Wie die Seite DSGVO-Portal.de schon im November 2024 meldete, verhängte die italienische Datenschutzaufsicht Garante per la protezione dei dati personali gegen die Corso Matteotti-Schule ein Bußgeld von 1.000 €. Die Aufsichtsbehörde war durch eine Beschwerde von Betroffenen auf den Datenschutzverstoß aufmerksam geworden. Wie der Verfügung der Aufsichtsbehörde zu entnehmen ist, hatte man per E-Mail Kalendereinträge mit den Terminen von Sitzungen einer Arbeitsgruppe für schulische Inklusion mit Initialen der betroffenen Schülerinnen und Schüler (aufgeschlüsselt nach Klassenstufen) an Lehrkräfte, Eltern, Schülerinnen und Schüler und medizinisches Fachpersonal versendet. Empfänger waren dabei auch Eltern, deren Kinder nicht von den Sitzungen betroffen waren. Dadurch war potentiell anhand der Initialen „jedes einzelne Kind für jede Familie, die die E-Mail vom Sekretariat des Instituts erhalten hat, sofort erkennbar“. Die Aufsichtsbehörde nahm die schriftliche und mündliche Stellungnahme des Instituts, welches die E-Mails versandt hatte, zur Kenntnis, musste aber feststellen, dass die darin getätigten Aussagen nicht mit den tatsächlichen Daten übereinstimmten. Vorgeworfen wurde der Schule, dass
-
gesundheitsbezogene Informationen durch die bloße Einladung zu einem GLO-Treffen offenbart wurden (da ein solches Treffen gesetzlich mit sonderpädagogischem Förderbedarf verknüpft ist),
-
die verwendeten Initialen und der Kontext (Klasse, Schule, kleine Gemeinde) eine Identifizierbarkeit der betroffenen Kinder ermöglichten,
-
die Empfängerkreise zu weit gefasst waren (auch Eltern und Schüler*innen anderer Klassen) und damit personenbezogene Daten unrechtmäßig weitergegeben wurden.
Im Ergebnis wurde die Verletzung des Schutzes von personenbezogenen Daten als mittelgradig schwerwiegend eingestuft, insbesondere wegen der Sensibilität der betroffenen Daten (Gesundheit) und der Anzahl der betroffenen Schüler. Die Schule erhielt eine Verwaltungsstrafe von 1.000 Euro – die laut Begründung der Aufsichtsbehörde so gering ausfiel, weil es sich um ein einmaliges Versehen handelte, die Schule kooperierte, keine Vorsätzlichkeit festgestellt wurde und keine weiteren Verstöße bekannt waren.
Bewertung
Datenschutzverstöße von Schulen beim Versand von E-Mails kommen häufiger vor als man denkt. Gelegentlich geht es um Fälle, bei denen E-Mails mit sensiblen Inhalten an falsche Empfänger verschickt werden, häufiger werden E-Mails mit offenen Verteilern an alle Eltern einer Klasse oder der ganzen Schule übermittelt. Bußgelder wurden in Deutschland, auch wenn es zur Beschwerde bei einer Aufsichtsbehörde kam, nicht verhängt, da Schulen – zumindest bisher – nicht mit Bußgeldern belegt werden. Diese würde ohnehin nicht von den Schulen selbst beglichen, sondern von der zuständigen Schulaufsicht, in NRW eine Bezirksregierung. E-Mails sind ein heikles Thema, da Fehler hier leicht passieren und nach Absenden des E-Mails auch nicht mehr zu korrigieren sind. Hier hilft nur eines, schulische Mitarbeiter müssen sensibilisiert werden und dazu angehalten werden, bei ihrer Arbeit die erforderliche Sorgfalt walten zu lassen. Vor dem Absenden sollte man lieber zweimal prüfen, ob alles seine Richtigkeit hat.