Hinweise zu den Anforderungen der Datenschutz-Grundverordnung
(DS-GVO)
Quelle: SchulVerwaltung Niedersachsen 1/2024, S. 26-28. Wolters Kluwer Deutschland, Hürth
Wir bieten Ihnen hier mit freundlicher Genehmigung des Verlages einen jüngst erschienenen Artikel, verfasst von Julia Lahme (RLSB Osnabrück), zum Download an.
Im schulischen Alltag werden eine Vielzahl von personenbezogenen Daten der Schülerinnen und Schüler sowie der Erziehungsberechtigten verarbeitet. Hierzu bedarf es einer rechtlichen Grundlage. Der nachfolgende Beitrag setzt sich mit der Frage auseinander, wie die vorgenannte Datenverarbeitung legitimiert werden kann. Dabei wird der Schwerpunkt auf die datenschutzrechtliche Einwilligung gelegt.
Datenverarbeitung im Sekundentakt
Die Verarbeitung personenbezogener Daten ist unzulässig. Eine gewagte Behauptung, findet doch genau dies im Sekundentakt in einer schier unvorstellbaren Menge auf der gesamten
Welt statt, sei es beispielsweise bei der Nutzung von Social Media, dem Online-Banking oder dem Besuch im kameraüberwachten Supermarkt.
Aber auch im schulischen Kontext, um den es in dem vorliegenden Beitrag selbstverständlich gehen soll, ist die Verarbeitung personenbezogener Daten schlichtweg nicht wegzudenken, denn die Erfüllung des Bildungsauftrags ist ohne den Einbezug persönlicher Informationen der Schülerinnen und Schüler sowie der Erziehungsberechtigten gänzlich unmöglich. Man denke beispielsweise an die grundlegendste Aufgabe der Schule: Die Erteilung von Unterricht. Bereits hier werden durch die Kommunikation innerhalb der Klassen- oder Kursgemeinschaft und der Lehrkraft eine Vielzahl von personenbezogenen Daten benötigt – bspw. der Name, die Stimme, das Leistungsverhalten usw.
Aber wie passt dies alles mit der eingangs aufgestellten These zusammen? Verstoßen die Schulen etwa bei der Erfüllung ihrer tagtäglichen Aufgaben ununterbrochen gegen rechtliche Bestimmungen? Die Antwort drängt sich bereits auf: Natürlich nicht!
Verbot mit Erlaubnisvorbehalt
Das Verbot der Verarbeitung personenbezogener Daten gilt nicht uneingeschränkt. Es handelt sich hierbei vielmehr um ein sogenanntes »Verbot mit Erlaubnisvorbehalt«. Dies bedeutet, dass personenbezogene Daten grundsätzlich nicht verarbeitet werden dürfen, es sei denn, es gibt hierfür eine rechtliche Grundlage. Diese rechtliche Grundlage kann primär in einer Rechtsvorschrift bestehen, die die konkrete Datenverarbeitung erlaubt oder – sofern es eine solche Rechtsvorschrift eben nicht gibt – in der vorab erteilten Einwilligung der betroffenen Person.
§ 31 Niedersächsisches Schulgesetz
Dass Schule nicht ohne die Verarbeitung personenbezogener Daten der Schülerinnen und Schüler sowie der Erziehungsberechtigten funktionieren kann, ist auch dem Gesetzgeber bewusst. Die zentrale Erlaubnisnorm für die Verarbeitung personenbezogener Daten von Schülerinnen und Schülern sowie deren Erziehungsberechtigten durch öffentliche Schulen findet sich daher seit 1993 in § 31 Niedersächsisches Schulgesetz (NSchG). 1 Diese Vorschrift deckt hierbei grundsätzlich sämtliche für Schulen relevanten Konstellationen ab, in denen es notwendigerweise zu einer Datenverarbeitung kommen muss. Die mit dem eingangs erwähn-ten Unterricht bzw. der Leistungsbewertung einhergehende Datenverarbeitung ist demnach von § 31 Abs. 1 Satz 1 Nr. 1 und 2 NSchG gedeckt, denn sie ist für die Erfüllung des Bildungsauftrages der Schule sowie für die Erziehung und Förderung der Schülerinnen und Schüler zwingend notwendig.
Die zwingende Notwendigkeit ist im Zusammenhang von § 31 NSchG ein wichtiges Stichwort, denn durch diese Vorschrift können nur Sachverhalte geregelt werden, in denen die Datenverarbeitung für die Schulen unerlässlich ist. Dies geht insbesondere auf den im Datenschutzrecht geltenden Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c) DS-GVO) zurück, nach welchem personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen.
Ist kein Tatbestand des § 31 NSchG erfüllt bzw. ist die Datenverarbeitung zwar nützlich, aber gerade nicht zu den in dieser Vorschrift genannten Zwecken notwendig, so bedarf es in der Regel einer Einwilligung der betroffenen Person in die Datenverarbeitung.
Die datenschutzrechtliche Einwilligung
Gemäß Art. 6 Abs. 1 lit. a) DS-GVO ist eine Datenverarbeitung rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat.
Die Definition einer Einwilligung findet sich hingegen in Art. 4 Nr. 11 DS-GVO. Hiernach ist eine Einwilligung der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
Aus den vorgenannten Normen lassen sich somit bereits die grundlegenden Anforderungen an eine rechtswirksame Einwilligung gut ableiten:
Es bedarf zunächst einer unmissverständlich abgegebenen Erklärung oder einer eindeutigen bestätigenden Handlung. In diesem Zusammenhang ist Art. 7 Abs. 1 DS-GVO zu beachten. Dieser schreibt vor, dass der Verantwortliche (also in diesem Fall die Schule) zum Nachweis in der Lage sein muss, dass die betreffende Person in die Verarbeitung ihrer Daten eingewilligt hat (so auch Erwägungsgrund 42 zur DS-GVO). Aus diesem Grund ist es daher in jedem Fall empfehlenswert, Einwilligungen schriftlich einzuholen, auch wenn dies von der DS-GVO nicht zwingend vorgeschrieben wird.
Die Einwilligung muss informiert genug und für einen bestimmten Fall erfolgen. Dies bedeutet, dass die betroffene Person vor Abgabe ihrer Einwilligung konkret wissen muss, welche ihrer Daten von wem zu welchem bestimmten Zweck und auf welche Art und Weise verarbeitet werden (man beachte insoweit auch die Informationspflichten nach Art. 13 DS-GVO). Der Verarbeitungszweck ist konkret festzulegen. »Pauschaleinwilligungen« sind aus rechtlicher Sicht äußerst risikobehaftet und im Zweifel unwirksam. Entsprechend Art. 7 Abs. 3 DS-GVO ist die betroffene Person darauf hinzuweisen, dass sie ihre Einwilligung jederzeit widerrufen kann. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt (Art. 7 Abs. 3 Satz 2 DS-GVO). Es ist darauf zu achten, dass eine klare und einfache Sprache genutzt wird (siehe Erwägungsgrund 32 zur DS-GVO). Wie eingangs empfohlen, sollten Einwilligungen immer schriftlich eingeholt werden. Es bietet sich daher nicht nur an, sondern ist auch dringend zu empfehlen, die vorgenannten erforderlichen Informationen für die betroffene Person diesem Einwilligungsschreiben in der gebotenen Kürze, aber in ausreichend verständlicher Art und Weise voranzustellen.
Die Einwilligung ist vor der jeweiligen Datenverarbeitung einzuholen. Eine nachträglich eingeholte Einwilligung reicht grundsätzlich nicht aus, um eine bereits vorgenommene Datenverarbeitung zu legitimieren.
Bei minderjährigen Kindern stellt sich die Frage, ob diese die Einwilligung selbst abgeben können oder ob eine solche durch die Erziehungsberechtigten erfolgen muss. Gemäß Erwägungsgrund 38 zur DS-GVO verdienen Kinder bzgl. ihrer personenbezogenen Daten besonderen Schutz, da sie sich der betreffenden Risiken, Folgen und Garantien und ihrer Rechte bei deren Verarbeitung möglicherweise weniger bewusst sind. Entscheidend ist daher im Einzelfall, ob bei dem betreffenden Kind bereits die nötige Einsichtsfähigkeit gegeben ist, die Konsequenzen seines Handels zu überblicken. Eine starre Altersgrenze gibt es hierbei grund-sätzlich nicht (anders bei Diensten der Informationsgesellschaft wie beispielsweise Sozialen Netzwerken, siehe Art. 8 DS-GVO). I.d.R. dürfte eine gewisse Einsichtsfähigkeit ab einem Alter von 14 Jahren angenommen werden können. Der rechtssichere Weg dürfte es daher sein, bei minderjährigen Schülerinnen und Schülern die Einwilligung der Erziehungsberechtigten bzw. ab einem Alter von 14 Jahren zusätzlich zu der Einwilligung der Eltern auch die Einwilligung des Kindes einzuholen.
Ferner ist eine Einwilligung nur rechtswirksam, wenn sie freiwillig erteilt wird. Erwägungsgrund 42 der DS-GVO führt hierzu aus: »Es sollte nur dann davon ausgegangen werden, dass sie [die betroffene Per-son] ihre Einwilligung freiwillig ge-geben hat, wenn sie eine echte oder freie Wahl hat und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden.« Auf die Freiwilligkeit ist im schulischen Zusammenhang besonderes Augenmerk zu legen, da die Schülerinnen und Schüler bzw. Erziehungsberechtigten im Kontext Schule in einem gewissen Über-/Unterordnungsverhältnis stehen. Den Einwilligenden ist daher eindrücklich zu kommunizieren, dass keine Nachteile erfolgen, sollte die Einwilligung nicht erteilt werden. Dieser Hinweis sollte auch in der zu unterzeichnenden Einwilligungserklärung noch einmal konkret aufgenommen werden (»Diese Einwilligung ist freiwillig. Bei Nichterteilung entstehen Ihnen bzw. Ihrem Kind keine Nachteile.«) Auch der Eindruck etwaiger Gruppenzwänge ist tunlichst zu vermeiden.
Im Hinblick auf die Geltungsdauer einer Einwilligung ist zu beachten, dass diese grundsätzlich bis zu ihrem Widerruf gilt, solange kein bestimmter Zeitraum vereinbart worden ist. Um zu vermeiden, dass einmal erteilte Einwilligungen bei den Schülerinnen und Schülern bzw. Eltern in Vergessenheit geraten und so zu Disputen führen, bietet es sich an, diese turnusmäßig (wie beispielsweise zu Beginn eines Schuljahres) zu erneuern oder zumindest mittels Elternbrief daran zu erinnern, dass die Einwilligung in der Vergangenheit erteilt worden ist und bis zu ihrem Widerruf weiterhin gilt.
Im schulischen Kontext spielen Einwilligungen insbesondere bei der Anfertigung und Veröffentlichung von Fotoaufnahmen durch die Schule selbst eine Rolle (etwaige urheberrechtliche Fragestellungen sollen allerdings nicht Teil dieses Beitrags sein). Sollte in diesem Zusammenhang bspw. auch der Name der betreffenden Schülerin:des betreffenden Schülers angegeben werden, so bedarf auch dies der Einwilligung.
Weitere Fälle, in denen im Kontext Schule eine Einwilligung erforderlich sein dürfte: Die Nutzung einer bestimmten digitalen Kommunikationsplattform zum Austausch mit den Erziehungsberechtigten, die Weitergabe von Kontaktdaten der Eltern an den schulischen Förderverein oder die Einsichtnahme in die Schülerakte durch die Schulbegleitung.
Fazit
§ 31 NSchG ist die zentrale datenschutzrechtliche Erlaubnisnorm für öffentliche Schulen. Sachverhalte, die nicht von dieser Norm gedeckt sind, bedürfen einer Einwilligung. Diese sollte schriftlich eingeholt werden. Hierbei ist die betroffene Person über die beabsichtigte Datenverarbeitung ausreichend zu informieren sowie auf deren Freiwilligkeit und Wiederrufbarkeit hinzuweisen. Bei minderjährigen Schülerinnen und Schülern ist ab dem 14. Lebensjahr neben der Einwilligung der Erziehungsberechtigten auch die Einwilligung des Kindes einzuholen.
Bei weiteren Fragen zu dieser Thematik kontaktieren Sie gerne die für Sie zuständige Dezernentin oder den für Sie zuständigen Dezernenten für Datenschutz der Regionalen Landes-ämter für Schule und Bildung.
Literatur
Im Bildungsportal Niedersachsen finden Sie eine detaillierte (grafische) Darstellung der Befugnisse, die § 31 NSchG den Schulen verleiht sowie Muster für die Einwilligung in die Anfertigung und Veröffentlichung von Fotoaufnahmen.
Fußnote
1 Die zentrale Erlaubnisnorm für die Verarbeitung personenbezogener Daten von Lehrkräften durch die Schule befindet sich hingegen in § 88 Niedersächsisches Beamtengesetz (ggf. i.V.m. § 12 Niedersächsisches Datenschutzgesetz) und ist ausdrücklich nicht Gegenstand dieses Artikels.