Hinweise zur Übermittlung personenbezogener Daten durch die Schule an andere Stellen

Fotolia_185184740_S.jpg

Bild Hand mit Personen

Die Verarbeitung personenbezogener Daten durch die Schule ist dann zulässig, wenn dies auf Grundlage eines Gesetzes oder der Einwilligung der Betroffenen erfolgt. Eine Ermächtigungsnorm für die Schule ergibt sich aus § 83 Abs. 1 des Hessischen Schulgesetzes sowie § 1 der Verordnung zur Verarbeitung personenbezogener Daten an Schulen.

Die Übermittlung personenbezogener Daten der Schüler, Eltern und Lehrer ist Teil des Datenverarbeitungsprozesses. Auch hierfür bedarf es einer Rechtsgrundlage oder aber der Einwilligung der Betroffenen. In der Verordnung zur Verarbeitung personenbezogener Daten in Schulen wird in den §§ 5-9 die Datenübermittlung, z.B. bei einem Schulwechsel oder zum Zwecke der Gesundheitspflege, geregelt. 

Die Verantwortung für die Zulässigkeit der Übermittlung personenbezogener Daten trägt die übermittelnde Stelle, also die Schule. Wenn jemand Lehrer-, Schüler-, oder Elterndaten bei der Schule erfragt, so hat er zunächst darzulegen, auf welche Rechtsgrundlage er sein Auskunftsersuchen stützt. Die Schule muss im Weiteren, insbesondere in Zweifelsfällen prüfen, ob die Rechtsgrundlage für die gewünschte Auskunft zutrifft. Diese Verpflichtung bestand bereits in der Vergangenheit und ändert sich auch durch die DS-GVO nicht.

Erfolgt die Übermittlung aufgrund eines automatisierten Verfahrens, welches die Übermittlung personenbezogener Daten durch Abruf ermöglicht, trägt die Verantwortung für die Rechtmäßigkeit des Abrufs der Dritte, an den übermittelt wird. Die übermittelnde Stelle prüft die Zulässigkeit des Abrufs nur, wenn dazu Anlass besteht. Sie hat zu gewährleisten, dass die Übermittlung personenbezogener Daten zumindest durch geeignete Stichprobenverfahren festgestellt und überprüft werden kann.  Für den Bereich der Schulen ist das jedoch eher ein Ausnahmefall.

Eine Datenübermittlung an andere Stellen hat aber oft zur Folge, dass damit eine Zweckänderung einhergeht.  Die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem sie erhoben wurden, ist nur in wenigen Fällen zulässig:

  • wenn sie zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer Gefahr für die öffentliche Sicherheit erforderlich ist,
  • wenn sie zum Schutz der betroffenen Person oder zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte und Freiheiten einer anderen Person erforderlich ist oder im Rahmen der rechtmäßigen Aufgabenerfüllung sich Anhaltspunkte für Straftaten oder Ordnungswidrigkeiten ergeben und die Unterrichtung der für die Verhütung, Verfolgung oder Vollstreckung zuständigen Behörden geboten erscheint oder
  • Angaben der betroffenen Person überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen.

Ferner gilt eine Verarbeitung mit den ursprünglichen Zwecken als vereinbar, wenn sie

  • für die Wahrnehmung von Aufsichts- und Kontrollbefugnissen benötigt wird,
  • der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen oder der Prüfung und Wartung von automatisierten Verfahren dient,
  • zu eigenen Aus- und Fortbildungszwecken dient, soweit schutzwürdige Belange der betroffenen Person nicht entgegenstehen.

Zusammenfassung:

Die Übermittlung personenbezogener Daten aus der Schule heraus darf nur aufgrund einer Rechtsgrundlage oder mit ausdrücklicher schriftlicher und informierter Einwilligung der Betroffenen erfolgen.

Die Datenübermittlung kann mit einer beabsichtigten Änderung des Zwecks verbunden sein, zu dem die Daten ursprünglich erhoben worden sind. Dies wäre aber nur in den vorgenannten Ausnahmefällen zulässig.

Die Übermittlung an private Einrichtungen sollte nur aufgrund ausdrücklich erklärter Einwilligungen der Betroffenen erfolgen.

SERVICE