der Leitfaden Kita-App für Elternkommunikation auswählen.

Bei einer Datenpanne sofort den Meldeweg nutzen

Eine falsch adressierte Nachricht, eine verlorene Akte oder ein gestohlenes Gerät können eine Datenschutzverletzung sein. Nicht jede Verletzung führt zur gleichen Meldepflicht, aber jede unklare Situation braucht eine zügige interne Bewertung.

Schritt der Leitung	Zweck
Weiteren Versand oder Zugriff nach dem vorgesehenen Verfahren begrenzen	Schaden nicht vergrößern
Verantwortliche Ansprechstelle unverzüglich informieren	Risikoprüfung und Entscheidung ermöglichen
Bekannte Tatsachen sichern	Welche Daten, welche Personen, welcher Zeitpunkt, welche Empfänger?
Unbekanntes ausdrücklich benennen	Keine vermeintliche Entwarnung aus fehlenden Informationen ableiten
Weitere Schritte abstimmen	Keine eigenständigen Zusagen oder unkoordinierten Meldungen

Nach Art. 33 Abs. 1 DSGVO meldet der Verantwortliche eine Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsicht, außer sie führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen. Ein Auftragsverarbeiter informiert den Verantwortlichen unverzüglich. Die Frist ist keine Wartezeit für die Kita-Leitung. (Europäische Union: Datenschutz-Grundverordnung)

Bei kirchlichem Datenschutzrecht nutzt ihr den tatsächlich geltenden Meldeweg. Die Ansprechstelle sollte vor einer Panne feststehen.

Betroffene Personen gesondert berücksichtigen: Hat die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge, verlangt Art. 34 Abs. 1 DSGVO grundsätzlich ihre unverzügliche Benachrichtigung durch den Verantwortlichen. Die Ausnahmen nach Absatz 3 sind fallbezogen zu prüfen. Eine Meldung an die Aufsicht beantwortet diese zusätzliche Frage nicht automatisch. (Europäische Union: Datenschutz-Grundverordnung)

Auskunft und Kopie verantwortlich beantworten

Eltern können eigene Datenrechte haben und unter den entsprechenden Voraussetzungen Rechte ihres Kindes vertreten. Diese beiden Wege sind zu unterscheiden.

Art. 15 DSGVO regelt Auskunft und Kopie; Absatz 4 schützt die Rechte und Freiheiten anderer Personen. Bei begründeten Identitätszweifeln können nach Art. 12 Abs. 6 zusätzliche Informationen zur Bestätigung verlangt werden. Für die Vertretung des Kindes ist die tatsächliche Befugnis zu prüfen. (Europäische Union: Datenschutz-Grundverordnung) (Bundesamt für Justiz: BGB: Vertretung des Kindes)

Ein nicht sorgeberechtigter Elternteil hat nicht automatisch die Rolle der gesetzlichen Vertretung. Daraus folgt aber kein pauschaler Ausschluss sämtlicher Auskunft: Eigene Datenrechte, Vollmachten und andere tragfähige Grundlagen bleiben gesondert zu prüfen.

Sichte den ganzen einschlägigen Datenbestand, auch interne Vermerke. Begrenze eine Kopie dort, wo konkrete Rechte anderer Personen es erfordern; verweigere nicht vorsorglich die gesamte Auskunft. Für Gesprächsunterlagen zeigt die Protokollhilfe für Elterngespräche den praktischen Ablauf.

Frist mitführen: Art. 12 Abs. 3 DSGVO verlangt Informationen über die auf den Antrag ergriffenen Maßnahmen unverzüglich, spätestens innerhalb eines Monats nach Eingang. Eine Verlängerung um weitere zwei Monate kommt nur in Betracht, wenn Komplexität und Anzahl der Anträge dies erforderlich machen; darüber und über die Gründe muss der Verantwortliche innerhalb des ersten Monats informieren. Gib Anfragen deshalb sofort in den festgelegten Bearbeitungsweg und halte das Eingangsdatum fest. (Europäische Union: Datenschutz-Grundverordnung)

Verzeichnis und Datenschutzbeauftragte einordnen

Das Verzeichnis der Verarbeitungstätigkeiten ist nach Art. 30 DSGVO beim Verantwortlichen zu führen und muss die Vorgänge der Einrichtung abbilden. Die Ausnahme für kleinere Stellen greift unter anderem nicht einfach bei regelmäßiger Verarbeitung oder den dort genannten besonderen Datenkategorien. „Wir sind eine kleine Kita“ ist deshalb keine ausreichende Begründung, auf die Prüfung zu verzichten. (Europäische Union: Datenschutz-Grundverordnung)

Bei der Benennung einer Datenschutzbeauftragten sind unterschiedliche Tatbestände zu trennen:

Konstellation	Maßgebliche Prüfung
Behörde oder öffentliche Stelle	Art. 37 Abs. 1 Buchst. a DSGVO; keine allgemeine 20-Personen-Ausnahme
Nichtöffentliche Stelle im BDSG-Bereich	§ 38 Abs. 1 BDSG: in der Regel mindestens 20 ständig mit automatisierter Verarbeitung beschäftigte Personen
Verarbeitung mit Datenschutz-Folgenabschätzung im BDSG-Bereich	Benennungspflicht nach § 38 kann unabhängig von der Personenzahl greifen
Kerntätigkeit mit umfangreicher Verarbeitung besonderer Datenkategorien	Art. 37 Abs. 1 Buchst. c prüfen; einzelne Gesundheitsangaben allein beweisen den Tatbestand nicht
Kirchliches Datenschutzrecht	Tatsächlich geltende kirchliche Benennungsvorschriften und Aufsicht klären

Gezählt wird nach der einschlägigen Regelung, nicht bloß die Zahl der Computer oder die Größe einer einzelnen Gruppe. (Bundesamt für Justiz: BDSG: Datenschutzbeauftragte nichtöffentlicher Stellen) (Europäische Union: Datenschutz-Grundverordnung)

Dein Klärungsblatt für den Träger

Nutze die Tabelle für einen realen Vorgang, bei dem euch eine Entscheidung fehlt:

Offene Frage	Konkreter Eintrag
Verarbeitung	[etwa Fotoaushang, Elterngesprächsprotokoll, neue App]
Ungeklärter Punkt	[Grundlage, Zugriff, Weitergabe, Löschung oder Meldung]
Derzeitiger Ablauf	[kurze sachliche Beschreibung]
Benötigte Entscheidung	[was der Verantwortliche festlegen soll]
Zuständige Ansprechstelle	[Name/Rolle nach eurem Verfahren]
Rückmeldung und Umsetzung	[vereinbarter Termin, Information ans Team]
Kontrolle	[woran ihr erkennt, dass die Entscheidung im Alltag angekommen ist]

Das Pflichtdoku-Starterpaket kann die Dokumentenorganisation ergänzen. Für den Zusammenhang mit euren Schutzverfahren hilft außerdem der Leitfaden zum Kinderschutzkonzept.