Auskunftsrecht nach Art. 15 DS-GVO

In der Schule kann ein Auskunftsbegehren von den Eltern, Schülerinnen und Schülern sowie von Lehrkräften gestellt werden. Die Schulleiterin oder der Schulleiter muss die anfragende Person über alle über sie gespeicherten personenbezogenen Daten informieren, die zum Zeitpunkt des Auskunftsersuchens in der Schule verfügbar sind. 

Das betrifft auch die Daten, die bei den Lehrkräften vorliegen. Hierbei spielt es keine Rolle, ob diese Daten analog oder digital auf einem dienstlichen oder privaten Endgerät vorliegen. 

Bei der Bearbeitung eines Auskunftsbegehrens können die Verzeichnisse von Verarbeitungstätigkeiten (VVT) herangezogen werden, da sich hieraus ergibt, ob und welche personenbezogenen Daten der betroffenen Person zu welchen Zwecken und aufgrund welcher Rechtsgrundlage verarbeitet werden.

Die Bearbeitung des Antrags muss

• unverzüglich,
• unentgeltlich,
• wenn möglich in analoger Form und
• in verständlicher Art und Weise erfolgen.

Die Auskunft muss nach Art. 12 Abs. 3 Satz1 DS-GVO innerhalb eines Monats erteilt werden. Bedarf es aufgrund des Umfangs oder der Komplexität der Auskunft einer längeren Bearbeitungszeit, kann die Schule nach Art. 12 Abs. 3 Satz 3 DS-GVO eine Fristverlängerung um zwei Monate festlegen, vorausgesetzt die Schulleiterin oder der Schulleiter hat die betroffene Person über die Fristverlängerung und die Gründe der Verzögerung innerhalb des ersten Monats informiert.

Frist für die Auskunftsteilung

Darstellung der Verfahrensschritte nach Eingang des Auskunftsersuchens

Rechtmäßigkeit überprüfen

Nach Eingang des Antrags muss unverzüglich geprüft werden, ob die Schule als datenverarbeitende Stelle personenbezogene Daten von der auskunftssuchenden Person verarbeitet. Liegt keine personenbezogene Datenverarbeitung bezüglich der auskunftssuchenden Person vor, besteht der Anspruch auf eine sogenannte Negativauskunft. Hierbei muss darauf geachtet werden, dass bereits die Bearbeitung der Negativantwort (das Antwortschreiben muss an den Adressaten versendet werden) eine Verarbeitung personenbezogener Daten darstellt. Daher sollte im Antwortschreiben aufgeführt werden, dass außer diesen Daten keine weiteren Daten verarbeitet werden. Eine mögliche Formulierung könnte so aussehen:

Aufgrund der Verjährungsfrist empfiehlt es sich die Negativauskunft drei Jahre aufzubewahren (vgl.: § 31 Abs. 2 Nr. 1 Gesetz über Ordnungswidrigkeiten (OWiG) in Verbindung mit § 41 Abs. 1 Bundesdaten-schutzgesetz (BDSG) unter Verweis auf Art. 83 Absatz 5 Buchst. b DSGVO). Zu beachten ist jedoch, dass bereits durch die Bearbeitung der Negativauskunft personenbezogene Daten bei der Schule erstmalig erhoben werden und diese bei einem eventuellen weiteren Auskunftsersuchen zu berücksichtigen wären.

Identitätsprüfung

Liegen personenbezogene Daten der auskunftssuchenden Person vor, muss als nächstes geprüft werden, ob es sich bei der Antragstellerin oder dem Antragsteller tatsächlich um die betroffene Person handelt. Wenn die auskunftssuchende Person persönlich in der Schule erscheint, kann die Identitätsprüfung direkt erfolgen. Dies kann erfolgen durch Vorlage von Ausweispapieren oder im Fall von Schülerinnen und Schülern sowie Lehrkräften durch persönliche Identifizierung.

Stellen Schülerinnen oder Schüler ein Auskunftsersuchen, muss zudem geprüft werden, ob die betroffene Person aufgrund ihres Alters eine eigenständige Anfrage stellen darf. Hierbei kann die Schule sich an den Regelungen zum Akteneinsichtsrecht orientieren, siehe Nr. 3.3.6. Wenn Eltern ein Auskunftsersuchen zur Datenverarbeitung ihres Kindes stellen, muss geprüft werden, ob diese Eltern auch wirklich erziehungsberechtigt sind. Ist die Anfrage nicht rechtmäßig, muss dies begründet werden und der Antragstellerin oder dem Antragsteller innerhalb eines Monats mitgeteilt werden. 

Form der Auskunftserteilung

Eine gesetzliche Vorgabe, in welcher Form das Auskunftschreiben erteilt werden muss, gibt es nicht. Aus Sicherheitsgründen empfiehlt es sich, die Auskunftserteilung auf postalischem Weg an die benannte Adresse (Meldeadresse) zu senden. Häufig wiederholte Anträge können nach Art. 12 Abs. 5 DS-GVO als exzessiv gewertet werden. Bestehen Unklarheiten darüber, ob ein exzessiver Antrag in Betracht kommt, sollte dies immer mit dem Staatlichen Schulamt und mit dem schulischen Datenschutzbeauftragten abgeklärt werden.

Folgende Informationen müssen der Antragstellerin oder dem Antragsteller mitgeteilt werden:

• die Verarbeitungszwecke,
• die Kategorien der personenbezogenen Daten, die verarbeitet werden,
• die Empfänger bzw. die Kategorien von Empfängern, die diese Daten bereits erhalten haben oder künftig noch erhalten werden,
• die Aufbewahrungs- und Löschfristen,
• die Betroffenenrechte (Recht auf Berichtigung oder Löschung der gespeicherten Daten, Einschränkung der Verarbeitung oder Widerspruchsrecht gegen diese Verarbeitung),
• das Beschwerderecht für die betroffene Person bei der Aufsichtsbehörde,
• die Herkunft der Daten, soweit diese von der betroffenen Person (Schülerinnen und Schüler, Eltern und Lehrkräfte) nicht selbst erhoben wurden,
• die automatisierten Entscheidungsfindungen im Rahmen der Datenverarbeitung und die Informationen über die Logik dahinter und die Tragweite der Entscheidungen und
• ob Datenübermittlungen an Drittländer stattgefunden haben und welche Maßnahmen den datenschutzkonformen Umgang garantieren.