Interaktiver Leitfaden für Schulen zur datenschutzkonformen Einrichtung des Personendossiers — von der Entscheidung bis zur Konfiguration.
Das Personendossier enthält schützenswerte, sensible Daten. Wer was sehen und bearbeiten darf, ist keine technische Nebensache — sondern eine rechtliche und pädagogische Grundsatzentscheidung.
Die folgenden Grundsätze bilden das Fundament jeder Datenschutzkonfiguration im Schulumfeld:
Ein gut konfiguriertes Berechtigungssystem arbeitet auf vier Ebenen, die aufeinander aufbauen:
Schulverwaltung → Personendossier Einstellungen konfiguriert. Berechtigungen werden nicht vererbt — jeder Unterordner benötigt eigene Lese-/Schreibrechte. Feldberechtigungen (z.B. Gesundheitsdaten) werden separat über Rolle/Feldberechtigungen gesteuert.
Nicht alle Daten im Schüler*innen-Dossier sind gleich sensibel. Die Einstufung bestimmt, wie streng die Zugriffsregeln sein müssen.
Name, Adresse, Geburtsdatum, Klasse, Nationalität, Aufenthaltsstatus, Erziehungsberechtigte, Kontaktdaten, Schullaufbahn (Ein-/Austritte, Übertrittsempfehlungen), Absenzen, AHV-Nummer.
Fördermassnahmen (IF, ISF, Logopädie, DaZ, Begabtenförderung), Nachteilsausgleich (NTA), Lernberichte, Beurteilungen, disziplinarische Massnahmen, Journal-Einträge, Förderplanungen.
Gesundheitsdaten (Allergien, Medikamente, Diagnosen), schulpsychologische Berichte (SPD), Daten der Schulsozialarbeit/Fallführung, Religionszugehörigkeit, Sorgerechtsregelungen bei Gefährdung.
Das revidierte Bundesgesetz über den Datenschutz (DSG, Art. 5 lit. c) und die kantonalen Gesetze definieren folgende Kategorien als besonders schützenswert: religiöse/weltanschauliche/politische Ansichten, Gesundheitsdaten, Intimsphäre, ethnische Herkunft, Massnahmen der sozialen Hilfe sowie strafrechtliche Daten.
Die Ordnerstruktur sollte die Schutzstufen widerspiegeln. Eine bewährte Struktur:
Schulverwaltung → Personendossier Einstellungen erstellt. Pro Ordner definieren Sie: (1) Bei welchen Rollen der Ordner angezeigt wird («Standard für Rolle»), (2) Wer lesen darf, (3) Wer schreiben/löschen/bearbeiten darf. Für Disziplinarisches nutzen Sie das Ablaufdatum: Dokumente werden automatisch nach Fristablauf gelöscht. → Video-Anleitung
Wer braucht Zugriff auf welche Daten? Die Antwort hängt von der Aufgabe ab — nicht von der Hierarchie.
| Datenkategorie | SV | SL | KLP | FLP | SHP/DaZ | SSA | SPD |
|---|---|---|---|---|---|---|---|
| Stammdaten | R/W | R | R | R* | R* | R° | R° |
| Erziehungsberechtigte / Sorgerecht | R/W | R | R | — | R* | R° | R° |
| Zeugnisse / Beurteilung | — | R | R/W | R/W† | — | — | — |
| Absenzen | R | R/W | R/W | R* | R* | — | — |
| Förderpläne / NTA | — | R | R/W | — | R/W* | — | — |
| Gesundheitsdaten | — | R† | R | — | R* | — | — |
| SPD-Berichte | — | R† | — | — | — | — | R/W° |
| Disziplinarisches | R | R/W | R/W | — | — | R° | — |
| Fallführung / SSA | — | R† | — | — | — | R/W° | — |
Legende: SV=Schulverwaltung, SL=Schulleitung, KLP=Klassenlehrperson, FLP=Fachlehrperson, SHP=Schulische Heilpädagog*in, SSA=Schulsozialarbeit, SPD=Schulpsychologischer Dienst.
* = nur zugeteilte SuS † = nur eigenes Fach/eingeschränkt ° = nur zugewiesene Fälle/Dossiers
Die Standardrollen (SV, SL, KLP, FLP) reichen für viele Schulen. Zusätzliche Rollen werden nötig, wenn:
Master Data → Schulen/Klassen/Gruppen → Schuleinheiten). Erstellen Sie z.B. «SE Zyklus 1» und «SE Zyklus 2» und weisen Sie die entsprechenden Klassen zu. LP sehen dann nur SuS aus ihrer Schuleinheit. Für SSA nutzen Sie das Modul Fallführung mit eigenem Berechtigungskonzept (Dienststellen, Lese-/Schreibrechte pro Dossier).
Es gibt einen wichtigen Unterschied zwischen diesen beiden Ansätzen:
Empfehlung: Für besonders schützenswerte Daten (Stufe 3) ist Data Hiding dem Zugriffsschutz vorzuziehen.
Rolle/Feldberechtigungen — z.B. Gesundheitsdaten nur für bestimmte Rollen einblenden.
Eine Person kann in PUPIL gleichzeitig mehrere Rollen haben — z.B. Erziehungsberechtigte UND Lehrperson, oder Unterrichtsassistenz UND Elternteil. Das Berechtigungssystem muss sicherstellen, dass Elternrechte nicht mit LP-Rechten vermischt werden.
Alle datenschutzrelevanten Module und Features in PUPIL — mit Konfigurationshinweisen und Verlinkungen zur Dokumentation.
Pro Rolle definieren, welche Datenfelder sichtbar, bearbeitbar oder ausgeblendet sind. Besonders relevant für Gesundheitsdaten (Allergien, Medikamente, Ernährungsbedürfnisse), die nur ausgewählten Rollen angezeigt werden sollen.
→ Doku: FeldberechtigungenIndividuelle, schulspezifische Datenfelder — z.B. «Instrument MSL», «Transportform». Können bestimmten Rollen zugewiesen und nach Kategorien gruppiert werden. Auch hier gilt: nur aktivieren, was benötigt wird.
→ Doku: KundenfelderMitarbeitende können pro Ordner Lese- oder Schreibrechte auf ihr eigenes Dossier erhalten. Beispiel: LP sieht ihre eigenen Weiterbildungszertifikate, aber nicht die anderer LP.
→ Doku: PersonenDokumente im Dossier können versioniert werden — neue Versionen hochladen, ältere Versionen anzeigen und bei Bedarf wiederherstellen. Wichtig für die Nachvollziehbarkeit bei sich ändernden Dokumenten.
→ Video: Arbeiten im DossierDokumente können mit einem Ablaufdatum versehen werden — nach Ablauf wird das Dokument automatisch gelöscht. Ideal für disziplinarische Massnahmen, temporäre NTA-Vereinbarungen oder befristete Arztatteste.
→ Video: Ablaufdatum setzenErziehungsberechtigte erhalten per QR-Code/Link einen Zugang zur Prüfung und Korrektur der erfassten Stammdaten. Erfüllt die datenschutzrechtliche Berichtigungspflicht und hält Daten aktuell.
→ Doku: StammdatenüberprüfungErziehungsberechtigte sehen im Elternportal nur Daten ihrer eigenen Kinder: Absenzen, Mitteilungen, Termine, Stammdaten. Keine Einsicht in das Personendossier oder die Daten anderer SuS. Kommunikation verschlüsselt — nicht via WhatsApp.
→ Doku: Connect / ElternportalPUPIL stellt alle Zugriffsrechte in einer übersichtlichen Matrix dar: Zeilen = Module, Spalten = Zugriffsgruppen. So sehen Admins auf einen Blick, welche Gruppe welche Modulrechte hat. Basis für das Berechtigungskonzept-Dokument.
→ Doku: Zugriffsrechte-MatrixSeparates Modul mit eigenem Berechtigungskonzept: Dienststellen, Dossiers pro Leistungsempfänger, individuelle Lese-/Schreibrechte pro Dossier. Arbeitet unabhängig vom Personendossier — SSA-Daten sind nicht über das Dossier einsehbar.
→ Doku: Fallführung konfigurierenFörderdossiers mit Lernzielen und Lernberichten. Eigene Rollenkonfiguration (welche Rollen sehen/bearbeiten Förderdossiers). Lernberichte können direkt ins Zeugnis übernommen werden. Berechtigungen getrennt vom Personendossier.
→ Doku: FörderplanerDokumentation von Beobachtungen, Gesprächen und Regelverstössen. KLP sieht Einträge der eigenen Klasse. Konfigurierbare Kategorien/Unterkategorien. Druckausgabe für Standortgespräche. Nicht zu verwechseln mit dem Personendossier.
→ Doku: JournalFlexible Erfassung schulspezifischer Massnahmen. Statusbasierte Zugriffsbeschränkung: Pro Status können Rollen für Lesen/Schreiben zugewiesen werden. Felder und Massnahmearten frei konfigurierbar.
→ Doku: Weitere Massnahmen| Zweck | Modul | Berechtigungslogik |
|---|---|---|
| Dokumente & Unterlagen ablegen | Personendossier | Ordnerbasiert (Lesen/Schreiben pro Rolle) |
| Beobachtungen & Gespräche notieren | Journal | Klassen-/Gruppenbasiert |
| Förderziele & Lernberichte | Förderplaner | Eigene Rollenkonfiguration |
| SSA/SPD-Begleitung | Fallführung | Dienststellen + individuelle Dossierrechte |
| Weitere Massnahmen erfassen | Weitere Massnahmen | Statusbasiert (Lesen/Schreiben pro Status) |
| Stammdaten an GV zur Prüfung | Stammdatenüberprüfung | Individueller QR-Code/Link pro Person |
Beantworten Sie 5 Fragen und erhalten Sie eine auf Ihre Schule zugeschnittene Empfehlung für die Berechtigungskonfiguration.
Prüfen Sie systematisch, ob Ihre Konfiguration die wichtigsten Punkte abdeckt. Klicken Sie die Punkte ab.
Die wichtigsten kantonalen Gesetze und weiterführenden Materialien für den Datenschutz im Schulumfeld.
Öffentliche Schulen unterstehen ausschliesslich den kantonalen Datenschutzgesetzen — nicht dem Bundesgesetz (DSG). Das revidierte DSG (seit 1. September 2023) gilt nur für Bundesorgane und Private. Die Grundprinzipien sind jedoch identisch.
| Datenkategorie | ZH | BE | SZ |
|---|---|---|---|
| Schülerdaten (allg.) | 10 Jahre | 15 Jahre ab Austritt | 10 Jahre |
| Beurteilungsberichte | 10 Jahre | 15 Jahre ab Austritt | 10 Jahre |
| Übertrittunterlagen | — | Bis Schulaustritt | — |
| Gesundheitskarten | 10 Jahre | 15 Jahre ab Austritt | — |
| Unterlagen SSA | — | Bis Schulaustritt | — |
| Klassenbücher | 10 Jahre | — | 5 Jahre |
Nach Ablauf der Frist: Anbieten an kantonales/kommunales Archiv. Nicht archivwürdige Daten müssen vernichtet werden — eine unbefristete Speicherung ist in keinem Kanton zulässig. Details: DSB ZH: Aktenaufbewahrung · Kt. Bern: Aufbewahrungsfristen
Überkantonale Stellen
PUPIL Dokumentation
Video-Anleitungen
Beim Schulübertritt gelten strenge Regeln, die sich kantonal unterscheiden (vgl. SG: Datenschutz in der Schule, BE: Datenschutzlexikon):