LuSh – Ausgabe 09-10/2024 – Datenschutz
Datenschutz
Liebe Kolleginnen und Kollegen!
Für die einen ist es unnötiger Quatsch, für die anderen ist eine Art Monstranz, die bei jeder Gelegenheit vor sich hergetragen wird. Fakt ist, Datenschutz ist ein wichtiger Bestandteil des vom Bundesverfassungsgericht entwickelten Grundsatzes des Rechts auf informationelle Selbstbestimmung. Das informationelle Selbstbestimmungsrecht ist eine Ausprägung des allgemeinen Persönlichkeitsrechts und wurde vom Bundesverfassungsgericht im sogenannten Volkszählungsurteil 1983 als Grundrecht anerkannt (vgl. BVerfG, Urteil des Ersten Senats vom 15. Dezember 1983, 1 BvR 209/83, BVerfGE 65, 1). Ausgangspunkt für das Bundesverfassungsgericht ist das sogenannte allgemeine Persönlichkeitsrecht, also Art. 2 Abs. 1 GG in Verbindung mit Art. 1 Abs. 1 GG. Nach Ansicht des Europäischen Parlamentes leitet es sich auch aus Art. 8 Abs. 1 der Europäischen Menschenrechtskonvention ab. Für die Verwaltung und die Schule bedeutet das, dass – mag man es begrüßen oder nicht –, die Latte im Hinblick auf Datenschutz hoch liegt und das kann natürlich auch die verwaltungstechnische und pädagogische Arbeit erschweren.
Anmerkung des Verfassers: Man kann sicher bedauern, dass der Arm des Datenschutzes nur sehr schwer in die großen Technologiekonzerne reicht. Das, was Schüler freiwillig in Sozialen Medien posten und welche Datenschutzerklärungen am Smartphone oder wo auch immer unverstanden oder ungelesen akzeptiert werden, was unser Smartphone, Google, WhatsApp und so über uns weiß, greift sicherlich viel stärker und mit wenig hehren Zielen in das Recht auf informationelle Selbstbestimmung ein. Diese Datenkraken kriegt man nur schwer in den Griff. Auch fragt man sich, wie die Datenschutzgrundverordnung (auf die ich noch eingehen werde) in anderen Ländern der EU gelebt wird. Es hilft nichts, Datenschutz ist wichtig und sollte schon zu Ihrem eigenen Schutz beachtet werden!
Wie kann man Datenschutz auf den Punkt bringen? Jeder hat das Recht selbst zu entscheiden, wer was wann und in welchem Zusammenhang über ihn weiß oder in Erfahrung bringen kann.
Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO) hat hierzu einen wichtigen Rechtsrahmen gelegt. Sie ist auch in Deutschland zum 25. Mai 2018 in Kraft getreten.
Hier gelten folgende Grundsätze:
Die Grundsätze der Art. 5 und 6 DSGVO müssen eingehalten werden. Zu beachten sind hier insbesondere der Grundsatz der Rechtmäßigkeit der Datenverarbeitung, der Zweckbindung, der Datenminimierung und der Transparenz.
Artikel 5 DSGVO
Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Artikel 6 DSGVO
Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.
Artikel 6 DSGVO kann man daher völlig vereinfacht zusammenfassen: was nicht erlaubt ist, ist verboten!
Erheben Sie erforderliche Daten Ihrer Schüler wie Name, Geburtsdatum etc., reicht es daher aus, den Eltern mitzuteilen, auf welcher Rechtsgrundlage Sie diese erheben. Bei weiteren Daten (Zugehörigkeit zu einem Sportverein, Aufnahme von Fotos und so weiter) benötigen Sie eine ausdrückliche Zustimmung der Schüler bzw. der Eltern; auch wenn es nervt: am besten schriftlich.
Bedenken Sie: Eine öffentliche Notenbesprechung ist (nur) zulässig, wenn alle Schüler einverstanden sind.
Die Sicherung personenbezogener Daten ist ebenfalls eine wichtige Aufgabe aus den Vorgaben des Datenschutzes. Nutzen Sie einen externen Server (Cloud) auf denen Daten gesichert werden, so präferieren Sie am besten einen Server aus Deutschland oder der EU. Hier gelten die Vorschriften der DSGVO. Auch sollten Sie Daten aus wichtigen Dokumenten, wie Lehrerkalender, Klassenbuch etc. schützen und doppelt sichern.
Der Versand von Emails sollte verschlüsselt erfolgen, insbesondere, wenn Sie eine private Emailadresse verwenden. Emails sind ansonsten wie „Postkarten“, die durch das Netz geschickt werden.
Beachten Sie, dass Datenschutz dann durchbrochen werden darf, wenn ein berechtigtes Interesse der Allgemeinheit vorliegt, eine schwere Straftat droht oder wenn sonstige Vorschriften (zum Beispiel das Infektionsschutzgesetz) den Datenschutz durchbrechen.
Ein schwieriges und komplexes Thema sind Fotos, Filme und Videoaufnahmen. Diesen muss eine ausdrückliche Einwilligung zu Grunde liegen, bei minderjährigen Schülern natürlich der Erziehungsberechtigten. Will man diese recht pauschal einholen, so empfiehlt sich dringend der Hinweis, dass diese Einwilligung jederzeit ohne Angabe von Gründen widerrufen werden kann.
Denken Sie daran: auch Sie sind durch den Datenschutz geschützt. Ihre private Adresse geht beispielsweise niemanden was an. Ich kann Ihnen auch ein dienstliches Zweithandy empfehlen. Die Herausgabe Ihrer privaten Kontaktdaten kann dann problemlos verweigert werden, ohne den Vorwurf gefallen lassen zu müssen, Sie seien für die geneigte Elternschaft nicht zu erreichen. So etwas hilft nach der Erfahrung vieler Kolleginnen und Kollegen ungemein.
Diese Ausführungen vermögen nicht alle Fragen zu klären, sollen Sie aber vor dem neuen Schuljahr wieder etwas sensibilisieren.
Für einzelne Fragen sollten Sie im Zweifelsfalle immer die Schulleitung oder das Ministerium bemühen.
Weitere Informationen finden Sie unter:
oder unter:
https://www.datenschutz.saarland.de/
Sie können die beratende Hilfe des Unabhängigen Datenschutzzentrum Saarland auch hierüber in Anspruch nehmen.
Interessant auch:
https://www.datenschutz.saarland.de/themen/schule-und-bildung/
Ich wünsche Ihnen einen guten Start ins neue Schuljahr!
Ihr
Arnold W. Sonntag
Zur Person:
Arnold W. Sonntag, Jahrgang 1973, seit über 13 Jahren Justiziar im Landesvorstand des dbb saar, nebenberuflich lange Jahre Dozent an der Universität für Verwaltungswissenschaften in Speyer, an der Fachhochschule für Verwaltung des Saarlandes, an der Verwaltungsschule des Saarlandes und der dbb akademie. Nebenamtliches Mitglied im saarländischen Landesprüfungsamt für Juristen. Seit 2008 in der Landesverwaltung tätig, davor rund 8 Jahre Rechtsanwalt in einer mittelständischen Kanzlei.