DSGVO Schulmensa: Kinderdaten richtig schützen

Die DSGVO in der Schulmensa stellt besonders hohe Anforderungen, denn in der Schulverpflegung werden Daten von Minderjährigen verarbeitet. Träger, Schulen und Caterer sind dafür verantwortlich, dass Bestell- und Bezahlsysteme datensparsam, sicher und nachvollziehbar arbeiten. Dieser Ratgeber zeigt, welche Kinderdaten anfallen, welche Pflichten beim Datenschutz in der Schulverpflegung gelten und wie bargeldlose Systeme diese Vorgaben erfüllen.

Hinweis: Dieser Beitrag bietet eine fachliche Orientierung und ersetzt keine Rechtsberatung. Bitte stimmen Sie Datenschutzkonzepte mit Ihrem Datenschutzbeauftragten ab.

Warum Kinderdaten besonderen Schutz brauchen

Die DSGVO sieht für Daten von Kindern ein erhöhtes Schutzniveau vor (Erwägungsgrund 38). In der Schulmensa fallen unter anderem an: Name, Klasse, Bestell- und Abrechnungsdaten, Guthabenstände und, je nach System, Allergene und besondere Ernährungsbedürfnisse. Letztere zählen zu den besonders schützenswerten Gesundheitsdaten und erfordern eine eigene Rechtsgrundlage sowie strenge Zugriffsbeschränkungen.

Verantwortlich im Sinne der DSGVO ist in der Regel der Träger oder die Schule. Der Systemanbieter handelt als Auftragsverarbeiter. Diese Rollenverteilung muss vertraglich klar geregelt sein.

Worauf Träger und Schulen achten sollten

• Datensparsamkeit: Erheben Sie nur Daten, die für Bestellung, Bezahlung und Abrechnung wirklich notwendig sind. Verzichten Sie auf optionale Profilfelder ohne Zweck.
• EU-Hosting: Die Daten sollten in Deutschland bzw. der EU verarbeitet werden. So vermeiden Sie Übermittlungen in unsichere Drittländer und vereinfachen die Rechtsgrundlage.
• Rollen- und Berechtigungskonzept: Wer darf welche Daten sehen? Ausgabekräfte benötigen andere Sichten als die Verwaltung.
• Löschkonzept: Definierte Löschfristen, etwa nach Schulwechsel oder Ende des Schuljahres, gehören verpflichtend dazu.
• Auftragsverarbeitung (AVV): Ein sauberer Vertrag nach Art. 28 DSGVO mit dem Systemanbieter ist Pflicht.
• Technische und organisatorische Maßnahmen (TOM): Verschlüsselung, Zugriffsprotokolle und sichere Backups.

Allergene und Gesundheitsdaten

Allergenkennzeichnung ist in der Gemeinschaftsverpflegung wichtig. Die Verarbeitung individueller Gesundheitsdaten von Kindern ist jedoch sensibel. Empfehlenswert ist, Allergeninformationen dezentral und einwilligungsbasiert zu führen und sie nur den Personen zugänglich zu machen, die sie für die Essensausgabe tatsächlich benötigen.

Bargeldlos heißt auch diskret

Moderne bargeldlose Systeme mit Chipkarte oder Ausweis ermöglichen eine anonyme Ausgabe: An der Theke ist nicht erkennbar, ob ein Kind regulär bezahlt oder Leistungen aus dem Bildungs- und Teilhabepaket (BuT) bezieht. So verbinden sich Datenschutz und soziale Teilhabe. Gleichzeitig reduziert das bargeldlose Verfahren die Menge sichtbarer personenbezogener Vorgänge an der Ausgabe.

Häufige Fragen

Wer ist in der Schulmensa für den Datenschutz verantwortlich?

In der Regel der Träger oder die Schule als Verantwortlicher. Der Systemanbieter ist Auftragsverarbeiter und muss über einen AV-Vertrag eingebunden sein.

Dürfen Allergendaten von Kindern gespeichert werden?

Ja, aber als besondere Kategorie personenbezogener Daten nur auf klarer Rechtsgrundlage bzw. mit Einwilligung, datensparsam und streng zugriffsbeschränkt.

Warum ist EU-Hosting für die Schul­verpflegung wichtig?

EU-Hosting vermeidet riskante Drittlandübermittlungen, erleichtert die Rechtsgrundlage und schafft Vertrauen bei Eltern und Aufsichtsbehörden.

Die Schulverpflegungs-Lösungen von GiroWeb Mitte sind auf Datensparsamkeit, EU-Hosting und saubere Auftragsverarbeitung ausgelegt, inklusive diskreter, anonymer Ausgabe für BuT-Berechtigte. Sprechen Sie uns für ein datenschutzkonformes Konzept an.