Mit dem Thema Aufbewahrungs- und Löschfristen tun sich viele Schulen schwer. Nur wenige Schulen haben nach Erfahrung des Verfassers dieses Beitrags ein Löschkonzept, in welchem sie die praktische Umsetzung der im Schulrecht vorgesehenen Löschfristen festgeschrieben haben.1Siehe hierzu den Beitrag: Aufbewahrungsfrist abgelaufen und jetzt? In der Praxis bedeutet das, Daten werden vielfach über die vorgesehenen Aufbewahrungsfristen hinweg gespeichert. Das betrifft aktuell vor allem analoge Datenbestände wie Klassenbücher, Abiturprüfungen und damit verbundene Unterlagen, Kollegiumslisten und ähnlich. Aber auch digitale Bestände sind betroffen, da die Umsetzung von Löschfristen hier deutlich komplexer ist, vor allem wenn es dabei auch um Sicherungsmedien geht, in welchen Daten in mehrfachen Kopien vorliegen können.
Schulen erhalten inzwischen relativ regelmäßig Auskunftsersuchen gem. Art. 15 DS-GVO. Dabei ist auch folgender Fall durchaus vorstellbar. Ein ehemaliges Mitglieder der Schülerschaft einer Schule, welches jetzt selbst Elternteil eines Kindes an dieser Schule ist, hat in einem Widerspruchsverfahren gehen eine Zeugnisnote kein Recht bekommen und möchte sich dafür bei der Schule revanchieren, indem ein vollumfängliches Auskunftsersuchen gestellt wird. Der Person ist von einem Ehemaligentreffen mit Besichtigung der Schule und Einsicht in die alten Abiturprüfungen und aus Gesprächen mit Lehrkräften bekannt, dass in den Archiven der Schule noch Unterlagen von Schülerjahrgängen liegen, deren Aufbewahrungsfristen schon lange abgelaufen sind. Auch Unterlagen der Person gehören dazu.
Die Schulleitung erhält das Auskunftsersuchen der Person und ihr wird dabei klar, dass sie auch eine Auskunft zu personenbezogenen Daten erteilen müsste, welche längst hätten gelöscht sein (oder gegebenenfalls an ein Archiv übermittelt worden sein) müssen. Was tun, fragt sie sich? Sollte sie auch Auskunft bezüglich der über die Aufbewahrungsfrist hinaus aufbewahrten Daten geben oder sollte sie die Daten nun eben schnell löschen bzw. vernichten samt den vielen anderen längst überfälligen Daten, sich so des Problems entledigen?
Nach der aktuellen Rechtsprechung des Verwaltungsgerichts Düsseldorf (29 K 7470/24) ist genau letzteres Vorgehen rechtlich unzulässig. Das Gericht stellt im Leitsatz zum Gerichtsbescheid klar:
„Die Erfüllung der Informationspflicht des Verantwortlichen und mit ihr der Wegfall des Zwecks der Verarbeitung tritt frühestens ein, nachdem dem Auskunftsantragsteller die begehrten Informationen vollständig und innerhalb der maßgeblichen Frist zur Verfügung gestellt wurden.„
Das bedeutet, solange ein Auskunftsersuchen anhängig ist, dürfen die betroffenen personenbezogenen Daten nicht gelöscht oder vernichtet werden, wenn dadurch die Erfüllung des Auskunftsanspruchs vereitelt oder verkürzt würde.
Übertragen auf den angenommenen Fall in der Schule bedeutet dieses:
- Die Speicherung über die Aufbewahrungsfrist hinaus war bereits rechtswidrig.
- Das ändert jedoch nichts daran, dass die Daten faktisch noch vorhanden sind.
Das eingegangene Auskunftsersuchen verpflichtet die Schule zu einer vollständigen Auskunft. Dabei bezieht sich diese Pflicht auf alle personenbezogenen Daten, die zum Zeitpunkt der Antragstellung noch verarbeitet werden, unabhängig davon, ob sie rechtmäßig gespeichert wurden oder nicht.
Mit einer vorsorglichen Löschung nach Eingang des Auskunftsersuchens würde die Schule einen neuen Datenschutzverstoß begehen, da sie damit den Auskunftsanspruch der betroffenen Person unterlaufen und ihr die Möglichkeit, die Datenverarbeitung zu überprüfen, nehmen würde. Das VG Düsseldorf hat in seinem Bescheid ausdrücklich hervorgehoben, dass durch eine Löschung während eines laufenden Auskunftsverfahrens die Kontrolle der Rechtmäßigkeit der Verarbeitung abgeschnitten wird.
Die Schulleitung sollte in einem solchen Fall von daher:
- keine vorschnelle Löschung der betreffenden Altbestände vornehmen,
- das Auskunftsersuchen vollständig und fristgerecht beantworten,
- offenlegen, welche personenbezogenen Daten noch gespeichert sind,
- und erst nach Abschluss des Auskunftsverfahrens unverzüglich die überfällige Löschung nachholen.
Außerdem sollte sie dokumentiert:
- warum die Löschung bislang nicht erfolgt ist,
- welche organisatorischen Defizite bestanden,
- welche Maßnahmen nun ergriffen werden (z. B. Erstellung eines Löschkonzepts).
Bewertung
Der Bescheid des Gerichtes sollte für Schulen ein Fingerzeig sein, sich mit dem Thema Löschkonzept zu befassen und dieses dann auch wirksam umzusetzen. Es sollte gar nicht erst soweit kommen, dass eine Schule personenbezogenen Daten – in welcher Form auch immer – über ihre Aufbewahrungsfrist hinaus speichert. Möchte man vermeiden, dass alte Abiturunterlagen und -zeugnisse vernichtet werden müssen, kann man immer noch versuchen, sie dem örtlichen Archiv anzubieten. Werden Daten über die Frist hinaus aufbewahrt, muss nur das eine zum anderen kommen und die Schule muss Daten beauskunften, welche längst nicht mehr hätten vorhanden sein sollen. Das kann dann eine Beschwerde bei der Aufsichtsbehörde nach sich ziehen und im schlimmsten Fall Schadensersatzforderungen.
An Schulen könnte man auch auf die Idee kommen, Unterlagen mit personenbezogenen Daten zu löschen, die noch innerhalb der Aufbewahrungsfristen liegen, deren Aushändigung in Form einer Datenkopie im Rahmen eines Auskunftsersuchen man jedoch – aus welchen Gründen auch immer – unbedingt vermeiden möchte. Auch das ist nicht statthaft und dürfte zu deutlich ernsthafteren Problemen als im oben beschriebenen hypothetischen Fall führen, wenn es bekannt wird.