Datenschutz in der Schule

Schulen verarbeiten laufend personenbezogene Daten von Schüler:innen, Erziehungsberechtigten und Kolleg:innen. Für Lehrer:innen gelten die Datenschutz-Grundverordnung (DSGVO), das Datenschutzgesetz (DSG) und schulrechtliche Sondernormen. Hier findest du, was du darfst, was nicht – und was im Ernstfall zu tun ist.

Stand: Oktober 2026 · ohne Gewähr · aus dem Dienstrechtsskriptum der ÖLI-UG, Kapitel 6.5

Offizielle Informationen: Die Datenschutzseite des Bildungsministeriums bietet die Datenschutzinformation zur Schulverwaltung, Vorgaben für Cloud-Dienste im Unterricht und Vorlagen für Schulen. Eine neuere FAQ für Lehrer:innen gibt es derzeit nicht – die letzte ist die FAQ „Datenschutz an Schulen“ des Bildungsministeriums (Stand 19.12.2018). Sie wird z. B. von Saferinternet.at weiterhin als maßgebliche Auslegung zitiert. Verbindlich sind seither vor allem die IKT-Schulverordnung und das Bildungsdokumentationsgesetz 2020.

Auf dieser Seite:

Rechtsgrundlagen und Verantwortung

  • DSGVO: Grundsätze wie Rechtmäßigkeit, Zweckbindung, Datenminimierung und Speicherbegrenzung (Art. 5), Rechtsgrundlagen der Verarbeitung (Art. 6), Datensicherheit (Art. 32) und Meldung von Datenschutzverletzungen (Art. 33).
  • Datengeheimnis: Personenbezogene Daten, die dir beruflich anvertraut wurden, musst du geheim halten und darfst sie nur auf ausdrückliche Anordnung übermitteln (§ 6 DSG). Wer eine Anordnung zur unzulässigen Datenübermittlung verweigert, darf dadurch keinen Nachteil erleiden.
  • Bildungsdokumentationsgesetz 2020: regelt die Verarbeitung von Schüler:innendaten (Evidenzen, Datenverbund der Schulen, Bildungsportal, Löschfristen). Die Schulleitung verarbeitet diese Daten zur Vollziehung des SchUG (§ 5 BilDokG 2020).
  • Verantwortlich im Sinne der DSGVO ist für die Datenverarbeitung am Standort die Schulleitung. Sie wird von der bzw. dem Datenschutzbeauftragten der Bildungsdirektion unterstützt (§ 4 BilDokG 2020). Für die Datensicherheit der IT-Systeme ist jene Stelle verantwortlich, die über deren technische Gestaltung und Einsatz entscheidet.
  • IKT-Schulverordnung: regelt technische und organisatorische Sicherheitsmaßnahmen, Endgeräte, Lernplattformen und die elektronische Kommunikation mit Erziehungsberechtigten.
  • Elektronische Kommunikation: Schulleitung und Lehrer:innen dürfen private Kontaktdaten von Schüler:innen und Erziehungsberechtigten für Kommunikation, Unterricht, Leistungsbeurteilung, Beratung und Information verarbeiten (§ 70a SchUG).

Praxistipp: Für alles, was zur Erfüllung des gesetzlichen Schulauftrags nötig ist (Noten, Anwesenheiten, Klassenbuch, Kontaktdaten), brauchst du keine Einwilligung – die Rechtsgrundlage ist das Schulrecht. Eine Einwilligung brauchst du nur bei freiwilligen Zusatzverarbeitungen, etwa Fotos auf der Homepage. Die Noten von Schularbeiten dürfen nicht pauschal vor der ganzen Klasse veröffentlicht oder besprochen werden – fragt eine Schülerin bzw. ein Schüler selbst nach, darfst du antworten. Mündliche Prüfungen sind dagegen öffentlich und vor allen Zuhörenden kurz zu begründen (laut Ministeriums-FAQ).

Fotos und Videos von Schüler:innen

  • Fotos und Videos zu veröffentlichen (Schulhomepage, Social Media, Jahresbericht), ist keine Aufgabe nach dem Schulrecht. Dafür braucht es daher grundsätzlich eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
  • Wer willigt ein? Laut Ministeriums-FAQ und Saferinternet.at bis zum Ende der Sekundarstufe I die Erziehungsberechtigten, ab der Sekundarstufe II die Schüler:innen selbst. Schüler:innen ab 14 gelten als hinreichend einsichtsfähig; auch das Datenschutzgesetz setzt die Grenze für Online-Dienste bei 14 Jahren (§ 4 Abs. 4 DSG).
  • Laut Ministeriums-FAQ reicht eine einmalige schriftliche Einwilligung bei Schuleintritt. Saferinternet.at empfiehlt trotzdem, sie z. B. zu Schuljahresbeginn zu erneuern. Die Einwilligung ist jederzeit widerrufbar – die Fotos sind dann umgehend zu entfernen.
  • Gesichter möglichst nicht mit Namen verknüpfen; Klassenfotos nur mit Klassenangabe veröffentlichen. Sollen einzelne Schüler:innen namentlich genannt werden (z. B. bei Auszeichnungen), braucht es dafür eine eigene Einwilligung.
  • Zusätzlich schützt das Recht am eigenen Bild: Bilder dürfen nicht veröffentlicht werden, wenn dadurch berechtigte Interessen der abgebildeten Person verletzt würden (§ 78 UrhG) – z. B. bloßstellende Situationen oder Sportunterricht in Badekleidung.
  • Video- und Tonaufnahmen im (Distance-)Unterricht sind nur mit Einwilligung aller Beteiligten zulässig (§ 13 IKT-Schulverordnung).

Praxistipp: Prüfe vor jeder Veröffentlichung, ob für alle erkennbaren Schüler:innen eine aktuelle Einwilligung vorliegt (Liste im Sekretariat). Im Zweifel Gruppenfotos von hinten, ohne Namen oder unkenntlich verwenden. Fotos mit dem Dienstgerät aufnehmen und nach Gebrauch löschen – nicht im privaten Handy-Album oder in privaten Cloud-Backups lassen.

Messenger-Gruppen und Kommunikation mit Eltern

  • Laut Ministeriums-FAQ sind WhatsApp-Gruppen und ähnliche Gruppenchats für die dienstliche Kommunikation zwischen Lehrer:innen, Eltern und Schüler:innen aus Datenschutz- und Lizenzgründen nicht zulässig; empfohlen werden die Kanäle, die die Schule anbietet (z. B. elektronisches Mitteilungsheft). Eine neuere Aussage des Ministeriums gibt es nicht – rechtlich verbindlich sind heute die Vorgaben der IKT-Schulverordnung (siehe unten).
  • WhatsApp verlangt in der EU seit April 2024 ein Mindestalter von 13 Jahren (WhatsApp-Nutzungsbedingungen). Zudem werden Telefonnummern und Metadaten an den Anbieter übermittelt.
  • Für die Kommunikation mit Erziehungsberechtigten verlangt die IKT-Schulverordnung, dass Nachrichten dem richtigen Kind zugeordnet sind und die Schule nachvollziehen kann, dass die Eltern sie gelesen haben (§ 14 IKT-Schulverordnung). Das leisten offizielle Schulkommunikationsplattformen bzw. elektronische Mitteilungshefte – z. B. haben Schoolfox und eduFlow Schnittstellen zum Bildungsportal, und das Bildungsportal (bildung.gv.at) bietet elektronische Zustellung (Anfragebeantwortung 396/AB vom 3.4.2025).
  • Das Recht zur elektronischen Kommunikation nach § 70a SchUG heißt nicht, dass jeder beliebige Kanal genutzt werden darf.

Praxistipp: Nutze ausschließlich die an deiner Schule eingeführte Plattform (z. B. Schoolfox, WebUntis-Messenger, eduFlow, Lernplattform). Private Messenger-Gruppen mit Eltern oder Schüler:innen – auch wenn diese sie selbst anregen – nicht moderieren und nicht für dienstliche Informationen verwenden. Du bist auch nicht verpflichtet, deine private Handynummer herauszugeben.

Private Geräte, Cloud-Dienste und Datensicherheit

  • Verwaltungsdaten (Schüler:innenevidenzen, Zeugnisse, Stundenplanung, Personalverwaltung) dürfen nur auf Geräten verarbeitet werden, die der Dienstgeber bereitstellt, die Mehr-Faktor-Authentifizierung unterstützen und zentral verwaltet werden; lokale Daten sollen verschlüsselt sein. Alternativ ist ein schulseitiger Remote-Desktop-Dienst zulässig (§ 11 IKT-Schulverordnung). Für den Zugang zu Verwaltungsdaten ist Mehr-Faktor-Authentifizierung vorgeschrieben (§ 5 IKT-Schulverordnung).
  • Für die Unterrichtsdokumentation (laufende Leistungsfeststellung, Notizen) regelt die IKT-Schulverordnung private Geräte nicht ausdrücklich. Auch hier gelten aber die Grundsätze der DSGVO: Gerätesperre, aktuelle Updates, keine Speicherung in privaten Cloud-Diensten, kein Zugriff durch Familienmitglieder.
  • Für Lernplattformen, Office-Umgebungen und Online-Speicher sind Cloud-Anbieter nur zulässig, wenn sie eine Vereinbarung mit dem Bildungsministerium haben (§ 8 IKT-Schulverordnung). Private Cloud-Konten von Lehrer:innen erfüllen diese Voraussetzung nicht.
  • Die Schulleitung muss Verwaltungsdaten vor unbefugter Einsicht schützen und die Bediensteten regelmäßig über DSGVO, Datengeheimnis und Zweckbindung belehren (§ 9 IKT-Schulverordnung).
  • Microsoft 365 Education: Auf Beschwerden einer Wiener Schülerin (vertreten von noyb) hat die Datenschutzbehörde zweimal entschieden:
    • Oktober 2025: Das Auskunftsrecht der Schülerin wurde verletzt. Schule, Schulbehörde und Microsoft hätten sie über die Datenverarbeitung informieren und ihre Anfrage vollständig beantworten müssen (Bescheid).
    • Jänner 2026: Microsoft hat beim Arbeiten mit dem Schulkonto (z. B. Word Online) ohne Einwilligung Tracking-Cookies gesetzt, die laut Microsoft u. a. der Nutzungsanalyse und Werbezwecken dienen. Microsoft muss das Tracking binnen vier Wochen einstellen. Schule und Ministerium gaben an, von den Cookies nichts gewusst zu haben (Bescheid, Pressemitteilung noyb, Konsumentenfragen.at). Die Entscheidung ist laut Berichten noch nicht rechtskräftig (netzpolitik.org).
    • Für die Praxis: Microsoft 365 bleibt im Unterricht zulässig, wenn die Schule es nach den Vorgaben des Ministeriums einrichtet (Rahmenbedingungen für Cloud-Dienste, datenschutzfreundliche Konfiguration). Fragen von Schüler:innen oder Eltern nach den verarbeiteten Daten leitest du an die Schulleitung weiter – sie muss gemeinsam mit der Bildungsdirektion vollständig Auskunft geben.

Der Dienstgeber muss die Mittel bereitstellen: Für Verwaltungsdaten sind Dienstgeräte vorgeschrieben. Du bist nicht verpflichtet, deine privaten Geräte, Telefonnummern oder Cloud-Speicher für dienstliche Datenverarbeitung zur Verfügung zu stellen. (Das ist unsere rechtliche Einschätzung – einen eigenen Erlass dazu gibt es nicht.)

Praxistipp: Dienstliche Daten nur in den schulischen Systemen bearbeiten (Sokrates, WebUntis, Lernplattform, dienstliches Postfach). Keine Schüler:innenlisten auf USB-Sticks oder in privaten Dropbox- oder Google-Konten. Ausgedruckte Listen nicht im Konferenzzimmer liegen lassen. Bildschirm sperren, wenn du den Raum verlässt.

Datenpanne: Was tun?

  • Eine Datenschutzverletzung (z. B. verlorener USB-Stick mit Notenlisten, E-Mail an den falschen Verteiler, gehacktes Konto) muss der Verantwortliche möglichst binnen 72 Stunden nach Bekanntwerden der Datenschutzbehörde melden – außer die Verletzung führt voraussichtlich zu keinem Risiko für die Betroffenen (Art. 33 DSGVO). Bei hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34 DSGVO).
  • Weil die Schulleitung die Verantwortliche ist, meldest du Datenpannen sofort intern an die Schulleitung. Sie zieht die bzw. den Datenschutzbeauftragten der Bildungsdirektion bei.

Praxistipp: Nicht vertuschen, nicht selbst „reparieren“: Melde den Vorfall sofort mit Datum, Uhrzeit, betroffenen Daten und Personen an die Schulleitung. Die 72-Stunden-Frist läuft ab Kenntnis – auch über Wochenenden und Ferien.

Noch Fragen?

Dienstrecht ist oft Einzelfall. Unsere Expert:innen und Personalvertreter:innen helfen dir gerne weiter – persönlich und kostenlos: Frage an die ÖLI.

Alle Angaben ohne Gewähr. Maßgeblich sind die geltenden Gesetze im Rechtsinformationssystem des Bundes (RIS). Du hast einen Fehler entdeckt? Gib uns bitte Bescheid!

← Zurück zur Übersicht Dienstrechtsskriptum