In einem Satz. Schulen und Bildungseinrichtungen in Deutschland sind seit der Corona-Pandemie im Zentrum der DSGVO-Debatte — die Microsoft-365-Kontroverse (Untersagung in Schleswig-Holstein 2022, kritische Bewertung BfDI/DSK) zeigt: Cloud-basierte Bildungslösungen sind nur mit erheblichem Konfigurations- und Dokumentationsaufwand DSGVO-konform.
Wichtige Punkte
- Microsoft 365 in Schulen: ULD-Untersagung 2022, DSK-Stellungnahme kritisch.
- Schüler sind besonders schutzbedürftig (Art. 8 DSGVO).
- Einwilligung Eltern bis 16 Jahre erforderlich.
- Alternativen: BigBlueButton, Moodle, Nextcloud, Logineo NRW.
- Länder-Lernportale meist DSGVO-konformer.
1. Rechtsgrundlagen Schule
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Schülerverwaltung | Schulgesetze der Länder |
| Lernplattformen | Schulgesetz + DSGVO Art. 6 |
| Foto/Video AGs | Einwilligung Art. 6 lit. a + KunstUrhG |
| Elternkommunikation | Schulgesetz + Berechtigtes Interesse |
| Klassenarbeiten | Schulgesetz |
| Sonderpädagogischer Bedarf | Art. 9 + Schulgesetz |
2. Microsoft 365 in Schulen
- ULD Schleswig-Holstein 2022: faktische Untersagung wegen Telemetrie und US-Transfers.
- DSK-Stellungnahme 2022: nicht-rechtskonform in Standard-Konfiguration.
- Bayern (BayLDA): Tolerierung unter strengen Auflagen.
- Berlin: Empfehlung gegen Microsoft 365 für Schulen.
3. Alternativen
| Tool | Funktion | Hosting |
|---|---|---|
| BigBlueButton | Video-Konferenz | EU-Hoster (z.B. Werder Bremen) |
| Moodle | LMS | EU/Land |
| Nextcloud | Cloud-Speicher | Land/Kommune |
| Logineo NRW | Komplettlösung | Land NRW |
| LMZ BW | Komplettlösung | Land BW |
| iServ | Schul-IT | Deutscher Hoster |
4. Einwilligung Eltern
- Unter 16 Jahren: Sorgeberechtigte (Art. 8 DSGVO).
- 16-18: Schüler + Eltern.
- Über 18: Schüler allein.
- Granular pro Zweck (Foto, Video, Lernplattform, Cloud).
- Schriftform und Widerrufsmöglichkeit.
5. Schülerdatenspeicherung
- Schülerakte: Aufbewahrung nach Landesschulgesetz (typisch 30-50 Jahre).
- Klassenarbeiten: 1-2 Jahre.
- Lernplattform-Inhalte: Schuljahresende oder Abschluss.
- Foto/Video: Widerruf jederzeit.
6. Foto- und Videoaufnahmen
- Klassenfotos: Einwilligung Eltern.
- Schulfest-Aufnahmen: Hinweisbeschilderung + Recht auf Ausschluss.
- Veröffentlichung Homepage: separate Einwilligung.
- Social Media: nur mit ausdrücklicher Einwilligung pro Plattform.
7. Elternkommunikation
- WhatsApp-Klassenchats: DSGVO-kritisch (Telefonbuchabgleich).
- Empfohlene Alternativen: Threema, Signal, schuleigene Apps.
- Schulinterne Kommunikation: dienstliche E-Mail.
8. Lernstandserhebungen
- Vergleichsarbeiten (VERA, BISTA): Schulgesetz + ggf. Einwilligung.
- KI-basierte Lernanalytik: DSFA Pflicht.
- Anonyme statistische Auswertung weniger problematisch.
9. Schüler-Endgeräte
- Schul-Tablets (iPad-Klassen, ChromeBooks): MDM Pflicht.
- BYOD: DSFA + Betriebsvereinbarung Lehrkräfte + Einwilligung Eltern.
- Filter-Software: zweckgebunden, keine Verhaltensanalyse.
10. Lehrerdaten
- Personalakte nach BDSG § 26 und Landesbeamtenrecht.
- Notenverwaltung: Zugriff nur Klassenlehrer.
- Whistleblowing-Kanal Pflicht ab 50 Beschäftigten (HinSchG).
11. Tool-Unterstützung
11. Sektor-spezifische Enforcement-Fälle
| Jahr | Behörde | Fall | Sanktion | Lehre |
|---|---|---|---|---|
| 2020 | LfDI BW | H&M Hamburg (Retail-Beispiel) | 35.300.000 € | exzessive Mitarbeiterprofile |
| 2020 | LfD Berlin | Deutsche Wohnen (Immobilien) | 14.500.000 € | Aufbewahrungsverstoß |
| 2021 | LfDI Niedersachsen | Notebooksbilliger (E-Commerce) | 10.400.000 € | dauerhafte Videoüberwachung |
| 2022 | LDA Bayern | VW (Industrie) | 1.100.000 € | unzureichende AVV-Kontrolle |
| 2023 | HmbBfDI | Vattenfall (Energie) | 900.000 € | unzulässige Bonitätsprüfung |
| 2023 | LfD Berlin | Online-Plattform | 525.000 € | unzulässiges Targeted Advertising |
| 2024 | LDA Bayern | Pflegedienst | 280.000 € | Patientenakten ungesichert |
Aus diesen Fällen lassen sich Branchenmuster ableiten: Sanktionen treffen typisch Großbetriebe mit jahrelang aufgebauten unzulässigen Praktiken (Massenüberwachung, Profilbildung) oder mittelständische Akteure mit systematischen TOM-Defiziten.
12. Sektor-Standards und Codes of Conduct
Branchenspezifische Standards reduzieren das Compliance-Risiko:
Zertifizierung allein schützt nicht vor Sanktionen, dokumentiert aber Sorgfalt — wirkt sich bußgeldmindernd aus.
13. AVV-Anforderungen im Sektor
Typische Sub-Auftragsverarbeiter im Sektor: Cloud-Hoster (AWS, Azure, GCP, Deutsche Cloud-Anbieter), CRM-Anbieter (HubSpot, Salesforce, Pipedrive), E-Mail-Versender (Brevo, Mailjet, Inxmail), Hosting (Hetzner, Strato), Analytics (Matomo, Plausible). Jeder benötigt eigenen AVV plus TIA bei Drittlandstransfer.
14. 5-Schritte-Compliance-Plan für den Sektor
15. Häufige Audit-Befunde im Sektor
16. Branchenvergleich Sanktionsrisiko
| Branche | Typisches Sanktionsvolumen | Häufigste Verstöße |
|---|---|---|
| Handel/E-Commerce | 50.000 - 10 Mio. € | Marketing-Tracking, AVV-Lücken |
| Industrie | 100.000 - 35 Mio. € | Beschäftigtendatenschutz |
| Gesundheit/Pflege | 30.000 - 1 Mio. € | TOM-Defizite, Akten ungesichert |
| Energie/Versorger | 50.000 - 900.000 € | SCHUFA-Abfragen, Smart-Meter |
| Bildung | 5.000 - 100.000 € | MS 365 ohne TIA, Schülerdaten |
| Vereine/NGO | 1.000 - 50.000 € | fehlender DSB, AVV-Lücken |
| Influencer/Creator | 5.000 - 200.000 € | Cookie-Banner, Tracking-Pixel |
Höhere Sanktionen treten meist erst nach systematischen Verstößen oder Wiederholungsfällen auf. Erstverfahren enden in 60-70 % der Fälle mit Verwarnung oder Anordnung.
18. DSFA-Pflicht im Sektor
Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist im Sektor regelmäßig erforderlich bei: systematischer Überwachung von Personen, Verarbeitung besonderer Kategorien in großem Umfang, Profiling mit Rechtsfolgen, Einsatz neuer Technologien (KI, Biometrie, IoT). Die DSK-Liste “Muss-DSFA” gibt verbindliche Beispiele. Ablauf: (1) Schwellenwertanalyse, (2) systematische Beschreibung, (3) Notwendigkeits- und Verhältnismäßigkeitsprüfung, (4) Risikobewertung, (5) Schutzmaßnahmen, (6) DSB-Stellungnahme, ggf. Konsultation Aufsichtsbehörde nach Art. 36.
Praxis-Tipp: DSFA-Templates der DSK oder der CNIL (PIA-Tool) verwenden — beide werden von deutschen Aufsichten anerkannt.
19. Branchenkodex und Zertifizierung
Branchenspezifische Verhaltensregeln nach Art. 40 DSGVO können bei akkreditiertem Verband bindende Wirkung entfalten. Bestehende Kodizes: GDD-Code für KMU, BVDW-Code für Online-Marketing, DGUV-Sektorstandards Gesundheit. Zertifizierung nach Art. 42 DSGVO durch akkreditierte Stellen (z.B. TÜV, DEKRA, EuroPriSe) dokumentiert Sorgfalt, wirkt bußgeldmindernd. Kosten Erstzertifizierung 15.000-80.000 €, Re-Audit alle 3 Jahre.
20. Schnittstelle zu NIS2 und DORA
21. Häufige strategische Fehler im Sektor
- Datenschutz wird als reine IT-Aufgabe gesehen, nicht als Geschäftsprozess.
- DSB ohne Direktzugang zur Geschäftsleitung — Verstoß Art. 38 Abs. 3.
- Kein Budget für Schulungen — Risiko über Mitarbeiterfehler.
- Cloud-Migration ohne TIA und ohne Vertragsanpassung.
- Marketing-Tracking ohne TTDSG-konforme Einwilligung.
- Keine dokumentierte Schwellenwertanalyse für DSFA-Pflicht.
- Vorhandene AVV werden nicht regelmäßig auf Aktualität geprüft.
Fazit
Schulen sind Datenschutz-Schwergewichte: tausende Schüler, hunderte Lehrer, viele Cloud-Tools. Microsoft 365 bleibt umstritten — wer auf landesinterne Lösungen wie Logineo, LMZ oder iServ setzt, hat weniger Aufsichtsrisiko und mehr Kontrolle.
Amtliche Quellen
- Verordnung (EU) 2016/679 (DSGVO) — konsolidierter Volltext auf EUR-Lex
- Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI)
- Datenschutzkonferenz (DSK) — Beschlüsse und Orientierungshilfen der Aufsichtsbehörden
- Europäischer Datenschutzausschuss (EDPB) — Leitlinien
FAQ
Ist Microsoft 365 in Schulen erlaubt?
Uneinheitlich nach Bundesland. ULD Schleswig-Holstein hat untersagt, andere Länder tolerieren mit strengen Auflagen.
Brauche ich Eltern-Einwilligung für Lernplattformen?
Wenn Verarbeitung über die gesetzliche Schulaufgabe hinausgeht: ja. Für Pflichtaufgaben reicht Schulgesetz.
Bis welches Alter Eltern-Einwilligung?
In Deutschland bis 16 Jahre (Art. 8 DSGVO), darunter zwingend Eltern.
Was sind DSGVO-konforme Alternativen?
BigBlueButton, Moodle, Nextcloud, Logineo NRW, LMZ BW, iServ — meist auf deutschen oder Landes-Servern gehostet.
Wer ist verantwortlich nach DSGVO?
Schulträger (Kommune, Land) und Schulleitung gemeinsam. Bei Landesplattformen: Land als zentraler Verantwortlicher.
Welche Behörde ist für meinen Sektor zuständig?
Brauche ich einen Datenschutzbeauftragten?
Nach § 38 BDSG ab 20 mit der automatisierten Verarbeitung beschäftigten Personen, unabhängig vom Sektor. Zusätzlich Pflicht nach Art. 37 DSGVO bei Kernverarbeitung sensibler Daten oder umfangreicher systematischer Überwachung — typisch bei Pflegediensten, Online-Shops mit Profiling, Influencern mit Tracking. Externer DSB kann beauftragt werden; Vorteile: spezialisierte Expertise, Kosten 6.000-30.000 €/Jahr je nach Unternehmensgröße.
Wie hoch sind realistische Bußgelder im Mittelstand?
Erstverfahren ohne Vorsatz typisch 5.000-50.000 €. Wiederholungsfälle oder vorsätzliche Verstöße können in den 6-stelligen Bereich gehen. Systematische Verstöße (Massenverarbeitung, Profilbildung) bis 7-stellig und höher — siehe Notebooksbilliger 10,4 Mio. €. Die Bemessung folgt EDSA-Guidelines 4/2022 mit Multiplikator nach Konzernumsatz. Kooperation und Mitwirkung senken den Betrag deutlich.
Welche TOM sind im Sektor Pflicht?
Wie läuft ein Audit der Behörde ab?
Ankündigung (in der Regel 2-6 Wochen vor Ort), Unterlagenanforderung (Art. 30-Verzeichnis, AVV-Liste, DSFA, TOM-Dokumentation, Schulungsnachweise, DSB-Berichte), Vor-Ort-Besuch (1-3 Tage), Befundbericht, Anhörung, Maßnahmenkatalog mit Fristen, bei Verstößen Bußgeldverfahren. Vorbereitung: dokumentierte Compliance, klare Verantwortlichkeiten, geübter DSB als Single Point of Contact.