Source: https://datenschutz-schule.info/tag/einwilligung/
Timestamp: 2020-06-06 14:48:57
Document Index: 280199533

Matched Legal Cases: ['Art. 13', 'Art. 13', 'Art. 13', 'Art. 13', 'Art. 13', 'Art. 13', 'Art. 8', '§120', '§19', '§1', '§3', '§5', '§36', 'Art. 8', 'Art. 8', 'Art. 8', 'Art. 4', 'Art. 1', 'Art. 4', 'Art. 4', 'Art. 8', 'Art. 8', 'Art. 8', 'Art. 8', 'Art. 8', 'Art. 8', 'Art. 8', 'Art. 8', 'Art. 8', 'Art. 8', 'Art. 8', 'Art. 8', '§ 1', 'Art. 8', 'Art. 8', 'Art. 13', '§3', 'Art. 13']

Einwilligung – datenschutz-schule.info ")}}return a.proceed()});scriptParent=document.getElementsByTagName("script")[0].parentNode;if(scriptParent.tagName.toLowerCase!=="head"){head=document.getElementsByTagName("head")[0];aop_around(head,"insertBefore");aop_around(head,"appendChild")}aop_around(scriptParent,"insertBefore");aop_around(scriptParent,"appendChild");var a2a_config=a2a_config||{};a2a_config.no_3p=1;var addthis_config={data_use_cookies:false};var _gaq=_gaq||[];_gaq.push(["_gat._anonymizeIp"])}
Auf die Information nach Art. 13 bei der Anmeldung an der Schule kommt es an
Bei der Anmeldung von Schülern an einer Schule werden umfänglich personenbezogene Daten erhoben. Entsprechend der Vorgaben von Art. 13 DSGVO Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person sind die Betroffenen zu informieren.
Ist man dieser Informationspflicht nachgekommen und es werden später im Laufe der Schulzeit anlassbezogene Einwilligungen eingeholt, kann auf einen Teil der nach Art. 13 vorgeschriebenen Informationen verzichtet werden, da sie bereits bei der Anmeldung umfänglich gegeben wurden.1„Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.“ Art. 13 Abs. 4 DS-GVO
Bei einer anlassbezogenen Einwilligung könnte man dann auf folgende Punkte verzichten2Achtung – sämtliche andere Informationen müssen gegeben werden, um eine rechtswirksame Einwilligung einholen zu können. und damit die Einwilligung deutlich verkürzen:
Kontaktdaten des Verantwortlichen (und eventuell des Vertreters)
Information über die Rechte der Betroffenen gegenüber der Schule (Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruchsrecht gegen die Verarbeitung, Recht auf Datenübertragbarkeit)
Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird
In den Vorlagen für Einwilligungen könnten dann diese Punkte gelöscht werden. Es empfielt sich jedoch, auf die Möglichkeit hinzuweisen, die Informationen entsprechend Art. 13 in der Schule jederzeit zu erhalten oder auf der Schulhomepage einsehen zu können.3Auch ein Hinweis auf den Ablageort auf der Schulhomepage wäre sinnvoll.
Ausführliche Informationen zur Erstellung einer Einwilligung finden sich unter Wie erstellt man eine datenschutzrechtlich korrekte Einwilligung für Schule?
Vorlagen für Informationen nach Art. 13 zum Download.
Vorlagen für Einwilligungen zum Download
Sind Einwilligungen jetzt nur noch ab 16 Jahren möglich?
Die europäische Datenschutz Grundordnung berücksichtigt den Schutz der personenbezogenen Daten von Kindern und Jugendlichen besonders und hat deshalb, zum Selbstschutz der Kinder, mit einer Altersvorgabe geregelt, ab wann sie eine rechtswirksame Einwilligung abgeben können. In Art. 8 Abs. 1 wird ein Mindestalter angegeben und unter welchen Bedingungen diese Vorgabe gilt. An vielen Stellen liest man, dass dadurch nun rechtswirksame Einwilligungen von Kindern generell erst ab Vollendung des 16. Lebensjahres abgegeben werden können. Bisher gängige Praxis in Schulen war, dass man die Entscheidung, ob ein Kind eigenständig eine Einwilligung abgeben kann, von der Einwilligungsfähigkeit abhängig machte, unter Berücksichtigung der Komplexität der Datenverarbeitungsprozesse und der Tragweite der mit einer Einwilligung verbundenen Entscheidung. Die Einwilligungsfähigkeit setzte man so bei etwa 14 bis 15 Jahren an. Bei nicht gegebener Einwilligungsfähigkeit war dann die Zustimmung bzw. Einwilligung der Eltern einzuholen.
Ist es nun seit Mai 2018 tatsächlich so, dass unsere Schülerinnen und Schüler jetzt grundsätzlich erst ab Vollendung des 16. Lebensjahres eine rechtswirksame Einwilligung abgeben können, egal ob es sich um Fotos für die Schulhomepage handelt oder um die Anmeldung an einer Plattform im Internet? Dieser Frage geht der Themenbeitrag Auswirkungen der DS-GVO auf die Einwilligungsfähigkeit von Schülern nach.
Mit der zunehmenden Integration von digitalen Medien in den Unterricht kommt es immer häufiger vor, dass dabei personenbezogene Daten von Schülerinnen und Schülern verarbeitet werden sollen, zu deren Angabe sie nicht aufgrund einer Rechtsvorschrift verplichtet sind. Dann braucht es eine Einwilligung. Ob es die der Eltern sein muss oder ob die der Schüler ausreichend ist, hängt dabei grundsätzlich von der Einwilligungsfähigkeit der Schüler selbst ab. In diese Vorgaben des Schulgesetzes greift nun die Datenschutz Grundverordnung einschränkend ein. Bevor es um diese Änderung geht und wann genau sie greift, soll zunächst näher erklärt werden, was mit der Einwilligungsfähigkeit gemeint ist.
Was bedeutet Einwilligungsfähigkeit?
Das Schulgesetz NRW führt dazu aus:
„Minderjährige Schülerinnen und Schüler sind einwilligungsfähig, wenn sie die Bedeutung und Tragweite der Einwilligung und ihre rechtlichen Folgen erfassen können und ihren Willen hiernach zu bestimmen vermögen.“1§120 Abs. 2 Satz 3 SchulG NRW
Eine Altersvorgabe fehlt, denn bei der Einwilligungsfähigkeit kommt es sowohl auf den jeweiligen Entwicklungsstand des Minderjährigen an wie auch die Art, den Umfang, den Zweck und Verwendungszusammenhang der Daten, um welche es geht. Eine Orientierung, ab welchem Alter Kinder ihren Willen bestimmen können, findet sich jedoch in anderen Gesetzgebungen. Die Strafmündigkeit beginnt mit Vollendung des 14. Lebensjahres 2(§19 StGB, §1 Abs. 2 JGG und §3 JGG) und ab diesem Alter kann ein Kind auch eine eigene Entscheidung über ein religiöses Bekenntnis treffen3(§5 Satz 1 KErzG). Mit Vollendung des 15. Lebensjahres darf man Sozialleistungen beantragen und entgegennehmen4§36 Abs. 1 Satz 1 SGB I. Entsprechend heißt es in einem Kommentar zum Schulgesetz NRW:
„In der Regel dürfen jedenfalls vierzehn- oder fünfzehnjährige Schülerinnen und Schüler über die erforderliche Einwilligungsfähigkeit zum Beispiel hinsichtlich der Entscheidung verfügen, ob sie mit der Veröffentlichung von Fotos, auf denen sie abgebildet sind, auf der Schulhomepage einverstanden sind oder ob sie an einer wissenschaftlichen Befragung in der Schule teilnehmen wollen.“5Katernberg in SchulG NRW-Kommentar, März 2015
In vielen Schulen in NRW hat sich so ein Alter von 14 oder 15 Jahren für eine ausreichende Einwilligungsfähigkeit etabliert. Es empfiehlt sich jedoch, bei einer Entscheidung über sehr komplexe Datenverarbeitungsvorgänge, deren rechtliche Folgen Schüler mit 14 oder 15 eventuell doch nicht gänzlich in ihrer Tragweite abschätzen können, die Eltern vorher zumindest zu informieren. Je nach Fall kann es sinnvoll sein, zusätzlich die Einwilligung der Eltern einzuholen.6Sollen bei den Schülern Daten über die Eltern selbst erhoben werden, ist die Einwilligung der Eltern unumgänglich.7Wurde bei der Anmeldung an der weiterführenden Schule eine Einwilligung der Eltern bezüglich der Aufnahme und Veröffentlichung von Fotografien und personenbezogenen Daten auf der Schulhomepage und in der Presse eingeholt, so empfiehlt es sich darüber hinaus, die Einwilligung zu erneuern, sobald die Schüler 14 oder 15 Jahre alt sind, um ihnen die Wahrnehmung ihres Rechtes auf informationelle Selbstbestimmung zu ermöglichen. Schüler hierzu zu befähigen gehört auch zu den Aufgaben einer Schule.
Genau bei der oben erwähnten Einwilligungsfähigkeit bezüglich komplexer Datenverarbeitungsvorgänge greifen nun die Vorgaben der DS-GVO in die bestehenden Regelungen des Schulgesetzes ein.
Art. 8 Abs. 1 DS-GVO
Mit Umsetzung der Datenschutz Grundverordnung seit Mai 2018 sind die Vorgaben des SchuG zur Einwilligungsfähigkeit eingeschränkt worden, jedoch nicht generell, sondern nur auf einen bestimmten Bereich bezogen. In Art. 8 Abs. 1 heißt es,
„Gilt Artikel 6 Absatz 1 Buchstabe a bei einem Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, so ist die Verarbeitung der personenbezogenen Daten des Kindes rechtmäßig, wenn das Kind das sechzehnte Lebensjahr vollendet hat.“
Die DS-GVO macht hier eine genaue Altersvorgabe, Vollendung des 16. Lebensjahres. In Artikel 6 Absatz 1 Buchstabe a geht es um die Einwilligung als Voraussetzung für eine Verarbeitung von personenbezogenen Daten. Zur Anwendung kommt diese Vorgabe, wenn einem Kind Dienste der Informationsgesellschaft direkt angeboten werden.
Während nach dem Schulgesetz die Einwilligungsfähigkeit des minderjährigen Schülers einzelfallbezogen beurteilt wird, in Abhängigkeit von der Fähigkeit des Schülers zu selbständigem und verantwortungsbewusstem Handeln und Art und Zweck der Daten, um die es geht, normiert Art. 8 Abs. 1 nun die Altersgrenze für die Einsichtsfähigkeit minderjähriger Personen auf die Vollendung des 16. Lebensjahres, dieses allerdings nur wenn es um ein direktes Angebot von Diensten der Informationsgesellschaft geht. Damit soll der Schutz der personenbezogenen Daten von Kindern sichergestellt werden8Siehe entsprechend Erwägungsgrund 38 „Ein solcher besonderer Schutz sollte insbesondere die Verwendung personenbezogener Daten von Kindern für Werbezwecke oder für die Erstellung von Persönlichkeits- oder Nutzerprofilen und die Erhebung von personenbezogenen Daten von Kindern bei der Nutzung von Diensten, die Kindern direkt angeboten werden, betreffen.“.
Was sind Dienste der Informationsgesellschaft?
Leider definiert die DS-GVO den Begriff nicht selbst. Über einen Verweis in Art. 4 Nr. 25 DSGVO auf die EU-Richtlinie 2015/1535 lässt sich der Rechtsbegriff näher bestimmen. In der Richtlinie aus dem Jahr 20159RICHTLINIE (EU) 2015/1535 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 9. September 2015 und dort Art. 1 Nr. 1 lit. b heißt es:
„„Dienst“ eine Dienstleistung der Informationsgesellschaft, d. h. jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung.“
Aus der Definition und den weiteren Ausführungen dazu in der Richtlinie10Im Sinne dieser Definition bezeichnet der Ausdruck
i) „im Fernabsatz erbrachte Dienstleistung“ eine Dienstleistung, die ohne gleichzeitige physische Anwesenheit der Vertragsparteien erbracht wird;
ii) „elektronisch erbrachte Dienstleistung“ eine Dienstleistung, die mittels Geräten für die elektronische Verarbeitung (einschließlich digitaler Kompression) und Speicherung von Daten am Ausgangspunkt gesendet und am Endpunkt empfangen wird und die vollständig über Draht, über Funk, auf optischem oder anderem elektromagnetischem Wege gesendet, weitergeleitet und empfangen wird;
iii) „auf individuellen Abruf eines Empfängers erbrachte Dienstleistung“ eine Dienstleistung die durch die Übertragung von Daten auf individuelle Anforderung erbracht wird. ergeben sich fünf Voraussetzungen, die kumulativ zu erfüllen sind11„kumulativ zu erfüllen“ bedeutet, alle fünf Vorraussetzungen sind zu erfüllen., damit die Altersvorgabe, Vollendung des 16. Lebensjahres, für eine rechtswirksame Einwilligung von Minderjährigen bindend ist.
„Das Angebot muss eine
in der Regel gegen Entgelt,
im Fernabsatz,
auf individuellen Abruf eines Empfängers erbrachte
darstellen.“12Buchner/ Kühling in: Kühling/Buchner Art. 4 Nr. 25 DS-GVO Rn. 4
Alle online angebotenen Plattformen stellen Dienstleistungen dar, die elektronisch bereitgestellt werden, auf den individuellen Abruf eines Nutzers. Bis auf Ausnahmen erbringt der Nutzer dafür eine Gegenleistung (ein Entgelt) und da er dazu nicht physisch am gleichen Ort weilt wie der Anbieter, handelt es sich um Fernabsatz. Selbst kostenlose Online Angebote und Apps sind in der Regel nicht wirklich kostenlos nutzbar, auch wenn es keine Geldzahlung zwischen Dienstnehmer und Dienstgeber gibt.
„Für die Bejahung des Merkmals „in der Regel gegen Entgelt erbracht“ genügt es daher, wenn sich der betreffende Dienst durch Werbung oder durch den Handel mit Nutzerdaten oder anderweitig (quer-)finanziert.“ 13Buchner/Kühling in: Kühling/Buchner Art. 4 Nr. 25 DS-GVO Rn. 6
Direkt angeboten, meint?
Auch wenn man die Formulierung so verstehen könnte, dass es nur um Angebote geht, die speziell auf Kinder ausgerichtet sind, so ist man sich in der Fachliteratur doch einig, dass auch Angebote gemeint sind, die sich sowohl an Kinder als auch an Erwachsene richten 14„Vielmehr werden Dienste, die sowohl an Erwachsene als auch an Kinder adressiert (dual use) sind, unzweifelhaft erfasst.“ Buchner/Kühling in: Kühling/Buchner Art. 8 DS-GVO Rn. 16 oder an die Allgemeinheit wie etwa Youtube, Instagram, Facebook oder WhatsApp. Nicht betroffen von der Regelung nach Art. 8 Abs. 1 sind hingegen Angebote, die sich eindeutig an Erwachsene oder auch Jugendliche ab 16 Jahren richten und dieses über Altersbeschränkungen oder entsprechende Nutzungsbedingungen deutlich machen.15S. zu diesem Hinweis Greve in Eßer/Kramer/ v. Lewinsky Art. 8 Rn. 9
Was bedeutet dieses für die schulische Praxis?
Wie aus den Ausführungen deutlich geworden sein sollte, gilt die Vorgabe aus Art. 8 Abs. 1 nicht für sämtliche Einwilligungen bezüglich der Verarbeitung von personenbezogenen Daten von Kindern und Jugendlichen, mit welchen man es im schulischen Alltag zu tun hat. Sie gilt nur für einen bestimmten, eingegrenzten Bereich.
Wo Art. 8 Abs. 1 ganz sicher nicht wirksam ist
Die Mehrheit der bisher üblichen Einwilligungen bezüglich der Aufzeichnung, Verarbeitung und Veröffentlichung von personenbezogenen Daten ist von der Regelung nicht betroffen. Will eine Schule Fotos machen, Tonaufnahmen oder Videos und diese im Internet veröffentlichen, egal, ob es um die Schulhomepage geht, um YouTube oder Flickr, so reicht es weiterhin sich bezüglich einer Einwilligung an der Einwilligungsfähigkeit der Schüler zu orientieren. Gleiches gilt auch bei Einwilligungen in die Teilnahme an wissenschaftlichen Untersuchungen oder zur Verarbeitung von personenbezogenen Daten in einem schulischen Lernmanagementsystem. Ein schuleigenes Moodle ist von der Vorgabe aus Art. 8 Abs. 1 genauso wenig betroffen wie ein von der Schule im Unterricht offiziell genutztes Office 365 mit Cloud, iServ oder auch Logineo NRW. Von schulischen Geräten aus lassen sich viele Plattformen nutzen, ohne das Art. 8 Abs. 1 ins Spiel kommt. Dazu gehören auch Angebote wie Kahoot, die mit Fantasienamen genutzt werden können, oder Plattformen, bei denen die Anmeldung mittels Single Sign-on erfolgt.
Wo Art. 8 Abs. 1 wirksam ist
In dem Moment, wo es um Online Angebote oder Apps (mit Online Anbindung) geht, die einem Dienst der Informationsgesellschaft im oben beschriebenen Sinne entsprechen und es sind zur Nutzung personenbezogene Daten erforderlich, dann können Schüler entsprechend Art. 8 Abs. 1 erst ab Vollendung des 16. Lebensjahres selbst eine Einwilligung zu Nutzung bzw. Anmeldung abgeben. Die bisher vorausgesetzte Einwilligungsfähigkeit mit 14 oder 15 Jahren reicht in diesen Fällen nicht aus. Hier ist vor der Nutzung des Angebotes bzw. Dienstes die Einwilligung oder Zustimmung durch die Eltern einzuholen. Ein gutes Beispiel hier für ist ZUM.de, definitiv kein kommerzieller Anbieter, zur Finanzierung der Plattform wird jedoch Werbung geschaltet. Möchte man mit Schülern unter 16 Jahren an einem Wiki auf der Plattform arbeiten, brauchen die Schüler eine schriftliche Einwilligung der Erziehungsberechtigten, auch wenn als Benutzername nur ein Pseudonym verwendet wird.16Auch Pseudonyme sind personenbezogene Daten. ZUM handelt hier sehr vorbildlich und gibt in seiner Datenschutzerklärung vor, dass eine Einwilligung durch die Lehrkräfte einzuholen ist.
In Schulen mit BYOD Projekten kommen personenbezogene Daten immer dann ins Spiel, wenn Apps installiert oder Online Plattformen genutzt werden. Sobald bei diesen entweder Werbung geschaltet ist, die Nutzung kostenpflichtig für die Schüler ist oder vermutet werden muss, dass die Nutzerdaten durch den Anbieter zu Geld gemacht werden, gilt die Vorgabe aus Art. 8 Abs. 1. Warum ist das so? Bei persönlichen Geräten ist der Nutzer immer über das Gerät identifizierbar. Selbst wenn keine Anmeldung mit Nutzername und Passwort erforderlich ist, werden über eine Abfrage der Gerätedaten personenbezogene Daten des Geräteeigners erhoben. Das ist auch der Fall, wenn ein App erst heruntergeladen wird. Und damit sind alle fünf Bedingungen, wie oben vorgestellt, erfüllt. Werbung meint dabei übrigens nicht nur fremde Werbung, sondern auch solche für inApp Käufe oder andere Produkte des Betreibers des Apps oder der Online Plattform.
Auch wenn eine Schule mit schuleigenen Accounts arbeitet, und diese werden mit Klarnamen gebildet, etwa lisa.schneider@musterschule-blaustadt.de, kann die Vorgabe der DS-GVO wirksam werden. Möchte man im Unterricht eine kommerzielle Plattform/App mit einem eingeschränkten, kostenlosen Angebot nutzen und auf der Seite bzw. im App wird die Nutzung der Zahlversion beworben, dann gilt, Einwilligung erst ab Vollendung des 16. Lebensjahres. Dabei ist es egal, ob man aus dem PC Raum arbeitet oder in der Klasse von schuleigenen Mobilgeräten.
Es gibt immer wieder Fälle, wo Lehrkräfte im Unterricht Schüler bitten, sich mit ihren privaten E-Mail Accounts bei einer tollen Online Plattform anzumelden. „Dann kann ich euch in meine Klassengruppe einladen. Und ihr könnt euch auch zu Hause einloggen und seht, wie weit ihr gekommen seid.“ Beispiele dafür können Trainingsplattformen für Mathematik oder Sprachen sein, die kommerzielle Absichten verfolgen. Auch Sofatutor fällt darunter.
Man ist immer auf der sicheren Seite, dass Art. 8 Abs. 1 nicht gilt, wenn
keine personenbezogenen oder personenbeziehbare Daten im Spiel sind, d.h.
es wird nicht von einem privaten Gerät gearbeitet oder
es wird von einem schulischen Gerät ohne Nutzung eines personenbeziehbaren Nutzeraccounts gearbeitet
die Plattform bzw. das online angebundene App
keine Werbung enthält, auch nicht für Angebote des Anbieters der Plattform bzw. des Apps
keine Nutzerdaten erhoben und kommerziell verwertet werden17Hier für muss man die Datenschutzerklärung des Online Angebots bzw. Apps finden und studieren. Auch die AGB/TOS bieten Hinweise.
keine Nutzungsgebühr erhebt18Diese könnte auch durch das Beantworten von Fragen oder auf andere Art und Weise durch den Nutzer abgegolten werden.
Man sollte sehr genau hinsehen, wenn
es sich um die kostenfreie Variante eines sonst kostenpflichtigen Angebotes handelt
das Angebot kostenlos und sehr umfangreich ist, und unklar bleibt, wie der Anbieter sich finanziert.
Ist man sich nicht sicher, ob ein Dienst, in den Bereich der Regelung von Art. 8 Abs. 1 fällt, empfielt es sich, die Einwilligung grundsätzlich erst ab Vollendung des 16. Lebensjahres bei den Schülern selbst und vorher zumindest die Einwilligung oder Zustimmung der Eltern einzuholen.19Thomas Feil, ein Fachanwalt für IT-Recht und Arbeitsrecht und externer Datenschutzbeauftragter bei Unternehmen und Behörden empfiehlt Unternehmen in seiner Broschüre „Leitfaden zur Umsetzung der Datenschutzgrundverordnung„, unter Dienst „im Zweifel jeden Onlinedienst zu verstehen (§ 1 Abs. 1 Satz 1 Telemediengesetz)“.
Nach Erwägungsgrund 38 Satz 3 sollen Kindern Präventions- und Beratungsdienste auch weiterhin ohne das Wissen der Eltern zu Verfügung gestellt werden können. Diese sind also von der Vorgabe von Art. 8 Abs. 1 ausgenommen. Sucht man also im Unterricht entsprechende Angebote auf und Kinder machen von diesen unter Nutzung von ihren eigenen personenbezogenen Daten Gebrauch, so ist dieses in Ordnung.
Kinder und Jugendliche haben ein Recht auf informationelle Selbstbestimmung
Auch wenn man im Netz an verschiedenen Stellen Aussagen findet, welche die Art. 8 Abs. 1 dahingehend interpretieren, dass die Vorgabe grundsätzlich für alle Online Angebote gilt oder gar für jegliche Einwilligung in die Verarbeitung personenbezogener Daten, so sollte man hier doch differenzieren. Sicherlich könnte man in einer Schule sämtliche Einwilligungen bei den Eltern einholen, solange die Schüler unter 16 Jahre alt sind. Es soll sogar Schulen geben, die grundsätzlich jede Einwilligung bei den Eltern einholen, solange die Schüler noch nicht volljährig sind. Es fragt sich nur, ob dieses im Sinne der Erziehungs- und Bildungsauftrags von Schule ist. Zur Medienkompetenz gehört auch ein schrittweises Heranführen an informationelle Selbstbestimmung. Diese ist ein Grundrecht und auch von Kindern und Jugendlichen. Selbst wenn Eltern eines Grundschulkindes in seine Teilnahme an einer wissenschaftlichen Befragung eingewilligt haben, hat dieses Kind in Ausübung seines Rechtes auf informationelle Selbstbestimmung jederzeit die Möglichkeit, die Teilnahme zu verweigern oder abzubrechen. Und so sollte man auch Einwilligungen, ob es nur um das Foto für die Schulhomepage geht oder die Nutzung bzw. Anmeldung an einem schulischeigenen Moodle, Schülern überlassen, sobald sie über eine ausreichende Einwilligungsfähigkeit verfügen.
„Auswirkungen der DS-GVO auf die Einwilligungsfähigkeit von Schülern“ weiterlesen
Achtung! Diese Seite ist noch „work in progress“ – inhaltlich ist alles OK. Die Seite hat jedoch noch nicht die endgültige Form.
Eine Einwilligung selbst zu erstellen, ist eigentlich nicht schwierig, wenn man sich an die Vorgaben hält. Damit das einfacher geht, wird hier vorgestellt, was zu einer datenschutzrechtlich korrekten Einwilligung gehört.
Grundsätzlich gilt, damit eine Einwilligung wirksam ist, werden Freiwilligkeit, Bestimmtheit, Informiertheit und Einwilligungsbewusstsein vorausgesetzt. Bestimmtheit und Informiertheit sind dabei gerade für die Gestaltung der Einwilligung die zentralen Begriffe. Eine Einwilligung muss deshalb so gestaltet sein, dass der Betroffene ausreichend informiert wird, um selbst abschätzen zu können, wie groß das datenschutzrechtliche Risiko der Datenverarbeitung ist, zu welcher die Einwilligung gegeben werden soll. Informiert werden muss in der Einwilligung somit darüber,
welche Art bzw. Arten von Daten
zu welchem Zweck bzw. welchen Zwecken
verarbeitet werden sollen. Anzugeben ist auch wie lange die Daten aufbewahrt bzw. wann sie gelöscht werden. Werden die Daten an Dritte übermittelt, ist anzugeben, an wen sie zu welchen Zwecken übermittelt werden sollen. Geht es um verschiedene Datenarten und Formen der Verarbeitung müssen jeweils alle die genannten Informationen gegeben werden.
Bei komplexen Datenverarbeitungsprozessen kann es sinnvoll sein, ein separates Informationsblatt zu erstellen, auf welches in der Einwilligung ausdrücklich verwiesen wird. Dieses Informationsblatt verbleibt dann bei den Betroffenen. Somit erhalten die Betroffenen eine Möglichkeit, sich auch nachträglich noch einmal über die Datenverarbeitung und ihre Rechte als Betroffene gegenüber der Schule zu informieren.
In Bezug auf das Einwilligungsbewusstsein ist auch das Alter der Betroffenen zu berücksichtigen. Freiwilligkeit hat mit dem Gegenstand der Einwilligung zu tun und Handlungsalternativen.
1) Formularname/ -überschrift
Aus dem Titel des Formulares sollte hervorgehen, dass es sich um eine datenschutzrechtliche Einwilligung handelt und welches ihr Gegenstand ist.
2) Kontaktdaten und Datenschutzbeauftragter
Diese Informationen sind an einer Schule vor allem bei Einholung der ersten Einwilligung von Bedeutung. Wurde den Erziehungsberechtigten bei der Anmeldung ihres Kindes an der Schule ein Informationsschreiben nach Art. 13 DS-GVO ausgehändigt, in welchem diese Informationen enthalten sind, kann bei weiteren Einwilligungen auf diese Angaben verzichtet werden. Schulname und Ort sollten jedoch immer genannt werden, damit klar ist, welches die verantwortliche Stelle ist.1Es kann durchaus Fälle geben, wo eine Schule ein Einwilligungsformular ausgibt, welches nicht von der Schule selbst stammt. Das könnte ein Einwilligungsformular des Schulträgers, eines Mensa Betreibers oder Anbieters anderer Dienste sein. Um hier keine Verwirrung zu stiften, sollte deshalb aus dem Kopfbereich des schulischen Einwilligungsformulars immer klar hervorgehen, dass eine Einwilligung gegenüber der Schule abgegeben werden soll.
3) Die Schulleitung ist verantwortlich
Entsprechend VO-DV I §3 Abs. 2 Satz 2
„Die Einwilligung ist schriftlich gegenüber der Schulleitung zu erklären.“
muss aus der Einwilligung hervorgehen, dass sie gegen über der Schulleitung als verantwortlicher Person abgegeben wird. Das geschieht am einfachsten, indem im Formular die Schulleitung um die Einwilligung ersucht. Für Lehrkräfte bedeutet dieses, eine Einwilligung kann und sollte nur mit Kenntnis der Schulleitung eingeholt werden.
4) Betroffener
Aus der Einwilligung muss hervorgehen, wer Betroffener ist. Wird die Einwilligung bezüglich personenbezogener Daten eines Schülers eingeholt, muss dieser dort eingetragen werden und zwar so, dass eine Verwechslung ausgeschlossen ist.
5) Welche personenbezogenen Daten für welchen Zweck
Betroffene sind zu informieren, um welche personenbezogenen Daten (Art und Umfang) es genau geht, etwa Fotos, und für welchen Zweck und in welcher Weise diese verarbeitet werden sollen. Das kann man am besten in einem kurzen leicht verständlichen Text erläutern. Werden personenbezogene Daten an Dritte übermittelt, ist hier eine gute Stelle, darauf hinzuweisen. Dabei sollte der Empfänger genannt werden wie auch der Zweck der Übermittlung z.B. Übermittlung der Portraitfotos an die Firma XYZ zum Druck der Schülerausweiskarten.
Wichtig ist bei der Angabe der Art der personenbezogenen Daten und des Zweckes, dass dieses nicht zu allgemein gehalten ist.2„Eine Einwilligungserklärung, deren Gegenstand nicht hinreichend bestimmt ist, ist unwirksam, …“ Katernberg in SchulG NRW-Kommentar, März 2015
„Anfertigung von Fotos für die Nutzung durch die Schule.“ geht nicht, denn es ist nicht klar, welche Art von Fotos für welchen Zweck in welcher Weise genutzt werden sollen. Geht es um Einzelfotos oder um Gruppenfotos, sind sie für Öffentlichkeitsarbeit gedacht z.B. über die Homepage oder in Form von Zeitungsberichten, für die Schulverwaltung etwa in SchiLD, für allgemeine Information in der Schule in Form einer Fotowand oder was auch immer?
„Anfertigung von Einzel- und Gruppenfotos für einen Zeitungsbericht in der Lokalpresse über den Vorlesewettbewerb unter Angabe von Vor- und Zunamen.“ ist hier präziser.
6) Auswahlmöglichkeit
Damit Betroffene eine Wahlmöglichkeit haben, sollte das Formular eine Auswahlmöglichkeit bieten bezüglich der personenbezogenen Daten, die verarbeitet werden sollen und der Zwecke und Formen. Vielleicht ist die betroffene Person damit einverstanden, dass Fotos zur Öffentlichkeitsarbeit für die Tageszeitung verwendet werden können, jedoch nicht im Internet und auch nicht unter Nennung des Namens. Durch eine Ankreuzmöglichkeit oder Ja/ Nein bei den einzelnen Wahlmöglichkeiten, gibt man den Betroffenen eine Möglichkeit ihre Auswahl kenntlich zu machen.
6.1 Rechteeinräumung
Auch wenn das mit Datenschutz nicht direkt zu tun hat, ist es bei Fotos und Videos sinnvoll, unter diesem Bereich auch noch einen Hinweis bezüglich der Rechteeinräumung zu geben. In Schule erfolgt die Rechteeinräumung in der Regel ohne Vergütung. Angegeben werden kann hier zusätzlich, ob die Rechteeinräumung ein Recht zur Bearbeitung, soweit nicht entstellend, einschließt oder nicht.3Aus der Praxis empfielt es sich, dass Betroffene der Schule ein Bearbeitungsrecht einräumen, da nur so noch Fehler korrigiert und Bildausschnitte und vor allem Bildeinstellungen bezüglich Helligkeit, Farben, Schärfe etc. verändert werden können.
6.2 Weitere Informationen
Wenn nicht 5) nicht bereits darauf hingewiesen, macht es Sinn, spätestens hier Angaben zu machen bezüglich einer Namensnennung bei Fotos, etwa dass man Klassenfotos nur mit einer alphabetischen Liste der Nachnamen veröffentlicht.
6.3 Informationen bezüglich Veröffentlichung im Internet
Geht es um die Veröffentlichungen von personenbezogenen Daten im Internet, sollte im Sinne einer umfassenden Information auch immer ein datenschutzrechtlicher Hinweis zu möglichen Auswirkungen, die dieses haben kann, gegeben werden.4Ein Standardtext dafür lautet „Bei einer Veröffentlichung im Internet können die personenbezogenen Daten (einschließlich Fotos) jederzeit und zeitlich unbegrenzt weltweit abgerufen und gespeichert werden. Die Daten können damit etwa auch über so genannte „Suchmaschinen“ aufgefunden werden. Dabei kann nicht ausgeschlossen werden, dass andere Personen oder Unternehmen die Daten mit weiteren im Internet verfügbaren personenbezogenen Daten verknüpfen und damit ein Persönlichkeitsprofil erstellen, die Daten verändern oder zu anderen Zwecken verwenden.“
7) Hinweis auf Widerrufssmöglichkeit und Löschfristen
Betroffene müssen auf die Möglichkeit hingewiesen werden, ihre Einwilligung jederzeit zu widerrufen. Dazu gehören auch Informationen über die Auswirkung des Widerrufs auf bereits verarbeitete Daten und bis wann gegebenfalls ein Widerruf möglich ist, um wirksam zu sein (z.B. bei Druckwerken). Außerdem muss über Löschfristen aufgeklärt werden. Wichtig ist auch die Angabe, wo und in welcher Form die Betroffenen Widerspruch einlegen können.
Wie die Löschfristen angegeben werden, hängt von den Daten und dem Zweck ab. Videoaufnahmen werden in der Regel maximal bis zum Ende des Schuljahres aufbewahrt. Bei Fotos hängt es davon ab, wie sie genutzt werden. Klassenfotos für die Homepage der Schule wird man vielleicht länger als der betroffene Schüler an der Schule ist, dort belassen wollen.
8) Freiwilligkeit der Einwilligung
Eine Einwilligung sollte in Schule immer freiwillig sein, also ohne Zwang. Dafür muss es eine Handlungsalternative geben.5In bestimmten Fällen kann es hier aber Ausnahmen geben. Wenn ein Schulträger ein Freizeit Ticket anbietet, führt eine Nichteinwilligung zum Verzicht auf das Ticket. Darauf kann man schon hinweisen. Letztlich ist der Verzicht bei einem freiwilligen Angebot, eine Handlungsalternative. Bei einer Lernplattform, die nicht als Lehrmittel durch ein Bundesland eingeführt worden ist, besteht die Alternative darin, alle Materialien in Papierform zu erhalten.
Betroffene sind auf die von der DS-GVO vorgebenen Rechte gegenüber der datenverarbeitenden Stelle hinzuweisen. Das sind das Recht auf Auskunft, Berichtigung, Löschung oder Einschränkung , ein Widerspruchsrecht gegen die Verarbeitung und ein Recht auf Datenübertragbarkeit. Und dazu kommt noch ein Beschwerderecht bei der Aufsichtsbehörde.
10) Ort, Datum und Unterschrift
Damit klar ist, wann die Einwilligung abgegeben wurde, sollte ein Datum angegeben werden, üblicherweise geschieht dieses mit einer Ortsangabe. Bei Schülern unter 14 Jahren unterschreiben die Eltern. Je nach Datenart und Verarbeitungszweck unterschreiben bei Schülern ab 14 Jahren diese alleine oder gemeinsam mit den Eltern. Hier spielen Einsichtsfähigkeit des Schülers und Komplexität der geplanten Datenverarbeitung eine Rolle. Muss man davon ausgehen, dass ein Schüler auch mit 14 oder 15 Jahren die Folgen und Tragweite einer Einwilligung nicht abschätzen können, sollten immer auch die Eltern mit unterschreiben.
Es sind einige Informationen, die so gegeben werden müssen, damit eine Einwilligung rechtswirksam ist. Das macht Einwilligungsformulare lang und kostet Platz und Papier. Es gibt jedoch durchaus Möglichkeiten, eine Einwilligung inhaltlich zu verkürzen, wenn den Betroffenen bereits entsprechende Informationen an anderer Stelle, etwa bei der Anmeldung an der Schule gegeben wurden. Wie dieses genutzt werden kann, erklärt der Beitrag Auf die Information nach Art. 13 bei der Anmeldung an der Schule kommt es an.