Die seit letzter Woche verfügbare App „Lernsieg“ wirft viele Fragen auf. Der ursprüngliche Zweck, dass Schüler ihre Schulen und Lehrer[1] bewerten können, wird neben datenschutzrechtlichen Bedenken in Frage gestellt und auch die Frage der Herkunft der Lehrerdaten ist nicht eindeutig beantwortet.
In der Datenschutzinformation der App wird in Pkt 2.c angeführt, dass die Daten aus öffentlichen Quellen (Liste der Lehrer auf der Homepage der jeweiligen Schule) stammen. Apropos Datenschutzinformation … welche Daten muss ein Verantwortlicher iSe transparenten Information bereitstellen und sind die Betroffenen im aktuellen Fall tatsächlich ausreichend informiert?
Informationspflichten
Die DSGVO normiert in Art 12 Abs 1, dass der Verantwortliche geeignete Maßnahmen trifft, um der betroffenen Person alle Informationen gem Art 13 und 14, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.
Art 13: Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person
Das bedeutet, dass der Verantwortliche den betroffenen Personen (in diesem Fall Nutzer und Lehrer) zum Zeitpunkt der Erhebung von personenbezogenen Daten iSd Art 13 Abs 1 DSGVO jedenfalls folgendes mitzuteilen hat:
- Name und Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters (lit a)
- ggf. Kontaktdaten des Datenschutzbeauftragten[2] (lit b)
- die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung (lit c)
- wenn die Verarbeitung auf „berechtigte Interessen“ beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden (lit d)
- ggf. die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und (lit e)
- ggf. die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland […] zu übermitteln […] (lit f).
Nach Abs 2 sind noch weitere Informationen zur Verfügung zu stellen, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten, auf welche hier nicht näher eingegangen werden soll.
Diese Informationspflicht des Art 13 DSGVO betrifft somit vorwiegend Schüler, die sich für die Abgabe von Bewertungen registrieren müssen. Ihnen müssen og. Informationen zum Zeitpunkt der Erhebung der personenbezogenen Daten zur Verfügung gestellt werden. Der Verantwortliche stellt hierfür die Datenschutzinformation in der App und auf der Website unter https://www.lernsieg.at/app/datenschutz zur Verfügung. Ob die nach Art 13 DSGVO erforderlichen Informationen enthalten sind darf jeder für sich selbst beurteilen und soll nicht Thema dieses Beitrags sein.
Interessanter ist jedoch die Tatsache, dass die Daten der zu bewertenden Lehrer nicht von den App-Nutzern selbst erfasst werden, sondern bereits zur Auswahl in der App angeboten werden. Es wurde somit im Vorfeld eine Datenbasis geschaffen, die lt. Angaben des Verantwortlichen aus öffentlichen Quellen (Liste der Lehrer auf der Homepage der jeweiligen Schule) stammen. Artikel 14 normiert für diese Fälle eine Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden.
Art 14: Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden
Werden die personenbezogenen Daten also nicht bei der betroffenen Person selbst erhoben, so hat der Verantwortliche den Betroffenen Folgendes mitzuteilen:
- Name und Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters
- zusätzlich die Kontaktdaten des Datenschutzbeauftragten (sofern erforderlich und bestellt)
- die Kategorien personenbezogener Daten, die verarbeitet werden
- ggf. die Empfänger oder Kategorien von Empfängern der pb Daten
- ggf. die Absicht des Verantwortlichen, die pb Daten an einen Empfänger in einem Drittland […] zu übermitteln […].
Zusätzlich sind nach Abs 2 noch weitere Informationen bereitzustellen, ua. auch die berechtigten Interessen, die vom Verantwortlichen oder einem Dritten verfolgt werden, wenn die Verarbeitung auf Artikel 6 Abs 1 lit f beruht (Art 14 Abs 1 lit b).
In der bereits oben zitierten Datenschutzinformation informiert der Verantwortliche, dass zum Zwecke der Wahrung seines berechtigten Interesses der Name, Titel, Anrede sowie die Fachrichtungen und Bewertungen von Lehrern, die an österreichischen/deutschen Schulen unterrichten und in der App aufgelistet sind, verarbeitet werden. Ob die Anforderungen des Art 14 damit erfüllt werden, sei wieder dahingestellt.
Vielmehr interessiert wahrscheinlich die betroffenen Lehrer, woher der Verantwortliche diese Daten hat. Lt. eigenen Angaben stammen die Daten von der Schulhomepage, auf denen meist die Namen der Lehrer, inkl. Titel, Anrede und Fachrichtungen publiziert sind.
Kann das wahr sein?
Nachdem viele Schulen ihr Lehrpersonal auf der Website (zulässigerweise und aus gutem Grund – siehe unten) veröffentlichen, kann es durchaus sein, dass jemand diese Liste kopiert, automatisiert ausliest oder abtippt. Das ist grundsätzlich nicht verboten, sofern der Verantwortliche seinen Informationspflichten nach Art 14 DSGVO nachkommt und die geplante Datenverarbeitung zulässig ist.
Den Rückmeldungen einiger betroffener Lehrer zufolge waren die Daten in der App „Lernsieg“ allerdings nicht ident mit den Angaben auf der Schulwebsite. So kann es vorkommen, dass aus einem „ü“ ein „ö“ wird, oder regelmäßig Lehrer mit dem Titel „Dipl.Ing.“ doppelt, nämlich einmal als „DI.“ und einmal als „Dipl. Ing.“ aufscheinen. Weiters kann auch vorkommen, dass aus einem „…mayr“ ein „…huber“ wird oder dass Lehrer erst gar nicht in der Liste aufscheinen, obwohl sie auf der Schulwebsite veröffentlicht sind. Die Frage woher die Daten tatsächlich stammen, werden die betroffenen Lehrer wohl nur mit einem Auskunftsbegehren erhalten.[3]
Dürfen diese Daten von jedem und für alles verwendet werden?
Nur weil die Daten der Lehrer auf der Schulwebsite veröffentlicht werden, bedeutet das noch nicht, dass diese Daten für jegliche Zwecke verwendet werden dürfen. Natürlich ist es dadurch möglich zu erfahren wie die Lehrer heißen und welche Fachrichtungen sie unterrichten. Doch das hat auch einen guten Grund. Schüler, Eltern und Interessierte sollen über die Schulwebsite erfahren, wer hier welche Fachrichtungen unterrichtet und wie man sie ggf. erreichen kann. Das ist auch der Zweck, weswegen der Schulleiter[4] die Daten veröffentlicht[5].
Diese Veröffentlichung erlaubt aber noch nicht automatisch die weitere Verarbeitung durch einen anderen Verantwortlichen. Die Veröffentlichung bewirkt lediglich, dass ein Geheimhaltungsanspruch iSd § 1 DSG nicht gegeben ist, da aufgrund der Veröffentlichung kein schutzwürdiges Geheimhaltungsinteresse mehr besteht.[6]
Sollen nun alle Lehrerdaten von den Schulwebsites gelöscht werden?
Nein. Denn die Veröffentlichung der personenbezogenen Daten von Lehrern auf der Schulwebsite erfolgt ja zu einem bestimmten Zweck. Zumindest Eltern und Schüler sollen die Möglichkeit haben zu erfahren, welcher Lehrer in welchen Fachbereichen unterrichtet und wie man sie ggf. erreichen kann.
Dass mit diesen zulässigerweise veröffentlichen Daten eine evtl. unrechtmäßige Datenverarbeitung betrieben wird, hat der jeweilige Verantwortliche iSd Art 4 Z 7 DSGVO zu verantworten.
Eine pauschale Löschung aller Lehrernamen auf der Schulwebsite ist mE. nicht erforderlich und nicht zielführend. Vielmehr sollte eine unrechtmäßige Weiterverarbeitung dieser Daten (rechtlich) unterbunden und der ursprüngliche Zweck „Information für Eltern, Schüler und Interessierte“ aufrechterhalten werden.
Fazit
Verantwortliche müssen den betroffenen Personen umfangreiche Informationen zur Verfügung stellen woher die (gesammelten) personenbezogenen Daten stammen und welche Verarbeitungstätigkeiten durchgeführt werden.
Eine Veröffentlichung von Name, Titel und Fachrichtungen der einzelnen Lehrer auf der Schulwebsite ist jedenfalls kein Freibrief für eine Weiterverarbeitung der veröffentlichten Daten durch andere Verantwortliche. Natürlich muss für jede Datenverarbeitung eine entsprechende Rechtsgrundlage iSd Artt 6, 9 bzw. 10 DSGVO vorliegen.
Eine pauschale Löschung sämtlicher Lehrerdaten auf der
Schulwebsite ist mE. nicht zielführend und auch nicht erforderlich. Vielmehr
sollte der Betroffene seine datenschutzrechtlichen Rechte wahren und geltend machen
und im Zweifel gegen unrechtmäßige Datenverarbeitungen vorgehen.
[1] In diesem Blog-Artikel wird aus Gründen der besseren Lesbarkeit bewusst auf die gleichzeitige Verwendung der weiblichen und männlichen Sprachform verzichtet. Diese Formulierung bezeichnet jedoch stets Personen aller Geschlechter.
[2] Nicht jeder Verantwortliche muss verpflichtend einen Datenschutzbeauftragten bestellen. Art 37 Abs 1 DSGVO listet taxativ die drei Alternativtatbestände auf.
[3] Vgl. Art 15 Abs 1 lit g DSGVO.
[4] Verantwortlicher einer Schule iSd Art 4 Z 7 DSGVO ist der jeweilige Schulleiter.
[5] Diese Veröffentlichung bedarf natürlich auch einer entsprechenden Rechtsgrundlage gem Art 6 Abs 1 DSGVO, wobei hier vieles für die Zulässigkeit aufgrund berechtigter Interessen spricht. Dh. die Veröffentlichung des Namens und der jeweiligen Fachrichtung des Lehrers müsste mE. aufgrund berechtigter Interessen möglich sein. Lehrer haben gem Art 21 ohnehin ein entsprechendes Widerrufsrecht, wenn sie sich entsprechend in ihren Persönlichkeitsrechten dadurch verletzt fühlen. Vgl. meinen Praxis-Leitfaden „Das berechtigte Interesse iSd Art 6 Abs 1 lit f DSGVO“ Seite 65.
[6] Vgl. dazu auch Kunnert, Datenschutz in Fragen und Antworten, Seite 2.