13.12.2022

Weiteres Massenmail mit sensiblen Daten über Eltern aufgetaucht

Die Verletzung der Datenschutzrichtlinien an der Sekundarschule Aesch ist offensichtlich weitaus grösser als bisher bekannt. Der Starken Schule beider Basel (SSbB) wurde von einer Elterngruppe erneut anonym ein Briefumschlag mit Fotokopien von einem weiteren Massenmail mit diversen Anhängen zugespielt, welches ein Schulleitungsmitglied an rund 100 Personen (Lehrerpersonen und weitere Angestellte) verschickt hat. Der brisante Inhalt dieser Anhänge: hochsensible Daten über Eltern sowie intime Informationen über Schüler/-innen.

Bereits im Juni und Juli 2022 ist die Sekundarschule Aesch durch zwei Verstösse gegen das Datenschutzgesetz aufgefallen: Zum einen durch ein Video eines virtuellen Rundgangs durch das Sekundarschulhaus, auf welchem sensible Daten von Schüler/-innen (Namen, Fotos, Handynummern usw.) erkennbar waren und das die Schulleitung auf der Schulhomepage veröffentlichte, zum anderen durch ein Massenmail vom 5. Juli 2022, in welchem die Schulleitung u.a. Gutachten und Empfehlungen der Psychiatrie Baselland und dem Schulpsychologischen Dienst Baselland mit sensiblen Daten von Schüler/-innen an rund 100 Personen verschickte. Nun ist ein zweites, noch brisanteres Massenmail aufgetaucht, welches ein Schulleitungsmitglied bereits am 30. Juni 2022 rund 100 Personen zukommen liess, darunter auch Personen im Umfeld der Primarschulen Duggingen und Aesch.

Bild: Massenmail vom 30. Juni 2022 mit diversen Dokumenten im Anhang, anonymisiert durch die SSbB

Elterngruppe zeigt sich betroffen

Nicht schlecht staunten die Sekretariatsmitarbeiterinnen auf dem Büro der SSbB nach dem Öffnen eines grossen gelben Briefumschlags mit zahlreichen Fotokopien und vielen sensiblen Daten über mehrere Eltern und Schüler/-innen der Sekundarschule Aesch. Den Briefumschlag hat erneut eine Elterngruppe der SSbB anonym zugespielt. Im Begleitschreiben zeigen sich die Eltern betroffen: «Wir sind Direktbetroffene des Aescher Datenschutzskandals. Wir müssen leider feststellen, dass sein wahres Ausmass nicht bekannt ist.»

In der Tat enthielt der Briefumschlag zahlreiche Fotokopien eines weiteren Massenmails, diesmal vom 30. Juni 2022, von dem fraglich ist, ob die Aufsichtsstelle Datenschutz (ASD), das Amt für Volksschulen (AVS) und die Bildungs-, Kultur- und Sportdirektion (BKSD) davon Kenntnis haben. Erst kürzlich hat die Regierung im Rahmen einer Interpellationsbeantwortung mitgeteilt, dass sie keine Kenntnis von weiteren Massenmails hat.

Sensible Daten über Erziehungsberechtigte und Schüler/-innen kursieren in Elternkreisen

Die Anhänge des Massenmails vom 30. Juni 2022 enthalten stichwortartig hochsensible und persönliche Informationen über mehrere, klar zuzuordnenden Eltern. Exemplarisch einige Beispiele: «Mutter stark depressiv, hat ein jüngeres Kind bei der Geburt verloren. Dominique* [Name des Schülers resp. der Schülerin geändert] kam zum Vater», «Eltern sind nicht bereit mit Fachstelle zusammenzuarbeiten, keine Familienbegleitung, schwierige Familiensituation», «Vater lebt alleine mit den Kindern, im KG war Verdacht auf Kindsmisshandlung, KESB wurde informiert, Vater hat einen Anwalt genommen (…), man ist aber nicht sicher, ob Lisa* [Name des Schülers resp. der Schülerin geändert] die Wahrheit sagt, irgendetwas ist komisch.»

Die Anhänge enthalten auch sehr intime Details über zahlreiche Schüler/-innen: «Hypersensibilität, mangelnde Empathie, eruptive Wutausbrüche, hatte gegen Ende 2. Klasse* [Klassenjahr geändert] Schulhausverbot, schlechte Emotionsregulierung, braucht Struktur + Halt», «war auch schon übergriffig auf Mädchen anfangs 6. Klasse* [Klassenjahr geändert], es gab aber nie eine Gefährdungsmeldung», «Caroline* [Name des Schülers resp. der Schülerin geändert] ist manchmal in [ihrer/seiner] eigenen Welt, nimmt nicht so Teil am sozialen Geschehen, wurde aber in letzter Zeit stabiler», «Sehr schwach, hat iLz [individuelle Lernziele] in allen Fächern und sozialpädagogische Unterstützung. Gibt sich Mühe mitzumachen, ist auch teilweise motiviert (wenn [sie/er] gut mitkommt), gibt aber schnell auf, wenn etwas nicht funktioniert. Tiefe Frustrationstoleranz. Hat auch grosse Konzentrationsprobleme, wodurch [ihr/ihm] das Verfolgen des Unterrichts sehr schwerfällt (hier wollen die Eltern aber keine Abklärung)».

Solche Informationen stehen gemäss Datenschutzrichtlinien zu Recht strengem Schutz. Ausschliesslich Schulangestellte (Lehrpersonen, Schulsozialarbeiter/-innen), welche die Informationen zur Erfüllung des Berufsauftrages zwingend benötigen, dürfen diese erhalten. Dass ein Schulleitungsmitglied derartige Angaben in einem Massenmail verschickt, in welchem rund 100 Personen erfahren, welche Mutter bei der Geburt ein Kind verloren hat, welche Erziehungsberechtigte depressiv ist oder welcher Vater im KG im Verdacht stand, ein Kind misshandelt zu haben, wobei nicht sicher sei, ob das Kind überhaupt die Wahrheit sage, zeugt von einem signifikanten Mangel an Sensibilität und Verantwortungsbewusstsein im Umgang mit sensiblen Daten.

Schulbehörde hält sich bedeckt

Die SSbB hat Schulleitung und Schulrat mehrfach kontaktiert und gebeten, offen und transparent alle Direktbetroffenen über die Datenschutzverletzungen zu informieren, leider ohne Erfolg. Der Schulrat beantwortet die Fragen nicht und begnügt sich mit allgemeinen Floskeln: «Gerne teile ich Ihnen mit, dass der Schulrat der Sekundarschule Aesch die Schulleitung mit der Umsetzung der Empfehlungen der kantonalen Aufsichtsstelle Datenschutz (ASD) beauftragt hat.» Der Schulrat ist nicht einmal bereit zu informieren, ob er im Rahmen seiner Aufsichtspflicht die notwendigen Abklärungen des Ausmasses der Datenschutzverletzungen gemacht hat und ob es im Kalenderjahr 2022 weitere Verstösse gegen die Datenschutzrichtlinien an der Sekundarschule Aesch gegeben hat.

Die Elterngruppe lässt kein gutes Haar am Schulrat: Die Anhänge des Mails vom 30. Juni 2022 «sind noch viel schlimmer als das, was bis heute bekannt wurde. Gemäss Datenschutzgesetz müssen alle Direktbetroffenen, Eltern und Schüler, von der Schulleitung oder vom Schulrat über die Datenschutzverletzung informiert werden. Dies ist bis heute nicht geschehen. Weiss der Schulrat überhaupt von der Mail vom 30.6.? Wenn nicht, warum nicht? Er ist doch Aufsichtsbehörde.»

ASD kennt Ausmass der Datenschutzverletzung wohl nicht

Die ASD hat in einem vertraulichen Schreiben vom 5. Oktober 2022 an die Schulleitung verfügt, dass das Massenmail vom 5. Juli 2022 gelöscht werden müsse: «Die Schulleitung schreibt alle Empfängerinnen und Empfänger der fraglichen Mail vom 5. Juli 2022 an und fordert sie auf, diese Mail und sämtliche Anhänge binnen 10 Tagen zu löschen». Eine gleichzeitige Aufforderung, das Massenmail vom 30. Juni sowie deren Anhänge zu löschen, fehlt. Deshalb stellt sich die Frage, ob die ASD überhaupt Kenntnis über das Ausmass der Datenschutzverletzung hat.

Die Elterngruppe fragt dazu trocken: «Will der Schulrat die ganze Geschichte unter den Teppich kehren oder nimmt er den Datenschutz nicht ernst? Da muss dringend gehandelt werden, denn da sind jetzt intimste Details zu Schülern im Umlauf.»

Arbeitsrechtliche Schritte sind nicht bekannt

Der Schulrat unter Erich Wyss (Schulratspräsident) und Rolf Coray (Kommunikation) scheint die Tragweite der Datenschutzverletzung an der Sekundarschule Aesch nicht vollumfänglich zu erkennen, was jedoch notwendig wäre, um das Vertrauen der Erziehungsberechtigten an der Sekundarschule Aesch wieder herzustellen.

Daran ändert auch die Kündigung der beiden Schulleiter per Ende Januar resp. Ende Juli 2023 nichts. Denn der Schulrat hält in seinem Schreiben vom 14. November an die Lehrpersonen und weiteren Angestellten der Sekundarschule Aesch fest, dass die Kündigungen sich «alleine juristisch aufgrund der festgestellten Datenschutzverletzungen nicht aufdrängte». Der Schulrat «bedauert die beiden Kündigungen sehr», wie er dem Kollegium schreibt. Wie freiwillig die beiden Schulleiter allerdings gekündigt haben, bleibt unklar.

Wenig vertrauensbildend ist auch die Mitteilung zuhanden des Lehrpersonals in einem Schreiben vom 27. September: Der Schulrat hat «Anzeige gegen Unbekannt erstattet. Er möchte nämlich abklären lassen, ob es sich bei der Weitergabe dieser Mail [vom 5. Juli 2022] mit sensiblen Daten an Personen ausserhalb unserer Schule um eine weitere Verletzung von Datenschutzrichtlinien und möglicherweise um einen Straftatbestand handelt.»

Mit der Anzeige gegen Unbekannt versucht der Schulrat, Whistleblower ausfindig zu machen, welche Verantwortung für die Einhaltung des Datenschutzes zum Schutz der Intimsphäre der Schüler/-innen und deren Eltern übernommen haben. Soweit bekannt, hat der Schulrat keine Anzeige gegen dasjenige Schulleitungsmitglied eingereicht, welche die Massenmails mit sensiblen Daten verschickt hat. Auch arbeitsrechtliche Schritte sind diesbezüglich keine bekannt.

Falsch verstandenes Aufsichtsverhältnis

Dieses Vorgehen ist vielsagend für das Verständnis einer Aufsichtsbehörde der eigenen Funktion gegenüber. Es erweckt den Verdacht, dass der Aescher Schulrat seine erste Priorität im Schutz seiner Schulleitung zu erkennen glaubt und nicht im Schutz der Persönlichkeitsrechte von Lernenden und deren Eltern. Dies wäre eine mögliche Erklärung dafür, dass sich unter der Aufsicht dieses Schulrats nichts am Arbeitsklima an der Sekundarschule Aesch zum Besseren verändert hat.

Seit der flächendeckenden Einführung von iPads an den Sekundarschulen wird das Thema Datenschutz intensiv mit den Lernenden behandelt. Hält sich eine Schulleitung nicht an die Datenschutzrichtlinien, wird die Glaubwürdigkeit der Schule untergraben.

Die SSbB legt Wert darauf, dass sich derartige Datenschutzverletzungen nicht wiederholen, weder an der Sekundarschule Aesch, noch an anderen Schulen. Wir haben zu Minderjährigen und deren Familien Sorge zu tragen, die Intimsphäre zu respektieren und die Persönlichkeitsrechte einzuhalten. Deshalb erachten wir es als wichtig, derartige Vorgänge zu thematisieren und damit beizutragen, dass solche Fälle künftig vermieden werden.

Jürg Wiedemann
Vorstand Starke Schule beider Basel