Der Gesamttext sollte zudem vor Veröffentlichung durch eine datenschutzkundige Person geprüft werden.
Art. 30 DSGVO · Stand: 27. Juli 2026
Verantwortlicher: Kindertagesstätte Kindertraum e.V., Langenhorster Stiege 238, 48161 Münster · vertreten durch Susanne Bober. Das Verzeichnis bildet die Verarbeitungen dieser Anwendung ab; weitere Tätigkeiten der Einrichtung außerhalb der App sind vom Träger zu ergänzen.
| Verarbeitungstätigkeit | Zweck | Datenkategorien | Rechtsgrundlage | Empfänger | Löschfrist |
|---|---|---|---|---|---|
| Betreuung & Kita-Organisation | Verwaltung der Kinder, Gruppen, Anwesenheit, Tagesnotizen/Portfolio | Stammdaten Kind, Gruppe, Anwesenheitszeiten, ggf. Allergien/med. Hinweise, Notfallkontakte | Art. 6 Abs. 1 b DSGVO (Betreuungsverhältnis); besondere Kategorien: Art. 9 Abs. 2 a (Einwilligung) | Personal & Leitung der Einrichtung; Hosting-Auftragsverarbeiter | Ende Betreuung + gesetzl. Fristen; Anwesenheitsprotokoll 24 Monate |
| Kinderschutz nach § 8a SGB VIII | Dokumentation gewichtiger Anhaltspunkte für eine Kindeswohlgefährdung, Gefährdungseinschätzung, Schutzplanung und Eskalation | Beobachtungen zum Kind und zum familiären Umfeld, Angaben zu Gesundheit und Verhalten, Gesprächs- und Beratungsverläufe (besondere Kategorien) | Art. 6 Abs. 1 c DSGVO i. V. m. § 8a SGB VIII; besondere Kategorien: Art. 9 Abs. 2 b und c DSGVO (rechtliche Verpflichtung, lebenswichtige Interessen) | meldende Fachkraft und Leitung der Einrichtung; nach Weitergabe zusätzlich Träger und Jugendamt; insoweit erfahrene Fachkraft; Hosting-Auftragsverarbeiter | Aufbewahrung nach der Vereinbarung mit dem Jugendamt; unterliegt NICHT der allgemeinen Löschfrist der Bewegungsdaten. Einträge sind unveränderlich. |
| Erweiterte Führungszeugnisse (§ 72a SGB VIII) | Nachweis der Einsichtnahme in erweiterte Führungszeugnisse des Personals | Datum der Einsichtnahme, Ausstellungsdatum des Führungszeugnisses, Angabe ob eine einschlägige Verurteilung vorliegt. Das Führungszeugnis selbst wird nicht gespeichert. | Art. 6 Abs. 1 c DSGVO i. V. m. § 72a SGB VIII | Leitung und Träger; Hosting-Auftragsverarbeiter | Löschung spätestens drei Monate nach Beendigung der Tätigkeit (§ 72a Abs. 5 S. 2 SGB VIII) |
| Vertrags- & Beitragsverwaltung | Betreuungsverträge je Kind: Laufzeit, Kündigungsfrist, Betreuungsumfang, Elternbeitrag; Kennzahlen für die Landesförderung (KiBiz NRW) | Vertragsdaten (Beginn/Ende, Wochenstunden, Beitrag, Status), abgeleitete Altersgruppe (U3/Ü3), Gruppenform | Art. 6 Abs. 1 b DSGVO (Erfüllung des Betreuungsvertrags); Art. 6 Abs. 1 c i. V. m. KiBiz NRW (Nachweispflichten) | Leitung & Träger; Erziehungsberechtigte (eigener Vertrag); Jugendamt/Land im Rahmen der Förderung; Hosting-Auftragsverarbeiter | Ende des Vertrags + handels-/steuerrechtliche Aufbewahrungsfristen |
| Personalverwaltung | Dienstplan, Arbeitszeiterfassung, Personal-Abwesenheiten, Abgleich der erfassten Zeiten mit dem Dienstplan, Erinnerungen an die betroffene Person (Pause, vergessenes Ein-/Ausstempeln) | Name, Rolle, Arbeitszeiten, Pausendauer je Tag, Soll/Ist, Abweichungen vom Dienstplan, Abwesenheiten (inkl. Art), Protokoll versendeter Erinnerungen | Art. 6 Abs. 1 b und c DSGVO; § 26 BDSG (Beschäftigtendaten); §§ 3, 4 und 16 ArbZG (Pausen, Höchstarbeitszeit, Aufzeichnungspflicht) | Leitung/Träger; betroffene Person; Hosting-Auftragsverarbeiter. Erinnerungen gehen ausschließlich an die betroffene Person selbst. | Arbeitszeitnachweise 24 Monate (§ 16 ArbZG), dann Löschung; Protokoll der Erinnerungen 14 Tage |
| Kommunikation | Nachrichten, Ankündigungen, Rundmails zwischen Einrichtung, Personal und Eltern | Name, Rolle, Nachrichteninhalte, Zeitstempel | Art. 6 Abs. 1 b/f DSGVO | Adressierte Nutzer:innen der Einrichtung; Hosting-Auftragsverarbeiter | Bis zum Wegfall des Zwecks bzw. Kontolöschung |
| Einwilligungen & Dokumente | Digitale Einwilligungserklärungen, Abholberechtigungen, Formulare/Dokumente | Name Kind/Eltern, Einwilligungsstatus, Abholberechtigte (Name, Telefon) | Art. 6 Abs. 1 a DSGVO (Einwilligung), Art. 7 DSGVO | Personal & Leitung; Hosting-Auftragsverarbeiter | Bis Widerruf/Ende Betreuung; Nachweis der Einwilligung angemessen |
| Ehrenamtsstunden (Elterninitiative) | Erfassung und Nachweis der von Familien geleisteten Arbeitsstunden (Soll/Ist) | Name Elternteil, Familien-Konto, Datum, Stunden, Tätigkeitskategorie, Freigabestatus | Art. 6 Abs. 1 b DSGVO (Betreuungs-/Mitgliedschaftsverhältnis) | Leitung der Einrichtung; Familienmitglieder desselben Kontos; Hosting-Auftragsverarbeiter | Ende des Kita-Jahres + angemessene Nachweisfrist; bei Konto-Löschung anonymisiert |
| Technischer Betrieb & Sicherheit | Anmeldung, Sitzungen, Push-Benachrichtigungen, Sicherheitsprotokolle | Zugangs-/Sitzungsdaten, Push-Abonnements, sicherheitsrelevante Ereignisse | Art. 6 Abs. 1 f DSGVO (sicherer Betrieb); Art. 6 Abs. 1 a (Push) | Hosting-/Auth-Auftragsverarbeiter; Push-Dienste der Browser-/OS-Hersteller | Push bis Widerruf/Abbestellung; Protokolle nach Erforderlichkeit |
| Abwehr von Anmelde-Missbrauch | Begrenzung fehlgeschlagener Anmeldeversuche, um das Erraten von Passwörtern zu verhindern | Einwegverschlüsselte (gehashte) Kennung des Anmeldeversuchs, IP-Adresse, Zeitpunkt. Die E-Mail-Adresse selbst wird nicht gespeichert. | Art. 6 Abs. 1 f DSGVO i. V. m. Art. 32 (Sicherheit der Verarbeitung) | niemand; die Tabelle ist ausschließlich serverseitig erreichbar | 7 Tage, danach automatische Löschung |
Ergänzend: Verzeichnis der Auftragsverarbeiter (Art. 28), technisch-organisatorische Maßnahmen (Art. 32) sowie die Datenschutzerklärung. Etwaige Drittlandübermittlungen (Art. 44 ff.) sind gesondert zu bewerten.