Datenschutzmanagement für Bildungsanbieter
ISO 27701 für Bildung: Datenschutz von Lernenden belegen
Schulen, Hochschulen und Weiterbildungsanbieter bearbeiten täglich Daten von Lernenden, oft von Minderjährigen. ISO 27701 zeigt Auftraggebern und Schulträgern, dass Sie das nach festen Regeln tun. Mit Zertify beantworten Sie 42 Fragen online und erhalten das Zertifikat innert 4 Stunden nach bestandener Bewertung und Zahlung.
01: Nachfrage
Warum Auftraggeber von Bildungsanbietern ISO 27701 verlangen
Ein Unternehmen, das seine Mitarbeitenden bei Ihnen schulen lässt, gibt Namen, Funktionen und manchmal Leistungsnachweise weiter. Seine Einkaufsabteilung schickt Ihnen einen Lieferantenfragebogen und fragt, wie Sie diese Daten schützen. Ein Zertifikat mit Nummer beantwortet diese Frage in einem Dokument statt in zehn Seiten Freitext.
Dasselbe gilt für Schulträger und Beschaffungsstellen, die Lernsoftware, Prüfungsplattformen oder externe Kursangebote einkaufen. In Ausschreibungen steht der Datenschutznachweis zunehmend als Eignungskriterium. Wer ihn nicht liefert, scheidet früh aus.
Anbieter von E-Learning und Schulsoftware stehen vor einer zweiten Frage: Ihre Kunden sind Schulen, die ihrerseits Rechenschaft schulden. ISO 27701 beschreibt sowohl die Rolle des Verantwortlichen als auch die des Auftragsbearbeiters. Die Ausgabe 2025 ist eine eigenständige Norm und setzt kein Zertifikat nach ISO 27001 voraus. Die Ausgabe 2019 war nur als Erweiterung eines bestehenden ISMS möglich.
02: Datenarten
Welche Daten im Bildungsbetrieb besonders heikel sind
Ein Bildungsbetrieb sammelt Daten über Jahre und über viele Stellen verteilt: Sekretariat, Lehrpersonen, Lernplattform, Buchhaltung. Das Risiko liegt selten in einem einzelnen System, sondern in den Übergängen dazwischen.
- Noten und Prüfungsergebnisse
- Sie bestimmen Laufbahnen. Eine Notenliste, die per E-Mail an falsche Empfänger geht, trifft Betroffene direkt.
- Angaben zu Förderbedarf und Gesundheit
- Allergien auf dem Klassenlager, Nachteilsausgleich bei Prüfungen oder ärztliche Atteste gehören zu den sensibelsten Informationen im Betrieb.
- Daten Minderjähriger
- Kinder und Jugendliche können Risiken nicht selbst einschätzen. Einwilligungen und Auskunftsbegehren laufen oft über die Eltern.
- Protokolle der Lernplattform
- Login-Zeiten, Lernfortschritt und Abgaben zeigen Verhalten. Wie lange diese Daten gespeichert werden, ist selten geregelt.
- Foto- und Videoaufnahmen
- Klassenfotos, Aufzeichnungen von Online-Unterricht oder Bilder für die Website brauchen eine klare Grundlage und eine Löschfrist.
- Anmelde- und Bewerbungsunterlagen
- Lebensläufe, Zeugnisse und Ausweiskopien bleiben oft liegen, obwohl die Aufnahme längst entschieden ist.
03: Anforderungen
Wie ein Bildungsanbieter die Kernanforderungen erfüllt
Die Norm verlangt keine bestimmte Software. Sie verlangt, dass Sie festlegen, wer was tut, und dass Sie es belegen können. Die folgende Tabelle zeigt, wie das in einer Schule oder einem Kursanbieter aussehen kann.
| Anforderung | Beispiel im Bildungsbetrieb |
|---|---|
| Rolle bestimmen | Die Schule ist Verantwortliche für Schülerdaten. Der Anbieter der Lernplattform ist Auftragsbearbeiter und wird per Vertrag gebunden. |
| Risiken bewerten und behandeln | Die Schulleitung bewertet, was passiert, wenn Beurteilungen oder Gesundheitsangaben offengelegt werden, und legt Gegenmassnahmen fest. |
| Verzeichnis der Bearbeitungstätigkeiten | Eine Liste führt auf: Klassenverwaltung, Notenerfassung, Elternkommunikation, Videounterricht, jeweils mit Zweck, Datenarten und Löschfrist. |
| Rechte betroffener Personen | Ein Auskunftsbegehren der Eltern oder einer ehemaligen Teilnehmerin geht an eine benannte Stelle und wird innerhalb der Frist beantwortet. |
| Datenschutz durch Technik und Voreinstellungen | Neue Kurse in der Lernplattform starten mit minimalen Sichtbarkeitsrechten. Lehrpersonen sehen nur ihre eigenen Klassen. |
| Datenschutzverletzungen erkennen und melden | Wer ein falsch adressiertes Notenblatt bemerkt, meldet es sofort intern. Die Verantwortlichen entscheiden über die Meldung nach festem Ablauf. |
04: Rolle
Verantwortlicher oder Auftragsbearbeiter: Was gilt für Sie?
Die erste Entscheidung in jedem Datenschutzmanagement ist die Rolle. Eine Privatschule, eine Sprachschule oder ein Weiterbildungsinstitut bestimmt selbst, welche Daten es zu welchem Zweck erhebt. Es ist Verantwortlicher.
Ein Anbieter von Prüfungssoftware, Stundenplan-Tools oder Kursplattformen verarbeitet die Daten im Auftrag seiner Kunden. Er ist Auftragsbearbeiter und muss Weisungen der Schule befolgen, Unterauftragnehmer offenlegen und Vorfälle melden.
Manche Organisationen sind beides. Ein Bildungsanbieter, der eigene Kurse durchführt und zugleich eine Plattform für andere Schulen betreibt, braucht für jede Tätigkeit eine eigene Antwort. Im Zertify-Assessment ordnen Sie diese Rollen früh ein, weil davon die weiteren Fragen abhängen.
05: Mit Zertify
So kommen Sie mit Zertify zum Zertifikat
Das Zertifikat beruht auf einer Online-Selbstbewertung. Es gibt keinen Audit vor Ort. Zertify stellt das Zertifikat unter Lizenz von SICE aus, und SICE prüft jede Bewertung, bevor es ausgestellt wird.
Selbstbewertung starten
Sie beantworten 42 Ja/Nein-Fragen zu ISO 27701. Konto oder Registrierung brauchen Sie dafür nicht.
Die Bestehensregel erfüllen
15 der Fragen sind Muss-Fragen, die alle mit Ja beantwortet sein müssen. Aus den übrigen 27 Fragen braucht es mindestens 18 Ja-Antworten.
Bezahlen und Zertifikat erhalten
Nach bestandener Bewertung und Zahlung liegt das Zertifikat innert 4 Stunden als PDF vor.
Nachweis vorlegen
Jedes Zertifikat trägt eine Nummer und einen QR-Code. Einkauf, Schulträger oder Auditor prüfen es auf der öffentlichen Verifizierungsseite.
Das Zertifikat gilt 3 Jahre und wird jedes Jahr durch ein kurzes Online-Re-Audit bestätigt.
06: Kosten
Was kostet ISO 27701 bei Zertify?
Das Zertifikat kostet CHF 799 im ersten Jahr, danach CHF 529 pro Jahr inklusive des jährlichen Online-Re-Audits. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MwSt. enthalten. Abgerechnet wird als jährliches Abonnement. Sie kündigen jederzeit im Kundenkonto auf das Ende des laufenden Jahres, danach endet auch das Zertifikat.
Wer mehrere Normen zertifiziert, etwa ISO 27701 und ISO 27001, erhält 20% Rabatt bei zwei Normen und 30% ab drei Normen, auch auf die jährliche Gebühr.
Der klassische Weg mit einem Vor-Ort-Audit durch eine Zertifizierungsstelle ist ein anderes Modell mit eigenem Aufwand. Welcher Weg zu Ihrem Auftraggeber passt, klären Sie am besten anhand dessen Anforderungen.
07: Häufige Fragen
Fragen zu ISO 27701 für Bildung
Bei der Ausgabe 2025 nicht. Sie ist eine eigenständige Managementsystemnorm. Die Ausgabe 2019 setzte dagegen ein bestehendes ISMS nach ISO 27001 voraus. Wer ISO 27001 bereits hat, kann beide Normen mit Mehrfachrabatt kombinieren.
Nein. Die Norm passt für jede Organisation, die Personendaten bearbeitet. Eine kleine Sprachschule oder ein Kursanbieter mit wenigen Mitarbeitenden kann sie erfüllen, solange Rollen, Verzeichnis und Abläufe dokumentiert sind.
Es gibt Ihnen einen überprüfbaren Nachweis. Eltern und Schulträger können die Zertifikatsnummer oder den QR-Code auf der öffentlichen Verifizierungsseite prüfen. Rechtliche Pflichten ersetzt es nicht.
Die Selbstbewertung mit 42 Fragen füllen Sie online aus. Nach bestandener Bewertung und Zahlung erhalten Sie das Zertifikat innert 4 Stunden. Die Vorbereitung hängt davon ab, wie weit Verzeichnis und Abläufe bei Ihnen schon dokumentiert sind.
Sie sehen, bei welchen Fragen Lücken bestehen. Alle 15 Muss-Fragen müssen mit Ja beantwortet sein, dazu mindestens 18 Ja bei den übrigen 27 Fragen. Sobald Sie die Lücken geschlossen haben, wiederholen Sie die Bewertung.
08: Leitfaden
Weiterführende Seiten
Datenschutz in Ihrem Bildungsbetrieb nachweisen
Beantworten Sie 42 Fragen und sehen Sie, ob Ihr Betrieb die Anforderungen von ISO 27701 erfüllt.
Kostenlos und ohne Registrierung.