Was verbindlich ist
Der EDÖB weist darauf hin, dass das DSG auf KI-gestützte Datenbearbeitungen in seinem Zuständigkeitsbereich anwendbar ist; seine Information ist keine individuelle Rechtsberatung. Öffentliche kantonale und kommunale Schulen unterstehen grundsätzlich primär dem kantonalen oder kommunalen Datenschutzrecht und der entsprechenden Aufsicht. Für private Anbieter oder Bundesorgane können je nach Rolle das DSG und die Aufsicht beziehungsweise Orientierung des EDÖB relevant sein. Für öffentliche Zürcher Volksschulen sind insbesondere IDG, IDV und die jeweils zuständige kantonale oder kommunale Datenschutzaufsicht zu prüfen. Welche konkrete Zuordnung und Anforderung gilt, hängt unter anderem von Rolle, Zweck, Datenart, betroffenen Personen, System, Vertrag und zuständiger Stelle ab.
Die Orientierung des Zürcher Volksschulamts für die öffentliche Volksschule ist kantonal und nicht schweizweit verbindlich. Für andere Schulen sind die jeweils zuständigen kantonalen, kommunalen und institutionellen Vorgaben massgeblich und gesondert zu prüfen.
Educa beschreibt sieben Entwicklungslinien mit Entwicklungsansätzen für die Datennutzung im Bildungsraum Schweiz; der von EDK und SBFI beauftragte Fachbericht ist kein erlassenes Gesetz und entscheidet nicht über die Zulässigkeit einer einzelnen schulischen Datenbearbeitung.
Was empfohlen wird
Vor einer Beschaffung oder Erprobung sollte eine Schule als redaktionelle Umsetzungshilfe mindestens folgende Fragen dokumentieren:
- Zweck: Für welche konkrete schulische Aufgabe ist die Bearbeitung nötig?
- Daten: Welche personenbezogenen, besonders schützenswerten, vertraulichen oder urheberrechtlich relevanten Inhalte könnten eingegeben oder erzeugt werden?
- Minimierung: Kann der Zweck mit weniger, anonymisierten oder synthetischen Daten erreicht werden?
- Datenweg: Wohin werden Eingaben, Ausgaben, Kontodaten und Protokolle übertragen, wie lange gespeichert und wofür weiterverwendet?
- Schutz und Rechte: Welche technischen und organisatorischen Massnahmen, Informationen, Ansprechstellen sowie Korrektur- oder Widerspruchswege bestehen?
- Menschliche Prüfung: Wer prüft folgenreiche Ausgaben und verantwortet die Entscheidung?
Für Leistungsbeurteilungen bietet das Dossier zu Assessment und Integrität zusätzliche Evidenzgrenzen. Datenschutzprüfung und Aussagekraft eines Prüfungsformats sind zwei getrennte Fragen.
Was lokal entschieden werden muss
Die zuständigen Stellen legen fest, welche Systeme und Konten freigegeben sind, welche Datenkategorien nicht eingegeben werden dürfen und welche Verträge, Auftragsverhältnisse oder Folgeabschätzungen zu prüfen sind. Dazu gehören eine verständliche Information der Betroffenen, Regeln für Minderjährige, Zugriffs- und Löschkonzepte, ein Verfahren für Vorfälle und eine dokumentierte Eskalation an Datenschutz- oder Rechtsfachstellen.
Nicht jede Schule entscheidet alle Punkte selbst. Zuständigkeiten können beim Schulträger, Kanton, einer zentralen IT oder einer Datenschutzstelle liegen. Lokale Policy muss deshalb benennen, wer entscheidet und auf welche verbindliche Grundlage sich der Entscheid stützt, statt aus dieser Orientierung eine pauschale Erlaubnis oder ein Verbot abzuleiten.
Grenzen
Der Autoritätsstatus der Quellen ist kein Nachweis für die Wirksamkeit einer Intervention. Eine datenschutzrechtlich zulässige Bearbeitung ist nicht automatisch pädagogisch sinnvoll; umgekehrt ersetzt ein pädagogisches Ziel keine Datenschutz- und Zuständigkeitsprüfung.
Diese Seite fasst veröffentlichte Behörden- und Policy-Orientierung mit Stand 25. August 2026 zusammen. Sie beurteilt keinen Einzelfall, keinen Vertrag und kein Produkt. Rechtslage, Behördenpraxis und technische Datenflüsse können sich ändern. Bei Unsicherheit sind die zuständige Datenschutzstelle, der Schulträger oder qualifizierte Rechtsberatung beizuziehen.