DSGVO für Bildungsträger: Praxisleitfaden mit Checkliste

Lesedauer: ca. 18 Minuten | Zuletzt aktualisiert: 09. März 2026

Bildungsträger arbeiten täglich mit personenbezogenen Daten: Kontaktdaten von Teilnehmern, Leistungsnachweise, Gesundheitsinformationen bei Reha-Maßnahmen, Personalakten von Dozenten. Die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) stellen klare Anforderungen an den Umgang mit diesen Daten. Wer sie nicht einhält, riskiert Bußgelder, Reputationsschäden und im schlimmsten Fall den Verlust der AZAV-Zertifizierung.

Dieser Praxisleitfaden richtet sich an Geschäftsführer und QM-Verantwortliche von Bildungsträgern, die ihren Datenschutz systematisch aufstellen wollen. Er erklärt die relevanten Rechtsgrundlagen, zeigt die häufigsten Fehler in der Praxis und liefert eine konkrete Checkliste für die Umsetzung. Alle Angaben beziehen sich auf den Stand der DSGVO, des BDSG und des seit Mai 2024 geltenden TDDDG (ehem. TTDSG) [1][2][6].

1. Warum Datenschutz für Bildungsträger besonders relevant ist

Bildungsträger gehören zu den Unternehmen, die besonders viele und besonders sensible personenbezogene Daten verarbeiten. In der täglichen Arbeit fallen Kontaktdaten, Lebensläufe, Qualifikationsnachweise, Anwesenheitslisten, Leistungsbeurteilungen und bei geförderten Maßnahmen auch Informationen über den Arbeitslosigkeitsstatus oder gesundheitliche Einschränkungen an. Viele dieser Daten zählen nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten, für die ein erhöhtes Schutzniveau gilt [1].

Im Unterschied zu vielen anderen Branchen verarbeiten Bildungsträger diese Daten nicht nur intern, sondern geben sie regelmäßig an Dritte weiter: an die Bundesagentur für Arbeit, an Jobcenter, an fachkundige Stellen im Rahmen der AZAV-Zertifizierung und an Prüfungsinstitutionen wie IHK oder HWK. Jede dieser Schnittstellen erfordert eine eigene datenschutzrechtliche Bewertung. Fehler an einer einzigen Stelle können kaskadierende Folgen haben.

Wer den Datenschutz dagegen sauber aufstellt, gewinnt einen echten Wettbewerbsvorteil. Teilnehmer und Auftraggeber achten zunehmend darauf, wie Bildungsträger mit ihren Daten umgehen. Ein transparentes Datenschutzkonzept schafft Vertrauen und signalisiert Professionalität. Es ist deshalb kein Zufall, dass die fachkundigen Stellen den Datenschutz bei AZAV-Audits als festen Prüfpunkt behandeln.

2. Rechtsgrundlagen der Datenverarbeitung

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Ohne eine solche Grundlage ist die Verarbeitung rechtswidrig. Für Bildungsträger sind vier der sechs Rechtsgrundlagen in der Praxis relevant [3].

Rechtsgrundlage	Typische Anwendung	Beispiel beim Bildungsträger
Vertragserfüllung (Art. 6 Abs. 1 lit. b)	Datenverarbeitung zur Durchführung eines Vertrags	Teilnehmer schließt Bildungsvertrag ab: Name, Kontaktdaten, Kursdaten werden verarbeitet
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c)	Gesetzlich vorgeschriebene Datenverarbeitung	Meldepflichten an die Agentur für Arbeit, steuerrechtliche Aufbewahrung, Teilnahmenachweise für geförderte Maßnahmen
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)	Interessenabwägung zugunsten des Verantwortlichen	IT-Sicherheitsmaßnahmen, interne Qualitätssicherung, Kontaktaufnahme mit ehemaligen Teilnehmern für Verbleibsstatistiken
Einwilligung (Art. 6 Abs. 1 lit. a)	Freiwillige, informierte Zustimmung	Fotos auf der Website, Newsletter-Versand, Verwendung von Teilnehmer-Testimonials im Marketing

Ein häufiges Missverständnis: Viele Bildungsträger holen für nahezu jede Datenverarbeitung eine Einwilligung ein, obwohl eine andere Rechtsgrundlage greift. Das ist nicht nur unnötig, sondern kann sogar kontraproduktiv sein. Eine Einwilligung kann jederzeit widerrufen werden (Art. 7 Abs. 3 DSGVO). Wenn ein Teilnehmer die Einwilligung widerruft, die Datenverarbeitung aber eigentlich auf Vertragserfüllung gestützt werden könnte, entsteht Rechtsunsicherheit. Die Faustregel lautet: Einwilligungen nur dort einsetzen, wo keine andere Rechtsgrundlage trägt.

3. Datenschutzbeauftragter: Wann ist er Pflicht?

Nach § 38 BDSG müssen Unternehmen einen Datenschutzbeauftragten (DSB) benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind [2]. Entscheidend ist hier das Wort „ständig“: Gemeint sind Mitarbeiter, die regelmäßig und als wesentlichen Bestandteil ihrer Tätigkeit mit personenbezogenen Daten arbeiten. Bei einem Bildungsträger mit Teilnehmerverwaltung, Dozenten-Koordination, Personalwesen und Marketing ist diese Schwelle schnell erreicht.

Unabhängig von der 20-Personen-Schwelle besteht die DSB-Pflicht auch dann, wenn der Bildungsträger Verarbeitungen durchführt, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO bedürfen. Das kann bei der Verarbeitung von Gesundheitsdaten in Reha-Maßnahmen oder bei der systematischen Leistungsbewertung von Teilnehmern der Fall sein. Für öffentliche Bildungseinrichtungen wie staatliche Schulen oder Hochschulen gelten zusätzlich die jeweiligen Landesdatenschutzgesetze, die häufig strengere Regelungen vorsehen.

Auch wenn keine gesetzliche Pflicht besteht, kann die freiwillige Benennung eines DSB sinnvoll sein. Der DSB fungiert als zentraler Ansprechpartner für Datenschutzfragen, überwacht die Einhaltung der Vorschriften und unterstützt bei der Dokumentation. Ob Sie einen internen Mitarbeiter benennen oder einen externen DSB beauftragen, hängt von der Größe Ihres Trägers ab. Externe DSB bringen spezialisiertes Fachwissen mit und vermeiden Interessenkonflikte, verursachen aber laufende Kosten. Interne DSB kennen die Prozesse besser, benötigen aber regelmäßige Fortbildung und dürfen keine Leitungsfunktion in der IT oder Geschäftsführung innehaben (Art. 38 Abs. 6 DSGVO).

4. DSGVO umsetzen: Checkliste für Bildungsträger

Die DSGVO-Umsetzung lässt sich in vier Handlungsfelder gliedern. Für jedes Feld beschreiben wir die konkreten Aufgaben, die ein Bildungsträger abarbeiten muss.

Handlungsfeld 1: Bestandsaufnahme und Dokumentation

Am Anfang steht das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO. Es dokumentiert sämtliche Prozesse, bei denen personenbezogene Daten verarbeitet werden: Teilnehmerverwaltung, Personalwesen, Buchhaltung, Marketing, IT-Administration, Kommunikation mit der Agentur für Arbeit. Für jeden Prozess erfassen Sie den Zweck, die Rechtsgrundlage, die Kategorien betroffener Personen und Daten, eventuelle Empfänger, die Speicherdauer und die technischen Schutzmaßnahmen. Das VVT ist kein Papiertiger. Bei einer Prüfung durch die Aufsichtsbehörde ist es das erste Dokument, das angefordert wird.

Ergänzend zum VVT dokumentieren Sie Ihre technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO. Dazu gehören Zutrittskontrolle zu Serverräumen, Zugangskontrolle zu IT-Systemen (Passwortrichtlinien, Zwei-Faktor-Authentifizierung), Verschlüsselung von Datenträgern und E-Mails, regelmäßige Backups und ein dokumentiertes Löschkonzept. Prüfen Sie außerdem, ob für bestimmte Verarbeitungen eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich ist.

Handlungsfeld 2: Verträge und externe Dienstleister

Sobald ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, benötigen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Bei Bildungsträgern betrifft das typischerweise den IT-Dienstleister, den Cloud-Anbieter (z.B. für die Lernplattform), den Hosting-Provider der Website, die Lohnbuchhaltung und gegebenenfalls externe Coaches oder Dozenten, die Zugriff auf Teilnehmerdaten erhalten. Der AVV regelt Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten und die Pflichten beider Seiten. Ohne AVV ist die Datenübermittlung an den Dienstleister rechtswidrig.

Handlungsfeld 3: Betroffenenrechte und Transparenz

Die DSGVO gibt betroffenen Personen umfangreiche Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Bildungsträger müssen Prozesse etablieren, die eine fristgerechte Bearbeitung sicherstellen. Die Frist beträgt in der Regel einen Monat ab Eingang der Anfrage. Veröffentlichen Sie auf Ihrer Website eine vollständige Datenschutzerklärung, die über alle Verarbeitungen informiert und die Kontaktdaten des DSB enthält.

Handlungsfeld 4: Website, Online-Plattformen und TDDDG

Ein oft übersehener Bereich: Die Website und Online-Lernplattformen unterliegen neben der DSGVO auch dem TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis Mai 2024 als TTDSG bekannt) [6]. Das TDDDG regelt den Zugriff auf Endgeräte, also insbesondere Cookies und Tracking-Technologien. Vor dem Setzen nicht technisch notwendiger Cookies ist eine informierte Einwilligung erforderlich. Das betrifft Analyse-Tools wie Google Analytics, Marketing-Pixel (Meta, LinkedIn) und eingebettete Videos von YouTube oder Vimeo. Ein rechtskonformes Cookie-Banner mit granularer Auswahl ist Pflicht. Für Bildungsträger, die ihre digitalen Prozesse ausbauen, wird dieser Bereich zunehmend wichtig.

5. Die fünf häufigsten Datenschutz-Fehler

In der Beratungspraxis zeigt sich, dass Bildungsträger immer wieder an denselben Stellen scheitern. Die folgende Übersicht zeigt die fünf häufigsten Fehler und wie sie sich vermeiden lassen.

Fehler	Warum er passiert	Lösung
Fehlende AVV	Dienstleisterwechsel ohne datenschutzrechtliche Prüfung; „der IT-Dienstleister macht das schon“	AVV-Checkliste für jedes Onboarding eines externen Dienstleisters einführen
Unvollständiges VVT	Einmal erstellt, nie aktualisiert; neue Prozesse werden nicht nachgetragen	Jährliche Überprüfung fest einplanen; bei jedem neuen Tool oder Prozess VVT-Update auslösen
Einwilligung statt richtige Rechtsgrundlage	Unsicherheit über Rechtsgrundlagen; „mit Einwilligung sind wir auf der sicheren Seite“	Rechtsgrundlagen-Zuordnung pro Verarbeitungsprozess erstellen (siehe Tabelle in Abschnitt 2)
Keine Mitarbeiterschulung	Datenschutz wird als „Sache des DSB“ betrachtet	Jährliche Pflichtschulung für alle Mitarbeiter; kurze Auffrischung bei Onboarding neuer Mitarbeiter
Kein Notfallplan für Datenpannen	„Uns passiert das nicht“; keine Vorbereitung auf den Ernstfall	Meldeprozess dokumentieren: Wer meldet wann an wen? Die 72-Stunden-Frist nach Art. 33 DSGVO lässt keinen Spielraum

6. Bußgelder und Konsequenzen bei Verstößen

Die DSGVO unterscheidet zwei Bußgeldstufen [4]. Verstöße gegen organisatorische Pflichten (z.B. fehlendes Verarbeitungsverzeichnis, kein DSB trotz Pflicht, fehlende Auftragsverarbeitungsverträge) können mit Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO). Verstöße gegen die Grundsätze der Verarbeitung, die Betroffenenrechte oder die Rechtsgrundlagen können bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes kosten (Art. 83 Abs. 5 DSGVO). In der Praxis orientieren sich die Aufsichtsbehörden bei der Bemessung an der Schwere des Verstoßes, dem Grad des Verschuldens und der Kooperationsbereitschaft des Unternehmens.

Für die meisten Bildungsträger sind die indirekten Folgen eines Datenschutzverstoßes mindestens so gravierend wie die Geldbuße selbst. Ein öffentlich bekannt gewordener Vorfall beschädigt das Vertrauen von Teilnehmern, Auftraggebern und der Bundesagentur für Arbeit. Besonders kritisch: Schwere oder wiederholte Datenschutzverstöße können die AZAV-Zertifizierung gefährden. Wenn eine fachkundige Stelle im Rahmen des Überwachungsaudits feststellt, dass das Datenschutzkonzept grundlegend mangelhaft ist, droht im Extremfall der Entzug der Trägerzulassung. Das würde den Ausschluss vom gesamten geförderten Weiterbildungsmarkt bedeuten.

7. Datenschutz und AZAV-Zertifizierung

Die AZAV-Verordnung nennt Datenschutz nicht als eigenständiges Zulassungskriterium. In der Praxis ist er trotzdem fester Bestandteil jeder Trägerzulassung. Der Grund: Die Trägerzulassung nach § 178 SGB III verlangt ein funktionierendes Qualitätsmanagementsystem, das die „Ordnungsmäßigkeit der Geschäftsführung“ sicherstellt. Fachkundige Stellen interpretieren diese Anforderung so, dass ein angemessenes Datenschutzkonzept zum Mindeststandard gehört. Bei AZAV-Audits werden regelmäßig das Verarbeitungsverzeichnis, die TOM-Dokumentation, Auftragsverarbeitungsverträge und die Benennung eines DSB (sofern Pflicht) geprüft.

Bildungsträger, die ihre AZAV-Zertifizierung vorbereiten oder ein Überwachungsaudit ansteht, sollten den Datenschutz als eigenständigen Prüfpunkt auf ihre Audit-Checkliste setzen. Konkret empfiehlt es sich, das VVT aktuell zu halten, alle AVV griffbereit zu haben, die letzte Mitarbeiterschulung zu dokumentieren und ein aktuelles TOM-Dokument vorzulegen. Wer das systematisch pflegt, hat im Audit nichts zu befürchten.

8. Fazit

Datenschutz ist für Bildungsträger kein optionales Zusatzthema, sondern eine Grundanforderung an den professionellen Geschäftsbetrieb. Die DSGVO stellt klare Regeln auf, die sich mit einem systematischen Ansatz gut umsetzen lassen: Rechtsgrundlagen zuordnen, Verarbeitungsverzeichnis führen, Auftragsverarbeitungsverträge abschließen, Mitarbeiter schulen, Betroffenenrechte sicherstellen. Wer das als laufenden Prozess versteht und in sein QM-System integriert, minimiert Risiken und stärkt das Vertrauen von Teilnehmern und Auftraggebern.

Gerade für AZAV-zertifizierte Bildungsträger zahlt sich ein sauberer Datenschutz doppelt aus: Er schützt vor Bußgeldern und Reputationsschäden und er sichert gleichzeitig die Trägerzulassung. Mit der zunehmenden Digitalisierung von Lernformaten, der Nutzung von Cloud-Plattformen und dem Einsatz von KI-gestützten Lerntools wird der Datenschutz in den kommenden Jahren eher an Bedeutung gewinnen als verlieren. Bildungsträger, die ihr Datenschutzkonzept jetzt robust aufstellen, sind dafür gewappnet.

Weitere interessante Artikel