aiMOOC

Datenschutz – Rückkopplung zwischen Datenschutzbeauftragtem und Schulleitung

QR-Code

Datenschutz – Rückkopplung zwischen Datenschutzbeauftragtem und Schulleitung

Zielgruppe: Schulleitungen und Datenschutzbeauftragte

Ziel: Eine verlässliche, transparente und zugleich schlanke Zusammenarbeit entwickeln: mit ein bis zwei strukturierten Rückkopplungen pro Schuljahr und zusätzlicher Beteiligung bei relevanten Anlässen.

Leitgedanke: Der Datenschutzbeauftragte gibt eine unabhängige fachliche Einschätzung. Entscheidungen, Umsetzung und Rechenschaftspflicht verbleiben bei der jeweils zuständigen verantwortlichen Stelle.

Wichtig: Der Turnus von ein bis zwei Statusgesprächen ist ein Praxismodell dieses Kurses, keine von der DSGVO vorgeschriebene Sitzungsfrequenz. Die DSGVO verlangt dagegen insbesondere eine ordnungsgemäße und frühzeitige Beteiligung des Datenschutzbeauftragten in Fragen des Schutzes personenbezogener Daten.

Einleitung

Datenschutz funktioniert in einer Schule nicht gut, wenn Beratung erst kurz vor der Einführung eines neuen Verfahrens beginnt oder nur bei Problemen stattfindet. Ebenso wenig ist es sinnvoll, den Datenschutzbeauftragten in operative Entscheidungen hineinzuziehen, für die die verantwortliche Stelle selbst einstehen muss.

Eine schlanke Rückkopplung verbindet deshalb zwei Wege:

Regelweg: ein bis zwei kurze, strukturierte Statusgespräche im Schuljahr.
Anlassweg: zusätzliche frühzeitige Beteiligung, sobald ein datenschutzrelevanter Anlass entsteht.

So entsteht weder ein dauerhafter Besprechungsapparat noch eine Beratung „in letzter Minute“.

Datei:Circular arrows icon.svg

Rechtsrahmen in einem Satz

Nach Art. 38 DSGVO muss der Datenschutzbeauftragte ordnungsgemäß und frühzeitig in Datenschutzfragen eingebunden werden und seine Aufgaben unabhängig wahrnehmen können. Nach Art. 39 DSGVO informiert und berät er, überwacht die Einhaltung, berät zur Datenschutz-Folgenabschätzung und arbeitet mit der Aufsichtsbehörde zusammen. Die Verantwortung für die Verarbeitung wird dadurch nicht auf den Datenschutzbeauftragten übertragen.

Bei Schulen können die genaue Bestimmung der verantwortlichen Stelle, interne Meldewege und schulorganisatorische Zuständigkeiten durch Landes- und Schulrecht konkretisiert sein. Vor der Umsetzung sind deshalb die jeweils geltenden landesspezifischen Vorgaben zu prüfen.

Rollenklärung

Rolle	Kernaufgabe	Entscheidet?
Datenschutzbeauftragter	Informiert, berät, überwacht, weist auf Risiken hin, berät zur Datenschutz-Folgenabschätzung, ist Anlaufstelle für Betroffene und Aufsicht.	Nein – nicht anstelle der verantwortlichen Stelle.
Schulleitung bzw. zuständige verantwortliche Stelle	Organisiert rechtskonforme Verarbeitung, bewertet Handlungsoptionen, veranlasst Maßnahmen und stellt Rechenschaftsfähigkeit sicher.	Ja – im Rahmen der jeweiligen Zuständigkeit.

Merksatz: Beratung darf unabhängig sein; Verantwortung darf nicht „an den DSB delegiert“ werden.

Was Unabhängigkeit praktisch bedeutet

Der Datenschutzbeauftragte soll seine fachliche Bewertung ohne Weisung zum gewünschten Ergebnis abgeben können. Eine Schulleitung kann nach Prüfung dennoch eine andere Entscheidung treffen, soweit sie dafür zuständig ist. Dann sollte der Entscheidungsweg nachvollziehbar dokumentiert werden: Sachverhalt, Empfehlung, abgewogene Risiken, Entscheidung und Folgemaßnahmen.

Der Datenschutzbeauftragte ist dabei weder „Genehmigungsstelle“ noch „Verhinderer“, sondern unabhängiger fachlicher Berater und Kontrollinstanz.

Das Rückkopplungsmodell: 2 + Anlass

Datei:Feedback-loop-general.svg

Das Modell lässt sich in fünf kurze Schritte fassen:

Früh melden: Ein datenschutzrelevanter Anlass wird nicht bis zum nächsten Regeltermin aufgeschoben.
Sachverhalt klären: Zweck, Daten, Betroffene, Empfänger, Technik, Dienstleister und geplanter Start werden knapp beschrieben.
Fachlich einschätzen: Der Datenschutzbeauftragte bewertet Rechtsfragen, Risiken und mögliche Schutzmaßnahmen.
Entscheiden: Die verantwortliche Stelle entscheidet über Vorgehen, Freigabe, Änderung, Verzicht oder weitere Prüfung.
Rückmelden: Umsetzung, offene Punkte und Wiedervorlage werden dokumentiert.

Wann der Datenschutzbeauftragte frühzeitig beteiligt werden sollte

Eine frühzeitige Rückkopplung ist besonders sinnvoll, wenn mindestens einer dieser Auslöser vorliegt:

Neue Software: neues Lernmanagementsystem, Cloud-Dienst, KI-Dienst, Kommunikations- oder Verwaltungstool.
Neue Datenverarbeitung: neuer Zweck, neue Datenarten, neue Empfänger oder deutlich geänderter Ablauf.
Erhöhtes Risiko: umfangreiche, sensible oder besonders eingriffsintensive Verarbeitung.
Mögliche Datenschutz-Folgenabschätzung: die geplante Verarbeitung könnte voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursachen.
Beschwerde: eine betroffene Person wendet sich mit einer datenschutzbezogenen Beanstandung an Schule oder Datenschutzbeauftragten.
Datenschutzvorfall: Verlust, Fehlversand, unberechtigter Zugriff, Veröffentlichung oder andere Verletzung des Schutzes personenbezogener Daten.
Behördenkontakt: Anfrage, Prüfung oder sonstiger Kontakt mit der Datenschutzaufsicht.

Praxisregel: Je später ein neues Verfahren technisch oder vertraglich festgelegt ist, desto geringer ist der Spielraum für datenschutzfreundliche Gestaltung.

Kompakte Jahresübersicht

Datei:Adapted Wikipedia20symbol meeting.svg

Zeitpunkt	Format	Kernfragen	Ergebnis
Schuljahresbeginn oder früher Herbst	Rückkopplung 1, etwa 30 bis 45 Minuten	Welche neuen Verfahren, Verträge, Plattformen oder Projekte stehen an? Welche offenen Risiken gibt es?	Prioritäten, Zuständigkeiten, Wiedervorlagen
Halbjahr oder Frühjahr	Rückkopplung 2, etwa 30 Minuten	Was wurde umgesetzt? Welche Beschwerden, Vorfälle oder wiederkehrenden Risiken zeigen Handlungsbedarf?	Status, Nachsteuerung, Themen fürs nächste Schuljahr
Ganzjährig	Anlassbezogene Kurzberatung	Muss vor einer Entscheidung oder wegen eines Ereignisses sofort beraten werden?	Fachliche Einschätzung und Entscheidungsvorlage

Variante mit nur einem Regeltermin: Ein kompaktes Jahresgespräch bündelt Planung, Rückblick und offene Punkte. Der Anlassweg bleibt trotzdem das ganze Jahr aktiv.

Agenda für ein Statusgespräch

Punkt	Leitfrage
Neue Vorhaben	Was soll bis zum nächsten Termin neu eingeführt oder wesentlich verändert werden?
Offene Beratung	Welche Empfehlungen sind noch nicht entschieden oder umgesetzt?
Risiken	Welche wiederkehrenden oder neuen Datenschutzrisiken sind erkennbar?
Beschwerden	Gibt es Muster oder organisatorischen Lernbedarf, ohne unnötige vertrauliche Einzelfalldetails offenzulegen?
Vorfälle	Welche Maßnahmen aus Datenschutzverletzungen sind noch offen?
Nächste Schritte	Wer entscheidet oder erledigt was bis wann?

Frühzeitige Beteiligung bei neuen Verfahren

Vor Beschaffung, Pilotierung oder Freischaltung eines neuen digitalen Verfahrens reichen für die erste Rückkopplung oft wenige Informationen:

Kurzfrage	Beispiel
Zweck	Was soll das Verfahren pädagogisch oder organisatorisch leisten?
Daten	Welche personenbezogenen Daten werden benötigt?
Betroffene	Lernende, Eltern, Lehrkräfte oder Beschäftigte?
Empfänger	Wer erhält Zugriff oder Daten?
Dienstleister	Gibt es Auftragsverarbeitung, Unterauftragnehmer oder externe Plattformen?
Risiko	Was könnte für Betroffene schiefgehen?
Zeitpunkt	Wann muss die Entscheidung fallen?

Der Datenschutzbeauftragte kann dadurch früh auf Rechtsgrundlage, Datenminimierung, Transparenz, Löschfristen, Zugriffe, Verträge, technische und organisatorische Maßnahmen sowie gegebenenfalls eine Datenschutz-Folgenabschätzung hinweisen.

Datenschutzrisiken

Fehler beim Erstellen des Vorschaubildes:

Für die Zusammenarbeit genügt häufig eine einfache Priorisierung:

Stufe	Bedeutung	Rückkopplung
Beobachten	Bekanntes Verfahren, geringe Änderung, kein erkennbarer neuer Risikotreiber	Im nächsten Statusgespräch
Beraten	Neues oder wesentlich geändertes Verfahren, neue Datenflüsse oder offene Rechtsfrage	Vor Festlegung oder Inbetriebnahme
Sofort	Mögliche Datenschutzverletzung, akute Beschwerdelage oder voraussichtlich hohes Risiko	Unverzüglich über den Anlassweg

Diese Stufen sind eine Organisationshilfe. Sie ersetzen keine rechtliche Risikobewertung.

Datenschutz-Folgenabschätzung

Besteht bei einer geplanten Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen, muss die verantwortliche Stelle prüfen, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Der Datenschutzbeauftragte wird dabei um Rat gebeten. Durchgeführt und verantwortet wird die Folgenabschätzung nicht vom DSB anstelle der verantwortlichen Stelle.

Beschwerden

Fehler beim Erstellen des Vorschaubildes:

Betroffene dürfen sich zu Fragen der Verarbeitung ihrer personenbezogenen Daten an den Datenschutzbeauftragten wenden. Für eine tragfähige Rückkopplung gelten drei Regeln:

Zugang erhalten: Beschwerden dürfen den Datenschutzbeauftragten direkt erreichen.
Vertraulichkeit achten: Im Statusgespräch werden nur die Informationen geteilt, die für eine Maßnahme oder ein organisatorisches Lernen erforderlich sind.
Verantwortung klären: Der Datenschutzbeauftragte bewertet fachlich; erforderliche organisatorische Entscheidungen trifft die zuständige verantwortliche Stelle.

Bei wiederkehrenden Beschwerden ist die wichtigste Frage nicht „Wer hat sich beschwert?“, sondern „Welcher Prozess erzeugt wiederholt dasselbe Problem?“.

Datenschutzvorfälle

Ein möglicher Datenschutzvorfall gehört nicht auf die Agenda des nächsten Regelgesprächs. Dafür braucht es einen Sofortweg.

Schritt	Zuständigkeit im Rückkopplungsmodell
1. Vorfall sichern	Fakten festhalten, weitere Offenlegung begrenzen, Beweise und Zeitpunkte sichern.
2. Verantwortliche Stelle informieren	Der interne Meldeweg wird unverzüglich genutzt.
3. DSB beteiligen	Der Datenschutzbeauftragte berät zur Einordnung, zum Risiko und zu möglichen Maßnahmen.
4. Meldepflicht bewerten	Die verantwortliche Stelle entscheidet und erfüllt gegebenenfalls die Meldung an die Aufsichtsbehörde.
5. Betroffene prüfen	Bei voraussichtlich hohem Risiko ist zusätzlich die Benachrichtigung betroffener Personen zu prüfen.
6. Lernen	Ursachen und Präventionsmaßnahmen werden später im Statusgespräch nur so weit aufgegriffen, wie es für organisatorische Verbesserungen nötig ist.

Nach Art. 33 DSGVO ist eine meldepflichtige Verletzung des Schutzes personenbezogener Daten durch die verantwortliche Stelle möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden. Nicht jede Datenschutzverletzung ist meldepflichtig; die verantwortliche Stelle muss die Voraussetzungen bewerten. Datenschutzverletzungen sind außerdem zu dokumentieren.

Gesprächssimulationen

Fehler beim Erstellen des Vorschaubildes:

Simulation 1: Neue KI-Anwendung

Situation: Eine Schule möchte in zwei Wochen einen neuen KI-Dienst einsetzen.

Rolle	Gesprächsimpuls
Schulleitung	„Wir möchten den Dienst kurzfristig pilotieren. Welche Punkte müssen wir vor der Entscheidung klären?“
Datenschutzbeauftragter	„Ich brauche zuerst Zweck, Datenarten, Nutzerkreis, Anbieter, Vertragsmodell, Speicherorte, Zugriffe und Löschkonzept. Danach kann ich Risiken und Handlungsoptionen bewerten.“
Schulleitung	„Bitte gib uns eine fachliche Einschätzung mit Mindestmaßnahmen und offenen Punkten. Wir treffen anschließend die Entscheidung.“

Lernziel: Frühzeitige Beratung statt nachträglicher Abnahme.

Simulation 2: Beschwerde eines Elternteils

Situation: Ein Elternteil beanstandet, dass personenbezogene Informationen in einer Lerngruppe sichtbar waren.

Rolle	Gesprächsimpuls
Datenschutzbeauftragter	„Ich kläre zunächst den datenschutzrechtlich relevanten Sachverhalt und behandle die Anfrage vertraulich.“
Schulleitung	„Welche organisatorische Maßnahme ist aus deiner Sicht erforderlich und welche Information benötigst du von uns?“
Datenschutzbeauftragter	„Ich gebe eine unabhängige Bewertung. Die Entscheidung über die organisatorische Umsetzung liegt bei der verantwortlichen Stelle.“

Lernziel: Beschwerdebearbeitung ohne Rollenvermischung.

Simulation 3: Falsch versendete Schülerdaten

Situation: Eine Datei mit personenbezogenen Schülerdaten wurde an einen falschen Empfänger geschickt.

Rolle	Gesprächsimpuls
Schulleitung	„Wir behandeln das als möglichen Datenschutzvorfall und starten sofort den Meldeweg.“
Datenschutzbeauftragter	„Ich berate zur Risikoeinschätzung: Welche Daten, wie viele Betroffene, welcher Empfänger, welche Schutzmaßnahmen und welche Folgen sind realistisch?“
Schulleitung	„Wir dokumentieren die Bewertung und entscheiden fristgerecht über Meldung und weitere Maßnahmen.“

Lernziel: Zeitkritische Beratung, ohne die Meldeverantwortung auf den Datenschutzbeauftragten zu verschieben.

Wenn Schulleitung und DSB unterschiedlich bewerten

Unterschiedliche fachliche Bewertungen sind möglich. Ein belastbarer Ablauf ist:

Sachverhalt und offene Rechtsfrage gemeinsam präzisieren.
Datenschutzbeauftragter hält Bewertung, Risiko und empfohlene Maßnahme nachvollziehbar fest.
Zuständige verantwortliche Stelle wägt ab und trifft die Entscheidung.
Abweichungen von einer wesentlichen Empfehlung werden mit Gründen und Schutzmaßnahmen dokumentiert.
Bei Bedarf wird die zuständige Aufsichtsbehörde im Rahmen der gesetzlichen Aufgaben des Datenschutzbeauftragten einbezogen.

Ziel ist keine künstliche Einigkeit, sondern eine nachvollziehbare und rechtskonforme Entscheidungsstruktur.

Minimaldokumentation der Rückkopplung

Für kurze Beratungen genügt regelmäßig ein schlanker Nachweis:

Feld	Inhalt
Anlass	Worum ging es?
Datum	Wann wurde beraten?
DSB-Einschätzung	Kernrisiko und Empfehlung
Entscheidung	Was hat die zuständige Stelle entschieden?
Maßnahme	Wer erledigt was bis wann?
Wiedervorlage	Wann wird der Punkt erneut betrachtet?

Vertrauliche Beschwerdeinhalte oder unnötige personenbezogene Details gehören nicht in eine allgemeine Jahresübersicht.

Aktuelle offizielle Grundlagen

Quellenprüfung: 7. Oktober 2026.

Quelle	Bedeutung für diesen Kurs
Datenschutz-Grundverordnung auf EUR-Lex	Art. 33 bis 39: Datenschutzverletzungen, Folgenabschätzung, Stellung und Aufgaben des Datenschutzbeauftragten.
Europäischer Datenschutzausschuss: Data Protection Officer	Unabhängigkeit des DSB und fortbestehende Verantwortung der Organisation.
BfDI: Info 6 – Datenschutzbeauftragte	Erläuterungen zu Aufgaben, Einbindung und Verantwortung im öffentlichen Bereich.
Medienberatung NRW: FAQ Datenschutz an Schulen	Aktuelle schulbezogene Hinweise zu Verantwortlichkeit, Beratung, Beschwerden und Datenschutzvorfällen.
Kultus Baden-Württemberg: Datenschutz an Schulen	Aktuelle landesspezifische Materialien und Hinweise zur schulischen Datenschutzorganisation.
LfDI Baden-Württemberg: Meldung von Datenpannen	Hinweise zur Bewertung und Meldung von Verletzungen des Schutzes personenbezogener Daten.

Hinweis: Schulrechtliche Zuständigkeiten unterscheiden sich zwischen den Ländern. Die genannten Landesquellen dienen deshalb als offizielle Praxisbeispiele und ersetzen nicht die Prüfung des jeweils einschlägigen Landesrechts.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Warum soll der Datenschutzbeauftragte bei neuen Verfahren frühzeitig beteiligt werden? (Damit Risiken und Schutzmaßnahmen vor Festlegung des Verfahrens beraten werden können) (!Damit der Datenschutzbeauftragte jede Software selbst freigibt) (!Damit die Schulleitung keine Entscheidung mehr treffen muss) (!Damit Datenschutz erst nach der Einführung dokumentiert wird)

Wer trägt im Rückkopplungsmodell die Entscheidungs- und Rechenschaftsverantwortung? (Die jeweils zuständige verantwortliche Stelle) (!Der Datenschutzbeauftragte allein) (!Der Softwareanbieter) (!Die betroffene Person)

Wie soll der Datenschutzbeauftragte seine fachliche Bewertung abgeben? (Unabhängig und ohne Weisung zum gewünschten Ergebnis) (!Nur nach Zustimmung der Schulleitung) (!Nur mündlich und ohne Dokumentation) (!Ausschließlich gegenüber der Aufsichtsbehörde)

Welches Organisationsmodell empfiehlt dieser Kurs? (Ein bis zwei strukturierte Rückkopplungen plus anlassbezogene Beteiligung) (!Ein tägliches Datenschutzmeeting) (!Nur ein Gespräch nach einem Vorfall) (!Ausschließlich schriftliche Jahresberichte ohne Beratung)

Was ist bei einer möglichen Datenschutzverletzung richtig? (Sie wird über einen Sofortweg behandelt und nicht bis zum Regeltermin aufgeschoben) (!Sie wird erst im nächsten Schuljahr besprochen) (!Nur der Datenschutzbeauftragte darf davon erfahren) (!Sie ist immer automatisch der Polizei zu melden)

Wer entscheidet über eine erforderliche Meldung einer Datenschutzverletzung an die Aufsichtsbehörde? (Die zuständige verantwortliche Stelle) (!Der Datenschutzbeauftragte anstelle der verantwortlichen Stelle) (!Der betroffene Schüler) (!Der technische Dienstleister in jedem Fall)

Welche Rolle hat der Datenschutzbeauftragte bei einer Datenschutz-Folgenabschätzung? (Er berät die verantwortliche Stelle) (!Er übernimmt automatisch die gesamte Verantwortung) (!Er ersetzt die Risikobewertung der verantwortlichen Stelle) (!Er entscheidet über den pädagogischen Nutzen des Verfahrens)

Wie sollten Beschwerden im regelmäßigen Statusgespräch behandelt werden? (Nur mit den für Maßnahmen und Lernen erforderlichen Informationen) (!Mit vollständiger Offenlegung aller vertraulichen Details) (!Gar nicht weil Beschwerden nur Privatsache sind) (!Nur wenn die beschwerdeführende Person zustimmt dass ihr Name im Kollegium genannt wird)

Was geschieht wenn die verantwortliche Stelle einer wesentlichen DSB-Empfehlung nicht folgt? (Die Entscheidung und ihre Gründe sollten nachvollziehbar dokumentiert werden) (!Die Empfehlung wird automatisch unwirksam) (!Der Datenschutzbeauftragte übernimmt die Entscheidung) (!Das Verfahren gilt automatisch als genehmigt)

Welcher Anlass gehört typischerweise in den frühzeitigen Beteiligungsweg? (Ein neues digitales Verfahren mit personenbezogenen Daten) (!Die Bestellung von datenschutzneutralem Büromaterial) (!Die Wahl der Farbe eines Klassenraums) (!Die Planung eines Sportfestes ohne personenbezogene Datenverarbeitung)

Memory

Frühzeitige Beteiligung	Beratung vor Festlegung
Weisungsfreiheit	Unabhängige Fachbewertung
Verantwortliche Stelle	Entscheidung und Rechenschaft
Datenschutzvorfall	Sofortiger Anlassweg
Statusgespräch	Strukturierter Überblick
Datenschutz-Folgenabschätzung	Prüfung hohen Risikos
Beschwerdeweg	Vertrauliche Ansprechmöglichkeit

Drag and Drop

Ordne die richtigen Begriffe zu.	Thema
Frühzeitige Beratung	Neue Lernplattform
Vertrauliche Bearbeitung	Datenschutzbeschwerde
Sofortiger Meldeweg	Falsch versendete Schülerdaten
Strukturiertes Statusgespräch	Jahresrückblick
Folgenabschätzungsprüfung	Voraussichtlich hohes Risiko

Kreuzworträtsel

Beratung	Welche Kernleistung erbringt der Datenschutzbeauftragte gegenüber der verantwortlichen Stelle?
Verantwortung	Was verbleibt bei der zuständigen verantwortlichen Stelle?
Weisungsfreiheit	Welches Prinzip schützt die unabhängige Aufgabenwahrnehmung des Datenschutzbeauftragten?
Datenpanne	Welcher umgangssprachliche Begriff bezeichnet eine Verletzung des Schutzes personenbezogener Daten?
Beschwerde	Welcher Anlass kann eine zusätzliche Rückkopplung auslösen?
Risikoprüfung	Was ist vor einer möglichen Datenschutz-Folgenabschätzung besonders wichtig?

LearningApps

Lückentext

Der Datenschutzbeauftragte soll in Datenschutzfragen

beteiligt werden.

Seine fachliche Einschätzung erfolgt

.

Die Entscheidung verbleibt bei der

.

Das Praxismodell sieht

strukturierte Rückkopplungen pro Schuljahr vor.

Bei relevanten Ereignissen erfolgt zusätzlich eine

Beteiligung.

Ein möglicher Datenschutzvorfall gehört in den

.

Bei voraussichtlich hohem Risiko kann eine

erforderlich sein.

Eine meldepflichtige Datenschutzverletzung ist möglichst binnen

nach Bekanntwerden zu melden.

Offene Aufgaben

Leicht

Rollenkarte erstellen: Formuliere auf einer Seite je drei Sätze zu Auftrag, Grenzen und Entscheidungsbefugnissen von Schulleitung und Datenschutzbeauftragtem.
Anlasskarte gestalten: Entwickle eine kompakte Karte mit fünf Ereignissen, bei denen der Datenschutzbeauftragte außerhalb des Regeltermins beteiligt wird.
Jahresübersicht planen: Übertrage das Modell mit ein oder zwei Rückkopplungen in einen realistischen Schuljahreskalender.
Kurzgespräch spielen: Simuliere fünf Minuten lang die frühe Beratung zu einer neuen Lernplattform und wechsle anschließend die Rollen.

Standard

Beschwerdeweg analysieren: Entwickle einen Ablauf vom Eingang einer Datenschutzbeschwerde bis zur Entscheidung über organisatorische Maßnahmen.
Vorfallkarte erstellen: Zeichne den Sofortweg für einen Fehlversand personenbezogener Daten und markiere Beratung, Entscheidung und Dokumentation.
Risiko-Fragen entwickeln: Formuliere zehn Fragen, mit denen neue digitale Verfahren vor der Einführung datenschutzrechtlich vorgeprüft werden können.
Protokollvorlage entwerfen: Erstelle eine Ein-Seiten-Vorlage mit Anlass, DSB-Einschätzung, Entscheidung, Maßnahme, Frist und Wiedervorlage.

Schwer

Rückkopplungsmodell entwickeln: Entwirf für eine konkrete Schule ein Modell, das Schulleitung, Datenschutzbeauftragten, Schulträger und gegebenenfalls weitere Zuständigkeiten sauber trennt.
Dissens simulieren: Spiele ein Gespräch, in dem die Schulleitung einer wesentlichen DSB-Empfehlung nicht folgen möchte. Entwickle eine sachliche Dokumentation der Abwägung.
KI-Fall prüfen: Wähle einen realistischen schulischen KI-Anwendungsfall und entwickle eine Entscheidungsvorlage mit Zweck, Datenflüssen, Risiken, Schutzmaßnahmen und offenen Rechtsfragen.
Erklärvideo produzieren: Produziere ein kurzes Erklärvideo, das den Unterschied zwischen unabhängiger Beratung und Entscheidungsverantwortung anhand eines Schulbeispiels zeigt.

Lernkontrolle

Neue Software: Eine Fachschaft möchte einen Cloud-Dienst schon nächste Woche nutzen. Entwickle einen Ablauf, der frühe Beteiligung ermöglicht, ohne aus dem Datenschutzbeauftragten eine Freigabestelle zu machen.
Beschwerde: Eine betroffene Person wendet sich direkt an den Datenschutzbeauftragten. Zeige, welche Informationen vertraulich bleiben sollten und welche organisatorischen Punkte die Schulleitung trotzdem kennen muss.
Datenschutzverletzung: Nach einem Fehlversand ist unklar, ob eine Meldung erforderlich ist. Ordne Beratung, Risikoeinschätzung, Entscheidung, Frist und Dokumentation den zuständigen Rollen zu.
Dissens: Die DSB-Einschätzung empfiehlt eine Änderung, die Schulleitung hält sie für unverhältnismäßig. Entwickle einen rechtsstaatlich und organisatorisch belastbaren Entscheidungsweg.
Jahresmodell: Eine große Schule kann nur einen festen Datenschutztermin pro Schuljahr einplanen. Entwirf ein funktionierendes Modell, das trotzdem rechtzeitige anlassbezogene Beratung sicherstellt.
Muster erkennen: Drei ähnliche Beschwerden treten innerhalb eines Halbjahres auf. Leite daraus eine Prozessverbesserung ab, ohne unnötige Einzelfalldaten in die Jahresübersicht zu übernehmen.

Lernnachweis

Für einen Lernnachweis zu diesem Thema solltest Du zeigen können, dass Du:

die Rollen von Datenschutzbeauftragtem und verantwortlicher Stelle trennscharf beschreiben kannst,
geeignete Anlässe für eine frühzeitige oder sofortige Beteiligung erkennst,
ein schlankes Jahresmodell mit ein bis zwei strukturierten Rückkopplungen entwickeln kannst,
Beschwerden, Datenschutzrisiken und Datenschutzvorfälle angemessen in den Rückkopplungsprozess einordnest,
die Rolle des Datenschutzbeauftragten bei einer Datenschutz-Folgenabschätzung erklären kannst,
einen Dissens zwischen Beratung und Entscheidung nachvollziehbar dokumentieren kannst,
und aus wiederkehrenden Fällen organisatorische Verbesserungen ableitest.