Überforderung von hessischen Schulen durch die neue schulische Datenschutzverordnung vom Dezember 2023
Die neue schulische Datenschutzverordnung für Hessen bildet mehr als 5 Jahre nach Inkrafttreten der europäischen Datenschutzgrundverordnung (DS GVO) diese europäischen Vorgaben für die Schulen ab.
Diese Verordnung dekliniert die bereits durch die DS GVO vorgegebenen Aufgaben einer Verantwortlichen Stelle speziell für die Schulen durch. Das ist erst einmal eine hilfreiche Übersetzungsarbeit. Dabei wird aber deutlich, welch umfangreiche Aufgaben auf die Schulen und insbesondere auf die Schulleitungen zu kommen.
Den Schulen und somit vornehmlich den Schulleitungen werden u.a. in § 5 der VO die folgenden Aufgaben zugewiesen:
1. Führen des Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 der Datenschutz-Grundverordnung,
2. Abschluss von Auftragsdatenverarbeitungsverträgen nach Art. 28 der Datenschutz-Grundverordnung, wenn eine Verarbeitung im Auftrag der Schule durch Dritte erfolgt,
3. regelmäßige Aufklärung aller in der Schule Beschäftigten über die Erfordernisse des Datenschutzes an der Schule,
4. regelmäßige Aktualisierung der Datenschutzhinweise,
5. regelmäßige und datenschutzkonforme Löschung von personenbezogenen Daten,
6. Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde nach Art. 33 der Datenschutz-Grundverordnung,
7. Information über meldepflichtige Datenschutzvorfälle nach Art. 33 der Datenschutz-Grundverordnung an das jeweils zuständige Staatliche Schulamt und den Schulträger,
8. Einhaltung weiterer für die jeweils spezifischen Anforderungen der Schule erforderlichen Maßnahmen zum Datenschutz.
Zudem haben die Schulen die Pflicht nach § 6 dieser Verordnung für geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogene Daten der Kinder, Eltern und Beschäftigte, insbesondere Lehrern zu sorgen.
Die Schulleitungen sind damit zu allermeist hoffnungslos überfordert, sowohl fachlich als auch organisatorisch.
Bei dieser Fülle von Datenschutzaufgaben insgesamt erfordert es eigentlich die Etablierung eines professionellen Datenschutzmanagements an den Schulen und die Bereitstellung von entsprechenden Ressourcen hierfür. Diese fehlen an den allermeisten hessischen Schulen. Ohne diese Ressourcen – fachliche und qualifiziertes Personal – ist aber die Nicht-Wahrnehmung dieser gesetzlichen Aufgaben und damit ein dauerhafter Verstoß gegen die DS GVO an Schulen vorprogrammiert.
Wieder einmal hat das Hessische Kultusministerium einen Berg an Aufgaben an den Schulen abgeladen, die diese kaum bewältigen werden.
„Wasch mich, aber mach mich nicht nass“ – Digitalisierung ja, aber den Preis hierfür möchte die hessischen Landesregierung nicht bezahlen. Digitalisierung ist nur dann ein guter Weg, wenn sie Qualität hat. Schädliche Digitalisierung durch ungeschützte Daten unsrer Kinder können diese noch ihr Leben lang verfolgen.
Es ist gerade so, als ob ein ernsthafter Datenschutz an unseren hessischen Schulen nicht angestrebt wird.
von Roland Schäfer