Kurz gefasst
Zwei Dokumente, ein Tag, dieselbe Materie. Der Unterschied liegt bei den Trackern: in der Schule grundsätzlich verboten, an der Hochschule nur abgeraten. Studierende sind volljährig, stehen aber in einem Unterordnungsverhältnis, bleiben also für die DSFA schutzbedürftige Personen, und die Einwilligung funktioniert weiterhin nicht als Rechtsgrundlage.
Der einzige wirkliche Unterschied
Im Schultext schreibt die CNIL, der Verantwortliche müsse sicherstellen, dass das Werkzeug keine Werbe-Tracker verwendet, die «grundsätzlich verboten» sind wegen der Neutralität des öffentlichen Bildungsdienstes einschließlich der kommerziellen Neutralität. Sind sie vorhanden, müssen sie deaktiviert werden.
Im Hochschultext «empfiehlt» dieselbe Behörde am selben Tag, «Werkzeuge zu bevorzugen, bei denen der Anbieter keine Tracker oder Nachverfolgungsvorrichtungen zu Werbe-, Profilbildungs- oder kommerziellen Weiterverwendungszwecken einsetzt, oder bei denen die Einrichtung solche Funktionen deaktivieren kann». Empfiehlt: sie verbietet nicht. Und der Neutralitätsgrundsatz des öffentlichen Bildungsdienstes wird nicht angeführt.
Das ist kein Versehen. Das schulische Verbot beruht auf einem Grundsatz, der den öffentlichen Dienst der Schulbildung betrifft; die Hochschulbildung hat einen eigenen Rahmen. Für eine Datenschutzbeauftragte ist die praktische Folge konkret: die Trackerschlussfolgerung aus der DSFA eines Gymnasiums lässt sich nicht in die einer Hochschule kopieren, weil die rechtliche Prämisse eine andere ist.
Studierende sind volljährig und bleiben schutzbedürftig
Bei der Schutzbedürftigkeit weicht die CNIL nicht zurück. Im Hochschultext begründet sie die Empfehlung, Daten gegen das Risiko der Offenlegung an Behörden von Drittstaaten zu schützen, gerade mit «der Schutzbedürftigkeit der betroffenen Personen, insbesondere der Studierenden, die sich in einem Unterordnungsverhältnis befinden».
Die Unterordnung hat zwei Wirkungen. In der Prüfung der Rechtsgrundlage schließt sie die Einwilligung aus, die freiwillig und nicht von der Autoritätsstellung des Verantwortlichen beeinflusst sein muss: Studierende müssen ablehnen können, ohne Nachteile zu erleiden, und können es nicht. In der DSFA löst sie das Kriterium der schutzbedürftigen Personen aus, genau wie bei Minderjährigen.
Was gleich bleibt
- Rechtsgrundlage: Wahrnehmung einer Aufgabe im öffentlichen Interesse, für öffentliche wie private Einrichtungen.
- Eine präzise, transparente, verständliche und leicht zugängliche Information (Artikel 12, 13 und 14), verfügbar vor Beginn der Verarbeitung und zu jedem Studienjahresbeginn wiederholt.
- DSFA verpflichtend bei zwei EDSA-Kriterien und in den meisten Fällen wahrscheinlich.
- Garantien des Auftragsverarbeiters nach Artikel 28 und ein Vertrag mit den Pflichtangaben, einschließlich der Regelungen zum Vertragsende über Rückführbarkeit und Löschung.
- Übermittlungen nach Kapitel V, mit SecNumCloud als Beispiel für die ausschließliche Unterwerfung unter europäisches Recht.
Was an der Hochschule fehlt
Zwei Elemente des Schultextes fehlen im Hochschultext: der Verweis auf Artikel L.131-2 des Bildungsgesetzbuchs, der den öffentlichen Dienst der digitalen Schulbildung betrifft, und das Dekret Nr. 2025-1165 vom 5. Dezember 2025, das die technischen Entscheidungen öffentlicher collèges und lycées bindet. Hochschulen sind auf dieser Seite frei und auf der anderen stärker exponiert: die Wahl ist in der DSFA zu begründen, nicht an den Anbieter zu delegieren.
Der Fehler, den man vermeiden sollte
Die beiden Dokumente als eines zu behandeln. Sie sind zu achtzig Prozent Zwillinge und weichen genau dort ab, wo üblicherweise die Beschaffung entschieden wird: ob ein Werkzeug mit Werbe-Trackern zulässig ist. In der Schule lautet die Antwort nein. An der Hochschule: «besser nicht, und wenn sie vorhanden sind, müssen sie abschaltbar sein».
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
