Kita-Software und Datenschutz: worauf Träger achten müssen

Stand: 14. Oktober 2026

Kurz gesagt

Eine Kita-Software verarbeitet Daten von Kindern und Eltern, darunter Gesundheitsangaben, die nach Art. 9 DSGVO besonders geschützt sind. Prüfen Sie vor der Auswahl den Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, den Speicherort, die Verschlüsselung, abgestufte Zugriffsrechte und die Protokollierung. Verantwortlich für den Datenschutz bleibt der Träger, auch wenn ein Anbieter die Software betreibt.

Welche Daten in einer Kita anfallen

Eine Kita-Verwaltung sammelt mehr als Namen und Geburtsdaten. Typisch sind:

Stammdaten des Kindes, Sorgeberechtigte, Abholberechtigte und Notfallkontakte,
Gesundheitsangaben wie Allergien, Krankmeldungen und Nachweise zum Masernschutz nach § 20 Abs. 8 und 9 IfSG,
Betreuungsvertrag, Beitragsdaten und Bankverbindung für das Lastschriftverfahren,
Beobachtungen, Entwicklungsdokumentation und Portfolio,
Fotos und Einwilligungserklärungen der Eltern.

Gesundheitsdaten gehören nach Art. 9 Abs. 1 DSGVO zu den besonderen Kategorien personenbezogener Daten, deren Verarbeitung grundsätzlich untersagt und nur unter den Ausnahmen des Absatzes 2 erlaubt ist. § 22 Abs. 2 BDSG nennt Schutzmaßnahmen, die bei solchen Daten in Betracht kommen, unter anderem die Möglichkeit, nachträglich festzustellen, wer Daten eingegeben, verändert oder entfernt hat, die Beschränkung des Zugangs innerhalb der Einrichtung und bei Auftragsverarbeitern, Pseudonymisierung und Verschlüsselung. Diese Liste eignet sich gut als Prüfraster für jede Software.

Nicht jede dieser Angaben braucht jede Person im Haus. Die Allergie eines Kindes muss die Küche und die Gruppe kennen, die Bankverbindung der Eltern nicht. Die Krankmeldung braucht die Gruppe für den Tag, die Leitung für die Pflichten nach dem Infektionsschutzgesetz, die Beitragsabrechnung dagegen gar nicht. Wer diese Zuordnung einmal aufschreibt, hat die Grundlage für das Verzeichnis der Verarbeitungstätigkeiten und für die Rechtevergabe in der Software.

Sozialdatenschutz in der Kinder- und Jugendhilfe

Neben der DSGVO gelten in der Kinder- und Jugendhilfe die Vorschriften zum Sozialdatenschutz. Nach § 61 Abs. 1 SGB VIII binden sie unmittelbar die Stellen des öffentlichen Trägers, also etwa kommunale Kitas. Werden Einrichtungen freier Träger in Anspruch genommen, muss der öffentliche Träger nach § 61 Abs. 3 SGB VIII sicherstellen, dass der Schutz personenbezogener Daten dort in entsprechender Weise gewährleistet ist. In der Praxis findet sich das häufig in Finanzierungs- oder Leistungsvereinbarungen wieder.

§ 62 SGB VIII legt zwei Grundsätze fest, die auch für die Software gelten: Daten dürfen nur erhoben werden, soweit sie für die jeweilige Aufgabe erforderlich sind, und sie sind grundsätzlich bei der betroffenen Person zu erheben, die über Rechtsgrundlage und Zweck zu informieren ist. Ein Aufnahmebogen mit vielen freiwilligen Feldern oder eine Software, die standardmäßig alles für alle sichtbar macht, passt dazu schlecht.

Auftragsverarbeitung: der Vertrag mit dem Anbieter

Betreibt ein Anbieter die Software für Sie, etwa als Webanwendung in seinem Rechenzentrum, ist er in aller Regel Auftragsverarbeiter. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden nennt Cloud-Dienste ausdrücklich als typischen Fall. Aus ihrem Kurzpapier Nr. 13 ergeben sich die wichtigsten Prüfpunkte:

Der Träger darf nur Anbieter beauftragen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Das ist vor Vertragsschluss zu prüfen.
Es braucht einen Vertrag über die weisungsgebundene Verarbeitung, schriftlich oder elektronisch. Er muss unter anderem die Maßnahmen nach Art. 32 DSGVO und die Bedingungen für Subunternehmer regeln.
Subunternehmer, etwa ein Hosting-Dienstleister, dürfen nur mit vorheriger Genehmigung des Trägers eingesetzt werden. Über spätere Wechsel muss der Anbieter vorab informieren.
Verarbeitung außerhalb von EU und EWR ist nur unter den zusätzlichen Voraussetzungen der Art. 44 ff. DSGVO zulässig.
Die Gesamtverantwortung bleibt beim Träger. Er kann sie durch die Beauftragung nicht abgeben.

Zwei weitere Punkte aus dem Kurzpapier werden in der Praxis oft übersehen. Auch Fernwartung und Support sind Auftragsverarbeitung, wenn der Dienstleister dabei auf personenbezogene Daten zugreifen kann. Und der Auftragsverarbeiter muss eine Verletzung des Schutzes personenbezogener Daten nach Art. 33 Abs. 2 DSGVO unverzüglich dem Verantwortlichen melden. Der Träger braucht diese Information, um seinerseits fristgerecht reagieren zu können.

Fragen Sie deshalb vor dem Vertrag nach dem Mustervertrag zur Auftragsverarbeitung, der Liste der Subunternehmer und dem Standort der Server.

Rollen, Rechte und Protokolle

Datenschutz entscheidet sich in der Software vor allem an der Frage, wer was sehen darf. Sinnvoll ist eine Rechtevergabe nach Aufgaben statt nach Personen:

Die Verwaltung braucht Vertrags- und Beitragsdaten, aber keine Entwicklungsbeobachtungen.
Pädagogische Fachkräfte brauchen die Kinder ihrer Gruppe, aber keine Bankverbindungen.
Eltern sehen ausschließlich ihre eigenen Kinder.
Der Softwareanbieter braucht für den Betrieb keinen Zugriff auf Inhalte.

Für Konten mit weitreichenden Rechten, etwa Leitung, Verwaltung und Träger, ist eine Anmeldung mit zweitem Faktor ein naheliegender Schutz. Protokolle sollten festhalten, wer wann auf besonders schutzbedürftige Daten zugegriffen oder sie geändert hat, und sie sollten sich nicht unbemerkt bearbeiten lassen. Wie lange Daten nach dem Austritt eines Kindes aufbewahrt und wann sie gelöscht werden, gehört in ein schriftliches Löschkonzept.

Fotos und Einwilligungen

Fotos aus dem Kita-Alltag sind für Eltern wertvoll und datenschutzrechtlich heikel. Häufig stützen Kitas Fotos auf eine Einwilligung der Sorgeberechtigten. Nach Art. 7 Abs. 3 DSGVO kann eine Einwilligung jederzeit widerrufen werden, und die betroffene Person ist vorher darauf hinzuweisen. Der Widerruf wirkt für die Zukunft.

Daraus folgt eine praktische Anforderung an die Software: Die Einwilligung muss dort wirken, wo Fotos entstehen und verwendet werden. Eine Liste im Büro, die beim Erstellen eines Portfolios niemand nachschlägt, schützt wenig. Besser ist ein System, das ohne gültige Einwilligung kein Foto des betreffenden Kindes zulässt und einen Widerruf sofort berücksichtigt.

Fragen Sie die Einwilligung getrennt nach Zwecken ab, etwa für das interne Portfolio, für Aushänge in der Einrichtung und für die Website des Trägers. Eltern, die einer Veröffentlichung im Internet widersprechen, stimmen einem Portfolio für die eigene Familie oft gern zu. Eine pauschale Erklärung für alles führt eher dazu, dass Eltern ganz ablehnen.

Prüffragen für die Auswahl und wie kitafox sie beantwortet

Wo stehen die Server, und welche Subunternehmer sind beteiligt?
Gibt es einen Vertrag zur Auftragsverarbeitung, bevor Daten eingegeben werden?
Sind Gesundheits- und Dokumentationsdaten verschlüsselt gespeichert?
Sind Verwaltung und pädagogische Dokumentation in den Rechten getrennt?
Werden Zugriffe nachvollziehbar protokolliert?
Hat der Anbieter selbst Zugriff auf Kinderdaten?

kitafox, die Kita-Verwaltung von hubfox, wird bei Hetzner in Deutschland betrieben. Gesundheits- und Dokumentationsdaten werden verschlüsselt gespeichert, Zugriffe protokolliert, und der Betreiber hat keinen Zugriff auf Kinderdaten. Verwaltungsrollen und pädagogische Rollen sind getrennt, Leitung, Träger und Verwaltung melden sich mit zweitem Faktor an. Fehlt die Fotoerlaubnis eines Kindes, lässt kitafox kein Foto dieses Kindes ins Portfolio. Der Vertrag zur Auftragsverarbeitung steht als Muster bereit.

Häufige Fragen

Braucht eine Kita einen Vertrag zur Auftragsverarbeitung mit dem Softwareanbieter?

In aller Regel ja, wenn der Anbieter die Software betreibt und dabei personenbezogene Daten im Auftrag verarbeitet. Die Datenschutzkonferenz nennt Cloud-Dienste ausdrücklich als typischen Fall der Auftragsverarbeitung nach Art. 28 DSGVO.

Sind Allergien und Krankmeldungen besonders geschützte Daten?

Ja. Es handelt sich um Gesundheitsdaten, die nach Art. 9 Abs. 1 DSGVO zu den besonderen Kategorien personenbezogener Daten gehören. Für sie gelten strengere Anforderungen an Rechtsgrundlage und Schutzmaßnahmen.

Können Eltern eine Fotoeinwilligung zurückziehen?

Ja. Nach Art. 7 Abs. 3 DSGVO kann eine Einwilligung jederzeit widerrufen werden. Der Widerruf gilt für die Zukunft, bereits rechtmäßig erfolgte Verarbeitungen bleiben davon unberührt.

Quellen

Dieser Ratgeber gibt einen allgemeinen Überblick und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.