Datenschutz

Zuständigkeit

Volksschulen sind kommunale öffentliche Organe. Für die Aufsicht zuständig ist die Fachstelle für Datenschutz der Gemeinde; die kantonale Fachstelle liefert die Arbeitshilfen.

Welche Daten hat die Schule?

Bevor eine Plattform oder ein Ablageort gewählt wird, steht die Frage, um welche Daten es geht. Die Handreichung Datenschutz des Kantons unterscheidet drei Stufen (Kapitel 2):

Je nach Lage kann eine gewöhnliche Angabe besonders schützenswert werden: Die Adresse eines Kindes etwa, wenn die Eltern wegen Gewalt in der Familie getrennt leben. Wer unsicher ist, ordnet die Daten der höheren Stufe zu.

Die Handreichung des Kantons von 2019 ist bei den Personendaten strenger: Klassenlisten, Notenblätter und Beurteilungen liegen in der Cloud nur verschlüsselt (Kapitel 5.1.3). Wer davon abweichen will, klärt das mit der Fachstelle der Gemeinde.

Verschlüsseln: Pflicht oder Empfehlung?

Ein eigenes Gesetz zur Verschlüsselung gibt es nicht. Verbindlich ist die Pflicht, Daten technisch und organisatorisch vor unbefugtem Zugriff zu sichern (Art. 4 Abs. 3 DSG), und die Bedingung, dass eine Auslagerung an Dritte nur zulässig ist, wenn diese Gewähr für den Datenschutz bieten (Art. 9 DSG). Wie das bei der Cloud zu verstehen ist, legen zwei Arbeitshilfen aus:

• Die Handreichung Datenschutz des Kantons (Kapitel 5.1.3): Cloud-Dienste gelten grundsätzlich als unsicher; vertrauliche und geheime Daten werden dort nur mit Verschlüsselung und Zugriffsschutz gespeichert.
• Die Resolution von privatim (November 2025), der Konferenz der schweizerischen Datenschutzbeauftragten: Besonders schützenswerte Personendaten gehören nur dann in die Cloud grosser internationaler Anbieter, wenn die Schule sie selbst verschlüsselt und der Anbieter keinen Zugang zum Schlüssel hat.

Beides ist kein Gesetz, aber die Auslegung, an der sich die Aufsicht orientiert. Da die Schule die Einhaltung nachweisen muss (Art. 3 DSG), ist der sicherste Weg, sich daran zu halten.

So geht es in der Praxis

1. Zuerst prüfen, ob die Daten in die Cloud müssen. Noten und Zeugnisse gehören in PUPIL@SG. Vieles lässt sich auf dem Server der Schule oder auf Papier aufbewahren.
2. Vor dem Hochladen verschlüsseln, mit einem Werkzeug, bei dem nur die Schule den Schlüssel hat. Zwei verbreitete, kostenlose Beispiele, keine Empfehlung eines bestimmten Produkts: - 7-Zip (Windows): Dateien mit Rechtsklick zu einem Archiv packen, als Verschlüsselung AES-256 wählen, «Dateinamen verschlüsseln» ankreuzen und ein starkes Passwort setzen. - Cryptomator (Windows, macOS, Linux, Apps für iPad und Android): legt im Cloud-Ordner einen verschlüsselten Tresor an. Was darin gespeichert wird, verschlüsselt das Programm automatisch (Anleitung).
3. Den Schlüssel getrennt halten. Das Passwort liegt nie im selben Cloud-Dienst und wird auf anderem Weg weitergegeben, etwa persönlich oder per Telefon.
4. Zuständigkeit festlegen. Mit dem technischen Support klären, wer die Schlüssel verwaltet und wie sie bei einem Personalwechsel übergeben werden. Ein verlorenes Passwort heisst: Die Daten sind verloren.

Welche Hilfe wann

Die Formulare und Musterbriefe der Fachstelle stehen unten bei den Vorlagen. Sie sind dort verlinkt, nicht kopiert: So öffnet sich immer die Fassung, die der Kanton aktuell bereitstellt. Am besten schaut die Schulleitung sie an, bevor sie gebraucht werden. Im Ernstfall, etwa nach einem Geräteverlust, bleibt wenig Zeit.

Zu den Vorlagen

Die Rheintaler Schulen haben für Microsoft 365 ein Nutzungskonzept, ein Rollen- und Berechtigungskonzept und eine Datenschutz-Folgenabschätzung gemeinsam erarbeitet. Bei der Prüfung vom 1. Oktober 2026 hat sich gezeigt, dass zwei davon in einem zentralen Punkt nicht mehr stimmen: Sie lassen besonders schützenswerte Personendaten wie Förderpläne, Abklärungsberichte und Gesundheitsangaben mit Mehrfaktor-Authentifizierung in Microsoft 365 zu. Nach der Resolution von privatim vom November 2025 gehört solches nur dann in Cloud-Dienste internationaler Anbieter, wenn die Schule es selbst verschlüsselt. Zudem ist der Rahmenvertrag von educa mit Microsoft, auf den sie sich stützen, am 31. Juli 2024 ausgelaufen.

• Nutzungskonzept Microsoft 365: Die Handreichung bietet eine überarbeitete Fassung des Rheintaler Konzepts als Muster an.
• Datenschutz-Folgenabschätzung: Das Formular der kantonalen Fachstelle verwenden.
• Rollen- und Berechtigungskonzept: Die Fassung der PSNLZ mit PUPIL@SG ist aktuell; die ältere mit LehrerOffice wurde entfernt.
• Die kantonale Handreichung Datenschutz stammt von 2019 und nennt noch LehrerOffice. Sie bleibt die zentrale Quelle für Schulen, ersetzt aber nicht den Blick auf die aktuellen Merkblätter. Einen Überblick gibt Rechtliche Grundlagen.