Datenschutz an der Schule: Welches Gesetz gilt, wer Auskunft bekommt und was in die Akten darf

Kanton Zürich

Seit der Revision von 2023 spricht das ganze Land vom neuen Datenschutzgesetz. Für die Zürcher Volksschule ist es das falsche Gesetz. Das DSG des Bundes gilt für die Bearbeitung von Personendaten «durch: a. private Personen; b. Bundesorgane» (Art. 2 Abs. 1 DSG) – eine Gemeindeschule ist weder das eine noch das andere. Für sie gilt das kantonale Informations- und Datenschutzgesetz: «Dieses Gesetz gilt für die öffentlichen Organe» (§ 2 IDG). Wer im Schulhaus nach dem DSG argumentiert, argumentiert an der Sache vorbei. Und wer eine Vorlage aus der Privatwirtschaft übernimmt, übernimmt die falschen Pflichten.

Was die Schule mit Daten überhaupt tun darf

Zwei Sätze tragen fast alles. Erstens die Rechtmässigkeit: Das öffentliche Organ darf Personendaten bearbeiten, «soweit dies zur Erfüllung seiner gesetzlich umschriebenen Aufgaben geeignet und erforderlich ist» (§ 8 Abs. 1 IDG). Zweitens die Zweckbindung: Es darf sie «nur zu dem Zweck bearbeiten, zu dem sie erhoben worden sind», es sei denn, eine Bestimmung sehe eine weitere Verwendung vor oder die betroffene Person willige im Einzelfall ein (§ 9 Abs. 1 IDG).

Daraus folgt die praktische Prüffrage, und sie ist unbequem einfach: Zu welcher gesetzlichen Aufgabe gehört das, was ich hier gerade tue? Eine Klassenliste für den Unterricht – ja. Dieselbe Liste an den Elternverein für einen Flohmarkt – eine andere Verwendung, die eine eigene Grundlage oder eine Einwilligung braucht.

Schärfer wird es bei besonderen Personendaten – Gesundheit, Herkunft, Massnahmen der Sozialhilfe, Verwaltungs- und Strafverfahren. Ihre Bearbeitung «bedarf einer hinreichend bestimmten Regelung in einem formellen Gesetz» (§ 8 Abs. 2 IDG). In der Schule ist das öfter einschlägig, als man denkt: Förderdiagnosen, schulärztliche Ergebnisse, Meldungen aus einem Strafverfahren.

Wer Auskunft bekommt

Für die Weitergabe nennt § 16 Abs. 1 IDG genau drei Tore:

  1. Wenn «eine rechtliche Bestimmung dazu ermächtigt»
  2. Wenn «die betroffene Person im Einzelfall eingewilligt hat»
  3. Wenn es «zur Abwendung einer drohenden Gefahr für Leib und Leben unentbehrlich» ist oder der Schutz anderer wesentlicher Rechtsgüter höher wiegt

Für besondere Personendaten verlangt § 17 Abs. 1 IDG dieselbe Dreiteilung, aber strenger: ein formelles Gesetz statt irgendeiner rechtlichen Bestimmung, und eine ausdrückliche Einwilligung.

Unter Behörden ist der Weg etwas breiter: Einem anderen öffentlichen Organ gibt die Schule Daten auch dann bekannt, wenn dieses sie zur Erfüllung seiner gesetzlichen Aufgaben benötigt (§ 16 Abs. 2, § 17 Abs. 2 IDG). Das ist die Grundlage, auf der die Zusammenarbeit mit KESB, Schulpsychologie und Jugendanwaltschaft steht – nicht ein allgemeines Amtsverständnis, sondern eine Norm mit Voraussetzungen.

Der häufigste Irrtum betrifft getrennte Eltern. Der Elternteil ohne elterliche Sorge ist kein Dritter, dem gegenüber Auskunft eine Bekanntgabe wäre – siehe Eltern ohne elterliche Sorge.

Wenn Eltern Einsicht verlangen

«Jede Person hat Anspruch auf Zugang zu den eigenen Personendaten» (§ 20 Abs. 2 IDG). Das ist ein Anspruch, keine Gefälligkeit: Die Schule entscheidet nicht, ob sie Einsicht gewährt, sondern nur, ob ein Verweigerungsgrund vorliegt. Das Verfahren regelt die IDV – Gesuch (§ 16), Behandlung durch das angefragte Organ (§ 17), Auskunft «in der Regel schriftlich» (§ 18 Abs. 1 IDV). Und es gibt eine Frist: Das Organ gewährt «innert 30 Tagen seit dem Eingang des Gesuchs Zugang zur Information oder erlässt eine Verfügung über die Beschränkung des Zugangsrechts» (§ 28 Abs. 1 IDG). Reicht die Frist nicht, ist das vor ihrem Ablauf mitzuteilen (Abs. 2). Gebühren fallen für Private in der Regel keine an (§ 29 Abs. 1 IDG).

Stimmt der Inhalt nicht, greift § 21 IDG: Berichtigung oder Vernichtung unrichtiger Daten, Unterlassung widerrechtlicher Bearbeitung, Feststellung der Widerrechtlichkeit. Und für den Fall, den Schulen fürchten, nämlich Aussage gegen Aussage: Kann «weder deren Richtigkeit noch Unrichtigkeit festgestellt werden», bringt das Organ «den Vermerk an, dass die Personendaten bestritten sind» und schränkt die Bearbeitung ein (§ 21 Abs. 2 IDG). Ein Bestreitungsvermerk ist kein Eingeständnis, sondern die vorgesehene Lösung.

Das ist zugleich das stärkste Argument für saubere Dokumentation: Was in einer Akte steht, muss einer Einsicht standhalten – und zwar der Einsicht derer, über die es geschrieben wurde.

Daten per Mail und in der Cloud?

Das IDG nennt keine Technik, sondern Ziele. Das öffentliche Organ «schützt Informationen durch angemessene organisatorische und technische Massnahmen» (§ 7 Abs. 1 IDG); die Massnahmen richten sich auf fünf Schutzziele – Informationen dürfen nicht unrechtmässig zur Kenntnis gelangen, müssen richtig und vollständig sein, bei Bedarf vorhanden, und Bearbeitungen müssen einer Person zugerechnet werden können (Abs. 2).

«Angemessen» heisst: Der Aufwand richtet sich nach dem Risiko. Eine Absenzmeldung ist nicht das Gleiche wie ein Therapiebericht. Das ergibt eine brauchbare Faustregel für den Mailverkehr: besondere Personendaten gehören nicht unverschlüsselt in ein Postfach, das man nicht kontrolliert. Und wer Daten durch Dritte bearbeiten lässt, etwa über eine Lernplattform (Klapp, Pupil, Escola usw.), bleibt verantwortlich: Die Auftragsbearbeitung ist in § 25 IDV geregelt, und bei Bearbeitungen mit besonderen Risiken verlangt § 10 IDG eine Folgenabschätzung, deren Voraussetzungen § 24 IDV ausführt.

Für die Schulleitung

Stolpersteine

Verbindungen

Literatur

Verweise auf diese Seite