Schulkommunikation-Software nach DSGVO: Checkliste

Bei Schulkommunikation-Software entscheidet die DSGVO mit, welcher Anbieter überhaupt in Frage kommt. Wer an einer Schule eine Software für Elternbriefe, Einwilligungen oder Nachrichten einführt, gibt Daten von Kindern in fremde Hände. Verantwortlich im Sinne der DSGVO bleibt dabei die Schule. Ein Anbieter kann viel versprechen; prüfen muss die Schulleitung. Die folgende Checkliste gilt für jedes Produkt, auch für unseres.

1. Gibt es einen Vertrag zur Auftragsverarbeitung?

Verarbeitet ein Anbieter personenbezogene Daten im Auftrag der Schule, ist er Auftragsverarbeiter nach Art. 28 DSGVO. Dann braucht es einen Vertrag, der mindestens regelt, was Art. 28 Abs. 3 DSGVO verlangt: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Kategorien von Daten und Betroffenen, die Weisungsbindung, die Vertraulichkeit der Beschäftigten, die Sicherheitsmaßnahmen, den Umgang mit Unterauftragsverarbeitern, die Unterstützung bei Betroffenenrechten sowie Löschung oder Rückgabe am Vertragsende.

Worauf zu achten ist:

• Liste der Unterauftragsverarbeiter. Wer hostet, wer verschickt E-Mails, wer betreibt den Support? Jeder Name auf dieser Liste ist ein weiterer Ort, an dem Daten liegen.
• Weisungsbindung ohne Eigenzwecke. Nutzt der Anbieter Daten auch für eigene Analysen, Werbung oder das Training von Modellen, ist er insoweit kein bloßer Auftragsverarbeiter mehr.
• Wer unterschreibt. Je nach Land schließt die Schule, das Schulamt oder der Schulträger den Vertrag. Das sollte vor der Bestellung geklärt sein.

2. Wo liegen die Daten, und wer kann darauf zugreifen?

Werden Daten in ein Land außerhalb der EU und des EWR übermittelt, gelten die Art. 44 ff. DSGVO. Seit dem Urteil des EuGH in der Rechtssache Schrems II (C-311/18, Juli 2020) reicht es nicht, Standardvertragsklauseln abzuschließen; der Verantwortliche muss prüfen, ob das Recht des Ziellandes Behörden einen unverhältnismäßigen Zugriff erlaubt.

Für die USA gilt seit Juli 2023 ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework), der für zertifizierte Unternehmen Übermittlungen erleichtert. Ob er vor Gericht Bestand hat, ist offen. Hinzu kommt, dass US-Recht Anbieter unter Umständen auch dann zur Herausgabe von Daten verpflichten kann, wenn die Server in Europa stehen.

Die Fragen an den Anbieter sind deshalb zwei: Wo stehen die Server, auch für Backups, E-Mail-Versand und Push-Benachrichtigungen? Und unterliegt der Anbieter oder einer seiner Unterauftragsverarbeiter einem Recht, das Zugriff von außerhalb der EU erlaubt?

3. Welche technischen und organisatorischen Maßnahmen gibt es?

Art. 32 DSGVO verlangt Sicherheit, die dem Risiko angemessen ist. Bei Daten von Kindern ist das Risiko nicht gering. Ein seriöser Anbieter legt seine TOMs schriftlich vor, meist als Anlage zum AVV. Prüfen lohnt sich vor allem:

• Verschlüsselung bei der Übertragung und bei der Speicherung,
• Trennung der Daten verschiedener Schulen,
• Zugriffsprotokollierung und ein Verfahren für Datenpannen nach Art. 33 DSGVO,
• Datensicherung und Wiederherstellung,
• Anmeldung, Passwortregeln und gegebenenfalls zweiter Faktor für Beschäftigte der Schule.

4. Gibt es ein Löschkonzept?

Daten von Schülerinnen und Schülern dürfen nur so lange gespeichert werden, wie der Zweck es erfordert. Die Software sollte das unterstützen, statt es der Schule zu überlassen: Was passiert mit Konten, wenn ein Kind die Schule verlässt? Wann werden Nachrichten und erledigte Einwilligungen gelöscht, und wie lange muss ein Nachweis aufbewahrt werden? Und wie kommt die Schule am Vertragsende an ihre Daten, und wann löscht der Anbieter sie nachweislich?

5. Passt das Rollenmodell zur Schule?

Eine Lehrkraft braucht die Kontaktdaten ihrer Klasse, nicht die der ganzen Schule. Eine Elternvertretung braucht eine Liste der Eltern, die der Weitergabe zugestimmt haben, nicht alle. Gute Software bildet diese Unterschiede als Rollen ab und lässt Rechte nicht pauschal vergeben. Prüfen Sie, ob es Rollen für Schulleitung, Sekretariat, Lehrkräfte, Eltern, Elternvertretung und Schülerinnen und Schüler gibt und ob datenschutzrelevante Aktionen protokolliert werden.

6. Ist die oder der Datenschutzbeauftragte eingebunden?

Öffentliche Schulen müssen als öffentliche Stellen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen (Art. 37 Abs. 1 lit. a DSGVO). Wer das ist, ist je nach Land unterschiedlich geregelt; häufig ist die Person beim Schulamt oder beim Schulträger angesiedelt und für mehrere Schulen zuständig. Sie sollte vor der Einführung beteiligt werden, nicht danach.

7. Ist eine Datenschutz-Folgenabschätzung nötig?

Eine DSFA nach Art. 35 DSGVO ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt. Die Aufsichtsbehörden führen dazu Listen von Verarbeitungen, für die sie stets nötig ist. Ob eine Kommunikationsplattform darunterfällt, hängt vom Umfang ab: Werden Gesundheitsdaten, Förderbedarfe oder Leistungsdaten verarbeitet, ist die Schwelle schnell erreicht. Ein Anbieter kann eine DSFA nicht für die Schule erstellen, aber die nötigen Angaben liefern.

8. Was verlangt das Landesrecht?

Schulrecht ist Ländersache, und damit auch ein guter Teil des Schuldatenschutzes. Die Schulgesetze und Datenschutzverordnungen der Länder regeln unterschiedlich, welche Daten eine Schule verarbeiten darf, ob Software freigegeben oder angezeigt werden muss und wer zustimmt. Manche Länder stellen eigene Plattformen bereit oder führen Listen geprüfter Dienste. Ein Blick in die Vorgaben des eigenen Kultusministeriums gehört deshalb vor jede Bestellung.

Für Schulen außerhalb Deutschlands gilt Entsprechendes. In Österreich ergänzt das Datenschutzgesetz (DSG) die DSGVO, dazu kommen schulrechtliche Vorschriften. In der Schweiz gilt die DSGVO nicht unmittelbar; für Private und Bundesorgane gilt das revidierte Datenschutzgesetz (revDSG) seit September 2023, öffentliche Schulen unterstehen in der Regel dem Datenschutzrecht ihres Kantons.

Kurz gefasst

Bevor Sie unterschreiben, sollten Sie diese Unterlagen in der Hand haben: einen AVV mit Liste der Unterauftragsverarbeiter, eine schriftliche Beschreibung der TOMs, eine Aussage zum Serverstandort einschließlich Backups und E-Mail-Versand, ein Löschkonzept und eine Übersicht der Rollen. Fehlt eines davon, fragen Sie nach.

Schlaue Schule handelt gegenüber der Schule als Auftragsverarbeiter nach Art. 28 DSGVO und stellt dafür einen AVV einschließlich Löschkonzept bereit. Die Daten liegen auf Servern in Deutschland, E-Mails gehen über einen eigenen Mailserver, ebenfalls in Deutschland, und jede Schule ist in der Datenbank von allen anderen getrennt. Die Checkliste oben gilt trotzdem auch für uns: Lassen Sie sich die Unterlagen zeigen.

Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.