Weitergabe von Personendaten

Als Schule möchten wir eine neue digitale Lernanwendung für den Mathematikunterricht einsetzen. Der Anbieter verlangt folgende Personendaten für das Erstellen von Benutzerkonten:

• Benutzername 

• Schule 

• Alter

• Geburtsdatum

• Geschlecht

Dürfen wir diese Daten an den Anbieter herausgeben?

Schulleitungen tragen die Verantwortung für die Datenschutzkonformität der von ihnen verwendeten Lernanwendung. Bei der Entscheidung, ob personenbezogene Daten an Anbieter weitergegeben werden dürfen, gilt es mehrere datenschutzrechtliche Aspekte zu berücksichtigen.

Personendaten dürfen nur im Rahmen des schulischen Auftrags bearbeitet werden (definiert im Volksschulgesetz). Die Bearbeitung muss sich nach den Prinzipien des jeweiligen kantonalen Datenschutzgesetzes richten. Grundsätzlich gilt das Prinzip der Zweckbindung. Beispielsweise dürfen Daten nicht an private Online-Dienste übermittelt werden. Oftmals sind Alter, Geburtsdatum und Geschlecht für die Auftragserfüllung durch den Anbieter nicht notwendig und dürfen aus diesem Grund auch nicht weitergegeben werden.

Für jede Datenbekanntgabe an Dritte gilt als oberstes Prinzip die Verhältnismässigkeit. Das bedeutet, dass nur die Informationen weitergegeben werden dürfen, die für die jeweilige Aufgabenerfüllung notwendig sind.

Aufgrund der unterschiedlichen Voraussetzungen ist bei der Bekanntgabe von schulischen Informationen zu unterscheiden zwischen

• der internen Weitergabe,
• der externen Bekanntgabe,
• der Art der Informationen, 
• dem bekannt gebenden Organ,
• dem Datenempfänger.

Bei der Bekanntgabe von Personendaten gegenüber Anbietern handelt es sich um eine externe Bekanntgabe. Auskünfte an Dritte im öffentlich-rechtlichen Kontext dürfen nur bei Vorliegen einer ausdrücklichen Einwilligung der Eltern oder für die Erfüllung einer gesetzlichen Pflicht (gegenüber der Polizei, dem Migrationsamt, dem Schulpsychologischen Dienst usw.) erteilt werden.

Entscheidet sich eine Schulleitung für den Einsatz einer Lernanwendung, müssen die Schülerinnen und Schüler bzw. deren Erziehungsberechtigte ausreichend über die Lernanwendung informiert werden. Dazu gehören auch Informationen über mögliche Datenschutzeinstellungen.

Edulog

Im Auftrag der Kantone bietet Edulog eine einfache, sichere und mobile Lösung. Mit Edulog wird für Schülerinnen und Schüler, für Lernende sowie für die Mitarbeitenden von Bildungseinrichtungen der Zugang zu Online-Diensten in Schule und Unterricht vereinfacht und vereinheitlicht.

Edulog speichert selber keine Informationen. Diese bleiben unter der Kontrolle der Identitätsanbieter (Kanton, Gemeinde oder Schule). Beim Login übermittelt Edulog nur die wesentlichen Daten, die für eine Autorisierung beim Dienst notwendig sind. Welche Informationen an einen Dienst weitergeleitet werden, hält Edulog vertraglich fest. Den Nutzerinnen und Nutzer steht ein Dashboard zur Verfügung. Auf diesem Dashboard können sie jederzeit einsehen, welche Informationen Edulog während des Login-Vorgangs an welchen Dienst übermittelt hat. Zudem setzt Edulog alle zum Schutz der Daten notwendigen technischen und organisatorischen Massnahmen (TOM) um. Edulog analysiert laufend, welchen neuen Risiken die Daten potentiell ausgesetzt sein könnten und verbessert deren Schutz. 

Unser Schulsekretariat erhielt in den letzten Monaten vermehrt Anfragen von Erziehungsberechtigten, die wissen möchten, welche Daten in der Schule über ihr Kind vorliegen und wie wir diese verwenden oder allenfalls auch weitergeben. Vor allem auch den Übertritt in die Sekundarstufe I betreffend. 

Gerne möchten wir erfahren, ob und in welcher Form wir solche Anfragen beantworten sollen. Für uns stellen diese Anfragen einen erheblichen Zeitaufwand dar und wir sind an konkreten Handlungsempfehlungen interessiert. 

Ihre Frage betrifft das Auskunftsrecht, das zu den Betroffenenrechten (Art. 25 ff. des Bundesgesetzes über den Datenschutz bzw. entsprechende Bestimmungen in den kantonalen Datenschutzgesetzen) gehört. Es gibt den betroffenen Personen Instrumente an die Hand, um ihre Rechte aus dem Datenschutzgesetz gegenüber dem Verantwortlichen geltend zu machen. Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden. Das Auskunftsrecht gewährleistet eine transparente Datenbearbeitung. Bei Minderjährigen stehen die Betroffenenrechte den Sorgeberechtigten zu. Wenn in einer Schule regelmässig Betroffenenrechte geltend gemacht werden, lohnt es sich, interne Prozesse zu implementieren und Musterantwortschreiben vorzubereiten. Dies setzt voraus, dass in der Schule jede Datenbearbeitung bekannt ist und sie so weiss, welche Personendaten bearbeitet werden. Dafür bietet sich zum Beispiel ein Bearbeitungsverzeichnis oder Datenschutzmanagementsystem (DSMS) an.

Das Verzeichnis der Bearbeitungstätigkeiten enthält insbesondere:

1. die Identität der verantwortlichen Person
2. den Zweck der Bearbeitung
3. den Zeitraum der Aufbewahrung
4. die Beschreibung der technischen und organisatorischen Datensicherheitsmassnahmen (TOM), wobei am besten auf die internen IT-Sicherheitsrichtlinien verwiesen wird.

Das Auskunftsrecht kann jederzeit und grundsätzlich ohne Begründung geltend gemacht werden. In der Regel ist das Auskunftsbegehren schriftlich zu stellen. Die Auskunft muss grundsätzlich innerhalb von 30 Tagen kostenlos erteilt werden. 

Eine Musterantwort zum Auskunftsbegehren bietet der Kanton St. Gallen. Weitere Informationen zum Auskunftsrecht finden sich im Lexikon der Datenschutzbeauftragten des Kantons Zürich, auf der Website des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten wie auch im Leitfaden zu Datenschutz in den Schulen des Kantons Basel-Landschaft. 

Eine Schule überlegt, Informationen wie Klassenlisten, Stundenpläne und Kontaktdaten der Lehrpersonen auf einem Elternportal zugänglich zu machen. Ist dies aus datenschutzrechtlicher Sicht zulässig und was ist dabei zu beachten?

Die Frage, ob und in welchem Umfang Informationen wie Klassenlisten veröffentlicht und den Eltern zugänglich gemacht werden sollen, ist kritisch zu betrachten. Im Folgenden sind die wichtigsten Punkte aufgeführt, die für einen datenschutzkonformen Umgang zu beachten sind.

Einholen der Einwilligung: Es muss vorab die Einwilligung aller Betroffenen eingeholt werden sowie möglichst klar und transparent kommuniziert werden, wer alles Zugriff auf das Portal hat. Die Einwilligung ist aktuell zu halten und sorgfältig zu dokumentieren.

Beschränkung der Publikation: Falls eine Veröffentlichung auf dem Schulportal erfolgt (auch wenn ein Login erforderlich ist), sollte diese möglichst auf den Klassenverband beschränkt werden.

Zweckbindung und Datenminimierung: Lässt sich eine klassenübergreifende Veröffentlichung nicht vermeiden, ist darauf zu achten, dass die Zweckbindung und die Verhältnismässigkeit eingehalten werden. Das bedeutet, dass die Schule transparent machen muss, zu welchem Zweck sie die Daten benötigt. Personenbezogene Daten dürfen nur zu dem Zweck bearbeitet werden, zu dem sie erhoben wurden, und nur so lange, wie dies zur Erfüllung dieses Zwecks erforderlich ist. Danach sind sie zu vernichten oder zu anonymisieren.

Transparenz: Die betroffenen Personen müssen wissen, wie, wo und warum ihre Daten bearbeitet werden. Dies setzt voraus, dass alle Informationen über die Bearbeitung von Personendaten klar, zugänglich, nachvollziehbar und verständlich sind.

Unterschiedliche Einwilligungen für unterschiedliche Zwecke: Werden personenbezogene Daten für unterschiedliche Zwecke erhoben werden, z.B. für schulische Leistungen oder Ausflüge, ist für jeden Zweck eine gesonderte Einwilligung erforderlich. Pauschale Einwilligungen genügen in der Regel den gesetzlichen Anforderungen nicht.

Ein Anbieter von Sommerlagern möchte von Ihrer Schule die Namen und Mail- bzw. Postadressen von Schülerinnen und Schülern erhalten, um jenen Informationen und einen Flyer zum diesjährigen Sommerlager schicken zu können. Geben Sie als Schulsekretär die Daten heraus?

Sie dürfen als Schule die Personendaten wie Namen und Adressen der Schülerinnen und Schüler gemäss dem Volksschulgesetz Ihres Kantons für die Schulorganisation sammeln und bearbeiten. Es ist Ihnen jedoch nicht erlaubt, die Daten ausserhalb dieses Zwecks zu benutzen und an Dritte weiterzugeben. Die Werbung für ein ausserschulisches Sommerlager gehört nicht zum vom Volksschulgesetz abgedeckten Zweck der Schule. Beispielsweise können Sie dem Anbieter erlauben, ein Plakat des Sommerlagers am Schwarzen Brett anzupinnen und dort Flyer auszulegen. Denkbar wäre auch, dass die Klassenlehrpersonen die Informationen und den Flyer (freiwillig) verteilen, wenn das Angebot grundsätzlich mit dem Schulzweck vereinbar ist.

Betreffend der Verarbeitung von Personendaten gilt für öffentliche Schulen das jeweilige kantonale Datenschutzgesetz.

Lernende haben persönliche Informationen über mich als Lehrperson auf Social Media geteilt. Wie kann ich hier vorgehen?

Zunächst kommt es darauf an, um was für Informationen es sich handelt: falsche Informationen, frei zugängliche Informationen, Beleidigungen, Videos oder anderes? Vorab empfiehlt es sich, die entsprechenden Schülerinnen und Schüler, um die Löschung des Inhalts zu bitten.

Wenn Sie als Lehrperson einen Text oder ein Bild von sich von den sozialen Medien entfernt haben möchten, da diese Ihre Persönlichkeitsrechte verletzen, haben Sie die Möglichkeit sich bei der entsprechenden Social-Media-Plattform zu melden. Die Anbieterin respektive der Anbieter wird die Meldung prüfen und basierend auf ihrem Standard entsprechende Massnahmen ergreifen.

Sind durch die Publikation Persönlichkeitsrechte verletzt (z.B. unvorteilhafte oder unrichtige Darstellungen), greift der Persönlichkeitsschutz gemäss Art. 28 des Zivilgesetzbuchs (ZGB). Sie können dann vor dem Zivilgericht auf Unterlassung bzw. Beseitigung klagen. Zivilprozesse sind jedoch beweismässig und finanziell aufwändig.

Unter Umständen liegt sogar eine strafrechtliche Ehrverletzung gemäss Art. 173 Strafgesetzbuch (StGB) (üble Nachrede) vor – nämlich dann, wenn Sie als Lehrperson durch den Beitrag auf den sozialen Medien als nicht ehrbarer Mensch erscheinen. Sie müssten dann innert 3 Monaten Strafanzeige erstatten. Jedoch stellt nicht jede als ehrverletzend empfundene Aussage einen Straftatbestand dar.