Schulsoftware und DSGVO: worauf es ankommt
Schulsoftware und DSGVO – dahinter steckt fast immer dieselbe Frage: Wer darf welche Daten sehen, wo liegen sie, wer trägt die Verantwortung? Die kurze Antwort: Verantwortliche im Sinne der DSGVO ist die Schule als Einrichtung, nicht die einzelne Lehrkraft und nicht der Anbieter. Der Anbieter verarbeitet die Daten im Auftrag und ist an Weisungen gebunden. Alles Weitere – Vertrag, Rollen, Fristen, Nachweise – folgt aus dieser Rollenverteilung. Diese Seite ordnet die Begriffe und zeigt, welche Punkte vor einer Einführung geklärt sein sollten. Sie ersetzt keine Rechtsberatung: Schulrecht ist Ländersache. Verbindlich Auskunft geben die Datenschutzbeauftragten der Schule sowie die Aufsichtsbehörde des Landes.
Bald verfügbar
- DSGVO-konform
- In Deutschland gehostet
- Kostenlos für Lehrkräfte
Ein Produkt von SavePaper.work
Vier Punkte, die vor einer Einführung geklärt sein sollten
Verantwortlich ist die Schule
Die DSGVO kennt eine verantwortliche Stelle. Das ist die Schule als Einrichtung. Sie bestimmt Zwecke und Mittel der Verarbeitung – auch dann, wenn die Daten faktisch auf dem Gerät einer Lehrkraft liegen.
Ein Vertrag nach Artikel 28
Wer Daten im Auftrag der Schule verarbeitet, braucht dafür einen Vertrag. Er hält fest, welche Daten wofür verarbeitet werden, wer als Unterauftragnehmer beteiligt ist und was am Vertragsende mit den Daten geschieht.
Zugriff nach Rolle
Nicht jede Person im Kollegium braucht jede Angabe. Ein Rollenkonzept begrenzt die Sicht auf das, was die Aufgabe erfordert. Anschließend macht es belegbar, wer wann worauf zugegriffen hat.
Fristen gibt das Land vor
Wie lange Schulunterlagen aufbewahrt werden, regeln die Länder unterschiedlich. Die Fristen unterscheiden sich zusätzlich nach Datenart. Eine Software sollte das abbilden können, statt alles gleich zu behandeln.
So läuft eine Datenschutzprüfung an der Schule
Die Prüfung folgt fast immer derselben Reihenfolge: erst klären, wer verantwortlich ist, dann beschreiben, was verarbeitet wird, dann den Vertrag lesen und zuletzt Rollen und Fristen festlegen.
-
1
Verantwortung klären
Wer entscheidet über Zwecke und Mittel – Schule, Schulträger oder beide gemeinsam? Diese Frage steht am Anfang, weil sie bestimmt, wer den Vertrag zeichnet und wer gegenüber Eltern Auskunft gibt.
-
2
Verarbeitung beschreiben
Welche Daten, zu welchem Zweck, für wen sichtbar, wie lange? Diese Angaben gehören in das Verzeichnis der Verarbeitungstätigkeiten, das die Schule selbst führt. Ein Anbieter kann die Bausteine dafür liefern.
-
3
Vertrag und Maßnahmen prüfen
Der Auftragsverarbeitungsvertrag und die Beschreibung der technischen und organisatorischen Maßnahmen werden zusammen gelesen: Serverstandort, beteiligte Unterauftragnehmer, Verschlüsselung, Löschung am Vertragsende und der Weg, auf dem die Schule Weisungen erteilt.
-
4
Rollen und Fristen setzen
Zum Schluss die Konfiguration: Welche Rolle sieht welche Angabe, welche Aufbewahrungsfrist gilt je Datenart? Beides hängt am Landesrecht und wird einmal für die ganze Schule hinterlegt, nicht je Lehrkraft.
Dieselben Daten, zwei Arten sie zu führen
Die Begriffe, die in jeder Prüfung vorkommen
Auftragsverarbeitung, Verantwortung und Weisung
Der Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO ist kein Formblatt, sondern die Beschreibung eines Verhältnisses. Die Schule bleibt verantwortlich und legt fest, welche Daten zu welchem Zweck verarbeitet werden; der Anbieter verarbeitet sie ausschließlich auf Weisung und nicht für eigene Zwecke. Geregelt werden außerdem Dauer und Gegenstand, die betroffenen Personengruppen, die Schutzmaßnahmen, die Unterstützung bei Auskunftsersuchen, die Meldung von Vorfällen, der Umgang mit Unterauftragnehmern und der Verbleib der Daten nach Vertragsende. Dieselbe Rollenverteilung erklärt, warum eine Notenliste auf einem privaten Laptop ein Problem der Schule ist: Verantwortlich bleibt sie, kann auf einem fremden Gerät aber weder den Zugriff begrenzen noch belegen, was mit der Datei geschehen ist.
Noten, Krankmeldungen und Artikel 9
Nicht alle Schuldaten sind gleich empfindlich. Der Grund einer Krankmeldung ist ein Gesundheitsdatum und zählt damit zu den besonderen Kategorien nach Artikel 9 DSGVO, für die strengere Anforderungen gelten. In der Praxis lässt sich das entschärfen: Für die Entschuldigung genügt meist die Auskunft, dass krankheitsbedingt gefehlt wurde – ein Grund bleibt freiwillig. Noten und Beurteilungen fallen dagegen nicht unter Artikel 9, sind deshalb aber nicht harmlos: Sie beschreiben Leistung über Jahre und wirken auf Übergänge und Abschlüsse. Für beides folgt dieselbe Konsequenz – Sichtbarkeit an die Aufgabe binden, freie Textfelder sparsam nutzen und sensible Inhalte verschlüsselt ablegen, statt sie über Dateien und Anhänge zu verteilen.
Aufbewahren, löschen, Auskunft geben
Am Ende jeder Prüfung stehen drei Fragen: Wie lange bleiben die Daten, wie verschwinden sie wieder, was passiert, wenn eine Familie Auskunft verlangt? Aufbewahrungsfristen für Schulunterlagen sind Landesrecht und unterscheiden sich zusätzlich nach Datenart: Anwesenheiten im Klassenbuch, Zeugnisdaten, Krankmeldungen und Elternkommunikation werden unterschiedlich lange gehalten. Eine Sammlung aus Tabellen und Postfächern kann das nicht trennen, weshalb dort meist gar nichts gelöscht wird. Artikel 15 und Artikel 20 verlangen zudem, dass sich alles zu einer Person herausgeben lässt – lesbar und maschinenlesbar zugleich. SchuleVernetzt bündelt das in einer Datenschutz-Ansicht für die Schulleitung: Protokoll über Zugriffe und Änderungen, eine Frist je Datenart auf Grundlage des Bundeslandes, Auskunftsexport je Person.
Was eine Schule vom Anbieter anfordern kann
Vor der Entscheidung lassen sich vier Unterlagen verlangen: der Vertrag zur Auftragsverarbeitung, die Beschreibung der technischen und organisatorischen Maßnahmen, eine Liste der beteiligten Unterauftragnehmer mit Standort und eine Verfahrensbeschreibung, aus der die Schule ihr eigenes Verzeichnis der Verarbeitungstätigkeiten speisen kann. Wer diese Papiere erst auf Nachfrage zusammenstellt, verzögert die Prüfung um Wochen. SchuleVernetzt hält sie bereit, damit Schulträger und Datenschutzbeauftragte nichts selbst nachbauen müssen. Anwendung und Schuldaten sind in Deutschland gehostet.
Häufige Fragen zu Schulsoftware und Datenschutz
Sei dabei, wenn SchuleVernetzt startet
Wir bauen SchuleVernetzt gerade mit voller Kraft. Trag dich ein und wir benachrichtigen dich per E-Mail, sobald deine Schule loslegen kann – unverbindlich und kostenlos.
Wir nutzen deine Adresse ausschließlich, um dich zum Start zu benachrichtigen. Du kannst dich jederzeit wieder abmelden.