Datenschutz bei Kinderdaten in der Betreuung

Wer Kinder betreut, sammelt viele Daten: Adressen, Notfallnummern, Allergien, Einkommen für den Tarif, manchmal Fotos vom Ausflug. Das ist nötig, aber es verpflichtet. Dieser Artikel erklärt die wichtigsten Regeln und zeigt, wie Sie sie im Alltag eines Mittagstischs, einer Tagesstruktur oder einer Spielgruppe umsetzen. Er ersetzt keine Rechtsberatung; bei konkreten Fragen wenden Sie sich an die zuständige Datenschutzstelle.

Welches Recht gilt für Sie?

Das hängt davon ab, wer Ihr Angebot trägt:

Vereine, Stiftungen, private Trägerschaften und Einzelpersonen unterstehen dem eidgenössischen Datenschutzgesetz (DSG). Es gilt laut Art. 2 für die Bearbeitung von Personendaten durch private Personen und Bundesorgane. Das revidierte Gesetz ist seit dem 1. September 2023 in Kraft. Zuständige Aufsicht ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).
Gemeinden und von ihnen selbst geführte Angebote unterstehen dem kantonalen Datenschutzrecht. Der Kanton Zug hält das ausdrücklich fest: Sein Datenschutzgesetz kommt zur Anwendung, wenn kantonale oder gemeindliche Behörden Personendaten bearbeiten, für Private gilt das Bundesgesetz. Im Aargau nennt die Beauftragte für Öffentlichkeit und Datenschutz die Einwohner- und Ortsbürgergemeinden als Teil ihres Geltungsbereichs, für Vereine und Unternehmen verweist sie an den EDÖB. In Luzern überwacht die kantonale Datenschutzbeauftragte die kantonale und kommunale Verwaltung, in Zürich unterstützt die kantonale Datenschutzbeauftragte die Gemeinden mit Merkblättern und Vorlagen.

Führen Sie ein privates Angebot im Auftrag einer Gemeinde, klären Sie, welche Datenschutzvorgaben die Leistungsvereinbarung enthält. Im Kanton Zürich erlaubt das Volksschulgesetz ausdrücklich, dass Anbietende von Tagesstrukturen und Schulen untereinander Personendaten und besondere Personendaten von Schülerinnen und Schülern austauschen (§ 3 c VSG).

Die Grundsätze sind in Bund und Kantonen ähnlich. Die folgenden Abschnitte stützen sich auf das DSG des Bundes.

Welche Daten sind besonders heikel?

Das DSG kennt «besonders schützenswerte Personendaten» (Art. 5 Bst. c). Für Betreuungsangebote sind vor allem diese relevant:

Daten über die Gesundheit: Allergien, Medikamente, Diagnosen, Entwicklungsauffälligkeiten
Daten über religiöse Ansichten: zum Beispiel, wenn Sie Essensvorgaben aus religiösen Gründen notieren
Daten über Massnahmen der sozialen Hilfe: etwa wenn eine Familie Sozialhilfe bezieht und deshalb einen reduzierten Tarif erhält

Einkommens- und Steuerangaben stehen nicht auf dieser Liste, sind aber trotzdem vertraulich. Behandeln Sie sie mit derselben Sorgfalt.

Stützen Sie sich bei solchen Daten auf eine Einwilligung, muss sie ausdrücklich erfolgen (Art. 6 Abs. 7 DSG). Ein Satz wie «Ich bin einverstanden, dass die Angaben zur Gesundheit meines Kindes an das Betreuungsteam weitergegeben werden» mit Unterschrift schafft Klarheit für alle.

Nur erheben, was Sie wirklich brauchen

Die Bearbeitung muss verhältnismässig sein, und Daten dürfen nur zu einem bestimmten, für die Betroffenen erkennbaren Zweck beschafft werden (Art. 6 Abs. 2 und 3 DSG). Gehen Sie Ihr Anmeldeformular deshalb Feld für Feld durch und fragen Sie: Wofür brauchen wir das?

Den Beruf der Eltern brauchen Sie meist nicht, eine erreichbare Telefonnummer schon.
Das Einkommen brauchen Sie nur, wenn der Tarif davon abhängt, und nur für die Familien, die eine Reduktion wünschen.
Gesundheitsangaben brauchen Sie, soweit sie für die Betreuung wichtig sind, nicht die ganze Krankengeschichte.

Ein Muster-Anmeldeformular finden Sie unter Vorlagen. Wie Sie Allergieangaben im Team weitergeben, beschreibt der Artikel Allergien und Unverträglichkeiten sicher handhaben.

Eltern informieren

Wer Personendaten beschafft, muss die Betroffenen angemessen informieren (Art. 19 DSG), mindestens über:

wer verantwortlich ist und wie man Sie erreicht
wozu die Daten bearbeitet werden
an wen Daten gegebenenfalls weitergegeben werden, etwa an die Gemeinde für die Subventionsabrechnung oder an den Essenslieferanten

Ein kurzer Datenschutzhinweis auf dem Anmeldeformular oder als Beiblatt genügt in den meisten Fällen. Schreiben Sie ihn in einfacher Sprache und ergänzen Sie, wie lange Sie die Daten aufbewahren.

Lassen Sie Daten durch Dritte bearbeiten, zum Beispiel durch einen IT-Dienstleister oder eine Online-Anwendung, müssen Sie sich vergewissern, dass dieser die Datensicherheit gewährleisten kann (Art. 9 DSG).

Datensicherheit im Alltag

Das Gesetz verlangt eine dem Risiko angemessene Datensicherheit durch technische und organisatorische Massnahmen (Art. 8 DSG). Im Betreuungsalltag heisst das zum Beispiel:

Anmeldeordner abschliessbar aufbewahren, nicht offen im Gruppenraum
Listen mit Gesundheitsangaben nur dort aushängen, wo das Team sie braucht, nicht für Besuchende sichtbar
keine Gesundheits- oder Einkommensangaben in Gruppenchats mit Eltern
Zugänge zu Computern und Online-Anwendungen mit eigenen Passwörtern, nur für die Personen, die sie brauchen
ausgetretene Mitarbeitende sofort aus allen Zugängen entfernen

Geht trotzdem etwas schief, etwa ein verlorener Ordner oder ein falsch versandtes E-Mail mit Gesundheitsdaten: Eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Betroffenen führt, muss dem EDÖB so rasch als möglich gemeldet werden (Art. 24 DSG). Für Gemeinden gelten die Meldevorschriften des kantonalen Rechts.

Fotos von Kindern

Fotos sind Personendaten und bei Kindern ein besonders sensibles Thema. Der EDÖB hält fest:

Ohne anderen Rechtfertigungsgrund braucht es die Einwilligung der abgebildeten Personen.
Bei Bildern von Minderjährigen muss auch die Zustimmung der erziehungsberechtigten Personen eingeholt werden.
Bei Gruppenfotos genügt es in der Regel, auf Aufnahme und Veröffentlichung hinzuweisen, auch darauf, wo veröffentlicht wird. Bei Einzelbildern reicht eine allgemeine Einwilligung nicht: Die Betroffenen müssen die Bilder einsehen können und den Kontext kennen.
Eine Einwilligung kann grundsätzlich jederzeit zurückgezogen werden.

Für Vereine weist der EDÖB zudem darauf hin, dass im Internet Veröffentlichtes praktisch nicht mehr gelöscht werden kann, und empfiehlt bei Bedarf einen geschützten Bereich.

Praktisch bewährt sich eine separate Fotoeinwilligung bei der Anmeldung, aufgeteilt nach Verwendung: interne Fotowand, Elternbrief, Website, soziale Medien. Führen Sie eine Liste der Kinder, die nicht fotografiert oder nicht veröffentlicht werden dürfen, und halten Sie sie für das Team aktuell.

Aufbewahren und löschen

Personendaten werden vernichtet oder anonymisiert, sobald sie für den Zweck nicht mehr erforderlich sind (Art. 6 Abs. 4 DSG). Davon gibt es Ausnahmen, wenn eine gesetzliche Aufbewahrungspflicht besteht. Der EDÖB nennt für Vereine als Beispiel die zehnjährige Aufbewahrungspflicht für Jahresberichte, Jahresrechnungen und Buchungsbelege. Für Gemeinden gelten zusätzlich die kantonalen Archivvorschriften.

Legen Sie deshalb fest, was wann gelöscht wird, zum Beispiel:

Gesundheitsangaben und Notfallpläne: wenn das Kind austritt
Fotos: nach einer festgelegten Frist oder auf Wunsch der Eltern
Rechnungen und Buchungsbelege: nach Ablauf der Aufbewahrungsfrist

Ein guter Zeitpunkt für die jährliche Aufräumrunde ist der Wechsel ins neue Schuljahr, siehe Schuljahreswechsel vorbereiten.

Wenn Eltern Auskunft verlangen

Jede Person kann Auskunft darüber verlangen, ob Daten über sie bearbeitet werden (Art. 25 DSG). Bei Kindern stellen in der Regel die Eltern diese Anfrage. Wenn Sie wissen, wo welche Daten liegen, ist eine solche Anfrage schnell beantwortet.

Checkliste

geklärt, ob Bundesrecht oder kantonales Recht gilt
Anmeldeformular auf nötige Angaben gekürzt
ausdrückliche Einwilligung für Gesundheitsangaben
Datenschutzhinweis mit Zweck, Empfängern und Aufbewahrungsdauer
Ordner, Listen und Zugänge geschützt
separate Fotoeinwilligung nach Verwendungszweck
Löschregeln festgelegt und einmal pro Jahr umgesetzt

Quellen

Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Vorgaben von Kanton und Gemeinde gehen vor.