Die zehn häufigsten kritischen Fehler bei der KVKK-Konformität in Großstadtkommunen

⏱️ Lesezeit: 11 Min. · 📁 Kategorie: KVKK, öffentliche Einrichtungen & Kommunalverwaltung

Die zehn häufigsten kritischen Fehler bei der KVKK-Konformität in Großstadtkommunen

Aufgrund ihrer vielfältigen Leistungen, großen Datenmengen und mehrstufigen Organisationsstrukturen gehören Großstadtkommunen
bei der KVKK-Konformität zu den anfälligsten öffentlichen Einrichtungen.
Die bis zum Stand 2025 veröffentlichten Entscheidungen des Datenschutzgremiums und Meldungen zu Datenschutzverletzungen zeigen, dass
Verstöße in Kommunen keine „Ausnahme“ mehr sind, sondern ein wiederkehrendes strukturelles Problem darstellen.

Um die Frage „Warum kommt es immer wieder zu Verstößen?“ zu beantworten, behandelt dieser Artikel
in einem allgemeinen Überblick zehn kritische, systematische Fehler
, die die KVKK-Konformität in Großstadtkommunen beeinträchtigen.

Das Hauptproblem ist:
In den Gemeinden wird die KVKK als administrative Formalität und nicht als rechtliches Verfahren betrachtet. 1. KVKK-Konformität als „Projekt“ betrachten

Der grundlegende Fehler besteht darin, KVKK-Konformität als einmaliges Beratungs- oder Dokumentationsprojekt zu behandeln.
Die Datenverarbeitung in Kommunen verändert sich jedoch ständig; neue Leistungen, Software und Beteiligungsgesellschaften
kommen jedes Jahr hinzu.

• Das einmal erstellte Verzeichnis wird nicht aktualisiert
• Datenschutzhinweise bleiben jahrelang unverändert
• Neue Systeme werden nicht auf KVKK-Konformität geprüft

2. Zersplitterte Organisation ohne klare Zuständigkeit für die KVKK

Die Datenverarbeitung in Großstadtkommunen verteilt sich auf Fachbereiche, Direktionen,
Beteiligungsgesellschaften und Subunternehmen.
Die Verantwortung für KVKK-Konformität wird jedoch häufig nur nominell einer einzigen Einheit zugewiesen.

Grundregel im KVKK:
Verantwortung ist nicht übertragbar, Koordination ist unerlässlich. 3. Beteiligungsgesellschaften und angegliederte Einrichtungen übersehen

Obwohl kommunale Beteiligungsgesellschaften (Verkehr, Wasser, Energie, soziale Einrichtungen usw.)
faktisch als eigenständige Verantwortliche handeln,
wird ihre KVKK-Konformität oft nur mit den Dokumenten der Hauptkommune abgehandelt.

• Keine gesonderte Bestandsaufnahme
• Keine gesonderten Datenschutzinformationen
• Übertragungsverhältnisse unklar

4. Der Irrtum „Wir sind eine öffentliche Einrichtung“

Eine verbreitete Fehlannahme in Kommunen:
„Wir sind eine öffentliche Einrichtung, deshalb gilt die KVKK für uns weniger streng.“

Die Entscheidungen des Datenschutzgremiums weisen diesen Ansatz ausdrücklich zurück.
Die Erbringung öffentlicher Leistungen rechtfertigt weder unverhältnismäßige Datenverarbeitung noch
das Vermeiden von Transparenz.

5. Allgemeine Datenschutzhinweise aus Vorlagen

Die meisten Datenschutzhinweise in Kommunen:

• Enthalten allgemeine Formulierungen
• Sind nicht auf die jeweilige Leistung zugeschnitten
• Spiegeln die tatsächliche Verarbeitung nicht wider

Der Ansatz des Datenschutzgremiums ist klar:
Datenschutzinformationen müssen die tatsächliche Praxis widerspiegeln; ein vorhandener Text allein reicht nicht aus. 6. Unverhältnismäßiger Einsatz von Kamera- und Überwachungssystemen

Kamerasysteme, Kennzeichenerkennung,
Gesichtserkennung und Flächenüberwachung gehören in Großstadtkommunen zu den häufigsten Bereichen von Verstößen.

• Großer Umfang, unklare Begründung
• Unklare Aufbewahrungsfristen
• Unkontrollierte Zugriffsberechtigungen

7. Fehlendes Management von Lieferanten- und Subunternehmerrisiken

Gemeinden arbeiten mit zahlreichen Software-Unternehmen, Call Centern, Wartung und Support-Lieferanten zusammen.
In diesen Beziehungen wird jedoch oft nicht zwischen Auftragsverarbeiter und Verantwortlichem unterschieden.

• Schwache KVKK-Klauseln in Verträgen
• Zugriffsprotokolle werden nicht aufbewahrt
• Nachgelagerte Subunternehmen werden nicht geprüft

8. Datensicherheit als „IT-Problem“ betrachten

Kommunen betrachten Datensicherheit häufig als alleinige Aufgabe der IT-Abteilung.
Nach Angaben der KVKK ist Sicherheit eine ganze Reihe administrativer, technischer und organisatorischer Maßnahmen.

Fehlende Protokolle bedeuten nicht, dass kein Verstoß stattgefunden hat;
nicht nachweisbare Sicherheitsmaßnahmen gelten als nicht ergriffen. 9. Fehlerhafter Umgang mit Betroffenenanträgen

Zu den häufigsten Fehlern in Kommunen gehört
der fehlerhafte Umgang mit Betroffenenanträgen hinsichtlich Fristen, Umfang und Zuständigkeit.

• Fristen werden versäumt
• Antworten sind unvollständig oder pauschal
• Anträge und Antworten werden nicht dokumentiert

10. Fehlende Schulung und Sensibilisierung

Dass KVKK-Konformität nicht in der Praxis ankommt, liegt oft an fehlenden Kenntnissen des Personals.
Insbesondere Außendienst, kommunaler Ordnungsdienst, Callcenter und Sozialdienste
gehören zu den Bereichen mit dem höchsten KVKK-Risiko.

Der Hauptgrund für wiederkehrende Verstöße:
KVKK-Konformität ist nicht in die tägliche Arbeitsweise integriert. Warum kommt es immer wieder zu Verstößen? (Überblick)

• KVKK-Konformität wird nicht als „lebendiges System“ behandelt
• Verantwortung wird verteilt, aber nicht übernommen
• Praxis und Dokumentation sind voneinander entkoppelt
• Verstöße werden als "Ereignisse" betrachtet, nicht als Lektionen.

Fazit

Die Hauptursache für KVKK-Verstöße in Großstadtkommunen
ist nicht mangelnde Kenntnis der Vorschriften, sondern
die fehlende Neugestaltung der Organisation aus Datenschutzsicht.
Konformität entsteht durch eine Kultur der Prozesse, Verantwortung und Kontrolle, nicht durch Dokumente allein.

KVKK-Konformitätsanalyse für Kommunen