Referenz-Verarbeitungsübersicht der Medienberatung NRW

Lesezeit: 2 Minuten

Bei der Medienberatung NRW ist man schon seit Monaten sehr bemüht, das Unterstützungsangebot für Schulen zum Thema Datenschutz auszubauen. Im Rahmen dieser Arbeiten wurde zum Ende des vergangenen Jahres (2019) eine sogenannte Referenz-Verarbeitungsübersicht veröffentlicht. Das Format ist nicht unbekannt, aber aktuell noch weniger verbreitet. Das gängige Format entspricht eher den Vorlagen, wie sie auf dieser Seite bereitgestellt werden.

Das soll jedoch nicht heißen, dass die Lösung aus der Medienberatung NRW schlechter wäre. Nein, sie ist sogar sehr gut, denn sie ist sehr übersichtlich. Sie besteht aus Tabellen, die mit Tabellenblättern unterteilt sind. Das vorausgefüllte Muster deckt die verschiedenen Verarbeitungstätigkeiten, welche sich an Schulen finden, weitestgehend ab. Schulen brauchen die Vorlage nur noch ergänzen um schulspezifische Informationen und speichern die Verarbeitungsübersicht dann ab. Es ist nicht nötig, einen Ausdruck zu erstellen. Lediglich das Vorblatt mit den Informationen zum Verantwortlichen und dem Feld für eine Unterschrift sollte ausgedruckt und abgelegt werden.

Screenshot Referenz-Verarbeitungsübersicht Schulen NRW
Screenshot Referenz-Verarbeitungsübersicht Schulen der Medienberatung NRW (Link hinter dem Bild führt zur Seite der Medienberatung)

Der Download auf der Seite Referenz-Verzeichnis der Verarbeitungstätigkeiten für Schulen besteht aus zwei Dateien im XLSX Format und lässt sich mit gängigen Tabellenkalkulationsprogrammen bearbeiten.

Es ist möglich, in den Tabellen Angaben zu den technischen und organisatorischen Maßnahmen zum Schutz und zur Sicherheit der Verarbeitung zu machen. Als Ergänzung zum Referenz-Verzeichnis der Verarbeitungstätigkeiten empfehle ich meine Vorlage für ein schulisches Sicherheitskonzept sowie für ein schulisches Löschkonzept zu nutzen. Beide Vorlagen finden sich unter Verzeichnis von Verarbeitungstätigkeiten ganz unten auf der Seite.

Verarbeitungstätigkeiten einer Schule, die sich nicht in die Referenz-Verarbeitungsübersicht einordnen lassen, können problemlos auch mit Vorlagen wie auf meiner Seite bereitgestellt, ergänzt werden. Gleiches gilt auch Beschreibungen von Verarbeitungstätigkeiten, welche beispielsweise von Auftragsverarbeitern teilausgefüllt bereitgestellt werden. Es besteht kein Zwang, alle Verarbeitungstätigkeiten unbedingt in das Muster der Medienberatung zu schreiben. Wenn man sich dazu in der Lage sieht bzw. es möglich ist, dann sollte man das Muster ergänzen und wenn nicht, nutzt man eine der anderen Vorlagen. Solange man alle Verarbeitungstätigkeiten der Schule in irgendeiner Form erfasst hat, ist der Form Genüge getan, um selbst einen Überblick zu haben und im Falle der Fälle der Aufsichtsbehörde etwas vorlegen zu können.

Die Referenz-Verarbeitungsübersicht ist übrigens durchaus auch für Schulen in anderen Bundesländern von Interesse und kann auch von Schulen in kirchlicher Trägerschaft genutzt werden, sofern von dort nicht verpflichtend andere Vorlagen zur Verfügung gestellt werden. Anpassungen sind vor allem bei den genannten Rechtsgrundlagen vorzunehmen und den eingesetzten Anwendungen.

Datenschutz im schulischen Förderverein

Lesezeit: 3 Minuten

Fördervereine und Schulen sind oft sehr eng miteinander verwoben, durch Personen, die nicht nur Mitglieder im Förderverein sind, auch mit Funktionen, sondern auch Lehrkräfte, Eltern oder Schulleitung. Gerade diese enge Verzahnung muss auch beim Thema Datenschutz beachtet werden. Darüber hinaus unterliegt jeder Förderverein aber auch den datenschutzrechtlichen Vorgaben, wie sie für jeden Vereine gelten.

Förderverein und Schule sind datenschutzrechtlich zu trennen

Im Alltag kommt es immer wieder vor, dass zwischen Förderverein und Schule Namenlisten und Adressen austauscht werden. Die Schule hat alle aktuellen Daten von Schülern und Eltern. Der Förderverein braucht aktuelle Adressen und je nach Art der Zusammenarbeit möchte man von Seiten des Fördervereins auch immer mal wieder Informationen haben. Und dann gibt es noch das heikle Thema der Anträge an den Förderverein. Vor allem beim Austausch von Informationen zwischen Schule und Förderverein wird oftmals gegen geltendes Datenschutzrecht verstoßen, da er ohne eine Einwilligung der Betroffenen erfolgt.

Grundsätzlich sollten sowohl Förderverein wie auch Schule beachten, dass eine Übermittlung von personenbezogenen Daten für beide Seiten eine Einwilligung der betroffenen voraussetzt. Das heißt:

  • Anträge, bei welchen es um die Bezuschussung von Schülerinnen und Schülern geht, sollten aus Gründen des Datenschutz nie die Namen der betroffenen Personen enthalten. Zur Bewilligung von Anträgen ist die Kenntnis der Namen der Betroffenen auch nicht erforderlich.
  • Wenn der Förderverein wegen der Aktualisierung von einer oder mehreren Adressen bei der Schule anfragt, kann die Schule hier nur weiterhelfen, wenn sie zuvor die Einverständnis der Betroffenen eingeholt hat.
  • Wenn es um Mitgliederwerbung geht, ist es für die Schule immer einfacher, wenn der Förderverein Anmeldezettel an Eltern verteilt. Will eine Schule eine Liste mit den Adressen der Eltern an den Förderverein übermitteln, so braucht sie dafür die ausdrückliche Einwilligung aller dieser Eltern.

Das gilt auch, wenn Personen aus dem Kollegium oder der Schulleitung im Fördererein tätig sind. Aus Datenschutzgründen müssen die Rollen klar getrennt sein.

Anmeldung im Förderverein

Bei der Anmeldung am Förderverein werden personenbezogene Daten erhoben, um mit den Mitgliedern in Kontakt zu treten (Information über die Arbeit, Einladung zu Versammlungen, …) und die Mitglieder zu verwalten. Zu letzterem gehört auch der Zahlungsverkehr im Zusammenhang mit den Mitgliedsbeiträgen. Vielfach wird bei Anmeldungen von den Betroffenen eine Einwilligung in die Verarbeitung von personenbezogenen Daten eingeholt. Das kann man machen, auch wenn es nach Ansicht von Fachleuten nicht erforderlich ist. Immer erforderlich ist bei der Anmeldung allerdings eine Information über die Verarbeitung von personenbezogenen Daten nach Art. 13 DS-GVO. Dazu gehört auch eine Information über die Rechte der Betroffenen.1Diese unterscheiden sich etwas, da es die Möglichkeit zum Widerruf nur gibt, wenn zuvor eine Einwilligung erteilt wurde.

Beitrittsformular – Einwilligung

Dieses Beitrittsformular beinhaltet eine Datenschutzerklärung, eine Einwilligung in die Datenverarbeitung und in das SEPA Lastschriftverfahren. In der Datenschutzerklärung ist eine Löschfrist von 10 Jahren nach Ausscheiden des Mitglieds gegeben, um bei eventuellen Anfragen des Finanzamtes Auskunft geben zu können. Wenn man das nicht mag, ändert man diesen Passus ab.

Beitrittsformular – Vertrag

Da nach Einschätzung verschiedener Experten ein Mitgliedsverhältnis in einem Verein einer vertraglichen Erlaubnis sehr ähnlich ist, kann die Verarbeitung der personenbezogenen Daten von Vereinsmitgliedern auch auf Grundlage von Art. 6 DSGVO Abs. 1 Satz 1 lit. b –  Vertrag/Vorvertrag – erfolgen. 1 Eine Einwilligung ist damit nicht erforderlich. Entsprechend ist diese Variante der Beitrittserklärung etwas anders gestaltet.

Weitere Informationen zu Datenschutz und Förderverein

Die Broschüre „Datenschutz im Verein nach der Datenschutz-Grundverordnung“ der LDI NRW deckt alle Bereiche ab, welche einen Verein in Bezug auf Datenschutz betreffen können. In der sehr umfangreichen Schrift werden auch Themen behandelt, welche für kleinere Vereine, die nur wenige personenbezogene Daten verarbeiten und meist auch keine umfangreichen Verarbeitungsprozesse durchführen, weniger relevant sind.

Auch aus Bayern gibt es Hilfen für Vereine unter DSGVO für Vereine: Fragen und Antworten

Bewerbungsverfahren und Datenschutz

Lesezeit: < 1 Minute

Schulen stellen nicht nur Lehrkräfte ein, welche ihnen von Seiten des Landes zugewiesen werden, sondern führen auch Einstellungen durch im Rahmen von schulscharfen Auswahlverfahren. Bewerber schicken dabei ihre Bewerbungsunterlagen direkt an die Schule. Neben diesem offiziellen Weg landen auch schon einmal Initiativbewerbungen im Schulbüro. Dazu kommen noch Krankheitsvertretungen und Elternzeitvertretungen. Die Bewerbungen können dabei unterschiedliches Format haben. Neben den klassischen Bewerbungsmappen landen auch Bewerbungen in digitaler Form als E-Mail mit Anhang bei den Schulen. Bewerbungs- bzw. Einstellungsverfahren sind Verarbeitungsvorgänge, bei denen es sogar um recht sensible personenbezogene Daten gehen kann.

Wie bei jeder Datenverarbeitung sind Betroffene entsprechend Art. 12 DS-GVO über die Verarbeitung ihrer Daten zu informieren. Das erfolgt am besten, wenn den Bewerbern der Eingang ihrer Bewerbung schriftlich bestätigt wird. Zu berücksichtigen sind entsprechend je nach Bewerber Angaben nach Art. 13 (bezüglich der Bewerbungsunterlagen, die vom Bewerber selbst eingereicht werden) und Art. 14 (bezüglich Unterlagen, die von einer anderen Dienststelle angefordert werden, etwa die Personalakte). Angegeben werden sollten dabei:

  • Art der personenbezogenen Daten: Lebenslauf, Zeugnisse, Qualifikationen, …,
  • Herkunft der personenbezogenen Daten: vom Bewerber eingereicht, von der Schulaufsicht angefordert (z.B. Bezirksregierung),
  • Übermittlung der personenbezogenen Daten: an die am Auswahlverfahren beteiligten Personen, z.B. Mitglieder der Schulleitung, Abteilungsleiter, Fachleiter, Gleichstellungsbeauftragte(r), Mitglied des Personalrates, … und bei einer Einstellung z.B. Schulaufsicht
  • Speicherdauer der personenbezogenen Daten :
    • bei Ablehnung Rückgabe oder Löschung 2 Monate nach Beendigung des Bewerbungsverfahrens (in Orientierung an §15 Abs. 4 AGG)
    • bei einer Einstellung Aufnahme in die Personalakte,
  • Rechte der Bewerber Betroffenenrechte wie z.B. Löschung, Auskunft oder Recht auf Berichtigung).

Weiterlesen:

Kontaktliste Kollegium – was geht?

Lesezeit: < 1 Minute

In einem Tweet wundert sich am 09.11.2019 @grundschulmann

#Datenschutz #Schule #twitterlehrerzimmer

Zu Beginn des Schuljahres wird eine Lehrer-Kontaktliste an alle KuK verteilt, die neben Name und Geburtstag auch Privatadresse, Handynummer, Festnetz und (private) Email beinhaltet.

Sehe nur ich das kritisch?

Das Thema ist datenschutzrechtlich sehr ähnlich zu dem der Eltern-Telefonliste. Dort gilt, die Telefonnummer von Eltern darf anderen Eltern nur dann bekannt gegeben werden, wenn dazu eine Einwilligung der Eltern vorliegt.

Wenn die Schulleitung eine Liste des Kollegiums erstellt, die an jede Lehrkraft ausgegeben werden soll, dann kann sie dieses ohne Einwilligung der Lehrkräfte tun, solange sie sich dabei neben dem Namen auf personenbezogene Daten beschränkt, welche dienstliche Belange betreffen. Das wären etwa

  • Funktionen an der Schule wie z.B. Klassenleitung 8c, Medienbeauftragte, Oberstufenkoordinator, Vorsitzender des Lehrerrates oder
  • Daten zur dienstliche Erreichbarkeit wie dienstliches Telefon, dienstliches E-Mail usw.

Alle außer dem Namen im Tweet genannten Informationen zählen definitiv nicht zu diesen Daten.

Möchte die Schulleitung also eine Liste wie im Tweet beschrieben, erstellen und weitergeben ans Kollegium, braucht es eine Einwilligung und diese sollte eine Auswahl zulassen, welche Daten in die Liste aufgenommen werden dürfen und ggf. in welcher Form. Die folgende Vorlage für eine Einwilligung berücksichtigt diesen Aspekt und ist um eine alternative Form ergänzt, wie die Einwilligungen etwas unbürokratischer eingeholt werden könnten.

Tipps zur Datensicherheit auf privaten Endgeräten überarbeitet

Lesezeit: < 1 Minute

Die Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken ist nun schon über ein Jahr verbindlich vorgegeben für Lehrkräfte in NRW. Für viele Lehrkräfte ist die Situation bezüglich der Verarbeitung von personenbezogenen Daten von Schülern auf eigenen Geräten noch immer nicht zufriedenstellend geklärt. An einigen Schulen geht auch jetzt noch nichts. Entweder die Schulleitungen verweigern die Unterschrift unter die Genehmigung oder die Lehrkräfte wollen sie nicht einholen. Man darf deshalb gespannt sein, ob es mit der anstehenden Änderung in §§120-22 SchulG NRW und dem finalen Rollout von Logineo NRW noch einmal Änderungen am Genehmigungsformular geben wird. Änderungen sind durchaus möglich, da der Genehmigungsvordruck noch immer in der Kritik steht, vor allem bezüglich des Haftungspassus, und das MSB zum anderen bestrebt sein dürfte, weitere personenbezogene Daten zur Verarbeitung auf privaten Endgeräten zuzulassen1Letzteres ist eine Vermutung, die vor allem auf der Entwicklungsgeschichte von Logineo NRW beruht. Der Daten Safe kann ohne eine Erweiterung der für eine Verarbeitung auf privaten Endgeräten zugelassenen Daten nie im geplanten Sinne genutzt werden und wäre damit als Konstrukt mehr oder weniger hinfällig..

Auch wenn noch immer Schulen und Lehrkräfte die Genehmigung verweigern, so gibt es doch auch solche, die dann irgendwann doch den Schritt gehen und die Genehmigung geben bzw. einholen. Die Tipps helfen dabei, die in Teil B – Datensicherheit der Genehmigung geforderten Maßnahmen zum Schutz der auf dem privaten Endgerät verarbeiteten Daten zu gewährleisten. Da sich seit der Erstellung der Tipps Anfang 2018 wieder einiges getan hat bei den großen Betriebssystemen – Windows, Mac OS, Linux, iOS und Android2Chrome OS fehlt hier, da dieses Betriebssystem komplett Cloud basiert ist und eine Nutzung für die Verarbeitung von personenbezogenen Daten aus der Schulverwaltung gegenwärtig aus datenschutzrechtlicher Sicht nicht vertretbar ist. – gibt es die Tipps jetzt in einer aktualisierten Version.

US Schulen und Schulverwaltungen Opfer von Ransomware

Lesezeit: 2 Minuten

2019 ist ein Jahr, in welchem weltweit zahllose Firmen, Krankenhäuser sowie kommunale und städtische Verwaltungen Opfer von Ransomware Angriffen wurden. Bereits im August gab es dazu unter dem Titel Ransomware auch für Schulen ein Thema einen Beitrag. Wie aus den USA berichtet wird, gehören zu den Opfern auch Schulen und Schulaufsichtsbehörden. Eine Sicherheitsfirma geht nach eigenen Untersuchungen von etwa 500 betroffenen Institutionen im schulischen Bereich verschiedener Bundesstaaten aus. Fachleute erwarten für 2020 sogar noch eine Zunahme an Ransomware Angriffen, denn die Angreifer haben in vielen Fällen Erfolg und die Opfer zahlen.

Wie die Erfahrungen der Vergangenheit zeigen, kommt, was in den USA beginnt, irgendwann auch vermehrt nach Europa. Im Bereich der Wirtschaft sind bereits Fälle aus Deutschland bekannt. Auch Krankenhäuser waren schon betroffen. Von daher sollten Schulen gewappnet sein. Verschlüsselt Ransomware die Rechner einer Schulverwaltung, hat dieses dramatische Folgen, da heute nahezu alle Verwaltungsabläufe in Schulen digital abgebildet werden. Zwar gibt es auch noch Akten in Papierform, doch diese betreffen vor allem Unterlagen, welche nicht digital verarbeitet werden dürfen oder welche analog empfangen und versandt wurden. Das Schülerstammblatt ist im Papierformat in der Regel nicht immer auf dem aktuellsten Stand. Was, wenn eine Schule Ransomware in der Zeugniszeit zum Opfer fällt? Zeugnisse werden heute überwiegend digital erstellt und ihre Daten werden in der Schulveraltungssoftware gesammelt.

Vorbeugen ist besser

Im Beitrag Ransomware auch für Schulen ein Thema gibt es umfassende Hinweise, wie eine Schule sich durch geeignete technische und organisatorische Maßnahmen vor Ransomware schützen kann. Besonders wichtig ist eine gute Backup Strategie. Es sollte immer ein aktuelles Backup geben, welches a) möglichst nicht in der Schule selbst gespeichert bzw. gelagert ist und b) entweder physikalisch komplett getrennt ist von den Systemen, auf welchen die Schulverwaltung läuft (separater Datenträger oder Festplatte, die vom System getrennt werden), oder technisch so eingerichtet ist, dass die Ransomware nicht auch das Backup befallen kann.

Das Einholen von Einwilligungen attraktiv gestalten

Lesezeit: 2 Minuten

Das Thema Einwilligungen bereitet nahezu jeder Schule Bauchschmerzen. Sämtliche Verarbeitung von personenbezogenen Daten, für die es keine rechtliche Grundlage aus dem Schulgesetz gibt, braucht es die Einwilligung der Betroffenen. Mit zunehmender Digitalisierung von Unterricht nimmt so die Zahl der erforderlichen Einwilligungen zu, zusätzlich zu den bereits seit Jahren erforderlichen für Öffentlichkeitsarbeit über die Homepage der Schule und die lokale Presse. Das Einholen von Einwilligungen bei den Betroffenen ist ein Rechtsakt und die Formulare, welche dafür genutzt werden, sind entsprechend wenig ansprechend.

Gerade wenn es um die schulische Arbeit mit Medien, Apps und Plattformen geht, bietet es sich an, das Einholen der erforderlichen Einwilligungen mit Informationen zu verbinden, welche den Eltern einen lebendigen Eindruck von der Medienarbeit gibt. Man verbindet das Notwendige mit dem Schönen und gibt so dem Thema Datenschutz einen sinnstiftenden Rahmen.

Eine Möglichkeit, dieses umzusetzen bietet sich mit der folgenden Vorlage. Diese ist als ein kleines mehrseitiges Heft gestaltet, welches neben der Medienarbeit im Unterricht auch noch das Thema Öffentlichkeitsarbeit beinhaltet. Im Anhang finden sich umfangreiche Hinweise zur Nutzung und Anpassung. Das Heft ist ausgelegt für Grundschulen und der Einsatz bietet sich vor allem bei der Anmeldung neuer Schüler an, entweder im Rahmen der Anmeldung selbst, bei einem Kennenlernnachmittag oder einem Elternpflegschaftsabend.

DinA4 Version

Beinhaltet: Erstellung und Nutzung von Foto, Video und Audio im Unterricht, Nutzung von Antolin und Anton, Vorführung und Weitergabe von Medienprodukten aus dem Unterricht, Veröffentlichungen auf der Schulhomepage und in der Presse.

DinA5 Version

Für diese Version wurde das Layout von Steffie Maurer auf A5 so angepasst, dass die Seiten auf A4 gedruckt und dann geheftet werden können. Die Seiten für die gesammelten Entscheidungen und die eigentliche Einwilligung kann man den obigen DinA4 Versionen entnehmen. (Auch im PDF könnte man mit einem geeigneten Programm die eigene Schule, den Namen der Schulleitung, den Datenschützer und die Anschrift der Schule ergänzen.)

Swift Publisher Version (DinA5)

Notfallinformationen für eine Klassenfahrt abfragen

Lesezeit: < 1 Minute

Vor allem wenn es auf eine längere Klassenfahrt geht, ist es sinnvoll, Notfallinformationen bei den Erziehungsberechtigten abzufragen.1Diese Abfrage geht davon aus, dass entsprechende Informationen nicht bei der Anmeldung an der Schule eingeholt worden sind oder man einfach nur auf Nummer sicher gehen möchte, dass die Informationen aktuell sind. Das erlaubt es den begleitenden Lehrkräften im Falle eines Falles, den Anweisungen der Erziehungsberechtigten entsprechend zu handeln. Abgefragt werden so sinnvollerweise eventuell bestehende Erkrankungen und regelmäßige Medikamenteneinnahmen sowie Kontaktinformationen, welche es erlauben, die Erziehungsberechtigten für die Zeitdauer der Klassenfahrt rund um die Uhr zu erreichen. Die Vorlage ist dafür ausgelegt, die ausgefüllten Vordrucke in einen Umschlag gepackt mit auf die Klassenfahrt zu nehmen. Für den Fall, dass beabsichtigt ist, diese Information auf den Smartphones der begleitenden Lehrkräfte zu speichern, finden sich im Anhang zur Vorlage weitere Informationen und Textbausteine zur Anpassung.

Austausch von Grundschule und Kita

Lesezeit: < 1 Minute

Zwischen Grundschule und weiterführenden Schulen findet ein regelmäßiger Austausch statt. Es geht darum, dass Lehrkräfte der Grundschulen ihren Kolleginnen und Kollegen an den aufnehmenden weiterführenden Schulen hilfreiche Informationen zu den ehemaligen Grundschülern geben. Dieses findet im Rahmen von Erprobungsstufenkonferenzen statt und ist durch § 120 Abs. 5 Satz 1 SchulG NRW legitimiert. Es braucht also keine Einwilligung der Erziehungsberechtigten.

Anders sieht dies aus, wenn Informationen zwischen Kita und Grundschule ausgetauscht werden sollen. Möchte die Kita der Grundschule schriftliche Unterlagen aus ihrer Dokumentation an die Grundschule übergeben, so braucht es dazu eine Einwilligung der Erziehungsberechtigten in die Übermittlung von personenbezogenen Daten. Diese muss gegenüber der Kita abgegeben werden, da sie in diesem Fall die Daten verarbeitende Stelle und damit verantwortlich ist.

Geht es nur um einen mündlichen Austausch, so reicht dafür eine Entbindung von der Schweigepflicht. Diese kann auch von Seiten der Grundschule eingeholt werden. Die Vorlage ist entsprechend ausgelegt. Nach den Hinweisen zur Nutzung folgt eine Alternativversion mit einer kleinen Abänderung bezüglich der Angabe der Kita. Statt einer handschriftlichen Eintragung durch die Eltern, kann die Schule hier eine Liste der infrage kommenden Kitas anlegen und die Eltern kreuzen dort die Kita ihres Kindes an.

Benötigt die Schule eine Entbindung von der Schweigepflicht für einen Facharzt oder eine andere Person oder Stelle, dann empfiehlt es sich, ein anderes Formular zu nutzen oder das obige entsprechend abzuwandeln.

Braucht es für externe Mitarbeiter eine andere Einwilligung?

Lesezeit: 2 Minuten

Eine Schule möchte ein Jahrbuch herausgeben und darin auch Fotos der Sekretärinnen, der Hausmeister und von Mitarbeitern eines kommunalen IT Dienstleisters, der die Schul IT betreut, veröffentlichen. Die folgende Frage kam dabei auf:

„Die zuständige Kollegin des Jahrbuch-Teams fragte daher nun nach einer Datenschutzerklärung speziell für die Mitarbeiter des Schulträgers. Gibt es hier eine Datenschutzerklärung vom Kreis, die wir zu diesem Zweck verwenden können?“

Das Jahrbuch wird von der Schule erstellt. Sie ist also die datenverarbeitende Stelle und damit Verantwortlicher. Eine Einwilligung in die Verarbeitung von personenbezogenen Daten wird immer gegenüber dem Verantwortlichen abgegeben. Von daher nutzen alle Personen, welche in das Jahrbuch aufgenommen werden eine Einwilligung der Schule. Der Schulträger, welcher Dienstherr der Mitarbeiter im Schulsekretariat ist, hat aus datenschutzrechtlicher Sicht mit dieser geplanten Verarbeitung nichts zu tun. Die Informationen bezüglich der geplanten Datenverarbeitung können deshalb auch nicht von ihm kommen, sondern müssen von der Schule vorgelegt werden.

Für ein Jahrbuch werden Fotos der Personen in der Schule benötigt. Wenn beispielsweise von den Schülern bereits Fotos vorliegen, etwa für die Nutzung in der Schulverwaltung, kann man diese Fotos durchaus nutzen, sollte dafür jedoch eine Einwilligung, die für den Zweck der Veröffentlichung in einem Jahrbuch ausgelegt ist, einholen. Falls bereits eine Einwilligung für einen sehr ähnlichen Verarbeitungszweck vorliegt, etwa die Erstellung einer Festschrift, dann braucht es keine gesonderte Einwilligung mehr. Allerdings müssen die Betroffenen über eine Zweckänderung informiert werden.1siehe auch Art. 13 Abs. 3 DS-GVOBeabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.“
Sehr weit ausgelegt, bräuchte man hiernach nicht einmal eine ausdrückliche Einwilligung einholen, auch wenn der Verarbeitungszweck deutlich vom ursprünglichen abweicht, wie am Anfang des Abschnitts beschrieben. Hier muss die Schule letztlich selbst entscheiden, wie man verfährt. Eine Information ist auf jeden Fall erforderlich, und diese sollte vorweg erfolgen.
Dieses würde ihnen dann auch die Möglichkeit eröffnen, der geplanten Zweckänderung zu widersprechen.

In der Regel werden die für die Erstellung des Jahrbuchs benötigten personenbezogene Daten gelöscht, sobald der Verarbeitungszweck erreicht, der Druck des Buches abgeschlossen ist. Davon ausgenommen sind Daten, welche der Schule bereits vorlagen, etwa Name und Klassenzugehörigkeit. Diese Daten werden aus dem Programm gelöscht, mit welchem das Jahrbuch erstellt wurde, nicht jedoch aus der Schulverwaltung. Dort gelten weiterhin die schulrechtlichen Aufbewahrungs- und Löschfristen. Gleiches würde auch für Fotografien gelten, welche die Schule bereits auf der Grundlage einer anderen Einwilligung verarbeitet.

Ein Beispiel für eine anlassbezogene Einwilligung für die Erstellung eines Jahrbuchs: