DSGVO im Bildungswesen: Was Schulen tatsächlich treffen müssen

Für eine Schule lässt sich die DSGVO, die in den Niederlanden als AVG bekannt ist, auf einen Grundsatz reduzieren: Schülerdaten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden, sie dürfen nur so lange aufbewahrt werden, wie sie benötigt werden, und es muss nachgewiesen werden können, dass sorgfältig mit ihnen umgegangen wird. Das klingt nach Papierkram, aber in der täglichen Praxis geht es vor allem um das Verhalten: Wer teilt welche Datei mit wem, über welchen Kanal, und wer hat noch Zugriff auf ein System, das er vor zwei Jahren verlassen hat?

Im Folgenden gehen wir darauf ein, welche Daten Schulen tatsächlich verarbeiten, wer dafür verantwortlich ist, welche Vereinbarungen mit den Anbietern Ihrer digitalen Lerntools zu treffen sind, wie es in einer Schule tatsächlich zu Datenschutzverletzungen kommt und in welchem Zusammenhang all dies mit dem „Normenkader IBP“ steht, auf dessen Umsetzung die Schulen hinarbeiten.

Welche Daten werden von Schulen verarbeitet und warum sind diese sensibel?

Schulen verfügen über mehr personenbezogene Daten als die meisten Organisationen gleicher Größe, und ein großer Teil davon betrifft Minderjährige. Genau aus diesem Grund gelten hier strengere Vorschriften als in einem Unternehmen mit derselben Mitarbeiterzahl.

• Grundlegende Schülerdaten. Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, Angaben zu Eltern oder Erziehungsberechtigten. Auf den ersten Blick unscheinbar, doch von großem Wert für jeden, der ein Profil erstellt.
• Lernfortschritte und -ergebnisse. Noten, Testergebnisse, Zeugnisse, Vermerke im Schülerverwaltungssystem. Sensible Daten, da sie ein Kind über Jahre hinweg begleiten.
• Unterlagen zu Betreuung und Unterstützung. Bescheinigungen über Legasthenie, ärztliche Atteste, Berichte von Betreuungsteams. Hierbei handelt es sich um Daten einer besonderen Kategorie, die im gesamten Gebäude mit äußerster Sorgfalt behandelt werden müssen.
• Bilder und Aufzeichnungen. Fotos auf der Website der Schule, Videos von einem Schulausflug, Aufzeichnungen einer Unterrichtsstunde. Die Einwilligung ist in diesem Fall spezifisch, widerrufbar und wird oft vergessen.
• Kommunikation mit den Eltern. E-Mails und Nachrichten zu einzelnen Schülern, einschließlich Konflikten und schwierigen Situationen zu Hause.

Was dies von einem Unternehmen unterscheidet, ist die Kombination folgender Faktoren: Die Daten sind sensibel, es handelt sich um Kinder, die die Folgen nicht abschätzen können, und die damit befassten Personen sind Lehrer, deren Aufgabe das Unterrichten und nicht der Datenschutz ist.

Wer ist an einer Schule für die DSGVO verantwortlich?

Formell gesehen ist die Schulbehörde der Verantwortliche. Sie ist die Stelle, die festlegt, warum und wie personenbezogene Daten verarbeitet werden, und an die sich die Autoriteit Persoonsgegevens wendet, wenn etwas schiefgeht. Viele Schulbehörden ernennen einen Datenschutzbeauftragten, und im Bildungswesen gibt es in der Regel auch einen IBP-Koordinator, der in der Praxis für die Informationssicherheit und den Datenschutz sorgt.

Die Kluft, die die meisten Probleme verursacht, besteht zwischen dieser formellen Verantwortung und der täglichen Realität. Der Vorstand trägt die Verantwortung, doch die tatsächliche Umsetzung findet im Klassenzimmer und in der Schulverwaltung statt: ein Lehrer, der eine Klassenliste exportiert, ein Verwaltungsmitarbeiter, der eine Betreuungsakte weiterleitet, ein Vertretungslehrer, der sich mit einem gemeinsamen Konto anmeldet. Eine Richtlinie, die nie in diese Hände gelangt, ist keine Einhaltung der Vorschriften, sondern reine Dokumentation.

Verarbeitungsverträge mit Ihren Lieferanten

Schulen nutzen externe Tools: das Schülerverwaltungssystem, digitale Lernmaterialien, eine Kommunikations-App für Eltern, einen Cloud-Speicherdienst. Jeder Anbieter, der in Ihrem Auftrag Schülerdaten verarbeitet, gilt als Auftragsverarbeiter, und für diese Beziehung ist eine Auftragsverarbeitungsvereinbarung erforderlich, in der festgelegt ist, was er mit den Daten tun darf, wie er sie schützt, wie lange er sie aufbewahrt und was bei Vertragsende geschieht.

Zwei praktische Hinweise: Erstens sollten Sie prüfen, ob für jedes verwendete Tool tatsächlich eine solche Vereinbarung vorliegt – auch für diejenigen, die ein einzelner begeisterter Lehrer eingeführt hat, ohne jemanden davon in Kenntnis zu setzen. Zweitens sollten Sie bedenken, dass die Unterzeichnung der Vereinbarung Ihre Verantwortung nicht überträgt: Sollte ein Anbieter Daten weitergeben, ist die Schule weiterhin der Verantwortliche und muss die betroffenen Personen dennoch informieren.

Wie es an Schulen tatsächlich zu Datenschutzverletzungen kommt

Fast nie durch einen spektakulären Hackerangriff. Die Meldungen, die bei der Autoriteit Persoonsgegevens aus dem Bildungssektor eingehen, sind überwiegend alltäglicher Natur, und das ist eine gute Nachricht, denn alltägliche Ursachen lassen sich durch Schulungen beseitigen.

1. Der falsche Empfänger. Eine Klassenliste, eine Notenübersicht oder ein Zeugnis, das per E-Mail an die falsche Adresse gesendet wurde oder an eine ganze Elterngruppe im Feld „An“ statt im Feld „BCC“. Der häufigste Verstoß im Bildungswesen überhaupt.
2. Gemeinsame Zugangsdaten. Ein einziges Konto für das Schülerverwaltungssystem, das das gesamte Team nutzt, da die Einrichtung separater Konten zu lange gedauert hätte. Im Nachhinein lässt sich nicht mehr nachvollziehen, wer sich was angesehen hat.
3. Geräte und Speichermedien, die verloren gehen. Ein Laptop im Auto, ein USB-Stick mit einer Sicherungskopie der Ergebnisse, ein privates Handy mit Schulfotos darauf.
4. Phishing-Angriffe auf Schulkonten. Angreifer wissen, dass ein Schul-E-Mail-Konto den Zugang zu zahlreichen Daten über Minderjährige ermöglicht. Ein einziger Klick auf eine gefälschte Anmeldeseite reicht schon aus.
5. Ein Zugriffsrecht, das nie widerrufen wurde. Der Aushilfsmitarbeiter vom letzten Frühjahr, dessen Konto noch aktiv ist, der ehemalige Kollege, dessen Zugriff auf das gemeinsame Laufwerk niemand deaktiviert hat.

Wenn doch einmal etwas schiefgeht, kommt es auf die Zeit an. Eine Datenpanne, die ein Risiko für die betroffenen Personen darstellt, muss der Autoriteit Persoonsgegevens unverzüglich und grundsätzlich innerhalb von 72 Stunden gemeldet werden, und die betroffenen Personen müssen informiert werden, wenn das Risiko für sie hoch ist. Diese Frist ist nur dann realistisch, wenn ein Lehrer, der einen Verdacht hegt, dies noch am selben Morgen meldet – was eher eine Frage der Kultur als der Vorgehensweise ist. Es hilft, das Thema im Gespräch zu halten: Ein Datenschutzbewusstsein, das in kleinen Dosen vermittelt wird, wirkt besser als eine jährliche Unterweisung, und ein lockeres Format wie DSGVO-Schulungsspiele sorgt in einem vielbeschäftigten Teamraum für mehr Beteiligung als ein Richtlinien-Dokument.

Die Verbindung zum Normenkader IBP

Datenschutz und Informationssicherheit gehen in Schulen Hand in Hand. Der Normenkader IBP für den Primar- und Sekundarbereich fasst beides in konkreten Anforderungen zusammen, und die Schulen arbeiten darauf hin, wobei der 1. Januar 2027 als Zieltermin gilt. Ein Großteil der Anforderungen des Rahmenwerks deckt sich mit den bereits in der DSGVO festgelegten Vorgaben: Man muss wissen, welche Daten man besitzt, den Zugriff ordnungsgemäß regeln, Vereinbarungen mit Lieferanten treffen und nachweisen können, dass die Mitarbeiter wissen, wie sie sich verhalten müssen.

Diese Überschneidung sollte man sich zunutze machen. Eine Schule, die den Aspekt der Sensibilisierung im Rahmen des „Normenkaders“ ernst nimmt, erfüllt gleichzeitig auch ihre Pflichten gemäß der DSGVO – und umgekehrt. Wenn man diese beiden Bereiche als zwei getrennte Projekte betrachtet, führt dies dazu, dass Schulvorstände dieselbe Arbeit doppelt erledigen und dabei zwei verschiedene Papierstapel anlegen müssen.

Wie Guardey Schulen in personellen Belangen unterstützt

Die Sicherheitsschulungen von Guardey richten sich an Teams, die keine Zeit zu verlieren haben: wöchentliche Herausforderungen von etwa drei Minuten Dauer, Gamification mit Bestenlisten und Serien sowie Inhalte, die sich an den tatsächlich aktuellen Bedrohungen orientieren. Für Schulen bedeutet das, dass die Szenarien aus dem Alltag stammen – von einer Phishing-E-Mail, die auf ein Schulkonto abzielt, bis hin zur Frage, welches Foto auf der Website veröffentlicht werden darf.

KONOT, eine Schulorganisation im Bildungsbereich, nutzt Guardey, um das Sicherheitsbewusstsein ihrer Lehrkräfte zu stärken, und unsere Sicherheitsschulungen für Schulen sind genau auf diesen Kontext zugeschnitten. Die Lehrkräfte absolvieren die Schulung über die mobile App für iOS und Android oder einfach im Browser; integrierte Phishing-Simulationen zeigen, ob das Erkennen von Bedrohungen auch zu entsprechendem Verhalten führt, und die Berichterstellung liefert der Schulleitung konkrete Ergebnisse für den Normenkader IBP. Die Einrichtung dauert nur wenige Minuten.

Häufig gestellte Fragen zur DSGVO im Bildungswesen

Darf eine Schule Fotos von Schülern veröffentlichen?

Nur mit einer gültigen Einwilligung – was bei jüngeren Kindern die Einwilligung der Eltern oder Erziehungsberechtigten bedeutet –, wobei diese Einwilligung konkret angeben muss, wo das Bild verwendet wird, und jederzeit widerrufen werden kann. In der Praxis liegt das Problem selten in der Einwilligungserklärung selbst, sondern darin, den Überblick darüber zu behalten, wer seine Einwilligung verweigert hat, und sicherzustellen, dass der Kollege, der den Beitrag in den sozialen Medien veröffentlicht, davon in Kenntnis gesetzt wird.

Wie lange darf eine Schule Schülerdaten aufbewahren?

Nur so lange, wie es für den jeweiligen Zweck erforderlich ist, wobei für Teile der Unterlagen gesetzliche Aufbewahrungsfristen gelten. Die praktische Frage ist nicht die genaue Dauer, sondern, ob tatsächlich jemand etwas löscht: Viele Schulen bewahren jahrelang alte Unterlagen auf, einfach weil niemand damit beauftragt wurde, sie zu löschen.

Haftet ein Lehrer persönlich für eine Datenschutzverletzung?

So gut wie nie. Der Schulausschuss ist der Verantwortliche und trägt die Verantwortung. Das sollte man im Lehrerzimmer laut aussprechen, denn die Angst vor Schuldzuweisungen ist der Hauptgrund dafür, dass ein Fehler erst spät gemeldet wird – und gerade diese verspätete Meldung macht aus einem kleinen Vorfall ein Problem für die Schulleitung.

Brauchen wir einen Datenschutzbeauftragten?

Behörden und öffentliche Einrichtungen müssen einen solchen Ansprechpartner benennen, und Schulen fallen in der Regel in diese Kategorie, auch wenn die Organisation unterschiedlich ist: Manche Schulbehörden benennen einen eigenen Ansprechpartner, andere teilen sich einen für eine Gruppe von Schulen. Wichtiger ist jedoch, dass diese Anlaufstelle für die Menschen mit alltäglichen Fragen tatsächlich erreichbar ist.

Die Schulen, bei denen die DSGVO-Vorgaben ordnungsgemäß umgesetzt sind, sind selten diejenigen mit dem dicksten Ordner voller Richtlinien. Es sind vielmehr jene, in denen ein Lehrer weiß, wie er mit einer verdächtigen E-Mail umgehen muss, in denen ein Konto in der Woche, in der jemand das Unternehmen verlässt, deaktiviert wird und in denen das Melden eines Fehlers ganz normal ist und nicht als unangenehm empfunden wird. Das ist eine Kultur, und Kulturen entstehen in kleinen Schritten.