[7.12.2018] Durch die Datenschutz-Grundverordnung (DSGVO) ist das Thema Datenverarbeitung bei den Schulen in den Fokus gerückt. Was hierbei zu beachten ist, erläutert der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit, Lutz Hasse.

Herr Hasse, dass Schulen beim Datenschutz besonderen Anforderungen unterliegen, dürfte eigentlich klar sein – dennoch erleben Sie sicher so manche datenschutzrechtliche Überraschung…

Überraschungen erlebt man sicherlich. Diese basieren aber überwiegend auf Missverständnissen Einzelner. Dass es jedoch ein grundsätzliches strukturelles Problem beim Verständnis des beziehungsweise für den Datenschutz gibt, wäre übertrieben zu sagen. Die größte Überraschung für mich war aber, dass einige Schulen mit Geltung der Datenschutz-Grundverordnung (DSGVO) aus allen Wolken fallen, wenn sie auf ihre datenschutzrechtlichen Pflichten hingewiesen werden.

Viele Schulen sind verunsichert, welche Änderungen die DSGVO mit sich bringt. Eine Schule in Düsseldorf stellte gar handschriftliche Zeugnisse aus, da sie nicht für die laut DSGVO geforderte Sicherheit ihrer Rechner garantieren konnte. So weit müssen die Schulen künftig aber sicher nicht gehen?

Die Verunsicherung der Schulen ist eigentlich nicht zu erklären. Die Schulen arbeiten auf Basis des Art. 6 Abs. 1 e) DSGVO in Verbindung mit den jeweiligen Schulgesetzen. Bei der Ausübung öffentlicher Gewalt besteht für die Mitgliedstaaten eine Öffnungsklausel, das heißt, sie können den Datenschutz im Rahmen der nationalen Gesetze regeln. Dies ist in den Schulgesetzen erfolgt, wobei sich, jedenfalls in Thüringen, alte und neue Schulgesetze praktisch kaum unterscheiden – von redaktio­nellen Änderungen einmal abgesehen. Durch das Wirksamwerden der DSGVO ist das Thema jedoch aktuell geworden. Viele Datenverarbeiter machen sich nun Gedanken, die sie sich auch vorher hätten machen müssen. Um auf ihre Schilderung konkret einzugehen: Wenn Lehrkräfte personenbezogene Schülerdaten auf ihren privaten PCs verarbeiten, dann muss der Einsatz dieses Geräts beispielsweise in Thüringen vom Schulleiter genehmigt werden. Die Genehmigung darf aber nur erteilt werden, wenn die eingesetzte Hard- und Software datenschutzrechtlich in Ordnung ist und die Datenverarbeitung im Übrigen datenschutzkonform erfolgt. Hier sollte im Zweifel die Aufsichtsbehörde, also in datenschutzrechtlicher Hinsicht nicht mehr das Ministerium, sondern der Landesdatenschutzbeauftragte einbezogen werden.

Mit zunehmender Digitalisierung und Individualisierung des Unterrichts wächst auch die Besorgnis vor dem gläsernen Schüler. Welche Grenzen sind den Schulen hier gesetzt?

Die Grenzen der Digitalisierung werden den Schulen durch die Erforderlichkeit gesetzt. Nur eine Datenverarbeitung, die erforderlich ist, um die angestrebten Zwecke der Verarbeitung zu erreichen, ist grundsätzlich auch zulässig. An die Erforderlichkeit sind strenge Maßstäbe zu richten. Die Mittel müssen die mildesten zur Zweckerreichung sein und auch zumutbar im Sinne einer speziellen Interessenabwägung. Trotzdem sehe auch ich durch die fortschreitende Digitalisierung die Gefahr des Entstehens von gläsernen Schülern. Der Druck zur Einführung digitaler Verfahren in der Schule wächst und nur wenige Spezialisten überblicken die dahinterstehenden Datenverarbeitungsprozesse. Der einzelne Schulleiter dürfte damit häufig überfordert sein. Als Bundesvorsitzender des Arbeitskreises Schulen und Bildungseinrichtungen stehe ich mit Software-Entwicklern und auch der Kultusministerkonferenz in engem Kontakt, um Lösungen zu erarbeiten.

In der belgischen Region Flandern sollen ab dem Jahr 2019 Schülerdaten auf einem so genannten digitalen Schülerpass gespeichert werden. Vom ersten Tag der Schulkarriere an soll dieser die Entwicklung der Kinder festhalten und so das individuelle Lernen erleichtern. Wäre so etwas auch in Deutschland denkbar?

Ob ein digitaler Schülerpass in Deutschland denkbar wäre, richtet sich in erster Linie nach dem Kriterium der Erforderlichkeit – unter Berücksichtigung der Tatsache, welche Daten mit dem digitalen Schülerpass verarbeitet werden sollen, also Schüleraktendaten, Noten, Zeugnisse oder Krankheiten. Es wäre zudem eine Regelung in die schulrechtlichen Bestimmungen aufzunehmen, die zum Beispiel in Thüringen nicht existiert. Hinzu kämen Fragen der technischen Sicherheit. Mit einer entsprechenden Änderung der Schulgesetze wäre die Einführung eines solchen digitalen Schülerpasses möglich. Die konkrete Umsetzung würde allerdings die Erstellung eines umfassenden Sicherheitskonzepts erfordern. Die Landesdatenschutzbeauftragten werden dies genau überwachen und können dank der neuen Möglichkeiten der DSGVO datenschutzrechtswidrige Praktiken gegebenenfalls abstellen. Der bessere Weg ist, die Aufsichtsbehörde von Anfang an einzubeziehen.

Wie bewerten Sie den Einsatz von Online-Lernplattformen in der Cloud?

Online-Lernplattformen sollen nach dem Willen der Kultusministerkonferenz eingeführt werden. Wir arbeiten derzeit an Lösungen, die den aktuellen datenschutzrechtlichen Anforderungen genügen. Ich mache hierzu auf die Orientierungshilfe der Datenschutzaufsichtsbehörden für Online-Lernplattformen im Schulunterricht aufmerksam, mit der sich Schulen einen Überblick darüber verschaffen können, welche Mindestkriterien solche Angebote erfüllen müssen. Soweit hierbei Cloud-Dienste genutzt werden, verweise ich auf die von den Datenschutzbeauftragten des Bundes und der Länder he­rausgegebene Orientierungshilfe Cloud Computing. In meiner Funktion als Bundesvorsitzender des erweiterten Arbeitskreises bin ich mit der Problematik intensiv befasst. Gemeinsam mit der Kultusministerkonferenz suchen wir auch hier nach praktikablen Lösungen.

Wie problematisch ist der Einsatz von sozialen Medien wie Facebook oder des Messenger-Dienstes WhatsApp im schulischen Umfeld?

Soziale Medien wie Facebook für den Unterricht oder zu dienstlichen Zwecken zu nutzen oder damit Schülerdaten zu verarbeiten, ist datenschutzrechtlich unzulässig. Der Einsatz von WhatsApp für schulische oder dienstliche Zwecke ist in jedem Fall unzulässig. In Thüringen ist die Nutzung durch das Kultusministerium auch ausdrücklich untersagt. Im Unterricht darf, ja sollte das Thema soziale Medien allerdings behandelt werden und es sollten Vor- und Nachteile dargestellt und Schutzmechanismen vermittelt werden.

Warum plädieren Sie dafür, ein eigenes Schuldatenschutzgesetz zu entwickeln?

Ein eigenes Schuldatenschutzgesetz des Bundes zu entwickeln, halte ich angesichts dessen, dass die Schulen Ländersache sind, nicht für möglich. Es wird meines Erachtens bei den einzelnen Schulgesetzen der Länder bleiben. Die meisten Länder haben neben dem Schulgesetz aber auch eine Schulordnung. Angesichts der schnellen technischen Entwicklungen und der damit einhergehenden datenschutz- und IT-sicherheitsrechtlichen Entwicklungen kann ein eigenes Schuldatenschutzgesetz mit modernen Regelungen durchaus hilfreich sein.

Interview: Bettina Schömig

Zu den Orientierungshilfen der Datenschutzkonferenz (Deep Link)
Dieser Beitrag ist in der Ausgabe Dezember 2018 von Kommune21 im Schwerpunkt Schul-IT erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren.  (Deep Link)

Stichwörter: Schul-IT, Datenschutz, DSGVO

Bildquelle: TLfDI/Fotograf Volker Hielscher, Erfurt