Verarbeiten – Speichern – Unterricht – Lehrergeräte

Lesezeit: 3 Minuten
„Die für die Verarbeitung zugelassenen Daten ergeben sich aus der Anlage 3.“1§2 Satz 3 VO-DV I

Welche personenbezogenen Daten Lehrkräfte in NRW mit Genehmigung der Schulleitung auf ihren privaten Endgeräten verarbeiten dürfen, ist durch Anlage 3 der VO-DV I recht genau eingegrenzt.

Datensatz bei Genehmigung der Verarbeitung personenbezogener Schülerinnen- und Schülerdaten auf privaten ADV-Anlagen der die Schülerinnen und Schüler unterrichtenden Lehrerinnen und Lehrer“2Satz 1 Anlage 3 VO-DV I

Anders als bei den personenbezogenen Daten, welche in der Verwaltung verarbeitet werden dürfen, sind die hier zugelassenen Daten eng begrenzt. Es wird von einem Datensatz gesprochen, der verarbeitet werden darf. Im Kommentar zum Schulgesetz von 2015 wird davon gesprochen, dass durch die Regelung in der VO-DV I ein Export  in die privaten Endgeräte der Lehrkräfte ermöglicht wird.

„… besonderen Regelung, damit bestimmte Daten in einem begrenzten Umfang für dienstliche Zwecke aus der Schule exportiert und in privaten ADV-Anlagen der Lehrkräfte verarbeitet werden dürfen.“3 SchulG NRW-Kommentar, März 2015, Katernberg

Nicht mehr zeitgemäß

An der Stelle wird deutlich, dass die Vorgaben des Schulgesetzes NRW und der anhängigen Verordnungen in diesem Bereich längst nicht mehr zeitgemäß sind. Warum?

Die Vorgaben in der VO-DV I sollen sicherstellen, dass die personenbezogenen Daten von Schülern und Eltern ausreichend geschützt sind und dass Lehrkräfte deshalb nicht alle nach dem Schulgesetz NRW für eine Verarbeitung zugelassenen personenbezogenen Daten auf ihren privaten Endgeräten verarbeiten und dadurch einem zusätzlichen Risiko aussetzen. Beim Begriff Verarbeiten hat der Gesetzgeber hierbei jedoch wohl vor allem an eine Speicherung auf den Geräten gedacht. Darauf deuten auch die Löschfristen hin, welche für personenbezogene Daten aus der Schule auf privaten Endgeräten deutlich eingeschränkt sind. Sie dürfen dort nur maximal ein Jahr gespeichert werden, gerechnet ab dem Ende des Kalenderjahres, nachdem eine Lehrkraft einen Schüler zuletzt unterrichtet hat. Die Schule hingegen bewahrt die Daten von Schülern 5 Jahre und länger auf.

Verarbeitung ist der Sammelbegriff für sämtliche Vorgänge, die mit oder ohne automatisierte Verfahren mit personenbezogenen Daten erfolgen4Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;“ Art. 4 Nr. 2 . Wie der Beitrag Verarbeitung, Bearbeitung, Speicherung, Bildschirmanzeige und Logineo NRW hoffentlich zeigen konnte, macht die Verwendung dieses Begriffes schon Probleme, wenn es um die Nutzung des Date-Safe von Logineo NRW mit personenbezogenen Daten geht, welche nicht in Anlage 3 aufgeführt sind. Sie dürften dem Wortlaut der VO-DV I nach zur Zeit auch von privaten Endgeräten aus nicht im Daten-Safe verarbeitet werden, da bereits die Bildschirmanzeige ein Verarbeitung im Sinne von Art. 4 Nr. 2 DS-GVO darstellt.

Das Schulgesetz NRW und die VO-DV I tragen der Tatsache, dass heute zunehmend online gearbeitet wird, noch keine Rechnung. Anders als vor wenigen Jahren können Dokumente mittlerweile online bearbeitet werden. Sie müssen dazu nicht länger auf dem Endgerät gespeichert werden, wie das z.B. bei lo-net oder anderen einfachen Plattformen der Fall war. Dort musste eine Datei zunächst auf den Rechner heruntergeladen werden, um sie anzusehen und zu bearbeiten, bevor sie dann wieder in der bearbeiteten Version hochgeladen wurde. Moderne Plattformen erlauben sowohl die Anzeige wie auch die Verarbeitung online. Wenn dieses im Browser erfolgt, findet nur eine temporäre Speicherung im Arbeitsspeicher statt. Diese stellt jedoch keine dauerhafte Speicherung im Sinne der DS-GVO dar.5Siehe dazu ebenfalls Eßer in Eßer/Kramer/ v. Lewinski Art. 4 Nr. 2 DS-GVO Rn. 43 Herbst in Kühling/Buchner, Art. 4 Nr. 2 DS-GVO Rn. 24

Dem muss die Schulgesetzgebung Rechnung tragen. Sie muss deutlich unterscheiden zwischen personenbezogenen Daten aus der Schule, welche mit Genehmigung durch die Schulleitung auf privaten Endgeräten verarbeitet werden dürfen, einschließlich einer Speicherung auf dem Gerät, und solchen, welche verarbeitet werden dürfen, jedoch unter Ausschluss einer Speicherung.

Was ist zu tun?

Der bisher in Anlage 3 aufgeführte Datensatz wird unverändert beibehalten für eine uneingeschränkte Verarbeitung einschließlich einer Speicherung auf dem Gerät. Zusätzlich aufgenommen werden sollten in die VO-DV I jedoch weitere Daten bzw. Kategorien von Daten, für welche eine eingeschränkte Verarbeitung, welche eine Speicherung auf dem Endgerät ausdrücklich ausschließt, über den Browser zulässig ist.6Neben dem Zugriff über einen Browser könnten auch Software und Apps zuässig sein, welche keine Daten lokal ablegen können. Dazu gehören würden Daten, für welche schon jetzt eine Bearbeitung im Daten-Safe von Logineo NRW vorgesehen ist. Mit aufgenommen werden müssten unbedingt auch sämtliche personenbezogenen Daten, welche zur Nutzung von Lern Management Systemen (LMS), Lernplattformen und Classroom Management Systemen (CMS) erforderlich sind.7Welche personenbezogenen Daten dort verarbeitet werden dürfen, ist dann Bestandteil anderer Regelungen. Dieses ist dringend erforderlich, um der Tatsache Rechnung zu tragen, dass im Unterricht zunehmend Online-Plattformen genutzt werden. Dort erfolgt sämtliches Lernen und Arbeiten online über den Browser und es ist erforderlich, dass Lehrkräfte die Möglichkeit erhalten, in der Plattform von Schülern erarbeitete Materialien einzusehen, um Feedback zu geben und Bewertungen vorzunehmen, oder um durchgeführte Abfragen auszuwerten. So wie traditionell Lehrkräfte die Hefte von Schülern mit nach Hause nehmen, macht es die Arbeit mit Online-Plattformen erforderlich, die von Schülern bearbeiteten Materialien auch zu Hause in der Plattform durchsehen zu können. Das alles ist, momentan von privaten Endgeräten aus rein rechtlich nicht möglich, da diese Daten nicht zu dem in Anlage 3 detaillierten Datensatz gehören.

Mit Dienstgeräten würde sich die beschriebene Erfordernis einer zeitgemäßen Anpassung der schulischen Gesetzgebung nicht ergeben. Da es gegenwärtig illusorisch ist, mit einer zeitnahen Ausstattung aller Lehrkräfte mit Dienstgeräten zu rechnen, sich nun aber immer mehr Schulen und Lehrkräfte auf den Weg machen, digitale Medien in den Unterricht zu integrieren, was vor allem in weiterführenden Schulen den Einsatz von Online-Plattformen einschließt, braucht es die beschriebene Anpassung der datenschutzrechtlichen Vorgaben im Schulgesetz und anhängigen Verordnungen zur Datenverarbeitung. Auch die Verarbeitung von personenbezogenen Daten, welche nicht auf privaten Endgeräten gespeichert werden dürfen, macht diese Änderung deshalb erforderlich.

 

Verarbeitung

Lesezeit: 2 Minuten

Wie personenbezogene Daten gehört Verarbeitung zu den grundlegenden Begrifflichkeiten der DS-GVO und ist deshalb dort auch in Artikel 4  definiert. Die Definition zeigt, dass der Begriff sehr weit definiert ist. Damit stellt jeder denkbare Umgang mit personenbezogenen Daten eine Verarbeitung dar und fällt damit unter die Regelungen des Datenschutzrechtes.

„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;“

Auf Schule bezogen bedeutet dieses, die Verarbeitung von personenbezogenen Daten betrifft nicht nur die digitale Verarbeitung, etwa im Schulverwaltungsprogramm, sondern auch die in Papierform (z.B. Schülerstammblätter und -akten, Zeugnisskopien, Gutachten, …)8Wie die Definition des Begriffes Verarbeitung zeigt, meint Verarbeitung in Bezug auf personenbezogenen Daten in Papierform alle Formen der Aufzeichnung, die eine Organisation bzw. Ordnung aufweisen, die ein Auffinden einzelner personenbezogenen Daten ermöglicht. Das kann prinzipiell auch eine Sammlung von Notenlisten sein oder von vergessenen Hausaufgaben.. Nicht alle Begriffe lassen sich immer eindeutig voneinander trennen, wie die Beispiele zeigen. Wie in der Definition beschrieben gehören zur Verarbeitung:

  • Erheben, Erfassen – sind bei der Anmeldung an einer Schule Daten nicht vollständig bei den Erziehungsberechtigten zu erhalten, fragen manche Schulen bei den Einwohnermeldeämtern nach. Die Aufnahme von Daten bei den Erziehungsberechtigten bei Schulanmeldung. Noten aus einer Klassenarbeit werden in einer Notenliste erfasst.
  • Organisieren, Ordnen – Grunddaten und Leistungsdaten werden durch ein Schulverwaltungsprogramm organisiert, um strukturelle Prozesse der Schulveraltung abzubilden. Als eine Form des Organisierens kann ein Schulverwaltungsprogramm personenbezogene Daten durch Sortierung in alphabetischer Reihenfolge, nach Klassen, nach Jahrgängen ordnen.
  • Speicherung – meint die Aufzeichnung personenbezogener Daten, digital oder analog, so dass sie später wieder gelesen/ abgerufen werden können.9Eine flüchtige Speicherung, etwa als temporäre Arbeitskopie oder in einem Cache Speicher fällt nicht unter diesen Begriff. Auernhammer Art. 4 Nr. II RN 43
  • Anpassung, Veränderung – Eine Anpassung erfolgt etwa durch das Heraufsetzen der Klassenstufe beim Jahrgangswechsel in der Schulverwaltungssoftware, eine Änderung, wenn ein Schüler umzieht und die alte gegen eine neue  Adresse ausgetauscht wird.
  • Auslesen, Abfragen – Zur Erstellung einer Schülerliste werden aus dem Datenbestand der Schulverwaltungssoftware personenbezogene Daten ausgelesen. Filtert man in der Schulverwaltungssoftware alle Schüler einer bestimmten Religionszugehörigkeit aus, stellt das eine Abfrage dar.
  • Offenlegung durch Übermittlung – darunter fällt z.B. die Ausgabe der Zeugnisse oder die Meldung von Schülern, die ein Praktikum in einem Lebensmittelbetrieb machen wollen, an das Gesundheitsamt.
  • Offenlegung durch Verbreitung oder eine andere Form der Bereitstellung – meint unter anderem die Veröffentlichung auf der Schulhomepage oder Berichte in der Presse, Jahrbücher u. Ä..
  • Abgleich, Verknüpfung – Die Kontrolle der erfassten Zeugnisnoten anhand einer Kontrollliste mit den zuvor abgegebenen Notenlisten ist eine Form des Abgleichs. Bei der Zeugniserstellung werden personenbezogenen Daten aus verschiedenen Fächern miteinander verknüpft.
  • Einschränkung – meint eigentlich eine Sperrung der Daten. Durch die Vorgaben der VO-DV I zur Aufbewahrung dürfen Noten von Abgängern nicht sofort gelöscht werden, nachdem ein Schüler die Schule verlassen hat. Die personenbezogenen Daten dieser Schüler dürfen jedoch auch nicht mehr verändert werden, da sie in Bezug auf die Verarbeitung eingeschränkt sind.
  • Löschen – Lehrkräfte beispielsweise müssen personenbezogenen Daten von Schülern ein Jahr nachdem sie sie abgegeben haben, gerechnet ab dem Ende des Kalenderjahres, löschen.
  • Vernichtung – Zeugnisse, Schülerstammblätter, Schülerakten usw. die nach Ablauf der Aufbewahrungsfrist einem Archiv angeboten wurden, vernichtet, falls dieses kein Interesse an einer Archivierung hat.