Schule – datenschutz-schule.info

Empfehlung zur Konfiguration von iPads für Lehrkräfte

Lesezeit: 2 Minuten

Leihgeräte für Lehrkräfte heißt die zweite Zusatzvereinbarung zum Digitalpakt und ermöglicht mit rund 500 € je Lehrkraft die Beschaffung von digitalen Endgeräten. In NRW begann man schon vor Eintreffen dieser Gelder mit der Beschaffung von dienstlichen Endgeräten. In vielen Kommunen wurden einheitlich iPads für alle Lehrkräfte beschafft und selbst in Kommunen, wo man den Lehrkräften die Wahl ließ, gab es mit einem Mal eine große Zahl von iPads, die zu verwalten waren. Die Erfahrungen in den kommunalen IT Abteilungen und bei beauftragten Dienstleistern mit der Verwaltung von iPads über MDM ist in vielen Fällen begrenzt. Verwaltet wurden bisher überwiegend iPads für Schülerinnen und Schüler. In NRW gibt BASS 2020/2021 – 11-02 Richtlinie über die Förderung von dienstlichen Endgeräten für Lehrkräfte an Schulen in Nordrhein-Westfalen den Rahmen vor, wie die Geräte zu verwalten sind und genutzt werden können. Das Problem hierbei ist, in den rechtlichen Vorgaben werden nur sehr grobe Parameter vorgegeben. Dazu gehört, dass die Geräte die Schulen, das meint hier die Lehrkräfte, “bei der rechtssicheren Arbeit mit personenbezogenen Daten nach den Vorgaben der §§ 120 bis 122 des Schulgesetzes NRW und der Verordnung für die zur Verarbeitung zugelassenen Daten von Schülerinnen, Schülern und Eltern (VO-DV I) und der Verordnung über die zur Verarbeitung zugelassenen Daten der Lehrerinnen und Lehrer (VO-DV II)” unterstützen sollen.

Damit das möglich ist, müssen die dienstlichen iPads über das MDM so gesteuert werden, dass bei der Verarbeitung von personenbezogenen Daten auf dem Gerät die Vorgaben von Art. 5 lit. f DS-GVO eingehalten werden können. Es geht dabei vor allem um den Schutz und die Sicherheit der Verarbeitung. Unbefugte dürfen keinen Zugriff auf die Daten erhalten, nicht um sie auszulesen, zu übermitteln oder zu verändern, noch um sie zu löschen. Daten dürfen nicht unkontrolliert vom Gerät abfließen.

iOS bietet im in Verbindung mit iCloud Diensten eine Vielzahl von Funktionen, welche die Arbeit mit einem iPad unterstützen. iPads sind in aller erster Linie Consumer Geräte, werden aber auch in der Wirtschaft, in Verwaltung und in Schulen eingesetzt. Deshalb stellt Apple für iOS Möglichkeiten bereit, über welche sich diese Funktionen sowie das Zusammenspiel von iPad und iCloud steuern lässt.

Das Problem, vor welchem man nun bei der Konfiguration und Steuerung der dienstlichen iPads steht, ist die Auswahl der “richtigen” Einschränkungen. Welche Funktionen müssen eingeschränkt und welche dürfen zugelassen werden? Soll man die Nutzung einer privaten Apple ID auf dem dienstlichen iPads gestatten oder ist dieses zu riskant? Die folgende Empfehlung soll eine Orientierung geben und als Grundlage dienen, hier Entscheidungen zu treffen.

Empfehlungen für die Konfiguration und Verwaltung von dienstlich genutzten iPads

Kurzübersicht der empfohlenen Einschränkungen

Schutzbedarf – normal-Empfehlungen.pdf

Bitte beachten Sie, dass verfügbare Einschränkungen (engl. payloads) sich von MDM zu MDM etwas unterscheiden. Diese Empfehlung nutzt die in JamfSchool verfügbaren Einschränkungen. Mit größeren Updates können sich verfügbare Einschränkungen verändern, neue hinzu kommen, alte verschwinden. Die Empfehlungen werden nach Möglichkeit zügig angepasst, wenn es Veränderungen gibt, welche Auswirkungen haben auf Datenschutz- und Sicherheit. Achten Sie deshalb auf die Versionsnummer des Dokuments.

April 9, 2020Mai 6, 2021

Padlet mit Einwilligung nutzen

Lesezeit: 2 Minuten

Padlet ist sehr beliebt bei Lehrkräften, da es einfach zu nutzen ist, für Schüler wie Lehrkräfte. Meist werden von Lehrkräften kostenlose Konten mit einer beschränkten Anzahl von Padlets erstellt. Mitunter ist Lehrkräften Padlet so nützlich, dass sie dafür sogar zahlen.

Es gibt mittlerweile eine sehr attraktive Alternative zu Padlet. Sie nennt sich Taskcards, kommt aus Deutschland und ist darauf ausgelegt, alle datenschutzrechtlichen Vorgaben einzuhalten. Vieles von dem, was man mit Padlet machen kann, funktioniert auch bei Taskcards. Die Plattform entwickelt sich schnell. Es gibt einen Vertrag zur Auftragsverarbeitung. Ein Beispiel für die Seite einer Grundschule und wie Taskcards wie Padlet für den Distanzunterricht eingesetzt werden kann Klasse 1b – Frau Kemter

Ohne eigenes Nutzerkonto der Schüler

Eine Nutzung von Padlet ist ohne eigenes Konto für Schüler möglich. Der Zugriff auf ein Padlet erfolgt dann auf Einladung durch die Lehrkraft über einen Link. Je nach Art der Nutzung fallen dabei fast gar keine bis einige personenbezogene Daten an. Erfolgt die Nutzung auf schulischen Endgeräten, ohne eine Anmeldung der Schüler an anderen externen Diensten und am Standort Schule, bleibt die Nutzung anonym, solange keine Inhalte mit personenbezogenen Daten in das Padlet eingestellt werden. Anders ist das bei der häuslichen Nutzung an einem privaten Endgerät oder im Fall von BYOD in der Schule. Über das Gerät, das System, den Browser und eventuelle Logins an anderen Plattformen sind Schüler für Padlet und dort eingesetzte Technologien von Dritten durch dort vorhandene Daten oder Zusammenführung mit Daten aus anderen Quellen potentiell identifizierbar.¹

Vertiefende Informationen zur Datenverarbeitung durch Padlet finden sich unter Datenschutz Check – Padlet – digitale Pinnwand. Dort geht es auch um den Vertrag zur Auftragsverarbeitung, den Schulen mit dem Anbieter abschließen können, wenn sie ein Schulkonto einrichten.

Padlet mit Vertrag zur Auftragsverarbeitung

Padlet bietet auch die Möglichkeit, einen Vertrag zur Auftragsverarbeitung abzuschließen. Dieser ist erhältlich, wenn Schulen eine Backpack Schul- oder Lehrerlizenz erwerben. Der Vertrag zur Auftragsverarbeitung nennt sich bei Padlet Data Processing Addendum. Im Datenschutz-Check zu Padlet ist er genauer beschrieben und kann dort auch eingesehen werden.

Information und Einwilligung

Wie bei jeder Einwilligung sollten die Betroffenen, Eltern und Schüler, in die Lage versetzt werden, eine informierte Entscheidung zu treffen. Dafür sollten auch Informationen zur Datenverarbeitung bei Padlet gegeben werden. Ziel dieser Vorlage ist es, die Informationen möglichst leicht verständlich zu geben.

Einwilligung Schüler – Padlet.docx

Hinweis 1
Lehrkräfte sollten vor einer Nutzung von Padlet wie auch anderen Online Tools, welche eine aktive Beteiligung von Schülern einschließt, die Genehmigung der Schulleitung einholen oder sie zumindest informieren. Wird Padlet nur als Website genutzt, um Schülern Inhalte bereitzustellen – und es geht nicht um eine aktive Arbeit der Schüler im Padlet – braucht es weder einer Einwilligung der Betroffenen noch eine Genehmigung/ Informierung der Schulleitung. Ein Padlet ist dann nichts anders als jede andere Website.

Hinweis 2
Bitte beachten Sie, dass durch das EU-GH Urteil vom 16.07.2020, der EU-US Privacy Shield für ungültig erklärt wurde. Transfers von personenbezogenen Daten in die USA, wie sie auch bei einer Nutzung von Padlet möglich sind, können damit nicht mehr auf der Grundlage des EU-US Privacy Shield erfolgen. Eltern sollten entsprechend informiert werden. Bei einer Nutzung von Padlet ohne personenbezogene oder -beziehbare Daten von Schülerinnen und Schülern, wie oben beschrieben, hat der Wegfall es EU-US Privacy Shield keine nachteiligen Auswirkungen.

Stand 05/2021

März 11, 2020Oktober 31, 2020

Wenn Eltern personenbezogene Daten per E-Mail an die Schule senden …

Lesezeit: 3 Minuten

Es kommt immer wieder einmal vor, dass Eltern personenbezogene Daten via E-Mail an Lehrkräfte oder die Schule übermitteln. Mal ist es das eingescannte oder abfotografierte ärztliche Attest, mit welchem das Kind entschuldigt werden soll oder es ist eine Krankmeldung mit ausführlicher Darstellung des Befundes. Mitunter übermitteln Eltern auch Unterlagen, welche bei der Anmeldung an einer Schule vorzulegen sind, vom letzten Grundschulzeugnis bis zur Geburtsurkunde.

Auch aus diesem Grund wird von Lehrkräften immer mal wieder die Frage gestellt, ob sie dann den Eltern auf gleichem Wege antworten dürfen und dabei auch personenbezogene Daten übermitteln können?

Die E-Mail-Adresse, welche von Erziehungsberechtigten bei der Anmeldung an der Schule angegeben wird, kann selbst verständlich genutzt werden, um allgemeine Informationen an die Eltern zu übermitteln. Das können der schulische Newsletter sein, das Elternrundschreiben, die Informationen zur nächsten Klassenfahrt und ähnlich.

Schreiben Eltern, die gerade dabei sind, ihre Kinder an der Schule anzumelden, der Schule per E-Mail, so kann die Schule auf gleichem Wege antworten. Eltern müssen damit rechnen, dass ein E-Mail Empfänger, hier die Schule, die Absenderadresse nutzt, um seine Antwort an diese zu richten. Allerdings sollte sich die Schule davor hüten, auf diesem Wege personenbezogene Daten an die Eltern zu übermitteln. Wenn die Schule per E-Mail Unterlagen erhält, kann sie den Empfang dieser auf gleichem Wege bestätigen und sollte die Eltern dabei darauf hinweisen, dass dieser Weg der Übermittlung unsicher ist und man davon abrät, personenbezogene Daten des Kindes, vor allem sensible personenbezogene Daten, auf diesem Wege an die Schule zu übermitteln. Abhalten kann man die Eltern letztlich nicht von ihrem Handeln. Sie tun es in eigener Verantwortung und auf eigenes Risiko.

Die Schule auf ihrer Seite kann dieses nicht tun. Wenn sie als verantwortliche Stelle personenbezogene Daten verarbeitet, muss die Sicherheit der Verarbeitung gewährleistet sein. Das schließt auch die Übermittlung von personenbezogenen Daten ein. Selbst mit Einwilligung der Eltern sollte von einer ungeschützten Übermittlung von sensiblen personenbezogenen Daten per E-Mail abgesehen werden.¹

Welche Möglichkeiten haben Schulen, Eltern personenbezogene Daten zu übermitteln?

Es bleiben immer die klassischen Möglichkeiten, Eltern wichtige personenbezogene Daten per Post oder telefonisch zu übermitteln. Je nach Situation sind diese beiden Möglichkeiten aber nicht passend, etwa da Briefe zu lange brauchen, bis sie beim Empfänger ankommen, oder da einige Eltern telefonisch schwer erreichbar sind. Alternativ können Schulen auch sichere Messenger nutzen oder spezialisierte Apps für Schulen mit Funktionen zur Übermittlung von Nachrichten. WhatsApp, das auch bei Eltern weit verbreitet ist, bietet zwar eine sichere Ende-zu-Ende Verschlüsselung, kann aber von Schulen nicht für die Übermittlung von Nachrichten mit personenbezogenen Daten an Eltern genutzt werden, da die datenschutzrechtlichen Voraussetzungen insgesamt nicht gegeben sind. NRW gesteht Lehrkräften momentan die Möglichkeit zu, Eltern Nachrichten, auch mit personenbezogenen Daten, über WhatsApp zu übermitteln, wenn dieses im gegenseitigen Einvernehmen erfolgt. ²

Es gibt allerdings gute Alternativen zu WhatsApp und E-Mail. Am Markt haben sich mittlerweile gut ein Dutzend Anbieter etabliert, welche spezielle Kommunikationsplattformen für Schulen entwickelt haben. Viele dieser Plattformen bieten außer Kommunikation weitere für Schulen nützliche Funktionen. Darüber hinaus gibt es neben WhatsApp auch einige reine Messenger, die datenschutzkonform nutzbar sind für Schulen. Ein Überblick über Messenger und Plattformen für Schulen mit Kommunikationsfunktionen, die für eine offizielle Nutzung durch Schule in Frage kommen, finden sich unter Schulische Plattformen (Kommunikation).

März 2, 2020März 6, 2020

Brauchen Schülerfotos mit unkenntlich gemachtem Gesicht eine Einwilligung?

Lesezeit: 3 Minuten

Die Frage, ob man bei Fotos auf denen Personen abgebildet sind, um die lästige Einwilligung umhin kommen kann, wenn man die Gesichter der abgebildeten Personen unkenntlich macht, stellen sich Lehrkräfte in Schule immer wieder. Manchmal sind es bloggende Lehrkräfte aus dem Twitterlehrerzimmer, die einen Einblick in ihre Unterrichtsprojekte mit digitalen Medien geben möchten, oder es geht Lehrkräfte, die mit ihren Schülern Projekte aus dem Unterricht im Klassen-Blog vorstellen möchten. Auch bei der Erstellung von Präsentationen für den Informationsabend für Eltern neuer Schüler stellt sich die Frage immer wieder, wenn man im Archiv nach brauchbaren Aufnahmen sucht, welche den Unterricht und dasSchulleben anschaulich illustrieren.

Gemein ist allen Beispielen, dass es um Personenaufnahmen geht und deren Veröffentlichung setzt in den meisten Fällen eine Einwilligung der Betroffenen voraus¹. Während es im ersten und zweiten Beispiel um aktuelle Aufnahmen geht, sind im dritten Beispiel oft auch ältere Aufnahmen betroffen, Fotos, auf denen Schüler abgebildet sind, die nicht einmal mehr auf der Schule sind. Eine Einwilligung für die geplanten Veröffentlichungszwecke liegt dort meist nicht vor und kann auch nicht mehr eingeholt werden. Die bloggenden Lehrkräfte bzw. Lehrkräfte, die mit ihren Schülern im Unterricht einen Internetauftritt gestalten, hätten zwar die Möglichkeit, Einwilligungen einzuholen, versuchen aber, um die lästige Formalie herumzukommen.

Bild von Toller Unterricht verlinkt. Im unteren Bild sind die abgebildeten Schüler vermutlich eher nicht zu identifizieren. Eine Einwilligung dürfte dort nicht erforderlich sein. Beim oberen Bild könnte von den beiden Schülern vorne, zumindest der rechts sitzende Schüler anhand der Kleidung erkennbar sein, auch über die Klassen- oder Kursgruppe hinaus.

Immer wieder wird deshalb die Frage an Datenschutzbeauftragte gerichtet, ob es reicht, die Gesichter mit einem Smiley ? zu überdecken oder sonst unkenntlich zu machen, um die Fotos dann ohne vorliegende Einwilligung für Zwecke wie die oben beschriebenen nutzen zu können?

Auch mit unkenntlich gemachten Gesichtern fallen Personenabbildungen weiterhin unter die DS-GVO und KUG, solange die abgebildeten Personen erkennbar bleiben, wie der Tweet von Jörn Erbguth beschreibt.

Bei Bildern, auf denen Gesichter durch Smileys überdeckt oder anders unkenntlich gemacht sind, fällt zwar das Gesicht als identifizierendes Merkmal weg, doch es verbleiben oftmals viele weitere Merkmale, wie die Kleidung, Statur und Körpergröße. An diesen können zumindest Personen, welche die Schüler kennen, diese meist problemlos identifizieren.²

Auch wenn alle Gesichter auf einer Aufnahme unkenntlich gemacht wurden, bedeutet dieses nicht automatisch, dass solche Fotos von Schülerinnen und Schülern ohne Einwilligung der Betroffenen veröffentlicht werden können. Dabei ist es unerheblich, ob es sich um eine Nutzung der Aufnahmen auf einer Website handelt oder um eine Nutzung für eine Präsentation, welche interessierten Eltern bei der Vorstellung der Schule am Informationsabend gezeigt wird.

Da die Identifizierung der Schüler durch das Unkenntlichmachen jedoch nur für einen kleinen Personenkreis aus dem unmittelbaren Umfeld der Schüler möglich ist, sollte für Eltern kaum etwas dagegen sprechen, Lehrkräften bzw. der Schule der Kinder eine Einwilligung zur Nutzung derart bearbeiteter Aufnahmen für die in den Beispielen beschriebenen Zwecke zu erteilen. Dass die Aufnahmen entsprechend bearbeitet werden, um die Identität der Kinder zu schützen, sollte in der Einwilligung deshalb ausdrücklich erwähnt werden.³ Eine Ausnahme bilden nur solche Aufnahmen, bei denen über das unkenntlich gemachte Gesicht hinaus keine weiteren Merkmale erkennbar sind, die es zulassen würden, die abgebildete Person zu identifizieren.

Auch bei Aufnahmen, bei welchen Schülerinnen und Schüler so fotografiert werden, dass sie nicht direkt in die Kamera schauen, muss darauf geachtet werden, ob sie trotzdem noch einfach zu erkennen sind, zumindest für die Personen in ihrem Umfeld. Ist das der Fall, sollte über eine Einwilligung nachgedacht werden.

Wie gut Algorithmen zur Gesichtserkennung mittlerweile sind, zeigt der Beitrag Gesichtserkennung und Identifikation trotz Atemmaske möglich von Datenschutz-Notizen.de und die Entwicklung geht hier in großen Schritten weiter.

Februar 23, 2020Februar 28, 2020

Brexit und die Folgen für Schule aus Datenschutzsicht

Lesezeit: 2 Minuten

Großbritannien hat zum 01.02.2020 die EU verlassen. Bis zum 31.12.2020 gilt eine Übergangsfrist, während der die Vereinbarungen und Abkommen der EU weiterhin Bestand haben. Damit hat auch die DS-GVO noch bis Ende diesen Jahres Bestand auf der britischen Insel. Schulen können in dieser Zeit problemlos Apps¹ und Online-Plattformen britischer Anbieter mit Schülerinnen und Schülern nutzen, wenn deren Einsatz auch bisher den Anforderungen aus Schul- und Datenschutzrecht entsprach.

Sofern britische Anbieter ihre Verarbeitung personenbezogener Daten in diesem Zeitraum jedoch nicht für die Zeit nach Ende der Übergangsfrist umstellen, wird eine Nutzung für Schulen in der EU nicht länger möglich sein. Warum ist das so?

Nach dem Ende der Übergangsfrist gilt in Großbritannien nicht mehr die DS-GVO. Großbritannien gilt dann als ein sogenanntes unsicheres Drittland. Eine Übermittlung bzw. Verarbeitung von personenbezogenen Daten in einem Drittland ist nur möglich, wenn es

entweder ein Abkommen zwischen der EU und Großbritannien gibt oder
für Großbritannien ein Angemessenheitsbeschluss besteht oder
die EU Standardvertragsklauseln angewendet werden können oder
man eine Art EU UK Privacy Shield aushandelt, nach welchem Anbieter sich selbst zertifizieren können.

Die Möglichkeit, mit Erlaubnis der Aufsichtsbehörde einen Vertrag mit dem Anbieter abzuschließen, welche die Sicherheit und den Schutz der personenbezogenen Daten garantiert, besteht für Unternehmen und kommt für Schulen wohl eher nicht in Betracht.

Die britische Regierung hat bereits angekündigt, dass man von den Regelungen der DS-GVO abweichen und stattdessen eigenes Datenschutzrecht schaffen will. Das wird es deutlich erschweren, eine zeitnahe Lösung für eine Rechtsgrundlage auszuhandeln, auf welcher personenbezogene Daten aus der EU in Großbritannien verarbeitet werden können.

Das bedeutet

für britische Anbieter von Apps und Online-Plattformen im Bildungsbereich, dass sie andere Lösungen finden müssen, um Schulen in der EU auch nach dem Ende der Übergangsfrist eine datenschutzkonforme Nutzen zu ermöglichen. In der Praxis lässt sich dieses am leichtesten umsetzen, wenn die Verarbeitung und Speicherung der personenbezogenen Daten von Schülerinnen und Schülern aus der EU in ein EU-Land verlegt wird.²

für Schulen hängt die Bedeutung des Endes der Übergangsfrist davon ab, ob der Anbieter eine Lösung gefunden hat, die es ihnen erlaubt, sein Produkt weiterhin datenschutzkonform zu nutzen oder nicht.

Schafft es der Anbieter nicht, Schulen nach Ende der Übergangsfrist eine datenschutzkonforme Lösung anzubieten, sind Schulen gezwungen, die Nutzung des Apps bzw. der Plattform mit dem Ende der Übergangsfrist einzustellen. Sämtliche Nutzerkonten sind bis dahin zu löschen. Erstellte digitale Medien sollten, sofern sie personenbezogene oder -beziehbare Daten enthalten, heruntergeladen oder in eine andere Plattform übertragen werden, bevor sie ebenfalls zu löschen sind.
Kann der Anbieter eine neue, datenschutzkonforme Lösung anbieten, sind gegebenenfalls bestehende Verträge zur Auftragsverarbeitung zu überprüfen und an die neuen Bedingungen anzupassen.

Nachtrag 28.02.2020

In einem im Februar veröffentlichten Strategiepapier der britischen Regierung “The Future Relationship with the EU – The UK’s Approach to Negotiations” strebt man einen Angemessenheitsbeschluss an³. Ob und wann es dazu kommt, ist aktuell nicht abzusehen.

Januar 29, 2020Januar 29, 2020

Google Analytics und Schulhomepage

Lesezeit: 2 Minuten

Lange Zeit war Google Analytics ein beliebtes Tool für die Betreiber von Websites, Informationen über die Anzahl der täglichen Besucher, besuchte Seiten, verwendete Suchbegriffe und ähnlich zu erhalten. Dass man damit auch Google die Türe öffnete, umfangreich Informationen über die Website Besucher zu sammeln, war dabei nur wenigen bewusst. Auch auf Schulhomepages wurde das kostenlose Tool häufig verwendet, bis zum Beginn der Umsetzung der DS-GVO. Mit der dann einsetzenden Unsicherheit bezüglich der rechtlichen Zulässigkeit einer Nutzung verabschiedeten sich viele Schulen von Google Analytics und wechselten zu datenschutzfreundlicheren Alternativen oder verzichteten komplett auf eine Erhebung und Auswertung der Besucherzahlen.

Mittlerweile haben sich einige Veränderungen ergeben. Google hat nachgebessert bei den Administrationsmöglichkeiten in Google Analytics. Das hat auch Auswirkungen auf die datenschutzrechtliche Zulässigkeit der Nutzung dieses Tools.*

Nach Aussagen des Bayerischen Landesamtes für Datenschutzaufsicht im 9. Tätigkeitsbericht (2019) ist eine Nutzung von Google Analytics durchaus möglich, auch ohne Einwilligung, setzt dann jedoch die richtige Konfiguration des Tools voraus. Entsprechend heißt es im Bericht auf S. 30f:

Google Analytics kann datenschutzkonform eingesetzt werden. Voraussetzung dafür ist aber, dass der Website-Betreiber neben der erforderlichen Information auch die notwendigen Konfigurationen vornimmt.

Schulen, die auf ihrer Homepage noch immer Google Analytics nutzen, sollten also unbedingt prüfen, ob sie das Tool so eingestellt haben, dass keine Daten mit Google geteilt werden. Standardmäßig ist die sogenannte „Datenfreigabe“ an Google durch den Dienst aktiviert. Sie muss durch die Schule deaktiviert werden, um eine datenschutzfreundliche Nutzung zu ermöglichen. Die Einstellungen findet man unter Tab Verwaltung > Kontoeinstellungen > „Einstellungen für die Datenfreigabe“. Wie im Screenshot gezeigt, sollten keine der Optionen ausgewählt sein.

Auch wenn mit diesen Einstellungen keine Einwilligung der Seitenbesucher zur Nutzung von Google Analytics mehr einzuholt werden muss, ist eine Information über den Einsatz des Tools zur Reichweitenmessung in der Datenschutzerklärung der Homepage notwendig.

Nicht zu vergessen ist, dass auch ohne eine Weitergabe der Analytics Daten an Google ein Vertrag zur Auftragsverarbeitung mit Google weiterhin erforderlich ist und auch die IP Nummern der Nutzer nicht vollständig erfasst werden sollten.¹

Mit diesem Beitrag sollen Schulen ausdrücklich nicht motiviert werden, Google Analytics zu nutzen. Es gibt andere Werkzeuge, die aus Sicht des Datenschutz eindeutig sicherer sind. Der Beitrag richtet sich an Schulen, die das Google Tool weiterhin nutzen.

* Der Beitrag stellt die datenschutzrechtliche Lage mit Stand von Januar 2020 dar. Bitte beachten Sie, dass sich durch Änderungen Seitens Google eine neue datenschutzrechtliche Bewertung bezüglich der Zulässigkeit einer Nutzung von Google Analytics ergeben kann.

Januar 20, 2020September 13, 2022

Datenschutz im schulischen Förderverein

Lesezeit: 3 Minuten

Fördervereine und Schulen sind oft sehr eng miteinander verwoben, durch Personen, die nicht nur Mitglieder im Förderverein sind, auch mit Funktionen, sondern auch Lehrkräfte, Eltern oder Schulleitung. Gerade diese enge Verzahnung muss auch beim Thema Datenschutz beachtet werden. Darüber hinaus unterliegt jeder Förderverein aber auch den datenschutzrechtlichen Vorgaben, wie sie für jeden Vereine gelten.

Förderverein und Schule sind datenschutzrechtlich zu trennen

Im Alltag kommt es immer wieder vor, dass zwischen Förderverein und Schule Namenlisten und Adressen austauscht werden. Die Schule hat alle aktuellen Daten von Schülern und Eltern. Der Förderverein braucht aktuelle Adressen und je nach Art der Zusammenarbeit möchte man von Seiten des Fördervereins auch immer mal wieder Informationen haben. Und dann gibt es noch das heikle Thema der Anträge an den Förderverein. Vor allem beim Austausch von Informationen zwischen Schule und Förderverein wird oftmals gegen geltendes Datenschutzrecht verstoßen, da er ohne eine Einwilligung der Betroffenen erfolgt.

Grundsätzlich sollten sowohl Förderverein wie auch Schule beachten, dass eine Übermittlung von personenbezogenen Daten für beide Seiten eine Einwilligung der betroffenen voraussetzt. Das heißt:

Anträge, bei welchen es um die Bezuschussung von Schülerinnen und Schülern geht, sollten aus Gründen des Datenschutz nie die Namen der betroffenen Personen enthalten. Zur Bewilligung von Anträgen ist die Kenntnis der Namen der Betroffenen auch nicht erforderlich.
Wenn der Förderverein wegen der Aktualisierung von einer oder mehreren Adressen bei der Schule anfragt, kann die Schule hier nur weiterhelfen, wenn sie zuvor die Einverständnis der Betroffenen eingeholt hat.
Wenn es um Mitgliederwerbung geht, ist es für die Schule immer einfacher, wenn der Förderverein Anmeldezettel an Eltern verteilt. Will eine Schule eine Liste mit den Adressen der Eltern an den Förderverein übermitteln, so braucht sie dafür die ausdrückliche Einwilligung aller dieser Eltern.

Das gilt auch, wenn Personen aus dem Kollegium oder der Schulleitung im Fördererein tätig sind. Aus Datenschutzgründen müssen die Rollen klar getrennt sein.

Anmeldung im Förderverein

Bei der Anmeldung am Förderverein werden personenbezogene Daten erhoben, um mit den Mitgliedern in Kontakt zu treten (Information über die Arbeit, Einladung zu Versammlungen, …) und die Mitglieder zu verwalten. Zu letzterem gehört auch der Zahlungsverkehr im Zusammenhang mit den Mitgliedsbeiträgen. Vielfach wird in Vereinen bei Anmeldungen von den Betroffenen eine Einwilligung in die Verarbeitung von personenbezogenen Daten eingeholt. Das ist nach Ansicht von Fachjuristen und Aufsichtsbehörden nicht erforderlich.¹

Eine Einwilligung wird für diesen Verarbeitungszweck jedoch grundsätzlich nicht benötigt. Denn gemäß Art. 6 Abs. 1 Buchst. b DS-GVO ist geregelt, dass die Verarbeitung personenbezogener Daten zulässig ist, wenn sie zur Erfüllung eines Vertrages erfolgt. Da das Mitgliedschaftsverhältnis ein vertragsähnliches Rechtsverhältnis ist (vgl. BGHZ 110, 323, 327), ist die Verarbeitung für Zwecke, die zur Durchführung des Mitgliedschaftsverhältnisses erforderlich sind, auf Grundlage von Art. 6 Abs. 1 Buchst. b DS-GVO zulässig. Gleiches gilt aber auch für Verarbeitungstätigkeiten, die zur Erreichung weiterer Zwecke erforderlich sind, die als solche hinreichend deutlich als Vereinszwecke in der Satzung des Vereins angelegt sind.

Immer erforderlich ist bei der Anmeldung allerdings eine Information über die Verarbeitung von personenbezogenen Daten nach Art. 13 DS-GVO. Dazu gehört auch eine Information über die Rechte der Betroffenen.

Beitrittsformular

Da nach Einschätzung verschiedener Experten ein Mitgliedsverhältnis in einem Verein einer vertraglichen Erlaubnis sehr ähnlich ist, kann die Verarbeitung der personenbezogenen Daten von Vereinsmitgliedern, wie oben beschrieben, auf Grundlage von Art. 6 DSGVO Abs. 1 Satz 1 lit. b – Vertrag/Vorvertrag – erfolgen. ¹ Eine Einwilligung ist damit nicht erforderlich.

Beitrittserklärung Förderverein EU-DSGVO – konform – Vertrag.docx

Weitere Informationen zu Datenschutz und Förderverein

Die Broschüre “Datenschutz im Verein nach der Datenschutz-Grundverordnung.pdf” (aktualisierte Version von 08/2022) der LDI NRW deckt alle Bereiche ab, welche einen Verein in Bezug auf Datenschutz betreffen können. In der sehr umfangreichen Schrift werden auch Themen behandelt, welche für kleinere Vereine, die nur wenige personenbezogene Daten verarbeiten und meist auch keine umfangreichen Verarbeitungsprozesse durchführen, weniger relevant sind.

Auch aus Bayern gibt es Hilfen für Vereine unter DSGVO in Vereinen.pdf als kurzer übersichtlicher Flyer und ausführlicher unter Vereine.

Stand 09/2022

November 18, 2019März 24, 2021

Bewerbungsverfahren und Datenschutz

Lesezeit: < 1 Minute

Schulen stellen nicht nur Lehrkräfte ein, welche ihnen von Seiten des Landes zugewiesen werden, sondern führen auch Einstellungen durch im Rahmen von schulscharfen Auswahlverfahren. Bewerber schicken dabei ihre Bewerbungsunterlagen direkt an die Schule. Neben diesem offiziellen Weg landen auch schon einmal Initiativbewerbungen im Schulbüro. Dazu kommen noch Krankheitsvertretungen und Elternzeitvertretungen. Die Bewerbungen können dabei unterschiedliches Format haben. Neben den klassischen Bewerbungsmappen landen auch Bewerbungen in digitaler Form als E-Mail mit Anhang bei den Schulen. Bewerbungs- bzw. Einstellungsverfahren sind Verarbeitungsvorgänge, bei denen es sogar um recht sensible personenbezogene Daten gehen kann.

Wie bei jeder Datenverarbeitung sind Betroffene entsprechend Art. 12 DS-GVO über die Verarbeitung ihrer Daten zu informieren. Das erfolgt am besten, wenn den Bewerbern der Eingang ihrer Bewerbung schriftlich bestätigt wird. Zu berücksichtigen sind entsprechend je nach Bewerber Angaben nach Art. 13 (bezüglich der Bewerbungsunterlagen, die vom Bewerber selbst eingereicht werden) und Art. 14 (bezüglich Unterlagen, die von einer anderen Dienststelle angefordert werden, etwa die Personalakte). Angegeben werden sollten dabei:

Art der personenbezogenen Daten: Lebenslauf, Zeugnisse, Qualifikationen, …,
Herkunft der personenbezogenen Daten: vom Bewerber eingereicht, von der Schulaufsicht angefordert (z.B. Bezirksregierung),
Übermittlung der personenbezogenen Daten: an die am Auswahlverfahren beteiligten Personen, z.B. Mitglieder der Schulleitung, Abteilungsleiter, Fachleiter, Gleichstellungsbeauftragte(r), Mitglied des Personalrates, … und bei einer Einstellung z.B. Schulaufsicht
Speicherdauer der personenbezogenen Daten :
- bei Ablehnung Rückgabe oder Löschung 2 Monate nach Beendigung des Bewerbungsverfahrens (in Orientierung an §15 Abs. 4 AGG)
- bei einer Einstellung Aufnahme in die Personalakte,
Rechte der Bewerber Betroffenenrechte wie z.B. Löschung, Auskunft oder Recht auf Berichtigung).

Weiterlesen:

Datenschutz bei Bewerbung & Bewerberdaten: So wird’s DSGVO-konform, Datenschutzbeauftragter.info, 12/2018
So gehen Sie datenschutzkonform mit Bewerbungen um, Impulse.de, 02/2019
Zum Prozedere des schulscharfen Auswahlverfahrens.pdf, BR Arnsberg, 06/2015

September 29, 2019Oktober 10, 2019

Das Einholen von Einwilligungen attraktiv gestalten

Lesezeit: 2 Minuten

Das Thema Einwilligungen bereitet nahezu jeder Schule Bauchschmerzen. Sämtliche Verarbeitung von personenbezogenen Daten, für die es keine rechtliche Grundlage aus dem Schulgesetz gibt, braucht es die Einwilligung der Betroffenen. Mit zunehmender Digitalisierung von Unterricht nimmt so die Zahl der erforderlichen Einwilligungen zu, zusätzlich zu den bereits seit Jahren erforderlichen für Öffentlichkeitsarbeit über die Homepage der Schule und die lokale Presse. Das Einholen von Einwilligungen bei den Betroffenen ist ein Rechtsakt und die Formulare, welche dafür genutzt werden, sind entsprechend wenig ansprechend.

Gerade wenn es um die schulische Arbeit mit Medien, Apps und Plattformen geht, bietet es sich an, das Einholen der erforderlichen Einwilligungen mit Informationen zu verbinden, welche den Eltern einen lebendigen Eindruck von der Medienarbeit gibt. Man verbindet das Notwendige mit dem Schönen und gibt so dem Thema Datenschutz einen sinnstiftenden Rahmen.

Eine Möglichkeit, dieses umzusetzen bietet sich mit der folgenden Vorlage. Diese ist als ein kleines mehrseitiges Heft gestaltet, welches neben der Medienarbeit im Unterricht auch noch das Thema Öffentlichkeitsarbeit beinhaltet. Im Anhang finden sich umfangreiche Hinweise zur Nutzung und Anpassung. Das Heft ist ausgelegt für Grundschulen und der Einsatz bietet sich vor allem bei der Anmeldung neuer Schüler an, entweder im Rahmen der Anmeldung selbst, bei einem Kennenlernnachmittag oder einem Elternpflegschaftsabend.

DinA4 Version

Beinhaltet: Erstellung und Nutzung von Foto, Video und Audio im Unterricht, Nutzung von Antolin und Anton, Vorführung und Weitergabe von Medienprodukten aus dem Unterricht, Veröffentlichungen auf der Schulhomepage und in der Presse.

Datenschutz Einwilligung Sammlung.docx
Datenschutz Einwilligung Sammlung.odt
Datenschutz Einwilligung Sammlung.pdf (zum Ansehen, mit Markierungen, wo Anpassungen/ Ergänzungen)

DinA5 Version

Für diese Version wurde das Layout von Steffie Maurer auf A5 so angepasst, dass die Seiten auf A4 gedruckt und dann geheftet werden können. Die Seiten für die gesammelten Entscheidungen und die eigentliche Einwilligung kann man den obigen DinA4 Versionen entnehmen. (Auch im PDF könnte man mit einem geeigneten Programm die eigene Schule, den Namen der Schulleitung, den Datenschützer und die Anschrift der Schule ergänzen.)

allgemein Datenschutz Broschüre.pdf

Swift Publisher Version (DinA5)

Datenschutz Broschüre allgemein.spub.zip

September 15, 2019September 15, 2019

Notfallinformationen für eine Klassenfahrt abfragen

Lesezeit: < 1 Minute

Vor allem wenn es auf eine längere Klassenfahrt geht, ist es sinnvoll, Notfallinformationen bei den Erziehungsberechtigten abzufragen.¹ Das erlaubt es den begleitenden Lehrkräften im Falle eines Falles, den Anweisungen der Erziehungsberechtigten entsprechend zu handeln. Abgefragt werden so sinnvollerweise eventuell bestehende Erkrankungen und regelmäßige Medikamenteneinnahmen sowie Kontaktinformationen, welche es erlauben, die Erziehungsberechtigten für die Zeitdauer der Klassenfahrt rund um die Uhr zu erreichen. Die Vorlage ist dafür ausgelegt, die ausgefüllten Vordrucke in einen Umschlag gepackt mit auf die Klassenfahrt zu nehmen. Für den Fall, dass beabsichtigt ist, diese Information auf den Smartphones der begleitenden Lehrkräfte zu speichern, finden sich im Anhang zur Vorlage weitere Informationen und Textbausteine zur Anpassung.

Einwilligung Schüler – EU-DSGVO konform – Notfall-Informationen.docx