Datenschutz an Schulen

Voller DSGVO-Pflichtenkatalog ohne Entlastung der Lehrkräfte

Ob eine Schule ihre datenschutzrechtlichen Pflichten erfüllen kann, ist meist keine Frage des Wissens, sondern der verfügbaren Zeit.

Eine Schule führt Schülerakten über Jahre, verarbeitet Gesundheitsdaten Minderjähriger und lässt den Unterricht über Plattformen laufen. Damit gelten für sie dieselben Pflichten wie für ein Unternehmen mit demselben Datenbestand. Eine öffentliche Schule benennt nach Art. 37 Abs. 1 Buchst. a DSGVO ausnahmslos eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten. Für eine Schule in freier Trägerschaft greift § 38 Abs. 1 BDSG ab zwanzig Personen, die ständig mit automatisierter Verarbeitung befasst sind.

Zwar kennen die Schulen ihre Pflicht, einen Datenschutzbeauftragten oder eine Datenschutzbeauftragte zu bestellen, aber die Lehrkräfte fühlen sich fachlich und zeitlich überfordert. Der Versuch einer Schule, diese Aufgabe mit einer neuen Planstelle zu koppeln, wurde vom RLSB unterbunden.

Mit der Benennung allein ist es nicht getan. Art. 38 Abs. 2 DSGVO verlangt die Bereitstellung der Ressourcen, die zur Erfüllung der Aufgaben notwendig sind. Wo es daran fehlt, bleibt die Benennung ein formaler Akt ohne praktische Wirkung.

Die Aufsicht wartet nicht auf einen Anlass

Wann eine Schule mit einer Prüfung zu rechnen hat, hängt nicht davon ab, ob sich jemand beschwert hat. Art. 58 Abs. 1 Buchst. b DSGVO gestattet der Aufsichtsbehörde Untersuchungen in Form von Datenschutzüberprüfungen, ohne dass ein Vorfall vorausgesetzt wäre.

2022 hat die Landesbeauftragte für den Datenschutz Niedersachsen fünfzig zufällig ausgewählte Schulen angeschrieben. 2023 kamen vier Prüfungen vor Ort hinzu.

Die Behörde hat angekündigt, den Einsatz intelligenter Tutorensysteme gesondert zu prüfen. Wer heute eine Lernplattform um ein Diagnosewerkzeug ergänzt, sollte die Unterlagen dafür bereithalten.

Was ein Verstoß kostet, hängt an der Trägerschaft

Ob am Ende ein Bußgeld steht, entscheidet sich nicht an der Schwere des Verstoßes, sondern zuerst daran, wer die Schule betreibt.

Für die öffentliche Schule folgt daraus keine Entwarnung. Eine Untersagung nach Art. 58 Abs. 2 Buchst. f DSGVO trifft eine Lernplattform mitten im Schuljahr genauso wie jedes andere Verfahren.

Die Fragen, die an einer Schule tatsächlich auftauchen

Welche der eigenen Verarbeitungen die riskante ist, lässt sich von innen schwer beurteilen. Bearbeitet wird meistens die, die gerade drängt.

Drei Verarbeitungen verdienen im Schulbereich besondere Aufmerksamkeit. Für Lernplattformen verlangt § 31 Abs. 5 NSchG neben der datenschutzrechtlichen Zulässigkeit die Zustimmung der Schulleitung. Die Verarbeitung von Schülerdaten durch einen zentralen Auftragsverarbeiter wird von der Aufsicht als eigener folgenabschätzungspflichtiger Vorgang behandelt. Gesundheitsdaten dürfen nach § 31 Abs. 10 NSchG nur für die dort abschließend genannten Zwecke verarbeitet werden. Zugleich begrenzt § 31 Abs. 7 NSchG die Datenübermittlung bei einem Schulwechsel auf die Kerndaten. In der Praxis fand die Aufsicht jedoch Schülerakten vor, die weit darüber hinausgingen und vollständige Grundschulakten einschließlich der Schuleingangsuntersuchungen enthielten.

So unterstützen wir Sie an Ihrer Schule

Die passende Lösung richtet sich nach dem tatsächlichen Bedarf. Ist Zeit der Engpass, übernehmen wir die Aufgaben der oder des Datenschutzbeauftragten von außen. Fehlt die Übersicht, schaffen wir sie durch ein Audit mit schriftlichem Ergebnis und einer Priorisierung der Handlungsfelder. Steht lediglich eine konkrete Entscheidung an, etwa vor der Einführung einer Lernplattform, genügt oft eine gezielte datenschutzrechtliche Bewertung im laufenden Betrieb.