Datenschutz in der Medien- und Öffentlichkeitsarbeit und in der Implementierung der App Kitaversum in städtischen Kindertagesstätten (Die Verwaltung weist darauf hin, dass bei diesem Tagesordnungspunkt die Möglichkeit besteht, dass einzelne Punkte oder Fragestellungen nicht-öffentlich zu beraten sind. In diesem Falle würde die öffentliche Sitzung unterbrochen und für die Dauer der Unterbrechung die Nicht-Öffentlichkeit hergestellt.)

Beschlussvorschlag: Der Rat der Stadt Herzogenrath nimmt den Bericht der Verwaltung zur Aufarbeitung des Datenschutzvorfalls vom 11.05.2026 im Zusammenhang mit der Veröffentlichung von Bild- und Videomaterial auf den städtischen Social-Media-Kanälen zur Kenntnis. Der Rat der Stadt nimmt den Sachverhalt sowie die datenschutzrechtliche Stellungnahme des behördlichen Datenschutzbeauftragten zu den technischen und rechtlichen Prüfergebnissen sowie zu den vollzogenen Korrekturmaßnahmen im Rahmen der Einführungsphase des Fachverfahrens „Kitaversum“ zur Kenntnis. Sachverhalt: Die vorliegende Berichterstattung dient der transparenten und umfassenden Information des Rates im Rahmen der Sondersitzung. Zu besseren Übersicht ist die Vorlage in zwei voneinander unabhängige Komplexe unterteilt: Teil I befasst sich mit dem Medienvorfall vom 11.05.2026, Teil II dokumentiert die datenschutzkonforme Ausgestaltung und Korrektur im Rahmen der Einführung der neuen Kita-App zum kommenden Kitajahr. Teil I: Aufarbeitung des Datenschutzvorfalls in der Öffentlichkeitsarbeit (11.05.2026) Am 11.05.2026 kam es im Rahmen des Aktionstages „Tag der Kinderbetreuung“ zu einer unautorisierten Veröffentlichung von Bild- und Videomaterial von Kindern auf den offiziellen Social-Media-Kanälen (Instagram und Facebook) der Stadt Herzogenrath. Das veröffentlichte Bildmaterial wurde ursprünglich für einen Imagefilm der städtischen Kindertageseinrichtungen gedreht, wobei der Fokus des Films auf Interviews mit den Mitarbeitenden lag. Da seitens der Verwaltung keine Absicht bestand, Bildaufnahmen von Kindern zu erstellen, die in deren Recht am eigenen Bild eingreifen sollten, wurde im Vorfeld keine projektbezogene Einverständniserklärung der Erziehungsberechtigten eingeholt. Durch eine Unbedachtheit beim Schnitt waren 6 Kinder schließlich für ca. 0,5 Sekunden erkennbar zu sehen, zudem wurde ein Gruppenbild, das sechs Kinder im Kreis zeigt, als Titelbild (Thumbnail) geschaltet. Aufgrund von Beschwerden wurde die Veröffentlichung daraufhin am selben Tag von den Kanälen der Stadt gelöscht. Des Weiteren wurde das Material bearbeitet und mit Bildsequenzen ausgestattet, auf denen keine Kinder klar zu erkennen waren, woraufhin diese veränderte Fassung erneut hochgeladen wurde. Da dies jedoch ebenfalls zu erneuten Beschwerden führte, wurde am 12.05.2026 auch diese überarbeitete Veröffentlichung vollständig von den Social-Media-Kanälen entfernt. Die datenschutzrechtliche Überprüfung durch den städtischen DSB deckte folgende Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) und das Kunsturhebergesetz (KunstUrhG) auf: Fehlende Rechtsgrundlage für die Verarbeitung (Art. 6 Abs. 1 DSGVO / § 22 K KunstUrhG): Für die konkrete Veröffentlichung im Internet lag keine wirksame Einwilligung der Sorgeberechtigten vor. Nach § 22 Satz 1 KunstUrhG dürfen Bildnisse jedoch nur mit Einwilligung des Abgebildeten (bzw. der Erziehungsberechtigten) verbreitet oder öffentlich zur Schau gestellt werden. Da diese fehlte, war die Verarbeitung datenschutzrechtswidrig. Verstoß gegen die Pflicht zur Auftragsverarbeitung (Art. 28 DSGVO): Das Videomaterial wurde vom ausführenden Sachbearbeiter eigenmächtig über die Web-Anwendung Canva verarbeitet. Da es sich hierbei um eine Cloud-Infrastruktur handelt und kein rechtsverbindlicher Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 Abs. 3 DSGVO mit dem Anbieter vorlag, stellt diese Nutzung einen eigenständigen Compliance-Verstoß dar. Unzulässiger Datentransfer in Drittstaaten (Art. 44 ff. DSGVO): Durch die auf dem genutzten privaten Smartphone unbemerkt aktive Hintergrund-Synchronisation mit Google Photos wurden die biometrischen Daten und Metadaten (wie GPS-Standorte und Zeitstempel) der Kinder ohne hinreichende Kontrolle auf Server eines US-Dienstleisters übertragen, ohne dass die Voraussetzungen der Art. 44 ff. DSGVO für Drittlandübermittlungen geprüft oder abgesichert waren. Mangelhafte technisch-organisatorische Maßnahmen (Art. 32 DSGVO): Durch den Einsatz privater Schatten-IT (Samsung Galaxy S22 als Privatgerät) wurde das nach Art. 32 DSGVO geforderte Sicherheitsniveau, das die Vertraulichkeit und Integrität der Daten schutzbefohlener Personengruppen gewährleisten muss, systemisch untergraben. Die Verwaltung hat nach Bekanntwerden des Vorfalls eine unverzügliche Schadensminimierung eingeleitet, um den rechtmäßigen Zustand wiederherzustellen: Rechtssichere Löschkette (Art. 17 Abs. 1 lit. a DSGVO): Gemäß dem Recht auf Löschung wurde eine vollständige Löschung eingeleitet. Dem Datenschutzbeauftragten liegt eine schriftliche, rechtsverbindliche Löschbestätigung vor. Gelöscht wurden: das Rohmaterial auf dem privaten Smartphone, die automatischen Kopien in der Google Photos-Cloud, die Bearbeitungsdaten in der Canva-Cloud, die lokalen Zwischenspeicher auf dem Dienstrechner (Laufwerk C) sowie die Veröffentlichungen auf den Plattformen selbst inklusive aller System-Papierkörbe. Meldung der Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO): Der Datenschutzbeauftragte hat den Vorfall am 12.05.2026 um 09:57 Uhr fristgerecht innerhalb der 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO bei der zuständigen Aufsichtsbehörde gemeldet. Benachrichtigung der betroffenen Personen (Art. 34 DSGVO): Da ein hohes Risiko für die Rechte und Freiheiten der Kinder durch die Internetveröffentlichung nicht ausgeschlossen werden konnte, wurden alle Elternhäuser am 22.05.2026 per Elternbrief über die sich in der Erprobung befindliche Kita-App informiert. Gleichzeitig erfolgte ein Aushang in der Elternecke, um über die Panne sowie die Gegenmaßnahmen aufzuklären. Da das Bildmaterial zur Identifikation der einzelnen Familien sofort vernichtet worden war, konnte entgegen der Darstellung in dem Brief kein persönlicher Kontakt mit allen betroffenen Eltern aufgenommen werden. Offizieller Verfahrensabschluss durch die LDI NRW: Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) hat die städtische Selbstanzeige unter dem behördlichen Aktenzeichen T5.4-41197/26 intensiv geprüft. Aufgrund der lückenlosen Kooperation, der unverzüglichen Löschung und des dargelegten Präventionskonzepts hat die LDI NRW das Verfahren mit Schreiben vom 01.07.2026 ordnungsgemäß und ohne Verhängung von Sanktionen, Geldbußen oder Verweisen abgeschlossen. Die folgenden organisatorischen Änderungen wurden durch den Verwaltungsvorstand bereits veranlasst, um strukturelle Wiederholungen im Bereich der städtischen Öffentlichkeitsarbeit rechtssicher auszuschließen: Organisatorisches BYOD-Verbot: Das Anfertigen von Foto-, Audio- und Videoaufnahmen mit privaten Endgeräten zu dienstlichen Zwecken wird in allen sensiblen Bereichen der Verwaltung (Kitas, Schulen, soziale Dienste) strikt untersagt. Aufnahmen dürfen ausschließlich mit behördlich inventarisierten und datenschutzkonform konfigurierten Dienstgeräten erfolgen. Technisches Verbot nicht-autorisierter Cloud-Dienste: Die Nutzung von Web-Anwendungen Dritter zur Verarbeitung personenbezogener Daten ohne vorherige Prüfung und Freigabe durch den Informationsschutz- und den Datenschutzbeauftragten (insb. ohne AVV nach Art. 28 DSGVO) wird softwareseitig auf städtischen Systemen unterbunden. Einführung des granularen Einwilligungskonzepts: Das neue Formular der Pressestelle stellt die Einhaltung des Prinzips der Bestimmtheit der Einwilligung (Art. 7 DSGVO) sicher. Eltern erhalten echte, modulare Wahlmöglichkeiten für die Kanäle Printmedien, städtische Homepage und Social Media. Die Einwilligung ist gemäß Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft frei widerruflich. Verpflichtendes Freigabeverfahren (Vier-Augen-Prinzip): Medienbeiträge dürfen erst dann veröffentlicht werden, wenn ein nachweisbarer Abgleich des finalen Schnitts mit der aktuellen Einverständnisliste der jeweiligen Einrichtung stattgefunden hat. Die fachliche und datenschutzrechtliche Freigabe verbleibt organisatorisch bei der jeweiligen Einrichtungsleitung. Am 01.07.2026 teilte die Landesbeauftrage für Datenschutz und Informationsfreiheit NRW in seiner Mail an den städtischen Datenschutzbeauftragten mit: „Ich betrachte den Vorgang – vorbehaltlich neuer Erkenntnisse zum Sachverhalt – in meiner Zuständigkeit als abgeschlossen.“ Auf Grundlage der E-Mail des LDIs und des Umstands, dass keine weiteren Beschwerden oder Nachfragen durch betroffene in diesem Vorfall vorliegen, stuft auch die Verwaltung die Aufarbeitung als abgeschlossen ein. Gleichzeitig möchte die Verwaltung ausdrücklich ihr Bedauern über den Vorfall ausdrücken und bei den Betroffenen um Entschuldigung bitten. Teil II: Datenerhebung und Einführung der Kita-App „Kitaversum“ Zum 01.08.2026 wird die Kita-App „Kitaversum“ als elementares Werkzeug für die Verwaltungsaufgaben und die Kommunikation in den städtischen Kindertageseinrichtungen verbindlich eingeführt. Über den Verlauf des Implementierungsprozesses wurde der Kinder- und Jugendhilfeausschuss unter anderem mittels der Vorlage V/2026/083 im Vorfeld regelmäßig informiert. Die Einführung wurde durch eine intensive, mehrstufige Testphase vorbereitet, in deren Verlauf die Mitarbeitenden kontinuierlich im Umgang mit der Anwendung geschult wurden. Zudem erprobten das pädagogische Personal sowie die Elternbeiräte die einzelnen Funktionen umfassend im Praxisbetrieb. Notwendige, auf den örtlichen Betrieb abgestimmte Anpassungen wurden in dieser Phase direkt mit dem Softwarehersteller erarbeitet und umgesetzt. Die Freischaltung der App für die Sorgeberechtigten erfolgte schrittweise und orientierte sich am individuellen Testfortschritt der jeweiligen Einrichtung. Aufgrund erforderlicher technischer Abstimmungen mit der hausinternen EDV sowie unterschiedlicher Rahmenbedingungen in den Kitas variierte der Implementierungsfortschritt. Um einen einheitlichen und qualitätsgesicherten Start zu garantieren, wurde die offizielle Live-Schaltung für alle Einrichtungen auf den Beginn des neuen Kitajahres zum 01.08.2026 terminiert. Um die Testphase partizipativ mit den Eltern gestalten zu können, war vorab eine Migration der Kinder-Grunddaten erforderlich. Die vorhandenen Daten wurden über eine herstellerseitige Schnittstelle mittels einer standardisierten Excel-Vorlage übertragen. Bei dieser Befüllung der Transferdatei wurden unterschiedliche Datensätze übermittelt, was dazu führte, dass fälschlicherweise teilweise bereits die kompletten Stammdaten der Kinder und Sorgeberechtigten in die App eingepflegt wurden. Die gesammelte Implementierung dieser Datensätze fand am 05.01.2026 statt. Im Juni wurde die Verwaltung durch fachkundige Eltern auf diesen Fehler hingewiesen. In der Folge wurden umgehend alle überschüssig implementierten Daten in der App gelöscht, und die Elternschaft wurde über diesen Umstand mit einer E-Mail des Fachamtes vom 23.06.2026 informiert. Es steht weiterhin aus, die Erziehungsberechtigten umfassend darüber zu informieren, welche spezifischen Daten fälschlicherweise in die App eingepflegt wurden. Diese Information ist rechtlich geboten und hat individuell zu erfolgen. Im weiteren Verlauf der Testphase wurden die Berechtigungsgruppen sowie die einzelnen Funktionsmodule detailliert überprüft. Auf dieser Grundlage wurde im Rahmen einer Evaluation entschieden, welche Module in der finalen Anwendung für den Echtbetrieb berücksichtigt werden. Hierbei zeigte sich der Versuch, einzelne Funktionen bereits im Testbetrieb als verbindlich zu deklarieren, um Doppelstrukturen zu vermeiden, als unzulässig. Zudem wurde im Rahmen des Informationsflusses deutlich, dass Mitteilungen an die Elternschaft nicht durchgängig gleichermaßen parallel über E-Mail, App und Aushang weitergeleitet wurden, wenngleich dabei keine inhaltliche Abstufung stattfand. Aus diesen Erkenntnissen des Testbetriebs und dem konstruktiven Austausch mit der Elternschaft konnten schließlich die finale Datenschutzinformation sowie die entsprechenden Einverständniserklärungen für die Sorgeberechtigten rechtssicher erarbeitet, optimiert und fertiggestellt werden. Die weiteren Ausführungen konzentrieren sich strikt auf die datenschutzrelevanten und technischen Sachverhalte sowie die Wiederherstellung eines DSGVO-konformen Zustands. Die organisatorische Ausgestaltung des Kita-Betriebs sowie die Entscheidung über administrative Kommunikations- und Abrechnungswege fallen in die originäre Zuständigkeit des Jugendamtes als fachlich verantwortliche Stelle. Aus datenschutzrechtlicher Sicht stellt sich der geprüfte Sachverhalt wie folgt dar: 1. Technische Rüge zur Netzwerkinfrastruktur (Wireshark-Analyse) Im Juni 2026 ging eine formelle datenschutzrechtliche Anfrage eines Sorgeberechtigten ein, der mittels einer technischen Netzwerkanalyse (Wireshark-Paketverfolgung) den Applikationsverkehr der Anwendung überprüft hatte. Rügegegenstand war die Feststellung, dass der Datenverkehr über eine Google-Cloud-Infrastruktur geleitet wird, ohne dass den Eltern vorab transparente Informationen gemäß Art. 13 DSGVO oder spezifische Einwilligungserklärungen vorlagen. Die datenschutzrechtliche Prüfung dieser technischen Infrastruktur hat Folgendes ergeben: Vertragliche Absicherung: Ein rechtskonformer Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO mit dem Softwarehersteller liegt vor und regelt die technischen Befugnisse klar. Datenschutz-Folgenabschätzung (DSFA): Eine vollumfängliche DSFA gemäß Art. 35 DSGVO wurde bereits im November 2025 abgeschlossen und bewertet. Serverstandort und Datenflüsse: Das Google Cloud-Hosting ist vertraglich bindend auf das Rechenzentrum Frankfurt am Main (europe-west3) begrenzt. Statische Daten verbleiben bei der STRATO AG in Berlin. Das inhärente Risiko bezüglich des US-Cloud Acts (Zugriff US-amerikanischer Behörden) wurde im Rahmen der DSFA analysiert und durch durchgehende Verschlüsselungsverfahren (Data at Rest / TLS) auf ein rechtlich zulässiges Minimum reduziert. Fehlende Transparenz in der Testphase: Die Rüge bezüglich der unzureichenden Information der Eltern während der Erprobung ist im Kern berechtigt. Zwar greift für die Bereitstellung des Kommunikationskanals in dieser Phase als Rechtsgrundlage Art. 6 Abs. 1 lit. e DSGVO i.V.m. § 45 SGB VIII (Erfüllung einer öffentlich-rechtlichen Aufgabe), jedoch wurden die Informationspflichten nach Art. 13 DSGVO nicht rechtzeitig vorab erfüllt. 2. Unzulässiger Vorab-Datenimport (Verstoß gegen Art. 5 Abs. 1 lit. c DSGVO) Im Zuge der Sachaufklärung wurde ein weiteres datenschutzrechtliches Versäumnis festgestellt: Bereits am 05.01.2026 erfolgte ein manueller Import von Stammdaten über Excel-Vorlagen in die Testumgebung der Fachanwendung. Rechtliche Bewertung: Der importierte Datenkranz war unnötig weit gefasst und beinhaltete vollständige Namen der Kinder, Geschlecht, Geburtsdaten, Wohnanschriften, Namen der Sorgeberechtigten sowie Telefonnummern. Für die bloße Erprobung des Kommunikationskanals war dieser Umfang nachweislich nicht erforderlich. Dies stellte einen Verstoß gegen den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) sowie gegen das Prinzip Privacy by Design (Art. 25 DSGVO) dar. 3. Rechtsgrundlagen im Regelbetrieb (ab 01.08.2026) Für den verbindlichen Vollbetrieb ab dem neuen Kita-Jahr ist eine strikte modulbasierte Trennung der Datenverarbeitung vorgeschrieben: Administrative Kerndaten: Für den Kernbetrieb (Basisdaten) ist keine Einwilligung der Eltern erforderlich. Diese Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b und lit. e DSGVO i.V.m. § 3 DSG NRW sowie die geltende kommunale Kitasatzung zur Erfüllung des öffentlich-rechtlichen Betreuungsverhältnisses. Optionale Zusatzmodule: Erweiterte Funktionen (z. B. Fotogalerien, interaktive Eltern-Chats) dürfen ausschließlich auf Basis einer freiwilligen, schriftlichen Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO genutzt werden, die im Juli 2026 eingeholt wird. Sensible Daten (Art. 9 DSGVO): Besondere Kategorien personenbezogener Daten (z. B. Allergien, Krankheiten) werden zu keinem Zeitpunkt behördlich vorab importiert. Diese verbleiben entweder analog in den Einrichtungen oder werden von den Sorgeberechtigten künftig rein freiwillig eigenständig eingepflegt. 4. Keine Meldepflicht nach Art. 33 DSGVO Das Vorliegen eines meldepflichtigen Datenschutzvorfalls wurde eingehend geprüft. Da die Datenverarbeitung innerhalb einer vertraglich abgesicherten Struktur stattfand, kein unbefugter Zugriff Dritter vorlag und es sich um ein internes behördliches Abstimmungsversäumnis handelte, lag kein Risiko für die Rechte und Freiheiten der betroffenen Personen vor. Nach Prüfung des Sachverhalts kam die Verwaltung zu dem Ergebnis, dass die Voraussetzungen einer Meldepflicht nach Art. 33 DSGVO im Zusammenhang mit diesem Datenimport nicht vorlagen. III. Abgeschlossene datenschutzrechtliche Sofortmaßnahmen Zur Wiederherstellung des rechtmäßigen Zustands wurden folgende datenschutzrechtliche Maßnahmen bereits vollzogen: Vollständige Datenbankbereinigung (22.06.2026): Die Test-Datenbank wurde vollumfänglich bereinigt. Sämtliche unzulässigerweise vorab importierten überschüssigen Stammdaten (Adressen, Telefonnummern etc.) wurden unwiderruflich gelöscht. Der aktuelle Datenbestand (Kinder-Grunddaten) beschränkt sich im Testbetrieb strikt auf: Name des Kindes, Gruppenzuordnung, E-Mail-Adresse der Sorgeberechtigten. Restriktive Chat-Konfiguration: Der Softwarehersteller wurde darauf hingewiesen, die Standardkonfiguration der Gruppenchats so anzupassen, dass die Sichtbarkeit von Klarnamen unter den Eltern im System auf das absolut notwendige Minimum beschränkt wird. Herstellung der Transparenzpflichten: Die vollständigen Datenschutzinformationen nach Art. 13 DSGVO (inklusive detaillierter Erläuterung der Google-Cloud-Infrastruktur und der Verschlüsselungsmechanismen) sowie die Einwilligungserklärungen werden den Sorgeberechtigten im Laufe des Monats Juli rechtzeitig vor dem Start des Regelbetriebs ausgehändigt. Risiko-Matrix zur Feststellung der Meldepflicht Kriterium Sachverhalt beim Vorab-Import Risikostufe / Bewertung Art der Verletzung Unzulässige Verarbeitung (Verstoß gegen Datenminimierung/Zweckbindung durch vorzeitigen Import). Keine Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit. Gering Kategorie der Daten Stammdaten (Name, Adresse, Geburtsdatum, Telefonnummer). Wichtig: Keine Daten nach Art. 9 DSGVO (Gesundheitsdaten, Allergien), keine Bankdaten. Gering bis Moderat (da Daten von Minderjährigen betroffen). Empfängerkreis Ausschließlich der vertraglich gebundene Auftragsverarbeiter (Hoster der App) innerhalb der EU (Frankfurt am Main). Keine Offenlegung gegenüber der Öffentlichkeit oder kriminellen Dritten. Null / Nicht vorhanden Eindämmungsmaßnahmen Sofortige, vollständige und unumkehrbare Löschung der überschüssigen Daten am 22.06.2026. Risiko-Ausgleich erfolgt 1. Die Datenhoheit lag und bleibt lückenlos bei der Stadt Die Stadt Herzogenrath hat hier keine Daten unberechtigt oder neu erhoben. Als Träger der Einrichtungen lagen sämtliche Daten (Namen, Adressen, Geburtsdaten) bereits vollkommen rechtmäßig, im Rahmen der gesetzlichen Aufgabenwahrnehmung nach dem SGB VIII, bei der Stadt vor. Es fand kein Datendiebstahl und kein Zufluss von außen statt. Es handelte sich rein rechtlich um einen verfrühten, internen Systemtransfer bereits vorhandener Daten in eine neue technische Umgebung, der das Prinzip der Datenminimierung verletzt hat, nicht aber die Datensicherheit an sich. 2. Kein Datenabfluss und kein unbefugter Zugriff Dritter Es liegt zu keinem Zeitpunkt ein klassisches „Datenleck“ vor. Die Daten wurden nicht im Internet exponiert und es gab keinen unbefugten Zugriff durch Dritte. Die Verarbeitung erfolgte ausschließlich innerhalb einer vertraglich nach Art. 28 DSGVO strikt abgesicherten und verschlüsselten Cloud-Infrastruktur im zertifizierten Rechenzentrum Frankfurt am Main (europe-west3). Der Hoster agiert hierbei rein weisungsgebunden als verlängerter Arm der Stadtverwaltung. 3. Keine sensiblen Daten nach Art. 9 DSGVO betroffen Der fälschlicherweise vorab importierte Datenkranz beschränkte sich auf administrative Stammdaten (Identifikations- und Kontaktdaten). Es wurden zu keinem Zeitpunkt hochsensible Datenkategorien wie Gesundheitsdaten, Allergien, Religionszugehörigkeit oder Entwicklungsberichte in das System eingepflegt. 4. Unverzügliche, vollständige und unumkehrbare Heilung Unmittelbar nach der datenschutzrechtlichen Beanstandung wurde am 22.06.2026 eine vollständige Datenbankbereinigung durchgeführt. Alle überschüssigen Daten (Adressen, Telefonnummern) wurden unwiderruflich gelöscht. Der aktuelle Zustand des Systems ist DSGVO-konform und auf das Minimum reduziert. Das Problem wurde behördlich gelöst, noch bevor ein realer Schaden entstehen konnte. Da die Daten ausschließlich innerhalb des nach Art. 28 DSGVO zertifizierten und verschlüsselten Systems verarbeitet wurden, bestand zu keinem Zeitpunkt die Gefahr von Identitätsdiebstahl oder anderem Schaden für individuelle Rechtsgüter. Ein verbleibendes Risiko für die Betroffenen konnte proaktiv und vollständig ausgeschlossen werden. Mangels Erreichens des gesetzlichen Risikoschwellenwerts bestand keine gesetzliche Meldepflicht nach Art. 33 DSGVO.