Vom Anmeldeformular bis zum Zeugnis: Diese Checkliste zeigt Schulleitungen Schritt für Schritt, welche Datenschutzpflichten die DSGVO für Schülerdaten vorgibt.
Vom Anmeldeformular über das Klassenbuch bis zum Zeugnis verarbeiten Sie an Ihrer Schule täglich hochsensible Daten von Minderjährigen. Die DSGVO an Schulen setzt dafür klare Grenzen und macht die Schulleitung als verantwortliche Stelle rechenschaftspflichtig. Dieser Beitrag ordnet die wichtigsten Pflichten ein und bündelt sie in einer Checkliste, die Sie Schritt für Schritt abarbeiten können.
Die DSGVO verpflichtet Schulen, personenbezogene Schülerdaten nur auf klarer Rechtsgrundlage, zweckgebunden und sicher zu verarbeiten. Zu den Kernpflichten zählen ein Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Schutzmaßnahmen, geregelte Betroffenenrechte sowie Verträge zur Auftragsverarbeitung. Eine Checkliste macht diese Anforderungen überprüfbar und dokumentiert Ihre Rechenschaftspflicht gegenüber der Aufsichtsbehörde.
Ein Hinweis vorab: Dieser Beitrag bietet allgemeine Informationen und keine Rechtsberatung. Er kann die Prüfung durch eine Fachanwältin oder einen Fachanwalt für IT- und Datenschutzrecht nicht ersetzen. Datenschutzkonzepte, Verträge und Einwilligungserklärungen sollten Sie vor der Einführung anwaltlich sowie mit Ihrer oder Ihrem Datenschutzbeauftragten gegenprüfen lassen. Die folgenden Punkte sind als Orientierung gedacht, nicht als abschließende rechtliche Bewertung Ihres Einzelfalls.
Schulen verarbeiten Daten von Kindern und Jugendlichen, die die Datenschutz-Grundverordnung als besonders schutzbedürftig einstuft. Anders als Kundinnen und Kunden eines Unternehmens können sich die Betroffenen der Verarbeitung kaum entziehen — die Schulpflicht lässt keine Wahl.
Das erhöht Ihre Verantwortung als verantwortliche Stelle im Sinne von Artikel 4 DSGVO erheblich. Die Erwartungen der Aufsichtsbehörden an Dokumentation, Zugriffsschutz und Fristen sind entsprechend hoch.
Neben Name, Adresse und Noten fallen an Schulen auch besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO an. Diese Kategorien sind eng und abschließend definiert. Im Schulkontext betrifft das vor allem:
Ein sonderpädagogischer Förderbedarf zählt nicht automatisch zu diesen besonderen Kategorien. Erst wenn er auf einer ärztlichen oder gesundheitsbezogenen Feststellung beruht, handelt es sich um Gesundheitsdaten im Sinne von Artikel 9.
Die rein schulorganisatorische Feststellung eines Förderbedarfs ist zwar sensibel und schutzwürdig, fällt aber nicht ohne Weiteres unter Artikel 9. Prüfen Sie im Zweifel mit Ihrer oder Ihrem Datenschutzbeauftragten, wie ein konkreter Datensatz einzuordnen ist. Für Daten der besonderen Kategorien gelten strengere Anforderungen: Sie brauchen eine ausdrückliche Rechtsgrundlage und sollten den Kreis der Zugriffsberechtigten besonders eng begrenzen.
Jede Verarbeitung braucht eine Rechtsgrundlage. An öffentlichen Schulen ist das in der Regel nicht die Einwilligung, sondern die Erfüllung einer rechtlichen Verpflichtung oder einer Aufgabe im öffentlichen Interesse — konkretisiert durch die Schulgesetze und Datenschutzverordnungen der Länder.
Deshalb lohnt sich der Blick in das Landesrecht: Welche Daten Sie zu welchem Zweck erheben dürfen, ergibt sich häufig aus konkreten landesrechtlichen Vorschriften, nicht allein aus der DSGVO selbst.
Eine Einwilligung ist nur dort nötig, wo die Verarbeitung über den gesetzlichen Auftrag hinausgeht, etwa bei Klassenfotos auf der Website oder bei freiwilligen Lern-Apps. Achten Sie darauf, dass eine Einwilligung freiwillig, informiert und jederzeit widerrufbar ist.
Bei Kindern unter 16 Jahren müssen in der Regel die Erziehungsberechtigten einwilligen; die genaue Altersgrenze und die Formanforderungen richten sich nach den Regelungen des jeweiligen Landes.
Die folgende Kurzübersicht fasst zusammen, was jede Schule dokumentieren können sollte. Die Details zu jedem Punkt lesen Sie in den Abschnitten darunter.
Das Verzeichnis nach Artikel 30 DSGVO ist das Herzstück Ihrer Dokumentation. Es hält fest, welche Daten Sie zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeiten.
Erfassen Sie jeden Prozess — von der Schüleraufnahme über die Notenverwaltung bis zur Organisation des Schülertransports. Eine gepflegte zentrale Stammdatenverwaltung erleichtert dieses Verzeichnis, weil die einzelnen Verfahren an einer Stelle sichtbar werden.
Technische und organisatorische Maßnahmen (TOM) schützen die Daten vor unbefugtem Zugriff. Prüfen Sie mindestens die folgenden Punkte:
Sobald ein externer Anbieter Schülerdaten verarbeitet — Cloud-Speicher, Lernplattform oder Schulverwaltungssoftware —, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO.
Prüfen Sie, wo die Daten gespeichert werden und ob ein Serverstandort innerhalb der EU vertraglich zugesichert ist. Fehlt ein AVV, verstoßen Sie unter Umständen bereits durch die bloße Nutzung des Dienstes gegen die DSGVO.
Eltern sowie volljährige Schülerinnen und Schüler haben ein Recht auf Auskunft, Berichtigung und Löschung. Legen Sie fest, wer solche Anfragen entgegennimmt und innerhalb welcher Frist — die DSGVO verlangt grundsätzlich eine Antwort binnen eines Monats.
Dokumentieren Sie jede Anfrage und Ihre Antwort, damit Sie im Zweifel eine fristgerechte Bearbeitung nachweisen können. Wenn alle Angaben zu einer Schülerin oder einem Schüler an einer Stelle zusammenlaufen, lassen sich solche Auskünfte in der Regel schneller und vollständiger erteilen.
Daten dürfen nicht länger gespeichert werden als nötig. Die Aufbewahrungsfristen ergeben sich aus den Schulgesetzen der Länder und unterscheiden sich je nach Dokumentart deutlich.
Halten Sie schriftlich fest, welche Unterlage wie lange aufbewahrt und wann sie gelöscht wird. Digitale Systeme wie eine digitale Schülerakte können solche Fristen abbilden und an fällige Löschungen erinnern; die fachliche Entscheidung, welche Daten tatsächlich entfernt werden, bleibt bei Ihnen.
Geht ein USB-Stick verloren oder landet eine Klassenliste im falschen Verteiler, kann eine meldepflichtige Datenpanne vorliegen. Entscheidend ist, ob der Vorfall voraussichtlich zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt.
Liegt ein solches Risiko vor, müssen Sie den Vorfall binnen 72 Stunden der zuständigen Aufsichtsbehörde melden (Artikel 33 DSGVO). Die Frist läuft ab dem Zeitpunkt, zu dem die Panne bekannt wird.
Halten Sie dafür einen internen Meldeweg bereit, den jede Lehrkraft kennt. Wer im Ernstfall erst überlegen muss, an wen er sich wendet, verliert wertvolle Zeit innerhalb der Frist.
Öffentliche Schulen müssen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen. Diese Person berät die Schulleitung, schult das Kollegium und ist Ansprechpartner für die Aufsichtsbehörde.
Nutzen Sie die Rolle aktiv: Regelmäßige Schulungen des Kollegiums senken das Risiko menschlicher Fehler, die in der Praxis eine häufige Ursache für Datenschutzverstöße sind. Klären Sie außerdem früh, ob Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter bei neuen Verfahren vorab einzubinden ist.
Viele Verstöße entstehen nicht aus bösem Willen, sondern aus eingespielter Routine. Achten Sie besonders auf diese Grauzonen:
Viele dieser Grauzonen entstehen, weil Daten über viele Orte verstreut sind — private Chats, lokale Rechner, Papierordner. Welche Grundprinzipien dahinterstehen, vertieft unser Beitrag dazu, was beim Datenschutz an Bildungseinrichtungen wirklich zählt.
Die DSGVO an Schulen wirkt komplex und lässt sich nicht durch eine einzelne Checkliste abschließend erledigen. Sie lässt sich aber strukturiert angehen: Arbeiten Sie die Punkte ab, benennen Sie Verantwortliche und überprüfen Sie regelmäßig, ob Rechtsgrundlagen, Fristen und Zugriffsrechte noch aktuell sind.
Eine Checkliste ersetzt jedoch weder die laufende Bewertung Ihrer konkreten Verfahren noch die fachliche Prüfung. Lassen Sie Ihre Datenschutzkonzepte und Einwilligungserklärungen von einer Fachanwältin oder einem Fachanwalt für IT-Recht gegenprüfen, bevor Sie sie einführen — so machen Sie das Thema für Ihre Schule dauerhaft managebar.
Titelbild: cottonbro studio / Pexels
