WhatsApp an der Schule: was der Datenschutz erlaubt

WhatsApp an der Schule ist eine Datenschutzfrage, die fast jede Klasse betrifft. In fast jeder Klasse gibt es sie: die WhatsApp-Gruppe der Eltern. Sie ist schnell eingerichtet, alle haben die App schon, und eine Frage zum Wandertag ist in fünf Minuten beantwortet. Kein Wunder, dass auch Lehrkräfte versucht sind, einfach mitzuschreiben. Genau an dieser Stelle aber wird aus einem privaten Werkzeug eine dienstliche Datenverarbeitung — und für die gelten andere Regeln.

Privat oder dienstlich: der entscheidende Unterschied

Die DSGVO gilt nicht für Verarbeitungen „zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten" (Art. 2 Abs. 2 lit. c DSGVO). Eltern, die sich untereinander verabreden, bewegen sich weitgehend in diesem Bereich.

Eine Lehrkraft, die Eltern über Unterricht, Noten, Fehlzeiten oder Ausflüge informiert, handelt dagegen für die Schule. Verantwortlich im Sinne des Datenschutzrechts ist dann die Schule. Sie muss für jedes eingesetzte Werkzeug eine Rechtsgrundlage haben, es im Verzeichnis der Verarbeitungstätigkeiten führen und — wenn ein Dienstleister die Daten für sie verarbeitet — einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO schließen. Ob die Lehrkraft dafür ihr privates Telefon benutzt, ändert daran nichts.

Warum WhatsApp dienstlich regelmäßig scheitert

Die Einwände der Datenschutzaufsicht gegen WhatsApp im Schuldienst sind seit Jahren dieselben. Drei davon tragen das meiste Gewicht.

Der Abgleich des Adressbuchs. Wer WhatsApp den Zugriff auf die Kontakte erlaubt, übermittelt die gespeicherten Telefonnummern regelmäßig an den Anbieter — auch die von Personen, die WhatsApp gar nicht nutzen. Auf dem Telefon einer Lehrkraft stehen Nummern von Eltern, Kolleginnen und unter Umständen von Schülerinnen und Schülern. Für diese Übermittlung hat die Schule keine Rechtsgrundlage, und die Betroffenen wissen nichts davon.

Kein Vertrag zur Auftragsverarbeitung. Die gewöhnliche WhatsApp-App ist ein Verbraucherdienst. Einen Vertrag nach Art. 28 DSGVO, der den Anbieter an die Weisungen der Schule bindet, gibt es dafür nicht. Die Schule kann also weder festlegen, wofür die Daten verwendet werden, noch wann sie gelöscht werden.

Metadaten und Drittlandbezug. Die Inhalte der Chats sind Ende-zu-Ende-verschlüsselt. Wer mit wem wann kommuniziert und welche Nummern zu einer Gruppe gehören, verarbeitet der Anbieter aber selbst — ein Unternehmen des Meta-Konzerns mit Bezug zu den USA. Seit Juli 2023 gibt es zwar einen Angemessenheitsbeschluss der EU-Kommission für zertifizierte US-Unternehmen (EU-US Data Privacy Framework). Das beseitigt aber weder das Problem des Adressbuchs noch das des fehlenden Vertrags, und viele Aufsichtsbehörden halten an ihrer Empfehlung fest.

Hinzu kommt etwas, das kein Jurist braucht, um es zu sehen: Die private Telefonnummer der Lehrkraft wird mit dem ersten Beitrag für alle Eltern sichtbar.

Was die Länder vorgeben

Schulrecht ist Ländersache, und die Vorgaben unterscheiden sich im Wortlaut. In mehreren Ländern haben Kultusministerien oder die Landesbeauftragten für den Datenschutz die dienstliche Nutzung von WhatsApp ausdrücklich ausgeschlossen; andere raten deutlich davon ab oder verweisen auf eigene, vom Land bereitgestellte Dienste. Verbindlich ist für jede Schule die Regelung ihres Landes. Nachlesen lässt sie sich in den Hinweisen des jeweiligen Kultusministeriums und in den Veröffentlichungen der Landesdatenschutzbehörde, die für Schulen meist eigene FAQ führen. Wer unsicher ist, fragt den behördlichen Datenschutzbeauftragten der Schule.

Was Elternvertretungen weiterhin dürfen

Eine Elterngruppe auf WhatsApp ist nicht verboten. Es kommt darauf an, wie sie entsteht und wer sie betreibt.

• Freiwillig beitreten. Wer in der Gruppe ist, hat das selbst gewollt. Eltern, die keinen Messenger nutzen möchten, dürfen dadurch keine Informationen verpassen, die sie für den Schulalltag ihres Kindes brauchen.
• Nummern nicht von der Schule. Die Schule gibt Telefonnummern nicht ohne Einwilligung an die Elternvertretung weiter. Eine Klassenliste mit Kontaktdaten entsteht auf Grundlage der Einwilligung jedes einzelnen Elternteils — nicht dadurch, dass die Schule ihre Stammdaten kopiert.
• Keine dienstlichen Inhalte. Noten, Fehlzeiten, Gesundheitsangaben oder Konflikte zwischen Kindern gehören nicht in eine Elterngruppe, auch wenn jemand fragt.
• Die Lehrkraft bleibt draußen. Tritt sie bei, wird aus dem privaten Austausch schnell ein inoffizieller Dienstkanal.

Ob eine Elternvertretung, die in ihrer Funktion handelt, noch unter die Ausnahme für rein persönliche Tätigkeiten fällt, wird nicht einheitlich beantwortet. Wer als Elternvertreterin eine Gruppe verwaltet, ist gut beraten, die Mitglieder ausdrücklich um ihr Einverständnis zu bitten und die Gruppe nach dem Schuljahr aufzulösen oder neu zu bilden.

Was ein offizieller Kanal leisten muss

Das Verbot allein hilft niemandem, solange es keine Alternative gibt, die genauso schnell ist. Ein Kanal für die Kommunikation zwischen Schule und Eltern sollte mindestens Folgendes bieten:

1. Einen Vertrag nach Art. 28 DSGVO mit dem Anbieter und eine klare Aussage, wo die Daten gespeichert werden.
2. Keine private Telefonnummer. Lehrkräfte schreiben unter ihrer Rolle, nicht unter ihrer Handynummer.
3. Keinen Zugriff auf Adressbücher. Wer im Kanal ist, bestimmt die Schule über ihre Klassen, nicht ein Kontaktabgleich.
4. Rollen und Rechte. Die Klassenleitung erreicht ihre Klasse, die Elternvertretung sieht nur, was Eltern ihr freigegeben haben.
5. Einwilligungen mit Nachweis. Die Fotoerlaubnis gehört nicht in einen Chat, sondern in einen Vorgang, der Erteilung und Widerruf festhält.
6. Verständlichkeit für alle Eltern. Ein Kanal, den ein Teil der Elternschaft sprachlich nicht erreicht, ist kein besserer Kanal.

Was Sie am Montag tun können

Klären Sie in der Lehrerkonferenz eine einzige Frage: Über welchen Weg erreichen Lehrkräfte die Eltern dienstlich? Steht die Antwort fest, lässt sich der Rest erklären — auch den Eltern, die ihre WhatsApp-Gruppe behalten dürfen, solange sie privat bleibt.

Schlaue Schule ist ein solcher offizieller Kanal: Nachrichten zwischen Lehrkraft und Eltern ohne private Handynummer, Einwilligungen mit Unterschrift aus dem Elternkonto, eine Elternliste, auf der nur erscheint, wer dem selbst zugestimmt hat, und eine Oberfläche in acht Sprachen. Die Daten liegen auf Servern in Deutschland; mit der Schule schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.