DSGVO im Schulalltag — wohin gehören Schülerdaten wirklich?

Es ist ein ganz normaler Schultag. Du sprichst eine kurze Notiz zu einem Kind, hältst eine Auffälligkeit fest, notierst, dass ein Elterngespräch ansteht. Alles harmlos im Alltag — und trotzdem hast du gerade personenbezogene Daten eines Minderjährigen verarbeitet, manche davon zu den sensibelsten überhaupt.

Datenschutz in der Schule wirkt oft wie ein Thema für Juristen und Konferenzen. Im Kern geht es aber um eine sehr praktische Frage: Wo liegen diese Daten eigentlich — und wer kommt da ran? Genau das schauen wir uns an.

Hinweis vorab: Dieser Artikel ist eine allgemeine Orientierung und ausdrücklich keine Rechtsberatung. Welche Regeln konkret für dich gelten, ergibt sich aus den Vorgaben deiner Schule, deines Bundeslandes und deiner Datenschutzbeauftragten. Im Zweifel gilt immer deren Auskunft, nicht dieser Text.

Warum sind Schülerdaten besonders sensibel?

Schülerdaten sind besonders schützenswert, weil sie überwiegend Minderjährige betreffen und teils zu den „besonderen Kategorien personenbezogener Daten" nach Art. 9 DSGVO gehören. Ein Kind kann die Folgen einer Datenverarbeitung kaum überblicken, deshalb stellt das Recht hier strengere Anforderungen.

Hinzu kommt: In Lehrernotizen steckt oft mehr, als man denkt. Eine Bemerkung über Konzentrationsprobleme, ein Hinweis auf eine schwierige Familiensituation, eine Notiz zu einer Medikamenteneinnahme — solche Informationen können das Selbstbild eines Kindes berühren und reichen weit in die Privatsphäre der Familie hinein.

Je sensibler die Daten, desto wichtiger ist die Frage, wer außer dir noch Zugriff hat.

Deshalb lohnt es sich, schon bei der Wahl der Werkzeuge genau hinzusehen — nicht aus Bürokratie, sondern aus Verantwortung gegenüber den Kindern, deren Daten dir anvertraut sind.

Dürfen Lehrkräfte Schülerdaten auf dem privaten Gerät verarbeiten?

Ob Lehrkräfte Schülerdaten auf dem privaten Gerät verarbeiten dürfen, hängt von den Vorgaben der Schule und des Bundeslandes ab — eine pauschale Antwort gibt es nicht. Viele Schulgesetze und Datenschutzbeauftragte lassen es zu, aber nur unter klaren Auflagen.

Typische Bedingungen, die in der Praxis verlangt werden:

• Das Gerät ist mit einer wirksamen Sperre (PIN, Passwort, biometrisch) geschützt.
• Die Daten sind verschlüsselt gespeichert und nicht für Familienmitglieder oder Dritte einsehbar.
• Es findet kein ungesicherter Abfluss in private Clouds (Fotostream, Backups, Messenger) statt.
• Daten werden gelöscht, sobald der Zweck wegfällt (z. B. nach Schuljahresende).

Manche Bundesländer stellen dienstliche Geräte oder Plattformen bereit und schränken die Nutzung privater Geräte ein. Andere erlauben sie unter den genannten Bedingungen. Deshalb gilt: Vor der Nutzung die konkrete Regelung deiner Schule und deiner Datenschutzbeauftragten klären. Mehr zur Werkzeugwahl findest du im Artikel Lehrer-Apps im Überblick.

Cloud vs. lokal — wo liegt das eigentliche Risiko?

Das eigentliche Risiko liegt selten im Gerät selbst, sondern darin, dass Daten unkontrolliert das Gerät verlassen — meist über Cloud-Sync oder Weitergabe an Dritte. Ein gesperrtes, verschlüsseltes Tablet ist oft sicherer als ein Dienst, dessen Server irgendwo stehen und auf den fremde Stellen zugreifen können.

Bei Cloud-Lösungen stellen sich Fragen, die im Schulalltag schwer zu überblicken sind: Wo stehen die Server? Gibt es einen Auftragsverarbeitungsvertrag? Werden Daten in Drittländer übertragen, etwa in die USA, wo Behördenzugriffe möglich sind? Sind die Daten beim Anbieter verschlüsselt, und wer hält die Schlüssel?

Aspekt	Cloud-Sync	Lokal / offline-first
Wo liegen die Daten?	Auf fremden Servern	Nur auf deinem Gerät
Wer kann zugreifen?	Anbieter, ggf. Behörden	Nur du (nach Entsperrung)
Drittland-Transfer?	Möglich, oft unklar	Findet nicht statt
Hauptschutz	Vertrag & Anbieter-Sicherheit	Gerätesperre & Verschlüsselung

Das heißt nicht, dass Cloud grundsätzlich verboten wäre — eine sauber geprüfte, in der EU gehostete Lösung kann zulässig sein. Aber je weniger Daten das Gerät verlassen, desto weniger Fragen müssen überhaupt geklärt werden.

Worauf sollte man bei einer Lehrer-App datenschutzrechtlich achten?

Datenschutzrechtlich solltest du bei einer Lehrer-App vor allem prüfen, wohin die Daten fließen und wer darauf zugreifen kann. Die folgende Checkliste hilft bei der Bewertung:

• Speicherort: Bleiben die Daten lokal auf dem Gerät oder werden sie in eine Cloud synchronisiert?
• Konto & Login: Braucht die App ein Benutzerkonto? Jedes Konto bedeutet Daten auf einem Server.
• Tracking & Dritte: Enthält die App Analyse- oder Werbe-Tracker? Werden Daten an Dritte weitergegeben?
• Verschlüsselung: Sind die gespeicherten Daten und Backups verschlüsselt — und mit welchem Verfahren?
• Löschung & Export: Lassen sich Daten vollständig löschen und kontrolliert exportieren?
• Transparenz: Gibt es eine verständliche Datenschutzerklärung und eine klare Anbieter-Auskunft?

Eine App, die diese Punkte sauber beantwortet, nimmt dir viel Unsicherheit ab. Im Zweifel legst du die Antworten deiner Datenschutzbeauftragten vor — die finale Bewertung liegt bei ihr.

Was bedeutet „offline-first" konkret?

„Offline-first" bedeutet, dass eine App vollständig ohne Internetverbindung funktioniert und alle Daten lokal auf dem Gerät bleiben. Es gibt keinen automatischen Cloud-Sync, kein Konto und keine Server, auf denen Schülerdaten liegen — die Daten verlassen den geschützten App-Bereich des Geräts schlicht nicht.

Aus Datenschutzsicht ist das ein entscheidender Unterschied. Wenn keine Daten übertragen werden, entfallen viele der heikelsten Fragen: kein Drittland-Transfer, kein fremder Serverzugriff, kein Anbieter, der mitliest. Was nicht das Gerät verlässt, kann unterwegs auch nicht abgefangen oder bei einem Anbieter-Leak offengelegt werden.

Genau aus dieser Überlegung ist Klassenblick entstanden. Die App speichert alle Inhalte ausschließlich lokal im geschützten App-Bereich des Geräts — kein Cloud-Zwang, kein Konto, kein Tracking. Du bleibst die einzige Stelle, die auf die Daten zugreift. Wie das im Alltag aussieht, zeigt auch der Artikel Schülernotizen dokumentieren.

Verschlüsselte Backups und der Fall Geräteverlust

Lokal gespeicherte Daten sind nur so sicher wie das Gerät selbst — deshalb sind Gerätesperre, Geräteverschlüsselung und verschlüsselte Backups die entscheidenden Bausteine, falls ein Gerät verloren geht oder gestohlen wird.

Moderne Smartphones und Tablets verschlüsseln ihren Speicher standardmäßig. Solange das Gerät mit einer starken Sperre geschützt ist, sind die Daten ohne Entsperrung nicht lesbar. Geht ein Gerät verloren, hilft zusätzlich die Fernlöschung über die Geräteverwaltung.

Der heikle Punkt sind oft die Backups und Exporte. Eine exportierte Datei, die unverschlüsselt in einer Mail oder einem Download-Ordner landet, ist ein klassisches Datenleck. Deshalb lassen sich Backups und Exporte in Klassenblick optional mit AES-256 passwortverschlüsseln — ohne das richtige Passwort bleibt die Datei unlesbar, selbst wenn sie in falsche Hände gerät.

Einen Geräteverlust solltest du gemäß den Vorgaben deiner Schule melden — auch das ist Teil des Datenschutzes.

Was Schule und Aufsichtsbehörde oft verlangen

Schulen und Datenschutzaufsichten verlangen in der Praxis vor allem Nachvollziehbarkeit: Es muss klar sein, welche Daten wo verarbeitet werden, wie sie geschützt sind und wann sie gelöscht werden. Pauschale Verbote sind seltener als konkrete Auflagen.

Häufig wiederkehrende Anforderungen sind:

• Ein Verzeichnis bzw. Überblick, welche Werkzeuge mit Schülerdaten genutzt werden.
• Technische Schutzmaßnahmen (Sperre, Verschlüsselung) auf den genutzten Geräten.
• Datensparsamkeit — nur erheben, was wirklich gebraucht wird.
• Klare Löschfristen, oft am Ende des Schuljahres oder der Klassenleitung.
• Bei externen Diensten: ein Auftragsverarbeitungsvertrag und eine Prüfung des Anbieters.

Wer von vornherein ein Werkzeug nutzt, das lokal arbeitet und wenig erhebt, erfüllt viele dieser Punkte fast automatisch. Trotzdem bleibt die Abstimmung mit Schulleitung und Datenschutzbeauftragten der maßgebliche Schritt. Wie sich digitale Dokumentation insgesamt sauber aufsetzen lässt, beschreibt der Artikel Klassenbuch digital führen.

Fazit: Datensparsam ist das beste Datenschutzkonzept

Datenschutz in der Schule wird nicht durch lange Formulare besser, sondern durch eine einfache Grundhaltung: so wenige Daten wie möglich an so wenige Orte wie möglich. Was gar nicht erst in eine fremde Cloud wandert, muss auch nicht aufwendig abgesichert werden.

Für dich heißt das ganz praktisch: ein gut gesichertes Gerät, ein Werkzeug, das lokal arbeitet und nicht trackt, verschlüsselte Backups — und eine kurze Abstimmung mit den Verantwortlichen an deiner Schule. Damit bist du nicht nur auf der sicheren Seite, sondern wirst der Verantwortung gerecht, die hinter jeder einzelnen Schülernotiz steckt.

Und noch einmal zur Klarheit: Dieser Artikel ersetzt keine Rechtsberatung. Die verbindlichen Vorgaben kommen von deiner Schule, deinem Bundesland und deinen Datenschutzbeauftragten. Wie Klassenblick mit Daten umgeht, liest du in unserer Datenschutzerklärung.