Von Datenverarbeitung bis technischer Datenschutz Die DSGVO und ihre Auswirkungen auf den schulischen Alltag

ABC-Schützen, Schulwechsler oder Aufrücker: Zu Beginn jedes neuen Schuljahres sammeln sich gewaltige Datenmengen an. Und die Datenberge, die die Schulen als Dateneigentümer bereits handhaben müssen, wachsen somit ständig weiter.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

AixConcept GmbH

faltmann PR | Öffentlichkeitsarbeit

In einer Bildungseinrichtung müssen täglich personenbezogene Daten verarbeitet und gespeichert werden, um ein reibungsloses Funktionieren des Schulbetriebs sicherzustellen. Das Recht auf informationelle Selbstbestimmung des Einzelnen ist ein Grundrecht und schützt alle mit einer Person verbundenen Daten. Das bedeutet: Jede Art der Verarbeitung von personenbezogenen Daten in der Schule fällt unter die DSGVO/BDSG nF. (Datenschutzgrundverordnung bzw. Bundesdatenschutzgesetz, neue Fassung von 2018).

In unserer Rolle als Dienstleister und Berater für Schul-IT sehen wir die konkreten Auswirkungen der am 25. Mai in Kraft getretenen Datenschutzgrundverordnung (DSGVO) auf den schulischen Alltag. Ich möchte hier aufzeigen, welche Herausforderungen Schulen hinsichtlich Datenverarbeitung, Datenverwaltung, die Dokumentation der Prozesse und die Protokollierung von Verstößen (Reporting) sowie organisatorischen und technischen Datenschutz in der Praxis zu bewältigen haben.

Grundsätze der Datenverarbeitung

Das Datenschutzrecht stellt Regeln auf, nach denen personenbezogene Daten verarbeitet werden dürfen, wie damit umgegangen wird und welche Möglichkeit der Kontrolle über die Daten die betroffenen Personen (Schüler, Eltern, Lehrer) erhalten. Der Begriff „personenbezogene Daten“ umfasst im Rahmen der DSGVO Namen, Fotos, Post- und E-Mail-Adressen, Telefonnummern, KFZ-Zeichen, Identnummern aus der Schulverwaltungs-Software und IP-Adressen – also alle Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Er trifft folglich auf fast alle erfassten Daten in der Schulverwaltung zu. Das bedeutet für die Schulen, dass die Erhebung und Verarbeitung personenbezogener Daten nur unter Beachtung der DSGVO erfolgen darf und somit trifft der Artikel 5 Absatz 1 der DSGVO zum Thema „Datenverarbeitung“ zu und muss beachtet werden.

Als Grundsätze der Datenverarbeitung und somit verbindliche Vorgaben definiert sind:

• Rechtmäßigkeit der Datenverarbeitung (ist gegeben).

• Treu und Glauben der Datenverarbeitung (muss für die betroffenen Personen nachvollziehbar sein).

• Transparenz der Datenverarbeitung (fairer Umgang mit Daten und Klarheit der Verarbeitung).

• Zweckbindung der Datenverarbeitung (Erhebung nur für eindeutige und legitime Zwecke, ist in der Schule gegeben).

• Datenminimierung (keine Verarbeitung erfasster Daten zu anderen als den für Schule relevanten Zwecken).

• Speicherbegrenzung (die Speicherdauer schon bei Erhebung festlegen).

• Richtigkeit (Daten müssen sachlich richtig sein, sonst löschen oder berichtigen).

• Integrität und Vertraulichkeit (Sicherheit und Vertraulichkeit müssen gewährleistet sein).

• IT-Sicherheit (TOM = technisch-organisatorische Maßnahmen).

Verhinderer und Kontrolleure

Die Schulen müssen die Verarbeitung personenbezogener Daten so organisieren, dass diese Prinzipien eingehalten werden und dies auch nachweisen (Rechenschaftspflicht). In der Praxis bedeutet das, ein Verfahrensverzeichnis zu erstellen, in dem die Erfassung, Speicherung und Löschung aller Daten beschrieben wird. Deshalb müssen öffentliche Schulen auch einen behördlichen Datenschutzbeauftragten (DSB) schriftlich benennen. Dieser ist vor allem Berater und Anlaufstelle für alle Fragen rund um die Verarbeitung personenbezogener Daten (Art 39 DSGVO und § 7 BDSG nF). Daneben muss der DSB die Einhaltung datenschutzrechtlicher Vorschriften überwachen, für die die Verantwortung allerdings bei der Schulleitung liegt.

Für die Ausübung der Tätigkeit eines DSB ist es ist nicht erforderlich, einen juristischen oder technischen Hintergrund zu haben, allerdings sind Kenntnisse im Datenschutzrecht sowie seiner Umsetzung und Anwendung, die durch regelmäßige Teilnahme an Fortbildungen auch ständig aufgefrischt werden sollten, hilfreich. Wichtig ist, keine Interessenskonflikte in Bezug auf seine Tätigkeit zu haben. Mitglieder der Schulleitung oder Netzwerkbetreuer sollten wegen möglicher Interessenkollision nicht zum DSB ernannt werden. Für eine digitalisierte Schule ist der Datenschützer im Hinblick auf die eingesetzte Technik und Software erstrebenswert und eine Affinität zu den Arbeitsabläufen in einer Schule wichtig. Das würde für einen internen DSB sprechen, wenn es eine Person gibt, die sich dieser Herausforderung stellen mag und die Verpflichtung übernimmt, sich ständig weiterzubilden. Der Job des Datenschutzberaters ist allerdings nicht sehr attraktiv, da er oft als Verhinderer auftreten muss und als Kontrolleur empfunden wird.

Verzeichnis der Verarbeitungstätigkeiten

Nach Artikel 30 der DSGVO müssen Schulen ein Verzeichnis der Verarbeitungstätigkeiten führen, die ihrer Zuständigkeit unterliegen. Das bedeutet, jede Schule muss schriftlich oder elektronisch ein Verzeichnis darüber führen, welche personenbezogenen Daten wann, wo, auf welche Weise und wie lange erfasst, gespeichert und verarbeitet werden. Auch wenn die Datenverarbeitung selbst an anderer Stelle stattfindet – etwa, wenn die Schule eine Cloud-Plattform nutzt – liegt Auftragsdatenverarbeitung vor. Die Schulleitung hat die Verantwortung, kann aber die Aufgabe, das Verzeichnis zu führen, delegieren. Das bedeutet eine Menge Arbeit für die meist völlig unvorbereiteten Schulen. Denn die systematische Erstellung der einzelnen Verzeichnisse in der Schule betrifft ja nicht nur die Schülerdaten, sondern zum Beispiel auch die Unterlagen von Lehrern, die sich an der Schule bewerben.

Einwilligung und Widerruf

Für einen ordnungsgemäßen Schulbetrieb ist die Verarbeitung personenbezogener Daten zulässig, wie sich aus den gesetzlichen Vorgaben ableiten lässt. Wenn jedoch Fotos für die Website genutzt werden, muss die Einwilligung von Schülerinnen und Schülern oder deren Eltern eingeholt werden. Eltern darf aber bei der Anmeldung ihres Kindes an der Schule nicht schon die Erlaubnis „abverlangt“ werden, Fotos des Kinder zu nutzen (Kopplungsverbot).

Die Verarbeitung personenbezogener Daten ist dann zulässig, wenn die Rechtmäßigkeit der Datenverarbeitung gegeben ist, also eine gesetzliche Grundlage vorhanden ist oder die betroffene Person ihre Einwilligung gegeben hat. Wenn keine der beiden Bedingungen zutrifft, bleibt die Verarbeitung verboten (Verbot mit Erlaubnisvorbehalt). In Artikel 6 DSGVO sind die entsprechenden Bedingungen als Rechtfertigungsgründe für die Datenverarbeitung beschrieben. Für den schulischen Alltag ist die Zulässigkeit der Verarbeitung allein aus den gesetzlichen Vorgaben für einen ordnungsgemäßen Schulbetrieb leicht abzuleiten. Hier greifen andere Rechtsvorschriften, etwa das Infektionsschutzgesetz, das sogar die Weitergabe von Daten verlangt (siehe entsprechende Meldeformulare). Spannender wird es, wenn es um die Einwilligung zur Verarbeitung von personenbezogenen Daten geht. Die Einwilligung muss nachgewiesen werden können – also zählt auch nur eine schriftliche Einwilligung elektronisch – sie muss verständlich sein und im Grunde genommen darf sie nur einen Sachverhalt betreffen. Bei mehreren Sachverhalten sollte eine Auswahlmöglichkeit (Ja oder Nein) bestehen. Ein verwaltungsaufwändiges Problem ist, dass die Einwilligung jederzeit ohne Begründung widerrufen werden kann. Betroffene Personen müssen sogar über diesen Sachverhalt aufgeklärt werden durch einen Hinweis zum Widerspruch und an wen der Widerspruch zu richten ist.

Ein klassisches Bespiel ist die Veröffentlichung von Schüler- oder Lehrerfotos auf der Website der Schule. Dafür ist bis zum Alter von 14 Jahren die Zustimmung der Erziehungsberechtigen einzuholen. Im Altersbereich von 14 bis 16 Jahren müssen beide zustimmen, Eltern und Schülerinnen beziehungsweise Schüler, falls die erforderliche Einsicht bei den Schülern vorhanden ist, sonst ist nur die Zustimmung der Eltern erforderlich. Mit Erreichen der Volljährigkeit üben die betroffenen Schüler alle Rechte selber aus. Grundsätzlich muss die Schule erläutern, zu welchem Zweck, in welchem Umfang und wie lange sie die Bilder nutzen will (Grundsatz der Transparenz). Eine Ausnahme kann bei Personen gegeben sein, die eine spezielle Funktion in der Schule haben, wie etwa die für die Pressarbeit zuständige Person. Aber auch hier gilt: Besser gefragt als verklagt.

Der externe Dienstleister

Auch externe Dienstleister müssen mit den Schulen einen Vertrag zur Auftrags(daten)verarbeitung schließen, falls sie Zugriff auf personenbezogene Daten haben. Die Schule bleibt verantwortlich für die Einhaltung des Datenschutzes. Anhaltspunkt für ein angemessenes Schutz-Niveau eines Dienstleisters kann ein Zertifikat oder der Nachweis technischer und organisatorischer Maßnahmen (TOM) zur Datensicherheit sein.

Der weisungsgebundene Einsatz externer Dienstleister zur Verarbeitung personenbezogener Daten ist in Artikel 28 der DSGVO geregelt. Wenn eine Schule etwa eine Cloud-Plattform wie Office 365 von Microsoft nutzt, überträgt sie Daten an den Dienstleister. Diese Übermittlung von Daten muss datenschutzrechtlich abgesichert sein. Das kann über eine Einwilligung der betroffenen Personen erfolgen (Prinzip der Freiwilligkeit) oder eine gesetzliche Erlaubnisform sein. In jedem Fall muss ein Vertrag zur „Auftragsdatenverarbeitung“ (ADV) oder neuer „Auftragsverarbeitung“ (AV) mit dem Dienstleister abgeschlossen werden. Wenn der Zugriff auf personenbezogene Daten möglich ist, muss die Schule den Service als Auftragsverarbeitung behandeln. Das betrifft Software-as-a-Service-Angebote wie das elektronische Klassenbuch und Cloud-Dienste, aber auch die IT-Wartung des Support-Teams über den Remote-Zugriff.

Mit Netz und doppeltem Boden

Als Schul-IT-Berater empfehlen wir, sich mit dem Artikel 28 der DSGVO intensiv auseinanderzusetzen. Denn der Artikel besagt, dass der Auftraggeber in der Haftung bleibt, also muss er sich seine Dienstleister sorgsam auswählen. Ein Anhaltspunkt kann dabei ein Zertifikat wie ISO 27001 sein. Ein weiterer Anhaltspunkt ist der Nachweis geeigneter technischer und organisatorischer Maßnahmen (TOM) zur Datensicherheit. Außerdem sollte man darauf achten, ob die Server zur Datenverarbeitung in Europa (Geltungsbereich der EU-DSGVO) oder in einem Drittland stehen, zum Beispiel in den USA. Der Dienstleister muss alle Unternehmen benennen, die ebenfalls auf die Daten im Rechenzentrum zugreifen können. Die Sub-Unternehmen sollen das gleiche Sicherheitsniveau bieten wie der Hauptauftragnehmer. Streng genommen müsste der Datenschutz-Verantwortliche die Dienstleister regelmäßig auf ihre datenschutzrechtliche Seriosität hin überprüfen. Das ist natürlich schwierig, wenn der Dienstleister gar nicht in Deutschland oder sogar außerhalb von Europa residiert. Große Anbieter informieren ihre Kunden von sich aus regelmäßig und stellen ihnen die erforderlichen Dokumente zur Verfügung.

Das Ziel der DSGVO ist, die Rechte der betroffenen Personen zu stärken und ihnen die Hoheit über ihre Daten zu geben. Die Artikel 12 bis 22 der DSGVO beschreiben diese Rechte, angefangen mit dem Grundsatz der Transparenz und weiteren Bestimmungen, die diesen Grundsatz stützen. Die Schulgesetze der Länder werden im Hinblick auf die DSGVO überarbeitet und entsprechende Klarstellungen zur Anwendung der DSGVO veröffentlicht. Für Schulen gelten vor allem die Grundsätze Informationspflicht (Artikel 13), Auskunftsrecht (Artikel 15), Recht auf Berichtigen (Artikel 16), Recht auf Löschen von Daten (Artikel 17), Recht auf Einschränkung der Verarbeitung (Artikel 18), Datenübertragung (Artikel 20) und Widerspruchsrecht (Artikel 21).

Die betroffenen Personen müssen also nicht nur über die Erhebung ihrer Daten informiert werden, sondern haben darüber hinaus ein Recht zu erfahren, wie ihre Daten verarbeitet werden. Und sie haben ein Recht auf Berichtigung und sogar auf Löschung ihrer Daten, wenn kein gesetzlicher Grund für die weitere Verarbeitung oder Speicherung gegeben ist. Und sie können verlangen, dass ihnen die Daten in einem nutzbaren Format übertragen werden.

Cloud-Dienste, SaaS und Analytics

Zu den Informationspflichten gehören die Auskunftsrechte der betroffenen Personen, die bei der Nutzung von Cloud-Plattformen und von Software-as-a-Service in besonderem Maße zu beachten sind. Erläuternde Texte dazu müssen einfach und verständlich formuliert sein. Anträge von Betroffenen auf Löschen, Berichtigen, Auskunft usw. müssen unverzüglich, in jedem Fall aber innerhalb eines Monats beantwortet werden. Außerdem müssen Schulen überprüfen, ob ihre Website DSGVO-konform ist. Wird eine Analyse-Software wie Google Analytics eingesetzt, muss der Grund der Nutzung genannt und ein Hinweis veröffentlicht werden, wie Besucher der Erhebung ihrer Daten widersprechen können. Werden Daten über Kontaktformulare erhoben, bedarf es eines Hinweises auf die Datenschutzerklärung. Diese muss detailliert offenlegen, wo und zu welchem Zweck Daten erhoben werden, wie sie verarbeitet, wie lange und wo sie gespeichert und wann sie gelöscht werden. Und sie muss eine Kontaktmöglichkeit zum Datenschutzbeauftragten beinhalten.

Die DSGVO hat für Schulen umfangreiche Informations- und Dokumentationspflichten zur Folge. Der Ausbau der IT-Infrastruktur in der Schule sowie der Einsatz cloud-basierter Technologien machen es erforderlich, die Rechte der Nutzer von Beginn an den Vorschriften der DSGVO anzupassen und verwaltungstechnisch umzusetzen. Das bedeutet eine weitere Belastung der Verwaltungsabläufe in den Schulen. Technische und organisatorische Maßnahmen (TOM) sollen zudem vor unbefugter und unrechtmäßiger Verarbeitung personenbezogener Daten schützen. Schulen müssen auch hier sicherstellen, dass Produkte und Dienste ebenso wie Cloud-Services nach den Anforderungen der DSGVO datenschutzkonform sind. Oft sind jedoch die räumlichen und technischen Voraussetzungen in den Schulen dafür gar nicht gegeben.

Dauerbaustelle Technik

Nach Artikel 25 der DSGVO ist unter Berücksichtigung des Stands der Technik sicherzustellen, dass die Integrität und Vertraulichkeit personenbezogener Daten gewahrt ist (Datenschutz durch Technikoptimierung). Technische und organisatorische Maßnahmen sollen vor unbefugter und unrechtmäßiger Verarbeitung schützen. Schulen müssen daher den Zugriff auf Server mit personenbezogenen Daten streng reglementieren und eine elektronische Zugangskontrolle einrichten, damit unbefugte Personen nicht zugreifen können. Die Technik muss so gestaltet sein, dass der Datenschutz gewährleistet ist, ebenso Produkte und Dienste, die in der Verwaltung der Schule, in der Organisation und im Unterricht eingesetzt werden. Die Schule muss gängige Produkte der Datenverarbeitung in der Schulverwaltung sowie mögliche Auftragsdatenverarbeiter (Cloud-Dienste) überprüfen, ob sie die Anforderungen des Datenschutzes erfüllen und nur die Daten erfassen, die für ihre Zwecke erforderlich sind.

Nach Artikel 32 der DSGVO orientiert sich das Sicherheitsniveau am konkreten Schutzbedarf der Daten. Dieser ist in Schulen hoch, weil Daten von Minderjährigen verarbeitet werden. Unter Berücksichtigung des Stands der Technik und der Implementierungskosten muss ein dem Risiko angemessenes Schutzniveau geschaffen werden. Da die DSGVO trotz allem auch Spielraum zur Interpretation bietet, empfiehlt sich ein standfestes IT-Sicherheitskonzept zu erstellen, das auch Backup-Pläne enthält, damit ausgefallene Systeme schnell wieder einsatzbereit sind. Grundsätzlich müssen alle Beschäftigten einer Schule über die Vertraulichkeit von Daten unterrichtet und regelmäßig unterwiesen werden.

Einige Maßnahmen können im Schulalltag nicht umgesetzt werden, weil räumliche wie technische Strukturen den Anforderungen der DSGVO nicht entsprechen. Nicht einmal die Zugangskontrolle zur schulischen IT über eine Benutzerkennung ist in allen Schulen implementiert. Noch kritischer wird es, wenn man weitere Aspekte der TOM betrachtet: Zugriffs- und Eingabekontrolle für IT-Systeme; Berechtigungskonzept für den Zugriff auf Daten; Einsatz verschlüsselter USB-Sticks zur Kontrolle der Weitergabe von Daten; sichere VPN-Verbindungen; eingesetzte Verwaltungssoftware; Fehlerkontrollen und Backup-Konzept (Verfügbarkeitskontrolle), damit Daten vor Zerstörung und Verlust geschützt sind; Verschlüsselung der internen und externen Datensicherung, im Extremfall in verschiedenen Brandabschnitten; Auftragskontrolle, ob Dienstleister personenbezogene Daten gemäß DSGVO behandeln und vernichten – in vielen Schulen gar nicht oder nur rudimentär umgesetzt.

Vorabkontrolle 2.0

Die Datenschutz-Folgenabschätzung (DSFA) entspricht der früheren „Vorabkontrolle“ des deutschen Datenschutzrechts und wird im Artikel 35 der DSGVO beschrieben. Die DSFA ist als Risikoprognose durchzuführen, wenn personenbezogene Daten verarbeitet werden. Die rechtliche Grundlage für die Verarbeitung personenbezogener Daten ist das Schulgesetz, nach dem jede Schule die Daten ihrer Schüler erfasst. Die Folgenabschätzung muss bewerten, welche Risiken und Folgen für die Rechte und Freiheiten der betroffenen Lehrer, Eltern und Schüler entstehen, und ob sie durch technisch-organisatorische Maßnahmen begrenzt werden können. Dies kann in Schulen problematisch werden, wenn die technische Ausstattung Defizite aufweist. Darüber hinaus muss auch die Verarbeitung der Daten in den Rechenzentren der Kommunen bewertet werden. Sollte die DSFA ergeben, dass die Risiken zu hoch sind, um mit vertretbarem Aufwand beseitigt werden zu können, müsste die Verarbeitung unterbleiben. Das ist möglicherweise bei Cloud-Diensten der Fall, wenn der Dienstleister keine Zertifizierung nachweist.

Eine DSFA ist zwingend erforderlich, wenn Persönlichkeitsprofile erstellt oder Gesundheitsdaten oder Daten von Kindern erfasst werden. Dies trifft auf Schulen zu, da sie gewöhnlich die Laufbahnen der Schüler und auch deren Gesundheitsdaten in Handakten erfassen. Theoretisch durchläuft die DSFA vier Phasen: In der Vorbereitungsphase wird festgestellt, ob eine Prüfung erforderlich ist. Die Bewertung beurteilt die Risiken (hoch, mittel, gering) bei der Datenverarbeitung, etwa Datenmissbrauch durch Dritte oder ein Server zur Datenverarbeitung in unsicheren Räumen. In der dritten Phase werden Maßnahmen definiert, etwa der Schutz der Betroffenen trotz der Datenverarbeitung, zum Beispiel durch Hinweise oder die kurzfristige Löschung von Daten. Als letztes folgen der Bericht mit Unterstützung durch den Datenschutzberater (DSB), die Bewertung und die Dokumentation.

Die Regelungen beziehungsweise Kriterienkataloge für Schulen sagen nicht eindeutig aus, ob eine DSFA für Datenverarbeitungen durchgeführt werden muss. Das Kultusministerium in Baden-Württemberg behauptet, die Schule müsse eine DSFA vorweisen, wenn Gesundheitsdaten oder Daten zu ethischer Herkunft verarbeitet würden. Das Kultusministerium in NRW interpretiert die Regelung so, dass eine Datenschutz-Folgeabschätzung nur bei der Verwendung neuer Technologien und nur für Verarbeitungen vorgesehen sei, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, also etwa systematisches Profiling oder Datenbanken über Kreditauskünfte, und ür die auf Ebene der Einzelschule übliche Verarbeitung von personenbezogenen Lehrer- und Schülerdaten für schulische Zwecke keine Verpflichtung, eine DSFA durchzuführen.

Pflicht zum aktiven Datenschutz

Die DSGVO fordert, dass die Verantwortlichen in den Schulen den Datenschutz aktiv managen. Sie sind zur Rechenschaft verpflichtet und müssen die Einhaltung der Vorgaben nachweisen (Artikel 5 Absatz 2 und Artikel 24 Absatz 1), entsprechende Abläufe einrichten und dokumentieren (Nachweispflicht) – zum Beispiel, indem alle Maßnahmen und Aktivitäten in einem Datenschutz-Handbuch zusammengefasst werden. Als Organisation stellt sich die Schule auf die Anforderungen der DSGVO ein und definiert Verantwortlichkeiten, etwa wann ein Datenschutzbeauftragter einbezogen wird und welche Schulungen in der Schule angeboten werden.

Volker Jürgens, Geschäftsführer AixConcept GmbH.

Dringend möchte ich noch einmal darauf hinweisen, dass private E-Mail-Adressen in Schulen absoluter Unfug sind. Es gibt keinen vernünftigen Grund dafür, Schul-Bedienstete nicht zu verpflichten, eine dienstliche Mail-Adresse zu nutzen.

* Der Autor Volker Jürgens ist Geschäftsführer der Aachener AixConcept GmbH. Der Microsoft-Partner mit Gold-Status hat sich auf Schul-IT spezialisiert und liefert schlüsselfertige IT-Lösungen für Bildungseinrichtungen.

(ID:45493457)