Landesspezifische Beschränkungen für die Verarbeitung besonderer Datenkategorien

Die landesspezifischen Vorschriften enthalten kein allgemeines Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten im schulischen Kontext. Vielmehr umfasst der nach § 5 in Verbindung mit Anlage 2 SchulDSVO zulässige Datenbestand auch einzelne personenbezogene Daten, die zugleich besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO darstellen können. Beispielsweise Angaben zur Konfession oder zu gesundheitlichen Beeinträchtigungen und Behinderungen. Die Aufnahme in den schulischen Datenbestand bedeutet jedoch nicht, dass diese Daten uneingeschränkt in jeder digitalen Anwendung verarbeitet werden dürfen.

Für bestimmte IT-Verfahren sieht die SchulDSVO über die allgemeinen datenschutzrechtlichen Anforderungen der DSGVO hinaus zusätzliche Beschränkungen vor. Welche Vorgaben gelten, richtet sich nach dem konkreten Einsatzzweck der Anwendung.

Dabei sind insbesondere folgende Fälle zu beachten:

Wird die Anwendung für ein IT-Verfahren zur schulischen Kommunikation und Organisation nach § 11 Abs. 5 und 6 SchulDSVO (z. B. für Abwesenheitsmeldungen, Informationsschreiben an Eltern, die Vereinbarung von Sprechzeiten oder den Austausch kurzfristiger Nachrichten und Erinnerungen) genutzt, dürfen darin nach § 11 Abs. 7 SchulDSVO keine besonderen Kategorien personenbezogener Daten verarbeitet werden. In diesem Fall ist die Verarbeitung dieser Daten in dem betreffenden IT-Verfahren vollständig ausgeschlossen.
(Beispiel: Eltern dürfen die Abwesenheit des Kindes mitteilen, nicht jedoch ein Attest mitsenden.)
Wird die Anwendung hingegen als digitales Klassen- oder Kursbuch oder digitales Notizbuch genutzt, ist die Verarbeitung zulässig, es gelten jedoch die besonderen Vorgaben des § 13 SchulDSVO. So sieht § 13 Abs. 4 Nr. 3 SchulDSVO die Verarbeitung von Angaben über gesundheitliche Beeinträchtigungen ausdrücklich vor, soweit diese für die Beschulung relevant sind und ausschließlich in codierter Form verarbeitet werden. Der Zugriff ist grundsätzlich durch eine Zwei-Faktor-Authentisierung abzusichern. Eine Ausnahme gilt für lokal installierte digitale Notizbücher, sofern die besonderen Anforderungen an die eingesetzten Geräte sowie angemessene Sicherheitsmaßnahmen gemäß § 13 Abs. 3 in Verbindung mit § 15 SchulDSVO eingehalten werden (zum Beispiel Lehrkräfteendgeräte).
Wird die Anwendung zur schulischen Aktenführung eingesetzt, müssen die besonderen Vorgaben des § 7 SchulDSVO berücksichtigt werden. Insbesondere sind Krankmeldungen sowie sonderpädagogische Akten gesondert zu führen. Bei Schülerinnen und Schülern mit sonderpädagogischem Förderbedarf ist zwischen der sonderpädagogischen Akte des zuständigen Förderzentrums und der Schülerakte der besuchten Schule zu unterscheiden. Eine gemeinsame Verarbeitung ist nur hinsichtlich der für die individuelle Förderung erforderlichen Daten vorgesehen. Dies ist insbesondere relevant, wenn eine Anwendung zur digitalen Aktenführung oder zum gemeinsamen Zugriff auf entsprechende Informationen eingesetzt werden soll.
Wird eine Anwendung zur Datenverarbeitung des schulpsychologischen Dienstes eingesetzt, gelten zusätzlich die Anforderungen nach §§ 17 bis 19 SchulDSVO. In diesen Fällen dürfen insbesondere für die automatisierte Verarbeitung ausschließlich dienstlich bereitgestellte informationstechnische Geräte verwendet werden. Die Nutzung privater Geräte ist ausgeschlossen. Auch die Internetanbindung ist auf die in § 18 Abs. 2 SchulDSVO genannten Infrastrukturen beschränkt.

Prüffrage

Dürfen die bei der vorgesehenen Nutzung anfallenden besonderen Kategorien personenbezogener Daten nach den Vorgaben der SchulDSVO verarbeitet werden? Gelten hierfür besondere Beschränkungen oder ist ihre Verarbeitung in dem konkreten IT-Verfahren vollständig ausgeschlossen?