Ihre Anfrage war erfolgreich, Sie erhalten nun Ihre Infobroschüren per E-Mail.
Kurz gesagt: Beim digitalen Schülerausweis bleibt die Schule datenschutzrechtlich verantwortlich. Der Anbieter verarbeitet die Daten in ihrem Auftrag. Entscheidend sind ein Auftragsverarbeitungsvertrag, eine klare Rechtsgrundlage, transparente Information der Eltern und eine Alternative für Schülerinnen und Schüler ohne Smartphone.
Verantwortlich im Sinne der DSGVO ist die Schule. Hessen formuliert das in der Schul-Datenschutzverordnung ausdrücklich, Bayern und Berlin sehen private Anbieter als Auftragnehmer der Schule. Der Anbieter darf die Daten also nur nach Weisung der Schule und nur für den Ausweis verwenden.
Bevor Daten fließen, braucht es einen Auftragsverarbeitungsvertrag (AVV). Er regelt unter anderem:
In NRW erlaubt die Verordnung über die zur Verarbeitung zugelassenen Daten (VO-DV I) die Auftragsverarbeitung ausdrücklich unter den Voraussetzungen von Art. 28 DSGVO. Brandenburg hat einen Mindestinhalt für solche Verträge sogar als Anlage zur VV-Schulbetrieb festgelegt.
Hier gehen die Meinungen auseinander. Ein Teil der Fachleute sieht die Verarbeitung durch das Schulrecht gedeckt, andere empfehlen eine Einwilligung – vor allem für das Lichtbild. In der Praxis hat sich ein pragmatischer Weg bewährt: Der Ausweis wird, wie in den meisten Ländern vorgesehen, auf Antrag ausgestellt, die Eltern werden informiert, und es gibt eine Alternative. Klären Sie die Rechtsgrundlage mit Ihrer oder Ihrem Datenschutzbeauftragten.
Ob eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) nötig ist, hängt vom konkreten Einsatz ab. Da Daten Minderjähriger einschließlich Lichtbild verarbeitet werden, sollte die Schule das zumindest prüfen und das Ergebnis dokumentieren.
Eltern und Schüler müssen nach Art. 13 DSGVO informiert werden: Wer verarbeitet welche Daten, wozu, wie lange und auf welcher Rechtsgrundlage? Eine gute Elterninformation enthält außerdem:
Daten und Fotos sollten nur so lange gespeichert werden, wie sie für den Ausweis nötig sind. Niedersachsen schreibt zum Beispiel vor, Fotos für Schüler- oder Fahrausweise nach Ablauf des Schuljahres zu löschen. Achten Sie außerdem darauf, wo die Daten gespeichert werden – idealerweise in Deutschland oder der EU.
Wird der Ausweis in Apple Wallet oder Google Wallet gespeichert, liegt er auf dem Gerät der Schülerin oder des Schülers. Prüfen Sie mit dem Anbieter, welche Daten dabei über Dienste von Apple oder Google laufen, und nehmen Sie das in die Elterninformation auf.
Schulen dürfen niemanden verpflichten, ein Smartphone anzuschaffen – das hat etwa das NRW-Schulministerium für digitale Endgeräte klargestellt. Der digitale Ausweis braucht deshalb immer eine gleichwertige Alternative auf Papier oder als Karte.
Geevoo arbeitet als Auftragsverarbeiter der Schule auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Die Plattform läuft bei der Hetzner GmbH in Rechenzentren in Deutschland. Mehr zu Datenschutz und Sicherheit
Hinweis: Dieser Beitrag ist ein Überblick und keine Rechtsberatung.