Wie bereits im Blogartikel öffentliche Lehrer-Bewertung „Lernsieg“ überblicksmäßig erläutert, wurde seit 15.11.2019 verfügbare App „Lernsieg“ bereits am 19.11.2019 wieder offline genommen. Die Bewertungsapp für Schulen und Lehrer*innen wurde aufgrund heftiger Kritik und großer Bedenken hinsichtlich datenschutzrechtlicher Konformität wieder vom Netz genommen.
Lt. Medienberichten hat die Datenschutzbehörde die Prüfung der Lehrerbewertungs-App in der Zwischenzeit abgeschlossen und als rechtmäßig beurteilt.[1] Auf Anfrage von DerStandard bestätigte Dr.in Andrea Jelinek, Leiterin der österreichischen Datenschutzbehörde, dass das Prüfverfahren abgeschlossen sei und der App-Gründer Benjamin Hadrigan diesbezüglich benachrichtigt wurde.
Das Ergebnis der Prüfung ist derzeit nicht öffentlich verfügbar, womit sich die Frage stellt, inwieweit die Datenschutzbehörde tatsächlich „grünes Licht“ für die Fortführung der App gab.
Neben der amtswegigen Prüfung durch die Aufsichtsbehörde wurde auch vom Bildungsministerium sowie von der Gewerkschaft Öffentlicher Dienst (GÖD) ein Gutachten des Datenschutzrechtsexperten Prof. Dr. Nikolaus Forgó in Auftrag gegeben, welches bereits auf der Website des Bundesministeriums für Bildung, Wissenschaft und Forschung abrufbar ist.[2] Forgó kommt zwar zum Ergebnis, dass der Betrieb der Lernsieg-App durchaus rechtmäßig sein kann, in der konkreten Ausgestaltung (va. in Bezug auf Informationspflichten, Rechtmäßigkeitsgründe iSd Art 6, fehldende Bestellung eines Datenschutzbeauftragten iSd Art 37 Abs 1 lit b, etc.) aber kein grünes Licht gegeben werden kann.
Was kann die Lernsieg-App?
Zur Erinnerung: in der Lernsieg-App können registrierte Benutzer Bewertungen ist in Sternchen-Form für Schulen (welche aus Sich der DSGVO nicht relevant sind)[3] und einzelne Lehrer*nnen in folgenden Kategorien abgeben:
- Unterricht
- Fairness
- Respekt
- Motivationsfähigkeit
- Geduld
- Vorbereitung
- Durchsetzungsfähigkeit
- Pünktlichkeit
Woher stammen die Daten der Lehrer*innen?
In der Datenschutzerklärung der Lernsieg-App, die seit 5.12.2019 nicht mehr abrufbar ist[4], informiert der Verantwortliche nur sehr unbestimmt, dass die Daten aus öffentlichen Quellen stammen.[5] Woher die Daten konkret stammen, wurde allerdings nicht mitgeteilt. Die Datenschutzerklärung (=Informationspflicht gem Artt 13, 14 DSGVO) ist derzeit nicht mehr abrufbar und wurde auch auf Nachfrage per E-Mail vom 29.1.2020 nicht zur Verfügung gestellt.
Ob die Daten tatsächlich „nur“ von der Schulwebsite stammen, sei dahingestellt und wird sich nur im Zuge eines Auskunftsbegehrens beantworten lassen.
Den Rückmeldungen einiger betroffener Lehrer*innen zufolge waren die Daten der bewertenden Lehrer*innen in der App „Lernsieg“ allerdings nicht ident mit den Angaben auf der Schulwebsite. So kann es vorkommen, dass aus einem „ü“ ein „ö“ wird, oder regelmäßig Lehrer*innen mit dem Titel „Dipl.Ing.“ doppelt, nämlich einmal als „DI.“ und einmal als „Dipl. Ing.“ aufscheinen.
Dürfen die Lehrer*innen-Daten tatsächlich aufgrund berechtigter Interessen für diese Zwecke verarbeitet werden?
Wie bereits m Blogartikel öffentliche Lehrer-Bewertung „Lernsieg“ berichtet, bedarf eine Datenverarbeitung, die sich auf berechtigte Interessen iSd Art 6 Abs 1 lit f DSGVO stützt, einer individuellen Prüfung.[6]
Die Interessen des App-Betreibers, bzw. die Interessen Dritter in Gestalt der an den Bewertungen interessierten Öffentlichkeit sind den Interessen der Betroffenen auf Geheimhaltung abzuwägen.[7]
Ob die Datenschutzbehörde die Zulässigkeit aufgrund berechtigter Interessen iSd Art 6 Abs 1 lit f DSGVO bestätigt hat und wie die Interessenabwägung beurteilt wurde, konnte bisher (von mir) nicht verifiziert werden.
Mangelhafte Informationspflichten
Entsprechend dem Grundsatz der transparenten Information hat der Verantwortliche iSd Artt 13, 14 umfangreiche Informationen bereit zu stellen, die den Betroffenen über die Art und Weise der Verarbeitung umfangreich informieren. Werden die Daten (wie im konkreten Fall) nicht beim Betroffenen selbst erhoben, sind die Mindesterfordernisse für diese Informationen im Art 14 DSGVO geregelt. Forgó sieht einige Mängel dieser Informationspflicht, weswegen mE. seitens Datenschutzbehörde schon deswegen kein „grünes Licht“ gegeben werden kann, wie in den Medien berichtet wird.
Fehlender Datenschutzbeauftragter
In der Datenschutzerklärung wurde weiters kein Datenschutzbeauftragter bestellt. Gem Art 37 DSGVO ist in folgenden Fällen ein Datenschutzbeauftragter zu nominieren:
- Wenn die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird,
- wenn die Kerntätigkeit[8] des Verantwortlichen […] in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder
- wenn die Kerntätigkeit des Verantwortlichen […] in der umfangreichen Verarbeitung besonderer Kategorien von Daten gem Art 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gem Art 10 besteht.
Aufgrund des Geschäftsmodells und auch der großen Zahl an Betroffenen ist lt. Forgó ein Datenschutzbeauftragter iSd Art 37 Abs 1 lit b DSGVO zu bestellen. In der Datenschutzerklärung wurde aber kein Datenschutzbeauftragter genannt, womit auch in diesem Punkt eine Zuwiderhandlung der Pflichten des Verantwortlichen vorliegen kann.
Kann ich als Lehrer*in meine Bewertungen löschen lassen?
Eine Löschung nach Art 17 DSGVO ist ua. nur dann zulässig, wenn die Daten unrechtmäßig verarbeitet werden.[9] Sofern die Verarbeitung auf berechtigte Interessen iSd Art 6 Abs 1 lit f DSGVO gestützt werden kann und die Datenschutzbehörde auch dieser Ansicht ist, wird ein Löschbegehren aber ins Leere gehen.
Die Antwort des Verantwortlichen auf ein Löschbegehren einer Betroffenen iSd Art 17 DSGVO wurde mit folgender Begründung abgelehnt:
Nach einer sorgsamen Prüfung Ihres Anliegens müssen wir Ihnen aber mitteilen, dass wir Ihrem Antrag auf Löschung Ihrer personenbezogenen Daten nicht Folge leisten können, da konkret kein Grund des Art 17 Abs 1 DSGVO vorliegt: Einem Antrag auf Löschung ist gemäß Art 17 DSGVO unter anderem nur dann zu entsprechen , wenn gemäß Abs 1 lit d die Daten unrechtmäßig verarbeitet werden. Dies trifft aber im vorliegenden Fall nicht zu:
1. Rechtmäßigkeit der Datenverarbeitung
Die Daten von Lehrern – Name, zugehörige Schule und allfällige Bewertungen – werden nämlich aufgrund von überwiegenden berechtigten Interessen der breiten Öffentlichkeit an Transparenz im Zusammenhang mit Bildung gemäß Art 6 Abs 1 lit f DSGVO verarbeitet. Durch die Zurverfügungstellung der App kann die Öffentlichkeit ihr Recht auf Meinungs- und Informationsfreiheit wahrnehmen, das unter anderem auch den Empfang und die Weitergabe von Nachrichten und Ideen schützt. Die Ausbildung der nächsten Generation ist eines der wichtigsten Themen einer Gesellschaft. Die Frage, wie man zu besseren Ergebnissen im schul- und universitären Bereich kommt, ist ein zentrales politisches Anliegen, das die Öffentlichkeit bewegt. So werden auch die Ergebnisse der PISA Studie regelmäßig – wie auch aktuell gerade wieder – in der breiten Öffentlichkeit samt möglichen Lösungsansätzen für die Misere im Bildungswesen diskutiert. Unsere App bietet einen Beitrag zur Problembewältigung, als sie es erlaubt, wertvolle Meinungen und Informationen von unmittelbar Betroffenen – den Schülern – gesammelt zu erheben und auszutauschen. Ohne die App ist diese Informationsbeschaffung nur sehr schwer repräsentativ möglich. Die App bietet damit einen wesentlichen Beitrag für mehr Transparenz im Bildungswesen.
Demgegenüber ist von keinem Eingriff in die Rechte und Freiheiten von Betroffenen – in dem Fall Lehrern – auszugehen. Eine allfällige schlechte Bewertung kann nämlich nicht zu unmittelbaren und ungefilterten beruflichen Konsequenzen führen. Zudem liegt die konkrete Bewertung in Ihrer Hand – die Rückmeldung der Nutzer ist ein Echo auf Ihre tägliche Arbeit in der Schule.
Zusätzlich haben wir angemessene technische und organisatorische Maßnahmen getroffen, um etwaige Risiken für die Betroffenen zu minimieren. Unter anderem (i) ist für die Bewertung eine Registrierung erforderlich – es gibt also keine schützende, unrichtige Bewertungen fördernde Anonymität, (ii) ist lediglich die Angabe von Sternen in Kombination mit vordefinierten Begründungen und kein Freitext, der gegebenenfalls zu Eingriffen führen könnte, möglich und (iii) sind Mehrfachbewertungen technisch ausgeschlossen. Da wir umfassende Maßnahmen zur Minimierung von etwaigen Missbrauchsrisiken getroffen haben, überwiegt daher das öffentliche Interesse an einer transparenten Bewertung der Ausbildungsstätten und der Ausbildner gegenüber den Geheimhaltungsinteressen der Lehrer.
Aus den dargelegten Gründen überwiegen die Interessen der breiten Öffentlichkeit gegenüber Ihren Interessen. Die Verarbeitung kann daher auf berechtigtes Interesse gem Art 6 Abs 1 lit f DSGVO gestützt werden.
2. Speicherdauer
Auch wenn die App aktuell offline ist, bestehen derzeit konkrete Anhaltspunkte, dass die über Sie gespeicherten personenbezogenen Daten zur Verteidigung von unseren Rechtsansprüchen erforderlich sein können. Aus diesem Grund werden Ihre Daten weiterhin für mindestens drei Jahre oder für die darüber hinausgehende Dauer von etwaigen Verfahren gespeichert.
[…]
Eine Löschung der personenbezogenen Daten ist nur unter den Voraussetzungen des Art 17 DSGVO möglich. Sofern die Datenschutzbehörde tatsächlich zur Annahme kommt, dass die Datenverarbeitung aufgrund berechtigter Interessen durchgeführt werden kann, wird ein Löschbegehren ins Leere führen.
Kann ich als Lehrer*in mein Widerspruchsrecht geltend machen?
Immer dann, wenn der Verantwortliche eine Datenverarbeitung auf Basis berechtigter Interessen durchführt, hat der Betroffene die Möglichkeit Widerspruch iSd Art 21 DSGVO einzulegen. Dies aber nur dann, wenn der Verantwortliche nicht zwingende schutzwürdige Gründe für die Verarbeitung nachweisen kann. Dh. es kommt zu einer neuerlichen Interessenabwägung, bei der die Interessen des Verantwortlichen überwiegen müssen. Kann der/die beispielsweise zu Unrecht schlecht beurteilte Lehrer*in nachweisen, dass es sich bei der Bewertung um keine objektive Bewertung handelt oder andere schutzwürdige Interessen des/der Betroffenen vorliegen, sollte die Interessenabwägung zu Gunsten des/der Betroffenen ausfallen und der Verantwortliche dürfte die Daten nicht weiter verarbeiten.
Somit können Sie als betroffene/r Lehrer*in bei begründeten Schutzwürdigekeiten Ihrer Daten Widerspruch gegen die Verarbeitung iSd Art 21 DSGVO einlegen.
Rechtsgrundlage für die Nutzung der App
In der Datenschutzerklärung steht weiters, dass personenbezogene Daten im Zuge der Nutzung der App aufgrund vertraglicher Notwendigkeit iSd Art 6 Abs 1 lit b DSGVO verarbeitet werden. App-Nutzer, welche auch Bewertungen abgeben möchten, müssen sich zumindest[10] mit der Telefonnummer registrieren. Die Bekanntgabe der Telefonnummer wird aber für die Vertragserfüllung nicht erforderlich[11] sein, wenngleich diese auch für die Identifizierung herangezogen werden soll.
Davon abgesehen richtet sich die App auch an unmündige bzw. mündige Minderjährige, welche aufgrund fehlender Geschäftsfähigkeit ohne Genehmigung der Erziehungsberechtigten idR. keine gültigen Verträge eingehen können, womit die Rechtsgrundlage „erforderliche Vertragserfüllung“ von vornherein ausscheidet.[12]
Fazit
Dass den Schüler*innen eine Möglichkeit zur Bewertung von Lehrer*innen zur Verfügung gestellt werden soll, ist unbestritten. Bewertungsplattformen sind auch grundsätzlich zulässig. Es ist aber den Vorgaben der Datenschutz-Grundverordnung entsprechend Rechnung zu tragen und die Verarbeitung auch mit dem verfassungsrechtlichen Grundrecht auf Geheimhaltung (§ 1 DSG) in Einklang zu bringen. Wie bereits in einem früheren Blogbeitrag berichtet, ist die App in der aktuellen Ausgestaltung mE. nicht mit den datenschutzrechtlichen Vorgaben konform, wie auch Forgó in seinem Gutachten (va. hinsichtlich Rechtsgrundlage und Informationspflichten) bestätigt.
In welcher Form die Datenschutzbehörde tatsächlich „grünes Licht“ gegeben hat, bleibt offen. Der App-Betreiber sollte sich bei einem künftigen „Come-Back“ aber jedenfalls datenschutzrechtlichen Rat einholen und sowohl die Datenschutzerklärung überarbeiten als auch einen Datenschutzbeauftragten zu bestellen.
Unabhängig davon hat die Gewerkschaft Öffentlicher Dienst (GÖD) aber Bedenken gegenüber der App und kein Vertrauen in das Versprechen der Betreiber, niemals Daten der Schüler zu verkaufen.[13]
Ob, wann und in welcher Ausgestaltung die Lernsieg-App
wieder online sein wird, bleibt abzuwarten …
[1] Vgl. https://www.derstandard.at/story/2000114248348/datenschutzbehoerde-stellt-pruefverfahren-von-lehrerbewertungs-app-ein (Abfrage am 12.2.2020).
[2] Vgl https://www.bmbwf.gv.at/Ministerium/Presse/20200211.html (Abfrage am 12.2.2020).
[3] der sachliche Anwendungsbereich der DSGVO ist auf natürlich Personen eingeschränkt. Unabhängig davon greift allerdings das Grundrecht auf Geheimhaltung iSd § 1 DSGVO, sofern schutzwürdige Geheimhaltungsinteressen vorliegen auch für juristische Personen.
[4] Vgl https://derstandard.at/permalink/p/1047817940.
[5] Vgl das Interview mit Hadrigan, https://www.kleinezeitung.at/oesterreich/5722301/Interview-mit-Gruender_17Jaehriger-startet-LehrerBewertungsApp_, „Wir haben keine Datenbank gehackt. Diese Daten sind indirekt öffentlich zugänglich. Ich habe von der Website des Bildungsministeriums alle Schulkennzahlen manuell herauskopiert. Das waren zirka 4.000 für uns relevante Schulen, also alle nach den Volksschulen, die nicht bewertet werden sollen. Ein Team von Studenten hat jede Schulwebsite besucht und die Daten der Lehrer zusammengetragen. Sollten die Daten nicht mehr stimmen, gibt es in der App auch die Möglichkeit, Änderungswünsche zu beantragen.“
[6] Vgl Furtlehner, Das „berechtigte Interesse“ iSd Art 1 Abs 1 lit f DSGVO Seite 70.
[7] Vgl Forgó, Datenschutzrechtliche Einschätzung öffentlich zugänglicher Bewertungsplattformen von Lehrerinnen und Lehrern am Beispiel „Lernsieg“, https://www.bmbwf.gv.at/dam/jcr:17c485f4-a925-4b36-81b0-21cff39d60bb/Gutachten%20Forgo%20Lernsieg.pdf Seite 31.
[8] Kerntätigkeiten sind nach hL „Geschäftsbereiche, die für die Umsetzung der Unternehmensstrategie entscheidend sind und nicht bloß routinemäßige Verwaltungsaufgaben darstellen. Vgl Paal/Pauly/Paal, DS-GVO2 Art 37 Rn 8.
[9] Weitere Alternativtatbestände zum Recht auf Löschung siehe Art 17 Abs 1 lit a-f DSGVO.
[10] Die Formulierung in der Datenschutzerklärung legt nahe, dass es sich um die aufgezählten Datentypen nur um eine beispielhafte Aufzählung handelt.
[11] Vgl zum Begriff der Erforderlichkeit auch „Was genau heißt eigentlich erforderlich“? in Datenschutz-Praxis November 2019.
[12] Vgl Forgó, Datenschutzrechtliche Einschätzung öffentlich zugänglicher Bewertungsplattformen von Lehrerinnen und Lehrern am Beispiel „Lernsieg“, https://www.bmbwf.gv.at/dam/jcr:17c485f4-a925-4b36-81b0-21cff39d60bb/Gutachten%20Forgo%20Lernsieg.pdf Seite 35.
[13] Siehe https://www.derstandard.at/story/2000114486886/bildung-ist-keine-pizzabestellung-erbitterter-widerstand-gegen-lernsieg-comeback (Abgefragt am 12.2.2020).