Wer darf welche Daten sehen

Am Anfang ist es praktisch: Eine Liste, alle haben Zugriff, niemand wird ausgebremst. Das funktioniert, solange das Team klein ist und die Liste wenig enthält. Es kippt in dem Moment, in dem finanzielle Angaben dazukommen.

Die Einkommensstufe einer Familie ist eine der sensibelsten Informationen in einer freien Schule. Sie sagt etwas über die wirtschaftliche Lage aus, und sie steht in derselben Zeile wie der Name des Kindes. Wer die Beitragsliste öffnet, um eine Telefonnummer zu suchen, sieht sie mit.

Der zweite kritische Punkt sind Zahlungsrückstände. Eine Lehrkraft, die weiß, dass eine Familie im Rückstand ist, kann diesem Kind nicht mehr unbefangen begegnen. Das ist kein Vorwurf an die Lehrkraft — es ist ein Argument dafür, dass sie es gar nicht erst erfahren sollte.

Der übliche Fehler ist, Zugriffe an der Hierarchie auszurichten: Leitung sieht alles, Mitarbeitende sehen wenig. Das führt zu beidem gleichzeitig — zu viel Zugriff oben und zu wenig unten.

Tragfähiger ist die Frage, welche Aufgabe jemand erfüllt. Das Sekretariat braucht Kontaktdaten und Anwesenheiten, aber keine Einkommensstufen. Die Kassenwartin braucht Beiträge und Zahlungsstände, aber keine pädagogischen Notizen. Die Klassenlehrkraft braucht ihre Klasse, nicht die ganze Schule.

Aus dieser Perspektive ergeben sich Rollen fast von selbst, und sie sind erklärbar. Eine Zugriffsregel, die man einer Kollegin in einem Satz begründen kann, wird akzeptiert. Eine, die willkürlich wirkt, wird umgangen — meist über einen Export nach Excel, und damit ist der Schutz weg.

• Je Rolle aufschreiben, welche Aufgabe sie erfüllt — vor der Rechtevergabe.
• Finanzdaten und pädagogische Daten grundsätzlich trennen.
• Standortbezug mitdenken bei Trägern mit mehreren Einrichtungen.
• Exportmöglichkeiten mitbetrachten: Was exportierbar ist, ist faktisch sichtbar.

Ein Elternzugang wird oft als abgespeckte Mitarbeitersicht gedacht. Das führt zu Fehlern, weil Eltern eine grundsätzlich andere Perspektive haben: Sie sehen nicht weniger von der Schule, sondern ausschließlich das Eigene.

Konkret heißt das: die eigenen Kinder, die eigenen Rechnungen, die eigenen Bescheinigungen, die eigene geleistete Elternarbeit. Keine Klassenliste, keine anderen Familien, keine Vergleichswerte.

Heikel wird es bei getrennt lebenden Sorgeberechtigten. Beide haben in der Regel Anspruch auf Informationen über ihr Kind — aber nicht auf die Adresse oder die Kontaktdaten des jeweils anderen. Wer das nicht sauber trennt, gibt über eine Familienübersicht möglicherweise eine Anschrift preis, die geschützt sein muss.

Wird eine Software eingesetzt, verarbeitet der Anbieter die Daten im Auftrag. Verantwortlich im Sinne der DSGVO bleibt die Schule oder der Träger. Dafür braucht es einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO.

Zwei Punkte lohnen dabei die Nachfrage, bevor entschieden wird: Wo wird gehostet, und wer hat technisch Zugriff? „In Deutschland gehostet" ist eine Aussage über den Serverstandort, nicht automatisch über den Zugriff. Und ein Anbieter, der Support leistet, braucht dafür in der Regel irgendeine Form von Einsicht — die Frage ist, welche und unter welcher Kontrolle.

Der dritte Punkt betrifft Unterauftragsverarbeiter. Fast jede Software nutzt weitere Dienste. Welche das sind und ob sie sich ändern dürfen, gehört in den Vertrag und nicht in eine spätere Überraschung.

Zugänge werden zuverlässig angelegt und unzuverlässig entzogen. Wenn eine Kollegin die Einrichtung verlässt, denkt jemand an den Schlüssel und an die E-Mail-Adresse — an den Zugang zur Verwaltung oft erst Wochen später.

Das ist der häufigste reale Datenschutzvorfall in kleinen Einrichtungen, und er hat nichts mit Angriffen zu tun. Er entsteht durch einen fehlenden Schritt in einem Ablauf.

Was hilft, ist unspektakulär: Der Entzug gehört in dieselbe Checkliste wie die Schlüsselrückgabe, und es sollte jederzeit beantwortbar sein, wer aktuell Zugang hat. Eine Liste, die man nicht auf Anhieb erzeugen kann, ist in der Praxis keine.