Fragen zu den Rechtsgrundlagen des Datenschutzes an Schulen

Wie in der Vergangenheit auch, sind bei der Verarbeitung analoger Daten im häuslichen Umfeld die Vorgaben zum Datenschutz und der Datensicherheit zu beachten. Insbesondere muss sichergestellt sein, dass Dokumente mit Daten der Lernenden nicht unberechtigten Personen zugänglich sind. Wenn dies gewährleistet ist, steht auch der traditionellen Führung von Notenlisten auf Papier nichts im Wege.

Die Bedingungen für die vorherige Einwilligung in eine Datenverarbeitung ergeben sich aus Art.7 EU-DSGVO und entsprechen im Wesentlichen denen, die bisher bereits nach Datenschutzgesetz NRW für eine Einwilligung galten:

• Die Einwilligung muss durch eine eindeutige Handlung der betroffenen Person erfolgen, mit der freiwillig und unmissverständlich erklärt wird, dass die betroffene Person mit der Verarbeitung ihrer personenbezogenen Daten für einen bestimmten Zweck oder mehrere konkrete Zwecke einverstanden ist. Dabei muss die einwilligende Person über die Bedeutung der Einwilligung informiert sein. Zudem dürfen ihr keinerlei Nachteile entstehen, wenn sie die Einwilligung verweigert.
• Die Erklärung kann schriftlich, mündlich oder elektronisch erfolgen. Die Erteilung der Einwilligung unterliegt grundsätzlich keinem Schriftformerfordernis. Etwas anderes gilt, wenn eine speziellere Rechtsvorschrift ein Schriftformerfordernis vorsieht (zum Beispiel § 3 Abs. 2 VO DO I). Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit bedeuten noch keine Einwilligung.
• Die betroffene Person muss vor Abgabe der Einwilligung auf die Möglichkeit des Widerrufs mit Wirkung für die Zukunft hingewiesen werden.

Dass eine wirksame Einwilligung für die Datenverarbeitung vorliegt, muss der Verantwortliche nachweisen können. Deshalb ist die Schriftform gemäß § 3 Abs. 2 VO DV I zu empfehlen (ggf. ausnahmsweise auch die elektronische Form), wenn Daten, die nicht in den Anlagen zur VO DV I aufgeführt sind, verarbeitet werden; auch in sonstigen Fällen ist stets die Schriftform zu empfehlen.

Nach Art. 35 Abs. 1 DSGVO und den Regelbeispielen in Art. 35 Abs. 3 DSGVO ist eine Datenschutzfolgeabschätzung insbesondere bei der Verwendung neuer Technologien (zum Beispiel Künstlicher Intelligenz) und nur für Verarbeitungen vorgesehen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (zum Beispiel systematisches Profiling; kommunale Meldedaten; umfangreiche behördliche Erhebungen im Zuge der Bewilligung von Sozialleistungen).

Daher besteht für die Verarbeitung von personenbezogenen Lehrkräfte- und Lernendendaten für schulische Zwecke, die auf Ebene einer Einzelschule üblicherweise erfolgt, nach hiesiger Einschätzung in der Regel keine Verpflichtung der Schulleitung, eine Datenschutzfolgeabschätzung durchzuführen. Ohnehin sind Verfahren, die bei Inkrafttreten der DSGVO bereits angewendet wurden, von einer Datenschutzfolgeabschätzung ausgenommen, wenn zuvor bereits ein Verfahrensverzeichnis erstellt war, die seinerzeitige Vorabkontrolle durch den Datenschutzbeauftragten erfolgte, der Verarbeitungsvorgang noch immer auf dieselbe Art durchgeführt wird und sich das mit dem Verarbeitungsvorgang verbundene Risiko nicht geändert hat. Bei der Einführung neuer Technologien (wie beispielsweise Künstliche Intelligenz) oder neuer anderer Formen der Datenverarbeitung ist aber in jedem Einzelfall zu prüfen, ob die Voraussetzungen für die Pflicht zur Durchführung einer Datenschutzfolgeabschätzung gegeben sind.

Die Erhebung und sonstige Verarbeitung (zum Beispiel die Übermittlung) personenbezogener Daten wie Name, Anschrift und Telefonnummer von Eltern durch die Schule ist insoweit zulässig, als es zur Erfüllung der der Schule durch Rechtsvorschrift übertragenen Aufgaben erforderlich ist (§120 Abs. 1 S. 1 SchulG).

Zu den Aufgaben der Schule gehört es auch, zu gewährleisten, dass Eltern durch ihre Vertretungen auf unterschiedlichen Ebenen an der Gestaltung des Schulwesens zum Beispiel in der Klassen- und Schulpflegschaft mitwirken können (§§ 62, 72 Abs. 2 und 4, 73 SchulG).

Für eine datenschutzrechtliche Prüfung der Arbeit der Gremien ist relevant, welche Aufgaben ein Gremium konkret hat und inwieweit dazu die Verarbeitung von Schüler-/Elterndaten tatsächlich zwingend notwendig ist.

Danach dürfen den Klassenpflegschaften und den Schulpflegschaften die Kontaktdaten aller Eltern einer Klasse, Stufe oder Schule prinzipiell nicht durch die Schule zur Verfügung gestellt werden.

Die Kenntnis dieser Daten wäre zur Erfüllung ihrer Funktion zwar dienlich und nützlich, sie sind zur Erfüllung der Aufgaben aber nicht erforderlich. Die Einladungen zu den Sitzungen oder zu ähnlichen Veranstaltungen können durch die Schule weitergeleitet werden, indem die Klassenleitung die Einladungsschreiben über die Kinder an die Eltern ausgibt. Insoweit ist die Schule verpflichtet, die Mitwirkungsgremien wirksam zu unterstützen.

Im Übrigen ist es z.B. Klassenpflegschaftsvorsitzenden unbenommen, die Eltern bei der konstitutiven Sitzung oder bei einem anderen Elternabend um ihre Einwilligung zur Aufnahme ihrer Kontaktdaten in eine Klassenliste zum Zwecke der Kontaktpflege untereinander zu bitten. Abwesende Eltern können wiederum über die Klassenleitung, wie oben beschrieben, um ihre Einwilligung gebeten werden.

Anders zu beurteilen ist dagegen die Weitergabe der Namen, Anschriften und Telefonnummern nur der Klassenpflegschaftsvorsitzenden, Jahrgangsstufenvertretungen und deren Stellvertretungen an die Schulpflegschaftsvorsitzenden und deren Stellvertretungen.

Diese Mitglieder der Schulpflegschaft sind ehrenamtliche Funktionsträger der Schule, die sich zur Übernahme ihrer besonderen Aufgaben in ihr Amt haben wählen lassen. Zur Erfüllung dieser Aufgaben kann es erforderlich werden, dass die oder der Vorsitzende kurzfristig Kontakt zu Mitgliedern der Schulpflegschaft aufnehmen muss, um zum Beispiel Termine abzustimmen oder Besprechungsinhalte zu koordinieren. Aus datenschutzrechtlicher Sicht ist es daher hinnehmbar, wenn die Schule die relevanten Daten der Klassenpflegschaftsvorsitzenden, Jahrgangsstufenvertretungen und gegebenenfalls Vertretungen ohne Einwilligung der Betroffenen an die Schulpflegschaftsvorsitzenden oder Stellvertretungen weiterleitet.

Die Daten dürfen nur für die Zwecke des Schulpflegschaftsamtes verwendet werden und sind vertraulich zu behandeln.

In Schulen werden teilweise zur Gebäudesicherung elektronische Schließanlagen mit Zugangskontrollsystemen betrieben. Es besteht keine rechtliche Grundlage, personenbezogene Daten von Lehrkräften zu verarbeiten, zum Beispiel mittels Erfassen von Nutzungszeiten oder Aufschließzeiten der Räume mit Personenzuordnung.

Zulässig ist, Schließanlagen mit Funktionalitäten zu betreiben, die eine reine Zugangskontrolle sicherstellen; dem Zweck, die Sicherheit für Personen, Anlagen und Gegenstände in Schulgebäuden zu erhöhen, ist damit gedient.

Vertretungspläne sollen unter anderem dazu dienen, dass durch den Stundenplan vorbereitete Verhalten von Schülerinnen und Schülern oder Lehrkräften aktuellen Gegebenheiten anzupassen. Lernende benötigen Informationen, wenn sie einen anderen als den geplanten Lernort aufsuchen müssen. Vertretende Lehrkräfte benötigen Informationen, um den Vertretungsunterricht fachlich übernehmen zu können.

Die Veröffentlichung von Vertretungsplänen über digitale schwarze Bretter innerhalb der Schule ist zulässig, ebenso wie die Bereitstellung über einen passwortgeschützen Bereich (zum Beispiel LOGINEO NRW). Die öffentliche Bekanntgabe von Vertretungsplänen im Internet, zum Beispiel auf der Schulhomepage, ist für den verfolgten Zweck nicht erforderlich und widerspricht damit dem Datenschutz.

Der Zugang zum passwortgeschützen Bereich, in dem der Vertretungsplan liegt, ist nicht zwingend über personalisierte Logins zu realisieren. Es wird als ausreichend angesehen, wenn den berechtigten Personen der Schulgemeinde die Zugangsdaten zum Beispiel mit Ausgabe des Stundenplans bekannt gegeben werden. Dabei sind die berechtigten Personen darauf hinzuweisen, dass die Zugangsdaten geheim zu halten sind und nicht an Dritte weitergegeben werden dürfen. Schulhalbjährlich und wenn bekannt wird, dass nicht berechtigte Personen Kenntnis der Zugangsdaten erlangt haben sollten, sind die Zugangsdaten zu ändern.

Rechtsgrundlage für die Erhebung und Verarbeitung von Protokolldaten bei der Nutzung informationstechnischer Systeme – zum Beispiel einer Lernplattform – ist die DSGVO. Durch die Erhebung von Protokolldaten wird die Sicherheit der Systeme gewährleistet. Die dazu erhobenen Daten werden also nicht auf Basis des Schulgesetzes erhoben, sondern dienen allein der Integrität der informationstechnischen Systeme.

Die Herausgabe von Protokolldaten durch zugriffsberechtigte Personen – zum Beispiel Administratoren – darf nur nach richterlicher Anordnung an die Ermittlungsbehörden erfolgen.

Soweit Daten keinen Personenbezug haben, unterfallen diese nicht der DSGVO.

Die Verarbeitung personenbezogener Daten ist hingegen nur zulässig, wenn sämtliche Anforderungen der DSGVO erfüllt sind. So muss insbesondere eine Rechtsgrundlage für die Verarbeitung gegeben sein (z.B. Einwilligung des Betroffenen, Erfüllung einer rechtlichen Verpflichtung oder Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt). Die Verarbeitung muss für den verfolgten Zweck erforderlich sein und der Betroffene muss im Rahmen einer Datenschutzerklärung über die Verarbeitung informiert werden.

Da bei der Verarbeitung von Daten im Rahmen von KI Systemen zum Teil unklar ist, in welchen Ländern die Daten von dem KI Anbieter verarbeitet werden, und zum anderen die Daten in der Regel auch zum weiteren Training der KI genutzt werden, sollten personenbezogene Daten grundsätzlich nicht im Rahmen von KI System verarbeitet werden.