aiMOOC

Datenschutz – Neue Software und digitale Dienste an der Schule einführen

QR-Code

Datenschutz – Neue Software und digitale Dienste an der Schule einführen

Einleitung

Ein neuer digitaler Dienst ist nicht erst am Tag der Freischaltung ein Datenschutzthema. In Baden-Württemberg muss die Schule ihren Datenschutzbeauftragten frühzeitig und umfassend beteiligen – ausdrücklich auch bei der Einführung neuer Software. Für die Schulleitung bedeutet das: Datenschutz, IT-Sicherheit und Pädagogik starten gemeinsam in der Anforderungsphase.

Dieser Kurs führt Dich in einer kompakten Prüfkette von der Idee bis zur dokumentierten Freigabe. Zielgruppe sind Schulleitung, IT-Verantwortliche und behördliche Datenschutzbeauftragte. Der Schwerpunkt liegt auf öffentlichen Schulen in Baden-Württemberg. Der Kurs ersetzt keine Einzelfallberatung.

Merksatz: Erst Zweck und Datenflüsse verstehen, dann Anbieter und Vertrag prüfen, Risiken behandeln und erst danach freigeben.

Lernziele

Nach dem Kurs kannst Du einen neuen Dienst anhand von Zweck, Rechtsgrundlage, Datenarten, Rollen, Datenflüssen, Auftragsverarbeitung, technischen und organisatorischen Maßnahmen, Löschung, Verzeichnis von Verarbeitungstätigkeiten, Risikoanalyse und möglicher Datenschutz-Folgenabschätzung prüfen. Du kannst außerdem begründen, warum der Datenschutzbeauftragte schon in der Planungsphase eingebunden werden muss.

Die Prüfkette vor der Einführung

Ein Dienst erhält keine Freigabe nur deshalb, weil er pädagogisch nützlich oder technisch bequem ist. Die Schule braucht eine nachvollziehbare Kette von Entscheidungen.

Prüfschritt	Leitfrage	Ergebnis
1 Zweck	Welche konkrete schulische Aufgabe soll der Dienst erfüllen?	Zweck schriftlich festgelegt
2 Erforderlichkeit	Welche Funktionen und Daten sind für diesen Zweck wirklich nötig?	Datenminimierung festgelegt
3 Rechtsgrundlage	Auf welche Rechtsgrundlage stützt sich jede geplante Verarbeitung?	Rechtsgrundlage dokumentiert
4 Datenarten	Welche Stamm-, Nutzungs-, Inhalts-, Protokoll- oder besonderen Daten fallen an?	Dateninventar erstellt
5 Rollen	Wer ist Verantwortlicher, Auftragsverarbeiter oder weiterer Empfänger?	Rollen geklärt
6 Anbieter	Kann der Anbieter die Anforderungen nachweisbar erfüllen?	Nachweise liegen vor
7 Auftragsverarbeitung	Ist bei Verarbeitung im Auftrag ein Vertrag nach Art. 28 DSGVO erforderlich und vollständig?	AV-Vertrag geprüft
8 Datenflüsse	Wohin fließen Daten, auch zu Unterauftragnehmern, Support-, Protokoll- und Backup-Systemen?	Datenflussbild vollständig
9 TOM	Sind Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit angemessen geschützt?	Maßnahmen geprüft
10 Löschung	Wann werden Produktivdaten, Konten, Logs und Backups gelöscht oder zurückgegeben?	Löschregeln festgelegt
11 Dokumentation	Ist die Verarbeitung im VVT erfasst und sind Informationspflichten vorbereitet?	Nachweise vollständig
12 Risiko	Führt die geplante Verarbeitung voraussichtlich zu einem hohen Risiko für Rechte und Freiheiten?	DSFA-Schwelle geprüft
13 Freigabe	Sind offene Punkte geschlossen und Verantwortlichkeiten für den Betrieb festgelegt?	Freigabe, Nachbesserung oder Stopp

Frühzeitige Beteiligung des Datenschutzbeauftragten

Der Datenschutzbeauftragte ist Berater und Kontrollinstanz, nicht der Projekt-Abzeichner in letzter Minute. In Baden-Württemberg verlangt das Kultusministerium ausdrücklich die frühe Einbindung bei neuer Software. Die Schulleitung bleibt für die Verarbeitung verantwortlich; der Datenschutzbeauftragte berät unabhängig.

Praktisch bedeutet das: DSB-Beteiligung bereits bei Bedarf, Leistungsbeschreibung und Marktsichtung – bevor sich die Schule technisch oder vertraglich auf einen Anbieter festlegt.

Zweck, Erforderlichkeit und Rechtsgrundlage

Vor der Produktauswahl steht der Zweck. Beschreibe nicht „Digitalisierung“, sondern eine konkrete Aufgabe, etwa: „Schülerinnen und Schüler reichen Aufgaben digital ein; Lehrkräfte geben individuelles Feedback.“

Für öffentliche Schulen nennt die baden-württembergische VwV für die zur schulischen Aufgabenerfüllung erforderliche Verarbeitung insbesondere Art. 6 Abs. 1 Buchstabe e DSGVO in Verbindung mit § 4 LDSG; je nach Vorgang sind weitere schulrechtliche Spezialnormen zu prüfen. Bei besonderen Kategorien personenbezogener Daten ist zusätzlich insbesondere Art. 9 DSGVO zu beachten.

Eine verpflichtende Nutzung darf nicht allein deshalb auf eine Einwilligung gestützt werden, weil die Prüfung der eigentlichen Rechtsgrundlage schwierig ist. Die Schule dokumentiert für jede Verarbeitung die passende Rechtsgrundlage und prüft die Erforderlichkeit.

Prüfen	Gute Frage
Zweck	Was soll nachweisbar besser oder überhaupt erst möglich werden?
Erforderlichkeit	Geht es mit weniger personenbezogenen Daten?
Rechtsgrundlage	Welche Norm trägt genau diesen Verarbeitungsschritt?
Zweckänderung	Darf der Anbieter Daten zu eigenen Zwecken, Werbung oder Produkttraining verwenden?

Datenarten und Datenminimierung

Schuldaten können besonders schutzwürdig sein. Erfasse deshalb vor der Einrichtung die geplanten Datenkategorien.

Stammdaten: Name, schulische Kennung, Klasse oder Kurs – nur soweit erforderlich.
Inhaltsdaten: Aufgaben, Abgaben, Kommentare, Bewertungen und Rückmeldungen.
Nutzungsdaten: Login-Zeitpunkte, Aktivitäten und technische Ereignisse.
Protokolldaten: IP-Adresse, Geräteinformationen, Fehler- und Sicherheitslogs.
Besondere Kategorien: zum Beispiel Gesundheitsdaten – nur bei tragfähiger Rechtsgrundlage und erhöhtem Schutz.

Datensparsame Gestaltung: Unnötige Profilfelder, private E-Mail-Adressen, dauerhafte Aktivitätsstatistiken oder optionale Analysefunktionen werden nicht „vorsorglich“ aktiviert.

Anbieter und Auftragsverarbeitung

Bei Cloud-Diensten verarbeitet häufig ein externer Anbieter personenbezogene Daten im Auftrag der Schule. Die Schule bleibt verantwortlich und muss den Anbieter sorgfältig auswählen. Ein bloßes Akzeptieren allgemeiner Nutzungsbedingungen ersetzt keinen erforderlichen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Prüfe insbesondere Leistungsgegenstand, Weisungsbindung, Vertraulichkeit, Unterauftragnehmer, Speicher- und Verarbeitungsorte, TOM-Nachweise, Unterstützung bei Betroffenenrechten und Datenschutzverletzungen sowie Löschung oder Rückgabe am Vertragsende. Bei Datenflüssen in Drittländer ist zusätzlich Kapitel V DSGVO zu prüfen; der Standort des Hauptrechenzentrums allein beantwortet diese Frage nicht.

Medienimpuls: Das BSI-Video zur sicheren Cloud-Nutzung eignet sich als technischer Einstieg. Für die schulrechtliche Freigabe gelten zusätzlich die konkreten Datenschutzvorgaben des Landes Baden-Württemberg.

Datenflüsse sichtbar machen

Ein Vertrag allein zeigt nicht, was technisch geschieht. Zeichne den Datenfluss vom Endgerät bis zur Löschung:

Schulgerät → Internetverbindung → Anwendungsserver → Datenbank → Protokollsystem → Support → Backup → Löschung

Ergänze jeden beteiligten Dienst, jedes Rechenzentrum und jeden Unterauftragnehmer. Prüfe auch Telemetrie, Inhaltsfilter, Push-Dienste, Analysewerkzeuge und Supportzugriffe.

Technische und organisatorische Maßnahmen

Datei:Server Rack (54126210834).jpg

TOMs müssen zum Risiko passen und wirksam sein. Typische Prüffelder sind Berechtigungen, starke Authentisierung, Transport- und Speicherverschlüsselung, Protokollierung, Backup und Wiederherstellung, Patchmanagement, Mandantentrennung, sichere Administration, Löschmechanismen und ein Verfahren zur regelmäßigen Wirksamkeitskontrolle.

Bereich	Nachweisfrage
Zugriff	Gibt es Rollenrechte und Mehrfaktor-Authentisierung für privilegierte Konten?
Übertragung	Ist die Kommunikation nach aktuellem Stand verschlüsselt?
Betrieb	Wie werden Schwachstellen, Updates und Sicherheitsereignisse behandelt?
Verfügbarkeit	Wie funktionieren Backup, Wiederanlauf und Wiederherstellung?
Kontrolle	Welche aktuellen Prüfberichte, Zertifikate oder Testnachweise liegen vor?

Rollen und Verantwortung

Rolle	Kernaufgabe im Einführungsprozess
Schulleitung	entscheidet für die Schule, organisiert Zuständigkeiten und verantwortet die rechtmäßige Verarbeitung
IT	prüft Architektur, Konten, Datenflüsse, Schnittstellen, TOMs, Betrieb und Exit
Datenschutzbeauftragter	berät frühzeitig, überwacht Datenschutzanforderungen und berät bei einer DSFA
Pädagogische Fachseite	beschreibt Zweck, notwendige Funktionen und Datenminimierung
Anbieter	verarbeitet bei Auftragsverarbeitung nur im vereinbarten Rahmen und weist geeignete Schutzmaßnahmen nach
Schulträger	wird je nach konkreter Aufgabe und Verarbeitung in die Rollenklärung einbezogen

Wichtig: Rollen werden nach den tatsächlichen Entscheidungen über Zwecke und Mittel bestimmt, nicht nach dem Etikett im Angebot.

Löschung, Exit und Verzeichnis von Verarbeitungstätigkeiten

Ein Löschkonzept beginnt nicht mit „nach Vertragsende“. Für jede Datenkategorie braucht es eine Regel: Wann entfällt der Zweck? Wer löscht? Was passiert mit Backups? Wie wird die Löschung nachgewiesen? Auch Konten ausgeschiedener Personen, temporäre Dateien und Protokolle gehören in den Blick.

Öffentliche Schulen in Baden-Württemberg müssen ein VVT nach Art. 30 DSGVO führen. Das Kultusministerium bietet dafür VV-Online-BW an. Die neue Verarbeitung wird vor dem Regelbetrieb dokumentiert und bei Änderungen aktualisiert.

Risikoanalyse und Datenschutz-Folgenabschätzung

Die Risikoanalyse fragt nicht nur nach Eintrittswahrscheinlichkeit und technischem Schaden, sondern nach Folgen für die Rechte und Freiheiten der betroffenen Personen. Bei Minderjährigen, Leistungsdaten, umfangreicher Beobachtung, Profilbildung oder schwer kontrollierbaren Datenflüssen ist besondere Sorgfalt nötig.

Eine DSFA nach Art. 35 DSGVO ist vor Beginn erforderlich, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt. Die Schule führt sie durch; der Datenschutzbeauftragte berät. Eine DSFA ist kein Ersatz für eine fehlende Rechtsgrundlage.

Signal	Reaktion
Neue Technologie plus sensible oder umfangreiche Daten	DSFA-Schwelle strukturiert prüfen
Systematische umfassende Bewertung persönlicher Aspekte auf Basis automatisierter Verarbeitung mit erheblicher Wirkung	DSFA durchführen
Unklare Empfänger oder nicht beherrschbare Datenflüsse	Erst Transparenz herstellen, keine Freigabe
Hohes Risiko bleibt trotz vorgesehener Abhilfemaßnahmen bestehen	Vorherige Konsultation nach Art. 36 DSGVO prüfen

Vollständiger schulischer Einführungsfall

Fall: „FeedbackBox“ – ein fiktiver Cloud-Dienst. Eine Gemeinschaftsschule möchte für die Klassen 7 bis 9 digitale Aufgabenabgabe und individuelles Lehrkraft-Feedback einführen. Der Anbieter wirbt zusätzlich mit einer KI-Funktion, die Lernverhalten und Ergebnisse systematisch auswertet und daraus einen Unterstützungsbedarf-Score für Entscheidungen über Fördermaßnahmen bildet.

Phase 1: Idee und Zweck

Die pädagogische Leitung formuliert den Hauptzweck: Abgabe, Korrektur und Feedback. Die Schulleitung bindet IT und Datenschutzbeauftragten vor der Marktauswahl ein. Der KI-Score ist für den Hauptzweck nicht erforderlich und wird zunächst aus dem Lastenheft entfernt.

Zwischenergebnis: klarer Zweck, geringerer Datenumfang, weniger Risikotreiber.

Phase 2: Daten und Rechtsgrundlage

Geplant sind schulische Kennung, Kurszuordnung, Aufgaben, Abgaben, Feedback und technisch notwendige Logs. Private Kontaktdaten werden nicht verlangt. Die Schule dokumentiert für jede Verarbeitung die Rechtsgrundlage und prüft, ob die verpflichtende Nutzung für die schulische Aufgabe erforderlich ist.

Zwischenergebnis: kein „Einwilligungs-Ausweg“ für eine verpflichtende Kernfunktion; optionale Funktionen werden getrennt bewertet.

Phase 3: Anbieter, Vertrag und Datenflüsse

Der Anbieter soll im Auftrag arbeiten. Vor Vertragsabschluss erhält die Schule den Entwurf des Art.-28-Vertrags, eine aktuelle Unterauftragnehmerliste, Verarbeitungsorte, TOM-Beschreibung und Löschregeln. Die IT zeichnet den realen Datenfluss einschließlich Support und Backup nach.

Befund: Ein Analyse-Unterauftragnehmer war in der ersten Dokumentation nicht aufgeführt. Die Schule setzt die Beschaffung aus, bis der Anbieter die Kette vollständig und vertragskonform offenlegt.

Phase 4: TOM und Löschung

Die Schule fordert rollenbasierte Rechte, Mehrfaktor-Authentisierung für Administration, verschlüsselte Übertragung, abgesicherte Backups, geregelte Supportzugriffe, Protokollierung sicherheitsrelevanter Ereignisse und nachweisbare Löschfunktionen. Für Konten, Inhalte, Logs und Backups werden zweckbezogene Löschregeln dokumentiert.

Befund: Der Anbieter kann die Anforderungen nach Nachbesserung technisch abbilden.

Phase 5: VVT, Information und Risiko

Die Schule nimmt die Verarbeitung ins VVT auf, erstellt die erforderlichen Datenschutzinformationen und dokumentiert die Risikoanalyse. Für die eng begrenzte Konfiguration ohne KI-Profiling, ohne besondere Kategorien als planmäßigen Inhalt und mit minimierten Protokolldaten dokumentiert sie ihre Schwellwertprüfung zur DSFA. Die konkrete Fallentscheidung wird mit der Beratung des Datenschutzbeauftragten nachvollziehbar festgehalten und ist nicht pauschal auf andere Dienste übertragbar.

Änderungsregel: Soll der KI-Score später in der beschriebenen Form zur systematischen Bewertung für Förderentscheidungen aktiviert werden, wird diese wesentliche Änderung vor Aktivierung erneut rechtlich und technisch geprüft; für eine solche Hochrisikoverarbeitung ist die DSFA durchzuführen.

Phase 6: Freigabe und Betrieb

Die Schulleitung gibt einen begrenzten Pilotbetrieb erst frei, nachdem Vertrag, Datenflüsse, TOMs, Löschung, VVT, Informationen und Risikoentscheidung vollständig sind. Nach dem Pilot werden Wirksamkeit, Supportfälle, Logs, Berechtigungen und tatsächliche Datenflüsse überprüft.

Freigabestatus: Go mit Bedingungen – nur für die geprüfte Konfiguration ohne KI-Profiling. Änderungen am Dienst lösen die Prüfkette erneut aus.

Interaktive Prüfkette

Ordne die Prüffragen den Stationen zu. Die Kette beginnt vor Bestellung und Vertragsbindung.

Station	Prüffrage
Zweck	Welche konkrete schulische Aufgabe soll erfüllt werden?
Rechtsgrundlage	Welche Norm erlaubt die jeweilige Verarbeitung?
Dateninventar	Welche personenbezogenen Daten und Protokolle fallen an?
Rollenklärung	Wer entscheidet über Zwecke und Mittel und wer verarbeitet im Auftrag?
Anbieterprüfung	Welche Nachweise, Unterauftragnehmer und Verarbeitungsorte gibt es?
Datenflussprüfung	Wohin fließen Daten technisch tatsächlich?
TOM-Prüfung	Welche Schutzmaßnahmen senken die erkannten Risiken?
Löschkonzept	Wann, wie und durch wen werden Daten entfernt?
VVT	Wie wird die Verarbeitung nach Art. 30 DSGVO dokumentiert?
Risikoanalyse	Welche Folgen sind für betroffene Personen möglich?
DSFA-Prüfung	Ist voraussichtlich ein hohes Risiko gegeben?
Freigabe	Sind alle offenen Punkte geschlossen und der Betrieb geregelt?

Praxisregel: Ergibt ein Schritt „unklar“, geht die Kette nicht automatisch weiter. Erst nachklären, dann entscheiden.

Aktuelle offizielle Quellen für Baden-Württemberg

Quellenprüfung: 07.10.2026. Vor einer konkreten Einführung solltest Du die verlinkten Fassungen erneut auf Aktualität prüfen.

Datenschutz an Schulen – IT.KULTUS-BW: zentrale Seite mit Rechtsgrundlagen, Hinweisen, DSFA-Unterlagen und Mustern.
Verzeichnis der Verarbeitungstätigkeiten – IT.KULTUS-BW: Art. 30 DSGVO und VV-Online-BW.
Cloud-Dienste im schulischen Bereich – IT.KULTUS-BW: Anforderungen an Anbieter, Auftragsverarbeitung, TOMs und Unterauftragnehmer.
Elektronische Lern-, Informations- und Kommunikationsplattformen – IT.KULTUS-BW: Hinweise zur Auswahl und zum Betrieb.
Datenschutz an Schulen – LfDI Baden-Württemberg: Aufsichtsperspektive und schulische Datenschutzthemen.
Auftragsverarbeitung nach DS-GVO – LfDI Baden-Württemberg: aktuelle Praxishilfe zu Auswahl, Vertrag und TOMs.
Recht auf Löschung – LfDI Baden-Württemberg: Best Practices für Prozesse, Zuständigkeiten und VVT-Bezug.
Praxishilfen A–Z – LfDI Baden-Württemberg: Materialien unter anderem zu Auftragsverarbeitung, VVT, Löschung und DSFA.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Wann sollte der Datenschutzbeauftragte bei neuer Software einbezogen werden? (Bereits in der Planungsphase) (!Erst nach Vertragsunterzeichnung) (!Erst kurz vor dem ersten Login) (!Nur nach einer Datenschutzpanne)

Was steht am Anfang der Prüfkette? (Der konkrete schulische Zweck) (!Die Farbe der Benutzeroberfläche) (!Die Zahl der Werbevideos) (!Der Einführungstermin)

Wer bleibt bei einer Auftragsverarbeitung für die Rechtmäßigkeit der schulischen Verarbeitung verantwortlich? (Die Schule als Verantwortliche) (!Der Hostinganbieter allein) (!Die Elternvertretung) (!Der Softwarehändler)

Was gehört zwingend in eine Datenflussprüfung? (Empfänger und technische Stationen der Daten) (!Nur der Produktname) (!Nur der Kaufpreis) (!Nur die Zahl der Endgeräte)

Was ist ein Ziel der Datenminimierung? (Nur erforderliche personenbezogene Daten verarbeiten) (!Möglichst viele Profilfelder füllen) (!Alle Logs dauerhaft speichern) (!Jede Zusatzfunktion aktivieren)

Was beschreibt ein Löschkonzept? (Wann wie und durch wen Daten gelöscht werden) (!Welche Geräte angeschafft werden) (!Welche Fächer den Dienst nutzen) (!Welche Farbe das Logo hat)

Wozu dient das Verzeichnis von Verarbeitungstätigkeiten? (Zur dokumentierten Übersicht der Verarbeitungstätigkeiten) (!Zur Benotung von Lernenden) (!Zur Inventarisierung von Möbeln) (!Zur Planung von Klassenfahrten)

Wann ist eine Datenschutz-Folgenabschätzung erforderlich? (Wenn eine Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt) (!Bei jeder Textverarbeitung ohne Personenbezug) (!Nur wenn der Anbieter sie verlangt) (!Erst nach Abschluss des Schuljahres)

Welche Maßnahme gehört typischerweise zu den TOMs? (Rollenbasierte Zugriffsrechte) (!Werbeslogans) (!Pausenaufsicht) (!Stundenplangestaltung)

Was passiert bei einer wesentlichen späteren Funktionsänderung? (Die Prüfkette wird für die Änderung erneut durchlaufen) (!Die ursprüngliche Prüfung gilt automatisch für alles) (!Nur das Logo wird aktualisiert) (!Datenschutz spielt danach keine Rolle mehr)

Memory

Zweckbindung	Verarbeitung für einen festgelegten Zweck
Auftragsverarbeitung	Weisungsgebundene Verarbeitung für die Schule
Datenfluss	Weg personenbezogener Daten durch Systeme und Empfänger
TOM	Technische und organisatorische Schutzmaßnahmen
Löschkonzept	Regeln für Frist, Ablauf und Nachweis der Löschung
VVT	Dokumentation der Verarbeitungstätigkeiten
DSFA	Prüfung bei voraussichtlich hohem Risiko

Drag and Drop

Ordne die richtigen Begriffe zu.	Thema
Zweckprüfung	Welches schulische Problem soll der Dienst lösen?
Anbieterprüfung	Wer verarbeitet die Daten und mit welchen Nachweisen?
Datenflussanalyse	Wohin gelangen Daten einschließlich Support und Backup?
TOM-Prüfung	Welche Schutzmaßnahmen wirken gegen die Risiken?
Löschprüfung	Wann endet die Speicherung der einzelnen Datenarten?
VVT-Eintrag	Wo wird die Verarbeitung nach Art. 30 DSGVO dokumentiert?
Risikoanalyse	Welche Folgen sind für betroffene Personen möglich?
DSFA-Prüfung	Ist voraussichtlich ein hohes Risiko zu erwarten?

Kreuzworträtsel

Zweckbindung	Welcher Grundsatz verlangt einen festgelegten Verarbeitungszweck?
Auftragsverarbeiter	Wie heißt ein weisungsgebundener externer Datenverarbeiter?
Risikomatrix	Welches Werkzeug verbindet typischerweise Eintritt und Auswirkung?
Löschkonzept	Wie heißt die dokumentierte Regelung zum Entfernen von Daten?
Rollenmodell	Welche Darstellung klärt Verantwortlichkeiten im Projekt?
Datenfluss	Wie heißt der Weg von Daten durch Systeme und Empfänger?

LearningApps

Lückentext

Am Anfang einer Softwareeinführung steht ein klar dokumentierter

. Der schulische Datenschutzbeauftragte soll

beteiligt werden. Für jede Verarbeitung braucht die Schule eine tragfähige

. Bei einem weisungsgebundenen externen Dienst ist regelmäßig die

zu prüfen. Die technischen Wege der personenbezogenen Daten werden in einem

sichtbar gemacht. Schutzmaßnahmen werden als

betrachtet. Die Verarbeitung wird im

dokumentiert. Bei voraussichtlich hohem Risiko ist eine

erforderlich. Für das Ende der Verarbeitung braucht die Schule ein

. Eine wesentliche Funktionsänderung löst eine erneute

aus.

Offene Aufgaben

Leicht

Zweckbeschreibung: Formuliere für einen bekannten schulischen Online-Dienst einen Zweck in höchstens zwei Sätzen und streiche alle Funktionen, die dafür nicht nötig sind.
Dateninventar: Sammle für einen fiktiven Lernservice zehn mögliche Datenfelder und markiere, welche davon entbehrlich sind.
Rollenkarte: Zeichne Schulleitung, IT, Datenschutzbeauftragten, Lehrkräfte und Anbieter als Rollenkarte mit je einer Kernaufgabe.
Löschfrage: Formuliere für Konten, Lernprodukte, Logs und Backups jeweils eine konkrete Frage, die ein Anbieter beantworten muss.

Standard

Datenflussdiagramm: Zeichne für einen realen oder fiktiven Dienst den Weg vom Endgerät bis zu Server, Support, Backup und Löschung.
Anbietercheck: Vergleiche zwei Dienste nur anhand öffentlich verfügbarer Datenschutz- und Sicherheitsunterlagen und notiere offene Nachweisfragen.
TOM-Prüfung: Entwirf eine Checkliste für Rollenrechte, Mehrfaktor-Authentisierung, Verschlüsselung, Updates, Protokollierung und Wiederherstellung.
VVT-Entwurf: Skizziere einen VVT-Eintrag für den Fall FeedbackBox mit Zweck, Betroffenen, Datenkategorien, Empfängern und Löschregeln.

Schwer

Risikoszenario: Entwickle drei plausible Schadensszenarien für einen Lernservice und ordne passende Abhilfemaßnahmen zu.
DSFA-Schwellwert: Prüfe, wie sich die Aktivierung eines automatischen Unterstützungsbedarf-Scores auf die DSFA-Bewertung des Falles auswirkt.
Beschaffungsprozess: Entwickle einen schulischen Freigabeprozess, in dem Pädagogik, IT, Schulleitung und Datenschutzbeauftragter feste Prüfpunkte besitzen.
Änderungsmanagement: Entwirf eine Regel, welche Produktänderungen eine erneute Datenschutz- und Sicherheitsprüfung auslösen und wie Anbieteränderungen überwacht werden.

Lernkontrolle

Transferfall Cloudwechsel: Ein Anbieter verlagert einen Unterauftragnehmer. Erkläre, welche Stationen der Prüfkette erneut betrachtet werden müssen und warum.
Pflichtdienst und Einwilligung: Eine Schulleitung möchte einen verpflichtenden Dienst allein auf Einwilligung stützen. Analysiere die Schwäche dieses Ansatzes und entwickle ein besseres Prüfverfahren.
Funktionszuwachs: Ein bereits freigegebener Dienst führt Profiling ein. Leite ab, welche Dokumente, Risiken und Rollen neu zu prüfen sind.
Unvollständige TOM: Ein Anbieter nennt „Verschlüsselung und ISO-Zertifizierung“, beantwortet aber keine Fragen zu Rollenrechten, Support und Löschung. Begründe, warum das für eine Freigabe nicht genügt.
Datenminimierung im Design: Entwirf zwei technische oder organisatorische Änderungen, durch die derselbe pädagogische Zweck mit weniger personenbezogenen Daten erreicht wird.
Freigabeentscheidung: Formuliere für FeedbackBox eine begründete Entscheidung „Go“, „Nachbessern“ oder „Stop“ und nenne die Nachweise, auf die Du Dich stützt.

Lernnachweis

Prüfziel: Ein präziser schulischer Zweck und die Erforderlichkeit der Verarbeitung sind nachvollziehbar.
Rechtliche Prüfung: Rechtsgrundlage, Datenarten, Betroffene und Informationspflichten sind begründet.
Technische Prüfung: Rollen, Datenflüsse, Schnittstellen, Anbieter und TOMs sind dargestellt und bewertet.
Lebenszyklus: Löschung, Exit, VVT und Änderungsmanagement sind dokumentiert.
Risikoprüfung: Risikoanalyse und die Entscheidung zur DSFA sind nachvollziehbar.
Governance: Die frühe und unabhängige Beteiligung des Datenschutzbeauftragten sowie die Freigabeentscheidung der verantwortlichen Schule sind erkennbar.

OERs zum Thema

Die verwendeten Wikimedia-Commons-Medien sind über ihre Dateiseiten mit Lizenz- und Urheberangaben nachvollziehbar. Für die rechtliche Praxis sind die oben verlinkten offiziellen Seiten des Kultusministeriums Baden-Württemberg und des LfDI Baden-Württemberg maßgeblich heranzuziehen.

Verknüpfte Lernbereiche

Der Lernbereich verbindet Datenschutzrecht, technische Informationssicherheit, schulische Verantwortung, Beschaffung und den vollständigen Lebenszyklus eines digitalen Dienstes.

Datenschutz