Startseite ❯ Datenschutz in Kitas ❯ Datenschutz ABC ❯ Datenschutzverletzung in der Kita

Datenschutzverletzung in der Kita

Felix Leicht

ist Rechtsanwalt und zertifizierter Datenschutzbeauftragter (TÜV) mit Schwerpunkt auf Datenschutz und IT-Sicherheit in Kitas. Er berät Kita-Träger zur DSGVO-Konformität und entwickelt praxistaugliche Vorlagen für Einrichtungen. Weitere Artikel im Datenschutz-ABC für Kitas

Datenschutzverletzungen in der Kita – was tun, wenn sensible Daten in falsche Hände geraten? Die DSGVO gibt klare Regeln vor, wie Einrichtungen bei sogenannten Datenpannen reagieren müssen. Doch welche Vorfälle gelten überhaupt als Datenschutzverletzung, und wann besteht eine Meldepflicht? Dieser Artikel gibt einen praxisnahen Überblick.

Praxisrelevanz für Kitas

Wann kann es in Kitas zu Datenschutzverletzungen kommen?

Im Kita-Alltag kommt es immer wieder zu unbeabsichtigten Offenlegungen oder Verlusten personenbezogener Daten, z. B. durch falsch adressierte E-Mails oder verloren gegangene Unterlagen. Vielen Trägern ist nicht klar, dass schon solche Vorfälle meldepflichtig sein können. Ein häufiger Irrtum: Nur „Hackerangriffe“ gelten als meldepflichtige Datenpannen. Tatsächlich sind auch alltägliche Fehler betroffen, wie der versehentliche Versand sensibler Informationen an die falsche Familie.

Typische Beispiele:

Einbruch in die Kita mit Zugriff auf Unterlagen
Fehlgeleitete E-Mails mit sensiblen Daten
Verlust eines Kamerageräts mit Kinderfotos
Unbefugte Einsichtnahme in Akten durch Mitarbeitende

Rechtlicher Rahmen

Wann liegt eine Datenschutzverletzung vor?

Laut DSGVO handelt es sich um eine Datenschutzverletzung, wenn personenbezogene Daten unbeabsichtigt oder unrechtmäßig offengelegt, verändert, gelöscht oder Unbefugten zugänglich gemacht werden. In Kitas betrifft das oft besonders sensible Daten wie Gesundheitsinformationen, Entwicklungsdokumentationen oder Fotos.

Beispiel: Datenleck bei Kita-Software

Eine Sicherheitslücke in der Kita-Software ermöglicht unbefugten Zugriff auf eine Datenbank mit Namen, Geburtsdaten, Gesundheitsinformationen etc. Diese Daten wurden über Wochen unbemerkt offengelegt und möglicherweise weiterverbreitet. Es besteht ein hohes Risiko für die Betroffenen – eine Meldung ist zwingend.

Meldepflicht nach DSGVO

Art. 33 DSGVO verpflichtet die verantwortliche Stelle – in der Regel der Träger – zur Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden der Verletzung, wenn ein Risiko für die betroffenen Personen besteht.

Zusätzlich verlangt Art. 34 DSGVO die Benachrichtigung der betroffenen Personen, wenn ein hohes Risiko vorliegt. Die Information muss klar und verständlich erfolgen.

Verantwortung beim Träger

Die Meldepflicht liegt beim Träger, nicht bei einzelnen Mitarbeitenden oder externen Dienstleistern. Auch Softwareanbieter sind nicht verantwortlich für die Meldung – der Träger muss die Initiative ergreifen.

Inhalt der Meldung

Eine Meldung an die Aufsichtsbehörde muss folgende Informationen enthalten:

Art der Verletzung (z. B. Kategorien betroffener Daten, Anzahl betroffener Personen)
Kontaktdaten des Datenschutzbeauftragten oder einer Ansprechperson
Mögliche Folgen für die Betroffenen
Ergriffene oder geplante Gegenmaßnahmen

Was ist zu tun?

Praxis-Check: So gehen Sie in Ihrer Kita mit Datenschutzverletzungen um

Risiko bewerten:
Analysieren Sie den Vorfall sorgfältig. Holen Sie ggf. externe Beratung hinzu.
Fristen einhalten:
Melden Sie die Verletzung innerhalb von 72 Stunden – auch am Wochenende.
Betroffene informieren:
Bei hohem Risiko: klare und zeitnahe Information an Eltern, Kinder und ggf. Mitarbeitende.
Dokumentation sicherstellen:
Auch wenn keine Meldung erforderlich ist – dokumentieren Sie alle Datenschutzvorfälle intern.
Zuständigkeit klären:
Klären Sie intern, wer für eine Meldung zuständig ist – insbesondere bei Trägerstrukturen mit mehreren Einrichtungen.
Online-Formulare nutzen:
Viele Landesdatenschutzbehörden bieten Online-Meldeformulare – nutzen Sie diese für eine strukturierte Einreichung.
Maßnahmen ergreifen:
Leiten Sie technische und organisatorische Maßnahmen ein, um ähnliche Vorfälle künftig zu verhindern.
Kommunikation abstimmen:
Bereiten Sie Vorlagen für interne Kommunikation und Elterninformationen vor – verständlich, sachlich, lösungsorientiert.

Fazit

Datenschutzverletzungen in der Kita lassen sich nicht immer verhindern, aber professionell bewältigen. Ein strukturiertes Vorgehen, klare Zuständigkeiten und rechtzeitige Kommunikation helfen dabei, den Schaden zu begrenzen und das Vertrauen zu erhalten. Bei Unsicherheiten sollte frühzeitig fachlicher Rat eingeholt werden.

Checkliste