DSGVO-Schulung für Schulbeschäftigte: Pflicht, Inhalte, rechtssicher nachweisen

Inhalt in Kürze

• Schulbeschäftigte müssen im Datenschutz sensibilisiert und geschult werden — als Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
• Schulen verarbeiten besonders schützenswerte Daten von Kindern: Noten, Förderbedarfe, Gesundheits- und Sozialdaten, Fotos.
• Pflicht-Inhalte sind Umgang mit Schülerdaten, Einwilligungen, sichere Kommunikation, Datenpannen-Meldung und Löschfristen.
• Rechtssicher wird es erst mit Nachweis: Teilnehmer, Datum, Inhalt und Lernkontrolle dokumentieren.

Ja, Schulbeschäftigte müssen im Datenschutz geschult werden. Die DSGVO nennt zwar keine eigene Paragrafen-Pflicht mit dem Wort „Schulung”, verlangt aber über die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, dass eine Schule jederzeit belegen kann, wie sie Daten schützt. Dazu gehören geschulte Mitarbeiter. Ergänzend zählt Art. 39 DSGVO die Sensibilisierung und Schulung der Beschäftigten ausdrücklich zu den Aufgaben des Datenschutzbeauftragten. Wer also Schüler- und Elterndaten verarbeitet, kommt an einer regelmäßigen Unterweisung nicht vorbei.

Datenschutzschulung Schule: Warum gerade hier so viel auf dem Spiel steht

Eine Datenschutzschulung Schule ist kein Bürokratie-Selbstzweck. Schulen verarbeiten Daten, die besonders schützenswert sind — und sie tun das über Personen, die noch nicht selbst über ihre Rechte entscheiden können: Kinder und Jugendliche. Auf den Servern und in den Akten liegen Noten, Förderbedarfe und Diagnosen, Informationen zur familiären Situation, Gesundheitsdaten, Sozialdaten und Klassenfotos.

Öffentliche Schulen haben in der Regel einen behördlichen oder schulischen Datenschutzbeauftragten. Zuständig für die Aufsicht sind die Landesdatenschutzbehörden — nicht der Bund. Das ist wichtig, weil der Schuldatenschutz Ländersache ist. In Bayern, Nordrhein-Westfalen oder Berlin gelten jeweils eigene schulrechtliche Vorgaben, etwa zur Nutzung von Lernplattformen oder zur Aufbewahrung von Akten. Den gemeinsamen Rahmen darüber bildet die DSGVO. Wer es genauer wissen will, findet die Grundlagen beim Bundesbeauftragten für den Datenschutz (BfDI) und bei der jeweiligen Landesdatenschutzbehörde.

Wer geschult werden muss

Geschult werden müssen alle, die mit personenbezogenen Daten arbeiten — und das sind an einer Schule deutlich mehr Menschen als nur die Lehrkräfte:

• Lehrkräfte und Schulleitung
• Sekretariat und Verwaltung
• Schulsozialarbeit und Sonderpädagogik
• IT-Betreuung und Systemadministration
• Referendare, pädagogische Hilfskräfte, FSJ-Kräfte

Sobald jemand Zugriff auf Schüler-, Eltern- oder Personaldaten hat, gehört die Person in die Schulung. Eine einmalige Unterweisung reicht nicht: Üblich und von den Aufsichtsbehörden empfohlen ist eine jährliche Wiederholung, außerdem eine Erstschulung neuer Beschäftigter zum Dienstantritt.

Welche Inhalte in die Schulung gehören

Eine gute Schul-Datenschutzschulung bleibt nah an der Praxis. Es geht nicht um Paragrafen-Auswendiglernen, sondern um die Situationen, die im Schulalltag wirklich vorkommen.

So weisen Sie die Schulung rechtssicher nach

Eine Schulung, die niemand belegen kann, hilft im Ernstfall nicht. Die Aufsichtsbehörde will sehen, dass geschult wurde — nicht nur hören, dass es so war. Dokumentieren Sie deshalb von Anfang an strukturiert:

1. Teilnehmer erfassen: Wer wurde wann geschult? Namentliche Teilnahmeliste, inklusive Erstschulung neuer Beschäftigter.
2. Inhalt festhalten: Welche Themen wurden behandelt? Die vermittelten Module gehören in die Dokumentation.
3. Lernkontrolle ergänzen: Ein kurzes Quiz am Ende belegt, dass die Inhalte nicht nur abgesessen, sondern verstanden wurden.
4. Auditfest ablegen: Datum, Teilnahme und Ergebnis so speichern, dass Sie sie der Aufsicht jederzeit vorlegen können.

Genau diesen Nachweis erledigt eine E-Learning-Lösung automatisch. Hugo Learn protokolliert Teilnahme, Datum, Modul und Quiz-Ergebnis und stellt sie auditfest bereit — ohne handgepflegte Excel-Liste. Ehrlich bleibt dabei: Software dokumentiert und vermittelt Wissen, sie ersetzt nicht die organisatorische Verantwortung. Die Verantwortung dafür, dass Datenschutz an der Schule gelebt wird, bleibt bei der Schulleitung und beim Datenschutzbeauftragten.

Aus der Praxis

In der Beratung erlebe ich oft, dass Schulen den Datenschutz für ein Monster halten, das den Unterricht lahmlegt. Das Gegenteil stimmt: Mit klaren Regeln und einer einmal sauber aufgesetzten Schulung wird der Alltag ruhiger, nicht komplizierter.

Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen.

Nils OehmichenDatenschutzberater bei frag.hugo

Für eine Schule heißt pragmatisch: kurze, verständliche Module statt dreistündiger Vorträge, ein Nachweis, der sich von selbst füllt, und ein fester Termin im Jahr. Wer noch keinen Datenschutzbeauftragten an der Hand hat, kann diese Rolle auch extern besetzen — ein externer Datenschutzbeauftragter übernimmt Schulung, Dokumentation und den Kontakt zur Aufsicht.

Fazit: Schulung plus Nachweis schützt die Schule

Schulbeschäftigte zu schulen ist keine Kür, sondern Teil der Rechenschaftspflicht. Weil Schulen besonders sensible Daten von Kindern verarbeiten, schaut die Aufsicht hier genauer hin. Entscheidend sind drei Dinge: die richtigen Praxis-Inhalte, alle Mitarbeiter mit Datenzugriff im Boot und ein Nachweis, der vor der Behörde Bestand hat. Den größten Teil der Arbeit nimmt Ihnen ein E-Learning mit automatischer Dokumentation ab — die Verantwortung tragen Sie trotzdem weiter selbst.

Häufige Fragen (FAQ)

Sind Datenschutzschulungen an Schulen Pflicht?

Ja. Eine ausdrückliche Pflicht zur Schulung folgt aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und aus Art. 39 DSGVO, der die Sensibilisierung und Schulung der Mitarbeiter zu den Aufgaben des Datenschutzbeauftragten zählt. Wer Schüler- und Elterndaten verarbeitet, muss nachweisen können, dass die Beschäftigten dafür geschult wurden.

Wer muss an einer Datenschutzschulung in der Schule teilnehmen?

Alle Personen, die mit personenbezogenen Daten arbeiten: Lehrkräfte, Schulleitung, Sekretariat, Verwaltung, Sozialpädagogik und IT-Betreuung. Auch pädagogische Hilfskräfte und Referendare gehören dazu, sobald sie Zugriff auf Schüler-, Eltern- oder Personaldaten haben.

Welche Inhalte gehören in eine Schul-Datenschutzschulung?

Umgang mit Schüler- und Elterndaten, Foto- und Video-Einwilligungen, sichere Kommunikation über E-Mail, Messenger und Lernplattform, der Einsatz privater Geräte, das Melden von Datenpannen innerhalb von 72 Stunden nach Art. 33 DSGVO sowie Aufbewahrung und Löschung von Schülerakten.

Wie weist eine Schule die Datenschutzschulung rechtssicher nach?

Dokumentiert werden müssen Teilnehmer, Datum, vermittelter Inhalt und idealerweise ein Quiz-Ergebnis als Lernkontrolle. Ein E-Learning protokolliert diese Daten automatisch und stellt sie auditfest für die Aufsichtsbehörde bereit. Wichtig: Die Dokumentation ersetzt nicht die organisatorische Verantwortung der Schulleitung.

Ist Schuldatenschutz Bundes- oder Ländersache?

Der Schuldatenschutz ist Ländersache. Jedes Bundesland hat eigene schulrechtliche Datenschutzregeln und eine eigene Aufsichtsbehörde. In Bayern, Nordrhein-Westfalen oder Berlin gelten unterschiedliche Vorgaben, etwa zur Nutzung von Lernplattformen oder zur Aufbewahrung. Die DSGVO bildet den gemeinsamen Rahmen darüber.