DSGVO-konforme Gemeinde-App: Der Datenschutz-Leitfaden

Sobald eine Gemeinde eine App anbietet, verarbeitet sie personenbezogene Daten – und bleibt dafür datenschutzrechtlich verantwortlich. Ob Push-Abo, Mängelmeldung oder Nutzungsstatistik: Die DSGVO gilt, und die Aufsicht liegt bei der zuständigen Landesdatenschutzbehörde. Dieser Leitfaden zeigt, was eine Gemeinde-App wirklich DSGVO-konform macht: von der Rollenverteilung über die Rechtsgrundlage bis zu den Pflicht-Dokumenten und typischen Fehlern.

Wichtiger Hinweis vorab: Dieser Beitrag fasst die Rechtslage nach bestem Wissen zusammen (Stand: 2026, im Einzelfall prüfen). Er ist keine Rechtsberatung. Datenschutzrecht ist in Deutschland teilweise bundeslandspezifisch – neben der DSGVO gelten 16 Landesdatenschutzgesetze. Beziehen Sie im Zweifel Ihren behördlichen Datenschutzbeauftragten oder die zuständige Aufsichtsbehörde ein.

Warum Datenschutz bei der Gemeinde-App zur Chefsache wird

Eine Bürger-App ist ein direkter Draht zur Einwohnerschaft. Genau deshalb ist das Vertrauen der Bürger:innen das eigentliche Kapital – und dieses Vertrauen steht und fällt mit einem sauberen Umgang mit ihren Daten. Kommunen verarbeiten sensible und alltägliche Informationen zugleich; die Öffentlichkeit erwartet von einer Behörde zu Recht einen höheren Maßstab als von einer kommerziellen App.

Hinzu kommt die Aufsicht: Die Landesdatenschutzbehörden prüfen öffentliche Stellen und können Anordnungen treffen. Der Bußgeldrahmen der DSGVO reicht grundsätzlich bis 20 Mio. € beziehungsweise 4 % des weltweiten Jahresumsatzes für schwere Verstöße, bei formalen Pflichten (etwa fehlender Auftragsverarbeitungsvertrag) bis 10 Mio. € beziehungsweise 2 %. Ob und wie öffentliche Stellen national mit Bußgeldern belegt werden, regelt allerdings das jeweilige Landesrecht – hier bestehen teils Deckelungen oder Ausschlüsse (Stand: 2026, im Einzelfall prüfen). Unabhängig vom Bußgeld bleiben aber immer das Reputationsrisiko und die Pflicht zur Abhilfe.

Wer ist „Verantwortlicher”? Die Rollenverteilung

Die zentrale Frage jedes Datenschutzkonzepts lautet: Wer entscheidet über Zweck und Mittel der Verarbeitung? Bei einer Gemeinde-App ist das die Kommune selbst. Sie ist „Verantwortliche” im Sinne von Art. 4 Nr. 7 DSGVO, vertreten durch die Behördenleitung – in der Regel die Bürgermeisterin oder den Bürgermeister. Diese Verantwortung lässt sich nicht an den App-Anbieter „auslagern”.

Der App-Anbieter ist demgegenüber typischerweise Auftragsverarbeiter: Er betreibt und hostet die App im Auftrag und nach Weisung der Kommune. Diese Konstellation ist datenschutzrechtlich normal und zulässig – sie muss aber durch einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgesichert sein. Merken Sie sich diese Zweiteilung: Die Kommune entscheidet und verantwortet, der Anbieter führt aus und dokumentiert.

Auf welcher Rechtsgrundlage verarbeitet eine Kommune Daten?

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für Kommunen sind das meist andere als für Unternehmen. In der Regel stützt sich die kommunale Verarbeitung auf Art. 6 Abs. 1 lit. e DSGVO (Wahrnehmung einer öffentlichen Aufgabe beziehungsweise im öffentlichen Interesse) oder auf lit. c (Erfüllung einer rechtlichen Verpflichtung), jeweils konkretisiert durch Landesrecht.

Ein wichtiger Unterschied zur privaten Wirtschaft: Das „berechtigte Interesse” nach Art. 6 Abs. 1 lit. f DSGVO gilt für Behörden bei der Erfüllung ihrer Aufgaben ausdrücklich nicht (Art. 6 Abs. 1 UAbs. 2 DSGVO). Eine Kommune kann also nicht einfach ein Eigeninteresse anführen. Die Einwilligung (lit. a) bleibt für Fälle reserviert, in denen die Nutzung wirklich freiwillig ist – etwa beim Abonnieren von Push-Nachrichten.

Praktisch heißt das: Datensparsamkeit „by design”. Eine gute Gemeinde-App zwingt niemanden zur Registrierung, um Informationen zu lesen. Wer nur den Abfallkalender oder amtliche Warnungen sehen will, soll das ohne Konto und ohne Datenspur tun können. Erst dort, wo eine Funktion es zwingend erfordert, werden Daten erhoben – und dann so wenige wie möglich.

Die sechs Pflicht-Bausteine der DSGVO-Konformität

DSGVO-Konformität ist keine einzelne Checkbox, sondern ein Bündel dokumentierter Bausteine. Diese sechs sollten für jede Gemeinde-App vorliegen:

• Verzeichnis der Verarbeitungstätigkeiten (Art. 30): Die App-Verarbeitung wird als Verfahren mit Zweck, Rechtsgrundlage, Datenkategorien, Empfängern, Löschfristen und technisch-organisatorischen Maßnahmen aufgenommen.
• Auftragsverarbeitungsvertrag / AVV (Art. 28): Vertrag mit dem App-Anbieter, inklusive konkreter Verarbeitungsbeschreibung, Weisungsbindung und Subunternehmer-Transparenz.
• Technische und organisatorische Maßnahmen / TOM (Art. 32): Nachweisbare Sicherheitsmaßnahmen wie Verschlüsselung, Zugriffskontrolle und Backup-Konzept.
• Datenschutz-Folgenabschätzung / DSFA (Art. 35): Nur erforderlich, wenn die konkrete Verarbeitung voraussichtlich ein hohes Risiko birgt – im Zweifel prüfen lassen.
• Datenschutzerklärung: Transparente, für Bürger:innen verständliche Erklärung, die auch zu den Store-Angaben in App Store und Google Play passt.
• Informationspflichten nach Art. 13/14: Betroffene müssen bei der Datenerhebung über Zwecke, Rechtsgrundlagen, Speicherdauer und ihre Rechte informiert werden.

Der Clou: Je datensparsamer die App arbeitet, desto schlanker werden alle diese Dokumente. Wo wenig verarbeitet wird, gibt es wenig zu beschreiben, zu sichern und zu rechtfertigen.

Hosting und Datensouveränität

Wo die Daten physisch und rechtlich liegen, entscheidet mit über die Konformität. Für hoheitliche und bürgerbezogene Daten ist ein Serverstandort in Deutschland oder der EU der einfachste Weg zu echter Datensouveränität. Der Grund liegt im US-CLOUD-Act: US-Anbieter können unter Umständen zur Herausgabe von Daten verpflichtet werden – auch dann, wenn das Rechenzentrum in der EU steht, sofern das Unternehmen US-Jurisdiktion unterliegt.

Ein Anbieter, der selbst in der EU sitzt und in deutschen beziehungsweise europäischen Rechenzentren hostet, umgeht diese Drittland-Problematik weitgehend und erspart der Kommune aufwendige Zusatzmaßnahmen wie Transfer-Impact-Assessments. Entscheidend ist dabei nicht das Marketing-Siegel „Serverstandort Deutschland”, sondern die tatsächliche Jurisdiktion des Betreibers und seiner Subunternehmer.

Tracking und Analyse ohne Rechtsrisiko

Auch die Frage „Wie messen wir die Nutzung?” ist datenschutzrelevant. Reichweiten-Tools wie Google Analytics übertragen Daten in die USA und werfen dieselben Drittland-Fragen auf wie das Hosting. Für Behörden ist das ein unnötiges Risiko.

Die datenschutzfreundlichere Alternative ist eine selbst gehostete Matomo-Analyse. Richtig konfiguriert – mit IP-Anonymisierung und, wo möglich, ohne Cookies – liefert Matomo aussagekräftige Zahlen, ohne Daten an US-Konzerne weiterzugeben. Auch hier gilt: Die konkrete Einordnung hängt von der Konfiguration ab (Stand: 2026, im Einzelfall prüfen). Ebenso wichtig ist der Verzicht auf Werbe-Netzwerke: Werbung bedeutet fast immer Fremd-Tracking, das in einer amtlichen App weder mit dem Datenschutz noch mit dem Neutralitätsanspruch der Verwaltung vereinbar ist.

Barrierefreiheit gehört dazu

Datenschutz und Barrierefreiheit sind die zwei Säulen einer rechtssicheren Behörden-App – auch wenn sie unterschiedlichen Regelwerken folgen. Hier ist eine häufige Verwechslung auszuräumen: Für Kommunen als öffentliche Stellen gilt bei der digitalen Barrierefreiheit primär das Behindertengleichstellungsgesetz (BGG) beziehungsweise das jeweilige Landes-BGG in Verbindung mit der BITV 2.0 (Umsetzung der EU-Richtlinie 2016/2102) – nicht das Barrierefreiheitsstärkungsgesetz (BFSG).

Das BFSG (in Kraft seit dem 28.06.2025, Umsetzung des European Accessibility Act) adressiert private Wirtschaftsakteure und deren verbrauchergerichtete Produkte. Für die Kommune bleibt also die BITV-Welt maßgeblich; der App-Anbieter als privates Unternehmen kann zusätzlich BFSG-relevant sein. Technischer Maßstab ist die EN 301 549, die auf WCAG 2.1 Level AA verweist und ausdrücklich auch mobile Apps abdeckt (Stand: 2026, im Einzelfall und für Ihr Bundesland prüfen).

Checkliste: Ist unsere App DSGVO-konform?

• Ist die Kommune klar als Verantwortliche benannt und die Behördenleitung informiert?
• Liegt ein AVV nach Art. 28 DSGVO mit dem App-Anbieter vor – mit konkreter Verarbeitungsbeschreibung?
• Ist die App-Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten (Art. 30) erfasst?
• Sind die technischen und organisatorischen Maßnahmen (Art. 32) dokumentiert und aktuell?
• Ist geprüft, ob eine Datenschutz-Folgenabschätzung (Art. 35) nötig ist?
• Gibt es eine verständliche Datenschutzerklärung, die zu den App-Store-Angaben passt?
• Werden Bürger:innen nach Art. 13/14 über Zwecke, Rechtsgrundlagen und Rechte informiert?
• Ist die Nutzung ohne Zwangsregistrierung möglich (Datensparsamkeit by design)?
• Liegen Hosting und Betrieb in Deutschland/EU ohne US-Jurisdiktions-Problematik?
• Wird auf werbefreies, tracking-armes Design und datenschutzfreundliche Analyse (Matomo) gesetzt?

Wer alle zehn Punkte mit „Ja” beantworten kann, hat die Grundlagen belastbar geklärt. Wo ein „Nein” oder „Unklar” steht, sollten Sie den behördlichen Datenschutzbeauftragten hinzuziehen.

Häufige Fragen (FAQ)

Ist eine Gemeinde für die App datenschutzrechtlich verantwortlich? Ja. Die Kommune ist „Verantwortliche” im Sinne von Art. 4 Nr. 7 DSGVO; der App-Anbieter ist in der Regel Auftragsverarbeiter, weshalb ein AVV erforderlich ist.

Welche Rechtsgrundlage gilt? Meist Art. 6 Abs. 1 lit. e oder lit. c DSGVO (öffentliche Aufgabe beziehungsweise Rechtspflicht), konkretisiert durch Landesrecht. Das berechtigte Interesse (lit. f) gilt für Behörden in Erfüllung ihrer Aufgaben nicht.

Braucht die App eine Datenschutz-Folgenabschätzung? Nur bei voraussichtlich hohem Risiko (Art. 35). Zu bewerten ist die konkrete Verarbeitung, nicht allein die Software – im Zweifel die Aufsichtsbehörde oder den Datenschutzbeauftragten fragen.

Ist Matomo DSGVO-konform? Selbst gehostet und richtig konfiguriert (IP-Anonymisierung, möglichst ohne Cookies) ist Matomo datenschutzfreundlicher als US-Tools. Die abschließende Einordnung hängt vom Einzelfall ab (Stand: 2026, prüfen).

Drohen Kommunen Bußgelder? Der DSGVO-Rahmen reicht bis zu 20 Mio. € beziehungsweise 4 % (bei formalen Pflichten bis 10 Mio. € beziehungsweise 2 %). Ob und wie öffentliche Stellen national sanktioniert werden, regelt das Landesrecht – bitte prüfen.

So setzen wir das in der Gemeinde-App um

Genau an dieser Schnittstelle zum Dienstleister setzt die Gemeinde-App an – und nimmt Kommunen viele der Hausaufgaben durch das Produkt-Design ab: Die App ist werbefrei per Design (keine Ad-Netzwerke, kein Fremd-Tracking), wird über das Feature „Hosting auf sicheren Servern” in Deutschland betrieben, nutzt die datenschutzfreundliche Matomo-Analyse statt US-Tracking, und ein AVV nach Art. 28 DSGVO liegt bereit. So bleibt Ihre Kommune Verantwortliche im Sinne der DSGVO, ohne die Datenschutz-Dokumentation allein stemmen zu müssen – Verzeichnis, TOM und Rechtsgrundlagen bleiben leichter im grünen Bereich.

DSGVO-Konformität ist kein Siegel, das man kauft, sondern eine Verantwortung, die bei der Kommune bleibt. Die richtige App-Grundlage – werbefrei, in Deutschland gehostet, mit bereitliegendem AVV – macht diese Verantwortung tragbar statt erdrückend. Dieser Beitrag ist keine Rechtsberatung (Stand: 2026, bitte für Ihren Fall und Ihr Bundesland prüfen).