Eine Feuerwehr verarbeitet mehr sensible Daten, als vielen bewusst ist: Namen und Adressen, Qualifikationen, Gesundheitsdaten aus der G26.3-Untersuchung, oft auch Daten Minderjähriger in der Jugendfeuerwehr. Für all das gilt die Datenschutz-Grundverordnung (DSGVO). Dieser Leitfaden erklärt praxisnah, welche Pflichten daraus für Eure Wehr folgen, warum die Wahl der Software dabei eine zentrale Rolle spielt – und wo Cloud-Lösungen zum Risiko werden.
Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Im Zweifel bindet Euren behördlichen bzw. gemeindlichen Datenschutzbeauftragten ein.
Welche Daten verarbeitet eine Feuerwehr?
Datenschutz beginnt mit der Frage: Welche personenbezogenen Daten fallen überhaupt an?
- Stammdaten der Mitglieder: Name, Anschrift, Geburtsdatum, Kontaktdaten.
- Funktions- und Qualifikationsdaten: Dienstgrade, Lehrgänge, Führerscheinklassen.
- Gesundheitsdaten: insbesondere die arbeitsmedizinische Tauglichkeit (G26.3) für Atemschutzgeräteträger – das sind besonders schützenswerte Daten nach Art. 9 DSGVO.
- Daten Minderjähriger: in der Jugendfeuerwehr, teils mit Einwilligung der Erziehungsberechtigten.
- Einsatz- und Dienstdaten: wer war wann im Einsatz oder Dienst.
Schon diese Aufzählung zeigt: Es geht nicht um ein paar harmlose Adressen, sondern zum Teil um hochsensible Informationen.
Auf welcher Grundlage dürft Ihr diese Daten verarbeiten?
Ein verbreiteter Irrtum ist, dass für alles eine Einwilligung nötig sei. Tatsächlich stützt sich die Feuerwehr für ihre Kernaufgaben meist nicht auf Einwilligung, sondern auf eine gesetzliche Grundlage bzw. die Wahrnehmung einer öffentlichen Aufgabe – Feuerwehren sind in der Regel Teil der Gemeinde. Die Details regeln neben der DSGVO das jeweilige Landesdatenschutzgesetz und die Feuerwehr-/Brandschutzgesetze der Länder. Einwilligung kommt eher für Zusätzliches ins Spiel (z. B. Fotos für die Website).
Für Euch heißt das praktisch: Ihr müsst wissen, wofür Ihr welche Daten nutzt – und dürft sie nicht für beliebige andere Zwecke weiterverwenden (Zweckbindung).
Die wichtigsten DSGVO-Pflichten im Feuerwehr-Alltag
- Datenminimierung: nur erheben, was Ihr wirklich braucht.
- Speicherbegrenzung und Löschkonzept: Daten nicht ewig aufheben. Wann werden die Daten ausgetretener Mitglieder gelöscht? Ein Löschkonzept beantwortet das verbindlich.
- Betroffenenrechte: Mitglieder haben u. a. ein Recht auf Auskunft (Art. 15) und Löschung (Art. 17). Ihr müsst darauf reagieren können.
- Verzeichnis von Verarbeitungstätigkeiten (VVT, Art. 30): eine Übersicht, welche Daten Ihr zu welchem Zweck verarbeitet.
- Technische und organisatorische Maßnahmen (TOMs, Art. 32): Zugriffsschutz, Rollen/Rechte, Backups, ggf. Verschlüsselung.
- Meldepflicht bei Datenpannen (Art. 33): eine Panne ist grundsätzlich innerhalb von 72 Stunden der Aufsichtsbehörde zu melden.
Der rote Faden: Ihr müsst nicht nur datenschutzkonform handeln, sondern das auch nachweisen können (Rechenschaftspflicht).
Wo die Software zum entscheidenden Faktor wird
Fast alle diese Pflichten hängen direkt an dem System, in dem Ihr die Daten verwaltet:
- Zugriffsschutz und Rollen: Nur wer eine Information für seine Aufgabe braucht, sollte sie sehen. Eine geteilte Excel-Datei kann das nicht leisten – eine Software mit Rollen und Rechten schon.
- Löschung und Auskunft: In einem sauberen System sind Daten auffindbar und gezielt löschbar. In verstreuten Listen kaum.
- Nachvollziehbarkeit: Ein gutes System dokumentiert, wer was geändert hat.
Genau hier zahlt sich eine spezialisierte Feuerwehr-Verwaltungssoftware aus – mehr dazu im Leitfaden Feuerwehr-Verwaltungssoftware auswählen.
Cloud oder On-Premise? Der Datenschutz-Unterschied
Hier liegt der wohl wichtigste Hebel:
Cloud-Software (SaaS) speichert Eure Daten beim Anbieter. Datenschutzrechtlich ist das eine Auftragsverarbeitung: Ihr braucht einen AV-Vertrag (Art. 28), müsst wissen, wo die Daten liegen, und bei Anbietern mit US-Bezug die Anforderungen an Drittlandtransfers (Stichwort Schrems II) berücksichtigen. Ihr bleibt verantwortlich – gebt die Kontrolle über den Speicherort aber ab.
On-Premise-Software läuft auf Eurer eigenen Hardware im Gerätehaus. Die Daten verlassen das Haus nicht, es gibt keine Auftragsverarbeitung durch einen Cloud-Anbieter und keine Drittlandproblematik. Das vereinfacht die Rechenschaftspflicht erheblich und gibt Euch die volle Datenhoheit.
ELFIS24 setzt bewusst auf On-Premise: Das System läuft lokal – etwa auf einem Raspberry Pi im Gerätehaus – ohne Cloud-Zwang. Eure sensiblen Mitgliederdaten bleiben damit physisch bei Euch.
DSGVO-Checkliste für Eure Wehr
- Verzeichnis von Verarbeitungstätigkeiten vorhanden und aktuell?
- Löschkonzept für ausgetretene Mitglieder definiert?
- Rollen und Rechte in der Software – sieht jeder nur das Nötige?
- Gesundheitsdaten (G26.3) besonders geschützt und zugriffsbeschränkt?
- Bei Cloud-Tools: AV-Vertrag vorhanden, Speicherort und Drittlandtransfer geklärt?
- Backups vorhanden – und selbst datenschutzkonform gelagert?
- Prozess für Auskunfts- und Löschanfragen von Mitgliedern?
- Ablauf für die Meldung von Datenpannen (72-Stunden-Frist) bekannt?
- Datenschutzbeauftragter benannt bzw. Ansprechpartner geklärt?
Häufige Fragen
Braucht eine Feuerwehr einen Datenschutzbeauftragten?
Als Teil der Gemeinde/öffentlichen Stelle ist in der Regel ein (behördlicher) Datenschutzbeauftragter zuständig. Klärt, wer das für Eure Wehr ist.
Dürfen wir Mitgliederdaten in einer normalen Cloud (z. B. einem Office-Paket) ablegen?
Nur unter Beachtung der Auftragsverarbeitung, des Speicherorts und – bei US-Anbietern – der Drittlandanforderungen. On-Premise umgeht diese Fragen weitgehend.
Wie lange dürfen wir Daten aufheben?
So lange, wie es für den Zweck erforderlich ist bzw. gesetzliche Aufbewahrungsfristen es verlangen. Danach: löschen. Ein Löschkonzept macht das planbar.
Sind Gesundheitsdaten wie die G26.3 besonders geschützt?
Ja. Als Daten nach Art. 9 DSGVO gelten strengere Anforderungen – Zugriff nur für Befugte.
Fazit
Datenschutz in der Feuerwehr ist kein Papierkram-Selbstzweck, sondern Schutz Eurer Kameradinnen und Kameraden. Die Pflichten – Zweckbindung, Löschkonzept, Zugriffsschutz, Nachweisbarkeit – lassen sich mit dem richtigen System deutlich leichter erfüllen. Und die Grundsatzentscheidung Cloud vs. On-Premise bestimmt, wie viel Kontrolle Ihr über sensible Daten behaltet.
ELFIS24 wurde für genau diese Anforderungen gebaut: On-Premise, DSGVO-konform, ohne Cloud-Abo, mit Rollen und Rechten. Seht Euch die Verwaltungs-Module an oder testet das System unverbindlich in der Testumgebung.