Die Frage zielt auf die sogenannte „sachliche“ Anwendbarkeit der DSGVO ab.
Nach Art. 2 Abs. 1 DSGVO gilt diese sachlich:
… für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten, sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Der Absatz hat zwei Teile, die sehr genau auseinanderzuhalten sind. Zum einen gilt die DSGVO für alle personenbezogenen Daten, die „automatisiert“, d.h. elektronisch, verarbeitet werden. Werden also personenbezogene Schülerdaten in einen Rechner eingegeben, egal ob Laptop oder Desktop oder Smartphone, so ist die DSGVO auf diese Daten anwendbar.
Die andere Alternative betrifft die „nichtautomatisierte“ Verarbeitung in einem „Dateisystem“. Das Wort „Dateisystem“ ist irreführend. Sehr leicht denkt man dabei an ein elektronisches „Filesystem“. Das ist hier aber nicht gemeint. Entscheidend ist das Wort „nichtautomatisiert“. Es bedeutet nämlich eine manuelle Verarbeitung der Daten. Was die DSGVO unter „Dateisystem“ versteht, definiert sie in Art. 4 Nr. 6:
„Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;
Nicht jede Aufzeichnung im Schulbereich erfüllt die Anforderungen an ein Dateisystem. Es muss sich um eine „strukturierte Sammlung“ handeln. Damit fallen einzelne Papiernotizen z.B. über die Beteiligung von Schülern am Unterricht nicht unter die DSGVO. In dem Moment, wo diese allerdings strukturiert gesammelt werden und nach bestimmten Kriterien zugänglich sind, ändert sich das.
Der Europäische Gerichtshof (EuGH) hat in seiner „Zeugen Jehova“-Entscheidung (Urteil vom 10.07.2018, C‑25/17; hier unter Rechtsprechung zu finden) die näheren Anforderungen an ein Dateisystem präzisiert. In Rz. 56 der Entscheidung sagt der EuGH, dass der Begriff „Datei“ in dieser weit ausgelegt werden muss, sodass „jede“ strukturierte Sammlung personenbezogener Daten einbezogen wird. Wenn die Daten nach bestimmten Kriterien so strukturiert sind, dass sie in der Praxis zur späteren Verwendung leicht wiederauffindbar sind, geht der EuGH vom Vorliegen eines Dateisystems aus. Um unter diesen Begriff zu fallen, muss eine solche Sammlung also nicht aus spezifischen Kartotheken oder Verzeichnissen oder anderen der Recherche dienenden Ordnungssystemen bestehen. Die praktische Wiederauffindbarkeit lässt der EuGH genügen.
Für die Schule bedeutet dies, dass das „Notenbüchlein“ und andere Sammlungen von personenbezogenen Daten auf Papier der DSGVO unterfallen. Das bedeutet, dass diese nur unter den in Art. 6 DSGVO festgelegten Rechtsmäßigkeitsbedingen verarbeitet werden dürfen. Zudem müssen alle Schutzziele des Art. 5 Abs. 1 DSGVO eingehalten und dokumentiert werden. Ferner müssen die zum Schutz der Daten erforderlichen technischen und organisatorischen Maßnahmen getroffen und dokumentiert werden.