Schlagwort: Einwilligungsfähigkeit

Mit der zunehmenden Integration von digitalen Medien in den Unterricht kommt es immer häufiger vor, dass dabei personenbezogene Daten von Schülerinnen und Schülern verarbeitet werden sollen, zu deren Angabe sie nicht aufgrund einer Rechtsvorschrift verplichtet sind. Dann braucht es eine Einwilligung. Ob es die der Eltern sein muss oder ob die der Schüler ausreichend ist, hängt dabei grundsätzlich von der Einwilligungsfähigkeit der Schüler selbst ab. In diese Vorgaben des Schulgesetzes greift nun die Datenschutz Grundverordnung einschränkend ein. Bevor es um diese Änderung geht und wann genau sie greift, soll zunächst näher erklärt werden, was mit der Einwilligungsfähigkeit gemeint ist.

Was bedeutet Einwilligungsfähigkeit?

Das Schulgesetz NRW führt dazu aus:

“Minderjährige Schülerinnen und Schüler sind einwilligungsfähig, wenn sie die Bedeutung und Tragweite der Einwilligung und ihre rechtlichen Folgen erfassen können und ihren Willen hiernach zu bestimmen vermögen.”¹§120 Abs. 2 Satz 3 SchulG NRW

Eine Altersvorgabe fehlt, denn bei der Einwilligungsfähigkeit kommt es sowohl auf den jeweiligen Entwicklungsstand des Minderjährigen an wie auch die Art, den Umfang, den Zweck und Verwendungszusammenhang der Daten, um welche es geht. Eine Orientierung, ab welchem Alter Kinder ihren Willen bestimmen können, findet sich jedoch in anderen Gesetzgebungen. Die Strafmündigkeit beginnt mit Vollendung des 14. Lebensjahres ²(§19 StGB, §1 Abs. 2 JGG und §3 JGG) und ab diesem Alter kann ein Kind auch eine eigene Entscheidung über ein religiöses Bekenntnis treffen³(§5 Satz 1 KErzG). Mit Vollendung des 15. Lebensjahres darf man Sozialleistungen beantragen und entgegennehmen⁴§36 Abs. 1 Satz 1 SGB I. Entsprechend heißt es in einem Kommentar zum Schulgesetz NRW:

“In der Regel dürfen jedenfalls vierzehn- oder fünfzehnjährige Schülerinnen und Schüler über die erforderliche Einwilligungsfähigkeit zum Beispiel hinsichtlich der Entscheidung verfügen, ob sie mit der Veröffentlichung von Fotos, auf denen sie abgebildet sind, auf der Schulhomepage einverstanden sind oder ob sie an einer wissenschaftlichen Befragung in der Schule teilnehmen wollen.”⁵Katernberg in SchulG NRW-Kommentar, März 2015

In vielen Schulen in NRW hat sich so ein Alter von 14 oder 15 Jahren für eine ausreichende Einwilligungsfähigkeit etabliert. Es empfiehlt sich jedoch, bei einer Entscheidung über sehr komplexe Datenverarbeitungsvorgänge, deren rechtliche Folgen Schüler mit 14 oder 15 eventuell doch nicht gänzlich in ihrer Tragweite abschätzen können, die Eltern vorher zumindest zu informieren. Je nach Fall kann es sinnvoll sein, zusätzlich die Einwilligung der Eltern einzuholen.⁶Sollen bei den Schülern Daten über die Eltern selbst erhoben werden, ist die Einwilligung der Eltern unumgänglich.⁷Wurde bei der Anmeldung an der weiterführenden Schule eine Einwilligung der Eltern bezüglich der Aufnahme und Veröffentlichung von Fotografien und personenbezogenen Daten auf der Schulhomepage und in der Presse eingeholt, so empfiehlt es sich darüber hinaus, die Einwilligung zu erneuern, sobald die Schüler 14 oder 15 Jahre alt sind, um ihnen die Wahrnehmung ihres Rechtes auf informationelle Selbstbestimmung zu ermöglichen. Schüler hierzu zu befähigen gehört auch zu den Aufgaben einer Schule.

Genau bei der oben erwähnten Einwilligungsfähigkeit bezüglich komplexer Datenverarbeitungsvorgänge greifen nun die Vorgaben der DS-GVO in die bestehenden Regelungen des Schulgesetzes ein.

Art. 8 Abs. 1 DS-GVO

Mit Umsetzung der Datenschutz Grundverordnung seit Mai 2018 sind die Vorgaben des SchuG zur Einwilligungsfähigkeit eingeschränkt worden, jedoch nicht generell, sondern nur auf einen bestimmten Bereich bezogen. In Art. 8 Abs. 1 heißt es,

“Gilt Artikel 6 Absatz 1 Buchstabe a bei einem Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, so ist die Verarbeitung der personenbezogenen Daten des Kindes rechtmäßig, wenn das Kind das sechzehnte Lebensjahr vollendet hat.”

Die DS-GVO macht hier eine genaue Altersvorgabe, Vollendung des 16. Lebensjahres. In Artikel 6 Absatz 1 Buchstabe a geht es um die Einwilligung als Voraussetzung für eine Verarbeitung von personenbezogenen Daten. Zur Anwendung kommt diese Vorgabe, wenn einem Kind Dienste der Informationsgesellschaft direkt angeboten werden.

Während nach dem Schulgesetz die Einwilligungsfähigkeit des minderjährigen Schülers einzelfallbezogen beurteilt wird, in Abhängigkeit von der Fähigkeit des Schülers zu selbständigem und verantwortungsbewusstem Handeln und Art und Zweck der Daten, um die es geht, normiert Art. 8 Abs. 1 nun die Altersgrenze für die Einsichtsfähigkeit minderjähriger Personen auf die Vollendung des 16. Lebensjahres, dieses allerdings nur wenn es um ein direktes Angebot von Diensten der Informationsgesellschaft geht. Damit soll der Schutz der personenbezogenen Daten von Kindern sichergestellt werden⁸Siehe entsprechend Erwägungsgrund 38 “Ein solcher besonderer Schutz sollte insbesondere die Verwendung personenbezogener Daten von Kindern für Werbezwecke oder für die Erstellung von Persönlichkeits- oder Nutzerprofilen und die Erhebung von personenbezogenen Daten von Kindern bei der Nutzung von Diensten, die Kindern direkt angeboten werden, betreffen.”.

Was sind Dienste der Informationsgesellschaft?

Leider definiert die DS-GVO den Begriff nicht selbst. Über einen Verweis in Art. 4 Nr. 25 DSGVO auf die EU-Richtlinie 2015/1535 lässt sich der Rechtsbegriff näher bestimmen. In der Richtlinie aus dem Jahr 2015⁹RICHTLINIE (EU) 2015/1535 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 9. September 2015 und dort Art. 1 Nr. 1 lit. b heißt es:

“„Dienst“ eine Dienstleistung der Informationsgesellschaft, d. h. jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung.”

Aus der Definition und den weiteren Ausführungen dazu in der Richtlinie¹⁰Im Sinne dieser Definition bezeichnet der Ausdruck
i) „im Fernabsatz erbrachte Dienstleistung“ eine Dienstleistung, die ohne gleichzeitige physische Anwesenheit der Vertragsparteien erbracht wird;
ii) „elektronisch erbrachte Dienstleistung“ eine Dienstleistung, die mittels Geräten für die elektronische Verarbeitung (einschließlich digitaler Kompression) und Speicherung von Daten am Ausgangspunkt gesendet und am Endpunkt empfangen wird und die vollständig über Draht, über Funk, auf optischem oder anderem elektromagnetischem Wege gesendet, weitergeleitet und empfangen wird;
iii) „auf individuellen Abruf eines Empfängers erbrachte Dienstleistung“ eine Dienstleistung die durch die Übertragung von Daten auf individuelle Anforderung erbracht wird. ergeben sich fünf Voraussetzungen, die kumulativ zu erfüllen sind¹¹“kumulativ zu erfüllen” bedeutet, alle fünf Vorraussetzungen sind zu erfüllen., damit die Altersvorgabe, Vollendung des 16. Lebensjahres, für eine rechtswirksame Einwilligung von Minderjährigen bindend ist.

“Das Angebot muss eine

1. in der Regel gegen Entgelt,
2. elektronisch,
3. im Fernabsatz,
4. auf individuellen Abruf eines Empfängers erbrachte
5. Dienstleistung

darstellen.”¹²Buchner/ Kühling in: Kühling/Buchner Art. 4 Nr. 25 DS-GVO Rn. 4

Alle online angebotenen Plattformen stellen Dienstleistungen dar, die elektronisch bereitgestellt werden, auf den individuellen Abruf eines Nutzers. Bis auf Ausnahmen erbringt der Nutzer dafür eine Gegenleistung (ein Entgelt) und da er dazu nicht physisch am gleichen Ort weilt wie der Anbieter, handelt es sich um Fernabsatz. Selbst kostenlose Online Angebote und Apps sind in der Regel nicht wirklich kostenlos nutzbar, auch wenn es keine Geldzahlung zwischen Dienstnehmer und Dienstgeber gibt.

“Für die Bejahung des Merkmals “in der Regel gegen Entgelt erbracht” genügt es daher, wenn sich der betreffende Dienst durch Werbung oder durch den Handel mit Nutzerdaten oder anderweitig (quer-)finanziert.” ¹³Buchner/Kühling in: Kühling/Buchner Art. 4 Nr. 25 DS-GVO Rn. 6

Direkt angeboten, meint?

Auch wenn man die Formulierung so verstehen könnte, dass es nur um Angebote geht, die speziell auf Kinder ausgerichtet sind, so ist man sich in der Fachliteratur doch einig, dass auch Angebote gemeint sind, die sich sowohl an Kinder als auch an Erwachsene richten ¹⁴“Vielmehr werden Dienste, die sowohl an Erwachsene als auch an Kinder adressiert (dual use) sind, unzweifelhaft erfasst.” Buchner/Kühling in: Kühling/Buchner Art. 8 DS-GVO Rn. 16 oder an die Allgemeinheit wie etwa Youtube, Instagram, Facebook oder WhatsApp. Nicht betroffen von der Regelung nach Art. 8 Abs. 1 sind hingegen Angebote, die sich eindeutig an Erwachsene oder auch Jugendliche ab 16 Jahren richten und dieses über Altersbeschränkungen oder entsprechende Nutzungsbedingungen deutlich machen.¹⁵S. zu diesem Hinweis Greve in Eßer/Kramer/ v. Lewinsky Art. 8 Rn. 9

Was bedeutet dieses für die schulische Praxis?

Wie aus den Ausführungen deutlich geworden sein sollte, gilt die Vorgabe aus Art. 8 Abs. 1 nicht für sämtliche Einwilligungen bezüglich der Verarbeitung von personenbezogenen Daten von Kindern und Jugendlichen, mit welchen man es im schulischen Alltag zu tun hat. Sie gilt nur für einen bestimmten, eingegrenzten Bereich.

Wo Art. 8 Abs. 1 ganz sicher nicht wirksam ist

Die Mehrheit der bisher üblichen Einwilligungen bezüglich der Aufzeichnung, Verarbeitung und Veröffentlichung von personenbezogenen Daten ist von der Regelung nicht betroffen. Will eine Schule Fotos machen, Tonaufnahmen oder Videos und diese im Internet veröffentlichen, egal, ob es um die Schulhomepage geht, um YouTube oder Flickr, so reicht es weiterhin sich bezüglich einer Einwilligung an der Einwilligungsfähigkeit der Schüler zu orientieren. Gleiches gilt auch bei Einwilligungen in die Teilnahme an wissenschaftlichen Untersuchungen oder zur Verarbeitung von personenbezogenen Daten in einem schulischen Lernmanagementsystem. Ein schuleigenes Moodle ist von der Vorgabe aus Art. 8 Abs. 1 genauso wenig betroffen wie ein von der Schule im Unterricht offiziell genutztes Office 365 mit Cloud, iServ oder auch Logineo NRW. Von schulischen Geräten aus lassen sich viele Plattformen nutzen, ohne das Art. 8 Abs. 1 ins Spiel kommt. Dazu gehören auch Angebote wie Kahoot, die mit Fantasienamen genutzt werden können, oder Plattformen, bei denen die Anmeldung mittels Single Sign-on erfolgt.

Wo Art. 8 Abs. 1 wirksam ist

In dem Moment, wo es um Online Angebote oder Apps (mit Online Anbindung) geht, die einem Dienst der Informationsgesellschaft im oben beschriebenen Sinne entsprechen und es sind zur Nutzung personenbezogene Daten erforderlich, dann können Schüler entsprechend Art. 8 Abs. 1 erst ab Vollendung des 16. Lebensjahres selbst eine Einwilligung zu Nutzung bzw. Anmeldung abgeben. Die bisher vorausgesetzte Einwilligungsfähigkeit mit 14 oder 15 Jahren reicht in diesen Fällen nicht aus. Hier ist vor der Nutzung des Angebotes bzw. Dienstes die Einwilligung oder Zustimmung durch die Eltern einzuholen. Ein gutes Beispiel hier für ist ZUM.de, definitiv kein kommerzieller Anbieter, zur Finanzierung der Plattform wird jedoch Werbung geschaltet. Möchte man mit Schülern unter 16 Jahren an einem Wiki auf der Plattform arbeiten, brauchen die Schüler eine schriftliche Einwilligung der Erziehungsberechtigten, auch wenn als Benutzername nur ein Pseudonym verwendet wird.¹⁶Auch Pseudonyme sind personenbezogene Daten. ZUM handelt hier sehr vorbildlich und gibt in seiner Datenschutzerklärung vor, dass eine Einwilligung durch die Lehrkräfte einzuholen ist.

In Schulen mit BYOD Projekten kommen personenbezogene Daten immer dann ins Spiel, wenn Apps installiert oder Online Plattformen genutzt werden. Sobald bei diesen entweder Werbung geschaltet ist, die Nutzung kostenpflichtig für die Schüler ist oder vermutet werden muss, dass die Nutzerdaten durch den Anbieter zu Geld gemacht werden, gilt die Vorgabe aus Art. 8 Abs. 1. Warum ist das so? Bei persönlichen Geräten ist der Nutzer immer über das Gerät identifizierbar. Selbst wenn keine Anmeldung mit Nutzername und Passwort erforderlich ist, werden über eine Abfrage der Gerätedaten personenbezogene Daten des Geräteeigners erhoben. Das ist auch der Fall, wenn ein App erst heruntergeladen wird. Und damit sind alle fünf Bedingungen, wie oben vorgestellt, erfüllt. Werbung meint dabei übrigens nicht nur fremde Werbung, sondern auch solche für inApp Käufe oder andere Produkte des Betreibers des Apps oder der Online Plattform.

Auch wenn eine Schule mit schuleigenen Accounts arbeitet, und diese werden mit Klarnamen gebildet, etwa lisa.schneider@musterschule-blaustadt.de, kann die Vorgabe der DS-GVO wirksam werden. Möchte man im Unterricht eine kommerzielle Plattform/App mit einem eingeschränkten, kostenlosen Angebot nutzen und auf der Seite bzw. im App wird die Nutzung der Zahlversion beworben, dann gilt, Einwilligung erst ab Vollendung des 16. Lebensjahres. Dabei ist es egal, ob man aus dem PC Raum arbeitet oder in der Klasse von schuleigenen Mobilgeräten.

Es gibt immer wieder Fälle, wo Lehrkräfte im Unterricht Schüler bitten, sich mit ihren privaten E-Mail Accounts bei einer tollen Online Plattform anzumelden. “Dann kann ich euch in meine Klassengruppe einladen. Und ihr könnt euch auch zu Hause einloggen und seht, wie weit ihr gekommen seid.” Beispiele dafür können Trainingsplattformen für Mathematik oder Sprachen sein, die kommerzielle Absichten verfolgen. Auch Sofatutor fällt darunter. 

Man ist immer auf der sicheren Seite, dass Art. 8 Abs. 1 nicht gilt, wenn

• keine personenbezogenen oder personenbeziehbare Daten im Spiel sind, d.h.
  • es wird nicht von einem privaten Gerät gearbeitet oder
  • es wird von einem schulischen Gerät ohne Nutzung eines personenbeziehbaren Nutzeraccounts gearbeitet
• die Plattform bzw. das online angebundene App
  • keine Werbung enthält, auch nicht für Angebote des Anbieters der Plattform bzw. des Apps
  • keine Nutzerdaten erhoben und kommerziell verwertet werden¹⁷Hier für muss man die Datenschutzerklärung des Online Angebots bzw. Apps finden und studieren. Auch die AGB/TOS bieten Hinweise.
  • keine Nutzungsgebühr erhebt¹⁸Diese könnte auch durch das Beantworten von Fragen oder auf andere Art und Weise durch den Nutzer abgegolten werden.

Man sollte sehr genau hinsehen, wenn

• es sich um die kostenfreie Variante eines sonst kostenpflichtigen Angebotes handelt
• das Angebot kostenlos und sehr umfangreich ist, und unklar bleibt, wie der Anbieter sich finanziert.

Wenn man sich nicht sicher ist

Ist man sich nicht sicher, ob ein Dienst, in den Bereich der Regelung von Art. 8 Abs. 1 fällt, empfielt es sich, die Einwilligung grundsätzlich erst ab Vollendung des 16. Lebensjahres bei den Schülern selbst und vorher zumindest die Einwilligung oder Zustimmung der Eltern einzuholen.¹⁹Thomas Feil, ein Fachanwalt für IT-Recht und Arbeitsrecht und externer Datenschutzbeauftragter bei Unternehmen und  Behörden empfiehlt Unternehmen in seiner Broschüre “Leitfaden zur Umsetzung der Datenschutzgrundverordnung“, unter Dienst “im Zweifel jeden Onlinedienst zu verstehen (§ 1 Abs. 1 Satz 1 Telemediengesetz)”.

Eine wichtige Ausnahme

Nach Erwägungsgrund 38 Satz 3 sollen Kindern Präventions- und Beratungsdienste auch weiterhin ohne das Wissen der Eltern zu Verfügung gestellt werden können. Diese sind also von der Vorgabe von Art. 8 Abs. 1 ausgenommen. Sucht man also im Unterricht entsprechende Angebote auf und Kinder machen von diesen unter Nutzung von ihren eigenen personenbezogenen Daten Gebrauch, so ist dieses in Ordnung.

Kinder und Jugendliche haben ein Recht auf informationelle Selbstbestimmung

Auch wenn man im Netz an verschiedenen Stellen Aussagen findet, welche die Art. 8 Abs. 1 dahingehend interpretieren, dass die Vorgabe grundsätzlich für alle Online Angebote gilt oder gar für jegliche Einwilligung in die Verarbeitung personenbezogener Daten, so sollte man hier doch differenzieren. Sicherlich könnte man in einer Schule sämtliche Einwilligungen bei den Eltern einholen, solange die Schüler unter 16 Jahre alt sind. Es soll sogar Schulen geben, die grundsätzlich jede Einwilligung bei den Eltern einholen, solange die Schüler noch nicht volljährig sind. Es fragt sich nur, ob dieses im Sinne der Erziehungs- und Bildungsauftrags von Schule ist. Zur Medienkompetenz gehört auch ein schrittweises Heranführen an informationelle Selbstbestimmung. Diese ist ein Grundrecht und auch von Kindern und Jugendlichen. Selbst wenn Eltern eines Grundschulkindes in seine Teilnahme an einer wissenschaftlichen Befragung eingewilligt haben, hat dieses Kind in Ausübung seines Rechtes auf informationelle Selbstbestimmung jederzeit die Möglichkeit, die Teilnahme zu verweigern oder abzubrechen. Und so sollte man auch Einwilligungen, ob es nur um das Foto für die Schulhomepage geht oder die Nutzung bzw. Anmeldung an einem schulischeigenen Moodle, Schülern überlassen, sobald sie über eine ausreichende Einwilligungsfähigkeit verfügen.

 

 

 

 

 

„Auswirkungen der DS-GVO auf die Einwilligungsfähigkeit von Schülern“ weiterlesen