Warum die meisten Schulen ihre Datenschutzkosten um die Hälfte unterschätzen
Die offensichtlichen Posten sind schnell benannt: Softwarelizenzen für Datenschutzmanagement, Beratungshonorare und gelegentliche Schulungen. Doch darunter liegt eine Schicht aus versteckten Kosten, die selten in die Budgetplanung einfließen. Wir sprechen von den Stunden, die Verwaltungsmitarbeiter mit der Erfassung von Verarbeitungstätigkeiten verbringen. Von den wiederholten Anläufen, eine Datenschutzfolgenabschätzung zu verfassen, weil die erste Fassung von der Aufsichtsbehörde zurückgewiesen wurde. Von den verzögerten IT-Projekten, weil ein Drittstaatentransfer noch nicht geprüft ist. Diese Kosten summieren sich. In unseren Gesprächen mit Schulträgern zeigt sich, dass die tatsächlichen Aufwände oft das Doppelte der ursprünglich veranschlagten Summe erreichen. Das Problem liegt nicht im mangelnden Willen zur Planung, sondern in der Unsichtbarkeit dieser Prozesse. Sie erscheinen nicht als eigene Budgetposten, sondern verteilen sich auf allgemeine Verwaltungskosten oder IT-Budgets. Erst wenn man die einzelnen Arbeitsschritte nachverfolgt, wird das Ausmaß erkennbar.
Datenschutz ist keine Einmalinvestition, sondern ein fortlaufender Prozess mit wiederkehrenden Kosten
Die häufigste Fehleinschätzung besteht darin, Datenschutz als Einmalinvestition zu betrachten. Eine Anschaffung, einmal erledigt. Die Realität sieht anders aus: Einwilligungen müssen jährlich geprüft werden, Verarbeitungsverzeichnisse aktualisiert, Verträge mit Auftragsverarbeitern überwacht. Jede dieser Pflichten bindet Arbeitszeit, die sonst anderweitig eingesetzt werden könnte. Ein weiterer systematischer Fehler ist die Vernachlässigung von Folgekosten. Ein neues Schülerportal mag im ersten Jahr günstig erscheinen, doch wenn die Datenschutzanforderungen steigen, können Anpassungskosten den Preis vervielfachen. Wir empfehlen deshalb eine Lifecycle-Betrachtung, die mindestens über fünf Jahre reicht. Dabei sollten nicht nur direkte Ausgaben, sondern auch Opportunitätskosten berücksichtigt werden: Was könnte das Personal tun, wenn es nicht mit Datenschutzaufgaben beschäftigt wäre?
Eine eigene Kostenstelle und standardisierte Prozesse schaffen Transparenz und senken Aufwände
Die gute Nachricht: Mit einigen strukturellen Änderungen lässt sich die Kostentransparenz deutlich verbessern. Der erste Schritt ist die Einführung einer eigenen Kostenstelle für Datenschutz. Wenn alle relevanten Aufwände zentral erfasst werden, entsteht ein realistisches Bild. Der zweite Schritt ist die Standardisierung wiederkehrender Prozesse. Eine Vorlage für Einwilligungserklärungen, die jährlich angepasst wird, spart mehr Zeit als ihre Erstellung kostet. Der dritte Schritt ist die strategische Besetzung der Datenschutzbeauftragten-Rolle. Eine halbe Stelle, die sich ausschließlich diesem Thema widmet, kann langfristig Kosten senken, weil Probleme früh erkannt werden. Wir haben gesehen, dass Einrichtungen, die diese drei Schritte umsetzen, ihre Datenschutzkosten im zweiten Jahr um bis zu dreißig Prozent reduzieren konnten. Nicht durch Sparmaßnahmen, sondern durch effizientere Prozesse.