Schule NRW – Seite 4 – datenschutz-schule.info

März 25, 2019Januar 25, 2024

Verarbeiten – Speichern – Unterricht – Lehrergeräte

Lesezeit: 3 Minuten

“Die für die Verarbeitung zugelassenen Daten ergeben sich aus der Anlage 3.”¹

Welche personenbezogenen Daten Lehrkräfte in NRW mit Genehmigung der Schulleitung auf ihren privaten Endgeräten verarbeiten dürfen, ist durch Anlage 3 der VO-DV I recht genau eingegrenzt.

“Datensatz bei Genehmigung der Verarbeitung personenbezogener Schülerinnen- und Schülerdaten auf privaten ADV-Anlagen der die Schülerinnen und Schüler unterrichtenden Lehrerinnen und Lehrer”²

Anders als bei den personenbezogenen Daten, welche in der Verwaltung verarbeitet werden dürfen, sind die hier zugelassenen Daten eng begrenzt. Es wird von einem Datensatz gesprochen, der verarbeitet werden darf. Im Kommentar zum Schulgesetz von 2015 wird davon gesprochen, dass durch die Regelung in der VO-DV I ein Export in die privaten Endgeräte der Lehrkräfte ermöglicht wird.

“… besonderen Regelung, damit bestimmte Daten in einem begrenzten Umfang für dienstliche Zwecke aus der Schule exportiert und in privaten ADV-Anlagen der Lehrkräfte verarbeitet werden dürfen.”³

Nicht mehr zeitgemäß

An der Stelle wird deutlich, dass die Vorgaben des Schulgesetzes NRW und der anhängigen Verordnungen in diesem Bereich längst nicht mehr zeitgemäß sind. Warum?

Die Vorgaben in der VO-DV I sollen sicherstellen, dass die personenbezogenen Daten von Schülern und Eltern ausreichend geschützt sind und dass Lehrkräfte deshalb nicht alle nach dem Schulgesetz NRW für eine Verarbeitung zugelassenen personenbezogenen Daten auf ihren privaten Endgeräten verarbeiten und dadurch einem zusätzlichen Risiko aussetzen. Beim Begriff Verarbeiten hat der Gesetzgeber hierbei jedoch wohl vor allem an eine Speicherung auf den Geräten gedacht. Darauf deuten auch die Löschfristen hin, welche für personenbezogene Daten aus der Schule auf privaten Endgeräten deutlich eingeschränkt sind. Sie dürfen dort nur maximal ein Jahr gespeichert werden, gerechnet ab dem Ende des Kalenderjahres, nachdem eine Lehrkraft einen Schüler zuletzt unterrichtet hat. Die Schule hingegen bewahrt die Daten von Schülern 5 Jahre und länger auf.

Verarbeitung ist der Sammelbegriff für sämtliche Vorgänge, die mit oder ohne automatisierte Verfahren mit personenbezogenen Daten erfolgen⁴. Wie der Beitrag Verarbeitung, Bearbeitung, Speicherung, Bildschirmanzeige und Logineo NRW hoffentlich zeigen konnte, macht die Verwendung dieses Begriffes schon Probleme, wenn es um die Nutzung des Date-Safe von Logineo NRW mit personenbezogenen Daten geht, welche nicht in Anlage 3 aufgeführt sind. Sie dürften dem Wortlaut der VO-DV I nach zur Zeit auch von privaten Endgeräten aus nicht im Daten-Safe verarbeitet werden, da bereits die Bildschirmanzeige ein Verarbeitung im Sinne von Art. 4 Nr. 2 DS-GVO darstellt.

Das Schulgesetz NRW und die VO-DV I tragen der Tatsache, dass heute zunehmend online gearbeitet wird, noch keine Rechnung. Anders als vor wenigen Jahren können Dokumente mittlerweile online bearbeitet werden. Sie müssen dazu nicht länger auf dem Endgerät gespeichert werden, wie das z.B. bei lo-net oder anderen einfachen Plattformen der Fall war. Dort musste eine Datei zunächst auf den Rechner heruntergeladen werden, um sie anzusehen und zu bearbeiten, bevor sie dann wieder in der bearbeiteten Version hochgeladen wurde. Moderne Plattformen erlauben sowohl die Anzeige wie auch die Verarbeitung online. Wenn dieses im Browser erfolgt, findet nur eine temporäre Speicherung im Arbeitsspeicher statt. Diese stellt jedoch keine dauerhafte Speicherung im Sinne der DS-GVO dar.⁵

Dem muss die Schulgesetzgebung Rechnung tragen. Sie muss deutlich unterscheiden zwischen personenbezogenen Daten aus der Schule, welche mit Genehmigung durch die Schulleitung auf privaten Endgeräten verarbeitet werden dürfen, einschließlich einer Speicherung auf dem Gerät, und solchen, welche verarbeitet werden dürfen, jedoch unter Ausschluss einer Speicherung.

Was ist zu tun?

Der bisher in Anlage 3 aufgeführte Datensatz wird unverändert beibehalten für eine uneingeschränkte Verarbeitung einschließlich einer Speicherung auf dem Gerät. Zusätzlich aufgenommen werden sollten in die VO-DV I jedoch weitere Daten bzw. Kategorien von Daten, für welche eine eingeschränkte Verarbeitung, welche eine Speicherung auf dem Endgerät ausdrücklich ausschließt, über den Browser zulässig ist.⁶ Dazu gehören würden Daten, für welche schon jetzt eine Bearbeitung im Daten-Safe von Logineo NRW vorgesehen ist. Mit aufgenommen werden müssten unbedingt auch sämtliche personenbezogenen Daten, welche zur Nutzung von Lern Management Systemen (LMS), Lernplattformen und Classroom Management Systemen (CMS) erforderlich sind.⁷ Dieses ist dringend erforderlich, um der Tatsache Rechnung zu tragen, dass im Unterricht zunehmend Online-Plattformen genutzt werden. Dort erfolgt sämtliches Lernen und Arbeiten online über den Browser und es ist erforderlich, dass Lehrkräfte die Möglichkeit erhalten, in der Plattform von Schülern erarbeitete Materialien einzusehen, um Feedback zu geben und Bewertungen vorzunehmen, oder um durchgeführte Abfragen auszuwerten. So wie traditionell Lehrkräfte die Hefte von Schülern mit nach Hause nehmen, macht es die Arbeit mit Online-Plattformen erforderlich, die von Schülern bearbeiteten Materialien auch zu Hause in der Plattform durchsehen zu können. Das alles ist, momentan von privaten Endgeräten aus rein rechtlich nicht möglich, da diese Daten nicht zu dem in Anlage 3 detaillierten Datensatz gehören.

Mit Dienstgeräten würde sich die beschriebene Erfordernis einer zeitgemäßen Anpassung der schulischen Gesetzgebung nicht ergeben. Da es gegenwärtig illusorisch ist, mit einer zeitnahen Ausstattung aller Lehrkräfte mit Dienstgeräten zu rechnen, sich nun aber immer mehr Schulen und Lehrkräfte auf den Weg machen, digitale Medien in den Unterricht zu integrieren, was vor allem in weiterführenden Schulen den Einsatz von Online-Plattformen einschließt, braucht es die beschriebene Anpassung der datenschutzrechtlichen Vorgaben im Schulgesetz und anhängigen Verordnungen zur Datenverarbeitung. Auch die Verarbeitung von personenbezogenen Daten, welche nicht auf privaten Endgeräten gespeichert werden dürfen, macht diese Änderung deshalb erforderlich.

März 5, 2019Januar 25, 2024

Der Privatbereich von Schülern im Unterricht

Lesezeit: 3 Minuten

Dieser Tweet einer Mutter erregte jetzt bei Twitter die Gemüter, wurde mehr als dreihundertmal kommentiert, retweeted, und von knapp 2.000 anderen Nutzern mit einem Like versehen.

Kann man als Lehrkraft im Unterricht bei Schülerinnen und Schülern eine derartige Abfrage durchführen? Wie verträgt sich das mit dem Datenschutz?

Das Thema ist schwierig und es ist nicht einfach, eine pauschale Aussage zu treffen. Die Biologie Lehrkraft meint es sicherlich gut, wenn man sich in der Klasse mit dem Thema “Gesunde Ernährung” auseinandersetzt und die Kinder dafür sensibilisiert. Allerdings sind Ernährungsgewohnheiten schon eine sehr persönliche Angelegenheit, die Aufschluss über weitaus mehr zulassen. Ob eine Familie Bio Produkte kauft oder nicht, muss nichts mit einem vorhandenen oder mangelnden Bewusstsein für gesunde und nachhaltige Ernährung zu tun haben, sondern kann auch mit der finanziellen Situation zusammenhängen. Als Lehrer oder Lehrerin möchte man gerne Lernanlässe mit lebensweltlichen Bezügen gestalten. Macht doch mal ein Foto von eurem Zimmer. Erzählt doch mal von den Berufen eurer Eltern. Manche scheinbar belanglose Frage kann ein Kind dazu nötigen, Dinge aus dem Privatbereich der Familie zu offenbaren, die es selbst bloßstellen oder den Eltern nicht recht sind, aus welche Gründen auch immer.

Man braucht bezüglich der mit solchen Abfragen verbundenen Problematik nicht einmal auf die Europäische Datenschutz Grundverordnung (DS-GVO) schauen, wie dies in einigen kommentierenden Tweets geschah. Auch das Schulgesetz NRW äußert sich zu einer solchen Erhebung von Daten.¹

In §2 Abs. 2 der VO-DV I heißt es:

“(2) Nicht in den Anlagen aufgeführte Daten dürfen nur erhoben werden, wenn die oder der Betroffene eingewilligt hat. […] Auch mit Einwilligung dürfen unzumutbare, nicht zweckdienliche oder sachfremde Angaben nicht erhoben werden.”

Wenn es um die Ernährung und den Einkauf von Bio Produkten geht, dann betrifft dieses auch die Eltern. Man sollte sich in Schule grundsätzlich davor hüten, Abfragen bei Schülern zu machen, welche die Eltern betreffen, egal ob es dabei um das Alter der Eltern geht, ob und warum sie arbeitslos sind, oder welche Eltern getrennt leben. Im Fall der geplanten Beratung zur Ernährung werden einige Eltern die eingeforderten Informationen als unzumutbar empfinden. Dieses Recht haben sie. Fraglich ist zudem, ob die Informationen wirklich zweckdienlich sind? Um beim Beispiel zu bleiben. Es wäre auch möglich, im Biologieunterricht ein Beratungsschema zu erarbeiten, mit welchem die Schüler zu Hause die Ernährung in ihrer Familie unter die Lupe nehmen können, um die Eltern hinterher zu beraten. Das Ziel, die Kinder für eine gesunde und nachhaltige Ernährung zu sensibilisieren, wäre auch hiermit erreicht.

Obige Abfrage aus dem Biologieunterricht ist nicht nur problematisch, weil sie die Verhältnisse im Elternhaus betrifft und für einige Eltern nicht zumutbar ist, sondern auch, weil es sich um eine verbindliche Abfrage handelt, eine Hausaufgabe, bei welcher der Schüler möglicherweise noch sanktioniert wird, wenn zur nächsten Stunde keine Liste vorgezeigt wird. In einem Kommentar zum SchulG NRW wird folgende Empfehlung gegeben:

“Insgesamt haben die Lehrkräfte dafür Sorge zu tragen, dass personenbezogene Daten im Unterricht nur im Rahmen des Erforderlichen verarbeitet und ansonsten vermieden werden. Hier ist neben dem notwendigen pädagogischen Fingerspitzengefühl auch eine besondere datenschutzrechtliche Sensibilität geboten. Im Zweifel sollten die Eltern in der Klassenpflegschaftssitzung und/ oder durch Elternbriefe über möglicherweise datenschutzrelevante Inhalte einer geplanten Unterrichtseinheit oder -reihe informiert werden, so dass sie die Möglichkeit haben, etwaige Einwände rechtzeitig vorzutragen.”²

Es wäre sicherlich übertrieben, wenn man den Privatbereich von Schülerinnen und Schülern komplett aus dem Unterricht ausklammern würde. Wenn Schüler von sich aus Informationen aus dem Privatbereich im Unterricht offenbaren, ist das etwas Anderes, als wenn sie durch eine Hausaufgabe oder Antwortkette, zu der jeder etwas beitragen muss, zur Preisgabe von solchen Informationen genötigt werden. Vor allem ältere Schüler können recht gut einschätzen, ob und was sie von sich preisgeben wollen. Solange klar ist, dass alles auf Freiwilligkeit und ohne Nachteile bei Nichtbeantwortung abläuft und das Kind über den Umfang der Informationen selbst entscheidet, die es preisgeben möchte, kann man informell im Klassengespräch über eher allgemeine Dinge reden wie Hobbys, Lieblingssportler, Vorlieben und Freizeiterlebnisse und ähnlich. Bei jüngeren Schülern, vor allem in der Grundschule, fehlt dieses Urteilsvermögen oft noch völlig. Lehrkräfte müssen deshalb hier wesentlich umsichtiger handeln. Schriftliche Befragungen sollten besonders vorsichtig angegangen werden, etwa durch eine vorherige Absprache mit den Eltern und eine Anonymisierung der Abfrage. Grundsätzlich sollte man immer überlegen, ob es nicht andere Wege gibt, um zum gleichen Ziel zu gelangen. Sensible Bereiche aus dem Privatleben sollten im Unterricht besser meiden.

März 2, 2019Juni 18, 2024

Schule und Schulträger – Verantwortung beim Datenschutz

Lesezeit: 4 Minuten

Seit dem Verfahren vor dem OVG NRW haben sich die Perspektiven bezüglich der Zuständigkeiten in der datenschutzrechtlichen Verantwortung etwas verschoben. Die drei Richter des Senats des OVG kamen zu dem Schluss, dass der Schulträger eine datenschutzrechtliche Verantwortung bei der Auswahl von Plattformen hat, mit welchen eine Schule personenbezogene Daten verarbeitet und muss gegebenenfalls auch Betroffenen gegenüber die Datenschutzkonformität einer bereitgestellten Plattform nachweisen. Auch wenn diese Rechtsauffassung unter Fachjuristen umstritten ist, da sie die Trennung von inneren und äußeren Schulangelegenheiten durchbricht, hat sie zumindest seit 2024 durchaus praktische Auswirkungen. Diese betreffen jedoch nicht das datenschutzrechtliche Verhältnis, um welches es in diesem Beitrag geht, das der Auftragsverarbeitung durch den Schulträger. (Stand 06/2024)

Das Verhältnis von Schule und Schulträger ist nicht immer einfach. Oft ist man beim Schulträger der Meinung, wo das Geld ist, wird entschieden. Das betrifft die IT Ausstattung, von der Hardware bis zur Software. Schulträger entscheiden in vielen Bereichen und immer wieder über Schule anstatt mit Schule. Verwaltung und pädagogisches Netz werden mal eben mit Microsoft 365 ausgestattet, die Kameras in iPads werden deaktiviert, die Nutzung bestimmter Internet-Dienste gesperrt, Dienstleister mit Support und Administration beauftragt und Schule hat das zu nehmen wie es ist. Kann ein Schulträger das mal eben alles so entscheiden?

Grundsätzlich sollten Entscheidungen, die eine Schule betreffen immer im Einvernehmen zwischen Schulträger und Schule getroffen werden.

Manchmal ist es für beide Seiten hilfreich, wenn man sich die rechtlichen Grundlagen vor Augen führt.

Schulträger als Sachaufwandsträger

Nach §79 SchulG NRW¹ sind Schulträger als Aufwandsträger für die sächliche Ausstattung verantwortlich. Allerdings ist die Schule gemäß §76 SchulG NRW vom Schulträger bei Entscheidungen zu beteiligen².

Schule und innere Angelegenheiten

Anders als bei den äußeren Angelegenheiten ist die Schule in Bezug auf die inneren Angelegenheiten nach § 3 SchulG NRW eigenverantwortlich³. Unter die inneren Angelegenheiten fällt auch die Verarbeitung von personenbezogenen Daten. Entsprechend liegt die Verantwortung für die Einhaltung der datenschutzrechtlichen Vorgaben des Schulgesetzes nach § 1 Abs. 3 VO-DV I bei der Schulleitung.

“(3) Für die Schule stellt die Schulleiterin oder der Schulleiter […] durch technische oder organisatorische Maßnahmen sicher, dass der Schutz der verarbeiteten Daten gemäß Artikel 32 in Verbindung mit Artikel 5 der [DS-GVO] gewährleistet ist und die Löschungsbestimmungen eingehalten werden.”

Das bedeutet, die Schule ist bei sämtlicher Verarbeitung von personenbezogenen Daten von Schülern, Lehrkräften und Erziehungsberechtigten, soweit sie innere Angelegenheiten betreffen, Verantwortlicher im Sinne von Art. 4 Nr. 7 DS-GVO.

Verhältnisse klarstellen

Wenn ein Schulträger, egal ob es das Schulamt ist, der kommunale oder städtische Datenschutzbeauftragte, die IT Abteilung im Rathaus oder ein vom Schulträger beauftragter IT Dienstleister, mit Vorgaben, Anordnungen, Konfigurationen schulischer Soft- und Hardware oder Verboten in Prozesse der Datenverarbeitung in Schule eingreift, dann ist dieses sicherlich in den meisten Fällen wohlwollend gemeint, überschreitet jedoch eindeutig die rechtlichen Zuständigkeiten dieser Stellen. Genau genommen können derartige Eingriffe in die datenschutzrechtlichen Angelegenheiten einer Schule sogar als Verstöße gegen geltendes Datenschutzrecht, vom Schulrecht über Landes- und Bundesdatenschutzgesetzgebung bis zur Europäischen Datenschutz Grundverordnung bewertet werden. Schulen sind in Bezug auf das Datenschutzrecht einzig ihren vorgesetzten Dienststellen, sofern diesbezüglich weisungsberechtigt, und der zuständigen Aufsichtsbehörde gegenüber weisungsgebunden.

Schulträgern und den Personen, Stellen und Dienstleistern, welche für sie tätig sind, ist dieser Sachverhalt oftmals nicht einmal klar.

Es gibt für Schulen hier einen einfachen Weg, um Abhilfe zu schaffen, ein Weg, mit dem eine Schule in den meisten Fällen auch einer datenschutzrechtlichen Pflicht nachkommt. Nach § 2 Abs. 3 VO-DV I gilt:

“(3) Die Schulen […] sind berechtigt, unter Beachtung der Voraussetzung des Artikel 28 der Datenschutz-Grundverordnung die Datensicherheit gewährleistende und zuverlässige Institutionen mit der Verarbeitung ihrer Daten zu beauftragen. Die Datenverarbeitung im Auftrag ist nur zulässig nach Weisung der Schule […] und ausschließlich für deren Zwecke.”

In der Mehrheit aller Schulen ist der Schulträger mittels seiner eigenen IT Abteilung oder durch einen beauftragten IT Dienstleister mit Support und administrativen Aufgaben für die schulische IT beauftragt.

Immer wenn dabei auch ein Zugriff auf personenbezogene Daten aus der Schule erforderlich oder möglich ist, muss nach Art. 28 Nr. 3 DS-GVO ein Vertrag zur Auftragsverarbeitung geschlossen werden. In diesem sind die Zuständigkeiten zwischen dem Verantwortlichen, hier der Schule als Auftraggeber, und dem Auftragnehmer (Auftragsverarbeiter), eindeutig geregelt. Dazu gehört, dass der Auftragnehmer gegenüber dem Auftraggeber weisungsgebunden ist. Selbiges gilt auch, wenn schulische IT aus dem Schulgebäude ausgelagert betrieben wird. Das ist beispielsweise der Fall, wenn ein Schulverwaltungsprogramm wie SchiLD NRW zentral auf einem Server des Schulträgers oder beauftragten IT Dienstleisters betrieben wird.

Handlungsempfehlung

Letztlich geht es also nur darum, dem Schulträger deutlich zu machen, dass eine Schule bzw. eine Schulleitung ihrer datenschutzrechtlichen Verantwortung nur gerecht werden kann, wenn der Schulträger Eingriffe in die Schulische IT, sofern sie Datenverarbeitungsprozesse oder die technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten betreffen, in Abstimmung mit der Schule vornimmt.⁴

Schulträger verstehen dieses oft besser, wenn man den verantwortlichen Personen vor Augen führt, dass sich datenschutzrechtlich auch die kommunale bzw. städtische Verwaltung in einer vergleichbaren Situation befindet. Auch dort würde man keine Einmischung oder Bevormundung durch externe Stellen oder Personen zulassen (dürfen).

Mit einem zusätzlichen Hinweis auf die Vorgaben aus der Schulgesetzgebung und dem Abschluss der erforderlichen Verträge zur Auftragsverarbeitung sollte dann für alle Beteiligten klar sein, wie es mit der rechtlichen Stellung und den daraus resultierenden Verantwortlichkeiten im Verhältnis von Schule und Schulträger bestellt ist. Verantwortliche aus kommunaler bzw. städtischer Verwaltung verstehen die Sprache von Gesetzen und Verordnungen aus ihrem Berufsalltag sehr gut und bringen, wenn sie um die rechtlichen Verhältnisse wissen, auch mehr Verständnis für die Zuständigkeiten für schulinterne Datenverarbeitungsprozesse auf.

Auf dieser Basis, sollte eine vertrauensvolle Zusammenarbeit von beiden Seiten aus gut möglich sein. Eine Schule kann auf dieser Grundlage dann auch besser argumentieren, wenn der Schulträger

eine Software, die seit Jahren essentiell für interne Abläufe ist, nicht mehr unterstützen möchte und keine Alternative bietet,
die Schulverwaltung von einem Server in der Schule auf einen Server im Rathaus umstellen will,
Verarbeitungsprozesse an einen Dienstleister auslagern will,
für alle sicheren, schuleigenen USB Sticks der Lehrkräfte ein einziges Passwort vorschreibt,
alle Schulen auf ein einheitliches Schulverwaltungsprogramm umstellen möchte,
im Internetzugang der Schule Ports gesperrt werden, die zur Nutzung eines Online-Angebotes, erforderlich sind,
die Kameras in iPads deaktiviert werden,
die Mitarbeiter des IT Dienstleisters mitten im Schulbetrieb für Wartungszwecke das schulische Netzwerk lahmlegen,
man für die sichere Aufbewahrung von Datenträgern und Festplatten zur Sicherung von Daten nach Jahren noch immer keinen (feuersicheren) Safe erhalten hat,

und dabei die entscheidet als hätte die Schule hier nichts zu sagen.

In Sachen Datenverarbeitung ist der Schulträger somit Auftragsverarbeiter und gegenüber der Schule weisungsgebunden. Das bedeutet:

Ohne entsprechende Verträge zur Auftragsverarbeitung geht gar nichts.

Stand 06/2024

Februar 25, 2019

Datenschutzverstöße und mögliche rechtliche Folgen für eine Schule

Lesezeit: < 1 Minute

Es wird immer wieder gefragt, welche rechtlichen Folgen es haben kann, wenn es in der Schule zu einem Datenschutzverstoß kommt oder Vorgaben der DS-GVO bezüglich der Schulhomepage nicht eingehalten wurden. Der Beitrag Mögliche rechtliche Folgen eines Datenschutzverstoß für Schulen schaut deshalb auf die rechtlichen Möglichkeiten, welche für die Aufsichtsbehörde und die Betroffenen bestehen. Wie man dabei sieht, wird die Aufsichtsbehörde kein Bußgeld gegen eine Schule in öffentlicher Trägerschaft verhängen. Das bedeutet aber nicht, dass in der Schule tätige Personen nicht mit rechtlichen Konsequenzen rechnen müssen, vor allem wenn sie vorsätzlich gehandelt haben. Aber auch Unwissenheit schützt vor Strafe nicht und so können auch aus Nichtwissen oder Nachlässigkeit begangene Verstöße gegen das Datenschutzrecht durchaus rechtliche Konsequenzen nach sich ziehen, wenn den Betroffenen ein Schaden hierdurch entstanden ist, und dieser kann auch immaterieller Natur sein.

Datenschutz und Schweigepflicht

Lesezeit: 2 Minuten

In Schule kommt im Zusammenhang mit dem Thema Entbindung von der Schweigepflicht immer wieder die Frage danach auf, ob es dabei auch einen Zusammenhang mit dem Datenschutz gibt. Die Frage kann nicht immer mit nein beantwortet werden. Die Schweigepflicht ist vor allem im Bereich der Schulsozialarbeit von Belang. Die Vorgaben des Datenschutzes gelten jedoch auch dort.

Sozialpädagogische Mitarbeiter, oft auch als Schulsozialpädagogen bezeichnet, wie sie sich vor allem an größeren Schulsystemen finden, gehören nach §58 SchulG NRW wie Lehrkräfte und die Schulleitung zum Schulpersonal.¹ Entsprechend unterliegen sie der datenschutzrechtlichen Verantwortung der Schulleitung. Dass Schulsozialpädagogen zum Schulpersonal gehören, hat auch datenschutzrechtliche Auswirkungen. In einigen Bundesländern mit anderen Modellen der Schulsozialarbeit wird diese von externen Trägern geleistet. Liegt dort keine Rechtsgrundlage für eine Übermittlung von personenbezogenen Daten im Schulgesetz vor, muss die Schule eine Einwilligung der Betroffenen einholen, bevor sie beispielsweise die Kontaktdaten der Eltern an die Schulsozialarbeit weitergeben darf.² Durch ihre Zugehörigkeit zum Schulpersonal ist solches in Schulen in NRW nicht erforderlich. Wie auch Lehrkräfte wirken sie als im Landesdienst stehende Mitarbeiter “bei der Bildungs- und Erziehungsarbeit mit.”³. Auch wenn Schulsozialarbeiter in der VO-DV I § 4 Abs. 6 nicht unter den Personen geführt werden, welche das Schülerstammblatt und den sonstigen Datenbestand einsehen dürfen, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist, kann Schulleitung ihnen dieses genehmigen.⁴ Ohne Einblick in die personenbezogenen Daten von Schülern und Eltern könnten sie einen Teil ihrer Aufgaben nicht erfüllen.

Während verbeamtete Lehrkräfte wie auch Lehrkräfte im Tarifbeschäftigungsverhältnis zur Verschwiegenheit verpflichtet sind⁵, geht es bei Schulsozialpädagogen im Rahmen ihrer Tätigkeit um die Schweigepflicht. Entsprechend heißt es im RdErl. d. Ministeriums für Schule und Weiterbildung v. 23.01.2008 unter 3.9

“Das Gebot der Schweigepflicht gemäß § 203 Strafgesetzbuch – Verletzung von Privatgeheimnissen – ist zu beachten.”

Sollen Schulsozialpädagogen im Rahmen ihrer Tätigkeit beispielsweise mit externen Stellen zusammenarbeiten, ob es sich dabei um Ärzte handelt oder um Schulpsychologen, das Jugendamt oder anderen außerschulischen Beratungsinstitutionen, geht es meist um mehr als die Übermittlung von personenbezogenen Daten. In Gesprächen haben die betroffenen Schüler oder Eltern der sozialpädagogischen Fachkraft Geheimnisse anvertraut z.B. über Ängste, Sorgen, Probleme oder häusliche Zustände. Um diese Informationen im Austausch mit externen Stellen nutzen zu können, braucht die Fachkraft eine Entbindung von der Schweigepflicht. Gleiches gilt entsprechend auch für Lehrkräfte, wenn diese persönlich in Beratungsgespräche mit externen Stellen eingebunden sind.

Datenschutz und Schweigepflicht sind, das ist aus den bisherigen Ausführungen hoffentlich deutlich geworden, zwei sehr verschiedene Dinge.

Unterschiede zwischen Schweigepflicht und Datenschutz bezogen auf Schule
Schweigepflicht:
• entspringt §203 StGB
• Verletzung von Privatgeheimnissen
• richtet sich direkt an die Fachkraft und gilt für jeden Beschäftigten der Schule
• nur natürliche Personen können sich strafbar machen
• Informationen: „anvertraute Geheimnisse“ z.B. über häusliche Verhältnisse,
Gewalt, persönliche Befindlichkeiten, Familienprobleme, sexuellen
Missbrauch, …
• die Entbindung von der Schweigepflicht bedarf keiner Formerfordernisse
Datenschutz:
• betrifft das Recht auf informationelle Selbstbestimmung.
• ist in NRW geregelt durch: SchulG NRW, VO-DV I & II, DSG NRW, BDSG, DS-GVO, SGB I, VIII, X
• richtet sich an die Schule als Institution
• Informationen: i.d.R.„erhobene Daten“, bei der Anmeldung an der Schule und im Schulalltag⁶ • die Einwilligung in die Datenübermittlung muss schriftlich erfolgen; es gibt Formerfordernisse

Sowohl der Schweigepflicht als auch dem Datenschutz geht die Anzeigepflicht vor.⁷

Ob es im Alltag der Schule nun eine Einwilligung der Betroffenen zur Übermittlung von personenbezogenen Daten braucht, eine Entbindung von der Schweigepflicht oder eine Kombination von beiden, hängt vom jeweiligen Fall ab. Je nach Gegenstand und Alter des betroffenen Schülers kann die Einwilligung bzw. Entbindung von der Schweigepflicht vom Schüler selbst vorgenommen werden oder braucht zusätzlich die Zustimmung der Eltern.

Die beiden folgenden Vorlagen sind von anderen Stellen übernommen und in Teilen angepasst. Bei der ersteren geht es ausschließlich um die Schweigepflicht. Die zweite beinhaltet auch eine Einwilligung in die Datenübermittlung.⁸

Vorlagen

Vertiefende Informationen

Wer sich mehr mit der Thematik auseinandersetzen möchte, dem sei die hervorragende Broschüre Datenschutz und Schweigepflicht in der Schulsozialarbeit.pdf aus Sachsen empfohlen. Man sollte hierbei jedoch beachten, dass in Sachsen – anders als in NRW – die Schulsozialarbeit von externen Mitarbeitern geleistet wird. Da diese eben keine schulischen Mitarbeiter sind mit einer rechtlichen Stellung, welche der in NRW vergleichbar ist, muss an Schulen in Sachsen bereits eine Einwilligung zur Datenübermittlung vorliegen, damit die Schule die Kontaktdaten eines Schülers und seiner Eltern an die Schulsozialarbeit zu einer Kontaktaufnahme von dieser Seite übermitteln darf.

Februar 10, 2019Oktober 19, 2021

Datenschutz – ein Quiz mit Kahoot für Fortbildungen

Lesezeit: < 1 Minute

Für Fortbildungen von Lehrkräften und zur Sensibilisierung für datenschutzrechtliche Fragen im Schulalltag gibt es nun ein Kahoot Quiz mit 25 Fragen.

Ergänzend dazu gibt es zu jeder Frage Erläuterungen mit den rechtlichen Hintergründen, bezogen auf die Rechtslage in NRW. Der Quiz kann auch in anderen Bundesländern genutzt werden, da die Rechtslage überwiegend ähnlich ist. Die Erläuterungen als PDF und in anpassbaren Versionen.

Sollte sich die Rechtslage durch Anpassungen des Schulgesetzes oder der Verordnungen zur Datenverarbeitung ändern, werden Quiz und Erläuterungen aktualisiert.

Hinweis:

Wer eine datenschutzfreundlichere Version des Quiz für Moodle erstellen möchte, kann auf Nachfrage eine Sicherungsdatei der Aktivität erhalten, welche eine Kollegin für Logineo NRW LMS erstellt hat.

Moodle Logo unter GNU General Public License, Quelle: Wikimedia

Februar 5, 2019Januar 25, 2024

Datenschutzbeauftragter des Schulträgers weisungsberechtigt gegenüber Schule?

Lesezeit: 2 Minuten

In einer nordrhein-westfälischen Kommune hat der Datenschutzbeauftragte des Schulträgers die Kommunikation zwischen Lehrern und Schülern mittels WhatsApp an allen städtischen Schulen untersagt. Dass schulische Kommunikation mittels WhatsApp ein Datenschutzthema ist, ist keine Frage. Inwieweit jedoch der Datenschutzbeauftragte des Schulträgers den Schulen gegenüber weisungsberechtigt ist, steht auf einem anderen Blatt. Im Alltag hört man immer wieder, dass es solche Verbote oder Weisungen von dieser Seite gibt. Wie ist damit umzugehen? Ist das rechtens?

In Nordrhein-Westfalen gibt das Schulgesetz in §3 Absatz 1 Satz 2 vor, dass die Schule ihre inneren Angelegenheiten selbst verwaltet¹ es gibt zwar einen Passus im Schulgesetz, welcher Schulen dazu verpflichtet, den Anordnungen des Schulträgers zu folgen,² doch gilt dieses nur, soweit es den Aufgabenbereich des Schulträgers betrifft. Und zu diesen gehören nicht die inneren Angelegenheiten der Schule. Soweit es den Bereich digitale Medien betrifft, ist der Schulträger nach §79 SchulG NRW verpflichtet, für eine angemessene Sachausstattung zu sorgen.³ Aus schulrechtlicher Sicht liegt in der Schule die datenschutzrechtliche Verantwortung bei der Schulleitung. Die ADO führt hierzu in §26 Abs. 5 Satz 2 aus:

“Sie oder er ist für die Einhaltung der datenschutzrechtlichen Bestimmungen verantwortlich (§ 1 Absatz 3 VO-DV I – BASS 10-44 Nr. 2.1, § 1 Absatz 5 VO-DV II – BASS 10-41 Nr. 6.1).”

Das ist sehr eindeutig. Wenn es um Vorgaben oder Verbote bezüglich des Datenschutzes geht, dann können diese nur von Seiten des Schulministeriums kommen oder einer untergeordneten Behörde mit entsprechenden rechtlichen Weisungsbefugnissen, nicht jedoch vom Datenschutzbeauftragten des Schulträgers.

Wie sieht es mit den behördlich bestellten schulischen Datenschutzbeauftragten aus?

Im Grunde genommen sieht es nicht anders aus. Auch die vom Schulträger bestellten Datenschutzbeauftragten für die Schulen der Kommune haben keine Weisungsbefugnis gegenüber den Schulen in ihrem Zuständigkeitsbereich. In der VO-DV I §1 Abs. 3 Satz 2 heißt es:

“Die Zuständigkeit der gemäß § 1 Abs. 6 VO-DV II bestellten behördlichen Datenschutzbeauftragten (§ 32 a DSG NRW) besteht auch für die Kontrolle der Einhaltung der datenschutzrechtlichen Vorschriften in Bezug auf die Daten der Schülerinnen, Schüler und Eltern.”

In der Art. 39 DS-GVO sind die Aufgaben eines Datenschutzbeauftragten klar definiert. Dazu gehören unter anderem Unterrichtung und Beratung, Überwachung der Einhaltung der DS-GVO, Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen, Beratung – auf Anfrage – im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung und Zusammenarbeit mit der Aufsichtsbehörde. Auch Art. 38 DS-GVO, bei dem es um die Stellung des Datenschutzbeauftragten geht, ist keine Rede davon, dass dieser eine Weisungsbefugnis hat.

Fazit

Datenverarbeitung in der Schule, und dazu gehört auch welche digitalen Medien Schüler und Lehrer zur Kommunikation nutzen, liegt zuallererst in der Verantwortung der Schulleitung. Das jeweilige Schulministerium und die Schulaufsichten können im Rahmen der ihnen zur Verfügung stehenden Rechtsmittel (Erlasse, Verordnungen, Dienstanweisungen, …) Schulen datenschutzrechtliche Vorgaben machen, für deren Einhaltung dann die Schulleitung verantwortlich ist. Die behördlich bestellten schulischen Datenschutzbeauftragten können die Einhaltung datenschutzrechtlicher Vorgaben überprüfen, sind jedoch ohne jegliche Weisungsbefugnis gegenüber den Schulen. Datenschutzbeauftragte des Schulträgers, welche für die kommunale Verwaltung zuständig sind, haben in Bezug auf die Schulen keinerlei Zuständigkeit. Entsprechend sind auch Schulträger selbst oder deren kommunale IT-Dienstleister nicht berechtigt, Schulen irgendwelche datenschutzrechtlichen Vorschriften zu machen.

Schulleitungen und Schulträger sind gehalten, einvernehmlich zusammenzuarbeiten. Dazu gehört jedoch keine datenschutzrechtliche Bevormundung durch Personen oder Stellen auf Seiten des Schulträgers, die dazu keinerlei rechtliche Befugnis haben. Es kann auch nicht sein, dass hier eine Seite durch die Hoheit über die Zuweisung finanzieller Mittel versucht, eine Machtbefugnis zu erlangen, die ihr nicht zusteht.

Dezember 2, 2018

Kann eine Schule Facebook und Instagram zur Öffentlichkeitsarbeit nutzen?

Lesezeit: 2 Minuten

Manche Schulen haben sie schon lange, andere Schulen überlegen gerade, ob sie sie einrichten, die Präsenz bei Facebook und bei Instagram. Schulen, die mit digitalen Medien unterwegs sind, sehen sich oft der Herausforderung gegenüber, auch in den sozialen Medien Präsenz zu zeigen. Auch wenn Facebook gerade bei jungen Menschen heute nicht mehr den Stellenwert besitzt, den die Plattform noch vor einigen Jahren hatte, so ist sie doch Teil nahezu jeder Social Media Strategie. Wesentlich angesagter bei Schülern ist hingegen Instagram. Deshalb wird auch hier immer wieder überlegt, ob eine Nutzung für eine Schule möglich ist. Mit der Datenschutz Grundverordnung haben sich die Rahmenbedingungen deutlich verändert, was die Pflichten für Verantwortliche hierbei angeht. Zwar wurde auch schon in den vergangenen Jahren immer wieder Kritik an Facebook laut, doch erst jetzt gibt es Gerichtsurteile, sogar auf europäischer Ebene, und Vorgaben der Datenschutzkonferenz. Diese Veränderungen können und sollten auch von Schulen berücksichtigt werden, wenn sie eine dieser Plattformen nutzen oder nutzen wollen. Im Beitrag Facebook und Instagram zur Außendarstellung wird die Problemstellung näher erläutert.

November 18, 2018

Smart Speaker im Klassenraum aufstellen – geht das?

Lesezeit: < 1 Minute

Eine Schule möchte gerne Smart Speaker im Klassenraum aufstellen, um eine einfache Kommunikation zwischen den Räumen für die Lehrkräfte zu ermöglich und smarte Erinnerungen und Timer zu setzen. Die Namen von Schülern sollen nicht genannt werden bei solchen Nachrichten und Erinnerungen. Man denkt an Amazon Echo, den kleinsten Smart Speaker. Das Gerät ist einfach zu bedienen, billig, spart eine aufwändige Verkabelung im Gebäude und kann mehr als eine Gegensprechanlage. Aber geht das auch? Was ist mit dem Datenschutz? Das Thema ist komplex und ich habe mich ausführlich damit auseinander gesetzt. Die Ergebnisse finden sich im Beitrag ALEXA, GOOGLE ASSISTANT, SIRI UND CO. – SMART SPEAKER IM KLASSENRAUM

November 10, 2018Januar 25, 2024

Daten zwischen kooperierenden Schulen per E-Mail übertragen – geht das?

Lesezeit: 4 Minuten

Folgende Frage erreichte mich: “Unsere Koop-Schule will von unseren Schülern, die rüber kommen, den Schild-Datensatz. Darf man das per Schild-Export und E-Mail übertragen und wenn ja, dann wie?”

Bevor es um die eigentliche Frage geht, kurz zur Rechtmäßigkeit der Datenübermittlung zwischen kooperierenden Schulen.

Dürfen Schulen einander personenbezogene Daten von Schülern übermitteln, wenn sie miteinander kooperieren?

In NRW setzen das Schulgesetz (SchulG NRW) und die VO-DV I enge Grenzen, bezüglich der Übermittlung von personenbezogenen Daten von Schülern. Das betrifft die möglichen Empfänger wie auch die Verfahren. §120 Abs. 5 Satz 1 SchulG NRW lässt eine Übermittlung unter folgenden Bedingungen zu:

Die in Absatz 1 Satz 1 genannten Daten dürfen einer Schule, […] nur übermittelt werden, soweit sie von diesen Stellen zur Erfüllung der ihnen durch Rechtsvorschrift übertragenen Aufgaben benötigt werden.

Es muss also eine durch eine Rechtsvorschrift übertragene Aufgabe vorliegen, zu deren Erfüllung die personenbezogenen Daten von Schülern erforderlich sind, damit Daten übermittelt werden dürfen. Ein Kommentar zum SchulG NRW päzisiert dieses.

“Nur wenn die konkrete Form der Kooperation eine Übermittlung von personenbezogenen Daten erforderlich macht, beispielsweise weil gemeinsame Unterrichtsveranstaltungen im Sinne des § 4 Abs. 3 Satz 2 SchulG stattfinden, ist ein solcher Transfer nach Maßgabe des § 120 Abs. 5 Satz 1 SchulG zulässig. Insoweit findet dann die Regelung des § 6 Abs. 1 Satz 2 VO-DV I Anwendung.”¹

In § 6 Abs. 1 Satz 2 VO-DV I² heißt es:

1) Bei einem Schulwechsel übermittelt die abgebende Schule der aufnehmenden Schule personenbezogene Daten aus dem Schülerstammblatt und dem sonstigen Datenbestand, soweit die Daten für die weitere Schulausbildung der Schülerin oder des Schülers erforderlich sind. Entsprechendes gilt bei der Kooperation von Schulen. Die Unterlagen selbst verbleiben bei der abgebenden Schule.

Die rechtliche Grundlage für die Übermittlung von personenbezogenen Daten der Schüler, welche an der Kooperationsschule unterrichtet werden, ist damit gegeben. Klar ist dabei jedoch auch, dass nur die Daten übermittelt werden dürfen, welche für die Erteilung des Unterrichts an der anderen Schule von dieser benötigt werden.³ In SchiLD NRW werden dazu nur die erforderlichen personenbezogenen Daten exportiert.

Übermittlungsverfahren

Eine Übermittlung von personenbezogenen Daten muss entsprechend dem Stand der Technik gesichert erfolgen. Die VO-DV I macht hier in §5 Absatz 2 entsprechende Vorgaben:

“Die Datenübermittlung kann schriftlich, mündlich, automatisiert oder auf Datenträgern erfolgen. Datenträger, die versandt werden, dürfen personenbezogene Daten nur enthalten, soweit diese für die Empfängerin oder den Empfänger bestimmt sind. Eine automatisierte Datenübermittlung kann auch über eine gemeinsam genutzte informationstechnische Basis-Infrastruktur erfolgen, sofern die technischen und organisatorischen Sicherheitsanforderungen des § 10 des Datenschutzgesetzes NordrheinWestfalen erfüllt werden. Eine Datenübermittlung auf Datenträgern bedarf einer Verschlüsselung nach dem aktuellen Stand der Technik. Automatisierte Verfahren, die die Übermittlung personenbezogener Daten durch Abruf ermöglichen, sind unzulässig.”

Der letzte Satz hat es in sich, denn einige Verfahren werden hier grundsätzlich ausgeschlossen. Gemeint sind dabei solche Verfahren,

“die die Übermittlung personenbezogener Daten durch Abruf einer anderen Stelle ermöglichen, bei denen also eine Übermittlung stattfindet, ohne dass die speichernde bzw. übermittelnde Stelle davon Kenntnis hat und verantwortlich entscheidet, ob eine Übermittlung erfolgen darf.”⁴

Dieses wäre beispielsweise der Fall, wenn ein Freigabeordner in einer Cloud eingerichtet würde und dem Empfänger würden der Link und das Passwort dazu mitgeteilt. Die übermittelnde Stelle hätte keinerlei Kontrolle darüber, ob die Daten abgerufen werden und wer sie abruft.⁵

Darf der SchiLD NRW Export per E-Mail an die Kooperationsschule übertragen werden?

Unter den bei den meisten Schulen in NRW akutell gegeben Bedingungen ist von einer Übertragung per E-Mail dringend abzuraten. Es gibt jedoch Ausnahmen. Nutzen beide Schulen in einer Kommune oder Stadt den gleichen kommunalen/städtischen E-Mail Dienst und sind in der Lage, ihre E-Mails zu verschlüsseln, spricht nichts gegen eine Übermittlung per E-Mail. Sobald Logineo NRW zur Verfügung steht und von beiden Schulen genutzt wird, kann auch dessen E-Mail Funktionalität genutzt werden. Aber auch hier empfiehlt es sich, die E-Mails mit den sensiblen Schülerdaten zu verschlüsseln.

Es gibt Schulen, die Anbieter wie T-Online, Web.de oder GMX nutzen. Eine Übermittlung per E-Mail über diese oder vergleichbare E-Mail Anbieter, so wie man sie im Privatbereich nutzt, ist nicht zu empfehlen, auch nicht wenn die E-Mails verschlüsselt sind. In der Regel liegen E-Mails zumindest einige Tage auf dem E-Mail Server des Absenders, oft auch des Empfängers. Wird einer dieser Server gehackt und die Daten entwendet, ist nie sicher, was mit den Daten passiert. Selbst eine Verschlüsselung, die heute als sicher gilt, könnte in einigen Jahren zu knacken sein⁶ und zu Problemen für die Betroffenen führen.

Siehe auch “E-Mail Kommunikation sicher nutzen”

Lösungen

Auch wenn eine Übermittlung per E-Mail in den meisten Fällen aus Gründen der Sicherheit nicht möglich ist, lassen sich die Daten aus dem SchiLD Export in digitaler Form übermitteln.

Der einfachste Weg wird die Speicherung auf einem verschlüsselten USB Stick sein, der dann persönlich durch eine Lehrkraft an der kooperierenden Schule abgegeben wird. Wenn zwei Schulen kooperieren, werden sie in räumlicher Nähe zueinander liegen und dieser Weg sollte ohne Probleme möglich sein.⁷

Nutzen beide Schulen eine sichere Cloud Lösung, über welche sie Daten austauschen können, ist auch dieses eine Möglichkeit.⁸. Logineo NRW könnte in NRW eine solche Cloud Lösung sein. Nutzen beide Schulen eine Plattform wie kommunal/städtisch betriebenes Moodle, wäre auch dieses eine Möglichkeit. Hierbei muss das Verfahren so gestaltet werden, dass kein Konflikt mit der Vorgabe des letzten Satzes von VO-DV I §5 entsteht.⁹

Ein gemeinsames Verzeichnis, auf welches nur die Sekretariate beider Schulen zugriff haben, wäre eine Möglichkeit.