Praxisrelevanz für Kitas
Wann kann es in Kitas zu Datenschutzverletzungen kommen?
Im Kita-Alltag kommt es immer wieder zu unbeabsichtigten Offenlegungen oder Verlusten personenbezogener Daten, z. B. durch falsch adressierte E-Mails oder verloren gegangene Unterlagen. Vielen Trägern ist nicht klar, dass schon solche Vorfälle meldepflichtig sein können. Ein häufiger Irrtum: Nur „Hackerangriffe“ gelten als meldepflichtige Datenpannen. Tatsächlich sind auch alltägliche Fehler betroffen, wie der versehentliche Versand sensibler Informationen an die falsche Familie.
Typische Beispiele:
- Einbruch in die Kita mit Zugriff auf Unterlagen
- Fehlgeleitete E-Mails mit sensiblen Daten
- Verlust eines Kamerageräts mit Kinderfotos
- Unbefugte Einsichtnahme in Akten durch Mitarbeitende
Rechtlicher Rahmen
Wann liegt eine Datenschutzverletzung vor?
Laut DSGVO handelt es sich um eine Datenschutzverletzung, wenn personenbezogene Daten unbeabsichtigt oder unrechtmäßig offengelegt, verändert, gelöscht oder Unbefugten zugänglich gemacht werden. In Kitas betrifft das oft besonders sensible Daten wie Gesundheitsinformationen, Entwicklungsdokumentationen oder Fotos.
Beispiel: Datenleck bei Kita-Software
Eine Sicherheitslücke in der Kita-Software ermöglicht unbefugten Zugriff auf eine Datenbank mit Namen, Geburtsdaten, Gesundheitsinformationen etc. Diese Daten wurden über Wochen unbemerkt offengelegt und möglicherweise weiterverbreitet. Es besteht ein hohes Risiko für die Betroffenen – eine Meldung ist zwingend.
Meldepflicht nach DSGVO
Art. 33 DSGVO verpflichtet die verantwortliche Stelle – in der Regel der Träger – zur Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden der Verletzung, wenn ein Risiko für die betroffenen Personen besteht.
Zusätzlich verlangt Art. 34 DSGVO die Benachrichtigung der betroffenen Personen, wenn ein hohes Risiko vorliegt. Die Information muss klar und verständlich erfolgen.
Verantwortung beim Träger
Die Meldepflicht liegt beim Träger, nicht bei einzelnen Mitarbeitenden oder externen Dienstleistern. Auch Softwareanbieter sind nicht verantwortlich für die Meldung – der Träger muss die Initiative ergreifen.
Inhalt der Meldung
Eine Meldung an die Aufsichtsbehörde muss folgende Informationen enthalten:
- Art der Verletzung (z. B. Kategorien betroffener Daten, Anzahl betroffener Personen)
- Kontaktdaten des Datenschutzbeauftragten oder einer Ansprechperson
- Mögliche Folgen für die Betroffenen
- Ergriffene oder geplante Gegenmaßnahmen
Was ist zu tun?
Praxis-Check: So gehen Sie in Ihrer Kita mit Datenschutzverletzungen um
- Risiko bewerten:
Analysieren Sie den Vorfall sorgfältig. Holen Sie ggf. externe Beratung hinzu. - Fristen einhalten:
Melden Sie die Verletzung innerhalb von 72 Stunden – auch am Wochenende. - Betroffene informieren:
Bei hohem Risiko: klare und zeitnahe Information an Eltern, Kinder und ggf. Mitarbeitende. - Dokumentation sicherstellen:
Auch wenn keine Meldung erforderlich ist – dokumentieren Sie alle Datenschutzvorfälle intern. - Zuständigkeit klären:
Klären Sie intern, wer für eine Meldung zuständig ist – insbesondere bei Trägerstrukturen mit mehreren Einrichtungen. - Online-Formulare nutzen:
Viele Landesdatenschutzbehörden bieten Online-Meldeformulare – nutzen Sie diese für eine strukturierte Einreichung. - Maßnahmen ergreifen:
Leiten Sie technische und organisatorische Maßnahmen ein, um ähnliche Vorfälle künftig zu verhindern. - Kommunikation abstimmen:
Bereiten Sie Vorlagen für interne Kommunikation und Elterninformationen vor – verständlich, sachlich, lösungsorientiert.
Fazit
Datenschutzverletzungen in der Kita lassen sich nicht immer verhindern, aber professionell bewältigen. Ein strukturiertes Vorgehen, klare Zuständigkeiten und rechtzeitige Kommunikation helfen dabei, den Schaden zu begrenzen und das Vertrauen zu erhalten. Bei Unsicherheiten sollte frühzeitig fachlicher Rat eingeholt werden.
Checkliste
☐ Vorfall dokumentiert
☐ Risiko für Betroffene bewertet
☐ Meldungspflicht geprüft
☐ Frist (72 h) eingehalten
☐ Online-Meldeformular genutzt (soweit vorhanden)
☐ Betroffene informiert (sofern erforderlich)
☐ Maßnahmen zur Wiederherstellung und Prävention ergriffen
☐ Datenschutzbeauftragte(r) einbezogen
