Die Druckversion wird nicht mehr unterstützt und kann Darstellungsfehler aufweisen. Bitte aktualisiere deine Browser-Lesezeichen und verwende stattdessen die Standard-Druckfunktion des Browsers.

aiMOOC

Datenschutz – Sicher arbeiten im Schulsekretariat

QR-Code

Datenschutz – Sicher arbeiten im Schulsekretariat

Kurzbeschreibung: Sichere Bearbeitung von Schüler-, Eltern- und Personaldaten im Verwaltungsalltag.

Zielgruppe: Mitarbeitende im Schulsekretariat und in der Schulverwaltung in Baden-Württemberg.

Lernziel: Du erkennst typische Datenschutzrisiken und kannst im Alltag sofort sicher handeln: am Telefon, per E-Mail, mit Papier, am Bildschirm, bei Auskünften, Akten, Zugriffsrechten, Aufbewahrung und Löschung.

Merksatz: So viele Daten wie nötig, so wenige wie möglich – und nur für Personen, die sie für ihre Aufgabe brauchen.

Die folgenden Regeln orientieren sich an den aktuell bereitgestellten offiziellen Hinweisen des Kultusministeriums Baden-Württemberg und des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg. Quellenstand der Prüfung: 7. Oktober 2026.

Der 10-Sekunden-Datenschutzcheck

Bevor Du Daten nennst, sendest, zeigst, ablegst oder löschst, prüfe kurz:

Frage	Sichere Entscheidung
Brauche ich diese Daten wirklich?	Nur erforderliche Daten verarbeiten.
Darf diese Person die Daten erhalten?	Identität, Aufgabe und Berechtigung prüfen.
Ist der Weg sicher?	Freigegebenen Kanal, geschützte Ablage und passende Zugriffsrechte nutzen.
Wie lange brauche ich die Daten?	Frist und Archivvorgaben prüfen; danach sicher löschen oder vernichten.

Telefon: Erst prüfen, dann sprechen

Situation: „Hier ist der Vater von Lea. Sagen Sie mir bitte schnell, warum sie heute fehlt.“

Entscheidung: Wenn Identität oder Berechtigung nicht sicher feststehen, gibst Du keine personenbezogene Auskunft. Bei Zweifeln an der Identität dürfen zusätzliche Informationen zur Bestätigung verlangt werden. Praktisch sicher ist zum Beispiel ein Rückruf über eine bereits hinterlegte Kontaktmöglichkeit.

Handlungsregel: Am Telefon nie allein auf Namen, Rufnummernanzeige oder überzeugendes Auftreten vertrauen. Nur das mitteilen, was für den zulässigen Zweck erforderlich ist.

E-Mail: Dienstlich, gezielt, geschützt

Situation: Eine Mutter bittet per privater E-Mail um „alle Informationen zur Fördermaßnahme“ ihres Kindes.

Entscheidung: Unverschlüsselte E-Mail eignet sich für eine Terminabstimmung ohne weitere personenbezogene Inhalte. Personenbezogene Inhalte an Dritte sollen über sichere Verwaltungsnetze oder verschlüsselt übermittelt werden. Nutze ausschließlich den vorgesehenen dienstlichen Account und die von Schule beziehungsweise Schulträger freigegebenen Verfahren.

Handlungsregel: Empfängeradresse vor dem Senden prüfen. Anhänge nur mitsenden, wenn sie wirklich nötig sind. Bei Verschlüsselung das Passwort über einen anderen Kommunikationsweg übermitteln.

Vertiefung: Das BSI erklärt im Video, warum E-Mail-Verschlüsselung wichtig ist.

Phishing: Nicht nur Datenschutz, auch Zugangsschutz

Situation: Eine E-Mail fordert Dich auf, „wegen einer Sicherheitsprüfung“ sofort das Passwort des Schulverwaltungssystems einzugeben.

Entscheidung: Link nicht öffnen, Zugangsdaten nicht eingeben, Absender und Zieladresse prüfen und den Vorfall nach den internen IT-Sicherheitswegen melden.

Verteiler: Bcc schützt Empfängeradressen

Situation: Eine Rundmail soll an 80 Elternadressen gehen.

Entscheidung: Bei externen Gruppen dürfen die Empfänger die Adressen der anderen nicht unnötig sehen. Setze die Empfänger in Bcc. Prüfe zusätzlich, ob der Nachrichtentext personenbezogene Informationen über einzelne Personen enthält.

Handlungsregel: Elternverteiler nach außen: Bcc. Persönliche Einzelfälle: nicht in Rundmails.

Papierunterlagen und Akten: Sichtschutz beginnt am Schreibtisch

Situation: Eine Schülerakte liegt offen am Tresen, während ein Besucher wartet.

Entscheidung: Akte schließen und so ablegen, dass Unbefugte keinen Einblick haben. Papierdaten müssen bei Bearbeitung, Aufbewahrung, Transport und Vernichtung geschützt sein.

Handlungsregel: Keine vertraulichen Unterlagen offen liegen lassen. Ausdrucke sofort am Drucker abholen. Dienstzimmer und Registraturen bei Abwesenheit sichern. Für die Vernichtung geeignete, DIN-gerechte Aktenvernichtung nach DIN 66399 verwenden.

Bildschirm und Zugriffsrechte: Nur sehen, was man braucht

Situation: Du gehst „nur kurz“ zum Kopierer, während ASV-BW mit einer Schülerakte geöffnet ist.

Entscheidung: Bildschirm sperren. Auch kurze Abwesenheit kann Einsicht durch Unbefugte ermöglichen.

Handlungsregel: Zugriffe nach Aufgabe und Erforderlichkeit vergeben. Keine gemeinsamen Passwörter. Zugangsdaten nicht weitergeben. Berechtigungen regelmäßig prüfen und bei Aufgabenwechsel oder Ausscheiden anpassen.

Auskünfte und Datenübermittlung: Wer fragt – und wofür?

Situation: Eine externe Stelle verlangt telefonisch eine Schüleradresse und nennt einen dienstlich klingenden Grund.

Entscheidung: Nicht automatisch herausgeben. Prüfe Identität, Empfänger, Zweck und Rechtsgrundlage. Innerhalb des öffentlichen Bereichs ist eine Übermittlung nur unter den gesetzlichen Voraussetzungen zulässig; Übermittlungen sind nachvollziehbar zu dokumentieren. An nichtöffentliche Stellen werden personenbezogene Daten ohne Einwilligung grundsätzlich nicht übermittelt, soweit keine besondere Rechtsgrundlage oder gesetzliche Ausnahme greift.

Handlungsregel: Im Zweifel nicht improvisieren: Schulleitung oder behördliche Datenschutzbeauftragte einbeziehen.

Besonders sensible Informationen: Extra vorsichtig

Gesundheitsdaten, Daten zur Religionszugehörigkeit oder Daten, aus denen die ethnische Herkunft hervorgeht, können besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO sein. Für sie gelten besonders enge Voraussetzungen.

Situation: Ein Attest enthält eine konkrete Diagnose, obwohl für den Schulzweck möglicherweise nur die Feststellung des Nachweises nötig ist.

Entscheidung: Prüfe die Erforderlichkeit. Nach den Hinweisen des Kultusministeriums reicht bei bestimmten Nachweisen die Einsichtnahme mit Dokumentation; das vorgelegte Dokument selbst darf dann nicht unnötig kopiert oder archiviert werden.

Handlungsregel: Nicht „vorsichtshalber alles“ speichern. Bei Gesundheitsdaten besonders strikt nach dem Erforderlichkeitsprinzip handeln.

Krankmeldungen und Atteste per E-Mail

Wenn Krankmeldungen, Entschuldigungen oder Atteste per E-Mail eingehen und aufbewahrt werden müssen, sollen sie in die dafür vorgesehene Schülerakte beziehungsweise das Ablagesystem übertragen und anschließend umgehend aus dem Mailpostfach gelöscht werden. Bei elektronischer Ablage ist die erforderliche Verschlüsselung sicherzustellen.

Aufbewahren und löschen: Nicht zu früh, nicht zu spät

Die VwV Datenschutz an öffentlichen Schulen nennt konkrete Löschungsfristen. Vor einer endgültigen Löschung sind außerdem die einschlägigen Archivvorgaben zu beachten.

Unterlage	Regel nach VwV
Schülerkarteikarten und Schülerlisten in Papierform sowie Abschluss- und Abgangszeugnisse	60 Jahre nach Verlassen der Schule aufbewahren, danach löschen.
Schülerakten und sonderpädagogische Gutachten einschließlich Lern- und Förderplänen sowie Schulübergangsempfehlungen	Zwei Jahre nach Verlassen der Schule vernichten beziehungsweise elektronisch löschen.
Klassen- und Kurstagebücher	Nach Ablauf der folgenden fünf Schuljahre löschen.
Notenlisten, Listen über Lernnachweise, Klassenarbeiten beziehungsweise Lernnachweise, Entschuldigungen oder Fehlzeitenlisten	Nach Ende des jeweils nächsten Schuljahres löschen, sofern keine Rechtsmittel eingelegt wurden.
Prüfungsniederschriften und Prüfungsarbeiten	Fünf Jahre nach Feststellung des Prüfungsergebnisses löschen.

Wichtig für Personaldaten: Schülerfristen nicht einfach auf Personalunterlagen übertragen. Für Personaldaten gelten je nach Datenart eigene personal- und archivrechtliche Regeln. Schuljahresbezogene Einsatzdaten bestimmter Gruppen dürfen nach der VwV nicht länger als bis zum Ende des folgenden Schuljahres verarbeitet werden.

Datenpanne: Schnell melden, nicht verstecken

Situation: Eine E-Mail mit einer Schülerliste ging an die falsche Adresse.

Entscheidung: Sofort intern melden, Empfänger nach Möglichkeit zur Löschung auffordern und den Vorfall dokumentieren. Die Schule bewertet mit Unterstützung des Datenschutzbeauftragten das Risiko und entscheidet über weitere Schritte.

Handlungsregel: Eine meldepflichtige Datenschutzverletzung ist der Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden zu melden, wenn sie voraussichtlich zu einem Risiko für Rechte und Freiheiten natürlicher Personen führt. Bei hohem Risiko kann zusätzlich eine Benachrichtigung der Betroffenen nötig sein.

Acht Alltagssituationen – Deine Entscheidung

Situation	Sichere Reaktion
Unbekannte Person fragt am Telefon nach dem Grund einer Fehlzeit.	Identität und Berechtigung prüfen; vorher keine Auskunft.
Rundmail an Eltern.	Bcc verwenden und keine Einzelfälle in die Rundmail schreiben.
Attest liegt auf dem Drucker.	Sofort abholen und geschützt ablegen.
Besucher steht am Schalter, Schülerdaten sind sichtbar.	Bildschirm sperren oder Sichtschutz herstellen.
Kollegin fragt aus Interesse nach dem Krankheitsgrund einer Lehrkraft.	Keine Weitergabe ohne dienstliche Erforderlichkeit.
Datei soll an eine externe Stelle.	Zweck, Rechtsgrundlage, Empfänger und sicheren Übertragungsweg prüfen.
Aufbewahrungsfrist ist abgelaufen.	Archivvorgaben prüfen, dann sicher löschen oder vernichten.
Nachricht ging an die falsche Person.	Datenpanne unverzüglich intern melden und Schaden begrenzen.

Mini-Checkliste für den Feierabend

Schreibtisch: Keine personenbezogenen Unterlagen offen liegen lassen.
Bildschirm: Arbeitsplätze sperren oder abmelden.
Akten: Vertrauliche Akten und Datenträger sicher verwahren.
E-Mail: Offene Entwürfe, falsche Anhänge und sensible Postfächer prüfen.
Zugriff: Schlüssel, Token und Zugangsdaten sicher aufbewahren.

Aktuelle offizielle Quellen für Baden-Württemberg

Die zentrale Seite des Kultusministeriums führt die Rechtsgrundlagen und Arbeitshilfen zum Datenschutz an Schulen. Dort wurden 2026 unter anderem die aktuelle Fassung des Landesdatenschutzgesetzes und die VwV Datenschutz an öffentlichen Schulen bereitgestellt. Die Hinweise zum Umgang mit Attesten wurden 2025 aktualisiert.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Eine unbekannte Person ruft an und verlangt Informationen über ein Kind. Was ist zuerst zu tun? (Identität und Berechtigung prüfen) (!Die gewünschten Daten sofort nennen) (!Nur nach dem Nachnamen fragen und dann Auskunft geben) (!Die Auskunft an eine private E-Mail-Adresse schicken)

Wie sollte personenbezogener Inhalt an externe Empfänger übermittelt werden, wenn kein sicherer Verwaltungsweg verfügbar ist? (Verschlüsselt über einen freigegebenen Weg) (!Unverschlüsselt über ein privates Postfach) (!Als öffentlich freigegebener Cloud-Link) (!Über einen privaten Messenger)

Welches Feld ist bei einem externen Elternverteiler in der Regel die richtige Wahl? (Bcc) (!Cc) (!An) (!Betreff)

Was tust Du, wenn Du den Arbeitsplatz auch nur kurz verlässt? (Bildschirm sperren) (!Fenster minimieren) (!Monitor nur dunkler stellen) (!Programm offen lassen)

Wie gehst Du mit offen liegenden Schülerakten am Besuchertresen um? (Sofort vor Einsicht schützen und sicher ablegen) (!Offen liegen lassen wenn der Name verdeckt ist) (!Fotografieren und auf dem Privattelefon speichern) (!In den Papierkorb unter dem Tisch legen)

Welche Daten gehören typischerweise zu besonders geschützten Kategorien? (Gesundheitsdaten) (!Raumnummern) (!Öffnungszeiten) (!Schulferien)

Was ist nach einer versehentlich an die falsche Person gesendeten Schülerliste zu tun? (Den Vorfall unverzüglich intern melden) (!Die Nachricht ignorieren) (!Nur den Betreff der E-Mail ändern) (!Die Datei zusätzlich an weitere Personen senden)

Wann sind Schülerakten nach der VwV grundsätzlich zu vernichten oder elektronisch zu löschen? (Zwei Jahre nach Verlassen der Schule) (!Sofort am letzten Schultag) (!Erst nach sechzig Jahren) (!Nie)

Wer soll Zugriff auf personenbezogene Verwaltungsdaten erhalten? (Nur Personen die ihn für ihre Aufgabe benötigen) (!Alle Beschäftigten der Schule) (!Alle Elternvertretungen) (!Alle Schülerinnen und Schüler)

Was soll mit einem per E-Mail eingegangenen Attest geschehen, wenn es aufbewahrt werden muss? (In die vorgesehene geschützte Ablage übertragen und anschließend aus dem Mailpostfach löschen) (!Dauerhaft im Posteingang aufbewahren) (!An das gesamte Kollegium weiterleiten) (!In einem privaten Cloudspeicher sichern)

Memory

Bcc	Verborgener Elternverteiler
Bildschirmsperre	Schutz bei kurzer Abwesenheit
Need-to-know	Zugriff nur bei Erforderlichkeit
Attest	Gesundheitsdaten
Aktenvernichtung	DIN 66399
Datenpanne	Falscher Empfänger
Schülerakte	Zwei Jahre nach Verlassen
Prüfungsunterlagen	Fünf Jahre nach Ergebnis

Drag and Drop

Ordne die richtigen Begriffe zu.	Thema
Bcc	Elternverteiler
Bildschirmsperre	Besucher am Tresen
Verschlüsselung	Personenbezogener E-Mail-Anhang
Aktenvernichtung	Papierunterlagen
Identitätsprüfung	Telefonische Auskunft

...

Kreuzworträtsel

Verschlüsselung	Wie schützt Du personenbezogene Inhalte bei einer erforderlichen Übermittlung außerhalb sicherer Verwaltungsnetze?
Identität	Was musst Du bei Zweifeln vor einer personenbezogenen Auskunft prüfen?
Aktenvernichter	Welches Gerät dient der sicheren Vernichtung vertraulicher Papierunterlagen?
Gesundheitsdaten	Welche besonders geschützten Informationen können in Attesten enthalten sein?
Zugriffsrechte	Was wird nach Aufgabe und Erforderlichkeit vergeben?
Datenpanne	Wie heißt ein Vorfall mit unbefugter Offenlegung oder Verlust personenbezogener Daten?

LearningApps

Lückentext

Vor einer telefonischen Auskunft prüfst Du die

der anfragenden Person. Bei Rundmails an Eltern nutzt Du das Feld

. Beim Verlassen des Arbeitsplatzes aktivierst Du die

. Personenbezogene Inhalte werden auf einem sicheren Weg oder

übermittelt. Gesundheitsdaten gehören zu den besonders geschützten

. Schülerakten sind grundsätzlich zwei Jahre nach dem

der Schule zu löschen. Abgelaufene Papierunterlagen werden sicher

. Eine Nachricht an einen falschen Empfänger kann eine

sein. Ein solcher Vorfall wird intern sofort

.

Offene Aufgaben

Leicht

Datenschutz-Check: Gehe Deinen Arbeitsplatz fünf Minuten lang ab und markiere drei Stellen, an denen fremde Personen Daten sehen könnten. Formuliere für jede Stelle eine sofortige Verbesserung.
Telefonleitfaden: Schreibe einen kurzen Satz, mit dem Du freundlich erklärst, dass Du vor einer Auskunft Identität und Berechtigung prüfen musst.
E-Mail-Verteiler: Entwirf eine neutrale Eltern-Rundmail und beschreibe, wo Du die Adressen einträgst und warum.
Clean Desk: Erstelle eine Fünf-Punkte-Abschlussroutine für den Schreibtisch, Drucker und Bildschirm.

Standard

Aktenlauf: Zeichne den Weg einer Schülerakte vom Eingang über Bearbeitung und Ablage bis zur Löschung. Markiere an jeder Station ein Datenschutzrisiko.
Berechtigungskonzept: Erstelle für Sekretariat, Schulleitung und Lehrkräfte eine kleine Zugriffsmatrix nach dem Need-to-know-Prinzip.
Löschplan: Übertrage die wichtigsten Fristen für Schülerunterlagen in einen Jahresplan und ergänze den Hinweis zur Archivprüfung.
Sensible Daten: Entwickle für ein Attest einen Entscheidungsbaum mit den Fragen Erforderlichkeit, Einsichtnahme, Speicherung, Ablage und Löschung.

Schwer

Datenpannenübung: Simuliere den Versand einer Schülerliste an einen falschen Empfänger und entwickle die ersten fünf Reaktionsschritte ohne reale Daten.
Auskunftsprüfung: Bearbeite drei fiktive Anfragen von Eltern, Behörde und privatem Verein und begründe jeweils, welche Prüfung vor einer Datenübermittlung nötig ist.
Prozessanalyse: Untersuche einen Verwaltungsprozess Deiner Schule auf Datensparsamkeit, sichere Übertragung, Zugriffsrechte und Löschung. Verwende ausschließlich fiktive Beispieldaten.
Kurzschulung Datenschutz: Produziere ein dreiminütiges Erklärvideo oder eine Bildfolge mit fünf Regeln für neue Mitarbeitende im Schulsekretariat.

Lernkontrolle

Fall Telefon: Eine Person behauptet, sorgeberechtigt zu sein, und verlangt telefonisch Noten und Fehlzeiten. Entwickle ein sicheres Vorgehen und begründe die Reihenfolge Deiner Schritte.
Fall E-Mail: Ein Dokument mit Förderinformationen muss an eine externe Stelle. Entscheide, welche Informationen wirklich erforderlich sind und wie Du den Übertragungsweg absicherst.
Fall Verteiler: In einer Eltern-Rundmail wurde versehentlich Cc statt Bcc verwendet. Analysiere das Risiko und formuliere die nächsten organisatorischen Schritte.
Fall Attest: Ein Attest enthält eine Diagnose und zusätzliche medizinische Details. Entscheide, welche Informationen für den Schulzweck erforderlich sind und wie Du mit dem Dokument umgehst.
Fall Akte: Für eine ehemalige Schülerin liegen gleichzeitig eine Schülerakte, ein Abschlusszeugnis und Prüfungsunterlagen vor. Erkläre, warum nicht für alle Unterlagen dieselbe Löschfrist gilt.
Fall Datenpanne: Eine Datei mit Schülerdaten wurde falsch adressiert. Entwickle einen Ablauf für Schadensbegrenzung, interne Meldung, Dokumentation und Risikoprüfung.

Lernnachweis

Für einen Lernnachweis solltest Du zeigen, dass Du nicht nur Regeln kennst, sondern in realistischen Situationen sicher entscheiden kannst.

Identitätsprüfung: Du kannst erklären, wann vor einer Auskunft zusätzliche Identitätsprüfung nötig ist.
Sichere Kommunikation: Du kannst E-Mail, Bcc, Verschlüsselung und freigegebene Kommunikationswege passend einsetzen.
Zugriffsschutz: Du kannst Bildschirm-, Papier- und Berechtigungsschutz praktisch anwenden.
Datenminimierung: Du kannst bei sensiblen Informationen zwischen „nützlich“ und „erforderlich“ unterscheiden.
Aufbewahrung und Löschung: Du kannst wichtige Fristen anwenden und die Archivprüfung mitdenken.
Datenpanne: Du kannst einen Fehler sofort melden und die ersten Schritte zur Schadensbegrenzung beschreiben.