Schülerdaten bei Berufsorientierung: was Schulen und Träger beachten müssen

Warum Schülerdaten anders sind

Drei Dinge kommen bei Minderjährigen zusammen, die es sonst nicht gibt. Erstens können sie unterhalb einer Altersgrenze nicht wirksam selbst einwilligen. Zweitens sind die Daten, um die es geht, besonders zukunftsrelevant: Berufswünsche, Noten, Interessen. Drittens ist die Schule als Mittlerin beteiligt, was die Frage nach der Verantwortlichkeit verkompliziert.

Erwägungsgrund 38 der Datenschutz-Grundverordnung wird hier ungewöhnlich deutlich. Kinder verdienen bei ihren personenbezogenen Daten besonderen Schutz, weil sie sich der Risiken, Folgen und Garantien möglicherweise weniger bewusst sind. Der Erwägungsgrund nennt zwei Anwendungsfälle ausdrücklich: die Verwendung für Werbezwecke und die Erstellung von Persönlichkeits- oder Nutzerprofilen. Genau das ist bei Berufsorientierung nicht weit weg, denn ein Matching zwischen Interessen und Betrieben ist der Sache nach eine Profilbildung.

Die Altersgrenze und wo sie tatsächlich greift

Nach Artikel 8 Absatz 1 DSGVO ist die Einwilligung eines Kindes wirksam, wenn es das sechzehnte Lebensjahr vollendet hat. Darunter ist die Verarbeitung nur rechtmäßig, sofern und soweit die Einwilligung durch den Träger der elterlichen Verantwortung erteilt wird oder mit dessen Zustimmung erfolgt. Die Mitgliedstaaten dürfen eine niedrigere Grenze festlegen, jedoch nicht unter dem vollendeten dreizehnten Lebensjahr. Deutschland hat von dieser Möglichkeit keinen Gebrauch gemacht, es bleibt hier bei sechzehn.

Der Punkt, den die meisten Darstellungen überspringen, steht im selben Absatz davor: Artikel 8 gilt nur für Dienste der Informationsgesellschaft, die einem Kind direkt gemacht werden. Das ist keine Formalie, sondern entscheidet darüber, welcher Teil Ihrer Veranstaltung überhaupt unter diese Norm fällt. Ein Dienst der Informationsgesellschaft ist nach Artikel 4 Nummer 25 DSGVO eine Dienstleistung im Sinne der Richtlinie (EU) 2015/1535, also elektronisch, im Fernabsatz und auf individuellen Abruf erbracht.

Für Ihre Veranstaltung heißt das: Das Online-Anmeldeformular, das eine Schülerin selbst ausfüllt, fällt darunter. Die Anwesenheitsliste, die eine Lehrkraft im Klassenraum auf Papier führt, fällt nicht darunter. Der Gesprächsbogen, den ein Betrieb am Stand ausfüllt, ebenfalls nicht. Diese Vorgänge sind deshalb nicht erlaubnisfrei, sie brauchen nur eine andere Begründung, nämlich eine Rechtsgrundlage nach Artikel 6 und, bei schulischer Beteiligung, das Schul- und Datenschutzrecht des jeweiligen Bundeslandes.

Praktisch verlaufen die Grenzen selten so sauber. Wer eine Veranstaltung plant, bei der sich ein Teil online anmeldet und ein anderer Teil klassenweise von der Schule gemeldet wird, hat zwei Verarbeitungen mit zwei Begründungen in einem Vorgang. Es lohnt sich, das einmal aufzuschreiben, bevor die erste Anmeldung eingeht.

Was angemessene Anstrengungen bedeutet

Artikel 8 Absatz 2 verlangt vom Verantwortlichen, unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen zu unternehmen, um sich zu vergewissern, dass die Einwilligung tatsächlich vom Träger der elterlichen Verantwortung stammt. Das ist bewusst offen formuliert, und daraus folgt zweierlei.

Zum einen ist ein Häkchen mit dem Text „Ich bin über 16“ oder „Meine Eltern sind einverstanden“ für sich genommen schwach. Es kostet null Aufwand, es zu setzen, und es erzeugt keinerlei Anhaltspunkt dafür, dass jemand anderes als das Kind selbst gehandelt hat. Zum anderen ist der in Schulen übliche Weg, ein unterschriebenes Formular über die Klassenleitung nach Hause und zurück, kein bürokratischer Umweg, sondern genau die Anstrengung, die die Norm meint. Was im Alltag als Last erscheint, ist hier der Nachweis.

Dazu kommt Artikel 7 Absatz 1: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass eingewilligt wurde. Nachweisen heißt später, unter Nachfrage, gegenüber einer Aufsichtsbehörde. Ein Stapel Papier im Ordner erfüllt das, ein Häkchen ohne Protokoll nicht. Wer digital erhebt, sollte deshalb festhalten, wann, mit welchem Text und über welchen Weg eingewilligt wurde.

Widerruf und Freiwilligkeit

Zwei weitere Absätze aus Artikel 7 werden bei Schulveranstaltungen regelmäßig übersehen. Absatz 3 sagt, dass die Einwilligung jederzeit widerrufen werden kann und dass der Widerruf so einfach wie die Erteilung sein muss. Wenn die Zustimmung per Formular kommt, muss der Widerruf also nicht schwerer sein als ein formloser Satz an die veranstaltende Stelle. Auf den Widerruf ist vor der Abgabe hinzuweisen.

Absatz 4 enthält das, was üblicherweise Kopplungsverbot genannt wird. Bei der Beurteilung der Freiwilligkeit muss in größtmöglichem Umfang berücksichtigt werden, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht wird, die für diesen Vertrag gar nicht erforderlich ist. Übertragen auf eine Berufsorientierungsmesse: Die Teilnahme darf nicht davon abhängen, dass jemand der Weitergabe an Betriebe zustimmt. Beides in ein einziges Kästchen zu legen, macht die Einwilligung angreifbar.

Der Weg über die Schule und die Rollenfrage

In der Praxis läuft die Einwilligung fast immer als Formular über die Schule nach Hause. Das funktioniert, hat aber zwei Tücken. Die erste ist die Zeit: Rechnen Sie mit zwei bis drei Wochen bis zum Rücklauf, und mit einer Quote, die nie bei hundert Prozent liegt. Planen Sie deshalb einen Weg für die Schülerinnen und Schüler ohne Rücklauf ein, statt sie auszuschließen.

Die zweite Tücke ist die Rollenverteilung, und sie ist die teurere. Es gibt drei mögliche Konstellationen, und sie führen zu verschiedenen Pflichten. Entweder die Schule erhebt für sich selbst und übermittelt Ihnen danach Daten. Oder die Schule handelt weisungsgebunden für Sie, dann brauchen Sie einen Auftragsverarbeitungsvertrag. Oder Sie legen gemeinsam Zwecke und Mittel fest, dann sind Sie nach Artikel 26 Absatz 1 DSGVO gemeinsam Verantwortliche und müssen in einer Vereinbarung in transparenter Form festlegen, wer welche Pflicht erfüllt, ausdrücklich auch, wer den Betroffenenrechten nachkommt und wer die Informationspflichten nach den Artikeln 13 und 14 erfüllt.

Diese Absprache fällt fast immer aus. Auffallen tut das genau dann, wenn ein Elternteil Auskunft verlangt oder eine Löschung will und zwei Stellen aufeinander zeigen. Ein einseitiges Papier vor der Veranstaltung erspart diesen Vorgang.

Informationen, die Jugendliche verstehen

Artikel 12 Absatz 1 DSGVO verlangt, Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache zu übermitteln, und fügt an: dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Das ist eine eigenständige Pflicht und keine Empfehlung.

Für die Praxis heißt das zwei Fassungen desselben Inhalts. Die eine richtet sich an die Erziehungsberechtigten und darf die übliche Form haben. Die andere richtet sich an die Jugendlichen selbst, steht auf dem Anmeldeformular und beantwortet in wenigen Sätzen, wer die Daten bekommt, wofür sie genutzt werden, wie lange sie bleiben und wie man sie wieder loswird. Wer nur die lange Fassung ausliefert, erfüllt den Buchstaben und verfehlt den Zweck.

Artikel 7 Absatz 2 zieht in dieselbe Richtung: Steht die Einwilligung in einer Erklärung, die noch andere Sachverhalte betrifft, muss sie von diesen klar zu unterscheiden sein. Ein Einwilligungstext, der im Fließtext der Teilnahmebedingungen verschwindet, genügt dem nicht.

Welche Daten Sie wirklich brauchen

Der Reflex, möglichst viel abzufragen, ist bei Berufsorientierung besonders stark, weil das Matching davon lebt. Trotzdem gilt Datensparsamkeit, und bei Minderjährigen mit besonderem Gewicht.

Notwendig sind in aller Regel Name, Schule, Klassenstufe und Interessensfelder. Nicht notwendig sind Geburtsdatum auf den Tag genau, Adresse, Telefonnummer und Noten. Wer das Alter braucht, um die Einwilligungsfähigkeit zu prüfen, kommt mit dem Geburtsjahr aus. Welche Felder ein Anmeldeformular sinnvollerweise enthält, lässt sich an dieser Frage entlang entscheiden: Was passiert konkret, wenn dieses Feld leer bleibt?

Besondere Vorsicht gilt bei Angaben zu Unterstützungsbedarf oder Beeinträchtigungen. Das sind Gesundheitsdaten nach Artikel 9 DSGVO, sie unterliegen einem eigenen Verbot mit Erlaubnisvorbehalt und gehören nach der Veranstaltung als Erstes gelöscht. Wenn Sie Barrierefreiheit organisieren müssen, fragen Sie den Bedarf ab, nicht die Diagnose.

Weitergabe an Betriebe

Hier liegt der heikelste Punkt. Ein Unternehmen, das nach dem Gespräch die Kontaktdaten einer Fünfzehnjährigen bekommt, verarbeitet sie danach eigenverantwortlich, und Ihre Kontrolle endet.

Drei Regeln machen das handhabbar. Erstens braucht die Weitergabe eine eigene Einwilligung, getrennt von der Anmeldung, schon wegen Artikel 7 Absatz 2. Zweitens darf sie nach Artikel 7 Absatz 4 keine Voraussetzung für die Teilnahme sein. Drittens gehört in die Vereinbarung mit den Betrieben, wofür die Daten verwendet werden dürfen und wann sie zu löschen sind. Ein Praktikumsangebot ist etwas anderes als ein Newsletter, und Erwägungsgrund 38 nennt Werbung gegenüber Kindern ausdrücklich als das, wovor der besondere Schutz greifen soll.

Technisch lässt sich das sauber lösen, indem der Kontakt erst entsteht, wenn beide Seiten ihn wollen. Wenn ein Betrieb den Code eines Teilnehmenden scannt und der Teilnehmende den Vorgang auf seinem Gerät bestätigt, liegt die Entscheidung dort, wo sie hingehört.

Nach der Veranstaltung

Der Zweck ist mit dem Ende des Berufsorientierungstags erfüllt. Was danach bleibt, braucht einen neuen Grund, und bei Minderjährigen sollten Sie hier strenger sein als bei Erwachsenen.

Eine brauchbare Regel: Anmelde- und Gesprächsdaten innerhalb von vier Wochen löschen, Gesundheitsangaben sofort, Einwilligungsnachweise so lange aufbewahren, wie daraus Fragen entstehen können, denn die Nachweispflicht aus Artikel 7 Absatz 1 läuft weiter. Kennzahlen für die Nachbereitung nur aggregiert behalten, ohne Rückschluss auf Einzelne. Wie sich Fristen sauber ordnen lassen, steht unter Löschfrist.

Zeitplan

Der einzige Teil, der sich nicht komprimieren lässt, ist der Rücklauf der Elterneinwilligungen. Alles andere richtet sich danach.

Wie ein Berufsorientierungstag im Übrigen aufgesetzt wird, beschreibt der Leitfaden zur digitalen Planung. Für Kommunen und Wirtschaftsförderungen, die Ausbildungsmessen verantworten, ist der Leitfaden für Ausbildungsmessen der passende Einstieg. Den datenschutzrechtlichen Rahmen über alle Veranstaltungsarten hinweg gibt der Leitfaden Datenschutz bei Veranstaltungen, und für Aufnahmen auf dem Gelände gilt zusätzlich das, was unter Fotos und Videos auf Veranstaltungen steht.

Häufige Fragen

Ab welchem Alter dürfen Jugendliche selbst einwilligen?

Nach Artikel 8 Absatz 1 DSGVO ab dem vollendeten sechzehnten Lebensjahr. Mitgliedstaaten dürfen die Grenze auf bis zu dreizehn Jahre absenken, Deutschland hat das nicht getan. Unterhalb von sechzehn muss die Einwilligung vom Träger der elterlichen Verantwortung erteilt werden oder mit dessen Zustimmung erfolgen.

Gilt Artikel 8 auch für die Anwesenheitsliste auf Papier?

Nein. Artikel 8 gilt nur für Dienste der Informationsgesellschaft, die einem Kind direkt angeboten werden, also für elektronisch und auf Abruf erbrachte Leistungen wie das Online-Anmeldeformular. Für Verarbeitungen auf Papier oder vor Ort brauchen Sie eine Rechtsgrundlage nach Artikel 6 und müssen zusätzlich das Schul- und Datenschutzrecht des Bundeslandes beachten.

Reicht ein Häkchen mit der Angabe, die Eltern seien einverstanden?

In aller Regel nicht. Artikel 8 Absatz 2 verlangt angemessene Anstrengungen, sich zu vergewissern, dass die Einwilligung wirklich von den Erziehungsberechtigten stammt. Ein Häkchen erzeugt keinen solchen Anhaltspunkt. Dazu kommt die Nachweispflicht aus Artikel 7 Absatz 1, die im Streitfall zu erfüllen ist.

Darf die Teilnahme davon abhängen, dass Daten an Betriebe weitergegeben werden?

Nein. Artikel 7 Absatz 4 verlangt, bei der Freiwilligkeit in größtmöglichem Umfang zu berücksichtigen, ob eine Leistung von einer Einwilligung abhängig gemacht wird, die dafür nicht erforderlich ist. Die Weitergabe an Betriebe ist für die Teilnahme nicht erforderlich und gehört deshalb in eine eigene, getrennte Einwilligung.

Wer ist verantwortlich, die Schule oder wir?

Das hängt davon ab, wer Zwecke und Mittel festlegt. Legen beide Seiten das gemeinsam fest, sind sie nach Artikel 26 Absatz 1 DSGVO gemeinsam Verantwortliche und müssen in einer transparenten Vereinbarung regeln, wer die Informationspflichten erfüllt und wer Betroffenenrechte bearbeitet. Handelt die Schule weisungsgebunden für Sie, ist es Auftragsverarbeitung. Diese Frage vor der Veranstaltung zu klären kostet ein Papier, danach kostet sie Zeit.

Dieser Text gibt einen Überblick und ersetzt keine Rechtsberatung. Schulische Verarbeitungen unterliegen zusätzlich dem Schul- und Datenschutzrecht des jeweiligen Bundeslandes. Fragen Sie im Zweifel bei der zuständigen Schulbehörde oder der Landesdatenschutzbehörde nach.