Datenschutz im Kindergarten: Praxisleitfaden für Leitung und Mitarbeitende

Kaum eine Einrichtung verarbeitet so viele sensible Daten wie eine Kindertagesstätte: Gesundheitsangaben, familiäre Verhältnisse, Fotos, Entwicklungsberichte – über Personen, die selbst noch nicht zustimmen oder widersprechen können. Verantwortlich sind Leitung und Team gleichermaßen, egal ob die Kita kommunal, kirchlich oder von einem Verein getragen wird.

Erster Schritt: Welches Recht gilt für Ihre Einrichtung?

Das hängt vom Träger ab. Kommunale Kitas sind öffentliche Stellen. Für sie gelten die DSGVO, ergänzend das Landesdatenschutzgesetz Baden-Württemberg (LDSG) und für die Daten von Kindern und Familien vor allem der Sozialdatenschutz: Nach § 61 Abs. 1 SGB VIII gelten § 35 SGB I, die §§ 67 bis 85a SGB X und die §§ 62 ff. SGB VIII auch für Gemeinden, die Aufgaben der Kinder- und Jugendhilfe wahrnehmen. Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit diesen Vorschriften; erhoben werden darf nur, was für die jeweilige Aufgabe erforderlich ist (§ 62 Abs. 1 SGB VIII).

Freie, nicht kirchliche Träger wie Elterninitiativen, DRK- oder AWO-Verbände sind meist als eingetragener Verein oder gGmbH organisiert und damit nichtöffentliche Stellen. Für sie gelten DSGVO und Bundesdatenschutzgesetz (BDSG); Grundlage der meisten Verarbeitungen ist der Betreuungsvertrag (Art. 6 Abs. 1 lit. b DSGVO). Den Sozialdatenschutz müssen sie nicht unmittelbar anwenden, er muss bei ihnen aber „in entsprechender Weise“ gewährleistet sein (§ 61 Abs. 3 SGB VIII). Kirchliche Kitas wenden statt der DSGVO das Gesetz über den Kirchlichen Datenschutz (KDG) oder das EKD-Datenschutzgesetz (DSG-EKD) an, die auf Grundlage von Art. 91 DSGVO fortgelten.

Datenschutzbeauftragter: Kommune, Verein, Kirche

Öffentliche Stellen müssen immer einen Datenschutzbeauftragten benennen. Das folgt unmittelbar aus Art. 37 Abs. 1 lit. a DSGVO, das LDSG enthält dazu keine eigene Regelung; der LfDI Baden-Württemberg bestätigt das in seinen FAQ für Kommunen.

Für Vereine gilt § 38 Abs. 1 BDSG: Ein Datenschutzbeauftragter ist zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, nach verbreiteter Auffassung Ehrenamtliche eingeschlossen. Unabhängig von der Zahl besteht die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen. Art. 37 Abs. 1 lit. c DSGVO greift bei einer einzelnen Kita dagegen in der Regel nicht: Kerntätigkeit ist die Betreuung, nicht die Datenverarbeitung (Erwägungsgrund 97), und selbst ein einzelner Arzt verarbeitet Patientendaten nicht „umfangreich“ (Erwägungsgrund 91). Bei großen Trägern mit vielen Einrichtungen sollte das gesondert geprüft werden. Die Bundesregierung hat zwar angekündigt, § 38 Abs. 1 BDSG bis Ende 2026 zu streichen (Föderale Modernisierungsagenda vom 4. Dezember 2025); ein Gesetzentwurf war bis August 2026 aber nicht bekannt, die 20-Personen-Schwelle gilt also weiter.

Für Vereinsvorstände wichtig: Bußgelder nach Art. 83 DSGVO richten sich grundsätzlich gegen den Verein als Verantwortlichen. Gegenüber dem Verein haften ehrenamtliche oder nur gering vergütete Vorstände nur bei Vorsatz oder grober Fahrlässigkeit (§ 31a BGB). Wer aber eigenmächtig handelt, kann selbst Verantwortlicher werden: Das Arbeitsgericht Duisburg verurteilte eine Vereinspräsidentin persönlich zu 10.000 Euro Schadensersatz, weil sie Gesundheitsdaten eines Mitarbeiters per Rundschreiben an rund 10.000 Mitglieder verbreitet hatte (Urteil vom 26.09.2024 – 3 Ca 77/24).

Fotos und Portfolios: Wessen Einwilligung brauchen Sie?

Kitainterne Aushänge, etwa Gruppenfotos mit Vornamen im Gruppenraum, hält der Landesbeauftragte für den Datenschutz Rheinland-Pfalz in seiner Kita-FAQ für zulässig. Für Portfolios und Entwicklungsdokumentationen verlangt etwa die Datenschutz-FAQ der Diözese Rottenburg-Stuttgart eine Einwilligung. Für jede Veröffentlichung nach außen – Homepage, Social Media, Presse – brauchen Sie eine Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 7 DSGVO beziehungsweise § 6 Abs. 1 lit. b und § 8 KDG.

Bei gemeinsamem Sorgerecht müssen beide Elternteile zustimmen. Das OLG Düsseldorf hat die Veröffentlichung von Kinderfotos in sozialen Medien als Angelegenheit von erheblicher Bedeutung im Sinne von § 1687 Abs. 1 Satz 1 BGB eingeordnet und daneben auf Art. 6 Abs. 1 lit. a DSGVO und § 22 KUG abgestellt (Beschluss vom 20.07.2021 – 1 UF 74/21). Holen Sie Einwilligungen getrennt nach Zweck ein und dokumentieren Sie sie, denn Sie müssen sie nachweisen können (Art. 7 Abs. 1 DSGVO). Weisen Sie auf das Widerrufsrecht hin: Der Widerruf muss so einfach sein wie die Erteilung und wirkt für die Zukunft (Art. 7 Abs. 3 DSGVO).

Elternkommunikation: Warum WhatsApp zum Problem wird

WhatsApp liest das Adressbuch des Smartphones aus und übermittelt auch Telefonnummern von Personen, die dem nie zugestimmt haben. Das Amtsgericht Bad Hersfeld hat darin bereits 2017 eine Verletzung der Rechte dieser Kontaktpersonen gesehen (Beschluss vom 15.05.2017 – F 120/17 EASO). Hinzu kommt die Verarbeitung durch den US-Konzern Meta, die als Drittlandübermittlung gesondert zu prüfen ist (Art. 44 ff. DSGVO). Der LfDI Rheinland-Pfalz hält WhatsApp in seiner Kita-FAQ „zumindest als bedenklich“, für Lehrkräfte haben der LfDI Baden-Württemberg und das Kultusministerium die dienstliche Nutzung schon 2017 für unzulässig erklärt. Geeignet sind Ende-zu-Ende-verschlüsselte Dienste oder Kita-Apps mit Auftragsverarbeitungsvertrag (Art. 28 DSGVO, § 29 KDG), alternativ Elternbriefe und E-Mail.

Rundmails an mehrere Eltern gehören ins BCC-Feld, sonst sehen alle Empfänger die Adressen der anderen (Art. 5 Abs. 1 lit. f und Art. 32 DSGVO). Gruppen, die Eltern privat untereinander gründen, verantwortet nicht die Kita; sie sollte dafür aber keine Kontaktdaten herausgeben.

Gesundheitsdaten, Impfnachweis und Sozialgeheimnis

Allergien, Medikamente oder Entwicklungsauffälligkeiten sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO, § 11 KDG). Verarbeitet werden dürfen sie nur, wenn eine Ausnahme greift, meist die ausdrückliche Einwilligung der Sorgeberechtigten (Art. 9 Abs. 2 lit. a DSGVO). Zugriff haben nur die Fachkräfte, die die Angaben für die Betreuung brauchen; Allergielisten gehören nicht an allgemein zugängliche Orte.

Beim Masernschutz muss der Leitung vor Betreuungsbeginn ein Nachweis vorgelegt werden. Fehlt er oder bestehen Zweifel an seiner Echtheit, muss die Leitung unverzüglich das Gesundheitsamt benachrichtigen; beides regelt § 20 Abs. 9 IfSG. Nach Auffassung der LDI Nordrhein-Westfalen (zu Schulen, aber übertragbar) genügt ein Vermerk, dass und wann der Nachweis vorlag, Kopien des Impfausweises sind unzulässig. Rechtsgrundlage ist Art. 9 Abs. 2 lit. i DSGVO in Verbindung mit § 20 IfSG.

In kommunalen Kitas gilt zusätzlich das Sozialgeheimnis (§ 35 SGB I in Verbindung mit § 61 Abs. 1 SGB VIII), freie und kirchliche Träger müssen einen gleichwertigen Schutz sicherstellen (§ 61 Abs. 3 SGB VIII). Informationen an Kinderarzt, Frühförderstelle oder Schule gehen deshalb grundsätzlich nur mit Einwilligung der Sorgeberechtigten hinaus. Anders bei gewichtigen Anhaltspunkten für eine Kindeswohlgefährdung: Dann schätzen die Fachkräfte das Risiko unter beratender Hinzuziehung einer insoweit erfahrenen Fachkraft ein, beziehen die Eltern ein, soweit das den Schutz des Kindes nicht gefährdet, und informieren das Jugendamt, wenn die Gefährdung nicht anders abgewendet werden kann (§ 8a Abs. 4 SGB VIII). An die externe Fachkraft gehen die Daten grundsätzlich pseudonymisiert (§ 64 Abs. 2a SGB VIII).

Technische Maßnahmen und Aufbewahrung

Viele wirksame Maßnahmen nach Art. 32 DSGVO sind unspektakulär: Akten unter Verschluss, gesperrte Bildschirme, individuelle Passwörter, nur verschlüsselte USB-Sticks und Aktenvernichtung nach den Sicherheitsstufen der DIN 66399 statt Altpapier. Für Kita-Software und Eltern-Apps brauchen Sie einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) und sollten den Speicherort der Daten prüfen.

Aufbewahrungsfristen hängen von Träger, Bundesland und Aktenart ab. Nur zur Orientierung: Die Evangelische Landeskirche in Württemberg sieht für ihre Kitas vor, Kinderakten und Beobachtungsbögen nach dem Ausscheiden des Kindes zu vernichten, den Betreuungsvertrag drei Jahre und Einwilligungserklärungen drei Jahre nach Ablauf des Verwendungszeitraums aufzubewahren. Klären Sie die für Ihren Träger verbindlichen Fristen und halten Sie sie in einem Löschkonzept und im Verzeichnis von Verarbeitungstätigkeiten fest (Art. 30 DSGVO, § 31 KDG).

Checkliste für die Leitung

• Trägertyp und Regelwerk klären: Kommune (DSGVO, LDSG, Sozialdatenschutz), freier Träger (DSGVO, BDSG) oder Kirche (KDG, DSG-EKD).
• Datenschutzbeauftragten benennen: als Kommune immer (Art. 37 Abs. 1 lit. a DSGVO), als Verein ab 20 Personen oder bei Pflicht zur Datenschutz-Folgenabschätzung (§ 38 Abs. 1 BDSG).
• Fotoeinwilligungen getrennt nach Zweck, von beiden Sorgeberechtigten und schriftlich dokumentiert einholen.
• Keine dienstliche Kommunikation über WhatsApp, Rundmails nur per BCC.
• Gesundheitsdaten nur für zuständige Fachkräfte; beim Masernnachweis nur die Vorlage vermerken.
• Beschäftigte, Praktikantinnen und Ehrenamtliche schriftlich auf Vertraulichkeit verpflichten (Art. 29, Art. 32 Abs. 4 DSGVO; § 5 KDG) und schulen.
• Löschkonzept und Verzeichnis von Verarbeitungstätigkeiten führen.