Schülerdaten bei Berufsorientierung: was Schulen und Träger beachten müssen
Bei Berufsorientierungstagen und Ausbildungsmessen sind die Teilnehmenden meist minderjährig, und damit gelten strengere Regeln als bei jeder anderen Veranstaltung. Das betrifft die Einwilligung, die Weitergabe an Betriebe und den Zeitpunkt, an dem die Daten wieder verschwinden müssen.
Warum Schülerdaten anders sind
Drei Dinge kommen bei Minderjährigen zusammen, die es sonst nicht gibt. Erstens können sie unterhalb einer Altersgrenze nicht wirksam selbst einwilligen. Zweitens sind die Daten, um die es geht, besonders zukunftsrelevant: Berufswünsche, Noten, Interessen. Drittens ist die Schule als Mittlerin beteiligt, was die Frage nach der Verantwortlichkeit verkompliziert.
Die Erwägungsgründe der DSGVO halten ausdrücklich fest, dass Kinder besonderen Schutz verdienen, weil sie Risiken und Folgen einer Verarbeitung weniger gut einschätzen können. Das ist keine Floskel, sondern der Maßstab, an dem Ihre Verarbeitung gemessen wird.
Die Altersgrenze
Nach Artikel 8 DSGVO ist die Einwilligung bei Diensten der Informationsgesellschaft ab 16 Jahren allein wirksam. Darunter muss die elterliche Verantwortung zustimmen oder die Zustimmung erteilen. Für eine digitale Anmeldung zu einem Berufsorientierungstag ist das einschlägig.
Praktisch heißt das: In den Klassen 8 bis 10 brauchen Sie fast immer das Einverständnis der Erziehungsberechtigten, ab der Oberstufe meist nicht mehr. Wenn Ihre Veranstaltung beide Gruppen anspricht, brauchen Sie zwei Wege, und den aufwendigeren müssen Sie früh starten.
Der Weg über die Schule
In der Praxis läuft die Einwilligung fast immer als Formular über die Schule nach Hause. Das funktioniert, hat aber zwei Tücken. Die erste ist die Zeit: Rechnen Sie mit zwei bis drei Wochen bis zum Rücklauf, und mit einer Quote, die nie bei hundert Prozent liegt. Planen Sie deshalb einen Weg für die Schülerinnen und Schüler ohne Rücklauf ein, statt sie auszuschließen.
Die zweite Tücke ist die Rollenverteilung. Klären Sie schriftlich, wer Verantwortlicher ist: Handelt die Schule für Sie, oder erheben Sie selbst? Davon hängt ab, wer die Informationspflicht erfüllt und wer eine spätere Auskunftsanfrage beantwortet. Diese Absprache fällt fast immer aus, und sie fällt genau dann auf, wenn sie gebraucht wird.
Welche Daten Sie wirklich brauchen
Der Reflex, möglichst viel abzufragen, ist bei Berufsorientierung besonders stark, weil das Matching davon lebt. Trotzdem gilt Datensparsamkeit, und bei Minderjährigen mit besonderem Gewicht.
Notwendig sind in aller Regel Name, Schule, Klassenstufe und Interessensfelder. Nicht notwendig sind Geburtsdatum auf den Tag genau, Adresse, Telefonnummer und Noten. Wer das Alter braucht, um die Einwilligungsfähigkeit zu prüfen, kommt mit dem Geburtsjahr aus.
Besondere Vorsicht gilt bei Angaben zu Unterstützungsbedarf oder Beeinträchtigungen. Das sind Gesundheitsdaten nach Artikel 9 DSGVO, unterliegen einem eigenen Verbot mit Erlaubnisvorbehalt und gehören nach der Veranstaltung als Erstes gelöscht.
Weitergabe an Betriebe
Hier liegt der heikelste Punkt. Ein Unternehmen, das nach dem Gespräch die Kontaktdaten einer 15-Jährigen bekommt, verarbeitet sie danach eigenverantwortlich, und Ihre Kontrolle endet.
Drei Regeln machen das handhabbar. Erstens: Die Weitergabe braucht eine eigene Einwilligung, getrennt von der Anmeldung. Zweitens: Sie darf nicht Voraussetzung für die Teilnahme sein. Drittens: Halten Sie in der Vereinbarung mit den Betrieben fest, wofür die Daten verwendet werden dürfen und wann sie zu löschen sind. Ein Praktikumsangebot ist etwas anderes als ein Newsletter.
Nach der Veranstaltung
Der Zweck ist mit dem Ende des Berufsorientierungstags erfüllt. Was danach bleibt, braucht einen neuen Grund, und bei Minderjährigen sollten Sie hier strenger sein als bei Erwachsenen.
Eine brauchbare Regel: Anmelde- und Gesprächsdaten innerhalb von vier Wochen löschen, Gesundheitsangaben sofort, Einwilligungsnachweise so lange, wie daraus Fragen entstehen können. Kennzahlen für die Nachbereitung nur aggregiert behalten, ohne Rückschluss auf Einzelne. Wie sich das ordnen lässt, steht unter Löschfrist.
Zeitplan
Der einzige Teil, der sich nicht komprimieren lässt, ist der Rücklauf der Elterneinwilligungen. Alles andere richtet sich danach.
- Acht Wochen vorher: Rollen mit der Schule klären, Anmeldefelder festlegen, Einwilligungstext abstimmen
- Sechs Wochen vorher: Formulare an die Schulen, Anmeldung öffnen
- Drei Wochen vorher: Erste Erinnerung, Weg für fehlende Rückläufe festlegen
- Nach der Veranstaltung: Gesundheitsangaben sofort löschen, übrige Daten nach vier Wochen
Wie ein Berufsorientierungstag im Übrigen aufgesetzt wird, beschreibt unser Leitfaden zur digitalen Planung. Den datenschutzrechtlichen Rahmen über alle Veranstaltungsarten hinweg gibt der Leitfaden Datenschutz bei Veranstaltungen.
Dieser Text gibt einen Überblick und ersetzt keine Rechtsberatung. Schulische Verarbeitungen unterliegen zusätzlich dem Schul- und Datenschutzrecht des jeweiligen Bundeslandes; fragen Sie im Zweifel bei der zuständigen Schulbehörde nach.
