Inhaltsverzeichnis
Jeder externe Dienst, der personenbezogene Daten Deiner Schule verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Das gilt für die Lernplattform ebenso wie für den Messenger, den Cloudspeicher und das Umfragewerkzeug. Die Pflicht selbst ist bundesweit gleich. Die Frage, wer den Vertrag unterschreibt, ist es nicht.
Genau daran hakt es in der Praxis. Ein Anbieter legt ein Muster vor, die Schulleitung setzt die Unterschrift darunter. Geprüft hat niemand, ob die Schule an dieser Stelle überhaupt die Verantwortliche im Sinne der DSGVO ist oder ob das der Schulträger beziehungsweise das Land ist. Ist sie es nicht, ist der Vertrag im Zweifel von der falschen Stelle geschlossen.
Die zweite Hürde liegt im Vertrag selbst. Er ist meist zwölf Seiten lang, größtenteils Gesetzeszitat und die vier Stellen, die tatsächlich etwas über den Anbieter aussagen, stehen in den Anlagen. Wer weiß, wo sie stehen, prüft einen AV-Vertrag in einer Viertelstunde.
Was Auftragsverarbeitung ist und was sie nicht ist
Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für Dich verarbeitet und keine eigenen Zwecke damit verfolgt. Du bleibst der Verantwortliche, er ist Dein verlängerter Arm — deshalb braucht es den Vertrag nach Art. 28 DSGVO, der genau das festhält.
Drei Konstellationen sehen ähnlich aus und sind es nicht:
- Eigene Verantwortlichkeit des Anbieters. Wer die Daten für eigene Zwecke auswertet, ist kein Auftragsverarbeiter. Ein AV-Vertrag heilt das nicht, er verdeckt es nur.
- Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, wenn Schule und Anbieter die Zwecke gemeinsam festlegen. Dann braucht es eine andere Vereinbarung, nicht denselben Vertrag.
- Keine Verarbeitung im Auftrag bei reiner Wartung ohne Datenzugriff — wobei ein Fernwartungszugang auf ein System mit Schülerdaten praktisch immer Zugriff bedeutet.
Ein praktischer Prüfsatz hilft bei der Einordnung: Frage, wer entscheidet, ob und wozu die Daten verarbeitet werden. Entscheidet die Schule das allein und der Anbieter führt nur aus, ist es Auftragsverarbeitung. Entscheidet der Anbieter mit — weil er die Daten zur Produktverbesserung auswertet, weil er Nutzungsprofile bildet, weil er das Angebot über Werbung finanziert —, ist es keine.
Die Unterscheidung ist keine Formalie. Sie entscheidet, wer haftet, wer Auskunft erteilt und wer eine Datenpanne meldet. Wenn ein Anbieter darauf besteht, dass er kein Auftragsverarbeiter sei, ist das eine wichtige Auskunft und kein Detail.
Der Vertrag ist schnell unterschrieben. Die Frage ist, ob Du überhaupt der Verantwortliche bist.
Wer unterschreibt: Schule oder Schulträger
Hier verlässt das Thema das Bundesrecht. Die DSGVO sagt, dass der Verantwortliche den Vertrag schließt; wer an einer öffentlichen Schule der Verantwortliche ist, beantwortet das Schulrecht des Landes; die Antwort fällt unterschiedlich aus.
Das verbreitete Muster trennt nach Aufgaben. Für die inneren Schulangelegenheiten — Unterricht, Leistungsbewertung, Schullaufbahn — ist in vielen Ländern die Schule selbst verantwortlich, vertreten durch die Schulleitung. Für die äußeren Schulangelegenheiten — Gebäude, Ausstattung, oft auch die IT-Infrastruktur — ist es der Schulträger. Nordrhein-Westfalen regelt die schulische Datenverarbeitung im Schulgesetz und in der Verordnung über die zur Verarbeitung zugelassenen Daten (VO-DV I), Bayern in Schulgesetz und Bayerischer Schulordnung. In den Stadtstaaten und bei landeseigenen Plattformen zieht die Verantwortung häufiger zur Behörde hin.
Ein Nebeneffekt dieser Zuständigkeitsfrage betrifft die Haftung. Wer als Verantwortlicher gilt, beantwortet auch, wer bei einer Beschwerde gegenüber der Aufsichtsbehörde Stellung nimmt und wer eine Datenpanne meldet. Steht das nicht fest, tut es im Ernstfall niemand. Das ist der schlechteste aller Zustände.
Für Dich folgt daraus eine simple Reihenfolge. Kläre zuerst, in welche Kategorie der Dienst fällt: Verarbeitet er pädagogische Daten oder betreibt er Infrastruktur? Frag dann bei der Stelle nach, die für diese Kategorie zuständig ist. In vielen Ländern gibt es für die großen Plattformen bereits einen zentral geschlossenen Vertrag — dann unterschreibst Du gar nichts, sondern trittst bei.
Was im Vertrag tatsächlich zu prüfen ist
Der Mindestinhalt steht in Art. 28 Abs. 3 DSGVO und ist in jedem Muster enthalten. Interessant sind die Stellen, an denen sich Anbieter unterscheiden.
| Prüfpunkt | Wonach Du suchst |
|---|---|
| Unterauftragnehmer | eine vollständige Liste mit Namen und Zweck, nicht nur eine Genehmigungsklausel |
| Serverstandort | konkrete Länder; bei Drittländern die Grundlage nach Art. 44 ff. DSGVO |
| Löschung nach Vertragsende | Frist, Format der Rückgabe, Umgang mit Sicherungskopien |
| Technische Maßnahmen | eine konkrete Anlage nach Art. 32, keine Aufzählung von Schlagworten |
| Weisungsrecht | ein benannter Weg für Weisungen, dokumentiert und nicht nur telefonisch |
| Kontrollrechte | Prüfbericht oder Zertifikat als Nachweis, damit die Schule nicht selbst prüfen muss |
Die Zeile mit den Sicherungskopien ist die, die am häufigsten fehlt. Ein Anbieter, der zusagt, die Daten nach Vertragsende zu löschen, sie aber noch Monate in rollierenden Backups hält, hat keinen Widerspruch produziert — er hat nur nicht gesagt, wann die Löschung wirklich abgeschlossen ist. Frag danach, bevor Du unterschreibst.
Eine zweite Stelle verdient dieselbe Aufmerksamkeit: die Liste der Unterauftragnehmer. Fast jeder Anbieter arbeitet mit weiteren Dienstleistern: Rechenzentrum, Sicherungsdienst, Supportsystem, Versanddienst für E-Mails. Jeder davon berührt Deine Daten. Eine Klausel, die den Einsatz weiterer Unternehmen allgemein genehmigt, ohne sie zu benennen, ist verbreitet, gibt Dir aber keine Möglichkeit zu widersprechen. Frag nach der Liste sowie nach dem Weg, auf dem Du über Änderungen informiert wirst.
Weitere interessante Artikel
Die Dienste, die regelmäßig vergessen werden
Die Lernplattform hat einen Vertrag, weil sie beschafft wurde. Vergessen wird, was nebenbei entstanden ist. Das ist meistens mehr.
- Der Messenger, über den eine Klassenleitung Elternnachrichten schickt, oft privat begonnen und nie beendet.
- Der Cloudspeicher, in dem geteilte Materialien liegen, samt Namenslisten in den Dateinamen.
- Das Umfragewerkzeug für die Elternabendabstimmung, kostenlos und außerhalb Europas gehostet.
- Das Terminwerkzeug für den Elternsprechtag, in dem Kindernamen stehen.
- Der Videodienst aus der Distanzunterrichtszeit, der nie abgeschaltet wurde.
Der Umgang damit ist unangenehm, aber geradlinig: Jeder dieser Dienste braucht entweder einen Vertrag oder eine Abschaltung. Eine dritte Möglichkeit gibt es nicht und ein Dienst ohne Vertrag ist genau der, der bei einer Datenpanne zur teuersten Frage wird. Beginne mit dem Dienst, in dem die meisten Namen liegen, nicht mit dem, der am lautesten diskutiert wird.
Was Du ablegst, damit es beim nächsten Mal zehn Minuten dauert
Drei Dokumente machen aus einer wiederkehrenden Diskussion einen Vorgang.
- Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Es ist ohnehin Pflicht und beantwortet die Frage, welche Dienste es überhaupt gibt.
- Eine Freigaberegel: Wer im Kollegium darf einen Dienst einführen und wen fragt er vorher? Ohne diese Regel entsteht jedes Jahr neuer Bestand ohne Vertrag.
- Eine Ablage der Verträge mit Datum, Ansprechpartner und Verlängerungstermin, zugänglich für die Schulleitung, nicht nur für die Person, die den Dienst eingeführt hat.
Ein vierter Punkt gehört dazu, auch wenn er kein Dokument ist: die behördliche Datenschutzbeauftragte. Öffentliche Stellen müssen eine benennen und Schulen sind öffentliche Stellen — je nach Land ist die Person beim Träger, bei der Schulaufsicht oder für mehrere Schulen gemeinsam bestellt. Wer sie kennt, bevor der erste Vertrag ansteht, spart sich die Suche im Moment der Entscheidung.
Welche Fragen Du einem Anbieter stellst, bevor überhaupt ein Vertrag auf dem Tisch liegt, sammelt die Seite zur DSGVO-konformen Schulsoftware. Die Prüfung selbst nimmt sie Dir nicht ab — sie bleibt bei der Schule, weil die Verantwortlichkeit dort liegt.
Art. 28 DSGVO gilt überall gleich, die Frage nach dem Verantwortlichen nicht. Kläre zuerst, ob Schule oder Träger unterschreibt, prüfe dann die sechs Stellen, an denen sich Anbieter unterscheiden. Lege eine Freigaberegel fest, damit kein neuer vertragsloser Dienst nachwächst. Ob in Deinem Land bereits ein zentraler Vertrag existiert, sagt Dir die Schulaufsicht oder die behördliche Datenschutzbeauftragte, denn dieser Text erklärt die Struktur und nicht Deine Landesregelung.
Schulalltag ohne doppelte Listen?
Vertretungsplan, Klassenbuch, Krankmeldungen, Elternnachrichten und Zeugnisse in einem System. Vom Stundenplan bis zum Zeugnis, ohne doppelte Erfassung.
