aiMOOC

Datenschutzbeauftragter – Prüfen, beraten und sensibilisieren statt alles selbst erledigen

QR-Code

Datenschutzbeauftragter – Prüfen, beraten und sensibilisieren statt alles selbst erledigen

Einleitung

Kurzbeschreibung: Dieser aiMOOC richtet sich an Datenschutzbeauftragte und Schulleitungen. Du trainierst die Rollenabgrenzung in der schulischen Datenschutzorganisation: Wer entscheidet? Wer setzt um? Wer liefert Informationen? Wer prüft, berät und sensibilisiert?

Merksatz: Der Datenschutzbeauftragte ist nicht die ausgelagerte Datenschutzabteilung der Schule. Er berät, überwacht, sensibilisiert und ist Anlaufstelle. Die Verantwortung des Verantwortlichen bleibt bestehen.

Rechtsstand: 07.10.2026. Die Grundrollen folgen der DSGVO. Schulorganisatorische Einzelzuständigkeiten können je nach Bundesland, Schulart und Schulträger abweichen. Die Praxisbeispiele orientieren sich an öffentlichen Schulen in Deutschland und werden mit offiziellen Quellen aus EU und Ländern abgesichert.

Das Rollenprinzip in einem Satz

Wer Zwecke und wesentliche Mittel einer Verarbeitung festlegt, trägt Verantwortung. Wer Datenschutzbeauftragter ist, kontrolliert und berät diese Verantwortung – er ersetzt sie nicht.

Was der Datenschutzbeauftragte tun soll

Beratung: Schulleitung, Beschäftigte und weitere zuständige Stellen zu Datenschutzpflichten beraten.
Überwachung: Einhaltung der Datenschutzregeln und der internen Zuständigkeitsverteilung beobachten und prüfen.
Sensibilisierung: Risiken sichtbar machen, Beschäftigte informieren und Schulungen fachlich begleiten oder selbst durchführen, wenn dies sinnvoll organisiert ist.
Datenschutz-Folgenabschätzung: Auf Anfrage beraten und die Durchführung überwachen.
Aufsichtsbehörde: Mit der Datenschutzaufsicht zusammenarbeiten und als Anlaufstelle dienen.
Betroffenenrechte: Für betroffene Personen als vertrauliche Ansprechperson erreichbar sein.

Nicht automatisch Aufgabe des Datenschutzbeauftragten: operative Gesamtumsetzung, Freigabe jeder Software, Führung sämtlicher Verzeichnisse, Bearbeitung jedes Auskunftsersuchens, Administration von Benutzerkonten, Abschluss von Verträgen oder Entscheidung über Zwecke und Mittel der Verarbeitung.

Zusatzaufgaben können übertragen werden, wenn sie die Unabhängigkeit nicht gefährden und keinen Interessenkonflikt erzeugen.

Die schulische Datenschutzorganisation

Rolle	Typischer Kernbeitrag	Nicht automatisch ihre Aufgabe
Schulleitung / verantwortliche Stelle	Entscheiden, organisieren, dokumentieren, Rechenschaft sicherstellen, Maßnahmen veranlassen	Verantwortung vollständig an den DSB abgeben
Datenschutzbeauftragter	Prüfen, beraten, sensibilisieren, überwachen, DSFA begleiten, Ansprechpartner sein	Für die Schule alle Datenschutzentscheidungen treffen
Lehrkräfte	Freigegebene Verfahren korrekt nutzen, Daten minimieren, Vorfälle melden, fachliche Anforderungen benennen	Neue datenverarbeitende Dienste eigenmächtig freigeben
Verwaltung	Vorgänge dokumentieren, Auskünfte vorbereiten, Akten und Fristen operativ bearbeiten	Allein die Rechtsgrundlage oder Risikobewertung bestimmen
IT	Konten, Rechte, Protokolle, Sicherheit, Backups und technische Umsetzung betreuen	Allein über datenschutzrechtliche Zulässigkeit entscheiden
Schulträger	Je nach Landes- und Trägerrecht Infrastruktur, Beschaffung, Verträge und technische Dienste organisieren	Automatisch für jede schulische Verarbeitung verantwortlich sein

Früh einbinden – nicht nachträglich absegnen lassen

Die Schule soll den Datenschutzbeauftragten frühzeitig einbinden, besonders bei neuen Verfahren, Software, sensiblen Daten und erhöhten Risiken. Beratung wirkt am besten vor Beschaffung, Einführung oder Änderung eines Verfahrens.

Zuständigkeitskarten: Wer führt, wer unterstützt?

Ordne die federführende Rolle zu.	Typische Anfrage
Schulleitung / verantwortliche Stelle	Eine neue Lernplattform soll verbindlich eingeführt werden.
Datenschutzbeauftragter	Eine geplante Verarbeitung soll vor der Entscheidung datenschutzrechtlich bewertet werden.
Lehrkraft	Für einen Unterrichtsprozess müssen fachliche Anforderungen und benötigte Daten beschrieben werden.
Verwaltung	Für ein Auskunftsersuchen müssen vorhandene Unterlagen aus der Schülerakte zusammengestellt werden.
IT	Nach einem Sicherheitsvorfall müssen Zugänge gesperrt, Protokolle gesichert und technische Ursachen eingegrenzt werden.
Schulträger	Eine zentrale technische Infrastruktur soll beschafft oder betrieben werden, soweit dies nach der örtlichen Aufgabenverteilung beim Träger liegt.

Feedback: Der DSB ist in mehreren Fällen beteiligt, aber nicht automatisch federführend. Gerade bei neuen Verfahren berät er; die Entscheidung und Rechenschaft bleiben beim Verantwortlichen.

Typische Anfrage 1: „Bitte prüfen und freigeben: neue Lern-App“

Falsch gedacht: „Der DSB gibt die App frei und übernimmt damit die Verantwortung.“

Rollen:

Schulleitung: entscheidet über den schulischen Einsatz im Rahmen der geltenden Zuständigkeit.
Lehrkraft: beschreibt pädagogischen Zweck und notwendige Funktionen.
IT: bewertet Datenflüsse, Konten, Sicherheit, Schnittstellen und technische Maßnahmen.
Schulträger: wirkt bei Infrastruktur, Beschaffung oder Verträgen mit, soweit zuständig.
Datenschutzbeauftragter: prüft die datenschutzrechtlichen Risiken, berät und dokumentiert seine Hinweise.

Begründetes Feedback: Eine Beratung des DSB ersetzt keine Entscheidung des Verantwortlichen. Gerade weil der DSB später die Einhaltung überwachen soll, darf er nicht zum alleinigen Entscheider über Zwecke und wesentliche Mittel werden.

Typische Anfrage 2: „Ein Elternteil verlangt Auskunft“

Federführung: Schule beziehungsweise verantwortliche Stelle.

Unterstützung: Verwaltung sammelt Unterlagen, Lehrkräfte liefern erforderliche Informationen aus ihren Verantwortungsbereichen, IT unterstützt bei technischen Recherchen. Der DSB kann Verfahren, Umfang, Fristen und Schutzrechte beraten.

Begründetes Feedback: Betroffene dürfen sich an den DSB wenden. Das macht den DSB aber nicht zum Verantwortlichen für die Erfüllung des Auskunftsanspruchs.

Typische Anfrage 3: „Falscher E-Mail-Anhang verschickt“

Sofort: Vorfall intern melden, weitere Offenlegung begrenzen, Fakten sichern.

Dann: Die verantwortliche Stelle bewertet das Risiko und entscheidet über erforderliche Meldungen und Benachrichtigungen. Der DSB wird unverzüglich einbezogen und berät. IT begrenzt technische Folgen.

Begründetes Feedback: Die 72-Stunden-Frist des Art. 33 DSGVO trifft den Verantwortlichen. Der DSB kann die Bewertung fachlich begleiten, trägt aber nicht automatisch die operative Meldepflicht anstelle der Schule.

Typische Anfrage 4: „Erstellen Sie bitte unser komplettes Verzeichnis der Verarbeitungstätigkeiten“

Besser organisiert: Die verantwortliche Stelle bleibt für das Verzeichnis von Verarbeitungstätigkeiten verantwortlich. Verfahrensverantwortliche, Verwaltung und IT liefern die tatsächlichen Angaben. Der DSB berät zur Struktur, prüft Plausibilität und überwacht die Einhaltung.

Begründetes Feedback: Wer die gesamte operative Dokumentation allein erstellt und anschließend dieselbe Arbeit überwachen soll, gerät leicht in eine problematische Doppelrolle. Beratung ist sinnvoll; Verantwortungsverschiebung nicht.

Typische Anfrage 5: „Machen Sie bitte die Datenschutz-Folgenabschätzung“

Richtig: Die Durchführung der Datenschutz-Folgenabschätzung ist Aufgabe des Verantwortlichen. Der DSB berät auf Anfrage und überwacht ihre Durchführung.

Begründetes Feedback: Art. 39 DSGVO trennt ausdrücklich zwischen Durchführung durch den Verantwortlichen und Beratung beziehungsweise Überwachung durch den DSB.

Typische Anfrage 6: „Passwort vergessen – Datenschutz soll das lösen“

Richtig: Das ist normalerweise eine Aufgabe von IT oder zuständiger Administration nach festgelegtem Berechtigungskonzept.

DSB-Beitrag: Prüfen, ob Identitätsprüfung, Protokollierung, Berechtigungen und Verfahren datenschutzgerecht organisiert sind.

Typische Anfrage 7: „Wer schult eigentlich das Kollegium?“

Die Schule muss organisatorisch sicherstellen, dass Beschäftigte ihre Datenschutzpflichten kennen. Der DSB hat einen gesetzlichen Sensibilisierungs- und Überwachungsauftrag und kann Schulungen selbst durchführen oder fachlich unterstützen. Daraus folgt aber nicht, dass sämtliche Fortbildung organisatorisch allein bei ihm liegen muss.

Grenzfälle: Erst entscheiden, dann Feedback öffnen

Grenzfall A: Eine Lehrkraft möchte morgen ein neues KI-Tool mit Schülernamen testen.

Feedback: Nicht einfach starten. Die Lehrkraft meldet den Bedarf; die zuständige verantwortliche Stelle klärt Zulässigkeit und Einsatzbedingungen. IT prüft technische Fragen. Der DSB berät frühzeitig. Bei hohem Risiko ist zu prüfen, ob eine DSFA erforderlich ist.

Grenzfall B: Die Schulleitung sagt: „Der DSB hat das geprüft, also haftet jetzt der DSB.“

Feedback: Falsch. Beratung verschiebt die Verantwortlichkeit nicht. Die Organisation beziehungsweise der Verantwortliche bleibt rechenschaftspflichtig.

Grenzfall C: Der DSB entdeckt bei einer Kontrolle fehlende Löschregeln.

Feedback: Der DSB dokumentiert den Befund, berät zu Abhilfe und überwacht die Umsetzung. Die zuständige Leitung veranlasst Regeln, Zuständigkeiten und operative Löschung.

Grenzfall D: Der Schulträger betreibt den Server, auf dem Schuldaten liegen.

Feedback: Der technische Betrieb allein beantwortet nicht automatisch die Frage nach der datenschutzrechtlichen Verantwortlichkeit. Entscheidend sind gesetzliche Zuständigkeiten sowie die tatsächliche Entscheidung über Zwecke und Mittel. Vertrags- und Rollenmodell müssen geprüft werden.

Grenzfall E: Eine Schülerin beschwert sich direkt beim DSB.

Feedback: Das ist zulässig. Der DSB ist Anlaufstelle und kann den Vorgang vertraulich prüfen und beraten. Operative Abhilfe und Entscheidungen liegen bei der zuständigen verantwortlichen Stelle; daneben bleibt der Weg zur Aufsichtsbehörde offen.

Entscheidungshilfe für den Alltag

Frage 1: Muss jemand eine datenschutzrelevante Entscheidung treffen? → Verantwortliche Stelle beziehungsweise zuständige Leitung.

Frage 2: Muss jemand Recht, Risiko oder Verfahren bewerten? → DSB früh beteiligen.

Frage 3: Muss etwas technisch umgesetzt werden? → IT beziehungsweise technischer Dienst.

Frage 4: Müssen Akten, Fristen oder Vorgänge bearbeitet werden? → Verwaltung beziehungsweise zuständige Fachstelle.

Frage 5: Geht es um pädagogischen Zweck und Unterrichtsablauf? → Lehrkraft beziehungsweise zuständige pädagogische Stelle.

Frage 6: Geht es um zentrale Infrastruktur, Beschaffung oder trägerseitige Verträge? → Schulträger entsprechend der örtlichen Aufgabenverteilung.

Was gute Zusammenarbeit ausmacht

Frühzeitige Einbindung: Datenschutz nicht erst kurz vor dem Start prüfen.
Dokumentierte Zuständigkeit: Für jedes Verfahren ist klar, wer entscheidet, liefert, umsetzt und kontrolliert.
Trennung der Rollen: Beratung und Überwachung dürfen nicht durch operative Alleinzuständigkeit entwertet werden.
Risikoorientierung: Gesundheitsdaten, Leistungsdaten, Überwachung und neue Technologien benötigen besondere Aufmerksamkeit.
Nachvollziehbarkeit: Entscheidungen und Abwägungen werden dokumentiert.

Quellen und Rechtsstand

Primärrecht und offizielle Orientierung, geprüft am 07.10.2026:

Hinweis: Bundesland, Schulart, Trägerschaft und konkrete Zuständigkeitsregelungen können die organisatorische Verteilung verändern. Für eine konkrete Schule sind deshalb zusätzlich die einschlägigen landesrechtlichen Vorgaben und örtlichen Zuständigkeitsregelungen zu prüfen.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Wer bleibt grundsätzlich für die Einhaltung der Datenschutzpflichten verantwortlich, auch wenn ein Datenschutzbeauftragter berät? (Die verantwortliche Stelle) (!Der Datenschutzbeauftragte allein) (!Die IT-Abteilung allein) (!Jede betroffene Person)

Welche Tätigkeit gehört zu den Kernaufgaben eines Datenschutzbeauftragten? (Beraten und die Einhaltung überwachen) (!Alle Benutzerkonten administrieren) (!Jede Software selbst beschaffen) (!Alle Verträge allein unterschreiben)

Wer führt eine erforderliche Datenschutz-Folgenabschätzung grundsätzlich durch? (Der Verantwortliche) (!Der Datenschutzbeauftragte zwingend allein) (!Die Aufsichtsbehörde) (!Die Elternvertretung)

Welche Rolle sollte bei der Einführung neuer personenbezogen arbeitender Software frühzeitig beteiligt werden? (Der Datenschutzbeauftragte) (!Nur der Hausmeister) (!Nur die Schülervertretung) (!Ausschließlich der Hersteller)

Wer entscheidet bei einer Datenschutzverletzung über die erforderliche Meldung an die Aufsichtsbehörde? (Die verantwortliche Stelle) (!Der Datenschutzbeauftragte immer allein) (!Der Softwareanbieter automatisch) (!Die Lehrkraft ohne Abstimmung)

Welche Aufgabe passt typischerweise zur IT? (Technische Zugriffsrechte und Sicherheitsmaßnahmen umsetzen) (!Die Rechtsgrundlage abschließend bestimmen) (!Die Datenschutzaufsicht ersetzen) (!Die Schulleitung von ihrer Verantwortung entbinden)

Was ist bei einem Auskunftsersuchen richtig? (Die verantwortliche Stelle erfüllt den Anspruch und kann sich vom DSB beraten lassen) (!Der DSB wird automatisch zum Verantwortlichen) (!Die IT entscheidet allein über den Umfang der Auskunft) (!Die Anfrage darf nur über die Aufsichtsbehörde gestellt werden)

Warum ist eine vollständige operative Alleinzuständigkeit des DSB problematisch? (Weil Beratung und Überwachung von eigener operativer Arbeit in Konflikt geraten können) (!Weil Datenschutzbeauftragte keine Fachkenntnisse haben dürfen) (!Weil der DSB niemals mit Beschäftigten sprechen darf) (!Weil Datenschutz nur eine technische Aufgabe ist)

Welche Aussage zum Schulträger ist am treffendsten? (Seine Rolle hängt von der konkreten gesetzlichen und organisatorischen Aufgabenverteilung ab) (!Er ist immer für jede Verarbeitung der Schule allein verantwortlich) (!Er hat grundsätzlich nichts mit IT zu tun) (!Er ersetzt automatisch den Datenschutzbeauftragten)

Was bedeutet Sensibilisierung im Datenschutz am ehesten? (Beschäftigte für Pflichten Risiken und datenschutzgerechtes Handeln aufmerksam machen) (!Alle Daten löschen) (!Jeden Unterricht digitalisieren) (!Jede Entscheidung an die Aufsichtsbehörde abgeben)

Memory

Datenschutzbeauftragter	Beratung und Überwachung
Schulleitung	Organisation und Entscheidung
Lehrkraft	Pädagogischer Zweck
Verwaltung	Operative Vorgangsbearbeitung
IT	Technische Umsetzung
Schulträger	Infrastruktur und Beschaffung
Aufsichtsbehörde	Externe Datenschutzkontrolle

Drag and Drop

Ordne die richtigen Begriffe zu.	Thema
Verantwortliche Stelle	Rechenschaft für die Verarbeitung sicherstellen
Datenschutzbeauftragter	Datenschutzrechtlich beraten und Einhaltung überwachen
Verwaltung	Unterlagen zu einem Auskunftsersuchen zusammenstellen
IT	Konten sperren und technische Protokolle sichern
Lehrkraft	Pädagogischen Zweck eines digitalen Verfahrens beschreiben
Schulträger	Trägerseitige Infrastruktur entsprechend der Aufgabenverteilung organisieren

...

Kreuzworträtsel

Beratung	Wie heißt eine Kernaufgabe des DSB bei datenschutzrechtlichen Fragen?
Kontrolle	Welcher Begriff beschreibt das Prüfen der Einhaltung von Regeln?
Schulleitung	Wer organisiert auf Schulebene typischerweise die Umsetzung und Zuständigkeiten?
Verantwortlicher	Wie heißt die Rolle die über Zwecke und Mittel einer Verarbeitung entscheidet?
Weisungsfreiheit	Welches Prinzip schützt die unabhängige Aufgabenwahrnehmung des DSB?
Aufsichtsbehörde	Welche externe Stelle überwacht die Einhaltung des Datenschutzrechts?

LearningApps

Lückentext

Der Datenschutzbeauftragte hat vor allem eine

und überwachende Rolle.

Die datenschutzrechtliche

bleibt beim Verantwortlichen.

Bei neuen Verfahren soll der DSB

eingebunden werden.

Eine Datenschutz-Folgenabschätzung wird vom

durchgeführt.

Der DSB berät zur Folgenabschätzung und

ihre Durchführung.

Technische Sicherheitsmaßnahmen werden operativ typischerweise durch die

umgesetzt.

Betroffene Personen können sich direkt an den

wenden.

Zusatzaufgaben des DSB dürfen keinen

erzeugen.

Offene Aufgaben

Leicht

Rollenkarte: Erstelle für Deine Schule je eine Karte für Schulleitung, DSB, Lehrkraft, Verwaltung, IT und Schulträger. Notiere pro Rolle zwei typische Aufgaben.
Anfrage-Sortierung: Sammle zehn echte oder typische Datenschutzanfragen aus dem Schulalltag und ordne jeweils eine federführende sowie zwei unterstützende Rollen zu.
Fehlvorstellungen: Formuliere drei häufige Sätze wie „Das macht der Datenschutzbeauftragte“ um und ersetze sie durch eine passende Zuständigkeitsbeschreibung.
Prozessskizze: Zeichne den Ablauf einer einfachen Auskunftsanfrage von Eingang bis Antwort.

Standard

Softwareprüfung: Entwickle einen Ablauf für die Einführung einer neuen Lern-App mit Entscheidungspunkten für Schulleitung, DSB, IT, Lehrkraft und gegebenenfalls Schulträger.
Datenpanne: Simuliere einen falsch versandten E-Mail-Anhang. Beschreibe, wer in den ersten 30 Minuten welche Information benötigt und wer welche Maßnahme ausführt.
Verarbeitungsverzeichnis: Wähle einen Schulprozess und verteile die Informationszulieferung für Zweck, Datenarten, Empfänger, Fristen und technische Maßnahmen auf passende Rollen.
Sensibilisierung: Entwirf eine fünfminütige Mikro-Fortbildung für ein Kollegium zum Unterschied zwischen Verantwortung und Beratung.

Schwer

Grenzfallanalyse: Analysiere einen Fall, in dem der DSB zugleich IT-Administration übernehmen soll. Begründe, wo ein Interessenkonflikt entstehen könnte und welche Alternative möglich wäre.
Datenschutz-Folgenabschätzung: Entwickle für ein risikoreiches digitales Verfahren eine Verantwortungsmatrix mit Durchführung, Beratung, technischer Zuarbeit, Entscheidung und Kontrolle.
Schulträger und Schule: Recherchiere die konkrete Aufgabenverteilung in Deinem Bundesland und vergleiche sie mit der allgemeinen Rollenlogik dieses Kurses.
Datenschutzorganisation: Entwirf ein Organigramm mit Eskalationswegen für Auskunftsersuchen, Datenpannen, neue Software und Beschwerden.

Lernkontrolle

Transferfall Lernplattform: Eine Fachschaft möchte eine neue Plattform einsetzen, die Schülerprofile erstellt. Entwickle einen Ablauf von der Idee bis zur Entscheidung und begründe für jede Phase die Rollenverteilung.
Transferfall Datenpanne: Nach Verlust eines unverschlüsselten Datenträgers mit Leistungsdaten behaupten drei Beteiligte, der DSB müsse nun alles erledigen. Korrigiere die Rollenverteilung und begründe die ersten Maßnahmen.
Konfliktanalyse: Prüfe, ob ein DSB gleichzeitig alleinige Verantwortung für das Verzeichnis der Verarbeitungstätigkeiten und dessen Kontrolle übernehmen sollte. Argumentiere mit Unabhängigkeit und Kontrollfunktion.
Organisationsvergleich: Vergleiche eine Schule, in der Zuständigkeiten dokumentiert sind, mit einer Schule, in der jede Datenschutzfrage beim DSB landet. Bewerte Auswirkungen auf Geschwindigkeit, Verantwortungsbewusstsein und Kontrolle.
Beratungsnotiz: Verfasse eine kurze Stellungnahme an eine Schulleitung, die von Dir als DSB eine endgültige Freigabe eines neuen Verfahrens verlangt. Erkläre, was Du leisten kannst und welche Entscheidung bei der Leitung beziehungsweise verantwortlichen Stelle verbleibt.
Prozessverbesserung: Entwickle drei organisatorische Maßnahmen, durch die der DSB frühzeitig beteiligt wird, ohne zum operativen Engpass für sämtliche Datenschutzaufgaben zu werden.

Lernnachweis

Für einen Lernnachweis solltest Du zeigen, dass Du nicht nur Begriffe kennst, sondern Zuständigkeiten begründen und auf neue Fälle übertragen kannst.

Rollenabgrenzung: Du kannst Verantwortung, Beratung, Überwachung und operative Umsetzung unterscheiden.
Praxiszuordnung: Du kannst typische Schulvorgänge den beteiligten Rollen nachvollziehbar zuordnen.
Grenzfälle: Du erkennst Interessenkonflikte und vermeidest eine Übertragung der Gesamtverantwortung auf den DSB.
Datenschutz-Folgenabschätzung: Du kannst Durchführung und Beratung klar trennen.
Datenpanne: Du kannst die Rollen von verantwortlicher Stelle, DSB und IT in einer zeitkritischen Situation erklären.
Schulorganisation: Du berücksichtigst, dass landesrechtliche und trägerspezifische Zuständigkeiten zusätzlich geprüft werden müssen.
Transfer: Du kannst für ein neues digitales Verfahren eine funktionsfähige Verantwortungsmatrix erstellen.

OERs zum Thema

Weitere offene und offizielle Lernressourcen:

Medienhinweis: Auch das Einbetten externer Videos kann selbst eine Datenverarbeitung auslösen. Betreiber schulischer Lernplattformen müssen deshalb die Einbettung externer Dienste in die eigene Datenschutzorganisation einbeziehen.