Datenschutz an Schulen regelt den Umgang mit personenbezogenen Daten von Schülern, Eltern und Lehrkräften. Rechtsgrundlage sind die DSGVO, die Landesdatenschutz- und Schulgesetze sowie seit 2025 die EU-KI-Verordnung. Schulen verarbeiten Daten Minderjähriger und unterliegen deshalb strengen Regeln zu Einwilligung, Tool-Auswahl und Dokumentation.
Datenschutz an Schulen fußt auf drei Rechtsquellen: der DSGVO, den 16 Landesdatenschutz- und Schulgesetzen und der EU-KI-Verordnung. Die meiste Verarbeitung stützt sich auf die gesetzliche Aufgabe der Schule, freiwillige Dienste brauchen eine Einwilligung. Kommerzielle Cloud-Tools wie Microsoft 365 Education stehen unter Druck: Die österreichische Datenschutzbehörde stellte am 10. Oktober 2025 DSGVO-Verstöße fest. Seit dem 2. Februar 2025 verbietet der AI Act Emotionserkennung in Bildungseinrichtungen. Jede Schule braucht einen Datenschutzbeauftragten und ein Verzeichnis der Verarbeitungstätigkeiten.
Was bedeutet Datenschutz an Schulen?
Datenschutz an Schulen bezeichnet den rechtskonformen Umgang mit personenbezogenen Daten aller Beteiligten. Er schützt Schüler, Eltern und Lehrkräfte vor unbefugter Verarbeitung ihrer Daten. Weil Schulen überwiegend Daten Minderjähriger verarbeiten, gelten besonders strenge Anforderungen.
Der Begriff personenbezogene Daten umfasst alle Informationen, die sich auf eine identifizierbare Person beziehen. An Schulen zählen dazu Namen, Noten, Fehlzeiten, Gesundheitsdaten, Fotos und digitale Nutzungsdaten aus Lernplattformen. Die DSGVO stuft Gesundheits- und Herkunftsdaten als besondere Kategorien mit erhöhtem Schutzbedarf ein.
Datenschutz an Schulen betrifft drei Verarbeitungsfelder: die Schulverwaltung mit Schülerakten und Zeugnissen, den digitalen Unterricht mit Lernplattformen und Apps, und die Kommunikation über Messenger, E-Mail und Elternportale. Jedes Feld hat eigene Rechtsgrundlagen und Risiken.
Die Verantwortung liegt bei der Schule als datenverarbeitender Stelle, vertreten durch die Schulleitung. Sie muss sicherstellen, dass jede Verarbeitung eine Rechtsgrundlage hat, dokumentiert ist und dem Grundsatz der Datensparsamkeit folgt. Datensparsamkeit bedeutet, nur die Daten zu erheben, die für den konkreten Zweck erforderlich sind.
Welche Gesetze regeln den Datenschutz an Schulen?
Den Datenschutz an Schulen regeln drei Ebenen: die europäische DSGVO, die Landesdatenschutz- und Schulgesetze der 16 Bundesländer und seit 2025 die EU-KI-Verordnung. Diese Ebenen greifen ineinander und legen fest, welche Daten wie verarbeitet werden dürfen.
Die Datenschutz-Grundverordnung ist seit 2018 in der gesamten EU unmittelbar geltendes Recht. Sie definiert die Grundprinzipien: Rechtmäßigkeit, Zweckbindung, Datenminimierung und Transparenz. Jede Datenverarbeitung braucht nach Artikel 6 DSGVO eine Rechtsgrundlage, etwa eine gesetzliche Aufgabe oder eine Einwilligung.
Die Landesschulgesetze und Landesdatenschutzgesetze konkretisieren die DSGVO für den Schulbereich. Da Bildung Ländersache ist, unterscheiden sich die Regeln zwischen den 16 Bundesländern. Sie legen fest, welche Schülerdaten die Schule ohne Einwilligung verarbeiten darf und welche Aufsichtsbehörde zuständig ist. Zuständig ist meist der oder die Landesbeauftragte für Datenschutz.
Die EU-KI-Verordnung, auch AI Act genannt, ergänzt seit 2025 den Rechtsrahmen um Regeln für künstliche Intelligenz. Das Europäische Parlament verabschiedete sie am 13. März 2024, die Verordnung trat am 1. August 2024 in Kraft. Ihre Regeln greifen gestaffelt: Verbotene Praktiken gelten seit dem 2. Februar 2025, Pflichten für Hochrisiko-Systeme ab dem 2. August 2026.
Wann brauchen Schulen eine Einwilligung – und wann nicht?
Schulen brauchen keine Einwilligung, wenn eine Datenverarbeitung zur gesetzlichen Aufgabenerfüllung nötig ist. Sie brauchen eine Einwilligung, sobald die Verarbeitung freiwillig oder über den Pflichtbereich hinausgeht. Die Unterscheidung entscheidet über die Rechtmäßigkeit jedes digitalen Werkzeugs.
Die gesetzliche Aufgabenerfüllung deckt den Kernbetrieb ab: Zeugnisse, Notenverwaltung, Anwesenheitskontrolle und Pflichtunterricht. Für diese Verarbeitung genügt die Rechtsgrundlage aus dem Landesschulgesetz, eine zusätzliche Einwilligung ist nicht nötig. Die Schule darf und muss diese Daten verarbeiten, um ihren Bildungsauftrag zu erfüllen.
Eine Einwilligung ist erforderlich, sobald die Verarbeitung freiwillig ist. Drei typische Fälle sind Klassenfotos auf der Schulhomepage, die Nutzung freiwilliger Apps und die Veröffentlichung von Schülerarbeiten. Bei Minderjährigen unter 16 Jahren müssen die Erziehungsberechtigten einwilligen. Die Einwilligung muss freiwillig, informiert und widerrufbar sein.
Die Freiwilligkeit ist der kritische Punkt. Eine Einwilligung ist unwirksam, wenn Nachteile bei Verweigerung drohen. Ein Tool, das für den Pflichtunterricht zwingend nötig ist, lässt sich nicht auf eine Einwilligung stützen, weil die Zustimmung dann nicht freiwillig wäre. In diesem Fall braucht die Schule eine gesetzliche Grundlage oder ein datenschutzkonformes Alternativsystem.
Dieser Beitrag erklärt die allgemeine Rechtslage (Stand: Juli 2026) und ersetzt keine Rechtsberatung. Die konkreten Vorgaben unterscheiden sich je Bundesland und ändern sich laufend. Bei der Auswahl von Tools und der Gestaltung von Einwilligungen ist der schulische Datenschutzbeauftragte oder die zuständige Landesdatenschutzbehörde einzubeziehen. Fehlerhafte Einwilligungen können Verarbeitungen unrechtmäßig machen.
Welche digitalen Tools sind an Schulen datenschutzkonform?
Als datenschutzkonform gelten an Schulen vor allem die geprüften Landeslösungen sowie Open-Source-Werkzeuge mit eigener Datenhaltung. Kommerzielle US-Cloud-Dienste wie Microsoft 365 Education stehen unter Beobachtung mehrerer Aufsichtsbehörden. Die Konformität hängt vom Vertrag zur Auftragsverarbeitung und vom Speicherort der Daten ab.
Die Landeslösungen der Bundesländer sind vom jeweiligen Kultusministerium datenschutzrechtlich geprüft. Beispiele sind LernSax in Sachsen, die Bayern Cloud Schule und der Schulcampus Rheinland-Pfalz. Sie erfüllen die DSGVO durch Landes-Hosting und geprüfte Verträge, was das Rechtsrisiko für die Einzelschule senkt.
Die Cloud-Suiten Microsoft 365 Education und Google Workspace for Education sind an vielen Schulen im Einsatz, aber umstritten. Die österreichische Datenschutzbehörde entschied am 10. Oktober 2025, dass Microsoft 365 Education gegen die DSGVO verstößt. Der Grund: Das System setzte Tracking-Cookies ohne Einwilligung und verweigerte vollständige Auskunft nach Artikel 15 DSGVO. Die Behörde ordnete die Löschung der Tracking-Daten an.
Für die Kommunikation gelten eigene Regeln. Private Messenger wie WhatsApp sind für die Schüler-Lehrer-Kommunikation an vielen Schulen untersagt, weil sie Kontaktdaten an Dritte übertragen. Datenschutzkonforme Alternativen sind schuleigene Messenger, die in Landeslösungen integriert sind, oder geprüfte Dienste mit Serverstandort in der EU.
Der Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO ist in der Praxis der häufigste blinde Fleck. Viele Schulen aktivieren ein Tool, ohne diesen Vertrag geprüft zu haben, weil der Anbieter ihn nur schwer auffindbar bereitstellt. Entscheidend sind drei Punkte: der Speicherort der Daten, die Liste der Unter-Auftragsverarbeiter und die Regelung zu Datenübermittlungen in Drittländer. Fehlt einer dieser Punkte oder liegt der Serverstandort außerhalb der EU ohne Angemessenheitsbeschluss, ist der Einsatz rechtlich angreifbar — unabhängig davon, wie verbreitet das Tool ist.
Was regelt die EU-KI-Verordnung für Schulen?
Die EU-KI-Verordnung teilt KI-Anwendungen in Risikoklassen ein und verbietet bestimmte Praktiken an Schulen vollständig. Seit dem 2. Februar 2025 ist Emotionserkennung in Bildungseinrichtungen untersagt. KI-Systeme zur Bewertung von Lernergebnissen gelten als hochriskant und unterliegen ab dem 2. August 2026 strengen Pflichten.
Der AI Act ordnet KI-Systeme vier Risikoklassen zu: unannehmbares, hohes, begrenztes und minimales Risiko. Anwendungen mit unannehmbarem Risiko sind verboten. Dazu zählt laut Artikel 5 der Einsatz von Systemen zur Ableitung von Emotionen in Bildungseinrichtungen. Eine Software, die aus Gesichtern die Stimmung von Schülern erkennt, ist damit unzulässig.
Als hochriskant gelten KI-Systeme, die Lernergebnisse bewerten, über Zugang zu Bildung entscheiden oder Prüfungsbetrug überwachen. Diese Systeme sind nicht verboten, unterliegen aber ab dem 2. August 2026 Pflichten zu Risikomanagement, Dokumentation, menschlicher Aufsicht und Transparenz. Eine Schule, die ein solches System einsetzt, muss dessen Konformität prüfen.
Generative KI wie Chatbots fällt in die Klasse mit begrenztem Risiko und unterliegt Transparenzpflichten. Nutzer müssen erkennen, dass sie mit einer KI interagieren, und KI-generierte Inhalte müssen als solche gekennzeichnet sein. Für den Unterrichtseinsatz von Chatbots bedeutet das eine Offenlegungspflicht. Die rechtlichen Grenzen des KI-Einsatzes im Unterricht behandelt der Beitrag zu künstlicher Intelligenz im Unterricht vertieft.
Zusätzlich gilt seit dem 2. Februar 2025 eine Pflicht zur KI-Kompetenz nach Artikel 4 des AI Act. Einrichtungen, die KI einsetzen, müssen sicherstellen, dass ihr Personal über ausreichendes Wissen zum Umgang mit den Systemen verfügt. Für Schulen verbindet sich diese Pflicht mit dem Auftrag zur Medienkompetenz-Förderung.
Welche Aufgaben hat der schulische Datenschutzbeauftragte?
Der schulische Datenschutzbeauftragte überwacht die Einhaltung der Datenschutzvorschriften und berät die Schulleitung. Öffentliche Stellen wie Schulen müssen nach Artikel 37 DSGVO einen Datenschutzbeauftragten benennen. Er ist zentrale Kontaktstelle für Aufsichtsbehörden, Eltern und Beschäftigte.
Die Hauptaufgabe ist die Überwachung der Datenverarbeitung. Der Datenschutzbeauftragte prüft, ob neue Tools, Prozesse und Einwilligungen rechtskonform sind, bevor sie zum Einsatz kommen. Er führt oder betreut das Verzeichnis der Verarbeitungstätigkeiten, das jede Schule nach Artikel 30 DSGVO vorhalten muss.
Zur Beratung gehört die Unterstützung der Schulleitung bei der Auswahl digitaler Werkzeuge. Der Datenschutzbeauftragte bewertet Auftragsverarbeitungsverträge, prüft Serverstandorte und weist auf Risiken hin. Bei geplanten risikoreichen Verarbeitungen führt er eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO durch.
Der Datenschutzbeauftragte handelt weisungsfrei und darf wegen seiner Aufgabe nicht benachteiligt werden. In vielen Bundesländern übernehmen behördliche Datenschutzbeauftragte auf Landes- oder Schulträgerebene diese Rolle für mehrere Schulen. Die Bildungsgewerkschaft GEW kritisiert, dass Schulen beim Datenschutz oft ohne ausreichende Ressourcen alleingelassen werden.
💬 Meine Einschätzung
Die gängige Annahme lautet: Datenschutz an Schulen ist ein bürokratisches Hindernis für die Digitalisierung. Der Blick auf die Fakten zeigt das Gegenteil. Die DSGVO verbietet keine digitalen Tools — sie verlangt die richtige Auswahl. Der Fall Microsoft 365 Education, den die österreichische Datenschutzbehörde im Oktober 2025 kippte, ist kein Argument gegen digitale Schule, sondern gegen den ungeprüften Einsatz von US-Cloud-Diensten für Kinderdaten. Schulen, die von Anfang auf geprüfte Landeslösungen setzen, digitalisieren schneller und sicherer als solche, die populäre Tools erst einführen und später nachrüsten müssen. Datenschutz ist kein Bremsklotz, sondern die Bedingung, unter der digitale Bildung dauerhaft trägt.
- Drei Rechtsebenen: DSGVO, Landesdatenschutz-/Schulgesetze und EU-KI-Verordnung
- Pflichtaufgaben brauchen keine Einwilligung, freiwillige Dienste schon — bei unter 16-Jährigen von den Eltern
- Microsoft 365 Education: DSGVO-Verstoß laut österreichischer Datenschutzbehörde vom 10. Oktober 2025
- AI Act: Emotionserkennung an Schulen seit 2. Februar 2025 verboten, Hochrisiko-Pflichten ab 2. August 2026
- Jede Schule braucht einen Datenschutzbeauftragten und ein Verzeichnis der Verarbeitungstätigkeiten
- Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO ist bei jedem externen Tool Pflicht
Wie setzen Schulen Datenschutz praktisch um?
Schulen setzen Datenschutz über eine feste Fünf-Schritte-Datenschutz-Routine um: Bestandsaufnahme, Rechtsgrundlagen-Prüfung, Tool-Freigabe, Einwilligungs-Management und regelmäßige Kontrolle. Diese Routine macht Datenschutz vom Einzelfall zum wiederholbaren Prozess und reduziert Rechtsrisiken.
Der erste Schritt ist die Bestandsaufnahme. Die Schule erfasst alle Verarbeitungstätigkeiten in einem Verzeichnis nach Artikel 30 DSGVO. Der zweite Schritt ist die Rechtsgrundlagen-Prüfung: Für jede Verarbeitung wird festgelegt, ob sie auf gesetzlicher Aufgabe oder Einwilligung beruht.
Der dritte Schritt ist die Tool-Freigabe. Jedes digitale Werkzeug durchläuft vor dem Einsatz eine Prüfung durch den Datenschutzbeauftragten, inklusive Auftragsverarbeitungsvertrag und Serverstandort. Der vierte Schritt ist das Einwilligungs-Management: Für freiwillige Dienste holt die Schule dokumentierte, widerrufbare Einwilligungen ein und archiviert sie nachvollziehbar.
Der fünfte Schritt ist die regelmäßige Kontrolle. Die Schule überprüft mindestens jährlich, ob Tools, Verträge und Einwilligungen noch aktuell sind, und passt sie an neue Rechtslagen an. Nach dem Wirksamwerden der Hochrisiko-Pflichten des AI Act am 2. August 2026 ist eine Prüfung der eingesetzten KI-Systeme Teil dieser Kontrolle. Die Fünf-Schritte-Datenschutz-Routine verankert Datenschutz dauerhaft im Schulbetrieb.
Häufige Fragen zum Datenschutz an Schulen
Diese fünf Fragen tauchen im schulischen Datenschutz-Alltag regelmäßig auf. Sie ergänzen die Hauptkapitel um konkrete Detail-Aspekte für Schulleitungen, Lehrkräfte und Eltern.
Dürfen Lehrkräfte private Geräte für Schülerdaten nutzen?
Lehrkräfte dürfen private Geräte nur nutzen, wenn das Bundesland und die Schule dies unter Auflagen erlauben. Viele Landesregeln verlangen Verschlüsselung, getrennte Nutzerprofile und ein Verbot der Cloud-Synchronisation von Schülerdaten. Dienstgeräte sind rechtlich der sichere Weg.
Wer haftet bei einem Datenschutzverstoß an der Schule?
Verantwortlich ist die Schule als datenverarbeitende Stelle, vertreten durch die Schulleitung, und der Schulträger. Aufsichtsbehörden können Anordnungen und Bußgelder verhängen. Einzelne Lehrkräfte haften nur bei grober Pflichtverletzung, etwa bei bewusst rechtswidriger Datenweitergabe.
Müssen Eltern der Nutzung einer Lernplattform zustimmen?
Bei einer verpflichtenden, gesetzlich gedeckten Lernplattform ist keine Einwilligung nötig, weil sie zur Aufgabenerfüllung gehört. Nutzt die Schule freiwillige Zusatzdienste oder US-Cloud-Tools, ist eine Einwilligung der Erziehungsberechtigten erforderlich. Die Abgrenzung prüft der Datenschutzbeauftragte.
Sind ChatGPT und andere KI-Tools im Unterricht datenschutzkonform?
KI-Tools sind nur konform, wenn keine personenbezogenen Schülerdaten an den Anbieter gelangen und die Transparenzpflichten des AI Act erfüllt sind. Viele US-Chatbots verarbeiten Eingaben auf Servern außerhalb der EU. Der Einsatz ohne personenbezogene Daten und mit klarer Kennzeichnung senkt das Risiko.
Wie lange dürfen Schulen Schülerdaten speichern?
Schulen dürfen Daten nur so lange speichern, wie sie für den Zweck erforderlich sind oder gesetzliche Aufbewahrungsfristen es verlangen. Die Fristen legen die Landesschulgesetze fest und unterscheiden sich je Datenart. Nach Ablauf der Frist müssen die Daten gelöscht werden.
Quellen und weiterführende Literatur
Die folgenden Quellen belegen die Angaben zu Rechtslage, Tools und KI-Verordnung. Vorrang haben Behörden, Aufsichtsstellen und etablierte Fachmedien.
- noyb — Datenschutzentscheidung Microsoft 365 Education · noyb.eu · Entscheidung der österreichischen Datenschutzbehörde vom 10. Oktober 2025 zu Tracking und Auskunftsverweigerung.
- Deutsches Schulportal — EU-Regulierung von KI · deutsches-schulportal.de · Verbotene und hochriskante KI-Anwendungen an Schulen nach dem EU AI Act.
- Landesbeauftragter für Datenschutz Nordrhein-Westfalen · datenschutz-notizen.de · Aktualisierte Bewertung zum Einsatz von Microsoft 365 in Schulen.
- GEW — Bildungsgewerkschaft · gew.de · Kritik an fehlenden Ressourcen und Unterstützung für Schulen beim Datenschutz.
- Europäische Kommission — AI Act · digital-strategy.ec.europa.eu · Risikoklassen, verbotene Praktiken und Geltungsdaten der KI-Verordnung.
- datenschutz-schule.info · datenschutz-schule.info · Praxisinformationen zu Office 365 und digitalen Tools im schulischen Datenschutz.
