Wie dem 42. Tätigkeitsbericht des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein der Landesbeauftragten für Datenschutz Schleswig-Holstein zu entnehmen, kam es im vergangenen Jahr an einer schleswig-holsteinischen Schule in es zur unbeabsichtigten Offenlegung hochsensibler Lehrernotizen an die gesamte Schulklasse. Im Vorjahr hatte eine Lehrkraft persönliche Gespräche mit Mitgliedern dieser Schulklasse geführt und dabei unter anderem Notizen über schwerwiegende Vorfälle im familiären Umfeld einer Schülerin der Klasse gemacht. Zu der Offenlegung der sensiblen Daten gegenüber der gesamten Klasse kam es durch einen gravierenden Fehler der Lehrkraft. Diese hatte Notizen in Form einer Tabelle unbeabsichtigt auf der Lernplattform der Schule gespeichert, wo sie für die gesamte Klasse zugänglich waren.1„Die Lehrkraft wählte eine denkbar ungeeignete Art der Speicherung: Sie legte die Notizen, auch zu anderen Klassenmitgliedern, gesammelt als Tabelle an. In ebendieser Datei legte sie zu einem späteren Zeitpunkt ein weiteres Tabellenblatt zur Planung von Praktikumsplätzen der Klasse an. Zusammen mit der Praktikumsplanung landeten die sensiblen Notizen, zunächst noch unbemerkt, auf der Lernplattform der Schule.„ Nach der Entdeckung wurden die Daten aus der Lernplattform gelöscht und es wurden Gespräche mit den Schülerinnen und Schülern der Klasse geführt. Doch ausgerechnet die betroffene Schülerin, von welcher sich sensible Informationen in der Tabelle befanden, war an diesem Tag nicht anwesend. Sie erfuhr, auch wegen der Ferien, erst zweieinhalb Wochen später von dem Vorfall. Die Schule hatte, obwohl die Lehrkraft selbst die betroffene Schülerin unverzüglich informieren wollte, sich entschieden, die Schülerin nicht sofort zu benachrichtigen, was sie gemäß Art. 34 Abs. 1 DS-GVO hätte tun müssen. Zudem unterblieb eine Meldung an die Aufsichtsbehörde nach Art. 33 Abs. 1 DS-GVO. Die betroffene Schülerin legte wegen der Offenlegung ihrer sensiblen personenbezogenen Daten gegenüber der Klasse Beschwerde bei der Aufsichtsbehörde ein. Nach Einschätzung der Aufsichtsbehörde führten die „ organisatorischen Verfehlungen […] im Zusammenwirken mit individueller Unachtsamkeit dazu, den Kontrollverlust, der
der betroffenen Person entstand, zu verschlimmern.“ Auch wenn die Lehrkraft erkannt, welche Folgen ihr Fehler für die betroffene Person hatte, und die Schule transparent an der Aufarbeitung des Falls mitwirkte, sprach die Landesbeauftragte für Datenschutz Schleswig-Holstein gegenüber der Schule eine Verwarnung gem. Art. 58 Abs. 2 lit. b DS-GVO aus.
Bewertung
Auch wenn die Ursache dieser Offenlegung eine Unachtsamkeit war, so zeigt der Fall sehr deutlich, welche Folgen es haben kann, wenn grundlegende Regeln zu Schutz und Sicherheit von personenbezogenen Daten in der Schule missachtet werden. Schulische Mitarbeiter sollten darauf achten, Daten, die der pädagogischen Dokumentation zuzuordnen sind2das meint Notenlisten, Notizen über Schüler, Protokolle über Elterngespräche, Gutachten, AO-SF Unterlagen, …, nicht in Plattformen verarbeitet werden, welche unterrichtlich genutzt werden. In diesem Fall kann man sicherlich von Fahrlässigkeit sprechen, vielleicht sogar von grober Fahrlässigkeit. Schulen sollten ihre Mitarbeitenden entsprechend schulen und sensibilisieren, um Fälle wie diesen zu vermeiden.