Datenschutz in Kita und Kirchen­gemeinde:DSG-EKD, KDG und DSGVO im Alltag

01Welches Gesetz gilt?

Kirchen regeln ihren Datenschutz zum Teil selbst, deshalb gelten für kirchliche Einrichtungen oft eigene Gesetze neben oder statt der DSGVO. Welches Regelwerk für Ihre Einrichtung gilt, klärt Ihr Datenschutzbeauftragter. Für die Praxis heißt das:

• Evangelische Einrichtungen arbeiten meist nach dem DSG-EKD, dem Datenschutzgesetz der Evangelischen Kirche in Deutschland.
• Katholische Einrichtungen arbeiten meist nach dem KDG, dem Gesetz über den Kirchlichen Datenschutz.
• Freie und kommunale Träger arbeiten meist nach der DSGVO und dem Niedersächsischen Datenschutzgesetz.

Bei Diakonie und Caritas hängt es davon ab, ob der Träger der Kirche zugeordnet ist. Das steht in der Satzung, und im Zweifel weiß es die Datenschutzbeauftragte des Trägers.

02Fotos von Kindern und Eltern-Apps

Fotos sind das häufigste Thema in jeder Kita. Sie gehören zur Bildungsdokumentation und machen Eltern Freude, sie sind aber auch personenbezogene Daten von Kindern, die besonders geschützt sind.

• Einwilligung zuerst. Ohne schriftliche Einwilligung der Sorgeberechtigten keine Fotos, die über den internen Gebrauch hinausgehen. Die Einwilligung muss widerrufbar sein, und der Widerruf muss technisch umsetzbar sein.
• Kein privates Handy. Fotos auf dem privaten Telefon landen in der privaten Cloud, beim Familienchat oder im Fotobuch der Erzieherin. Ein Gruppen-Tablet mit geschütztem Speicherort löst das.
• Eltern-App prüfen. Viele Kitas nutzen eine App für Mitteilungen, Fotos und Krankmeldungen. Fragen Sie nach dem Serverstandort, nach einem Vertrag zur Auftragsverarbeitung mit kirchlicher Klausel und danach, wie Fotos gelöscht werden, wenn ein Kind die Kita verlässt.

Bildungs­dokumentation

Portfolios, Beobachtungsbögen und Entwicklungsgespräche enthalten oft mehr über ein Kind als jedes Foto. Sie gehören in einen geschützten Speicher mit Rechten je Gruppe, nicht in einen gemeinsamen Ordner auf dem Leitungs-PC, auf den jede Aushilfe zugreifen kann. Wird die Dokumentation digital geführt, braucht auch sie eine Sicherung und eine Löschregel. Bei Übergabe an die Grundschule gilt: nur mit Einwilligung der Eltern und nur das, was vereinbart ist; die Regelung Ihres Trägers klären Sie mit Ihrer Datenschutzbeauftragten.

03Messenger im Kita-Alltag

Die Gruppe im Messenger ist schnell eingerichtet: Elternabend verschoben, Kind hat Fieber, Ausflug morgen. Genau deshalb landen dort Informationen, die dort nicht hingehören. Ob verbreitete Messenger für dienstliche Zwecke zulässig sind, klärt Ihre Datenschutzbeauftragte.

Unsere Empfehlung: Für die Kommunikation mit Eltern die Eltern-App oder ein dienstliches Programm mit Vertrag. Für die Kommunikation im Team ein dienstlicher Kanal, zum Beispiel in Microsoft 365 oder Nextcloud Talk. Private Messenger nur für das, was auch am Schwarzen Brett hängen dürfte.

04Gemeinde­brief, Geburtstage, Jubiläen

Der Gemeindebrief mit den Geburtstagen der über Achtzigjährigen ist eine schöne Tradition. Er ist aber auch eine Veröffentlichung personenbezogener Daten. Ob und unter welchen Bedingungen solche Veröffentlichungen erlaubt sind, klärt Ihre Datenschutzbeauftragte.

• Die Liste kommt aus dem Meldewesen und gehört nicht als Kopie auf den Laptop eines Ehrenamtlichen.
• Widersprüche müssen dokumentiert und vor jeder Ausgabe berücksichtigt werden.
• Die Online-Fassung des Gemeindebriefs enthält keine Geburtstage und Adressen, auch wenn die gedruckte es tut.

05Ehren­amtliche und eigene Geräte

Ohne Ehrenamt läuft in keiner Gemeinde etwas. Ehrenamtliche arbeiten oft mit dem eigenen Laptop und dem eigenen Mailkonto. Das ist verständlich und zugleich das größte Risiko, weil niemand mehr weiß, wo welche Daten liegen.

• Ehrenamtliche bekommen einen eigenen, eingeschränkten Zugang zu dem, was sie brauchen, nicht mehr.
• Gemeinsame Dateien liegen im gemeindlichen Speicher, nicht in privaten Postfächern.
• Eine kurze Verpflichtung auf das Datengeheimnis gehört zum Beginn jedes Ehrenamts.
• Endet das Ehrenamt, wird der Zugang gesperrt. Mit einer zentralen Verwaltung ist das ein Klick.

06Auftrags­verarbeitung mit kirchlicher Klausel

Jeder Dienstleister, der Daten für Sie verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung, vom IT-Dienstleister über den Cloud-Speicher bis zur Eltern-App. Für kirchliche Einrichtungen kommt oft eine kirchliche Klausel hinzu; die Formulierung klärt Ihre Datenschutzbeauftragte.

Große Anbieter haben oft nur ihren Standardvertrag. Dann hilft eine Zusatzvereinbarung; wie sie aussieht, klärt Ihre Datenschutzbeauftragte.

07Wenn etwas passiert: Meldung an die Aufsicht

Ein verlorenes Diensthandy, eine Mail an den falschen Verteiler, ein verschlüsselter Rechner: Das sind Datenpannen. Ob und bis wann eine Meldung an die zuständige Aufsicht nötig ist, bewertet die verantwortliche Stelle mit ihrer Datenschutzbeauftragten; die Fristen sind kurz, deshalb gehört die Entscheidung in den Notfallplan.

Technisch sollten Sie in dieser Lage nichts löschen und nichts neu aufsetzen, bevor geklärt ist, was passiert ist. Unsere Notfallseite zeigt die ersten Schritte zum Ausdrucken.

08Checkliste für Leitung und Büro

• Wir wissen, ob für uns DSG-EKD, KDG oder DSGVO gilt, und kennen unsere Aufsicht.
• Für Fotos gibt es Einwilligungen, und die Fotos liegen nicht auf privaten Handys.
• Jede genutzte App und jeder Dienstleister hat einen Vertrag zur Auftragsverarbeitung.
• Ehrenamtliche haben eigene, eingeschränkte Zugänge.
• Alle Rechner und Tablets sind verschlüsselt und werden täglich gesichert.
• Die Sicherung wurde in den letzten zwölf Monaten einmal zurückgespielt.
• Löschfristen für Kinder- und Gemeindedaten sind festgelegt und werden umgesetzt.
• Der Notfallplan nennt die Aufsicht und unsere Nummer.

Wenn Sie bei mehr als zwei Punkten zögern, lohnt sich ein Gespräch. Die rechtliche Bewertung bleibt bei Ihrer oder Ihrem Datenschutzbeauftragten; wir sorgen dafür, dass die Technik dazu passt.