Sobald eine Gemeinde die Anmeldung zum Schulmittagessen digitalisiert, verarbeitet sie personenbezogene Daten von Minderjährigen: Name, Klasse, Anwesenheit, mitunter Unverträglichkeiten. Das ist keine exotische Kategorie — es ist der Alltag jeder Schulverwaltungssoftware.
Und es ist der Punkt, an dem die Auswahl der Werkzeuge aufhört, eine Geschmacksfrage zu sein.
„DSGVO-konform” ist keine Auskunft
Auf jeder Anbieterseite steht es. Es kostet nichts, es zu schreiben, und es sagt nichts darüber, wer tatsächlich worauf zugreifen kann.
Belastbar sind nur drei Dinge, und alle drei stehen in Dokumenten, nicht auf Websites:
Der Auftragsverarbeitungsvertrag. Wer im Auftrag verarbeitet, braucht einen Vertrag nach Art. 28 der Verordnung (EU) 2016/679. Darin steht, was verarbeitet wird, wie lange, mit welchen Schutzmaßnahmen — und vor allem, wer als Unterauftragnehmer mitliest. Unser Muster ist offen einsehbar unter Auftragsverarbeitung; ein Anbieter, der seines erst nach Vertragsschluss zeigt, hat die Prüfung schon erschwert.
Die Liste der Unterauftragnehmer. Das ist die Stelle, an der die meisten Überraschungen liegen. Eine Anwendung kann in Europa laufen und trotzdem Daten an eine Analyse-, Fehlerberichts- oder KI-Schnittstelle außerhalb der EU senden.
Die Löschregel. Was passiert mit den Daten des Kindes, wenn es die Schule wechselt? Wenn der Vertrag endet? Wer löscht, und woran erkennt man, dass es passiert ist?
Die österreichische Datenschutzbehörde ist die Stelle, bei der Betroffene sich beschweren — das sollte im Verfahren bekannt sein, bevor es jemand tut.
Warum uns das bei KI zur lokalen Lösung zwingt
Künstliche Intelligenz ist inzwischen in fast jeder Software eingebaut, oft unsichtbar: eine Textkorrektur, eine Vorschlagsfunktion, eine Auswertung. Technisch bedeutet das meist, dass Inhalte an einen fremden Dienst gesendet werden.
Bei Daten von Kindern ist das der Unterschied zwischen zulässig und nicht zulässig — und es ist keine Frage, die man nachträglich löst.
Deshalb betreiben wir Modelle dort lokal und selbst gehostet, wo die Daten das Haus nicht verlassen dürfen. Das ist unbequemer und kostet Rechenzeit. Aber es macht die Antwort auf die Frage „wohin gehen die Daten?” zu einem Satz statt zu einer Vertragskette. Womit wir arbeiten, steht vollständig auf Technologien — samt dem, was wir bewusst nicht anfassen.
Sparsamkeit schlägt Schutzmaßnahmen
Der wirksamste Schutz ist, Daten gar nicht erst zu haben. Bei einer Essensanmeldung heißt das konkret:
- Braucht es das Geburtsdatum, oder reicht die Klasse?
- Braucht es die Handynummer beider Elternteile?
- Braucht es die Historie eines ganzen Schuljahres, oder reicht der Abrechnungszeitraum?
Jedes Feld, das nicht existiert, muss nicht geschützt, nicht übertragen und nicht gelöscht werden. Bei MealTime hat das eine architektonische Folge: Jede Einrichtung läuft in einer eigenen Instanz mit eigener Datenbank. Ein Zugriff über Gemeindegrenzen hinweg ist damit nicht geregelt, sondern technisch nicht vorgesehen.
Sechs Fragen für die Vergabe
Zum Mitnehmen in das nächste Gespräch mit einem Anbieter:
- Wo genau werden die Daten gespeichert — welches Land, welcher Anbieter?
- Bekomme ich den AVV vor Vertragsschluss zu sehen?
- Wer sind die Unterauftragnehmer, und werde ich über Änderungen informiert?
- Werden Daten an KI-Dienste übermittelt? Wenn ja, an welche?
- Wie lange wird aufbewahrt, und wie wird gelöscht?
- Was passiert mit den Daten, wenn wir den Vertrag beenden — bekommen wir sie, und in welchem Format?
Wer auf alle sechs Fragen eine schriftliche Antwort bekommt, kann entscheiden. Wer auf „selbstverständlich DSGVO-konform” trifft, hat noch keine.
Der Maßstab
Datenschutz bei Kindern ist keine Formalie, die man am Ende erledigt. Er ist eine Architekturentscheidung, die man am Anfang trifft — oder eben nicht.
Wenn Sie so ein Vorhaben planen und die sechs Fragen an uns stellen wollen: Wir beantworten sie schriftlich, bevor Sie irgendetwas unterschreiben. Was in die erste E-Mail gehört, steht auf Kontakt.