Schule NRW – Seite 5 – datenschutz-schule.info

Oktober 31, 2018Januar 25, 2024

Datenübermittung an die Gesundheitsbehörden – Einwilligung erforderlich?

Lesezeit: < 1 Minute

Seit Beginn der Umsetzung der DS-GVO ist im Mai diesen Jahres werden in Schulen viele alltägliche Formen der Datenverarbeitung auf den Prüfstein gestellt, da man sich nicht mehr sicher ist, ob man bisher wirklich alles richtig macht. Bei Datenübermittlungen stellt sich so häufig die Frage nach der rechtlichen Grundlage. Eine Grundschule fragte an:

Braucht es für die Übermittlung von personenbezogenen Daten von Schülerinnen und Schülern an die untere Gesundheitsbehörde eine Einwilligung der Eltern?

Kurze Antwort, nein. In NRW gibt es mit §120 Abs. 5 SchulG NRW und §8 VO-DV I eine rechtliche Grundlage für die Übermittlung von personenbezogenen Daten von Schülern und Eltern an die untere Gesundheitsbehörde. Welche Daten dieses genau sind, definiert §8 VO-DV I. Damit ist eine Verarbeitung nach DS-GVO Art. 6 Abs. 1 lit. e möglich und eine Einwilligung nicht notwendig.

Erforderlich ist jedoch eine Information der Betroffenen nach Art. 13, die man am besten bereits bei der Anmeldung an der Schule gibt.¹

Schulgesetz NRW §120 Abs. 5

Die in Absatz 1 Satz 1 genannten Daten dürfen einer Schule, der Schulaufsichtsbehörde, dem Schulträger, der unteren Gesundheitsbehörde, dem Jugendamt, dem Landesjugendamt, den Ämtern für Ausbildungsförderung, dem Landesamt für Ausbildungsförderung sowie den Ausbildungsbetrieben der Schülerinnen und Schüler an Berufskollegs nur übermittelt werden, soweit sie von diesen Stellen zur Erfüllung der ihnen durch Rechtsvorschrift übertragenen Aufgaben benötigt werden.
Quelle: SchulG NRW § 120

VO-DV I § 8

Datenübermittlung zum Zwecke der Schulgesundheitspflege
(1) Zur Durchführung von Maßnahmen der Schulgesundheitspflege übermittelt die Schule der unteren Gesundheitsbehörde personenbezogene Daten von Schülerinnen und Schülern sowie den Eltern.
(2) Folgende Daten der Betroffenen werden übermittelt:
1. Name, Vorname,
2. Geburtsdatum, -ort und -land,
3. Geschlecht,
4. Erreichbarkeit,
5. Name, Vorname und Erreichbarkeit der Eltern
Quelle: VO-DV I § 8

Art. 6 Abs. 1 lit. e

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
…
(e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
Quelle: DS-GVO Art. 6 Abs. 1 lit. e

Oktober 12, 2018Januar 25, 2024

Brauchen Schulen Datenschutzerklärungen zu den Verarbeitungsprozessen in der Schule?

Lesezeit: 6 Minuten

Frage

Vor einiger Zeit kam die Frage auf, ob Schulen neben der Datenschutzerklärung der Homepage zusätzlich auch eine Datenschutzerklärung bezüglich der Verarbeitung von personenbezogenen Daten in der Schule benötigen, die dann ebenfalls auf der Schulhomepage veröffentlich wird.

Rechtliche Grundlagen

Art. 12 DS-GVO Abs. 1 fordert ein, dass Betroffene informiert werden und diese Informationen leicht zugänglich sind.

“Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; […] Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch.”

Entsprechend gibt der zugehörige Erwägungsgrund 58 folgende Erläuterung:

“Der Grundsatz der Transparenz setzt voraus, dass eine für die Öffentlichkeit oder die betroffene Person bestimmte Information präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst ist und gegebenenfalls zusätzlich visuelle Elemente verwendet werden. Diese Information könnte in elektronischer Form bereitgestellt werden, beispielsweise auf einer Website, wenn sie für die Öffentlichkeit bestimmt ist.”

Das Gesetz über die Freiheit des Zugangs zu Informationen für das Land Nordrhein-Westfalen (IFG NRW) führt aus:

§ 12
Veröffentlichungspflichten
Geschäftsverteilungspläne, Organigramme und Aktenpläne sind nach Maßgabe dieses Gesetzes allgemein zugänglich zu machen. Die öffentlichen Stellen sollen Verzeichnisse führen, aus denen sich die vorhandenen Informationssammlungen und -zwecke erkennen lassen. Soweit möglich hat die Veröffentlichung in elektronischer Form zu erfolgen. § 4 Abs. 2 Satz 1 dieses Gesetzes bleibt unberührt.

Wie sind diese Vorgaben zu verstehen?

Von rechtlicher Seite gibt es Vorgaben, sowohl von der DS-GVO wie auch vom IFG. Beide lassen jedoch Spielraum für die Umsetzung. Zu beachten ist dabei ein Unterschied zwischen DS-GVO und IFG. Während es bei der DS-GVO ausschließlich um die Rechte der Betroffenen geht, betrifft das IFG die Öffentlichkeit und deren Recht auf Informationen.

Schulen unterliegen entsprechend der DS-GVO dem Gebot der Transparenz wie jede andere datenverarbeitende öffentliche Stellen. Nach Art. 13 sind Betroffene zum Zeitpunkt der Erhebung von personenbezogenen Daten bezüglich der beabsichtigten Verarbeitung und ihrer Rechte zu informieren. Werden die personenbezogenen Daten nicht beim Betroffenen selbst erhoben, sind diese nach Art. 14 entsprechend nachträglich zu informieren.

Das IFG fordert von öffentlichen Stellen, Informationen zu verarbeiteten Daten und den Verarbeitungszwecken möglichst in elektronischer Form zu veröffentlichen. Es geht hier um eine Veröffentlichungspflicht. Die Veröffentlichung auf einer Internetseite wäre eine elektronische Form. Zum Vergleich: auf Bundesebene gibt es für Behörden gemäß dem IFG des Bundes eine Veröffentlichungspflicht im Internet.¹

Zwischen den Vorgaben der DS-GVO und des IFG gibt es Unterschiede im Umfang der Informationen. Während sich das IFG auf eine Information über vorhandene Informationssammlungen und -zwecke beschränkt, geht es bei der DS-GVO um sehr viel genauere Informationen (z.B. Betroffene, Rechtsgrundlage, Zwecke der Verarbeitung, Kategorien von Daten und Empfängern, Dauer der Speicherung, Rechte der Betroffenen).

In Art. 12 ist vorgegeben, dass der Verantwortliche, hier die Schulleitung, “geeignete Maßnahmen” trifft, die Betroffenen zu informieren, und dass die Informationen in “leicht zugänglicher Form” bzw. “leicht zugänglich” zu übermitteln sind. Für die Form gibt es keine exakt definierten Vorgaben. Die Bereitstellung in elektronischer Form auf einer Website wird im Erwägungsgrund als eine Möglichkeit angegeben. Das IFG wird etwas deutlicher und fordert die elektronische Form, sofern möglich.

Entsprechend dem IFG würde es praktisch ausreichen, auf die VO-DV I und II zu verlinken, da das IFG selbst keinerlei Vorgaben macht, wie einfach oder verständlich diese Angaben sein müssen. Auch der Begriff Verzeichnis ist nicht exakt definiert. Eine Formulierung auf der Schulhomepage könnte so lauten, wie die obere Tabellenzelle. Wenn man etwas ausführlicher sein möchte, fügt man die Inhalte der restlichen Zellen an.

Information über Informationssammlungen und -zwecke gemäß §12 Gesetz über die Freiheit des Zugangs zu Informationen für das Land Nordrhein-Westfalen (IFG NRW) Die Schule verarbeitet die personenbezogenen Daten von Schülern, Erziehungsberechtigten und Lehrkräften in dem Umfang und für die Zwecke, wie sie durch das SchulG NRW, VO-DV I (Schüler, Erziehungsberechtigte) und VO-DV II (Lehrkräfte) vorgegeben sind.
Informationssammlung Schüler/ Erziehungsberechtigte
Schülerstammblatt die Personaldaten der in § 1 Abs. 1 Nr. 1 – 3 genannten Personen (Individualdaten) gemäß Abschnitt A Nr. I der Anlage 1, die Information zur schulischen Laufbahn der Schülerin oder des Schülers (Organisations- bzw. Schullaufbahndaten) gemäß Abschnitt A Nr. II der Anlage 1, die Angaben über den individuellen Leistungsstand der Schülerin oder des Schülers (Leistungsdaten) gemäß Abschnitt B der Anlage 1, die für die einzelnen Schulformen oder Schulstufen benötigten zusätzlichen Informationen (schulform- oder schulstufenspezifische Zusatzdaten) gemäß Abschnitt C der Anlage 1. sonstiger Datenbestand
Zwecke
Schülerverwaltung Leistungsdatenverwaltung Zeugniserstellung Unterrichtsplanung Schulstatistik Diagnostik/ Erstellung von Förderempfehlungen/ individuellen Förderplänen Schulpflichtüberwachung Kontaktaufnahme mit den Erziehungsberechtigten Evaluation und Qualitätsentwicklung Öffentlichkeitsarbeit Erstellung von Fördergutachten (AO-SF Verfahren) Schülerspezialverkehr (an Förderschulen) Praktikumsverwaltung Erziehungs- und Ordnungsmaßnahmen Dokumentation im Klassenbuch Dokumentation von Konferenzen
Informationssammlung Lehrkräfte
Datenbestand in der Schule Person Werdegang Vorbereitungsdienst, Staatsprüfung Qualifikationen Laufbahn Beschäftigung Unterricht Geschäftsablauf Akten der Schulleitung Persönliche Angaben Ausbildung, sonstige Tätigkeiten, besondere Fähigkeiten Tätigkeiten an der Schule Weitere Angaben
Zwecke
Planung und Ermittlung des Unterrichtsbedarfs, Durchführung des Unterrichts Planung und Einrichtung von Bildungsgängen, Klassen und Gruppen; Ermittlung und Deckung besonderer Bedarfe und Förderungsbedarfe; Unterrichtsorganisation; Unterrichtsverteilung Aufstellen von Aufsichts-, Prüfungs-, Stunden- und Vertretungsplänen, Sprechstundenlisten sowie Übersichten der an der Schule Beschäftigten Erledigung der laufenden schulischen Angelegenheiten Berichte in arbeits-, dienst- und personalrechtlichen Angelegenheiten und Angelegenheiten der Lehrerversorgung Berichte zur Vorbereitung von Dienstleistungszeugnissen, Beratung zur dienstlichen Beurteilung, Berichte in disziplinarrechtlichen Angelegenheiten Beantwortung von Anfragen und Erhebungen der Schulaufsichtsbehörden sowie anderer Behörden aus dem Geschäftsbereich des für die Schule zuständigen Ministeriums Durchführung von Maßnahmen der Qualitätsentwicklung und Qualitätssicherung gemäß § 3 Abs. 4 SchulG Statistische Daten Lehrerausbildung (Ausbildungslehrerinnen und -lehrer, Lehramtsanwärterinnen und Lehramtsanwärter und Lehrkräfte in Ausbildung) Lehrerfortbildung Erfüllung der Schulleitungsaufgaben

Entsprechend der DS-GVO müssen Betroffene (Schüler und Erziehungsberechtigte sowie Lehrkräfte) bei der Erhebung von Daten oder, sofern die Daten nicht bei ihnen direkt erhoben wurden, nachträglich informiert werden. Die unmittelbare Information kann mittels eines entsprechenden Informationsschreibens² gegeben werden, welches den Betroffenen ausgehändigt wird, so dass sie jederzeit über die von der Schule verarbeiteten Daten und ihre Rechte im Bilde sind. Erforderlich ist diese Art von Information bei Schülern und ihren Erziehungsberechtigten erstmals bei der Anmeldung an der Schule, bei Lehrkräften, wenn sie den Dienst an einer neuen Schule aufnehmen, welche dazu personenbezogene Daten von ihnen selbst oder einer anderen Stelle (Stammschule/ abgebende Schule/ Schulamt/ Bezirksregierung) erhält.

Die DS-GVO unterscheidet beim Transparenzgebot im Erwägungsgrund 58 zwischen betroffener Person und Öffentlichkeit. Nur wenn es um Informationen zur Herstellung von Transparenz geht, welche für die Öffentlichkeit bestimmt sind, wird die Veröffentlichung auf einer Website als Möglichkeit vorgeschlagen. Für die Information der Betroffenen selbst wird dieses nicht vorgeschlagen. Da die Formulierung von Art. 12 Abs. 1 Satz 1 sehr offen ist, bleibt dem Verantwortlichen Gestaltungsspielraum.

“Insgesamt belässt Abs. 1 S. 1 dem Verantwortlichen bei der Wahl der Darstellungsweise einen beträchtlichen Gestaltungsspielraum.”³

Es lässt sich aus keiner Stelle in der DS-GVO eine eindeutige Vorgabe ableiten, dass zur Herstellung von Transparenz eine Veröffentlichung von Informationen entsprechend Art. 13 und 14 auf der Schulhomepage erforderlich ist. Genausowenig ist ersichtlich, dass eine Schule die Öffentlichkeit informieren muss.

Abgesehen davon spricht jedoch auch nichts dagegen, die Informationen zur Verarbeitung von personenbezogenen Daten von Betroffenen zusätzlich leicht auffindbar auf der Schulhomepage zu hinterlegen als Informationen über die Datenverarbeitung an der Schule nach DS-GVO Art. 12. Dort könnte man dann die Informationen aus den Informationsschreiben direkt in die Webseite einstellen und eventuell auch noch die Schreiben als PDFs zum Download anzubieten.

Wie das MSB das Thema sieht

Das Ministerium für Schule und Bildung (MSB) hat sich auf den Seiten der Medienberatung zum Thema Informationspflicht nach Art. 13 DS-GVO geäußert⁴. Das MSB schlägt vor, der Informationspflicht über die Schulhomepage nachzukommen, um den Verwaltungsaufwand für die Schule in Grenzen zu halten. Es sollte dann ausreichend sein, “mittels Link auf die ausführlichen Vorgaben der VO DV I und II” zu verweisen. Da die DS-GVO Information aber auch eine Information zum Zeitpunkt der Datenerhebung verlangt, sollen Schulen den Erziehungsberechtigten bzw. volljährigen Schülern bei Anmeldung an der Schule einen “einen Papierausdruck der VO DV I” aushändigen.

Auch wenn dieser Vorschlag gut gemeint ist, so widerspricht er einem der wichtigen Grundsätze der DS-GVO, wie dem Zitat zu Beginn des Textes zu entnehmen. Der Erwägungsgrund wird noch deutlicher. Die Information soll in “präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst” sein. Dem entspricht die VO-DV I wohl kaum.

Aus den Ausführungen des MSB lässt sich, was für die Fragestellung hier noch bedeutsamer ist, keinerlei Verpflichtung zur Veröffentlichung dieser Informationen auf der Schulhomepage ableiten.

Fazit

Schulen müssen entsprechend der Vorgaben der DS-GVO Besucher ihrer Schulhomepage (Betroffene) über die Verarbeitung von personenbezogenen Daten auf der Website selbst in Form einer Datenschutzerklärung informieren.
Schulen sollen als öffentliche Stellen gemäß der Vorgaben des IFG NRW in elektronischer Form Verzeichnisse führen, welche die Öffentlichkeit über Informationssammlungen und -zwecke informiert. Das erfolgt am zweckmäßigsten vermutlich über die Schulhomepage.⁵
Schulen können ergänzend zu einer direkten Information der Betroffenen vor oder nach der Datenerhebung zusätzlich über die Verarbeitung personenbezogener Daten entsprechend Art. 13 und 14 auf ihrer Homepage informieren, wenn die Schulleitung darin eine geeignete Maßnahme sieht, der Informationspflicht nachzukommen.

Zu den Informationen, die nach dem IFG NRW auf einer Schulhomepage veröffentlicht werden sollen, gehören neben Informationen über die Schulleitung auch solche über die Lehrkräfte, deren Funktion in der Schule und Angaben zur dienstlichen Erreichbarkeit. Siehe dazu den Beitrag: Welche personenbezogenen Daten von Lehrkräften dürfen OHNE Einwilligung auf die Schulhomepage?

September 29, 2018September 29, 2018

Wie kann Schule das Problem mit E-Mails und Datenschutz pragmatisch lösen?

Lesezeit: < 1 Minute

E-Mail ist ein wichtiges Kommunikationsmittel für Schulen, stellt sie aber gleichzeitig wegen der datenschutzrechtlichen Anforderungen für eine sichere Übermittlung von personenbezogenen Daten vor enorme, teilweise nicht lösbare Probleme. Im Themen Beitrag E-Mail Kommunikation sicher nutzen stelle ich pragmatische Lösungen vor, die für Schulen und Lehrkräfte umsetzbar sein sollten, ohne großes Expertenwissen, damit so etwas wie in der Grafik dargestellt, garantiert nicht vorkommt.

E-Mails werden mit Inhalten, die personenbezogene Daten aus der Schule enthalten, ohne jeglichen Schutz von einer privaten E-Mail Adresse an die Schule verschickt – ein absolutes NO GO.

September 26, 2018September 26, 2018

Auf die Information nach Art. 13 bei der Anmeldung an der Schule kommt es an

Lesezeit: < 1 Minute

Bei der Anmeldung von Schülern an einer Schule werden umfänglich personenbezogene Daten erhoben. Entsprechend der Vorgaben von Art. 13 DSGVO Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person sind die Betroffenen zu informieren.

Ist man dieser Informationspflicht nachgekommen und es werden später im Laufe der Schulzeit anlassbezogene Einwilligungen eingeholt, kann auf einen Teil der nach Art. 13 vorgeschriebenen Informationen verzichtet werden, da sie bereits bei der Anmeldung umfänglich gegeben wurden.¹

Bei einer anlassbezogenen Einwilligung könnte man dann auf folgende Punkte verzichten² und damit die Einwilligung deutlich verkürzen:

Kontaktdaten des Verantwortlichen (und eventuell des Vertreters)
Kontaktdaten des Datenschutzbeauftragten
Information über die Rechte der Betroffenen gegenüber der Schule (Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruchsrecht gegen die Verarbeitung, Recht auf Datenübertragbarkeit)
Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird
Beschwerderecht bei einer Aufsichtsbehörde

In den Vorlagen für Einwilligungen könnten dann diese Punkte gelöscht werden. Es empfielt sich jedoch, auf die Möglichkeit hinzuweisen, die Informationen entsprechend Art. 13 in der Schule jederzeit zu erhalten oder auf der Schulhomepage einsehen zu können.³

Ausführliche Informationen zur Erstellung einer Einwilligung finden sich unter Wie erstellt man eine datenschutzrechtlich korrekte Einwilligung für Schule?

September 19, 2018Januar 25, 2024

Sonderfall Video- und Tonaufzeichnung in der Lehrerausbildung (NRW)

Lesezeit: 2 Minuten

Will man im Unterricht mit Schülern eine Video- und Tonaufzeichnung anfertigen, so braucht man dafür entsprechend § 3 Abs. 2 Satz 1 VO-DV I eine Einwilligung der Betroffenen¹.

Hinweis!
Bitte berücksichtigen Sie bei den folgenden Informationen, dass die dort beschriebene Vorgabe des Schulgesetzes mit der DS-GVO nicht mehr wirklich vereinbar ist. Entsprechend wird sie mit der geplanten Änderung des Schulgesetzes zukünftig entfallen. Es ist von daher schon jetzt kein Fehler, von Schülern und Lehrkräften eine Einwilligung einzuholen. Stand 09/2019.

Bei der Anfertigung von Video- und Tonaufzeichnungen gibt es allerdings in Schulen in NRW eine Ausnahme, bei welcher keine Einwilligung erforderlich ist. Das ist die Anfertigung von Video- und Tonaufzeichnungen im Rahmen der Lehrerausbildung. In §120 Abs. 3 Satz 2 heißt es:

“Für Zwecke der Lehrerbildung sowie der Qualitätsentwicklung und Qualitätssicherung dürfen vom Ministerium genehmigte Bild- und Tonaufzeichnungen des Unterrichts erfolgen, wenn die Betroffenen rechtzeitig über die beabsichtigte Aufzeichnung und den Aufzeichnungszweck informiert worden sind und nicht widersprochen haben.”

Video- und Tonaufnahmen des Unterrichts stellen eine besondere Situation dar, weil Schüler und Lehrkräfte sich diesen im Klassenraum nicht entziehen können, da der Unterricht in der Regel verpflichtend ist. Aus diesem Grund ist es besonders wichtig, dass man die in Abs. 3 Satz 2 aufgeführten Vorgaben sorgfältig beachtet. Diese sind Vorgaben sind:

Es muss vorab eine Genehmigung für die beabsichtigte Video- oder Tonaufzeichnung beim MSB eingeholt werden.
Die Betroffenen (Schüler und Lehrkräfte) sind rechtzeitig zu informieren über
1. die beabsichtigte Aufzeichnung und
2. den Aufzeichnungszweck
Es ist keine Einwilligung erforderlich, aber den betroffenen Schülerinnen und Schülern bzw. deren Eltern muss die Möglichkeit gegeben werden, von ihrem Widerspruchsrecht Gebrauch zu machen. (Für Lehrkräfte existiert dieses Widerspruchsrecht nicht.)²

Die praktische Umsetzung

Die Information sollte schriftlich erfolgen. So lässt sich dokumentieren, dass entsprechend der Vorgaben informiert wurde. Bei der praktischen Umsetzung sollten folgende Punkte bedacht werden:

Vorab bedeutet eine frühzeitige Planung. Die Adresse beim Ministerium für Schule und Bildung, an welche der Genehmigungsantrag zu richten ist, sollte bei den ZFSL bekannt sein.
Auch die Information der betroffenen Schüler und Lehrkräfte sollte zeitig genug erfolgen. Bevor man hier aktiv wird, sollte man eventuell die erteilte Genehmigung des Ministeriums abwarten.
1. Angegeben werden sollte hier, wer die Aufzeichnung machen möchte (Name des/ der LAA), an welchem Datum, in welchem Fach, eventuell in welcher Stunde, (zusätzlich angeben sollte man u.U. auch, wie lange die Aufzeichnungen aufbewahrt werden),
2. wofür die Aufzeichnung gemacht (z.B. Beobachtung des Lehrerfeedbacks, Beobachtung des Umgangs mit Unterrichtsstörungen durch die Lehrkraft) wird und wer die Aufzeichnung sehen wird (z.B. die Mitglieder des Fachseminars Deutsch am ZFSL Dortmund)
Im Informationsschreiben sollte direkt eine Möglichkeit gegeben werden, vom Widerspruchsrecht Gebrauch zu machen.

Es empfiehlt sich, im Informationsschreiben darauf hinzuweisen, dass Schüler jederzeit von ihrem Recht auf Widerspruch Gebrauch machen können, auch wenn die Eltern von Schülern unter 14 Jahren selbst davon keinen Gebrauch gemacht haben. Außerdem sollte klar sein, dass es keine Nachteile für Schüler hat, wenn sie nicht aufgezeichnet werden möchten.

Das folgende Formular kann leicht für die eigene Situation angepasst werden. Es findet sich auch im Download Bereich.

Information über Video- und Tonaufzeichnung – Lehrerausbildung.docx

September 17, 2018Juli 15, 2019

Verarbeitung auf Grundlage einer Interessenabwägung – geht das bei Schulen?

Lesezeit: 2 Minuten

Nach §§120 – 122 Schulgesetz NRW gibt es nur zwei datenschutzrechtliche Grundlagen, sogenannte Erlaubnistatbestände, für die Verarbeitung von personenbezogenen Daten von Schülern, Eltern und Lehrkräften: eine Rechtsvorschrift erlaubt sie oder die Betroffenen willigen ein. In Bezug auf Schüler heißt es deshalb in Abs. 1 §120 SchulG NRW,

“Schulen […] dürfen personenbezogene Daten der Schülerinnen und Schüler, der in § 36 genannten Kinder sowie der Eltern verarbeiten, soweit dies zur Erfüllung der ihnen durch Rechtsvorschrift übertragenen Aufgaben erforderlich ist. […] Andere Daten dürfen nur mit Einwilligung der Betroffenen erhoben werden.”

Die im Schulgesetz aufgeführten Erlaubnistatbestände entsprechen den Buchstaben e und a in Art. 6 der Datenschutz Grundverordnung (DS-GVO). e entspricht dabei der Verarbeitung auf der Grundlage einer Rechtsvorschrift¹². a entspricht der Verarbeitung auf Grundlage einer Einwilligung der betroffenen Person³.

Auch wenn eigentlich aufgrund der Vorgaben aus dem Schulgesetz klar sein sollte, dass es keine anderen Erlaubnistatbestände gibt, welche in Schule eine Verarbeitung von personenbezogenen Daten rechtfertigen können, kommt trotzdem immer wieder die Frage auf, ob es für Schulen auch zulässig ist, eine Verarbeitung von personenbezogenen Daten von Schülern, Eltern und Lehrkräften auch auf der Grundlage von Art. 6 Buchstabe f⁴ durchzuführen? Das meint die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen, hier also der berechtigten Interessen der Schule. Kann eine Schule eine Interessenabwägung vornehmen zwischen ihren eigenen Interessen und denen der Betroffenen, und eine Verarbeitung auch ohne Einwilligung oder gesetzliche Grundlage vornehmen, wenn sie zu dem Schluss kommt, dass die Interessen der Schule überwiegen?

Dazu gibt es sogar in der DS-GVO eine Antwort. Direkt unter Buchstabe f findet sich in Art. 6 DS-GVO ein Passus, welcher Behörden von dieser Regelung ausnimmt.

“Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.”

Eine Schule ist eine öffentliche Stelle und verwaltungstechnisch eine Behörde.⁵. Entsprechend ist die Ausnahme auf Schulen in öffentlicher Trägerschaft anzuwenden.

In einem Dokument des Europäischen Rates⁶⁷ wird erläutert, warum Art. 6 lit. f nicht auf Behörden angewendet werden soll:

“Da es dem Gesetzgeber obliegt, per Rechtsvorschrift die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Behörden zu schaffen, sollte diese Rechtsgrundlage nicht für Verarbeitungen durch Behörden gelten, die diese in Erfüllung ihrer Aufgaben vornehmen.”

Diese “Ausnahme ist dem Grundsatz des Gesetzesvorbehalts geschuldet”⁸

Das heißt, für Verarbeitungen von personenbezogenen Daten, welche eine Schule in Erfüllung ihrer Aufgaben, vornimmt, ist Art. 6 lit. f nicht anwendbar, denn hier ist Rechtsgrundlage für die Verarbeitung personenbezogener Daten das SchulG NRW und daraus abgeleitete Verordnungen. Schulen können demnach in dem Bereich, wo es um die Erfüllung ihrer Aufgaben als Schule geht, keine Verarbeitung auf der Grundlage einer Interessenabwägung vornehmen.

Die DS-GVO kann durchaus in bestehende datenschutzrechtliche Vorgaben eingreifen, wie das etwa bei der Einschränkung der Einwilligungsfähigkeit von Kindern und Jugendlichen entsprechend Art. 8 Abs. 1 der Fall ist. Sie kann aber keine neuen Erlaubnistatbestände in bestehende Regelungen einführen. Und selbst wenn dieses möglich wäre, so ist von der DS-GVO für den in Frage stehenden Bereich, die Interessenabwägung, nicht einmal vorgesehen.

September 16, 2018

Sind Einwilligungen jetzt nur noch ab 16 Jahren möglich?

Lesezeit: < 1 Minute

Die europäische Datenschutz Grundordnung berücksichtigt den Schutz der personenbezogenen Daten von Kindern und Jugendlichen besonders und hat deshalb, zum Selbstschutz der Kinder, mit einer Altersvorgabe geregelt, ab wann sie eine rechtswirksame Einwilligung abgeben können. In Art. 8 Abs. 1 wird ein Mindestalter angegeben und unter welchen Bedingungen diese Vorgabe gilt. An vielen Stellen liest man, dass dadurch nun rechtswirksame Einwilligungen von Kindern generell erst ab Vollendung des 16. Lebensjahres abgegeben werden können. Bisher gängige Praxis in Schulen war, dass man die Entscheidung, ob ein Kind eigenständig eine Einwilligung abgeben kann, von der Einwilligungsfähigkeit abhängig machte, unter Berücksichtigung der Komplexität der Datenverarbeitungsprozesse und der Tragweite der mit einer Einwilligung verbundenen Entscheidung. Die Einwilligungsfähigkeit setzte man so bei etwa 14 bis 15 Jahren an. Bei nicht gegebener Einwilligungsfähigkeit war dann die Zustimmung bzw. Einwilligung der Eltern einzuholen.

Ist es nun seit Mai 2018 tatsächlich so, dass unsere Schülerinnen und Schüler jetzt grundsätzlich erst ab Vollendung des 16. Lebensjahres eine rechtswirksame Einwilligung abgeben können, egal ob es sich um Fotos für die Schulhomepage handelt oder um die Anmeldung an einer Plattform im Internet? Dieser Frage geht der Themenbeitrag Auswirkungen der DS-GVO auf die Einwilligungsfähigkeit von Schülern nach.

September 11, 2018September 11, 2018

Vorabkontrolle der Genehmigungen für Lehrer in NRW durch schulische DSB entfällt

Lesezeit: 2 Minuten

Als das Ministerium für Schule und Bildung Anfang des Jahres den neuen Genehmigungsvordruck zu Nutzung privater Endgeräte zur Verarbeitung personenbezogener Daten aus der Schule per Erlass einführte, war dort noch eine Vorabkontrolle durch die behördlich bestellten schulischen Datenschutzbeauftragten (DSB) verbindlich vorgesehen. Diese sollten jeden Genehmigungsantrag von Lehrkräften prüfen, bevor die Schulleitung dann die Genehmigung erteilte. Mit Beginn der Umsetzung der Datenschutz Grundverordnung (DS-GVO), nur wenige Monate nach Einführung der Genehmigung ist die Vorgabe zur Kontrolle durch die schulischen nicht länger erforderlich. Dieses hängt mit einer Veränderung der Aufgabenbeschreibung von Datenschutzbeauftragten zusammen, die sich mit der DS-GVO gegenüber dem alten Bundesdatenschutz Gesetz ergeben hat.

In einem Schreiben des MSB, Ref. 212 von Mai 2018 heißt es entsprechend,

“Die bisherige Pflicht gem. §§ 8, 10 DSG, ein Verfahrensverzeichnis zur Führung und Einsichtnahme bei den behördlichen Datenschutz- beauftragten zu erstellen und ihnen das Verzeichnis zur Vorabkontrolle vorzulegen, entfällt.
[…] Zwar sind die Datenschutzbeauftragten zur Vorabkontrolle des Verzeichnisses nicht mehr konkret gesetzlich verpflichtet. Gleichwohl wird den Schulleitungen dringend empfohlen, sie weiterhin um Prüfung neuer Dokumentationen zu bitten. Dies unterfällt dem Beratungsrecht der Schulleitungen bzw. der korrespondierenden Pflicht der Datenschutzbeauftragten.

Entsprechendes gilt für die Genehmigung zur Nutzung von privaten ADV-Geräten der Lehrkräfte:

Der Genehmigungsvordruck, der mit der Dienstanweisung (BASS 10-41 Nr. 4) zur Verfügung gestellt worden ist, sieht die Dokumentation der Vorabkontrolle nach bislang geltender Rechtslage vor. Hierzu wird ebenfalls empfohlen, die Datenschutzbeauftragten weiterhin im Wege der Beratung einzubeziehen und dies vom Verantwortlichen (Schulleitung oder ZfsL-Leitung) entsprechend dort im Vordruck zu vermerken.

Die bzw. der Datenschutzbeauftragte ist nicht mehr zur schriftlichen Prüfungsbestätigung verpflichtet.”

Auch eine Vorabkontrolle der Verfahrensverzeichnisse jetzt Verzeichnisse von Verarbeitungstätigkeiten ist nicht länger verbindlich vorgeschrieben, wird jedoch empfohlen, wie den Ausführungen des MSB zu entnehmen ist.

Schulleitungen entscheiden also selbst, ob sie ihren zuständigen DSB beratend hinzuziehen möchten, bevor sie ihren Lehrkräften eine Genehmigung erteilen. Eine Verpflichtung dazu besteht nicht.

September 9, 2018

TeacherTool zeigt, Datenschutz kann einfach sein

Lesezeit: 2 Minuten

Es tut gut, wenn man sieht, dass es Softwareentwickler gibt, die mitdenken. Privacy by Design und Privacy by Default¹ gehören nach Art. 25 DS-GVO zu Grundprinzipien des Datenschutzes. Wer ein Softwareprodukt oder einen Online Dienst entwickelt, sollte entsprechend direkt bei der Entwicklung Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen berücksichtigen. TeacherTool, ein iOS App für die Schülerverwaltung, macht genau dieses schon seit Jahren auf vorbildliche Art und Weise. Der Entwickler der Software kennt die Nöte seiner Kunden, die vor allem in NRW seit der neuen Genehmigung eher zugenommen haben, wenn es um die dienstlichen Vorgaben zur Nutzung von Privatgeräten von Lehrkräften zur Verarbeitung von personenbezogenen Daten aus der Schule geht. Das App, welches Lehrkräften die Verwaltung von Schülerdaten (Noten, Fehlzeiten, Bemerkungen, …) erleichtert und auch die Führung eines Kursbuchs zur Planung des Unterrichts beinhaltet, dürfte von Lehrkräften überwiegend auf Privatgeräte genutzt werden. Und das geht ohne Genehmigung nicht. Strenge technische und organisatorische Vorgaben sind einzuhalten, um das Gerät sicher zu machen. iOS Geräte sind an sich schon sehr sicher, wenn man die vom System angebotenen Sicherheitseinstellungen nutzt. Teachertool packt seine eigenen Sicherheitsfeatures noch oben drauf, um Lehrern die Einhaltung datenschutzrechtlicher Vorgaben zu erleichtern. Das App lässt sich mit einer Zugangssperre versehen, die Datenbanken mit Passwort sichern und der Versand von Kursbüchern per E-Mail, um sie am Rechner zu sichern, erfolgt immer verschlüsselt und passwortgesichert.

Als zusätzlichen Service bietet der Entwickler des Programms auf seiner Website umfängliche Informationen zur sicheren Arbeit mit personenbezogenen Daten von Schülern in TeacherTool. Neben zahlreichen Hilfen auf der Website selbst, stehen aktuell zwei Downloads zur Verfügung. “Informationen zu Datenschutzfragen” geht auf die verschiedenen datenschutzrechtlichen Aspekte bei der Nutzung des Apps und der Desktopsoftware ein, erläutert, welche Daten überhaupt verarbeitet werden sowie relevante technische Aspekte bei der Nutzung und gibt Hinweise, wie man mit maximaler Sicherheit arbeitet. “TeacherTool und die DSGVO” beschäftigt sich speziell mit den Vorgaben der Datenschutz Grundverordnung, gibt aber auch noch weitere hinausgehende Informationen zum Thema.

Gerade für Lehrkräfte in NRW, die mit iOS Geräten arbeiten, ist TeacherTool ideal. Wer sich bei der Verarbeitung von personenbezogene Daten von Schülern auf einem iOS Gerät auf den Einsatz von TeacherTool beschränkt, und dabei sowohl die Sicherheitseinstellungen des Systems wie auch von TeacherTool vollumfänglich einsetzt, der kann den Antrag zur Genehmigung ohne Bedenken unterschreiben. Genauso sollte eine Schulleitung hier ohne Bedenken eine Genehmigung erteilen, denn sicherer geht es nicht.² Die Sicherungsdateien sollten dann auf einen schulischen Verwaltungsrechner geschickt und dort gespeichert werden.³

Als schulischer Datenschutzbeauftragter kann ich für TeacherTool eine uneingeschränkte Empfehlung abgeben.

Schulen, die ihren Lehrer iPads stellen und diese über ein MDM verwalten, können darüber auch Voreinstellungen zur Datenverarbeitung für die Nutzung des TeacherTool App konfigurieren. So kann Schule sicherstellen, dass auch auf dienstlichen iPad im App nur zulässige personenbezogene Daten von Schülern verarbeitet werden.

September 6, 2018Mai 26, 2019

Elektronische Schließanlagen in Schulen – ein Problem – zwei Sichten

Lesezeit: 4 Minuten

In NRW beschäftigt Schulen schon seit einiger Zeit das Problem elektronischer oder elektromechanischer Schließsysteme. Diese sollen die Sicherheit der Gebäudezugänge erhöhen und eine Vereinfachung der Verwaltung der Schlüssel- und Schließanlagen bewirken. So kann bei Verlust eines Schlüssels, die Schließberechtigung für diesen einen Schlüssel aufgehoben werden und ein Komplettaustausch der kompletten Schließanlage ist nicht mehr erforderlich.

Bei mechatronischen Schließanlagen hat man einen mechanischen Schlüssel, der im Kopfteil eine elektronische Komponente hat. Über das Zusammenwirken von Schlüssel und Schließzylinder kann durch Berechtigungen bestimmt werden, welcher Schlüssel welche Tür öffnen kann. Der Schließzylinder in der Tür zeichnet sämtliche Schließvorgänge auf mit Datum und Uhrzeit und ob ein Schließversuch berechtigt oder unberechtigt war. Da die Schließzylinder nur eine begrenzte Anzahl von Schließvorgängen aufzeichnen können, werden die ältesten Schließvorgänge gelöscht, sobald der Speicher voll ist. Die Zuteilung der Schlüssel auf Benutzer erfolgt über eine Software, die meist bei der Haustechnik installiert ist. Mittels eines Handlesegerätes lassen sich die Schließzylinder auslesen. Die dabei aufgenommenen Daten lassen sich in die Software einspielen. Dort können dann Schließvorgänge mit Nutzern zusammengeführt werden. Elektronische Schließsysteme mit Funk-Transponder oder Chipkarten arbeiten vom Prinzip her ähnlich. Das Problem ist das gleiche. Es werden personenbezogene Daten der Personen aufgezeichnet, welche einen Schlüssel innehaben, mittels derer es möglich wäre, nachzuhalten, wann wer das Gebäude betreten hat, eine Tür verschlossen hat, etwa beim Verlassen des Klassenraumes, oder eine Toilette aufgesucht hat.

Interessant ist nun, dass dieser Sachverhalt, der definitiv eine datenschutzrechtliche Komponente hat, je nach Bundesland völlig anders bewertet wird, sowohl was die Verantwortlichkeiten angeht als auch die Rechte der Betroffenen.

Wer ist verantwortlich?

NRW – die Schulleitung ist verantwortlich

Hier in NRW ist man von Seiten des Schulministeriums der Ansicht, dass für die datenschutzrechtlichen Belange, welche sich durch den Betrieb einer elektronischen Schließanlage ergeben, die Schulleitung zuständig ist. Dieses leitet man aus der Dienstanweisung für die automatisierte Verarbeitung personenbezogener Daten in der Schule (BASS 10 – 41 Nr. 4) Nr 3. ab.¹

“Die Schule ist – auch soweit sie sich in kommunaler Trägerschaft befindet – speichernde Stelle im Sinne des Datenschutzgesetzes Nordrhein-Westfalen (DSG NW). Für das Einhalten der Datenschutzvorschriften ist die Schulleiterin oder der Schulleiter verantwortlich.”

Das hat rechtliche Folgen, denn betrieben wird die elektronische Schließanlage nicht durch die Schule, sondern durch den Schulträger oder einen mit dem Gebäudemanagement beauftragten Dienstleister. Die Schulleitung als Verantwortlicher muss demnach mit dem Schulträger einen Vertrag zur Datenverarbeitung im Auftrag abschließen, in welchem ein eventueller Dienstleister für das Gebäudemanagement als Unterauftragnehmer benannt ist. Der Schulträger ist damit gegenüber der Schulleitung weisungsgebunden. Das bedeutet, jegliches Auslesen der Schließzylinder und Zusammenführen der Daten kann nur auf Weisung der Schulleitung erfolgen.

Baden Württemberg – der Schulträger ist verantwortlich

Eine gänzlich andere Sicht auf diese Thematik hat man in Baden Württemberg. Dort geht man davon aus, dass nach § 48 Schulgesetz (SchG) der Schulträger im Rahmen seiner Zuständigkeit für die äußeren Schulangelegenheiten nicht nur das Schulgebäude errichtet und erhält, wozu auch der Einbau einer elektronischen Schließanlage zählt, sondern auch für den Betrieb dieser Anlage verantwortlich ist.² Entsprechend führt man auf einer Seite des Ministeriums aus:

“In der Konsequenz dieser schulrechtlichen Zuweisung der Verantwortung treffen auch die materiell-rechtlichen und formalen datenschutzrechtlichen Anforderungen an den Betrieb der Schließanlage nicht die Schulleitung, sondern den Schulträger.”

Damit liegt hier keine Erfordernis vor, einen Vertrag zur Datenverarbeitung im Auftrag abzuschließen. Dieses selbst dann nicht der Fall, wenn der Schulträger die Verwaltung der Schließanlage ganz oder teilweise auf den Schulleiter delegiert und dieser dann im Rahmen des § 41 SchG BaWü Aufgaben des Schulträgers übernimmt, dabei aber an dessen Weisungen gebunden ist.

Die Rechte der Betroffenen

Einwilligung in NRW

Die schulische Datenschutzgesetzgebung lässt nur die Verarbeitung von personenbezogenen Daten der Lehrkräfte zu, die in der VO-DV II aufgeführt sind. Entsprechend heißt es in einem Schreiben der Bezirksregierung Arnsberg von Januar 2016 zum Beschäftigtendatenschutz bei Einführung elektronischer Schließanlagen in Schulen³:

“Mangels Ermächtigung aus dem schulspezifischen Datenschutzrecht käme allenfalls eine Datenverarbeitung mit Einwilligung nach §§ 4, 29a Datenschutzgesetz (DSG) in Betracht.”

Demnach geht in Schulen in NRW nichts ohne eine Einwilligung der betroffenen Lehrkräfte. Diese ist nur rechtswirksam, wenn sie freiwillig erfolgt. Das wiederum ist jedoch nur möglich, wenn es Handlungsalternativen gibt. Das kann, wenn es nur um Außentüren geht, eine Türe sein, die ohne elektronische Schließanlage gesichert oder den ganzen Schultag über unverschlossen ist. Eine weitere Möglichkeit besteht in der Zulosung der Schlüssel, so dass die Schließvorgänge keinem Nutzer zugeordnet werden können.⁴ Schwierig wird es, wenn es um Fachräume geht, bei denen nur zwei oder drei Personen schließberechtigt sind. Ähnliches gilt für Serverräume. Eine Anonymität der Schließvorgänge ist in diesen Fällen nicht mehr herstellbar. Alternative Zugänge haben diese Räume in den meisten Fällen ebenfalls nicht, wodurch auch keine Freiwilligkeit mehr gegeben ist. Ein Dilemma für Schule und Schulträger. In Konformität mit den datenschutzrechtlichen Vorgaben ist eine elektronische Schließanlage hier gar nicht zu betreiben. Solange alle mitspielen und einwilligen, ist das im Alltag kein Problem. Was jedoch, wenn eine Lehrkraft nicht einwilligt oder ihre Einwilligung nachträglich, etwa im Streitfall, in Frage stellt?

Keine Einwilligung in Baden Württemberg

Die datenschutzrechtlichen Probleme, vor welche Schulen und Schulträger in NRW sich durch den Betrieb einer elektronischen Schließanlage gestellt sehen, kennt man in Baden Württemberg nicht. Man orientiert sich dabei an Aussagen des Unabhängigen Landeszentrums für Datenschutz in Schleswig-Holstein (ULD). Dort sieht man “die Erhebung und Speicherung von Zutrittsdaten in elektronischen Schließanlagen für Zwecke der Gefahrenabwehr (Einbruchschutz und Brandbekämpfung) als zulässig an (Tätigkeitsbericht 2005, Kapitel 4.1.3).” Zu einer vergleichbaren Einschätzung kam auch die Berliner Beauftragte für Datenschutz und Informationsfreiheit, (Jahresbericht 2010, Kapitel 9.1.2 [pdf].⁵

Das bedeutet, hier ist keine Einwilligung durch die Betroffenen erforderlich, da die Erhebung und Speicherung von Zutrittsdaten in elektronischen Schließanlagen für Zwecke der Gefahrenabwehr rechtlich vorgeht.

Wie in NRW gelten natürlich auch in BaWü die allgemeinen datenschutzrechtlichen Vorgaben zur Transparenz wie zur Zweckbindung und zur Datenvermeidung und –minimierung. Selbstredend steht den Betroffenen ein Auskunftsrecht gegenüber dem Schulträger entsprechend des Landesdatenschutzgesetzes bzw. der DS-GVO zu.

Fazit

Wie das Beispiel Baden Württemberg⁶ zeigt, kann das Thema elektronische Schließanlagen auch anders gehandhabt werden. Dabei ist nicht entscheidend, wer letztlich verantwortliche Stelle für die Verarbeitung personenbezogener Daten in der Schließanlage ist, sondern wie diese Datenverarbeitung rechtlich eingeordnet wird.

Werden Betroffene in ihren Rechten zur informationellen Selbstbestimmung in Baden Württemberg eingeschränkt? Das trifft sicherlich zu. Die Frage ist jedoch, ob dieses von Bedeutung ist. Die Datenverarbeitung in den elektronischen Schließanlagen ist zweckgebunden. Entsprechend ist nach Bewertung des Unabhängigen Landeszentrums für Datenschutz in Schleswig-Holstein “die Nutzung der Protokoll- oder Ereignisdaten für Zwecke der Überwachung der Mitarbeiter, in der Schule also der Lehrerinnen und Lehrer sowie des Personals des Schulträgers für unzulässig.” Eine Zweckbindung reicht völlig aus, um Betroffene zu schützen. Die Schulleitung, die es wagen sollte, Daten aus der Schließanlage zweckfremd zur Überwachung der Lehrkräfte zu nutzen, wird dafür persönlich gerade stehen müssen und sich zivilrechtlich wie dienstrechtlich verantworten müssen.

Vielleicht sollte man hier in NRW von Seiten des MSB über entsprechende gesetzliche Änderungen nachdenken. Für Schulen und Schulträger könnten die quasi unlösbaren Probleme mit dem datenschutzrechtlich sauberen Betrieb einer elektronischen Schließanlage dann der Vergangenheit angehören.