Die Druckversion wird nicht mehr unterstützt und kann Darstellungsfehler aufweisen. Bitte aktualisiere deine Browser-Lesezeichen und verwende stattdessen die Standard-Druckfunktion des Browsers.

aiMOOC

Datenschutz – Datenflüsse schulischer Systeme sichtbar machen

QR-Code

Datenschutz – Datenflüsse schulischer Systeme sichtbar machen

Zielgruppe: schulische IT, Schulleitung und Datenschutzbeauftragte

Kurzbeschreibung: Du machst Datenflüsse von Endgeräten über schulische Netze, lokale Server, Cloud-Dienste und externe Anbieter sichtbar. Du erkennst datenschutzrelevante Übergänge und vergleichst lokale Verarbeitung mit externen Diensten. Ziel ist nicht „Cloud = schlecht“, sondern eine nachvollziehbare, zweckgebundene und möglichst datenarme Architektur.

Quellenstand: 7. Oktober 2026. Die DS-GVO gilt europaweit; Schulrecht und Zuständigkeiten unterscheiden sich zwischen den Bundesländern. Der Kurs ersetzt keine Einzelfallprüfung durch die zuständige Datenschutzaufsicht oder Rechtsberatung.

Einstiegsauftrag: Suche im Wimmelbild Stellen, an denen Daten einen neuen Empfänger, ein neues System oder eine neue Sicherheitszone erreichen. Genau solche Übergänge werden im Kurs als Datenfluss-Grenzen untersucht.

Lernziele

Nach dem Kurs kannst Du Datenflüsse technisch und datenschutzrechtlich lesen. Du kannst insbesondere erkennen, welche Daten wohin fließen, warum sie fließen, wer über Zwecke und Mittel entscheidet, welche externen Stellen beteiligt sind und welche Übertragung vermeidbar ist.

Datenfluss statt Produktname

Ein Schul-IT-System besteht selten nur aus „einer App“. Schon ein Login kann mehrere Stationen berühren: Endgerät, WLAN, DNS, Firewall, Identitätsdienst, Anwendungsserver, Protokollierung und eventuell weitere Anbieter.

Ein nützliches Datenflussmodell fragt bei jedem Pfeil:

Frage	Beispiel
Quelle	Tablet, Verwaltungs-PC, Drucker, Browser
Ziel	Schulserver, Rechenzentrum, SaaS-Dienst, CDN
Daten	Name, Kennung, IP-Adresse, Dateiinhalt, Geräte-ID, Zeitstempel, Telemetrie
Zweck	Anmeldung, Unterricht, Synchronisation, Sicherheit, Support
Rolle	Verantwortlicher, Auftragsverarbeiter, weiterer Verantwortlicher
Grenze	VLAN, Internet-Gateway, Organisationsgrenze, Drittland

Merksatz: Ein sichtbarer Datenfluss ist noch keine rechtliche Bewertung. Erst Zweck, Rechtsgrundlage, Rollen, Empfänger, Schutzmaßnahmen und Speicher-/Löschkonzept machen ihn datenschutzrechtlich bewertbar.

Typische Datenarten im Schulbetrieb

Datenart	Typische Quelle	Warum relevant?
Stammdaten	Schulverwaltung, Verzeichnisdienst	Direkter Personenbezug
Leistungsdaten	Lernplattform, Notenverwaltung	Hoher Schutzbedarf im schulischen Kontext
Inhaltsdaten	Dokumente, Chats, Audio, Video	Können sensible Informationen enthalten
Metadaten	IP-Adresse, Zeitstempel, Gerätekennung	Können Nutzung und Verhalten nachvollziehbar machen
Diagnose- und Telemetriedaten	Betriebssystem, App, Cloud-Client	Zwecke und Empfänger sind nicht immer für die Schule sichtbar
Protokolldaten	Firewall, Server, IdP	Nützlich für Sicherheit, zugleich begrenzungs- und löschpflichtig

Schulische Netzarchitektur lesen

In Schulen sind Netze häufig segmentiert. Pädagogisches Netz, Verwaltung, Gäste, Geräteverwaltung und Server sollten nicht automatisch dieselben Zugriffsrechte haben. VLANs, Firewalls, Zugriffsregeln und getrennte Identitäten können Datenflüsse begrenzen. Segmentierung ist eine Sicherheitsmaßnahme; sie ersetzt aber keine Prüfung von Zweck und Erforderlichkeit.

Beispielpfad:

Endgerät	→	WLAN / Access Point	→	Schul-VLAN	→	Firewall / Proxy / DNS	→	lokaler Server oder Internet

Architektur A: möglichst lokale Verarbeitung

Schülergerät	→	pädagogisches VLAN	→	lokaler Anwendungsserver	→	lokales Backup

Datenschutzvorteil: Inhalt muss für die Kernfunktion nicht zwingend an einen externen Dienst übertragen werden.

Prüfpunkt: „Lokal“ ist nur dann wirklich lokal, wenn Updates, Telemetrie, externe Fonts, Karten, Videos, DNS-, Lizenz- oder Analyseaufrufe nicht unbemerkt zusätzliche Verbindungen erzeugen.

Architektur B: externer Dienst

Endgerät	→	Schulnetz	→	Internet-Gateway	→	Cloud-Dienst	→	Unterauftragnehmer / CDN / Support

Datenschutzrelevante Übergänge: Organisationsgrenze, neue Empfänger, mögliche Unterauftragnehmer und eventuell Verarbeitung außerhalb des EWR. Hier sind insbesondere Auftragsverarbeitung, Transparenz, technische und organisatorische Maßnahmen und gegebenenfalls Kapitel V der DS-GVO zu prüfen.

Die Abbildung zeigt beispielhaft, wie komplex reale Infrastrukturen werden können. Für Schulen folgt daraus: Nicht nur den sichtbaren Hauptdienst dokumentieren, sondern auch Identitätsdienste, Content-Delivery-Netze, Support, Telemetrie, Backup und Subprozessoren betrachten.

Cloud ist eine Architekturentscheidung

Bei Cloud Computing verschieben sich technische Zuständigkeiten. Das entlastet die Schule technisch, beseitigt aber keine datenschutzrechtliche Verantwortung. Wer Verantwortlicher ist, richtet sich nach der konkreten Verarbeitung und dem jeweiligen Landes- und Organisationsrecht; das darf nicht pauschal aus dem Produktnamen abgeleitet werden.

Wichtig: Ein externer Anbieter kann Auftragsverarbeiter sein. Verarbeitet er Daten für eigene Zwecke, kann er für diese Verarbeitung selbst Verantwortlicher sein. Deshalb müssen Rollen und Zwecke pro Datenfluss geklärt werden.

Medien-Experiment: Das BSI-Video behandelt sichere Cloud-Nutzung. Gleichzeitig ist ein eingebettetes YouTube-Video selbst ein gutes Beispiel für einen möglichen externen Datenfluss. Beobachte in einer autorisierten Testumgebung, welche Netzwerkverbindungen beim Laden der Seite und erst beim Start des Videos entstehen.

Vergleichsfälle: lokal oder extern?

Schulischer Fall	Lokal	Externer Dienst	Datenschutzfrage
PDF zusammenführen	Desktop-Anwendung verarbeitet Datei auf dem Gerät	Web-Konverter erhält die Datei	Muss der Dateiinhalt die Schule überhaupt verlassen?
Sprache in Text umwandeln	On-Device-Modell	Cloud-Transkription	Werden Stimme, Inhalt oder Metadaten übertragen?
Lernstand auswerten	Lokale Lernplattform	SaaS-Lernplattform	Welche Prozess- und Leistungsdaten sind erforderlich?
Text überarbeiten	Lokaler Editor	Web-/KI-Dienst	Werden Inhalte für eigene Zwecke oder Training genutzt?
Dateiablage	Schulserver	Cloud-Speicher	Wer hat administrativen Zugriff und wo liegen Backups?
Geräteverwaltung	Lokales Management	Cloud-MDM	Welche Gerätekennungen, App-Listen und Diagnosedaten fließen?

Entscheidungsprinzip: Wenn derselbe Zweck mit weniger personenbezogenen Daten, weniger Empfängern oder lokaler Verarbeitung erreicht werden kann, ist diese Variante aus Sicht der Datenminimierung regelmäßig besonders prüfenswert.

Datenminimierung praktisch umsetzen

Die DS-GVO verlangt, personenbezogene Daten auf das für den Zweck notwendige Maß zu beschränken. Datenschutz durch Technikgestaltung verlangt, diese Entscheidung bereits bei Auswahl und Konfiguration von Systemen mitzudenken.

Maßnahme	Wirkung auf Datenflüsse
Lokale Verarbeitung	Inhalt verlässt Endgerät oder Schulnetz nicht für die Kernfunktion
Pseudonyme statt Klarnamen	Externer Dienst erhält weniger direkt identifizierende Daten
Telemetrie deaktivieren	Zusätzliche Diagnoseflüsse können entfallen
Synchronisation begrenzen	Nur benötigte Ordner, Felder oder Gruppen werden übertragen
Kurze Log-Aufbewahrung	Metadaten werden nicht länger als erforderlich gespeichert
Rollen- und Rechtekonzept	Weniger Personen und Systeme können auf Daten zugreifen
Lokaler Cache / lokales Modell	Wiederholte externe Anfragen können reduziert werden

Achtung: Pseudonymisierung und Verschlüsselung sind Schutzmaßnahmen, aber pseudonymisierte oder verschlüsselte Daten können weiterhin personenbezogene Daten sein. Eine echte Anonymisierung setzt voraus, dass Personen mit vertretbaren Mitteln nicht mehr identifizierbar sind.

Datenflüsse technisch sichtbar machen

Untersuche nur Systeme, für die Du autorisiert bist. Für eine schulische Bestandsaufnahme eignen sich vor allem dokumentierende und beobachtende Verfahren.

Werkzeug / Quelle	Sichtbar wird	Grenze
Browser-Entwicklertools	Domains, Requests, APIs, eingebundene Drittinhalte	Nur Browser-Verkehr der Testsitzung
DNS-Protokolle	Welche Namen aufgelöst werden	Kein Dateiinhalt
Firewall-/Proxy-Logs	Ziele, Ports, Zeiten, Volumen	Bei TLS meist kein Klartextinhalt
Server-/IdP-Logs	Logins, Rollen, Anwendungen	Protokollierung selbst muss minimiert werden
Paketmitschnitt im Testnetz	Verbindungen und Protokoll-Metadaten	Nur mit Berechtigung; TLS-Inhalt bleibt verschlüsselt
Herstellerdokumentation	Subprozessoren, Regionen, Zwecke, Konfigurationsoptionen	Muss mit realer Konfiguration abgeglichen werden

Praxisregel: Dokumentation und Messung ergänzen sich. Ein Datenfluss, der im Test nicht auftritt, kann zu einem anderen Zeitpunkt, bei einer anderen Funktion oder nach einem Update trotzdem entstehen.

Datenschutzrechtliche Prüfpunkte an Übergängen

Die zentralen Prüfpunkte ergeben sich insbesondere aus der DS-GVO.

Prüffrage	Relevante DS-GVO-Norm
Ist der Zweck festgelegt und die Verarbeitung erforderlich?	Art. 5 und Art. 6
Werden nur notwendige Daten verarbeitet?	Art. 5 Abs. 1 lit. c
Ist die Verantwortlichkeit geklärt?	Art. 4 Nr. 7, Art. 24
Gibt es einen Auftragsverarbeiter?	Art. 28
Ist Datenschutz durch Technikgestaltung umgesetzt?	Art. 25
Sind technische und organisatorische Maßnahmen angemessen?	Art. 32
Ist bei hohem Risiko eine Datenschutz-Folgenabschätzung nötig?	Art. 35
Gibt es Übermittlungen in Drittländer?	Art. 44 ff.

Für Schulen besonders wichtig: Minderjährige, Leistungsdaten, Förderinformationen, Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten können einen erhöhten Schutzbedarf auslösen. Die konkrete Rechtsgrundlage für schulische Verarbeitung ergibt sich häufig zusätzlich aus Landesrecht.

Aktueller Blick auf öffentliche Cloud-Nutzung

Der Europäische Datenschutzausschuss untersuchte Cloud-Nutzung im öffentlichen Sektor in einer koordinierten Aktion. Bildung war dabei ausdrücklich einbezogen. Für schulische Entscheider bedeutet das: Vertragsrollen, Weisungsbindung, internationale Übermittlungen, Unterauftragnehmer, Kontrolle, Konfiguration und tatsächliche Datenflüsse gehören zusammen.

Der LfDI Baden-Württemberg berichtet im Tätigkeitsbericht 2025 weiterhin über Datenschutzfragen in der Bildung und die datenschutzkonforme Nutzung von Cloud-Diensten. Ältere Prüfungen einzelner Produkte sind als technische Fallstudien nützlich, aber nicht automatisch eine aktuelle pauschale Rechtsbewertung jeder heutigen Produktversion.

Interaktive Architekturdiagramme

Architekturdiagramm 1: Wo liegt die Grenze?

Ordne den Architekturbaustein zu.	Bedeutung
Endgerät	Ursprung von Eingaben, Dateien und Geräte-Metadaten
Schulnetz	Interne Transport- und Sicherheitszone
Internet-Gateway	Kontrollpunkt zwischen internem Netz und externen Zielen
Cloud-Dienst	Externe Verarbeitung beim Dienstanbieter
Unterauftragnehmer	Weiterer externer Verarbeitungspartner

Transferfrage: Markiere danach auf Papier oder Whiteboard jeden Pfeil, an dem sich Verantwortlichkeit, Empfänger, Rechtsraum oder Sicherheitszone ändert.

Architekturdiagramm 2: Lokale Alternative finden

Ordne die datensparsame Alternative zu.	Externe Variante
Lokaler PDF-Editor	Web-Konverter für Schülerdokumente
On-Device-Spracherkennung	Cloud-Transkription
Schulserver	Externe Dateiablage
Lokales Benutzerverzeichnis	Externer Identitätsdienst
Lokales Auswertungsskript	Externer Analysedienst

Bewertung: Eine lokale Alternative ist nicht automatisch besser. Prüfe auch Patchmanagement, Backup, Zugriffsschutz, Verfügbarkeit und personelle Ressourcen.

Schulische Anwendungsszenarien

Szenario A: Lernplattform mit Single Sign-on

Schülergerät	→	Schul-IdP	→	Lernplattform	→	eingebettetes Video / LTI-Tool

Beobachte: Welche Attribute gibt der IdP frei? Braucht der externe Dienst Klarnamen? Wird beim Öffnen eines eingebetteten Inhalts ein weiterer Anbieter kontaktiert?

Szenario B: Digitales Klassenbuch

Lehrkraftgerät	→	Schulnetz	→	Klassenbuchdienst	→	Backup / Support

Beobachte: Leistungs- und Verhaltensbezug, Rollenrechte, Protokolle, Exportmöglichkeiten, Aufbewahrung und Supportzugriffe.

Szenario C: KI-gestützte Textanalyse

Schülertext	→	Browser / App	→	API des KI-Dienstes	→	Modellbetrieb / Logging

Datenminimierung: Entferne Namen und unnötige Kontextdaten, nutze wenn möglich lokale Modelle oder schulisch freigegebene Dienste und kläre, ob Eingaben für eigene Zwecke des Anbieters verwendet werden.

Szenario D: Schulserver und lokales Backup

Auch lokale Verarbeitung braucht Schutz: physischer Zugang, Admin-Konten, Verschlüsselung, Patchmanagement, Backup, Wiederherstellung und Löschkonzept gehören zur Architektur.

Arbeitsvorlage: Datenflussinventar

Fülle für jeden relevanten Dienst eine Zeile aus. Beginne mit Funktionen, nicht mit Herstellernamen.

Feld	Eintrag
Funktion	z. B. Aufgabenabgabe
Quelle	Gerät / Anwendung
Ziel	Server / Dienst / API
Datenkategorien	Stammdaten / Inhalte / Metadaten
Zweck	Warum wird übertragen?
Rechtsgrundlage	DS-GVO plus ggf. Landesrecht
Rollen	Verantwortlicher / Auftragsverarbeiter / weiterer Verantwortlicher
Standort / Rechtsraum	EWR / Drittland / unbekannt
Unterauftragnehmer	dokumentiert?
Schutzmaßnahmen	Verschlüsselung / Segmentierung / Rechte / Logging
Löschung	Frist und technischer Prozess
Minimierungsoption	lokal / pseudonym / weniger Felder / weniger Logs

Schnellcheck für Beschaffung und Freigabe

Zweckbindung: Ist für jede Datenkategorie ein konkreter schulischer Zweck benannt?
Datenminimierung: Lässt sich die Funktion mit weniger Daten oder ohne Klarnamen betreiben?
Datenfluss: Sind alle externen Ziele, Subprozessoren und eingebetteten Dienste bekannt?
Auftragsverarbeitung: Stimmen Vertrag, Weisungen und tatsächliche technische Verarbeitung überein?
Informationssicherheit: Sind Zugriff, Segmentierung, Verschlüsselung, Protokollierung und Updates angemessen?
Drittlandtransfer: Sind Übermittlungen außerhalb des EWR erkannt und nach Art. 44 ff. DS-GVO bewertet?
Löschkonzept: Können Daten, Logs, Backups und Konten fristgerecht gelöscht werden?
Nachweis: Kann die Schule oder zuständige Stelle die Entscheidung nachvollziehbar dokumentieren?

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Was ist der beste erste Schritt bei der Analyse eines schulischen Cloud-Dienstes? (Den tatsächlichen Datenfluss mit Quellen, Zielen und Zwecken dokumentieren) (!Nur den Produktnamen notieren) (!Nur die Benutzeroberfläche prüfen) (!Nur den Speicherpreis vergleichen)

Welche Maßnahme unterstützt Datenminimierung am direktesten? (Nur die für den Zweck benötigten Daten übertragen) (!Alle verfügbaren Felder synchronisieren) (!Protokolle unbegrenzt speichern) (!Jede Telemetrie aktivieren)

Was bedeutet lokale Verarbeitung datenschutzrechtlich? (Sie kann externe Übertragungen reduzieren, muss aber trotzdem sicher und rechtmäßig gestaltet sein) (!Sie ist automatisch immer rechtskonform) (!Sie benötigt niemals Protokollierung) (!Sie macht Zugriffskontrollen überflüssig)

Was ist bei einem externen Auftragsverarbeiter besonders zu prüfen? (Rollen, Vertrag, Weisungen und technische Verarbeitung müssen zusammenpassen) (!Der Anbieter braucht keine Sicherheitsmaßnahmen) (!Unterauftragnehmer sind immer irrelevant) (!Die Schule muss keine Zwecke festlegen)

Welche Daten können bei einem einfachen Login zusätzlich zum Namen anfallen? (IP-Adresse, Zeitstempel und Geräteinformationen) (!Nur Papierakten) (!Nur Druckertoner) (!Keine Metadaten)

Was leistet Netzsegmentierung? (Sie kann Kommunikation und Zugriffswege zwischen Netzbereichen begrenzen) (!Sie ersetzt jede Rechtsgrundlage) (!Sie anonymisiert automatisch alle Daten) (!Sie verhindert jede Internetverbindung)

Wann ist ein Datenfluss in ein Drittland besonders zu prüfen? (Wenn personenbezogene Daten außerhalb des EWR verarbeitet oder zugänglich werden können) (!Nur wenn Papierpost versendet wird) (!Nur wenn keine Verschlüsselung existiert) (!Nie bei Cloud-Diensten)

Warum reicht Herstellerdokumentation allein nicht aus? (Die reale Konfiguration und tatsächlichen Datenflüsse können davon abweichen) (!Dokumentation ist rechtlich verboten) (!Netzwerkverkehr kann nie gemessen werden) (!Updates verändern Systeme grundsätzlich nie)

Was ist eine sinnvolle lokale Alternative zu einem Web-Konverter für sensible Schülerdokumente? (Ein freigegebener lokaler PDF-Editor) (!Ein beliebiger kostenloser Upload-Dienst) (!Ein privates Social-Media-Konto) (!Eine öffentliche Dateifreigabe)

Was folgt aus Datenschutz durch Technikgestaltung? (Datenschutzanforderungen werden schon bei Auswahl, Architektur und Konfiguration berücksichtigt) (!Datenschutz wird erst nach einem Vorfall geprüft) (!Alle Daten werden vorsorglich dauerhaft gespeichert) (!Nur Nutzende sind für Datenschutz verantwortlich)

Memory

Datenminimierung	Nur erforderliche personenbezogene Daten verarbeiten
Internet-Gateway	Übergang zwischen internem Netz und externen Zielen
Auftragsverarbeiter	Verarbeitung personenbezogener Daten auf dokumentierte Weisung
Telemetrie	Betriebs- und Diagnosedaten eines Systems
Pseudonymisierung	Direkte Identifizierungsmerkmale durch Zuordnungsschlüssel ersetzen
Netzsegmentierung	Kommunikation zwischen Sicherheitszonen begrenzen
Löschkonzept	Regeln für Fristen und technische Entfernung von Daten
Drittlandtransfer	Übermittlung oder Zugänglichkeit außerhalb des EWR prüfen

Drag and Drop

Ordne die richtigen Begriffe zu.	Thema
Browser-Entwicklertools	Externe Web-Requests erkennen
DNS-Protokoll	Aufgelöste Zielnamen nachvollziehen
Firewall-Log	Verbindungen an Netzgrenzen sehen
Verzeichnisdienst	Identitäten und Anmeldevorgänge zuordnen
Löschprotokoll	Umsetzung von Aufbewahrungsfristen nachweisen

Kreuzworträtsel

Firewall	Welches System kontrolliert erlaubte und unerlaubte Netzwerkverbindungen?
Telemetrie	Wie heißen automatisch übermittelte Betriebs- und Diagnosedaten?
Gateway	Wie heißt ein Übergangspunkt zwischen verschiedenen Netzen?
Pseudonymisierung	Welches Verfahren ersetzt direkte Identifikatoren durch eine Zuordnung?
Rechenzentrum	Wie heißt ein Ort, an dem Server- und Netztechnik betrieben wird?
Datenminimierung	Welcher Grundsatz verlangt die Beschränkung auf notwendige Daten?

LearningApps

Lückentext

Ein Datenfluss beginnt bei einer

und endet zunächst an einem Ziel.

Personenbezogene Daten sollen nur im für den Zweck notwendigen Umfang verarbeitet werden; dieser Grundsatz heißt

.

Ein Übergang vom Schulnetz ins Internet führt häufig über ein

.

Ein externer Dienst kann als

auf dokumentierte Weisung tätig werden.

Automatisch übermittelte Diagnoseinformationen werden häufig als

bezeichnet.

Eine Aufteilung des Netzes in getrennte Sicherheitsbereiche heißt

.

Datenschutz soll bereits bei Auswahl und Konfiguration eines Systems durch

berücksichtigt werden.

Bei hohem Risiko kann eine

erforderlich sein.

Übermittlungen außerhalb des EWR müssen nach den Regeln für

geprüft werden.

Eine lokal ausgeführte Funktion kann unnötige externe

vermeiden.

Offene Aufgaben

Leicht

Datenfluss-Skizze: Zeichne für eine schulische Anwendung den Weg vom Endgerät bis zum Server und markiere jede Netzgrenze.
Datenarten: Sammle für ein Login fünf mögliche Datenarten und entscheide, welche davon für den Zweck wirklich erforderlich sind.
Lokale Verarbeitung: Finde drei schulische Tätigkeiten, die ohne externen Cloud-Dienst erledigt werden können.
Medienanalyse: Untersuche das Datenschutz-Wimmelbild und beschreibe drei Situationen als Datenfluss mit Quelle, Ziel und Zweck.

Standard

Browseranalyse: Untersuche in einer autorisierten Testumgebung mit den Browser-Entwicklertools eine schulische Webseite und dokumentiere externe Domains.
Vergleichsfall: Vergleiche einen lokalen PDF-Editor mit einem Web-Konverter anhand von Datenarten, Empfängern, Speicherorten und Löschung.
Architektur-Workshop: Entwirf für pädagogisches Netz, Verwaltung, Gäste und Server eine Segmentierung und begründe erlaubte Kommunikationswege.
Datenflussinventar: Fülle die Arbeitsvorlage für einen real verwendeten Dienst aus und kennzeichne unbekannte Punkte als offene Prüffragen.

Schwer

Technischer Praxistest: Plane einen reproduzierbaren Test, mit dem DNS-, Firewall- und Browserdaten eines Dienstes zusammengeführt werden, ohne echte Schülerdaten zu verwenden.
Beschaffungsentscheidung: Erstelle eine Entscheidungsvorlage, die lokale Lösung und SaaS-Lösung mit Datenschutz, Sicherheit, Betrieb und Kosten transparent vergleicht.
Datenschutz-Folgenabschätzung: Entwickle für ein risikoreiches Beispielszenario eine Vorprüfung und begründe, ob eine DSFA nach Art. 35 DS-GVO näher geprüft werden muss.
Schulischer Datenfluss-Audit: Organisiere mit IT, Schulleitung und Datenschutzbeauftragten einen Workshop, identifiziere die fünf wichtigsten externen Übergänge und priorisiere Minimierungsmaßnahmen.

Lernkontrolle

Transferfall Lernplattform: Eine Lernplattform lädt nach der Anmeldung Inhalte von vier externen Domains. Entwickle eine Prüfreihenfolge, mit der Du Zweck, Datenarten, Rollen und Erforderlichkeit bewertest.
Architekturentscheidung: Eine Schule kann Sprachaufnahmen lokal oder per Cloud transkribieren. Begründe, welche Informationen Du vor einer Entscheidung brauchst und wie Datenminimierung die Architekturwahl beeinflusst.
Fehleranalyse: Ein Dienstvertrag nennt nur einen Anbieter, der Netzwerktest zeigt aber weitere Ziele. Erkläre mögliche Ursachen und leite konkrete nächste Prüfschritte ab.
Risikovergleich: Vergleiche „alles lokal“ und „alles Cloud“ und zeige, warum keine der beiden Architekturen automatisch datenschutzkonform oder sicher ist.
Minimierungsentwurf: Entwickle für ein digitales Klassenbuch drei technische Änderungen, die Datenumfang, Empfängerkreis oder Speicherdauer reduzieren.
Nachweisführung: Entwirf eine kurze Argumentationskette, mit der eine Schulleitung belegen kann, dass sie Datenflüsse erkannt, bewertet, minimiert und regelmäßig überprüft hat.

Lernnachweis

Für einen Lernnachweis solltest Du nicht nur Begriffe kennen, sondern einen realistischen Datenfluss selbstständig analysieren können.

Ein Architekturdiagramm mit Endgerät, Netzzonen, Servern, externen Diensten und Datenfluss-Pfeilen erstellen.
Mindestens drei datenschutzrelevante Übergänge begründet kennzeichnen.
Datenarten, Zwecke, Empfänger und Rollen nachvollziehbar zuordnen.
Eine lokale und eine externe Verarbeitungsvariante vergleichen.
Mindestens drei konkrete Maßnahmen zur Datenminimierung und lokalen Verarbeitung ableiten.
Technische Beobachtungen von rechtlichen Bewertungen unterscheiden.
Quellen, Annahmen und offene Fragen transparent dokumentieren.

Quellen und Aktualitätscheck

Geprüft am 7. Oktober 2026. Für konkrete schulische Entscheidungen sind zusätzlich das jeweilige Landes-Schulrecht, landesspezifische Datenschutzregelungen und Hinweise der zuständigen Aufsichtsbehörde zu prüfen.

Verordnung (EU) 2016/679 – DS-GVO, EUR-Lex: insbesondere Art. 5, 24, 25, 28, 32, 35 und 44 ff.
EDSA/EDPB – Leitlinien 4/2019 zu Art. 25: Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.
EDPB – Coordinated Enforcement Action zur Cloud-Nutzung im öffentlichen Sektor: Empfehlungen und Prüffelder für öffentliche Stellen.
Datenschutzkonferenz – Orientierungshilfen: aktuelles Verzeichnis der DSK-Hilfen; dort wird die schulbezogene Orientierungshilfe zu Online-Lernplattformen weiterhin geführt.
DSK – Orientierungshilfe Online-Lernplattformen im Schulunterricht: ältere schulbezogene Quelle; technische Grundfragen sind weiterhin nützlich, veraltete Gesetzesverweise müssen mit aktuellem Recht abgeglichen werden.
BSI – FAQ zum Mindeststandard zur Nutzung externer Cloud-Dienste: technische Orientierung zu Cloud-Nutzung und Nachweisen.
LfDI Baden-Württemberg – Tätigkeitsbericht Datenschutz 2025: aktuelle Hinweise zu Datenschutz und Bildung, Cloud-Diensten und Sensibilisierung.
LfDI Baden-Württemberg – technische Prüfung von Microsoft 365 an Schulen: historischer Fall zur Messung und Dokumentation realer Datenflüsse; nicht als pauschale Bewertung jeder heutigen Version verwenden.