Kita-App Datenschutz: DSGVO-Check für die Kita-Leitung

Die sechs entscheidenden Datenschutzfragen vor dem Kita-App-Start

Nutzen Sie diese Liste in einer Besprechung mit Träger und Datenschutz-Ansprechperson. Wichtig ist, dass die Einrichtung die Antworten nachprüfen kann, nicht nur, dass ein Häkchen auf der Produktwebsite steht.

1. Was verlangt die DSGVO bei Kita-Apps?

Die DSGVO unterscheidet unter anderem die Rechtmäßigkeit und Zweckbindung einer Verarbeitung, die Datenminimierung und die angemessene Sicherheit. Für Kitas sind insbesondere Art. 5 und 6 DSGVO relevant. Wenn Dienstleister im Auftrag personenbezogene Daten verarbeiten, sind die Anforderungen des Art. 28 DSGVO zu prüfen. Geeignete technische und organisatorische Maßnahmen behandelt Art. 32 DSGVO.

Die konkrete Rechtsgrundlage kann vom Träger, dem Zweck und einschlägigen Regelungen abhängen. Nicht jede Verarbeitung braucht automatisch eine Einwilligung. Umgekehrt ersetzt ein AV-Vertrag weder eine Rechtsgrundlage noch eine angemessene Schutzkonzeption. Die zuständige Datenschutzberatung sollte bei der Entscheidung eingebunden werden.

2. Rollenrechte testen: Wer sieht welche Kinder- und Elterndaten?

Eine sichere App muss Zugriffe nach den Aufgaben begrenzen. Prüfen Sie nicht nur, welche Rolle sich ein Benutzer im Menü zuweisen lässt, sondern welche konkreten Inhalte nach dem Login sichtbar und veränderbar sind.

Nutzen Sie ausschließlich fiktive Testkinder und getrennte Testkonten. Für Kita & Eltern erklären wir den aktuellen Rollenansatz und die begrenzten Ausnahmen mit echten App-Einblicken und einer kopierbaren Rollen-Checkliste. Ein solcher Funktionstest ersetzt kein unabhängiges Security-Audit.

3. Fotos: Aufnahme, interne Weitergabe und Veröffentlichung getrennt betrachten

Foto-Einwilligungen brauchen besondere Aufmerksamkeit. Eine Berechtigung, eine Nachricht zu lesen, ist nicht automatisch die Erlaubnis, Fotos von Kindern an alle Familien oder öffentlich weiterzugeben. Klären Sie deshalb für jeden Verwendungszweck die Rechtsgrundlage und den zulässigen Empfängerkreis. Wird eine Einwilligung verwendet, muss sie nach Art. 7 DSGVO unter anderem nachweisbar und widerrufbar sein.

• Unterscheiden Sie Portfolio, interne Dokumentation, Aushang, Elternnachricht und öffentliche Website.
• Prüfen Sie, ob die Kita berechtigte Freigaben und Widerrufe in ihrem konkreten Prozess umsetzen kann.
• Definieren Sie, wer Bilder einstellen, sehen, weiterleiten und löschen darf.
• Prüfen Sie echte Einstellungen mit fiktiven Bildern; nutzen Sie keine Kinderfotos nur für eine Produktvorführung.

Aktueller Produktstand: Kita & Eltern bietet inzwischen digitale Einwilligungsanfragen: Die Einrichtung kann eigene Anfragen erstellen; Eltern können zustimmen, ablehnen, Rückfragen stellen und ihre Entscheidung zurückziehen. Das hilft bei der Dokumentation von Entscheidungen. Prüfen Sie dennoch, ob die konkrete Anfrage, die Rechtsgrundlage, die Rollen und der tatsächliche Fotozugriff korrekt aufeinander abgestimmt sind. Aus der vorhandenen Einwilligungsfunktion folgt nicht automatisch, dass jeder Bildzugriff technisch an eine bestimmte Einwilligung gekoppelt ist.

Einwilligungen für einzelne Zwecke sind außerdem keine pauschalen Freigaben. Auch ein späterer Widerruf löscht nicht automatisch Fotos, die jemand zuvor auf seinem eigenen Gerät gespeichert hat. Für Verantwortlichkeiten und Aufbewahrung braucht die Einrichtung deshalb einen nachvollziehbaren Ablauf.

Alle aktuell beschriebenen Funktionen finden Sie in der Funktionsübersicht.

4. Was muss ein Anbieter vor dem Start zeigen?

Eine Kita-Leitung muss nicht jede technische Implementierung kennen. Sie braucht jedoch prüfbare Unterlagen und einen erreichbaren Ansprechpartner. Fragen Sie nach Datenschutzhinweisen, gegebenenfalls dem Auftragsverarbeitungsvertrag, technischen und organisatorischen Maßnahmen, Lösch- und Aufbewahrungskonzept, beteiligten Dienstleistern sowie einem Ablauf bei Datenschutzvorfällen. Wo zusätzliche Anforderungen gelten, entscheidet der zuständige Träger mit seiner Datenschutzberatung.

Prüfprotokoll für Kita-Leitung und Träger

Gehen Sie jeden Punkt in der Teamsitzung durch und halten Sie „vorhanden“, „zu klären“ oder „nicht passend“ mit Datum und verantwortlicher Person fest. So wird aus einer allgemeinen Datenschutz-Diskussion eine überprüfbare Entscheidung.

Für den nächsten Schritt: Kita-Apps nach Preis, Funktionen und Datenschutz vergleichen oder Einführung in sieben Schritten vorbereiten.

Häufige Fragen zur DSGVO bei Kita-Apps

Ist eine App mit Hosting in Deutschland automatisch DSGVO-konform?

Nein. Der Serverstandort ist nur ein Prüfpunkt. Entscheidend sind unter anderem die Rechtsgrundlage, Zugriffe, Verträge, Sicherheitsmaßnahmen und tatsächliche Verarbeitung.

Reicht die Einwilligung der Eltern für alle Fotos?

Nein. Prüfen Sie die konkret bezeichneten Zwecke und Empfänger. Eine Einwilligung für einen internen Zweck bedeutet nicht pauschal eine Einwilligung zur öffentlichen Veröffentlichung.

Dürfen alle Fachkräfte die Daten aller Gruppen sehen?

Das sollte nicht pauschal vorausgesetzt werden. Der erforderliche Zugriff ist aufgabenbezogen zu klären und anhand von Testkonten zu überprüfen. Die Zugriffsmatrix erklärt den Praxistest.

Was passiert beim Wechsel der Kita oder beim Austritt einer Fachkraft?

Prüfen Sie, wie Gruppenzuordnungen, Zugänge, bestehende Sitzungen und gespeicherte Informationen beim Ausscheiden geändert oder entfernt werden. Die Fristen und Pflichten ergeben sich aus dem jeweiligen Prozess.

Quellen und Grenzen dieser Orientierung

Rechtsgrundlage: Datenschutz-Grundverordnung (EU) 2016/679, insbesondere Art. 5–7, 17, 28 und 32. Inhaltlich geprüft am 5. November 2026. Dieser Leitfaden ist eine praktische Orientierung und keine individuelle Rechtsberatung oder Bestätigung einer behördlichen Freigabe des Produkts.