Im Sommer 2023 nahm die niedersächsische Datenschutzaufsicht vier Schulen genauer unter die Lupe. Diese Vor-Ort-Prüfungen folgten auf schriftliche Prüfungen aus dem Jahr 2022, bei denen die ausgewählten Schulen schwache Ergebnisse erzielt hatten. Der Fokus der Kontrollen lag auf Löschkonzepten, der Datenverarbeitung in Klassenbüchern und einer brisanten Praxis: der Übermittlung von Grundschulakten an weiterführende Schulen.
1. Löschkonzepte – Der Nachholbedarf bleibt groß
Löschkonzepte dokumentieren, wie personenbezogene Daten von Schüler:innen nach Ablauf der Aufbewahrungsfrist gelöscht oder dem Kommunalarchiv angeboten werden. Laut einem Erlass des niedersächsischen Kultusministeriums sind bestimmte Daten, wie Prüfungsentwürfe oder Zensurlisten, nach bis zu 50 Jahren zu löschen – sofern die Schule nicht als Archivschule benannt ist.
Bei den geprüften allgemeinbildenden Schulen zeigte sich deutlicher Nachholbedarf. Es fehlte an strukturierter Archivierung und klar definierten Löschprozessen. Als Reaktion stimmte die Datenschutzbehörde mit den Regionalen Landesämtern ein Muster für Löschkonzepte ab. Positiv fiel eine berufsbildende Schule auf, deren Löschkonzept nahezu mängelfrei war.
2. Klassenbücher – Ordnung mit kleinen Ausnahmen
Klassenbücher dürfen nur notwendige Informationen enthalten, wie Namen, Geburtsdaten und Unterrichtsvermerke. Einige Klassenbücher enthielten allerdings Entschuldigungsschreiben – ein klarer Datenschutzverstoß. Positiv war, dass Klassenbücher sicher aufbewahrt wurden, entweder in abgeschlossenen Räumen oder unter Aufsicht. Besonders erwähnenswert: Ein „Klassenbuchdienst“ durch Schüler:innen ist erlaubt, sofern diese altersgerecht über den Datenschutz aufgeklärt werden.
3. Grundschulakten: Keine Komplettübermittlung an weiterführende Schulen
Ein besonderes Problem offenbarte sich erst vor Ort: Teilweise wurden komplette Grundschulakten an weiterführende Schulen übermittelt. Das ist weder notwendig noch datenschutzkonform. Weiterführende Schulen benötigen lediglich spezifische Informationen, etwa zur individuellen Lernentwicklung, und auch dies nur nach einer Einzelfallprüfung. Informationen zu Erziehungs- oder Ordnungsmaßnahmen sind nicht erforderlich.
Fazit – Datenschutz ist Teamarbeit
Die Prüfungen zeigten, dass die Schulen ihre Datenschutzpflichten ernst nehmen, aber Unterstützung benötigen. Besonders bei der Umsetzung von Löschkonzepten und der Übermittlung personenbezogener Daten herrscht Verbesserungsbedarf. Mit klaren Vorgaben, wie durch die Zusammenarbeit mit den Regionalen Landesämtern, und weiteren Überprüfungen will die niedersächsische Datenschutzbehörde das Datenschutzniveau nachhaltig steigern.