06.01.2023

"Besondere Personendaten bergen immer eine erhöhte Gefahr"

Zwei Massenmails mit hochsensiblen Daten der Sekundarschule Aesch, welches an rund einhundert Lehrpersonen verschickt wurde, löste bei zahlreichen Eltern Unverständnis und Verärgerung aus. Die Starke Schule beider Basel (SSbB) hat darüber berichtet (siehe hier) und konnte nun mit der Stellvertretenden Datenschutzbeauftragten dipl. phil. II Priscilla Dipner-Gerber, welche die Fachverantwortung Informationssicherheit bei der Aufsichtsstelle Datenschutz (ASD) hat, das folgende Interview führen. Die Fragen stellte Lena Heitz.

Hat die ASD Kenntnis vom Massenmail vom 30. Juni 2022 mit sensiblen Daten, welches ein Schulleitungsmitglied der Sekundarschule Aesch verschickt hat?

Die ASD wurde zwei Tage vor dem Eintreffen Ihres Fragenkatalogs auf den Eintrag auf der Webseite der SSbB aufmerksam gemacht.

Meine Frage bezog sich weniger auf unseren Artikel auf der Webseite, sondern vielmehr auf das Massenmail der Sekundarschule Aesch vom 30. Juni 2022. Wann erfuhr die ASD erstmalig von diesem Massenmail?

Die ASD wurde zwei Tage vor dem Eintreffen Ihres Fragenkatalogs auf den Eintrag auf der Webseite der SSbB aufmerksam gemacht. Vorher hatte sie keine Kenntnis von dem erwähnten Mail der Sekundarschule Aesch.

Wie beurteilen Sie dieses Mail, welches nicht nur an Lehrpersonen der Sekundarschule Aesch ging, sondern auch an Personen im Umfeld der Primarschulen Duggingen und Aesch?

Uns liegt das Originalmail inkl. Beilagen nicht vor, damit auch nicht der exakte Verteiler. Die Unterlagen scheinen besondere Personendaten zu beinhalten an einen Verteiler, der nicht jede dieser Unterlagen zur Erfüllung seiner Aufgabe zu benötigen scheint.

Haben Sie Verständnis dafür, dass sich die betroffenen Eltern ärgern und kein Vertrauen mehr in den Schulrat und die Schulleitung haben?

Wir haben durchaus Verständnis, wenn sich betroffene Eltern über eine nicht datenschutzkonforme Datenbearbeitung ärgern. Ob und inwieweit dies Auswirkungen auf das grundsätzliche Vertrauen in den Schulrat und die Schulleitung hat, vermögen wir nicht zu beurteilen. Wir möchten jedoch erwähnen, dass unsere Kontakte mit beiden Behörden im Rahmen der Sachverhaltsabklärung betreffend das Mail vom 5. Juli 2022 stets konstruktiv waren, mit dem klaren Bestreben, die Prozesse zu verbessern.

Was raten Sie diesen Eltern?

Wir beziehen diese Frage auf die vom Mailversand vom 30.6.2022 betroffenen Eltern. Die Schulleitung, der Schulrat und das Amt für Volksschulen haben uns im Nachgang zu unseren Empfehlungen zum Vorfall vom 5. Juli 2022 zugesichert, dass solche Datenschutzverletzungen künftig durch entsprechende Massnahmen verhindert werden sollen. Allfällige konkrete datenschutzrechtliche Ansprüche von Betroffenen werden in §§ 24-26 des Gesetzes über die Information und den Datenschutz (IDG, SGS 162) beschrieben und sind grundsätzlich an die verantwortliche Behörde zu richten.

Welche Möglichkeiten hat die ASD, um das gesamte Ausmass der Datenschutzverletzungen der Sekundarschule Aesch zu eruieren?

Unsere Möglichkeiten sind im IDG beschrieben. Aufgrund dessen, dass wir auf der Basis der Mail vom 5. Juli 2022 bereits mit der Sek Aesch den Sachverhalt geklärt und Massnahmen empfohlen haben, die eine Praxisänderung zur Folge hat, ist so kurz nach unserer Kenntnisnahme noch nicht klar, ob und welche zusätzlichen Empfehlungen wir aussprechen müssen. Der Versand des neu zur Diskussion stehenden E-Mails erfolgte vor dem Vorfall des 5. Juli 2022 und somit auf Basis der damaligen Praxis. Wir werden sicherlich die Schulleitung darauf hinweisen, dass sie auch in diesem Fall sicherstellen muss, dass unrechtmässig erhaltene Mails und Anhänge von den jeweiligen Empfängern und Empfängerinnen in ihrem Mailkonto und allfälligen Dateiablagen vernichtet werden.

Sind Sie der Auffassung, dass die Schulleitung resp. der Schulrat der Sek. Aesch die Direktbetroffenen über das Ausmass der Datenschutzverletzungen und über den Inhalt dieser persönlichen Daten informieren soll?

Selbst wenn auch hier zumindest nach einer ersten Einschätzung eine Datenschutzverletzung vorliegt und die notwendige Praxisänderung beim Versand bestätigt, so erscheint das Schadensausmass bisher als nicht zu einem grossen Risiko für die Grundrechte der betroffenen Person zu führen, da hier die Empfänger (Lehrpersonen) aufgrund ihrer Unterstellung unter das Amtsgeheimnis die ihnen fälschlicherweise zugetragenen Informationen unter Strafandrohung nicht weitergeben dürfen. Wir empfehlen aber eine allgemeine Information der Schulleitung an die Eltern, in welchem auf die Korrektur der bisherigen Praxis hingewiesen wird.

In einem Anhang des Massenmails vom 30. Juni erfahren rund 100 Lehrpersonen und weitere Angestellte, welcher Vater unter Verdacht stand, im Kindergarten ein Schulkind misshandelt zu haben, welche Mutter bei der Geburt ein Kind verloren hat und welche Erziehungsberechtigte depressiv ist. Solche Informationen können doch selbsterklärend zu einem hohen Risiko mit nachteiligen Folgen führen, wenn sich diese Personen beispielsweise für eine neue Stelle bewerben. Sehen Sie dies anders?

Besondere Personendaten wie Informationen zur Gesundheit von Kindern oder Erziehungsberechtigten bzw. zu Kindswohlgefährdungen bergen immer eine erhöhte Gefahr der Verletzung von Persönlichkeitsrechten und allenfalls einer Stigmatisierung. Wir haben dem Schulrat der Sekundarschule Aesch deshalb am 22. Dezember 2022 mitgeteilt, dass bzgl. der Mail vom 30. Juni 2022 gestützt auf unsere Empfehlungen zum Mailversand vom 5. Juli 2022 zu verfahren sei.

Insbesondere die Antworten der Stellvertretenden Datenschutzbeauftragten auf die zweite und letzte Frage lassen brisante Rückschlüsse zu: Offensichtlich hat die Schulleitung und der Schulrat der Sekundarschule Aesch die Existenz des Massenmails vom 30. Juni 2022 der ASD nicht mitgeteit. Vor der Berichterstattung der SSbB hatte die ASD «keine Kenntnis von dem erwähnten Mail», bestätigte nun Priscilla Dipner nun. Dies ist insbesondere deswegen stossend, weil gerade die Anhänge dieses Mail sehr intime Informationen über Eltern enthielt, beispielsweise welche Mutter depressiv ist und welcher Vater im Kindergarten verdächtigt wurde, ein Kind misshandelt zu haben. Weil die Anhänge dieser Mail hochsensible Daten enthielt, welche «eine erhöhte Gefahr der Verletzung von Persönlichkeitsrechten und allenfalls einer Stigmatisierung» bedeuten, wie Priscilla Dipner im Interview bestätigt, hätte die Schulleitung oder der Schulrat in seiner Funktion als Aufsichtsbehörde der Sekundarschule Aesch gemäss Datenschutzgesetz die Verletzung der Datenschutzrichtlinien melden müssen. Dass die Schulbehörde unter ihrem Präsidenten Erich Wyss und ihrem Sprecher Rolf Coray dies unterlassen hat, trägt wenig zur Wiedererlangung des Vertrauens der Eltern bei.

Lena Bubendorf
Vorstand Starke Schule beider Basel