FERPA-konforme Dateifreigabe für Bildungseinrichtungen

FERPA-Compliance bei der Dateifreigabe bedeutet, dass jede Schülerakte mit personenbezogenen Daten ausschließlich über Tools übertragen wird, die den Zugriff auf autorisierte Empfänger beschränken, die Datei in der Übertragung und im Ruhezustand verschlüsseln und Weitergaben protokollieren. Gemäß 20 U.S.C. § 1232g und 34 CFR Part 99 müssen Schulen, die Bundesmittel erhalten, vor der Weitergabe von Schülerakten eine schriftliche Einwilligung einholen oder sich auf eine der gesetzlichen Ausnahmen berufen, wie z. B. „Schulbeamte mit berechtigtem Bildungsinteresse". Für Dateiübertragungen bedeutet das: TLS 1.3, AES-256, empfänger-spezifischer Zugriff und Audit-Protokolle, die lange genug aufbewahrt werden, um auf Anfragen von Eltern reagieren zu können.

Was FERPA als Schülerakte zählt

Schulakten sind alles, was von der Schule geführt wird und Informationen enthält, die direkt mit einem Schüler zusammenhängen. Das ist weiter gefasst als Transkripte. Notenblätter, IEP-Dokumente, Disziplinarakten, Finanzbeihilfeformulare, Beratungsnotizen und eingescannte medizinische Formulare in der Schülerakte qualifizieren sich alle. Eine Klassenliste mit Namen und Schüler-IDs ist eine Akte. Ein 12-MB-PDF unterzeichneter akademischer Integritätsvereinbarungen ist eine Akte. Verzeichnisinformationen – Name, Hauptfach, Immatrikulationsdaten – können möglicherweise ohne Einwilligung weitergegeben werden, sofern der Schüler nicht widersprochen hat, aber die Schule muss die Verzeichnisinformationsrichtlinie veröffentlicht haben.

Weitergaberegeln bestimmen das Übertragungsdesign

FERPA untersagt standardmäßig die Weitergabe ohne Einwilligung. Die Ausnahmen nach 34 CFR § 99.31 umfassen Schulbeamte, andere Schulen bei Schulwechseln, Studien für Bildungsbehörden, Prüfungen, Studienhilfe, Akkreditierung, Vorladungen und Gesundheits- und Sicherheitsnotfälle. Jede Ausnahme trägt Bedingungen. Für die Schulbeamten-Ausnahme beispielsweise muss die Einrichtung in ihrer jährlichen Benachrichtigung definiert haben, was „berechtigtes Bildungsinteresse" bedeutet. Wenn ein Studiendekanat einen 300-MB-Batch von Notenakten an eine Akkreditierungsstelle sendet, ist die Übertragungsmethode weniger entscheidend als die dokumentierte Ausnahme – aber die Methode muss trotzdem die Datei schützen. Passwortgeschützte ZIP-Dateien, per E-Mail-Anhang versendet, scheitern, weil E-Mail kein sicherer Kanal ist.

Einwilligungsmechanismen und digitale Signaturen

Die schriftliche Einwilligung nach § 99.30 muss die offengelegten Akten, den Zweck und den Empfänger benennen sowie von Elternteil oder berechtigtem Schüler unterschrieben und datiert sein. Digitale Signaturen über DocuSign oder Adobe Sign erfüllen die „Unterschrieben"-Anforderung, wenn die Plattform die Identitätsverifizierung dokumentiert. Die unterschriebene Einwilligung sollte in der Schülerakte verbleiben, mindestens so lange wie die betreffende Akte. Bei der Dateiübertragung einen Verweis auf den Einwilligungsnachweis in das Transfer-Metadatenfeld aufnehmen, damit Prüfer beide verknüpfen können.

Technische Schutzmaßnahmen für Schülerakten

Schulen sollten verlangen: Verschlüsselung in der Übertragung mit TLS 1.3, Verschlüsselung im Ruhezustand mit AES-256 auf dem Transfer-Server sowie idealerweise Ende-zu-Ende-Verschlüsselung, bei der nur der Empfänger entschlüsseln kann. Multi-Faktor-Authentifizierung für das Absender-Konto ist Standard, insbesondere für Mitarbeiter, die Massenexporte aus Banner, PeopleSoft oder Workday Student verwalten. Der Zugriff sollte empfänger-spezifisch sein – keine gemeinsamen Links – damit, wenn ein Elternteil fragt „wer hat die Akte meines Kindes zwischen dem 3. September und dem 15. November eingesehen?", das Studiendekanat eine Liste erstellen kann. Tools wie Microsoft OneDrive for Education und Google Workspace for Education mit korrekt konfigurierten Freigabekontrollen erfüllen diese Anforderungen; Consumer-WeTransfer und ähnliche standardmäßig nicht.

Die Verzeichnisinformationsfalle

Schulen behandeln Verzeichnisinformationen manchmal als frei teilbar und bündeln dann versehentlich Nicht-Verzeichnisfelder. Eine „Klassenliste", die für eine Studentengruppe gedacht ist, aber Notendurchschnitte, Stundenpläne oder Disziplinarnotizen enthält, hat die Grenze überschritten. Die Lösung: saubere Trennung beim Export. Studenteninformationssysteme sollten eine Nur-Verzeichnis-Exportvorlage anbieten, die alles außerhalb der veröffentlichten Verzeichniskategorien entfernt. Wenn Mitarbeiter benutzerdefinierte Spreadsheets erstellen, sollten Richtlinien eine Vier-Augen-Prüfung vorschreiben, bevor die Datei die Einrichtung verlässt. Widersprüche sind ebenfalls wichtig: FERPA gibt Schülern das Recht, die Verzeichnisweitergabe zu unterdrücken, und diese Flags müssen sich auf jeden Export auswirken.

Drittanbieter-Vereinbarungen

Ed-Tech-Anbieter, die Schülerdaten verarbeiten – ob Dateiübertragungsanbieter oder LMS-Plugin – gelten nach der Ausnahme in § 99.31(a)(1) häufig als „Schulbeamte", wenn sie Dienste erbringen, die die Schule sonst selbst erbringen würde, unter direkter Kontrolle der Schule stehen und Daten nur für autorisierte Zwecke verwenden. Dieser Status erfordert eine schriftliche Vereinbarung. Das Privacy Technical Assistance Center des Bildungsministeriums veröffentlicht Musterbedingungen. Die Vereinbarung sollte umfassen: Datenutzungsbeschränkungen, Einschränkungen für Unterauftragnehmer, Fristen für Sicherheitsverletzungsmeldungen, Löschung bei Vertragsende und Prüfungsrechte. Californias SOPIPA und ähnliche Landesgesetze fügen Anforderungen wie ein Verbot gezielter Werbung an Schüler hinzu.

Notfallreaktion bei einer fehlgeleiteten Übertragung

FERPA schreibt keine bundesweite Frist für Sicherheitsverletzungsmeldungen vor, aber die meisten Bundesstaaten tun es unter Gesetzen wie Illinois SOPPA oder New York Education Law § 2-d. Wenn eine fehlgeleitete Dateiübertragung den falschen Empfänger erreicht, beginnt das Reaktions-Playbook mit: Link widerrufen, sofern das Tool die Revokation unterstützt, den unbeabsichtigten Empfänger kontaktieren und Löschung mit Bestätigung anfordern, dokumentieren, was offengelegt wurde, beurteilen, ob personenbezogene Daten zugänglich waren, betroffene Schüler oder Eltern gemäß Landesrecht benachrichtigen und den Vorfall für den jährlichen Compliance-Bericht protokollieren.

Sonderfälle: Schüler unter 18 und gemischte Akten

Die Rechte gehen mit Vollendung des 18. Lebensjahres oder bei Einschreibung an einer weiterführenden Bildungseinrichtung von den Eltern auf den berechtigten Schüler über. Bei K-12-Übertragungen sind Eltern die Rechteinhaber. Bei dual eingeschriebenen Oberstufenschülern, die Universitätskurse belegen, existieren für verschiedene Akten beide FERPA-Rechteinhaber, und das Übertragungstool sollte mehrere Zugangsdaten unterstützen. Dateien, die Akten mehrerer Schüler enthalten – wie ein Anwesenheitsexport für eine Klasse –, benötigen die Einwilligung jeder Familie oder eine qualifizierende Ausnahme für die gesamte Datei. Die Datei pro Schüler aufzuteilen, reduziert Überweitergabe und vereinfacht die Einwilligungsverfolgung.

HexaTransfer verschlüsselt jede Datei Ende-zu-Ende mit AES-256-GCM, löscht automatisch nach 7 Tagen und gibt Schulen Download-Protokolle für Prüfzwecke. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.

FERPA ist in seiner Forderung nach Verschlüsselung und Protokollierung nicht einzigartig, unterscheidet sich aber darin, dass es sich auf die Schüler-Eltern-Beziehung konzentriert. Das gewählte Tool muss diese Beziehung respektieren, indem es schriftlich beantworten kann, wer zu einem bestimmten Zeitpunkt auf eine bestimmte Akte zugegriffen hat. Holen Sie die Ausnahme oder Einwilligung ein, wählen Sie ein Tool, das der Sensitivität entspricht, und bewahren Sie die Protokolle auf.