4.7          Bildung


4.7.1       Tonne auf dem Schulhof mit alten Schülerakten

Über die Tücken der Vernichtung von Dokumenten wurde zuvor bereits berichtet. Eine ordnungsgemäße Zerkleinerung vor Ort mag umsetzbar sein, solange es sich um einzelne Stücke handelt (wie ein Ausweis, Tz. 4.1.10.). Für ganze Aktenbestände ist eine solche Lösung aber kaum vorstellbar, gerade wenn es sich bei der aktenführenden Stelle um eine kleine Einrichtung handelt. Der Aufbewahrung und dem Transport auszusondernder Datenbestände muss dann besondere Sorgfalt zukommen.

Eine in dieser Hinsicht unangenehme Datenpanne hatte eine Grundschule zu melden: Eine Tonne mit alten Schülerakten hatte – zur Abholung durch ein Entsorgungsunternehmen am nächsten Morgen – über Nacht auf dem Schulhof gestanden. Ein denkbarer Zugriff Unbefugter auf die Unterlagen war zu befürchten.

Tatsächlich erreichte das ULD zu dem Vorfall auch die Nachricht eines Hinweisgebers, dem der Behälter in der Nacht aufgefallen war. Soweit nachvollzogen werden konnte, handelte es sich bei dem fraglichen Hof um eine Fläche, die Passanten frei zugänglich ist.

§ 10 Abs. 1 Nr. 1 SchulDSVO
Schulen haben personenbezogene Daten nach Ablauf der folgenden Fristen zu löschen. Sie betragen zwei Jahre bei Schülerakten und sonderpädagogischen Akten einschließlich Lern- und Förderplänen, kompetenzorientierten Entwicklungsberichten oder Schulübergangsempfehlungen und sonderpädagogischen Gutachten; […]

Der Hinweisgeber lieferte zusätzliche problematische Details: Die Tonne soll so überfüllt gewesen sein, dass einzelne Unterlagen sich sogar daneben befunden hätten. Zwei Schülerakten, die der Finder der Polizei übergab, gehörten offenbar zum Abgangsjahrgang 2018. Dass diese nun erst im Jahr 2023 ausgesondert werden sollten, wäre bereits an sich als Missstand zu werten gewesen, da die Schul-Datenschutzverordnung hierfür ausdrücklich kürzere Fristen vorsieht:

Erschwerend kommt hinzu, dass die Inhalte von Schülerakten aus vielerlei Gründen naturgemäß als sensibel einzustufen sind: Mit Blick auf Erwägungsgrund 75 zur DSGVO lässt sich etwa aufführen, dass es sich um die Daten von Kindern handelt, deren „persönliche Aspekte bewertet werden“.

§ 2 Abs. 1 SchulDSVO
Die Schulleiterin oder der Schulleiter trägt mit Ausnahme der Datenverarbeitung durch Elternvertretungen die Verantwortung für die Beachtung des Datenschutzes. Sie oder er hat die Abläufe in der Schule entsprechend zu organisieren und die Einhaltung der Bestimmungen zu überwachen. […]

Im Anhörungsverfahren wollte die Schule u. a. mildernd geltend machen, der Hausmeister sei in Rente gegangen und nun nicht angemessen vertreten. Dieser sei in der Vergangenheit mit der Organisation der regelmäßigen Aktenvernichtung und auch mit der Aufsicht über das Gelände betraut gewesen. Hierauf erteilte das ULD einen klaren Hinweis auf die Gesamtverantwortung der Schulleitung:

Positiv hervorheben ließe sich lediglich, dass der Datenschutzbeauftragte schnell und umfangreich in die Aufarbeitung des Vorfalls eingebunden wurde. Ein Besuch des Datenschutzbeauftragten und eine Nachschulung des Schulpersonals zum Datenschutz erfolgten zeitnah.

 

4.7.2       Praktikumsbesprechung in der Schulstunde – Klasse entdeckt sensible Lehrernotizen

Die Offenlegung hochsensibler Angaben unter denkbar unglücklichen Umständen veranlassten eine Schülerin zur Beschwerde beim ULD. Im Vorjahr waren persönliche Gespräche einer Lehrkraft mit den Mitgliedern der Schulklasse vorausgegangen. Die betroffene Person berichtete in diesem Rahmen von schwerwiegenden Vorfällen in ihrem belasteten familiären Umfeld. Nach eigenen Angaben nahm die Lehrkraft diese Informationen als „persönliche Randnotizen für eine Teamsitzung“ auf.

§ 30 Abs. 10 SchulG
Für persönliche Zwischenbewertungen des allgemeinen Lernverhaltens und des Sozialverhaltens in der Schule sowie persönliche Notizen der Lehrkräfte über Schülerinnen, Schüler und Eltern bestehen die Rechte der betroffenen Personen gemäß Artikel 12 bis 21 der Verordnung (EU) 2016/679 nicht. Die Lehrkraft hat durch geeignete Maßnahmen sicherzustellen, dass diese Daten vor dem Zugriff unbefugter Dritter geschützt werden. […]

Zwar führt das Schulgesetz sogar eine eigene rechtliche Grundlage für persönliche Notizen über Schülerinnen und Schüler auf, weist aber auch auf die Schutzwürdigkeit solcher Daten ausdrücklich hin:

Ohnehin wäre ein Schutz der Vertraulichkeit auch nach dem allgemeinen Grundsatz des Art. 5 Abs. 1 Buchst. f DSGVO geboten, und zwar ausgerichtet an den möglichen Folgen eines unbefugten Zugriffs.

Dieser Schutz war letztlich nicht ausreichend gegeben. Die Lehrkraft wählte eine denkbar ungeeignete Art der Speicherung: Sie legte die Notizen, auch zu anderen Klassenmitgliedern, gesammelt als Tabelle an. In ebendieser Datei legte sie zu einem späteren Zeitpunkt ein weiteres Tabellenblatt zur Planung von Praktikumsplätzen der Klasse an. Zusammen mit der Praktikumsplanung landeten die sensiblen Notizen, zunächst noch unbemerkt, auf der Lernplattform der Schule.

Art. 34 Abs. 1 DSGVO
Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.

Während des Unterrichts geschah es, dass die Klasse die Aufzeichnungen entdeckte, wodurch immerhin zeitnah eine Löschung und Gespräche mit den Schülerinnen und Schülern über den Vorfall stattfinden konnten. Ausgerechnet die Beschwerdeführerin war an diesem Tag jedoch nicht anwesend. Sie erfuhr, auch bedingt durch Ferien, erst zweieinhalb Wochen später von dem Geschehen. Während die Lehrkraft zunächst beabsichtigte, die Schülerin unmittelbar zu kontaktieren, entschied die Schule anders – in Widerspruch zur Pflicht der unverzüglichen Benachrichtigung:

Daneben versäumte die Schule eine Meldung an die Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO. Solche organisatorischen Verfehlungen führten im Zusammenwirken mit individueller Unachtsamkeit dazu, den Kontrollverlust, der der betroffenen Person entstand, zu verschlimmern.

Zwar geschah die Offenlegung zweifellos unbeabsichtigt, das Schulpersonal hatte die Schwere des Vorfalls wohl erkannt, und die Schule hat im Anhörungsverfahren transparent an der Aufklärung des Sachverhalts mitgewirkt. Jedoch entschuldigt dies nicht die tiefgreifende Schädigung und Verunsicherung der betroffenen Schülerin. Das ULD hat daher eine Verwarnung ausgesprochen.

Was ist zu tun?
Gerade Aufzeichnungen mit sensiblem Charakter bedürfen einer sorgsamen und gesonderten Speicherung bzw. Aufbewahrung. Sie im Sinne der Speicherbegrenzung nach Art. 5 Abs. 1 Buchst. e DSGVO nicht länger als unbedingt nötig zu behalten, ist besonders wichtig. Mit Blick auf das Gebot der Datenminimierung nach Art. 5 Abs. 1 Buchst. c DSGVO sollte man sich auch stets fragen, ob manche Notizen nicht gänzlich unterbleiben können.

 

Zurück zum vorherigen Kapitel Zum Inhaltsverzeichnis Zum nächsten Kapitel