Digitalisierung und die DSGVO – Datenschutz in der Schule

Fachbeitrag

Wenn sich Ende August die Sommerferien fast überall hierzulande dem Ende neigen, bricht reges Treiben in den Bildungsanstalten aus. Wie jedes Jahr werden die Schüler mit allerlei Informationen überhäuft und die Eltern dürfen sich auf Willkommensveranstaltungen anhören, warum dieses Jahr endlich alles planmäßig verlaufen wird. Dabei spielt auch der Datenschutz eine besondere Rolle.

Daten ohne Ende

Schulen sind immer schon ein Sammelsurium von personenbezogenen Daten gewesen. Hier werden Daten von Schülern, Lehrkräften und anderen Beschäftigten und natürlich von den Erziehungsberechtigten verarbeitet. Zu diesen Daten gehören Namen, Adressen, Wohnverhältnisse und natürlich Leistungsdaten wie z. B. Zeugnisnoten. Hinzu kommen im Regelfall auch deutlich sensiblere Daten wie Angaben zum Gesundheitszustand eines Schülers oder dessen Religionszugehörigkeit.

Dass Deutschland in Sachen Digitalisierung vielen Teilen der Welt hinterherhinkt, ist wahrlich keine Neuigkeit. Dies hat sich seit Beginn der Corona-Pandemie besonders deutlich im Schulwesen gezeigt. Als die Schüler Mitte März dieses Jahr quasi von heute auf morgen zu Hause beschult werden mussten, waren Lehrer und Schüler gleichermaßen überfordert. Dies ist hier nicht als Kritik an den genannten Personengruppen zu verstehen, sondern lag schlicht und einfach daran, dass eine moderne, digitale Ausrüstung in den meisten Schulen dieses Landes praktisch nicht vorhanden war.

Fotos nur mit Einwilligung – oder?

Ein Klassiker ist stets die Frage, ob und wann Fotos von Schülern angefertigt oder sogar veröffentlicht werden dürfen. Dieses Problem hat sich durch das Inkrafttreten der DSGVO noch einmal verschärft. Die DSGVO hat, das lässt sich nach nunmehr über zwei Jahren feststellen, das Thema Datenschutz deutlich mehr in den Fokus der Bevölkerung gerückt. Allerdings hat die DSGVO auf Grund der scheinbar härteren Regelungen auch ein Stück weit für Verunsicherung gesorgt. Dies hat sich beispielsweise in dem Fall einer katholischen Kindertagesstätte in Dormagen gezeigt, als eine übereifrige Mitarbeiterin der Kita in einem Erinnerungsbuch nahezu sämtliche Schülerfotos geschwärzt hatte.

Die Rechtslage ist in der Tat etwas schwammig. Neben dem Allheilmittel Einwilligung kommt als Rechtsgrundlage auch das berechtigte Interesse bei der Anfertigung von Bildern, zum Beispiel für Klassenfotos, in Betracht. Wann ein berechtigtes Interesse im Sinne des Art. 6 Abs. 1 lit. f DSGVO vorliegt, ist immer am Einzelfall zu messen. Zu berücksichtigen ist auch, dass der Großteil der Schüler minderjährig ist und somit einem besonderen Schutz unterliegt. Das Anfertigen und Veröffentlichen von Schülerfotos für ein Jahrbuch oder einen Erinnerungsband dürfte im Regelfall auf das berechtigte Interesse gestützt werden können, da dies vom Erziehungsauftrag der Schule gedeckt ist. Anderenfalls bleibt nur die Einwilligung, welche dann ggf. von den Erziehungsberechtigten des betroffenen Schülers eingeholt werden muss.

Schülerfotos auf der Website

Anders sieht das zumeist bei Fotos aus, welche die Schule auf ihrer eigenen Website veröffentlichen möchte. Diese richtet sich im Gegensatz zum Jahrbuch an einen unbestimmten Personenkreis, so dass die Reichweite hier deutlich größer ist. Hier dürfte ein berechtigtes Interesse der Schule an der Veröffentlichung nur schwer zu begründen sein, weil die Schule ihren Bildungsauftrag sicherlich auch ohne Fotos von minderjährigen Schülern auf der Website erfüllen kann, so dass hier tatsächlich nur die Einwilligung eine taugliche Rechtsgrundlage darstellt.

Wie genau muss solch eine Einwilligung eigentlich aussehen? Können Eltern gleich zu Beginn des Schuljahres eine Art „Generaleinwilligung“ für alle möglichen Formen von Bildern ihrer Kinder unterschreiben? Nein! Denn personenbezogene Daten dürfen gemäß Art. 5 Abs. 1 lit. b DSGVO nur

„für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden […].“

Daraus folgt, dass der Zweck der Datenverarbeitung, auch im Rahmen einer Einwilligung, so genau wie möglich angegeben werden muss. Eine „Blankovollmacht“ für sämtliche Fotos, die im Laufe eines Schullebens angefertigt werden könnten, soll auf diese Weise vermieden werden.

Ohne Klassenliste geht es nicht

Viele Eltern kennen das Problem: Das eigene Kind hat wieder einmal die Hausaufgaben nicht notiert. Wie war nochmal die Adresse oder die Telefonnummer der Eltern des Klassenkameraden? Dort könnte man ja eben mal nachfragen. Gut, dass es die Klassenliste gibt! Aber ist das überhaupt zulässig?

Was in grauer Vorzeit, also als mit dem Wort Datenschutz nur wenige etwas anfangen konnten, noch ganz normal war, ist aus datenschutzrechtlicher Sicht kritisch zu beurteilen. Eine Klassenliste mag praktisch sein, aber will man als Elternteil wirklich, dass alle anderen Eltern über die Daten verfügen? Was ist bei getrenntlebenden Eltern, die dies aber nicht nach außen offenbaren wollen? Hier wird deutlich, dass selbst eine scheinbar simple Klassenliste deutlich mehr in das Privatleben der Beteiligten eingreifen kann, als dies vielen bewusst ist. In jedem Fall sollte von jedem betroffenen Elternteil eine wirksame Einwilligung eingeholt werden, bevor die Daten innerhalb der Erziehungsberechtigten weitergegeben werden.

Auch für Lehrkräfte ist eine Klassenliste sehr praktisch. Solange diese die Daten selber zusammenstellen und nur im Rahmen ihres Unterrichts verwenden, dürfte es aus datenschutzrechtlicher Sicht keine Probleme geben. Schließlich handelt es sich im Regelfall um genau die Daten, welche ohnehin durch die Schule als Verantwortliche und zudem (auch) für diesen Zweck erhoben worden sind.

Die Digitalisierung schreitet voran

Da deutsche Schulen langsam, aber stetig immer digitaler werden, sehen sich Lehrer und Schüler großen datenschutzrechtliche Herausforderungen ausgesetzt. Spätestens seit Beginn der Corona-Krise haben Online-Lernangebote den Markt überflutet. Aber aufgepasst: Gegen Ende des vergangenen Schuljahres hatte der thüringische Landesdatenschutzbeauftragte, Dr. Lutz Hasse, angekündigt, mögliche datenschutzrechtliche Verstöße von Lehrkräften prüfen und verfolgen zu wollen. Diese Ankündigung wurde in der Öffentlichkeit zwar kontrovers, aber eher mit Unverständnis in Richtung des Landesdatenschutzbeauftragten diskutiert.

Das Bewusstsein, dass im Bereich Digitalisierung noch viel zu tun ist, scheint sich nun immer mehr durchzusetzen. In Nordrhein-Westfalen zum Beispiel hat die Landesregierung im Juli dieses Jahres ein Programm zur Sofortausstattung von Schülern mit digitalen Endgeräten aufgelegt. Damit will das Land herausfinden, wie hoch der tatsächliche Bedarf an Endgeräten im Falle einer erneuten Schulschließung tatsächlich ist.

Digitale (Lern-)Plattformen

Neben digitalen Lernplattformen können auch andere personenbezogenen Daten von Schülern inzwischen digital verarbeitet werden. Einige Schulen nutzen z. B. bereits Apps und andere Tools, mit welchen Fehlzeiten, Krankheitstage oder Vorfälle im Unterricht festgehalten werden können. Dieses sogenannte „digitale Klassenbuch“ erfreut sich immer größerer Beliebtheit.

Bei sämtlichen Tools ist natürlich darauf zu achten, dass diese mit den Vorgaben der DSGVO in Einklang stehen, insbesondere hinsichtlich der technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO. Auch wird im Regelfall eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO notwendig sein. Zudem ist darauf zu achten, ob die personenbezogenen Daten möglicherweise in ein Drittland transferiert werden. Viele Anbieter dieser Lernplattformen haben ihren Sitz in den USA und verarbeiten daher die personenbezogenen Daten außerhalb der EU. Beispielhaft sei hier die derzeit sowohl bei Lehrkräften als auch bei Schülern beliebte Plattform Padlet genannt. Hier sollte gerade im Hinblick auf die jüngste Entscheidung des EuGH zum Privacy Shield die Auswahl ganz besonders sorgfältig erfolgen.

Weitere Artikel zum Thema

In der Vergangenheit haben wir in unserem Blog schon mehrfach zum Thema berichtet. Eine Auswahl von unseren Beiträgen finden Sie hier:
intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

Externer Datenschutzbeauftragter

6 Kommentare zu diesem Beitrag

  1. Hallo Herr Schewior,
    meines Wissens nach gilt der Artikel 6, Abs.1,lit f) DSGVO nicht für Behörden, wozu auch die Schule zählt. Für das Beispiel Klassenfoto bliebt somit nur die Einwilligung als Rechtsgrundlage.

    • Vielen Dank für Ihren Kommentar. Es ist zutreffend, dass Art. 6 Abs. 1 lit. f DSGVO für Behörden nicht gilt, wenn die Datenverarbeitung in Erfüllung ihrer Aufgaben vorgenommen wird. Hier ist unserer Ansicht nach entscheidend, inwiefern die Schule beim Anfertigen von Schülerfotos ihrer Kerntätigkeit, also dem Erfüllen ihres Bildungsauftrags, nachkommt. Insofern kann man die Anwendung des Art. 6 Abs. 1 lit. f DSGVO zumindest diskutieren. Im Zweifelsfall kann hier sicherlich die Einwilligung die bessere Rechtsgrundlage darstellen.

  2. Hallo, zunächst zur Frage oben: Art 6 Abs 1 lit f DSGVO muss wohl so ausgelegt werden, dass nur für hoheitliche Tätigkeiten keine bereichtigten Interessen als Rechtmäßigkeitstatbestand in Frage kommen. Für andere – privatwirtschaftliche Tätigkeiten – gerade an Schulen kommt relativ unstrittitg auch ein berechtigtes Interesse in Betracht.

    Nicht nachvollziehen kann ich die Aussage, dass ein berechtigtes Interesse an Schülerfotos auf der Homepage ausscheiden muss. Die Argumentation, dass der Bildungsauftrag auch ohne Fotos erfüllt werden kann, ist irreführend. Tatsächlich kann der Zweck der Verarbeitung auch die Öffentlichkeitsarbeit und die Darstellung der Tätigkeit und der Lehrmethoden des Verantwortlichen in der Öffentlichkeit sein. Aus dem Datenschutzrecht ergeben sich keine Beschränkungen von Verarbeitungen auf die bloße Erfüllung des Bildungsauftrags (möglicherweise aus anderen Rechtsbereichen).
    Kern des berechtigten Interesses ist die Interessenabwägung (balance test). Hierbei sind die allgemeinen Regeln anwendbar. Bei entsprechender Ausgestaltung des Prozesses (klare Information, keine Portraitaufnahmen etc) lässt sich nach meiner Ansicht sogar sehr oft ein berechtigtes Interesse begründen.

    Liebe Grüße,
    Johannes Warter

    • Es kommt hier wie so oft im Datenschutzrecht auf die Details im Einzelfall an. Sicherlich wäre ein Portrait-Foto eines Schülers anders zu beurteilen als ein Foto, auf welchem ein Schüler, eventuell noch mit anderen, eher eine Art Beiwerk des Gesamtbildes darstellt. Hier sollte auf jeden Fall eine sehr genaue Abwägung vorgenommen werden.

  3. Mit Ihrem Kommentar bzgl. Klassenliste bin ich nicht ganz einverstanden. Es gibt einen Weg ohne formalen Datenschutz: Wird die Klassenliste von einer Privatperson innerhalb des Kreises der Eltern zusammengestellt (ohne Initiierung des Lehrkörpers) ist das eine Privatveranstaltung, die so nicht dem Datenschutz unterliegt, außerdem gibt ja jeder seine Daten (die er möchte) freiwillig in die Liste. Trotzdem füge ich der Liste immer einen Kommentar bei, dass die Liste nur für Zwecke innerhalb der Klassengemeinschaft verwendet werden darf (und nicht an Dritte weitergegeben oder gar veräußert werden darf).

    • Vielen Dank für Ihren Kommentar. Im Grunde haben Sie Ihre Frage bzw. Anmerkung selbst beantwortet. Wenn die Eltern eigenständig eine Liste mit den Kontaktdaten erstellen, sind datenschutzrechtliche Vorschriften in der Regel nicht anwendbar. In dem Beitrag geht es allerdings um eine Klassenliste, welche im (datenschutzrechtlichen) Verantwortungsbereich der Schule erstellt wird. Insofern kann man beide Sachverhalte nicht miteinander vergleichen.

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.