Leitfaden 
- Verzeichnis von Verarbeitungstätigkeiten -

1. Allgemeine Informationen

Jede Kindertagesstätte hat gemäß den Vorgaben des Art. 30 Abs. 1 DS-GVO ein Verzeichnis aller Verarbeitungstätigkeiten mit personenbezogenen Daten zu erstellen und zu führen. Das Verzeichnis von Verarbeitungstätigkeiten dient dabei als wesentliche Grundlage für eine strukturierte Datenschutzdokumentation und hilft der Kitaleitung dabei, nachzuweisen, dass die Vorgaben des Datenschutzrechts eingehalten werden. Es stellt somit ein wesentliches Element für die Etablierung eines umfassenden Datenschutz- und Informationssicherheits-Managementsystems dar.

Das Verzeichnis über Verarbeitungstätigkeiten hat sämtliche automatisierten sowie nichtautomatisierten Verarbeitungen personenbezogener Daten, insbesondere diejenigen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, zu umfassen. 

Für jede einzelne Verarbeitungstätigkeit ist eine Beschreibung nach Maßgabe des Art. 30 Abs. 1 DS-GVO anzufertigen. Es ist ein strenger Maßstab anzulegen, so dass jeder neue Zweck der Verarbeitung eine eigene Verarbeitungstätigkeit darstellt. Bei einer nur geringen Zweckänderung muss geprüft werden, ob eine bereits bestehende Beschreibung einer Verarbeitungstätigkeit angepasst werden muss oder ob eine vollständig neue Beschreibung anzufertigen ist. Die Summe der Einzelbeiträge ergibt sodann das Verzeichnis von Verarbeitungstätigkeiten.

Um Redundanzen zu vermeiden und den Aufwand für die Erstellung und Führung des Verzeichnisses zu reduzieren, können in die einzelnen Beschreibungen Verweise auf bestehende Dokumente aufgenommen werden, insbesondere solche, die im Rahmen des Informationssicherheitsmanagements angelegt wurden, ohne dass diese in das Verzeichnis übernommen werden müssen. 

Jede Kindertagesstätte ist verpflichtet, mit der Aufsichtsbehörde zusammenzuarbeiten und dieser auf Anfrage das entsprechende Verzeichnis vorzulegen, damit die einzelnen Verarbeitungsvorgänge bzw. Verarbeitungsverfahren anhand des Verzeichnisses kontrolliert werden können. Sofern auf bestehende Konzepte verwiesen wird, sollten diese der Aufsichtsbehörde ebenfalls auf Anforderung vorgelegt werden.

2. Form des Verzeichnisses

Das Verzeichnis ist schriftlich zu führen. Dies kann auch in einem elektronischen Format erfolgen. Die Aufsichtsbehörde kann das Format der Vorlage (schriftlich in Papierform oder elektronisch in Textform) eigenständig festlegen und daher auch bei einem im elektronischen Format geführten Verzeichnis den Ausdruck verlangen.

Um Änderungen der Eintragungen im Verzeichnis nachvollziehen zu können, sollte eine Dokumentation der Änderungen mit einer Speicherfrist von mind. einem Jahr erfolgen.

Ausfüllhilfe - Deckblatt -

1. Angaben zum Verantwortlichen

Anzugeben sind Namen, Anschrift und Kontaktdaten des Verantwortlichen. Verantwortlicher im Sinne der DS-GVO ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Hier sind Name, Anschrift und Kontaktdaten der Kindertagesstätte (nicht der Kitaleitung) einzutragen.

2. Angaben zum ggf. gemeinsam mit diesem Verantwortlichen

Entscheidet die Kindertagesstätte nicht alleine oder nicht ausschließlich über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten, so sind Angaben zum gemeinsam mit der Kindertagesstätte Verantwortlichen zu machen. Dies kann beispielsweise der Träger der Kita sein.

3. Angaben zur Person des Datenschutzbeauftragten

Neben der postalischen, elektronischen und telefonischen Erreichbarkeit der Verantwortlichen sind auch Namen, Anschrift und Kontaktdaten des Datenschutzbeauftragten der Kindertagesstätte anzugeben. 

Dies kann auch der Datenschutzbeauftragte des Trägers sein, jedoch muss dieser von der Kindertagesstätte ausdrücklich bestellt werden. Es empfiehlt sich, mit einer entsprechenden Anfrage an den Träger heranzutreten, da keine Verpflichtung des Datenschutzbeauftragten des Trägers besteht, auch als solcher für die jeweiligen Kindertagesstätten zu fungieren.

Ausfüllhilfe - Datenblatt -

1. Verarbeitungstätigkeit und Nummerierung

Für jede einzelne Verarbeitungstätigkeit ist ein eigenes Datenblatt anzufertigen. Die Verarbeitungstätigkeiten sind sodann fortlaufend zu nummerieren. Die Summe der Einzelbeiträge ergibt im Ergebnis dann das Verzeichnis von Verarbeitungstätigkeiten.

Beispiele für Verarbeitungstätigkeiten in einer Kindertagesstätte für die ein eigenes Datenblatt angelegt werden muss, soweit die Verarbeitungstätigkeit in Ihrer Kindertagesstätte vorhanden ist (nicht abschließend):

Kinder, welche die Kindertagesstätte besuchen:

•	Verwaltung, Akten die Kinder betreffend (Stammdaten)
•	Erstellen der Bildungs- und Lerndokumentation
•	Adresslisten der Eltern (von Kinder, welche die Kindertagesstätte besuchen)
•	Ton-, Bild- und Videoaufnahmen von Kindern, welche die Kindertagesstätte besuchen
•	Erstellung eines Jahrbuch / Abgangsbuch
•	Führen von Abhollisten
•	Führen von Geburtstagslisten
•	Nutzung spezieller Kita-Software, z.B: Kita-Planer; Kita-Ino-App, etc.

Erzieher*innen, Verwaltungskräfte, Angestellte usw.:

•	Personalaktenführung/Stammdaten (wenn nicht beim Träger geführt; wohl nur in seltenen Fällen)
•	Arbeitszeiterfassung (soweit vorhanden)
•	Urlaubsdatei (soweit vorhanden)
•	Bewerbungsverfahren von Erzieher*innen, Verwaltungskräften usw. (soweit nicht beim Träger geführt)
•	Ausbildung von Erzieher*innen (z.B. Ton-, Bild-, Videoaufnahmen zu Ausbildungszwecken) 
•	Aufnahme von Praktikant*innen

Sonstige Verwaltung: (nur soweit auch tatsächlich in Ihrer Kita vorhanden!)

•	Videoüberwachung 
•	Homepage, Internetauftritt 
•	Öffentlichkeitsarbeit Zeitung, Printmedien etc.

2. Verantwortlicher Mitarbeiter / Ansprechpartner

Hier sollte ein Eintrag der Kontaktdaten, zumeist der Kitaleitung, unter „Ansprechpartner / Verantwortlicher Mitarbeiter“ erfolgen. 

3. Zwecke der Verarbeitung

Für jede Verarbeitung sind die Verarbeitungszwecke festzulegen. Diese müssen eindeutig und so aussagekräftig sein, dass die Aufsichtsbehörde die Angemessenheit der getroffenen Schutzmaßnahmen und die Zulässigkeit der Verarbeitung vorläufig einschätzen kann. Für jede Verarbeitungstätigkeit sind die Verarbeitungszwecke gesondert zu dokumentieren.

Beispiele für Verarbeitungszwecke: 

•	Verwaltung der Kinder, welche die Kindertagesstätte besuchen, Personalverwaltung, Arbeitsnachweis usw.
•	Sicherheit Kindertagesstätte, Einbruchsschutz, Zugangskontrolle (z.B. bei Videoüberwachung)
•	Allgemeine Kommunikation (z.B. Adresslisten)
•	Andenken (z.B. Jahrbücher, Gruppenfotos, Abschiedshefte)
•	Allgemeine Verwaltung der Kindertagesstätte (Beschaffung, Einkauf, Parkplatz usw., falls nicht vom Träger durchgeführt)
•	Kontrolle der dienstlichen und außerdienstlichen IT-Nutzung
•	Sicherstellen der Verpflegung, Beförderung usw.
•	Aktivitäten, Veranstaltungen, Sportveranstaltungen usw.
•	Öffentlichkeitsarbeit und Presse
•	Pädagogische Projekte
•	Evaluation, Statistik, Qualitätsmanagement, Forschung
•	Aus-, Fort- und Weiterbildung von (angehenden) Erzieher*innen

4. Rechtsgrundlage für die Verarbeitung

Die Verarbeitung von personenbezogenen Daten erfordert immer einer gesetzliche Rechtsgrundlage oder die Einwilligung der Betroffenen Person (bzw. bei den Kinder, welche die Kindertagesstätte besuchen, eine Einwilligung der Erziehungsberechtigten).

Neben der Einwilligung der betroffenen Person kommen zumeist vorrangig die gesetzliche Rechtsgrundlagen des Kindertagesstättengesetzes (KTagStG) bzw. ab dem 01.07.2021 diejenigen des Kita-Zukunftsgesetzes (KitaG), der Sozialgesetzbücher (insbesondere SGB I, VIII und X) in Betracht. 

Findet sich dort keine auf den Einzelfall passende Ermächtigungsgrundlage, so kann - soweit einschlägig - das Landesdatenschutzgesetz herangezogen werden.

5. Herkunft bzw. Quelle der Daten

Personenbezogene Daten können aus den verschiedensten Quellen kommen. Die vier wichtigsten Kategorien sind:

•	Ergebung „vom Betroffenen selbst“ (Kinder, welche die Kindertagesstätte besuchen, Eltern, Erzieher*innen, …), 
•	Erhebung „von Dritten“ (außenstehende z.B. Freunde, ehemalige Arbeitgeber, …), 
•	Behördeninformationen (andere Kindertagesstätten, Träger, Jugendamt, …) 
•	Öffentlich zugänglichen Informationen (Soziale Netzwerke, Publikationen, öffentliche Register, Tageszeitungen, Digitale Medien, …)

6. Beschreibung der Kategorien betroffener Personen

Zu beschreiben sind die „Kategorien“ betroffener Personen. Die betroffenen Personen in der Schule können folgende Personengruppen sein (nicht abschließend): 

•	Kinder, welche die Kindertagesstätte besuchen
•	Erzieher*innen/Auszubildende/Praktikant*innen
•	Eltern
•	Verwaltungskräfte
•	Sonstige (Hausmeister, beauftragte Handwerker, ehrenamtlich Tätige, Ehemalige etc.)

7. Beschreibung der Kategorien von personenbezogenen Daten

Zu beschreiben sind die „Kategorien“ personenbezogener Daten, welche durch die Kindertagesstätte oder von der Kindertagesstätte beauftragte Dritte (sog. Auftragsverarbeiter) verarbeitet werden. Dabei empfiehlt es sich übersichtlich zu gliedern (z.B. nach Daten der Kinder, welche die Kindertagesstätte besuchen, Erzieher*innendaten, allg. Verwaltung usw.).

Da es eine Vielzahl verschiedener personenbezogene Daten gibt, welche denkbar verarbeitet werden könnten, kann vorliegend nur beispielhaft aufgelistet werden, welche Kategorien von personenbezogenen Daten eingetragen werden können. Die Auflistung sollte jedoch im konkreten Fall für jedes Datenblatt vollständig und übersichtlich sein.

Beispiele für Kategorien personenbezogener Daten sind:

•	Kontaktdaten der Kinder, welche die Kindertagesstätte besuchen mit Adressdaten, Ansprechpartnern, Eltern 
•	Fehlzeiten
•	Geburtsdatum, Geburtsort
•	Geschlecht
•	Religionszugehörigkeit
•	Staatsangehörigkeit
•	Behinderung und Krankheiten, soweit sie für die Kindertagesstätte von Bedeutung sind
•	Verhaltensdaten
•	Beschäftigten-Stammdaten mit Adressdaten, Geburtsdatum, Bankverbindung, Steuermerkmale, Lohngruppe, Arbeitszeit, bisherige Tätigkeitsbereiche, Qualifikationen etc. (soweit entsprechende Personalverwaltungsaufgaben von der Kindertagesstätte wahrgenommen werden)
•	Bewerbungen mit Kontaktdaten, Qualifikationsdaten, Tätigkeiten etc. (soweit entsprechende Personalverwaltungsaufgaben von der Kindertagesstätte wahrgenommen werden)
•	Arbeitszeugnisse mit Adressdaten, Leistungsdaten, Beurteilungsdaten etc. (soweit entsprechende Personalverwaltungsaufgaben von der Kindertagesstätte wahrgenommen werden)
•	Abmahnungen mit Adressdaten, Arbeitsverhalten, Leistungsdaten etc. (soweit entsprechende Personalverwaltungsaufgaben von der Kindertagesstätte wahrgenommen werden) 
•	Amtsärztliche Untersuchungen mit Adressdaten, Gesundheitsdaten etc. (soweit entsprechende Personalverwaltungsaufgaben von der Kindertagesstätte wahrgenommen werden)
•	Dienstpläne
•	Videoüberwachung 
•	KFZ-Kennzeichen zur Parkplatzverwaltung (soweit entsprechende Verwaltungsaufgaben von der Kindertagesstätte wahrgenommen werden)

Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DS-GVO sollte gesondert beschrieben werden, da sie besonders schutzwürdig sind. Hierzu gehören insbesondere:

•	Rassische und ethnische Herkunft
•	Religiöse und weltanschauliche Überzeugung
•	Gewerkschaftszugehörigkeit
•	Gesundheitsdaten, genetische und biometrische Daten

8. Kategorie von Empfängern, ggü. denen die personenbezogenen Daten offengelegt worden sind oder noch werden

Zu beschreiben sind die Kategorien von Empfängern, denen die Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen. 

Die Angaben zu den intern zugriffsberechtigten Personen sind nach der DS-GVO zwar nicht vorgeschrieben. Es wird jedoch empfohlen, Angaben zu diesen zu machen. Die Zugriffsberechtigten sollten, wie bisher üblich, ohne namentliche Angabe angegeben werden. Sie müssen jedoch z. B. über eine Rollen- oder Funktionsbeschreibung eindeutig bestimmbar sein (z. B. Kitaleitung, Gruppenleitung …) 

Typische (externe) Empfänger personenbezogener Daten sind:

•	Träger
•	Jugendamt
•	Gesundheitsamt
•	Evtl. örtliche Grundschule
•	Betreiber diverser Kita-Apps
•	IT-Dienstleister
•	Sonstige Fremdfirmen, mit denen ein Auftragsverarbeitungsverhältnis vorliegt

Zu „Drittländern“ (also Ländern, die sich außerhalb des Geltungsbereichs der DS-GVO befinden) sollte in jedem Fall eine Aussage getroffen werden, also auch angegeben werden, wenn eine Übermittlung in Drittländer nicht stattfindet und auch nicht geplant ist. 
Eine Übermittlung in Drittländer erfolgt auch, wenn sich dort der Server befindet oder der Mailversand hierüber abgewickelt wird. Ebenso kann eine Übermittlung in Drittländer vorliegen, wenn Supportdienstleistungen aus diesem erbracht werden. 

„Offenlegung“ bedeutet, dass sowohl die Empfänger in der Vergangenheit, als auch jene in der Zukunft zu benennen sind.

9. Übermittlung von personenbezogenen Daten an ein Drittland oder eine internationale Organisation

Soweit dies überhaupt in der Kindertagesstätte vorkommt (eher sehr selten), sind auch Übermittlungen von personenbezogenen Daten in ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Artikel 49 Absatz 1 Unterabsatz 2 DS-GVO genannten Datenübermittlungen die Dokumentierung geeigneter Garantien zu dokumentieren. Nutzt die Kita allerdings außereuropäische Softwareprodukte (z.B. bei Videokonferenzen mit den Eltern) kann dies durchaus der Fall sein.

Empfänger in Drittländern und internationale Organisationen konkret namentlich zu benennen. Art. 49 Abs. 6 DS-GVO ist zu beachten, wonach der Verantwortliche die von ihm vorgenommene Beurteilung sowie die angemessenen Garantien im Sinne des Art. 49 Abs. 1 Unterabsatz 2 DS-GVO in das Verzeichnis der Verarbeitungstätigkeiten mit aufnimmt (z.B. als Anhang zum Datenblatt).

Eine Rücksprache mit dem behördlichen Datenschutzbeauftragten ist in einem solchen Fall durchaus sinnvoll um allen Dokumentationspflichten gerecht zu werden. Er wird die Kitaleitung adäquat durch das Verfahren begleiten. 

10. Fristen für die Löschung der verschiedenen Datenkategorien

Abschließend sind noch Angaben über vorgesehene Fristen für die Aufbewahrung und anschließende Löschung der verschiedenen Datenkategorien, z. B geltende Aufbewahrungs- und Löschfristen für Daten, die Kinder betreffend, welche die Kindertagesstätte besuchen, Erzieher*innenunterlagen, Ton-, Video- oder Bildaufnahmen usw. zu machen. 

Ein allgemeiner Verweis auf Aufbewahrungspflichten genügt dabei jedoch nicht, vielmehr sind präzise Angaben erforderlich.. Weitere Aufbewahrungspflichten können sich aus Nachweisverpflichtungen gegenüber dem Träger oder gar aus dem Landesarchivgesetz (LArchG) ergeben. 

Bestehen für bestimmte personenbezogene Daten keine gesetzlichen Aufbewahrungspflichten, dürfen sie nur solange aufbewahrt werden, wie sie dem Zweck, zu dem sie erhoben wurden, zu dienen vermögen. In diesem Falle ist der entsprechend identifizierte Löschzeitpunkt zu dokumentieren. Auch hier kann der behördliche Datenschutzbeauftragte zu Rate gezogen werden.