Datenschutz an Schulen: Der Leitfaden für Schweizer Volksschulen (2026)
Beim Thema Datenschutz Schulen denken viele zuerst an trockene Paragrafen – doch im Schulalltag wird das Thema sehr schnell konkret. Tablets im Klassenzimmer, Microsoft 365, Notenlisten in der Cloud und seit Kurzem auch Tools mit künstlicher Intelligenz: Schweizer Volksschulen bearbeiten heute mehr Personendaten als je zuvor. Und ein grosser Teil dieser Daten betrifft Kinder, die besonders schützenswert sind. In diesem Leitfaden erfahren Sie, welche Regeln gelten, wo die häufigsten Stolperfallen liegen und wie Sie den Datenschutz an Ihrer Schule pragmatisch und rechtssicher umsetzen.
Warum Datenschutz an Schulen so wichtig ist
Eine Volksschule ist eine wahre Datendrehscheibe. Sie erhebt, erstellt und verwaltet täglich eine Fülle von sensiblen Informationen – von Adressen und Geburtsdaten über Noten und Förderbedarf bis hin zu Angaben zur Gesundheit oder zur familiären Situation. Genau diese Daten verdienen besonderen Schutz, denn ihr Missbrauch kann Kinder und Jugendliche ein Leben lang begleiten.
Dazu kommt ein zweiter Punkt: Vertrauen. Eltern geben ihre Kinder und damit auch deren Daten in die Obhut der Schule. Wird dieses Vertrauen durch eine Datenpanne erschüttert, leidet die ganze Schulgemeinschaft. Ein durchdachter Datenschutz an Schulen ist deshalb nicht nur eine gesetzliche Pflicht, sondern auch ein Qualitätsmerkmal und ein Stück Beziehungspflege.
Und schliesslich drohen handfeste Konsequenzen. Zwar stehen bei öffentlichen Schulen nicht primär hohe Bussen im Vordergrund, wie sie das revidierte Bundesgesetz mit bis zu 250’000 Franken für Private vorsieht. Dafür wiegen Reputationsschäden, der Vertrauensverlust und der administrative Aufwand nach einer Panne oft umso schwerer. Vorbeugen ist also in jedem Fall günstiger als reparieren.
Rechtliche Grundlagen: Welches Gesetz gilt für den Datenschutz an Schulen?
Hier liegt der häufigste Irrtum. Viele gehen davon aus, dass für Schulen automatisch das revidierte Datenschutzgesetz des Bundes (revDSG) gilt, das seit dem 1. September 2023 in Kraft ist. Das stimmt jedoch nur teilweise. Das revDSG regelt in erster Linie private Unternehmen und Bundesorgane.
Volksschulen sind hingegen öffentliche Organe der Kantone und Gemeinden. Für sie gelten deshalb in der Regel die kantonalen Datenschutzgesetze – nicht das Bundesgesetz. Im Kanton Zürich ist das beispielsweise das Gesetz über die Information und den Datenschutz (IDG) samt zugehöriger Verordnung (IDV), ergänzt durch die Datenschutzbestimmungen im Volksschulgesetz. Jeder Kanton hat hier seine eigene Regelung, weshalb sich ein Blick auf die zuständige kantonale Datenschutzaufsichtsstelle immer lohnt.
Trotzdem ist das revDSG relevant. Es hat das allgemeine Bewusstsein geschärft, viele kantonale Gesetze modernisiert und gilt direkt, sobald private Anbieter ins Spiel kommen – etwa eine Privatschule oder ein externer Software-Dienstleister. Die folgende Tabelle bringt Ordnung in die Zuständigkeiten.
| Ebene | Massgebende Grundlage | Zuständige Aufsicht |
|---|---|---|
| Öffentliche Volksschule (Kanton/Gemeinde) | Kantonales Datenschutzgesetz (z. B. IDG/IDV ZH) und Volksschulgesetz | Kantonale bzw. kommunale Datenschutzaufsichtsstelle |
| Private Schule / privater Träger | Revidiertes Datenschutzgesetz des Bundes (revDSG) | Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) |
| Externer IT-/Cloud-Dienstleister | revDSG plus Auftragsbearbeitungsvertrag mit der Schule | EDÖB; Verantwortung bleibt bei der Schule |
Was sind besonders schützenswerte Personendaten?
Manche Daten sind heikler als andere. Als besonders schützenswert gelten unter anderem Angaben zur Gesundheit, zur religiösen oder ethnischen Herkunft, zu Massnahmen der sozialen Hilfe sowie – neu ausdrücklich – genetische und biometrische Daten. Im Schulkontext fällt darunter zum Beispiel die Diagnose einer Lernschwäche, ein sonderpädagogischer Förderbericht oder ein Fingerabdruck-Login. Werden solche Daten bearbeitet, gelten strengere Anforderungen, und eine Datenschutz-Folgenabschätzung kann nötig werden.
Die häufigsten Datenschutz-Risiken im Schulalltag
Datenschutzverletzungen entstehen selten durch böse Absicht. Meistens sind es Bequemlichkeit, Zeitdruck oder schlicht fehlendes Wissen. Die folgende Übersicht zeigt die typischen Risiken – und was Sie konkret dagegen tun können.
| Risiko | Beispiel aus dem Schulalltag | Empfehlung |
|---|---|---|
| Messenger-Apps | Lehrperson kommuniziert über WhatsApp mit der Klasse | Vermeiden – stattdessen datenschutzkonforme Kanäle der Schule nutzen |
| Unsichere Cloud | Notenlisten landen in einem privaten Gratis-Cloud-Konto | Nur freigegebene Dienste mit passendem Vertrag und Serverstandort verwenden |
| Fotos & Videos | Klassenfoto wird ohne Einwilligung online gestellt | Vorgängig schriftliche Einwilligung der Eltern einholen |
| E-Mail-Versand | Adressliste im offenen «An»-Feld statt im Bcc | Bcc verwenden, sensible Daten verschlüsselt versenden |
| Private Geräte (BYOD) | Schülerdaten auf dem privaten Laptop der Lehrperson | Schulgeräte mit Geräteverwaltung (MDM) einsetzen |
| KI-Tools | Förderbericht wird zur Korrektur in ChatGPT kopiert | Keine Personendaten in öffentliche KI-Dienste eingeben |
Ein bekanntes Beispiel zeigt, wie konkret die Vorgaben sind: Die Datenschutzbeauftragte des Kantons Zürich hält ausdrücklich fest, dass die Nutzung von WhatsApp durch Lehrpersonen aus datenschutzrechtlicher Sicht nicht zulässig ist. Der Grund liegt darin, dass dafür umfassende Einwilligungen nötig wären, die es in der Praxis gar nicht gibt.
Microsoft 365 und Cloud-Dienste: Was ist beim Datenschutz an Schulen erlaubt?
Kaum ein Thema sorgt für mehr Diskussionen. Rund 60 Prozent der Primarschulen und bis zu 80 Prozent der Sekundarschulen in der Schweiz setzen auf Microsoft 365 – über tausend Schulen insgesamt. Erlaubt ist das, allerdings nur unter klaren Bedingungen.
Die Fachagentur educa hat mit Microsoft einen Rahmenvertrag abgeschlossen. Dieser stellt sicher, dass Schweizer Recht und ein Schweizer Gerichtsstand gelten und die Daten in der Schweiz oder in der EU gespeichert werden. Damit ist ein datenschutzkonformer Einsatz grundsätzlich möglich. Wichtig ist aber: Der Vertrag allein genügt nicht.
Denn beim Auslagern in die Cloud handelt es sich um eine sogenannte Auftragsbearbeitung. Die Schule gibt die Bearbeitung an einen Dritten ab, bleibt jedoch vollumfänglich verantwortlich. Sie muss daher selbst aktiv werden. Die wichtigsten Schritte fasst diese Tabelle zusammen.
| Massnahme | Was dahintersteckt |
|---|---|
| Nutzungskonzept erstellen | Vor der Einführung festhalten, welche Dienste wofür genutzt werden |
| Daten klassifizieren | Schutzbedarf bestimmen, etwa mit einem Ampelsystem (grün/gelb/rot) |
| Dienste bewusst auswählen | Einige Apps laufen nur in US-Rechenzentren und sind zu deaktivieren |
| Eltern informieren | Transparente Information vor der Einführung, idealerweise am Elternabend |
| Restrisiken dokumentieren | Verbleibende Risiken benennen und der Schulleitung nachvollziehbar darlegen |
| Löschung regeln | Konten und Daten nach Austritt zeitnah löschen |
Übrigens bleibt die Debatte in Bewegung: In Deutschland und Frankreich wurde der Einsatz von Microsoft 365 an Schulen zeitweise stark eingeschränkt. Auch in der Schweiz mahnen Datenschützer zur Vorsicht und betonen die Bedeutung der digitalen Souveränität. Eine durchdachte Konfiguration und eine Exit-Strategie sind deshalb keine Kür, sondern Pflicht.
Künstliche Intelligenz im Unterricht – die neue Datenschutz-Herausforderung
KI-Werkzeuge halten rasant Einzug in die Schulen, und der Datenschutz hält oft kaum Schritt. Eine spezifische KI-Gesetzgebung kennt die Schweiz bisher nicht; eine entsprechende Vorlage des Bundes wird bis Ende 2026 erwartet. Bis dahin gilt eine klare Botschaft des EDÖB: Das geltende Datenschutzrecht ist auf KI direkt anwendbar.
Für die Praxis heisst das vor allem eines: Geben Sie keine Personendaten in öffentliche KI-Dienste ein – schon gar keine besonders schützenswerten Daten. Ein Förderbericht oder eine Liste mit Schülernamen hat in einem frei zugänglichen Chatbot nichts verloren. Mehrere Kantone, darunter Zürich, haben dazu eigene Merkblätter veröffentlicht und verlangen für neue KI-Anwendungen eine Vorabkontrolle durch die Datenschutzaufsicht.
Es gibt allerdings auch entspannende Entwicklungen. KI-Funktionen, die lokal auf dem Gerät verarbeitet werden, ohne dass Daten in die Cloud gelangen, stellen ein deutlich geringeres Risiko dar. Entscheidend bleibt deshalb immer die Frage: Wo werden die Daten verarbeitet, und wer hat darauf Zugriff?
Datenschutzkonforme Schule: Die wichtigsten Massnahmen im Überblick
Datenschutz wirkt schnell überwältigend. Mit einem strukturierten Vorgehen lässt er sich jedoch gut bewältigen. Die folgende Checkliste fasst die zentralen Bausteine einer datenschutzkonformen Schule zusammen.
| Baustein | Ziel |
|---|---|
| Bearbeitungsverzeichnis | Überblick: Welche Daten werden wo, wie lange und wozu bearbeitet? |
| Applikationscheckliste | Jede neue App vor dem Einsatz datenschutzrechtlich prüfen |
| Datenschutz-Folgenabschätzung | Bei hohem Risiko die Auswirkungen vorab analysieren |
| Information & Einwilligung | Eltern und Lernende transparent informieren |
| Technische Massnahmen | Verschlüsselung, Zugriffsrechte, sichere Passwörter, Geräteverwaltung |
| Schulung & Sensibilisierung | Lehrpersonen regelmässig weiterbilden |
| Löschkonzept | Daten nicht länger aufbewahren als nötig |
| Meldeprozess | Datenschutzverletzungen erkennen und melden |
Besonders praktisch sind dabei zwei Hilfsmittel, die educa im Dossier «Datenschutzkonforme Schule» bereitstellt: das Bearbeitungsverzeichnis und die Applikationscheckliste. Beide geben einen klaren Rahmen vor und nehmen viel von der gefühlten Komplexität.
Verantwortlichkeiten klar regeln – wer macht was?
Datenschutz scheitert selten am guten Willen, sondern oft an unklaren Zuständigkeiten. Wenn jeder denkt, jemand anderes kümmere sich darum, bleibt am Ende vieles liegen. Deshalb sollten die Rollen von Anfang an klar verteilt sein.
| Rolle | Hauptverantwortung |
|---|---|
| Schulbehörde / Gemeinde | Trägt die Gesamtverantwortung, gibt Richtlinien und Budget vor |
| Schulleitung | Setzt Vorgaben um, koordiniert Konzepte und Schulungen |
| Lehrpersonen | Setzen den Datenschutz im täglichen Unterricht um |
| IT-Verantwortliche / Dienstleister | Sorgen für sichere Technik, Konfiguration und Geräteverwaltung |
| Datenschutzaufsichtsstelle | Berät, prüft und beaufsichtigt |
Datenschutz an Schulen einführen: In sechs Schritten zum Ziel
Ein guter Datenschutz entsteht nicht über Nacht, sondern Schritt für Schritt. Wer strukturiert vorgeht, vermeidet Hektik und teure Korrekturen im Nachhinein. Die folgende Reihenfolge hat sich in der Praxis bewährt.
1. Bestandsaufnahme. Verschaffen Sie sich zunächst einen Überblick. Welche Daten bearbeitet die Schule, mit welchen Tools, und wo liegen diese Daten? Das Bearbeitungsverzeichnis ist dafür der ideale Ausgangspunkt.
2. Risiken einschätzen. Anschliessend bewerten Sie, wie schützenswert die einzelnen Daten sind. Ein Ampelsystem hilft, rasch zwischen unkritischen und heiklen Informationen zu unterscheiden.
3. Regeln festlegen. Danach halten Sie verbindlich fest, welche Dienste erlaubt sind und welche nicht. Ein klares Nutzungsreglement schafft Sicherheit für alle Beteiligten.
4. Technik absichern. Nun folgt die Umsetzung. Verschlüsselung, saubere Zugriffsrechte und eine zentrale Geräteverwaltung sorgen dafür, dass die Regeln auch technisch greifen.
5. Menschen schulen. Die beste Technik nützt wenig ohne sensibilisierte Lehrpersonen. Regelmässige, praxisnahe Schulungen verankern das Thema im Alltag.
6. Überprüfen und verbessern. Schliesslich gilt: Datenschutz ist ein Prozess, kein einmaliges Projekt. Überprüfen Sie Ihre Massnahmen regelmässig und passen Sie sie an neue Tools und Gesetze an.
Was tun bei einer Datenpanne? Die Meldepflicht
Trotz aller Vorsicht kann einmal etwas schiefgehen – ein verlorener Laptop, ein falsch adressiertes E-Mail oder ein Angriff von aussen. Entscheidend ist dann, wie schnell und wie überlegt die Schule reagiert.
Sowohl das revidierte Bundesgesetz als auch die kantonalen Regelungen sehen eine Meldepflicht vor. Führt eine Verletzung der Datensicherheit zu einem erheblichen Risiko für die betroffenen Personen, muss sie der zuständigen Stelle gemeldet werden – und zwar möglichst rasch. Unter Umständen sind zusätzlich die Betroffenen selbst zu informieren.
Deshalb lohnt es sich, schon im Voraus einen einfachen Meldeprozess zu definieren. Wer informiert wen, in welcher Reihenfolge, und welche Sofortmassnahmen sind nötig? Im Ernstfall zählt jede Minute, und ein klar geregelter Ablauf nimmt viel Druck heraus.
Mehr als Technik: Datenschutz als Teil der Medienkompetenz
Zum Schluss noch ein Gedanke, der oft vergessen geht. Datenschutz an Schulen betrifft nicht nur Administration und Technik, sondern auch den Unterricht selbst. Kinder, die früh lernen, sorgsam mit ihren Daten umzugehen, profitieren ein Leben lang davon.
Wenn Lehrpersonen vorleben, warum man nicht jede App blind installiert und warum Passwörter geheim bleiben, vermitteln sie ganz nebenbei wertvolle Medienkompetenz. So wird der Datenschutz vom lästigen Pflichtthema zu einem selbstverständlichen Teil der digitalen Bildung – und genau dorthin gehört er.
Fazit: Datenschutz an Schulen als Chance begreifen
Datenschutz an Schulen ist kein Bremsklotz für die Digitalisierung, sondern ihr stabiles Fundament. Wer Daten sorgfältig behandelt, klare Verantwortlichkeiten schafft und die richtige Technik einsetzt, schützt nicht nur Kinder, sondern stärkt auch das Vertrauen von Eltern und Behörden. Der Aufwand zahlt sich also doppelt aus.
Am einfachsten gelingt das mit einem erfahrenen Partner an der Seite. Wir von meral-it.ch unterstützen Schweizer Schulen dabei, ihre IT sicher, übersichtlich und datenschutzkonform aufzustellen – von der Cloud-Konfiguration über die Geräteverwaltung bis zur Sensibilisierung der Lehrpersonen. Nehmen Sie unverbindlich Kontakt auf, und machen Sie den Datenschutz an Ihrer Schule zur Selbstverständlichkeit.