Ein Verzeichnis von Verarbeitungstätigkeiten ist für Schulen Pflicht — aber kein Bürokratiemonster. So bauen Sie es praxisnah auf und halten es lebendig.
Viele Schulen führen ihr Verzeichnis von Verarbeitungstätigkeiten als einmalig ausgefüllte Datei, die nach dem Erstellen im Ordner verschwindet. Für die Rechenschaftspflicht nach der DSGVO reicht das nicht: Gefragt ist ein aktuelles Abbild dessen, was Ihre Schule Tag für Tag mit personenbezogenen Daten tut. Dieser Beitrag zeigt, wie Sie das Verzeichnis praxisnah aufbauen, mit konkreten Beispielen aus dem Schulalltag füllen und dauerhaft pflegen — ohne dass daraus ein Bürokratiemonster wird.
Ein Verzeichnis von Verarbeitungstätigkeiten für Schulen ist eine strukturierte Übersicht aller Vorgänge, bei denen personenbezogene Daten verarbeitet werden — von der Anmeldung über die Notenverwaltung bis zum Elternnewsletter. Es ist nach Art. 30 DSGVO verpflichtend, wird von der Schulleitung verantwortet und laufend gepflegt. Ziel ist Nachweisbarkeit: wer verarbeitet was, wozu, auf welcher Grundlage und wie lange.
Hinweis: Dieser Beitrag bietet praxisnahe Orientierung und ist keine Rechtsberatung. Verbindliche Auskünfte im Einzelfall geben Ihr Datenschutzbeauftragter und die zuständige Datenschutzbehörde Ihres Bundeslandes.
Die Rechtsgrundlage ist Art. 30 DSGVO. Er verpflichtet Verantwortliche, ein Verzeichnis der Verarbeitungstätigkeiten zu führen. Eine Schule ist Verantwortliche im Sinne der Verordnung — unabhängig davon, ob sie in öffentlicher oder freier Trägerschaft steht.
Die in Art. 30 Abs. 5 DSGVO genannte Erleichterung für Organisationen mit weniger als 250 Beschäftigten entlastet Schulen in der Regel nicht. Sie ist an Bedingungen geknüpft und entfällt unter anderem, sobald regelmäßig besondere Kategorien personenbezogener Daten verarbeitet werden — etwa Gesundheitsdaten, Angaben zu Förderbedarfen oder zur Religionszugehörigkeit. Solche Daten fallen im Schulalltag regelmäßig an, weshalb sich Schulen auf diese Ausnahme meist nicht stützen können.
Das Verzeichnis ist damit Teil der Rechenschaftspflicht. Die Aufsichtsbehörde kann es anfordern. Fehlt es oder ist es erkennbar veraltet, kann das bereits für sich genommen beanstandet werden — unabhängig davon, ob Daten je unrechtmäßig verarbeitet wurden.
Verantwortlich ist die Schulleitung. Die praktische Pflege übernimmt in der Regel die oder der schulische Datenschutzbeauftragte, häufig gemeinsam mit dem Sekretariat. Entscheidend ist eine klare Zuständigkeit: Ein Verzeichnis, das niemandem gehört, wird von niemandem gepflegt.
Wie genau die Aufgaben verteilt werden, hängt von der Größe der Schule und den Vorgaben Ihres Bundeslandes ab. Wie sich die Rolle sinnvoll ausgestalten lässt, lesen Sie im Beitrag zu den Aufgaben des Datenschutzbeauftragten an der Schule.
Art. 30 DSGVO gibt einen Rahmen vor. Statt hier einzelne Pflichtangaben auszubuchstabieren — die genaue Ausgestaltung stimmen Sie mit Ihrem Datenschutzbeauftragten ab — ist der praktische Blick hilfreicher. Jede Verarbeitungstätigkeit wird als eigener Eintrag geführt und beschreibt typischerweise:
Sie müssen das Verzeichnis nicht auf einem leeren Blatt beginnen. Die meisten Landesdatenschutzbehörden und Kultusministerien stellen eine Vorlage oder ein Muster bereit, das die geforderten Spalten bereits vorgibt. Eine solche Vorlage für ein Verzeichnis von Verarbeitungstätigkeiten nimmt Ihnen die Struktur ab — den Inhalt müssen Sie mit Ihren eigenen Prozessen füllen.
Zwei Dinge sind dabei entscheidend:
Entscheidend ist, dass Sie in Verarbeitungstätigkeiten denken, nicht in einzelnen Programmen. Eine Anwendung kann mehrere Tätigkeiten abbilden — und dieselbe Tätigkeit kann in mehreren Systemen stattfinden.
Ein Beispiel: Die Kommunikation mit Eltern läuft vielleicht über ein Schulportal, einen E-Mail-Verteiler und eine Messenger-Lösung zugleich. Wer nur Programme auflistet, übersieht schnell einzelne Wege. Wer die Tätigkeit „Elternkommunikation" beschreibt, erfasst alle beteiligten Systeme in einem Zug.
Der schnellste Einstieg gelingt, wenn Sie den Schuljahresablauf gedanklich durchgehen. Fast jeder wiederkehrende Prozess ist eine Verarbeitungstätigkeit. Typische Einträge sind:
Gerade bei Prozessen mit besonders schützenswerten Daten lohnt der genaue Blick. Wie sich etwa Einwilligungen sauber dokumentieren und nachweisen lassen, zeigt der Beitrag zur Verwaltung von Einwilligungserklärungen.
Nehmen wir die Leistungserfassung. Der Eintrag beschreibt als Zweck die Bewertung des Lernstands und die Vorbereitung der Zeugnisse. Betroffen sind Schülerinnen und Schüler. Die Datenkategorien reichen von Einzelnoten bis zu verbalen Beurteilungen.
Empfänger sind Lehrkräfte, die Schulleitung und — über das Zeugnis — die Erziehungsberechtigten. Als Löschfrist gilt die landesrechtliche Aufbewahrungsfrist für Zeugnisdaten, die sich je nach Bundesland unterscheidet. Weil diese Fristen nicht bundeseinheitlich sind, prüfen Sie den konkreten Wert anhand Ihrer Schulordnung oder fragen bei der Datenschutzbehörde Ihres Landes nach. Sobald Sie diesen einen Eintrag durchdacht haben, verstehen Sie das Prinzip für alle weiteren.
Der häufigste Fehler ist nicht ein fehlendes Verzeichnis, sondern ein totes. Es wird einmal erstellt und dann nie wieder angefasst. Zwei Jahre später ist eine neue Lern-App im Einsatz, das Sekretariat nutzt einen anderen Cloud-Dienst, und das Verzeichnis beschreibt eine Schule, die es so nicht mehr gibt.
Die Ursache ist meist strukturell: Das Verzeichnis liegt als isolierte Datei getrennt von den Daten, die es beschreibt. Jede Aktualisierung ist Handarbeit und wird deshalb aufgeschoben.
Hilfreich ist es, das Verzeichnis nah an die Stelle zu rücken, an der die Verarbeitungen tatsächlich stattfinden. Wenn Schülerdaten, Noten und Akten in einer zentralen Plattform liegen, sind viele der dort ablaufenden Tätigkeiten bereits mit Zugriffsrechten, Löschfristen und Protokollen hinterlegt. Das Verzeichnis kann dann auf diese Strukturen verweisen, statt sie ein zweites Mal von Hand zu beschreiben. Das gilt unabhängig vom konkreten System — wer sich damit beschäftigt, findet einen Einstieg über die digitale Akte.
Welche Pflegeroutinen für Ihre Schule tragfähig sind, hängt von ihrer Größe und dem Tempo Ihrer Veränderungen ab. Zwei Ansätze haben sich in der Praxis bewährt:
Das Verzeichnis steht nicht für sich. Es ist der Ausgangspunkt für weitere Aufgaben. Aus einem sauberen Eintrag lässt sich ableiten, ob eine Datenschutz-Folgenabschätzung zu prüfen ist, welche technischen Maßnahmen zu dokumentieren sind und welche Löschfristen im System zu hinterlegen sind.
Umgekehrt fällt ein Problem schneller auf, wenn dokumentiert ist, wie ein Prozess eigentlich ablaufen sollte. Wer das Verzeichnis als roten Faden versteht, verankert damit den Datenschutz an der Schule auf einer belastbaren Grundlage. Einen Überblick über die weiteren Pflichten bietet unsere Darstellung dazu, was beim Datenschutz an Bildungseinrichtungen wirklich zählt.
Das Verzeichnis der Verarbeitungstätigkeiten ist für Schulen Pflicht — aber es muss keine Belastung sein. Wer mit einer passenden Vorlage startet, sie an den vorhandenen Systemen ausrichtet, in Tätigkeiten statt in Software denkt und Pflegeroutinen etabliert, die zur eigenen Schule passen, hält es mit überschaubarem Aufwand aktuell. Der Lohn ist ein Dokument, das nicht nur der Aufsichtsbehörde standhält, sondern Ihnen selbst jederzeit zeigt, was in Ihrer Schule mit personenbezogenen Daten geschieht.
Titelbild: Zulfugar Karimov / Pexels
