Datenschutz in der Jugendhilfe: DSGVO, Sozialdatenschutz und Auftragsverarbeitung
Daten über Kinder, Familien, Diagnosen und Konflikte gehören zu den sensibelsten Informationen, die ein Unternehmen verarbeiten kann. Für freie Träger gelten deshalb neben der DSGVO die besonderen Regeln des Sozialdatenschutzes.
Rechtsrahmen
Die DSGVO gilt unmittelbar; Gesundheitsdaten und Daten über Kinder unterliegen erhöhtem Schutz (Art. 9, Erwägungsgrund 38). Für Träger der Jugendhilfe kommen die Vorschriften zum Schutz von Sozialdaten hinzu: §§ 61 bis 68 SGB VIII verweisen für die Aufgaben der Jugendhilfe auf §§ 67 ff. SGB X. Kernprinzipien: Daten werden beim Betroffenen erhoben, nur für den Zweck der Hilfe verwendet und nur weitergegeben, wenn eine Rechtsgrundlage oder eine Einwilligung vorliegt. Besonders geschützt sind anvertraute Daten (§ 65 SGB VIII): Was eine Fachkraft in der persönlichen Beratung erfährt, darf nur unter engen Voraussetzungen weitergegeben werden.
Was das für Software bedeutet
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO): Der Softwareanbieter verarbeitet Daten im Auftrag des Trägers; der Vertrag regelt Zweck, Weisungen, technische und organisatorische Maßnahmen, Unterauftragnehmer, Löschung. Ohne AVV keine Nutzung.
- Hosting: Server in Deutschland oder der EU; Drittlandtransfer nur mit Rechtsgrundlage. Bei Cloud-Diensten nach den Standorten der Unterauftragnehmer fragen.
- Zugriff nach Rolle: Fachkräfte sehen nur ihre Klienten, Koordination nur ihr Portfolio, Verwaltung die Abrechnungsdaten. Gehalts- und Bankdaten nur für Leitung und Verwaltung.
- Protokollierung: Wer hat wann was geändert. Bei Vertragsdaten und Zuweisungen ist das auch fachlich nötig.
- Verschlüsselung und Authentifizierung: Transportverschlüsselung, sichere Passwörter, Sperrung passiver Nutzer, Begrenzung fehlgeschlagener Anmeldungen.
- Mobile Geräte: Keine lokalen Kopien von Klientendaten außerhalb der App; Gerätesperre; Möglichkeit, Zugänge sofort zu deaktivieren.
Betroffenenrechte und Aufbewahrung
Familien haben Auskunfts-, Berichtigungs- und Löschrechte; Anfragen sind innerhalb eines Monats zu beantworten. Löschung kollidiert mit Aufbewahrungspflichten: Rechnungsunterlagen sind nach Handels- und Steuerrecht aufzubewahren, Fallakten nach den Vorgaben der Leistungsvereinbarung und des Landesrechts, häufig zehn Jahre nach Abschluss der Hilfe. Ein Löschkonzept legt fest, welche Daten wann anonymisiert oder gelöscht werden; die Software sollte das Deaktivieren (nicht Löschen) von Klienten und Personal unterstützen, damit Belege nachvollziehbar bleiben.
Praktische Checkliste
- Verarbeitungsverzeichnis (Art. 30) enthält die Jugendhilfe-Software mit Zweck, Datenkategorien, Empfängern, Löschfristen.
- AVV mit dem Anbieter unterschrieben; Standort der Server und Unterauftragnehmer bekannt.
- Datenschutz-Folgenabschätzung geprüft (bei umfangreicher Verarbeitung von Daten Minderjähriger und Gesundheitsdaten regelmäßig erforderlich).
- Rollen- und Rechtekonzept dokumentiert; Zugänge ausgeschiedener Mitarbeitender deaktiviert.
- Einwilligungen der Familien für Foto, Weitergabe an Dritte und ähnliche Zwecke gesondert eingeholt.
- Mitarbeitende zur Schweigepflicht und zum Umgang mit anvertrauten Daten belehrt.
Häufige Fragen
Braucht ein kleiner Träger einen Datenschutzbeauftragten?
Nach § 38 BDSG ist ein Beauftragter Pflicht, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind, oder unabhängig davon, wenn eine Datenschutz-Folgenabschätzung erforderlich ist. Bei Jugendhilfe-Trägern ist Letzteres häufig der Fall.
Dürfen Fachkräfte Klientendaten auf dem privaten Handy haben?
Nur in einer dafür vorgesehenen App mit Zugriffsschutz und ohne lokale Kopien. Fotos, Notizen oder Messenger-Nachrichten mit Klientendaten auf privaten Geräten sind ein Verstoß.
Darf der Softwareanbieter die Daten für die Verbesserung seines Produkts nutzen?
Nur, wenn der AVV das ausdrücklich erlaubt und die Daten anonymisiert sind. Im Zweifel ausschließen.
So läuft es in Klify
- Rollen mit minimalen Rechten: Fachkraft sieht nur zugewiesene Klienten, Koordination nur das eigene Portfolio; Gehalts- und Bankdaten nur für Leitung und Verwaltung.
- Änderungen an Vertragsdaten und Zuweisungen werden protokolliert; passive Nutzer können sich nicht anmelden.
- Hosting in Deutschland, Auftragsverarbeitungsvertrag als Standard.