Datenschutz in der beruflichen Bildung

Das Datenschutzrecht betrifft die Berufsschulen, die Ausbildungsbetriebe und die zuständigen Stellen sowie deren Vernetzung untereinander (siehe Art. 88 Datenschutzgrundverordnung (DSGVO), § 26 Bundesdatenschutzgesetz (BDSG)).

Personenbezogene Daten von Auszubildenden im Ausbildungsbetrieb

In § 26 BDSG wird die Verarbeitung von "erforderlichen" Daten für Zwecke eines Beschäftigungsverhältnisses geregelt, worunter auch das Ausbildungsverhältnis fällt. Personenbezogene Daten von Auszubildenden dürfen demnach erhoben werden, wenn dies für die Begründung, Durchführung und Beendigung des Ausbildungsverhältnisses notwendig ist.

Als "erforderliche" Daten gelten beispielsweise:

• Name, Adresse, Geburtsdatum, Familienstand
• Telefonnummer, E-Mail-Adresse Kontoverbindung
• Ausbildung, Qualifikationen, Zeugnisse
• Arbeitszeiten

Ansonsten dürfen personenbezogene Daten nicht verarbeitet werden, außer es liegt eine freiwillige schriftliche Einwilligung vor (§ 26 Abs. 2 Satz 3 BDSG). Das Gesetz formuliert an die Anforderungen einer solchen Einwilligung hohe Maßstäbe. Insbesondere müssen bei dem Merkmal der Freiwilligkeit die im Ausbildungsverhältnis bestehende Abhängigkeit der Auszubildenden sowie die Umstände, unter denen die Einwilligung erteilt worden ist, berücksichtigt werden.

Bei minderjährigen Auszubildenden ist zudem die Regelung des Art. 8 DSGVO zu beachten. Diese besagt, dass Minderjährige erst dann in die Verarbeitung ihrer personenbezogenen Daten wirksam einwilligen können, wenn sie das 16. Lebensjahr vollendet haben. Anderenfalls benötigen sie eine Zustimmung ihrer Eltern oder ihrer gesetzlichen Vertreter.

Informationspflichten des Ausbildungsverantwortlichen

Die Informationspflichten des Ausbildenden gegenüber dem Auszubildenden werden in Art. 13 DSGVO geregelt und betreffen die Fälle, in denen die personenbezogenen Daten bei der betroffenen Person / den betroffenen Personen erhoben werden.

Wenn personenbezogene Daten nicht bei den betroffenen Personen erhoben werden, richten sich die Informationspflichten nach Art. 14 DSGVO.

Hiernach ist u. a. aufzuklären über:

• den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls einer Vertreterin / eines Vertreters
• die Kontaktdaten des Datenschutzbeauftragten
• die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung
• die Kategorien personenbezogener Daten, die verarbeitet werden
• gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten
• gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln
• die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer
• wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f DSGVO beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden
• das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit
• das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird (wenn die Verarbeitung auf einer erteilten freiwilligen Einwilligung nach Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a DSGVO beruht)
• das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde
• aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls, ob sie aus öffentlich zugänglichen Quellen stammen
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 DSGVO und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person

Problematisch ist zudem der Datenaustausch zwischen der berufsbegleitenden Schule und dem Ausbildungsbetrieb, beispielsweise im Hinblick auf Fehlstunden, Noten oder besondere Vorkommnisse. Hier bestand mit Einführung der neuen datenschutzrechtlichen Bestimmungen große Verunsicherung, ob und ggf. unter welchen Voraussetzungen ein Datenaustausch zulässig ist.

Mittlerweile haben sich zu dieser Frage einzelne Landesschulbehörden, das niedersächsische Kultusministerium sowie die Deutsche Industrie und Handelskammer (DIHK) geäußert. Es besteht Einigkeit, dass die Datenweitergabe durch berufsbildende Schulen an Ausbildungsbetriebe bezüglich der Fehlzeiten und der Leistungsstände der Auszubildenden im Rahmen der dualen Berufsausbildung nicht der vorherigen Einwilligung der betroffenen Auszubildenden bedarf, sofern besondere schutzwürdige Belange nicht betroffen sind. Allerdings dürfen darüber hinaus bspw. keine Informationen zum Krankheitsbild übermittelt werden.

Ebenfalls erlaubt ist die Weitergabe von Daten durch berufsbildende Schulen an die Kammern, z. B. Klassenlisten oder die Namen und Adressen von Lehrkräften für die Berufung von Prüfungsausschüssen oder die Durchführung der überbetrieblichen Lehrlingsunterweisung. Dabei beruft man sich als gesetzliche Grundlage auf die Aufsichtspflicht der zuständigen Stellen gemäß § 76 BBiG.

Löschen von Daten

Es besteht die Pflicht des Ausbildenden, personenbezogene Daten zu löschen, sobald diese nicht mehr erforderlich sind. Ausbildungsbetriebe sind verpflichtet, ein Speicher- und Löschkonzept zu erarbeiten, das sicherstellt, dass wirklich alle Daten in der Personalakte, aber auch E-Mails etc. wirklich gelöscht werden.

Datenschutzbeauftragte

Die Datenschutzbeauftragten haben die Aufgabe, über den Datenschutz aufzuklären. Dazu zählt auch die Schulung von Auszubildenden. Ihnen soll vermittelt werden, welche Aufgaben die / der Datenschutzbeauftragte hat und, dass sie diese Person in allen Fragen zu diesem Thema kontaktieren können.

Umgang mit geschäftlichen E-Mails

Den Auszubildenden sollten schon zu Beginn der Ausbildung (vorzugsweise durch den Datenschutzbeauftragten des Ausbildungsbetriebes) die Konsequenzen unüberlegten Umgangs beim E-Mail-Verkehr bewusst gemacht werden. Da auch eine E-Mail-Adresse zu den personenbezogenen Daten gehört, unterliegt sie dem Datenschutz. So sollten aus datenschutzrechtlichen Gründen große Verteiler beim Versenden von E-Mails vermieden bzw. muss stets die BCC-Funktion gewählt werden, damit die E-Mail-Adressen nicht für alle anderen Empfänger sichtbar sind. Ansonsten ist die Einwilligung der Empfänger einzuholen. Beim Beantworten von E-Mails sollten Auszubildende darauf achten, ob sich unterhalb des geschriebenen E-Mail-Textes Informationen aus einer älteren E-Mail befinden können, die aus Datenschutzgründen möglicherweise nicht für die angeschriebenen Empfänger zugänglich sein sollten.

Videoüberwachung, § 4 BDSG

Die Kameraüberwachung am Arbeitsplatz bedarf gemäß § 4 BDSG in der Regel des Einverständnisses der Arbeitnehmer/-innen und damit auch der Auszubildenden.