Datenschutz an Schulen

Kein WhatsApp mehr! Keine Fotos bei der Einschulungsfeier und dem Schulfest! Eltern bekommen keine Benachrichtigungen mehr per E-Mail!

„Wir sind doch eine Schule, wir brauchen das! Wie sollen wir in Zukunft mit den Schülern und Eltern in Kontakt bleiben und Öffentlichkeitsarbeit betreiben? Was dürfen wir noch und was nicht?“

Ein Aufschrei ging durchs Land, als die DS-GVO / das DSG-EKG auch in den Schulen wahrgenommen wurde und die Notwendigkeit eines Datenschutzbeauftragten an der Schule erkannt wurde.

 

Worum geht es beim Datenschutz in der Schule?

So wie Bankdaten, Gesundheitsdaten und Sozialdaten unterliegen auch die Schuldaten den Anforderungen der DS-GVO / dem DSG-EKD. Außerdem gelten noch weitere „Spezialvorschriften“, wie z.B. das jeweilige Landesdatenschutzgesetz, Verwaltungsvorschriften oder das Schulgesetz (SchG).

Neben den Stammdaten der Erziehungsberechtigen werden die Noten (Leistungsdaten), das Verhalten, die Mitarbeit, besondere Vorkommnisse (Verhaltensdaten), Gesundheitsdaten (Entschuldigung bei Krankheit) Versäumnisse, sowie Einträge (Klassentagebuch) der Schüler und Schülerinnen in den verschiedensten Medien und Systemen erfasst, gespeichert, verarbeitet und ausgewertet.

Seit dem 25.5.2018 ergaben sich Fragestellungen mit denen wir als externe Datenschutzbeauftragte in Berührung kamen. Einige der interessantesten Aspekte möchte ich kurz vorstellen.

 

Datenschutzbeauftragter an Schulen

Verantwortlich für die Einhaltung der datenschutzrechtlichen Anforderungen ist die Schule (Art. 4 Nr. 7 DS-GVO / § 4 Abs. 9 DSG-EKD). Sie muss einen Datenschutzbeauftragten benennen.

„Die Schulleitung trägt als verantwortliche Stelle die Verantwortung für die Sicherstellung der Einhaltung datenschutzrechtlicher Erfordernisse und wird dabei vom … Datenschutzbeauftragten unterstützt“

Damit ist die Schulleitung verantwortlich für die Erfüllung der Datenschutzanforderungen und somit zur Erfüllung der Aufgaben des Datenschutzbeauftragten (sofern nicht bestellt).

 

Verarbeitung von Schülerdaten und Daten von Erziehungsberechtigten

Das Landesdatenschutzgesetz (hier: Baden-Württemberg) besagt grundsätzlich, dass das Erheben personenbezogener Daten nur dann zulässig ist, wenn diese Daten zur Erfüllung der Aufgaben der Schule erforderlich sind. D.h. dass die erhobenen Daten zur Erfüllung des Erziehungs-, Bildungs- oder Fürsorgeauftrags nach § 1 SchG erforderlich sein müssen.

Dabei ist deutlich von der „Nützlichkeit“ der Daten zu unterscheiden, welche laut DUDEN für einen bestimmten Zweck sehr brauchbar sind. Aber eben nicht erforderlich.

Außerdem sind die Betroffenen (Erziehungsberechtigte/Schüler und Schülerinnen) über die Art, den Zweck der beabsichtigten Datenverarbeitung zu informieren, sowie bei einer Übermittlung auch die Empfänger der Daten zu benennen sind.

Was ist nun also zu tun? Nur so viele Daten erheben, verarbeiten und speichern, die zur Erfüllung der Aufgabe bzw. des Zwecks erforderlich sind! Nutzen Sie hierzu als Schule schlanke Erfassungsbögen und die Informationspflichten nach DS-GVO / DSG-EKD.

 

Themen, die häufig für Verwirrung sorgen

Eine Einwilligung für alles – geht das?

Eine Einwilligung muss freiwillig sein und über den Zweck der beabsichtigten Datenverarbeitung, die Übermittlung an weitere Empfänger und die Möglichkeit des Widerrufs aufklären. Zum Zweck der Nachweisbarkeit sollte die Einwilligung schriftlich verfasst werden. Generell gilt die Einwilligung bis zum Ende des Schulbesuchs, sie kann aber jederzeit, ohne Angaben von Gründen, widerrufen werden. Schüler gelten ab dem 16. Lebensjahr als einwilligungsfähig, d.h. sie können selbständig einwilligen. Achtung: Eine General-Einwilligung für mehrere Jahre über die Veröffentlichung von Fotos ist nicht erlaubt. Einwilligungen über Fotos müssen zweckgebunden eingeholt werden.

Fotos von Schülern in verschiedenen Medien

Fotos von Schülern in der Schülerzeitung, dem Schuljahrbuch oder Internetauftritt sind weiterhin möglich. Bei Fotos ist generell eine Einwilligung zur Veröffentlichung bei den Erziehungsberechtigten einzuholen. Eine Besonderheit ist hier zu beachten: Bei der Veröffentlichung von Bildern müssen Jugendliche ab dem 14. Lebensjahr zusätzlich neben den Erziehungsberechtigten in die Erklärung einwilligen.

Auch der Schulfotograf darf keine Aufnahmen ohne Einwilligung machen.

Fotos bei Schulfesten und -veranstaltungen

Fotos durch die Eltern: Für das Familienalbum ist das weiterhin erlaubt, man spricht auch von der „Haushaltsaufnahme“. Jedoch ist zu beachten, dass eine Verteilung der Aufnahmen über soziale Medien, sprich die Veröffentlichung an einen größeren, unbekannten Nutzerkreis weiterhin verboten ist (siehe Kunsturheberrecht, Recht am eigenen Bild).

Die Aufsichtsbehörde Baden-Württemberg hat hierzu einen interessanten Artikel veröffentlicht (Fotografieverbot an Schule, 5. September 2019).

Fotos durch die Schule: Die Teilnehmer müssen vorab informiert werden, dass auf der Veranstaltung Aufnahmen gemacht werden, mit Angabe des Verwendungszwecks, der Speicherdauer, der Empfänger und Bekanntmachung der Informationspflichten nach Art. 13 DS-GVO / § 17 DSG-EKD, um die Anforderungen an die Betroffenenrechte zu erfüllen.

E-Mails an die Eltern

Zu den Aufgaben der Schule (Erziehungs-, Bildungs- und Fürsorgeauftrag) gehört die Information der Erziehungsberechtigten über außerunterrichtliche und unterrichtliche Veranstaltungen. Daher ist es legitim und ohne Einwilligung möglich, dass Eltern von der Schulverwaltung über solche Veranstaltungen auch per E-Mail informiert werden. Hierbei sollte aber auf einen „vertraulichen“ E-Mail-Verteiler geachtet werden und die Empfänger Adressen nur per „bcc“ (blind carbon copy), also als Blindkopie, angeschrieben werden. Ansonsten droht der Sachverhalt eines Datenschutzverstoßes wegen einer unbefugten Datenübermittlung.

Übermittlung von Kontaktdaten an den Elternbeirat / Elternvertreter

Eine Übermittlung der Kontaktdaten der Erziehungsberechtigten an die Elternvertretung durch die Schulverwaltung ist nur gestattet, wenn hierzu die jeweilige Einwilligung der Erziehungsberechtigten vorliegt. Es ist zu empfehlen, die Kontaktdaten beim Klassenpflegschaftsabend direkt bei den Erziehungsberechtigten zu erheben.

Darf die Schule Schülerdaten weitergeben?

Jegliche Weitergabe von Schülerdaten (mündlich, elektronisch, schriftlich) an Dritte (Privatpersonen, Stellen außerhalb des öffentlichen Bereichs) durch die Schule ist untersagt. Dazu zählt auch die Weitergabe von Daten an Schulbegleitungen oder zur Betreuung beauftragte Personen. Hierzu wird ebenfalls eine Einwilligung, ggfs. Schweigepflichtentbindung gegenüber dem involvierten Personenkreis benötigt.

Whatsapp ist verboten!

„Aufgrund datenschutzrechtlicher Bestimmungen ist die Verwendung von Sozialen Netzwerken für die dienstliche Verarbeitung personenbezogener Daten generell verboten. Hierunter fällt jegliche dienstlichen Zwecken dienende Kommunikation zwischen Schülern und Lehrkräften sowie zwischen Lehrkräften untereinander, ferner das (Zwischen-)Speichern von personenbezogenen Daten jeder Art auf Sozialen Netzwerken. Im Rahmen des Unterrichts dürfen Soziale Netzwerke jedoch dazu genutzt werden, um Funktionsweise, Vorteile, Nachteile, Risiken usw. pädagogisch aufzuarbeiten.“²

 

WhatsApp ist aufgrund seiner Serverstandorte in den USA und seinen AGB’s nicht datenschutzkonform. Sowohl die Übermittlung des kompletten Adressbuchs in die USA als auch die Speicherung mitunter sensibler Daten von und über Schüler und Schülerinnen ist datenschutzrechtlich verboten. In der Regel verbieten die AGB’s der Social Media Anbieter die Nutzung für Personen unter 16 Jahren. Somit ist diese Entscheidung nachvollziehbar und verständlich.

Eine Lösung liegt in der Nutzung alternativer, datenschutzkonformer Messenger Dienste (Blogbeitrag zu „Datenschutzkonformer Einsatz von Messengern in kirchlichen evangelischen Stellen“) oder in der direkten, analogen Kommunikation.

Wie geht es weiter?

Durch die DS-GVO / das DSG-EKD ist es in vielen Schulen zur Verunsicherung gekommen. Datenschutz an Schulen wurde bislang zu wenig gelebt. Bisher unbekannte datenschutzproblematische alltägliche Sachverhalte sind als Problem erkannt worden.

Eine Klärung mit dem Datenschutzbeauftragten oder einem externen Datenschutzbeauftragten bringt Licht ins Dunkel. Durch „verschlanken“ der Formulare, Einsatz von Einwilligungserklärungen und Sensibilisierung des Kollegiums entsteht Klarheit und Sicherheit für den Datenschutz an Schulen.

Eine Anpassung von Prozessen und Vorgehensweisen stellt sicher, dass die Daten der rund 11 Mio. Schüler an knapp 33.000 allgemeinbildenden Schulen, weiter sicher verarbeitet werden und der Schutz sensibler Schülerdaten gewährleistet wird.

Von Marco Kurz

 

Bildquelle: Bild von Ulrich Wechselberger auf Pixabay

[1] Grundlagen des Datenschutzrechts – Baden-Württemberg, Ministerium für Kultus, Jugend und Sport, pdf vom Juni 2015

[2] https://lehrerfortbildung-bw.de/st_recht/daten/ds_neu/soziale_netze/ – 12.09.2019