Source: https://www.gesetze-bayern.de/(X(1)S(zdbdizmyi0qwmdwvz4gememx))/Content/Document/BayVwV270311/true?AspxAutoDetectCookieSupport=1&fontsize=large
Timestamp: 2020-07-10 11:50:45+00:00

Document:
Bekanntmachung über erläuternde Hinweise zum Vollzug der datenschutzrechtlichen Bestimmungen für die Schulen - Bürgerservice
204-K
Bekanntmachung über erläuternde Hinweise zum Vollzug der datenschutzrechtlichen Bestimmungen für die Schulen
vom 11. Januar 2013, Az. I.5-5 L 0572.2-1a.54 865
(KWMBl. S. 27, ber. S. 72)
Zitiervorschlag: Bekanntmachung des Bayerischen Staatsministeriums für Unterricht und Kultus über die Bekanntmachung über erläuternde Hinweise zum Vollzug der datenschutzrechtlichen Bestimmungen für die Schulen vom 11. Januar 2013 (KWMBl. S. 27, ber. S. 72)
Grundanliegen der Datenschutzbestimmungen
Zweck der „Erläuternden Hinweise“
Erläuterung wesentlicher datenschutzrechtlicher Begriffe
Geltungsbereich des Bayerischen Datenschutzgesetzes
Vorrang spezieller Vorschriften
Geltungsbereich je nach Speichermedium, Datenart und Verarbeitungsart
Zulässigkeit der Datenerhebung, ‑verarbeitung und ‑nutzung
Zulässigkeit der Datenverarbeitung und ‑nutzung
Fernzugriff von Lehrkräften auf Dienste an Servern innerhalb der Schule
Datenverarbeitung im Auftrag (insbesondere webbasierte Verfahren), Wartung der
An Schulen häufig auftretende Datenschutzfragen
Berichtigung, Löschung, Sperrung, Speicherungsdauer
Entsorgung von Unterlagen und Datenträgern
Datensicherung, Datengeheimnis, Verpflichtung der Bediensteten
Verpflichtung der Bediensteten
Allgemeines zum Auskunftsanspruch
Auskunftsanspruch der Schülerinnen und Schüler und ihrer Erziehungsberechtigten
Auskunftsanspruch des Schulpersonals
Institutionen des Datenschutzes
Datenschutzbeauftragte an den Schulen
Beratungsstellen in Datenschutzfragen
Freigabe eines automatisierten Verfahrens
Wichtige Datenschutzbestimmungen für Schulen
1. Grundanliegen der Datenschutzbestimmungen
1.1 Aufgabe des Datenschutzes
(insbesondere zu Art. 1 BayDSG)
Aufgabe des Datenschutzes ist es, die Einzelnen davor zu schützen, dass sie bei der Erhebung, Verarbeitung oder Nutzung ihrer personenbezogenen Daten in unzulässiger Weise in ihrem Persönlichkeitsrecht beeinträchtigt werden (zur leichteren Orientierung werden Gesetzeszitate kursiv dargestellt). Der Erreichung dieses Ziels an Schulen dienen sowohl allgemeine (subsidiäre) Datenschutzbestimmungen – wie vor allem das Bayerische Datenschutzgesetz (BayDSG), die hierzu erlassene Vollzugsbekanntmachung und die Datenschutzverordnung (DSchV) – als auch bereichsspezifische (vorrangige) Sondervorschriften für den Schulbereich – wie insbesondere das Bayerische Gesetz über das Erziehungs- und Unterrichtswesen (BayEUG) und die Durchführungsverordnung StMUK Art. 28 Abs. 2 BayDSG (DVBayDSG-KM).
1.2 Zweck der „Erläuternden Hinweise“
Die nachstehenden „Erläuternden Hinweise“ sollen darstellen, welche personenbezogenen Daten von den Schulen erhoben, verarbeitet und genutzt werden dürfen. Neben den allgemeinen Datenschutzbestimmungen werden dabei auch die speziell für den Schulbereich erlassenen bereichsspezifischen Sondervorschriften berücksichtigt. In einem vorangestellten Abschnitt (Nr. 2) werden zunächst die für den Datenschutz wesentlichen Begriffe erläutert. Sodann wird unter Nr. 3 abgegrenzt, für welche Daten die Bestimmungen des BayDSG gelten bzw. nicht gelten.
2. Erläuterung wesentlicher datenschutzrechtlicher Begriffe
(insbesondere zu Art. 4 BayDSG)
Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbarer natürlicher Personen (Betroffene). Hierzu gehören beispielsweise Namen, Anschriften, Telefonnummern und Fotos.
An Schulen werden etwa folgende personenbezogene Daten verarbeitet:
von Schülerinnen und Schülern beispielsweise Angaben zur Person, zur schulischen Laufbahn, zu den Leistungen und Veranlagungen, zu Verhalten und Mitarbeit, ggf. auch zum sozialen Umfeld und zum Gesundheitszustand, Zeugnisbemerkungen und Eintragungen im Schülerbogen,
von den Erziehungsberechtigten beispielsweise die Anschriften,
von den Ausbildungsbetrieben der Berufsschülerinnen und Berufsschüler beispielsweise ggf. die Anschrift und ggf. der Name der Ausbildenden oder des Ausbildenden,
von den Lehrkräften beispielsweise Angaben zur Person, zur Lehrbefähigung, zur Unterrichtspflichtzeit und einer evtl. Ermäßigung, zu den unterrichteten Fächern und Klassen sowie zu Sprechstunden und Vertretungsstunden.
Summendaten, die beispielsweise in amtliche Erhebungen einzutragen sind, sind, soweit sie keine Rückschlüsse auf bestimmte oder bestimmbare natürliche Personen zulassen, keine personenbezogenen Daten.
Eine Datei ist
Eine Datei liegt demnach insbesondere vor, wenn personenbezogene Daten von Schülerinnen und Schülern, Erziehungsberechtigten und Lehrkräften
in einem EDV-Verfahren geführt werden, in dem mehrere Merkmale zu Datensätzen zusammengefasst sind (datenbankgeschützte Verfahren, z.B. Schulverwaltungsprogramm),
in Karteien (Schülerkartei, Lehrerkartei) geführt werden,
in Tabellenkalkulationen, Datenbanken usw. verwendet werden.
Nicht unter den Begriff der Datei fallen
Listen (wie beispielsweise Klassenlisten, Notenlisten, Sprechstundenverzeichnisse), manuell geführte Notenbücher, Jahresberichte,
Akten und Aktensammlungen, es sei denn, dass sie durch automatisierte Verfahren umgeordnet und ausgewertet werden können. In der Regel fallen also beispielsweise Schülerakten und Schulpersonalakten nicht unter den Begriff der Datei.
Akten sind alle nicht zu den Dateien zählenden, amtlichen oder dienstlichen Zwecken dienenden Unterlagen mit personenbezogenen Daten; dazu können auch Bild- und Tonträger, z.B. Fotografien, Videoaufnahmen, Tonbandaufnahmen zählen. Nach dem BayDSG wird dabei der Begriff „Akten“ als Restgröße definiert.
Anmeldebogen, Schülerbogen, Notenbogen, Kursbogen etc. sind Bestandteile des Schülerakts. Soweit diese Unterlagen mit Rücksicht auf die einfachere Übertragung von Noten etc. zeitweise nach Klassen o. ä. zusammengefasst und außerhalb der Schülerakten aufbewahrt werden, ist die gleiche Sorgfalt anzuwenden, um die Daten vor unbefugtem Zugriff zu schützen.
Automatisierte Verfahren sind solche, in denen wesentliche Verfahrensschritte (Erhebung, Verarbeitung, Nutzung) mit Hilfe programmgesteuerter Anlagen (Computern) ablaufen.
Ein nicht automatisiertes Verfahren ist beispielsweise die manuelle Führung von Karteien
Erheben ist das Beschaffen von Daten über Betroffene.
Verändern ist das inhaltliche Umgestalten gespeicherter personenbezogener Daten.
Übermitteln ist das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener personenbezogener Daten an Dritte in der Weise, dass die Daten durch die speichernde Stelle weitergegeben werden oder Dritte Daten einsehen oder abrufen, die zur Einsichtnahme oder zum Abruf bereitgehalten werden.
Das Übermitteln von Daten kann in verschiedener Weise erfolgen, beispielsweise durch Weitergabe von Ausdrucken, Übergabe von Datenträgern, mündliche Auskunft, Übertragung in einem Netzwerk (insbes. im Internet), Veröffentlichung, Dateneinsicht.
Sofern Daten an den Betroffenen selbst gegeben werden, liegt keine Datenübermittlung vor.
Gesperrte Daten dürfen nur noch in Ausnahmefällen genutzt werden (vgl. Nr. 5.2).
Löschen ist das Unkenntlichmachen gespeicherter Daten.
Löschen kann z.B. durch vollständiges Überschreiben von Daten auf Datenträgern (z.B. USB-Sticks, Festplatten, Bändern) erfolgen oder durch Vernichtung von Karteikarten oder Akten im Reißwolf. Löschen einzelner Einträge auf Karteikarten oder in Akten hat so zu erfolgen, dass die ursprünglichen Daten nicht mehr lesbar sind.
Nutzen ist jede Verwendung personenbezogener Daten, soweit es sich nicht um Verarbeitung handelt, insbesondere die Weitergabe von Daten innerhalb der speichernden Stelle an Teile derselben Stelle mit anderen Aufgaben oder anderem örtlichem Zuständigkeitsbereich.
An Schulen liegt beispielsweise eine Nutzung vor, wenn Daten an die Lehrkräfte der Schule oder an Einrichtungen zur Mitgestaltung des schulischen Lebens weitergegeben werden. Auch das bloße Lesen von Daten stellt eine Datennutzung dar.
Anonymisieren ist das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mehr mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.
Anonymisierung kann beispielsweise oftmals erreicht werden, indem aus Datensätzen Merkmale (beispielsweise Namen) entfernt werden und die Datensätze anschließend in eine zufällige Reihenfolge gebracht werden. Eine andere Möglichkeit bietet eine unumkehrbare Verschlüsselung der Daten (Kryptierung), die keine Rückschlüsse auf bestimmte oder bestimmbare natürliche Personen zulässt. Anonymisierte Daten stellen keine personenbezogenen Daten mehr dar.
Pseudonymisieren dagegen ist das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren (§ 3 Abs. 6a des Bundesdatenschutzgesetzes - BDSG). Pseudonymisierte Daten stellen weiterhin personenbezogene Daten dar.
Speichernde Stelle ist jede öffentliche Stelle, die Daten für sich selbst speichert oder durch andere im Auftrag speichern lässt.
So bleibt eine Schule speichernde Stelle und damit für die ordnungsgemäße Datenverarbeitung und die Einbehaltung der Datenschutzvorschriften auch dann verantwortlich, wenn sie beispielsweise Schüler- oder Lehrerdaten auf einem Rechner einer anderen Schule, einer Lehrkraft (vgl. Nr. 4.3) oder einer Firma (z.B. zur Erstellung von Schülerausweisen; vgl. Nr. 4.5) verarbeiten lässt. Diese Stellen sind insbesondere nicht befugt, Daten, die sie von einer Schule nur zur Verarbeitung erhalten haben, für eigene Zwecke zu verwenden.
Dritte sind alle Personen oder Stellen außerhalb der speichernden Stelle, also alle außerschulischen Personen und Firmen, aber auch andere Schulen und Behörden.
Dritte sind nicht die Betroffenen sowie diejenigen Personen und Stellen, die im Inland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen. Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum sind alle Mitgliedstaaten der Europäischen Union sowie Island, Liechtenstein und Norwegen. Werden dagegen personenbezogene Daten auf dem Server eines privaten Programmanbieters in der Schweiz oder in den USA verarbeitet, ist dieser Dritter.
Nicht Dritter, weil Betroffener, sind bei Schülerdaten die Schülerinnen und Schüler selbst und bei minderjährigen Schülerinnen und Schülern deren Erziehungsberechtigte.
Regelmäßige Datenübermittlungen liegen vor, wenn bestimmte Daten bei Eintritt festgelegter Voraussetzungen weitergegeben oder zum Abruf bereitgehalten werden, ohne dass die speichernde Stelle hierüber im konkreten Einzelfall entscheidet. Keine regelmäßigen Datenübermittlungen, sondern Einzelübermittlungen liegen dagegen vor bei Datenübermittlungen, die von Fall zu Fall nach Einzelentscheidungen durch die speichernde Stelle vorgenommen werden.
Beispiele für regelmäßige Datenübermittlungen sind der Jahresbericht der Schule, die Abgabe der Amtlichen Schuldaten oder die Schülerlisten für die Handwerkskammer.
6. Datensicherung, Datengeheimnis, Verpflichtung der Bediensteten
6.1 Datensicherung
(insbesondere zu Art. 7 BayDSG)
Die Schulen haben technische und organisatorische Maßnahmen dafür zu treffen, dass die bei ihnen gespeicherten personenbezogenen Daten (Schülerdatei, Kollegstufendatei, Lehrerdatei, aber auch Schulkorrespondenz mit personenbezogenen Daten) vor Verlust und vor Missbrauch geschützt werden, d.h. dass
personenbezogene Daten vor unerkannter Verfälschung geschützt sind (Integrität),
personenbezogene Daten vor zufälliger oder unrechtmäßiger Zerstörung und vor zufälligem Verlust geschützt sind (Verfügbarkeit),
die Urheberschaft übermittelter personenbezogener Daten vor deren Weiterverarbeitung festgestellt werden kann (Authentizität),
nachträglich festgestellt werden kann, wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat (Revisionsfähigkeit) und
die Verfahrensweisen bei der Verarbeitung personenbezogener Daten mit zumutbarem Aufwand nachvollzogen werden können (Transparenz).
Auf die sorgfältige Beachtung der nach Art. 7 Abs. 2 BayDSG bei automatisierten Verfahren im Einzelnen zu treffenden Sicherungsmaßnahmen werden die Schulen besonders hingewiesen. Insbesondere
sind von personenbezogenen Daten regelmäßig Sicherungskopien anzufertigen,
dürfen Datenträger (USB-Stick, Festplatte etc.) mit personenbezogenen Daten ausschließlich für Zwecke der Schulverwaltung verwendet werden (grundsätzlich sind Programme und Daten für den Unterricht auf gesonderten Datenträgern zu führen),
hat die Speicherung personenbezogener Daten auf mobilen Datenträgern immer verschlüsselt zu erfolgen (Ausnahmen hiervon sind nur dann zulässig, wenn sichergestellt werden kann, dass ein unberechtigter Zugriff auf den mobilen Datenträger vollständig ausgeschlossen ist, solange dieser unverschlüsselte personenbezogene Daten enthält.),
sind mobile Datenträger mit personenbezogenen Daten nach ihrer Verwendung jeweils wegzusperren und
muss bei der Speicherung von personenbezogenen Daten auf Rechnern der Zugriff durch Passwörter geschützt sein, wobei ggf. abgestufte Zugriffsrechte vergeben werden sollten.
Ausführlich werden Maßnahmen der Datensicherung in der mit dem Hauptpersonalrat getroffenen Dienstvereinbarung über die Einführung und Anwendung des bayerischen Schulverwaltungsprogramms ASV in Anlage 3 „Datenschutz und Datensicherheit“ beschrieben (hierzu oben Nr. 4.2).
Sollen die in der Schulverwaltung eingesetzten Rechner und die Rechner für Unterrichtszwecke an ein und dasselbe Intranet der Schule angeschlossen werden, so muss in besonderer Weise sichergestellt sein, dass unautorisierten Personen ein Zugriff auf personenbezogene Daten und die zugehörenden Programme nicht möglich ist. Die Verantwortung hierfür liegt bei der Schule. Hinsichtlich des Schutzbedarfes ist es sinnvoll, die Bereiche Verwaltung, Lehrerbereich und Schüler-/Unterrichtsbereich entweder physikalisch oder in verschiedene Teilnetze mit gesicherten Übergängen zu trennen: Durch geeignete technische Maßnahmen ist sicherzustellen, dass ein Zugriff vom Schüler-/Unterrichtsbereich aus auf Rechner in den beiden anderen Bereichen nicht möglich ist. Ein Zugriff vom Lehrerbereich auf Rechner des Verwaltungsbereiches ist auf diejenigen Dienste der Schulverwaltung einzuschränken, die zur Verwendung durch das Lehrpersonal vorgesehen sind. Die Verantwortung hierfür liegt bei der Schule.
Besondere Schutzmaßnahmen vor unerwünschten Zugriffen sind auch bei einem Internetzugang eines Rechners mit Zugriffsmöglichkeit auf personenbezogene Daten zu treffen. Die Verantwortung hierfür liegt bei der Schule. Geeignete Schutzmaßnahmen können beispielsweise darin bestehen, dass
der HTTP-Datenverkehr durch einen Webfilter eingeschränkt wird,
die nutzbaren Internetdienste dadurch eingeschränkt werden, dass vom schulseitigen Gateway (Proxy) nur unbedingt benötigte Dienste (z.B. HTTP und HTTPS für Webzugriffe) zugelassen werden,
eine automatisierte Portfreischaltung („Plug and Play“) auf dem Router deaktiviert wird,
ein Virenscanner den Zugriff auf Dateien und E-Mails überwacht,
E-Mails von nicht als sicher bekannten bzw. nicht zuverlässig identifizierbaren Absendern nicht geöffnet, sondern gelöscht werden, insbesondere dann, wenn sie Anhänge enthalten,
Verwaltungsrechner durch geeignete Authentifizierung (mindestens: Benutzername, Passwort) vor unbefugter Nutzung geschützt werden,
die Nutzung von ActiveX-Steuerelementen, ActiveX-Plugins und „Net“-Funktionalität im Browser (Internet Explorer) grundsätzlich deaktiviert wird und
Java und JavaScript im Browser nur dann aktiviert wird, wenn sie zur Nutzung dringend benötigter Webseiten unerlässlich ist.
Die Versendung von Schulkorrespondenz mit personenbezogenem oder sonstigem vertraulichen Inhalt mittels E-Mail ist wegen der offenen Struktur des Internets nur unter Anwendung einer Verschlüsselung zulässig, die den Schutz der Vertraulichkeit, Integrität und Authentizität ausreichend sicherstellt.
6.2 Datengeheimnis (insbesondere zu Art. 5 BayDSG)
Den bei öffentlichen Stellen beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). Das Datengeheimnis besteht auch nach Beendigung ihrer Tätigkeit fort.
Neben dem allgemeinen Datengeheimnis im BayDSG bestehen noch weitere Bestimmungen der Geheimhaltungs- und Verschwiegenheitspflichten:
das Gebot der Amtverschwiegenheit (§ 37 BeamtStG und § 14 Abs. 1 LDO),
das Verbot der Auskunftserteilung über Schülerinnen und Schüler an Dritte (§ 14 Abs. 4 LDO).
6.3 Verpflichtung der Bediensteten
Zusätzlich zum Amtseid ist eine gesonderte Verpflichtung auf den Datenschutz von Personen, die mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten betraut werden, nicht erforderlich.
Dessen ungeachtet empfiehlt es sich, vor Einführung eines automatisierten Verfahrens zur Verarbeitung personenbezogener Daten die damit betrauten Personen an die Wahrung des Datengeheimnisses und die Amtspflicht zur Verschwiegenheit zu erinnern.
Zu diesen Personen gehören alle Beschäftigten einer Schule, die auf gespeicherte Daten zugreifen können, z.B. Lehr- und Sekretariatskräfte, die Daten erfassen, ändern, löschen oder auswerten können, speziell also auch Lehrkräfte, die im Rahmen der Zeugniserstellung Noten an einem Computer eingeben bzw. Lehrkräfte, die Daten auf privaten Rechnern nach Nr. 4.3 verarbeiten.
8. Institutionen des Datenschutzes
8.1 Sicherstellung des Datenschutzes
(insbesondere zu Art. 25 Abs. 1 BayDSG)
Die Staatskanzlei, die Staatsministerien und die sonstigen obersten Dienststellen des Staates, die Gemeinden und Gemeindeverbände ... haben für ihren Bereich die Ausführung dieses Gesetzes (BayDSG) sowie anderer Rechtsvorschriften über den Datenschutz sicherzustellen.
8.2 Datenschutzbeauftragte an den Schulen
(insbesondere zu Art. 25 Abs. 2 bis 4 und Art. 28 Abs. 2 BayDSG)
Ab dem Schuljahr 2011/2012 erfolgt die sukzessive Einführung von Datenschutzbeauftragten an staatlichen Schulen und an den Staatlichen Schulämtern (daraus erklärt sich in Nr. 8.4 die Einschränkung „soweit vorhanden“). Die Datenschutzbeauftragten wirken auf die Einhaltung des BayDSG und anderer Vorschriften über den Datenschutz an der Schule hin. Sie führen auch datenschutzrechtliche Freigabeverfahren gemäß Art. 26 BayDSG durch und führen das Verfahrensverzeichnis gemäß Art. 27 BayDSG. Zudem sind die Datenschutzbeauftragten gemäß Art. 25 Abs. 3 Satz 6 BayDSG Ansprechpartner in Angelegenheiten des Datenschutzes an den Schulen vor Ort. Die Datenschutzbeauftragten werden bei komplexen datenschutzrechtlichen Fragen, die sich nicht vor Ort lösen lassen, unterstützt durch Multiplikatoren für den Datenschutz an den Regierungen bzw. bei den Dienststellen der Ministerialbeauftragten (die Multiplikatorenstruktur wird ab dem Schuljahr 2011/2012 sukzessive eingeführt).
Die Verantwortung der Schulleitung und jedes Bediensteten, die Vorschriften des Datenschutzes an der Schule gewissenhaft zu beachten, bleibt davon unberührt.
8.3 Landesbeauftragter für den Datenschutz
(insbesondere zu Art. 9, Art. 30 und Art. 32 BayDSG)
Der Landesbeauftragte für den Datenschutz kontrolliert bei den öffentlichen Stellen die Einhaltung dieses Gesetzes (BayDSG) und anderer Vorschriften über den Datenschutz.
Jeder (also auch Schülerinnen und Schüler, Erziehungsberechtigte, Lehrkräfte) kann sich an den Landesbeauftragten für den Datenschutz mit dem Vorbringen wenden, bei der Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten durch öffentliche Stellen in seinen Rechten verletzt worden zu sein. Lehrkräfte sind dabei nicht an den Dienstweg gebunden.
Der Landesbeauftragte für den Datenschutz ist von allen öffentlichen Stellen in der Erfüllung seiner Aufgaben zu unterstützen. Ihm sind alle zur Erfüllung seiner Aufgaben notwendigen Auskünfte zu geben und auf Anforderung alle Unterlagen über die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten zur Einsicht vorzulegen. Er hat ungehinderten Zutritt zu allen Diensträumen, in denen öffentliche Stellen Daten erheben, verarbeiten oder nutzen.
Die Anschrift des Landesbeauftragten für den Datenschutz lautet:
Infos: www.datenschutz-bayern.de
8.4 Beratungsstellen in Datenschutzfragen
Bei Fragen zum Datenschutz an Schulen sollen sich Schulen in der nachstehenden Reihenfolge an folgende Stellen wenden:
in erster Linie – soweit bereits vorhanden – an den Datenschutzbeauftragten der Schule bzw. bei den Grund-/Mittel-/Förderschulen an den Datenschutzbeauftragten am zuständigen Staatlichen Schulamt; falls nach angemessener eigener Auslegung und Bewertung der Datenschutzvorschriften durch den örtlichen Datenschutzbeauftragten noch Fragen offen bleiben, sollte die Schule den jeweils zuständigen Multiplikator für den Datenschutz an der Regierung oder bei der Dienststelle des bzw. der Ministerialbeauftragten einbinden;
an die Regierung, soweit dieser die Schulaufsicht obliegt,
an das Referat für Medienbildung am Staatsinstitut für Schulqualität und Bildungsforschung (ISB), Schellingstraße 155, 80797 München,
an das Bayerische Staatsministerium für Unterricht und Kultus.
Erziehungsberechtigte, Schülerinnen und Schüler und Lehrkräfte können sich in Datenschutzfragen an die Schulleitung oder – soweit bereits vorhanden – an den Datenschutzbeauftragten der Schule bzw. bei den Grund-/Mittel-/Förderschulen an den Datenschutzbeauftragten am zuständigen Staatlichen Schulamt wenden.
Vor erfolgter Freigabe dürfen automatisierte Verfahren nicht mit Echtdaten – auch nicht versuchsweise – betrieben werden.
10. Verfahrensverzeichnis
(insbesondere zu Art. 27 BayDSG und Art. 28 Abs. 2 BayDSG)
Die vom Bayerischen Staatsministerium für Unterricht und Kultus für die staatlichen Schulen erteilte landesweite datenschutzrechtliche Freigabe des Amtlichen Schulverwaltungsprogramms ASV ist in das an der Schule bzw. – im Grund- und Mittelschulbereich – am örtlich zuständigen Schulamt nach Art. 27 BayDSG zu führende Verfahrensverzeichnis aufzunehmen, soweit ASV an der Schule zum Einsatz kommt. Dies gilt auch für die vom schulischen Datenschutzbeauftragten erteilten Freigaben. Im Verfahrensverzeichnis sind für jedes automatisierte Verfahren die in Art. 26 Abs. 2 BayDSG genannten Angaben festzuhalten.
Ein Anlagenverzeichnis muss nicht geführt werden. Das übliche Inventarverzeichnis der Schule genügt.
11. Wichtige Datenschutzbestimmungen für Schulen
Art. 31 Abs. 1 Satz 2, 75, 85, 85a, 88a, 111, 113a, 113b und 113c des Bayerischen Gesetzes über das Erziehungs- und Unterrichtswesen (BayEUG)
Bestimmungen der jeweiligen Schulordnungen über personenbezogene Daten an Schulen (beispielsweise zum Anmeldeverfahren, zu den Aufnahmevoraussetzungen, zum Schülerbogen, zu Erhebungen)
Durchführungsverordnung StMUK Art. 28 Abs. 2 BayDSG (DVBayDSG-KM vom 23. März 2011, zuletzt geändert durch Verordnung vom 4. Januar 2013 (GVBl S. …)
Bekanntmachung zum Vollzug des Bayerischen Datenschutzgesetzes (VollzBekBayDSG)
Datenschutzrechtliche Freigabe des bayerischen Schulverwaltungsprogramms ASV vom 13. Oktober 2011 in der jeweils aktuellen Fassung
Dienstvereinbarung über die Einführung und Anwendung des bayerischen Schulverwaltungsprogramms ASV vom 14. Juli 2011, veröffentlicht mit Bekanntmachung vom 2. August 2011 (KWMBl S. 248, ber. S. 364)
Rechtliche Hinweise zur Nutzung der EDV-Einrichtung und des Internets an Schulen (Bekanntmachung des Staatsministeriums für Unterricht und Kultus vom 12. September 2012 (KWMBl S. 317)).
Die vorgenannten Bestimmungen sind abrufbar auf der Homepage des Staatsministeriums für Unterricht und Kultus unter dem Pfad http://www.km.bayern.de/ministerium/recht.html.
12. Inkrafttreten, Außerkrafttreten
Diese Bekanntmachung tritt am 18. Februar 2013 in Kraft.
Mit Ablauf des 17. Februar 2013 tritt die Bekanntmachung des Bayerischen Staatsministeriums für Unterricht und Kultus über Erläuternde Hinweise für die Schulen zum Vollzug des Bayerischen Datenschutzgesetzes vom 19. April 2001 (KWMBl I S. 112), geändert durch Bekanntmachung vom 10. Oktober 2002 (KWMBl I S. 354), außer Kraft.
Musterformulare zur Einholung der Einwilligung in die Veröffentlichung von personenbezogenen Daten (einschließlich Fotos):
Musterformular „Minderjährige Schülerinnen und Schüler“
Musterformular „Volljährige Schülerinnen und Schüler“
Musterformular „Mitglieder des Elternbeirats“
Musterformular „Lehrkräfte, Verwaltungspersonal, externes Personal in Ganztagesangeboten“

References: Art. 1
 Art. 28
 Art. 4
 Art. 7
 Art. 7
 Art. 5
 § 14
 Art. 25
 Art. 25
 Art. 28
 Art. 26
 Art. 27
 Art. 25
 Art. 9
 Art. 30
 Art. 32
 Art. 27
 Art. 28
 Art. 27
 Art. 26

Art. 31
 Art. 28