Ein Datenschutz-Konzept für Schulen gemäß der EU-DSGVO
Fachartikel
5,99 €
Der Fachartikel "Ein Datenschutzkonzept für Schulen" informiert Schulleitende und Lehrkräfte über die Erstellung eines Verfahrensverzeichnisses gemäß der EU-Datenschutzgrundverordnung (DSGVO). Das Recht auf Vergessenwerden Artikel 17. Abs.1 der EU-DSGVO stellt die Schulleitungen und Verantwortlichen in der Auftragsdatenverarbeitung vor vielfältige Aufgaben, denn personenbezogene Daten sind künftig unverzüglich zu löschen, wenn die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Dabei müssen die Löschungsfristen für alle Schüler-Lehrer- und Elterndaten eingehalten werden. Das gilt für Klassenarbeiten, Notenhefte, Fotos, Zeugnisse und so weiter. die betroffene Person ihre Einwilligung widerruft und es an einer anderweitigen Rechtsgrundlage für die Verarbeitung fehlt. Sind zum Beispiel irrtümlich Fotos von Personen auf Schulfesten erstellt worden oder gab es Einwilligungen für die Unterschriften auf Klassenlisten, die die betroffene Person zurückziehen möchte, so muss die Schulleitung diesem Ansinnen Folge leisten. die betroffene Person Widerspruch gegen die Verarbeitung einlegt und keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen (siehe oben). die personenbezogenen Daten unrechtmäßig verarbeitet wurden (keine Einwilligungserklärung vorlag). die Löschung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich ist (Verbot von Direktwerbung und so weiter). die personenbezogenen Daten eines Kindes in Bezug auf angebotene Dienste der Informationsgesellschaft , das heißt Internetangebote wie Webshops oder Online-Spiele, erhoben wurden (ein besonders sensibler Bereich, auf den die Schulleitung zu achten hat). Voraussetzungen für die Umsetzung des Rechtes auf Vergessenwerden in der Schule Die Umsetzung des Artikels 17. Abs. 1 kann aber nur erfolgen, wenn die Schulleitung, als für den Datenschutz Verantwortliche, darüber informiert ist, welche Daten von wem zu welchem Zweck erhoben und verarbeitet werden. Weiterhin ist entscheidend, ob von den Betroffenen (Lehrkräfte, Eltern, Schülerinnen und Schüler) Einwilligungen zur Datenverarbeitung eingefordert wurden. Deshalb ist es zwingend erforderlich, dass die Schulen ein internes Verfahrensverzeichnis erarbeiten, aus dem Folgendes ersichtlich ist: der Name und die Kontaktdaten aller Verantwortlichen, deren Vertreter sowie eines etwaigen Datenschutzbeauftragten der Zweck der Verarbeitung die Kategorien betroffener Personen und die Kategorien personenbezogener Daten die Kategorien von Empfängern , gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfängern in Drittländern oder internationalen Organisationen gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland und die Dokumentierung geeigneter Garantien für den Datenschutz sowie, wenn möglich, vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien Dieses Verfahrensverzeichnis dient der Dokumentation aller Verarbeitungstätigkeiten und kann der Schulaufsichtsbehörde zur Verfügung gestellt werden. Darüber hinaus sollte sichergestellt werden, dass auch die oder der Auftragsverarbeitende die Verpflichtungen erfüllt, die sich aus Artikel 17 Abs. 1 EU-DSGVO ergeben. Für die Schulleitung stellt sich die Frage, ob alle von den Datentransfers betroffenen internen Funktionsträger und Abteilungen beteiligt wurden. Weiterhin ist auf die Einhaltung der Grundsätze der Datenverarbeitung zu achten. Das sind bei der Erhebung und Verarbeitung personenbezogener Daten: 1. die Zweckbindung, 2. die Datensparsamkeit, 3. die Richtigkeit, 4. die Transparenz, 5. die Begrenzung der Speicherdauer, 6. die Integrität und 7. die Vertraulichkeit der Datenverarbeitung. Vorschläge zur Umsetzung des Rechtes auf Vergessenwerden Lernplattformen Die Nutzung von pädagogischen Lernplattformen, wie zum Beispiel Moodle, ist in manchen Schulen das zentrale Kommunikationsmedium für die Beschäftigten, die Schulleitungen, für Schülerinnen und Schüler und auch Eltern. Hierauf werden Stunden- und Vertretungspläne, sonstige dienstliche Mitteilungen, unter Umständen Anweisungen, Unterrichtsprogramme, Arbeitsmaterialien für den Unterricht (die zum Teil durch Urheberrechte geschützt sind) und anderes veröffentlicht und gespeichert. Oft gibt es keine Löschroutinen und persönliche Daten, wie sie zum Beispiel in Vertretungsplänen erscheinen, sind noch lange einsehbar. Damit wird es zum Beispiel ermöglicht, Fehlzeiten von Kolleginnen und Kollegen, aber auch das Arbeits- und Leistungsverhalten nachzuzeichnen. Die Arbeitsschritte jedes Users können von den Administratoren, teilweise auch von Usern mit Teiladministrationsrechten, genau verfolgt werden. Die Auswahl der Administratoren und die Zugriffsrechte sind teilweise völlig willkürlich geregelt. Daher ist die strikte Trennung von pädagogischer Lernplattform und schulorganisatorischen Verwaltungsaufgaben vorzunehmen . Die Zustimmung zur Datenerhebung und Datenverarbeitung muss bei allen Betroffenen schriftlich eingeholt werden. Vordrucke und Hinweisblätter für Lehrkräfte, Lernende und Erziehungsberechtigte finden sich zum Download auf den verschiedenen Landesbildungsservern der 16 Bundesländer. Personenbezogene Daten dürfen nur zeitlich begrenzt gespeichert werden und müssen nach einem gesetzlich vorgegebenen Zeitraum gelöscht werden. Log-Dateien müssen in einem entsprechend festgelegten Intervall automatisch gelöscht werden. Der Zugang von außen auf die Schul-Lernplattform sollte gegenüber fremden Usern abgeschottet werden. Der Administrator vergibt passwortgeschützte Zugangsrechte. Es sollte keine Möglichkeit der Selbsteinschreibung geben. Nur der Einsatz von Open-Source-Lernplattformen wie Moodle ermöglicht die Nutzung der Auftragsdatenverarbeitung durch kommunale Rechenzentren, die Schulen das Hosten der Lernplattformen anbieten. Hier ist Datenschutz sowie Service (Sicherungen, Beratung und so weiter) gewährleistet. Auf keinen Fall darf ein solcher Server auf einem privaten Rechner einer Lehrkraft laufen. Administratoren von Lernplattformen können unter Umständen die dortige Lehrer-Schüler-Kommunikation ohne deren Wissen einsehen. Um die Gefahr zu verringern, dass so gewonnene Daten zur Überprüfung des Lehrerverhaltens oder zur Bewertung der Lehrerleistung herangezogen werden, sollte schulintern vereinbart werden, dass Schulleitende auf Administrationsrechte in Lernplattformen verzichten. Schulhomepage Die Veröffentlichung von personenbezogenen Daten auf der Schulhomepage beziehungsweise im Internet ist nur mit (schriftlicher) Einwilligung der Betroffenen zulässig . Die betroffenen Lehrerinnen und Lehrer können diese Einwilligung jederzeit zurückziehen. Bei der Veröffentlichung eines Vertretungsplans sollte nur der Ort, das Fach und der Zeitraum der Veranstaltung angegeben werden (Fotos, private Kontaktadressen et cetera) sind besonders sensible Daten . Hierzu muss vor der Veröffentlichung grundsätzlich eine (schriftliche) Einwilligung der Betroffenen eingeholt werden, die jederzeit widerrufen werden kann. Eine pauschale Abfrage oder eine Zustimmung per Konferenzbeschluss sind keine wirksamen Einwilligungen. Soziale Netzwerke In den Zeiten von Smartphones mit Internet-Flatrats sind viele Schülerinnen und Schüler permanent online und kommunizieren zunehmend in sozialen Netzwerken oder Internet-Plattformen wie Instragram oder Facebook. Dementsprechend erhalten auch Lehrkräfte, die sich in sozialen Netzwerken aufhalten, öfters sogenannte Freundschaftsanfragen von Lernenden. Aufgrund der Vermischung von privater Kommunikation mit schulischen beziehungsweise dienstlichen Belangen birgt der Umgang mit sozialen Netzwerken für Lehrkräfte aus der Sicht des Datenschutzes eine Reihe von Risiken und Gefahren . Die Nutzung dieser Angebote ist von Bundesland zu Bundesland anders geregelt. Hier sollten sich die Lehrerinnen und Lehrer umfänglich informieren, um nicht das Dienstrecht des jeweiligen Bundeslandes zu verletzen. Zusammenfassung Für die Umsetzung des Artikels 17 Abs. 1 der EU-DSGVO ist die Erstellung eines Verfahrensverzeichnisses dringend erforderlich. Hierbei kann die Schulleitung die Beratung durch behördliche Datenschutzbeauftragte in Anspruch nehmen. Bei der Erstellung des Verfahrensverzeichnisses sind die Grundsätze der Datenverarbeitung zu beachten. Die strikte Trennung von pädagogischem und Verwaltungsnetz sollte unbedingt beachtet werden. Hierfür sollten Administratoren gewählt werden, die nicht der Schulleitung angehören.
