Julius Nikolaus Herbst, Autor und Experte für Schulrecht
Lesezeit: ca. 7 Minuten
Als Schule wollen Sie gerade im verstärkt im Fokus stehenden Bereich des Datenschutzes keine vermeidbaren Fehler machen. Deshalb ein weiterer Hinweis zum rechtssicheren Handeln: Wie können Sie sicherstellen, dass die Informationen in der Datenschutzerklärung und in Einwilligungen, die die Schule einholt, vollständig sind?
Gerade in den letzten Jahren sind vermehrt Einwilligungen auch in Schulen aufgetaucht, welche die Anforderungen an die Vorgaben der einschlägigen Datenschutzgesetze nicht erfüllen. Aber auch Datenschutzerklärungen auf Homepages und bei Aufnahme in die Schule ließen häufig zu wünschen übrig.
Zunächst aber einmal die Frage, wo überhaupt die Informationspflichten erfüllt werden müssen und wer hierfür verantwortlich ist. Nach Art. 13 Abs. 1 DSGVO muss der Verantwortliche immer dann die Pflicht zur vollständigen Information erfüllen, wenn personenbezogene Daten bei der jeweiligen Person erhoben werden. Diese Pflicht ist spätestens zum Zeitpunkt der Datenerhebung zu erfüllen. Hintergrund dieser Informationspflicht ist es, für eine faire und transparente Verarbeitung der jeweiligen Daten zu sorgen.
Am Beispiel der Einwilligung heißt das: „Ich kann nur in die Verarbeitung einwilligen, bei der ich weiß, was mein ›Ja‹ zur Datenverarbeitung tatsächlich bedeutet.“
Dies ist beispielsweise dann der Fall, wenn die Schule einen Schüler in der Schule aufnimmt. Hierbei werden die Daten des Schülers sowie der Eltern in der Schule erhoben und weiterverarbeitet. Es findet also eine Erhebung personenbezogener Daten bei der Person statt.
Aber auch die Einwilligung für Fotoaufnahmen und Videos bei der nächsten Sportveranstaltung fällt unter den Begriff der Erhebung. Bei diesen Daten handelt es sich regelmäßig um personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO.
Wie bereits in der Sonderausgabe zum schulischen Datenschutz ausführlich aufgezeigt, handelt es sich bei personenbezogenen Daten um alle Information über eine natürliche Person, die zur Identifizierung derselben führen können, also einen Rückschluss zulassen.
Wie bereits oben aufgegriffen, werden auch bei der Aufnahme des Schülers oder der Schülerin in die Schule personenbezogene Daten erhoben. Hierbei gilt es also ebenfalls, die Informationspflichten über die geplante Datenverarbeitung vollständig zu erfüllen und auch mittzuteilen.
In Niedersachsen gibt es hierfür bereits seit 2020, wie auch in anderen Bundesländern, einen Musterbereich zur Erfüllung der Informationspflichten gemäß Art. 13 DSGVO. Hier bekommen die Schulen eine Musterübersicht mit den personenbezogenen Daten, die durch die Schule verarbeitet werden sollen. Darüber hinaus kann und muss die Tabelle entsprechend angepasst werden, um de
tatsächlichen Stand in der Schule abzubilden. Auch für Einwilligungen stellen die Länder mittlerweile Formulare zur Verfügung. Bei der Einwilligung handelt es sich um einen sog. Erlaubnistatbestand zur Verarbeitung personenbezogener Daten.
Zur Erinnerung: Art. 4 DSGVO regelt die Begrifflichkeiten der DSGVO und des Datenschutzrechts. Hierbei spielen die Begriffe Verarbeitung (Nr. 2) und personenbezogene Daten (Nr. 1) eine zentrale Rolle:
Art. 4 DSGVO Nr. 1: Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.
Art. 4 DSGVO Nr. 2: Verarbeitung ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
Die Einwilligung selbst ist ebenfalls in Art. 4 Nr. 11 DSGVO legal definiert: Einwilligung der betroffenen Person ist jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
Hier bestimmt der Verordnungsgeber, dass die Einwilligung nur dann vorliegt, wenn diese in informierter Weise erteilt wurde.
Das heißt also, die Einwilligung an sich ist rechtswirksam, wenn der Betroffene vor Erteilung des bloßen „Ja“ oder „Nein“ alle Informationen im Zusammenhang mit der geplanten Datenverarbeitung erhalten hat. In der Folge könnte es sich also gerade wegen einer falschen Information zur Einwilligung um eine rechtswidrige Datenverarbeitung handeln.
TIPP: Weisen sie an, dass Einwilligungen ausschließlich über die Schule eingeholt werden und dass Formulare zunächst durch die Schulleitung und den oder die Datenschutzbeauftragte zu prüfen sind!
Bei der Nichtbereitstellung der Datenschutzinformationen auf der Homepage handelt es sich ebenfalls grundsätzlich um eine Pflichtverletzung des Verantwortlichen, also der Schulleitung, wenn diese unrichtig oder unvollständig sind.
Muster zur Erfüllung der Informationspflichten gemäß Art. 13 ff. DSGVO
Bei den Daten die von Ihnen und ihrem Kind erhoben werden sollen, handelt es sich um sogenannte personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO. Somit sind wir als Schule verpflichtet, Ihnen die folgenden Informationen zur Verfügung zu stellen.
- Name und Kontaktdaten des Verantwortlichen
Schule XYZ, Anschrift
Vertreten durch die Schulleitung,
Email, Telefon, etc.
- Kontakt zur schulischen Datenschutzbeauftragten
- Zwecke der Datenverarbeitung
- Empfängenr der personenbezogenen Daten
- Übermittlung der personenbezogenen Daten in ein Drittland
- Dauer der Speicherung der Daten
Rechte der Betroffenen
- Die folgenden Rechte können Sie bezüglich der durch uns verarbeiteten Daten im Einzelfall geltend machen:
- Auskunft über die Datenverarbeitung gam. Art. 15 DSGVO
- Berichtigung, Löschung und Einschränkung der Verarbeitung
- Widerspruchsrecht gegen die Verarbeitung
- Recht auf Datenübertragbarkeit
- (bei Einwilligungen: Recht auf Widerruf der Einwilligung)
- Beschwerderecht bei der zuständigen Aufsichtsbehörde (Kontakt der Aufsichtsbehörde: Bsp: Brandenburg)
- Stattfinden einer automatisierten Entscheidungsfindung/Profiling
- Weiterverarbeitung der Daten zu anderen, als den angegebenen Zwecken
