Soweit es um die personenbezogenen Daten von Schülerinnen und Schülern geht, ist klar, dass deren Aufbewahrungs- und Löschfristen unter die Vorgaben von § 9 VO-DV I fallen. Doch wie sieht es aus, wenn Grundschulen personenbezogene Daten von Kindern verarbeiten, die aber niemals als Schülerinnen und Schüler an der Schule aufgenommen werden? Muss eine Grundschule diese Daten aufbewahren, wann kann sie sie löschen, kann sie sie abgeben und vielleicht danach löschen? Konkret geht es um folgende Beratungsanfragen:
- Wie verfährt man mit den Daten von Kindern, die an der Schule angemeldet, dann aber nach Abschluss eines AO-SF Verfahrens den Wunsch Förderschule angeben und schließlich dort eingeschult werden?
- Wie geht man mit den Daten von Kindern um, bei denen eine Grundschule die Eingangsdiagnostik durchgeführt hat, die aber an einer anderen Schule angemeldet und aufgenommen werden?
Fall 1
Die sogenannte Generalklausel § 120 Abs. 1 Satz 1 SchulG NRW erlaubt Schulen die Verarbeitung der personenbezogenen Daten von Schülerinnen und Schülern.
(1) Schulen und Schulaufsichtsbehörden dürfen personenbezogene Daten der Schülerinnen und Schüler, der in § 36 genannten Kinder sowie der Eltern verarbeiten, soweit dies zur Erfüllung der ihnen durch Rechtsvorschrift übertragenen Aufgaben erforderlich ist.
Durch den Zusatz von in § 36 genannten Kindern erweitert sich der Kreis von Personen, deren personenbezogene Daten eine Schule verarbeiten darf, um Kinder, welche an der Schule angemeldet werden. Im Anmeldeprozess verarbeitet die Schule personenbezogene Daten, um festzustellen, “ob die Kinder die deutsche Sprache hinreichend beherrschen und bei ihnen die grundlegenden Lernvoraussetzungen vorliegen, um im Unterricht mitarbeiten zu können.”
Ähnlich wie die Generalklausel im Schulgesetz definiert § 1 VO-DV I die Kategorien von Personen, deren personenbezogene Daten eine Schule in welcher Form verarbeiten darf.
(1) Schulen und Schulaufsichtsbehörden sind gemäß § 120 Abs. 1 Satz 1, Abs. 3 in Verbindung mit § 3 des Schulgesetzes NRW, im Übrigen nach den allgemeinen datenschutzrechtlichen Vorschriften, berechtigt und verpflichtet, personenbezogene Daten
- der Schülerinnen und Schüler,
- der Eltern gemäß § 123 des Schulgesetzes NRW
- der Verpflichteten gemäß § 41 des Schulgesetzes NRW
in Dateien und/oder Akten zu verarbeiten, soweit diese Verordnung oder andere Rechtsvorschriften dies zulassen.
Wie dort werden hier Schülerinnen und Schüler genannt, nicht jedoch die Personen nach § 36 SchulG NRW. Die VO-DV I bezieht sich in allen weiteren Regelungen auf diese drei Kategorien. Entsprechend heißt es in dem für Aufbewahrungs- und Löschfristen maßgeblichen § 9:
(1) Für personenbezogene Daten, die nach dieser Verordnung in Dateien gespeichert oder in Akten aufbewahrt werden, gelten folgende Fristen:
Wird ein Kind an einer Grundschule angemeldet und anschließend aufgenommen, ist klar, dass die bei der Anmeldung erhobenen Daten den Regelungen des Schulgesetzes und der VO-DV I und damit auch den Lösch- und Aufbewahrungsfristen von § 9 unterliegen.
Für die personenbezogenen Daten eines Kindes, welches an der Schule zwar angemeldet, jedoch nicht aufgenommen wurde, kennt die VO-DV I keine Regelungen wie mit seinen Daten zu verfahren ist. Ein lediglich angemeldetes, jedoch nicht an der Grundschule aufgenommenes Kind gehört nicht allein aufgrund seiner Anmeldung zum Kreis der Schülerinnen und Schüler dieser Schule.
Gemäß § 11 Abs. 2 Satz 1 AO-SF können Eltern bereits bei der Anmeldung ihres schulpflichtigen Kindes an einer Grundschule über die Schule einen Antrag auf Eröffnung eines AO-SF Verfahrens stellen. Die Schulaufsichtsbehörde beauftragt dann zur Ermittlung des Bedarfs an sonderpädagogischer Unterstützung eine sonderpädagogische Lehrkraft und eine Lehrkraft der allgemeinen Schule. Letztere Person “ist in der Regel die Klassenlehrerin oder der Klassenlehrer der Schülerin oder des Schülers.” Bei einem noch nicht eingeschulten Kind kann die Schulaufsichtsbehörde hierfür beispielsweise eine Lehrkraft der Grundschule beauftragen, an der das Kind angemeldet wurde.
(1) Zur Ermittlung des Bedarfs an sonderpädagogischer Unterstützung beauftragt die Schulaufsichtsbehörde eine sonderpädagogische Lehrkraft und eine Lehrkraft der allgemeinen Schule, …
Für die weiteren Betrachtungen dürfte nicht unerheblich sein, dass Federführung bei dem ganzen Verfahren die Schulaufsichtsbehörde hat. Sie spielt hier die zentrale Rolle, und bei ihr laufen nicht nur die Fäden zusammen, sondern sie erhält auch gem. § 13 Abs. 4 AO-SF das Gutachten samt aller dazugehörigen Unterlagen, welches die beiden Lehrkräfte, welche aus verschiedenen Schulen kommen können, erstellt haben.
(4) Das Gutachten ist mit allen Unterlagen der Schulaufsichtsbehörde zur Entscheidung vorzulegen.
Darüber hinaus gewährt die Schulaufsichtsbehörde gem. § 13 Abs. 7 AO-SF den Erziehungsberechtigten Einsicht in das Gutachten und die zugrunde liegenden Unterlagen und übermittelt gem. § 14 Abs. 6 AO-SF ihre Unterlagen und Daten der aufnehmenden Schule. Hiermit käme in datenschutzrechtlicher Hinsicht auch die Schulaufsichtsbehörde, die in der Generalklausel von § 120 Abs. 1 SchulG NRW ausdrücklich das Recht erhält, die personenbezogenen Daten von Schülerinnen und Schülern zur Erfüllung der ihnen durch Rechtsvorschrift übertragenen Aufgaben zu verarbeiten, als verantwortliche Stelle für die Verarbeitung Zwecks Ermittlung des Bedarfs an sonderpädagogischer Unterstützung in Frage. Verantwortlicher im Sinne von Art. 4 Nr. 7 DS-GVO ist die Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Sind Zwecke und Mittel der Verarbeitung rechtlich vorgegeben, wie hier der Fall, ist für die Zuordnung insbesondere die gesetzliche Aufgaben- und Zuständigkeitsverteilung maßgeblich. Es spricht an dieser Stelle bereits einiges dafür, dass die Schulaufsichtsbehörde hier als verantwortliche Stelle handelt. Dafür spricht zusätzlich, dass die beiden mit der Gutachtenerstellung beauftragten Lehrkräfte nicht aufgrund eines eigenständigen Auftrags ihrer jeweiligen Stammschulen tätig werden, sondern aufgrund der Beauftragung durch die Schulaufsichtsbehörde (§ 13 Abs. 1 AO-SF). Die Verarbeitung der dabei erhobenen personenbezogenen Daten ist somit funktional dem Aufgabenbereich der Schulaufsichtsbehörde zuzuordnen.
Aber könnte bezüglich der Erstellung des Gutachtens und der dabei entstehenden Unterlagen auch die Schule als verantwortliche Stelle in Frage kommen?
Gemäß § 1 Abs. 2 Satz 1 VO-DV I ergeben sich, die personenbezogenen Daten, welche eine Schule verarbeiten darf aus den Anlagen:
(2) Die zur Verarbeitung zugelassenen Daten sind in den Anlagen genannt.
Anlage 1 Abschnitt C Nr. IV. VO-DV I gibt in einer Auflistung vor, welche Daten Schulen wie eine Grundschule bezüglich des Förderbedarfs verarbeiten dürfen:
Entscheidung über den sonderpädagogischen Förderbedarf: Datum, Art, Förderdauer, Förderort, Förderplan, Förderumfang, Datum und Ergebnis**) des zugrunde liegenden Gutachtens
Dies wird ergänzt durch Anlage 2 Abschnitt II Nr. 1 VO-DV I, wonach Schulen auch sonderpädagogische Gutachten als Bestandteil der Schülerakte verarbeiten dürfen.
Grundschulen dürfen bezüglich ihrer Schülerinnen und Schüler demnach sowohl das sonderpädagogische Gutachten verarbeiten als auch dessen Ergebnis, welches die Entscheidungsgrundlage für die Schulaufsichtsbehörde bildete.
Was bedeutet das nun?
- Die VO-DV I erlaubt Schulen, im Rahmen der dort geregelten Schülerdatenverarbeitung sowohl Angaben über den festgestellten sonderpädagogischen Unterstützungsbedarf als auch sonderpädagogische Gutachten als Bestandteil der Schülerakte zu verarbeiten (Anlage 1 Abschnitt C Nr. IV und Anlage 2 Abschnitt II Nr. 1 VO-DV I).
- Davon zu unterscheiden ist jedoch die Verarbeitung personenbezogener Daten im Rahmen eines AO-SF-Verfahrens, das bereits vor der Aufnahme eines Kindes an einer Schule durchgeführt wird.
- Für dieses Verfahren ist gemäß § 10 Abs. 2 AO-SF die Schulaufsichtsbehörde zuständig. Sie beauftragt die Gutachterinnen und Gutachter, erhält das Gutachten mit sämtlichen Unterlagen, gewährt den Eltern Einsicht und trifft die abschließende Entscheidung.
- Die mit der Gutachtenerstellung beauftragten Lehrkräfte handeln dabei nicht aufgrund eines eigenständigen diagnostischen Auftrags ihrer Stammschulen, sondern aufgrund der Beauftragung durch die Schulaufsichtsbehörde (§ 13 Abs. 1 und 2 AO-SF).
- Daraus lässt sich ableiten, dass die Verarbeitung personenbezogener Daten im Rahmen der Gutachtenerstellung grundsätzlich dem Verantwortungsbereich der Schulaufsichtsbehörde zuzuordnen ist.
- Die bloße Beteiligung einer Lehrkraft der Grundschule begründet deshalb noch keine Berechtigung dieser Schule, das Gutachten und sämtliche dazugehörigen Unterlagen dauerhaft als eigenen schulischen Datenbestand aufzubewahren.
- Die Schulaufsichtsbehörde übermittelt ihre Unterlagen und Daten nach Maßgabe des § 14 Abs. 6 AO-SF an die aufnehmende Schule.
- Für die ursprünglich vorgesehene Grundschule bedeutet das: Wird das Kind dort nicht aufgenommen, ergibt sich allein aufgrund der Mitwirkung einer ihrer Lehrkräfte am AO-SF-Verfahren keine Verpflichtung, die vollständigen Gutachtenunterlagen als eigene Schülerakte aufzubewahren.
- Davon zu unterscheiden sind personenbezogene Daten, welche die Grundschule bereits im Rahmen des Anmeldeverfahrens aufgrund ihrer eigenen gesetzlichen Aufgaben erhoben hat. Für diese bleibt sie grundsätzlich selbst datenschutzrechtlich verantwortlich.
- Soweit für diese Daten keine besondere Aufbewahrungspflicht besteht, sind sie nach Wegfall des Verarbeitungszwecks gemäß Art. 5 Abs. 1 Buchst. e und Art. 17 Abs. 1 Buchst. a DS-GVO zu löschen.
Die Erweiterung der Ausgangsfrage von Fall 1
Die Ausgangsfrage von Fall 1 wurde um die Frage ergänzt, ob die Grundschule, an welcher das Kind angemeldet, aber nicht aufgenommen wurde und deren Lehrkräfte an der Erstellung des Gutachtens beteiligt waren, diese Unterlagen an die aufnehmende Schule übermitteln darf.
Aus der bisherigen rechtlichen Bewertung von Fall 1 sollte deutlich geworden sein, dass die Grundschule durch die bloße Beteiligung einer ihrer Lehrkräfte an der Erstellung des AO-SF-Gutachtens nicht selbst zur datenschutzrechtlich verantwortlichen Stelle für die Gutachtenerstellung wird.
Würde das Kind an dieser Grundschule aufgenommen, könnte das Gutachten gemäß Anlage 2 Abschnitt II Nr. 1 VO-DV I Bestandteil der Schülerakte werden. Bei einem späteren gewöhnlichen Schulwechsel richtet sich die Übermittlung personenbezogener Daten durch die abgebende Schule nach § 6 Abs. 2 Nr. 2 VO-DV I. Danach werden insbesondere die erforderlichen Angaben über den sonderpädagogischen Unterstützungsbedarf und die sonderpädagogische Förderung übermittelt. Die Unterlagen selbst verbleiben grundsätzlich bei der abgebenden Schule.
Im hier betrachteten Fall liegt jedoch kein solcher Schulwechsel vor. Das Kind wurde an der ursprünglich vorgesehenen Grundschule lediglich angemeldet, aber nicht aufgenommen.
Für diese Grundschule ergibt sich deshalb weder aus § 6 VO-DV I noch aus ihrer Beteiligung an der Gutachtenerstellung eine eigenständige Rechtsgrundlage, das AO-SF-Gutachten an die aufnehmende Förderschule weiterzugeben.
Die Übermittlung der AO-SF-Verfahrensunterlagen ist vielmehr ausdrücklich in § 14 Abs. 6 AO-SF geregelt und der Schulaufsichtsbehörde zugewiesen.
Diese kann die Übermittlung gegebenenfalls organisatorisch durch die beteiligte Lehrkraft beziehungsweise Grundschule durchführen lassen. Voraussetzung ist jedoch, dass dies auf ihre Veranlassung und in ihrem Verantwortungsbereich geschieht.
Die Grundschule darf das Gutachten somit nicht aufgrund einer eigenen Entscheidung an die aufnehmende Förderschule weitergeben. Zuständig für die Übermittlung ist grundsätzlich die Schulaufsichtsbehörde.
Fall 2
Die Grundschule, um die es in Fall 2 geht, führt hier im Rahmen der Schulanmeldung eine Schuleingangsdiagnostik durch. Dabei werden beispielsweise sprachliche, kognitive oder motorische Lernvoraussetzungen erfasst und in Beobachtungs- oder Testbögen sowie Protokollen festgehalten. Das Kind wird anschließend jedoch an einer anderen Grundschule angemeldet und dort aufgenommen.
Es stellt sich die Frage, ob die ursprünglich diagnostizierende Grundschule die erhobenen Daten weiterhin aufbewahren muss, ob sie diese komplett an die aufnehmende Grundschule übermitteln darf und wann sie die Unterlagen löschen muss.
Maßgeblich für die Beantwortung dieser Frage ist unter anderem, in welcher Rolle bzw. Verantwortlichkeit die Schule handelt. § 36 Abs. 3 Satz 1 SchulG NRW weist der Grundschule die Aufgabe zur Schuleingangsdiagnostik zu:
(3) Bei der Anmeldung zu einer Schule mit Primarstufe stellt die Schule fest, ob die Kinder die deutsche Sprache hinreichend beherrschen und bei ihnen die grundlegenden Lernvoraussetzungen vorliegen, um im Unterricht mitarbeiten zu können.
Die genannte Regelung wird ergänzt durch § 120 Abs. 3 SchulG NRW. Dort heißt es:
(3) Standardisierte Tests und schriftliche Befragungen von Schulanfängerinnen und -anfängern (§ 36) […] dürfen in der Schule nur durchgeführt werden, soweit dies für die Feststellung der Schulfähigkeit oder des Sprachstandes, […] geeignet und erforderlich ist.
Damit ist die Verarbeitung der im Rahmen der schulischen Schuleingangsdiagnostik erhobenen personenbezogenen Daten von angemeldeten Kindern grundsätzlich der durchführenden Grundschule zuzuordnen. Da sie die Feststellung der Lernvoraussetzungen nach § 36 Abs. 3 Satz 1 SchulG NRW als eigene gesetzliche Aufgabe wahrnimmt, ist sie insoweit auch datenschutzrechtlich verantwortliche Stelle gem. Art. 4 Nr. 7 DS-GVO.
Zur Übermittlung an die aufnehmende Grundschule enthält § 120 Abs. 3 Satz 3 SchulG NRW eine ausdrückliche Regelung:
Aus Tests und schriftlichen Befragungen zur Feststellung der Schulfähigkeit […] dürfen nur die Ergebnisse […] an andere Schulen übermittelt werden.
Damit beschränkt sich die Befugnis zur Übermittlung an die aufnehmende Grundschule ausdrücklich auf die Ergebnisse aus den standardisierten Tests und schriftlichen Befragungen zur Feststellung der Schulfähigkeit oder des Sprachstandes des angemeldeten Kindes. Die den Ergebnissen zugrunde liegenden Beobachtungs- oder Testbögen sowie Protokolle sind damit nicht von der Übermittlungsbefugnis erfasst. Wie ist mit diesen zu verfahren, wenn sie nicht übermittelt werden dürfen?
Zwar nennt Anlage 1 Abschnitt C I VO-DV I bei den schulformspezifischen Zusatzdaten einer Grundschule auch die Angaben zur vorschulischen Beratung und Förderung gem. § 36 SchulG NRW sowie „Datum, Ergebnis“ der Sprachfeststellung gem. § 36 Abs. 3 SchulG NRW. Daraus folgt jedoch nicht, dass diese Daten oder die zugrunde liegenden Beobachtungs-, Test- und Protokollbögen eines Kindes, das an dieser Grundschule nicht aufgenommen wird, den Aufbewahrungsfristen des § 9 VO-DV I unterliegen.
Hier kann auf die bereits in Fall 1 vorgenommene Abgrenzung zurückgegriffen werden. § 120 Abs. 1 SchulG NRW erlaubt der Grundschule ausdrücklich auch die Verarbeitung personenbezogener Daten der in § 36 SchulG NRW genannten Kinder, soweit dies zur Erfüllung ihrer gesetzlichen Aufgaben erforderlich ist. Auf dieser Grundlage durfte die Grundschule die für die Schuleingangsdiagnostik erforderlichen personenbezogenen Daten zunächst erheben und verarbeiten.
Mit der Aufnahme des Kindes an einer anderen Grundschule wird es jedoch nicht Schülerin oder Schüler der diagnostizierenden Grundschule. Die Aufbewahrungsfristen des § 9 VO-DV I greifen daher aus den bereits in Fall 1 genannten Gründen nicht ein. Zugleich besteht nach Abschluss der Schuleingangsdiagnostik für die weitere Aufbewahrung der Beobachtungs-, Test- und Protokollbögen kein fortbestehender Verarbeitungszweck.
Damit greift der Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DS-GVO. Danach dürfen personenbezogene Daten grundsätzlich nur so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.
Ist der Zweck der Verarbeitung mit Abschluss der Schuleingangsdiagnostik und der Aufnahme des Kindes an einer anderen Grundschule entfallen, kommt Art. 17 Abs. 1 lit. a DS-GVO zum Tragen. Danach ist der Verantwortliche verpflichtet, die personenbezogenen Daten unverzüglich zu löschen, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind.
Ausführliche Informationen zur Erstellung einer Einwilligung finden sich unter