Verarbeitungstätigkeit

Der Begriff Verarbeitungstätigkeit ist im Zusammenhang mit dem sogenannten Verzeichnis von Verarbeitungstätigkeiten¹Siehe Art. 30 DS-GVO Satz 1: “Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen.” von Bedeutung. Bei dieser Vorgabe belässt es die Datenschutz Grundverordnung (DS-GVO) dann. In Art. 30 ist zwar angegeben, welche Inhalte dieses Verzeichnis haben soll und dass es sowohl in Papierform als auch digital geführt werden kann, was genau eine Verarbeitungstätigkeit definiert, ist dabei jedoch nicht angegeben. In §70 Bundesdatenschutzgesetz (BDSG) spricht man von einem Verzeichnis aller Kategorien von Verarbeitungstätigkeiten. Dieses deutet auf eine mögliche Zusammenfassung von einzelnen Verarbeitungstätigkeiten hin, definiert jedoch ebenfalls nicht näher, was unter einer Verarbeitungstätigkeit selbst zu verstehen ist oder einer Kategorie derselben.

In den Jahren vor der DS-GVO sprach man anstelle von Verarbeitungstätigkeiten von Verfahren²Es war jedoch auch im BDSG der alten Fassung der Begriff des ‘Verfahrens’ nicht näher definiert.und Verfahrensverzeichnissen. Eine Begriffsbestimmung von Verfahren in Orientierung an Art. 4d des BDSG in der alten Fassung (aF) findet sich bei Richter und Fries³Richter/Fries in Datenschutz in Nordrhein Westfalen, 2. neubearbeitete Auflage, S. 262,

“Als ‘Verfahren’ ist aber ein Bündel von automatisierten Verarbeitungen personenbezogener Daten zu verstehen, mit dem eine oder mehrere miteinander verbundene Zweckbestimmung(en) realisiert werden soll, zu verstehen.”

Den bzw. die gemeinsamen Zwecke stellen auch andere Autoren in den Vordergrund.⁴Hartung in Kühling/Buchner Art. 30 RN 14 Ein

“maßgebliches Kriterium zur Zusammenfassung war somit, ob die einzelnen Verarbeitungen zu einem einheitlichen Zweck erfolgten.”

Da die DS-GVO keine Begriffsbestimmung liefert, man beim alten BDSG jedoch sehr gut mit der daraus abgeleiteten Begriffsbestimmung arbeiten konnte, kommt man in der Fachliteratur zu dem Schluss, sich bei der Bestimmung des Begriffs Verfahrenstätigkeit an den Kriterien zu orientieren, die man auch beim Verfahren zugrunde gelegt hat.⁵“Dennoch sprechen praktische Erwägungen dafür, dem Begriff der Verarbeitungstätigkeit in Art. 30 das gleiche Verständnis zugrunde zu legen wie dem des ‘Verfahrens’ nach §§ 4g Abs. 2, 4e.” in Hartung in Kühling/Buchner Art. 30 RN 15

Somit geht es, auch mit dem Ziel der Wahrung der Übersichtlichkeit und Vermeidung überflüssiger Bürokratie beim Verzeichnis der Verarbeitungstätigkeiten um eine übersichtliche Auflistung der Verarbeitungstätigkeiten, in welcher

“einzelne  – kleinschrittige – Verarbeitungen unter dem Oberbegriff einer Verarbeitungstätigkeit zusammengefasst werden.”⁶Hartung in Kühling/Buchner Art. 30 RN 15

Bei der Erstellung des Verzeichnisses von Verarbeitungstätigkeiten einer Schule, lassen sich demnach alle einzelnen Verarbeitungen, die einen einheitlichen Zweck verfolgen, zu einer einzelnen Verarbeitungstätigkeit zusammenfassen.

Im Vordergrund stehen deshalb bei der Erstellung eines Verzeichnisses von Verarbeitungsätigkeiten nicht die einzelnen Programme, mit denen man Arbeitet, sondern die Verarbeitungszwecke. Das kann auch bedeuten, dass dabei verschiedene Programme in einer Verarbeitungstätigkeit zum Einsatz kommen. Umgekehrt ist es auch denkbar, die Verarbeitungen, die in sehr umfangreichen Softwarepaketen stattfinden, in mehr als eine Verarbeitungstätigkeit aufzuteilen. Wie eng oder weit man den Begriff der Verarbeitungstätigkeit bzw. das Verfolgen eines einheitlichen Zwecks dabei fasst, hängt dabei sicherlich auch von den Zwecken ab.

Eine gute erste Orientierung für verschiedene Verarbeitungstägigkeiten bieten für Schulen in NRW die VO-DV I Anlage 1 und 2 und VO-DV II Anlage 1 und 2 ⁷Eine sehr knappe Auflistung der Verarbeitungszwecke findet sich auch in §121 Abs. 1 SchulG NRW.. Hier sind Verarbeitungszwecke aufgeführt, denen dann die dafür erforderlichen personenbezogenen Daten zugeordnet sind.

Bei Lehrkräften ist es relativ einfach, anhand der Verarbeitungszwecke Verarbeitungstätigkeiten zu beschreiben.

• 1. Planung und Ermittlung des Unterrichtsbedarfs, Durchführung des Unterrichts
  • a) Planung und Einrichtung von Bildungsgängen, Klassen und Gruppen; Ermittlung und Deckung besonderer Bedarfe und Förderungsbedarfe; Unterrichtsorganisation; Unterrichtsverteilung
  • b) Aufstellen von Aufsichts-, Prüfungs-, Stunden- und Vertretungsplänen, Sprechstundenlisten sowie Übersichten der an der Schule Beschäftigten
• 2. Erledigung der laufenden schulischen Angelegenheiten
  • a) Berichte in arbeits-, dienst- und personalrechtlichen Angelegenheiten und Angelegenheiten der Lehrerversorgung
  • b) Berichte zur Vorbereitung von Dienstleistungszeugnissen, Beratung zur dienstlichen Beurteilung, Berichte in disziplinarrechtlichen Angelegenheiten
  • c) Beantwortung von Anfragen und Erhebungen der Schulaufsichtsbehörden sowie anderer Behörden aus dem Geschäftsbereich des für die Schule zuständigen Ministeriums
  • d) Durchführung von Maßnahmen der Qualitätsentwicklung und Qualitätssicherung gemäß § 3 Abs. 4 SchulG
• 3. Statistische Daten
• 4. Lehrerausbildung (Ausbildungslehrerinnen und -lehrer, Lehramtsanwärterinnen und Lehramtsanwärter und Lehrkräfte in Ausbildung)
• 5. Lehrerfortbildung
• 6. Erfüllung der Schulleitungsaufgaben (Akten der Schulleitung )

Wenn man jetzt hier für 1. zwei Beschreibungen erstellt, für 2. vier Beschreibungen und dann für 3. – 6. je eine, hätte man maximal 10 Beschreibungen, was die Verarbeitung von personenbezogenen Daten der Lehrkräfte angeht.⁸Eventuell könnte man 2. a) und b) zusammenfassen. GPC sollte keine eigene Beschreibung benötigen, sondern sich unter Nr. 6 mit erfassen lassen.

Was die Schüler angeht, ist die Einteilung etwas schwieriger, da es sehr viel mehr Verarbeitungszwecke gibt. Eine mögliche Einteilung in Verarbeitungstätigkeiten entsprechend den Vorgaben in der VO-DV I Anlage 1 und 2 könnte wie folgt vorgenommen werden.

• Schüler Individual- und Organisationsdatenverwaltung
• Schüler Leistungsdatenverwaltung und Zeugniserstellung⁹Da diese beiden Verarbeitungskategorien sehr eng verwandt sind, könnte man sie auch in eine Beschreibung packen – in SchiLD NRW laufen sie in einer Software.
• Dokumentation des Unterrichts
• Dokumentation der Leistungsbewertung
• Dokumentation aller den Schüler betreffenden Vorgänge und Beratungsunterlagen
• Übersichten aus bestehenden Sammlungen und über Leistungsdaten

Darüber hinaus gibt es noch diverse Verarbeitungstätigkeiten, die nicht direkt in den Verordnungen erfasst sind oder eventuell separat beschrieben werden könnten:

• Öffentlichkeitsarbeit, Information (z.B. über Schulhomepage, Schulzeitung)
• Kommunikation mit Schülern, Eltern und Lehrkräften (und externen Stellen)¹⁰Es findet sich in beiden Verordnungen zur Datenverarbeitung etwas zur Kommunikation mit Schülern, Eltern und Lehrkräften. Externe Stellen sind mehr indirekt erfasst. Da Kommunikation ein einheitlicher Verarbeitungszweck ist, bietet es sich an, eine gesonderte Beschreibung für eine Verarbeitungstätigkeit “Kommunikation” zu erstellen. Diese würde alle Formen der Kommunikation erfassen, E-Mail, Brief wie auch möglicherweise den Austausch über eine Plattform.
• Unterrichtliche Arbeit mit einem Lernmanagementsystem
• Organisation kollegialer und fachlicher Teamarbeit (z.B. in einer Cloudlösung wie Logineo NRW oder Office 365 Cloud)
• Zugangssicherung zum Gebäude (z.B. mittels einer Schließanlage)

In Orientierung an den hier genannten Verarbeitungszwecken finden sich im Downloadbereich unter Service-Downloads > Verzeichnis von Verarbeitungstätigkeiten verschiedene vorbereitete Vorlagen für die Beschreibung von Verarbeitungstätigkeiten, die Schulen nach ihren Bedürfnissen anpassen können.