Kurz gesagt: Ein Nachhilfeinstitut muss die DSGVO vollständig einhalten – mit besonderer Sorgfalt, weil es Daten Minderjähriger und teils Gesundheitsdaten (etwa Diagnosen zu LRS oder Dyskalkulie) verarbeitet. Die wichtigsten Pflichten: nur notwendige Daten erheben (Datenminimierung), Eltern bei Vertragsschluss informieren, Einwilligungen für Fotos, Newsletter und Kontakt zur Schule getrennt einholen, ein Verzeichnis von Verarbeitungstätigkeiten führen, Zugriffsrechte und Datensicherung regeln, mit Dienstleistern Auftragsverarbeitungsverträge schließen und Löschfristen festlegen.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ist keine Rechts- oder Steuerberatung. Rechtslage und Verwaltungspraxis können sich ändern; maßgeblich ist immer Ihr Einzelfall. Bitte stimmen Sie konkrete Entscheidungen mit Ihrer Steuerberatung, einer Rechtsanwältin bzw. einem Rechtsanwalt oder der zuständigen Behörde ab. Stand der Angaben: Oktober 2026.
Was Datenschutz im Nachhilfeinstitut besonders macht
Auf den ersten Blick wirkt ein Nachhilfeinstitut datenschutzrechtlich unspektakulär: Namen, Adressen, Telefonnummern, Bankverbindung. Bei genauerem Hinsehen kommen jedoch Informationen hinzu, die eine besondere Sorgfalt erfordern:
- Daten von Kindern und Jugendlichen, die nach der DSGVO besonders schutzwürdig sind,
- Schulnoten, Zeugnisse und Lernstandsberichte,
- Angaben zu Förderbedarfen, teils mit Diagnosen wie Legasthenie, Dyskalkulie oder ADHS,
- Gesprächsnotizen über familiäre oder schulische Situationen,
- Daten Ihrer Lehrkräfte, einschließlich Honorar- und Bankdaten.
Hinzu kommt, dass viele Personen Zugriff haben: Leitung, Empfang, Lehrkräfte, oft auch Aushilfen. Ein durchdachtes Rollen- und Rechtekonzept ist deshalb mindestens so wichtig wie die richtige Software.
Rechtsgrundlagen: Vertrag oder Einwilligung?
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für den Kern Ihrer Arbeit ist das in der Regel der Vertrag: Was Sie für Planung, Unterricht und Abrechnung benötigen, dürfen Sie auf dieser Grundlage verarbeiten. Hinzu kommen gesetzliche Pflichten, etwa die Aufbewahrung von Rechnungen.
Für alles, was darüber hinausgeht, brauchen Sie in der Regel eine Einwilligung. Typische Beispiele:
| Zweck | Typische Rechtsgrundlage | Hinweis |
|---|---|---|
| Stundenplanung, Unterricht, Abrechnung | Vertrag | Nur notwendige Daten erheben |
| Aufbewahrung von Rechnungen | Gesetzliche Pflicht | Aufbewahrungsfristen beachten |
| Austausch mit der Schule bzw. Lehrkräften der Schule | Einwilligung | Gesondert und schriftlich einholen |
| Fotos für Website oder Social Media | Einwilligung | Getrennt von anderen Einwilligungen, jederzeit widerrufbar |
| Newsletter und Werbung | Einwilligung | Nachweisbar dokumentieren |
| Erfassung von Diagnosen und Gutachten | Ausdrückliche Einwilligung (Art. 9 DSGVO) | Nur, wenn für die Förderung wirklich nötig |
Wichtig: Holen Sie Einwilligungen für Fotos, Newsletter und Kontakt zur Schule getrennt ein. Eine Sammel-Einwilligung im Kleingedruckten des Vertrags ist angreifbar.
Daten Minderjähriger und Einwilligung der Eltern
Vertragspartner sind in der Regel die Eltern. Sie werden bei Vertragsschluss nach Art. 13 DSGVO informiert – über Zweck, Rechtsgrundlage, Speicherdauer, Empfänger und ihre Rechte. Bei Einwilligungen, die das Kind betreffen, sollten Sie die Eltern einbeziehen; mit zunehmendem Alter auch das Kind selbst.
Eine feste Altersgrenze kennt die DSGVO nur für einen speziellen Fall: Nach Art. 8 DSGVO ist bei Online-Diensten, die sich direkt an Kinder richten, eine Einwilligung erst ab 16 Jahren wirksam, darunter ist die Zustimmung der Eltern erforderlich. Deutschland hat diese Grenze nicht abgesenkt, wie die Sächsische Datenschutz- und Transparenzbeauftragte erläutert. Das betrifft Sie zum Beispiel, wenn Sie Jugendlichen eine Online-Lernplattform oder eine App direkt anbieten.
Gutachten, Diagnosen und Förderbedarfe
Informationen über die körperliche oder geistige Gesundheit sind „Gesundheitsdaten“ und gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt, sofern keine Ausnahme greift – im Nachhilfe- und Lerntherapiekontext meist die ausdrückliche Einwilligung. Das betrifft vor allem Lerntherapie-Praxen, aber auch Nachhilfeinstitute, die Gutachten zu LRS oder Dyskalkulie entgegennehmen.
Praktische Konsequenzen:
- Fragen Sie sich bei jedem Dokument, ob Sie es wirklich brauchen. Oft genügt die Information „Förderschwerpunkt Rechtschreibung“ statt einer Kopie des Gutachtens.
- Beschränken Sie den Zugriff auf die Personen, die die Information für die Förderung benötigen.
- Löschen Sie sensible Unterlagen, sobald der Zweck entfallen ist.
Eine Software ohne Pflichtfelder hilft bei der Datenminimierung: Sie erfassen nur, was Sie wirklich brauchen. Mehr zur Organisation von Lerntherapie-Praxen lesen Sie auf der Seite Software für Lerntherapie.
Die DSGVO-Pflichten im Überblick
Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)
Führen Sie ein Verarbeitungsverzeichnis. Darin beschreiben Sie für jede Tätigkeit – Schülerverwaltung, Abrechnung, Honorarabrechnung, Website, Newsletter – Zweck, Datenkategorien, Betroffene, Empfänger, Löschfristen und Schutzmaßnahmen. Muster bieten die Datenschutzaufsichtsbehörden der Länder.
Auftragsverarbeitung (Art. 28 DSGVO)
Wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – etwa ein Cloud-Softwareanbieter, ein E-Mail-Provider oder ein IT-Dienstleister mit Fernzugriff – brauchen Sie einen Auftragsverarbeitungsvertrag. Nutzen Sie eine Verwaltungssoftware als Cloud-Lösung (SaaS), ist der Softwareanbieter in aller Regel Auftragsverarbeiter, und ein AV-Vertrag ist Pflicht. Bei lokal installierter Software ist der Kreis der Auftragsverarbeiter meist kleiner, Fernwartung durch den Hersteller kann aber ebenfalls eine Regelung erfordern. Prüfen Sie außerdem, ob der Anbieter Unterauftragnehmer einsetzt (etwa ein Rechenzentrum) und wo die Daten verarbeitet werden.
Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Persönliche Benutzerkonten und starke Passwörter
- Bildschirmsperre am Empfang, Akten nicht offen liegen lassen
- Verschlüsselte Datensicherung, getrennt vom Arbeitsrechner aufbewahrt
- Regelmäßige Updates von Betriebssystem und Software
- Verschwiegenheitsverpflichtung für Mitarbeitende und Honorarkräfte
Löschkonzept
Legen Sie fest, wann Daten gelöscht werden. Abrechnungsrelevante Unterlagen unterliegen steuerlichen Aufbewahrungsfristen – für Buchungsbelege gelten seit 2025 acht Jahre, wie die IHK Hochrhein-Bodensee erklärt. Lernstandsberichte, Gesprächsnotizen oder Gutachten sollten dagegen in der Regel deutlich früher nach Vertragsende gelöscht werden.
Betroffenenrechte
Eltern und Lehrkräfte haben Rechte auf Auskunft, Berichtigung und Löschung. Bestimmen Sie, wer im Institut solche Anfragen bearbeitet, und beantworten Sie sie innerhalb eines Monats.
Technik: lokale Software, Cloud und Elternportal
Beide Varianten lassen sich datenschutzkonform betreiben, die Verantwortung verteilt sich aber unterschiedlich. Bei einer Cloud-Lösung prüfen Sie Speicherort, Auftragsverarbeitungsvertrag und Sicherheitsmaßnahmen des Anbieters. Bei lokaler Software liegen die Daten auf Ihren eigenen Rechnern bzw. Ihrem Server – Sie behalten die volle Kontrolle, sind aber auch selbst für Zugriffsschutz und Datensicherung verantwortlich. Eine neutrale Gegenüberstellung finden Sie in der Auswahl-Checkliste für Nachhilfesoftware.
p2o office gibt es in beiden Varianten: wahlweise lokal unter Windows oder als Cloud-Lösung (SaaS). Sie können also nach Ihren Datenschutz-Prioritäten wählen. Bei der Cloud-Version gehört ein AV-Vertrag mit p2o dazu.
Elternportal datenschutzgerecht einsetzen
Ein Elternportal verlagert einen Teil der Kommunikation ins Internet. Das ist bequem, erfordert aber Sorgfalt:
- Jeder Elternteil erhält einen persönlichen Zugang; geteilte Zugangsdaten sollten Sie vermeiden.
- Geben Sie nur Informationen frei, die für Eltern bestimmt sind – keine internen Notizen und möglichst keine Gesundheitsdaten.
- Informieren Sie Eltern in Ihrer Datenschutzinformation nach Art. 13 DSGVO auch über das Portal.
- Nehmen Sie das Portal in Ihr Verarbeitungsverzeichnis auf und prüfen Sie, ob dafür ein AV-Vertrag nötig ist.
- Sperren Sie Zugänge nach Vertragsende.
p2o office unterstützt Sie mit Karteikarten ohne Pflichtfelder, Notizen direkt im Datensatz statt auf Zetteln und einem Elternportal, das auf denselben Daten aufbaut. Alle Module finden Sie unter Funktionen und auf der Seite Nachhilfesoftware.
DSGVO-Checkliste für Ihr Institut
- Datenschutzinformation für Eltern und Lehrkräfte erstellt und bei Vertragsschluss ausgehändigt
- Einwilligungen für Fotos, Newsletter und Schulkontakt getrennt eingeholt und dokumentiert
- Verzeichnis von Verarbeitungstätigkeiten angelegt
- Auftragsverarbeitungsverträge mit allen Dienstleistern geschlossen, insbesondere bei Cloud-Software
- Elternportal: persönliche Zugänge, freigegebene Inhalte festgelegt, Eltern informiert
- Benutzerkonten, Passwörter und Zugriffsrechte geregelt
- Regelmäßige, verschlüsselte Datensicherung eingerichtet und getestet
- Löschfristen festgelegt und umgesetzt
- Mitarbeitende und Honorarkräfte auf Vertraulichkeit verpflichtet
- Prozess für Auskunfts- und Löschanfragen definiert
- Prüfung, ob ein Datenschutzbeauftragter benannt werden muss
Haben Sie Fragen zur Datenhaltung in p2o office? Sprechen Sie uns über die Kontaktseite an.
Häufige Fragen
Ist Cloud-Software für ein Nachhilfeinstitut datenschutzrechtlich erlaubt?+
Ja, wenn die Voraussetzungen stimmen: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, geeignete Sicherheitsmaßnahmen des Anbieters und Transparenz über den Ort der Verarbeitung. Die Verantwortung für die Daten bleibt bei Ihrem Institut.
Braucht ein Nachhilfeinstitut einen Datenschutzbeauftragten?+
Das hängt unter anderem davon ab, wie viele Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind und welche Daten Sie verarbeiten. Prüfen Sie die Voraussetzungen nach Art. 37 DSGVO und § 38 BDSG; im Zweifel hilft die Datenschutzaufsichtsbehörde Ihres Bundeslandes oder eine Datenschutzberatung.
Dürfen Lehrkräfte Schülerdaten auf dem eigenen Handy speichern?+
Davon ist abzuraten. Private Geräte sind schwer zu kontrollieren, und bei Verlust drohen Datenpannen. Besser ist es, Kontaktdaten und Notizen zentral in der Verwaltungssoftware zu führen und den Zugriff über persönliche Benutzerkonten zu regeln.
Was tun bei einer Datenpanne?+
Wenn etwa ein Laptop mit Schülerdaten verloren geht, müssen Sie die Panne in der Regel innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden (Art. 33 DSGVO), sofern ein Risiko für die Betroffenen besteht. Dokumentieren Sie den Vorfall und die ergriffenen Maßnahmen.
Darf ich Zeugnisse von Schülern kopieren?+
Nur, wenn Sie die Kopie für die Förderung wirklich benötigen. Häufig reicht es, die relevanten Noten zu notieren. Bewahren Sie Kopien nicht länger auf als nötig und löschen bzw. vernichten Sie sie nach Vertragsende.