Personenbezogene Daten mal eben löschen – was ist zu beachten?

Lesezeit: < 1 Minute

In Schule ist ganz klar geregelt, was mit personenbezogenen Daten zu geschehen hat, wenn die Person, welche sie betreffen, die Schule verlassen hat und die Aufbewahrungsfristen abgelaufen sind. Für einige Daten ist dieser Zeitpunkt recht früh erreicht, bei Schülern sind beispielsweise die ersten Daten nach fünf Jahren fällig, bei Lehrkräften sogar schon nach nur einem Jahr1Siehe dazu VO-DV I & VO-DV II jeweils §9. Viele Personen haben dann nur noch zwei Begriffe im Kopf, Löschen und Vernichten.

So einfach ist es jedoch nicht, denn es gibt auch eine Pflicht, die Daten der Schule einem Archiv anzubieten. Der Themenbeitrag AUFBEWAHRUNGSFRIST ABGELAUFEN – UND JETZT? setzt sich intensiver mit dem Thema auseinander und erklärt, worauf man achten sollte.

Aufbewahrungsfrist abgelaufen – und jetzt?

Lesezeit: 3 Minuten

Ein Grundsatz der Datenschutz Grundverordnung ist die Datenminimierung. Art. 5 Abs. 1 lit c DS-GVO gibt vor, dass personenbezogene Daten

„auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“

müssen. Der Zeitraum der Aufbewahrung muss auf das

„unbedingt erforderliche Mindestmaß beschränkt“

bleiben1Erwägungsgrund 39 Satz 8 DS-GVODies erfordert insbesondere, dass die Speicherfrist für personenbezogene Daten auf das unbedingt erforderliche Mindestmaß beschränkt bleibt..

Das gilt entsprechend auch für öffentliche Stellen wie Schulen. Für Schulen in NRW sind die Aufbewahrungsfristen durch die VO-DV I § 9 (Schüler) und VO-DV II § 9 (Lehrkräfte) geregelt. Die Aufbewahrungsfristen betragen je nach Datenart zwischen 1 und 50 Jahren.2Die rechtlichen Hintergründe für die unterschiedlichen Aufbewahrungsfristen sind verschieden. Sie sind gesetzlich vorgegeben und haben mit den Rechenschaftspflichten der Schulen zu tun wie auch der Nachweisbarkeit vergebener Berechtigungen oder der Verpflichtung beglaubigte Kopien oder Bescheinigungen über Schulzeiten zu erstellen.

Für die personenbezogenen Daten von Lehrkräften gilt laut VO-DV II § 9 Abs. 4

„Akten und Dateien, deren Aufbewahrungsfristen abgelaufen sind, sind dem zuständigen Archiv zur Übernahme anzubieten. Erfolgt keine Übernahme der Akten oder Dateien durch das Archiv, sind sie zu vernichten oder zu löschen.“

Bei Schülern ist der Wortlaut von VO-DV I unter §9 Abs. 3 nahezu identisch. Es gibt jedoch einen bedeutenden Unterschied. Die auf privaten Endgeräten von Lehrkräften verarbeiteten personenbezogenen Daten aus der Schule sind nach § 2 Abs. 2 VO-DV I von der Vorgabe, sie zunächst dem Archiv anzubieten, ausgenommen.

Betroffen von dieser Regelung sind hier also, von der einen Ausnahme abgesehen, alle personenbezogenen Daten, auch die besonderen Kategorien, ohne Unterschied.

Mal eben löschen bzw. schreddern ist nicht

In der Praxis bedeutet dieses, einfach mal die Dateien löschen bzw. die Akten schreddern, sobald die in den VO-DV I & II vorgegebenen Fristen abgelaufen sind, ist nicht zulässig. Der Grundsatz „sind dem zuständigen Archiv zur Übernahme anzubieten“ ist keine Option, sondern eine verbindliche Vorgabe.

Dem Archiv anbieten

Zwischen jeder Schule und dem zuständigen Archiv bzw. den kommunalen Schulverwaltungsämtern von Gemeinde, Stadt oder Kreis sollte es eine Absprache geben,

  • welche Dateien und Akten man dort aufbewahren möchte und
  • wie und wann jeweils die Übernahme erfolgen soll.

Dieses sollte einmalig abgesprochen, schriftlich fixiert werden und Bestandteil des schulischen Löschkonzeptes sein, sofern es ein solches gibt3Ein Löschkonzept ist von der DS-GVO nicht vorgeschrieben. Es ist jedoch sinnvoll, um die Abläufe und Zuständigkeiten bezüglich der Löschung und Vernichtung von Dateien und Akten zu regeln.4Je nachdem welche personenbezogenen Daten regelmäßig vom Archiv übernommen werden, sollte das Archiv auch im Verzeichnis der Verarbeitungstätigkeiten bei der jeweiligen Verarbeitungstätigkeit als externer Empfänger aufgeführt werden.. Welche personenbezogenen Daten einem Archiv als wertvoll für eine Übernahme erscheinen, wird von Archiv zu Archiv unterschiedlich sein und von Personen und Ressourcen abhängen. Während manche Archive sich auf Abgangszeugnisse und Klassenbücher beschränken mögen, könnten andere vielleicht auch Interesse an Fördergutachten und anderen besonderen Datenkategorien haben. Es geht hier also um eine kontinuierliche Übernahme von Unterlagen durch die Archive aus den Schulen und keine einmalige Angelegenheit.

Archive sind bei der Verarbeitung der von Schulen übernommenen personenbezogenen Daten strengen Vorgaben zum Schutz dieser Daten unterworfen.5Siehe dazu DS-GVO Art. 5 Abs. 1 lit. b, e und Art. 89 .

In vielen Schulen werden Dateien und Akten vermutlich nach Ablauf der Aufbewahrungsfrist einfach gelöscht bzw. vernichtet. Das kann je nach Inhalten weder im öffentlichen Interesse liegen noch hilfreich für zukünftige historische oder wissenschaftliche Forschung sein. Was, wenn unter den eigenen Schülern eine Person ist, die in der Zukunft historische Bedeutung erlangt, ob als Politiker, Künstler, Wissenschaftler oder sonst? Auch für zukünftige Forschungsarbeiten zur Veränderung von Schule und Bildung oder vielleicht zur Entwicklung von sonderpädagogischem Unterricht in Regelschulen könnten personenbezogene Daten aus der Schule von Bedeutung sein.

Drei Schritte

Für die Praxis des Umgangs mit personenbezogenen Daten von Schülern und Lehrkräften bedeutet das nach deren Abgang von der Schule bzw. Ausscheiden aus dem Dienst an der Schule drei Schritte in der weiteren Verarbeitung dieser Daten.

  1. Aufbewahrung bis zum Ende der Aufbewahrungsfrist
  2. Aussonderung für Übernahme durch ein Archiv oder
  3. endgültige Löschung bzw. Vernichtung6Bitte achten Sie an Ihrer Schule für eine sachgerechte Löschung von Daten bzw. Vernichtung von Akten. Schulträger haben in der Regel Verträge mit entsprechenden Firmen für die Vernichtung von Akten. Bei größeren Mengen von Akten sollten diese Dienste genutzt werden. Die Löschung von Daten sollte bei größeren Mengen von Daten eventuell von einem Fachmann vorgenommen werden. Bei der Löschung sind auch Datensicherungen zu berücksichtigen.

Für die Schulchronik verwenden

In §9 Abs. 4 VO-DV I (Schüler) und in §9 Abs. 5 VO-DV II (Lehrer) ist geregelt, welche personenbezogenen Daten von Schülern und Lehrkräften zur Führung einer Schulchronik (Daten zur Schulgeschichte) zeitlich unbefristet verwendet werden dürfen.7Möchte man die für die Schulchronik zugelassenen personenbezogenen Daten der Betroffenen mit Fotos ergänzen, braucht es dazu eine entsprechende rechtswirksame Einwilligung dieser Personen.
Bitte beachten Sie außerdem, dass eine Schulchronik auch mit den dafür zugelassenen personenbezogenen Daten nicht ohne Einwilligung der Betroffenen im Internet veröffentlicht werden kann.

  1. Name, Geburtsname, Vorname, Geschlecht,
  2.  Geburtsdatum, Geburtsort, Geburtsland,
  3. Anschrift,
  4. Daten über die Dauer des Besuchs der Schule (Schüler) bzw.
    Daten über Art und Dauer der Beschäftigung an der Schule (Lehrkräfte).

Schulen in Auflösung

Die Vorgaben, „Akten und Dateien, deren Aufbewahrungsfristen abgelaufen sind, sind dem zuständigen Archiv zur Übernahme anzubieten“, gilt auch für Schulen in Auflösung. Wird eine Schule aufgelöst, müssen die Vorgaben der VO-DV I & II zu Aufbewahrungs- und Löschfristen weiterhin eingehalten werden. Wenn es keine Regelung mit einer Nachfolgeschule gibt, welche den Datenbestand übernimmt und für die Einhaltung der diese betreffenden rechtlichen Vorgaben sorgt, geht der komplette Datenbestand in Absprache mit dem Schulträger an das zuständige Archiv. Mitunter gibt es auch Mischlösungen, bei welchen die Nachfolgeschule nur die Datenbestände übernimmt, welche zum Erstellen von Zweitschriften von Zeugnissen und Bescheinigungen über Schulzeiten erforderlich sind, und der Rest vom Archiv übernommen wird.

Löschen mit Konzept

Da das Thema Aufbewahren und Löschen sehr komplex ist, sollte jede Schule ein Löschkonzept haben, in welchem klar und übersichtlich geregelt ist, welche Daten wie lange aufzubewahren sind, welche Daten dem örtlichen Archiv übergeben werden, wie verschiedene Daten gelöscht bzw. vernichtet werden und wer in Bezug auf die verschiedenen Prozesse im Zusammenhang mit den anfallenden Tätigkeiten zuständig ist. Die Vorlage bietet eine Grundlage für die Erstellung eine eigenen Löschkonzeptes.

Nachlesen

Wer sich intensiver mit der Thematik der Übernahme von Daten aus der Schule an Archive beschäftigen möchte, dem sei der Fachbeitrag „Zuständigkeiten, Aufbewahrungsfristen, Kontaktpflege – Vorfeldarbeit als Garant für eine strukturierte Überlieferungsbildung im Bereich Schulen.pdf“ empfohlen. Es geht, wie man dort nachliest, nicht nur um personenbezogenen Daten aus der Schule. Auch andere Daten, etwa zur Budetierung, sind für Archive von Interesse. Entsprechende Regelungen finden sich im Archivgesetz Nordrhein-Westfalen – ArchivG NRW8Dort heißt es entsprechend in
§ 4
Anbietung und Übernahme
(1) Die Behörden, Gerichte und sonstigen Stellen des Landes haben dem Landesarchiv alle Unterlagen zur Übernahme anzubieten, die sie zur Erfüllung ihrer Aufgaben nicht mehr benötigen. Die Anbietung erfolgt grundsätzlich nach Ablauf der Verwahrungs- bzw. Aufbewahrungsfristen.
.

Wer sich intensiver mit dem Thema Löschen mit Konzept auseinandersetzen möchte, dem sei die frei einsehbare Entwurfsfassung der DIN 66398 empfohlen, die unter Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten.pdf zu finden ist.

Welche Löschfristen gelten für personenbezogene Daten auf einem dienstlichen USB Stick?

Lesezeit: 2 Minuten

Nach Lektüre meines Themen Beitrags USB Sticks und Datensicherheit, in welchem erklärt wird, welche Möglichkeiten es gibt, USB Sticks so zu sichern, dass die Vertraulichkeit der darauf gespeicherten personenbezogenen Daten gewährleistet ist, stellte sich ein Leser die Frage, wie es mit den Löschfristen der auf einem dienstlichen USB Stick gespeicherten personenbezogenen Daten aus der Schule aussieht.

„Bei einem privaten Endgerät beträgt die Löschfrist ein Jahr zum Ende des Kalenderjahres. Ändert sich etwas, wenn die Schule den Kolleginnen und Kollegen einen schulischen USB-Stick zur Verfügung stellt? Gilt dann die 5 Jahresfrist?“

Die VO-DV I legt unter §9 Abs. 2 für die Aufbewahrung und Löschung von auf privaten Endgeräten von Lehrkräften gespeicherte personenbezogene Daten aus der Schule gesonderte Fristen fest, die deutlich kürzer sind als die für Computer in der Schule.

„(2) Sind die Daten nach Absatz 1 in öffentlichen ADV-Anlagen oder auf Datenträgern gespeichert, gelten die Aufbewahrungsfristen entsprechend. Für in privaten ADV-Anlagen gespeicherte Daten (§ 2 Abs. 2) beträgt die Aufbewahrungsfrist ein Jahr. Sie beginnt abweichend von Absatz 1 mit Ablauf des Kalenderjahres, in dem die Schülerin oder der Schüler von der Lehrerin oder dem Lehrer nicht mehr unterrichtet wird.“

Die Frage ist nun also, fallen von der Schule bereitgestellte, dienstliche USB Sticks unter Datenträger im Sinne von §9 Abs. 2 oder muss man sie doch eher wie private ADV-Anlagen betrachten?

  • Richtet man sich nach dem Wortlaut der VO-DV I (grammatikalische Auslegung), gilt die Regel mit der Löschfrist nach einem Jahr ab Ablauf des Kalenderjahres eindeutig nur für private Endgeräte. Ein von der Schule zur Verfügung gestellter USB Stick fiele demnach nicht unter diese Regelung und wäre gleichzubehandeln mit einem Datenträger, wie im ersten Satz von §9 Abs. 2 genannt. Entsprechend würden hier dann auch die dafür geltenden Löschfristen zutreffen.
  • Man könnte die Sache allerdings auch dem Sinn und Zweck nach betrachten (teleologische Auslegung). Wenn man also zu dem Schluss kommt, der dienstlich bereitgestellte USB Stick wird vom Charakter her wie ein privater USB Stick genutzt, dann müsste der USB Stick wie ein Privatgerät behandelt werden und entsprechend die einjährige Löschfrist gelten.

Eine gleiche Fragestellung würde sich auch für Dienstgeräte ergeben und die Löschfristen dort. Persönlich würde ich eher zur grammatikalischen Auslegung tendieren.

Käme es zu einem Streitfall, würde man entsprechend argumentieren. Das sollte vor Gericht ausreichen.

Man sollte die Frage bezüglich der Löschfristen sicher auch noch unter dem Gesichtspunkt der Datenminimierung betrachten. Ist es erforderlich, dass auf einem USB Stick personenbezogene Daten von Schülern gespeichert sind, die eine Lehrkraft das letzte Mal zwei Jahren zuvor unterrichtet hat? Diese Frage kann man in der Mehrheit der Fälle wohl verneinen. Und es bliebe der Lehrkraft immer noch die Möglichkeit, die Daten in der Schule in einem ihr zugewiesenen Verzeichnis im Verwaltungsnetz abzulegen.

Gelten Löschfristen für Schüler- & Lehrerdaten auch für Schild-NRW?

Lesezeit: 2 Minuten

Schild-NRW ist ein Schulverwaltungsprogramm und es basiert auf einer Datenbanklösung. Jahr für Jahr werden neue Schüler mit den personenbezogenen Daten in das Programm eingepflegt, die früher nur auf dem Schülerstammblatt eingetragen waren. Leistungsdaten kommen zu den Halbjahreswechseln zur Erstellung der Zeugnisse hinzu. Jahr für Jahr wird ein Schuljahreswechsel durchgeführt. Schüler, welche die Schule verlassen, werden entsprechend markiert und verschwinden in den Tiefen der Datenbank.

In der Schulgesetzgebung sind Löschfristen für Schülerdaten (§ 9 Abs. 1 und 2 VO-DV I) und Lehrerdaten (§ 9 VO-DV II) vorgegeben.

Bei Text Dateien sind diese Löschfristen einfach einzuhalten. Baut man auf dem Verwaltungsserver ein Dateisystem mit Jahresbezeichnungen auf, kann man leicht sehen, wann welche Dateien zur Löschung fällig sind, ob es sich um PDF Kopien von Zeugnissen handelt oder Beurteilungen von Lehrkräften. Wie aber sieht das in der Datenbank von Schild-NRW aus?

Aktuell haben die ältesten Schülerdaten in den Schild-NRW Datenbanken von Schulen die Löschfrist von 20 Jahren für Schülerstammblätter noch nicht erreicht, das das Programm noch nicht einmal so alt ist. Bei Lehrerdaten ist die  maximale Löschfrist von 5 Jahren jedoch schon erreicht.

Im Forum zu Schild-NRW gibt es einen Eintrag, der hoffen lässt. Unter dem Thread „Schild-NRW / Allgemeines / Re: EU-Datenschutzverordnung – Löschen alter Daten?“ heißt es in einer Antwort auf eine entsprechende Frage:

Wir werden auf jeden Fall Funktionen zur Einhaltung der Löschfristen bereitstellen. Wenn man sich die VO-DVI jedoch genau ansieht, dann sind die Löschfristen für bestimmte Daten sehr lang. Schülerstammblätter z.B. 20 Jahre. Unsere Software ist noch gar keine 20 Jahre alt und die beim Schüler hinterlegten Daten werden u.U. alle zum Nachdruck eines Stammblattes benötigt. Aus unserer Sicht ist eine Löschung also noch gar nicht notwendig. Im Sinne der Datensparsamkeit, werden wir aber solche Löschfunktionen früher einführen….

Das klingt gut. Was die Daten der Lehrkräfte angeht, bedeutet es jedoch vorerst noch Handarbeit, wenn man die Daten abgegangener Lehrkräfte nach 5 Jahren fristgerecht löschen will.

Hinweis

Die Löschfristen gelten auch für die angefertigten Sicherungen von Schild-NRW. Da bisher alle jemals erfassten Daten in der Datenbank gespeichert bleiben, müssen Sicherungsdateien, die älter sind als 5 Jahre gelöscht werden, um die darin gespeicherten Lehrerdaten von abgegangenen Lehrkräften fristgerecht zu löschen.