In einer Kita-App stehen Gesundheitsangaben, Familienverhältnisse und Kinderfotos. Die Regeln dafür stehen hier nicht nur im Konzept, sondern im Programm – so, dass sie sich nicht versehentlich umgehen lassen.
Jede dieser Regeln hat einen Grund und eine Stelle, an der sie durchgesetzt wird. Eine Zusage im Prospekt, die das Programm nicht einhält, ist keine Zusage.
Jede Abfrage auf Kinderdaten wird eingeschränkt, zentral an einer Stelle statt in jedem Modul einzeln. Fehlt eine Zuordnung, wird nichts angezeigt – nicht alles. Auch der direkte Aufruf einer Foto- oder Dokumentadresse führt ohne Berechtigung ins Leere.
Eine Benachrichtigung enthält nie einen Namen, einen Grund oder einen Text – nur einen Typ und eine Kennung. Den Inhalt lädt die App erst nach dem Antippen. Grund: Push läuft technisch über Server von Apple und Google.
Beim Abmelden genügt die Art – krank, Urlaub, sonstiges. Die Bemerkung ist freiwillig und das Formular sagt ausdrücklich, dass dort keine Diagnosen hingehören. Allergien sind nur für das betreuende Team sichtbar.
Ein Gespräch gehört einem Kind und einem Sorgeberechtigten. Getrennt lebende Eltern lesen einander nicht mit. Und Eltern sehen nie die Empfängerliste einer Mitteilung – sie würde verraten, welche Familien zur Kita gehören.
In vielen Systemen ist die Medieneinwilligung eine Notiz in der Akte – hochgeladen und angezeigt wird trotzdem. Hier entscheidet sie darüber, ob ein Bild überhaupt gespeichert und ausgeliefert wird.
Eltern können ihre Erklärung selbst abgeben und jederzeit widerrufen; die Kita kann eine Papiereinwilligung zusätzlich eintragen. Jede Erklärung wird versioniert nachgewiesen.
Jede Einrichtung erhält eigene Adresse, eigene Datenbank und eigenen Dateispeicher. Die Trennung ist physisch – nicht bloß eine Spalte in einer gemeinsamen Tabelle, bei der ein Programmfehler die Grenze aufhebt.
Betrieb bei einem deutschen Anbieter. Kein Firebase, keine Content-Netzwerke, keine Analytics, keine externen Schriften oder Karten – auch die Benachrichtigungen kommen ohne US-Dienst im Datenfluss aus.
Beim Löschen eines Kindes verschwinden auch Zuordnungen, Abwesenheiten, Abholberechtigungen, Gespräche und die zugehörigen Bilddateien. Ein Löschverlangen, das Reste zurücklässt, ist nicht erfüllt.
Verantwortlicher bleibt der Träger, REWA ist Auftragsverarbeiter. Diese Unterlagen gehören dazu – und liegen vor.
Mit benannten Unterauftragnehmern und der Zusage, dass keine Verarbeitung außerhalb der EU stattfindet. Bei kirchlichen Trägern in einer Fassung nach DSG-EKD beziehungsweise KDG.
Bei Gesundheitsdaten und Daten von Kindern ist eine Datenschutz-Folgenabschätzung nötig. Die technischen Angaben dafür liefern wir zu.
Verständlicher Text darüber, welche Daten zu welchem Zweck verarbeitet werden – zum Aushändigen bei der Aufnahme.
Getrennt von der Nutzung der App, granular nach Verwendungszweck und jederzeit widerrufbar – passend zu dem, was die App technisch durchsetzt.
Ein Punkt, der oft übersehen wird: Der Erwerb einer Kita-App ist der zuständigen Aufsichtsbehörde vorab anzuzeigen. Diese Pflicht trifft den Träger, nicht den Anbieter – wir stellen die Angaben bereit, die dafür gebraucht werden.
Wir gehen sie gemeinsam durch – auch die unbequemen zu Fotos, getrennten Eltern und Gesundheitsangaben.