aiMOOC

Datenschutz – Auskünfte, Weitergabe und Zugriffsrechte in der Schulverwaltung

QR-Code

Datenschutz – Auskünfte, Weitergabe und Zugriffsrechte in der Schulverwaltung

Einleitung

Dieser Lernkurs richtet sich an Schulverwaltung und Sekretariat. Du trainierst, wie Du bei Auskunfts-, Weitergabe- und Zugriffsfragen sicher entscheidest: Wer fragt? Ist die Person wirklich die, für die sie sich ausgibt? Darf sie die Information erhalten? Welche Daten sind dafür tatsächlich nötig?

Kurzbeschreibung: Sicher entscheiden, wer welche Informationen erhalten darf und welche Identitätsprüfung vor einer Auskunft erforderlich sein kann.

Wichtig: Der Kurs vermittelt allgemeine Grundsätze für Deutschland. Schulrecht und Datenschutzrecht werden durch landesrechtliche Vorschriften, schulinterne Zuständigkeiten und konkrete Einzelfälle ergänzt. Bei Zweifeln: keine spontane Offenlegung, sondern Schulleitung, behördliche Datenschutzbeauftragte oder zuständige Fachstelle einbeziehen.

Fünf Leitfragen für jede Auskunft

Identität: Wer fragt tatsächlich an?
Berechtigung: Für wen darf die Person handeln?
Rechtsgrundlage: Warum darf die Schule diese Daten übermitteln?
Datenminimierung: Welche Information ist für diesen Zweck wirklich erforderlich?
Vertraulichkeit: Wie wird verhindert, dass unbefugte Personen mithören, mitlesen oder zugreifen?

Nach Art. 5 DSGVO gelten unter anderem Zweckbindung, Datenminimierung sowie Integrität und Vertraulichkeit. Eine Verarbeitung braucht außerdem eine Rechtsgrundlage. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau.

Identitätsprüfung: nicht zu wenig, nicht zu viel

Art. 12 DSGVO erlaubt mündliche Information, wenn die Identität in anderer Form nachgewiesen wurde. Bestehen begründete Zweifel an der Identität einer Person, dürfen zusätzliche Informationen zur Bestätigung verlangt werden. Eine übermäßige Routinekontrolle ohne Anlass ist dagegen nicht das Ziel.

Praxisregel: Nutze nach Möglichkeit bereits etablierte sichere Kommunikationswege, zum Beispiel ein authentifiziertes Schulportal oder einen Rückruf über eine in der Schule verlässlich hinterlegte Nummer. Verlasse Dich nicht allein auf Angaben, die eine unbekannte anrufende Person selbst nennt.

Entscheidungsbaum 1: Darf ich jetzt Auskunft geben?

Prüfknoten	Wenn JA	Wenn NEIN oder unklar
Geht es um personenbezogene Daten?	Weiter zu Identität und Berechtigung.	Allgemeine, nicht personenbezogene Information kann häufig ohne Personenprüfung gegeben werden.
Ist die anfragende Person ausreichend identifiziert?	Berechtigung prüfen.	Sicheren Identitätsnachweis oder etablierten Kommunikationsweg nutzen. Noch keine personenbezogene Auskunft.
Ist die Person für genau diese Information berechtigt?	Zweck und Rechtsgrundlage prüfen.	Nicht offenlegen. Zuständigkeit klären.
Ist die Weitergabe für den Zweck erforderlich?	Nur erforderliche Daten auswählen.	Nicht oder noch nicht weitergeben.
Sind Rechte anderer Personen betroffen?	Gegebenenfalls trennen, schwärzen oder Umfang begrenzen.	Auskunft in zulässigem Umfang erteilen.
Ist der Übermittlungsweg angemessen sicher?	Auskunft erteilen und erforderlichenfalls dokumentieren.	Sicheren Kanal wählen.

Entscheidungsbaum 2: Telefonanfrage

Situation	Entscheidung
Die Person ist bekannt und nutzt einen etablierten, verlässlich zugeordneten Kontaktweg.	Prüfe trotzdem Berechtigung, Zweck und Datenumfang.
Die Rufnummer ist unbekannt oder Angaben passen nicht zum Bestand.	Keine sensiblen Einzelauskünfte. Identität über einen geeigneten zweiten Weg klären.
Die Person nennt Name, Geburtsdatum und Adresse ungefragt.	Das allein beweist die Identität nicht. Prüfe über einen unabhängigen, verlässlichen Kanal.
Die Person drängt mit Zeitdruck oder Autorität.	Zeitdruck ersetzt keine Rechtsgrundlage und keine Identitätsprüfung.
Es besteht eine akute Notlage.	Nutze die vorgesehenen Notfallwege und prüfe die hierfür geltende Rechtsgrundlage; nur notwendige Daten weitergeben.

Fiktive Praxisfälle

Alle folgenden Personen, Schulen, Vorgänge und Kontaktdaten sind vollständig fiktiv.

Fall 1: Telefonanfrage zu Fehlzeiten

Situation: Eine Person ruft im Sekretariat der fiktiven Erlenbach-Schule an: „Ich bin die Mutter von Luca Winter. Sagen Sie mir bitte sofort, ob Luca heute fehlt und welche Note er gestern bekommen hat.“ Die Nummer ist nicht bekannt.

Entscheidung: Noch keine personenbezogene Auskunft. Identität und Berechtigung zunächst über einen verlässlichen Weg klären.

Begründetes Feedback: Name des Kindes und behauptete Elternrolle reichen nicht als sichere Identifikation. Außerdem sind Fehlzeiten und Leistungsdaten personenbezogen. Nach erfolgreicher Identitäts- und Berechtigungsprüfung darf nur der erforderliche Umfang über einen geeigneten Kanal mitgeteilt werden.

Fall 2: Elternanfrage von neuer E-Mail-Adresse

Situation: „Mira Hoffmann“ schreibt von einer bisher unbekannten Adresse und verlangt eine vollständige Kopie aller über ihr Kind gespeicherten Unterlagen.

Entscheidung: Antrag ernst nehmen, aber Identität und Vertretungsberechtigung klären, bevor Unterlagen versandt werden. Rechte Dritter in den Unterlagen prüfen.

Begründetes Feedback: Art. 15 DSGVO gewährt Betroffenen Auskunft; eine Kopie darf Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Bei begründeten Identitätszweifeln dürfen zusätzliche Angaben verlangt werden. Ein Ausweisdokument ist nicht automatisch in jedem Fall erforderlich.

Fall 3: Getrennt lebende Sorgeberechtigte

Situation: Der fiktive Vater Jonas Reiter lebt getrennt von der Mutter. Er bittet telefonisch um das Halbjahreszeugnis. Im System steht eine andere Wohnadresse; zur Sorgeberechtigung ist die Akte nicht eindeutig.

Entscheidung: Nicht allein wegen der Trennung ablehnen, aber auch nicht allein wegen der Elternrolle herausgeben. Identität und aktuelle Vertretungs- beziehungsweise Sorgeberechtigung anhand der verlässlichen Unterlagen der Schule und des einschlägigen Landesrechts klären.

Begründetes Feedback: Eine Trennung beendet gemeinsames Sorgerecht nicht automatisch. Bei gemeinsamer Sorge bleiben wichtige Entscheidungen grundsätzlich gemeinsam zu treffen. Welche schulischen Informations- und Einsichtsrechte im konkreten Fall bestehen, richtet sich zusätzlich nach dem jeweiligen Schulrecht. § 1686 BGB begründet ein Auskunftsrecht eines Elternteils gegenüber dem anderen Elternteil; daraus folgt nicht automatisch ein unbegrenzter Direktanspruch gegen jede Schule.

Fall 4: Behördenkontakt

Situation: Eine Person meldet sich telefonisch als Mitarbeiterin einer Behörde und verlangt Adresse, Telefonnummer und Stundenplan einer Schülerin „für einen dringenden Vorgang“.

Entscheidung: Keine Daten allein aufgrund der Behördenbehauptung herausgeben. Behörde, Identität, Zuständigkeit, Zweck und Rechtsgrundlage über offizielle Kontaktdaten verifizieren. Nur erforderliche Daten übermitteln.

Begründetes Feedback: Auch Behörden benötigen eine rechtliche Grundlage für eine konkrete Datenübermittlung. Eine pauschale oder vorsorgliche Weitergabe widerspricht dem Grundsatz der Erforderlichkeit. Bei unklarer Rechtslage wird die Anfrage an die zuständige schulische Stelle eskaliert.

Fall 5: Interne schulische Weitergabe

Situation: Eine Lehrkraft, die die fiktive Schülerin Nora Seidel nicht unterrichtet, bittet das Sekretariat „nur vorsorglich“ um Einsicht in deren Leistungsdaten und ärztliche Bescheinigungen.

Entscheidung: Kein anlassloser Vollzugriff. Prüfe Rolle, Aufgabe und konkreten Informationsbedarf.

Begründetes Feedback: Innerhalb der Schule ist eine Weitergabe nicht automatisch erlaubt, nur weil beide Personen dort arbeiten. Rollen- und Berechtigungskonzepte sollen Zugriffe auf das für die jeweilige Aufgabe notwendige Maß begrenzen.

Ampel für die Praxis

Grün	Gelb	Rot
Allgemeine Öffnungszeiten, öffentlich bekannte Termine, neutrale Verfahrenshinweise	Personenbezogene Anfrage mit klärbarer Identität und Berechtigung	Unbekannte Person fordert Noten, Adressen, Gesundheits-, Konflikt- oder Familiendaten
Etablierter sicherer Kommunikationsweg	Neue E-Mail-Adresse oder unbekannte Rufnummer	Zeitdruck, Drohung oder bloße Berufung auf Amt, Verwandtschaft oder Kollegium
Nur notwendige Information	Rechte Dritter müssen geprüft werden	Vollständiger Datensatz „vorsorglich“ oder „für alle Fälle“

Rechtliche Orientierung

Art. 5 DSGVO: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht.

Art. 6 DSGVO: Verarbeitung ist nur rechtmäßig, wenn eine passende Rechtsgrundlage besteht. Öffentliche Schulen handeln regelmäßig im Rahmen gesetzlich übertragener Aufgaben; die konkrete Rechtsgrundlage kann sich aus dem jeweiligen Landesrecht ergeben.

Art. 12 DSGVO: Informationen sollen klar und zugänglich bereitgestellt werden. Mündliche Auskunft setzt einen anderweitigen Identitätsnachweis voraus; bei begründeten Zweifeln dürfen zusätzliche Informationen zur Identitätsbestätigung verlangt werden.

Art. 15 DSGVO: Betroffene können Auskunft zu ihren personenbezogenen Daten verlangen. Kopien dürfen Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Art. 32 DSGVO: Technische und organisatorische Maßnahmen müssen dem Risiko angemessen sein. Zugriffe sind auf befugte Personen und zulässige Aufgaben zu beschränken.

Familienrecht: Bei gemeinsamem Sorgerecht bleibt dieses nach einer Trennung grundsätzlich bestehen. Für Angelegenheiten von erheblicher Bedeutung ist grundsätzlich gegenseitiges Einvernehmen nötig; konkrete schulische Informationsrechte sind zusätzlich landesrechtlich zu prüfen.

Geprüfte offizielle Quellen – Stand 7. Oktober 2026

Hinweis zu eingebetteten Videos: Externe Videoplayer können selbst personenbezogene Daten verarbeiten. Datenschutzfreundliche Einbindung kann eine Zwei-Klick-Lösung oder eine bloße Verlinkung vorsehen. Siehe LfDI Baden-Württemberg: FAQ zu Cookies und Tracking.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Eine unbekannte Person verlangt telefonisch die Noten eines Kindes. Was ist der erste sichere Schritt? (Identität und Berechtigung klären) (!Die Noten sofort nennen) (!Nur nach dem Namen des Kindes fragen) (!Die gesamte Schülerakte vorlesen)

Wann dürfen nach Art. 12 DSGVO zusätzliche Angaben zur Identitätsbestätigung verlangt werden? (Bei begründeten Zweifeln an der Identität) (!Bei jeder Anfrage ohne Ausnahme) (!Nur bei Behörden) (!Nie)

Welcher Grundsatz verlangt, nur die für den Zweck notwendigen Daten weiterzugeben? (Datenminimierung) (!Speichermaximierung) (!Öffentlichkeitsprinzip) (!Vollständigkeitsgebot)

Was bewirkt eine Trennung gemeinsam sorgeberechtigter Eltern grundsätzlich? (Die gemeinsame Sorge besteht grundsätzlich fort) (!Die Mutter erhält automatisch Alleinsorge) (!Der Vater verliert automatisch alle Rechte) (!Die Schule entscheidet über das Sorgerecht)

Eine Person behauptet am Telefon, von einer Behörde zu sein. Was ist richtig? (Identität Zuständigkeit Zweck und Rechtsgrundlage verifizieren) (!Alle verlangten Daten sofort übermitteln) (!Nur den Behördennamen notieren und dann alles senden) (!Behördenanfragen sind immer ohne Prüfung abzulehnen)

Was gilt für interne schulische Zugriffe auf Schülerdaten? (Sie sollen auf Rolle Aufgabe und Erforderlichkeit begrenzt sein) (!Alle Beschäftigten dürfen alle Daten sehen) (!Nur technische Administratoren dürfen Daten sehen) (!Interne Zugriffe unterliegen keinem Datenschutz)

Was muss bei einer Auskunftskopie zusätzlich beachtet werden? (Rechte und Freiheiten anderer Personen) (!Nur die Dateigröße) (!Die Farbe des Ausdrucks) (!Die Zahl der Ordner)

Welcher Kanal kann bei der Identitätsklärung besonders hilfreich sein? (Ein bereits verlässlich zugeordneter Kommunikationsweg) (!Eine beliebige neue E-Mail-Adresse) (!Ein anonymer Messenger-Account) (!Die bloße Behauptung einer Person)

Was ist bei einer unklaren Rechtslage die sichere Reaktion im Sekretariat? (Nicht spontan offenlegen und zuständige Stelle einbeziehen) (!Zur Sicherheit alle Daten senden) (!Die Anfrage öffentlich aushängen) (!Die Akte an die anfragende Person übergeben)

Welche Aussage zu Behördenkontakten ist richtig? (Auch eine Behörde benötigt eine tragfähige Grundlage für die konkrete Übermittlung) (!Behörden dürfen immer alle Schuldaten erhalten) (!Eine telefonische Amtsbezeichnung genügt) (!Datenminimierung gilt gegenüber Behörden nicht)

Memory

Identitätsprüfung	Wer fragt tatsächlich an?
Berechtigung	Wer darf für wen handeln?
Datenminimierung	Nur erforderliche Daten weitergeben
Zweckbindung	Daten nur für zulässige Zwecke verwenden
Vertraulichkeit	Schutz vor unbefugtem Zugriff
Rollenprinzip	Zugriff nach Aufgabe und Zuständigkeit

Drag and Drop

Ordne die richtigen Begriffe zu.	Thema
Identität klären	Vor personenbezogener Auskunft bei Unsicherheit
Berechtigung prüfen	Vor Weitergabe an Eltern Vertretungen oder Dritte
Rechtsgrundlage prüfen	Vor externer Datenübermittlung
Daten minimieren	Vor Auswahl des Auskunftsumfangs
Zugriff begrenzen	Bei interner schulischer Verarbeitung

Kreuzworträtsel

Zweckbindung	Welcher Grundsatz begrenzt die Nutzung auf festgelegte legitime Zwecke?
Datenminimierung	Wie heißt der Grundsatz nur notwendige Daten zu verarbeiten?
Vertraulichkeit	Welches Schutzziel verhindert unbefugte Kenntnisnahme?
Auskunftsrecht	Welches Betroffenenrecht regelt Artikel 15 DSGVO?
Berechtigung	Was muss neben der Identität vor einer Weitergabe geprüft werden?
Rollenprinzip	Welches Prinzip begrenzt interne Zugriffe nach Aufgabe und Funktion?

LearningApps

Lückentext

Vor einer personenbezogenen Auskunft muss bei Unsicherheit die

geklärt werden. Danach ist die

der anfragenden Person zu prüfen. Daten dürfen nur auf einer passenden

verarbeitet oder übermittelt werden. Der Grundsatz der

verlangt die Beschränkung auf das Erforderliche. Bei Auskunftskopien sind auch die Rechte

zu schützen. Eine Trennung beendet gemeinsames

nicht automatisch. Innerhalb der Schule sollen Zugriffe nach Rolle und konkreter

begrenzt sein. Bei unklaren Behördenanfragen wird vor der Weitergabe die

verifiziert.

Offene Aufgaben

Leicht

Telefonleitfaden: Formuliere fünf kurze Sätze, mit denen Du eine unbekannte anrufende Person freundlich auf einen sicheren Rückkanal verweist.
Datenampel: Ordne zehn typische Sekretariatsinformationen in Grün, Gelb oder Rot ein und begründe drei Grenzfälle.
Identitätsmerkmale: Erkläre, warum Name, Geburtsdatum und Adresse allein nicht immer ein sicherer Identitätsnachweis sind.
Minimalprinzip: Kürze eine fiktive Behördenantwort so, dass nur die für den angegebenen Zweck notwendigen Daten übrig bleiben.

Standard

Fallwerkstatt Elternanfrage: Entwickle einen fiktiven Fall mit neuer E-Mail-Adresse und beschreibe einen sicheren Bearbeitungsweg.
Getrennt lebende Eltern: Erstelle einen Entscheidungsbaum, der Trennung, Sorgeberechtigung, Identitätsprüfung und Landesrecht auseinanderhält.
Behördenkontakt: Entwirf eine Checkliste für Polizei, Jugendamt oder andere Behörden, ohne eine pauschale Herausgaberegel zu formulieren.
Zugriffsrollen: Skizziere für Schulleitung, Sekretariat und Lehrkraft ein minimales Rollen- und Berechtigungskonzept.

Schwer

Datenschutzsimulation: Spiele zu zweit ein schwieriges Telefongespräch mit Zeitdruck und werte anschließend jede Entscheidung aus.
Aktenprüfung: Erstelle eine fiktive Schülerakte mit Daten mehrerer Personen und entscheide, was vor einer Auskunft getrennt oder geschwärzt werden müsste.
Prozessdesign: Entwickle einen schulischen Standardprozess für Auskunftsersuchen vom Eingang bis zur dokumentierten Erledigung.
Schulrechtvergleich: Vergleiche für zwei Bundesländer ausschließlich anhand aktueller offizieller Quellen, wie schulische Informationsrechte von Sorgeberechtigten geregelt sind.

Lernkontrolle

Transferfall Telefon: Eine Person kennt viele Details aus der Schülerakte, ruft aber von einer unbekannten Nummer an. Begründe, welche Schritte Du vor einer Auskunft gehst und warum Detailwissen allein nicht genügt.
Transferfall Eltern: Zwei getrennt lebende Eltern geben widersprüchliche Angaben zum Sorgerecht. Entwickle einen Bearbeitungsweg, der keine Seite vorschnell bevorzugt.
Transferfall Behörde: Eine Behörde verlangt „alle verfügbaren Informationen“. Formuliere Rückfragen, mit denen Zweck, Rechtsgrundlage, Zuständigkeit und erforderlicher Umfang geklärt werden.
Transferfall intern: Eine Lehrkraft begründet einen Datenzugriff mit „pädagogischem Interesse“. Prüfe, wann dieses Interesse in eine konkrete dienstliche Erforderlichkeit übersetzt werden müsste.
Fehleranalyse: Analysiere den Satz „Wer den Namen, das Geburtsdatum und die Adresse kennt, ist ausreichend identifiziert“ und entwickle eine sicherere Regel.
Prozessvergleich: Vergleiche spontane Telefonauskunft, Rückruf über hinterlegte Kontaktdaten und authentifiziertes Portal hinsichtlich Fehladressierung, Nachweisbarkeit und Vertraulichkeit.

Lernnachweis

Für einen Lernnachweis solltest Du zeigen, dass Du:

personenbezogene und allgemeine Informationen unterscheiden kannst,
Identität und Berechtigung getrennt prüfst,
bei begründeten Zweifeln eine angemessene Identitätsprüfung auswählst,
Datenminimierung und Rechte Dritter bei Auskünften berücksichtigst,
getrennt lebende Eltern nicht allein nach Wohnort oder Familienstand beurteilst,
Behördenanfragen nicht pauschal, sondern anhand von Zuständigkeit, Zweck und Rechtsgrundlage prüfst,
interne Zugriffe nach Rolle, Aufgabe und Erforderlichkeit begrenzt,
Zweifelsfälle sicher eskalierst und Entscheidungen nachvollziehbar begründest.