DSGVO-Checkliste: Schulsoftware datenschutz­konform auswählen.

Warum die Prüfung Chefsache ist

Wenn eine Schule Software einführt, die personenbezogene Daten verarbeitet, ist sie datenschutzrechtlich die verantwortliche Stelle — der Anbieter arbeitet in der Regel als Auftragsverarbeiter. Das heißt praktisch: Nicht der Anbieter haftet zuerst, sondern die Schule bzw. ihr Träger muss belegen können, dass die Auswahl sorgfältig war. Eine strukturierte Prüfung vor der Einführung ist deshalb keine Bürokratie, sondern Absicherung.

Die 10-Punkte-Checkliste

• Serverstandort: Werden alle Daten in Deutschland bzw. der EU verarbeitet — auch Backups und Support-Zugriffe?
• AV-Vertrag: Bietet der Anbieter einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO an — und liegt er vor Vertragsschluss vor?
• Datensparsamkeit: Erhebt die Software nur, was für den Zweck nötig ist — oder verlangt sie Konten, Profile und Angaben auf Vorrat?
• Drittdienste & Tracking: Lädt die Anwendung externe Dienste (Analyse, Werbung, Fonts von Drittservern)? Für den Schuleinsatz gilt: je weniger, desto besser — idealerweise keine.
• Rollen & Rechte: Sehen Lehrkräfte, Schüler:innen und Verwaltung jeweils nur, was sie sehen müssen?
• Verschlüsselung: Sind alle Verbindungen TLS-verschlüsselt — und sensible Daten auch bei der Speicherung geschützt?
• Löschkonzept: Gibt es definierte Fristen und einen praktikablen Weg, Daten beim Schuljahreswechsel oder Schulabgang zu löschen?
• Auskunft & Export: Können Betroffenenrechte (Auskunft, Berichtigung, Löschung) und ein Datenexport ohne Hürden erfüllt werden?
• Einwilligungen: Wo Einwilligungen nötig sind (z. B. Eltern-Benachrichtigungen): Werden sie sauber eingeholt, dokumentiert und sind sie widerrufbar — etwa per Double-Opt-In?
• Dokumentation: Liefert der Anbieter eine verständliche Datenschutz-Dokumentation (Verarbeitungen, TOMs), die Sie dem Datenschutzbeauftragten vorlegen können?

Typische Warnsignale

• Die Datenschutzerklärung beschreibt ein anderes Produkt als das, das Sie einführen wollen.
• Ein AV-Vertrag ist „auf Anfrage“ erhältlich, aber niemand kann ihn zeigen.
• Der Anbieter kann nicht klar sagen, wo die Daten liegen — oder die Antwort ändert sich je nach Gesprächspartner.
• Die Anwendung funktioniert nur mit App-Store-Konto oder verlangt private E-Mail-Adressen von Kindern.
• Beim Aufruf der Login-Seite laden bereits Tracker oder Werbenetzwerke.

Und im Alltag?

Datenschutz endet nicht bei der Auswahl: Legen Sie fest, wer an der Schule Zugänge vergibt, prüfen Sie Rollen einmal pro Schuljahr, und nehmen Sie das Löschkonzept in den Jahreskalender auf (z. B. nach den Sommerferien). So bleibt die Einführung nicht nur rechtlich sauber, sondern auch dauerhaft beherrschbar.

Hinweis: Dieser Ratgeber ersetzt keine Rechtsberatung. Verbindliche Auskünfte geben die Datenschutzbeauftragten von Schule und Schulträger.