AVV für KI-Tools im Kindergarten — der Praxis-Guide für Träger und Leitungen

Sobald ein externer Dienstleister personenbezogene Daten von Kindern, Eltern oder Personal im Auftrag des Kindergartens verarbeitet, schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) vor. Das gilt für jede Cloud-App, jeden KI-Dienst, jede Foto-Plattform und jedes Lernspiel — auch wenn nur ein Vorname verarbeitet wird. Ohne AVV ist die Verarbeitung rechtswidrig.

Ja. Sobald eine KI-Plattform Daten von Kita-Kindern verarbeitet — auch nur Vornamen für ein personalisiertes Lied — ist ein AVV nach Art. 28 DSGVO Pflicht. Zusätzlich gelten ab Februar 2026 Transparenzpflichten aus dem EU AI Act. Seriöse KI-Anbieter für Kindergärten stellen einen AVV proaktiv bereit, ohne dass die Einrichtung danach fragen muss.

Pflichtbestandteile nach Art. 28 Abs. 3 DSGVO: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Daten, Kategorie der Betroffenen, Rechte und Pflichten beider Parteien, Weisungsbindung des Auftragsverarbeiters, Vertraulichkeit, Technische und Organisatorische Maßnahmen (TOMs), Subunternehmerketten, Unterstützung bei Betroffenenrechten, Löschungs- oder Rückgabepflicht nach Vertragsende, Audit-Rechte. Bei KI-Diensten zusätzlich: Trainingsdaten-Klausel, EU AI Act-Klassifizierung, Modell-Hosting-Standort.

Ja. Diakonie und evangelische Träger fallen unter das Kirchengesetz über den Datenschutz der EKD (DSG-EKD), Caritas und katholische Träger unter das Gesetz über den kirchlichen Datenschutz (KDG). Beide Regelwerke entsprechen weitgehend der DSGVO, haben aber eigene Aufsichtsbehörden und teilweise abweichende Einwilligungsformulierungen. Ein guter Kindergarten-AVV ist DSG-EKD- und KDG-anschlussfähig formuliert, sodass er für staatliche, freie und kirchliche Träger gleichermaßen funktioniert.

Der Träger als Verantwortlicher im Sinne der DSGVO ist Vertragspartner des AVV — nicht die einzelne Einrichtungsleitung. In der Praxis bereitet die Kindergarten-Leitung den Vertrag vor und legt ihn dem Träger zur Unterschrift vor. Bei Mehrstandort-Trägern empfiehlt sich ein zentraler Mantel-AVV, der für alle Einrichtungen gilt — das spart Verhandlungen mit jedem Standort einzeln.

Die Datenverarbeitung wird rechtswidrig. Bußgelder nach Art. 83 DSGVO sind möglich — bei Verstößen gegen Grundprinzipien bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes des Trägers. Realistisch werden gegen Kita-Träger niedrigere Bußgelder verhängt (vier- bis fünfstellig dokumentiert), aber bereits die Pflicht zur Meldung von Datenpannen, der Aufwand für Aufsichtsbehörden-Korrespondenz und der mögliche Reputationsschaden sind erheblich.

Die Einwilligung ist die Rechtsgrundlage der Erziehungsberechtigten gegenüber dem Kindergarten — sie erlaubt der Einrichtung, Daten ihrer Kinder zu verarbeiten. Der AVV regelt das Verhältnis Einrichtung/Träger zum externen Dienstleister — er sorgt dafür, dass der Dienstleister die Daten nur weisungsgebunden verarbeitet. Beide werden parallel benötigt: ohne Einwilligung darf der Kindergarten gar nicht erst verarbeiten, ohne AVV darf er die Verarbeitung nicht an Dritte auslagern.

Aufsichtsbehörden bewerten Klick-AVVs als problematisch, wenn sie nicht alle Pflichtbestandteile aus Art. 28 Abs. 3 DSGVO enthalten und nicht individuell unterschriebenfähig sind. Empfehlung: zusätzlich zum Klick-AVV einen unterschriebenen Mantel-AVV zwischen Träger und Anbieter abschließen. Seriöse Anbieter stellen das auf Anfrage sofort bereit.

Empfohlen: innerhalb von 5 Werktagen nach Anfrage durch den Träger. Bei seriösen B2B-Kindergarten-Anbietern liegt der AVV als Muster bereits öffentlich verfügbar bereit (PDF-Download), sodass die Trägerseite ihn vor dem Vertragsschluss prüfen kann. Liedio stellt seinen Muster-AVV unter liedio.de/avv-template.pdf bereit.

Ja — pro Anbieter ein AVV. Plus: Wenn der Anbieter Subunternehmer einsetzt (z. B. eine eigene KI-API für die Lied-Generierung), muss diese Subunternehmer-Kette im AVV transparent gemacht werden. Bei Cloud-AVVs ist eine vollständige Liste der Subprozessoren nach Art. 28 Abs. 4 DSGVO Pflicht — inklusive deren Sitz (für DSGVO-Drittlandtransfer-Beurteilung).