DSGVO in der Sprachschule: Schülerdaten, Gastfamilien und der Vertrag, der oft fehlt

Vorab in eigener Sache: Wir sind ein Software-Anbieter, keine Rechtsanwälte — dieser Artikel ordnet die Praxis, ersetzt aber keine Rechtsberatung. Für verbindliche Fragen sprechen Sie mit Ihrer Datenschutzbeauftragten oder Ihrem Anwalt.

Kurz gesagt: Eine Sprachreise-Schule verarbeitet Daten von Minderjährigen und Gesundheitsangaben — die fünf Punkte, an denen sich der Datenschutz in der Praxis entscheidet: ein Auftragsverarbeitungsvertrag mit jedem Werkzeug, Sonderbehandlung für Gesundheitsfelder, kontrollierte Datenweitergabe an Gastfamilien, ein Löschkonzept und ein 72-Stunden-Plan für Datenpannen.

Sprachschulen unterschätzen regelmäßig, wie sensibel ihr Datenbestand ist. Eine Sprachreise-Schule verarbeitet nicht nur Namen und Rechnungsadressen: Da sind Daten von Minderjährigen, deren Buchungen die Eltern unterschreiben. Da sind Gesundheitsangaben aus Anmeldeformularen — Allergien, Unverträglichkeiten, Medikamente —, die für die Gastfamilie gedacht sind und rechtlich zu den besonders geschützten Kategorien gehören. Da sind Passdaten für Visa-Unterlagen, Zahlungsdaten, und bei alldem eine Kette von Beteiligten: Agentur, Schule, Gastfamilie, Versicherung.

Genau diese Kette macht den Datenschutz in der Sprachschule zu etwas anderem als in einem gewöhnlichen Kleinbetrieb. Hier sind die fünf Punkte, an denen sich in der Praxis entscheidet, ob das Thema geordnet ist oder nicht.

1. Der Auftragsverarbeitungsvertrag — mit jedem Werkzeug, das Schülerdaten sieht

Sobald ein externer Dienst personenbezogene Daten für Sie verarbeitet — Ihre Verwaltungssoftware, Ihr E-Mail-Anbieter, Ihr Newsletter-Tool —, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV). Das ist keine Formalie: Der AVV legt fest, wo die Daten liegen, wer Unterauftragsverarbeiter ist und was bei einer Datenpanne passiert.

Der Praxistest ist einfach: Listen Sie jedes Werkzeug auf, das Schülerdaten enthält, und prüfen Sie, ob ein AVV vorliegt. Bei einer seriösen Verwaltungssoftware bekommen Sie ihn auf Anfrage — zusammen mit einer schriftlichen Übersicht der technischen und organisatorischen Maßnahmen. Bekommen Sie ihn nicht, ist das ein Warnsignal, das mit Funktionen nicht aufzuwiegen ist.

2. Gesundheitsangaben sind keine gewöhnlichen Formularfelder

„Hat Ihr Kind Allergien?” ist die wahrscheinlich häufigste Frage auf Anmeldeformularen für Juniorenprogramme — und ihre Antwort fällt unter Art. 9 DSGVO, die besonderen Kategorien personenbezogener Daten. Das heißt praktisch: Diese Angaben brauchen eine eigene Rechtsgrundlage (in der Regel die ausdrückliche Einwilligung), sie gehören nicht in Freitextfelder, die jeder im Team sieht, und sie gehören gelöscht, wenn der Aufenthalt vorbei ist.

Ein Verwaltungssystem hilft hier mit zwei Dingen: Rollenrechten, damit die Unterkunftsabteilung sieht, was die Gastfamilie wissen muss, die Buchhaltung aber nicht — und strukturierten Feldern statt Freitext, damit man beim Löschen überhaupt findet, was zu löschen ist.

3. Die Gastfamilie ist eine Datenweitergabe — behandeln Sie sie auch so

Damit eine Platzierung funktioniert, muss die Gastfamilie einiges wissen: Name, Alter, Ankunftszeit, Essgewohnheiten, gegebenenfalls Gesundheitshinweise. Das ist eine Weitergabe personenbezogener Daten an Dritte — zulässig, soweit sie für die Vertragserfüllung erforderlich ist, aber eben nur soweit erforderlich. Die Gastfamilie braucht die Allergie-Information; sie braucht nicht die Rechnungshistorie.

In der Praxis bewährt sich das Prinzip der abgestuften Ansicht: Die Gastfamilie erhält ein definiertes Datenblatt, nicht den ganzen Datensatz. Wer das per E-Mail-Weiterleitung aus dem Posteingang löst, verliert genau diese Kontrolle.

4. Löschen können muss man auch

Die DSGVO verlangt nicht, dass Sie Daten ewig aufheben — im Gegenteil. Buchungs- und Rechnungsdaten unterliegen handels- und steuerrechtlichen Aufbewahrungsfristen; das Anmeldeformular mit Gesundheitsangaben von 2019 tut das nicht. Ein brauchbares Löschkonzept beantwortet drei Fragen: Welche Datenarten gibt es, wie lange braucht jede davon eine Grundlage, und wie wird gelöscht — systematisch oder von Hand?

Auch hier gilt: In einer Tabellenlandschaft mit Kopien in Postfächern ist systematisches Löschen faktisch unmöglich. In einem zentralen System ist es eine Funktion.

5. Der Ernstfall hat eine Frist: 72 Stunden

Eine Datenpanne — der verlorene Laptop, das fehlgeleitete Dokument, der kompromittierte Zugang — ist meldepflichtig gegenüber der Aufsichtsbehörde, im Regelfall binnen 72 Stunden (Art. 33 DSGVO); für Schulen in NRW ist das die LDI NRW. Diese Frist hält nur, wer vorher weiß, wer im Team zuständig ist, wie man den Vorfall eingrenzt und welche Behörde zuständig ist. Ein Zettel mit diesen drei Antworten ist keine Bürokratie, sondern der Unterschied zwischen einem geordneten Vorfall und einem chaotischen.

Was das für die Software-Auswahl heißt

Wenn Sie Verwaltungssoftware auswählen, ist Datenschutz kein eigenes Kapitel neben den Funktionen — er steckt in ihnen: Rollenrechte, strukturierte Felder, definierte Partner-Ansichten, Löschbarkeit, ein AVV ohne Nachfragen-Pingpong. Diese Fragen haben wir in unsere Auswahl-Checkliste aufgenommen — und wie Fidelo Hosting, Rollen und Auftragsverarbeitung handhabt, steht offen auf unserer Sicherheitsseite.