Datenschutz bei Schulkooperationen: Was Vereine dürfen

Dann wird schnell gefragt: „Könnt ihr uns die Kontaktdaten schicken?“ Genau hier beginnt Datenschutz bei Schulkooperationen für Vereine.

Die unbequeme Antwort lautet: Gemeinnützigkeit ist keine Datenfreigabe. Ehrenamt auch nicht. Und ein guter Zweck ersetzt keine Rechtsgrundlage. Wer das als Bürokratie abtut, hat den Kern verpasst: Schülerdaten sind kein Material, das zwischen Schule, Verein, Sponsor und Beratungsstelle herumgereicht wird, weil alle es gut meinen.

Gerade junge Menschen erleben oft genug, dass Erwachsene über sie sprechen, statt mit ihnen. Datenschutz ist deshalb nicht nur ein Aktenordner-Thema. Er schützt Selbstbestimmung, Vertrauen und die Möglichkeit, Hilfe anzunehmen, ohne dass plötzlich die halbe Schule Bescheid weiß.

Wann darf eine Schule Schülerdaten an einen Verein weitergeben?

Die kurze Version: nicht einfach deshalb, weil die Kooperation sinnvoll erscheint.

Staatliche Schulen in Bayern dürfen personenbezogene Daten nur verarbeiten, soweit das für ihre gesetzlich zugewiesenen Aufgaben erforderlich ist. Ein Verein kann noch so engagiert arbeiten, ein Projekt kann noch so dringend sein: Die reine Zweckmäßigkeit reicht nicht aus, damit eine Klassenliste, E-Mail-Adressen, Fehlzeiten oder Förderinformationen weitergegeben werden dürfen.

Nach § 39 Abs. 3 BaySchO ist die Weitergabe von Schülerunterlagen an andere Stellen grundsätzlich nicht ohne Einwilligung zulässig. Dazu gehören nicht nur klassische Akten. Auch digitale Listen, Gesprächsnotizen, Leistungsübersichten, Kontaktdaten oder Hinweise auf Unterstützungsbedarf können personenbezogene Daten mit hoher Sensibilität sein.

Das bedeutet in der Praxis: Die Schule sollte nicht routinemäßig komplette Datenbestände an einen kooperierenden Verein übergeben. Kein „Hier ist die Liste aller Neuntklässler, dann könnt ihr sie direkt ansprechen“. Kein „Die drei Jugendlichen fehlen oft, meldet euch mal bei deren Eltern“. Und erst recht kein Versand von Förderplänen oder Leistungsdaten per ungesicherter E-Mail.

Unterstützung braucht Nähe. Aber Nähe ist keine Erlaubnis, private Daten locker weiterzureichen.

Es gibt Kooperationen, die fast ohne Datenfluss funktionieren. Ein Verein veranstaltet etwa einen offenen Bewerbungstag, bietet Lernpatenschaften an oder stellt bei einem Elternabend sein Angebot vor. Die Schule informiert ihre Schülerinnen und Schüler, die Teilnahme erfolgt freiwillig, und die jungen Menschen oder ihre Familien nehmen selbst Kontakt auf. Das ist oft der sauberere Weg als die vermeintlich praktische Übergabe einer Kontaktliste.

Was Vereine ohne Datentransfer tun können

Ein Verein muss nicht zuerst Daten bekommen, um an Schule wirksam zu sein. Gerade in der Netzwerkarbeit in Bad Tölz und vergleichbaren Regionen funktionieren niedrigschwellige Wege oft besser:

• Die Schule verteilt einen Flyer, einen QR-Code oder eine Projektbeschreibung über ihre eigenen Kanäle. Der Verein erhält dabei keine Namen oder Kontaktdaten.
• Der Verein ist zu festen Zeiten vor Ort, etwa in einer offenen Sprechstunde, einem Berufsorientierungsprojekt oder einem Sprachcafé. Jugendliche entscheiden selbst, ob sie ins Gespräch kommen.
• Lehrkräfte weisen individuell auf Angebote hin, ohne persönliche Informationen an den Verein weiterzugeben.
• Eltern melden ihre Kinder direkt zu einem Angebot des Vereins an. Dann erhebt der Verein nur die Daten, die für genau dieses Angebot wirklich nötig sind.
• Bei Veranstaltungen führt der Verein eine eigene, schlanke Anmeldung durch, statt auf Klassenlisten zurückzugreifen.

Das klingt zunächst nach mehr Aufwand. In Wahrheit verhindert es die typische Datenfalle: Niemand weiß hinterher genau, welche Liste wann bei wem gelandet ist, wer Zugriff hatte und ob die Kontakte noch gebraucht werden. Aus einem gut gemeinten Projekt wird dann schnell ein organisatorischer Blindflug.

Welche Rolle hat der Verein eigentlich?

Die Frage „Dürfen wir die Daten bekommen?“ ist zu kurz. Die präzisere Frage lautet: Wer entscheidet, warum Daten verarbeitet werden, welche Daten verarbeitet werden, wer darauf zugreift und wann sie gelöscht werden?

Davon hängt ab, welche Rolle ein Verein datenschutzrechtlich einnimmt. Ein Kooperationsvertrag zwischen Schule und Verein kann sinnvoll sein. Er beantwortet diese Frage aber nicht automatisch. Der Titel eines Dokuments ist kein Datenschutzkonzept.

Die Auftragsverarbeitung wird in der Praxis gern zu schnell behauptet. „Wir machen das doch im Auftrag der Schule“ klingt erstmal ordentlich. Ist es aber nur, wenn der Verein tatsächlich keine eigenen Entscheidungen über Zweck und Mittel trifft. Sobald der Verein etwa selbst auswählt, welche Jugendlichen er begleitet, eigene Beratungsdokumentationen führt oder Daten für seine weitere Arbeit verwendet, wird die Sache deutlich komplexer.

Ein Beispiel: Die Schule organisiert einen Projekttag, der Verein übernimmt nach konkreter Weisung die technische Anmeldung über ein schulisches System. Der Verein entscheidet nicht selbst über Teilnehmende, Inhalte oder spätere Nutzung der Daten. Das kann in Richtung Auftragsverarbeitung gehen.

Anderes Beispiel: Ein Verein bietet ein freiwilliges Mentoring für Jugendliche an. Er führt Kennenlerngespräche, vermittelt Ehrenamtliche, dokumentiert Kontakte und organisiert seine Begleitung eigenständig. Dann verarbeitet der Verein in aller Regel Daten für ein eigenes Angebot. Die Schule kann das Projekt unterstützen, aber sie kann nicht einfach ihre Unterlagen in den Vereinsbriefkasten kippen.

Der Fehler mit der „einen Einwilligung für alles“

Besonders riskant sind Formulare mit einem Satz wie: „Ich bin mit der Weitergabe meiner Daten an Kooperationspartner einverstanden.“ Das ist keine präzise Einwilligung, sondern eine Datenschutzerklärung im Nebel.

Eine Einwilligung muss konkret sagen:

• welche Daten betroffen sind;
• zu welchem klar benannten Zweck sie genutzt oder weitergegeben werden;
• wer verantwortlich ist;
• welche Personen oder Stellen Zugriff erhalten;
• wie lange die Daten voraussichtlich gespeichert werden;
• ob und an wen Daten weitergegeben werden können;
• dass die Einwilligung freiwillig ist und jederzeit widerrufen werden kann.

Bei Minderjährigen reicht die Erwachsenenperspektive nicht. Soll eine Einwilligung für Schülerunterlagen eingeholt werden, muss sie schriftlich erfolgen und den Zweck konkret benennen. Bei Minderjährigen benötigen die Erziehungsberechtigten ihre Einwilligung. Ab Vollendung des 14. Lebensjahres muss zusätzlich die Schülerin oder der Schüler selbst einwilligen.

Das ist keine Schikane. Wer mit 15 Jahren an einem Mentoring, einer Beratungsgruppe oder einem Medienprojekt teilnimmt, muss verstehen können, was mit den eigenen Angaben passiert. Ein Formular in Verwaltungssprache, das niemand erklärt, erzeugt keine echte Beteiligung. Es erzeugt nur Unterschriften.

Freiwilligkeit heißt: Niemand darf das Gefühl bekommen, ohne Zustimmung weniger Unterstützung, schlechtere Behandlung oder weniger Chancen zu erhalten.

Gerade im Schulkontext ist das sensibel. Lehrkräfte haben Autorität, soziale Gruppen erzeugen Druck, und Jugendliche wollen nicht als „schwierig“ gelten. Deshalb darf eine Verweigerung keine Nachteile haben. Auch die Alternative muss real sein: Wer nicht in die Weitergabe von Kontaktdaten einwilligt, darf nicht automatisch aus einem hilfreichen Angebot herausfallen, wenn es organisatorisch anders möglich wäre.

Welche Schülerdaten braucht ein Verein wirklich?

Die ehrlichste Datenschutzprüfung beginnt nicht beim Formular, sondern bei einer simplen Frage: Was brauchen wir für dieses konkrete Angebot tatsächlich?

Bei einer offenen Berufsorientierung kann ein Vorname oder gar keine personenbezogene Angabe genügen. Für eine verbindliche Anmeldung zu einer Ferienaktion können Name, Alter, Kontaktmöglichkeit und Informationen zu Abholung oder medizinischen Besonderheiten erforderlich sein. Für eine längerfristige Begleitung kann mehr nötig sein. Aber „mehr“ ist nicht automatisch „alles“.

Besonders vorsichtig sollten Vereine bei diesen Informationen sein:

• Fehlzeiten, Noten und Leistungsstände;
• Förderbedarfe, Diagnosen oder Angaben zur psychischen Gesundheit;
• Informationen zu familiären Belastungen, Fluchterfahrungen oder aufenthaltsrechtlichen Themen;
• Konfliktvermerke, Gesprächsprotokolle oder Einschätzungen von Lehrkräften;
• Kontaktdaten von Eltern und Geschwistern;
• Fotos, Audioaufnahmen und Videos.

Solche Daten schaffen schnell ein Bild von einem Jugendlichen, das länger lebt als die konkrete Situation. Ein junger Mensch, der in der achten Klasse viel gefehlt hat, ist nicht für immer „der mit den Problemen“. Genau deshalb müssen Zugriffe auf den Einzelfall begrenzt bleiben. Daten dürfen nicht als informelles Hintergrundwissen durch ein Netzwerk wandern.

Für die dsgvo im ehrenamt heißt das ganz praktisch: Auch Ehrenamtliche brauchen klare Spielregeln. Nicht nur der Vorstand. Nicht nur die Person, die das Formular erstellt hat. Wer Gespräche führt, Listen verwaltet, Fotos macht oder Messenger-Gruppen organisiert, verarbeitet möglicherweise Daten.

Ein guter interner Rahmen besteht aus wenigen, aber verbindlichen Punkten:

1. Zugriffe begrenzen: Nicht jede Person im Verein braucht Zugriff auf alle Teilnehmendendaten. Eine Mentorin braucht vielleicht eine Kontaktmöglichkeit und Absprachen zum Termin, aber keine komplette Vorgeschichte aus der Schule.

2. Private Kanäle nicht zur Schattenakte machen: Sensible Informationen gehören nicht in private Messenger-Chats, offene Gruppen oder persönliche E-Mail-Postfächer. Was schnell verschickt ist, ist nicht automatisch kontrollierbar.

3. Löschung von Anfang an mitdenken: Es gibt keine pauschale Aufbewahrungsfrist für alle Daten aus Schulkooperationen. Deshalb muss der Verein je Angebot festlegen: Wofür speichern wir diese Daten, und wann endet dieser Zweck?

4. Gesprächsnotizen reduzieren: Nicht jedes Gespräch braucht ein Protokoll. Wenn Dokumentation nötig ist, dann sachlich, knapp und zugriffsgeschützt. Kein psychologisches Profiling aus Bauchgefühl.

5. Spendenkommunikation trennen: Wer sich zu einem Jugendprojekt anmeldet, hat nicht automatisch zugestimmt, später Vereinswerbung, Sponsorenpost oder Spendenaufrufe zu erhalten. Das sind unterschiedliche Zwecke.

Was gilt für Fotos, Videos und Social Media?

Hier wird es oft besonders locker. Schulfest, Abschlussprojekt, Berufsmesse, alle sind motiviert, jemand zückt das Smartphone – und zack, ein Reel ist online. Die digitale Realität ist schnell. Der Schutz junger Menschen darf trotzdem nicht auf Standbild stehen bleiben.

Foto-, Ton- und Videoaufnahmen von Schülerinnen und Schülern sind im schulischen Kontext im Regelfall nicht einfach durch eine gesetzliche Befugnis gedeckt. Eine wirksame, hinreichend konkrete Einwilligung ist grundsätzlich erforderlich. Ein Satz im Elternbrief wie „Während der Veranstaltung werden Fotos gemacht“ reicht nicht.

Eine saubere Einwilligung unterscheidet mindestens:

• Fotoaufnahmen;
• Tonaufnahmen;
• Videoaufnahmen;
• Veröffentlichung auf der Vereinswebsite;
• Veröffentlichung in sozialen Netzwerken;
• Nutzung in Printmaterialien;
• mögliche Weitergabe an Presse, Fördernde oder Sponsoren.

Wer alles in eine einzige pauschale Freigabe packt, macht es sich bequem – und den Betroffenen unmöglich, differenziert zu entscheiden. Eltern können mit einem Foto für den internen Jahresbericht einverstanden sein, aber keine Veröffentlichung in sozialen Netzwerken wollen. Ein Jugendlicher kann einem Gruppenbild zustimmen, aber nicht einem Interviewvideo über persönliche Erfahrungen.

Noch ein Punkt, der gern verdrängt wird: Ein Bild lässt sich online kaum zurückholen. Ein Widerruf wirkt für künftige Nutzungen, aber Screenshots, Weiterverbreitungen und Plattformlogiken verschwinden nicht auf Knopfdruck. Deshalb ist Zurückhaltung kein Verlust für die Öffentlichkeitsarbeit. Sie ist Professionalität.

Für Projekte mit Jugendlichen lohnt sich außerdem eine bildarme Kommunikationsstrategie: Hände bei der Arbeit, Ergebnisse, Materialien, Räume, anonymisierte Zitate mit Zustimmung oder Illustrationen erzählen oft genug. Nicht jede Wirkung braucht ein erkennbares Gesicht.

Was passiert bei einer Datenpanne?

Eine verlorene Teilnehmendenliste, eine E-Mail mit offenem Verteiler, ein Handy ohne Sperre, ein falsch adressierter Anhang: Datenschutzverletzungen passieren nicht nur bei großen Behörden. Sie passieren dort, wo Menschen unter Zeitdruck arbeiten und Zuständigkeiten verschwimmen. Also auch im Verein.

Dann ist die schlechteste Reaktion: erst mal hoffen, dass es niemand merkt.

Wenn eine Datenschutzverletzung voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen verursacht, muss der Verantwortliche die zuständige Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden informieren. Nicht jede Panne löst automatisch eine Meldung aus. Aber jede Panne braucht eine schnelle Bewertung und saubere Dokumentation.

Ein Verein sollte deshalb vor dem ersten Schulprojekt einen einfachen Meldeweg festlegen:

• Wer wird sofort informiert, wenn eine Liste, ein Gerät oder ein Zugang verloren geht?
• Wer darf entscheiden, ob Daten betroffen sind und wie hoch das Risiko ist?
• Wo wird der Vorfall dokumentiert?
• Wie werden Zugangsdaten geändert, Dateien zurückgerufen oder Empfänger informiert?
• Wer stimmt sich mit der Schule ab, wenn beide Seiten betroffen sind?
• Wer übernimmt die Kommunikation mit Betroffenen und gegebenenfalls der Aufsicht?

Das muss kein Konzernhandbuch mit hundert Seiten sein. Aber es darf auch nicht bei „Der Vorstand weiß schon Bescheid“ enden. Wenn niemand weiß, wer handelt, laufen die 72 Stunden schneller ab als jede Vorstandssitzung.

Braucht ein gemeinnütziger Verein einen Datenschutzbeauftragten?

Nicht jeder Verein braucht automatisch einen Datenschutzbeauftragten. Ob eine Benennung erforderlich ist, hängt vom konkreten Umfang und der Art der Datenverarbeitung ab. Gerade bei regelmäßiger Verarbeitung sensibler Daten, größeren digitalen Systemen oder umfangreicher Begleitung von Jugendlichen sollte der Verein die Frage jedoch nicht nebenbei behandeln.

Entscheidend ist ohnehin nicht nur, ob ein Datenschutzbeauftragter formell bestellt werden muss. Entscheidend ist, ob im Verein jemand verbindlich Verantwortung übernimmt: Datenflüsse kennt, Vorlagen prüft, Löschungen organisiert und bei Unsicherheit rechtzeitig fachlichen Rat einholt.

Der Datenschutzbeauftragte im gemeinnützigen Verein ist keine Alibi-Funktion und kein Mensch, der nur bei Beschwerden aus dem Schrank geholt wird. Wenn es diese Rolle gibt, muss sie früh in Projekte hinein. Nicht erst dann, wenn das Anmeldeformular schon gedruckt und die Cloud-Freigabe längst verschickt ist.

Kooperation heißt nicht Datenverkehr

Eine starke Schulkooperation entsteht nicht dadurch, dass möglichst viele Informationen möglichst schnell weitergegeben werden. Sie entsteht durch klare Rollen, freiwillige Zugänge und Erwachsene, die den Datenschutz nicht als Misstrauensvotum gegen ihr Engagement verstehen.

Schule, Verein, Jugendhilfe, Ehrenamt und Fördernde können gemeinsam viel bewegen. Aber sie dürfen dabei nicht aus dem Blick verlieren, wem die Informationen gehören: den jungen Menschen und ihren Familien.

Die bessere Frage lautet deshalb nicht: „Wie kommen wir möglichst unkompliziert an die Daten?“ Sondern: „Wie bauen wir ein Angebot, das Jugendliche auch ohne Datenabkürzung erreichen können?“

Das ist manchmal langsamer. Es ist fast immer respektvoller. Und es ist die Art von Netzwerk, die nicht nur gut aussieht, sondern Vertrauen wirklich trägt.