Merkblatt der Lfd: https://t1p.de/whatsapp-schule
„WhatsApp“ ist der zurzeit am weitesten verbreitete Messenger für die Kommunikation im privaten Bereich. Da liegt es nahe, dieses fast überall vorhandene Programm auch für die Kommunikation im schulischen Bereich verwenden zu wollen. Aus datenschutzrechtlicher Sicht wird der Einsatz von „WhatsApp“ für schulische Zwecke, also zur dienstlichen Kommunikation zwischen Lehrpersonal und Schülerinnen und Schülern, allerdings als nicht zulässig angesehen.
Bei der Nutzung eines Messengers wie WhatsApp findet die Verarbeitung von personenbezogenen Daten statt. Der Nutzer muss sich anmelden, d.h. es entstehen sog. „Bestandsdaten“ (§ 3 Satz 1 Nr. 3 Telekommunikationsgesetz (TKG)), Kommunikationsinhalte (Inhaltsdaten) werden ausgetauscht und dabei fallen jede Menge sog. „Verkehrsdaten“ (§ 3 Satz 1 Nr. 30 TKG) an. Zudem werden mit der Anmeldung automatisch alle im Mobiltelefon gespeicherten Kontakte an den Anbieter übertragen. Für diese Datenverarbeitungen sind eine Rechtsgrundlage oder eine Einwilligung erforderlich. Der Nutzer von WhatsApp ist für die Übermittlung der in seinem Mobiltelefon gespeicherten Kontaktdaten von anderen Personen datenschutzrechtlich verantwortlich. Daher muss er vor der Anmeldung bei dem Messenger-Dienst über die entsprechende datenschutzrechtliche Erlaubnis verfügen.
Im Schulbereich kommt als Rechtsgrundlage nur der § 31 Niedersächsisches Schulgesetz (NSchG) in Frage. Danach ist eine Datenverarbeitung nur zulässig, wenn sie zum Zweck der Erfüllung des Bildungsauftrags der Schule (§ 2) oder der Fürsorgeaufgaben, zur Erziehung oder Förderung der Schülerinnen und Schüler oder zur Erforschung oder Entwicklung der Schulqualität erforderlich ist. Die Erforderlichkeit setzt voraus, dass der Zweck nur mit dieser Datenverarbeitung erreicht werden kann. Eine bloße Erleichterung des Schulalltages kann die Erforderlichkeit nicht begründen. Die Nutzung von WhatsApp ist daher nach § 31 NSchG nicht zulässig.
Kinder – das sind aus datenschutzrechtlicher Sicht Personen, die das 16. Lebensjahr noch nicht vollendet haben – können nicht allein wirksam in die Datenschutzbestimmungen eines Messengers einwilligen. Hierzu ist auch die Einwilligung der Eltern erforderlich. Hierbei ist zu beachten, dass eine datenschutzrechtlich wirksame Einwilligung u.a. voraussetzt, dass sie „freiwillig“ erfolgt. Wenn das Kind faktisch WhatsApp nutzen muss, um Unterrichtsinhalte zuverlässig mitgeteilt zu bekommen, bestehen erhebliche Zweifel an der „Freiwilligkeit“ der Einwilligung.
Mit der Nutzung von WhatsApp ist zudem eine Übermittlung der Daten an das US-Unternehmen WhatsApp Inc. und somit in ein Land außerhalb des Europäischen Wirtschaftsraums verbunden. Da die WhatsApp Inc. sich nicht dem Privacy Shield Abkommen unterworfen hat (s. https://www.privacyshield.gov/list), ist die Übermittlung nach den Vorgaben des Art. 44 DS-GVO unzulässig.
Zudem spricht gegen die Nutzung von WhatsApp zu schulischen Zwecken, dass eine Nutzung privater Geräte für die Verarbeitung personenbezogener Daten nur im Rahmen des Erlasses “Verarbeitung personenbezogener Daten auf privaten Informationstechnischen Systemen (IT-Systemen) von Lehrkräften” ( RdErl. d. MK vom 1.2.2012 – 11-05410/1-8 – VORIS 20600 – Fundstelle: SVBl. 2012 Nr. 6, S. 312) zulässig ist. Hiernach dürfen aber insbesondere keine Kontaktdaten (wie z. B. E-Mailadresse oder Mobilfunknummer) verarbeitet werden. Diese Daten überschreiten den im Erlass vorgegebenen Datenrahmen, so dass die Nutzung von WhatsApp auch aus diesem Grund unzulässig ist.
Gibt es Alternativen für Lehrer, Schüler und Eltern?
Als Aufsichtsbehörde kann ich keine Anbieter empfehlen. Es gibt diverse andere Anbieter am Markt. Hierunter befinden sich einige, die gegenüber WhatsApp datenschutzrechtlich den Vorteil haben, dass sie im Europäischen Wirtschaftsraum ansässig und damit potenziell bei Datenschutzverstößen besser zu kontrollieren, bzw, auch zu sanktionieren sind. Dabei darf die technische Sicherheit wie z. B. die Ende-zu-Ende-Verschlüsselung nicht vernachlässigt werden. Zurzeit liegen mir allerdings keine verlässlichen Ergebnisse darüber vor, ob einzelne Anbieter die datenschutzrechtlichen Vorgaben vollumfänglich erfüllen. Diese Prüfung obliegt der Schule als datenverarbeitende Stelle im Rahmen der Vorabkontrolle. Wegen der Verantwortung der Schule für die Sicherheit der Daten ist darüber hinaus neben
der Anwendung selbst auch die technische Sicherheit der von den Lehrkräften genutzten Geräte zu überwachen.
Im Ergebnis sollte die dienstliche elektronische Kommunikation zwischen den Lehrkräften und den Schülerinnen und Schülern daher über eine schulische E-Mail-Adresse mit entsprechender Berücksichtigung des Datenschutzes erfolgen. In der Kommunikation mit den Eltern sollten die Lehrkräfte ebenfalls ausschließlich eine schulische E-Mail-Adresse verwenden.
Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Telefon 0511 120-4500
Fax 0511 120-4599
E-Mail an poststelle@lfd.niedersachsen.de schreiben
Stand: 03.09.2018