Müssen Schulen einen Datenschutzbeauftragten an die Aufsichtsbehörden melden?

Lesezeit: 2 Minuten

Pflicht zur Meldung des Datenschutzbeauftragten an die Aufsichtsbehörden

Nach Art 37 Abs 7 der DS-GVO veröffentlicht der Verantwortliche oder Auftragsverarbeiter die Kontaktdaten des Datenschutzbeauftragten 1Siehe dazu auch den Beitrag Muss der Datenschutzbeauftragte auf die Schulhomepage? 2Siehe auch FAQ zum Datenschutzbeauftragten; Nr. 14 – der LDI NRW < und

„teilt diese Daten der Aufsichtsbehörde mit.“

Diese Vorgabe gilt auch für öffentliche Stellen wie Schulen. Für die Aufsichtsbehörde ist diese Meldung von Bedeutung, da der Datenschutzbeauftragte nur so in der Lage ist seiner Tätigkeit als Anlaufstelle für die Aufsichtsbehörde effektiv nachgehen zu können (vgl. Artikel 39 Absatz 1 Buchstabe e) DS-GVO).

Praktische Umsetzung bei Schulen – offene Fragen

Bisher ist leider nicht klar, ob jede einzelne Schule diese Meldung separat für sich machen muss. Schulen in NRW brauchen keine eigenen Datenschutzbeauftragten, denn es gibt die behördlich bestellten schulischen Datenschutzbeauftragten. In jedem Kreis bzw. jeder kreisfreien Stadt wurde dafür eine zuständige Person benannt. Teilweise sind es auch zwei Personen, die sich diese Zuständigkeit teilen. Alle diese Personen sind dem MSB bekannt (siehe Übersicht Behördliche Datenschutzbeauftragte) wie auch den fünf Bezirksregierungen.

In NRW gibt es 5.105 öffentliche Schulen3siehe Statistik-TELEGRAMM 2017/18. Würde jede einzelne eine Meldung machen, wären es entsprechend viele Meldungen. Da jeder behördliche Datenschutzbeauftragte für mehrere Schulen zuständig ist, würde jede dieser Personen x-fach gemeldet.

Von daher macht es eher Sinn, wenn das MSB jetzt am Start einmal die Aufsichtsbehörde, die LDI NRW, informiert. Das wäre eine Meldung. Spätere Änderungen werden dann entweder die Kreise bzw. kreisfreien Städte oder die Bezirksregierungen mitteilen. Dass jede Schule dieses für sich übernimmt, führt zu einer unnötigen Flut an Meldungen und Arbeit. Übernehmen die Kreise und kreisfreien Städte diese Aufgabe, geht es um 52 behördliche Datenschutzbeauftragte plus eventuell deren Vertreter.

Mitteilungen an die LDI NRW werden ab dem 25. Mai 2018 möglich sein. Nach einer Information der LDI NRW soll es dazu dann eine Möglichkeit zur Online-Meldung über die Homepage der Aufsichtsbehörde geben.

Wird der Datenschutzbeauftragte nicht gemeldet, so stellt dieses bereits einen Verstoß gegen die Vorgaben der Datenschutzgesetzgebung dar.

Abwarten empfohlen

Es soll für den Start eine Übergangsfrist geben. Dieses ist auf der Homepage der LDI NRW bekanntgegeben.

WICHTIGER HINWEIS: Wir beabsichtigen, unterlassene Meldungen der Kontaktdaten der/des Datenschutzbeauftragten während einer Übergangszeit bis zum 31.12.2018 nicht als Datenschutzverstöße zu verfolgen oder zu ahnden.

Das MSB hat sich bisher nicht zu der Frage geäußert, wie die Meldung praktisch umgesetzt werden soll, ob es eine erste Meldung durch das MSB gibt oder die Bezirksregierungen. Da bis zum 31.12.2018 eine Übergangsfrist besteht, empfehle ich Schulen in NRW (bis zur Klärung dieser Frage) zunächst einige Wochen abzuwarten. Es wird hier sicher noch eine Mitteilung von Seiten des Ministeriums oder der Bezirksregierungen geben. Natürlich steht es jeder Schule frei, ihren Datenschutzbeauftragten direkt nach dem 25.05.2018 zu melden. Es ist kein Schaden.

Muss der Datenschutzbeauftragte auf die Schulhomepage?

Lesezeit: 2 Minuten

Die Europäische Datenschutz Grundverordnung (DS-GVO) ist zwar schon in Kraft, wird aber noch nicht umgesetzt. Am 25.05.2018 ist es soweit. Viele Schulen sind aus diesem Grund aktuell dabei, ihren Internetauftritt an die Vorgaben anzupassen. Dabei taucht auch immer wieder die Frage auf, muss auf der Homepage ein Datenschutzbeauftragter genannt werden?

Was sagen das Gesetz und die Literatur?

In dem Beitrag Oft gefragt: Muss der Datenschutzbeauftragte zwingend auf der Internetseite genannt werden? ging die itrecht Kanzlei München der Frage schon 2015 nach. Seinerzeit ließ sich aus dem BDSG keinerlei solche Notwendigkeit ableiten.

Aber mit der DS-GVO ändert sich dieses nun. Zwar gibt es auch hier keine Stelle im Gesetzestext, wo eine spezielle Erfordernis zur Veröffentlich auf der Webseite der Institution ausdrücklich benannt ist, doch Datenschutzexperten leiten aus anderen Aussagen eine Notwendigkeit ab. Art. 37 DSGVO Benennung eines Datenschutzbeauftragten führt in Abs. 7 aus:

„Der Verantwortliche oder der Auftragsverarbeiter veröffentlicht die Kontaktdaten des Datenschutzbeauftragten …“

Eine entsprechende Passage findet sich im neuen Bundesdatenschutzgesetz §5 Benennung Abs. 5:

„Die öffentliche Stelle veröffentlicht die Kontaktdaten der oder des Datenschutzbeauftragten …“

Entsprechend kommen Datenschutzexperten zu dem Schluss:

„Ist ein DSB benannt, sind dessen Kontaktdaten (mindestens Anschrift, E-Mail-Adresse, nicht jedoch der Name, vgl. Laue/Nink/Kremer, Das neue Datenschutzrecht in der betrieblichen Praxis, Kap. 6, Rn. 19) zu veröffentlichen, z. B. auf der Website des Verantwortlichen.“

Koreng/Lachmann

„Eine spezielle Form der Veröffentlichung sieht das Gesetz nicht vor. Aus dem Zweck des Gesetzes folgt jedoch, dass beispielsweise ein Aushang am Unternehmenssitz nicht genügt. Vielmehr wird zu verlangen sein, dass die Angaben an gut auffindbarer Stelle in der WWW Seite gemacht werden (vergl. Helfrich in HK-EuDSchVO Art 37 Rn 129), etwa im Impressum und einer eventuellen Datenschutzerklärung.“ … „Zu den Kontaktdaten gehört nicht der Name des Datenschutzbeauftragten: Das Gesetz unterscheidet zwischen dem Namen und den Kontaktdaten des Datenschutzbeauftragten“

Kühling/Buchner

Als vertrauensbildende Maßnahme wird in dieser Literatur empfohlen, auch den Namen des DSB zu veröffentlichen.

Was bedeutet das für die Schulhomepage?

Es empfiehlt sich, auf der Schulhomepage entweder in der Datenschutzerklärung selbst oder im Impressum eine Angabe zum Datenschutzbeauftragten zu machen. Genannt werden kann dabei entweder der behördlich bestellte schulische Datenschutzbeauftragte oder eine Person aus der Schule, welche als Datenschutzbeauftragter benannt wurde.

Es ist dabei jedoch nicht erforderlich, den Namen der Person zu nennen. Anschrift und E-Mail Adresse genügen. Für Nutzer der Webseite wird es sicher schöner sein, wenn sie in Bezug auf den Datenschutz auch einen Namen finden, der für eine Person steht, an die man sich wenden kann. Wenn von Seiten des/der Datenschutzbeauftragten keine Einwände bestehen, sollte man dann auch den Namen nennen.

Eine FAQ zur DS-GVO für Schulen aus Niedersachsen

Lesezeit: 2 Minuten

Von Seiten der Niedersächsischen Landesschulbehörde hat man eine Sammlung von Fragen und Antworten zum Thema Datenschutz Grundverordnung, soweit sie Schulen betrifft, zusammengestellt.

  • Demnach müssen Schulen nach dem 25.05.2018 bei einem Verstoß gegen die DS-GVO nicht mit der Verhängung von Bußgeldern rechnen, da dieses nur für Unternehmen gilt, die am Wettbewerb teilnehmen.
  • Einen Fortbildungsbedarf für die Datenschutzbeauftragten in Schulen mit Bezug auf die Änderungen durch die DS-GVO  sieht man in Niedersachsen nicht.
  • Als wichtigste Schritte bei der Umsetzung der Vorgaben der DS-GVO sieht man:
    • die Bestellung einer oder eines Datenschutzbeauftragten
    • die Erstellung des in Art. 30 DS-GVO geforderten Verzeichnis der Verarbeitungstätigkeiten
    • die Überprüfung der Schulhomepage auf die Erfordernisse der DS-GVO und die Anpassung der Datenschutzerklärung an die DS-GVO
  • Aussagen werden auch zu den Haftungsrisiken der behördliche Datenschutzbeauftragten in Schulen durch die DS-GVO gemacht. Nach Auffassung der Landesschulbehörde ändert sich hier nichts wesentlich.
    • Die Schulleitung trägt weiterhin die rechtliche Verantwortung in Bezug auf den Datenschutz, der oder die Datenschutzbeauftragte berät die Schulleitung und weißt auf mögliche Verstöße hin.
    • Eine Haftung kommt nur bei grober Fahrlässigkeit oder Vorsatz in Frage. Außerdem kommt es bei Datenschutzverstößen nur selten zu Vermögensschäden.
    • Es sind eher atypische Ausnahmefälle in Bezug auf eine fehlerhafte datenschutzrechtliche Beratung, dass einer als Datenschutzbeauftragter tätigen Lehrkraft der Vorwurf der groben Fahrlässigkeit gemacht werden kann.
  • Anders als viele Unternehmen brauchen sich Schulen nach Ansicht der Landesschulbehörde wegen der DS-GVO keine Sorgen machen, da ihnen keine Bußgelder verhängt werden.

Mir neu war bei diesen FAQ, dass Schulen bei Datenschutzverstößen nicht mit der Verhängung von Bußgeldern rechnen müssen. Zu klären wäre nun, ob dieses eine langespezifische Regelung aus Niedersachsen ist oder ob dieses auf alle Bundeslänger übertragen werden kann.

Nicht ganz teilen kann ich die Einschätzung bezüglich der Vermögensschäden. Wenn ein Schüler durch einen Datenschutzverstoß z.B. nachweislich einen Ausbildungsplatz nicht erhält, könnte dafür vermutlich schon ein Vermögensschaden geltend gemacht werden. Außerdem können nach der DS-GVO auch immaterielle Schäden geltend gemacht werden. Das wäre der Fall, wenn ein Schüler durch ein in einem Datenschutzverstoß öffentlich gewordenes Fördergutachten oder Zeugnis unter dem Gehänsel der Mitschüler leidet.

Nicht ganz passt die Frage des Haftungsrisiko auch zur Haftung, in welche eine Lehrkraft in NRW genommen wird, wenn sie die Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken auf privaten ADV-Anlagen von Lehrkräften gem. § 2 Abs.2 VO-DV I / § 2 Abs.4 VO-DV II unterschreibt. Ginge man im MSB NRW von einer gleichen Einschätzung bezüglich der Haftungsrisiken aus wie in Niedersachsen, bräuchte sich im Prinzip niemand Sorgen machen wegen der Unterschrift. Falls dem so wäre, sollte dieses vom MSB NRW jedoch auch für alle Lehrkräfte des Landes klargestellt werden, falls man bei der Haftung bleiben will. Andererseits ergibt eine generelle Haftung der Lehrkräfte, wie die Genehmigung sie vorsieht, keinen Sinn, wenn es ohnehin kein erhöhtes Haftungsrisko im Vergleich zu vorher gibt.