Eine wesentliche Ursache dafür, dass die meisten elektronischen Schließanlagen ohne Berücksichtigung der relevanten datenschutz- und mitbestimmungsrechtlichen Bestimmungen eingeführt werden konnten, ist Unklarheit darüber, wer die „datenverarbeitende Stelle“ ist: Ist es der Schulträger, der die Anlage finanziert und eingebaut hat? Oder ist die (Schul-)Dienstaufsicht bei den Bezirksregierungen beziehungsweise beim Land NRW verantwortlich?
Oberlandesgericht Hamm klärt Haftungsfragen
Datenschützer Klaus Keßler, Lehrer am Felix-Fechenbach-Berufskolleg, zog 2016 vor Gericht: Mit Unterstützung der GEW NRW, weiterer Kolleg*innen und Personalräte wollte er erreichen, dass die elektronische Schließanlage an seiner Schule keine personenbezogenen Daten speichern darf.
Am 9. März 2018 hat das Oberlandesgericht Hamm (OLG) im Rechtsstreit gegen den Kreis Lippe die Berufung des Klägers gegen die negative Entscheidung des Landgerichts Detmold von Oktober 2016 abgewiesen. Die Entscheidung war hauptsächlich darin begründet, dass der Kreis Lippe nicht die richtige Beklagte sei. Denn nicht der Kreis sei im Sinne des Datenschutzgesetzes verantwortlich, sondern die Schulleitung. In der Urteilsbegründung finden sich wichtige Klarstellungen zum Binnenverhältnis von Schulträgern und Schulleitungen in datenschutzrechtlichen Haftungsfragen.
Schulleitungen sind für die Einhaltung des Datenschutzes verantwortlich
Die Verantwortung des Schulträgers für die Ausstattung beinhaltet demnach nicht die Zuständigkeit für den Betrieb der Anlage nebst Datenverarbeitung. Das OLG Hamm verweist auf den Runderlass vom Ministerium für Schule und Bildung NRW zur automatisierten Verarbeitung von personenbezogenen Daten in der Schule, laut dem die Schulleitung für die Einhaltung des Datenschutzes verantwortlich ist.
Der Schulträger kann keine Weisungen an die Schulleitungen erteilen zur Verarbeitung von Daten. Die Weisungszuständigkeit liegt nach §§ 86, 89 (Schulgesetz) SchulG bei der Bezirksregierung und dem MSB als Schulaufsichtsbehörden. Lehrkräfte haben demzufolge einen Anspruch nach § 18 Abs. 1 Nr. 1 bis 3 Datenschutzgesetz Nordrhein-Westfalen (DSG NW) gegen die verantwortliche Stelle im Sinne des § 3 Abs. 3 DSG NW – das sind die Schulleitung beziehungsweise die Schulaufsichtsbehörden.
Personenbezogene Schließanlagen fallen unter die DSGVO
Folgt man dem OLG Hamm in seiner Urteilsbegründung, dann haben Schulträger im Rahmen von datenschutzrechtlich relevanten Ausstattungsfragen bei der Einführung von digitaler Technik wie Cloud-Computing nur noch eine randständige beratende Funktion als Finanzier- beziehungsweise Sachaufwandsträger ohne inhaltliche Entscheidungskompetenzen. Als datenverarbeitende und damit verantwortliche Stelle tritt damit die Schulleitung beziehungsweise die Schulaufsicht.
Alle alten sowie neuen elektronischen Schließanlagen, die personenbezogen betrieben werden, fallen zudem seit 24. Mai 2018 unter die Europäische Datenschutz-Grundverordnung (EU-DSGVO) inklusive des Bußgeldkatalogs. Anonymisierte Anlagen fallen nicht darunter. Für diese Anlagen ist auch kein datenschutzrechtliches Verfahrensverzeichnis erforderlich.
Mitbestimmung liegt bei Schulleitung und Lehrerrat
Mit dieser Entscheidung wird die Mitbestimmung deutlich auf die Ebene der Schulleitung und des Lehrerrats gehoben. Wenn es eine Zuständigkeit in der Entscheidung für oder gegen eine elektronische Schließanlage beziehungsweise danach die Entscheidung für oder gegen personifizierte Umsetzung seitens der Schulleitung gibt, so ist dies eine Maßnahme im Sinne des LPVG. Nach § 72 Abs. 3 Nr. 2 LPVG ist die Einführung (Installation), Anwendung und Erweiterung von technischen Einrichtungen mitbestimmungspflichtig. Hierunter fällt auch der Einsatz von elektronischen Schließanlagen.
Mitbestimmung über zuständigen Personalrat einleiten
Daraus folgt, dass der Lehrerrat sowohl vorab zu informieren sowie im Rahmen seines Mitbestimmungsrechts zu fragen ist, ob er dem Einsatz und – wenn ja – in welcher Form zustimmt. Aber nicht nur die Erhebung, sondern auch die Auswertung von durch technische Einrichtungen gewonnenen Verhaltens- und Leistungsdaten unterliegt der Mitbestimmung. Erst danach ist ein Betrieb möglich. Wenn es keine Einigung darüber gibt, dann bleibt es der Schulleitung überlassen, diese Maßnahme an die Dienststelle (Schulamt oder Bezirksregierung) weiterzugeben, damit das Mitbestimmungsverfahren gegenüber dem dort zuständigen Personalrat eingeleitet wird.
