Begriffsklärung
Lesedauer:5 Minuten
Personenbezogene Daten sind nach Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Das können unmittelbare Informationen sein, wie der Name der betroffenen Person, das Geburtsdatum und die Anschrift, aber auch mittelbare Daten wie die Personalnummer aus der Schulverwaltungs-Software (LUSD), IP-Adressen, Fotos oder Testergebnisse. Dabei ist es unerheblich, ob diese Daten in elektronischer Form oder Papierform vorliegen.
Daten, die besonders schützenswert sind, fallen in die besondere Kategorie personenbezogener Daten nach Art. 9 DS-GVO. Diese Daten berühren sensiblere Aspekte wie Angaben aus denen die politische Meinung hervorgehen, religiöse oder weltanschauliche Überzeugungen, die sexuelle Orientierung, genetische-, biometrische- und Gesundheitsdaten.
In Schulen sind das beispielsweise Angaben über den Ausstieg aus dem Religionsunterricht, Allergien, Ernährungsbedürfnisse, die Hinweise auf die Gesundheit oder auf eine Religionszugehörigkeit geben. Auch Fotos können zu den besonders geschützten Daten gehören, soweit sie eine biometrische Vermessung des Gesichts ermöglichen (biometrische Daten).
Grundsätzlich ist die Verarbeitung dieser besonderen Kategorien von personenbezogenen Daten untersagt, allerdings gibt es eine Reihe von Ausnahmen (Erlaubnistatbestände) nach denen die Verarbeitung in Schulen wiederum gestattet ist.
Die Verarbeitung ist nach Art. 9 DS-GVO zulässig, wenn ein bereichsspezifisches Gesetz einschlägig ist, wie zum Beispiel das HSchG in Verbindung mit der SchDSV, die die Verarbeitung erlaubt. Die Verarbeitung ist auch dann zulässig, wenn die betroffene Person ausdrücklich in die genannte Verarbeitung eingewilligt hat. Die SchDSV räumt in diesem Zusammenhang unter anderem nach § 24 die Datenverarbeitung im Bereich der sonderpädagogischen Förderung ein.
Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden, […]
Für die Verarbeitung dieser besonders sensiblen Daten müssen hohe Schutzmaßnahmen ergriffen werden, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können.
Beispiel für eine Pseudonymisierung personenbezogener Daten
Beispiel für eine Anonymisierung personenbezogener Daten
Eine Verarbeitung findet nach Art. 4 Nr. 2 DS-GVO bei allen auf personenbezogene Daten gerichteten Vorgängen statt, wie das Erheben, Erfassen, Ordnen, Speichern, Abfragen, Übermitteln, Bereitstellen, Verbreiten, Verknüpfen oder Vernichten. Hierbei ist es unerheblich, ob die Daten manuell oder automatisiert (beispielsweise mittels Computer) verarbeitet werden.
Beispiele aus dem schulischen Bereich sind die Nutzung der LUSD, Führen einer Schülerakte oder des papiergebundenen Klassenbuchs, schriftliche Kommunikation mit den Eltern, Veröffentlichung von Informationen mit Personenbezug auf einer Schulhomepage. Jede Verarbeitungstätigkeit muss in einem Verzeichnis von Verarbeitungstätigkeiten dokumentiert werden.
