Wer wird Datenschutzbeauftragter an der Schule, welche Aufgaben umfasst die Rolle und wie grenzt sie sich von der eigentlichen Datenverarbeitung ab? Der Leitfaden für Schulleitungen und benannte Beauftragte.
Welche Aufgaben ein Datenschutzbeauftragter an der Schule übernimmt, beschäftigt viele Schulleitungen erst dann, wenn eine Aufsichtsbehörde nachfragt oder eine Datenpanne auftritt. Dabei verarbeitet jede Schule täglich hochsensible personenbezogene Daten: Noten, Gesundheitsangaben, Förderpläne und Kontaktdaten von Familien. Wer intern über den korrekten Umgang mit diesen Daten wacht, sollte deshalb früh geklärt sein. Dieser Leitfaden ordnet Bestellung, Zuständigkeiten und die Abgrenzung zur eigentlichen Datenverarbeitung ein und zeigt Ihnen, wie Sie die Rolle im Verwaltungsalltag verankern.
Ein Datenschutzbeauftragter an der Schule berät und überwacht die Einhaltung der Datenschutzvorschriften, ohne selbst über die Datenverarbeitung zu entscheiden. Die Schulleitung oder der Träger bestellt die Person schriftlich; sie arbeitet weisungsfrei und ist Ansprechpartnerin für Beschäftigte, Betroffene und die Aufsichtsbehörde. Verantwortlich für den Datenschutz bleibt die Schule selbst.
Für öffentliche Stellen — und dazu zählen öffentliche Schulen — ist die Benennung eines Datenschutzbeauftragten verpflichtend. Ob die Rolle bei Ihrer Schule, beim Schulträger oder beim Land angesiedelt ist, richtet sich nach dem jeweiligen Landesrecht und Ihrer Organisationsstruktur. Klären Sie diese Zuordnung, bevor Sie mit der Bestellung beginnen — sonst besetzen Sie die Funktion womöglich doppelt oder verlassen sich auf eine Stelle, die sich für Ihre Schule gar nicht zuständig sieht.
Grundsätzlich haben Sie zwei Wege, die Rolle zu besetzen:
Viele Träger entscheiden sich für eine Mischform: eine externe Fachkraft für die rechtliche Tiefe, ergänzt durch eine interne Kontaktperson, die den Alltag kennt und kurze Wege ermöglicht.
Achten Sie bei der Auswahl auf mögliche Interessenkonflikte. Wer über Zwecke und Mittel der Datenverarbeitung mitentscheidet, darf sich nicht selbst kontrollieren. Die Schulleitung, die IT-Leitung oder die für die Schülerverwaltung hauptverantwortliche Person scheiden deshalb in der Regel aus. Die benannte Person benötigt zudem Fachkunde im Datenschutzrecht und muss diese fortlaufend aktuell halten — planen Sie Fortbildungen von Anfang an mit ein.
Die Aufgaben sind gesetzlich umrissen, in der Praxis aber breit gefächert. Sie lassen sich in vier Kernbereiche gliedern, die Sie kennen sollten, um die Rolle sinnvoll auszustatten.
Das Verzeichnis der Verarbeitungstätigkeiten ist das zentrale Arbeitsdokument. Es hält fest, welche Daten Ihre Schule zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeitet. Die oder der Datenschutzbeauftragte erstellt dieses Verzeichnis nicht allein, sondern unterstützt die Verantwortlichen und prüft es auf Vollständigkeit.
Typische Einträge sind die Schülerverwaltung, die Zeugniserstellung, die Erfassung von Gesundheitsdaten oder der Einsatz digitaler Lernplattformen. Wenn Sie Ihre Stammdaten zentral verwalten, erleichtern Sie die Pflege dieses Verzeichnisses erheblich, weil Datenquellen und Zugriffe an einer Stelle nachvollziehbar bleiben.
Als Ansprechpartnerin für das Kollegium beantwortet die benannte Person wiederkehrende Fragen aus dem Schulalltag, zum Beispiel:
Ebenso gehört die regelmäßige Sensibilisierung der Beschäftigten dazu — von der sicheren Passwortnutzung bis zum Umgang mit privaten Endgeräten. Planen Sie solche Schulungen fest ein, statt sie erst nach einem Vorfall nachzuholen.
Die benannte Person überwacht, ob Ihre Schule die Datenschutzvorschriften tatsächlich einhält. Dazu prüft sie Prozesse stichprobenartig, weist auf Lücken hin und begleitet die Behandlung von Datenpannen. Eine strukturierte Übersicht hilft dabei: Unsere DSGVO-Checkliste für Schulen liefert Ihnen einen praktischen Einstieg in die wiederkehrenden Prüfpunkte.
Gegenüber der zuständigen Datenschutzaufsicht ist die oder der Datenschutzbeauftragte die offizielle Kontaktstelle. In Abstimmung mit der Schulleitung werden meldepflichtige Vorfälle gemeldet und Rückfragen der Behörde beantwortet. Sorgen Sie dafür, dass die Kontaktdaten der Aufsicht mitgeteilt und auch intern bekannt sind.
Ein häufiges Missverständnis lautet, die oder der Datenschutzbeauftragte sei für den Datenschutz verantwortlich. Das ist nicht der Fall. Verantwortlich bleibt die Schule als Stelle, vertreten durch die Schulleitung und den Träger. Die benannte Person berät und kontrolliert, entscheidet aber nicht über einzelne Verarbeitungen und haftet nicht persönlich für Verstöße der Schule.
Verwechseln Sie die Rolle deshalb nicht mit dem Tagesgeschäft. Wer Zeugnisse erstellt, Akten pflegt oder Einwilligungen einholt, verarbeitet Daten — und wird dabei beraten, nicht ersetzt. Diese saubere Trennung ist die Grundlage für die geforderte Unabhängigkeit der Funktion. Wie sich eine rechtssichere Verwaltung von Einwilligungserklärungen konkret umsetzen lässt, zeigt Ihnen ein eigener Beitrag.
Die Rolle endet nicht an der Schultür. In vielen Fällen stellt der Schulträger die IT-Infrastruktur, schließt Verträge mit Software-Anbietern ab und trifft Grundsatzentscheidungen. Damit entsteht eine geteilte Verantwortung, die Sie aktiv abstimmen sollten.
In der Praxis bewährt sich eine klare Aufgabenteilung:
Gerade bei mehreren Standorten lohnt sich eine gemeinsame Linie. Wie sich Datenschutz und Verwaltung über verschiedene Einrichtungen hinweg bündeln lassen, beschreibt der Beitrag zur Verwaltungsmodernisierung öffentlicher Bildungsträger.
Setzen Sie eine externe Verwaltungssoftware ein, liegt in der Regel eine Auftragsverarbeitung vor. Hier prüft die benannte Person, ob ein entsprechender Vertrag existiert, ob die technischen und organisatorischen Maßnahmen dokumentiert sind und ob der Anbieter die Daten ausschließlich weisungsgebunden verarbeitet. Diese Prüfung wird oft vergessen — und ist ein klassischer Beanstandungspunkt bei Kontrollen.
Eine bestellte Person allein genügt nicht. Damit die Funktion wirkt, braucht sie feste Strukturen:
Eine strukturierte Datenhaltung nimmt der Rolle viel Routinearbeit ab. Wenn Sie Akten, Zugriffe und Aufbewahrungsfristen in einem System pflegen statt in verstreuten Dateien und Ordnern, wird die Überwachung überprüfbar statt lückenhaft. Der Beitrag zur digitalen Akte zeigt Ihnen, wie sich Zugriffsrechte und Löschfristen sauber abbilden lassen.
Die oder der Datenschutzbeauftragte an der Schule ist Beraterin und Kontrolleurin, nicht Entscheiderin. Die Aufgaben reichen vom Verzeichnis der Verarbeitungstätigkeiten über Schulung und Überwachung bis zur Zusammenarbeit mit der Aufsichtsbehörde. Ob Sie intern oder extern bestellen, hängt von Ihren Ressourcen und der verfügbaren Fachkunde ab — entscheidend sind die klare Trennung von der eigentlichen Datenverarbeitung und die enge Abstimmung mit dem Träger. Wenn Sie die Rolle mit Zeit, Zugriff und guten Werkzeugen ausstatten, machen Sie Datenschutz vom Papiertiger zur gelebten Praxis.
Titelbild: cottonbro studio / Pexels
