Illustrationen: Getty Images, jesadaphorn
3 FRAGEN zum Datenschutz an Schulen
In Sachen Datenschutz fühlen sich manche Lehrkräfte unsicher. Was muss unbedingt, was darf auf keinen Fall gemacht werden, um hier rechtssicher zu agieren. Der Bundesvorsitzende des Arbeitskreises „Datenschutz und Bildung“, Dr. Lutz Hasse, gibt Auskunft.
Frage 1: Welche Daten und Informationen kann eine Lehrkraft problemlos den Eltern per E-Mail mitteilen, welche keinesfalls?
Eine Lehrkraft darf personenbezogene Daten, die in einem dienstlichen Zusammenhang stehen, – beispielsweise den Leistungsstand – per E-Mail an Schülerinnen und Schüler oder deren Eltern nicht ohne Verschlüsselung versenden. Auf eine Abstufung nach der Sensibilität der Daten kommt es hier nicht an. Informationen, etwa eine Einladung zum nächsten Schulfest, die keine personenbezogenen Daten enthalten, dürfen dann per E-Mail versendet werden, wenn die Adressaten zuvor in die Verwendung ihrer E-Mail-Adressen eingewilligt haben. Personenbezogene Daten, die mit einem anerkannten Verschlüsselungsverfahren (wie S/MIME oder Open PGP) verschlüsselt werden, dürfen mit Einwilligung der Eltern oder Schülerinnen und Schüler von der Schule übermittelt werden. Wegen der in Art. 7 Abs. 1 der Datenschutz- Grundverordnung (DSGVO) geforderten Nachweispflicht der Schule sollte die Einwilligung in schriftlicher Form eingeholt werden.
Frage 2: Wie lange dürfen Lehrkräfte auf ihren privaten Rechnern personenbezogene Daten von Schülerinnen und Schülern zu dienstlichen Zwecken speichern?
Eine einheitliche Antwort, die die Regelungen aller Bundesländer in diesem Bereich berücksichtigt, ist leider nicht möglich. Es kommt auf den konkreten Fall an. In Thüringen dürfen Lehrkräfte bei der Speicherung und der automatisierten Verarbeitung personenbezogener Daten von Schülerinnen und Schülern auch private Rechner verwenden, wenn durch besondere Sicherungsmaßnahmen gewährleistet ist, dass ausschließlich sie selbst Zugang zu diesen Daten haben. Auf Verlangen des Schulleiters, eines Bediensteten der unteren Schulaufsichtsbehörde oder des Landesbeauftragten für den Datenschutz und die Informationsfreiheit sind diese Sicherungsmaßnahmen nachzuweisen. Personenbezogene Daten sind zu löschen, sobald ihre Kenntnis für die Lehrkraft zur Erfüllung ihrer Aufgaben nicht mehr erforderlich ist.
Frage 3: An wen wendet sich eine Schule, wenn es konkrete Fragen zum Datenschutz gibt?
Fragen zum Datenschutz der Schule werden von der oder dem schuleigenen Beauftragten beantwortet. Dieser muss vom Verantwortlichen – in den meisten Bundesländern ist dies die Schule oder eine vorgesetzte Behörde, wie das Staatliche Schulamt oder das für Schulangelegenheiten zuständige Ministerium – bestellt werden und berät den Verantwortlichen gemäß Art. 39 Abs. 1 Buchst. a der DSGVO zu den Aufgaben im Datenschutz.
Die Fragen beantwortete Dr. Lutz Hasse, der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), in Abstimmung mit dem Arbeitskreis Datenschutz und Bildung.
