Gilt Art. 30 DSGVO für kleine Privatschulen mit weniger als 250 Mitarbeitenden?

Grundsätzlich enthält Art. 30 Abs. 5 DSGVO eine Ausnahme für Organisationen unter 250 Beschäftigte — aber nur bei nicht regelmäßiger, risikoarmer Verarbeitung ohne besondere Datenkategorien. Privatschulen verarbeiten regelmäßig, strukturiert und oft auch Gesundheitsdaten (Atteste, BAföG-Unterlagen,

Was ist der Unterschied zwischen dem Verarbeitungsverzeichnis und der Datenschutzerklärung?

Das Verarbeitungsverzeichnis ist ein internes Dokument für die Aufsichtsbehörde — es ist nicht öffentlich zugänglich und wird nicht auf der Website veröffentlicht. Die Datenschutzerklärung nach Art. 13 und 14 DSGVO ist das Gegenstück für die Betroffenen: Sie informiert Bewerber, Studierende und Webs

Brauchen wir einen Datenschutzbeauftragten?

Für die überwiegende Mehrheit der Privatschulen und privaten Hochschulen in Deutschland: ja. § 38 BDSG verpflichtet zur Bestellung eines DSB, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind — ein Schwellenwert, den selbst mittelgroße Sc

Wie lange müssen Bewerberdaten gespeichert werden?

Abgelehnte Bewerber: Die Daten dürfen nur so lange gespeichert werden, wie es für die Abwehr möglicher Rechtsansprüche erforderlich ist — in der Regel bis zum Ablauf der Widerspruchsfrist gegen den Ablehnungsbescheid (typischerweise 1 Monat nach Bestandskraft). Danach sind die Daten zu löschen, sowe

Muss ein KI-Chatbot im Verarbeitungsverzeichnis eingetragen sein?

Ja, unbedingt. Ein KI-Chatbot ist eine automatisierte Verarbeitung personenbezogener Daten im Sinne der DSGVO, sobald er Eingaben von Nutzern entgegennimmt und speichert — selbst wenn nur IP-Adressen und technische Logs anfallen. Wenn der Chatbot Daten an einen Anbieter außerhalb der EU überträgt, i

Verarbeitungsverzeichnis für Privatschulen: Vorlage nach Art. 30 DSGVO

Was ist das Verarbeitungsverzeichnis und wer muss es führen?

Das Verarbeitungsverzeichnis (auch: Verzeichnis von Verarbeitungstätigkeiten, VVT) ist die interne Bestandsaufnahme aller Prozesse, in denen Ihre Schule oder Hochschule personenbezogene Daten verarbeitet. Artikel 30 der DSGVO (Verordnung EU 2016/679) verpflichtet jeden Verantwortlichen, dieses Verzeichnis schriftlich — auch in elektronischer Form — zu führen und der Aufsichtsbehörde auf Anfrage vorzulegen.

Die Ausnahme für kleine Organisationen greift bei Privatschulen kaum

Art. 30 Abs. 5 DSGVO enthält eine Ausnahme für Organisationen mit weniger als 250 Beschäftigten — aber nur dann, wenn die Verarbeitung kein Risiko für die Rechte der Betroffenen birgt, nicht gelegentlich erfolgt und keine besonderen Datenkategorien nach Art. 9 DSGVO umfasst. Alle drei Voraussetzungen müssen kumulativ erfüllt sein.

Für Privatschulen und private Hochschulen gilt diese Ausnahme in der Praxis nicht:

Sie verarbeiten Bewerbungsdaten dauerhaft und strukturiert — nicht gelegentlich.
Gesundheitsdaten (Behinderungsausweise, BAföG-Bescheinigungen, ärztliche Atteste) fallen unter Art. 9 DSGVO.
NC-Verfahren und Hochschulstart-Daten erzeugen ein Risiko für die Betroffenen, wenn Daten falsch verarbeitet werden.

Das Ergebnis: Nahezu jede Privatschule oder Fachhochschule — unabhängig von der Mitarbeiterzahl — ist zur Führung eines vollständigen Verarbeitungsverzeichnisses verpflichtet. Der BfDI und die Landesdatenschutzbehörden haben dies in Prüfverfahren wiederholt bestätigt.

Was muss ein Eintrag enthalten?

Jeder Eintrag im Verarbeitungsverzeichnis muss nach Art. 30 Abs. 1 DSGVO mindestens folgende Angaben enthalten:

Name und Kontaktdaten des Verantwortlichen (und ggf. des DSB)
Zweck der Verarbeitung
Beschreibung der Kategorien betroffener Personen und der Datenkategorien
Kategorien von Empfängern
Übermittlungen in Drittländer und die Garantien dafür
Geplante Speicherfristen
Beschreibung der technischen und organisatorischen Maßnahmen (TOM) — soweit möglich

Die drei zentralen Verarbeitungskategorien für Privatschulen

Privatschulen und Hochschulen haben drei Datenfluss-Cluster, die im Verarbeitungsverzeichnis nahezu immer fehlen oder unvollständig sind: das Bewerbungsverfahren, die Interessentenkommunikation und der Einsatz von KI-Chatbots.

1. Bewerbungsverfahren (inkl. Hochschulstart und NC-Verfahren)

Das Bewerbungsverfahren erzeugt den größten Datenumfang. Über Bewerbungsportale, E-Mail-Eingänge oder Hochschulstart (früher: Stiftung für Hochschulzulassung) werden Name, Adresse, Abiturnote, NC-Rangplatz, Motivationsschreiben, Zeugnisse und bei internationalen Bewerbungen Sprachzertifikate und Reisepässe erhoben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) für den Zeitraum bis zur Entscheidung. Abgelehnte Bewerbungen unterliegen danach Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für die Aufbewahrung zur Nachweissicherung im Falle von Widersprüchen nach dem jeweiligen Hochschulgesetz des Landes.

2. Marketing und Interessentenkommunikation

Newsletter, Tag-der-offenen-Tür-Anmeldungen, Brochürenanfragen, Retargeting-Kampagnen und CRM-Einträge bilden die zweite Kategorie. Hier ist die Rechtsgrundlage in der Regel die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO — mit allen Konsequenzen für das Widerrufsrecht und die Dokumentation der Einwilligungen. Lesen Sie dazu unseren Artikel zu Datenspeicherfristen für Studieninteressierte.

3. KI-Chatbot

Der KI-Chatbot ist die am häufigsten vergessene Verarbeitungstätigkeit. Jedes Gespräch, in dem ein Nutzer seinen Namen, seine E-Mail-Adresse oder spezifische persönliche Umstände nennt, erzeugt personenbezogene Daten. 72 % der Anfragen von Studieninteressierten sind einfache FAQs, die ein KI-Chatbot automatisch beantwortet; nur 7 % erfordern menschliche Intervention (Quelle: Skolbot-Analyse, 12.000 Gespräche 2025–2026). Bei 10.000 Jahresgesprächen bedeutet das über 9.000 automatisierte Datenverarbeitungsvorgänge — jeder davon ist im Verarbeitungsverzeichnis zu dokumentieren.

Ausfüllfertige Vorlage: Verarbeitungsverzeichnis für Privatschulen

Die folgende Tabelle enthält drei ausgefüllte Einträge, die Sie direkt als Ausgangspunkt für Ihr eigenes Verzeichnis verwenden können. Passen Sie die Angaben an Ihre konkrete technische und organisatorische Situation an.

Verarbeitungstätigkeit	Zweck	Rechtsgrundlage	Datenkategorien	Empfänger	Speicherfrist	Drittlandtransfer
Bewerbungsverfahren (Online-Portal, E-Mail, Hochschulstart)	Prüfung der Zulassungsvoraussetzungen, Erstellung des Ranglistenplatzes, Versand von Zulassungs- oder Ablehnungsbescheid	Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen); Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, Aufbewahrung)	Name, Anschrift, Geburtsdatum, E-Mail, Telefon; Schulabschlüsse, Noten, NC-Rangplatz; Motivationsschreiben; Sprachzertifikate; Personalausweis/Pass (internationale Bewerber); ggf. Behinderungsausweis (Art. 9 DSGVO)	Zulassungsausschuss (intern); Hochschulstart GmbH (Drittempfänger mit AVV); Landesprüfungsamt (gesetzliche Pflicht); Rechtsanwälte (im Streitfall)	Laufendes Semester + 6 Jahre (handelsrechtliche Analogie); ärztliche Atteste: nach Verfahrensabschluss unverzüglich löschen	Nein (Hochschulstart: Sitz in DE); bei internationalen Bewerber-Portalen prüfen
Interessenten-Marketing (Newsletter, CRM, Tag der offenen Tür, Retargeting)	Pflege des Kontakts mit Studieninteressierten, Übermittlung von Informationen zu Studiengängen und Veranstaltungen, Qualifizierung von Leads	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse nur für postalischen Direktversand nach § 7 UWG)	Name, E-Mail, Telefon, Studiengangsinteresse, Kontakthistorie im CRM, Newsletter-Öffnungsraten, Cookie-ID (Retargeting), IP-Adresse	E-Mail-Dienstleister (AVV erforderlich); CRM-Anbieter (AVV); Meta/Google Ads (Auftragsverarbeiter, ggf. Drittlandtransfer)	Bis Widerruf der Einwilligung; CRM-Daten: max. 24 Monate nach letztem Kontakt ohne Aktivität	Ja: Meta Platforms Ireland Ltd. → USA (Standardvertragsklauseln + TIA); Google Ireland Ltd. → USA (idem)
KI-Chatbot (automatisierte Interessentenanfragen auf der Website)	Beantwortung von FAQ zu Studienangebot, Gebühren, Fristen und Bewerbungsverfahren; Qualifizierung und Weiterleitung an Studienfachberatung	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: effiziente Erstkommunikation) oder Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, wenn Chatbot proaktiv personenbezogene Daten erhebt)	Gesprächsinhalte, vom Nutzer eingegebene personenbezogene Daten (Name, E-Mail auf Anfrage), IP-Adresse (Verbindungslog), Browser-Metadaten	KI-Chatbot-Anbieter (AVV, z. B. Skolbot); ggf. LLM-Anbieter als Sub-Auftragsverarbeiter; CRM bei Lead-Übergabe	Anonymisierte Chatprotokolle: max. 12 Monate für Qualitätssicherung; personenbezogene Daten: nach Lead-Übergabe gemäß Marketing-Speicherfrist	Prüfen: LLM-Modell lokal oder EU-gehostet? Wenn US-Anbieter: Standardvertragsklauseln + Transfer Impact Assessment

Hinweis: Diese Vorlage ersetzt keine Rechtsberatung. Passen Sie Rechtsgrundlagen und Speicherfristen an die Vorgaben Ihres zuständigen Landesdatenschutzbeauftragten und die einschlägigen Hochschulgesetze Ihres Bundeslandes an. Konsultieren Sie Ihren Datenschutzbeauftragten vor der Einführung.

Häufige Fehler im Verarbeitungsverzeichnis bei Privatschulen

Das Verarbeitungsverzeichnis ist kein einmaliges Dokument. Die Datenschutzkonferenz (DSK) empfiehlt eine jährliche Überprüfung sowie eine anlassbezogene Aktualisierung bei jedem neuen Tool oder Prozess. In der Praxis treten bei Privatschulen immer wieder dieselben Lücken auf.

Fehlende Einträge für Drittanbieter-Tools

CRM-Systeme, E-Mail-Marketing-Plattformen und Bewerbungsportale sind Auftragsverarbeiter nach Art. 28 DSGVO. Ohne Auftragsverarbeitungsvertrag (AVV) ist die Verarbeitung rechtswidrig — und ohne Eintrag im Verarbeitungsverzeichnis ist sie unsichtbar. Prüfen Sie für jeden Softwareanbieter: Gibt es einen abgeschlossenen AVV? Ist der Anbieter im Verarbeitungsverzeichnis als Empfänger eingetragen?

Rechtsgrundlage "Einwilligung" ohne Nachweisbarkeit

Eine Einwilligung nach Art. 7 DSGVO ist nur wirksam, wenn Sie deren Erteilung nachweisen können. Das bedeutet: Zeitstempel, Version des Einwilligungstexts und das konkrete Einwilligungsobjekt müssen gespeichert sein. Viele Privatschulen dokumentieren die Einwilligung im Formular, speichern aber nicht, wer wann welche Version des Texts akzeptiert hat.

Keine Unterscheidung zwischen zugelassenen und abgelehnten Bewerbern

Zugelassene Bewerber werden zu Studierenden — ihre Daten wandern in ein anderes Verarbeitungsregime mit anderen Fristen. Abgelehnte Bewerber haben nach Abschluss des Verfahrens nur noch einen eng begrenzten Aufbewahrungsgrund (Nachweissicherung für Widerspruchsfristen, typischerweise 1–3 Monate nach Bestandskraft des Bescheids). Das Verarbeitungsverzeichnis muss beide Pfade abbilden.

KI-Chatbot komplett absent

Der häufigste Fehler überhaupt: Der KI-Chatbot fehlt vollständig im Verarbeitungsverzeichnis. Das ist kein Kavaliersdelikt — ein Chatbot, der personenbezogene Daten an einen US-Anbieter überträgt, ohne im Verzeichnis erfasst zu sein, ist eine dokumentierbare DSGVO-Verletzung. Mehr dazu, wie ein DSGVO-konformer Chatbot für Hochschulen konfiguriert werden sollte.

Drittlandtransfers ohne Transfer Impact Assessment (TIA)

Meta Custom Audiences, Google Analytics und OpenAI-Schnittstellen übertragen Daten in die USA. Seit dem Schrems-II-Urteil des EuGH genügen Standardvertragsklauseln allein nicht — es ist zusätzlich ein Transfer Impact Assessment erforderlich, das die rechtliche Situation im Empfängerland bewertet. Dieses TIA muss im Verarbeitungsverzeichnis referenziert werden. Lesen Sie dazu auch unsere Analyse zu Prospektdaten außerhalb der EU.

KI-Chatbot als eigenständige Verarbeitungstätigkeit dokumentieren

Ein KI-Chatbot ist keine passive Informationsseite — er ist ein aktives Datenerhebungssystem. Jedes Gespräch erzeugt mindestens eine IP-Adresse, einen Zeitstempel und Gesprächsinhalte. Sobald ein Nutzer seinen Namen oder seine E-Mail nennt, liegen eindeutig personenbezogene Daten vor.

72 % der Anfragen von Studieninteressierten sind einfache FAQs, die ein KI-Chatbot automatisch beantwortet werden können — lediglich 7 % erfordern menschliche Intervention (Quelle: Skolbot-Analyse, 12.000 Gespräche 2025–2026). Das bedeutet: Der Chatbot verarbeitet das überwiegende Volumen der Erstkommunikation Ihrer Hochschule. Dieser Datenumfang muss vollständig im Verarbeitungsverzeichnis erfasst sein.

Für den Chatbot-Eintrag brauchen Sie Antworten auf vier Fragen:

Welche Daten werden erhoben? Nur Gesprächsinhalte und technische Logs, oder auch explizit abgefragte Daten wie E-Mail und Name?
Wer ist Auftragsverarbeiter? Der Chatbot-Anbieter, ggf. auch der LLM-Anbieter als Sub-Verarbeiter — beide müssen mit AVV eingebunden sein.
Wo werden Daten gespeichert? EU-Rechenzentrum, US-Server oder hybrides Modell?
Wie lange werden Gesprächsdaten aufbewahrt? Für Qualitätssicherung üblich sind 90–365 Tage für anonymisierte Logs; personenbezogene Daten sollten nach Lead-Übergabe ins CRM auf dem Chatbot-System gelöscht oder anonymisiert werden.

Einen vollständigen Überblick zu Anbieterauswahl und DSGVO-Konformität bietet unser Vergleich DSGVO-konformer Chatbot-Anbieter für Hochschulen.

Zur vollständigen DSGVO-Compliance für Ihre Hochschule empfehlen wir unseren DSGVO-Leitfaden für Studierendendaten als übergreifenden Rahmen.

Was ist das Verarbeitungsverzeichnis und wer muss es führen?