Kurz gefasst
Werbe-Tracker grundsätzlich verboten, wegen der kommerziellen Neutralität des öffentlichen Dienstes. Rechtsgrundlage: Aufgabe im öffentlichen Interesse, nicht Einwilligung. Eine DSFA ist Pflicht, sobald zwei EDSA-Kriterien erfüllt sind, und bei Minderjährigen ist das erste sofort erfüllt. Für öffentliche collèges und lycées kommt das Dekret Nr. 2025-1165 vom 5. Dezember 2025 hinzu.
Kommerzielle Neutralität ist keine Empfehlung
An dieser Stelle formuliert die CNIL nicht im Konjunktiv. Der Verantwortliche muss sicherstellen, dass das Werkzeug keine Werbe-Tracker verwendet; diese sind «grundsätzlich verboten» wegen des Neutralitätsgrundsatzes des öffentlichen Bildungsdienstes, der die kommerzielle Neutralität einschließt. Nutzt das Werkzeug Tracking-Vorrichtungen zur Werbeverwertung oder Profilbildung, muss der Verantwortliche diese Funktionen deaktivieren.
Diese Regel stammt nicht aus der DSGVO und lässt sich nicht mit einem Einwilligungshäkchen erledigen: sie stammt aus dem Recht des öffentlichen Dienstes. Ein Anbieter, der antwortet «der Nutzer kann ablehnen», hat die Frage nicht beantwortet.
Warum die Einwilligung nicht trägt
Wenn der Einsatz von Kollaborationswerkzeugen im Unterricht zur Verarbeitung personenbezogener Daten führt, muss der Verantwortliche zuerst für jede Verarbeitung die Rechtsgrundlage bestimmen. Dienen die Verarbeitungen den öffentlichen Aufgaben der Schule — öffentlich oder privat — und insbesondere dem öffentlichen Dienst der digitalen Bildung nach Artikel L.131-2 des Bildungsgesetzbuchs, ist die Grundlage die Wahrnehmung einer Aufgabe im öffentlichen Interesse.
Die Einwilligung, so die CNIL, lässt sich kaum heranziehen: um gültig zu sein, muss sie freiwillig sein, also weder erzwungen noch durch die Autoritätsstellung des Verantwortlichen beeinflusst. Eine Schülerin, ihre Erziehungsberechtigten oder eine Lehrkraft müssen ablehnen können, ohne Nachteile zu erleiden, und im schulischen Kontext ist diese Bedingung nicht erfüllt.
Die DSFA, fast immer
Drei EDSA-Kriterien sind hier einschlägig: Verarbeitung schutzbedürftiger Personen, Verarbeitung in großem Umfang, Verarbeitung sensibler Daten. Minderjährige fallen unter das erste — ebenso Verwaltungs- und Lehrpersonal in einem Unterordnungsverhältnis.
Sind mindestens zwei Kriterien erfüllt, ist die DSFA vor Beginn der Verarbeitung durchzuführen. Die CNIL ergänzt, dass sie in den meisten Fällen wahrscheinlich erforderlich ist und im Zweifel besser durchgeführt wird. Der Verantwortliche kann seinen Datenschutzbeauftragten um Rat bitten und den Anbieter heranziehen, der als Auftragsverarbeiter nach Artikel 28 Abs. 3 Buchst. f zur Unterstützung verpflichtet ist.
Die Information wird für die geschrieben, die sie lesen müssen
Die Information muss präzise, transparent, verständlich und leicht zugänglich sein (Artikel 12, 13 und 14). Für Minderjährige verlangt die CNIL eine altersgerechte Anpassung: klare Sprache nach ISO 24495-1:2023 und ISO 24495-2:2025 oder die Methode «leicht zu lesen und zu verstehen» für Menschen mit Lese- oder Verständnisschwierigkeiten.
- Vor Beginn der Verarbeitung, etwa bei der ersten Anmeldung am Werkzeug.
- Zusätzlich per E-Mail an alle betroffenen Personen.
- Und zu jedem Schuljahresbeginn: in der Grundschule beim Elternabend.
Das Dekret, das die Auswahl verengt
Für öffentliche collèges und lycées genügt die DSGVO nicht. Das Dekret Nr. 2025-1165 vom 5. Dezember 2025 über den Referenzrahmen des Digitalen für die Bildung verpflichtet zur Nutzung digitaler Werkzeuge und Dienste, die vom Minister festgelegte technische Vorgaben zu Sicherheit, Interoperabilität und verantwortungsvoller Digitalisierung erfüllen.
Was vor der Unterschrift zu fragen ist
Falls das Werkzeug Werbe-Tracker nutzt: wie sie abgeschaltet werden und wer das prüft. Die Garantien nach Artikel 28: Datenschutzrichtlinie, Nutzungsbedingungen, Informationssicherheitsrichtlinie, etwaige ISO-27000-Zertifizierung oder Verhaltensregeln. Die Mitwirkung an der DSFA. Die Vertragsendklauseln zu Rückführbarkeit und Löschung. Zu Übermittlungen nennt die CNIL beispielhaft die SecNumCloud-Qualifizierung der ANSSI, die die ausschließliche Unterwerfung des Anbieters unter europäisches Recht sicherstellt.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
