Kategorie: NRW

Verarbeitung von personenbezogenen Daten auf dienstlichen und privaten Endgeräten – VO-DV I

Lesezeit: 13 Minuten

Mit Datum vom 13. Dezember 2021 wurden die VO-DV I und VO-DV II durch die Verordnung zur Änderung von Verordnungen über die im Schulbereich zur Verarbeitung zugelassenen Daten geändert. Die Änderungen in den beiden Verordnungen wirken sich sehr deutlich auf die Arbeit der an den Schulen tätigen Personen aus, so dass man hier von einer Zäsur sprechen kann. Veränderungen mit vergleichbar starken Auswirkungen auf die Verarbeitung von personenbezogenen Daten an Schulen hat es in den vergangenen Jahren nicht gegeben. Selbst die Einführung der Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken auf privaten ADV-Anlagen von Lehrkräften gem. § 2 Abs.2 VO-DV I / § 2 Abs.4 VO-DV II im Februar 2018, die zu viel Unruhe in den Kollegien führte, ist den jetzt in Kraft getretenen Änderungen von VO-DV I & II in ihren Auswirkungen nicht einmal ansatzweise vergleichbar.

Der Grund dafür liegt in der jetzt sehr starken Eingrenzung der Möglichkeiten, weiterhin private Endgeräte für die Verarbeitung von personenbezogenen Daten aus der Schule zu nutzen. Das war bisher anders. Lehrkräfte konnten ihre privaten Endgeräte im Rahmen der Vorgaben der VO-DV I & II nutzen, um darauf diese Daten zu verarbeiten. Damit war es ihnen möglich, den Mangel an für Verwaltungsarbeiten in der Schule eingerichteten Lehrerarbeitsplätzen auszugleichen, mobil innerhalb der Schule zu arbeiten und auch Arbeiten zu Hause zu erledigen. Die Rahmenbedingungen begannen jedoch sich in dem Moment zu ändern, als Schulträger mit Unterstützung des Landes und des Bundes in die Lage versetzt wurden, Lehrkräfte mit dienstlichen Endgeräten auszustatten. Aus Sicht des Gesetzgebers wie auch der Aufsichtsbehörde des Landes NRW entfiel damit die Erfordernis, Lehrkräften weiterhin die Nutzung privater Endgeräte für die Verarbeitung von personenbezogenen Daten aus der Schule auf privaten Endgeräten zu gestatten. Gleichzeitig sah man jedoch auch, dass es an Schulen weiteres Personal gibt, welches wie Lehrkräfte personenbezogene Daten verarbeitet. Da es für diese Personengruppe noch keine Ausstattungsrichtlinie gibt, wurde auch hier die rechtliche Grundlage geschaffen, eine Genehmigung zur Nutzung von privaten Endgeräten zu erteilen. Die Möglichkeit, auch Lehrkräften diese Genehmigung zu erteilen, ist nicht komplett verschwunden, jedoch stark eingeschränkt, auf Personen, denen noch kein Dienstgerät zur Verfügung steht, deren Dienstgerät  verlustig gegangen oder defekt ist, ohne dass Ersatz gestellt werden kann, und auf eine begrenzte Zahl von Ausnahmefällen.

Die Änderungen im Detail

Die Änderungen an den beiden Verordnungen werden im Folgenden getrennt erklärt, da es jeweils um verschiedene Kategorien von personenbezogenen Daten geht, um die der Schüler und Eltern bzw. um die von Lehrkräften. In VO-DV II ist zudem der Kreis der von den Regelungen betroffenen Personen verschieden.

Welche Auswirkungen die Änderungen in der VO-DV II haben kann im Beitrag Verarbeitung von dienstlichen personenbezogenen Daten auf privaten und dienstlichen Endgeräten – VO-DV II nachgelesen werden.

VO-DV I

Änderung des Personenkreises für die Genehmigung

§2 Abs. 2 VO-DV I wird komplett neu gefasst, um den Personenkreis, welcher eine Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken durch die Schulleitung zu erweitern.

Die Verarbeitung personenbezogener Daten von in § 1 Absatz 1 Satz 1 genannten Personen auf privaten digitalen Geräten von Lehrkräften, Lehramtsanwärterinnen und Lehramtsanwärtern, Lehrkräften in Ausbildung, sonstigem pädagogischen und sozialpädagogischen Personal sowie Schulpsychologinnen und Schulpsychologen für dienstliche Zwecke bedarf der schriftlichen, ein Verzeichnis der Verarbeitungstätigkeiten gemäß Artikel 30 der Datenschutz- Grundverordnung enthaltenden Genehmigung durch die Schulleiterin oder den Schulleiter.

Lehramtsanwärterinnen und Lehramtsanwärter sowie Lehrkräfte in Ausbildung konnten auch bisher schon die Genehmigung erhalten, da sie unter Lehrerinnen und Lehrern mitgedacht waren. Um Klarheit zu schaffen, werden sie jetzt ausdrücklich aufgeführt. Neu hinzugekommen sind das sonstige pädagogische und sozialpädagogische Personal (z.B. gemäß § 58 Schulgesetz NRW, aber auch nicht im Landesdienst stehendes Personal) sowie Schulpsychologinnen und Schulpsychologen. Letztere müssen beispielsweise in “Krisenfällen oder bei konkreten Beauftragungen in einer Schule auf die Daten zurückgreifen“1Aus den Erläuterungen zu den Änderungen (S. 12). können.

Den neu hinzugekommen Personen wird durch die Änderung der Verordnung eine Möglichkeit gegeben, Privatgeräte für die Verarbeitung von personenbezogenen Daten für dienstliche Zwecke zu verarbeiten, bis der Gesetzgeber mit einer neuen Richtlinie eine Regelung zur Ausstattung mit Dienstgeräten geschaffen hat oder ein Schulträger Dienstgeräte aus eigenen Mitteln zur Verfügung stellt.

Da diese Personen zur Erfüllung ihrer Funktionen personenbezogene Daten verarbeiten, die bisher nicht in Anlage 3 aufgeführt waren, gibt es hier nun eine Ergänzung.

14. Dokumentationen im Zuge des pädagogischen, sozialpädagogischen und schulpsychologischen Mitwirkens bei der Bildungs- und Erziehungsarbeit (z.B. Vermerke über Beratungstätigkeit, Arbeits- und Sozialverhalten)*)

Eine Ergänzung gibt es in Anlage 3 auch für Lehrkräfte. Diese betrifft die Nr. 10, die um neue Kategorien von personenbezogenen Daten erweitert wurde:

“Leistungsbewertungen und Bemerkungen zum Arbeits- und Sozialverhalten in den Fächern, in denen die Lehrkraft die Schülerinnen und Schüler unterrichtet, einschließlich digital von diesen erstellter Leistungsnachweise“

Damit wurde eine Rechtsgrundlage geschaffen für die Verarbeitung von Daten, die viele Lehrkräfte vermutlich schon lange auf den Privatgeräten verarbeiteten, auch wenn sie in Anlage 3 bisher nicht aufgeführt waren. Entsprechend ist es jetzt zulässig, auf Privatgeräten entsprechende Notizen anzufertigen, die erforderlich sind für spätere, nachvollziehbare Leistungsbewertungen. Genauso ist es jetzt möglich, Präsentationen; Referate, E-Books, Erklärvideos und ähnliche digital erstellte Leistungsnachweise auf privaten Endgeräten zu verarbeiten, damit Lehrkräfte diese dort begutachten und bewerten können.

In der Erläuterungen zu den Änderungen gibt es auf Seite 17 noch einen klärenden Hinweis, wie die Auflistung der in Anlage 3 aufgeführten personenbezogenen Daten zu verstehen ist.

“In der Anlage 3 sind die Daten, deren Verarbeitung auf Privatgeräten zulässig ist, enumerativ und abschließend aufgeführt.”2Dieser Hinweis findet sich auch in der Handreichung zur Genehmigung.pdf von Februar 2018, die mittlerweile beim MSB aber nicht mehr online verfügbar ist, alternativ noch bei Frag-den-Staat.

Wie bisher setzt die Erteilung der Genehmigung voraus, dass die Verarbeitung der Daten für die Erfüllung schulischer Aufgaben erforderlich ist und “ein angemessener technischer Zugangsschutz nachgewiesen wird,” wie er im Genehmigungsformular Teil B beschrieben ist.

Nicht erteilt werden kann die Genehmigung Praxissemesterstudierenden und Studierenden im Eignungs- und Orientierungspraktikum im Lehramtsstudium (EOP), da sie nach Ansicht des MSB nicht unter den Begriff “Personal” fallen.

Zur Erteilung von Genehmigungen steht Schulleitungen aktuell nur das bekannte Formular zur Verfügung, welches Teil der Dienstanweisung für die automatisierte Verarbeitung von personenbezogenen Daten in der Schule (10-41 Nr. 4) und am 19.01.2018 in einem Runderlass veröffentlicht wurde. Da dieses Genehmigungsformular noch nicht auf die neue Rechtslage angepasst wurde, berücksichtigt es weder den neu hinzugekommenen Personenkreis, der jetzt eine Genehmigung erhalten kann, noch die Ergänzungen in Anlage 3. Auch eine Anpassung an die DS-GVO fehlt noch.

Wegfall der Genehmigung

Mit § 2 Abs. 2 Satz 4 – 6 ist die VO-DV I nun um eine Regelung ergänzt, welche die Möglichkeiten der Schulleitung einschränkt, den zuvor beschriebenen Personen eine Genehmigung zu erteilen. Außerdem ist geregelt, wann bereits erteilte Genehmigungen ihre Gültigkeit verlieren.

“(1) Die Genehmigung darf nicht erteilt werden, wenn ein persönliches dienstliches digitales Gerät für schulische Zwecke zur Verfügung gestellt wird. (2) Eine bereits erteilte Genehmigung erlischt mit Aushändigung eines solchen Gerätes. (3) Übergangsweise ist die weitere Nutzung des Privatgeräts für die Dauer von höchstens vier Wochen zulässig, soweit dies zur Übertragung der personenbezogenen Daten auf das dienstliche Gerät erforderlich ist.”

Sobald einer der zuvor beschrieben Personen (Lehrkräften, Lehramtsanwärterinnen und Lehramtsanwärtern, Lehrkräften in Ausbildung, sonstigem pädagogischen und sozialpädagogischen Personal sowie Schulpsychologinnen und Schulpsychologen) ein persönliches dienstliches Gerät zur Verfügung gestellt wird, darf ihr keine Genehmigung für ein privates Endgerät erteilt werden. Hatte die Person bereits eine Genehmigung, so verliert diese automatisch ihre Gültigkeit. Das bedeutet, die Schulleitung muss die Genehmigung nicht aktiv widerrufen.

Geht ein zur Verfügung gestelltes Dienstgerät defekt oder verlustig und es gibt keinen Ersatz, erfüllt die Person die Voraussetzungen für die Erteilung einer Genehmigung. Auch wenn ein Gerät für einen Zeitraum in Reparatur ist, sollte es möglich sein, für diese Zeit eine Genehmigung zur Nutzung eines Privatgerätes zu erteilen, sofern kein Ersatzgerät gestellt werden kann.

Persönliches dienstliches digitales Gerät

Wichtig ist an diesem Abschnitt, dass es sich bei dem dienstlichen Gerät um ein persönliches dienstliches digitales Gerät handelt. Stehen beispielsweise zwei Schulsozialpädagog:innen an einer Schule ein gemeinsam genutzter Laptop und ein iPad für die tägliche Arbeit in der Schule zur Verfügung, welche die Personen sogar mit nach Hause nehmen dürfen, so fallen diese Geräte nicht unter die Regelung und die Schulleitung darf den beiden Mitarbeiter:innen nach der Erweiterung des Personenkreises, welcher Genehmigungen für die Nutzung von Privatgeräten erhalten kann, jetzt eine solche erteilen. Ein persönliches dienstliches digitales Gerät setzt voraus, dass dieses der Person ausdrücklich als ein solches zugewiesen wurde. Dieses geht in der Regel mit einer Nutzungsvereinbarung einher, wie sie beispielsweise im Rahmen der Richtlinie über die Förderung von dienstlichen Endgeräten für Lehrkräfte an Schulen in Nordrhein-Westfalen erforderlich ist.

Zur Verfügung stellen – Aushändigung

In Satz 4 und 5 heißt es, die Genehmigung darf nicht erteilt werden, wenn ein Dienstgerät “zur Verfügung gestellt wird” bzw. eine bereits erteilte Genehmigung erlischt “mit Aushändigung eines solchen Gerätes“.

In dieser Stelle werden sicherlich einige Personen eine Möglichkeit sehen, weiterhin mit einem privaten Endgerät mit Genehmigung der Schulleitung zu arbeiten. Reicht es die Annahme eines Dienstgerätes zu verweigern? Kann man gezwungen werden, ein Dienstgerät anzunehmen?

Für die Möglichkeit, die Annahme eines Dienstgerätes verweigern zu können, spricht die Regelung in der Richtlinie über die Förderung von dienstlichen Endgeräten für Lehrkräfte an Schulen in Nordrhein-Westfalen zur Annahme der Nutzungsbedingungen durch die Lehrkräfte. Dort heißt es in Abs. 6.3:

“Der Schulträger stellt den Lehrkräften die digitalen Endgeräte für eine unentgeltliche Nutzung zur Verfügung. Die Nutzungsbedingungen für die digitalen Endgeräte sind durch den Schulträger festzulegen. Die Zustimmung der Lehrkräfte zu den Nutzungsbedingungen ist sicherzustellen.“

Ohne Annahme der Nutzungsbedingungen, darf ein Schulträger das Dienstgerät nicht an die Lehrkraft aushändigen. Genauso könnte eine Lehrkraft auch die Einwilligung in die zur Verwaltung der Dienstgeräte erforderliche Datenverarbeitung verweigern oder für eine von beiden die Zustimmung bzw. Einwilligung widerrufen.

Daraus ergibt sich ein Widerspruch zwischen den Regelungen der Verordnung und der Richtlinie.

Auf der anderen Seite wird vermutlich auf die Formulierung “zur Verfügung gestellt wird” verwiesen werden. Die Frage ist hier, was genau man darunter verstehen kann bzw. will. Reicht es bereits aus, wenn der Schulträger ein Gerät für die Lehrkraft beschafft, es für sie einrichtet und ihr einen Termin gibt zur Übernahme, um von “zur Verfügung stellen” zu sprechen? Würde man sich dieser Argumentation anschließen, müsste man auch in Kauf nehmen, dass die Einwilligung der Lehrkraft in die Nutzungsbedingungen dann nicht mehr freiwillig erfolgen kann.

Es bleibt abzuwarten, wie dieser Widerspruch sich in der Praxis auflöst. Von Seiten des MSB und eventuell auch einzelnen Bezirksregierungen oder deren Mitarbeitern dürfte hier am ehesten ein Hinweis zu erwarten sein, dass die Verordnung Vorrang hat und durchzusetzen ist.

Übergangsfrist für den Wechsel

Um den Wechsel vom privaten Gerät auf das Dienstgerät stressfrei zu ermöglichen, räumt der Gesetzgeber den betroffenen Personen eine Übergangszeit ein.

(3) Übergangsweise ist die weitere Nutzung des Privatgeräts für die Dauer von höchstens vier Wochen zulässig, soweit dies zur Übertragung der personenbezogenen Daten auf das dienstliche Gerät erforderlich ist.

Wichtig ist hier, dass Personen, welche eine Genehmigung für ein privates Endgerät hatten, die Verarbeitung von personenbezogenen Daten aus der Schule auf diesen Geräten ab dem Zeitpunkt nicht mehr fortsetzen dürfen und alle diese Daten vom Gerät löschen müssen, sobald sie diese “datenschutzgerecht” auf das Dienstgerät übertragen haben.

Ausnahmeregelung

Der Gesetzgeber erkennt an, dass es Ausnahmen geben kann, die es erforderlich machen, eine Nutzung von Privatgeräten entgegen der vorherigen Regelung zuzulassen. In § 2 Abs. 2 Satz 7 VO-DV I heißt es deshalb:

(7) Unabhängig davon kann die Schulleitung ausnahmsweise in begründeten, von ihr zu dokumentierenden Einzelfällen die Nutzung von Privatgeräten vorübergehend zulassen, soweit dies zur vollumfänglichen schulischen Verarbeitung personenbezogener Daten erforderlich und die datenschutzgerechte Verarbeitung entsprechend der für die Nutzung von Privatgeräten geltenden Standards gewährleistet ist.

Sechs Bedingungen sind an die Ausnahme geknüpft und sie müssen sämtlich erfüllt sein, um von der neuen Regelung bezüglich des Wegfalls der Genehmigung sobald ein Dienstgerät zur Verfügung gestellt wird, abweichen zu können. Die Schulleitung kann die Nutzung von Privatgeräte ausnahmsweise zulassen, jedoch

  1. nur in Einzelfällen,
  2. die zu begründen und
  3. zu dokumentieren sind,
  4. nur vorübergehend und auch nur,
  5. soweit dies zur vollumfänglichen schulischen Verarbeitung personenbezogener Daten erforderlich ist, und
  6. dabei die datenschutzgerechte Verarbeitung entsprechend der für die Nutzung von Privatgeräten geltenden Standards gewährleistet ist.
Einzelfälle

Bei der Ausnahme geht es um Einzelfälle. Wie oft der Einzelfall eintreten darf, um kein Einzelfall mehr zu sein, ist dabei Auslegungssache und dem Fingerspitzengefühl der Schulleitung überlassen. Offen ist außerdem, ob der Einzelfall auf eine einzelne Person oder auf bestimmte Fälle der Datenverarbeitung zu beziehen ist. Das MSB erläutert diesen Passus im Entwurf einer Verordnung zur Änderung von Verordnungen über die im Schulbereich zur Verarbeitung zugelassenen Daten auf S. 12 wie folgt.

“Mit der weiteren Möglichkeit, in Einzelfällen die Nutzung von Privatgeräten zuzulassen, soll die Schulleitung dem evtl. Umstand Rechnung tragen können, falls das dienstliche Gerät für eine spezifische schulische Aufgabenerledigung nicht geeignet ist.”

Das lässt annehmen, dass es dem Gesetzgeber nicht nur um die einzelne Person geht, sondern auch um Einzelfälle, welche die Datenverarbeitung durch eine Gruppe von Personen betreffen. Können mehrere Personen mit dem Dienstgerät eine bestimmte schulische Aufgabe nicht erledigen, so kann in einem solchen Einzelfall eine Genehmigung ausnahmsweise erteilt werden.

An einer Schule, deren Lehrkräfte sämtlich oder zum Teil mit iPads als Dienstgeräten ausgestattet sind, sollte es deshalb auf der Grundlage der Ausnahmeregelung möglich sein, die Nutzung von Privatgeräten vorübergehend zu genehmigen, wenn am Ende eines Halb- oder Schuljahres die Lehrkräfte ihre Noten in das externe Notenmodul eintragen müssen. iPads sind für diese spezifische schulische Aufgabenerledigung nicht geeignet, nur wenige Schulen haben bisher SchiLD Web, um Noten online einzugeben, und in vielen Schulen stehen auch weiterhin nur wenige für Verwaltungsarbeiten eingerichtete Lehrerarbeitsplätze zur Verfügung, die alternativ genutzt werden könnten. Die zwei Termine im Schuljahr, zu denen die Noten eingetragen werden müssen, wären dann entsprechende Einzelfälle.

Praktisch umgesetzt bedeutet dieses, dass die Schulleitung den Lehrkräften der Schule schriftlich mitteilt, dass die bisherigen Genehmigungen vorübergehend und beschränkt auf die Eingabe der Noten im externen Notenmodul wieder Gültigkeit haben. Lehrkräfte, die mittlerweile ein neues Privatgerät haben, müssten sich eine neue Genehmigung erteilen lassen. Gleiches gilt auch für Lehrkräfte, welchen bisher noch keine Genehmigung erteilt wurde. Um den Vorgaben der von § 2 Abs. 2 Satz 7 VO-DV I zu entsprechen, schreibt sie in die Mitteilung an die Lehrkräfte auch eine Begründung für die Ausnahme und ist dann damit auch ihrer Verpflichtung zur Dokumentation nachgekommen.

Klar sein sollte aus dem Text der Verordnung wie auch der Erläuterung des MSB zum Entwurf der Änderung, dass Lehrkräfte, die mit ihrem Dienst iPad grundsätzlich nicht zurechtkommen und es für ungeeignet halten, ihren dienstlichen Verpflichtungen nachzukommen, keine Chance haben werden, sich auf diese Ausnahmeregelung zu berufen, selbst wenn ihr Anliegen berechtigt ist. Die Ausnahmeregelung ist dafür zu eingeschränkt auf spezifische Fälle, auch wenn diese selbst nicht näher definiert sind.

Vorrübergehend

Auch die Wortwahl vorübergehend lässt einigen Spielraum, der sicherlich von einigen Tagen bis zu mehreren Wochen reichen kann, je nachdem um welche schulische Verarbeitung personenbezogener Daten es geht, die auf dem zur Verfügung gestellten Dienstgerät nicht vollumfänglich möglich ist.

Im Falle des externen Notenmoduls wäre “vorübergehend” eine Dauer von wenigen Tagen. Im Fall von Lehrkräften, welche mit einem Dienst-Laptop ausgestattet sind und bislang mit Genehmigung ihr privates iPad nutzten, um damit täglich im Unterricht mit iPad-Klassen oder mit dem in die Klasse geholten iPad Koffer zu arbeiten, könnten es vermutlich auch mehrere Wochen sein, wenn der Schulträger die Beschaffung von iPads für diese Lehrkräfte in Aussicht gestellt hat und es nur gilt, den Zeitraum bis zum Eintreffen der Geräte zu überbrücken.

Klar ist, dass mit “vorübergehend” dauerhafte Ausnahmen möglich sind.

Im Juni 2022 informierte der Hauptpersonalrat für Grundschulen beim Ministerium für Schule und Bildung des Landes Nordrhein-Westfalen eine Schulinfo, in welcher auch das Thema Nutzung von Privatgeräten Gegenstand war.

„Zwar ist mit der Einschränkung „vorübergehend“ eine zeitliche Begrenzung der Nutzung beabsichtigt, jedoch besteht keine konkrete Fristvorgabe. Dem Hauptpersonalrat wurde von Seiten des MSB zugesichert, dass die Ausnahmegenehmigung so lange gelten kann, bis man über ein Gerät verfügt, auf dem die schulisch notwendige Aufgabenerfüllung möglich ist. Die Prüfung muss zwar im Einzelfall erfolgen, aber da unter Umständen ganze Kollegien betroffen und in der gleichen Situation sind, kann auch nach der Prüfung des Einzelfalls allen Mitgliedern des Kollegiums eine Ausnahmegenehmigung erteilt werden.
Weitere Vorgaben für die Ausnahmegenehmigung gibt es nicht. Zu einer etwaigen Rückgabe des Dienstgerätes in diesem Fall ist in der Verordnung keine Regelung getroffen. Es reicht aus zu begründen, warum die personenbezogenen Daten nicht auf dem dienstlichen Gerät verarbeitet werden können.“

Was für die Lehrkräfte der Grundschulen gilt, gilt in diesem Fall auch für die Lehrkräfte aller anderen Schulformen. Mit dieser Zusage des MSB gegenüber dem HPR für Grundschulen eröffnet sich auch für andere Schulen eine Möglichkeit, die Vorgaben der VO-DV I etwas großzügiger auszulegen. 

vollumfängliche schulische Verarbeitung personenbezogener Daten

Mit dem zur Verfügung gestellten Dienstgerät sollte es möglich sein, alle personenbezogenen Daten, zu verarbeiten, die zur dienstlichen Aufgabenerledigung3Siehe Richtlinie über die Förderung von dienstlichen Endgeräten für Lehrkräfte an Schulen in Nordrhein-Westfalen und andere Veröffentlichungen des MSB erforderlich sind. Die Geräte sind deshalb den für Verwaltungsarbeiten eingerichteten Lehrerarbeitsplätzen in der Schule gleichgestellt. Die Praxis zeigt jedoch, dass die zur Verfügung gestellten Geräte oft einige Aufgaben aus technischen Gründen nicht abdecken können und sie von daher nicht zur “vollumfänglichen schulischen Verarbeitung von personenbezogenen Daten” geeignet sind. Das gilt vor allem für iPads, kann aber je nach Setting auch für die an Schulen beschafften Windows Laptops gelten.

Daraus einen Einzelfall abzuleiten, für den eine Ausnahme gelten soll, dürfte nur in wenigen Fällen möglich sein, da die anderen Bedingungen die Ausnahme zu sehr einschränken. Haben sich an einer Schule, deren Schüler mit iPads ausgestattet wurden, die Lehrkräfte für Laptops als Dienstgeräte entschieden, um in der Verarbeitung von personenbezogenen Daten außerhalb des Unterrichts nicht eingeschränkt zu sein, so wird die Ausnahmeregelung hier keine Grundlage bieten, dauerhaft weiterhin die privaten iPads einzusetzen für den Unterricht, sofern nicht, wie oben beschrieben, zusätzlich Lehrer iPads beschafft werden sollen, und die Zeit bis zum Eintreffen derselben überbrückt werden muss.

Mit Blick auf die Zusage des MSB gegenüber dem HPR Grundschule sollte es Schulen auch möglich sein, die Voraussetzungen für die Erteilung einer Ausnahme etwas großzügiger zu handhaben. Nach dem oben zitierten Text ist die Erteilung einer Ausnahme möglich, bis man über “ein Gerät verfügt, auf dem die schulisch notwendige Aufgabenerfüllung möglich ist.” Ob das Dienstgerät die Voraussetzungen zur Erfüllung der schulisch notwendigen Aufgeben nicht erfüllt, da es technisch nicht dazu in der Lage ist oder da es vollkommen unergonomisch ist, bleibt dabei offen. Damit sollte es auch möglich sein, eine fehlende iPad Tastatur als Begründung anzugeben oder das zu kleine Display.

Begründet und dokumentiert

Kommt eine Schulleitung zu dem Schluss, dass der Einzelfall vorliegt und sie vorübergehend eine Nutzung von Privatgeräten zulassen möchte, so muss sie dieses für sich begründen und dokumentieren. Es sollte demnach auch einen triftigen Grund geben für die Ausnahme. Die Dokumentation könnte, wie oben beschrieben, mit dem Schreiben erfolgen, mit welchem sie die betreffenden Personen über die Erteilung der vorübergehenden Genehmigung und für welche Verarbeitung von personenbezogenen Daten diese gilt, informiert. Festhalten sollte die Schulleitung außerdem, wem sie die Ausnahme gewährt hat. Ob die Schulleitung als Verantwortlicher hier gegenüber vorgesetzten Dienststellen irgendwann einmal Rechenschaft ablegen muss, geht aus der Verordnung nicht hervor. Es ist aber durchaus möglich, dass das MSB hier zukünftig eine Abfrage machen könnte.

Wer das ganze lieber ganz formal erledigen möchte, kann dafür die folgende Vorlage nutzen und anpassen: Antrag auf Ausnahme zur Verarbeitung personenbezogener Daten.docx

Sonderregelung Schulleitung

Die Schulleitung ist von der Regelung zum Wegfall der Genehmigung ausgenommen, da sie sich selbst keine Genehmigung erteilen kann. Sie kann also weiterhin ein privates Endgerät zur Verarbeitung von personenbezogenen Daten aus der Schule verwenden, ist dabei jedoch auf die in Anlage 3 genannten Daten beschränkt. Dieses wurde in der Änderung noch einmal angepasst und betont.

Entsprechend heißt es in §2 Abs. 2

“Wenn die Schulleiterin oder der Schulleiter personenbezogene Schülerdaten auf privaten digitalen Geräten verarbeitet, ist dies nur für die in Anlage 3 genannten Daten zulässig, soweit die Verarbeitung der Daten zur Aufgabenerfüllung erforderlich ist und der erforderliche Schutz der Daten technisch sichergestellt wird.“

In der Kommentierung im Entwurf der Änderung (S. 12) heißt es dann auch entsprechend: “Mit dem neu angefügten Satz 6 wird klargestellt, dass auch Schulleiterinnen und Schulleiter auf privaten digitalen Geräten nur die personenbezogenen Schülerdaten der Anlage 3 verarbeiten dürfen, dies soweit die Verarbeitung der Daten zur Aufgabenerfüllung erforderlich und der Schutz der Daten technisch sichergestellt ist. Die Klarstellung ist erforderlich, weil die vorstehenden Regelungen zur Genehmigungspflicht durch die Schulleitung ersichtlich nicht gelten können, soweit Schulleitungen selber Privatgeräte nutzen. Sie können sich die Genehmigung nicht selbst erteilen.”

FAQ

  • Kann ein privater Laptop weiterhin zur Administration von Logineo NRW genutzt werden, da dieses mit dem Dienst iPad nicht möglich ist?
    • In den FAQ des MSB zu Logineo NRW heißt es (Stand 01.2022): “Es ist ein weit verbreitetes Missverständnis, dass die Nutzung von LOGINEO NRW auf privaten Endgeräten ohne eine gültige Genehmigung für die Verarbeitung von personenbezogenen Daten auf privaten ADV-Anlagen erlaubt ist. Die Nutzung von LOGINEO NRW auf privaten Endgeräten setzt die Genehmigung zur Verarbeitung von personenbezogenen Daten auf privaten Endgeräten voraus.”
    • Sofern sich die bei der Administration von Logineo NRW verarbeiteten personenbezogenen Daten auf die in Anlage 3 beschränken, könnte die Schulleitung eine vorübergehende Genehmigung auf der Grundlage von § 2 Abs. 2 Satz 7 VO-DV I erteilen. Es wäre in einem solchen Fall zu empfehlen, der Lehrkraft für die Administrationsaufgaben ein geeignetes zusätzliches Dienstgerät, etwa einen Laptop, zur Verfügung zu stellen.
    • Müssen bei der Administration von Logineo NRW auch personenbezogene Daten verarbeitet werden, die über die in Anlage 3 aufgeführten hinausgehen, ist die Nutzung eines Privatgerätes dafür auch mit Genehmigung nicht möglich.
  • Kann ein privater Laptop weiterhin zur Vorbereitung von Aufgaben in  Logineo NRW LMS genutzt werden, da dieses mit dem Dienst iPad nicht vollumfänglich möglich ist?
    • Der Zugriff auf Logineo NRW setzt, gem. der Aussagen in den FAQ des MSB immer eine Genehmigung voraus. Das heißt, auch wenn man nicht beabsichtigt, auf Schülerdaten wie erledigte Aufgaben oder Nachrichten zuzugreifen, geht es ohne die Genehmigung nicht. Ist diese erloschen, weil ein Dienstgerät zur Verfügung gestellt wurde, kann auf Logineo NRW nicht mehr von einem Privatgerät zugegriffen werden.
  • Wie sieht es mit dem Abruf von E-Mails vom dienstlichen Konto im Logineo NRW der Schule aus?
    • Auch dieses ist, wenn man sich an den Aussagen in den FAQ des MSB zu Logineo NRW orientiert nicht mehr möglich, sobald die Genehmigung erloschen ist. Eine Ausnahmeregelung auf der Grundlage von § 2 Abs. 2 Satz 7 VO-DV I dürfte hier nicht realistisch sein, außer es handelt sich um eine Person, die dringend über dieses E-Mail Konto jederzeit erreichbar sein muss und es ist bereits eine Alternativ-Lösung wie ein Dienst-Smartphone in Vorbereitung.
  • Der Messenger von Logineo NRW ist für eine schnelle Kommunikation gedacht, auch außerhalb der Unterrichtszeiten. Was ist damit? 
    • Leider sieht es auch hier nicht anders aus. Orientiert man sich an den FAQ des MSB, ist eine Nutzung ohne die Genehmigung nicht zulässig, da die Nutzung immer mit der Verarbeitung von personenbezogenen Daten einhergeht.
  • Darf man mit dem privaten Smartphone weiterhin mit Eltern telefonieren, wenn ein Dienstgerät zur Verfügung gestellt wurde?
    • Telefonnummern stellen personenbezogene Daten dar. Zur Verarbeitung von Telefonnummern von Schülern, Eltern und Lehrkräften auf einem privaten digitalen Endgerät braucht es entsprechend eine Genehmigung der Schulleitung.
    • Ich persönlich halte es jedoch für vertretbar, ein privates Smartphone weiterhin für Telefonate mit Schülern, Eltern und anderen Lehrkräften auch ohne Genehmigung zu nutzen, sofern man die Telefonnummern nicht als Kontakte auf dem Smartphone oder in einem Online-Adressbuch, auf welches man vom Smartphone aus zugreift, speichert. Zwar werden die Telefonnummern von Personen, welche angerufen wurden in einer Anrufliste gespeichert, doch erfolgt dieses ohne Namen. Gleiches geschieht, wenn man von Schülern, Eltern und Kollegen angerufen wird. Und dieses wird niemand verbieten.
  • Kann man über ein Smartphone zumindest noch den Vertretungs- und Stundenpläne sowie Aufsichtspläne abrufen, auch ohne Genehmigung?
    • Ja, das geht, und es braucht keine Genehmigung der Schulleitung hierfür. Hier gibt es in der § 2 Abs. 5 VO-DV II eine Ausnahmeregelung, die unter Ausnahme von der Genehmigungspflicht im Beitrag zu den Änderungen in der VO-DV II bezüglich der Nutzung von Privatgeräten näher erklärt ist.
  • Weitere FAQ folgen …

Stand September 2022

Thema Videokonferenzen

Lesezeit: < 1 Minute

Bisher waren hier viele Beiträge aufgeführt, welche sich mit datenschutzrechtlichen Fragen zur Nutzung von Videokonferenz Plattformen zur Erteilung von Distanzunterricht, zur Teilnahme von Schülerinnen und Schülern am Unterricht von zu Hause aus und von Notenkonferenzen via Videokonferenz Plattformen und ähnlich befassen. Sie haben sich mit den durch das 16. Schulrechtsänderungsgesetz einführten neuen Rechtsgrundlagen für die Verarbeitung von personenbezogenen Daten beim Einsatz von Lehr- und Lernsystemen und Arbeits- und Kommunikationsplattformen einschließlich Videokonferenzsystemen weitestgehend überholt und wurden deshalb aus der Seite entfernt.

Im folgenden Beitrag werden diese neuen Möglichkeiten, welche sich für dein Einsatz von Videokonferenz Plattformen zur Erfüllung des Bildungs- und Erziehungsauftrags für Schulen in NRW seit Februar 2022 ergeben, ausführlich erläutert und auch die Grenzen aufgezeigt.

⇨ 16. Schulrechtsänderungsgesetz und Datenschutz 🔗

Ältere Beiträge, die aber noch Relevanz haben.

⇨ Videokonferenzen – eine Plattform auswählen 🔗
Hier geht es konkret um die Auswahl eines geeigneten Videokonferenz Tools und welche Kriterien man dabei im Auge behalten sollte. Dieser Beitrag ist weiterhin aktuell.

⇨ Videokonferenz Plattformen in Schule nutzen 🔗
Es geht hier um grundsätzliche Fragen des Einsatzes von Videokonferenz Tools in Schule und Fragen, die eine Schule sich vor dem Einsatz stellen sollte, mit Handlungsempfehlungen.

 

Stand 03/2022

Logineo NRW

Lesezeit: 6 Minuten

Hinter dem Label Logineo NRW verbergen sich die verschiedenen Module der Landesplattform für Schulen und ZfSL, die aktuell unabhängig von einander genutzt werden können. Es gibt die

Mitbestimmung

Was mit den Plattformen möglich ist und wo die Grenzen sind, auch mit Blick auf Datenschutz, ist in zwei Dokumenten geregelt, welche durch die Hauptpersonalräte und Hauptschwerbehindertenvertretungen mitbestimmt wurden:

Letzteres Dokument wird durch schulinterne Regelungen, soweit sie im Rahmen der Vorgaben des Dokumentes möglich sind, ergänzt.

Einwilligung und Informationen zur Datenverarbeitung

Die Nutzung aller drei Logineo NRW Plattformen ist freiwillig. Niemand, weder Lehrkräfte noch Schüler oder andere Personen, die für eine Nutzung in Frage kommen, kann zur Nutzung der Plattformen verpflichtet werden. Aus einer Nichteinwilligung dürfen den Betroffenen keine Nachteile entstehen. Alle drei Plattformen und die zugehörige Dokumentation wurde mitbestimmt.1Die Mitbestimmung wurde 2021 abgeschlossen.

Alles digital

Wie bei jeder in Schule genutzten Plattform sind auch zur Nutzung den Logineo NRW Plattformen Informationen zur Datenverarbeitung gemäß Art. 13/ 14 DS-GVO erforderlich. Diese Informationen finden sich jeweils an zwei Stellen.

Sie finden sich einmal bei jeweiligen Aktivierungsdialog der Plattformen. Bei allen drei Plattformen wird die Einwilligung in die Verarbeitung von personenbezogenen Daten bei Nutzung der Plattformen in elektronischer Form erteilt. Es braucht also kein Papierdokument mit einer Unterschrift!

Informationen zur Datenverarbeitung

Die Informationen zur Datenverarbeitung kann man auch außerhalb dieses Dialogs einsehen. Sie finden sich unter:

Elternanschreiben (mit Einwilligung)

Die Einwilligung kann elektronisch durch Setzen eines Häkchens erteilt werden. Bei jüngeren Schülern geht dieses jedoch nicht ohne die Erziehungsberechtigten. Damit hier alles korrekt abläuft, gibt es Elternanschreiben, die man zuvor ausgibt, bzw. verschickt und dann wieder einsammelt:

Schülergerechte Informationen zum Datenschutz

Die meisten Informationen, welche auf den Produktseiten der Logineo NRW Familie zur Verfügung gestellt werden, richten sich an Erwachsene. Aber es gibt auch Informationen auf einem für Schüler angemessenen Niveau:

Vertrag zur Auftragsverarbeitung

Schulen benötigen bei der Nutzung der Logineo NRW Plattformen gemäß Art. 28 DS-GVO und SchulG NRW einen Vertrag zur Auftragsverarbeitung, den sie mit dem Anbieter abschließen. Da die drei Plattformen von drei verschiedenen Anbietern bereitgestellt werden, braucht es auch drei solche Verträge. Sie finden sich unter:

und werden abgeschlossen wie dort beschrieben.

Die Logineo NRW Plattformen werden an den meisten Schulen von einer Lehrkraft administriert. Manchmal sind es auch zwei Personen und gelegentlich auch die Schulleitung selbst. Damit diese Tätigkeit datenschutzrechtlich abgesichert ist, sollte mit dem bzw. den Administratoren eine sogenannte Administratorenverpflichtung abgeschlossen werden. Diese gilt dann für alle administrativen Tätigkeiten, welche die Personen ausüben, muss aber entsprechend erweitert werden, wenn es um mehr als eine Plattform geht.

Fragen und Antworten zu Logineo NRW und Datenschutz

Auch wenn eigentlich alles in den Dokumenten zu den drei Plattformen von Logineo NRW steht, was man zum Datenschutz wissen sollte, hier noch einmal die wichtigsten Punkte als FAQ:

  • Kann man zur Nutzung der Logineo NRW Plattformen gezwungen werden?
    • Nein, die Nutzung ist freiwillig. Die Einwilligung wird bei der ersten Anmeldung am System, der Account Aktivierung gegeben. Sie kann jederzeit widerrufen werden.
  • Muss zur Nutzung der Logineo NRW Plattformen eine Einwilligung in die Verarbeitung von personenbezogenen Daten gegeben werden?
    • Ja, das ist erforderlich. Ohne geht es nicht. Aber niemand kann zur Einwilligung gezwungen werden.
  • Können Kinder eigenständig in die Nutzung der Logineo NRW Plattformen einwilligen?
    • Nein, bei Kindern und Jugendlichen ist eine Einwilligung der Erziehungsberechtigten erforderlich. Etwa ab dem Alter von 15 oder 16 Jahren sind Jugendliche aber in der Lage die Folgen und Tragweite ihrer Entscheidung abzuschätzen und die Einwilligung eigenständig zu erteilen. Die Eltern sollten trotzdem zumindest informiert werden.
  • Können Kinder eigenständig in die Einwilligung widerrufen?
    • Das können sie durchaus, vor allem wenn es um das Videokonferenz Tool geht. Wenn sie die Kamera nicht einschalten, widerrufen sie zumindest für den Augenblick ihre Einwilligung und das ist zu akzeptieren.
  • Ich habe eingewilligt. Muss ich dann auch mit meinem privaten Endgerät damit arbeiten?
    • Nein, die Nutzung der Plattformen mit privaten Endgeräten ist freiwillig. Lehrkräfte benötigen hierzu außerdem auch eine Genehmigung der Schulleitung für ihr privates Endgerät.
  • Muss ich bei der Nutzung der Videokonferenz Komponente, die Kamera einschalten?
    • Nein, das ist eine Entscheidung im Rahmen des Rechts auf informationelle Selbstbestimmung. Ich kann die Kamera jederzeit ausschalten. Gleiches gilt auch für den Ton. Auch das Mikrofon kann jederzeit deaktiviert werden.
  • Entstehen mir keine Nachteile, wenn ich keine Einwilligung erteile?
    • Es dürfen bei einer nicht-Einwilligung keine Nachteile entstehen. Die Schule muss dann dafür sorgen, dass wichtige Information diese Personen auf alternativen Wegen erreichen.2In der Praxis kann das eine Schule jedoch schon vor enorme Herausforderungen stellen.
  • Welche Daten dürfen in der Bildungscloud von Logineo NRW gespeichert werden?
    • Die Bildungscloud ist für pädagogische Daten gedacht, nicht für pädagogische Dokumentation oder personenbezogene Daten aus der schulinternen Verwaltung. Hierfür gibt es die Verwaltungscloud.
  • Welche Daten dürfen in Logineo NRW LMS gespeichert werden?
    • Das Landes Moodle ist ausschließlich für die Verarbeitung von pädagogischen Daten vorgesehen. Entsprechend ist es auch im Vertrag zur Auftragsverarbeitung festgehalten.3Verarbeitung von Daten im Rahmen einer Aufgabenerfüllung
      Schülerinnen und Schüler, Eltern:
      ▪ Stammdaten
      ▪ pädagogische Inhaltsdaten (z. B. personalisierte Arbeitsergebnisse, …)
      ▪ Stand des Lernprozesses
      ▪ private E-Mail-Adresse
      authentifizierte Nutzerinnen und Nutzer:
      Nutzungsdaten:
      ▪ freiwillig bereitgestellte
      Dokumente, Dateien und Daten
      ▪ Kommunikationsinhalte
       Pädagogische Daten meint hier die von zugeteilten und bearbeiteten Aufgaben, Feedback und Bewertungen, von den Schülern erstellte Artefakte, Kommunikationsinhalte, Umfragebeiträge usw.
    • Es gibt auch noch das von QUA-LIS entwickelte Modul zur digitalen Lern- und Entwicklungsplanung in Logineo NRW LMS. Diese Inhalte im LMS des Landes zu verarbeiten, widerspricht den im Vertrag zur Auftragsverarbeitung vorgesehen Daten. Schulen, welche dieses Modul nutzen, verarbeiten die dabei anfallenden personenbezogenen Daten, die durchaus zu den sogenannten besonderen Kategorien nach Art. 9 DS-GVO gehören können, außerhalb des Vertragsverhältnisses. Das MSB sieht darin, wie sich aus Rückfragen ergab, scheinbar kein Problem. Von QUA-LIS selbst heißt es: “Für sensible personenbezogene Daten ist die Ablage im LOGINEO NRW Datensafe vorgesehen.
      Zur Ausarbeitung der individuellen Förderpläne wird den Lehrkräften in dem Modul zur Lern- und Entwicklungsplanung dazu ein Template zur Verfügung gestellt, das die Ausarbeitung eines Förderplanes vorstrukturiert. Inhaltliche Arbeitsvorschläge finden die Lehrkräfte In der entsprechenden Arbeitshilfe Praxisbeispiele: https://www.schulentwicklung.nrw.de/q/upload/Inklu- sion/Ueberarbeitung_LEP/QUA-LiS_NRW_Arbeitshilfe_LEP.pdf“4In der Arbeitshilfe finden sich Beispiele für Einträge, die den Charakter von medizinischen Diagnosen haben und ganz sicher nicht im LMS verarbeitet werden sollten unter den aktuellen Voraussetzungen..
  • Welche Daten dürfen in Logineo NRW Messenger verarbeitet werden?
    • Der Messenger ist vor allem zur Kommunikation im Unterricht gedacht. Entsprechend dürfen dort pädagogische Inhalte kommuniziert werden. Gleiches gilt auch für das Videokonferenz Tool. Es geht um kurzfristige Kommunikation von Inhalten.5“Die Nutzung des Messengers dient kurzfristigen Kommunikationszwecken wie beispielsweise organisatorischen Absprachen oder dem Bündeln von Arbeitsergebnissen.” Rahmenmediennutzungsordnung Auch Lehrkräfte können untereinander über die Plattformen kommunizieren. Ausgeschlossen von der Verarbeitung im Messenger sind jedoch Dokumente mit sensibleren personenbezogenen Daten wie Notenlisten oder Fördergutachten.6“Die Speicherung oder der Austausch von Dokumenten mit sensiblen personenbezogenen Daten wie beispielsweise Notenlisten oder Fördergutachten sind untersagt.” Rahmenmediennutzungsordnung. Auch wenn der Messenger als sehr sicher gilt, würde es durch solch einen Austausch zu unkontrollierten Speicherungen dieser Daten kommen. Die ausgetauschten Daten verblieben solange auf den Servern des Messengers gespeichert, bis der Chatraum gelöscht wird.
  • Wo in Logineo NRW dürfen personenbezogene Daten der pädagogischen Dokumentation und der schulinternen Verwaltung verarbeitet werden?
    •  Dafür gibt es die Verwaltungscloud von Logineo NRW (Basis Plattform). Wichtig ist, dass besonders sensible Dokumente wie Fördergutachten, Beurteilungen und ähnlich nur im Daten-Safe gespeichert und verarbeitet werden?
  • Kann Logineo NRW zur Datensicherung verwendet werden?
    • Logineo NRW kann zur vorübergehenden Sicherung von personenbezogenen Daten von dienstlichen Endgeräten genutzt werden. Die Plattform ist jedoch nicht für Archiv Zwecke eingerichtet.7“LOGINEO NRW ist nicht für eine Langzeitdatenspeicherung ausgelegt.” Rahmenmediennutzungsordnung Für eine dauerhafte Sicherung von personenbezogenen Daten müssen Server der Schule genutzt werden, die für die Speicherung dieser Arten von Daten eingerichtet sind.
  • Darf die Schulleitung Logineo NRW Messenger mit Video Tool zur Leistungs-und Verhaltenskontrolle von Lehrkräften nutzen?
    • Nein, das ist nicht zulässig. Eine Ausnahme gibt es jedoch bei Hospitationen im Rahmen der Wahrnehmung von Führungsaufgaben bei der Beschaffung von Informationen und Eindrücken zur Unterrichts-und Schulkonzeptentwicklungoder bei dienstlichen Beurteilungen. Hier gelten die normalen Regeln wie auch im Unterricht. Entsprechend den Vereinbarungen der Schule sind Lehrkräfte vorab zu informieren.
    • Auch die anderen Logineo NRW Plattformen dürfen nicht zur Leistungs-und Verhaltenskontrolle von Lehrkräften genutzt werden.
  • Darf die Schulleitung gleichzeitig Administrator einer Logineo NRW Plattform sein?
    • Es gibt kein absolutes Vorbot, welches es Schulleitungen untersagt, die Funktion des Administrators an der eigenen Schule auszuüben, doch es sollte nach Möglichkeit die Ausnahme sein. In der Rahmendienstvereinbarung zwischen dem MSB und den Hauptpersonalräten heißt es hierzu: “Grundsätzlich ist die LOGINEO NRW Administration nicht durch die Schulleitung vorzunehmen, Ausnahmen erfordern das Einvernehmen mit dem Lehrerrat. Alle Personen, die diese Tätigkeiten übernehmen, sind über eine Administratorenverpflichtung auf Ihre Rechte und Pflichten hinzuweisen.” Vor alle an kleinen Schulen dürften die beiden Rollen auf eine Person fallen. Wichtig ist, dass es ein Vertrauensverhältnis gibt zwischen Schulleitung und Lehrkräften. Zur Absicherung gibt es eine Protokollierung aller Administrationstätigkeiten in Logineo NRW. Mit dieser ließe sich nachverfolgen, ob eine Schulleitung sich mit den Administratorrechten unbefugt Zugriff auf ein Nutzerkonto und seine Inhalte verschafft hat.
  • Darf die Schulleitung in mein E-Mail Konto hineinschauen?
    • Nein, das ist nicht zulässig. Es gibt aber eine Ausnahme, die entsprechend in der Rahmenmediennutzungsordnung beschrieben wird: “Wenn in Ausnahmesituationen, die keinen Aufschub dulden, Inhalte eines LOGINEO NRW-Postfachs für dienstliche Zwecke benötigt werden, kann der Zugriff auf das E-Mail-Postfach einer Benutzerin oder eines Benutzers auf Anweisung des oder der Vorgesetzten und nur unter Hinzuziehung eines Mitglieds des Lehrerrats bzw. der Personalvertretung im Vier-Augen-Prinzip durchgeführt werden. Der oder die Betroffene ist über den Zugriff unverzüglich zu unterrichten.”

Stand 12/2022

Veröffentlicht am

Logineo NRW Messenger, AWS und Datenschutz

Lesezeit: 3 Minuten

Der Messenger, den das Land NRW seinen Schulen kostenlos zur Verfügung stellt, basiert auf dem open source Matrix Protokoll und folgt damit der Landesstrategie, quelloffene Plattformen für Schulen bereitzustellen. Als Dienstleister für den Betrieb der Plattform gewann man die SVA System Vertrieb Alexander GmbH aus Wiesbaden, die dann ihrerseits Amazon Web Services1AWS EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg (AWS), eine EU Tochter des US Konzerns Amazon, als Unterauftragnehmer beauftragte.

Letzteres blieb nicht lange unbemerkt, da es selbstredend im Vertrag zur Auftragsverarbeitung, den Schulen bei der Beauftragung des Messengers mit SVA GmbH abschließen, nachzulesen ist. Und so kam es dann zu einer kleinen Anfrage im Landtag NRW2Es waren genau genommen zwei kleine Anfragen zum Thema, Drucksache 17/10918 und 17/11265 und einem daraus folgenden Bericht bei Westpol. Bei Schulen, die den Messenger schon beauftragt hatten oder dieses planten, führte alles dieses zu großer Verunsicherung. Die Beunruhigung ist verständlich, denn als US Anbieter unterliegt auch AWS mit seinen Serverstandorten in Europa dem US amerikanischem CLOUD-Act. US Ermittlungsbehörden können von US Unternehmen, die Server in der EU betreiben, die Herausgabe von personenbezogenen Daten verlangen. Zwar können diese sich vor Gericht dagegen zur Wehr setzen, wenn das Ansinnen der US Ermittler lokalem Datenschutzrecht widerspricht, doch nicht immer sind US Firmen dabei erfolgreich, und es gibt auch Anfragen, die geheim sind3sogenannte GAG Orders und deshalb nicht gerichtlich abgewehrt werden können.

Die kleine(n) Anfrage(n) wurden Anfang Oktober 2020 von der Landesregierung beantwortet und die Antwort ist als Drucksache MMD17-11271 über das Dokumentenarchiv des Landtags einsehbar. Sie lautet kurz gefasst:

Datenschutzbedenken bestehen […] nicht.

Aus der Antwort erfährt man, dass das Land “einen öffentlich bestellten und vereidigten IT-Sachverständigen einbezogen” hat, um bei der Erstellung einer Leistungsbeschreibung  wie auch der Ausschreibung für den Messenger Unterstützung zu erhalten. Da man zu dem Schluss kam, dass der Messenger nur als Cloud Lösung umsetzbar ist, wurde vom Land NRW bereits im Vergabeverfahren die Nutzung von AWS als Cloud-Anbieter vorgesehen. Man hat sich hier von den projektbetreuenden Fachleuten leiten lassen.

Die projektbetreuenden IT Sachverständigen hatten eine besondere Expertise für die Umsetzung eines Projekts dieser Größenordnung in der AWS-Umgebung. Die Umsetzung mit AWS ermöglicht eine den qualitativen Anforderungen entsprechende Durchführung eines so großen Projekts.

Den CLOUD-Act, dem AWS als US Unternehmen unterliegt, schätzt das Land nicht als Risiko ein und führt dafür drei Gründe an:

  1. Eine Übermittlung von personenbezogenen Daten des Messengers aus der AWS Datenregion nach außerhalb der EU, etwa in die USA ist nur zulässig, wenn der Verantwortliche, hier die Schule, diesem zuvor zustimmt.
  2. Wenn es durch US Ermittlungsbehörden ein Verlangen auf Zugriff auf Daten von Nutzern des Messengers gäbe, dann nur, wenn gegen einen Nutzer des Messengers “ein Ermittlungsverfahren einer amerikanischen Strafverfolgungsbehörde eröffnet werden würde.” Dieses wäre dann ein Rechtsvorgang wie auch in Deutschland, da einem solchen Ermittlungsverfahren “eine rechtmäßige Verfügung einer amerikanischen Ermittlungsbehörde oder eines amerikanischen Gerichts” vorausgehe.4        Diese Einschätzung des CLOUD-Acts dürfte ihresgleichen in der Fachwelt suchen. Die Problematik des CLOUD-Act besteht nicht darin, dass US Ermittler möglicherweise außerhalb von geltendem US Recht handeln. Vielmehr erfolgen Zugriffe von US Ermittlungsbehörden auf der Basis des CLOUD-Act außerhalb von internationalem Recht, wie etwa bei einem Ermittlungshilfeabkommen. Das heißt, es gibt keinen Vertrag zwischen der EU und den USA, durch welchen Zugriffe von US Ermittlungsbehörden auf personenbezogene Daten innerhalb der EU auf der Grundlage des CLOUD-Act legitimiert werden. Dadurch stellen diese Zugriffe einen Verstoß gegen die DS-GVO dar.
    Der Fachjurist Carlo Pilz setzt sich in dem Beitrag Schrems II: US CLOUD Act kein Problem? Zumindest nach Ansicht der Landesregierung NRW mit der Einschätzung des CLOUD-Acts durch die Landesregierung auseinander.
  3. Sollte es zu einem Zugriffsbegehren auf personenbezogene Daten von Nutzern des Messengers kommen, wären die von AWS an US Ermittlungsbehörden herausgegebenen Daten für diese wertlos, da sie einmal durch die Ende-zu-Ende-Verschlüsselung während Übermittlung und Speicherung und zusätzlich durch die vom Dienstleister
    SVA eingerichtete Verschlüsselung der in AWS abgelegten Daten geschützt sind.

Der Kern des Sicherheitskonzeptes von Logineo NRW Messenger ist demnach die Sicherheit des Messengers selbst und darüber hinaus Sicherheitsmaßnahmen des Dienstleisters zum Schutz von Daten, die nicht durch die Funktionalitäten des Messengers selbst geschützt werden. Das Matrix Protokoll gilt als sehr sicher und der Messenger verschlüsselt die Kommunikation der Nutzer automatisch.5In den Unterstützungsmaterialien des MSB wie auch den FAQ wird auf die Bedeutung der Ende-zu-Ende Verschlüsselung hingewiesen und die Sicherung der Schlüssel erklärt. Die Nutzung von AWS lässt sich im Fall des Messengers aus datenschutzrechtlicher Sicht dadurch vertreten, dass die Daten der Nutzer vor Zugriffen durch US Ermittlungsbehörden durch ihre Verschlüsselung ausreichend geschützt sind.

Solange das Matrix Protokoll keine Sicherheitslücken aufweist und die Maßnahmen des Dienstleisters ausreichend sicher sind, sollten aus der Nutzung des Logineo NRW Messengers für Schüler und Lehrkräfte auch mit sensiblen Inhalten keine Risiken entstehen.

Veröffentlicht am

Lehrer fotografieren mit ihrem Smartphone in der Schule

Lesezeit: 3 Minuten

Im Zeitalter des Smartphones ist die beste Kamera die, welche man dabei hat. Das ist in der Regel das Smartphone. Digitale Kameras sind an Schulen zwar vorhanden, aber müssen erst ausgeliehen werden. Also Smartphone. Und deshalb kommt immer wieder die Frage auf, ob Lehrkräfte mit ihren Smartphones Aufnahmen von Schülern machen dürfen. Anlage 3 der VO-DV I listet abschließend eine Reihe von personenbezogenen Daten von Schülern und Erziehungsberechtigten, welche Lehrkräfte mit einem privaten Endgerät, für welches sie die Genehmigung der Schulleitung eingeholt haben, auf der Rechtsgrundlage des Schulgesetzes NRW verarbeiten dürfen. Fotos finden sich dort nicht aufgeführt. Im Genehmigungsvordruck ist die Auflistung aus Anlage 3 jedoch unter 3.3 erweitert um mögliche personenbezogene Daten, welche Lehrkräfte mit Genehmigung der Betroffenen auf ihren privaten Endgeräten verarbeiten dürfen.

3.3 Daten, die von Lehrer/innen auf Basis wirksamer Einverständniserklärungen verarbeitet werden dürfen

Darunter finden sich auch Fotos. Die Auflistung kann, wie die zur Genehmigung herausgegebene Handreichung erklärt, an jeder Schule unterschiedlich sein.

Es ist, und darum geht es hier, also problemlos möglich, dass Lehrkräfte mit ihren privaten Smartphones im Schulalltag Fotos von Schülerinnen und Schülern machen. Dieses setzt zunächst die Genehmigung der Schulleitung für die Nutzung des Smartphones zur Verarbeitung von personenbezogenen Daten aus der Schule voraus. Dazu braucht es dann noch die Einwilligung der Betroffenen.

Hinweise

  • Laut der Handreichung zur Genehmigung können Betroffene die Einwilligung auch gegenüber der jeweiligen Lehrkraft erklären.
    • “Unter Punkt 3.3 sind alle Daten aufgeführt, die eine Lehrkraft automatisiert auf privaten Endgeräten verarbeiten darf, wenn der oder die einzelne Betroffene ihr bzw. der Schule die Einwilligung zur Verarbeitung erteilt hat.”1Handreichung zur Genehmigung – abgerufen am 15.08.2020
  • Da Einwilligungen an der Schule sonst grundsätzlich gegenüber der Schulleitung abzugeben sind, empfiehlt es sich, auch hier vor allem bei jüngeren Schülerinnen und Schülern diesen Weg zu wählen. Wenn eine Lehrkraft eine Klasse 9 neu übernimmt und möchte gerne Fotos der Schüler in ihr Noten App aufnehmen, um die Namen schneller lernen zu können, so kann sie die Einwilligung hier sicher auch unkompliziert mündlich einholen. Geht es um mehr, etwa Fotos auf einer Klassenfahrt, Videoaufnahmen im Sport, so sollte die Einwilligung immer schriftlich eingeholt werden, um sie im Zweifelsfall nachweisen zu können, und eben so, dass sie gegenüber der Schulleitung erteilt wird.
  • In der Genehmigung für die Verarbeitung von personenbezogenen Daten auf privaten Endgeräten ist es durchaus möglich, diese für das Smartphone auf das Anfertigen von Fotos einzuschränken, falls die Schulleitung der Ansicht ist, dass ein Smartphone für die Verarbeitung anderer personenbezogener Daten aus der Schule nicht geeignet ist.
  • Lehrkräfte müssen bei der Nutzung eines Smartphones für Fotografien von Schülerinnen und Schülern in der Lage sein, Synchronisation und Backup der Aufnahmen in eine Anbieter Cloud oder eine privat genutzte Cloud per Einstellung zu unterbinden.
  • Nach der Anfertigung sollten die Fotos auf einen Dienstrechner übertragen und vom Smartphone gelöscht werden.

Alternative Lesart der Handreichung

Der Abschnitt

  • “Unter Punkt 3.3 sind alle Daten aufgeführt, die eine Lehrkraft automatisiert auf privaten Endgeräten verarbeiten darf, wenn der oder die einzelne Betroffene ihr bzw. der Schule die Einwilligung zur Verarbeitung erteilt hat.”2Handreichung zur Genehmigung – abgerufen am 15.08.2020

lässt auch eine alternative Lesart zu. Die Formulierung sagt nicht, dass ausdrücklich in die Verarbeitung auf dem Gerät einer Lehrkraft eingewilligt werden muss. Es wird lediglich in die Verarbeitung von bestimmten Daten durch die Schule und damit auch durch die Lehrkraft eingewilligt. Hinzu kommt, auch alle in Anlage 3 der VO-DV I gelisteten Daten können ohne ausdrückliche Einwilligung der Betroffenen auf privaten Endgeräten der Lehrkräfte verarbeitet werden, sofern sie die Genehmigung der Schulleitung dafür haben.

Schließt man sich dieser Lesart an, braucht es keine Einwilligung, in welcher explizit eingewilligt wird, dass die betreffenden Daten auch auf den privaten Endgeräten von Lehrkräften verarbeitet werden dürfen.

Veröffentlicht am

Notbetreuung in Corona Zeiten

Lesezeit: 2 Minuten

Die Corona Pandemie hat es erforderlich gemacht, dass Schulen für die Kinder von Personen, die in kritischen Berufen tätig sind, eine Notbetreuung anbieten. Eltern können für die Anmeldung ein vom Ministerium für Schule und Bildung vorgegebenes Formular1Neben dem Formular des MSB gibt es nach Aussagen des MSB auch Formulare von Schulträgern, die akzeptiert werden sollen: “Eine Reihe von Schulträgern hat ebenfalls Formulare bereitgestellt. Schulleitungen sollten alle Formulare, die ihnen vorgelegt werden, zunächst akzeptieren.” Corona Virus Notbetreuung FAQ Stand 21.04.2020  (die FAQ ist mittlerweile nicht mehr verfügbar – 29.08.2020) ausfüllen, um der Schule gegenüber den Nachweis eines Anrechts auf Notbetreuung des Kindes zu erbringen. Schulen müssen die dafür erforderlichen Daten erheben und die Anzahl der Schüler an die Schulaufsichtsbehörden übermitteln.

Die Rechtsgrundlagen

Wie jede Datenerhebung und -verarbeitung ist es auch hier erforderlich, die Betroffenen entsprechend Art. 13 DS-GVO zu informieren und im Verzeichnis der Verarbeitungstätigkeiten eine Beschreibung der Verarbeitungstätigkeit anzulegen. Die rechtliche Grundlage für die Erhebung und Verarbeitung der Daten aus dem Formular liefert Abs. 1 Satz 1 § 120 Schulgesetz NRW.

Schulen und Schulaufsichtsbehörden dürfen personenbezogene Daten der Schülerinnen und Schüler, der in § 36 genannten Kinder sowie der Eltern verarbeiten, soweit dies zur Erfüllung der ihnen durch Rechtsvorschrift übertragenen Aufgaben erforderlich ist.

Die erforderliche Übermittlung regelt Abs. 5 Satz 2 § 120 Schulgesetz NRW

Die Übermittlung an andere öffentliche Stellen ist zulässig, wenn sie zur Erfüllung einer gesetzlichen Auskunfts- oder Meldepflicht erforderlich ist, ein Gesetz sie erlaubt oder die oder der Betroffene im Einzelfall eingewilligt hat.

Die “durch eine Rechtsvorschrift übertragene Aufgabe” ergibt sich aus der Corona-Betreuungsverordnung des Ministeriums für Arbeit, Gesundheit und Soziales vom 16.04.2020. Dort heißt es zunächst, dass “alle öffentlichen Schulen, Ersatzschulen und Ergänzungsschulen im Sinne des Schulgesetzes für das Land Nordrhein-Westfalen” geschlossen sind. Es werden in §1 Abs. 2 CoronaBetrVO Ausnahmen definiert.

(2) Ausgenommen von Absatz 1 sind […] 2. die Betreuung von Schülerinnen und Schülern, in der Regel der Jahrgangsstufen 1 bis 6, mit besonderem Betreuungsbedarf im Sinne von § 3 Absatz 1 in einer Vor-Ort-Betreuung (Notbetreuung) in den Schulräumlichkeiten. Das Nähere regelt das Ministerium für Schule und Bildung durch Erlass (insbesondere mittels sog. SchulMails);

Darüber hinaus weist das Ministerium für Arbeit, Gesundheit und Soziales den Schulen in der Leitlinie zur Bestimmung des Personals kritischer Infrastrukturen mit Stand vom 15. März 2020 die Aufgabe zu, die Entscheidung zu treffen, ob ein Kind, “dessen Eltern zu dem Kreis der im Bereich kritischer Infrastrukturen beruflich Tätigen gehört,” zur Betreuung an der Schule aufgenommen wird. Dazu ist das ausgefüllte Formular erforderlich.

II. Regelungen
1. Die Entscheidung, ein Kind zur Betreuung in der Schule oder Kindertageseinrichtung aufzunehmen, dessen Eltern zu dem Kreis der im Bereich kritischer Infrastrukturen beruflich Tätigen gehört, treffen die Leitungen der jeweiligen Schule bzw. Kindertageseinrichtungen. Es gelten die bestehenden rechtlichen Zuständigkeiten.
2. Grundlage der Entscheidung sind: (a) der Nachweis oder die Zusicherung, dass beide Elternteile (soweit nicht alleinerziehend) nicht in der Lage sind, die Betreuung zu übernehmen, weil sie in einer kritischen Infrastruktur tätig sind, und (b) das Vorliegen (oder die Zusicherung der Vorlage) einer schriftlichen Zusicherung der jeweiligen Arbeitgeber beider Elternteile (soweit vorhanden), dass deren Präsenz am Arbeitsplatz für das Funktionieren der jeweiligen kritischen Infrastruktur notwendig ist.2 Leitlinie zur Bestimmung des Personals kritischer Infrastrukturen, Stand: 15. März 2020

Die Rechtsgrundlage für die Übermittlung der Anzahl der zur Notbetreuung angemeldeten Schüler ergibt sich aus Schulmail Nr. 6 vom 17.03.2020.

“Bitte melden Sie der Schulaufsichtsbehörde noch am 18.03.2020, wie viele Schülerinnen und Schüler Sie am Mittwoch in die Notbetreuung aufgenommen haben.”

Vorlagen

Tipp

Stellen Sie die Informationen zur Datenverarbeitung bezüglich der Notbetreuung, angepasst an Ihre Schule, auf Ihrer Schulhomepage bereit, vielleicht kurzfristig über einen Link und einen Hinweis auf der Startseite und sonst verlinkt als PDF Download dort, wo die anderen Informationen zur Datenverarbeitung entsprechend Art. 13 DS-GVO bereitgestellt werden. Die Beschreibung der Verarbeitungstätigkeit Notbetreuung nehmen Sie in Ihr Verzeichnis der Verarbeitungstätigkeiten auf. Alternativ übertragen Sie die Informationen in das Referenzverzeichnis von Verarbeitungstätigkeiten der Medienberatung NRW, falls Sie dieses nutzen.

Veröffentlicht am

Einwilligung ohne Papier in Zeiten von Corona

Lesezeit: < 1 Minute

In Zeiten des Corona Virus sind die Schulen geschlossen und trotzdem muss der Unterrichtsbetrieb irgendwie weiterlaufen. Auch die Kommunikation mit Schülern und Erziehungsberechtigten muss möglichst reibungslos und unaufwändig weiterhin möglich sein. Schulen setzen von daher vermehrt auf Online-Plattformen und Apps. Da diese in der Vergangenheit jedoch entweder noch nicht genutzt wurden oder nur von einem Teil der Schülerinnen, Schüler, Lehrkräfte und eventuell auch Eltern, ist es oftmals erforderlich, eine Einwilligung der Betroffenen einzuholen. Wollte man dieses in Papierform erledigen, wäre solches mit sehr viel Aufwand verbunden. Außerdem müsste damit gerechnet werden, dass die Rücklaufquote nicht 100 % ist und je nach Situation sogar extrem gering ausfallen könnte, etwa weil Person das Haus nicht verlassen können.

Was viele nicht bekannt ist, Einwilligungen können durch aus auch elektronisch von den Betroffenen eingeholt werden. Auf welcher  Rechtsgrundlage dieses für Schulen in Nordrhein-Westfalen möglich ist wie man elektronische Einwilligungen umsetzen kann, wird in dem Beitrag Einwilligung einholen ohne Papier ausführlich erklärt.

Einwilligung einholen ohne Papier

Lesezeit: 4 Minuten

In der Vergangenheit sah die VO-DV I die Einwilligung in elektronischer Form nur als Ausnahme vor. In der §3 Abs. 2  VO-DV I hieß es zur elektronischen Einwilligung deshalb noch bis Dezember 2021:

“(2) Nicht in den Anlagen aufgeführte Daten dürfen nur erhoben werden, wenn die oder der Betroffene eingewilligt hat. Die Einwilligung ist schriftlich gegenüber der Schulleitung zu erklären. Sofern dies wegen besonderer Umstände angemessen ist, kann die Einwilligung ausnahmsweise in elektronischer Form erfolgen. Dabei sind die Grundsätze des § 13 Absatz 2 des Telemediengesetzes vom 26. Februar 2007 (BGBl. I S. 179), das zuletzt durch Artikel 1 des Gesetzes vom 21. Juli 2016 (BGBl. I S. 1766) geändert worden ist, zu erfüllen.”

Mit der Änderung der VO-DV I im Dezember 2021 ist diese Einschränkung aufgehoben worden, da sie den Vorgaben der DS-GVO widersprach. Entsprechend heißt es jetzt in §3 Abs. 2  VO-DV I:

“(2) Nicht in den Anlagen aufgeführte Daten dürfen nur erhoben werden, wenn die oder der Betroffene eingewilligt hat. Die Einwilligung ist gegenüber der Schulleitung zu erklären. Die Schulleitung muss nachweisen können, dass eingewilligt wurde. Dabei sind die Grundsätze des Artikels 4 Nummer 11 und des Artikels 7 der Datenschutz-Grundverordnung zu erfüllen.”

Die bisherige Vorgabe der Schriftform entfällt damit und der Widerspruch zur DS-GVO ist aufgelöst.

Elektronische Einwilligung in der DS-GVO

Die DS-GVO regelt das Thema Einwilligung in Artikel 7. Eine Formerfordernis für die Einwilligung sucht man dort vergeblich. In Erwägungsgrund 32 wird jedoch eine Aussage hierzu gemacht.

“Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung.”

Entsprechend kommentiert auch die Fachliteratur.

“Die DSGVO verlangt keine bestimmte materielle Verstetigung oder Übermittlung der Willensbekundungen. Es gilt der Grundsatz der Formfreiheit. Eine Erklärung kann schriftlich, mündlich und auch elektronisch an den Adressaten gerichtet werden (EG 32 S. 1). Im Sinne der DSGV erfolgt „elektronisch“ auch eine durch einfache E-Mail oder über ein Onlineformular übermittelte Einwilligung. § 126 a BGB und § 3 a Abs. 2 S. 1 VwVfG sind nicht anwendbar.”1Klement in Simitis DS-GVO Art. 7 Rn. 39

Praktische Umsetzung

Bezüglich der elektronischen Einwilligung gibt es verschiedene Möglichkeiten. Für den Fall, dass es beispielsweise um die Einwilligung zur Nutzung einer App oder einer Onlineplattform geht, welche der Schule selbst keine Möglichkeit gibt, darüber die Einwilligung der Erziehungsberechtigten beziehungsweise Schüler einzuholen wie bei Logineo NRW, dann bleibt immer der Weg über E-Mail, ein von der Schule genutztes App zur Kommunikation oder einen sicheren Messenger. Wichtig ist, dass die Schule die Einwilligung der Betroffenen dokumentieren kann. Dazu muss die elektronische Einwilligung in irgendeiner Form, idealerweise als PDF, gespeichert werden. Bei der Übermittlung sollte auf Sicherheit geachtet werden und es sollten nur die personenbezogenen Daten in der Einwilligung erfasst werden, welche dafür zwingend erforderlich sind (Datenminimierung).

E-Mail – direkt

Eine Möglichkeit, die Einwilligung einzuholen, ist direkt über E-Mail. Dazu werden wie in der Papierversion die Informationen zur Datenverarbeitung entsprechend Art. 13 DS-GVO in das E-Mail gepackt, wie auch der eigentliche Einwilligungstext mit einem Anschreiben der Schulleitung. Anstelle der Unterschrift reicht dann, wenn die Betroffenen ihre Einwilligung beispielsweise durch Schreiben des Wortes JA geben.

Die Rück Antwort der Betroffenen mit der Einwilligung sollte als PDF gedruckt und mit einem eindeutigen Dateinamen gesichert werden, um die Einwilligung nachweisen zu können.

Ein Beispiel, wie man das E-Mail mit der Einwilligung gestalten könnte:

E-Mail – PDF

Eine andere Möglichkeit besteht darin, die für Papier entworfene Einwilligung in ein PDF Formular umzuwandeln. Dieses kann man relativ leicht mit LibreOffice tun. Diese kostenlose Office Suite bietet die Möglichkeit, Eingabefelder für Text und Auswahlfelder (Checkboxen) anzulegen und das gesamte Text Dokument anschließend als PDF Dokument abzuspeichern.Dieses wird dann von den Betroffenen an einem Computer, Tablet oder Smartphone ausgefüllt und an die Schule zurück geschickt.

Das von den Betroffenen rückübermittelte PDF sollte mit einem eindeutigen Dateinamen gesichert werden, um die Einwilligung rechtssicher nachweisen zu können.

Ein Beispiel, wie eine als PDF gestaltete Einwilligung aussehen könnte2In diesem Formular müsste die Schule auf der ersten Seite den Namen der Schulleitung ergänzen und auf der zweiten Seite die Kontaktdaten der Schulleitung und des Datenschutzbeauftragten.:

E-Mail – Microsoft Word Dokument

Aus Sicherheitsgründen wird von einer Nutzung dieses Formats abgeraten. Dabei geht es weniger darum, dass die Schule eventuell Betroffene gefährdet, sondern umgekehrt dass das Verwaltungsnetz der Schule durch zurückgeschickte und eventuell infizierte Word Dateien gefährdet wird

Schul App

Schulen, die eine Schul App nutzen, die eine Kommunikation mit den Betroffenen ermöglicht, wie etwa Schulmanger Online, Elternnachricht, Sdui, Schul-Info-App, schul.cloud Pro, Elternportal, SchoolFox Plus, ISY-Schule, Die SchulApp u. Ä. können diese Plattformen zur Übermittlung eines PDF nutzen.

Messenger

Ein PDF könnte auch mit einem sicheren Messenger übermittelt werden, etwa Wire oder Threema3Die Schule sollte mit diesen Anbietern einen Vertrag zur Auftragsverarbeitung abgeschlossen haben.

Hinweis – direktes Einholen Einwilligung online

Logineo NRW erlaubt es, die Einwilligung der Betroffenen direkt bei der Anmeldung an der Plattform einzuholen. Wichtig ist hierbei, dass es sich um eine Einwilligung gegenüber der Schule bzw. Schulleitung handelt, die über den Weg der Plattform eingeholt wird. Auch an anderen Plattformen können Nutzereinwilligungen geholt werden. Diese stellen in der Mehrzahl der Fälle jedoch eine Einwilligung gegenüber dem Plattformbetreiber dar. Das ist nicht gleichzusetzen mit einer Einwilligung gegenüber der Schule. Man sollte hier als Schule genau hinsehen, ob dieses Verfahren den rechtlichen Vorgaben zur Erteilung einer Einwilligung gegenüber der Schule tatsächlich Genüge tut. Genauso müsste mit der Einwilligung gegenüber der Schule auch über die Datenverarbeitung durch die Schule bei Nutzung der Plattform informiert werden. Diese Informationen sind nicht gleichzusetzen mit der Datenschutzerklärung des Anbieters, auch wenn es inhaltliche Überschneidungen gibt.

Stand 06/2022

Veröffentlicht am

Darf Schule die Adressen ehemaliger Schüler herausgeben?

Lesezeit: 2 Minuten

Vor allem weiterführende Schulen finden sich immer einmal wieder in der Situation, dass ehemalige Schüler anfragen, ob man ihnen Listen mit Namen und Kontaktdaten ehemaliger Mitschüler und Lehrkräfte aushändigen könne, damit man diese zu einem Klassen- oder Ehemaligentreffen einladen kann. Darf die Schule diese Informationen herausgeben und wenn ja unter welchen Bedingungen?

Das Schulgesetz NRW

Ein schneller Blick in §120 Abs. 5 Satz 3 SchulG NRW erbringt folgende Ergebnis:

“Die Übermittlung von Daten der Schülerinnen und Schüler und der Eltern an Personen oder Stellen außerhalb des öffentlichen Bereichs ist nur zulässig, wenn ein rechtlicher Anspruch auf die Bekanntgabe der Daten besteht und schutzwürdige Belange der oder des Betroffenen nicht beeinträchtigt werden oder wenn die oder der Betroffene im Einzelfall eingewilligt hat.”

Anfragende ehemalige Schülerinnen und Schüler oder auch Lehrkräfte handeln im beschriebenen Fall als Privatpersonen. Sie gelten damit als Personen außerhalb des öffentlichen Bereichs und fallen unter die Regelung aus Satz 3. Aus der Absicht, ein Ehemaligentreffen zu veranstalten, lässt sich kein rechtlicher Anspruch ableiten. Die Wahrscheinlichkeit, dass man an der Schule in der Vergangenheit Einwilligungen bei den ehemaligen Schülern wie Lehrkräften eingeholt hat, ihre Kontaktdaten zum Zweck der Organisation von Ehemaligentreffen an ehemalige Schüler herauszugeben, dürfte äußerst gering sein.

Für den Fall, dass keine entsprechende Einwilligung vorliegt, darf Schule die personenbezogenen Daten der ehemaligen Schüler und Lehrkräfte nicht herausgeben.

Alternativen

Gibt es trotzdem Möglichkeiten ehemalige Mitschüler und Lehrkräfte zur Organisation eines Ehemaligentreffens zu kontaktieren? Der Kommentar zum Schulgesetz NRW115. Erg.-Lfg., SchulG NRW-Kommentar, März 2015, Katernberg, S. 81f stellt das Adressmittlungsverfahren als eine Alternative vor, wie die Schule das Anliegen der ehemaligen Schüler unterstützen kann. Die Organisatoren des Ehemaligentreffens übergeben der Schule die Anschreiben mit Bitte um Mitteilung der Kontaktdaten an das Organisatorenteam, gedruckt oder als Vorlage für die Textverarbeitung, und die Schule versieht diese mit den Adressen der Ehemaligen. Anschließend gibt die Schule die fertigen Anschreiben in den Postversand. Die Ehemaligen entscheiden dann selbst, ob sie dem Organisatorenteam ihre Kontaktdaten übermitteln wollen oder nicht.

Alternativ stehen den Organisatoren auch noch weitere Möglichkeiten offen. Sie könnten die Schule bitten, das geplante Ehemaligentreffen auf die Schulhomepage zu setzen mit der Bitte um Anmeldung durch die Ehemaligen. Das Organisatorenteam könnte neben der Schulhomepage ihr Ehemaligentreffen auch über örtliche Zeitung oder Social Media bewerben.

Andere Bundesländer

Ein Blick über die Landesgrenzen hinaus zeigt, dass die Handhabe dieses Themas in nicht in allen Bundesländern gleich ist. In Rheinland-Pfalz findet sich in ÜSchO § 89 Abs. 8 eine Regelung, die eine Rechtsgrundlage für die Weitergabe von personenbezogenen Daten ehemaliger Schüler und auch Lehrkräften an Schüler zur Organisation von Ehemaligentreffen regelt.

(8) Die Schule kann ehemaligen Schülerinnen und Schülern die zur Organisation eines Treffens geeigneten personenbezogenen Daten von ehemaligen Schülerinnen, Schülern und Lehrkräften übermitteln.

 

 

Veröffentlicht am

Schule – Offener Ganztag – Schulsozialarbeit & Datenschutz

Lesezeit: 3 Minuten

Was ist bezüglich datenschutzrechtlicher Vorgaben zu beachten bei der Zusammenarbeit von Schule und offenem Ganztag (OGS)? Und wie sieht es aus, wenn es um die Schulsozialarbeit geht? Diese Fragen beschäftigen viele, denn die Rechtslage erschließt sich den Beteiligten aus den Gesetzen und Verordnungen nur ungenügend. Auch ich selbst hatte hier mangels besseren Wissens bisher eher konservativ beraten und für die Weitergabe von personenbezogenen Daten an den OGS sowie Schulsozialpädagogen, die nicht nach §58 auf Lehrerstellen sitzen und somit als Landesbedienstete gelten, das Einholen einer Einwilligung zur rechtlichen Absicherung empfohlen.

In §120 Schulgesetz NRW heißt es:

“Die gespeicherten personenbezogenen Daten dürfen in der Schule nur den Personen zugänglich gemacht werden, die sie für die Erfüllung ihrer Aufgaben benötigen.”

Doch wer ist mit den Personen gemeint? Es geht um Personen in der Schule, also definitiv nicht um Personen außerhalb der Schule. Und damit ist auch klar, dass dazu neben den Lehrkräften und Schulsozialpädagogen, die nach §58 als Landesbedienstete auf Lehrerstellen sitzen, auch die Mitarbeiter im Schulsekretariat gehören, Integrationshelfer, Hausmeister und auch Eltern wie Schüler, die in Mitwirkungsgremien tätig sind1entsprechend §§ 62 ff SchulG NRW oder Eltern, welche am Unterricht teilnehmen bzw. dort in Teilbereichen mitarbeiten.2entsprechend §44 Abs. 3 SchulG NRW

Kleine Anfrage im Landtag

Im Dezember 2019 wurde dann genau dieses Thema Gegenstand einer kleinen Anfrage mit dem Titel Datenschutzrechtliche Zusammenarbeit in der Schule, im Hinblick auf den offenen Ganztag (OGT) und die Schulsozialarbeit (Drucksache 17/8328) Vier Fragen wurden der Landesregierung NRW gestellt:

  1. Welche Personengruppen werden mit der Formulierung „in der Schule nur den Personen“ (§ 120 (1) SchulG) neben Lehrer*innen (§ 57 SchulG) und weiteren Landesbedienstete nach § 58 SchulG gesehen?
  2. Welche personenbezogenen Daten dürfen den Mitarbeitern des offenen Ganztags übermittelt werden bzw. mit diesen ausgetauscht werden?
  3. Ist das Zusammenstellen einer Liste von Schüler*innen und die Weitergabe der Liste an die Mitarbeiter*innen der Multiprofessionellen Teams erlaubt? Und falls ja, aufgrund welcher Rechtsgrundlage ist das erlaubt?
  4. Plant die Landesregierung dies in einer Neufassung der VO DV I klarzustellen?

Antwort der Landesregierung

Im Januar 2020 wurden dann die Antworten auf die Anfrage als Drucksache 17/8396 veröffentlicht. Dabei wurde deutlich, dass die Landesregierung die Gesetzestexte sehr viel weiter auslegt, als viele Datenschutzbeauftragte das bisher taten.

  1. Zu den Personen, denen zur Erfüllung ihrer Aufgaben nach § 120 Abs. 1 SchulG NRW personenbezogene Daten zugänglich gemacht werden dürfen, gehört neben den Lehrkräften und sonstigen im Landesdienst stehendem pädagogischen und sozialpädagogischen Personal nach § 58 SchulG auch im Ganztag eingesetztes Personal3Verwiesen wird bezüglich dieses Personals auf Nr. 7 des Rd.Erl. zum Ganztagsangebot – BASS 12-63 Nr. 2.pdf .
  2. Da nach Aussage der Landesregierung Ganztagsangebote auch von außerschulischen Trägen als schulische Veranstaltung gelten, ist es damit auch zulässig, den Mitarbeiterinnen und Mitarbeitern des offenen Ganztags diejenigen personenbezogenen Daten zugänglich zu machen, welche diese Personen zur Erfüllung der Angebote des Ganztags benötigen. Dazu gehört dann auch der Austausch zu den Förderbedarfen der Schülerinnen und Schüler.
  3. Auch externen Sozialarbeiter bzw. Sozialpädagogen, die anderes als Schulsozialpädagogen im Landesdienst nicht zu den Personen gemäß §58 SchulG NRW zählen, dürfen entsprechend der unter 1. beschrieben Auslegung von §120 Abs. 1 SchulG NRW durch die Landesregierung personenbezogene Daten aus der Schule zugänglich gemacht werden. Dieses ist allerdings nur dann zulässig, sofern sie als Mitglied eines Multiprofessionellen Teams4gemäß der Erlasse 21-13 Nr. 6 „Beschäftigung von Fachkräften für Schulsozialarbeit in Nordrhein-Westfalen“ sowie 21-13 Nr. 9 „Soziale Arbeit an Schulen zur Integration durch Bildung für neu zugewanderte Schüler*innen (Multiprofessionelle Teams)“ diese Daten zur Erfüllung ihrer Aufgaben benötigen. Das meint hier eine Liste mit den Namen der Schülerinnen und Schüler, die sie zu betreuen haben.
  4. Eine entsprechende Änderung des Schulgesetzes NRW oder der anhängigen Verordnungen ist nicht geplant.

Hinweis: Man sollte bezüglich Antwort 2 unbedingt berücksichtigen, dass es ausdrücklich um den Austausch zu den Förderbedarfen der Schülerinnen und Schüler geht, die Informationen, die zur Erfüllung der Angebote des Ganztags benötig werden. Personenbezogene Daten, welche nicht darunter fallen, können nur mit Einwilligung der Erziehungsberechtigten weitergegeben werden. So würde die Bankverbindung der Erziehungsberechtigten sicher nicht darunter fallen, falls es dem Träger etwa darum ginge, diese zu aktualisieren und er dafür bei der Schule anfragt. Gleiches dürfte auch für Kontaktdaten gelten, welche der Träger normalerweise von Schulträger erhalten sollte.

Fazit

Mit der Antwort der Landesregierung auf die kleine Anfrage besteht jetzt endlich Klarheit bezüglich der datenschutzrechtlichen Stellung von Mitarbeiterinnen und Mitarbeitern von Trägern, die im offenen Ganztag eingesetzt sind. Da der offene Ganztag als schulische Veranstaltung gilt, darf die Schule diesen Personen die personenbezogenen Daten derjenigen Kinder im OGS zugänglich machen, welche sie zur Erfüllung der Angebote des Ganztags benötigen. Darunter fallen dann beispielsweise auch Informationen zu den Förderbedarfen der im OGS betreuten Schülerinnen und Schüler. Für die Schulen, das meint vor allem Grundschulen, besteht von daher keine Erfordernis, eine Einwilligung der Erziehungsberechtigten einzuholen, um sich mit Mitarbeitern des OGS bezüglich der dort betreuten Kinder auszutauschen.

Externen Schulsozialarbeitern dürfen personenbezogene Daten (Namenslisten von zu betreuenden Schülerinnen und Schülern) zugänglich gemacht, wenn sie Mitglied eines Multiprofessionellen Teams an der Schule sind. In allen anderen Fällen gilt weiterhin, dass eine Weitergabe von personenbezogenen Daten von Schülern eine Einwilligung der Betroffenen voraussetzt.

Interessant sind in dem Zusammenhang vielleicht auch:

Stolz präsentiert von WordPress