Bildungseinrichtungen verarbeiten besonders sensible personenbezogene Daten von Kindern, Jugendlichen, Eltern und Beschäftigten. Nach Art. 37 DSGVO müssen öffentliche Stellen wie Schulen, Hochschulen, Kitas und Volkshochschulen einen Datenschutzbeauftragten benennen. Dieser berät die Leitung, überwacht die Einhaltung der DSGVO und ist Ansprechpartner für Aufsichtsbehörden sowie betroffene Personen.
Schulen, Hochschulen und Kitas bewegen sich in einem dichten Geflecht aus Bundesrecht, Landesschulgesetzen und pädagogischer Praxis. Sie verarbeiten Noten, Gesundheitsdaten, Fotos, Anschriften, Familienverhältnisse und zunehmend digitale Nutzungsdaten aus Lernplattformen. Der Datenschutzbeauftragte sorgt dafür, dass diese Verarbeitung personenbezogener Daten rechtssicher abläuft und die informationelle Selbstbestimmung der betroffenen Personen gewahrt bleibt. Dieser Ratgeber erklärt verständlich, wann ein Datenschutzbeauftragter Bildungseinrichtung Pflicht ist, welche Aufgaben er übernimmt und wie die Bestellung Schritt für Schritt abläuft.
Inhaltsverzeichnis
- Was ist ein Datenschutzbeauftragter in einer Bildungseinrichtung?
- Brauchen Bildungseinrichtungen einen Datenschutzbeauftragten?
- Welche Aufgaben hat der Datenschutzbeauftragte einer Bildungseinrichtung?
- Welche typischen Datenschutzthemen treten in Bildungseinrichtungen auf?
- Wer kann Datenschutzbeauftragter einer Bildungseinrichtung werden?
- Wie wird der Datenschutzbeauftragte bestellt?
- Welche Risiken bestehen ohne Datenschutzbeauftragten in Bildungseinrichtungen ?
- Fazit: Datenschutz in Bildungseinrichtungen rechtssicher umsetzen
- FAQ: Datenschutzbeauftragter Bildungseinrichtung
Was ist ein Datenschutzbeauftragter in einer Bildungseinrichtung?
Ein Datenschutzbeauftragter in einer Bildungseinrichtung ist eine fachlich qualifizierte Person, die die Einrichtung bei der Einhaltung der DSGVO berät und überwacht. Er agiert weisungsfrei und berichtet unmittelbar an die Leitung.
Die Rolle ist in Art. 38 und 39 DSGVO geregelt. Der Datenschutzbeauftragte ist weder Entscheider noch Vorgesetzter, sondern unabhängiger Berater und Kontrolleur in einer Person. Er prüft Verfahren, schult Beschäftigte und vermittelt zwischen Schulleitung, Eltern, Schülern und Aufsichtsbehörden. Wichtig: Die Verantwortung für den Datenschutz trägt weiterhin die Leitung der Einrichtung, nicht der Datenschutzbeauftragte selbst.
In der Praxis unterscheidet man zwischen dem internen und dem externen Modell. Ein interner Datenschutzbeauftragter ist eine angestellte Person der Einrichtung, häufig eine Lehrkraft oder Verwaltungsmitarbeiterin mit Zusatzqualifikation. Ein externer Datenschutzbeauftragter ist ein Dienstleister, der diese Funktion vertraglich übernimmt. Beide Modelle erfüllen die gesetzlichen Anforderungen, unterscheiden sich aber deutlich in Unabhängigkeit, Fachtiefe und Kosten.
Brauchen Bildungseinrichtungen einen Datenschutzbeauftragten?
Ja. Öffentliche Bildungseinrichtungen müssen nach Art. 37 Absatz 1 Buchstabe a DSGVO ausnahmslos einen Datenschutzbeauftragten benennen. Private Einrichtungen sind verpflichtet, sobald sie umfangreich personenbezogene Daten verarbeiten oder mindestens 20 Personen ständig damit befasst sind (§ 38 BDSG).
Art. 37 Abs. 1 DSGVO: „Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn […] die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird.“
Pflicht für öffentliche Bildungseinrichtungen
Staatliche Schulen, Berufliche Schulen, Hochschulen und kommunale Kitas sind öffentliche Stellen im Sinne der DSGVO. Für sie greift die Benennungspflicht ohne Schwellenwert. Konkretisiert wird die Pflicht durch die jeweiligen Landesschulgesetze und die Landes- und Bundesdatenschutzgesetze, etwa das Bayerische Datenschutzgesetz oder vergleichbare Regelungen anderer Bundesländer.
Regelungen für private Schulen, Kitas und Hochschulen
Private Träger gelten als nicht-öffentliche Stellen. Für sie gilt § 38 BDSG: Sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, ist ein Datenschutzbeauftragter Pflicht. Unabhängig von dieser Zahl entsteht die Pflicht auch dann, wenn eine Datenschutz-Folgenabschätzung erforderlich wird oder besondere Kategorien personenbezogener Daten umfangreich verarbeitet werden. Gerade Gesundheitsdaten in Kitas oder Förderbedarfe in Schulen fallen regelmäßig darunter.
Wann auch kleine Einrichtungen einen Datenschutzbeauftragten benötigen
Selbst eine kleine private Sprachschule oder ein kleiner Kita-Verein kann benennungspflichtig sein, wenn die Verarbeitung ihrer Kerntätigkeit eine umfangreiche regelmäßige Überwachung betroffener Personen darstellt. In der Praxis fällt nahezu jede Bildungseinrichtung früher oder später in diese Kategorie, weshalb eine frühzeitige Klärung sinnvoll ist.
Welche Aufgaben hat der Datenschutzbeauftragte einer Bildungseinrichtung?
Der Datenschutzbeauftragte berät, überwacht, schult und kommuniziert. Er sorgt dafür, dass die Einrichtung ihre Pflichten aus der DSGVO erfüllt, ohne den pädagogischen Alltag unnötig zu belasten.
Im Zentrum steht die Beratung der Leitung und der Beschäftigten zu allen datenschutzrelevanten Themen. Dazu gehört die Bewertung neuer Verfahren, etwa der Einführung einer Lernplattform, einer Schulcloud oder eines digitalen Klassenbuchs. Bevor solche Systeme eingeführt werden, prüft der Datenschutzbeauftragte Auftragsverarbeitungsverträge, technische und organisatorische Maßnahmen sowie mögliche Datenschutz-Folgenabschätzungen.
Eine zweite zentrale Aufgabe ist die Überwachung der Einhaltung der DSGVO und der einschlägigen rechtlichen Vorgaben. Der behördliche Datenschutzbeauftragte kontrolliert in regelmäßigen Audits, ob die Einrichtung ihre Pflichten tatsächlich umsetzt, ob das Verzeichnis der Verarbeitungstätigkeiten aktuell ist und ob Löschfristen eingehalten werden.
Schulungen und Sensibilisierung der Lehrkräfte und Verwaltungsmitarbeiter sind die dritte tragende Säule. Datenschutz scheitert selten am Gesetz, sondern fast immer am Alltag: an einer falsch adressierten E-Mail, einem unverschlüsselten USB-Stick oder einer Klassenliste im offenen WLAN. Regelmäßige Schulungen senken dieses Risiko spürbar.
Zugleich ist der Datenschutzbeauftragte Ansprechpartner für die Aufsichtsbehörde oder die Landesdatenschutzbehörden der Bundesländer. Auch Eltern, Schüler, Studierende und Beschäftigte wenden sich mit Anfragen zur Auskunft, Berichtigung oder Löschung an ihn.
Schließlich pflegt der Datenschutzbeauftragte das Verzeichnis von Verarbeitungstätigkeiten. Dieses Verzeichnis dokumentiert, welche personenbezogenen Daten zu welchem Zweck, auf welcher Rechtsgrundlage und mit welchen Empfängern verarbeitet werden. Es ist Pflicht nach Art. 30 DSGVO und das wichtigste Arbeitsdokument jeder datenschutzkonformen Einrichtung.
Welche typischen Datenschutzthemen treten in Bildungseinrichtungen auf?
Bildungseinrichtungen verarbeiten täglich eine Vielzahl personenbezogener Daten in sensiblen Kontexten. Die häufigsten Konfliktfelder betreffen Leistungsdaten, digitale Lernumgebungen, Bildaufnahmen, Cloud-Dienste und die Kommunikation mit Eltern.
Umgang mit Noten, Zeugnissen und Leistungsdaten
Noten gehören zu den sensibelsten Daten einer Schule. Sie dürfen weder öffentlich ausgehängt noch im Unterricht vorgelesen werden, ohne dass eine Rechtsgrundlage oder Einwilligung besteht. Leistungsdaten sind ausschließlich der Lehrkraft, der Schulleitung und den jeweiligen Erziehungsberechtigten zugänglich. Auch die private Notenliste auf dem heimischen Laptop einer Lehrkraft ist nur zulässig, wenn sie angemessen geschützt ist, etwa durch Verschlüsselung.
Digitale Klassenbücher und Lernplattformen
Digitale Klassenbücher und Lernplattformen erfassen umfangreiche Nutzungsdaten: Anmeldezeiten, abgegebene Aufgaben, Anwesenheiten, Kommentare. Vor der Einführung ist eine Datenschutz-Folgenabschätzung sinnvoll, in einigen Bundesländern verpflichtend.
Foto- und Videoaufnahmen von Schülern
Fotos und Videos von Schülern dürfen nur mit informierter Einwilligung der Erziehungsberechtigten, bei volljährigen Schülern mit deren eigener Einwilligung, verwendet werden. Die Einwilligung muss freiwillig, zweckgebunden und jederzeit widerrufbar sein. Anders verhält es sich bei Aufnahmen ohne Personenbezug, etwa Übersichtsbildern des Schulgebäudes. Sobald jedoch Schüler erkennbar sind oder eine Bild- und Tonübertragung erfolgt, etwa als Streaming aus dem Klassenzimmer, gelten die strengen Anforderungen der DSGVO.
Nutzung von Cloud-Diensten
Cloud-basierte Office- und Kommunikationsdienste sind im Bildungsalltag verbreitet, datenschutzrechtlich aber anspruchsvoll. Die Aufsichtsbehörden mehrerer Bundesländer haben den Einsatz US-amerikanischer Cloud-Anbieter im Schulbetrieb kritisch bewertet, insbesondere wegen möglicher Datenübermittlungen in Drittstaaten. Erforderlich sind ein belastbarer Auftragsverarbeitungsvertrag, eine sorgfältige Risikoabwägung und gegebenenfalls zusätzliche technische Schutzmaßnahmen.
Kommunikation per E-Mail und Messenger
Private Messenger-Dienste auf privaten Endgeräten von Lehrkräften sind für die schulische Kommunikation in der Regel ungeeignet. Wer mit Eltern oder Schülern digital kommuniziert, sollte dies über dienstliche, datenschutzkonforme Kanäle tun. Für sensible Inhalte wie Zeugnisse oder Förderpläne ist eine verschlüsselte Übertragung Pflicht.
Wer kann Datenschutzbeauftragter einer Bildungseinrichtung werden?
Datenschutzbeauftragter kann jede Person werden, die die erforderliche Fachkunde und Zuverlässigkeit besitzt und keinem Interessenkonflikt mit der Funktion unterliegt. Die DSGVO macht keine starren Vorgaben zur Ausbildung, fordert aber nachweisbares Wissen in Recht und Technik.
Erforderlich ist juristisches Verständnis der DSGVO, des BDSG sowie der einschlägigen Landesregelungen, dazu technische Kompetenz im Bereich Informations- und Kommunikationstechnologien und ein gutes Verständnis der pädagogischen Praxis. Wer ausschließlich juristisch denkt, übersieht IT-Risiken; wer ausschließlich technisch denkt, übersieht rechtliche Fallstricke.
Interner Datenschutzbeauftragter
Ein interner Datenschutzbeauftragter kennt die Einrichtung gut, ist schnell erreichbar und in den Alltag eingebunden. Allerdings besteht häufig ein Interessenkonflikt: Wer die IT betreut, die Schulleitung unterstützt oder selbst Daten verarbeitet, darf diese Tätigkeit nicht zugleich kontrollieren. Lehrkräfte mit voller Stundenzahl haben zudem selten ausreichend Zeit, sich kontinuierlich fortzubilden.
Externer Datenschutzbeauftragter
Ein externer Datenschutzbeauftragter bringt ausgewiesene Fachexpertise mit, ist unabhängig und haftet aus eigenem Vertragsverhältnis. Er bündelt Erfahrungen aus vielen Einrichtungen und Branchen und reagiert flexibel auf neue Anforderungen wie KI-Tools im Unterricht oder neue Vorgaben der Aufsichtsbehörden. ALPHATECH Consulting übernimmt diese Funktion als zertifizierter externer Datenschutzbeauftragter für Einrichtungen unterschiedlichster Größe.
| Kriterium | Interner DSB | Externer DSB |
| Kosten | Personalkosten plus Freistellung | planbares Honorar, meist monatlich |
| Unabhängigkeit | eingeschränkt durch Rollenkonflikte | hoch, keine Interessenkonflikte |
| Fachtiefe | abhängig von Einzelperson | gebündelte Expertise aus vielen Mandaten |
| Verfügbarkeit | begrenzt durch andere Aufgaben | vertraglich zugesichert, oft 24/7 |
| Haftung | bei der Einrichtung | beim Dienstleister mitversichert |
Kosten eines externen Datenschutzbeauftragten
Die Kosten richten sich nach Größe der Einrichtung, Anzahl der Verfahren und Beratungsumfang. Kleine Kitas und Sprachschulen beginnen häufig im niedrigen dreistelligen Bereich pro Monat, größere Schulen oder Hochschulen liegen entsprechend höher. Wichtig ist Transparenz vorab: Seriöse Anbieter erstellen ein verbindliches Angebot nach kostenlosem Erstgespräch, in dem der tatsächliche Aufwand geklärt wird.
Wie wird der Datenschutzbeauftragte bestellt?
Die Bestellung erfolgt schriftlich durch die Leitung der Einrichtung und wird der zuständigen Aufsichtsbehörde gemeldet. Die Kontaktdaten werden anschließend veröffentlicht, damit betroffene Personen den Datenschutzbeauftragten erreichen können.
Im ersten Schritt schließt die Einrichtung mit der gewählten Person oder dem Dienstleister einen Vertrag, der Aufgaben, Befugnisse und Vergütung regelt. Anschließend erfolgt die formale Bestellung in Schriftform, bei externen Lösungen ergänzt durch den Dienstleistungsvertrag. Die Aufsichtsbehörde wird über die Benennung informiert, üblicherweise über ein Online-Formular der jeweiligen Landesdatenschutzbehörde. Die Kontaktdaten des Datenschutzbeauftragten gehören in die Datenschutzerklärung der Einrichtung und werden in der Regel auch auf der Website unter „Kontakt“ oder „Datenschutz“ veröffentlicht. Eine Nennung des Namens ist nicht zwingend, eine erreichbare Kontaktmöglichkeit hingegen schon.
Endet das Mandat, etwa durch Wegfall des Gefährdungstatbestands oder Wechsel des Dienstleisters, ist die Aufsichtsbehörde erneut zu informieren.
Welche Risiken bestehen ohne Datenschutzbeauftragten in Bildungseinrichtungen?
Ohne benannten Datenschutzbeauftragten drohen Bußgelder, aufsichtsbehördliche Maßnahmen und erhebliche Reputationsschäden. Die DSGVO sieht für Verstöße gegen die Benennungspflicht Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor.
Bußgelder sind dabei nur ein Aspekt. Aufsichtsbehörden können Verarbeitungen vorübergehend oder dauerhaft untersagen, was etwa den Einsatz einer Lernplattform stoppen kann. Hinzu kommt der Vertrauensverlust bei Eltern, Schülern und Beschäftigten. Eine Datenpanne, die öffentlich wird, beschädigt die Reputation einer Bildungseinrichtung nachhaltig. Träger, die ohne Datenschutzbeauftragten arbeiten, müssen zudem im Schadensfall mit erheblich höheren zivilrechtlichen Forderungen rechnen, weil das Organisationsverschulden offensichtlich ist.
Fazit: Datenschutz in Bildungseinrichtungen rechtssicher umsetzen
Ein Datenschutzbeauftragter Bildungseinrichtung ist keine Formalie, sondern eine tragende Säule moderner, vertrauenswürdiger Schul- und Hochschulorganisation. Er sichert die Rechte von Schülern, Eltern und Beschäftigten, entlastet die Leitung und schützt die Einrichtung vor Bußgeldern und Reputationsschäden. Wer die Funktion extern vergibt, gewinnt unabhängige Expertise, planbare Kosten und einen verlässlichen Ansprechpartner für Aufsichtsbehörden und betroffene Personen.
ALPHATECH Consulting begleitet Bildungseinrichtungen als externer Datenschutzbeauftragter und in der Datenschutzberatung von der ersten Bestandsaufnahme bis zur laufenden Betreuung. In einem kostenlosen Erstgespräch klären wir, welches Modell zu Ihrer Einrichtung passt und wie Sie die DSGVO im Bildungssektor pragmatisch umsetzen.
FAQ: Datenschutzbeauftragter Bildungseinrichtung
Ja. Öffentliche Schulen, einschließlich Beruflicher Schulen und Beruflicher Schulzentren, sind nach Art. 37 DSGVO immer zur Benennung verpflichtet. Private Schulen sind verpflichtet, wenn die Voraussetzungen des § 38 BDSG erfüllt sind, was in der Praxis fast immer der Fall ist.
Nein. Die Schulleitung trifft maßgebliche Entscheidungen über die Verarbeitung personenbezogener Daten und kann diese deshalb nicht zugleich unabhängig kontrollieren. Ein solcher Interessenkonflikt verstößt gegen Art. 38 Abs. 6 DSGVO.
Der Aufwand hängt von Größe und Digitalisierungsgrad der Einrichtung ab. Eine mittelgroße Schule rechnet erfahrungsgemäß mit zwei bis fünf Stunden pro Woche, in Phasen größerer Projekte deutlich mehr. Bei externer Beauftragung ist der Aufwand für die Einrichtung selbst gering, da der Dienstleister die operative Arbeit übernimmt.
Zuständig ist die Landesdatenschutzbehörde des Bundeslandes, in dem die Einrichtung ihren Sitz hat, etwa der Bayerische Landesbeauftragte für den Datenschutz oder die jeweilige Landesbeauftragte für Datenschutz in Niedersachsen, Nordrhein-Westfalen oder Baden-Württemberg.
Der Datenschutzbeauftragte schützt personenbezogene Daten und überwacht die Einhaltung der DSGVO. Der Informationssicherheitsbeauftragte schützt alle Informationen der Einrichtung vor Verlust, Manipulation und unbefugtem Zugriff, unabhängig vom Personenbezug. Beide Rollen ergänzen sich und werden in größeren Einrichtungen häufig parallel besetzt.
Nach einem kostenlosen Erstgespräch und Klärung des Umfangs ist eine Bestellung in der Regel innerhalb weniger Tage möglich. Anschließend folgt eine Bestandsaufnahme der bestehenden Verfahren.
