Datenschutz bei Kita-Apps: Checkliste für Kita und Träger

Eine Kita-App verarbeitet sensible Daten: Namen und Fotos von Kindern, Schlaf- und Wickelzeiten, Nachrichten der Eltern. Bevor sich eine Einrichtung für eine App entscheidet, lohnt sich deshalb ein genauer Blick auf den Datenschutz. Dieser Ratgeber fasst zusammen, was eine wissenschaftliche Untersuchung von Kita-Apps ergeben hat, und gibt Ihnen eine Liste mit Fragen an die Hand, die Sie jedem Anbieter stellen können.

Was die Studie über 42 Kita-Apps gezeigt hat

2022 haben Forschende der Ruhr-Universität Bochum, des Max-Planck-Instituts für Sicherheit und Privatsphäre, des Instituts für Internet-Sicherheit der Westfälischen Hochschule und des Unternehmens AWARE7 insgesamt 42 Kita-Apps für Android aus Europa und den USA untersucht. Die Arbeit ist in den „Proceedings on Privacy Enhancing Technologies“ erschienen. Einige Ergebnisse:

40 der 42 Apps (95 %) nutzten einen Tracking-Dienst von Drittanbietern.
Bei 18 Apps (43 %) erwähnte die Datenschutzerklärung die Verarbeitung von Kinderdaten gar nicht.
29 Datenschutzerklärungen (69 %) enthielten keine Angaben zu Trackern.
5 Apps (12 %) speicherten Daten in einem offenen, für jeden zugänglichen Cloud-Speicher, und 4 Apps (10 %) hatten kritische Schwachstellen. Insgesamt waren 8 Apps betroffen.

Die Untersuchung beschreibt den Stand vom Herbst 2021, und die Anbieter wurden vor der Veröffentlichung informiert. Sie sagt also nichts darüber, wie eine bestimmte App heute dasteht. Sie zeigt aber, dass sich Nachfragen lohnt. Die Forschenden raten auch nicht von Kita-Apps ab: Ohne offizielle App weichen Eltern erfahrungsgemäß auf private Messenger aus. Ihre Empfehlung ist, dass Kitas und Eltern Datenschutz und Sicherheit in die Entscheidung einbeziehen.

Zwölf Fragen an den Anbieter

Wo stehen die Server, und wo hat der Anbieter seinen Sitz? Gilt das auch für alle Unterauftragnehmer?
Enthält die App Tracker oder Analyse-Dienste von Drittanbietern? Wenn ja, welche, und welche Daten erhalten sie?
Zeigt die App Werbung, oder werden Daten für andere Zwecke als den Betrieb der App genutzt?
Schließt der Anbieter einen Vertrag zur Auftragsverarbeitung ab, und nennt er darin seine Unterauftragnehmer?
Beschreibt die Datenschutzerklärung ausdrücklich die App und die Verarbeitung von Kinderdaten, und ist sie aktuell?
Wer im Team sieht welche Kinder? Lässt sich der Zugriff auf einzelne Gruppen beschränken?
Sieht jede Familie wirklich nur die Daten und Fotos ihrer eigenen Kinder?
Wie werden Fotos und Dokumente gespeichert? Sind sie über einen öffentlichen Link erreichbar?
Berücksichtigt die App die Bildfreigabe der Eltern, bevor ein Foto geteilt wird?
Ist die Übertragung verschlüsselt, und wie werden Passwörter gespeichert?
Gibt es Sicherungskopien, und was geschieht mit den Daten, wenn die Kita kündigt oder ein Kind die Einrichtung verlässt?
Kann die Kita ihre Daten exportieren?

Bitten Sie um schriftliche Antworten. Ein Anbieter, der diese Fragen klar beantwortet, hat sich mit dem Thema beschäftigt.

Was Träger zusätzlich klären

Viele Träger haben eigene Vorgaben, etwa zum Sitz des Anbieters, zum Serverstandort oder zum Vertragstext. Kirchliche Träger arbeiten mit ihrem eigenen Datenschutzrecht und häufig mit Leitfäden ihrer Landeskirche oder ihres Bistums. Klären Sie deshalb früh mit dem Träger und der oder dem Datenschutzbeauftragten, welche Unterlagen nötig sind, und beziehen Sie den Elternbeirat ein, bevor die App eingeführt wird.

Messenger-Gruppen sind keine Lösung

In vielen Einrichtungen läuft die Kommunikation über private Messenger-Gruppen. Dabei werden private Telefonnummern unter allen Familien geteilt, Fotos landen auf privaten Geräten, und die Kita hat keinen Überblick darüber, wer was gesehen hat. Eine Kita-App, bei der jede Familie nur die Informationen ihrer eigenen Kinder sieht, löst genau dieses Problem, wenn der Anbieter die Fragen oben überzeugend beantwortet.

So beantwortet My Nursery Manager diese Fragen

Die Daten liegen auf Servern von OVHcloud in Frankreich, innerhalb der Europäischen Union.
Weder die Plattform noch die Apps verwenden Werbe- oder Analyse-Tracker von Drittanbietern. Es gibt keine Werbung, und Daten werden weder verkauft noch weitergegeben.
Die Einrichtung ist Verantwortliche für die Daten, La Charca Software handelt als Auftragsverarbeiter. Der Vertrag zur Auftragsverarbeitung nennt die Maßnahmen und die Unterauftragsverarbeiter.
Die Leitung entscheidet für jede Fachkraft, ob sie die ganze Einrichtung oder nur ihre Gruppen sieht. Jede Familie sieht nur die Informationen ihrer eigenen Kinder.
In ein Fotoalbum können nur Kinder aufgenommen werden, deren Familie die Bildfreigabe erteilt hat. Fotos und Dokumente sind nie öffentlich und öffnen sich nur über signierte Links, die ablaufen.

Die Einzelheiten stehen auf der Seite Sicherheit und Datenschutz. Wie andere Kita-Apps ihre Angaben zu Preis und Funktionen veröffentlichen, zeigt der Kita-App-Vergleich.

Häufige Fragen

Sind Kita-Apps sicher?

Das hängt vom Anbieter ab. Die Studie von 2022 fand bei 8 von 42 untersuchten Apps schwerwiegende Sicherheitsprobleme und bei 40 Apps Tracking-Dienste. Mit den zwölf Fragen oben können Sie prüfen, wie ein Anbieter heute arbeitet.

Müssen die Server einer Kita-App in Deutschland stehen?

Das legt Ihr Träger fest. Manche Träger verlangen einen Serverstandort in Deutschland, viele einen Standort in der Europäischen Union oder im Europäischen Wirtschaftsraum. Fragen Sie beim Träger nach, bevor Sie Angebote vergleichen.

Dürfen Fotos der Kinder in der App geteilt werden?

Nur mit der Einwilligung der Eltern. Achten Sie darauf, dass die App diese Bildfreigabe für jedes Kind kennt und Fotos nur den Familien der abgebildeten Kinder zeigt.

Ist eine Kita-App besser als eine Messenger-Gruppe?

Bei einer Kita-App behält die Einrichtung die Kontrolle: Es werden keine privaten Telefonnummern geteilt, jede Familie sieht nur ihre eigenen Kinder, und die Daten liegen bei einem Anbieter, mit dem die Kita einen Vertrag hat.