Datenschutz an Schulen (StMUK-Handreichung)

Online-Handreichung des StMUK (km.bayern.de) zur Umsetzung des Datenschutzrechts an bayerischen Schulen. Zielgruppe: Schulleitungen, Datenschutzbeauftragte (DSB), Lehrkräfte.

Rechtsquellen-Hierarchie

Vorrangregel: Bereichsspezifische Vorschriften (BayEUG, BaySchO) gehen BayDSG vor (Art. 1 Abs. 5 BayDSG).

Verantwortlichkeit

• Verantwortlicher (Art. 4 Nr. 7 DSGVO) ist stets die Schule — nicht einzelne Organe (Elternbeirat, SMV) oder Lehrkräfte.
• Die Schulleitung trägt besondere Verantwortung; wird unterstützt durch DSB und Multiplikatoren für Datenschutz (MB/Regierungen).
• Bei Videokonferenzen von Schulgremien nach § 18a BaySchO bleibt die Schule Verantwortliche.

Auftragsverarbeitung (Art. 28 DSGVO)

Wer personenbezogene Daten im Auftrag der Schule verarbeitet (Software-Anbieter, externe IT-Support-Firmen, Rechenzentren), ist Auftragsverarbeiter → AVV-Pflicht. Die Verantwortlichkeit der Schule ändert sich durch Auftragsverarbeitung nicht.

Unterauftragsverarbeiter: Auftragsverarbeiter müssen eigene (Unter-)AVV mit ihren Subunternehmern abschließen.

Zulässigkeit der Datenverarbeitung

Hauptrechtsgrundlagen

Grundsätze (Art. 5 DSGVO): Rechtmäßigkeit · Zweckbindung · Datenminimierung · Transparenz.

Einwilligung (Art. 4 Nr. 11 DSGVO)

Voraussetzungen für Wirksamkeit:
- Freiwillig — keine faktischen Nachteile bei Verweigerung (kein Unterrichtsausschluss)
- Informiert — Verantwortlicher, Zweck, Empfänger müssen benannt sein
- Zweckgebunden — auf bestimmten Zweck und bestimmte Verarbeitung bezogen
- Widerruflich — jederzeit mit Wirkung für die Zukunft; über Widerrufsrecht muss informiert werden
- Form: schriftlich empfohlen (Nachweispflicht nach Art. 7 Abs. 1 DSGVO)

Minderjährige: < 14 Jahre → mindestens ein Erziehungsberechtigter; ≥ 14 Jahre → zusätzlich die Schülerin/der Schüler selbst.

Informationspflichten (Art. 13/14 DSGVO)

Werden bei Erhebung direkt bei der Person: sofortige Mitteilung. Werden nicht bei der Person erhoben: binnen 1 Monat.

Umsetzung: StMUK stellt verbindliches Muster für Datenschutzhinweise im Internetauftritt staatlicher Schulen bereit (kommunale/private Schulen: empfohlen). Lösung: Grundinformationen im Formular + weitergehende Infos auf Schulhomepage (mit Direktlink).

Datenpannen (Art. 33/34 DSGVO)

Online-Meldeformular: BayLfD (datenschutz-bayern.de/service/data_breach.html).

Videoüberwachung (Art. 24 BayDSG, Anlage 2 Abschnitt 6 BaySchO)

Restriktive Handhabung aufgrund intensivem Eingriff in informationelle Selbstbestimmung.

Voraussetzungen:
1. Gefährdungsanalyse + Vorfallsdokumentation (Belege: Polizeiberichte, Anzeigen)
2. Verhältnismäßigkeit: Geeignetheit → Erforderlichkeit (mildere Mittel ausgeschlossen?) → Angemessenheit
3. Typisch zulässig: Eingangsbereich; außerhalb 22:00–6:30 Uhr; an Feiertagen/Wochenenden/Ferien

Pflichten bei Betrieb:
- Hinweisschilder (Transparenzgebot Art. 24 Abs. 2 BayDSG)
- Zugriff nur Schulleitung + beauftragte Mitarbeitende
- Löschfrist 3 Wochen (Anlage 2 Abschnitt 6 – Ziff. 5 BaySchO), außer für Strafverfolgung nötig
- DSB vorab informieren + Stellungnahme ermöglichen (Art. 12 Abs. 1 S. 1 Nr. 2 BayDSG)
- Audioübertragung/Aufzeichnung: unzulässig (keine Rechtsgrundlage)
- Wegfall Gefährdungstatbestand → Kamera ausschalten/abbauen

Digitale Kommunikation und Distanzunterricht

• Zulässige Verfahren: Anlage 2 Abschnitt 4 (Lernplattform) und Abschnitt 7 (Kommunikation/Kollaboration) BaySchO
• Entscheidung: Schulleitung im Einvernehmen mit Schulaufwandsträger + DSB
• Kamera-/Mikropflicht Schüler: Art. 56 Abs. 4 S. 4 BayEUG (auf pädagogische Anforderung)
• Lehrkräfte: Bild und Ton in der Regel bei Videoübertragungen (Art. 59 Abs. 2 S. 2 BayEUG)
• Schulgremien können digital tagen (§ 18a BaySchO) — keine besonderen Kategorien (z.B. Gesundheitsdaten) ohne Genehmigung StMUK

Private Schülerendgeräte (Art. 56 Abs. 5 BayEUG)

• Lehrkräfte dürfen Schülerhandys nicht ohne Einwilligung durchsuchen
• Nutzung privater Endgeräte: nur bei Gestattung durch aufsichtführende Lehrkraft
• Aufnahmen ohne Personenbezug: unproblematisch
• Von Schule veranlasste Aufnahmen mit Personenbezug: Einwilligungspflicht

Besondere Schulformen (Trägerschaft)

Bezüge zu anderen Wiki-Seiten

• src-bycs-messenger-datenschutz — Anlage 2 Abschnitt 7 BaySchO konkret: zulässige Inhalte, Ende-zu-Ende-Verschlüsselung (Matrix)
• src-handlungsleitfaden-ki-paedagogische-praxis — KI-Datenschutz: Checkliste, VIDIS, Rollenkonzept
• src-bdb-it-infrastruktur — Praxis AVV, DSGVO-Compliance Förderschule OBB
• src-ausbildungsgeraete-programm — Nutzungsbedingungen v6.0: Datenschutz MDM
• src-bayschfg — Art. 85 BayEUG verweist auf Aufgaben, die u.a. aus src-bayschfg erwachsen
• src-bayvv-paed-systembetreuung — IT-Support-Kräfte als potenzielle Auftragsverarbeiter
• src-msdigital-ki-msd — ByLKI schützt Metadaten; Gutachten-Verwertbarkeitsgrenzen bei Blackbox-KI