# Bildung

Quelle: https://ai-mitarbeiter.pro/branchen/bildung/
Aktualisiert: 5. Oktober 2026
Anbieter: Datenschutzfabrik (Datenschutzfabrik UG (haftungsbeschränkt), Wuppertal)

**Kurz gesagt:** An Schulen und bei Bildungsträgern passen zwei Stellen besonders: Support-Triage für Elternpost und Protokolle für Konferenzen und Gremien. Schülerdaten sind Kinderdaten und gehören zur Datenklasse „sensibel“: Die Stellen laufen beim Träger oder an der Schule, in unserer Cloud nur auf Ihre ausdrückliche Wahl, und zur Bearbeitung gehen Inhalte nur an einen KI-Endpunkt in der EU, der nichts speichert. Rechtlich kommen das Schulgesetz des jeweiligen Landes und Art. 9 DSGVO bei Gesundheitsangaben von Schülern hinzu, dazu die Frage, wer wirksam einwilligt.

Passende Stellen: Support-Triage (AM-003), Protokolle (AM-006)

In dieser Branche arbeiten Timo (AI) und Ruth (AI) mit Daten der Klasse „sensibel“. Gespeichert bei Ihnen (Hybrid), in unserer Cloud in Deutschland nur auf Ihre ausdrückliche Wahl; bearbeitet nur über einen EU-Endpunkt des KI-Anbieters ohne Speicherung. Inhalte nur im Dashboard.

Schulen und Bildungsträger haben Verwaltung ohne Verwaltungsapparat. Sekretariat und Schulleitung bearbeiten Elternpost, Anmeldungen, Krankmeldungen, Raumbelegung und Gremienprotokolle nebenher. Die Datenlage ist dabei empfindlicher als in den meisten Betrieben, weil Minderjährige betroffen sind.

## Was hier liegen bleibt

- Elternpost im Sammelpostfach, vermischt aus Krankmeldung, Rückfrage, Beschwerde und Terminwunsch
- Anmeldungen und Rückläufe zu Ausflügen, Wahlpflichtkursen und Einwilligungen
- Protokolle aus Konferenzen, Fachschaften, Schulkonferenz und Trägerrunden
- Fristen aus Anmeldeverfahren und Förderanträgen
- Ablage von Unterlagen mit unterschiedlichen Aufbewahrungsfristen nach Landesrecht

## Welche Stellen hier passen

**Timo (AI), AM-003, Support-Triage.** Er nimmt die Mails aus dem Sammelpostfach auf, legt sie als Vorgang an, erkennt Klasse und Anliegen und setzt Kategorie und Priorität nach der Regelung des Hauses. Antworten auf wiederkehrende Fragen entwirft er aus dem freigegebenen Textbestand, etwa zu Schulzeiten, Krankmeldeweg und Ansprechpartnern; verschickt wird nach Freigabe auf der Karte. Beschwerden, Anfragen von Behörden und alles mit einer genannten Frist gehen unbeantwortet an die Schulleitung. Gesundheitsangaben wertet er nicht aus und gibt den Vorgang an die zuständige Person im Haus.

**Ruth (AI), AM-006, Protokolle.** Sie tritt der Konferenz in Teams auf Einladung bei, sagt zu Beginn an, dass sie eine KI ist, und schreibt erst mit, wenn alle Teilnehmenden zugestimmt haben. Anweisungen nimmt sie nur von geprüften Teilnehmenden aus Ihrem Tenant an, nicht von Gästen. Sensible Inhalte, etwa Angaben zu einzelnen Schülerinnen und Schülern, verarbeitet sie nur, wenn die Datenklasse der Besprechung es zulässt; die Spracherkennung läuft in der EU oder lokal. Festgehalten werden Beschlüsse, Aufgaben, Zuständige und Fristen, nicht der Wortlaut der Diskussion. Personalgespräche, Bewerbergespräche und Sitzungen von Betriebs- oder Personalrat schließt sie aus. Den Entwurf legt sie der Sitzungsleitung im Dashboard vor, verteilt wird das Protokoll nach Freigabe auf der Karte.

## Was in dieser Branche rechtlich dazukommt

**Schulrecht der Länder.** Die Verarbeitung von Schülerdaten ist in den Schulgesetzen der Länder und in den dazu erlassenen Verordnungen geregelt. Diese Regelungen bestimmen, welche Daten zu welchem Zweck verarbeitet werden dürfen, wie lange sie aufbewahrt werden und welche Systeme zulässig sind. Sie unterscheiden sich von Land zu Land, deshalb wird das anwendbare Landesrecht in der Aufnahme geklärt und in der Akte benannt.

**Rechtsgrundlage.** Für die öffentliche Schule liegt die Grundlage regelmäßig in Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem Landesrecht. Bei privaten Bildungsträgern tritt der Ausbildungsvertrag nach Art. 6 Abs. 1 lit. b DSGVO an diese Stelle. Eine Einwilligung wird nur dort herangezogen, wo keine gesetzliche Grundlage trägt, etwa bei Fotos.

**Gesundheitsangaben.** Angaben zu Erkrankung, Förderbedarf, Attest oder Medikation sind Gesundheitsdaten und damit besondere Kategorien nach Art. 9 Abs. 1 DSGVO. Ihre Verarbeitung ist untersagt, soweit keine Ausnahme nach Art. 9 Abs. 2 DSGVO greift. Aus Fachsystemen und Ablagen gibt der Connector sie nicht weiter. Steht eine Gesundheitsangabe in einer Mail, wertet Timo sie nicht aus.

**Einwilligung Minderjähriger.** Art. 8 DSGVO setzt die Altersgrenze von 16 Jahren für Dienste der Informationsgesellschaft, die einem Kind unmittelbar angeboten werden. Für die übrigen Verarbeitungen im Schulalltag gilt dieser Artikel nicht unmittelbar, dort wird auf die Einsichtsfähigkeit abgestellt und bei jüngeren Schülern die Einwilligung der Erziehungsberechtigten eingeholt. Enthält das Landesrecht eine eigene Regelung, geht sie vor.

**Mitschnitte.** § 201 Abs. 1 Nr. 1 StGB stellt die Aufnahme des nichtöffentlich gesprochenen Wortes auf einen Tonträger unter Strafe. Ein Mitschnitt ohne Ansage und Zustimmung ist strafbar. Diese Weisungsgrenze steht in der Akte von Ruth an erster Stelle.

## Wie die Einrichtung hier abläuft

Schülerdaten sind Kinderdaten und gehören zur Datenklasse „sensibel“. Die Stellen laufen deshalb auf einem Server beim Träger oder an der Schule (Hybrid), in unserer Cloud in Deutschland nur, wenn Sie das ausdrücklich wählen. Zur Bearbeitung gehen Inhalte nur an einen KI-Endpunkt in der EU, der nichts speichert, und sensible Inhalte zeigt die Stelle nur im Dashboard.

Angebunden wird über Connectoren an das, was die Schule oder der Träger bereits nutzt, etwa [Microsoft 365](/einrichtung/systeme/microsoft-365/) mit Exchange-Postfach, Teams und SharePoint oder ein Anmelde- und Verwaltungsportal des Landes. Auf das Schulverwaltungsprogramm greift keine Stelle zu, solange das Landesrecht dafür keine Grundlage nennt.

Jede Stelle bekommt ein eigenes Dienstkonto im Tenant, nicht das Konto einer Lehrkraft oder des Sekretariats. Die Rechte werden auf das Sammelpostfach und die freigegebenen Ablagen begrenzt. Der Zugriff auf Personalakten, Zeugnisdaten und Förderunterlagen ist technisch ausgeschlossen.

Freigegeben werden die Konten von der Schulleitung, bei Trägern von der Geschäftsführung.

Mit echten Daten arbeitet eine Stelle erst, wenn diese Punkte erledigt sind, auch für den Schattenbetrieb:

- Vertrag zur Auftragsverarbeitung mit TOM-Anlage
- Ihre Folgenabschätzung, mit unserer vorausgefüllten Vorlage, und Ihre Datenschutzinformation
- Ihr Datenschutzbeauftragter ist angehört
- Ihre Arbeitnehmervertretung ist beteiligt; eine Vorlage für die Betriebsvereinbarung liefern wir mit

Bei Kunden mit Betriebsrat, Personalrat oder Mitarbeitervertretung setzen wir keine Stelle ohne Vereinbarung mit der Arbeitnehmervertretung ein, auch nicht für Konferenzen in Teams, etwa bei Ruth; im Betrieb mit Betriebsrat ist die Grundlage § 87 Abs. 1 Nr. 6 BetrVG. An öffentlichen Schulen treten die Personalvertretungsgesetze der Länder an die Stelle des BetrVG, die Beteiligung läuft dort über die zuständige Personalvertretung.

Was die IT des Trägers dafür tun muss, steht auf der Seite des jeweiligen Systems; den Aufwand nennen wir nach der Aufnahme. Die Einarbeitung läuft in fünf Stufen je Tätigkeitsart, den Aufstieg entscheidet ein Mensch anhand der Kennzahlen. Das Verfahren steht unter [Wie eine Stelle entsteht](/einrichtung/), die Weisungsgrenzen unter [Leitplanken](/einrichtung/leitplanken/).

## Häufige Fragen

### Welches Recht gilt für die Verarbeitung von Schülerdaten?

Neben der DSGVO gilt das Schulgesetz des Landes, in dem die Schule liegt, dazu die auf seiner Grundlage erlassenen Verordnungen zur Verarbeitung von Schülerdaten. Die Regelungen unterscheiden sich von Land zu Land, auch bei der Frage, welche Systeme zulässig sind. Welche Fassung gilt, wird in der Aufnahme geklärt und in der Akte festgehalten.

### Darf ein Agent Gesundheitsangaben von Schülern lesen?

Auswerten darf sie keine Stelle. Angaben zu Erkrankungen, Förderbedarf, Attesten und Medikation sind besondere Kategorien nach Art. 9 Abs. 1 DSGVO. Aus Fachsystemen und Ablagen gibt der Connector sie nicht weiter, technisch und nicht nur organisatorisch. Steht eine Gesundheitsangabe in einer Mail, wertet die Stelle sie nicht aus und gibt den Vorgang an die zuständige Person im Haus; das steht dort als Weisungsgrenze. Das Postfach mit Elternpost gilt deshalb als sensible Datenquelle.

### Wer willigt bei Minderjährigen wirksam ein?

Art. 8 DSGVO regelt die Altersgrenze von 16 Jahren ausdrücklich nur für Dienste der Informationsgesellschaft, die einem Kind direkt angeboten werden. Außerhalb dieses Anwendungsbereichs richtet sich die Wirksamkeit nach der Einsichtsfähigkeit, und die Aufsichtsbehörden verlangen bei jüngeren Schülern die Einwilligung der Erziehungsberechtigten. Schulrechtliche Regelungen des Landes gehen vor.

### Darf eine Konferenz mitgeschnitten werden?

Nur nach Ansage und Zustimmung aller Teilnehmenden. § 201 Abs. 1 Nr. 1 StGB stellt die Aufnahme des nichtöffentlich gesprochenen Wortes auf einen Tonträger ohne Einverständnis unter Strafe. Ruth sagt zu Beginn an, dass sie eine KI ist, zeichnet erst nach der Zustimmung aller auf und beendet die Aufnahme für die gesamte Sitzung, sobald jemand widerspricht.

### Braucht eine Schule einen Datenschutzbeauftragten?

Öffentliche Stellen benennen nach Art. 37 Abs. 1 lit. a DSGVO in jedem Fall einen Datenschutzbeauftragten, die Zuständigkeit ergibt sich aus dem Landesrecht. Bei privaten Bildungsträgern greift zusätzlich § 38 BDSG, der ab 20 ständig mit automatisierter Verarbeitung beschäftigten Personen eine Benennung verlangt.

## Quellen

- [Art. 9 DSGVO, Verarbeitung besonderer Kategorien personenbezogener Daten](https://dsgvo-gesetz.de/art-9-dsgvo/)
- [Art. 8 DSGVO, Einwilligung eines Kindes bei Diensten der Informationsgesellschaft](https://dsgvo-gesetz.de/art-8-dsgvo/)
- [Art. 6 DSGVO, Rechtmäßigkeit der Verarbeitung](https://dsgvo-gesetz.de/art-6-dsgvo/)
- [Art. 37 DSGVO, Benennung eines Datenschutzbeauftragten](https://dsgvo-gesetz.de/art-37-dsgvo/)
- [§ 38 BDSG, Datenschutzbeauftragte nicht-öffentlicher Stellen](https://www.gesetze-im-internet.de/bdsg_2018/__38.html)
- [§ 201 StGB, Verletzung der Vertraulichkeit des Wortes](https://www.gesetze-im-internet.de/stgb/__201.html)
- [§ 87 BetrVG, Mitbestimmungsrechte](https://dejure.org/gesetze/BetrVG/87.html)

---

Bei Zitaten bitte Quelle nennen: ai-mitarbeiter.pro, https://ai-mitarbeiter.pro/branchen/bildung/
Angaben zur Rechtslage sind keine Rechtsberatung.