Datenschutz in der Jugendfeuerwehr: Eltern- und Mitgliederdaten
Ihr verarbeitet in der Jugendfeuerwehr Daten von Kindern und Jugendlichen und von ihren Eltern: Namen, Geburtsdaten, Telefonnummern, manchmal Hinweise zur Gesundheit. Dafür braucht ihr für jeden Zweck eine passende Rechtsgrundlage. Eine pauschale Elternunterschrift für „alles“ reicht nicht. Klärt mit eurem Träger (meist Stadt oder Gemeinde, bei Vereinen der Verein), wer für die Daten verantwortlich ist, und haltet fest, welche Angaben ihr für Mitgliedschaft, Betreuung und einzelne Veranstaltungen wirklich braucht.
Die Rechtsgrundlage hängt vom Zweck ab
Artikel 6 DSGVO nennt mehrere Rechtsgrundlagen, darunter Einwilligung, Vertragserfüllung und gesetzliche Aufgaben. Bei einer kommunalen Feuerwehr spielen Landesrecht und der kommunale Träger eine Rolle. Ein Mitgliedsvertrag deckt deshalb nicht automatisch jede Verarbeitung ab.
Zwei Missverständnisse kommen häufig vor:
- Artikel 8 DSGVO regelt die Einwilligung von Kindern bei Online-Diensten, die direkt Kindern angeboten werden. Er ist keine allgemeine Altersgrenze für alle Kinderdaten.
- Gesundheitsdaten fallen zusätzlich unter Artikel 9. Hier gelten strengere Anforderungen.
Die folgende Tabelle ist ein Arbeitsraster für das Gespräch mit der oder dem Datenschutzbeauftragten des Trägers. Sie ersetzt dessen Prüfung nicht.
| Zweck | Angaben, die häufig nötig sind | Vorab klären |
|---|---|---|
| Aufnahme | Name, Geburtsdatum, Kontakt | Landesrecht, örtliches Aufnahmeverfahren |
| Dienstorganisation | Zu- und Absage, Anwesenheit | Wer braucht den Nachweis, wer darf ihn sehen? |
| Familienkontakt | Erreichbare Bezugsperson | Wer darf Entscheidungen treffen? |
| Ausflug | Teilnahme, Abholung, Notfallkontakt | Umfang auf die Veranstaltung begrenzen |
| Betreuungshinweise | Allergie, Medikamente, Handlungshinweise | Weitergabe nur an die Betreuenden der Veranstaltung |
| Öffentlichkeitsarbeit | Erkennbare Fotos oder Videos | Freiwilligkeit, Zweck, Veröffentlichungsweg |
Fragt bei Gesundheitsdaten nach dem, was Betreuende im Notfall wissen müssen („Allergie gegen Wespenstiche, Notfallspray liegt in der Tasche“), nicht nach der Krankengeschichte. Ein Feld im Formular ist kein Grund, es auszufüllen.
Familien verständlich informieren
Trennt drei Dinge: die Aufnahme in die Gruppe, die Information über die Datenverarbeitung und die freiwillige Einwilligung für einen zusätzlichen Zweck wie Fotos. Ein Merkblatt sagt, wer Ansprechperson ist, welche Angaben ihr braucht, wer sie sieht und wie lange ihr sie aufbewahrt.
Gebt das Merkblatt vor dem ersten Dienst aus und erklärt es bei Bedarf mündlich. Beim Elternabend könnt ihr die Abläufe allgemein erläutern. Gesundheitsangaben besprecht ihr danach unter vier Augen.
Fotos und Videos
Für Fotos mit erkennbaren Kindern gilt: Eine große Gruppe ist kein Freibrief. Auch bei 20 Kindern auf einem Bild braucht ihr für die Veröffentlichung eine Grundlage. Üblich ist die schriftliche Einwilligung der Sorgeberechtigten. Bei älteren Jugendlichen holt ihr zusätzlich deren eigene Zustimmung ein. Für die Veröffentlichung von Bildnissen verlangt außerdem § 22 Kunsturhebergesetz grundsätzlich die Einwilligung der abgebildeten Person. Wie ihr das Formular gestaltet, stimmt ihr mit dem Träger ab.
Praktisch heißt das:
- Die Fotoerlaubnis ist freiwillig und von der Mitgliedschaft getrennt.
- Das Formular nennt den Veröffentlichungsweg, etwa Homepage, Social Media oder Zeitung. Eine Einwilligung für „alle Medien“ ist zu unbestimmt.
- Wer fotografiert, bekommt eine Liste der freigegebenen Kinder, keine vollständige Familienakte.
- Ein Kind, das nicht aufs Bild will, wird nicht fotografiert, auch wenn die Eltern zugestimmt haben.
- Namen, Standorte und Zusatzangaben gehören nicht unter ein Foto, wenn sie für den Bericht nicht nötig sind.
Für Kinder ohne Freigabe sucht ihr vorher eine Lösung, ohne sie vor der Gruppe zu markieren: Sie stehen beim Gruppenbild an der Seite und bleiben draußen, oder sie machen selbst das Foto vom Fahrzeug. Plant das mit dem Team vor dem Fototermin.
Widerruf
Eine Einwilligung können Eltern nach Artikel 7 DSGVO jederzeit widerrufen. Dann geht ihr so vor:
- Anfrage entgegennehmen, Identität und betroffenen Zweck klären.
- Weitere Veröffentlichungen sofort stoppen.
- Betroffene Dateien und Beiträge suchen und aus euren Veröffentlichungswegen entfernen. Habt ihr Bilder an andere weitergegeben, etwa an die Presse, informiert ihr diese.
- Erledigte Schritte und offene Rückfragen aufschreiben.
Die 72 Stunden aus Artikel 33 DSGVO gelten nur für Datenpannen, nicht für das Löschen von Fotos. Das Recht auf Löschung steht in Artikel 17 und kennt Ausnahmen.
Aufbewahrung festlegen
Leitet Aufbewahrungszeiten aus dem Zweck und den tatsächlichen Nachweispflichten ab. Feste Regeln wie „drei Jahre für alles“ oder „Gesundheitsangaben nach vier Wochen löschen“ gibt es nicht. Der Träger legt für jede Datenart fest, wann die Aufbewahrung beginnt und endet und wer löscht.
Ein guter Prüfanlass ist das Ende einer Veranstaltung. Braucht ihr die Zusatzliste noch? Gab es einen Unfall, der dokumentiert bleiben muss? Liegen Angaben doppelt in der Mitgliedsakte? Bei einem Austritt prüft ihr Verteiler, Zugänge und Unterlagen noch einmal.
Zugriffe und Kommunikationswege
Wer im Dienst die Gruppe betreut, braucht die Notfallnummer der Eltern. Daraus folgt nicht, dass alle Ehrenamtlichen alle Gesundheitsdaten sehen. Vergebt Zugriffe nach Aufgabe und prüft sie, wenn jemand die Aufgabe wechselt. Auch Papierlisten gehören in einen verschlossenen Schrank.
In E-Mail-Verteilern setzt ihr die Adressen ins Blindkopiefeld. Messenger und Cloud-Dienste prüft der Verantwortliche für den konkreten Zweck. Weder ein Serverstandort in Deutschland noch das Wort „Feuerwehr“ im Produktnamen macht einen Dienst automatisch zulässig. Wie ihr digitale Hilfsmittel einführt, steht im Leitfaden zur digitalen Organisation.
Wechsel im Betreuerteam
Gibt jemand seine Aufgabe ab, entzieht ihr die Zugänge zu Mitgliederlisten, Kontaktdaten, Dokumenten und Chatgruppen. Gespeicherte Kopien behandelt ihr nach dem Ablagekonzept. Ein freundlicher Abschied aus der Chatgruppe reicht nicht.
Neue Betreuende weist ihr ein: Wo liegen die verbindlichen Listen? Was darf auf dem Handy geöffnet werden? Wohin meldet man verlorene Unterlagen? Das sollen sie nicht aus ihrer privaten Handynutzung ableiten.
Auskunftsanfrage von Eltern
Eltern dürfen nach Artikel 15 DSGVO erfahren, welche Daten ihr über sie und ihr Kind gespeichert habt. Der Träger muss nach Artikel 12 DSGVO unverzüglich antworten, spätestens innerhalb eines Monats.
Die Betreuungsperson, die die Anfrage bekommt, leitet sie sofort an die zuständige Stelle beim Träger weiter. Diese prüft, ob die anfragende Person berechtigt ist. Daten gehen nicht an eine E-Mail-Adresse, nur weil dort der Name eines Kindes steht. Gruppenlisten gebt ihr nicht heraus, weil darin auch Daten anderer Familien stehen.
Wenn eine Liste verloren geht
Informiert sofort die verantwortliche Stelle. Schreibt auf, welche Angaben betroffen sind, wann ihr den Verlust bemerkt habt und welcher Schutz bestand (verschlossene Mappe, Passwort am Handy). Regelt den Vorfall nicht intern im Betreuerteam. Der Verantwortliche entscheidet, ob er die Aufsichtsbehörde und die Betroffenen informieren muss. Dafür gilt die 72-Stunden-Frist nach Artikel 33.
Prüfliste vor dem nächsten Dienst
- Für jede Liste ist Zweck und verantwortliche Person bekannt.
- Familien haben ein verständliches Merkblatt bekommen.
- Die Fotoerlaubnis ist von der Teilnahme getrennt und nennt den Veröffentlichungsweg.
- Gesundheitshinweise gehen nur an die Betreuenden, die sie brauchen.
- Für Widerruf, Austritt, Auskunftsanfrage und Datenverlust gibt es einen festen Ablauf.
- Die Aufbewahrungszeiten sind mit dem Träger begründet und nicht aus einer Mustertabelle übernommen.
Rechtlich verbindlich ist das, was Landesrecht und euer Träger vorgeben. Mehr zum Thema findet ihr im DSGVO-Leitfaden für Feuerwehren und im Artikel zum Datenschutz in der Kinderfeuerwehr.