Wenn Lehrkräfte digital arbeiten wollen, dann schwebt das Thema „Datenschutz von Schülerdaten“ wie ein Damoklesschwert über ihnen. Besonders kritisch wird es, wenn du schülerbezogene Daten auf privaten Geräten verarbeitet möchtest. Das beginnt bei der Excel-Tabelle in der Noten eingetragen werden, bis hin zum Einsatz eines digitalen Lehrerkalenders.
Dabei ist die Panik vieler Lehrkräfte unbegründet, da es in jedem Bundesland eindeutige Gesetze, Erlasse und Verordnungen gibt, die den Datenschutz von Schülerdaten regeln. Die meisten von ihnen sind auch so formuliert, dass sie in der beruflichen Praxis gut und einfach zu verwirklich sind. In diesem Beitrag findest du Informationen zu den Datenschutzbestimmungen in deinem Bundesland!
Wichtiger Hinweis! Dieser Beitrag ist keine Rechtsberatung! Ich bin kein Jurist / Rechtsanwalt / Datenschutzexperte! Von daher kann und darf ich keine anwaltlichen Tipps geben und übernehme für die nachfolgenden Tipps keinerlei Haftung. Für eine genaue Auskunft, wende dich bitte an den Datenschutzbeauftragten deiner Schule.
Bayern
Gleich vorweg: Die Datenschutzbestimmungen in Bayern sind nicht derart eindeutig, wie sie es in anderen Bundesländern sind. Grundsätzlich gilt, dass Schulen in Bayern personenbezogene Daten von Schülerinnen und Schülern nur erheben, verarbeiten und nutzen dürfen, soweit dies zur Erfüllung ihrer zugewiesenen Aufgaben erforderlich ist.
Die Regelungen hierzu findest du im Bayerischen Gesetz über das Erziehungs- und Unterrichtswesen (BayEUG), Artikel 85.
Der Bayrische Datenschutzbeauftragte kündigt auf seiner Internetpräsenz an, dass die Handreichungen und Bestimmungen derzeit überarbeitet werden.
Darf ich Daten verarbeiten?
Ja.
Geregelt wird dies in der Bekanntmachung über erläuternde Hinweise zum Vollzug der datenschutzrechtlichen Bestimmungen für die Schulen, Absatz 4.3.
Darin heißt es, dass der Einsatz privater Geräte zur Erledigung dienstlicher Aufgaben im Allgemeinen nicht zulässig ist. Jedoch heißt es auch:
„Der Einsatz privater Rechner von Lehrkräften ist wegen der Besonderheit der Aufgabenwahrnehmung als ein […] Ausnahmefall anzusehen.“
Bekanntmachung über erläuternde Hinweise zum Vollzug der datenschutzrechtlichen Bestimmungen für die Schulen, Absatz 4.3
Welche Daten dürfen verarbeitet werden?
Es dürfen nur Daten von Schülern verarbeitet werden, die die Lehrkraft selbst unterrichtet bzw. deren Klassenleiter sie ist. Umfang und Art der Daten regelt wiederum die Verordnung zur Durchführung des Art. 28 Abs. 2 des Bayerischen Datenschutzgesetzes im Bereich der Anlage 6: Notenverwaltung.
In dieser Anlage wird geregelt, welche Daten verarbeitet werden dürfen. Wenn man sich das anschaut, dann kann man feststellen, dass eigentliche alles, was mit einem Schüler in Zusammenhang gebracht wird, erlaubt ist. Hier ist die Rede von Informationen zu
Familienname, Namensbestandteile, Vorname(n), Rufname, Geschlecht, Geburtsdatum, Geburtsort, Klasse, Klassenart, Unterrichtsart, Schule, Schulart, Jahrgangsstufe, Note, Art, Gewichtung, Datum der Leistungsbewertung, Zeugnisbemerkungen, (unentschuldigte) Versäumnisse, Erreichen des Klassenziels, und noch viel mehr …
Diese Daten dürfen maximal erhoben, verarbeitet und genutzt werden, wobei mir schon nicht mehr einfällt, was man noch erheben könnte.
Ich denke hier sollte der Grundsatz der Datensparsamkeit gewahrt werden. Ein Fachlehrer muss nicht mehr erheben und nutzen als Name, Klasse, Fach und die Leistungsdaten.
Die Daten müssen nach Beendigung des Schuljahres bzw. nach dem jeweiligen Zeugnistermin gelöscht werden.
Welche Daten dürfen nicht verarbeitet werden?
Es dürfen keine sensiblen Daten verarbeitet werden. Dazu gehören zum Beispiel Informationen zu Krankheiten oder Erziehungs- und Ordnungsmaßnahmen.
Was muss ich schulorganisatorisch beachten?
Generell muss der schulische Datenschutzbeauftragte über die Absicht der automatisierten Datenverarbeitung informiert werden und die Schulleitung muss eine Freigabe zur Verarbeitung erteilen. Hierfür gibt es in Bayern kein Formular; demnach kann der Antrag formlos gestellt werden.
Dies ist nicht notwendig wenn „nur“ die Daten erhoben werden, die in „Anlage 6 der Verordnung zur Durchführung des Art. 28 Abs. 2 des Bayerischen Datenschutzgesetzes“ genannt werden. Da das fasst alle Daten sind, die mit einem Schüler in Verbindung gebracht werden können, ist ein Antrag bei der Schulleitung eher als obligatorisch anzusehen.
Was muss ich technisch beachten?
Technisch gesehen verlangt das Kultusministerium kein Hexenwerk. Alle Forderungen gehören zum Usus, denke ich:
- dein benutztes Gerät muss durch ein Passwort geschützt sein
- wenn du einen USB-Stick benutzt, muss dieser verschlüsselt werden
- es muss sichergestellt werden, dass das Gerät, das du benutzt vor dem Zugriff Dritter geschützt ist
- die eingesetzten Betriebssysteme (Windows, Linux, MacOS, Android, iOS, …) müssen immer auf dem aktuellsten Stand und mit den aktuellsten Sicherheitsupdates ausgestattet sein
- wenn das von dir eingesetzte Gerät eine Verbindung in das Internet hat, muss ein aktueller Virenschutz sowie eine Firewall sichergestellt sein
- dienstliche Daten dürfen nur verschlüsselt gespeichert werden
- du hast dafür Sorge zu tragen, dass die Daten auch bei einem Totalausfall des Systems weiterhin verfügbar sind (Stichwort: Backups!)