Datenschutz & DSGVO
in der Schule

Welche Regeln gelten an der Schule?

Schulen verarbeiten täglich personenbezogene Daten: Namen, Noten, Fehlzeiten, Förderbedarfe, Fotos. Den Rahmen setzt die Datenschutz-Grundverordnung (DSGVO). Ergänzt wird sie durch das Datenschutzgesetz deines Landes und vor allem durch das Schulrecht, das in Bayern Vorrang hat (Art. 1 Abs. 5 BayDSG): dort Art. 85 BayEUG und die Vollzugsbekanntmachung des Kultusministeriums zum Datenschutz an staatlichen Schulen (VollzBek DS – Schulen), in Nordrhein-Westfalen die §§ 120 bis 122 des Schulgesetzes und die Verordnung VO-DV I.

Die wichtigste Weichenstellung: Was die Schule für ihre gesetzlichen Aufgaben braucht, darf sie ohne Einwilligung verarbeiten (Art. 85 Abs. 1 BayEUG, § 120 Abs. 1 SchulG NRW) – etwa Leistungsdaten für das Zeugnis. Eine Einwilligung braucht es nur für das, was darüber hinausgeht, zum Beispiel Schülerfotos auf der Homepage.

Grundprinzipien des Datenschutzes in der Schule

Was du als Lehrkraft darfst – und was nicht

Verantwortlich im Sinne der DSGVO ist die Schule, nicht du persönlich. Du handelst aber für sie und hältst dich deshalb an die Regeln, die Land und Schule vorgeben.

Notenlisten und Schülerunterlagen

Noten, Bemerkungen und Fehlzeiten dürfen nur Personen sehen, die sie für ihre Aufgabe brauchen (§ 120 Abs. 1 SchulG NRW). In Bayern muss jede Lehrkraft dienstliche Aufzeichnungen mit Personenbezug vor dem Zugriff Unbefugter sichern (Nr. 3.1 VollzBek). Praktisch heißt das: kein offen liegendes Notenheft im Lehrerzimmer, keine Notenliste im Beamerbild. Als Beamtin oder Beamter bist du zudem zur Verschwiegenheit verpflichtet (§ 37 BeamtStG).

Private Geräte

Noten am eigenen Laptop zu verwalten, ist nur unter den Bedingungen deines Landes zulässig:

• Bayern: Schulische Daten gehören grundsätzlich auf schulische Geräte. Fehlt ein geeignetes Dienstgerät, darfst du ausnahmsweise ein privates nutzen – vorausgesetzt, die Datenschutz-Geschäftsordnung deiner Schule regelt das, du hältst die technischen Mindestvorgaben des Kultusministeriums ein und zeigst das Gerät der Schule an (Nr. 3.2.4 VollzBek DS – Schulen).
• Nordrhein-Westfalen: Du brauchst eine schriftliche Genehmigung der Schulleitung; sie setzt einen angemessenen Zugangsschutz voraus. Welche Daten auf das Privatgerät dürfen, zählt Anlage 3 der VO-DV I abschließend auf – etwa Noten und Fehlzeiten in deinen Fächern; ärztliche Atteste gehören nicht dazu. Mit einem persönlichen Dienstgerät erlischt die Genehmigung (§ 2 Abs. 2 VO-DV I). Auf dem Privatgerät bleiben die Daten höchstens ein Jahr ab Ende des Kalenderjahres, in dem du die Schülerin oder den Schüler zuletzt unterrichtet hast (§ 9 Abs. 2 VO-DV I).

Messenger und E-Mail

Dienstlich kommunizierst du über die Kanäle, die deine Schule freigegeben hat: dienstliche E-Mail, Schulplattform oder den Messenger eines Landesangebots. In Bayern entscheidet darüber die Schulleitung im Einvernehmen mit dem Schulaufwandsträger und unter Einbeziehung des Datenschutzbeauftragten. Die Medienberatung NRW hält Messenger wie WhatsApp auf einem Gerät mit dienstlichen Daten nur für vertretbar, wenn diese Daten dadurch nicht gefährdet werden – viele Apps lesen Adressbuch und Fotos aus – und verweist auf LOGINEO NRW mit eigenem Messenger. Noten oder Gesundheitsinformationen schickst du deshalb nicht über private Chats.

Cloud-Dienste, Lernplattformen und KI-Werkzeuge

Lässt die Schule Daten von einem externen Anbieter verarbeiten, braucht sie mit ihm einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO); bei voraussichtlich hohem Risiko zusätzlich vorab eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO). Ob ein Dienst eingesetzt werden darf, prüft also die Schule – nicht du allein. Wie du KI-Werkzeuge nutzt, ohne Schülerdaten preiszugeben, liest du im Beitrag KI im Unterricht.

Klassenfotos, Schulfotos und Veröffentlichungen

Ein Foto, auf dem jemand zu erkennen ist, enthält personenbezogene Daten – auch ohne Namen, denn in der Schulgemeinschaft kennt man sich. Schon Aufnahmen für rein schulinterne Zwecke greifen nach dem Bayerischen Landesbeauftragten für den Datenschutz in das Recht am eigenen Bild ein.

In Bayern dürfen Foto-, Ton- und Videoaufnahmen durch die Schule im Regelfall nur mit einer konkreten Einwilligung entstehen (Nr. 4.2.1 VollzBek DS – Schulen). Ausgenommen sind kurzlebige Aufnahmen zu pädagogischen Zwecken, etwa das Video einer Sportübung, das die Klasse gemeinsam auswertet: Sie sind erlaubt, wenn sie wirklich nötig sind, nur gelegentlich vorkommen und nach der Unterrichtseinheit gelöscht werden (Art. 85 Abs. 1b BayEUG, Nr. 4.2.2 VollzBek). In Nordrhein-Westfalen setzen Bild- und Tonaufzeichnungen des Unterrichts immer eine Einwilligung voraus – auch deine als Lehrkraft (§ 120 Abs. 6, § 121 Abs. 1 SchulG NRW).

Wer muss einwilligen?

Volljährige Schülerinnen und Schüler entscheiden allein. In Bayern willigt bis zum 14. Geburtstag mindestens ein Erziehungsberechtigter ein, ab 14 muss zusätzlich die Schülerin oder der Schüler selbst zustimmen (Nr. 4.1 VollzBek DS – Schulen). Nordrhein-Westfalen kennt keine feste Altersgrenze: Minderjährige können selbst einwilligen, sobald sie Bedeutung und Folgen der Einwilligung verstehen (§ 120 Abs. 2 SchulG NRW). Die oft genannte Grenze von 16 Jahren stammt aus Art. 8 DSGVO und betrifft Online-Dienste, die sich direkt an Kinder richten – nicht Schulfotos.

So sieht eine wirksame Einwilligung aus

Wirksam ist eine Einwilligung nur, wenn sie freiwillig, informiert und zweckbezogen erteilt wird und jederzeit widerrufen werden kann (Art. 4 Nr. 11, Art. 7 DSGVO); wer nicht zustimmt, darf keinen Nachteil haben. Ein gutes, schriftliches Formular beantwortet,

• welche Aufnahmen entstehen und wofür,
• wo sie erscheinen (Jahresbericht, Homepage, Presse),
• wer Zugriff hat und an wen sie weitergegeben werden,
• wie lange sie gespeichert bleiben und
• wie man die Einwilligung zurücknimmt.

Staatliche Schulen in Bayern verwenden für die Öffentlichkeitsarbeit die Musterformulare des Kultusministeriums, die sie nur an vorgesehenen Stellen anpassen dürfen; Ton- und Videoaufnahmen decken diese Formulare nicht ab (Nr. 4.3 VollzBek). Ein bloßer Hinweis im Elternbrief, man könne widersprechen, genügt nach dem Landesbeauftragten nicht. Beauftragt die Schule einen Fotografen, braucht sie einen Vertrag zur Auftragsverarbeitung, und die Klassenliste für den Fototermin enthält nur Kinder mit Einwilligung.

Kunsturhebergesetz oder DSGVO?

Für das Verbreiten von Bildnissen verlangt zusätzlich das Kunsturhebergesetz grundsätzlich die Einwilligung der abgebildeten Person (§ 22 KUG). Seine Ausnahmen, etwa für Bilder von Versammlungen (§ 23 KUG), sind kein Freibrief: Sie enden bei berechtigten Interessen der Abgebildeten, und für die Öffentlichkeitsarbeit verlangt jedenfalls das bayerische Schulrecht ohnehin Einwilligungen.

WhatsApp, Social Media und dein Handy

Chatgruppen, die Eltern selbst organisieren, sind nach Auffassung des bayerischen Kultusministeriums privater Austausch ohne DSGVO-Bezug. Stellst du dort aber Schülerfotos ein, handelst du dienstlich – zulässig nur, wenn die Einwilligung genau diese Weitergabe erfasst. In Bayern sollen Lehrkräfte Aufnahmen grundsätzlich nicht mit dem eigenen Handy machen (Nr. 4.2.1 VollzBek). Was gilt, wenn du selbst gefilmt oder im Netz bloßgestellt wirst, erklärt der Beitrag Lehrer und Social Media: Was rechtlich gilt.

Datenpanne: Was tun, wenn etwas schiefgeht?

Ein USB-Stick mit der Notenliste ist verschwunden, eine E-Mail mit Förderinformationen ging an den falschen Verteiler: Das sind Verletzungen des Schutzes personenbezogener Daten, auch wenn sie aus Versehen geschehen (Art. 4 Nr. 12 DSGVO). Die Schule muss sie unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden, außer es entsteht voraussichtlich kein Risiko für die Betroffenen (Art. 33 DSGVO); bei hohem Risiko werden auch diese benachrichtigt (Art. 34 DSGVO). Dokumentiert wird jede Panne (Art. 33 Abs. 5 DSGVO).

Für dich heißt das: Informiere sofort die Schulleitung und den Datenschutzbeauftragten, statt erst selbst weiterzusuchen oder das Wochenende abzuwarten. Ob gemeldet werden muss, bewertet die Schule. Aufsichtsbehörde ist in Bayern der Landesbeauftragte für den Datenschutz, in Nordrhein-Westfalen die Landesbeauftragte für Datenschutz und Informationsfreiheit.

Verantwortung: Was die Schulleitung trägt – und was dir persönlich droht

Die letzte Verantwortung für den Datenschutz liegt bei der Schulleiterin oder dem Schulleiter – so ausdrücklich die bayerische Vollzugsbekanntmachung (Nr. 2) und das Schulministerium NRW. Die Schulleitung regelt die Abläufe (in Bayern in einer Datenschutz-Geschäftsordnung nach verbindlichem Muster), sorgt für einen benannten Datenschutzbeauftragten (Art. 37 DSGVO) und lässt das Kollegium in Bayern über die Pflichten bei privaten Geräten belehren; in NRW erteilt sie die Genehmigungen dafür.

Bußgelder: Ob Behörden Geldbußen zahlen müssen, überlässt die DSGVO den Mitgliedstaaten (Art. 83 Abs. 7 DSGVO). Bayern erlaubt das nur, wenn eine öffentliche Stelle als Unternehmen im Wettbewerb auftritt (Art. 22 BayDSG) – gegen eine staatliche Schule gibt es dort also kein DSGVO-Bußgeld, und auch einzelne Lehrkräfte müssen laut Kultusministerium keine DSGVO-Geldbußen fürchten. Folgenlos sind Verstöße trotzdem nicht: Wer nicht offenkundige Daten einer öffentlichen Stelle unbefugt speichert, verändert, weitergibt oder abruft, riskiert in Bayern eine Geldbuße bis zu 30.000 Euro, mit Bereicherungs- oder Schädigungsabsicht sogar eine Strafe (Art. 23 BayDSG). Andere Länder regeln das in ihren Datenschutzgesetzen.

Dienstrecht und Haftung: Ein Datenschutzverstoß kann zugleich eine Dienstpflichtverletzung sein – siehe Disziplinarverfahren. Schadensersatz nach Art. 82 DSGVO richtet sich gegen den Verantwortlichen, bei Amtspflichtverletzungen haftet grundsätzlich der Staat (Art. 34 GG). Bei Vorsatz oder grober Fahrlässigkeit kann dein Dienstherr dich aber in Regress nehmen (§ 48 BeamtStG); dagegen kann eine Diensthaftpflichtversicherung schützen – was genau abgedeckt ist, regeln die Bedingungen. Für Kameras im Schulgebäude gelten eigene Regeln: Videoüberwachung an Schulen.

Praxisbeispiel: Das Foto vom Sportfest

Lena ist Klassenleiterin einer 8. Klasse an einer Realschule in Bayern. Beim Sportfest fotografiert sie mit ihrem Handy die siegreiche Staffel und will das Bild in die Elterngruppe stellen und für die Homepage einreichen. Ein Kollege bremst sie. Am nächsten Morgen prüfen die beiden die Einwilligungen der sechs Kinder: Drei decken die Homepage ab, eine nur den gedruckten Jahresbericht. Bei einem 14-jährigen Schüler haben nur die Eltern unterschrieben – in Bayern fehlt damit seine eigene Zustimmung. Für ein Kind liegt nichts vor.

Lena löscht das Foto. Für Homepage und Jahresbericht nutzt die Schule Aufnahmen vom Schul-Tablet, auf denen nur Kinder mit passender Einwilligung zu erkennen sind. In die Elterngruppe stellt Lena kein Bild, weil keine Einwilligung diese Weitergabe abdeckt – und erklärt beim Elternabend, warum.

Häufige Fragen

Darf ich Eltern Noten per WhatsApp schicken?

Nicht über einen privaten Messenger, den die Schule nicht freigegeben hat. Noten gehören in die dienstlichen Kanäle, etwa die dienstliche E-Mail oder die Schulplattform.

Ab welchem Alter müssen Schülerinnen und Schüler selbst in Fotos einwilligen?

In Bayern ab dem 14. Geburtstag, zusätzlich zu den Eltern. In Nordrhein-Westfalen zählt, ob sie Bedeutung und Folgen verstehen. Volljährige entscheiden allein.

Darf ich Notenlisten auf meinem privaten Laptop führen?

In Bayern ausnahmsweise, wenn kein geeignetes Dienstgerät da ist, die Schule das geregelt hat und du das Gerät anzeigst. In Nordrhein-Westfalen nur mit schriftlicher Genehmigung der Schulleitung und nur für die Daten aus Anlage 3 der VO-DV I.

Muss ich bei einer Datenpanne ein Bußgeld zahlen?

DSGVO-Bußgelder treffen den Verantwortlichen, also die Schule – staatliche Schulen in Bayern gar nicht. Wer Daten unbefugt weitergibt, riskiert dort aber eine Geldbuße nach Art. 23 BayDSG und dienstrechtliche Folgen.

Rechtsgrundlagen und Quellen

• Datenschutz-Grundverordnung (DSGVO), Art. 4, 5, 7, 8, 28, 32–35, 37, 82, 83
• Bayern: Art. 85 BayEUG, Art. 1, Art. 22 und Art. 23 BayDSG, Bekanntmachung des Kultusministeriums zum Datenschutz an staatlichen Schulen (VollzBek DS – Schulen)
• Bayerisches Kultusministerium: Datenschutz an Schulen
• Arbeitspapier des Bayerischen Landesbeauftragten zu Foto- und Videoaufnahmen an Schulen (PDF)
• Nordrhein-Westfalen: Schulgesetz NRW, §§ 120–122, VO-DV I, §§ 2, 9 und Anlage 3
• Schulministerium NRW: Datenschutz im Schulbereich und Medienberatung NRW: Dienstliche Daten auf privaten Endgeräten
• § 22 und § 23 Kunsturhebergesetz
• Art. 34 Grundgesetz, § 37 und § 48 Beamtenstatusgesetz

Stand der Angaben: September 2026.