Es kommt immer wieder vor, dass Unternehmen oder sonstige öffentlichen Stellen, z.B. gesetzliche Krankenkassen, z.B. Bewerbungstrainings, Vorträge oder Seminare abhalten. Dabei wollen einige dieser Unternehmen personenbezogene Daten erheben, um ihnen Unterlagen, z.B. Ergebnisse der Veranstaltung oder Informationsmaterialien, zukommen zu lassen. Es ist auch nicht auszuschließen, dass einige Unternehmen die Möglichkeit nutzen um für sich zu werben.

Den Unternehmen ist die Weitergabe von Daten und Unterlagen über Mitarbeiterinnen und Mitarbeiter und Erziehungsberechtigte untersagt, es sei denn, die Weitergabe erfolgt zur Erfüllung der den Unternehmen durch Rechtsvorschriften jeweils zugewiesenen Aufgaben oder es besteht ein rechtlicher Anspruch auf die Herausgabe der Daten (Art. 85 Abs. 1 Satz 1 und Abs. 2 Satz 1 BayEUG). Diese Voraussetzungen liegen bei der Durchführung von Veranstaltungen, die Dritte gestalten (z.B. Krankenkassen), in der Regel nicht vor. Daher haben die Unternehmen dafür Sorge zu tragen, dass bei entsprechenden Veranstaltungen, diese Dritte keine personenbezogenen Daten der Mitarbeiterinnen und Mitarbeiter zu eigenen Zwecken verarbeiten. Insbesondere eine Übermittlung von Mitarbeiterdaten für Zwecke kommerzieller Werbung ist unzulässig.

Die vorgenannten Erwägungen gelten unabhängig davon, ob die Unternehmen die personenbezogenen Daten der Mitarbeiterinnen und Mitarbeitern selbst an Dritte weitergeben oder ob sie die Datenerhebung durch Dritte – z.B. im Zusammenhang mit Veranstaltungen in der Unternehmen – dulden.

Bei der Datenschutzaufsicht über Schulen in freier Trägerschaft, auch staatlich anerkannten,  ist nach den jeweiligen Trägern zu unterscheiden.

Verantwortlich für die Datenverarbeitung zur Erfüllung der schulischen Aufgaben sind die jeweiligen Schulen, vertreten durch die Schulleitung.

Die neuen Informationspflichten nach der Datenschutz-Grundverordnung (DSGVO) verlangen eine Ergänzung der bisher schon erforderlichen Datenschutzerklärung im Internetauftritt von Schulen. In diesem Zusammenhang ist immer wieder die Sorge vor “Abmahnwellen” zu vernehmen.

Solche Abmahnungen sind in aller Regel mit Vorschriften aus dem Gebiet des Verbraucherschutzes oder des Wettbewerbsrechts begründet, die die Schulen nicht betreffen. Schulen müssen daher grundsätzlich derartige Abmahnungen nicht fürchten.

An der Notwendigkeit eines datenschutzkonformen Internetauftritts ändert das nichts! Wer die Vorgaben der DSGVO noch nicht umgesetzt hat, sollte das schnellstens nachholen – auch ohne Abmahnung.

Damit staatliche Schulen in Bayern ihren Informationspflichten nach Art. 13 DSGVO für die wesentlichen Verarbeitungen nachkommen können, stellt das Staatsministerium für Unterricht und Kultus ihnen ein verbindliches Muster für Datenschutzhinweise im Internetauftritt zur Verfügung (siehe Ausführungen unter Datenschutzhinweise im Internetauftritt staatlicher Schulen).

Einzelne Lehrkräfte und Elternbeiratsmitglieder müssen keine Geldbußen nach der Datenschutz-Grundverordnung (DSGVO) fürchten. Die DSGVO sieht zwar erhebliche Geldbußen vor. Diese richten sich aber – soweit sie überhaupt auf Schulen anwendbar sind – nicht gegen einzelne Personen, sondern gegen “Verantwortliche”, also die Schule selbst.

Fördervereine von Schulen sind von den Vorgaben der DSGVO nicht anders betroffen als andere Vereine.

In der Regel – weniger als 10 Personen im regelmäßigen Umgang mit personenbezogenen Daten, keine Verarbeitung sensibler Daten als Kerntätigkeit – ist die Bestellung eines Datenschutzbeauftragten nicht erforderlich.

Fördervereine und andere Vereine im schulischen Umfeld sind von der Schule getrennte Einrichtungen, die selbst datenschutzrechtlich verantwortlich sind. Das Landesamt für Datenschutzaufsicht hält für Vereine ein vielfältiges Beratungsangebot bereit.

Fördervereine stehen außerhalb der schulischen Organisation. Informationen zur Umsetzung der Datenschutz-Grundverordnung (DSGVO) im Verein finden Sie auf der Homepage des Bayerischen Landesamts für Datenschutzaufsicht unter www.lda.bayern.de/de/datenschutz_eu.html.

Die DSGVO sieht zwar erhebliche Geldbußen vor. Diese richten sich aber – soweit sie überhaupt auf Schulen anwendbar sind – nicht gegen einzelne Personen, sondern gegen “Verantwortliche”, also die Schule selbst.