Von Datenverarbeitung bis technischer Datenschutz Die DSGVO und ihre Auswirkungen auf den schulischen Alltag

ABC-Schützen, Schulwechsler oder Aufrücker: Zu Beginn jedes neuen Schuljahres sammeln sich gewaltige Datenmengen an. Und die Datenberge, die die Schulen als Dateneigentümer bereits handhaben müssen, wachsen somit ständig weiter.

Anbieter zum Thema

Arvato Systems

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

AixConcept GmbH

faltmann PR | Öffentlichkeitsarbeit

In einer Bildungseinrichtung müssen täglich personenbezogene Daten verarbeitet und gespeichert werden, um ein reibungsloses Funktionieren des Schulbetriebs sicherzustellen. Das Recht auf informationelle Selbstbestimmung des Einzelnen ist ein Grundrecht und schützt alle mit einer Person verbundenen Daten. Das bedeutet: Jede Art der Verarbeitung von personenbezogenen Daten in der Schule fällt unter die DSGVO/BDSG nF. (Datenschutzgrundverordnung bzw. Bundesdatenschutzgesetz, neue Fassung von 2018).

In unserer Rolle als Dienstleister und Berater für Schul-IT sehen wir die konkreten Auswirkungen der am 25. Mai in Kraft getretenen Datenschutzgrundverordnung (DSGVO) auf den schulischen Alltag. Ich möchte hier aufzeigen, welche Herausforderungen Schulen hinsichtlich Datenverarbeitung, Datenverwaltung, die Dokumentation der Prozesse und die Protokollierung von Verstößen (Reporting) sowie organisatorischen und technischen Datenschutz in der Praxis zu bewältigen haben.

Grundsätze der Datenverarbeitung

Das Datenschutzrecht stellt Regeln auf, nach denen personenbezogene Daten verarbeitet werden dürfen, wie damit umgegangen wird und welche Möglichkeit der Kontrolle über die Daten die betroffenen Personen (Schüler, Eltern, Lehrer) erhalten. Der Begriff „personenbezogene Daten“ umfasst im Rahmen der DSGVO Namen, Fotos, Post- und E-Mail-Adressen, Telefonnummern, KFZ-Zeichen, Identnummern aus der Schulverwaltungs-Software und IP-Adressen – also alle Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Er trifft folglich auf fast alle erfassten Daten in der Schulverwaltung zu. Das bedeutet für die Schulen, dass die Erhebung und Verarbeitung personenbezogener Daten nur unter Beachtung der DSGVO erfolgen darf und somit trifft der Artikel 5 Absatz 1 der DSGVO zum Thema „Datenverarbeitung“ zu und muss beachtet werden.

Als Grundsätze der Datenverarbeitung und somit verbindliche Vorgaben definiert sind:

• Rechtmäßigkeit der Datenverarbeitung (ist gegeben).

• Treu und Glauben der Datenverarbeitung (muss für die betroffenen Personen nachvollziehbar sein).

• Transparenz der Datenverarbeitung (fairer Umgang mit Daten und Klarheit der Verarbeitung).

• Zweckbindung der Datenverarbeitung (Erhebung nur für eindeutige und legitime Zwecke, ist in der Schule gegeben).

• Datenminimierung (keine Verarbeitung erfasster Daten zu anderen als den für Schule relevanten Zwecken).

• Speicherbegrenzung (die Speicherdauer schon bei Erhebung festlegen).

• Richtigkeit (Daten müssen sachlich richtig sein, sonst löschen oder berichtigen).

• Integrität und Vertraulichkeit (Sicherheit und Vertraulichkeit müssen gewährleistet sein).

• IT-Sicherheit (TOM = technisch-organisatorische Maßnahmen).

Verhinderer und Kontrolleure

Die Schulen müssen die Verarbeitung personenbezogener Daten so organisieren, dass diese Prinzipien eingehalten werden und dies auch nachweisen (Rechenschaftspflicht). In der Praxis bedeutet das, ein Verfahrensverzeichnis zu erstellen, in dem die Erfassung, Speicherung und Löschung aller Daten beschrieben wird. Deshalb müssen öffentliche Schulen auch einen behördlichen Datenschutzbeauftragten (DSB) schriftlich benennen. Dieser ist vor allem Berater und Anlaufstelle für alle Fragen rund um die Verarbeitung personenbezogener Daten (Art 39 DSGVO und § 7 BDSG nF). Daneben muss der DSB die Einhaltung datenschutzrechtlicher Vorschriften überwachen, für die die Verantwortung allerdings bei der Schulleitung liegt.

Für die Ausübung der Tätigkeit eines DSB ist es ist nicht erforderlich, einen juristischen oder technischen Hintergrund zu haben, allerdings sind Kenntnisse im Datenschutzrecht sowie seiner Umsetzung und Anwendung, die durch regelmäßige Teilnahme an Fortbildungen auch ständig aufgefrischt werden sollten, hilfreich. Wichtig ist, keine Interessenskonflikte in Bezug auf seine Tätigkeit zu haben. Mitglieder der Schulleitung oder Netzwerkbetreuer sollten wegen möglicher Interessenkollision nicht zum DSB ernannt werden. Für eine digitalisierte Schule ist der Datenschützer im Hinblick auf die eingesetzte Technik und Software erstrebenswert und eine Affinität zu den Arbeitsabläufen in einer Schule wichtig. Das würde für einen internen DSB sprechen, wenn es eine Person gibt, die sich dieser Herausforderung stellen mag und die Verpflichtung übernimmt, sich ständig weiterzubilden. Der Job des Datenschutzberaters ist allerdings nicht sehr attraktiv, da er oft als Verhinderer auftreten muss und als Kontrolleur empfunden wird.

Verzeichnis der Verarbeitungstätigkeiten

Nach Artikel 30 der DSGVO müssen Schulen ein Verzeichnis der Verarbeitungstätigkeiten führen, die ihrer Zuständigkeit unterliegen. Das bedeutet, jede Schule muss schriftlich oder elektronisch ein Verzeichnis darüber führen, welche personenbezogenen Daten wann, wo, auf welche Weise und wie lange erfasst, gespeichert und verarbeitet werden. Auch wenn die Datenverarbeitung selbst an anderer Stelle stattfindet – etwa, wenn die Schule eine Cloud-Plattform nutzt – liegt Auftragsdatenverarbeitung vor. Die Schulleitung hat die Verantwortung, kann aber die Aufgabe, das Verzeichnis zu führen, delegieren. Das bedeutet eine Menge Arbeit für die meist völlig unvorbereiteten Schulen. Denn die systematische Erstellung der einzelnen Verzeichnisse in der Schule betrifft ja nicht nur die Schülerdaten, sondern zum Beispiel auch die Unterlagen von Lehrern, die sich an der Schule bewerben.

Einwilligung und Widerruf

Für einen ordnungsgemäßen Schulbetrieb ist die Verarbeitung personenbezogener Daten zulässig, wie sich aus den gesetzlichen Vorgaben ableiten lässt. Wenn jedoch Fotos für die Website genutzt werden, muss die Einwilligung von Schülerinnen und Schülern oder deren Eltern eingeholt werden. Eltern darf aber bei der Anmeldung ihres Kindes an der Schule nicht schon die Erlaubnis „abverlangt“ werden, Fotos des Kinder zu nutzen (Kopplungsverbot).

Die Verarbeitung personenbezogener Daten ist dann zulässig, wenn die Rechtmäßigkeit der Datenverarbeitung gegeben ist, also eine gesetzliche Grundlage vorhanden ist oder die betroffene Person ihre Einwilligung gegeben hat. Wenn keine der beiden Bedingungen zutrifft, bleibt die Verarbeitung verboten (Verbot mit Erlaubnisvorbehalt). In Artikel 6 DSGVO sind die entsprechenden Bedingungen als Rechtfertigungsgründe für die Datenverarbeitung beschrieben. Für den schulischen Alltag ist die Zulässigkeit der Verarbeitung allein aus den gesetzlichen Vorgaben für einen ordnungsgemäßen Schulbetrieb leicht abzuleiten. Hier greifen andere Rechtsvorschriften, etwa das Infektionsschutzgesetz, das sogar die Weitergabe von Daten verlangt (siehe entsprechende Meldeformulare). Spannender wird es, wenn es um die Einwilligung zur Verarbeitung von personenbezogenen Daten geht. Die Einwilligung muss nachgewiesen werden können – also zählt auch nur eine schriftliche Einwilligung elektronisch – sie muss verständlich sein und im Grunde genommen darf sie nur einen Sachverhalt betreffen. Bei mehreren Sachverhalten sollte eine Auswahlmöglichkeit (Ja oder Nein) bestehen. Ein verwaltungsaufwändiges Problem ist, dass die Einwilligung jederzeit ohne Begründung widerrufen werden kann. Betroffene Personen müssen sogar über diesen Sachverhalt aufgeklärt werden durch einen Hinweis zum Widerspruch und an wen der Widerspruch zu richten ist.

Ein klassisches Bespiel ist die Veröffentlichung von Schüler- oder Lehrerfotos auf der Website der Schule. Dafür ist bis zum Alter von 14 Jahren die Zustimmung der Erziehungsberechtigen einzuholen. Im Altersbereich von 14 bis 16 Jahren müssen beide zustimmen, Eltern und Schülerinnen beziehungsweise Schüler, falls die erforderliche Einsicht bei den Schülern vorhanden ist, sonst ist nur die Zustimmung der Eltern erforderlich. Mit Erreichen der Volljährigkeit üben die betroffenen Schüler alle Rechte selber aus. Grundsätzlich muss die Schule erläutern, zu welchem Zweck, in welchem Umfang und wie lange sie die Bilder nutzen will (Grundsatz der Transparenz). Eine Ausnahme kann bei Personen gegeben sein, die eine spezielle Funktion in der Schule haben, wie etwa die für die Pressarbeit zuständige Person. Aber auch hier gilt: Besser gefragt als verklagt.

Der externe Dienstleister

Auch externe Dienstleister müssen mit den Schulen einen Vertrag zur Auftrags(daten)verarbeitung schließen, falls sie Zugriff auf personenbezogene Daten haben. Die Schule bleibt verantwortlich für die Einhaltung des Datenschutzes. Anhaltspunkt für ein angemessenes Schutz-Niveau eines Dienstleisters kann ein Zertifikat oder der Nachweis technischer und organisatorischer Maßnahmen (TOM) zur Datensicherheit sein.

Der weisungsgebundene Einsatz externer Dienstleister zur Verarbeitung personenbezogener Daten ist in Artikel 28 der DSGVO geregelt. Wenn eine Schule etwa eine Cloud-Plattform wie Office 365 von Microsoft nutzt, überträgt sie Daten an den Dienstleister. Diese Übermittlung von Daten muss datenschutzrechtlich abgesichert sein. Das kann über eine Einwilligung der betroffenen Personen erfolgen (Prinzip der Freiwilligkeit) oder eine gesetzliche Erlaubnisform sein. In jedem Fall muss ein Vertrag zur „Auftragsdatenverarbeitung“ (ADV) oder neuer „Auftragsverarbeitung“ (AV) mit dem Dienstleister abgeschlossen werden. Wenn der Zugriff auf personenbezogene Daten möglich ist, muss die Schule den Service als Auftragsverarbeitung behandeln. Das betrifft Software-as-a-Service-Angebote wie das elektronische Klassenbuch und Cloud-Dienste, aber auch die IT-Wartung des Support-Teams über den Remote-Zugriff.

Mit Netz und doppeltem Boden

Als Schul-IT-Berater empfehlen wir, sich mit dem Artikel 28 der DSGVO intensiv auseinanderzusetzen. Denn der Artikel besagt, dass der Auftraggeber in der Haftung bleibt, also muss er sich seine Dienstleister sorgsam auswählen. Ein Anhaltspunkt kann dabei ein Zertifikat wie ISO 27001 sein. Ein weiterer Anhaltspunkt ist der Nachweis geeigneter technischer und organisatorischer Maßnahmen (TOM) zur Datensicherheit. Außerdem sollte man darauf achten, ob die Server zur Datenverarbeitung in Europa (Geltungsbereich der EU-DSGVO) oder in einem Drittland stehen, zum Beispiel in den USA. Der Dienstleister muss alle Unternehmen benennen, die ebenfalls auf die Daten im Rechenzentrum zugreifen können. Die Sub-Unternehmen sollen das gleiche Sicherheitsniveau bieten wie der Hauptauftragnehmer. Streng genommen müsste der Datenschutz-Verantwortliche die Dienstleister regelmäßig auf ihre datenschutzrechtliche Seriosität hin überprüfen. Das ist natürlich schwierig, wenn der Dienstleister gar nicht in Deutschland oder sogar außerhalb von Europa residiert. Große Anbieter informieren ihre Kunden von sich aus regelmäßig und stellen ihnen die erforderlichen Dokumente zur Verfügung.

(ID:45493457)