Digitale Elternkommunikation für mehrere Schulen einführen

Wenn eine einzelne Schule ein Werkzeug für Elternbriefe und Einwilligungen einführt, entscheidet die Schulleitung, und nach ein paar Wochen läuft es. Sollen zehn oder fünfzig Schulen dasselbe Werkzeug nutzen, sieht das anders aus. Dann sitzen Schulträger, Medienzentrum oder kommunale IT mit am Tisch, und die Fragen verschieben sich: Wer schließt welchen Vertrag? Wer verantwortet die Daten? Wie wird beschafft, und wie bleibt jede Schule trotzdem für sich? Dieser Beitrag ordnet die Fragen, die bei einer gemeinsamen Einführung zuerst geklärt sein sollten.

Wer ist verantwortlich – Schule oder Schulträger?

In Deutschland ist der Schulträger, meist eine Kommune oder ein Kreis, in der Regel für die äußeren Schulangelegenheiten zuständig: Gebäude, Ausstattung, oft auch die IT. Die inneren Schulangelegenheiten, also Unterricht und Erziehung, liegen beim Land und bei der Schule. Die Kommunikation mit Eltern über Einwilligungen, Ausflüge oder Fehlzeiten gehört inhaltlich zur Schule.

Daraus folgt für den Datenschutz meist: Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO für die Daten der Schülerinnen und Schüler und ihrer Eltern ist die Schule, auch wenn der Schulträger das Werkzeug bezahlt und betreibt. Wie die Länder das im Einzelnen regeln, ist allerdings unterschiedlich. Schulrecht ist Ländersache, und die Schulgesetze und Schuldatenschutzverordnungen weisen Verantwortung, Zustimmungsvorbehalte und Zuständigkeiten nicht überall gleich zu. Vor jedem Projekt sollte deshalb schriftlich feststehen, wer nach Landesrecht Verantwortlicher ist. Dabei helfen die Datenschutzbeauftragten der Schulen und des Schulträgers.

Wer schließt den AVV?

Den Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO schließt der Verantwortliche mit dem Anbieter. Bei mehreren Schulen gibt es dafür im Wesentlichen drei Modelle:

Jede Schule schließt selbst ab. Das ist rechtlich am klarsten, wenn die Schule Verantwortliche ist, bedeutet aber für jede Schulleitung eigenen Aufwand und führt leicht zu unterschiedlichen Vertragsständen.

Der Schulträger schließt für die Schulen ab. Manche Länder sehen vor oder lassen zu, dass der Schulträger Verträge im Namen der Schulen schließt oder einen Rahmen setzt, dem die Schulen beitreten. Ob und wie das geht, hängt vom Landesrecht ab.

Der Schulträger ist selbst Verantwortlicher für einen Teil. Betreibt der Schulträger eigene Infrastruktur, etwa eine zentrale Anmeldung, kann er für diesen Teil selbst verantwortlich sein. Dann ist zu klären, wie die Verantwortung zwischen Schule und Träger aufgeteilt ist, im Zweifel auch, ob eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegt.

Welches Modell auch gewählt wird: Der AVV sollte für alle Schulen denselben Stand haben, die Unterauftragsverarbeiter nennen und regeln, wie eine einzelne Schule aussteigen kann, ohne dass die anderen betroffen sind.

Die Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt. Kriterien sind unter anderem schutzbedürftige Betroffene, Kinder etwa, und eine Verarbeitung in großem Umfang. Beides kann bei einer Einführung über viele Schulen zusammenkommen. Die Aufsichtsbehörden veröffentlichen Listen von Verarbeitungen, für die eine DSFA stets erforderlich ist; ein Blick in die Liste der zuständigen Behörde lohnt sich.

Für mehrere Schulen bietet sich an, die DSFA einmal gründlich zu erstellen und je Schule nur die Abweichungen zu ergänzen. Art. 35 Abs. 1 Satz 2 DSGVO erlaubt ausdrücklich, ähnliche Verarbeitungsvorgänge mit ähnlich hohen Risiken in einer Abschätzung zu behandeln. Die Verantwortung für die DSFA bleibt beim Verantwortlichen; der Anbieter kann sie nicht erstellen, muss aber die nötigen Angaben liefern: Datenflüsse, Speicherorte, Unterauftragsverarbeiter, technische und organisatorische Maßnahmen und das Löschkonzept.

Mandantentrennung: jede Schule für sich

Ein gemeinsames Werkzeug darf nicht heißen, dass Daten gemeinsam liegen. Eine Lehrkraft an Schule A darf Eltern von Schule B weder sehen noch erreichen, und ein Fehler bei einer Schule darf nicht die anderen betreffen. Fragen Sie den Anbieter deshalb:

• Wie sind die Daten der Schulen technisch voneinander getrennt?
• Kann eine Schule ihre Daten einzeln exportieren und löschen lassen?
• Wer hat beim Schulträger Zugriff, und auf welche Daten? Eine zentrale Verwaltung für Lizenzen und Konten ist etwas anderes als Einsicht in Elternnachrichten.
• Werden Zugriffe protokolliert, und kann eine Schule das Protokoll einsehen?

Beschaffung

Für öffentliche Auftraggeber gilt Vergaberecht. Welche Verfahren anzuwenden sind, hängt vom Auftragswert und von den Regeln des Landes und der Kommune ab; unterhalb der EU-Schwellenwerte gelten landesrechtliche Vorschriften und kommunale Vergabeordnungen, deren Wertgrenzen sich unterscheiden. Die Vergabestelle des Schulträgers kennt sie.

Unabhängig vom Verfahren hat sich bewährt, die Anforderungen vorab festzuhalten, damit Angebote vergleichbar werden:

1. Datenschutz: AVV nach Art. 28 DSGVO, Serverstandort einschließlich Backups und E-Mail-Versand, Unterauftragsverarbeiter, Löschkonzept.
2. Funktionen: Einwilligungen mit Nachweis, Nachrichten, Elternlisten mit Zustimmung, Rollen für Schulleitung, Sekretariat, Lehrkräfte und Elternvertretung.
3. Erreichbarkeit: Nutzung ohne App-Installation, Sprachen der Elternschaft, Barrierefreiheit.
4. Betrieb: Mandantentrennung, Import von Klassen und Eltern, zentrale Verwaltung für den Träger, Support.
5. Ausstieg: Datenexport und nachweisbare Löschung am Vertragsende.

Ob das Land eigene Dienste bereitstellt, die vorrangig zu nutzen sind, sollte vor der Ausschreibung geklärt sein.

Einführung in Stufen

Eine Einführung über alle Schulen auf einmal überfordert Sekretariate und Support zugleich. Bewährt hat sich ein Pilot mit zwei oder drei Schulen unterschiedlicher Schulart. Dort zeigt sich, wie gut der Import aus den vorhandenen Listen klappt, wie Eltern die Einladung annehmen und welche Fragen im Kollegium kommen. Erst danach folgen die übrigen Schulen, mit einer kurzen Anleitung aus den Erfahrungen des Piloten. Medienzentren können in dieser Phase eine Rolle als Ansprechpartner für die Schulen übernehmen, damit nicht jede Schulleitung dieselben Fragen einzeln klärt.

Schlaue Schule für Schulträger

Schlaue Schule trennt jede Schule in der Datenbank von allen anderen; eine Schule ist ein eigener Mandant. Klassen und Eltern werden aus vorhandenen Listen importiert, Rollen vergeben die Schulen selbst. Mit der Schule schließen wir einen AVV nach Art. 28 DSGVO einschließlich Löschkonzept; die Daten liegen auf Servern in Deutschland. Schulträger mit zehn oder mehr Schulen erhalten ein individuelles Angebot.

Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.