Schlagwort: Genehmigung

Veröffentlicht am

Nicht wirklich Neues in Bezug auf die Genehmigung für Privatgeräte in NRW

Lesezeit: 3 Minuten

Heute fanden die Schulen in NRW das angekündigte E-Mail von Staatssekretär Richter in ihren Postfächern. Wirklich Neues bringt dieses Mail nicht. Im Wesentlichen gibt es das wieder, was am 24.04.2018 gesagt wurde. Das E-Mail, welches unter [02.05.2018] Dienstanweisung für die automatisierte Verarbeitung von personen-bezogenen Daten in der Schule – BASS 10-41 Nr.4 nachzulesen ist, greift noch einmal die verschiedenen Punkte auf und spielt dabei die mit der Genehmigung verbundenen Probleme für Lehrkräfte etwas herunter. Entsprechend heißt es:

“Ich möchte Ihnen gegenüber versichern, dass die DA ADV keine neuen Standards setzt. Sie begründet keine neuen rechtlichen Verpflichtungen oder gar Verschärfungen im Datenschutz, sie gibt lediglich die aktuelle Rechtslage wieder. Die neugefasste DA ADV soll erklären und unterstützen.”

An anderer Stelle heißt es dann “der Genehmigungsvordruck ist eine Hilfestellung“. Von vielen Lehrkräften wird das nicht so empfunden. Sicher ist es richtig, dass Vorgaben vom Datenschutz einzuhalten sind, doch als Hilfe lässt sich die Genehmigung schwer verstehen, vor allem nicht, wenn von der Erfüllung der Vorgaben und dem Nachweis dessen abhängt, ob Land oder Lehrer haftet.

Interessant ist folgender Passus bezüglich der Kontrollfunktion der Schulleitung:

“Die geregelten Nachweispflichten beinhalten selbstverständlich nicht die Verpflichtung der Schulleitung, die privaten Endgeräte jeder einzelnen Lehrkraft persönlich zu überprüfen. Das wäre gar nicht leistbar.”

Das klang zeitweise anders. Stattdessen wird wieder auf die schulischen Datenschutzbeauftragten (DSB) verwiesen:

“Die dokumentierten Angaben sind zudem von der bzw. von dem zuständigen behördlichen Datenschutzbeauftragten an Schulen zu prüfen, insbesondere daraufhin, ob zu den erforderlichen Maßnahmen zur Datensicherheit abweichende Angaben erfolgt sind, die einer Genehmigung entgegen stehen könnten.”

Abweichende Angaben zu den erforderlichen Maßnahmen zur Datensicherheit, die sollen die DSB prüfen und feststellen, ob sie einer Genehmigung entgegenstehen. Auch für DSB ist eine solche Beurteilung schwierig, vor allem wenn sich die Angaben im Formular zum Gerät, für welches eine Genehmigung eingeholt werden soll, auf Seriennummer und Gerätename beschränken. Für eine solche Prüfung ist mehr erforderlich, z.B. der genaue Gerätetyp, am besten mit Modelljahr (vor allem bei Android Geräten wichtig) und die OS Version. Nach der Handreichung zur Genehmigung sind bei bestimmten Gerätetypen Abweichungen von den Vorgaben der Genehmigung in Teil B möglich, etwa weil sich bei iOS kein zweiter Nutzer einrichten lässt oder dort kein Virenschutz erforderlich ist.

Alte Genehmigungen gelten weiterhin,

“Ausdrücklich darauf hinweisen möchte ich, dass in der Vergangenheit erteilte Genehmigungen weiterhin Bestand haben. Die Neufassung der DA ADV löst keinen neuen Handlungsdruck aus.”

An den verschiedenen Schulen sind über die Jahre höchst unterschiedliche Genehmigungsformulare unterwegs gewesen. Viele dürften in ihrer Anlage weit von den Vorgaben entfernt sein, welche die neue Genehmigung verbindlich vorgibt.

In der VO-DV I, §2 Abs. (2) heißt es zu den Voraussetzungen für eine Genehmigung,

“bedarf der schriftlichen, ein Verfahrensverzeichnis gemäß § 8 DSG NRW enthaltenden Genehmigung […] Die Genehmigung darf nur erteilt werden, wenn […] ein angemessener technischer Zugangsschutz nachgewiesen wird.”

Was das MSB sich unter einem angemessenen technischen Zugangsschutz vorstellt, ist nicht weiter präzisiert und lässt so Spielraum für Interpretation. Für ein Verfahrensverzeichnis sind im DSG NRW Vorgaben gemacht, was enthalten sein sollte. Aber auch da ist ein gewisser Spielraum, wie genau dieses ausgestaltet ist. Das sieht man am alten vom LDI NRW erstellten Genehmigungsformular wie an der neuen Genehmigung.

Die alten Genehmigungen dürfen somit unbegrenzt weiter genutzt werden. Was die Schulleitung unter einem angemessenen technischen Zugangsschutz versteht, bleibt dem eigenen Gutdünken der jeweiligen Schulleitung überlassen. Wer eine Genehmigung hat, darf sich also freuen. Lehrkräfte, die neu an eine Schule kommen, müssen leider das neue Formular nutzen.

An der Haftungsfrage, welche sich für Lehrkräfte mit dieser Genehmigung verbindet, hat sich leider auch mit diesem E-Mail nichts geändert. Schade.

Für die Lehrkräfte und Schulleitungen, welche nun mit der neuen Genehmigung arbeiten müssen, verspricht der Staatssekretär weitere Information auf der Plattform des Landes.

Auch mit dem Thema Dienstgeräte will man sich von Seiten des Landes auseinandersetzen. Das Feld ist schwierig und man wird sehen, was sich daraus ergibt.

Mehr Erfolg werden vermutlich Bemühungen der Landesregierung NRW haben, wenn es um die Ausstattung mit weiteren Verwaltungsrechnern für die Schulen geht, an welchen Lehrkräfte arbeiten können.

Veröffentlicht am

Genehmigung Lehrkräfte Privatgeräte kann auch entspannter gehen – siehe BaWü

Lesezeit: 2 Minuten

In NRW hat man von Seiten der Landesregierung in einem Gespräch am 24.04.2018 versucht, die Wogen zu glätten, was die umstrittene Genehmigung 1Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken auf privaten ADV-Anlagen von Lehrkräften gemäß § 2 Absatz 2 VO-DV I/§ 2 Absatz 4 VO-DV II angeht, welche Lehrkräfte benötigen, um personenbezogene Daten aus der Schule auf privaten Geräten verarbeiten zu dürfen. Ein für “in einigen Tagen” versprochenes Dienst E-Mail mit weiteren Informationen lässt derweil auf sich warten.

Dass es auch ganz anders gehen kann, zeigt das Beispiel Baden Württemberg. Unter “Private Datenverarbeitungsgeräte (PC, Mac, Smartphones, Tablets, etc.)” wird dort ganz aktuell, mit Bezug auf die DS-GVO erklärt, welche Vorgaben zu erfüllen sind. In 9 kurzen, leicht verständlichen Absätzen werden dort verschiedene Maßnahmen erklärt. Nummer 2 ist dabei besonders interessant:

Am besten ist es, wenn sämtliche dienstlichen personenbezogenen Daten nur auf einem USB-Stick gespeichert werden. Dieser USB-Stick muss in jedem Fall verschlüsselt sein.

Man rät den Lehrkräften in BaWü, die personenbezogenen Daten aus der Schule nie auf dem privaten Gerät selbst zu speichern, sondern immer auf einem USB-Stick, der verschlüsselt sein muss.

Ergänzt werden diese Vorgaben noch einmal durch eine Anlage “Datenschutzrechtliche Hinweise für den Gebrauch privater Datenverarbeitungsgeräte durch Lehrkräfte zur Verarbeitung personenbezogener Daten“, die ausführlichere Erläuterungen gibt.

In einer FAQ erklärt man dann auch, warum es von Vorteil ist, die Daten auf einem USB-Stick zu speichern:

Indem Sie sämtliche personenbezogenen Daten ausschließlich auf einem USB- Stick abspeichern und diesen USB-Stick verschlüsseln, z.B. mittels der Software VeraCrypt, verringern Sie Ihren Aufwand erheblich. Dadurch wird z.B. wirksam ein unbefugter Zugriff auf die Daten verhindert, sie müssen also keine aufwändigen Berechtigungsstrukturen hinterlegen. Ferner können Sie auf diese Weise leicht dem Auskunftsanspruch Ihrer Schulleitung oder des Landesbeauftragten für den Datenschutz nachkommen, da Sie dann nur den USB-Stick – und nicht den ganzen Computer, auf dem sich u.U. auch private Daten befinden – vorweisen müssen. Bitte denken Sie auch an die Sicherungskopie auf einem weiteren USB-Stick.

Auch in Baden Württemberg nimmt man es mit dem Datenschutz in Bezug auf die Verarbeitung personenbezogener Daten auf Privatgeräten von Lehrkräften ernst. Und selbstverständlich geht auch hier ohne Vorgaben und eine Genehmigung nichts. Allerdings sind die Hürden deutlich niedriger. Arbeitet man als Lehrkraft mit einem verschlüsselten USB-Stick, erleichtert man sich die Trennung von Privat und Beruflich. Darüber hinaus lässt sich so der technische Aufwand zur Sicherstellung des Datenschutz auf dem privaten Gerät deutlich leichter einhalten, auch für technisch weniger versierte Lehrkräfte.

In Haftung werden die Lehrkräfte übrigens durch ihre Unterschrift auch nicht genommen.

Auch im Bundesland Hessen geht man einen vergleichbaren Weg und rät zur Nutzung von sicheren USB Sticks, am besten Hardware verschlüsselte USB Sticks. Siehe dazu “Verarbeitung von Schüler- oder Elterndaten auf privaten Datenverarbeitungseinrichtungen der Lehrkräfte“.

Veröffentlicht am

Das MSB NRW kommt Schulen bei Genehmigung für Privatgeräte entgegen

Lesezeit: 2 Minuten

Die Genehmigung mit dem langen Namen1Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken auf privaten ADV-Anlagen von Lehrkräften gemäß § 2 Absatz 2 VO-DV I/§ 2 Absatz 4 VO-DV II hatte in der Zeit nach der Veröffentlichung im Februar 2018 für eine Menge Verunsicherung und Unmut in den Schulen gesorgt. Nachdem das Ministerium lange kein Problem in der Genehmigung sehen wollte, gab es nun am 24.04.2018 ein Gespräch des Schulministeriums mit Lehrerverbänden, Gewerkschaft und Schulleitervereinigungen. Thema war „Datenverarbeitung in Schulen“.

In der Dienstanweisung heißt es:

“Die Verarbeitung personenbezogener Daten für dienstliche Zwecke auf privaten ADV-Anlagen von Lehrkräften ist nur mit schriftlicher Genehmigung der Schulleiterin oder des Schulleiters zulässig. Es gilt § 2 Absatz 2 mit Anlage 3 der VO-DV I. Für die Genehmigung ist der als Anlage beigefügte Genehmigungsvordruck zu verwenden.”2Dienstanweisung für die automatisierte Verarbeitung
von personenbezogenen Daten in der Schule

Das wurde mehrheitlich so verstanden, dass die alten Genehmigungen nicht länger Gültigkeit besitzen. Anders als in den alten Genehmigungen, sind in der neuen sehr deutliche Vorgaben gemacht, was Lehrkräfte leisten müssen, um die Sicherheit der verarbeiteten Daten auf ihren privaten Geräten zu gewährleisten. Dazu kam noch die Frage der Haftung.

“Sofern Sie die hier aufgeführten Maßnahmen zum Schutz der Daten einhalten, ist eine Haftung für Sie ausgeschlossen.”

Für viele war das dann der Punkt, die Unterschrift zu verweigern. Selbst die LDI NRW riet den Schulleitungen davon ab, den Lehrkräften die Genehmigung zu erteilen, da sie eine Beurteilung, ob eine Genehmigung aufgrund der von der Lehrkraft gemachten Angaben, nicht leisten könne.

Das Gespräch sorgte dann am 24.04.2018 für Entspannung. Der Philologen-Verband NRW hat die Ergebnisse zusammengefasst. Drei Informationen sind bezüglich der Genehmigung dabei von Bedeutung:

  1. Es gibt keine Frist, bis wann Lehrkräfte die Genehmigungen unterzeichnen müssen.
  2. Die alten Genehmigungen behalten weiter ihre Gültigkeit (und müssen demnach nicht durch die neue ersetzt werden).
  3. In den letzten 30 Jahren wurde laut MSB in NRW keine Lehrkraft wegen unsachgemäßen Umgangs belangt wurde.

Das MSB sieht die Haftungsfrage der Genehmigung scheinbar sehr entspannt, weil man mit Blick auf die Vergangenheit mit keinen Problemen durch Datenschutzverletzungen rechnet. Man darf sich dann aber die Frage stellen, warum man die Haftung überhaupt in die Genehmigung aufgenommen hat.

In Österreich brauchen sich Schulen als öffentliche Stellen in Bezug auf das Thema Haftung übrigens vorerst keine Sorgen machen, denn dort wurde jetzt in einer Gesetzesnovelle beschlossen, dass gegen Behörden und öffentliche Stellen keine Geldbußen verhängt werden können.3Keine Strafen: Österreich zieht neuem Datenschutz die Zähne

Interessant im Zusammenhang mit der Genehmigung ist noch der letzte Punkt in der Zusammenfassung des Philologenverbandes:

“Gegebenenfalls wird zum Umgang mit der Dienstanweisung die für Ende Mai 2018 zu erwartende Europäische Datenschutzverordnung einbezogen.”

Hier muss man nun abwarten, ob sich durch die Umsetzung der DS-GVO noch etwas ändern wird beim Umgang mit der Dienstanweisung.

Ein Dienstmail soll, laut Staatsekretär Richter im WDR4WDR 5 Westblick 24.04.2018, den Schulen in NRW am 25.04. 5Das war dann wohl nichts. Aus dem 25.04. wurde nichts. In einem anderen Interview sprach Staatssekretär Richter dann auf einmal von “in einigen Tagen”detaillierte Informationen dazu geben, was die Anwendung der Genehmigung betrifft und wie sie zu verstehen ist. Fakt ist aber, die Dienstanweisung gilt, die Schulen erhalten im Umgang mit der Genehmigung jedoch mehr Handlungsspielraum.

Update

Mittlerweile hat sich auch der VBE zum Treffen vom 24.04.2018 geäußert. Im Wesentlichen gibt man im Rundmail an die Mitglieder das wieder, was auch der Philologen-Verband NRW aufgeführt hatte. Ganz in meinem Sinne ist am Ende die Forderung

Die unterstützende Nutzung privater Endgeräte muss über ein pragmatisches datenschutzkonformes Verfahren erlaubt werden. Eine allgemeine Verpflichtungserklärung zur Einhaltung des Datenschutzes sollte ausreichen.

Vor allem der zweite Satz ist dabei wichtig. Die Haftung kann weg.

Veröffentlicht am

Eine FAQ zur DS-GVO für Schulen aus Niedersachsen

Lesezeit: 2 Minuten

Von Seiten der Niedersächsischen Landesschulbehörde hat man eine Sammlung von Fragen und Antworten zum Thema Datenschutz Grundverordnung, soweit sie Schulen betrifft, zusammengestellt.

  • Demnach müssen Schulen nach dem 25.05.2018 bei einem Verstoß gegen die DS-GVO nicht mit der Verhängung von Bußgeldern rechnen, da dieses nur für Unternehmen gilt, die am Wettbewerb teilnehmen.
  • Einen Fortbildungsbedarf für die Datenschutzbeauftragten in Schulen mit Bezug auf die Änderungen durch die DS-GVO  sieht man in Niedersachsen nicht.
  • Als wichtigste Schritte bei der Umsetzung der Vorgaben der DS-GVO sieht man:
    • die Bestellung einer oder eines Datenschutzbeauftragten
    • die Erstellung des in Art. 30 DS-GVO geforderten Verzeichnis der Verarbeitungstätigkeiten
    • die Überprüfung der Schulhomepage auf die Erfordernisse der DS-GVO und die Anpassung der Datenschutzerklärung an die DS-GVO
  • Aussagen werden auch zu den Haftungsrisiken der behördliche Datenschutzbeauftragten in Schulen durch die DS-GVO gemacht. Nach Auffassung der Landesschulbehörde ändert sich hier nichts wesentlich.
    • Die Schulleitung trägt weiterhin die rechtliche Verantwortung in Bezug auf den Datenschutz, der oder die Datenschutzbeauftragte berät die Schulleitung und weißt auf mögliche Verstöße hin.
    • Eine Haftung kommt nur bei grober Fahrlässigkeit oder Vorsatz in Frage. Außerdem kommt es bei Datenschutzverstößen nur selten zu Vermögensschäden.
    • Es sind eher atypische Ausnahmefälle in Bezug auf eine fehlerhafte datenschutzrechtliche Beratung, dass einer als Datenschutzbeauftragter tätigen Lehrkraft der Vorwurf der groben Fahrlässigkeit gemacht werden kann.
  • Anders als viele Unternehmen brauchen sich Schulen nach Ansicht der Landesschulbehörde wegen der DS-GVO keine Sorgen machen, da ihnen keine Bußgelder verhängt werden.

Mir neu war bei diesen FAQ, dass Schulen bei Datenschutzverstößen nicht mit der Verhängung von Bußgeldern rechnen müssen. Zu klären wäre nun, ob dieses eine langespezifische Regelung aus Niedersachsen ist oder ob dieses auf alle Bundeslänger übertragen werden kann.

Nicht ganz teilen kann ich die Einschätzung bezüglich der Vermögensschäden. Wenn ein Schüler durch einen Datenschutzverstoß z.B. nachweislich einen Ausbildungsplatz nicht erhält, könnte dafür vermutlich schon ein Vermögensschaden geltend gemacht werden. Außerdem können nach der DS-GVO auch immaterielle Schäden geltend gemacht werden. Das wäre der Fall, wenn ein Schüler durch ein in einem Datenschutzverstoß öffentlich gewordenes Fördergutachten oder Zeugnis unter dem Gehänsel der Mitschüler leidet.

Nicht ganz passt die Frage des Haftungsrisiko auch zur Haftung, in welche eine Lehrkraft in NRW genommen wird, wenn sie die Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken auf privaten ADV-Anlagen von Lehrkräften gem. § 2 Abs.2 VO-DV I / § 2 Abs.4 VO-DV II unterschreibt. Ginge man im MSB NRW von einer gleichen Einschätzung bezüglich der Haftungsrisiken aus wie in Niedersachsen, bräuchte sich im Prinzip niemand Sorgen machen wegen der Unterschrift. Falls dem so wäre, sollte dieses vom MSB NRW jedoch auch für alle Lehrkräfte des Landes klargestellt werden, falls man bei der Haftung bleiben will. Andererseits ergibt eine generelle Haftung der Lehrkräfte, wie die Genehmigung sie vorsieht, keinen Sinn, wenn es ohnehin kein erhöhtes Haftungsrisko im Vergleich zu vorher gibt.

Veröffentlicht am

Wenn Schülerdaten auf dem Sperrmüll landen

Lesezeit: 2 Minuten

Lehrkräfte verarbeiten seit vielen Jahren persönliche Daten von Schülerinnen und Schülern auf ihren privaten Endgeräten. Kaum einer hat sich da viele Gedanken gemacht. An vielen Schulen lief das ohne eine spezielle Genehmigung durch die Schulleitung ab. Entsprechend waren viele Lehrkräfte auch nicht sensibilisiert für das Thema Datenschutz.

Was passieren kann, wenn eine Lehrkraft den Datenschutz vernachlässigt, zeigte vor einigen Jahren exemplarisch ein Fall in Köln. Hier hatte ein Mann auf dem Trödelmarkt eine gebrauchte Festplatte für drei Euro gekauft. Zu Hause fand er auf der Festplatte Zeugnisse, Gutachten zur Feststellung des sonderpädagogischen Förderbedarfs und Klassenfotos von Schülern einer Grundschule aus einer Nachbarkommune. Im Falle eines solchen Gutachtens von 2009 fanden sich dabei auch Namen, Adresse und Telefonnummer der Eltern.

Wie war es dazu gekommen? Der Ehemann einer Grundschullehrerin hatte den alten PC entsorgen wollen und in den Sperrmüll gegeben. Daran, dass noch Daten auf dem Rechner sein könnten, hatte er nicht gedacht.

Aus Sicht des Datenschutzes ist dieser Fall in mehrfacher Hinsicht problematisch.

  1. Die Grundschullehrerin hätte Fördergutachten mit persönlichen Daten niemals auf ihrem privaten Endgerät verarbeiten dürfen. Das widerspricht den datenschutzrechtlichen Vorgaben in NRW (Siehe VO-DV I).
  2. Auch Adressdaten durften 2009 nicht auf privaten Endgeräten verarbeitet werden.
  3. Die Daten sind durch Unachtsamkeit in fremde Hände gelangt und hätten im Prinzip überall landen können, um später wieder aufzutauchen und möglicherweise zu Problemen führen können für Betroffene.
  4. Auch die Fotos waren vermutlich ohne Einwilligung und Genehmigung auf dem privaten Rechner gespeichert.

Wie hätte man richtig gehandelt?

  1. Das Fördergutachten hätte ohne persönliche Daten verfasst werden müssen, um es dann in der Schule an einem Verwaltungsrechner mit den persönlichen Daten zu ergänzen.
  2. Vor der Entsorgung hätte die Festplatte des PC datenschutzgerecht gelöscht werden müssen. Alternativ hätte man sie ausbauen können, um sie zu verwahren.

Sollten Betroffene sich in dem Zeitungsbericht von 2015 erkannt haben, wäre eine Klage wegen Verletzung des Rechts auf informationelle Selbstbestimmung möglich. Die Strafen könnten dabei recht hoch ausfallen für die Lehrerin. Unter Umständen könnte so ein Fall auch rechtliche Konsequenzen für die Schulleitung nach sich ziehen.

Quelle: Datenschutz Schülerdaten für drei Euro vom Trödel gekauft, KSA, 05.08.2015

Veröffentlicht am

LDI NRW spricht sich gegen die Genehmigung der Verarbeitung schulischer Daten auf privaten Endgeräten von Lehrkräften aus

Lesezeit: < 1 Minute

Aktuell ist die Verunsicherung unter Lehrkräften und Schulleitungen in NRW groß, was die mit der Dienstanweisung vom 19.01.2018 verbindlich eingeführte Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken
auf privaten ADV-Anlagen von Lehrkräften gem. § 2 Abs.2 VO-DV I / § 2 Abs.4 VO-DV II  angeht. Jetzt hat sich auch die Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI), Helga Bock, eindeutig zu dieser Genehmigung positioniert.

Helga Bock, die Datenschutzbeauftragte, stellte gegenüber dieser Redaktion klar, dass die Schulleitungen dafür verantwortlich seien, dass sensible Informationen über Schüler geschützt sind. Weil aber die Risiken bei privaten Lehrer-Computern sehr groß seien, könnten die Schulleitungen gar nicht alle Sicherheitsaspekte überschauen und dürften daher die Nutzung nicht genehmigen.

Entsprechend gibt es für sie nur eine Lösung. Sie wird mit den Worten zitiert:

“Dienstliche Geräte zur ausschließlich dienstlichen Nutzung bereitstellen.”

Quelle: Westfalenpost, 22.03.2018

Stolz präsentiert von WordPress