Nach Art. 15 DS-GVO hat die betroffene Person das Recht, vom Verantwortlichen Auskunft darüber zu verlangen, ob und wenn ja welche sie betreffenden personenbezogenen Daten verarbeitet werden. Schüler und Erziehungsberechtigte können als Betroffene also bei der Schule als verantwortlicher Stelle erfragen, welche ihrer personenbezogenen Daten die Schule verarbeitet. Dieses Recht gilt, auch wenn die betroffene Person bereits bei der Erhebung der personenbezogenen Daten informiert wurde. Hat die Schule keine personenbezogenen Daten des Betroffenen verarbeitet, muss trotzdem eine Auskunft gegeben werden, auch wenn dieses eine Negativauskunft ist¹Siehe hierzu auch Gericht sieht Pflicht zur Negativauskunft, Dr-Datenschutz, 20. APRIL 2021.

Das Recht auf Auskunft findet sich zusätzlich, wenn auch deutlich weniger ausdifferenziert in der VO-DV I § 3 Abs. 4

(4) Die in § 1 Absatz 1 Satz 1 genannten Personen sind mit den Einschränkungen des § 120 Absatz 9 des Schulgesetzes NRW berechtigt, Einsicht in die sie betreffenden Unterlagen zu nehmen und nach Maßgabe des Artikels 15 der Datenschutz-Grundverordnung Auskunft über die Verarbeitung der sie betreffenden Daten zu erhalten.

Die erwähnte Stelle §120 Abs. 9 SchulG² Es wurde bis zum 16. Schulrechtsänderungsgesetz auf Abs. 7 verwiesen und dieser war etwas umfangreicher und schränkte das Recht auf Auskunft für einige Daten ein. “(7) Nur Eltern sowie die Schülerinnen und Schüler sind berechtigt, Einsicht in die sie betreffenden Unterlagen zu nehmen und Auskunft über die sie betreffenden Daten und die Stellen zu erhalten, an die Daten übermittelt worden sind. Das Recht auf Einsichtnahme umfasst auch das Recht zur Anfertigung oder Aushändigung von Kopien; die Erstattung von Auslagen kann verlangt werden. Dieses Recht ist ausgeschlossen, soweit dadurch berechtigte Geheimhaltungsinteressen Dritter beeinträchtigt würden; in diesen Fällen ist eine Auskunft über die verarbeiteten Daten zu erteilen. Zwischenbewertungen des Lernverhaltens in der Schule sowie persönliche Aufzeichnungen der Lehrkräfte über Schülerinnen und Schüler und deren Eltern sind von dem Recht auf Einsichtnahme und Auskunft ausgenommen.”

(9) Nur Eltern sowie die Schülerinnen und Schüler sind berechtigt, Einsicht in die sie betreffenden Unterlagen zu nehmen und Auskunft über die sie betreffenden Daten und die Stellen zu erhalten, an die Daten übermittelt worden sind. Das Recht auf Einsichtnahme umfasst auch das Recht zur Anfertigung oder Aushändigung von Kopien.

Das Auskunftsrecht nach Art. 15 lässt sich inhaltlich in zwei Bereiche unterteilen. Man unterscheidet bei der Auskunft über das allgemeine Auskunftsrecht und das Recht auf eine Datenkopie. Bei letzterem geht es um die personenbezogenen Daten selbst, während sich das allgemeine Auskunftsrecht auf die von der Schule verarbeiteten Daten bezieht und  die Metainformationen der Datenverarbeitung.

Allgemeines Auskunftsrecht

Das allgemeine Auskunftsrecht unterscheidet noch einmal nach den Gegenständen (Verarbeitete Daten, Metainformationen der Datenverarbeitung), Verfahren, Form und Darstellungsweise und Beschränkungen.

Die Gegenstände der Auskunft

Beim allgemeinen Auskunftsrecht geht es nicht um die einzelnen personenbezogenen Daten, sondern um Informationen über die Daten. Die einzelnen personenbezogenen Daten sind Gegenstand des Rechts auf eine Datenkopie.

Verarbeitete Daten

Um welche personenbezogenen Daten geht es überhaupt?

• Informiert werden muss über alle Daten, die beim Verantwortlichen zum Zeitpunkt des Auskunftsersuchens vorliegen.
  • Bei einem Schüler, der sich noch an der Schule befindet, betrifft dieses alle in der Schulverwaltung vorliegenden Daten (Individual- und Organisationsdaten, Leistungsdaten, Schulform- oder schulstufenspezifische Zusatzdaten) wie auch Daten, welche bei Lehrkräften vorliegen, egal ob analog oder digital auf einem Dienstgerät oder mit Genehmigung genutztem Privatgerät. Zu den Daten in der Schulverwaltung gehören auch Klassen- und Kursbücher (Sonstiger Datenbestand). Außerdem zählen zu den Daten der betroffenen Person auch im pädagogischen Netz gespeicherte Daten, einschließlich der Logfiles, und Daten in Lernplattformen. Auch auf der Homepage verarbeitete Daten der Schüler gehören zum Datenbestand.
  • Bei ehemaligen Schülern sind die Daten im Prinzip die gleichen, nur dass sie mittlerweile gesperrt sind und sich im Archiv befinden. Ergänzend kommen in der Regel noch Kopien von Abgangszeugnissen hinzu und die Abiturklausuren und Prüfungsergebnisse. Ein Teil der Daten könnte schon entsprechend der Löschfristen aus VO-DV I ausgesondert und gelöscht worden sein und muss damit nicht mehr bei der Antwort zum Auskunftsersuchen berücksichtigt werden.

Verarbeitungszwecke

Die Verarbeitung von personenbezogenen Daten ist immer zweckgebunden. Entsprechend müssen diese Zwecke bei einem Auskunftsersuchen mitgeteilt werden. Informationen liefert die VO-DV I. Darüber hinaus werden Zwecke auch in Einwilligungen genannt, wenn es um personenbezogenen Daten geht, die nicht auf Basis des SchulG NRW bzw. der sich daraus ableitenden VO-DV I verarbeitet werden dürfen.

• • Individual- und Organisationsdaten  
    • Grunddaten – Verwaltung und Kommunikation, Beratung
    • Organisations-(Schullaufbahn-)daten – Verwaltung, Schulpflichtüberwachung, Laufbahnberatung und -planung
  • Leistungsdaten – Dokumentation, Erstellung von Zeugnissen, Diagnose, Erstellung von Förderempfehlungen,
  • Schulform- oder schulstufenspezifische Zusatzdaten – Überprüfung von Berechtigungen, Entscheidung über sonderpädagogischen Förderbedarf, …

Folgende Verarbeitungszwecke sind je nach Schule höchst unterschiedlich

• • Diverse personenbezogenen Daten, Foto, Video, Audio – Öffentlichkeitsarbeit auf der Schulhomepage, Pressearbeit, …
  • Name, Kennwort, schulische E-Mail Adresse –  Zugang und Nutzung pädagogisches Netz/ Online Lernmanagement System/ Lernplattform

Die Nennung der Rechtsgrundlage für die Verarbeitung wird in Art. 15 nicht ausdrücklich eingefordert.

Datenkategorien

Auch wenn die betroffene Person eine Kopie ihrer personenbezogenen Daten erhält, hat sie ein Recht, durch Auskunft über die Datenkategorien eine Grundorientierung über die Daten zu erhalten, die ihr einen aussagekräftigen Überblick über Verarbeitung ihrer Daten erlaubt. Die Datenkategorien können der VO-DV I Anlage 1 entnommen werden.

• Individual- und Organisationsdaten  
• Grunddaten
• Organisations-(Schullaufbahn-)daten
• Leistungsdaten
• Schulform- oder schulstufenspezifische Zusatzdaten

Weitere mögliche Datenkategorien, die von Schulen verarbeitet werden, jedoch nicht in Anlage 1 zu finden sind.

• Inhalts- und Nutzungsdaten im Zusammenhang mit der Nutzung digitaler Lehr- und Lernmittel, Lehr- und Lernsysteme sowie Arbeits- und Kommunikationsplattformen
• digitale Bild-, Audio- und Videodaten im Zusammenhang mit Öffentlichkeitsarbeit

Empfänger und Kategorien von Empfängern

Hier ist eine vollständige Information darüber erforderlich, welche Informationen bereits offengelegt wurden und welche noch offengelegt werden sollen. Schulen sind von daher grundsätzlich verpflichtet, zu speichern, welche Daten gegenüber welchen Empfängern offengelegt wurden, damit diese Auskunft überhaupt erteilt werden kann.

Da dieses vor Umsetzung der DS-GVO von vielen Schulen vermutlich eher nicht praktiziert wurde, wird man sich hier mit pauschalen Informationen begnügen müssen, an wen Daten in der Regel übermittelt werden bzw. wurden. Dass eine exakte Rekonstruktion nicht möglich ist, sollte man anmerken.

Folgende Empfänger sind für Schulen in NRW üblich. Ein Teil davon ergibt sich aus SchulG NRW Abs. 5-8. Die Liste unterscheidet nicht, ob die Übermittlung an diese Empfänger auf gesetzlicher Grundlage oder Einwilligung der Betroffenen beruht.

• Betroffene
  • • Schüler,
    • Eltern, Verpflichtete,
• Interne Empfänger
  • Lehrkräfte,
  • Schulleitung,
  • Schulverwaltung,
  • Schulsozialarbeiter/in, Schulsozialpädagoge/in,
• Externe Empfänger
  • aufnehmende Schulen,
  • Schulaufsichtsbehörde,
  • Schulträger,
  • untere Gesundheitsbehörde,
  • Jugendamt,
  • Landesjugendamt,
  • Ämter für Ausbildungsförderung,
  • Landesamt für Ausbildungsförderung sowie den Ausbildungsbetrieben (Schülerinnen und Schüler an Berufskollegs),
  • Landesbetrieb Information und Technik
    (anonymisierte Leistungsdaten der Schülerinnen und Schüler),
  • schulpsychologischer Dienst,
  • Ausschuss für den Schulsport (Landessportwettkämpfe Mannschaftsmeldung),
  • lokale Presse

Als Kategorien sollten Betroffene, interne Empfänger und externe Empfänger ausreichen.

Dauer der Datenspeicherung

Fristen für Speicherung und Löschung von personenbezogenen Daten sind durch § 9 Aufbewahrung, Aussonderung, Löschung und Vernichtung der Dateien und Akten, VO-DV I, geregelt.

Nr	Datenarten	Aufbewahrungszeit/ Löschfrist
1	Zweitschriften von Abgangs- und Abschlusszeugnissen	50 Jahre
2	Schülerstammblätter	20 Jahre
3	Zeugnislisten, Zeugnisdurchschriften, (soweit es sich nicht um Abgangs- und Abschlusszeugnisse handelt), Unterlagen über die Klassenführung (Klassenbuch, Kursbuch), Akten über Schülerprüfungen	10 Jahre
4	alle übrigen Daten	5 Jahre
5	von Lehrkräften mit Genehmigung der Schulleitung auf privaten Computern verarbeitete personenbezogene Daten	1 Jahr (nach Abgabe des Schülers, ab Ende des Kalenderjahres)
6	Veröffentlichungen auf der Schulhomepage	Soweit nicht durch eine Einwilligung anders geregelt, nach Ende der Schulzeit.
7	Führen einer Schulchronik: 1. Name, Vorname, Jahr der Beendigung des Schulverhältnisses3Hinweis: die Daten, welche zum Führen einer Schulchronik genutzt werden dürfen, haben sich mit der Änderung von VO-DV I & II deutlich reduziert. Weitere Informationen dazu unter Schulchronik – Änderungen VO-DV I & II	unbegrenzte Speicherung

Die Aufbewahrungsfristen beginnen mit Ablauf des Kalenderjahres, in dem die Akten oder Dateien abgeschlossen worden sind, jedoch nicht vor Ablauf des Kalenderjahres, in dem die Schulpflicht endet, sofern nichts anderes bestimmt ist.

Betroffenenrechte und Beschwerderechte

Welche Rechte die Betroffenen haben, hängt bei den in Schule verarbeiteten personenbezogenen Daten von der Rechtsgrundlage und der Art der Daten ab. Für Daten, deren Erhebung und Verarbeitung auf der Grundlage einer Einwilligung erfolgt, kann diese Einwilligung widerrufen werden. Ein Widerruf berührt jedoch die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung nicht. Es besteht darüber hinaus ein Recht auf Berichtigung (z.B. Individual- und Organisationsdaten). Bei allen Daten, welche auf Grundlage des SchulG NRW und der VO-DV I erhoben und verarbeitet werden besteht kein Recht auf Löschung, Einschränkung der Verarbeitung oder Widerspruch gegen diese Verarbeitung. Dazu zählen grundsätzlich auch Leistungsdaten.

Ein Beschwerderecht besteht bei Betroffenen aus NRW bei der Aufsichtsbehörde, der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Herkunft der Daten

Soweit die personenbezogenen Daten nicht durch die Schule bei den Betroffenen erhoben wurden, etwa bei der Anmeldung an der Schule, müssen die Betroffen durch die Schule über die Herkunft der Daten informiert werden. Entsprechend sollte auch die Herkunft von Daten durch die Schule regelmäßig dokumentiert werden. Schulen empfangen personenbezogene Daten von Schülern vor allem von abgebenden Schulen. Sonst ist es die Selbstauskunft der Eltern oder von Verpflichteten.

Automatisierte Entscheidungsfindung und Profiling

Aktuell dürfte dieses Feld noch wenig Relevanz besitzen. Mit dem Aufkommen von Lernplattformen, die auf Algorithmen basierende Entscheidungen bezüglich weiterer Lernwege treffen und Fördermaßnahmen empfehlen, erhält dieser Bereich jedoch Bedeutung und es müssten entsprechende Informationen gegeben werden. So lange die Plattform nur eine Auswertung liefert, die Entscheidung jedoch bei den Lehrkräften verbleibt, sind in diesem Bereich keine Auskünfte erforderlich.

Geeignete Garantien im Sinne von Art. 46

Auf Schulen dürfte diese Vorgaben selten zutreffen, da es kaum Anlässe gibt, Daten an Stellen in Staaten zu übermitteln, bei denen entweder die DS-GVO nicht gilt oder es entsprechende Abkommen gibt. Eine solche Datenübermittlung könnte der Fall sein, wenn ein Schüler ein Auslandsschuljahr macht, z.B. an einer deutschen Schule in Chile, und der aufnehmenden Schule die üblichen Daten übermittelt werden.

Verfahren, Form und Darstellungsweise der Auskunft

Das Verfahren der Auskunft

• Die Schule muss den Betroffenen die Ausübung ihres Auskunftsrechts erleichtern. Eine Verweigerung des Auskunftsrechtes ist nur möglich, wenn die Schule den Auskunftsuchenden nicht identifizieren kann oder Zweifel an der Identität bestehen. Dann können vor Beantwortung der Anfrage weitere Informationen zur Bestätigung der Identität angefordert werden.⁴Siehe dazu auch ausführlich Identitätsprüfung bei elektronischen Auskunftsersuchen nach Art. 15 DS-GVO; LfDI Baden Württemberg (02/2019)
• Der Antrag selbst ist an keine Form gebunden und auch inhaltlich nicht vorgegeben. Er kann sich auf die personenbezogenen Daten selbst beziehen und auch Metainformationen zu den Daten. Bei einer sehr umfangreichen Datenverarbeitung, wie sie etwa bei einer weiterführenden Schule mit Oberstufe der Fall sein kann, wo es um 8, 9 oder eventuell auch 10 Schulbesuchsjahre geht, kann die Schule die betroffene Person bitten, zu präzisieren, auf welche Informationen oder Verarbeitungsvorgänge sich das Auskunftersuchen bezieht.
• Anfragen sind innerhalb eines Monats nach Eingang der Anfrage zu beantworten. Je nach Komplexität der Anfrage kann die Frist um bis zu zwei Monate verlängert werden. Der Anfragende ist darüber unter Angabe der Gründe für die Verzögerung zu informieren.
• Wird die Schule innerhalb eines Monats nicht tätig, muss sie die betroffene Person darüber informieren und auf das Recht zu einer Beschwerde bei der Aufsichtsbehörde hinweisen.
• Die Anfrage ist unentgeltlich zu beantworten. Wird das Auskunftsrecht durch häufige Wiederholungen missbraucht oder ist offenkundig unberechtigt, besteht die Möglichkeit, ein angemessenes Entgelt zu verlangen oder sich zu weigern, aufgrund des Antrags tätig zu werden.

Die Form der Auskunft

Die Form der Auskunft, in welcher die Auskunft erteilt wird, richtet sich auch nach den Wünschen der betroffenen Person. Wenn die Identität der anfragenden Person in anderer Form nachgewiesen wurde, kann eine Auskunft auf Verlangen auch mündlich erfolgen. Fragt die betroffene Person in elektronischer Form nach, etwa per E-Mail, kann sie auch Auskunft in elektronischer Form verlangen. Das bedeutet, Unterlagen, die nur in Papierform vorliegen, müssten digitalisiert und als PDF bereitgestellt werden. Je nach Anfrage ist jedoch auch eine Antwort in Papierform nicht ausgeschlossen.

Die Darstellungsweise der Auskunft

Bezüglich der Darstellung macht die DS-GVO einige Vorgaben. Es reicht deshalb nicht, Daten und Metainformationen einfach zusammenzustellen und das SchulG NRW und die DS-GVO I hinzuzufügen. Die Auskunft über die Verarbeitung von personenbezogenen Daten ist “in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.” Das bedeutet, die für die Darstellungsweise der Auskunft gilt ein Gebot der Genauigkeit und der Verständlichkeit. Entsprechend muss die Auskunft aufbereitet und erläutert werden, so dass die betroffene Person sich schnell und einfach einen Überblick verschaffen kann.

Unberührt davon ist durch das Recht der betroffenen Person auf eine Datenkopie, die Daten auch in Rohform zu erhalten (siehe Recht auf Datenkopie).

Grenzen des Auskunftsrechts

Es liegen in diesem Bereich keine nach Art. 23 DS-GVO mögliche auf Schule zutreffende Regelungen aus dem Bundesdatenschutzgesetz (§27 Abs. 2, §28 Abs. 2, § 29 Abs. 1 Satz 2) oder dem Datenschutzgesetz NRW (§12) vor. Demnach ist das allgemeine Auskunftsrecht in Schule keinen Einschränkungen unterworfen.

Recht auf eine Datenkopie

Die Datenkopie umfasst alle auf die betroffene Person bezogenen Daten, so wie sie bei der Schule vorliegen zum Zeitpunkt der Auskunftserteilung. Damit soll die betroffene Person einen vollständigen und ungefilterten Eindruck davon erhalten über welche personenbezogenen Daten die Schule verfügt.

Die Datenkopie ist nicht identisch mit der Auskunft über die verarbeiteten Daten. Das bedeutet, die Datenkopie kann eine aufbereitete und erläuternde Auskunft wie oben beschrieben, nicht ersetzen. Der Grund dafür liegt in der Komplexität der Datenverarbeitung, welche sie für die betroffene Personen nicht ohne weiteres verständlich macht, und Verständlichkeit ist eine der Vorgaben.

Eine Grenze des Rechts auf eine Datenkopie bilden die Rechte und Freiheiten anderer Personen (Art. 15 Abs. 4). Die ehemals in § 120 Abs. 7 SchulG NRW vorgegebenen Grenzen des Auskunftsrechts bezüglich der persönlichen Aufzeichnungen der Lehrkräfte entfielen mit dem 15. Schulrechtsänderungsgesetz von Mai 2020.

Auch § 120 Abs. 7 SchulG grenzt das Recht der Betroffenen bezüglich einer Datenkopie ein.

Dieses Recht ist ausgeschlossen, soweit dadurch berechtigte Geheimhaltungsinteressen Dritter beeinträchtigt würden; in diesen Fällen ist eine Auskunft über die verarbeiteten Daten zu erteilen. Zwischenbewertungen des Lernverhaltens in der Schule sowie persönliche Aufzeichnungen der Lehrkräfte über Schülerinnen und Schüler und deren Eltern sind von dem Recht auf Einsichtnahme und Auskunft ausgenommen.

Für die Praxis bedeutet dieses beispielsweise, dass bei der Kopie einer Seite aus einem Klassenbuch oder einer Notenliste die Daten aller anderen Schüler ausgeschwärzt werden müssen, um die Rechte der anderen Schüler nicht zu verletzen.

Wie beim allgemeinen Auskunftsrecht gilt auch bei dem Recht auf Datenkopie: stellt die betroffene Person den Antrag in elektronischer Form, so muss die Schule die Datenkopie in elektronischer Form bereitstellen, außer die betroffene Person wünscht ausdrücklich eine andere Form. Als Format ist bei der elektronischen Form ein gängiges Format zu wählen, welches die betroffene Person mit allgemein verfügbarer Software verarbeiten kann. Diese muss nicht unbedingt kostenlos sein. Im Fall der Schule und der dort verarbeiteten Daten werden dieses das CSV oder TXT Format sein, sowie das PDF Format.

Für die elektronische Bereitstellung der Datenkopie sind verschiedene Wege denkbar, die jedoch den Anforderungen der Datensicherheit genügen müssen. Möglich wäre ein passwortgeschützter Download-Zugang, eine Übersendung per verschlüsseltem E-Mail oder auch ein Übermittlung auf Datenträger per Post.

Die erste Datenkopie ist unentgeltlich zur Verfügung zu stellen. In Schule fällt unter dieses Recht auch die erste beglaubigte Kopie eines Abschlusszeugnisses, die über die bei der Zeugnisausgabe mit ausgegebenen Kopien hinausgeht. Für weitere Datenkopien kann die Schule ein angemessenes Entgelt verlangen, vor allem bei häufiger Wiederholung (exzessiven Anträgen einer betroffenen Person) oder sich weigern, dem Antrag nachzukommen.

Dieser Text als DOCX Datei zur Nachnutzung:

• Auskunftsrecht der betroffenen Person.docx

 

Weiter lesen:

• Das Recht auf Auskunft (Art. 15 DS-GVO), BfDI
• Auskunftsrecht gegenüber Schulen, 34. Datenschutz Tätigkeitsbericht, S. 113f, LfDI BaWü (02/2019)
• Identitätsprüfung bei elektronischen Auskunftsersuchen nach Art. 15 DS-GVO; LfDI Baden Württemberg (02/2019)
• Kurzpapier Nr. 6, Auskunftsrecht der betroffenen Person, Art. 15 DS-GVO, DSK (12/2018)
• Information für Verantwortliche zur Auskunftsverpflichtung, BayLDA
• Das Recht auf Auskunft, Schritt für Schritt zur Auskunftserteilung nach Art. 15 DSGVO, Datenschutzkanzlei
• EuGH: Recht auf Kopie nach Art. 15 Abs. 3 DSGVO umfasst originalgetreue und verständliche Reproduktion der personenbezogenen Daten des Betroffenen, BECKMANN UND NORDA – Rechtsanwälte GbR (05/2023)

Stand 07/2023