Windows 7 Support endet Anfang 2020

Lesezeit: < 1 Minute

In einigen Schulverwaltungen laufen noch immer PCs mit dem Betriebssystem Microsoft Windows 7. Dieses wird demnächst nicht mehr unterstützt. Bei Microsoft heißt es dazu1Ende des Supports für Windows 7:

“Ab dem 14. Januar 2020 stellt Microsoft weder Sicherheitsupdates noch technischen Support für Windows 7 zur Verfügung.”

Ein veraltetes Betriebssystem ist auch ein Datenschutz-Thema. In der Schulverwaltung werden personenbezogene Daten von Schülerinnen und Schülern, von Eltern und Lehrkräften verarbeitet, darunter auch sehr sensible Daten. Eine Verarbeitung von personenbezogenen Daten setzt nach §2 Abs. 1 SchulG NRW2(1) Die automatisierte Verarbeitung der personenbezogenen Daten ist zulässig auf ADV-Arbeitsplätzen und in Netzwerken, die für Verwaltungszwecke eingerichtet sind, auf sonstigen schulischen ADV-Anlagen und in sonstigen Netzwerken, wenn jeweils über die Konfiguration die Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Revisionsfähigkeit und
Transparenz gemäß § 10 des Datenschutzgesetzes Nordrhein-Westfalen
gewährleistet sind.
3Eine vergleichbare Vorgabe zu technischen und organisatorischen Maßnahmen findet sich in Art. 32 DS-GVO. voraus, dass durch geeignete technische und organisatorische Maßnahmen der Schutz und die Sicherheit dieser Daten gewährleistet ist.

Mit Windows 7 wird dieses nach dem 14. Januar 2020 nicht mehr möglich sein.4Ausnahme: der Schulträger bezahlt Microsoft für weitere Sicherheitsupdates und technischen Support. Dann ließe sich eine Nutzung unter Einhaltung der Vorgaben des Schulgesetzes NRW und der DS-GVO noch bis 2023 vertreten. Es reicht auch nicht, sich hier auf einen guten Virenschutz zu verlassen. Sobald ein Betriebssystem keine Sicherheitsupdates mehr erhält, steigt mit jedem neu entdeckten Sicherheitsleck das Risiko, dass Dritte ohne Berechtigung Zugriff auf die Daten der Schule erhalten, diese entwenden, verändern oder zerstören können.

Von daher ist es Schulen dringend zu empfehlen, sich mit dem Schulträger in Verbindung zu setzen und das Upgrade auf eine neuere Version des Betriebssystems, bei den meisten Schulen vermutlich Windows 10, frühzeitig zu planen, so dass dieses spätestens in den Weihnachtsferien zum Ende diesen Jahres in Angriff genommen werden kann.5System Administratoren sollten hierbei bedenken, Windows 10 durch entsprechende Maßnahmen ausreichend zu härten, um die Sicherheit des Systems zu erhöhen. Siehe hierzu SiSyPHuS Win10: Studie zu Systemaufbau, Protokollierung, Härtung und Sicherheitsfunktionen in Windows 10 des BSI

Weitere Informationen: Ende des Supports für Windows 7

 

Datenschutz – ein Quiz mit Kahoot für Fortbildungen

Lesezeit: < 1 Minute

Für Fortbildungen von Lehrkräften und zur Sensibilisierung für datenschutzrechtliche Fragen im Schulalltag gibt es nun ein Kahoot Quiz mit 25 Fragen.

Ergänzend dazu gibt es zu jeder Frage Erläuterungen mit den rechtlichen Hintergründen, bezogen auf die Rechtslage in NRW. Der Quiz kann auch in anderen Bundesländern genutzt werden, da die Rechtslage überwiegend ähnlich ist. Die Erläuterungen als PDF und in anpassbaren Versionen.

Sollte sich die Rechtslage durch Anpassungen des Schulgesetzes oder der Verordnungen zur Datenverarbeitung ändern, werden Quiz und Erläuterungen aktualisiert.

Hinweis:

Wer eine datenschutzfreundlichere Version des Quiz für Moodle erstellen möchte, kann auf Nachfrage eine Sicherungsdatei der Aktivität erhalten, welche eine Kollegin für Logineo NRW LMS erstellt hat.

Moodle Logo unter  GNU General Public License, Quelle: Wikimedia

Online Terminabstimmung – DS-GVO freundlich

Lesezeit: 4 Minuten

Termine für den Elternsprechtag lassen sich heute leicht über das Internet abstimmen. Dafür gibt es mehrere Möglichkeiten. Nicht alle sind aus Sicht des Datenschutzes gleich gut.

Doodle und Co.

Doodle

Das im Tweet angesprochene Doodle ist ein Unternehmen aus der Schweiz und müht sich schon um ein Angebot, welches sich datenschutzkonform einsetzen lässt. Wie die Datenschutzerklärung zeigt, braucht das Unternehmen jedoch eine ganze Reihe von Diensten, welche auf die Daten der Nutzer zugreifen, teilweise in anonymisierter Form. Zudem ist es möglich Doodle mit Kalendern zu koppeln und darüber Nutzer per E-Mail einzuladen. Auch wenn die genutzten Server in Irland und Deutschland stehen und die verschiedenen Datennutzungen in der Datenschutzerklärung sauber ausgewiesen sind, sollte man für Schule eine datensparsamere Alternative nutzen. Ähnliches lässt sich bezüglich Datenschutz übrigens auch für die Terminabfrage und Umfrage Plattform des deutschen Anbieters Xoyondo sagen.

Dudle

Eine solche Alternative ist Dudle von der TU Dresden. Das Angebot lässt sich sehr datensparsam einsetzen, auf Wunsch personalisieren1Mit der Personalisierung werden mehr personenbezogenen Daten erforderlich für die Nutzung. oder auch komplett anonym nutzen.

DFNTerminplaner

Ebenfalls ohne kommerzielle Interessen wird das Online Tool zur Abstimmung von Terminen,  DFNTerminplaner, vom Verein zur Förderung eines Deutschen Forschungsnetzes e. V. betrieben. Es kommt in verschiedenen Versionen. Die einfachste Version lässt sich sehr datensparsam nutzen und ist vergleichbar zur anonymen Version von Dudle.2DFN Terminplaner basiert auf Foodle, einer Entwicklung aus Norwegen. Wer das Tool selbst auf einem Server betreiben möchte, findet es auf Github unter Uninett/ Foodle.

Terminplaner

Auf der gleichen Plattform wie der DFNTerminplaner basiert auch der Terminplaner, der von IT.NRW zur kostenlosen Nutzung zur Verfügung gestellt wird. Entsprechend sind Bedienung und Funktionalitäten nahezu identisch. Die von IT.NRW bereitgestellte Version entspricht dem einfachen DFNTerminplaner. Die weiteren dort angebotenen Versionen mit zusätzlicher Funktionalität gibt es hier nicht.

Nuudel – Umfragen bei digitalcourage

Seit Mitte 2019 gibt es noch einen Anbieter, welcher den Terminplaner in eigener Regie anbietet. Das ist der Verein digitalcourage. Unter Nuudel findet sich der bekannte Terminplaner und ein Umfragetool. Die Erstellung und Nutzung ist komplett anonym möglich.

TerminO

TERMINO ist eine Plattform zur Abstimmung von Terminen, speziell – aber nicht nur – für Mitarbeiter*innen im öffentlichen Dienst Österreichs. Die Plattform setzt auf der bekannten, auch vom DFNTerminplaner genutzten Software auf.

Letsfind

Hinter Letsfind verbirgt sich eine Plattform zur Terminabstimmung aus der Schweiz. Es handelt sich um eine Eigenentwicklung. Letsfind kann auch Text-Umfragen durchführen. Die Nutzung ist kostenlos. Umfragen werden über einen Link weitergegeben. Über einen speziellen Link kann die Umfrage zur erneuten Bearbeitung aufgerufen werden. Auch die Ergebnisse haben einen eigenen Link. Wer möchte, kann eine E-Mail Adresse hinterlegen für Benachrichtigungen zur Umfrage.

Dudl, DFNTerminplaner, Terminplaner und Letsfind aus datenschutzrechtlicher Sicht

Auch wenn man davon ausgehen kann, dass sowohl die Betreiber von Dudl als auch von DFNTerminplaner und Terminplaner ihre Online Terminabfrage Seiten ohne kommerzielle Interessen betreiben und die personenbezogenen Daten der Nutzer nur entsprechend ihrer Datenschutzerklärungen verarbeiten, bewegt man sich aus datenschutzrechtlicher Sicht vermutlich in einem Graubereich, wenn man diese Möglichkeit zur Planung von Elternsprechtagen nutzt. Aus datenschutzrechtlicher Sicht könnte man argumentieren, dass für diese Terminabfragen ein Vertrag zur Auftragsverarbeitung mit den Anbietern abgeschlossen werden müsste, da ähnlich wie bei der Schulhomepage personenbezogene Daten der Besucher verarbeitet werden.3 Bei Dudel können dieses sein:
– In Umfragen eingegebene Daten (z.B. Titel der Umfrage, Namen der Teilnehmer, Verfügbarkeiten, Kommentare)
– IP Adresse
– Name der abgerufenen Datei
– Datum und Uhrzeit des Abrufs
– Meldung, ob der Abruf erfolgreich war
– verwendeter Browser
– verwendetes Betriebssystem

Empfehlung

Wenn man als Lehrkraft den Eltern eine Online Terminabstimmung für einen Elternsprechtag anbieten möchte, so sollte man dafür auf eine Lösung wie Doodle definitiv verzichten. Zwar sieht die Terminabstimmung für Eltern dort nicht wesentlich anders aus als bei Dudel, DFNTerminplaner oder Terminplaner – Name eintragen und Termin wählen, doch was die Eltern nicht sehen, Doodle greift deutlich mehr Daten ab, wenn der Termin ausgewählt wird. Besser sind hier dann Dudel oder der DFNTerminplaner. Sie können, wenn man die Daten der Person, welche die Terminabfrage erstellt, minimieren möchte, in der anonymen Form genutzt werden. Den Link kann man den Eltern per Schulmail mitteilen oder auf einem Zettel mit einem QR Code. Bei einem Einsatz von Dudl oder DFNTerminplaner durch eine Schule sollten den Eltern auf jeden Fall Informationen zur Datenverarbeitung auf der jeweiligen Plattform gegeben werden.4Das könnte etwa in dieser Art erfolgen. “Liebe Eltern zur Terminabstimmung für den Elternsprechtag am … nutzen wir das Online Tool …. von der Universität … Bei der Nutzung werden außer einer Eingabe des Nachnamens und der Wunschtermine folgende Informationen über den Browser erhoben: … Der … Anbieter sichert über seine Datenschutzerklärung (verlinken!) zu, dass diese Daten nicht für andere Zwecke als die Terminplanung und den technischen Betrieb der Plattform genutzt werden. Falls Sie das Online Tool nicht nutzen möchten, können Sie Ihre Terminwünsche auf folgendem Weg rückmelden …” So können sie selbst entscheiden, ob sie das Tool nutzen wollen oder statt dessen eine Terminrückmeldung über Papier oder E-Mail wünschen.

Hinweis
Die Nutzung einer Online Terminabfrage kann in jedem Fall nur auf freiwilliger Basis erfolgen.5Aus schulrechtlicher Sicht lässt sich keine Verpflichtung zur Nutzung eines solchen Tools ableiten. Eltern, welche diese Möglichkeit nicht nutzen wollen oder können, muss ein alternativer Weg angeboten werden.

Besser noch als kleine Lösungen, bei denen jede Lehrkraft ihre eigene Online Terminabfrage erstellt, sind sicherlich schulische Gesamtlösungen, die datenschutzrechtlich sauber aufgestellt sind. Dazu gehören kostenpflichtige Plattformen wie der Schulmanger Online, der ein eigenes Elternsprechtag Modul bietet, dessen Funktionen über eine einfache Terminabstimmung hinaus gehen. Für eine Schule ist eine derartige Lösung aus Sicht des Datenschutz die sauberste Lösung, da mit dem Anbieter ein Vertrag zur Auftragsverarbeitung abgeschlossen werden kann und die Verwendung der personenbezogenen Daten der erstellenden Personen wie auch der Eltern eindeutig geregelt ist.

Weiter lesen

Stand 09/2020

Wie kann Schule das Problem mit E-Mails und Datenschutz pragmatisch lösen?

Lesezeit: < 1 Minute

E-Mail ist ein wichtiges Kommunikationsmittel für Schulen, stellt sie aber gleichzeitig wegen der datenschutzrechtlichen Anforderungen für eine sichere Übermittlung von personenbezogenen Daten vor enorme, teilweise nicht lösbare Probleme. Im Themen Beitrag E-Mail Kommunikation sicher nutzen stelle ich pragmatische Lösungen vor, die für Schulen und Lehrkräfte umsetzbar sein sollten, ohne großes Expertenwissen, damit so etwas wie in der Grafik dargestellt, garantiert nicht vorkommt.

E-Mails werden mit Inhalten, die personenbezogene Daten aus der Schule enthalten, ohne jeglichen Schutz von einer privaten E-Mail Adresse an die Schule verschickt – ein absolutes NO GO.

Sonderfall Video- und Tonaufzeichnung in der Lehrerausbildung (NRW)

Lesezeit: 2 Minuten

Will man im Unterricht mit Schülern eine Video- und Tonaufzeichnung anfertigen, so braucht man dafür entsprechend § 3 Abs. 2 Satz 1 VO-DV I eine Einwilligung der Betroffenen1“Nicht in den Anlagen aufgeführte Daten dürfen nur erhoben werden, wenn die oder der Betroffene eingewilligt hat.”.

Hinweis!
Bitte berücksichtigen Sie bei den folgenden Informationen, dass die dort beschriebene Vorgabe des Schulgesetzes mit der DS-GVO nicht mehr wirklich vereinbar ist. Entsprechend wird sie mit der geplanten Änderung des Schulgesetzes zukünftig entfallen. Es ist von daher schon jetzt kein Fehler, von Schülern und Lehrkräften eine Einwilligung einzuholen. Stand 09/2019.

Bei der Anfertigung von Video- und Tonaufzeichnungen gibt es allerdings in Schulen in NRW eine Ausnahme, bei welcher keine Einwilligung erforderlich ist. Das ist die Anfertigung von Video- und Tonaufzeichnungen im Rahmen der Lehrerausbildung. In §120 Abs. 3 Satz 2 heißt es:

“Für Zwecke der Lehrerbildung sowie der Qualitätsentwicklung und Qualitätssicherung dürfen vom Ministerium genehmigte Bild- und Tonaufzeichnungen des Unterrichts erfolgen, wenn die Betroffenen rechtzeitig über die beabsichtigte Aufzeichnung und den Aufzeichnungszweck informiert worden sind und nicht widersprochen haben.”

Video- und Tonaufnahmen des Unterrichts stellen eine besondere Situation dar, weil Schüler und Lehrkräfte sich diesen im Klassenraum nicht entziehen können, da der Unterricht in der Regel verpflichtend ist. Aus diesem Grund ist es besonders wichtig, dass man die in Abs. 3 Satz 2 aufgeführten Vorgaben sorgfältig beachtet. Diese sind Vorgaben sind:

  1. Es muss vorab eine Genehmigung für die beabsichtigte Video- oder Tonaufzeichnung beim MSB eingeholt werden.
  2. Die Betroffenen (Schüler und Lehrkräfte) sind rechtzeitig zu informieren über
    1. die beabsichtigte Aufzeichnung und
    2. den Aufzeichnungszweck
  3. Es ist keine Einwilligung erforderlich, aber den betroffenen Schülerinnen und Schülern bzw. deren Eltern muss die Möglichkeit gegeben werden, von ihrem Widerspruchsrecht Gebrauch zu machen. (Für Lehrkräfte existiert dieses Widerspruchsrecht nicht.)2Ein solches Widerspruchsrecht haben die Lehrkräfte gemäß § 121 Abs. 1 Satz 2 SchulG dagegen nicht (vgl. unter Erl. 1.2 zu § 121 SchulG) in Kommentar zum SchulG NRW, März 2015, Katernberg

Die praktische Umsetzung

Die Information sollte schriftlich erfolgen. So lässt sich dokumentieren, dass entsprechend der Vorgaben informiert wurde. Bei der praktischen Umsetzung sollten folgende Punkte bedacht werden:

  1. Vorab bedeutet eine frühzeitige Planung. Die Adresse beim Ministerium für Schule und Bildung, an welche der Genehmigungsantrag zu richten ist, sollte bei den ZFSL bekannt sein.
  2. Auch die Information der betroffenen Schüler und Lehrkräfte sollte zeitig genug erfolgen. Bevor man hier aktiv wird, sollte man eventuell die erteilte Genehmigung des Ministeriums abwarten.
    1. Angegeben werden sollte hier, wer die Aufzeichnung machen möchte (Name des/ der LAA), an welchem Datum, in welchem Fach, eventuell in welcher Stunde, (zusätzlich angeben sollte man u.U. auch, wie lange die Aufzeichnungen aufbewahrt werden),
    2. wofür die Aufzeichnung gemacht (z.B. Beobachtung des Lehrerfeedbacks, Beobachtung des Umgangs mit Unterrichtsstörungen durch die Lehrkraft) wird und wer die Aufzeichnung sehen wird (z.B. die Mitglieder des Fachseminars Deutsch am ZFSL Dortmund)
  3. Im Informationsschreiben sollte direkt eine Möglichkeit gegeben werden, vom Widerspruchsrecht Gebrauch zu machen.

Es empfiehlt sich, im Informationsschreiben darauf hinzuweisen, dass Schüler jederzeit von ihrem Recht auf Widerspruch Gebrauch machen können, auch wenn die Eltern von Schülern unter 14 Jahren selbst davon keinen Gebrauch gemacht haben. Außerdem sollte klar sein, dass es keine Nachteile für Schüler hat, wenn sie nicht aufgezeichnet werden möchten.

Das folgende Formular kann leicht für die eigene Situation angepasst werden. Es findet sich auch im Download Bereich.

Dürfen Gäste bei Schulveranstaltungen Fotos machen?

Lesezeit: 7 Minuten

Vor ein paar Monaten machte sich noch niemand Gedanken, ob es wohl rechtmäßig ist, wenn Besucher bei einer Schulveranstaltung Fotos machen. Es war normal, dass bei Schulfesten, Einschulungsfeiern, Schulentlassungen und ähnlich Eltern die Veranstaltung in in Form von Fotos und teilweise auch Videos festhielten. War das in der Vergangenheit auf einige wenige foto- oder videobegeisterte Eltern beschränkt, so ist heute fast jeder mit dabei. Und anders als früher landen einige der entstandenen Medien auch schnell in sozialen Netzwerken. Man möchte die Freude teilen und die Fotos und Videos auch anderen, die dabei waren, zur Verfügung stellen.

Eltern fotografieren ihre Kinder bei einer Entlassfeier in der Aula der Schule mit ihren Smartphones.

Seit Beginn der Umsetzung der DS-GVO am 25.05.2018 herrscht an mancher Schule herrscht große Unsicherheit, ob die bisherige Praxis so weiter Bestand haben kann, braucht die Schule selbst doch Einwilligungen der Erziehungsberechtigten für das Anfertigen von Fotos von Schülerinnen und Schülern. In Folge untersagten dann Schulen Eltern das Fotografieren bei Schulveranstaltungen. Über die Medien bekannt geworden sind mehrere solche Fälle, z.B. im Raum München, wo eine Schule Eltern das Fotografieren auf dem Schulgelände grundsätzlich verbietet, und in der Lausitz, wo die Schulleitung Teilnehmern der Einschulungsfeier Fotos und Video im Kulturhaus und auf dem Schulgelände untersagt. Auch ein bayrisches Schulamt empfiehlt Schulen, dass Eltern das Fotografieren nicht mehr erlaubt werden soll. Verwiesen wird in allen Fällen auf die DS-GVO.

Im Schulamt Cottbus hält man ein generelles Fotografierverbot für nicht angemessen, sieht jedoch die Erfordernis einer vorherigen Einwilligung durch alle Eltern1“Ein generelles Fotografierverbot wäre nicht angemessen und würde bei den Eltern auf Unverständnis stoßen. Um allerdings Fotos machen zu können, bräuchte man das Einverständnis aller Eltern“, sagt Gerald Boese.” Schulanfang 2018 und die DSGVO – Grundschule verbietet Eltern Fotos bei Einschulungs-Feier und verweist sonst auf die Möglichkeit, Fotos außerhalb der Veranstaltung zu machen.

Die rechtliche Seite

Grundsätzlich kann die Schulleitung durch ihr Hausrecht tatsächlich Besuchern das Anfertigen von Fotos und Videos auf dem Schulgelände untersagen. Doch ist das zur Einhaltung der Vorgaben der DS-GVO tatsächlich erforderlich?

Bei der Anfertigung von Fotografien und Videos auf schulischen Veranstaltungen geht es rechtlich um zwei verschiedene Dinge, das Anfertigen selbst und die Veröffentlichung.

Der bayrische Datenschutzbeauftragte Thomas Petri sieht kein Problem darin, wenn Eltern Fotos ihrer Kinder anfertigen und andere Kinder auf diesen Fotos als “Beiwerk” erscheinen. Allerdings macht es, wenn es um das Veröffentlichen in sozialen Netzwerken geht, seiner Meinung nach schon einen Unterschied, ob die Fotos irgendwo entstehen oder in einer Schule.

“Das Veröffentlichen von Fotos, die bei Schulveranstaltungen gemacht wurden, ist etwas heikler: Denn die Schule ist ein besonders geschützter Rahmen. Für das private Familienalbum ist das Fotografieren ok. Anders bei einer Veröffentlichung auf Facebook. Dann müssen Eltern mit Haftungsrisiken leben, wenn sich Eltern anderer mit abgebildeter Kinder gegen die Veröffentlichung zur Wehr setzen.” 2Datenschutz bei Kindern; Wenn Schulen und Kitas das Fotografieren verbieten, 05.07.2018

Genau in die gleiche Richtung argumentiert auch Thomas Stadler, ein Fachanwalt für IT- Recht, in seinem Beitrag “Fordert der Datenschutz ein Fotografierverbot auf Schulfesten?” Er sieht keine Erfordernis für ein Verbot, da sich aus der DS-GVO kein solches ableiten lasse. Vielmehr sieht er eine Anwendbarkeit der Datenschutz Grundverordnung in derartigen Fällen für nicht gegeben, wenn die Anfertigung der Fotos ausschließlich persönlichen und familiären Zwecken dient.

Art. 2 Abs. 2 c) DSGVO besagt, dass der Anwendungsbereich der Verordnung nicht eröffnet ist, wenn natürliche Personen personenbezogene Daten zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten erheben. Das trifft auf das Fotografieren auf Schulveranstaltungen zu rein privaten Zwecken unzweifelhaft zu.”

Nicht unerwähnt bleiben soll an dieser Stelle, dass es zu dieser Frage auch andere Sichtweisen gibt. Kevin Leibold, Dipl. Jurist für Datenschutzrecht, IT-Recht und Urheberrecht ist der Meinung, dass die Anfertigung von Fotografien bei Schulfeiern durch die DS-GVO geregelt wird, da sie nicht unter die in Art. 2 Abs. 2c) beschriebene Ausnahme fällt:

“Auch für das Anfertigen der Fotos für bspw Schulfeiern ist mE nicht die Ausnahme nach Art. 2 Abs. 2 lit. c #DSGVO einschlägig. So sieht es auch der EuGH-C-212/13 wonach diese Ausnahme eng auszulegen ist und die Miterfassung des öffentlichen Raumes dies ausschließt #heiseshow”3via Twitter https://twitter.com/kleibold23/status/1024966626792353792

Wie Aussagen des Thüringer Datenschutzbeauftragte Hasse 4Der Beitrag ist mittlerweile nicht mehr verfügbar.[ 29.08.2020/mfn] zeigen, vertritt er diese Ansicht nicht alleine und fasst die Vorgaben sogar noch enger5“Da hat der Europäische Gerichtshof einen Riegel vorgeschoben indem er sagt, privat und familiärer Umkreis bedeutet, dass es im familiären und privaten Umkreis desjenigen der die Fotos macht, passiert. Dieser Kreis ist aber verlassen, wenn der Fotografierende oder Videografierende außerhalb dieses Kreises Aufnahmen macht. Also im öffentlichen Verkehrsraum oder dem Nachbargrundstück. Dann braucht man eine Einwilligung. Auch dann, wenn ich diese Bilder nicht veröffentlichen will.”; Kinderfotos schwärzen – muss das sein?; MDR Jump 02.08.2018 (Zitierte Seite ist mittlerweile nicht mehr online.). Die aktuelle Diskussion tendiert momentan allerdings etwas mehr in Richtung der Auffassung von Herrn Stadler.6Siehe auch die Diskussion auf Twitter, die auf Seite 2 dieses Beitrags wiedergegeben ist. Die Auslegung von Art. 2 Abs. 2c) hat schon viele Experten beschäftigt und füllt seitenlange Kommentare. Im Streitfall wird es dann letztlich eine Entscheidung der Richter sein. Unabhängig davon hat die Veröffentlichung der von Eltern auf Schulveranstaltungen angefertigten Fotos und Videos einen anderen rechtlichen Charakter. Hier ist nach Einschätzung von Thomas Stadler eine Einwilligung der Betroffen auf jeden Fall erforderlich.

“Wer also auf Instagram oder Facebook Fotos veröffentlicht, auf denen Personen zu erkennen sind, muss diese Menschen fragen, bevor er die Fotos postet.”

Im Alltag wird wohl kaum jemand eine solche Einwilligung einholen. In der Regel wird das auch nicht zu Problemen führen, da bei solchen Veranstaltungen fast jeder fotografiert. Dass es eventuell doch einmal zu rechtlichen Folgen kommen kann, ist allerdings nie auszuschließen. Darüber hinaus ist auch das letzte Wort noch nicht gesprochen, was das Kunsturheberrechtsgesetz (KUG) und seine Stellung und Geltung gegenüber der DS-GVO angeht.

Fazit

Für Schulen lässt sich aus den Vorgaben der DS-GVO keine Notwendigkeit ableiten, Eltern, anderen Familienangehörigen und Freunden der Schülerinnen und Schüler das Anfertigen von Fotografien und Videos auf schulischen Veranstaltungen zu untersagen. Schulen stehen hier in keiner diesbezüglichen Pflicht. Was schon immer möglich war, ist auch weiterhin möglich. Wer als Besucher einer schulischen Veranstaltung mit familiärer oder freundschaftlicher Beziehung zu den Schülerinnen und Schülern dort Fotos oder Videos anfertigt, sollte jedoch bei der Veröffentlichung in sozialen Medien eine ausreichende Sorgfalt walten lassen. So lassen sich Konflikte mit anderen Personen oder deren Angehörigen vermeiden, wenn diese auf Fotos oder Videos mit auftauchen.

Nachtrag August 2019

Wie nicht anders zu erwarten, kocht das Thema zum Ende der Schulferien im August 2019 erneut hoch. Die Rede ist von Schulen, die das Fotografieren verbieten. Viele Medien greifen das Thema auf.

Einer der wohl besten Beiträge stammt Rechtsanwalt David Seiler, der sich auf Fotorecht spezialisiert hat. In “Fotografierverbot an Schulen und Kitas wegen Datenschutz?“greift er die aktuellen Entwicklungen auf und erläutert umfassend die rechtliche Lage. Einen datenschutzrechtlichen Grund sieht auch er nicht, das Fotografieren zu verbieten.

Stand 08/2019

Welche Löschfristen gelten für personenbezogene Daten auf einem dienstlichen USB Stick?

Lesezeit: 2 Minuten

Nach Lektüre meines Themen Beitrags USB Sticks und Datensicherheit, in welchem erklärt wird, welche Möglichkeiten es gibt, USB Sticks so zu sichern, dass die Vertraulichkeit der darauf gespeicherten personenbezogenen Daten gewährleistet ist, stellte sich ein Leser die Frage, wie es mit den Löschfristen der auf einem dienstlichen USB Stick gespeicherten personenbezogenen Daten aus der Schule aussieht.

“Bei einem privaten Endgerät beträgt die Löschfrist ein Jahr zum Ende des Kalenderjahres. Ändert sich etwas, wenn die Schule den Kolleginnen und Kollegen einen schulischen USB-Stick zur Verfügung stellt? Gilt dann die 5 Jahresfrist?”

Die VO-DV I legt unter §9 Abs. 2 für die Aufbewahrung und Löschung von auf privaten Endgeräten von Lehrkräften gespeicherte personenbezogene Daten aus der Schule gesonderte Fristen fest, die deutlich kürzer sind als die für Computer in der Schule.

“(2) Sind die Daten nach Absatz 1 in öffentlichen ADV-Anlagen oder auf Datenträgern gespeichert, gelten die Aufbewahrungsfristen entsprechend. Für in privaten ADV-Anlagen gespeicherte Daten (§ 2 Abs. 2) beträgt die Aufbewahrungsfrist ein Jahr. Sie beginnt abweichend von Absatz 1 mit Ablauf des Kalenderjahres, in dem die Schülerin oder der Schüler von der Lehrerin oder dem Lehrer nicht mehr unterrichtet wird.”

Die Frage ist nun also, fallen von der Schule bereitgestellte, dienstliche USB Sticks unter Datenträger im Sinne von §9 Abs. 2 oder muss man sie doch eher wie private ADV-Anlagen betrachten?

  • Richtet man sich nach dem Wortlaut der VO-DV I (grammatikalische Auslegung), gilt die Regel mit der Löschfrist nach einem Jahr ab Ablauf des Kalenderjahres eindeutig nur für private Endgeräte. Ein von der Schule zur Verfügung gestellter USB Stick fiele demnach nicht unter diese Regelung und wäre gleichzubehandeln mit einem Datenträger, wie im ersten Satz von §9 Abs. 2 genannt. Entsprechend würden hier dann auch die dafür geltenden Löschfristen zutreffen.
  • Man könnte die Sache allerdings auch dem Sinn und Zweck nach betrachten (teleologische Auslegung). Wenn man also zu dem Schluss kommt, der dienstlich bereitgestellte USB Stick wird vom Charakter her wie ein privater USB Stick genutzt, dann müsste der USB Stick wie ein Privatgerät behandelt werden und entsprechend die einjährige Löschfrist gelten.

Eine gleiche Fragestellung würde sich auch für Dienstgeräte ergeben und die Löschfristen dort. Persönlich würde ich eher zur grammatikalischen Auslegung tendieren.

Käme es zu einem Streitfall, würde man entsprechend argumentieren. Das sollte vor Gericht ausreichen.

Man sollte die Frage bezüglich der Löschfristen sicher auch noch unter dem Gesichtspunkt der Datenminimierung betrachten. Ist es erforderlich, dass auf einem USB Stick personenbezogene Daten von Schülern gespeichert sind, die eine Lehrkraft das letzte Mal zwei Jahren zuvor unterrichtet hat? Diese Frage kann man in der Mehrheit der Fälle wohl verneinen. Und es bliebe der Lehrkraft immer noch die Möglichkeit, die Daten in der Schule in einem ihr zugewiesenen Verzeichnis im Verwaltungsnetz abzulegen.

Auftragsverarbeitung und die Form des Vertragsschlusses

Lesezeit: 4 Minuten

Viele Schulen sind erst durch die Datenschutz Grundverordnung darauf aufmerksam geworden, dass sie in Bezug auf die Dokumentation zum Datenschutz etwas tun müssen. Es reicht dabei allerdings nicht aus, lediglich ein Verzeichnis von Verarbeitungstätigkeiten anzulegen, sondern es müssen auch Verträge zur Auftragsverarbeitung (AV Verträge) abgeschlossen werden, wenn die Verarbeitung personenbezogener Daten außerhalb der schuleigenen IT Systeme erfolgt. Damit ergeben sich jedoch gleich neue noch komplexere Probleme – wo und wie schließt man die Verträge zur Auftragsverarbeitung ab?

Schulträger/ kommunales Rechenzentrum/ regionale Dienstleister

Relativ unproblematisch ist der Abschluss von Verträgen zur Auftragsbearbeitung, wenn die Dienste eines kommunalen Rechenzentrums genutzt werden, da diese in der Regel von sich aus entsprechende Verträge anbieten. Ähnliches gilt für Dienstleister im deutschsprachigen Raum, die Softwareprodukte für Online Klassenbücher, digitale Schwarze Bretter, Classroom Management Systeme, Lernplattformen und ähnlich anbieten. Schwieriger wird es schon, wenn ein solcher Vertrag mit dem Schulträger abgeschlossen werden muss, wobei das kommunale Rechenzentrum oder ein anderer Dienstleister nur Unterauftragnehmer ist. Das liegt daran, dass Schulträger sich häufig nicht als Auftragnehmer begreifen, wenn es um schulische Datenverarbeitung geht.

Hoster für Schulhomepage

Auftragsbearbeitung liegt auch vor, wenn für den Betrieb der Schulhomepage ein Hoster genutzt wird. Bei den meisten Schulhomepages dürfte dieses der Fall sein. Teilweise machen die Anbieter ihre Kunden von sich aus auf die Möglichkeit, einen entsprechenden Vertrag abzuschließen, aufmerksam. In der Regel liegt dieser als vom Hoster vorunterzeichneter Vertrag in Form einer PDF Datei vor. Die Schule druckt diese Datei aus, füllt den Kopfteil aus, unterzeichnet, scannt das Dokument ein und sendet es per E-Mail an den Hoster zurück. Der bestätigt den Eingang.

Genau genommen war der Vertrag zur Auftragsverarbeitung schon in dem Moment gültig, wo die Schule ihn für sich ausgefüllt und unterzeichnet hat. Von Seiten des Hosters lag bereits mit dem zum Download bereitgestellten, unterzeichneten Vertrag eine Willenserklärung vor.1Was damit gemeint ist, wird unten erklärt.. Man sollte den Vertrag totzde zurücksenden, denn erst dadurch erlangt der Hoster Kenntnis von der Zeichnung des Vertrags.

Große internationale Dienstleister

Schwieriger kann es werden, wenn es um Verträge mit internationalen Dienstleistern in der Branche geht. Nicht alle bieten einen downloadbaren vorunterzeichneten Vertrag an wie die Firma Apple für den Apple School Manager (ASM) oder Microsoft für Office 365. Apple bietet für die Nutzung des ASM einen vorunterzeichneten Vertrag im PDF Format an2Der Vertrag, das “Apple School Manager Agreement” ist im ersten Teil in englischer Sprache gefasst. Im zweiten Teil sind deutschsprachige Teile, die unterzeichnet werden müssen, um Gültigkeit zu erlangen.. Bei Microsoft ist der vorunterzeichnete Vertrag im Docx Format gehalten3Es geht hier um dem OST Vertrag. Man wählt die Sprache, lädt ihn herunter, druckt ihn aus und unterzeichnet auf der vorletzten Seite. Soll der Vertrag digitalisiert verwahrt werden, empfiehlt es sich, das PDF Format zu wählen.4Für die Office 365 mit der MS Cloud Deutschland wird der AV Vertrag mit der Telekom abgeschlossen, die Datentreuhänder ist für Microsoft..

Was ist, wenn der Dienstleister keinen Vertrag in der oben beschrieben Form anbietet, sondern lediglich eine Möglichkeit, eine Webseite durchzulesen und den Vertrag mit dem Bestätigen einer Checkbox abzuschließen?

Bei Google heißt es an der Stelle, wo es bisher einen Vertrag zum Download gab,

Stattdessen steht ab diesem Zeitpunkt ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO zur Verfügung, den Sie elektronisch abschließen können (vgl. Sie bitte Art. 28 Abs. 9 DSGVO zur Möglichkeit, Auftragsverarbeitungsverträge auch in ‘elektronischer Form’ abzufassen).5https://static.googleusercontent.com/media/www.google.de/de/de/analytics/terms/de.pdf

Einen AV Vertrag elektronisch abschließen – geht das?

Das Thema ist nicht ganz einfach. Zwar sagt Art. 28 Abs. 9 DS-GVO, dass die Abfassung des Vertrags auch “in einem elektronischen Format erfolgen kann“, doch wie dieses elektronische Format genau auszusehen hat, darüber herrscht keine absolute Einigkeit unter den Experten.

Dass es der Papierform für einen Vertrag nicht mehr bedarf und man stattdessen mit digitalen Dokumenten in Word- oder  PDF-Format arbeiten kann, daran besteht wenig Zweifel. Das entscheidende Kriterium ist hier, dass das gewählte Format sicherstellt, dass nachträgliche Änderungen technisch unmöglich ist. In der Fachliteratur findet man dazu folgende Ausführung.

Vielmehr ist es nach Art. 28 Abs. 9 DS-GVO ausreichend, dass der Auftragsverarbeitungsvertrag durch zwei gegenseitige Willenserklärungen i. S. v. §§ 145 ff. BGB geschlossen und zumindest elektronisch „abgefasst“ wird. Entscheidend ist, dass der Vertragsschluss in irgendeiner Form dokumentiert wird. Einer Verkörperung, z. B. als Ausdruck, bedarf es zwar nicht, jedoch muss das gewählte Format sicherstellen, dass nachträgliche Änderungen technisch unmöglich sind und ersichtlich bleibt, dass zwei kongruente Willenserklärungen vorlagen. 6Koreng/Lachenmann DatenschutzR-FormHdB, 1. Vergleich Auftragsverarbeitung nach dem BDSG und der DS-GVO Rn. 1. – 7., beck-online

Der Punkt ist nun, wie man die beiderseitige Willenerklärung dokumentiert. Einige Experten sind der Ansicht, es bedürfe dazu einer elektronischen Signatur. Allerdings geben andere europäische Rechtsnormen keinen Hinweis darauf, dass dieses erforderlich ist7Kühling/Buchner/Hartung, DS-GVO, Art. 28 Rn. 94 ff.. Nach Koreng/Lachmann sollte es möglich sein, dass

bei einem Onlinevertragsschluss der Vertrag über die Auftragsverarbeitung digital bereitgestellt werden kann.

Dann wiederum sollte es ausreichen, wenn der Kunde mit dem Bestätigen einer Checkbox ein

ein rechtswirksames Angebot auf einen bereitgestellten Vertrag abgeben kann, das der Vertragspartner sodann mit dem Hauptvertrag annimmt, wenn der Vertrag speicher- und druckbar ist.

Letzteres ist von Bedeutung, um den Vertragsabschluss auch auf Seiten der Schule zu dokumentieren. Es empfiehlt sich, die eigene Willensbekundung zum Abschluss des AV Vertrags, wenn sie nur durch Bestätigen einer Checkbox möglich ist, ebenfalls zu dokumentieren. In der Regel sollte die Annahme des Vertrags zur Auftragsverarbeitung in der Online Vertragsverwaltung an irgendeiner Stelle angezeigt werden. Diese Seite sollte man dann ausdrucken. Der Anbieter hat seine Willensbekundung bereits mit der Bereitstellung des Vertrags auf seinem Portal getätigt. Im folgende Beispiel sieht man, wie so etwas aussehen könnte.

Wenn es kein PDF gibt

Bietet der Dienstleister, so wie Google bei Google Analytics oder der G-Suite for Education keinen AV Vertrag als PDF zum Download an, empfehle ich folgendes Vorgehen, um den Abschluss eines AV Vertrages zu dokumentieren.

  • Wenn bei Anbieter im Kontobereich/Vertragsverwaltungsbereich des Nutzungsvertrages die erfolgte Zeichnung des AV Vertrags angezeigt wird, wie im folgenden Beispiel bei G-Suite for Education, dann sollte man diese Seite als PDF sichern oder ausdrucken.8Die Namen sind hier aus Gründen des Datenschutz herausgelöscht.
  • Den eigentlichen Vertrag und zugehörige Bestandteile (bei Google beispielsweise die Standardvertragsklauseln) sollte man ebenfalls als PDF abspeichern.

Auf diese Art und Weise kann man erstens die Willensbekundung der Schule dokumentieren, den Vertrag einzugehen, und zweitens der Erfordernis nachkommen, den Vertrag in einem Format zu sichern, welches eine nachträgliche Änderung technisch unmöglich macht9Natürlich kann man auch ein PDF verändern, doch es geht hier weniger darum, dass die Schule den AV Vertrag ändern könnte, sondern der Auftragnehmer, etwa Google..

Fazit

Noch herrscht einige Unsicherheit, selbst unter Experten, wie genau der Abschluss eines Vertrags zur Auftragsverarbeitung in elektronischer Form aussehen sollte. Weder Experten noch Anbieter sind hier einer Meinung, wie bei letzteren die unterschiedlichen Formen, AV Verträge bereitzustellen zeigen. Grundsätzlich empfiehlt es sich, mit einem Vertrag in Form eines vorunterzeichneten PDF zu arbeiten, wenn dieses möglich ist. Bei Anbietern, die diesen Weg nicht anbieten, sollte man den Vertragsabschluss möglichst gut dokumentieren und den Vertrag selbst in einem sicheren Format speichern oder auch ausdrucken.

Es ist zu erwarten, dass die Zukunft Rechtssicherheit bringen wird, was genau unter einem elektronischen Format nach Art. 28 Abs. 9 DS-GVO zu verstehen ist. Entsprechende Nachsteuerungen durch den Gesetzgeber oder Urteile von Gerichten werden dafür sorgen. Bis dahin sollte man einen der oben beschriebenen Wege nutzen.

Weitere Informationen

Einwilligung und Zweckänderung

Lesezeit: 2 Minuten

Frage: ich fotografiere einen Schüler (anlassbezogen gibt es eine Genehmigung1Aus Sicht des Datenschutz wird immer von EINWILLIGUNG gesprochen!). Darf ich das Foto online an CEWE Fotodienst schicken zum Ausdrucken?

In der Einwilligung ist, so lässt die Frage vermuten, nicht aufgeführt, dass das Foto der betroffenen Person über einen externen Dienstleister ausgedruckt und diesem dazu das Foto übermittelt werden soll. Daher rührt wohl die Unsicherheit, ob das Foto auf der Grundlage der bestehenden Einwilligung übermittelt werden darf.

Die Antwort ist recht einfach.

Eine wirksame Einwilligung setzt voraus, dass sie bestimmt ist. Wenn eine Einwilligung sich nicht auf bestimmte Datenverarbeitungszwecke beschränkt, ist sie unwirksam. Das bedeutet nicht, dass sie sich auf einen einzigen Zweck beschränken muss. Die betroffenen Personen, Eltern oder Schüler, können ihre Einwilligung für einen oder mehrere bestimmte Zwecke geben (Art. 6 Abs. 1).

Das heißt, die Einwilligung muss die Zweckbestimmung festlegen. Sie muss eindeutig sein und legitim. Von daher ist es wichtig, dass die Zweckbestimmung so präzise wie möglich angegeben ist.

Der Verantwortliche, die Schule, muss sicherstellen, dass die personenbezogenen Daten nicht für Zwecke verarbeitet werden, mit denen die betroffene Person bei der Erhebung nicht rechnen musste.

Mit den Anforderungen an eine wirksame Einwilligung ist somit schnell zu verstehen, was dieses für eine Zweckänderung bedeutet. Eine Zweckänderung ergibt sich auch durch einen neuen Zweck. Kommt nachträglich ein neuer Verarbeitungszweck hinzu, wie vermutlich in diesem Fall mit der Übermittlung an einen Fotodienstleister, bedarf es dazu einer entsprechenden Einwilligung der betroffenen Person. 2Zwar gibt es nach (Art. 6 Abs. 4) auch die Möglichkeit, abzuwägen, ob der neue Verarbeitungszweck eine zweckkompatible Verarbeitung bedeutet. Kommt man nach den Kriterien von Abs. 4  zu dem Schluss, dass mit der Weiterverarbeitung der Daten zu einem anderen als dem ursprünglich verfolgten Zweck eine zweckkompatible Weiterverarbeitung vorliegt, braucht es keine neue Einwilligung. (Kühling/Buchner Art. 6 RN 181). Es mag Fälle geben, wo diese Abwägung einfach ist. Wer keinen Fehler machen möchte, sichert sich durch eine zusätzliche Einwilligung ab.

Im angefragten Fall bedeutet dieses: Schließen die in der Einwilligung aufgeführten Verarbeitungszwecke nicht die Übermittlung und Verarbeitung der Fotos an einen externen Dienstleister mit ein, sollte hierfür aus datenschutzrechtlciher Sicht eine zusätzliche Einwilligung eingeholt werden.

Tipp: Von daher erspart man sich Arbeit, wenn man beim Einholen der Einwilligung alle beabsichtigten Verarbeitungszwecke von vorneherein mitbedenkt. Damit ist jedoch nicht gemeint, dass man versucht, direkt pauschal jeden möglichen Verarbeitungszweck abzudecken, denn dieses würde dem Grundsatz der Bestimmtheit widersprechen.

Müssen Schulen einen Datenschutzbeauftragten an die Aufsichtsbehörden melden?

Lesezeit: 2 Minuten

Pflicht zur Meldung des Datenschutzbeauftragten an die Aufsichtsbehörden

Nach Art 37 Abs 7 der DS-GVO veröffentlicht der Verantwortliche oder Auftragsverarbeiter die Kontaktdaten des Datenschutzbeauftragten 1Siehe dazu auch den Beitrag Muss der Datenschutzbeauftragte auf die Schulhomepage? 2Siehe auch Datenschutzbeauftragte FAQ Grundlagen und Benennung – der LDI NRW < und

“teilt diese Daten der Aufsichtsbehörde mit.”

Diese Vorgabe gilt auch für öffentliche Stellen wie Schulen. Für die Aufsichtsbehörde ist diese Meldung von Bedeutung, da der Datenschutzbeauftragte nur so in der Lage ist seiner Tätigkeit als Anlaufstelle für die Aufsichtsbehörde effektiv nachgehen zu können (vgl. Artikel 39 Absatz 1 Buchstabe e) DS-GVO).

Praktische Umsetzung bei Schulen – offene Fragen

Bisher ist leider nicht klar, ob jede einzelne Schule diese Meldung separat für sich machen muss. Schulen in NRW brauchen keine eigenen Datenschutzbeauftragten, denn es gibt die behördlich bestellten schulischen Datenschutzbeauftragten. In jedem Kreis bzw. jeder kreisfreien Stadt wurde dafür eine zuständige Person benannt. Teilweise sind es auch zwei Personen, die sich diese Zuständigkeit teilen. Alle diese Personen sind dem MSB bekannt (siehe Übersicht Behördliche Datenschutzbeauftragte) wie auch den fünf Bezirksregierungen.

In NRW gibt es 5.436 öffentliche Schulen3siehe Schulen, Klassen, Schülerinnen, Schüler und Lehrkräfte an
allgemeinbildenden und beruflichen Schulen 2019 nach Schulformen – IT.NRW
. Würde jede einzelne eine Meldung machen, wären es entsprechend viele Meldungen. Da jeder behördliche Datenschutzbeauftragte für mehrere Schulen zuständig ist, würde jede dieser Personen x-fach gemeldet.

Von daher macht es eher Sinn, wenn das MSB jetzt am Start einmal die Aufsichtsbehörde, die LDI NRW, informiert. Das wäre eine Meldung. Spätere Änderungen werden dann entweder die Kreise bzw. kreisfreien Städte oder die Bezirksregierungen mitteilen. Dass jede Schule dieses für sich übernimmt, führt zu einer unnötigen Flut an Meldungen und Arbeit. Übernehmen die Kreise und kreisfreien Städte diese Aufgabe, geht es um 52 behördliche Datenschutzbeauftragte plus eventuell deren Vertreter.

Mitteilungen an die LDI NRW werden ab dem 25. Mai 2018 möglich sein. Nach einer Information der LDI NRW soll es dazu dann eine Möglichkeit zur Online-Meldung über die Homepage der Aufsichtsbehörde geben.

Wird der Datenschutzbeauftragte nicht gemeldet, so stellt dieses bereits einen Verstoß gegen die Vorgaben der Datenschutzgesetzgebung dar.

Abwarten empfohlen

Es soll für den Start eine Übergangsfrist geben. Dieses ist auf der Homepage der LDI NRW bekanntgegeben.

WICHTIGER HINWEIS: Wir beabsichtigen, unterlassene Meldungen der Kontaktdaten der/des Datenschutzbeauftragten während einer Übergangszeit bis zum 31.12.2018 nicht als Datenschutzverstöße zu verfolgen oder zu ahnden.

Das MSB hat sich bisher nicht zu der Frage geäußert, wie die Meldung praktisch umgesetzt werden soll, ob es eine erste Meldung durch das MSB gibt oder die Bezirksregierungen. Da bis zum 31.12.2018 eine Übergangsfrist besteht, empfehle ich Schulen in NRW (bis zur Klärung dieser Frage) zunächst einige Wochen abzuwarten. Es wird hier sicher noch eine Mitteilung von Seiten des Ministeriums oder der Bezirksregierungen geben. Natürlich steht es jeder Schule frei, ihren Datenschutzbeauftragten direkt nach dem 25.05.2018 zu melden. Es ist kein Schaden.