Datenschutz in Schulen: Ein Überblick

von | Jun 16, 2020 | Datenschutz

Datenschutz in Schulen: Ein Überblick

Einleitung

Viele Schulen, insbesondere die dort beschäftigten Lehrer/innen, beschäftigen sich in der derzeitigen Situation rund um die Corona-Krise (COVID-19) mit Fragen des digitalen Schulbetriebes. Trotz erster Schulöffnungen läuft ein wesentlicher Teil des Unterrichts noch immer im Rahmen des sog. „Home-Schoolings“ ab. In diesem Zusammenhang stellen sich Fragen des Datenschutzes, auch in den Medien werden diese Fragen aufgeworfen. Der folgende Beitrag soll einen Überblick über die für den Datenschutz in Schulen relevanten Fragen.

Datenverarbeitung im Schulbetrieb

Während des Schulbetriebes werden verschiedene, personenbezogene Daten verarbeitet. Darunter fallen z.B. die Schulakten, die die Schulen führen müssen, aber auch klassenbezogene Telefonlisten. Dabei werden häufig nicht nur die Daten der Schüler/innen, sondern auch die Daten ihrer Eltern verarbeitet. Dies zeigt, dass Datenschutz in Schulen relevant ist.

Im Zeitalter des Home-Schoolings und des „digitalen Lernens“ kommen noch weitere Daten zusätzlich hinzu. Je nach genutztem Medium ist das die E-Mail-Adresse, aber auch (bei Nutzung von Tools für Videokonferenzen) technische Daten wie die IP-Adresse oder der von den Schüler/innen angegebene Nutzername.

Ebenfalls werden Daten auf schuleigenen Plattformen, wie moodle, verarbeitet.

All diese Daten führen zu einer Verantwortlichkeit im Sinne des Datenschutzrechts für die Schulen, sodass sich auch im Schulbetrieb datenschutzrechtliche Anforderungen ergeben, die erfüllt werden müssen.

Zulässigkeit der Datenverarbeitung: Wann ist eine Einwilligung notwendig?

Schulen als öffentliche Stellen im Sinne des Datenschutzes haben – neben der Einwilligung – eine mögliche Rechtsgrundlage für die Datenverarbeitung.

So dürfen Daten durch Schulen verarbeitet werden, wenn die Verarbeitung „zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist“ (§ 3 BDSG).

Diese sehr weite und auch schwammige Regelung besagt zunächst einmal nichts anderes, als dass jede Datenverarbeitung, die im konkreten Aufgabenbereich der Schule liegt, zulässig ist. Das betrifft z.B. das Führen der Schülerakten. Diese sind (oft in den Landesschulgesetzen) verpflichtend geregelt, sodass eine Schule nicht um die Datenverarbeitung herumkommt.

Aber auch Datenverarbeitungen, die für die Aufrechterhaltung des Schulbetriebes, insbesondere den Unterricht betreffend durchgeführt werden, sind zulässig. Darunter fällt auch das  zur Dokumentation genutzte Klassenbuch. Auch die klassische Telefonliste ist ohne Einwilligung zulässig, da im Zweifel Notfallkontakte benötigt werden.

Im Ergebnis lässt sich also festhalten, dass vieles, was im alltäglichen Schulbetrieb an Daten verarbeitet wird, auch in zulässiger Weise geschieht. Anders wäre es auch nicht praktikabel. Müsste eine Schule zunächst die (wirksame) Einwilligung für die Schüler/innen und auch für ihre Eltern besorgen, wäre der Schulbetrieb lahmgelegt.

Home-Schooling & Co.: Datenschutz und Digitalisierung der Schulen

Doch wie verhält es sich mit digitalen Lehrformen, insbesondere in Zeiten, in denen der normale Schulbetrieb nicht stattfinden kann?

Zunächst einmal gelten auch hier die gleichen Grundsätze: Eine Datenverarbeitung ist dann zulässig, wenn sie in den konkreten Aufgabenbereich einer Schule fällt. Das gilt auch für die digitale Welt. Das bedeutet, dass der Unterricht (wenn auch in eingeschränkten Form) weitergehen muss. Unkritisch ist die Verarbeitung von E-Mail-Adressen, um z.B. Aufgabenblätter zu versenden. Spannend wird es beim Einsatz von Tools für das Abhalten digitaler Schulstunden, da hier noch weitere (Meta-)Daten verarbeitet werden.

Viele Lehrkräfte stellen sich nun die Frage, ob sie diese Tools nutzen dürfen. Auch hier gibt es unterscheidungswürdige Kategorien.

Alle von der Schule selbst angebotenen und betriebenen Anwendungen dürfen von Lehrkräften auch ohne Einwilligung genutzt werden. Darunter fallen Lernplattformen wie moodle. Hat eine Schule auch Tools für Videokonferenzen im eigenen Betrieb implementiert, ist auch diese Nutzung (auch mit privaten Endgeräten) wohl zulässig und bedarf keiner Einwilligung.

Schwieriger wird es, wenn die Schule keinerlei solcher Anwendungen nutzt und den Lehrkräften zur Verfügung stellt. Einige der Lehrkräfte nutzen dann private Accounts. Das ist vor dem Hinblick des Lehrauftrages sicherlich nicht falsch, birgt jedoch auch Risiken aus Sicht des Datenschutzes. Das hat nichts mit einer anderen Datenverarbeitung zu tun (Zoom verarbeitet dieselben Daten, unabhängig davon, wer den Account betreibt), sondern eher mit der Kontrolle durch den Verantwortlichen. Wenn die Schule als Verantwortliche für die Datenverarbeitung einsteht, muss sie auch Kontrolle darüber haben, in welcher Art und Weise Daten verarbeitet werden. Nutzt nun eine Lehrkraft ausschließlich Tools mittels privater Accounts, kann die Schule ihre Aufgabe als Verantwortliche nicht mehr konform ausüben.

Der Lehrkraft bleibt dann nichts anderes übrig, als sich eine wirksame Einwilligung für die Verwendung dieser Tools einzuholen. Eine Zulässigkeit über den Aufgabenbereich der Schule wird sich ansonsten kaum konstruieren lassen.

Außerdem muss, je nach verwendetem Tool, eine Risikoabwägung durchgeführt werden (eine sog. „Datenschutzfolgeabschätzung“). Nutzt die Schule oder eine Lehrkraft ein Tool, dessen Datensicherheit nicht hoch ist, besteht für die Schüler/innen ein erhebliches Risiko, weshalb die (vorherige) Risikoabwägung unumgänglich ist.

Digitale Schule: Unsere Empfehlungen zum Datenschutz in Schulen

Die aufgeworfenen Fragen und Punkte muss eine Schule nicht alleine lösen. Hier hilft der von der Schule verpflichtend zu bestellende Datenschutzbeauftragte weiter. Er steht beratend zur Seite und konzipiert Lösungen für den analogen und digitalen Schulbetrieb. Um die (datenschutzrechtlich) sensiblen Fragen rund um das Home-Schooling zu klären, empfehlen wir Ihnen – neben der Benennung eines qualifizierten Datenschutzbeauftragten – folgende Punkte:

  • Nutzen Sie – sofern vorhanden – die in der Schule bereits verwendeten, digitalen Möglichkeiten. Wenn Ihre Schule also bereits ein Tool für Videokonferenzen nutzt, nutzen auch Sie dieses.
  • Sofern kein Angebot in der Schule vorhanden ist: Sprechen Sie Ihr Vorhaben, ein Tool verwenden zu wollen, vorher ab. Idealerweise nutzen auch weitere Kolleg/innen dasselbe Tool. Die Schule kann Ihnen dann auch schriftlich die Nutzung eines bestimmten Tools bestätigen. So kann die Schule der Aufgabe als Verantwortliche für die Datenverarbeitung nachkommen.
  • Wenn keiner der beiden Punkte realisierbar ist: Verzichten Sie nicht zwingend auf digitale Lehrformen. Achten Sie auf die Datensicherheit der verwendeten Tools (wohin werden Daten übermittelt; erfolgt eine Verschlüsselung; ist das eigene Endgerät auf dem neusten Software-Stand etc.) und holen Sie sich die Einwilligung der Datenverarbeitung vorher ab. Bei minderjährigen Schüler/innen müssen Sie hierfür auch die Eltern ins Boot holen.

Unser Fazit lautet demnach: Die Datenverarbeitung an Schulen ist in den meisten Fällen gesetzlich abgesichert und ohne Einwilligung zulässig. Auch neue, digitale Lehrformate können datenschutzkonform durchgeführt werden, wenn ein paar wichtige Punkte beachtet werden, insbesondere die Gewährleistung der Datensicherheit der verwendeten Anwendungen. Mit Unterstützung der Schule (und idealerweise auch des jeweiligen Bundeslandes, wobei das eher politische Fragen aufwirft) können digitale Lehrformate eingeführt und auch nach Überstehen der jetzigen Ausnahmesituation fortgeführt werden. Den Schüler/innen ist damit sicherlich geholfen.