DSGVO in der Feuerwehr -- Der vollständige Leitfaden

Mal ehrlich: Wenn ihr "DSGVO" hört, denken die meisten von euch vermutlich zuerst an Papierkram, Bürokratie und Paragraphen-Dschungel. Verständlich. Aber Datenschutz in der Feuerwehr ist kein Hexenwerk -- und vor allem kein Feind. Im Gegenteil: Wer die Daten seiner Kameradinnen und Kameraden gut schützt, zeigt Wertschätzung und Professionalität.

Seit dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO) -- und sie betrifft jede Feuerwehr in Deutschland. Ob Freiwillige Feuerwehr, Jugendfeuerwehr oder Kinderfeuerwehr: Überall werden personenbezogene Daten verarbeitet. Mitgliederlisten, Einsatzberichte, Fotos auf der Website, Gesundheitsdaten von Atemschutzgeräteträgern -- all das fällt unter die DSGVO. Dieser Leitfaden erklärt euch, welche Regeln gelten, welche Daten ihr wie verarbeiten dürft und wie ihr eure Feuerwehr DSGVO-konform aufstellt. Keine Panik, das schafft ihr.

Warum Datenschutz in der Feuerwehr wichtig ist

Viele Feuerwehrleute empfinden die DSGVO als bürokratische Hürde. "Wir retten Menschen, und jetzt sollen wir uns um Datenschutzerklärungen kümmern?" -- diesen Satz hört man oft. Doch der Datenschutz schützt das Vertrauen eurer Mitglieder, der Bürger und der Erziehungsberechtigten. Wer seine Mitgliederdaten sorgfältig behandelt, signalisiert Professionalität und Wertschätzung.

Die Realität zeigt: In vielen Feuerwehren werden sensible Daten in ungeschützten Excel-Tabellen gespeichert, per WhatsApp geteilt oder in unverschlossenen Aktenschränken aufbewahrt. Das ist nicht nur ein Datenschutzverstoß, sondern birgt auch praktische Risiken. Stellt euch vor, eine Excel-Liste mit allen Handynummern und Adressen eurer Mitglieder landet versehentlich bei der falschen Person -- unangenehm, oder?

Welche Daten verarbeitet eine Feuerwehr?

Bevor wir über Rechtsgrundlagen und Pflichten sprechen, schauen wir uns erst mal an, welche Daten bei euch überhaupt zusammenkommen. Vermutlich mehr, als ihr denkt:

Wie ihr seht, ist die Liste lang. Besonders heikel sind Gesundheitsdaten (z. B. G26-Untersuchungen für Atemschutzgeräteträger) und Daten von Minderjährigen in der Jugend- und Kinderfeuerwehr. Für beide gelten verschärfte Anforderungen.

Rechtsgrundlagen: Wann dürfen Daten verarbeitet werden?

Die DSGVO verbietet die Verarbeitung personenbezogener Daten nicht generell -- sie verlangt aber eine Rechtsgrundlage. Keine Sorge, das klingt komplizierter als es ist. Für Feuerwehren kommen vor allem folgende Rechtsgrundlagen in Betracht:

Art. 6 Abs. 1 lit. c DSGVO -- Rechtliche Verpflichtung

Die wichtigste Rechtsgrundlage für Feuerwehren: Die Landesbrandschutzgesetze verpflichten Gemeinden zur Aufstellung und Unterhaltung einer leistungsfähigen Feuerwehr. Dafür ist die Verarbeitung von Mitgliederdaten zwingend erforderlich.

Betrifft: Stammdaten, Dienstgrade, Ausbildungsstand, Einsatzbereitschaft, Einsatzdokumentation

Ein Praxisbeispiel: Euer Wehrführer muss wissen, welche Kameradinnen und Kameraden die Atemschutz-Tauglichkeit haben, um eine Einsatzabteilung zusammenstellen zu können. Diese Daten dürft ihr verarbeiten, weil es eine gesetzliche Grundlage gibt.

Art. 6 Abs. 1 lit. e DSGVO -- Öffentliches Interesse

Feuerwehren nehmen eine Aufgabe im öffentlichen Interesse wahr. Die Datenverarbeitung ist zulässig, soweit sie für diese Aufgabe erforderlich ist.

Betrifft: Einsatzdokumentation, Alarmierungsdaten, Brandschutzerziehung

Art. 6 Abs. 1 lit. a DSGVO -- Einwilligung

Für alle Datenverarbeitungen, die über das gesetzlich Erforderliche hinausgehen, benötigt ihr eine freiwillige Einwilligung.

Betrifft: Fotos auf der Website, Social-Media-Beiträge, Newsletter, WhatsApp-Gruppen, Geburtstagslisten

Art. 6 Abs. 1 lit. f DSGVO -- Berechtigtes Interesse

In bestimmten Fällen kann ein berechtigtes Interesse der Feuerwehr die Datenverarbeitung rechtfertigen -- sofern die Interessen der Betroffenen nicht überwiegen.

Betrifft: Interne Kommunikation, Terminplanung, Fahrtorganisation

Übersichtstabelle: Datentyp, Rechtsgrundlage und Löschfrist

Jetzt wird es konkret. Die folgende Tabelle gibt euch eine Orientierung, welche Daten ihr auf welcher Basis speichern dürft und wann ihr sie löschen müsst:

Wichtig: Diese Fristen sind Richtwerte. Die genauen Aufbewahrungsfristen können je nach Landesrecht variieren. Im Zweifelsfall orientiert euch am Grundsatz der Datensparsamkeit: So wenig wie nötig, so kurz wie möglich.

Besonderheiten bei Minderjährigen (JF/KF)

Die Datenverarbeitung von Minderjährigen unterliegt besonderen Schutzanforderungen. Das betrifft vor allem die Jugend- und Kinderfeuerwehr -- und als Jugend- oder KF-Wart solltet ihr hier besonders aufmerksam sein.

Einwilligungsfähigkeit

• Unter 16 Jahren: Einwilligung muss von den Erziehungsberechtigten erteilt werden
• Ab 16 Jahren: Jugendliche können in vielen Fällen selbst einwilligen (Art. 8 DSGVO), bei sensiblen Daten weiterhin Eltern
• Kinderfeuerwehr (4-10 Jahre): Ausnahmslos Einwilligung der Erziehungsberechtigten erforderlich

Was müssen JF/KF-Warte beachten?

• Schriftliche Einverständniserklärung der Eltern bei Aufnahme einholen
• Gesonderte Foto-Einwilligung (Website, Social Media, Presse)
• Gesundheitsdaten (Allergien, Medikamente) nur mit Einwilligung und nur für Berechtigte zugänglich
• Keine Aufnahme von Kindern in WhatsApp-Gruppen oder Social-Media-Kanäle ohne Elterneinwilligung
• Bei Austritt: Daten zeitnah löschen (spätestens 1 Jahr nach Austritt)

Stellt euch das mal in der Praxis vor: Ein Kind verlässt die Kinderfeuerwehr, aber die Gesundheitsdaten (Allergie gegen Wespenstiche) stehen noch monatelang in einer alten Excel-Liste, die auf drei verschiedenen privaten Laptops liegt. Genau das darf nicht passieren.

Mehr Details findet ihr in unseren Spezialartikeln zum Datenschutz in der Jugendfeuerwehr und zum Datenschutz in der Kinderfeuerwehr.

Fotografie und Social Media

Fotos und Videos sind in der Feuerwehr allgegenwärtig -- ob Übungsfotos, Einsatzbilder, Gruppenfotos oder Social-Media-Posts. Gerade hier passieren in der Praxis die meisten Fehler. Deshalb lohnt es sich, die Regeln genau zu kennen.

Grundregeln für Fotos

Klingt aufwendig? Ist es anfangs auch. Aber wenn ihr einmal saubere Einwilligungsformulare habt und diese systematisch bei der Aufnahme einsammelt, läuft das fast von selbst.

Muster-Einwilligungserklärung (Kurzfassung)

Eine wirksame Einwilligungserklärung für Fotos sollte mindestens enthalten:

• Name und Geburtsdatum der abgebildeten Person
• Bei Minderjährigen: Name und Unterschrift der/des Erziehungsberechtigten
• Konkreter Zweck (Website, Facebook, Instagram, Presse, interne Dokumentation)
• Hinweis auf das Recht zum jederzeitigen Widerruf
• Hinweis auf die Folgen des Widerrufs (Fotos werden entfernt)
• Datum und Unterschrift

Social-Media-Richtlinie

Erstellt für eure Feuerwehr eine Social-Media-Richtlinie, die regelt:

• Wer darf im Namen der Feuerwehr posten?
• Welche Inhalte dürfen geteilt werden?
• Wie wird mit Einsatzfotos umgegangen?
• Wie reagiert man auf Kommentare und Kritik?
• Welche Plattformen werden offiziell genutzt?

Auftragsverarbeitung bei Software-Nutzung (AVV)

Wenn ihr eine Feuerwehr Verwaltungssoftware nutzt, verarbeitet der Software-Anbieter in eurem Auftrag personenbezogene Daten. Dafür ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. Das klingt formal, ist aber im Grunde nur ein Vertrag, der regelt, was der Anbieter mit euren Daten machen darf und wie er sie schützt.

Was muss der AVV regeln?

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten
• Kategorien der betroffenen Personen
• Technische und organisatorische Maßnahmen (TOMs) des Anbieters
• Einsatz von Subunternehmern
• Unterstützung bei Betroffenenrechten
• Löschung oder Rückgabe der Daten nach Vertragsende

Worauf ihr bei der Software-Auswahl achten solltet

• Serverstandort: EU/EWR (am besten Deutschland)
• AVV: Wird ein AVV angeboten und ist dieser vollständig?
• Verschlüsselung: Werden Daten verschlüsselt übertragen und gespeichert?
• Zugriffsrechte: Gibt es ein Rollenkonzept (nicht jeder sieht alles)?
• Löschfunktion: Können Daten DSGVO-konform gelöscht werden?
• Audit-Trail: Werden Zugriffe und Änderungen protokolliert?
• Backup: Wie werden Backups erstellt und wie lange aufbewahrt?

Eine gute Feuerwehr Verwaltungssoftware sollte den Datenschutz nicht als lästige Pflicht, sondern als Kernfeature betrachten. Lest auch unseren Vergleich der Verwaltungsmethoden, in dem wir das Thema Datenschutz bei Excel vs. Software beleuchten.

Verzeichnis der Verarbeitungstätigkeiten

Nach Art. 30 DSGVO muss jede Feuerwehr ein Verzeichnis der Verarbeitungstätigkeiten (VVT) führen. Klingt bürokratisch? Ist es ein bisschen. Aber im Kern dokumentiert dieses Verzeichnis einfach, welche personenbezogenen Daten zu welchem Zweck verarbeitet werden. Einmal erstellt, muss es nur noch aktuell gehalten werden.

Pflichtangaben im VVT

Für jede Verarbeitungstätigkeit müssen folgende Angaben gemacht werden:

1. Bezeichnung der Verarbeitungstätigkeit (z. B. "Mitgliederverwaltung FF")
2. Verantwortlicher (Gemeinde/Stadt als Träger, vertreten durch den Bürgermeister)
3. Datenschutzbeauftragter (sofern bestellt)
4. Zweck der Verarbeitung (z. B. "Verwaltung der Mitgliederdaten zur Sicherstellung der Einsatzbereitschaft")
5. Kategorien betroffener Personen (z. B. aktive Mitglieder, JF-Mitglieder, Erziehungsberechtigte)
6. Kategorien personenbezogener Daten (z. B. Stammdaten, Ausbildungsdaten, Gesundheitsdaten)
7. Empfänger (z. B. Gemeindeverwaltung, Landesfeuerwehrschule, Software-Anbieter)
8. Löschfristen (s. Tabelle oben)
9. Technische und organisatorische Maßnahmen (TOMs)

Typische Verarbeitungstätigkeiten einer Feuerwehr

Damit ihr wisst, was in euer VVT gehört -- hier die gängigsten Verarbeitungstätigkeiten:

• Mitgliederverwaltung (FF, JF, KF)
• Einsatzdokumentation und -auswertung
• Lehrgangs- und Ausbildungsverwaltung
• Atemschutznachweisverwaltung
• Dienstplanung und Anwesenheitserfassung
• Öffentlichkeitsarbeit (Website, Social Media)
• E-Mail-Kommunikation
• Vereinsverwaltung (Förderverein)

Betroffenenrechte

Die DSGVO gewährt den betroffenen Personen umfangreiche Rechte, die auch in der Feuerwehr beachtet werden müssen. Ja, auch eure Mitglieder haben diese Rechte:

• Auskunftsrecht (Art. 15): Jedes Mitglied kann erfahren, welche Daten über es gespeichert sind
• Berichtigungsrecht (Art. 16): Fehlerhafte Daten müssen korrigiert werden
• Löschungsrecht (Art. 17): Unter bestimmten Voraussetzungen müssen Daten gelöscht werden
• Recht auf Einschränkung (Art. 18): Die Verarbeitung kann eingeschränkt werden
• Recht auf Datenübertragbarkeit (Art. 20): Daten müssen in maschinenlesbarem Format bereitgestellt werden
• Widerspruchsrecht (Art. 21): Gegen die Verarbeitung kann Widerspruch eingelegt werden

Praxisbeispiel: Ein ehemaliges Mitglied verlangt Auskunft über seine gespeicherten Daten. Ihr müsst innerhalb eines Monats alle gespeicherten Daten in verständlicher Form bereitstellen -- kostenlos. Klingt nach viel Arbeit? Mit einer professionellen Feuerwehrverwaltung ist das ein Export auf Knopfdruck. Mit verteilten Excel-Listen und Papierakten wird es dagegen zur Detektivarbeit.

Technische und organisatorische Maßnahmen (TOMs)

Die DSGVO verlangt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Für Feuerwehren bedeutet das konkret:

Technische Maßnahmen

• Zugriffskontrolle: Passwortgeschützte Systeme, verschiedene Berechtigungsstufen
• Verschlüsselung: Verschlüsselte Datenübertragung (HTTPS), verschlüsselte Datenträger
• Backup: Regelmäßige Datensicherungen an einem sicheren Ort
• Aktualität: Software und Betriebssysteme auf dem neuesten Stand halten
• Endgerätesicherheit: Dienstliche und private Geräte mit Bildschirmsperre und Virenscanner

Organisatorische Maßnahmen

• Zugangsberechtigungen: Wer darf auf welche Daten zugreifen? (Need-to-know-Prinzip)
• Schulung: Regelmäßige Sensibilisierung der Führungskräfte und Datenverarbeiter
• Dokumentation: Verarbeitungstätigkeiten, Einwilligungen und Löschvorgänge dokumentieren
• Meldekette: Klare Zuständigkeiten bei Datenschutzvorfällen
• Entsorgung: Sichere Vernichtung von Papierunterlagen (Schredder, Datentonne)

Datenschutzvorfall: Was tun?

Hoffen wir, dass es nie passiert -- aber falls doch, müsst ihr vorbereitet sein. Ein Datenschutzvorfall liegt vor, wenn personenbezogene Daten unbefugt offengelegt, verändert, gelöscht oder verloren werden. Beispiele aus dem Feuerwehr-Alltag:

• USB-Stick mit Mitgliederliste verloren
• Excel-Datei versehentlich an alle Mitglieder gesendet
• Laptop mit Feuerwehrdaten gestohlen
• Website gehackt und Mitgliederdaten abgegriffen

Sofortmaßnahmen

1. Dokumentieren: Was ist passiert? Welche Daten sind betroffen? Wie viele Personen?
2. Eindämmen: Zugang sperren, Passwörter ändern, betroffene Systeme sichern
3. Melden: Innerhalb von 72 Stunden an die zuständige Datenschutzaufsichtsbehörde (Art. 33 DSGVO)
4. Informieren: Betroffene Personen benachrichtigen, wenn ein hohes Risiko besteht (Art. 34 DSGVO)
5. Verbessern: Ursache analysieren und Maßnahmen ergreifen, damit es nicht wieder passiert

Checkliste: DSGVO-Check für eure Feuerwehr

Nutzt diese Checkliste, um den Datenschutz in eurer Feuerwehr zu überprüfen. Druckt sie aus, geht sie Punkt für Punkt durch und hakt ab, was schon erledigt ist:

Organisation & Verantwortung

• Verantwortlicher für Datenschutz benannt (Gemeinde als Träger)
• Datenschutzbeauftragter bestellt (sofern erforderlich -- bei der Gemeinde)
• Ansprechpartner für Datenschutz in der Feuerwehr benannt

Dokumentation

• Verzeichnis der Verarbeitungstätigkeiten erstellt
• Löschkonzept mit konkreten Fristen erstellt
• Datenschutzhinweise für Mitglieder erstellt (Informationspflicht nach Art. 13/14)

Einwilligungen

• Muster-Einwilligungserklärung für Fotos vorhanden
• Einwilligungen aller Mitglieder (bzw. Erziehungsberechtigten) eingeholt und archiviert
• Gesonderte Einwilligungen für Social Media
• Einwilligungen für Gesundheitsdaten (G26, Allergien)

Technische Sicherheit

• Mitgliederdaten passwortgeschützt gespeichert
• Keine unverschlüsselten Excel-Listen per E-Mail versendet
• Papierunterlagen verschlossen aufbewahrt
• Regelmäßige Backups der digitalen Daten
• Alte Datenträger sicher entsorgt

Auftragsverarbeitung

• AVV mit Software-Anbieter abgeschlossen
• Serverstandort in EU/EWR geprüft
• Subunternehmer-Liste des Anbieters geprüft

Minderjährige (JF/KF)

• Einverständniserklärung der Erziehungsberechtigten bei Aufnahme
• Foto-Einwilligung gesondert eingeholt
• Gesundheitsdaten nur für berechtigte Betreuer zugänglich
• Keine Kinder in WhatsApp-Gruppen ohne Elterneinwilligung
• Daten bei Austritt zeitnah gelöscht

Betroffenenrechte

• Prozess für Auskunftsanfragen definiert
• Fähigkeit, Daten innerhalb eines Monats bereitzustellen
• Prozess für Löschanfragen definiert

Datenschutzvorfall

• Meldekette für Datenschutzvorfälle definiert
• Kontaktdaten der Aufsichtsbehörde bekannt
• Formular für die 72-Stunden-Meldung vorbereitet

Häufige Fehler und wie ihr sie vermeidet

Zum Schluss noch die fünf Klassiker, die wir in der Praxis immer wieder sehen. Prüft mal ehrlich, ob davon etwas auf euch zutrifft:

Fehler 1: Fotos ohne Einwilligung veröffentlichen

Problem: Gruppenfoto vom Übungsabend auf Facebook -- ohne alle Mitglieder zu fragen.

Lösung: Vor der Veröffentlichung Einwilligungen einholen. Bei JF/KF: Eltern müssen zustimmen. Fehlt eine Einwilligung, dann das Foto nicht veröffentlichen oder die Person unkenntlich machen.

Fehler 2: Mitgliederlisten per WhatsApp teilen

Problem: Die komplette Mitgliederliste mit Handynummern wird in der WhatsApp-Gruppe geteilt.

Lösung: Sensible Daten nicht über Messenger teilen. Stattdessen ein Feuerwehr Verwaltungsprogramm mit Zugriffsrechten nutzen, in dem jeder nur das sieht, was er sehen darf.

Fehler 3: Alte Daten nicht löschen

Problem: Mitgliederlisten von vor 20 Jahren lagern ungesichert im Keller des Gerätehauses.

Lösung: Regelmäßiger Löschlauf (mindestens 1x pro Jahr). Nicht mehr benötigte Unterlagen datenschutzgerecht vernichten -- ab in den Schredder.

Fehler 4: Kein AVV mit dem Software-Anbieter

Problem: Mitgliederdaten werden in einer Cloud-Software gespeichert, aber kein AVV wurde abgeschlossen.

Lösung: AVV beim Anbieter anfordern und prüfen. Seriöse Anbieter stellen den AVV proaktiv zur Verfügung. Wenn ein Anbieter keinen AVV anbietet, ist das ein Warnsignal.

Fehler 5: Gesundheitsdaten offen zugänglich

Problem: Die G26-Tauglichkeitsliste hängt für alle sichtbar im Schulungsraum aus.

Lösung: Gesundheitsdaten nur für berechtigte Personen (Wehrführer, Atemschutzbeauftragter) zugänglich machen. Idealerweise digital mit Zugriffsrechten -- dann sieht nur, wer es wirklich braucht.

Fazit

Die DSGVO ist kein Feind der Feuerwehr -- sie schützt das Vertrauen eurer Mitglieder und die Daten der Menschen, die euch anvertraut sind. Mit einer klaren Struktur, dokumentierten Prozessen und den richtigen Werkzeugen ist Datenschutz in der Feuerwehr absolut machbar. Ihr müsst dafür kein Jura-Studium haben.

Die wichtigsten Grundsätze nochmal auf den Punkt gebracht:

1. Datensparsamkeit: Erhebt nur die Daten, die ihr wirklich braucht
2. Rechtsgrundlage: Kennt für jede Datenverarbeitung die Rechtsgrundlage
3. Transparenz: Informiert eure Mitglieder, welche Daten ihr verarbeitet
4. Sicherheit: Schützt die Daten mit angemessenen Maßnahmen
5. Löschung: Löscht Daten, die ihr nicht mehr benötigt

Und wenn ihr euch an diese fünf Punkte haltet, seid ihr schon deutlich besser aufgestellt als viele andere Organisationen.

Ihr wollt Datenschutz in eurer Feuerwehr ernst nehmen, ohne dafür Überstunden zu schieben?

FWVS wurde von Grund auf mit Datenschutz als Kernfeature entwickelt: Rollenbasierte Zugriffsrechte, AVV inklusive, EU-Serverstandort, automatische Löschfristen und Audit-Logging. So wird DSGVO-konforme Feuerwehrverwaltung zur Selbstverständlichkeit.

Jetzt kostenlos testen -- unverbindlich und ohne Kreditkarte.