Schülerdaten auf privaten Geräten von Lehrkräften in NRW

Grundsatz: nur mit schriftlicher Genehmigung

Wer als Lehrkraft personenbezogene Daten von Schülerinnen, Schülern oder Eltern auf einem privaten digitalen Gerät für dienstliche Zwecke verarbeitet, braucht nach § 2 Absatz 2 VO-DV I eine schriftliche Genehmigung der Schulleiterin oder des Schulleiters. Die Genehmigung enthält ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO.

Die Schulleitung darf sie nur erteilen, wenn

• die Verarbeitung nach Art und Umfang für die schulischen Aufgaben erforderlich ist und
• ein angemessener technischer Zugangsschutz nachgewiesen wird, etwa Gerätesperre und verschlüsselter Speicher.

Wenn es ein dienstliches Gerät gibt

Hat die Lehrkraft ein persönliches dienstliches Gerät für schulische Zwecke bekommen, darf keine Genehmigung für das Privatgerät erteilt werden. Eine bestehende Genehmigung erlischt mit der Aushändigung des Dienstgeräts. In begründeten Einzelfällen kann die Schulleitung die Nutzung des Privatgeräts vorübergehend zulassen und dokumentiert das.

Welche Daten erlaubt sind (Anlage 3)

Auf dem genehmigten Privatgerät dürfen nur die Daten aus Anlage 3 der VO-DV I verarbeitet werden:

Alles andere, etwa Gesundheitsdaten, Förderpläne oder Gutachten, gehört nicht auf das Privatgerät.

Nur ein Jahr aufbewahren

Für Daten auf privaten Geräten gilt nach § 9 Absatz 2 VO-DV I eine Aufbewahrungsfrist von einem Jahr. Alte Notenlisten und Klassenlisten also regelmäßig löschen, zum Beispiel zu jedem Schuljahresbeginn. Die längeren Fristen für die Schulakten stehen im Ratgeber Aufbewahrungsfristen.

Messenger, E-Mail und Telefon

Das Schulministerium beantwortet in seinen Fragen und Antworten zum Datenschutz mehrere Alltagsfragen:

• Telefonieren mit einzelnen Eltern vom Handy aus ist unproblematisch. Telefonnummern oder Namenslisten mit Kontaktdaten auf dem Handy zu speichern, braucht dagegen die Einwilligung der Betroffenen oder die Genehmigung der Schulleitung.
• WhatsApp erfüllt die datenschutzrechtlichen Voraussetzungen nicht, sobald personenbezogene Schülerdaten übermittelt werden.
• Die Genehmigung für das Privatgerät umfasst keine Korrespondenz über E-Mail-Dienste und Kommunikationsplattformen, die nicht von der Schule eingerichtet oder bereitgestellt wurden. Dienstliche Kommunikation läuft über schulische E-Mail-Adressen.

Mehr zur Kommunikation mit Eltern im Ratgeber Messenger und Datenschutz in NRW.

Checkliste für die Genehmigung

1. Gibt es ein dienstliches Gerät? Dann ist das der Weg, nicht das Privatgerät.
2. Welche Daten braucht die Lehrkraft wirklich? Nur Daten aus Anlage 3.
3. Zugangsschutz nachweisen: Gerätesperre, aktuelles Betriebssystem, verschlüsselter Speicher, keine Freigabe für andere Familienmitglieder.
4. Verzeichnis der Verarbeitungstätigkeiten in die Genehmigung aufnehmen.
5. Löschen nach einem Jahr einplanen.
6. Kommunikation mit Eltern über schulische Kanäle, nicht über private Messenger.

Und eine Schul-App auf dem Privathandy?

Viele Lehrkräfte nutzen eine Schul-App im Browser oder als App auf dem eigenen Handy. Ob und wie das in die Genehmigung gehört, klärt ihr am besten mit der oder dem Datenschutzbeauftragten für eure Schule. Hilfreich ist zu wissen, was auf dem Gerät landet:

• Schulwirken hält die Daten auf dem Server. Auf dem Gerät speichert die App nur ihre Hülle (Symbol und Offline-Seite), keine Schülerdaten.
• Push-Nachrichten und E-Mails nennen keine Namen oder Inhalte, sondern nur, dass es etwas Neues gibt. So steht nichts Persönliches auf dem Sperrbildschirm.
• Heruntergeladene Dateien, etwa ein PDF, liegen danach auf dem Gerät. Die Vorschau in der App kommt ohne Download aus.
• Die Schule ist der Kanal: Mit Schulwirken beauftragt sie einen Dienstleister per Auftragsverarbeitungsvertrag (AVV), statt dass Lehrkräfte private Messenger nutzen.

Quellen

• VO-DV I, § 2 Absatz 2, § 9 Absatz 2 und Anlage 3 (BASS 10-44 Nr. 2.1)
• Schulministerium NRW: Fragen und Antworten zum Datenschutz

Vorschriften ändern sich. Maßgeblich ist die jeweils aktuelle Fassung; im Zweifel hilft die Schulaufsicht oder die bzw. der Datenschutzbeauftragte für eure Schule. Fehler gefunden? Schreib uns an hallo@schulwirken.de.