DSGVO: Welche Schülerdaten dürfen Lehrkräfte erheben?

Wer wofür verantwortlich ist

Das ist der am wenigsten verstandene Punkt — und alles Weitere hängt davon ab.

• Die Einrichtung ist Verantwortliche. Sie entscheidet, warum und wie Daten verwendet werden. Eine Lehrkraft handelt in diesem Rahmen, nicht privat.
• Der Anbieter des Werkzeugs ist Auftragsverarbeiter. Er verarbeitet Daten im Auftrag der Einrichtung nach deren Weisung und darf sie zu keinem anderen Zweck nutzen.
• Eine Datenschutzbeauftragte Person gibt es in den meisten Organisationen. Sie ist Ansprechpartnerin vor der Einführung eines Werkzeugs, nicht nach einem Vorfall.

Praktische Folge: Wer allein ein Werkzeug einführt, verpflichtet seine Einrichtung, ohne dass diese davon weiß. Das ist kein moralisches Versagen, sondern ein verbreiteter blinder Fleck — und genau das verhindert das folgende Vorgehen.

Auf welcher Grundlage darf verarbeitet werden?

Jede Verarbeitung braucht eine Rechtsgrundlage. Im Bildungsbereich ist die häufigste nicht die, die man vermutet.

• Aufgabe im öffentlichen Interesse — die übliche Grundlage im staatlichen Schulwesen. Unterrichten, prüfen und Lernfortschritt begleiten gehören zum Auftrag der Einrichtung.
• Vertragserfüllung — üblich in privaten Einrichtungen und in der beruflichen Weiterbildung: Die Person hat sich dafür angemeldet.
• Einwilligung ist selten die richtige Grundlage. Sie setzt eine freie Entscheidung voraus, was zwischen Lernenden und Lehrkraft fraglich ist. Eine Einwilligung, die man nicht folgenlos verweigern kann, ist keine wirksame Einwilligung.

Für alles außerhalb des Unterrichtsrahmens bleibt die Einwilligung einschlägig: ein Foto veröffentlichen, Arbeiten außerhalb der Klasse zeigen, einen freiwilligen Dienst nutzen.

Was vertretbar ist — und was nicht

Der Grundsatz der Datenminimierung lässt sich mit einer einzigen Frage prüfen: Funktioniert die Aktivität auch ohne dieses Datum? Wenn ja, erheben Sie es nicht.

• Ein Vorname für die Dauer einer Aktivität — in nahezu allen Fällen vertretbar. Er ordnet während der Stunde eine Antwort zu, mehr nicht.
• Vor- und Nachname — vertretbar, wenn Sie den Fortschritt einer identifizierten Person über die Zeit verfolgen oder eine Bescheinigung ausstellen müssen.
• Private E-Mail-Adresse — für eine Unterrichtsaktivität selten nötig. Ein Link an der Tafel erspart diese Erhebung.
• Geburtsdatum, Anschrift, Telefonnummer — ohne Bezug zur Unterrichtsaktivität. Diese Daten gehören in die Verwaltungsakte der Einrichtung.
• Fotos und Aufnahmen — eigener Regelungsbereich, der besondere Information und außerhalb des rein pädagogischen Rahmens eine Zustimmung verlangt.

Der nützliche Reflex ist der umgekehrte: Fragen Sie nicht «Darf ich das erheben?», sondern «Worauf kann ich verzichten?». Eine Aktivität, die mit einem spontan eingegebenen Vornamen auskommt, ist weit leichter zu begründen als ein ausgefülltes Lernendenkonto.

Wie lange aufbewahren und wie löschen

Die Speicherdauer ist die am häufigsten vergessene Pflicht. Daten sollen nicht unbegrenzt bleiben, weil sie «vielleicht mal nützlich» sind.

• Aktivitätsspuren aus dem Unterricht (Teilnahmen, Antworten) haben über das Schuljahr hinaus keinen Zweck. Am Jahresende löschen.
• Prüfungsergebnisse bleiben für die Dauer des Bildungsgangs und unterliegen danach den Archivregeln der Einrichtung.
• Konten abgegangener Lernender müssen gelöscht werden. Das ist der am häufigsten vergessene Bestand — und der bei einem Vorfall am stärksten exponierte.

Prüfen Sie, ob das Werkzeug wirklich löscht und nicht nur ausblendet. Eine «Archivierung», die alles unbegrenzt behält, erfüllt die Pflicht nicht.

Betroffene haben Rechte, die Sie erfüllen können müssen: Auskunft, Berichtigung, Löschung. Eine Familie, die schreibt, muss binnen eines Monats eine Antwort erhalten.

Sieben Fragen vor der Einführung eines Werkzeugs

Diese Liste passt auf eine Seite und lässt sich jedem Anbieter stellen. Eine ausweichende Antwort ist selbst schon eine Antwort.

• Welche Daten werden genau erhoben, und welche Felder sind freiwillig?
• Wo werden sie gehostet? Ein Hosting in der Europäischen Union vereinfacht die Sache erheblich.
• Gibt es Übermittlungen außerhalb der EU? Wenn ja, auf welcher rechtlichen Garantie?
• Existiert ein Auftragsverarbeitungsvertrag? Er ist verpflichtend und sollte ohne Verhandlung vorgelegt werden.
• Welche Speicherfristen gelten, und ist die Löschung wirksam?
• Gibt es Werbetracker oder einen Weiterverkauf von Daten? Im schulischen Umfeld muss die Antwort Nein lauten.
• Können Lernende ohne Konto teilnehmen? Das ist oft der einfachste Weg, das Thema auf nahezu nichts zu reduzieren.

Halten Sie die Antworten schriftlich fest: Sie bilden den größten Teil der Unterlagen, die Ihre Datenschutzbeauftragte Person verlangen wird.

Dieser Artikel beschreibt allgemeine Grundsätze und stellt keine Rechtsberatung dar. Wenden Sie sich für den Einzelfall an die Datenschutzbeauftragte Person Ihrer Organisation.