// DSGVO im schulischen Alltag

DSGVO für Schulen: Ein Praxisleitfaden

Inhaltsverzeichnis

AixConcept klärt auf, welche Auswirkungen die DSGVO auf den schulischen Alltag hat – Ein Praxisleitfaden von Volker Jürgens

AixConcept analysiert die am 25. Mai 2018 inkraft getretene Datenschutzgrundverordnung DSGVO und ihre konkreten Auswirkungen auf den schulischen Alltag. Der erste Beitrag des Dienstleisters und Beraters für Schul-IT beleuchtet die Datenverarbeitung. Weitere Aspekte sind der Zugriff auf und die Nutzung von Daten (Datenverwaltung), die Dokumentation der Prozesse und Protokollierung von Verstößen (Reporting) und der organisatorische und technische Datenschutz.

1. Die Datenverarbeitung

In einer Bildungseinrichtung müssen täglich personenbezogene Daten verarbeitet und gespeichert werden, um ein reibungsloses Funktionieren des Schulbetriebs sicherzustellen. Das Recht auf Informationelle Selbstbestimmung des Einzelnen ist ein Grundrecht und schützt alle mit einer Person verbundenen Daten. Das bedeutet: Jede Art der Verarbeitung von personenbezogenen Daten in der Schule fällt unter die DSGVO / BDSG nF. (Bundesdatenschutzgesetz, neue Fassung von 2018).

Das Datenschutzrecht stellt Regeln auf, nach denen personenbezogene Daten verarbeitet werden dürfen, wie damit umgegangen wird und welche Möglichkeit der Kontrolle über die Daten die betroffenen Personen (Schüler, Eltern, Lehrer) erhalten. Die IT-Sicherheit ist ein Teilaspekt davon und wird in einem späteren Artikel behandelt.

DSGVO Schul IT 768x384 1

Was sind personenbezogene Daten?

Der Begriff “personenbezogene Daten” umfasst im Rahmen der DSGVO Namen, Fotos, Post- und E-Mail-Adressen, Telefonnummern, KFZ-Zeichen, Identnummern aus der Schulverwaltungs-Software und IP-Adressen, also alle Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Er trifft folglich auf fast alle erfassten Daten in der Schulverwaltung zu.

“Das bedeutet für die Schulen, dass die Erhebung und Verarbeitung der personenbezogener Daten nur unter Beachtung der DSGVO erfolgen darf”, erklärt Volker Jürgens, Experte für Schul-IT und Geschäftsführer von AixConcept. “Somit trifft der Artikel 5 Absatz 1 der DSGVO zum Thema ‘Datenverarbeitung’ zu und muss beachtet werden.”

Grundsätze der Datenverarbeitung

Als Grundsätze der Datenverarbeitung und somit verbindliche Vorgaben definiert sind:
  • Rechtmäßigkeit der Datenverarbeitung (ist gegeben)
  • Treu und Glauben der Datenverarbeitung (muss für die betroffenen Personen nachvollziehbar sein)
  • Transparenz der Datenverarbeitung (fairer Umgang mit Daten und Klarheit der Verarbeitung)
  • Zweckbindung der Datenverarbeitung (Erhebung nur für eindeutige und legitime Zwecke, ist in der Schule gegeben)
  • Datenminimierung (keine Verarbeitung erfasster Daten zu anderen als den für Schule relevanten Zwecken)
  • Speicherbegrenzung (die Speicherdauer schon bei Erhebung festlegen) + Richtigkeit (Daten müssen sachlich richtig sein, sonst löschen oder berichtigen)
  • Integrität und Vertraulichkeit (Sicherheit und Vertraulichkeit müssen gewährleistet sein)
  • IT-Sicherheit (TOM = technisch-organisatorische Maßnahmen)
Schulen müssen die Verarbeitung personenbezogener Daten so organisieren, dass die angeführten Prinzipien eingehalten werden und dies nachgewiesen werden kann (Rechenschaftspflicht). In der Praxis bedeutet das, ein Verfahrensverzeichnis zu erstellen, in dem die Erfassung, Speicherung und Löschung aller Daten beschrieben wird. Das Microsoft Trust-Center hat einen kostenlosen Leitfaden für Bildungseinrichtungen entwickelt, der beschreibt, wie Schulen die neue Datenschutz-Grundverordnung Schritt für Schritt umsetzen können.

2. Der Datenschutzbeauftragte

Der Abschnitt erläutert die Aufgaben und Befugnisse des oder der Datenschutzbeauftragten in einer Schule und erklärt, welche Voraussetzungen er oder sie erfüllen muss. Die Stellung des Datenschutzbeauftragten gegenüber der Schulleitung wird beleuchtet und die Vor- und Nachteile einer internen Person als Datenschützer gegenüber einem externen Datenschutzbeauftragten.

Für jede öffentliche Schule muss ein behördlicher Datenschutzbeauftragter (DSB) schriftlich benannt werden, unter Einbeziehung des Personalrats. Der oder die Datenschutzbeauftragte (DSB) ist Berater, Unterstützer und Anlaufstelle für Fragen rund um die Verarbeitung personenbezogener Daten (Art 39 DSGVO und § 7 BDSG nF). Daneben muss der DSB die Einhaltung datenschutzrechtlicher Vorschriften überwachen, für die die Verantwortung allerdings bei der Schulleitung liegt.

pls leave nothing 768x512 1

Der Datenschutzbeauftragte ist auch Ansprechpartner für die Aufsichtsbehörde und für die Personen, deren Daten verarbeitet werden. Die Daten des DSB sind der Aufsichtsbehörde zu nennen (Landesdatenschutzbehörden) und eine Kontaktmöglichkeit muss auf der Website veröffentlicht werden. Der DSB selbst ist unabhängig und weisungsfrei und von der Schulleitung bei der Erfüllung seiner Tätigkeiten zu unterstützen, etwa wenn er Zugang zu personenbezogenen Daten benötigt. Er berichtet an die Schulleitung (jährlicher Tätigkeitsbericht).

Die Schulleitung muss den DSB frühzeitig in datenschutzrelevante Vorgänge einbeziehen, zum Beispiel wenn neue Software angeschafft oder in der Schulverwaltung eingesetzt werden soll. Wenn mit dieser Software personenbezogene Daten verarbeitet werden, ist sie datenschutzrelevant. Schulleiter sollten die Position des DSB ernstnehmen, damit der Stellenwert des Datenschutzes allen Beteiligten an der Schule klar wird.

Fachwissen eines Datenschutzbeauftragten

Wer kann die Position eines Datenschutzbeauftragten ausfüllen? Es ist nicht erforderlich, einen juristischen oder technischen Hintergrund zu haben. Der oder die Datenschutzbeauftragte sollte aber Fachwissen im Datenschutzrecht und Kenntnisse in seiner Umsetzung und Anwendung besitzen, regelmäßig an Fortbildungen teilnehmen und keine Interessenskonflikte in Bezug auf seine Tätigkeit haben. Mitglieder der Schulleitung oder Netzwerkbetreuer sollten wegen möglicher Interessenkollision nicht zum DSB ernannt werden.

Interner oder externer Datenschützer

Für eine digitalisierte Schule ist der Datenschützer im Hinblick auf die eingesetzte Technik und Software erstrebenswert und eine Affinität zu den Arbeitsabläufen in einer Schule wichtig. Das würde für einen internen DSB sprechen, wenn es eine Person gibt, die sich dieser Herausforderung stellen mag und die Verpflichtung übernimmt, sich ständig weiterzubilden. “Der Job des Datenschutzberaters ist nicht sehr attraktiv, da er oft als Verhinderer auftreten muss und als Kontrolleur empfunden wird”, erklärt Volker Jürgens, Geschäftsführer von AixConcept. Ob nun ein interner oder externer Datenschutzbeauftragter die Aufgabe übernimmt, ist nicht leicht zu klären. Bei der heutigen Belastung im Schulalltag wird vermutlich ein externer DSB die Lösung sein, zumal er mit höherer Kompetenz ausgestattet und unabhängig ist. Nachteilig ist, dass ein externer DSB nur unregelmäßig an der Schule sein kann.

3. Das Verzeichnis der Verarbeitungstätigkeiten

Schulen müssen ein Verzeichnis der Verarbeitungstätigkeiten personenbezogener Daten führen und der Aufsichtsbehörde auf Verlangen vorlegen. Betroffene Personen können Auskunft über ihre gespeicherten Daten verlangen und ihre Löschung beantragen. Auftragsverarbeiter wie Netzwerkbetreiber und Software-Hersteller müssen erfasst und die Einhaltung des Datenschutzes nachgewiesen werden.

Nach Artikel 30 der DSGVO müssen Schulen ein Verzeichnis der Verarbeitungstätigkeiten führen, die ihrer Zuständigkeit unterliegen. Das bedeutet, jede Schule muss schriftlich oder elektronisch ein Verzeichnis darüber führen, welche personenbezogenen Daten wann, wo und wie erfasst, gespeichert und verarbeitet werden. Auch wenn die Datenverarbeitung selbst an anderer Stelle stattfindet – etwa, wenn die Schule eine Cloud-Plattform nutzt – liegt Auftragsdatenverarbeitung vor. Die Schulleitung hat die Verantwortung, kann aber die Aufgabe, das Verzeichnis zu führen, delegieren.

privacy policy 3415417 1920 768x768 1

Verarbeitungstätigkeiten an der Schule

Das Verzeichnis der Verarbeitungstätigkeiten ist eine Übersicht über die Prozesse der Datenverarbeitung an der Schule und verschafft der zuständigen Aufsichtsbehörde einen Überblick über das Datenschutz-Niveau der Schule. Das Verzeichnis muss der Aufsichtsbehörde auf Verlangen vorgelegt werden. Grundsätzlich müssen in diesem Verzeichnis alle relevanten Daten zur Verarbeitung personenbezogener Daten erfasst werden. Damit kann die Schule prüfen, ob die Datenverarbeitung überhaupt zulässig ist. Andererseits versetzt es sie in die Lage, ihrer Informationspflicht nachzukommen und die Auskunftsrechte der betroffenen Personen wahren zu können. Verarbeitungstätigkeiten fallen etwa bei der Neuaufnahme von Schülern an. “Da kommt eine Menge Arbeit auf die völlig unvorbereiteten Schulen zu”, weiß Schul-IT-Experte Volker Jürgens. “Die systematische Erstellung der einzelnen Verzeichnisse in der Schule betrifft ja nicht nur die Schülerdaten, sondern zum Beispiel auch die Unterlagen von Lehrern, die sich an der Schule bewerben.”

Welche Daten erfasst werden

Artikel 30 DSGVO beschreibt, wie das Verzeichnis aufzubauen ist und welche Angaben zu jeder Verarbeitungstätigkeit zu machen sind. Das sind zum Beispiel der Name und die Kontaktdaten der Schule und des Verantwortlichen in der Schule sowie des Datenschutz-Beauftragten, der Zweck der Verarbeitung der Daten, die Daten-Kategorien (Name, Geburtsdatum, Anschrift) und betroffenen Personenkreise (Schüler, Eltern, Lehrer). Außerdem Angaben darüber, mit wem Daten innerhalb und außerhalb der Schule geteilt werden, wer Zugriff auf die Daten in der Schule (Akten wie digitalisierte Daten) hat, welche Software zur Datenerfassung und -verwaltung eingesetzt wird und wie lange die Daten gespeichert werden: Fristen und Löschfristen sind für Schulen vorgegeben. Weiterhin werden der Speicherort der Daten, die Liste der externen Dienstleister und technisch-organisatorische Maßnahmen zum Datenschutz wie Datensicherung und Zutrittskontrolle erfasst. Informationen zur Erstellung der Verzeichnisse müssen die Verantwortlichen bei den zuständigen Personen und Unternehmen (zum Beispiel Netzwerkbetreuer) einholen. Die Schulleitung ist für die Erstellung der Verzeichnisse zuständig, da sie die Verantwortung für das Einhalten von datenschutzrechtlichen Vorgaben trägt.

4. Verarbeitung personenbezogener Daten

Für einen ordnungsgemäßen Schulbetrieb ist die Verarbeitung personenbezogener Daten zulässig, wie sich aus den gesetzlichen Vorgaben ableiten lässt. Wenn jedoch Fotos für die Website genutzt werden, muss die Einwilligung von Schülerinnen und Schülern oder deren Eltern eingeholt werden. Eltern darf aber bei der Anmeldung ihres Kindes an einer Schule nicht schon die Erlaubnis “abverlangt” werden, Fotos des Kinder zu nutzen (Kopplungsverbot).

Die Verarbeitung personenbezogener Daten ist dann zulässig, wenn die Rechtmäßigkeit der Datenverarbeitung gegeben ist, also eine gesetzliche Grundlage vorhanden ist oder die betroffene Person ihre Einwilligung gegeben hat. Wenn keine der beiden Bedingungen zutrifft, bleibt die Verarbeitung verboten (Verbot mit Erlaubnisvorbehalt).

photograph 3380613 1920 768x255 1

Zulässigkeit der Verarbeitung

In Artikel 6 DSGVO sind die entsprechenden Bedingungen als Rechtfertigungsgründe für die Datenverarbeitung beschrieben. Für den schulischen Alltag ist die Zulässigkeit der Verarbeitung allein aus den gesetzlichen Vorgaben für einen ordnungsgemäßen Schulbetrieb leicht abzuleiten. Hier greifen andere Rechtsvorschriften, etwa das Infektionsschutzgesetz, das sogar die Weitergabe von Daten verlangt (siehe entsprechende Meldeformulare). “Spannender wird es, wenn es um die Einwilligung zur Verarbeitung von personenbezogenen Daten geht”, erklärt Schul-IT-Experte Volker Jürgens. “Die Einwilligung muss nachgewiesen werden können – also zählt auch nur eine schriftliche Einwilligung elektronisch – sie muss verständlich sein und im Grunde genommen darf sie nur einen Sachverhalt betreffen.” Bei mehreren Sachverhalten sollte eine Auswahlmöglichkeit (ja / nein) bestehen. Ein verwaltungsaufwändiges Problem ist, dass die Einwilligung jederzeit ohne Begründung widerrufen werden kann. Betroffene Personen müssen sogar über diesen Sachverhalt aufgeklärt werden: durch einen Hinweis zum Widerspruch und an wen der Widerspruch zu richten ist.

Schülerfotos auf der Website der Schule

Ein klassisches Beispiel ist die Veröffentlichung von Schüler- oder Lehrerfotos auf der Website der Schule. Dafür ist bis zum Alter von 14 Jahren die Zustimmung der Erziehungsberechtigen einzuholen. Im Altersbereich von 14 bis 16 Jahren müssen beide zustimmen, Eltern und Schülerinnen beziehungsweise Schüler, falls die erforderliche Einsicht bei den Schülern vorhanden ist, sonst ist nur die Zustimmung der Eltern erforderlich.

Mit Erreichen der Volljährigkeit üben die betroffenen Schüler alle Rechte selber aus. Grundsätzlich muss die Schule erläutern, zu welchem Zweck, in welchem Umfang und wie lange sie die Bilder nutzen will (Grundsatz der Transparenz). Eine Ausnahme kann bei Personen gegeben sein, die eine spezielle Funktion in der Schule haben, wie etwa die für die Pressarbeit zuständige Person. Aber auch hier gilt: Besser gefragt als verklagt.

“Besser gefragt als verklagt”

Eine wichtige Regelung lässt sich aus dem Koppelungsverbot ableiten: Es ist unzulässig, Eltern schon bei der Anmeldung ihres Kindes an der Schule die Erlaubnis “abzuverlangen”, Fotos der Kinder für Zwecke zu nutzen, die im Interesse der Schule liegen. Die Einwilligung zur Nutzung von Bildern darf nicht mit anderen Bedingungen verbunden werden.

5. Die Auftragsdatenverarbeitung (AV/ADV)

Schulen müssen mit Dienstleistern einen Vertrag zur Auftrags(daten)verarbeitung schließen, falls diese Zugriff auf personenbezogene Daten haben. Die Schule bleibt verantwortlich für die Einhaltung des Datenschutzes. Anhaltspunkt für ein angemessenes Schutz-Niveau eines Dienstleisters kann ein Zertifikat oder der Nachweis technischer und organisatorischer Maßnahmen (TOM) zur Datensicherheit sein.

Der weisungsgebundene Einsatz externer Dienstleister zur Verarbeitung personenbezogener Daten ist in Artikel 28 der DSGVO geregelt. Wenn eine Schule etwa eine Cloud-Plattform wie Office 365 von Microsoft nutzt, überträgt sie Daten an den Dienstleister. Diese Übermittlung von Daten muss datenschutzrechtlich abgesichert sein. Das kann über eine Einwilligung der betroffenen Personen erfolgen (Prinzip der Freiwilligkeit) oder eine gesetzliche Erlaubnisform sein. In jedem Fall muss ein Vertrag zur “Auftragsdatenverarbeitung” (ADV) oder neuer: “Auftragsverarbeitung” (AV) mit dem Dienstleister abgeschlossen werden.

Wenn der Zugriff auf personenbezogene Daten möglich ist, muss die Schule den Service als Auftragsverarbeitung behandeln. Das betrifft Software-as-a-Service-Angebote wie das elektronische Klassenbuch und Cloud-Dienste, aber auch die IT-Wartung des Support-Teams über den Remote-Zugriff.

data protection regulation 3413077 1920 768x512 1

Die Verantwortung für den Datenschutz liegt beim Schulleiter

Der Schulleiter ist dafür verantwortlich, sicherzustellen, dass beim Dienstleister das Schutz-Niveau bei der Verarbeitung personenbezogener Daten genauso hoch ist wie in der Schule. Dazu schließt die Schule mit dem Dienstleister einen Vertrag, den AV-Vertrag. Anbieter wie Microsoft und IT-Dienstleister bieten ihren Kunden vorbereitete AV-Verträge an. Schul-IT-Berater empfehlen, sich mit dem Artikel 28 der DSGVO intensiv auseinanderzusetzen. Denn der Artikel besagt, dass der Auftraggeber in der Haftung bleibt, also muss er sich seine Dienstleister sorgsam auswählen. Ein Anhaltspunkt kann dabei ein Zertifikat wie ISO 27001 sein: Zertifizierte Dienstleister bieten ein erhöhtes Schutz-Niveau, weil sie bereits alle Arbeitsabläufe dokumentiert haben oder überprüft worden sind.

Stehen die Server im Geltungsbereich der EU DSGVO?

Ein weiterer Anhaltspunkt ist der Nachweis geeigneter technischer und organisatorischer Maßnahmen (TOM) zur Datensicherheit. Außerdem sollte man darauf achten, ob die Server zur Datenverarbeitung in Europa (Geltungsbereich der EU-DSGVO) oder in einem Drittland stehen, zum Beispiel in den USA. Der Dienstleister muss alle Unternehmen benennen, die ebenfalls auf die Daten im Rechenzentrum zugreifen können. Die Sub-Unternehmen sollen das gleiche Sicherheitsniveau bieten wie der Hauptauftragnehmer. “Streng genommen muss der Datenschutz-Verantwortliche die Dienstleister regelmäßig auf ihre datenschutzrechtliche Seriosität hin überprüfen”, erklärt Volker Jürgens, Geschäftsführer von AixConcept. “Das ist natürlich schwierig, wenn der Dienstleister gar nicht in Deutschland oder sogar außerhalb von Europa residiert.” Große Anbieter informieren ihre Kunden von sich aus regelmäßig und stellen ihnen die erforderlichen Dokumente zur Verfügung. Exkurs: Viele Schulen können das geforderte Schutz-Niveau, das seriöse Anbieter bieten, selbst gar nicht gewährleisten, weil es an finanziellen Mitteln oder räumlichen Gegebenheiten fehlt: Sie können weder geeignete technische und organisatorische Maßnahmen ergreifen noch die entsprechenden Schulungen des Personals durchführen.

6. Die Rechte der betroffenen Personen

Die Rechte der Betroffenen auf Transparenz und die Hoheit über ihre Daten haben zusätzliche Pflichten auf Seiten der Datenverarbeiter zur Folge. Schulen müssen Verfahren für die zeitnahe Beantwortung eingehender Anträge einrichten und die besonderen Umstände bei Cloud-Diensten und Software-as-a-Service beachten. Die DSGVO vermehrt die Informations- und Dokumentationspflichten von Schulen.

Das Ziel der DSGVO ist, die Rechte der betroffenen Personen zu stärken und ihnen die Hoheit über ihre Daten zu geben. Die Artikel 12 bis 22 der DSGVO beschreiben diese Rechte, angefangen mit dem Grundsatz der Transparenz und weiteren Bestimmungen, die diesen Grundsatz stützen. Die Schulgesetze der Länder werden im Hinblick auf die DSGVO überarbeitet und entsprechende Klarstellungen zur Anwendung der DSGVO veröffentlicht.

dsgvo 3415444 1920 768x512 1

Transparenz und daraus folgende Grundsätze

Für Schulen gelten vor allem die Grundsätze Informationspflicht (Artikel 13), Auskunftsrecht (Artikel 15), Recht auf Berichtigen (Artikel 16), Recht auf Löschen von Daten (Artikel 17), Recht auf Einschränkung der Verarbeitung (Artikel 18), Datenübertragung (Artikel 20) und Widerspruchsrecht (Artikel 21). “Das bedeutet: Die betroffenen Personen müssen nicht nur über die Erhebung ihrer Daten informiert werden”, erläutert Volker Jürgens, Geschäftsführer von AixConcept. “Sie haben darüber hinaus ein Recht zu erfahren, wie ihre Daten verarbeitet werden. Und sie haben ein Recht auf Berichtigung und sogar auf Löschung ihrer Daten, wenn kein gesetzlicher Grund für die weitere Verarbeitung oder Speicherung gegeben ist. Und sie können verlangen, dass ihnen die Daten in einem nutzbaren Format übertragen werden.”

Cloud-Dienste und Software-as-a-Service

Zu den Informationspflichten gehören die Auskunftsrechte der betroffenen Personen, die bei der Nutzung von Cloud-Plattformen und von Software-as-a-Service in besonderem Maße zu beachten sind. Erläuternde Texte dazu müssen einfach und verständlich formuliert sein. Anträge von Betroffenen auf Löschen, Berichtigen, Auskunft usw. müssen unverzüglich, in jedem Fall aber innerhalb eines Monats beantwortet werden.

Analyse-Tools und Kontaktformulare

Schulen müssen überprüfen, ob ihre Website DSGVO-konform ist. Wird eine Analyse-Software wie Google Analytics eingesetzt, muss der Grund der Nutzung genannt und ein Hinweis veröffentlicht werden, wie Besucher der Erhebung ihrer Daten widersprechen können. Werden Daten über Kontaktformulare erhoben, bedarf es eines Hinweises auf die Datenschutzerklärung. Diese muss detailliert offenlegen, wo und zu welchem Zweck Daten erhoben werden, wie sie verarbeitet, wie lange und wo sie gespeichert und wann sie gelöscht werden. Und sie muss eine Kontaktmöglichkeit zum Datenschutzbeauftragten beinhalten.

Verwaltungsaufwand wächst

Die DSGVO hat für Schulen umfangreiche Informations- und Dokumentationspflichten zur Folge. Der Ausbau der IT-Infrastruktur in der Schule sowie der Einsatz cloud-basierter Technologien machen es erforderlich, die Rechte der Nutzer von Beginn an den Vorschriften der DSGVO anzupassen und verwaltungstechnisch umzusetzen. Das bedeutet eine weitere Belastung der Verwaltungsabläufe in den Schulen.

7. Datensicherheit – Technische und organisatorische Maßnahmen (TOM)

Technische und organisatorische Maßnahmen (TOM) sollen vor unbefugter und unrechtmäßiger Verarbeitung personenbezogener Daten schützen. Schulen müssen sicherstellen, dass Produkte und Dienste ebenso wie Cloud-Services nach den Anforderungen der DSGVO datenschutz¬konform sind. Oft sind jedoch die räumlichen und technischen Voraussetzungen in den Schulen nicht gegeben.

Nach Artikel 25 der DSGVO ist unter Berücksichtigung des Stands der Technik sicherzustellen, dass die Integrität und Vertraulichkeit personenbezogener Daten gewahrt ist (Datenschutz durch Technikoptimierung). Technische und organisatorische Maßnahmen sollen vor unbefugter und unrechtmäßiger Verarbeitung schützen. Schulen müssen daher den Zugriff auf Server mit personenbezogenen Daten streng reglementieren und eine elektronische Zugangskontrolle einrichten, damit unbefugte Personen nicht zugreifen können.

door 2435978 1920 768x512 1

Datenverarbeitung in der Schulverwaltung und Cloud-Dienste überprüfen

Die Technik muss so gestaltet sein, dass der Datenschutz gewährleistet ist, ebenso Produkte und Dienste, die in der Verwaltung der Schule, in der Organisation und im Unterricht eingesetzt werden. Die Schule muss gängige Produkte der Datenverarbeitung in der Schulverwaltung sowie mögliche Auftragsdatenverarbeiter (Cloud-Dienste) überprüfen, ob sie die Anforderungen des Datenschutzes erfüllen und nur die Daten erfassen, die für ihre Zwecke erforderlich sind. Nach Artikel 32 der DSGVO orientiert sich das Sicherheitsniveau am konkreten Schutzbedarf der Daten. Dieser ist in Schulen hoch, weil Daten von Minderjährigen verarbeitet werden. Unter Berücksichtigung des Stands der Technik und der Implementierungskosten muss ein dem Risiko angemessenes Schutzniveau geschaffen werden.

IT-Sicherheitskonzept und Backup

Die DSGVO bietet Interpretationsspielraum. Es empfiehlt sich jedoch, ein IT-Sicherheitskonzept zu erstellen, das Backup-Pläne enthält, damit ausgefallene Systeme schnell wieder einsatzbereit sind. Grundsätzlich müssen alle Beschäftigten einer Schule über die Vertraulichkeit von Daten unterrichtet und regelmäßig unterwiesen werden. Auftragsdatenverarbeiter (Cloud-Dienste) müssen ihre Sicherheitsmaßnahmen vorweisen und nachprüfbar dokumentieren. Große Anbieter verfügen über entsprechende Unterlagen und Zertifikate.

Räumliche und technische Strukturen überprüfen

Einige Maßnahmen können im Schulalltag nicht umgesetzt werden, weil räumliche wie technische Strukturen den Anforderungen der DSGVO nicht entsprechen. Nicht einmal die Zugangskontrolle zur schulischen IT über eine Benutzerkennung ist in allen Schulen implementiert. Weitere Aspekte der TOM: Verfügt die Schule über eine Zugriffs- und Eingabekontrolle für IT-Systeme? Gibt es ein Berechtigungskonzept für den Zugriff auf Daten? Werden nur verschlüsselte USB-Sticks eingesetzt (Kontrolle der Weitergabe von Daten)? Wird für den Zugriff auf Daten eine sichere VPN-Verbindung genutzt und welche Software wird in der Verwaltung eingesetzt? Gibt es Fehlerkontrollen und ein Backup-Konzept (Verfügbarkeitskontrolle), damit Daten vor Zerstörung und Verlust geschützt sind? Ist die interne und externe Datensicherung verschlüsselt, im Extremfall in verschiedenen Brandabschnitten? Stellt eine Auftragskontrolle sicher, dass Dienstleister personenbezogene Daten gemäß DSGVO behandeln und vernichten?

8. Datenschutz-Folgenabschätzung – DSFA

Die Datenschutz-Folgenabschätzung ist eine Risikoprognose für die Folgen und Risiken der Verarbeitung personenbezogener Daten. Ob Schulen eine DSFA durchführen müssen oder nicht, wird in den einzelnen Bundesländern unterschiedlich interpretiert.

Die Datenschutz-Folgenabschätzung (DSFA) entspricht der früheren „Vorabkontrolle“ des deutschen Datenschutzrechts und wird im Artikel 35 der DSGVO beschrieben. Die DSFA ist als Risikoprognose durchzuführen, wenn personenbezogene Daten verarbeitet werden. Die rechtliche Grundlage für die Verarbeitung personenbezogener Daten ist das Schulgesetz, nach dem jede Schule die Daten ihrer Schüler erfasst.

regulation 3246979 1280 768x360 1

Die Folgenabschätzung muss bewerten, welche Risiken und Folgen für die Rechte und Freiheiten der betroffenen Lehrer, Eltern und Schüler entstehen, und ob sie durch technisch-organisatorische Maßnahmen begrenzt werden können. Dies kann in Schulen problematisch werden, wenn die technische Ausstattung Defizite aufweist. Darüber hinaus muss auch die Verarbeitung der Daten in den Rechenzentren der Kommunen bewertet werden. Sollte die DSFA ergeben, dass die Risiken zu hoch sind, um mit vertretbarem Aufwand beseitigt werden zu können, müsste die Verarbeitung unterbleiben. Das ist möglicherweise bei Cloud-Diensten der Fall, wenn der Dienstleister keine Zertifizierung nachweist.

Eine DSFA ist zwingend erforderlich, wenn Persönlichkeitsprofile erstellt oder Gesundheitsdaten oder Daten von Kindern erfasst werden. Dies trifft auf Schulen zu, da sie gewöhnlich die Laufbahnen der Schüler und auch deren Gesundheitsdaten in Handakten erfassen. Schulen sollten einen Datenschutzbeauftragten hinzuziehen, der sie bei der korrekten Umsetzung der DSFA berät. Die Datenschutzbehörden werden praxistaugliche Kriterien veröffentlichen, wann eine DSFA in der Schule durchzuführen ist.

Ablauf einer DSFA

Theoretisch durchläuft die DSFA vier Phasen: Vorbereitung, Bewertung, Maßnahmen und Bericht. In der Vorbereitungsphase wird festgestellt, ob eine Prüfung erforderlich ist. Die Bewertung beurteilt die Risiken (hoch, mittel, gering) bei der Datenverarbeitung, etwa Datenmissbrauch durch Dritte oder ein Server zur Datenverarbeitung in unsicheren Räumen. In der dritten Phase werden Maßnahmen definiert, etwa der Schutz der Betroffenen trotz der Datenverarbeitung, zum Beispiel durch Hinweise oder die kurzfristige Löschung von Daten. Als letztes folgen der Bericht mit Unterstützung durch den Datenschutzberater (DSB), die Bewertung und die Dokumentation.

Unterschiedliche Bewertung in verschiedenen Bundesländern

Die Regelungen beziehungsweise Kriterienkataloge für Schulen sagen nicht eindeutig aus, ob eine DSFA für Datenverarbeitungen durchgeführt werden muss. Das Kultusministerium in Baden-Württemberg behauptet, die Schule müsse eine DSFA vorweisen, wenn Gesundheitsdaten oder Daten zu ethischer Herkunft verarbeitet würden. Das Kultusministerium in NRW interpretiert die Regelung so, dass eine Datenschutz-Folgeabschätzung nur bei der Verwendung neuer Technologien und nur für Verarbeitungen vorgesehen sei, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, also etwa systematisches Profiling oder Datenbanken über Kreditauskünfte, und schließt: „Daher besteht für die auf Ebene der Einzelschule übliche Verarbeitung von personenbezogenen Lehrer- und Schülerdaten für schulische Zwecke nach hiesiger Einschätzung keine Verpflichtung, eine DFA durchzuführen.“

9. Die Umsetzung

Im letzten Abschnitt seines Praxisleitfadens behandelt Schul-IT-Experte Volker Jürgens die Umsetzung der DSGVO-Richtlinien in Schulen. Die Verantwortlichen müssen den Datenschutz aktiv managen: Das betrifft Abläufe und Dokumentation, das Verzeichnis der Verarbeitungstätigkeiten, Datenschutzfolgenabschätzung und Auskunftsansprüche, Auftrags(daten)verarbeitung, technische Ausstattung und Schulungen.

privacy policy 3415419 1920 768x300 1

Die DSGVO fordert, dass die Verantwortlichen in den Schulen den Datenschutz aktiv managen. Sie sind zur Rechenschaft verpflichtet und müssen die Einhaltung der Vorgaben nachweisen (Artikel 5 Absatz 2 und Artikel 24 Absatz 1), entsprechende Abläufe einrichten und dokumentieren (Nachweispflicht) – zum Beispiel, indem alle Maßnahmen und Aktivitäten in einem Datenschutz-Handbuch zusammengefasst werden.

Als Organisation stellt sich die Schule auf die Anforderungen der DSGVO ein und definiert Verantwortlichkeiten, etwa wann ein Datenschutzbeauftragter einbezogen wird und welche Schulungen in der Schule angeboten werden.

Die zentralen Fragestellungen der DSGVO hier noch einmal im Überblick:

Verzeichnis der Verarbeitungstätigkeiten

Ein zentraler Bestandteil einer datenschutzgerechten Aufarbeitung der DSGVO ist das Verzeichnis der Verarbeitungstätigkeiten, das dokumentiert, wie und womit personenbezogene Daten verarbeitet werden, inwiefern die Verarbeitung zulässig ist (gibt es entsprechende Rechtsvorschriften, Schulgesetz?) und wie die Rechte der Betroffenen gewahrt werden.

Datenschutzfolgenabschätzung

Schulen arbeiten mit den Daten von Kindern und Jugendlichen, die einem sehr starken Schutz unterliegen, und erfassen medizinische Daten (Erkrankungen). Wegen der Sensibilität dieser Daten ist eine Datenschutzfolgenabschätzung (DSFA) durchzuführen. Die Kultusministerien der Bundesländer stufen dies allerdings unterschiedlich ein, denn der Artikel 35 der DSGVO lässt einigen Interpretationsspielraum zu.

Auskunftsansprüche

Im Rahmen der Informationspflichten wird geregelt, wie Auskunftsansprüche und Rechte der Betroffenen erfüllt werden (Artikel 12 bis 21 der DSGVO). Einwilligungen für die Nutzung von Cloud-Diensten und zur Auftragsdatenverarbeitung müssen eingeholt und deutliche Hinweise auf das Widerspruchsrecht gegeben werden.

Auftrags(daten)verarbeitung

Im Rahmen der Auftrags(daten)verarbeitung muss die absolute Zuverlässigkeit des Dienstleisters sichergestellt und regelmäßig überprüft werden. Technisch-organisatorische Maßnahmen (Datensicherheit zum Schutz personenbezogener Daten) mit ihrer Rechenschaftspflicht sind ebenfalls zu dokumentieren und in regelmäßigen Abständen zu überprüfen.

Technische Ausstattung und Schulungen

Die technische Ausstattung sollte bei vertretbarem Aufwand dem Stand der Technik entsprechen. Das betrifft die Software-Aktualisierung (neben Betriebssystemen auch die Schulsoftware) genauso wie ein Datensicherungskonzept. Datenpannen (Diebstahl, Missbrauch) sind umgehend zu melden (innerhalb von 72 Stunden) und Abläufe zu hinterlegen, was bei einer Datenpanne zu tun ist. Kollegium und Verwaltungsmitarbeiter müssen regelmäßig geschult und für den Datenschutz sensibilisiert werden. “Dringend möchte ich noch einmal darauf hinweisen, dass private E-Mail-Adressen in Schulen absoluter Unfug sind”, stellt Volker Jürgens klar. “Es gibt keinen vernünftigen Grund dafür, Schul-Bedienstete nicht zu verpflichten, eine dienstliche Mail-Adresse zu nutzen.”

Weiterführende Links

10. FAQ – Was bedeutet DSGVO?

Die Datenschutzgrundverordnung DSGVO ist eine Verordnung der Europäischen Union, mit der die Verarbeitung personenbezogener Daten durch Institutionen, Unternehmen und Dienstleister EU-weit geregelt wird. Sie stellt den Schutz personenbezogener Daten innerhalb der Europäischen Union sicher und gewährleistet den freien Datenverkehr. Das Gesetz vom 30. Juni 2017 trat zum 25. Mai 2018 in Kraft. Die DSGVO besteht aus 99 Artikeln in elf Kapiteln, die vor allem die Rechte der Personen an ihren Daten nach den Grundsätzen Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Begrenzung, Integrität und Vertraulichkeit regeln.

Was sind personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die sich auf eine natürliche Person beziehen, die direkt oder indirekt durch einen Namen, eine Kennnummer, Standortdaten, eine Online-Kennung oder besondere physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Merkmale identifiziert werden kann. Personenbezogene Daten dürfen nur mit Einwilligung der Person erhoben, verarbeitet und gespeichert werden und diese hat ein Recht auf Auskunft über Zweck, Empfänger und Verantwortliche der Datenverarbeitung sowie die Dauer der Datenspeicherung und die Berichtigung und Löschung ihrer Daten.

Was genau müssen Schulen wegen der DSGVO beachten?

Das Recht auf informationelle Selbstbestimmung des Einzelnen ist ein Grundrecht und schützt alle mit einer Person verbundenen Daten. In der Schule werden jedoch täglich personenbezogene Daten verarbeitet und gespeichert: Namen, Geburtsdaten, Adressen, Fächerwahl, Noten etc. Jede Art der Verarbeitung personenbezogener Daten in der Schule fällt unter die DSGVO, ebenso der Zugriff auf und die Nutzung von Daten (Datenverwaltung) sowie die Dokumentation der Prozesse und Verstöße (Reporting) und muss entsprechend protokolliert werden.

Was ist eine Auftragsdatenverarbeitung (AV/ADV)?

Wenn ein Dritter (Dienstleister) Zugriff auf personenbezogene Daten hat, muss die Schule einen Vertrag über die Datenverarbeitung mit ihm schließen, denn sie bleibt verantwortlich für die Einhaltung des Datenschutzes. Anhaltspunkt für ein angemessenes Schutz-Niveau eines Dienstleisters kann ein Zertifikat oder der Nachweis technischer und organisatorischer Maßnahmen (TOM) zur Datensicherheit sein.

Nutzt die Schule etwa eine Cloud-Plattform wie Office 365 von Microsoft, überträgt sie die Daten an den Dienstleister und sichert sich datenschutzrechtlich ab, indem sie einen Vertrag zur “Auftragsdatenverarbeitung” (ADV) oder “Auftragsverarbeitung” (AV) mit diesem Dienstleister abschließt.