Datenschutz an Schulen

Dieselben Pflichten wie ein Unternehmen, aber keine Stelle dafür

Ob eine Schule ihre datenschutzrechtlichen Pflichten erfüllen kann, entscheidet sich selten am Wissen und meistens an der verfügbaren Zeit.

Eine Schule führt Schülerakten über Jahre, verarbeitet Gesundheitsdaten Minderjähriger und lässt den Unterricht über Plattformen laufen. Damit gelten für sie dieselben Pflichten wie für ein Unternehmen mit demselben Datenbestand. Eine öffentliche Schule benennt nach Art. 37 Abs. 1 Buchst. a DSGVO ausnahmslos eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten. Für eine Schule in freier Trägerschaft greift § 38 Abs. 1 BDSG ab zwanzig Personen, die ständig mit automatisierter Verarbeitung befasst sind.

Eine Stelle dafür sieht kein Stellenplan vor. Die Aufgabe geht an eine Lehrkraft, die daneben unterrichtet. Die Aufsichtsbehörde hat das bei ihrer Prüfung festgehalten.

Zwar kennen die Schulen ihre Pflicht, einen Datenschutzbeauftragten oder eine Datenschutzbeauftragte zu bestellen, aber die Lehrkräfte fühlen sich fachlich und zeitlich überfordert. Der Versuch einer Schule, diese Aufgabe mit einer neuen Planstelle zu koppeln, wurde vom RLSB unterbunden.

Damit steht die Benennung neben der Aufgabe. Art. 38 Abs. 2 DSGVO verlangt vom Verantwortlichen die für die Erfüllung dieser Aufgaben erforderlichen Ressourcen. Wo diese fehlen, ist die Pflicht formal erfüllt und die Arbeit nicht getan.

Die Aufsicht wartet nicht auf einen Anlass

Wann eine Schule mit einer Prüfung zu rechnen hat, hängt nicht davon ab, ob sich jemand beschwert hat. Art. 58 Abs. 1 Buchst. b DSGVO gestattet der Aufsichtsbehörde Untersuchungen in Form von Datenschutzüberprüfungen, ohne dass ein Vorfall vorausgesetzt wäre.

2022 hat die Landesbeauftragte für den Datenschutz Niedersachsen fünfzig zufällig ausgewählte Schulen angeschrieben. 2023 kamen vier Prüfungen vor Ort hinzu.

Die Behörde hat angekündigt, den Einsatz intelligenter Tutorensysteme gesondert zu prüfen. Wer heute eine Lernplattform um ein Diagnosewerkzeug ergänzt, sollte die Unterlagen dafür bereithalten.

Was ein Verstoß kostet, hängt an der Trägerschaft

Ob am Ende ein Bußgeld steht, entscheidet sich nicht an der Schwere des Verstoßes, sondern zuerst daran, wer die Schule betreibt.

Für die öffentliche Schule folgt daraus keine Entwarnung. Eine Untersagung nach Art. 58 Abs. 2 Buchst. f DSGVO trifft eine Lernplattform mitten im Schuljahr genauso wie jedes andere Verfahren.

Die Fragen, die an einer Schule tatsächlich auftauchen

Welche der eigenen Verarbeitungen die riskante ist, lässt sich von innen schwer beurteilen. Bearbeitet wird meistens die, die gerade drängt.

Drei davon haben an einer Schule eine eigene Gestalt. Der Einsatz einer Lernplattform setzt nach § 31 Abs. 5 NSchG neben der Rechtmäßigkeit die Zustimmung der Schulleitung voraus. Daneben führt die Aufsicht die Verarbeitung von Schülerdaten über einen zentralen Auftragsverarbeiter in ihrer Liste der folgenabschätzungspflichtigen Vorgänge. Gesundheitsdaten sind nach § 31 Abs. 10 NSchG nur für einen abschließenden Katalog von Zwecken zulässig, von der Schulfähigkeit bis zum Infektionsschutz. Beim Schulwechsel begrenzt § 31 Abs. 7 NSchG die Übermittlung auf die Kerndaten. Vorgefunden hat die Aufsicht in Schülerakten hingegen vollständige Grundschulakten samt Schuleingangsuntersuchungen.

So unterstützen wir Sie an Ihrer Schule

Der Weg hängt davon ab, woran es liegt. Fehlt die Zeit, übernehmen wir die Funktion der oder des Datenschutzbeauftragten von außen. Das Kollegium bleibt dann beim Unterricht. Fehlt der Überblick, steht am Anfang ein Audit mit schriftlichem Ergebnis, das die offenen Punkte nach Dringlichkeit ordnet. Steht eine einzelne Entscheidung an, etwa vor der Einführung einer Plattform, genügt oft eine Einordnung im laufenden Betrieb.