Elternkommunikation in Österreich und der Schweiz: Datenschutz

Die Fragen sind in Wien, Zürich und Köln dieselben: Wie erreicht die Schule die Eltern zuverlässig, wie holt sie eine Fotoerlaubnis ein, die einer Prüfung standhält, und wo liegen die Daten? Die Antworten unterscheiden sich aber im Rechtsrahmen. Österreich ist an die DSGVO gebunden und ergänzt sie national. Die Schweiz ist nicht Mitglied der EU, hat ein eigenes Datenschutzgesetz — und für öffentliche Schulen gilt dort in erster Linie das Recht des Kantons.

Dieser Beitrag gibt einen Überblick. Er ersetzt nicht die Auskunft der zuständigen Stelle; wo es auf Einzelheiten ankommt, nennen wir, wo sie zu finden sind.

Österreich: DSGVO, DSG und Schulrecht

In Österreich gilt die DSGVO unmittelbar, wie in Deutschland. Das österreichische Datenschutzgesetz (DSG) ergänzt sie und stellt in § 1 das Grundrecht auf Datenschutz in den Verfassungsrang. Aufsichtsbehörde ist die Datenschutzbehörde (DSB) in Wien.

Für Einwilligungen bedeutet das: Die Anforderungen aus Art. 7 DSGVO gelten unverändert. Die Einwilligung muss nachweisbar, freiwillig, für einen bestimmten Zweck erteilt und jederzeit widerrufbar sein. Eine österreichische Besonderheit ist das Alter: Nach § 4 Abs. 4 DSG kann ein Kind bei Diensten der Informationsgesellschaft ab 14 Jahren selbst einwilligen, in Deutschland erst ab 16. Für die meisten Einwilligungen an einer Schule — Fotos, Ausflüge, Veröffentlichungen — ist diese Grenze nicht unmittelbar einschlägig; hier bleiben in der Praxis meist die Erziehungsberechtigten die Ansprechpartner.

Daneben steht das Schulrecht. Das Schulunterrichtsgesetz (SchUG) regelt das Verhältnis zwischen Schule, Schülerinnen, Schülern und Erziehungsberechtigten, etwa die Information der Erziehungsberechtigten über den Leistungsstand. Für die Verarbeitung von Schülerdaten in der Verwaltung ist zusätzlich das Bildungsdokumentationsgesetz maßgeblich. Wo eine Mitteilung schulrechtlich vorgeschrieben ist, braucht die Schule dafür keine Einwilligung — die Rechtsgrundlage ist dann die gesetzliche Aufgabe. Einwilligungen braucht sie für das, was darüber hinausgeht.

Welche Form eine schulrechtliche Mitteilung haben muss und ob sie elektronisch zugestellt werden darf, ergibt sich aus der jeweils geltenden Fassung des SchUG und den Vorgaben der Bildungsdirektion. Beides ist im Rechtsinformationssystem des Bundes (RIS) und auf den Seiten des Bildungsministeriums nachzulesen.

Ein Punkt wird in Österreich oft übersehen: Viele Elternvertretungen sind als Elternverein organisiert, also als eigener Verein. Er ist für seine Mitglieder- und Kontaktlisten selbst verantwortlich. Die Schule darf ihm Kontaktdaten von Eltern nicht einfach überlassen, sondern nur mit deren Einwilligung.

Schweiz: revidiertes DSG und kantonales Recht

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG, oft auch nDSG). Es ist der DSGVO in vielem angenähert, aber nicht deckungsgleich. Es schützt nur noch natürliche Personen, verlangt Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen und sieht bei vorsätzlichen Verstößen Bußen gegen die verantwortlichen Personen vor, nicht gegen das Unternehmen.

Entscheidend für Schulen ist aber, für wen dieses Gesetz gilt: für Privatpersonen, Unternehmen und Bundesorgane. Öffentliche Schulen sind in der Regel kantonale oder kommunale Einrichtungen. Für sie gilt das Datenschutzgesetz des jeweiligen Kantons, das teils Informations- und Datenschutzgesetz heißt, teils anders. Aufsicht führt die kantonale Datenschutzbeauftragte oder der kantonale Datenschutzbeauftragte, nicht der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Privatschulen fallen dagegen meist unter das revDSG.

Daraus folgen zwei Dinge:

• Eine öffentliche Schule braucht eine gesetzliche Grundlage. Kantonales Recht verlangt für die Bearbeitung von Personendaten durch öffentliche Organe regelmäßig eine Grundlage im Gesetz. Eine Einwilligung kann sie ergänzen, etwa für Fotos auf der Website, ersetzt sie aber nicht für den Kern der Schulverwaltung.
• Die Regeln für Cloud-Dienste setzt der Kanton. Viele Kantone und die Konferenz der schweizerischen Datenschutzbeauftragten (privatim) haben Merkblätter zur Auslagerung von Daten in Cloud-Dienste veröffentlicht. Ob und unter welchen Bedingungen eine Schule eine externe Anwendung einsetzen darf, entscheidet sich dort und gegebenenfalls in einer Vorabklärung mit dem Schulträger.

Für Einwilligungen von Kindern kennt das Schweizer Recht keine feste Altersgrenze. Maßgeblich ist die Urteilsfähigkeit (Art. 16 ZGB), die im Einzelfall zu beurteilen ist. In der Praxis holen Schulen die Einwilligung bei jüngeren Kindern bei den Eltern ein und beziehen ältere Schülerinnen und Schüler mit ein.

Was das für Einwilligungen und Nachrichten heißt

In beiden Ländern gilt dieselbe Trennung, die auch in Deutschland trägt: Was die Schule kraft Gesetz mitteilen muss, braucht keine Einwilligung, aber einen verlässlichen Weg zu den Eltern. Was freiwillig ist, braucht eine Einwilligung, die für einen bestimmten Zweck erteilt wird und sich ebenso einfach widerrufen lässt.

Für die Praxis heißt das:

1. Ein Vorgang je Zweck. Fotoerlaubnis und Exkursion sind zwei Einwilligungen.
2. Nachweis an einer Stelle. Erteilung und Widerruf müssen auch nach einem Wechsel der Klassenlehrperson auffindbar sein.
3. Kein privater Messenger für dienstliche Nachrichten. Die Bedenken gegen Adressbuch-Abgleich und fehlende Auftragsverarbeitung gelten in Österreich und der Schweiz ebenso.
4. Kontaktlisten nur mit Zustimmung. Ob Elternverein oder Elternrat: Wer auf einer Liste stehen soll, entscheidet selbst.

Wo die Daten liegen

Für eine österreichische Schule ist ein Speicherort in Deutschland datenschutzrechtlich ein Speicherort in der EU. Eine Übermittlung in ein Drittland findet nicht statt; es braucht einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Für eine Schweizer Schule ist Deutschland Ausland. Der Bundesrat führt Deutschland aber im Anhang 1 der Datenschutzverordnung unter den Staaten mit angemessenem Datenschutz; eine Bekanntgabe dorthin ist nach revDSG damit grundsätzlich zulässig. Für öffentliche Schulen kann das kantonale Recht strengere oder zusätzliche Anforderungen stellen — etwa an die Auslagerung an Dritte oder an den Speicherort. Das ist im jeweiligen Kanton zu klären, bevor eine Anwendung eingeführt wird.

Was Sie am Montag tun können

Fragen Sie bei der zuständigen Stelle nach, ob es für Ihre Schule bereits eine Vorgabe zur Elternkommunikation gibt: in Österreich bei der Bildungsdirektion, in der Schweiz bei der kantonalen Datenschutzaufsicht oder beim Volksschulamt. Oft existiert ein Merkblatt, das die Frage nach dem erlaubten Kanal schon beantwortet.

Schlaue Schule ist für Schulen in Deutschland entwickelt und speichert alle Daten auf Servern in Deutschland. Einwilligungen werden mit Unterschrift aus dem Elternkonto erteilt und mit einem Klick widerrufen, Nachrichten erreichen Eltern in acht Sprachen, und mit der Schule schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Ob das für eine Schule in Österreich oder der Schweiz passt, entscheidet am Ende deren Rechtsrahmen — die Fragen oben helfen, ihn zu klären.