Lehrkräfte in NRW werden seit Ende 2020 mit Dienstgeräten ausgestattet. Gelder dazu kommen vom Land bzw. Bund und die Beschaffung, Bereitstellung und Verwaltung erfolgt über die Schultäger. Der Gesetzgeber hat zur Steuerung der Ausstattung eine Richtlinie erlassen und diese später durch eine FAQ ergänzt, mit welcher Fragen, die sich aus der Richtlinie ergeben, beantwortet werden sollen. Beide Texte sind Rechtstexte und entsprechend formuliert. Um sich dem nicht einfachen Thema, wie die Richtlinie umzusetzen ist, anzunähern, sind unten die Teile beider Texte wiedergeben, die Bezug zu Datenschutz und Datensicherheit haben, und mit einer Auslegung versehen.
Die BASS 2020/2021 – 11-02 Richtlinie über die Förderung von dienstlichen Endgeräten für Lehrkräfte an Schulen in Nordrhein-Westfalen steckt den rechtlichen Rahmen ab. Aussagen, die eine Relevanz für Datenschutz und Datensicherheit haben, sind in der Tabelle aufgeführt und erklärt.
| Richtlinie | Auslegung |
| Zusammenfassung über Richtlinie
Das Land Nordrhein-Westfalen gewährt Zuwendungen für die digitale Bildungsinfrastruktur durch eine digitale Ausstattung von Lehrkräften an Schulen in Nordrhein-Westfalen. Ziel ist es, Schulträger bei der Digitalisierung ihrer Schulen durch Ausstattung der Lehrkräfte mit digitalen dienstlichen Endgeräten sowie die Lehrkräfte bei der rechtssicheren Arbeit mit personenbezogenen Daten zu unterstützen. |
Durch die Ausstattung mit Dienstgeräten will das Land Lehrkräften ein zusätzliches Werkzeug an die Hand geben, mit welchem sie rechtssicher personenbezogene Daten verarbeiten können.
(Die Formulierung ist ähnlich zum Text der Richtlinie, mit dem einen Unterschied, dass hier die Arbeit der Lehrkräfte mit personenbezogenen Daten betont wird, nicht die der Schulen.) |
| 1 Zuwendungszweck, Rechtsgrundlagen Abs. 1.1 Ziel ist es, Schulträger bei der Digitalisierung ihrer Schulen durch Ausstattung der Lehrkräfte mit digitalen dienstlichen Endgeräten sowie Schulen bei der rechtssicheren Arbeit mit personenbezogenen Daten nach den Vorgaben der §§ 120 bis 122 des Schulgesetzes NRW und der Verordnung für die zur Verarbeitung zugelassenen Daten von Schülerinnen, Schülern und Eltern (VO-DV I) und der Verordnung über die zur Verarbeitung zugelassenen Daten der Lehrerinnen und Lehrer (VO-DV II) zu unterstützen. |
Das Land möchte Schulen durch die Ausstattung mit Dienstgeräten unterstützen, dass Lehrkräfte damit die personenbezogenen Daten von Schülerinnen und Schülern, Eltern und Lehrkräften rechtssicher verarbeiten können.
Die personenbezogenen Daten, um welche es dabei geht, werden an dieser Stelle in keiner Weise eingeschränkt. Die Grenzen werden durch §§120 – 122 und VO-DV I/II gesetzt. Darunter fallen alle personenbezogenen Daten, die durch das SchulG legitimiert sind wie auch solche, welche auf der Grundlage einer Einwilligung verarbeitet werden. Das heißt ganz deutlich, die Dienstgeräte sind für die Verarbeitung von personenbezogenen Daten vorgesehen und können von daher durch die Schulträger auch nicht auf die Unterrichtsvorbereitung ohne personenbezogene Daten eingeschränkt werden. Aus den FAQ geht das auch entsprechend hervor. |
| 4 Zuwendungsvoraussetzungen Abs. 4.1 Eine Förderung mobiler Endgeräte kann unter folgenden Voraussetzungen erfolgen: Beschaffung schulgebundener mobiler Endgeräte einschließlich der Inbetriebnahme sowie des für den Einsatz erforderlichen Zubehörs (Laptops, Notebooks und Tablets mit Ausnahme von Smartphones), um diese Lehrkräften zur dienstlichen Aufgabenerledigung unentgeltlich zur Verfügung zu stellen. |
Nur wenn die beschriebenen Voraussetzungen erfüllt sind, ist eine Förderung der Dienstgeräte möglich.
Die Geräte sind an die Schule gebunden (auch wenn es Geräte des Schulträgers sind). Nur Laptops, Notebooks und Tablets sind zulässig. Auch wenn Smartphones nicht förderfähig sind, schließt das keine Mobilgeräte mit Mobilfunknetz (SIM, eSIM) aus. Die Geräte werden zur dienstlichen Aufgabenerledigung zur Verfügung gestellt, das heißt nicht zur Nutzung für private Zwecke. “Dienstliche Aufgabenerledigung” umfasst alle Tätigkeiten, welche eine Lehrkraft im Zusammenhang mit der Ausübung ihrer Tätigkeit verrichten muss. Dazu gehört auch die Verarbeitung von personenbezogenen Daten für pädagogische Zwecke wie auch Verwaltungsarbeiten. Das geht auch deutlich aus dem Zuwendungszweck hervor. Damit ist auch klar, dass die “dienstliche Aufgabenerledigung” von Seiten des Schulträgers nicht auf Unterrichtsvorbereitungen ohne jegliche personenbezogenen Daten beschränkt werden kann. |
| 6 Sonstige Zuwendungsbestimmungen Abs. 6.2 Es ist sicherzustellen, dass die schulgebundenen mobilen Endgeräte sofort verwendet und in die schulische Infrastruktur integriert werden können. |
Die Geräte sind schulgebunden. Das bedeutet, wechselt eine Lehrkraft die Schule, kann sie das Gerät nicht mitnehmen.
Die Schulträger müssen die Dienstgeräte, sobald sie eingetroffen sind, soweit vorbereiten bzw. konfigurieren, dass sie von den Lehrkräften verwendet werden können. Außerdem sollen sie in die schulische Infrastruktur integrierbar sein. Das meint zumindest, sie können auf das Internet, Anzeigegeräte in den Klassenräumen und auf Drucker zugreifen. Zur schulischen Infrastruktur gehören auch die schulischen Netzwerke. |
| Der Zuwendungsempfänger verpflichtet sich zu einer zentralen Geräteverwaltung. | Der Schulträger muss die Dienstgeräte zentral verwalten. |
| Dazu können bestehende Strukturen genutzt werden. Sollten diese nicht oder nicht im ausreichenden Maße vorhanden sein, verpflichtet sich der Zuwendungsempfänger, diese spätestens innerhalb von 24 Monaten zu schaffen. | Zur zentralen Verwaltung der Dienstgeräte können bereits vorhandene Verwaltungslösungen (z.B. MDM) genutzt werden. Gibt es diese nicht oder sie reichen nicht aus, muss der Schulträger innerhalb von 24 Monaten eine Verwaltungslösung für die Dienstgeräte schaffen. |
Bei den Vorgaben in der Richtlinie bleiben viele Fragen offen. Deshalb hat das MSB ergänzend die Fragen und Antworten zur Förderung von dienstlichen Endgeräten für Lehrkräfte | Bildungsportal NRW veröffentlicht. Hier sind die Angaben bzw. Vorgaben wesentlich umfangreicher und gehen inhaltlich über die Richtlinie hinaus. Viele der beschriebenen Vorgaben lassen sich unter die Vorgabe aus der Richtlinie subsumieren, dass die Dienstgeräte die Schulen bzw. Lehrkräfte bei einer “rechtssicheren Arbeit mit personenbezogenen Daten” unterstützen sollen. Der Begriff rechtssicher zieht eine ganze Reihe von Voraussetzungen nach sich, die in Bezug auf Datenschutz und Datensicherheit erfüllt sein müssen.
| FAQ | Auslegung |
9. Sollen die mobilen Endgeräte für Lehrkräfte ins pädagogische Netz oder ins Verwaltungsnetz integriert werden? |
|
Einsatz und Einbindung der dienstlichen Endgeräte |
|
| Die dienstlichen Endgeräte sind für die üblichen Tätigkeiten von Lehrkräften vorgesehen, also in der Regel für rein pädagogische Tätigkeiten, aber auch für die pädagogischen Dokumentationstätigkeiten. | Die Intention welche das Land mit der Bereitstellung verfolgt, die Zweckbestimmung (= vorgesehen), ist eine Nutzung der Dienstgeräte für die Tätigkeiten, welche Lehrkräfte üblicherweise ausüben. Das wird dann im Folgen detailliert. An erster Stelle stehen rein pädagogische Tätigkeiten (in der Regel = Ausnahmen sind möglich), also eine unterrichtliche Nutzung z.B. in einem LMS oder einer Arbeits- und Kommunikationsplattform, Verteilen von Materialien an Schüler, Kontrolle von Schülergeräten etc. Das schließt auch die Verarbeitung von personenbezogenen Daten ein, die dafür erforderlich sind (§120 Abs. 5 SchulG NRW). Vorgesehen sind die Geräte auch für pädagogische Dokumentationstätigkeiten. Das meint Noten, Absenzen, Versäumnisse und Notizen über Schüler, Diagnosen, Beobachtungen, auch im Zusammenhang mit einem AO-SF Verfahren. |
| Auch sind sie für die schulinterne Verwaltung zugelassen. | Eine Nutzung der Dienstgeräte ist auch für Verarbeitungstätigkeiten, die der schulinternen Verwaltung zuzuordnen sind, möglich. Das meint die Erstellung von Zeugnissen, Elternschreiben zu Ordnungsmaßnahmen, Erstellen von “Blauen Briefen”, Protokollen, usw.
Die Abtrennung dieser Tätigkeit in einen eigenen Satz deutet darauf hin, dass diese Möglichkeit für die Dienstgeräte zwar eingeräumt, jedoch eher nachrangig gesehen wird. Sie wird, wenn auch eher für Mitglieder der Schulleitung, Lehrkräfte mit besonderen Aufgaben und eventuell Klassenlehrkräfte in Frage kommen. |
| Sie können grundsätzlich sowohl in alle schulinternen als auch externen Netzwerke eingebunden werden, sofern den Belangen des Datenschutzes durch geeignete technisch-organisatorische Maßnahmen Rechnung getragen wird. | Wenn nichts ausdrücklich dagegen spricht (= grundsätzlich), besteht die Möglichkeit (= können), die Dienstgeräte in alle schulinternen Netzwerke einzubinden. Das meint das pädagogische Netzwerk der Schule und das schulinterne Verwaltungsnetzwerk, bedeutet aber nicht automatisch, dass die Dienstgeräte auch in beide Netzwerke eingebunden sein müssen. Sofern nicht dagegen spricht, ist es auch möglich, die Dienstgeräte in Netzwerke außerhalb der Schule einzubinden. Das meint das Verwaltungsnetzwerk des Schulträgers, welches Zugangspunkte (kommunale Verwaltungsrechner) in der schulinternen Verwaltung haben kann. Im Zusammenhang mit der Richtlinie meint externes Netzwerk hier aber vor allem die heimischen Netze der Lehrkräfte. Voraussetzung für die Einbindung der Dienstgeräte in eines oder mehrere der genannten Netzwerke ist, dass dabei der Datenschutz sichergestellt wird. Die dafür erforderlichen technischen und organisatorischen Maßnahmen müssen sich am jeweiligen Netzwerk und den dort verarbeiteten Daten orientieren (= geeignete). Technische und organisatorische Maßnahmen meint hier die Absicherung des Dienstgerätes selbst wie auch den Zugriff auf personenbezogene Daten im jeweiligen Netzwerk. Es geht um Maßnahmen wie Verschlüsselung, Rechte- und Rollenkonzepte, Zugangsschutz zu den Netzwerken etc.
Wenn es möglich ist, durch geeignete technische und organisatorische Maßnahmen zu gewährleisten, dass die Verarbeitung von personenbezogenen Daten auf den Dienstgeräten den Anforderungen des Datenschutzes genügt, dann können sie in jedes der genannten Netzwerke eingebunden werden. Welche technische und organisatorische Maßnahmen dabei erforderlich sind, hängt vom jeweiligen Netzwerk und den verarbeiteten personenbezogenen Daten ab. In der Praxis kann das bedeuten, dass ein Gerät zwar sicher in ein Netzwerk eingebunden werden kann, eine Einbindung in ein weiteres Netzwerk sich damit mit den dazu erforderlichen technischen und organisatorischen Maßnahmen jedoch nicht umsetzen lässt. |
| Der Zugang zu einzelnen Netzen hängt von den konkreten, ihren Aufgaben entsprechenden Berechtigungen eines Nutzers bzw. einer Nutzerin ab. | Zu welchen Netzwerken Nutzer mit dem Dienstgerät letztendlich die Berechtigung zum Zugang haben, wenn die vorgenannten Bedingungen erfüllt sind, hängt von ihren Aufgaben ab, die wiederum von ihrer Funktion in der Schule abhängen, als Fachlehrer, Klassenlehrer, Schulleitung, Beratungslehrer, erweiterte Schulleitung, Oberstufenleitung, Förderschullehrkraft, … |
| Eine Einbindung dieser dienstlichen Endgeräte in das private Netz der Lehrkräfte am heimischen Arbeitsplatz ist möglich, sofern auch hier den Belangen des Datenschutzes Rechnung getragen wird. | Lehrkräfte dürfen ihre Dienstgeräte auch in ihrem heimischen WLAN Netzwerk nutzen, einem schulexternen Netz. Diese Möglichkeit ist jedoch an die Bedingung geknüpft, dass dieses Netzwerk ausreichend sicher ist. Das meint beispielsweise Maßnahmen wie die Einrichtung eines Zugriffschutzes für das WLAN, so dass nur berechtigte Nutzer sich dort anmelden können. |
| Zu unterscheiden von der Nutzung ist die Verwaltung der Endgeräte. Diese soll zentral durch den Schulträger erfolgen. | Hier erfolgt eine klare Trennung zwischen Nutzung und Verwaltung der Dienstgeräte. Für die Verwaltung wird dringend empfohlen (= soll), dass sie zentral durch den Schulträger vorgenommen wird. Es ist also auch möglich, dass sie an den jeweiligen Schulen erfolgt (dezentral) und durch die Schule selbst vorgenommen wird.
In der Richtlinie klingt das jedoch wesentlich strenger “Der Zuwendungsempfänger verpflichtet sich zu einer zentralen Geräteverwaltung.” Die FAQ scheint den Schulträgern hier mehr Möglichkeiten einzuräumen. |
Maßnahmen zum Datenschutz und zur Datensicherheit |
|
| Die Geräte sollen vom Schulträger zentral konfiguriert und verwaltet werden. | Das Ministerium empfiehlt dringend, dass die Konfiguration, das heißt Einrichtung der Dienstgeräte und die anschließende Verwaltung, das meint dauerhafte Betreuung durch den Schulträger zentral erfolgt. Wie im Abschnitt zuvor bleiben damit auch andere Möglichkeiten offen, etwa dezentrale Lösungen. |
| Die dienstlichen Endgeräte sollen die Lehrkräfte bei der Erfüllung ihres Bildungs- und Erziehungsauftrags in der Schule und am häuslichen Arbeitsplatz unterstützen können und dabei zugleich den Belangen des Datenschutzes und der Datensicherheit umfassend Rechnung tragen, insbesondere mit Blick auf die Verarbeitung personenbezogener Daten. | Vom Ministerium wird dringend empfohlen, die Dienstgeräte so einzurichten und mit Bezug auf Datenschutz und -sicherheit abzusichern, dass Lehrkräfte sie in der Schule wie auch am Arbeitsplatz zu Hause zur Verarbeitung von personenbezogenen Daten nutzen können, wie dieses erforderlich ist, um ihrem Bildungs- und Erziehungsauftrag nachkommen zu können. Den Belangen von Datenschutz und -sicherheit soll dabei umfassend Rechnung getragen werden. Mit umfassend ist diese Anforderung sehr hoch angesetzt.
Es müssen hier zwei Vorgaben gleichwertig erfüllt werden:
|
| Funktional ist ein dienstliches Endgerät dadurch vergleichbar mit einem stationären Endgerät, welches der Lehrkraft in der Schule zur Verfügung steht. | Wenn die vorgenannten Bedingungen (zentrale Konfiguration und Verwaltung, Datenschutz und Datensicherheit für die Verarbeitung von personenbezogenen Daten) erfüllt sind, dann sind die dienstlichen Endgeräte funktional einem PC in der Schule vergleichbar, der Lehrkräften dort für die Verarbeitung von personenbezogenen Daten zur Verfügung steht, etwa der PC im Lehrerzimmer oder Lehrerarbeitsraum. Das heißt, es können mit Bezug auf die Verarbeitung von personenbezogenen Daten auf dem Dienstgerät alle Arbeiten erledigt werden wie auf dem entsprechenden Lehrer-Arbeitsplatz, der für Verwaltungsarbeiten eingerichtet.
Es gibt, das ist anzumerken, auch Lehrer Arbeitsplätze, die im pädagogischen Netzwerk eingebunden sind und nicht für schulinterne Verwaltungsarbeiten oder pädagogische Dokumentation genutzt werden können. Hier dürfte es jedoch um die Arbeitsplätze gehen, die auch für schulinterne Verwaltungsarbeiten eingerichtet sind. |
| Die Verarbeitung personenbezogener Daten auf den zentral verwalteten dienstlichen Geräten ist möglich und bedarf keiner gesonderten Genehmigung. | Auf den Dienstgeräten dürfen personenbezogenen Daten ohne eine zusätzliche Genehmigung (wie diese für privaten Endgeräte erforderlich ist) verarbeitet werden. |
| Es ist durch technische und organisatorische Maßnahmen, u. a. durch verschiedene Rechte und Rollen sicherzustellen, dass die Verarbeitung der personenbezogenen Daten nur durch Berechtigte im Rahmen der ihnen übertragenen Aufgaben erfolgen kann. | Diese Passage ist eine Ergänzung zu den oben unter Zugangs zu den einzelnen Netzen gemachten Vorgaben. Neben einer Kontrolle des Zugangs zu den verschiedenen Netzwerken entsprechend der Aufgaben des Nutzers muss durch technische und organisatorische Maßnahmen sichergestellt werden, dass diese dabei auch innerhalb der Netzwerke nur auf diejenigen personenbezogenen Daten Zugriff erhalten, deren Verarbeitung zur Erfüllung der ihnen übertragenen Aufgaben erforderlich ist. |
| Die getroffenen Maßnahmen sollten unter Berücksichtigung des IT-Grundschutzes des Bundesamtes für Sicherheit in der Informationstechnik erfolgen. | Das MSB empfiehlt, dass die technischen und organisatorischen Maßnahmen, mit denen der Datenschutz bei der Verarbeitung von personenbezogenen Daten auf den Dienstgeräten gewährleistet wird, die Angaben zum IT-Grundschutz des BSI berücksichtigen |
8. Wie soll die zentrale Geräteverwaltung umgesetzt werden? |
|
| Eine zentrale Geräteverwaltung ist seitens des Schulträgers zu errichten. | Anders als unter Nr. 9 (siehe oben) ist hier die zentrale Geräteverwaltung für die Dienstgeräte als zwingend vorgegeben, ähnlich wie in der Richtlinie selbst. |
| Dazu können bestehende Strukturen genutzt werden. Sollten diese nicht oder nicht im ausreichenden Maße vorhanden sein, verpflichtet sich der Zuwendungsempfänger, diese spätestens innerhalb von 24 Monaten ab Bewilligung zu schaffen (Nr. 6.2 RiLi Lehrerendgeräte). | Verfügt der Schulträger bereits über Strukturen zur Verwaltung von Geräten, kann er diese dafür verwenden. Ist dieses nicht der Fall, so muss der Schulträger diese innerhalb von 24 Monaten schaffen.
In Ergänzung ist hier die Vorgabe aus der Richtlinie zu sehen: “Es ist sicherzustellen, dass die schulgebundenen mobilen Endgeräte sofort verwendet und in die schulische Infrastruktur integriert werden können.” Der Schulträger muss zur Not bis zu 24 Monate irgendwie mit einer Notlösung überbrücken, da er die Dienstgeräte den Lehrkräften zur sofortigen Nutzung zur Verfügung stellen soll. Dabei muss er dann auch ohne zentrale Verwaltung dafür sorgen, dass Datenschutz und -sicherheit bei der Verarbeitung von personenbezogenen Daten auf den Geräten durch die Lehrkräfte gewährleistet sind. In der Praxis könnte das bedeuten, dass nur eine eingeschränkte Nutzung etwa für pädagogische Zwecke möglich ist. |
| Die Geräteverwaltung kann zentral für jede Schule oder insgesamt für alle Schulen des Schulträgers erfolgen. | Die Vorgabe zur zentralen Verwaltung der Dienstgeräte wird genauer beschrieben. Es gibt zwei Möglichkeiten, eine zentrale Verwaltung, jedoch getrennt nach den Schulen, oder alternativ eine zentrale Verwaltung für alle Schulen gemeinsam.
Bei Schulen mit iPads wird eine zentrale Verwaltung nach Schulen getrennt am meisten Sinn machen, da die Lehrergeräte bei bekannten MDM nur dann in schulische Strukturen eingebunden werden können, wenn sie im gleichen MDM bzw. am gleichen Standort verwaltet werden. |
| Beim zentralen Gerätemanagement ist darauf zu achten, dass die Geräteverwaltung möglichst betriebssystemunabhängig ist. | Die Schulträger sollen nach Möglichkeit eine betriebssystemunabhängige Geräteverwaltung nutzen. Die Vorgabe ist nicht zwingend und wird vor allem bei Schulträgern, die bereits Geräteverwaltungslösungen eingerichtet haben, nicht umsetzbar sein, außer man gibt bestehende Lösungen auf und wechselt auf andere Systeme. |
| Bei der Bereitstellung der Geräte und insbesondere beim zentralen Gerätemanagement sowie der Nutzung der Geräte sind die Vorgaben des Datenschutzes zu beachten. | Die Vorgaben des Datenschutzes müssen bei der Bereitstellung und der zentralen Verwaltung der Dienstgeräte berücksichtigt werden. Das meint die Verarbeitung der personenbezogenen Daten der Lehrkräfte selbst, die hier durch den Schulträger erfolgt. Die Lehrkräfte müssen gemäß Art. 13/ 14 DS-GVO über die dabei stattfindende Datenverarbeitung informiert werden und es ist eine Einwilligung in diese Datenverarbeitung bei den Lehrkräften einzuholen. |
| Bei der Einbindung der Geräte muss deren Nutzungszweck in der Schule berücksichtigt werden und welche Informationen zukünftig mit ihnen verarbeitet werden sollen. | In welche Netzwerke (siehe oben) die Dienstgeräte der Lehrkräfte letztendlich eingebunden werden, hängt davon ab, welche Informationen, und damit auch personenbezogene Daten, darauf verarbeitet werden sollen. Dieses richtet sich, wie an oben beschrieben, auch nach den den Nutzern übertragenen Aufgaben.
Das bedeutet, wenn auf dem Dienstgerät z.B. personenbezogene Daten im Zusammenhang mit einem AO-SF Verfahren verarbeitet werden sollen, so kann dieses Auswirkungen darauf haben, in welche Netzwerke das Gerät einbinden werden kann. Über den Nutzungszweck der Dienstgeräte in der Schule sollte eigentlich die Schule entscheiden. |
| Abgeleitet daraus ergeben sich spezifische Anforderungen für die Einhaltung der Informationssicherheit (Vertraulichkeit, Integrität und Verfügbarkeit). Dem IT-Grundschutz des BSI können Umsetzungsempfehlungen entnommen werden (www.bsi.bund.de). | Der Nutzungszweck des Dienstgerätes, die Arten von personenbezogenen Daten, die darauf verarbeitet werden sollen, und die Einbindung in Netzwerke geben vor, welche Anforderungen an die Informationssicherheit eingehalten werden müssen.
Ein Dienstgerät, welches dazu genutzt werden soll, personenbezogene Daten im Zusammenhang mit einem AO-SF Verfahren zu verarbeiten, muss in Bezug auf Informationssicherheit andere Anforderungen erfüllen als eines, welches nur für pädagogische Tätigkeiten genutzt werden soll. |
Empfehlungen des BSI
Allgemein BSI-Grundschutz-Kompendium
dazu – Umsetzungshinweis INF.9 Mobiler Arbeitsplatz (Edition 2020)
BSI SYS.3.2.3 iOS (for Enterprise) iOS for Education entspricht iOS for Enterprise funktional
und dazu SYS_3_2_3_iOS_for_Enterprise_2021.pdf
BSI SYS.2.2.3 Clients unter Windows 10
BSI SYS.3.1 Laptops
Stand 12/2020