Im schulischen Bereich findet seit Jahrzehnten und weit verbreitet Homeoffice statt, nicht erst mit dem Aufkommen der Pandemie. So werden Schularbeiten zu Hause ausgewertet und korrigiert, der Unterricht oder Konferenzen vorbereitet und mehr. Damit werden auch personenbezogene Informationen über Schülerinnen, Schüler, Eltern und andere Lehrkräfte im häuslichen Umfeld verarbeitet und aufbewahrt, sowohl in Papierform als auch digital.
Jede Variante des Homeoffice löst damit auch Datenschutzfragen aus:
- Muss die Arbeit zu Hause der Schulleitung gemeldet werden und warum?
- Wie sieht das Meldeverfahren aus? Muss ich ein bestimmtes Formular benutzen?
- Welche Kontrolle zur Einhaltung dieser Schutzmaßnahmen findet statt, gegebenenfalls auch in der privaten Wohnung der Lehrkraft, und durch wen?
Viele laufen mit der Herde. Der Kollegenkreis nimmt die Arbeit mit nach Hause, dann machen es die neuen Lehrkräfte ebenso. Eine gängige Praxis. Weiß die Schulleitung hiervon nichts, kann das Konsequenzen haben.
Die Meldung an die Schulleitung
Datenschutzrechtlich wechselt die Verantwortlichkeit im Sinn von Art. 4 Datenschutz-Grundverordnung (DS-GVO):
„Im Sinne dieser Verordnung bezeichnet der Ausdruck ‚Verantwortlicher‘ die natürliche oder juristische Person, Behörde, (…), die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (…).“
Wenn in den Räumlichkeiten der Schule noch die Schule selbst verantwortlich für den gesetzeskonformen Umgang mit den personenbezogenen Daten war, ist es zu Hause die betreffende Lehrkraft. Die Daten haben den öffentlichen Raum der Schule verlassen und sind in den privaten Bereich gelangt. Damit kann die Lehrkraft für den falschen Umgang mit Daten haftbar gemacht werden und zur Adressatin eines Bußgeldes der Datenschutzaufsicht werden. Behörden und damit auch die Schulen sind von Bußgeldern ausgenommen. Dieses Privileg entfällt zunächst für die Arbeit im privaten Umfeld.
Genau dies verhindert eine Meldung an die Schulleitung. Kennt die Schulleitung die häusliche Tätigkeit und erlaubt oder duldet sie sie, wird das „Zuhause“ zum schulischen Bereich. Die häusliche Arbeit wird der in der Schule gleich gestellt. Selbst für Fehler im Umgang mit den Schülerdaten haftet die Schule, nicht die einzelne Lehrkraft; ein Bußgeld ist nicht zu befürchten.
Wie muss die Meldung aussehen?
Tatsächlich stellt der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) hierfür ein Formular zur Verfügung, das man unter dem Kurzlink bit.ly/3qbedwo herunterladen kann. Das auf dieser HLZ-Seite abgebildete Formular ist einfach gehalten und es sind nur wenige Felder auszufüllen. Viele Lehrkräfte sind jedoch darüber irritiert, dass sie dem HBDI „im erforderlichen Fall die Wahrnehmung von Kontrollaufgaben“ im „häuslichen Umfeld“ ermöglichen sollen:
„Ich verpflichte mich, dem o.g. Personenkreis nach vorheriger Terminvereinbarung Zugang zur häuslichen Arbeitsstätte zu gewähren, damit dieser die Einhaltung der erforderlichen Maßnahmen zur Gewährleistung der IT-Sicherheit und des Datenschutzes überprüfen kann.“
Eher ungern möchte man einer Behörde den Zugang zu dem sehr privaten häuslichen Bereich gewähren. Die Alternative ist, der Schulleitung ein Schreiben zu schicken, das die häusliche Arbeit meldet und sich dabei inhaltlich anlehnt an dieses Formular, die genannte Passage aber weglässt.
Da stellt sich sofort die Frage, ob dies zulässig ist. Kurz gesagt: Ja. In vielen Bereichen gibt es einen gesetzlichen Formularzwang. So genügt es z.B. nicht, eine Steuererklärung als Prosatext abzugeben. Die Verwendung der vorgesehenen Formulare ist gesetzlich zwingend. Aber weder das Hessische Schulgesetz noch das Hessische Datenschutzgesetz oder die Datenschutzgrundverordnung verpflichten eine Lehrkraft, dieses Formular zu verwenden. Es ist vielmehr als Vereinfachung, als Hilfestellung für die Schulen gedacht, nicht als zwingende Vorgabe. Es kommt auf die Meldung an die Schulleitung über den häuslichen Arbeitsplatz als solche an, nicht darauf, diese Meldung in einer bestimmten Form durchzuführen. Allerdings ist die Schulleitung nicht verpflichtet, eine selbst formulierte Meldung zu akzeptieren, sie könnte die Meldung zurückweisen oder eine eigene Form vorschreiben. Deshalb erscheint es ratsam, Zusicherungen zu den Arbeitsbedingungen zu Hause zu machen, die die personenbezogenen Schülerdaten technisch und organisatorisch schützen, und so der Verpflichtung nach § 24 DS-GVO gerecht zu werden:
„Der Verantwortliche setzt (…) geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt.“
Empfehlungen des HBDI zur Verschlüsselung von Daten findet man auf seiner Homepage unter dem Kurzlink https://bit.ly/3B8LtLe.
Die Kontrolle der Einhaltung ist erforderlich für jeden „Verantwortlichen“, hier also für jede Schule, gleich ob die Verarbeitung von Schülerdaten in der Schule oder im häuslichen Bereich durchgeführt wird.
Kontrollen im häuslichen Umfeld
In den Räumlichkeiten der Schule sind die Schulleitung, der schulische Personalrat, der schulische Datenschutzbeauftragte und immer auch der HBDI in seiner Rolle als Datenschutzaufsichtsbehörde zuständig. Durch die häusliche Tätigkeit darf keine Kontrolllücke entstehen.
Da es an den Schulen sehr unterschiedliche Kulturen im Umgang mit Datenschutz oder Kontrollen gibt, sollte die Lehrkraft in dem Schreiben an die Schulleitung eine ihr vertrauenswürdige Person benennen. Das kann ein Mitglied des schulischen Personalrates sein, der oder die schulische Datenschutzbeauftragte, der IT-Beauftragte der Schulleitung oder auch eine externe Stelle, die das Vertrauen der Schulleitung und des Personalrats genießt. Bei einem konkreten Datenschutzvorfall sollte man auch einem Vertreter des HBDI den Zugang zur Wohnung gewähren. Daraus folgende behördliche Maßnahmen oder Auflagen richten sich wie dargestellt erst einmal an die Schule, nicht an die Lehrkraft. Eine vollständige Verweigerung von Kontrollen könnte, ja müsste dazu führen, dass die Schulleitung ein Verbot der häuslichen Arbeit ausspricht, um Kontrolllücken pflichtgemäß zu vermeiden.
Roland Schäfer
Roland Schäfer ist Fachkraft für Datenschutz und externer Datenschutzbeauftragter auch im schulischen Bereich. Er führt regelmäßig Seminare beim GEW-Bildungswerk lea durch. Kontakt: schaefer@datenschuetz.de