Die Schülerakte

– vom Umgang mit sensiblen Daten bei der Schulbehörde

Eine gute Aktenführung ist das Grundprinzip der rechtsstaatlichen Verwaltung, denn sie macht Verwaltungsvorgänge nachvollziehbar und überprüfbar.

Die Schulbehörde führt eine Schülerakte über jede*n Schüler*in.

Über jede Schülerin und jeden Schüler wird eine Schülerakte geführt; sie ist vertraulich zu behandeln und vor unbefugter Einsicht zu schützen. Zur Schülerakte gehören alle Unterlagen einschließlich der in Dateien gespeicherten, die die Schülerin oder den Schüler betreffen, soweit sie mit dem Schulverhältnis in einem unmittelbaren Zusammenhang stehen (Schüleraktendaten). Die Übermittlung personenbezogener Daten an andere öffentliche Stellen ist zulässig, soweit die Kenntnis der Daten zur Erfüllung der dem Empfänger durch Rechtsvorschrift zugewiesenen Aufgaben erforderlich ist. (§ 83 Abs. 1 HschG)

Eltern und volljährige Schüler*innen haben das Recht, Einsicht in die Schülerakte zu nehmen.

Jugendliche, die Eltern und volljährige Schülerinnen und Schüler haben das Recht, Akten der Schule, Schulaufsichtsbehörden und des schulärztlichen Dienstes, in denen Daten über sie gespeichert sind, einzusehen. Die Einsichtnahme ist unzulässig, wenn die Daten der Betroffenen mit Daten Dritter derart verbunden sind, dass die Trennung nicht oder nur mit unverhältnismäßig großem Aufwand möglich ist. In diesem Fall ist den Betroffenen über die zu ihrer Person gespeicherten Daten Auskunft zu erteilen. (§ 72 Abs. 5 HSchG)

Die sensiblen Daten des Kindes hat die Schule in besonderer Weise zu schützen:

(6) Daten über gesundheitliche Beeinträchtigungen und körperliche Behinderungen dürfen … nur mit der Einwilligung der Eltern oder der volljährigen Schülerin oder des volljährigen Schülers verarbeitet werden. Medizinische und psychologische Gutachten und sonstige Unterlagen mit besonders sensiblen Daten werden in einem verschlossenen Umschlag in die Schülerakte eingeheftet. Bei Einsichtnahme in diese Unterlagen müssen der Name der Leserin oder des Lesers, das Datum und der Grund der Einsichtnahme auf dem Umschlag mit Unterschrift versehen vermerkt werden. Der Umschlag ist nach jeder Einsichtnahme wieder zu verschließen. Sind solche Daten in elektronischen Dateien gespeichert, so ist sicherzustellen, dass die Speicherung nur auf Datenverarbeitungseinrichtungen der Schule und in verschlüsselter Form erfolgt und der Zugangs- und Zugriffsschutz nach § 10 des Hessischen Datenschutzgesetzes beachtet wird. (§ 1 Abs. 6 Verordnung über die Verarbeitung personenbezogener Daten in Schulen und statistische Erhebungen an Schulen vom 4. Februar 2009 in der geltenden Fassung)

Ordnungsgemäße Aktenführung

Vorgeschrieben ist die chronologische Führung der Akten von „hinten nach vorne“, d.h. die neuesten Aktenblätter werden immer obenauf geheftet. Die Paginierung von Akten schützt Eltern und ihr Kind vor der Manipulierung der Schülerakte im Verlauf der Schulzeit.

Es gilt der Grundsatz der Datenminimierung.

Es dürfen nur die wirklich erforderlichen Daten erhoben werden, die dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“) müssen (Art. 5 Abs. 1 c DSGVO)
Beispiel: Wenn die Schulleiterin also stetig Notizen und Einträge (ohne Wissen der Eltern) der Lehrkräfte über das Verhalten des Kindes in der Akte sammelt, so verstößt das sowohl gegen die ordnungsgemäße Aktenführung als auch gegen den Datenschutz. Die Eltern sollten auf der Löschung solcher Einträge bestehen.

Der Eintrag von Ordnungsmaßnahmen ist nach den Maßgaben von § 82 Abs. 10 HSchG zulässig, aber befristet. Er ist „spätestens am Ende des zweiten Schuljahres nach der Eintragung zu löschen, sofern nicht während dieser Zeit eine erneute Ordnungsmaßnahme getroffen wurde“.

Gem. Art. 17 Abs. 1 DSGVO hat die betroffene Person das Recht zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Art. 6 Abs. 1 Lit. a DSGVO oder Art. 9 Abs. 2 Lit. a DSGVO stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
c) Die betroffene Person legt gemäß Artikel 21 Abs. 1 DSGVO Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Art. 21 Abs. 2 DSGVO Widerspruch gegen die Verarbeitung ein.
d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

Viele der einfachen Vermerke und Notizen so wie auch das willkürliche Abheften von ausgewählten E-Mails in die Schülerakte verstoßen also gegen den Datenschutz. Die Betroffenen können verlangen, dass diese Daten gelöscht werden.

Inhalt der Schülerakte:

Grunddaten des/r Schüler*in (Name, Anschrift, Kontaktdaten, vgl. Stammdatenblatt bei Schulanmeldung)

Organisations- und Schullaufbahndaten (Datum der Einschulung, Ergebnis der Einschulungsuntersuchung, Qualifikation, Bildungsnachweise, bisher besuchte Schulen, Befreiung vom Unterricht, insbesondere vom Sportunterricht (Umfang/Zeitraum); Schulversäumnisse)

Dazu gehören u.a. auch:

• Zeugnisnoten, Versetzungsentscheidungen, Zertifikate und Ergebnisse von Prüfungen,
• Angaben über Benachrichtigungen bei gefährdeter Versetzung einschließlich des Hinweises auf etwaige besondere Folgen einer Nichtversetzung,
• Zeitpunkt und Ergebnis von Versetzungs- und Klassenkonferenzen; Versetzung, Wiederholung, Überspringen einer Jahrgangsstufe, gegebenenfalls Laufbahnempfehlung für den Übergang in eine andere Schulart, Zulassung zur Prüfung/
• Schülerbeförderung und Art der Beförderung
• Erziehungs- und Ordnungsmaßnahmen, soweit nach § 82 Abs. 10 des Hessischen Schulgesetzes zulässig.
• individuelle Förderpläne,
• besondere gesundheitliche Beeinträchtigung und körperliche Behinderung
• Ergebnisse der schulärztlichen, schulpsychologischen oder sonderpädagogischen Gutachten
• Anträge zur Festlegung von sonderpädagogischem Förderbedarf, Gutachten über den sonderpädagogischen Förderbedarf
• prozessbegleitende Förderdiagnostik
• ggf. ärztliche Diagnostiken und Gutachten zur Behinderung (im verschlossenen Umschlag!) (vgl. Anlage 1 der Verordnung über die Verarbeitung personenbezogener Daten in Schulen und statistische Erhebungen an Schulen)

  Andere nicht relevante, teils subjektive Notizen wie z.B. Berichte von Lehrkräften, die ihre persönlichen Sichtweise zum Kind wiedergeben oder eine Meinung über die Eltern zum Ausdruck bringen sowie Protokolle der Schulleitung zu einem Unterrichtsbesuch gehören nicht in die Schülerakte.

Mit der Datenschutz-Grundverordnung (DSGVO) sind zudem seit 2018 Neuerungen in Kraft getreten, an die die Schule sich ebenfalls halten muss:

Der Umfang der Informations- und Auskunftspflichten wird gegenüber den Eltern und volljährigen Schüler*innen erweitert (Art. 13-15 DSGVO). Die Betroffenen sind in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer einfachen und klaren Sprache“ über die Verarbeitung ihrer personenbezogenen Daten zu unterrichten.

Hat eine Verarbeitung voraussichtlich hohe Risiken für die persönlichen Rechte und Freiheiten der Schüler*innen und Eltern, so muss die Schule (Schulleitung) künftig eine Datenschutz-Folgeabschätzung (Art. 35 DSGVO) durchführen. Im Rahmen der Datenschutz-Folgeabschätzung sind u.a. die Eintrittswahrscheinlichkeit und die Schwere der möglichen Risiken zu bewerten und Maßnahmen zur Eingrenzung der Risiken zu prüfen. Soweit erforderlich, muss die Schule zuvor die Aufsichtsbehörde konsultieren (Art. 36 DSGVO). (https://datenschutz.hessen.de/datenschutz/hochschulen-schulen-und-archive/schulen-und-die-ds-gvo-was-aendert-sich)

Die Schule muss ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO erstellen: Wichtiger Bestandteil der gesetzlichen Rechenschaftspflicht ist die Verpflichtung zum Führen eines (schriftlichen oder elektronischen) Verzeichnisses aller Verarbeitungstätigkeiten personenbezogener Daten, die in einem Dateisystem gespeichert sind oder werden sollen. Nach Art. 30 DSGVO muss die datenverarbeitende Stelle die Art der Daten, Verarbeitungszweck, Empfänger, technische und organisatorische Maßnahmen zur Datensicherung etc. dokumentieren. Musterformulare können auf der Homepage des Hessischen Datenschutzbeauftragten (https://datenschutz.hessen.de)