Datenschutzerklärung – Verwaltungsplattform HKJ Bayern
Stand: 09.10.2026
Diese Erklärung beschreibt, wie die HKJ-Bayern GmbH auf der internen Verwaltungsplattform verwaltung.hkj-bayern.de personenbezogene Daten verarbeitet. Sie richtet sich an Mitarbeitende und informiert zugleich über die Daten der betreuten Kinder, Jugendlichen und Familien (Art. 13 und 14 DSGVO).
1. Verantwortlicher und Datenschutzbeauftragter
Verantwortlich ist die Heilpädagogische Kinder- und Jugendhilfe Bayern GmbH (HKJ-Bayern GmbH), Hans-Schäufelein-Str. 36, 91438 Bad Windsheim, Telefon 09841 66710, E-Mail buero@hkj-bayern.de.
- Vertretungsberechtigt: Thomas Weidemann, Geschäftsführer
- Datenschutzbeauftragter: Andreas Weidemann, andreas.weidemann@hkj-bayern.de
- Betriebsrat: kontakt@betriebsrat.hkj-bayern.de
Die allgemeine Datenschutzerklärung der öffentlichen Website steht unter hkj-bayern.de/datenschutzerklaerung. Diese Erklärung ergänzt sie für die Verwaltungsplattform.
2. Geltungsbereich und betroffene Personen
Die Plattform ist ein internes Intranet und nur nach Anmeldung erreichbar. Sie dient der Organisation der Kinder- und Jugendhilfe der HKJ-Bayern GmbH: Wohngruppen, Schulbegleitung/Integrationshilfe, Ganztag, ambulante Hilfen (HzE) und Verwaltung.
Betroffen sind:
- Mitarbeitende und Bewerber/innen im Onboarding
- betreute Kinder, Jugendliche und Bewohner/innen sowie deren Eltern bzw. Sorgeberechtigte
- Familien in ambulanten Hilfen (HzE)
- Ansprechpartner/innen bei Ämtern, Schulen und Kitas
Zugriff haben nur Mitarbeitende, und nur auf die Bereiche, die ihre Rolle braucht. Die Rechte vergibt die Verwaltung unter „Wer darf was“.
3. Verarbeitete Daten, Zwecke und Rechtsgrundlagen
Die Plattform verarbeitet Daten für die Durchführung der Arbeitsverhältnisse und für die gesetzlichen Aufgaben der Jugendhilfe. Gesundheitsdaten und andere besondere Kategorien (Art. 9 DSGVO) kommen in der Dokumentation, bei Krankmeldungen und im Personalbogen vor.
| Bereich | Daten | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Benutzerkonto | Name, dienstliche und private E-Mail, Telefon, Anschrift, Geburtstag, Foto, Gruppen, Wohnort-Koordinaten | Anmeldung, Rechte, Kontakt, Fahrtwege | Art. 6 Abs. 1 lit. b DSGVO |
| Personalbogen und Personalakte | Stammdaten, Steuer-ID, Steuerklasse, Konfession, SV-Nummer, Krankenkasse, IBAN, Aufenthaltstitel, Schwerbehinderung, Kinder, Qualifikation; Nachweise (z. B. erweitertes Führungszeugnis, Masernschutz); Lebenslauf, Arbeitsvertrag | Begründung und Durchführung des Arbeitsverhältnisses, Lohnabrechnung, gesetzliche Nachweise | Art. 6 Abs. 1 lit. b und c, Art. 9 Abs. 2 lit. b DSGVO, § 72a SGB VIII, § 20 IfSG |
| Verträge, Lohn, Controlling | Verträge (Laufzeit, Wochenstunden, Qualifikation, Entgeltgruppe, Personalnummer), Lohndaten (Brutto, Arbeitgeberbelastung), DATEV-Exporte | Abrechnung, Kostenkontrolle | Art. 6 Abs. 1 lit. b und c DSGVO |
| Arbeitszeit, Dienstplan, Abwesenheit | Zeiten, Einsätze, Urlaub, Krankheit, Kind krank, Vertretungen | Arbeitszeitnachweis, Planung, Vertretung | Art. 6 Abs. 1 lit. b und c, Art. 9 Abs. 2 lit. b DSGVO, ArbZG |
| Mitarbeitergespräch | Bögen, Protokoll, Rückmeldungen von Schulen | Personalentwicklung | Art. 6 Abs. 1 lit. b DSGVO |
| Betriebsrat, Belehrungen, Umfragen | Vorlagen nach §§ 99, 102 BetrVG, Bestätigungen, Antworten (optional anonym) | Mitbestimmung, Nachweis von Belehrungen, Beteiligung | Art. 6 Abs. 1 lit. b und c DSGVO, BetrVG |
| Kinder und Bewohner/innen | Stammdaten, Anschrift, Aktenzeichen, Jugendamt, Bescheide, Wohngruppe, Inobhutnahme, Schule, Taschengeld | Erbringung und Abrechnung der Hilfen | Art. 6 Abs. 1 lit. c und e DSGVO, §§ 61 ff. SGB VIII |
| Dokumentation | Einträge zu Entwicklung, Gesundheit, Verhalten, Schule, Familie; Medikation; Abwesenheiten | Fachliche Dokumentation, Hilfeplanung, Nachweis | Art. 9 Abs. 2 lit. h DSGVO, §§ 61 ff. SGB VIII |
| Monatsbestätigung | Zeiten und Zusammenfassung je Kind, Name und E-Mail von Schule/Kita bzw. Eltern | Bestätigung der Leistungen gegenüber Kostenträgern | Art. 6 Abs. 1 lit. b und c DSGVO |
| HzE-Familien | Name, Ansprechpartner, Anschrift, Telefon, E-Mail, Aktenzeichen, Notizen | Ambulante Hilfen, Fahrten, Abrechnung | Art. 6 Abs. 1 lit. c und e DSGVO, SGB VIII |
| Rechnungen und Kaufbelege | Rechnungen an Ämter (mit Kindernamen bei stationären Leistungen), Belegfotos | Abrechnung, Buchhaltung | Art. 6 Abs. 1 lit. b und c DSGVO, § 147 AO, § 257 HGB |
4. Hosting, Protokolle, Anmeldung und Cookies
Die Plattform läuft seit dem 08.10.2026 bei der Mittwald CM Service GmbH & Co. KG, Espelkamp, auf Servern in Deutschland. Datenbank, Dateien und Sicherungen liegen dort.
Protokolle. Der Server protokolliert Fehler und Sicherheitsereignisse wie fehlgeschlagene Anmeldungen und Sperren. Dabei können Benutzername, IP-Adresse und Zeitpunkt anfallen. Zweck ist der sichere Betrieb (Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO). Die Protokolle werden nach 90 Tagen gelöscht.
Änderungsprotokoll. Änderungen an Verträgen, Bescheiden, Kinderdaten, Dokumentation und Dienstplänen werden mit Person, Zeitpunkt und geänderten Feldern festgehalten. Freitexte werden dabei nur als „geändert“ vermerkt, nicht im Wortlaut.
Anmeldung. Die Anmeldung erfolgt mit Benutzername und Passwort, optional mit Passkey oder zweitem Faktor (TOTP-App). Passwörter werden nur als Hash gespeichert. Deaktivierte Konten können sich nicht anmelden. Nach 24 Stunden endet eine Sitzung.
Zugriff auf die Kinder-Dokumentation ist nur aus den Netzen der Einrichtungen und Büros möglich (Freigabe nach IP-Adresse).
Cookies und Browser-Speicher. Es werden nur technisch notwendige Cookies gesetzt (§ 25 Abs. 2 Nr. 2 TDDDG):
| Name | Zweck | Dauer |
|---|---|---|
| fe_typo_user | Sitzung im Intranet | Sitzungsende, höchstens 24 Stunden |
| be_typo_user | Sitzung im Redaktionsbereich (nur Administration) | Sitzungsende |
| Local Storage hkj_chat_* | Verlauf des Chats mit Jürgen (letzte 50 Nachrichten) auf dem eigenen Gerät | bis „Neuer Chat“ oder Löschen der Browserdaten |
| Local Storage (Navigation, Filter) | aufgeklapptes Menü, gewählte Filter | bis Löschen der Browserdaten |
Es gibt kein Tracking und keine Analyse- oder Werbedienste.
5. KI-Assistent „Jürgen“ und KI-Funktionen
KI-Funktionen sind Hilfen. Entscheidungen über Personen trifft immer ein Mensch, es gibt keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO. Die Sprachmodelle laufen beim KI-Hosting von mittwald in Deutschland.
Chat-Assistent Jürgen. Bei einer Frage werden übermittelt:
- der Nachrichtentext bzw. die Sprachaufnahme,
- Vor- und Nachname sowie Bereich der fragenden Person,
- eine Sitzungskennung und ein Zugangsschlüssel, der 5 Minuten gilt.
Die Nachricht geht an eine Automatisierung (n8n) unter chat.hkj-bayern.de. Von dort fragt sie das Sprachmodell und durchsucht das HKJ-Wiki in den Regalen, die die Person sehen darf. [prüfen: Betreiber und Standort des n8n-Servers, Speicherdauer des Chat-Verlaufs dort]
- Sprachnachrichten werden in Text umgewandelt. [prüfen: Dienst für die Spracherkennung]
- Für Verwaltung und Buchhaltung kann Jürgen Listen zu Mitarbeitenden, Kindern, Verträgen und Bescheiden abrufen und Änderungen vorbereiten. Gespeichert wird erst nach ausdrücklicher Bestätigung.
- Wer das Recht „Controlling“ hat, kann Summen aus dem Controlling abfragen. Gehälter einzelner Personen gibt es dabei nicht.
- Antworten liegen verschlüsselt auf dem Server und werden nach einem Tag gelöscht. Der Verlauf im Browser bleibt bis „Neuer Chat“.
KI in der Dokumentation und Verwaltung. Weitere Funktionen senden Texte an das Sprachmodell bei mittwald:
| Funktion | übermittelte Daten |
|---|---|
| Zusammenfassung der Dokumentation | Einträge eines Kindes im gewählten Zeitraum (Datum, Bereich, Text) |
| Formulierungshilfe beim Eintrag | Name des Kindes, Datum, Bereich, Stichpunkte |
| Monatsbestätigung | Dokumentation und Medikation eines Kindes für einen Monat; der Name wird durch „das Kind“ ersetzt |
| Vertretungsmeldung | Freitext der Meldung und Liste der Kinder (Vor- und Nachname) |
| News aus Rundschreiben | eingefügter Text, höchstens 12.000 Zeichen |
Rechtsgrundlage ist dieselbe wie für die jeweilige Funktion (Abschnitt 3), für den Chat zusätzlich Art. 6 Abs. 1 lit. f DSGVO (effiziente Organisation).
6. E-Mail, Rundmail, SMS und weitere Dienste
Für einige Funktionen ruft die Plattform externe Dienste auf. Es werden nur die Daten übermittelt, die der jeweilige Dienst braucht.
| Dienst | Anbieter | Daten | Zweck |
|---|---|---|---|
| E-Mail-Versand | mittwald (Mailserver mail.agenturserver.de) | E-Mail-Adresse, Name, Inhalt der Nachricht | Benachrichtigungen, Krankmeldungen, Monatsbestätigungen, Zugangsdaten |
| Rundmail | Listmonk [prüfen: Betreiber/Standort] | E-Mail-Adresse, Name, Gruppen | Rundschreiben an Mitarbeitende |
| SMS | seven communications GmbH & Co. KG (seven.io), Deutschland | Mobilnummer, Text | Startpasswort für den Passwort-Safe; Vertretungshinweis mit Kurzname des Kindes, Schule und Datum |
| Adresssuche (Geocoding) | Komoot GmbH (photon.komoot.io), Deutschland | eingegebene Anschrift; beim Tippen im Browser auch die IP-Adresse | Koordinaten für Fahrtwege, Vertretungsvorschläge, HzE-Fahrten |
| Routenberechnung | Mapbox Inc., USA | nur Koordinaten (Wohnort, Schule, Familie), keine Namen | Fahrstrecken und Fahrzeiten |
| Feiertage | OpenHolidays API | keine personenbezogenen Daten (nur „Bayern“) | Feiertagskalender |
| Texteditor | CKSource (cdn.ckeditor.com) | IP-Adresse beim Laden der Seite | Editor für Texte |
Kalender, Schriften und Symbole werden vom eigenen Server geladen, nicht von Dritten.
Exporte. Lohndaten gehen als Datei an DATEV (Lohn und Gehalt, Buchungsstapel), Lohndaten aus Lexware werden als Datei eingelesen. Eine direkte Verbindung zu DATEV oder Lexware besteht nicht.
7. Empfänger, Auftragsverarbeiter und Drittländer
Innerhalb der HKJ-Bayern GmbH sehen Daten nur die zuständigen Stellen: Leitung, Hausleitung, Fachdienst, Verwaltung und Buchhaltung, Geschäftsführung und – für Vorlagen nach BetrVG – der Betriebsrat.
Externe Empfänger mit eigener Verantwortung: Jugendämter und andere Kostenträger (Rechnungen, Monatsbestätigungen), Schulen und Kitas (Monatsbestätigungen, Rückmeldungen zum Mitarbeitergespräch), Eltern bzw. Sorgeberechtigte, Steuerberatung bzw. Lohnbuchhaltung (DATEV-Dateien), Krankenkassen und Behörden im Rahmen gesetzlicher Pflichten.
Auftragsverarbeiter (Art. 28 DSGVO):
- Mittwald CM Service GmbH & Co. KG, Deutschland: Hosting, Datenbank, E-Mail, Sicherungen, KI-Sprachmodelle
- Digitaler Dienst LR GmbH: Entwicklung und Betrieb der Plattform [prüfen: Firmierung]
- Betreiber des n8n-Servers und von Listmonk [prüfen]
- seven communications GmbH & Co. KG: SMS-Versand
- Komoot GmbH: Adresssuche
- in2code GmbH: technische Warnmeldungen zu Anmeldungen im Redaktionsbereich
Drittland: Mapbox Inc. sitzt in den USA. Übermittelt werden nur Koordinaten ohne Namen. Grundlage ist das EU-US Data Privacy Framework bzw. Standardvertragsklauseln. Weitere Drittlandsübermittlungen finden nach unserem Kenntnisstand nicht statt.
8. Speicherdauer und Löschung
Daten werden gelöscht, sobald sie für den Zweck nicht mehr nötig sind und keine Aufbewahrungspflicht mehr besteht.
| Daten | Dauer |
|---|---|
| Chat-Antworten auf dem Server | 1 Tag |
| Sitzung (Anmeldung) | höchstens 24 Stunden |
| Server- und Sicherheitsprotokolle | 90 Tage |
| Mitarbeitergespräche | 365 Tage nach Deaktivierung des Kontos |
| Personalbogen, Personalakte, Kontodaten ausgeschiedener Mitarbeitender | 10 Jahre nach dem Austritt |
| Lohn- und Buchungsunterlagen, Rechnungen, Belege | 6 bzw. 10 Jahre (§ 147 AO, § 257 HGB) |
| Dokumentation und Akten der Kinder und Jugendlichen | 100 Jahre nach Ende der Hilfe: 30 Jahre gesetzliche Verjährungsfrist (§ 197 Abs. 1 Nr. 1 BGB) und weitere 70 Jahre, damit Betroffene, Behörden und Gerichte bei späteren Verfahren oder einer Aufarbeitung auf die Akten zurückgreifen können |
| HzE-Familien | wie die Akten der Kinder und Jugendlichen |
| Änderungsprotokoll | so lange wie der zugehörige Datensatz |
| Datenbank-Sicherungen | letzte 10 vor Updates, letzte 14 nächtliche, dazu Sicherungen von mittwald |
Ausgeschiedene Mitarbeitende werden nach dem letzten Arbeitstag automatisch gesperrt. Für die Aufbewahrungsfristen erstellt das System eine Übersicht der Datensätze, deren Frist abgelaufen ist; gelöscht wird nach Prüfung durch die Verwaltung.
9. Datensicherheit
Die Plattform ist durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO geschützt:
- Verbindung nur verschlüsselt (HTTPS/TLS)
- Rollen- und Rechtekonzept, Zugriff auf Kinder-Dokumentation nur aus den Netzen der Einrichtungen
- Passkeys und zweiter Faktor möglich, Sperre nach wiederholten Fehlversuchen
- zusätzliche Verschlüsselung besonders sensibler Daten in der Datenbank: Personalbogen, Personalakte, Mitarbeitergespräche, Betriebsratsvorlagen, Lohndaten, Belege stationärer Rechnungen, Chat-Antworten
- Änderungsprotokoll für Verträge, Kinderdaten, Dokumentation und Dienstpläne
- tägliche Sicherungen und Sicherung vor jedem Update
10. Ihre Rechte und Beschwerderecht
Sie haben gegenüber der HKJ-Bayern GmbH das Recht auf:
- Auskunft über Ihre Daten (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung, soweit keine Aufbewahrungspflicht besteht (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
- Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Anfragen richten Sie an buero@hkj-bayern.de oder an den Datenschutzbeauftragten Andreas Weidemann, andreas.weidemann@hkj-bayern.de. Für betreute Kinder und Jugendliche üben in der Regel die Sorgeberechtigten diese Rechte aus.
Sie können sich bei einer Aufsichtsbehörde beschweren. Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, lda.bayern.de.