Schulsoftware datenschutzrechtlich prüfen: die Checkliste

Worum es geht

Wenn eine Schule eine Software für Vertretungsplan, Klassenbuch, Krankmeldung oder Elternkommunikation einführt, verarbeitet sie personenbezogene Daten von Kindern, Eltern und Beschäftigten. Verantwortlich dafür ist die Schule, nicht der Anbieter. In NRW formuliert das Schulministerium es deutlich: Die Schulleiterin oder der Schulleiter ist für den Schutz der Daten und die Einhaltung der datenschutzrechtlichen Bestimmungen in der Schule verantwortlich (Schulministerium NRW). Die Landesbeauftragte für den Datenschutz Niedersachsen schreibt in ihren Eckpunkten für Lernplattformen, die Schule trage „die Verantwortung für die Rechtmäßigkeit der konkreten Datenverarbeitungen und die Datenschutzkonformität des eingesetzten Produktes“ (Stand Juni 2022).

Diese Checkliste ordnet die Fragen, die Schulleitung, Schulträger und behördliche Datenschutzbeauftragte vor der Entscheidung klären sollten. Sie ersetzt keine Rechtsberatung und keine Prüfung durch Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten. Stand aller Angaben: 13. Oktober 2026.

Vorab: Was gilt in Ihrem Land? Das Schuldatenschutzrecht ist Landesrecht und unterscheidet sich. Drei Beispiele:

• Hessen: Nach § 83a Abs. 1 HSchG dürfen Schulen digitale Anwendungen nutzen, wenn sie vom Kultusministerium oder einer beauftragten Stelle geprüft und bereitgestellt werden, oder wenn die Schule sie selbstständig einführt und als Verantwortliche Datenschutz und Sicherheit der Verarbeitung gewährleistet.
• Bayern: Das Kultusministerium verweist auf geprüfte datenschutzkonforme Anwendungen in der BayernCloud Schule (Stand der Seite: 20.12.2024).
• NRW: Die Schulleitung entscheidet und verantwortet. Grundlage sind §§ 120 bis 122 SchulG NRW und die Verordnungen VO-DV I und II.

Ein länderübergreifendes Prüfverfahren für digitale Bildungsmedien im Unterricht („eduCheck digital“, federführend Rheinland-Pfalz, umgesetzt vom FWU) wird seit 2021 entwickelt. Eine öffentliche Liste vergebener Siegel haben wir bis zum 13.10.2026 nicht gefunden. Ein bundesweit verbindliches Freigabeverzeichnis für Schulverwaltungssoftware haben wir nicht gefunden. Fragen Sie deshalb zuerst Ihre Schulaufsicht oder Ihren Schulträger, ob es Landesvorgaben, Rahmenverträge oder bereits geprüfte Alternativen gibt.

1. Vertrag zur Auftragsverarbeitung (AVV)

Betreibt der Anbieter die Software für Sie, ist er in der Regel Auftragsverarbeiter. Dann ist ein Vertrag nach Art. 28 Abs. 3 DSGVO Pflicht.

• Liegt ein AVV vor, bevor die ersten echten Daten eingespielt werden?
• Enthält er alle Pflichtinhalte des Art. 28 Abs. 3: Gegenstand, Dauer, Art und Zweck, Datenarten, Betroffene, Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, Sicherheitsmaßnahmen nach Art. 32, Regeln für Unterauftragnehmer, Unterstützung bei Betroffenenrechten und Datenpannen, Löschung oder Rückgabe am Ende, Nachweise und Kontrollen?
• Ist ausgeschlossen, dass der Anbieter Daten für eigene Zwecke nutzt, etwa für Werbung, Produktanalyse oder Training? Die LfD Niedersachsen verlangt für Lernplattformen ausdrücklich, die Nutzung von Schülerdaten zu eigenen Geschäftszwecken vertraglich auszuschließen.
• Wer schließt den Vertrag, Schule oder Schulträger? Das regeln die Länder unterschiedlich.

Die EU-Kommission hat Standardvertragsklauseln für Art. 28 veröffentlicht (Durchführungsbeschluss 2021/915). Das Schulministerium NRW hält ihre Verwendung für empfehlenswert.

2. Technische und organisatorische Maßnahmen (TOM)

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Art. 25 verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.

• Gibt es eine konkrete, aktuelle TOM-Beschreibung für genau dieses Produkt, keine allgemeine Unternehmensbroschüre?
• Ist die Verbindung verschlüsselt? Sind die gespeicherten Daten verschlüsselt, und gilt das auch für Backups?
• Wie wird angemeldet: Passwortregeln, Zwei-Faktor für Verwaltungskonten, Single Sign-on?
• Werden Wiederherstellungen aus Backups regelmäßig getestet (Art. 32 Abs. 1 lit. c und d)?
• Wie schnell werden Sicherheitslücken geschlossen, und wie erfahren Sie davon?
• Sind die Voreinstellungen datensparsam, etwa bei Sichtbarkeit, Profilfeldern und Benachrichtigungen?

3. Unterauftragnehmer

Hoster, E-Mail-Versand, Support-Werkzeuge, Fehleranalyse: Fast jede Software nutzt weitere Dienstleister.

• Gibt es eine vollständige Liste mit Name, Sitz, Leistung und Verarbeitungsort?
• Werden Sie vor jeder Änderung informiert und können Sie widersprechen (Art. 28 Abs. 2)?
• Gelten für Unterauftragnehmer dieselben Pflichten wie für den Hauptanbieter (Art. 28 Abs. 4)?

Der Europäische Datenschutzausschuss hat im Oktober 2024 festgehalten (Stellungnahme 22/2024), dass Verantwortliche die Identität aller Unterauftragnehmer in der gesamten Kette jederzeit verfügbar haben sollten, unabhängig vom Risiko der Verarbeitung.

4. Speicherort und Drittland

Daten außerhalb von EU und EWR zu verarbeiten ist nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig. Auch ein Fernzugriff aus einem Drittland, etwa durch Support, kann nach Auffassung des Europäischen Datenschutzausschusses eine solche Übermittlung sein (Stellungnahme 22/2024, Rn. 75).

• Wo stehen die Server, auch für Backups, Protokolle und Support-Systeme?
• Hat der Anbieter oder ein Unterauftragnehmer eine Muttergesellschaft außerhalb der EU? Wie geht der Anbieter mit behördlichen Herausgabeverlangen um?
• Wenn Daten in die USA fließen: Ist der Empfänger unter dem EU-US Data Privacy Framework zertifiziert? Das lässt sich in der öffentlichen DPF-Liste nachsehen.

Stand zum Data Privacy Framework: Der Angemessenheitsbeschluss der Kommission vom 10.07.2023 gilt nur für zertifizierte US-Organisationen. Das Gericht der EU hat die Nichtigkeitsklage eines französischen Abgeordneten am 03.09.2025 abgewiesen (T-553/23). Gegen dieses Urteil ist seit 31.10.2025 ein Rechtsmittel beim EuGH anhängig (C-703/25 P). Schlussanträge oder ein Urteil haben wir bis zum 13.10.2026 nicht gefunden. Bis zu einer Entscheidung gilt der Beschluss weiter. Der Vorgänger „Privacy Shield“ wurde 2020 vom EuGH aufgehoben (C-311/18). Fragen Sie deshalb auch: Was tut der Anbieter, wenn der Beschluss fällt?

Die LfD Niedersachsen empfiehlt für Lernplattformen, dass Auftragsverarbeiter und Unterauftragnehmer ihren Sitz im Geltungsbereich der DSGVO haben und keine Schülerdaten in Drittländer übermittelt werden.

5. Rechte- und Rollenkonzept

Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO) zeigt sich im Alltag vor allem daran, wer was sehen darf.

• Gibt es ein dokumentiertes Rollen- und Rechtekonzept, getrennt nach Lesen und Schreiben?
• Sieht eine Lehrkraft nur die Klassen und Kurse, die sie unterrichtet? Endet der Zugriff, wenn sie die Klasse abgibt oder die Schule verlässt?
• Was sehen Eltern, Schülerinnen und Schüler? Ist das bewusst begrenzt?
• Wer vergibt und entzieht Rechte, und wie aufwendig ist das zum Schuljahreswechsel?
• Kann der Anbieter selbst Inhalte einsehen? Wenn ja, wann und mit welcher Freigabe?

6. Protokollierung

• Werden Zugriffe auf besonders schutzwürdige Bereiche protokolliert, etwa Schülerakten, Fehlzeiten oder Atteste?
• Werden Änderungen nachvollziehbar gespeichert (wer, wann, alter und neuer Wert)?
• Wer darf die Protokolle einsehen, und wann werden sie gelöscht? Protokolle sind selbst personenbezogene Daten.
• Lässt das System Auswertungen zu, die über den Zweck hinausgehen, etwa zum Arbeitsverhalten von Schülerinnen und Schülern? Die LfD Niedersachsen hält zum Beispiel die Nachverfolgung der Bearbeitungsdauer von Dokumenten für unverhältnismäßig.

7. Löschkonzept, Export und Ausstieg

• Gibt es Löschfristen je Datenart, und werden sie technisch umgesetzt, nicht nur beschrieben? Schulrechtliche Aufbewahrungsfristen Ihres Landes gehen vor.
• Was geschieht mit den Daten von Schülerinnen und Schülern, die die Schule verlassen?
• Können Sie alle Daten in einem offenen, dokumentierten Format exportieren, etwa CSV oder JSON?
• Was regelt der Vertrag zum Ende: Rückgabe, Löschung, Frist, Löschbestätigung (Art. 28 Abs. 3 lit. g)?
• Wie unterstützt Sie das System bei Auskunftsersuchen (Art. 15)?

Ein Hinweis zur Einordnung: Das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO gilt nicht für Verarbeitungen zur Erfüllung öffentlicher Aufgaben (Art. 20 Abs. 3). Ihr Ausstieg hängt deshalb am Vertrag und an der Exportfunktion, nicht an diesem Betroffenenrecht.

8. Datenschutz-Folgenabschätzung (DSFA)

Eine DSFA ist nach Art. 35 DSGVO nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt. Hier unterscheiden sich die Einschätzungen:

• Das Schulministerium NRW geht davon aus, dass bei der auf Ebene einer Einzelschule üblichen Verarbeitung von Lehrer- und Schülerdaten „in der Regel keine Verpflichtung“ der Schulleitung zu einer DSFA besteht.
• Die LfD Niedersachsen verweist für Lernplattformen auf die Prüfpflicht und bietet ein Prüfschema an (ZAWAS).

Dokumentieren Sie in jedem Fall eine Schwellwertprüfung. Das gilt besonders dann, wenn Gesundheitsdaten im Spiel sind, etwa Krankmeldungen, Atteste oder Förderbedarfe mit Gesundheitsbezug (Art. 9 DSGVO). Fragen Sie den Anbieter, ob er eine Muster-DSFA oder Vorarbeiten dafür liefert.

9. Information der Betroffenen und Gremien

• Steht die Software im Verzeichnis der Verarbeitungstätigkeiten der Schule (Art. 30)? Der HBDI stellt Checklisten und Muster-Verzeichnisse für Schulen bereit.
• Liegt eine verständliche Information nach Art. 13 und 14 für Eltern, Schülerinnen und Schüler sowie Beschäftigte vor?
• Wurde die oder der Datenschutzbeauftragte vor der Entscheidung beteiligt?
• Sind Personalrat und schulische Gremien nach Landesrecht beteiligt? In NRW etwa bestimmt der Personalrat mit, wenn Daten der Beschäftigten automatisiert verarbeitet werden oder eine technische Einrichtung eingeführt wird, die sich zur Überwachung von Verhalten oder Leistung eignet (§ 72 Abs. 3 Nr. 1 und 2 LPVG NRW). Andere Länder regeln das in ihren Personalvertretungsgesetzen.
• Beruht die Verarbeitung auf einer gesetzlichen Grundlage? Einwilligungen sind im Schulverhältnis problematisch und sollten die Ausnahme bleiben.

10. Betrieb und Support-Zugriffe

• Wer beim Anbieter kann auf Echtdaten zugreifen, mit welcher Begründung, und wird das protokolliert?
• Erfolgt Support nur mit Ihrer Zustimmung im Einzelfall, etwa per Bildschirmfreigabe, statt über dauerhafte Generalzugänge?
• Wie und innerhalb welcher Frist meldet der Anbieter Datenschutzverletzungen? Sie selbst müssen in der Regel binnen 72 Stunden an die Aufsichtsbehörde melden (Art. 33).
• Wie sind Verfügbarkeit, Wartungsfenster und Erreichbarkeit vertraglich zugesagt?
• Gibt es eine benannte Ansprechperson für Datenschutzfragen?

Warum „DSGVO-konform“ als Werbeaussage nichts beweist

„100 % DSGVO-konform“ steht auf vielen Produktseiten. Für Ihre Prüfung hat der Satz kaum Wert, und zwar aus drei Gründen.

1. Konformität ist keine Produkteigenschaft. Ob eine Verarbeitung rechtmäßig ist, hängt von Zweck, Rechtsgrundlage, Konfiguration, Rechtevergabe und Löschpraxis an Ihrer Schule ab. Diese Verantwortung trägt die Schule als Verantwortliche (Art. 5 Abs. 2, Art. 24 DSGVO), auch wenn der Anbieter gute Arbeit leistet.
2. Es gibt kein allgemeines „DSGVO-Siegel“. Die DSGVO kennt Zertifizierungen nach Art. 42. Sie werden von akkreditierten Zertifizierungsstellen oder Aufsichtsbehörden für bestimmte Verarbeitungsvorgänge vergeben und können nach Art. 28 Abs. 5 als Faktor für hinreichende Garantien herangezogen werden. Sie mindern die Verantwortung der Schule aber nicht (Art. 42 Abs. 4). Eine ISO-27001-Zertifizierung betrifft die Informationssicherheit, häufig nur das Rechenzentrum, und sagt nichts über Rechtekonzept, Löschfristen oder Unterauftragnehmer.
3. „Server in Deutschland“ ist nur ein Ausschnitt. Support-Zugriffe, Unterauftragnehmer, Mutterkonzerne und Backups können trotzdem Drittlandbezug haben.

Bitten Sie statt um Versprechen um Unterlagen: AVV-Entwurf, TOM, Liste der Unterauftragnehmer, Rechtekonzept, Löschkonzept, Beschreibung des Exports, Vorlage für die Elterninformation. Ein seriöser Anbieter kann diese Papiere liefern oder sagt offen, welche noch fehlen.

In eigener Sache: Wo Schultag steht

Wir entwickeln Schultag, eine Software für Vertretung, Krankmeldung, Klassenbuch und Fehlzeiten. Deshalb haben wir ein Interesse an diesem Thema. Damit Sie unsere Angaben mit dieser Checkliste abgleichen können, hier der Stand vom 13.10.2026: Schultag läuft bisher nur als Demo mit einer erfundenen Schule, es gibt noch keinen Echtbetrieb. Rechte, die sich aus dem Unterricht ableiten, und die Protokollierung jeder Einsicht in eine Schülerakte lassen sich in der Demo zeigen. AVV, TOM und Unterlagen für Verzeichnis und DSFA sind geplant und liegen noch nicht vor. Ein Betrieb bei einem Hoster in Deutschland ist geplant, aber noch nicht umgesetzt.

Dieser Artikel ist keine Rechtsberatung. Er gibt den Stand der genannten Quellen am 13.10.2026 wieder. Maßgeblich sind das Datenschutz- und Schulrecht Ihres Landes und die Einschätzung Ihrer oder Ihres Datenschutzbeauftragten.