Die zunehmende Digitalisierung innerhalb der schulischen Arbeitsprozesse fordert auch von Lehrerinnen und Lehrern eine aktive Auseinandersetzung mit dem Datenschutz. Die Europäische Datenschutz-Grundverordnung (EU-DSGVO) verlangt ein hohes Maß an Informationspflichten gegenüber den Betroffenen (Schülerinnen und Schüler, Eltern, Lehrkräfte). Insofern steht insbesondere die Schulleiterin/der Schulleiter im Fokus, denn sie/er ist für den Datenschutz an der Schule verantwortlich. Wichtige Regelungen zum Datenschutz finden sich an folgenden Stellen:

• § 120 – 122 SchulG
• VO-DV I (Schülerinnen, Schüler und Eltern) und VO-DV II (Lehrkräfte)
• Dienstanweisung für die automatisierte Verarbeitung von personenbezogenen Daten BASS 10-41 Nr. 4

Die Vorschriften im Schulbereich unterscheiden zwischen der Datenverarbeitung an einem dienstlichen Schulrechner, auf den Schülerinnen und Schüler keinen Zugriff haben („Schulverwaltungsrechner“) und einem privaten Gerät. Der Begriff der automatisierten Verarbeitung personenbezogener Daten meint das Auslesen, Öffnen, Bearbeiten, Speichern oder Weiterleiten auf einem Computer oder einem anderen Endgerät, also auch Tablets und Smartphones.

Datenschutzmaßnahmen greifen immer nur dann, wenn es um personenbezogene Daten geht. Welche personenbezogenen Daten zu unseren Schülerinnen und Schülern, sowie den Erziehungsberechtigten verarbeitet werden dürfen, regelt die VO-DV I. Dort sind all die Daten in Anlagen aufgeführt, die zur Erfüllung der übertragenen Aufgaben der Lehrkräfte zugelassen sind. Die Daten, die nicht automatisiert verarbeitet werden dürfen, sind besonders gekennzeichnet. Dazu gehören beispielsweise medizinische Gutachten und Atteste. Fotos von Schülerinnen und Schülern dürfen nur mit aktiver Zustimmung der Erziehungsberechtigten verarbeitet werden. Aus diesem Grund ist es ratsam, bei Einschulung bzw. bei Wechsel in eine weiterführende Schule eine solche Zustimmung zu erwirken. In dieser Zustimmung muss eindeutig formuliert sein, welche Fotos (ggfls. auch Videos und Tonaufnahmen) zu welchem Zweck wie lange auf welchen Geräten verarbeitet werden dürfen. Außerdem muss das Papier den Hinweis tragen, dass diese Zustimmung freiwillig geschieht und jederzeit widerrufen werden kann.

Bei Schulanmeldung müssen die Erziehungsberechtigten darüber informiert werden, welche Daten zu welchem Zweck wie lange für schulische Belange verarbeitet werden. Dazu könnte die VO-DV I in Papierform oder als ausgelegtes Exemplar zur Verfügung gestellt werden. Weiterhin sollten solche Hinweise auch auf der Homepage der Schule zu finden sein. Beispieltexte dazu stellt das Ministerium auf seiner Homepage zur Verfügung.

Eine besondere Vorgehensweise ist erforderlich, wenn Lehrkräfte personenbezogene Daten auf ihren privaten Computern verarbeiten wollen. Hier gelten die Bestimmungen der Dienstanweisung zur Verarbeitung personenbezogener Daten. Bestandteil dieser Dienstanweisung ist ein Antragsformular zur Nutzung eines privaten Endgerätes. Es müssen Datenschutzmaßnahmen am Computer/Tablet getroffen werden, die den Anforderungen der DSGVO genügen. Diese sind im Antragsformular hinterlegt und müssen eingehalten werden. Ohne Genehmigung durch die Schulleiterin/den Schulleiter ist eine Verarbeitung der Daten nicht erlaubt.

Wichtig:

Gegenwärtig dürfen auf den privaten Computern nicht alle personenbezogenen Daten verarbeitet werden, deren Verarbeitung auf schulischen Rechnern (getrennt vom Schülernetz) erlaubt sind. In der Anlage 3 der VO-DV I sind alle erlaubten Daten abschließend aufgeführt.

Sind die geforderten Datenschutzmaßnahmen getroffen und es kommt trotz alledem zu einer Datenpanne (z. B. „Hacking“/Entwendung von Daten), so ist man vor Haftungsansprüchen gegenüber Dritten geschützt. Nur bei „grober Fahrlässigkeit“ oder „Vorsatz" dürften sich Haftungsansprüche geltend machen lassen.

Die verarbeiteten Daten dürfen nur ein Jahr, nachdem die Lehrkraft die Schülerin oder den Schüler nicht mehr unterrichtet, aufbewahrt werden. Die Frist beginnt mit Ablauf des Kalenderjahres. Die gilt nicht nur für digital verarbeitete Daten, sondern auch für analoge Sammlungen in Ordnern.

Eine weitere wichtige Komponente zur Datenabsicherung ist die Nutzung der Plattform LOGINEO NRW. Hier können Lehrkräfte datenschutzrechtlich abgesichert kommunizieren und auch in einem Datensafe sensible Daten, z. B. Zeugnisdateien, ablegen und bearbeiten.

Die derzeit gültigen gesetzlichen Grundlagen sind in der Praxis oft kaum realistisch umzusetzen, z. B. wenn keine ausreichende Anzahl von Dienstgeräten in der Schule vorhanden sind. Lehrkräfte sollten in diesem Fall die Schulleitung auffordern, über den Schulträger für Abhilfe zu sorgen. Den Kommunen stehen dafür auch Mittel aus dem Digital Pakt zur Verfügung. Keinesfalls sollten Lehrkräfte aber Daten zu Hause verarbeiten, die nicht in der Anlage 3 aufgeführt sind oder ohne Genehmigung durch die Schulleitung ein privates Endgerät zur personenbezogenen Datenverarbeitung nutzen.

Die zuständigen Datenschutzbeauftragten für Schulen in kommunaler und staatlicher Trägerschaft werden vom zuständigen Schulamt bestellt.

Weitere Informationen hier: https://www.schulministerium.nrw.de/docs/Recht/Datenschutz/index.html
oder hier auf der VBE-Homepage, Rubrik Service, Kachel Datenschutz