Kommunaler Datenschutz: 8 haeufige Fehler vermeiden

Datenschutz ist in Kommunen selten eine Frage des guten Willens, sondern eine Frage der Dokumentation, der Vertraege und der richtigen Werkzeuge. Wenn es zu Beanstandungen kommt, steckt fast nie boese Absicht dahinter - es fehlt ein Auftragsverarbeitungsvertrag, ein Verzeichnis ist veraltet, oder ein US-Tool wurde eingebunden, ohne die Folgen zu bedenken. In diesem Beitrag gehen wir die acht haeufigsten Datenschutz-Fehler in der kommunalen Verwaltung durch und zeigen, wie Sie sie vermeiden. Das ersetzt keine Rechtsberatung, gibt Ihnen aber eine praxisnahe Orientierung.

Warum gerade Kommunen im Fokus stehen

Kommunen verarbeiten in besonderem Mass sensible Daten: vom Melderegister ueber Sozialleistungen bis zu Kita-Anmeldungen und Buergeranliegen. Diese Verarbeitung erfolgt im Rahmen einer oeffentlichen Aufgabe und steht damit unter besonderer Beobachtung. Ueberwacht wird sie in der Regel durch die zustaendige Landesdatenschutzbehoerde, die auch anlasslos pruefen kann. Fuer Buerger:innen gehoert das Vertrauen in die Verwaltung zum Kern des Verhaeltnisses - ein Datenschutz-Vorfall beschaedigt dieses Vertrauen unmittelbar. Genau deshalb lohnt es sich, die typischen Fehlerquellen systematisch zu kennen und abzustellen, bevor eine Aufsicht nachfragt.

Fehler 1: Fehlender oder generischer AVV

Sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet - etwa ein IT-Anbieter, ein Hoster oder der Betreiber einer Buerger-App - ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO Pflicht. Der haeufigste Fehler: Es gibt gar keinen AVV, oder es liegt ein generisches Muster vor, das die konkrete Verarbeitung, die technischen und organisatorischen Massnahmen sowie die Unterauftragnehmer nicht sauber abbildet. Fordern Sie bei jedem Dienstleister einen konkreten, pruefbaren AVV an und pruefen Sie insbesondere, wo die Daten gehostet werden und welche Subunternehmer eingebunden sind.

Fehler 2: Unvollstaendiges Verzeichnis der Verarbeitungstaetigkeiten

Nach Art. 30 DSGVO muss jede Kommune ein Verzeichnis der Verarbeitungstaetigkeiten fuehren. Der Fehler liegt selten im Fehlen, sondern in der Unvollstaendigkeit oder Veraltung. Ein belastbares Verzeichnis listet systematisch auf:

• alle Verfahren und Verarbeitungen (z. B. Buergerkommunikation, Ratsinformationssystem, Newsletter, App)
• die jeweiligen Zwecke der Verarbeitung
• die Rechtsgrundlage nach Art. 6 DSGVO bzw. Landesrecht
• die Empfaenger und etwaige Auftragsverarbeiter
• die vorgesehenen Loeschfristen
• eine Beschreibung der technischen und organisatorischen Massnahmen (TOM)

Ein Verzeichnis ist kein einmaliges Dokument, sondern ein lebender Bestand. Neue Tools, neue Verfahren oder ein Anbieterwechsel muessen zeitnah nachgetragen werden - sonst weicht die dokumentierte Realitaet von der tatsaechlichen ab.

Fehler 3: TOM nicht dokumentiert oder veraltet

Art. 32 DSGVO verlangt angemessene technische und organisatorische Massnahmen zum Schutz der Daten - und zwar nachweisbar. Der haeufige Fehler: Massnahmen wie Verschluesselung, Zugriffskonzepte, Backups oder Serverstandort existieren zwar faktisch, sind aber nicht dokumentiert oder beziehen sich noch auf einen alten Stand. Im Pruefungsfall zaehlt, was Sie belegen koennen. Halten Sie deshalb fest, welche Massnahmen bei Ihnen und bei Ihren Dienstleistern greifen, und aktualisieren Sie diese Uebersicht regelmaessig. Ein Anbieter, der TOM und Serverstandort transparent bereitstellt, erleichtert Ihnen diese Pflicht erheblich.

Fehler 4: DSFA nur fuer die Software statt fuer die Verarbeitung

Eine Datenschutz-Folgenabschaetzung (DSFA) nach Art. 35 DSGVO ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko fuer die Rechte und Freiheiten der Betroffenen mit sich bringt. Ein verbreiteter Bewertungsfehler besteht darin, die DSFA pauschal fuer eine Software zu erstellen. Zu bewerten ist aber nicht das Werkzeug, sondern die konkrete Verarbeitung in Ihrem Kontext: Welche Daten, welche Betroffenen, welcher Zweck, welche Risiken. Dieselbe Software kann im einen Verfahren unkritisch und im anderen risikobehaftet sein. Binden Sie die Bewertung deshalb immer an das konkrete Verfahren, nicht an das Produktlabel.

Fehler 5: US-Tools und Tracking ohne tragfaehige Grundlage

Analytics-Dienste, Kartendienste oder Social-Media-Plugins US-amerikanischer Anbieter sind schnell eingebunden - und ebenso schnell ein Problem. Sie bedeuten haeufig einen Datentransfer in ein Drittland und ein Tracking, fuer das eine tragfaehige Rechtsgrundlage fehlt. Gerade in einer amtlichen Umgebung ist das heikel. Der sichere Weg: auf datensparsame, europaeisch gehostete Alternativen setzen. Statt US-Analytics laesst sich beispielsweise ein selbst gehostetes, datenschutzfreundliches Werkzeug wie Matomo einsetzen, das ohne Datenweitergabe an Dritte auskommt.

Fehler 6: Einwilligungen falsch eingeholt

Wo eine Verarbeitung auf einer Einwilligung beruht, muss diese freiwillig, informiert und eindeutig sein. Typische Fehler sind die Koppelung einer Leistung an eine nicht erforderliche Einwilligung, vorangekreuzte Kaestchen oder eine unklare Formulierung, die den Zweck verschleiert. Buerger:innen muessen zudem jederzeit widerrufen koennen, und der Widerruf muss so einfach sein wie die Erteilung. Pruefen Sie Ihre Einwilligungsprozesse darauf, ob die Freiwilligkeit tatsaechlich gewahrt ist - und ob Sie den Zeitpunkt und Umfang der Einwilligung dokumentiert haben.

Fehler 7 und 8: Betroffenenrechte, Loeschfristen und die zu spaete Einbindung des DSB

Zwei Fehler treten oft gemeinsam auf. Erstens werden Betroffenenrechte und Loeschfristen nicht konsequent umgesetzt: Auskunfts- und Loeschersuchen laufen ins Leere, oder Daten werden weit ueber ihren Zweck hinaus aufbewahrt, weil ein Loeschkonzept fehlt. Zweitens wird der oder die Datenschutzbeauftragte (DSB) zu spaet eingebunden - erst wenn ein Tool bereits eingefuehrt ist. Richtig ist das Gegenteil: Der DSB gehoert von Anfang an in die Auswahl und Konzeption neuer Verfahren. Fruehe Einbindung verhindert teure Nachbesserungen und Beanstandungen.

Praeventions-Checkliste

Die folgende Checkliste hilft, die genannten Fehler systematisch abzustellen:

• Fuer jeden Dienstleister liegt ein konkreter, pruefbarer AVV vor.
• Das Verzeichnis der Verarbeitungstaetigkeiten ist vollstaendig und aktuell.
• TOM sind dokumentiert und werden regelmaessig ueberprueft.
• DSFA werden fuer die konkrete Verarbeitung erstellt, nicht pauschal fuer eine Software.
• Keine US-Tools oder Tracking-Dienste ohne tragfaehige Rechtsgrundlage.
• Einwilligungen sind freiwillig, dokumentiert und widerrufbar.
• Loeschfristen und Betroffenenrechte sind praktisch umgesetzt.
• Der oder die Datenschutzbeauftragte ist von Anfang an eingebunden.

Haeufige Fragen zum kommunalen Datenschutz

Was ist der haeufigste Datenschutz-Fehler in Kommunen? In der Praxis sind es fehlende oder zu allgemeine Auftragsverarbeitungsvertraege in Kombination mit unvollstaendigen Verarbeitungsverzeichnissen. Muss jede Kommune ein Verarbeitungsverzeichnis fuehren? Ja, Art. 30 DSGVO verpflichtet zur systematischen Auflistung aller Verarbeitungen. Wann ist eine DSFA noetig? Bei voraussichtlich hohem Risiko nach Art. 35 DSGVO - zu bewerten ist stets die konkrete Verarbeitung, nicht nur die eingesetzte Software. Drohen Kommunen Bussgelder? Der DSGVO-Rahmen reicht bis 10 Mio. Euro bzw. 2 Prozent; wie oeffentliche Stellen national sanktioniert werden, richtet sich nach Landesrecht (Stand 2026, bitte pruefen).

Viele dieser Fehler entstehen genau an der Schnittstelle zum Dienstleister - und lassen sich dort auch am wirksamsten vermeiden. Die Gemeinde-App reduziert sie durch ihr Design: ein bereitliegender AVV, Hosting in Deutschland, werbefrei ohne Fremd-Tracking und der Einsatz von Matomo statt US-Analytics. So bleiben Ihr Verzeichnis der Verarbeitungstaetigkeiten, Ihre TOM und Ihre Rechtsgrundlagen leichter im gruenen Bereich. Als Einstieg genuegt die virtuelle App ab 19 Euro pro Monat ohne Einrichtungsgebuehr; wer eine eigene App im Store moechte, waehlt das entsprechende Modell - datenschutzfreundlich bleibt beides.

Guter kommunaler Datenschutz ist kein Zufall, sondern eine Design-Entscheidung: Wer AVV, Hosting in Deutschland und werbefreie Technik von Anfang an mitdenkt, vermeidet die haeufigsten Fehler, bevor sie entstehen.