Source: https://datenschutz.alp.dillingen.de/course/view.php?id=6
Timestamp: 2017-11-22 03:24:55+00:00

Document:
Kurs: Rolle des Datenschutzbeauftragten
Nach diesem Lernmodul
können Sie datenschutzrechtliche Freigaben erstellen.
können Sie ein Verfahrensverzeichnis führen.
wissen Sie, in welchen Bereichen Sie auf die Einhaltung der datenschutzrechtlichen Bestimmungen hinwirken sollen.
kennen Sie Ihre Rechte als Datenschutzbeauftragter.
In diesem Lernmodul werden Sie mit einigen Abkürzungen konfrontiert. Ein Abkürzungsverzeichnis finden Sie u.a. am Ende der "Handreichungen für Datenschutzbeauftragte an bayerischen staatlichen Schulen" (eingestellt unter Grundwissen "Recht").
Von wem geht die Initiative aus?
Wie sieht eine Freigabe aus?
Wofür sind keine Freigaben notwendig?
Wieder einmal das Internet: Der Elternbeirat regt an, den Sprechstundenplan der Lehrkräfte auf die Homepage zu stellen, da die Sprechstundenliste vom Anfang des Schuljahres oft verloren geht.
In einer Lehrerkonferenz wird darüber beraten. Kollege X schlägt vor, die Sprechstundenliste auf der Homepage zu veröffentlichen. Kollege Y hat Bedenken, dass jeder weltweit einsehen kann, wann er seine Sprechstunde hat.
Unter welchen Voraussetzungen ist das Veröffentlichen der Sprechstundenliste auf der Homepage datenschutzrechtlich möglich? (mehrere richtige Lösungen)
Die Schulleitung kann die Veröffentlichung der Sprechstundenliste anordnen.
Die Veröffentlichung ist erlaubt, wenn alle betroffenen Personen rechtswirksam eingewilligt haben.
Die Veröffentlichung ist auch ohne die Zustimmung der Lehrkräfte im passwortgeschützten Bereich möglich.
Die Veröffentlichung ist erlaubt, wenn nicht mehr als ein Zehntel des Kollegiums widerspricht.
1 Rechtzeitig vor dem Einsatz oder der wesentlichen Änderung eines automatisierten Verfahrens hat die Schulleitung dem Datenschutzbeauftragten einen Freigabeantrag zur Verfügung zu stellen.
Nr. 4.1 VollzBekBayDSG
Art. 26 Abs. 3 BayDSG in Verbindung mit Art. 26 Abs. 2 BayDSG
2 Zusammen mit dem Freigabeantrag müssen folgende Unterlagen zur Verfügung gestellt werden:
- Verfahrensbeschreibung entsprechend dem Muster (Anlage 1),
- Beschreibung der eingesetzten Datenverarbeitungsanlagen und der Datensicherungsmaßnahmen entsprechend dem Muster (Anlage 2).
Bei Videoaufzeichnungen sind besondere Angaben erforderlich (Anlage 3).
Handreichung Kap. 2.1.2, S. 8
Anlage Nr. 1 Handreichung
Art. 7 BayDSG und Art. 8 BayDSG
Anlage Nr. 2 Handreichung
Anlage Nr. 3 Handreichung
3 Eine Freigabe ist dann entbehrlich, wenn das Verfahren
- der Verordnung zur Durchführung des Art. 28 Abs. 2 BayDSG entspricht,
- durch den Vorstand der AKDB freigegeben wurde,
- durch das StMUK landesweit freigegeben wurde oder
- nach § 2 DSchV von der Freigabepflicht ausgenommen ist
- oder das automatisierte Verfahren zwar Funktionalitäten enthält, die den Rahmen der Durchführungsverordnung des Art. 28 Abs. 2 BayDSG überschreiten, jedoch vor Ort sichergestellt wird, dass das Verfahren nicht über den Rahmen der genannten Verordnung hinaus eingesetzt wird.
Art. 26 BayDSG
Art. 28 BayDSG
§ 2 DSchV
Durchführungsverordnung des Art. 28 Abs. 2 BayDSG (DVBayDSG-KM)
Die Schulleitung darf die Sprechstundenliste nur dann für jeden einsehbar auf die Homepage stellen, wenn alle betroffenen Personen rechtswirksam eingewilligt haben. Denn auf der Internetseite der Schule dürfen von der Schulleitung und dessen Stellvertretern auch ohne deren Einwilligung lediglich Name, Namensbestandteile, Vorname(n), Funktion, Amtsbezeichnung, Lehrbefähigung, dienstliche Anschrift, dienstliche Telefonnummer und dienstliche E-Mail-Adresse angegeben werden. Daten von Lehrkräften, die an der Schule keine Funktion mit Außenwirkung wahrnehmen, dürfen auf den Internetseiten der Schule nur veröffentlicht werden, wenn die Betroffenen wirksam eingewilligt haben.
Die Schulleitung kann die Sprechstundenliste aber auch ohne die Zustimmung der Lehrkräfte im passwortgeschützten Bereich auf die Homepage stellen. Denn personenbezogene Vertretungspläne oder Sprechstundenlisten können auch ohne schriftliche Einwilligung der Betroffenen in einen passwortgeschützten Bereich eingestellt werden, wenn dieser nur Lehrkräften der Schule, den Erziehungsberechtigten und Schülerinnen/Schülern der jeweiligen Schule zugänglich ist. Ein passwortgeschützter Bereich ist in der Anlage 11 der Durchführungsverordnung StMUK Art. 28 Abs. 2 BayDSG geregelt. Sofern sich der passwortgeschützte Bereich auf der Schulhomepage im Rahmen der Anlage 11 der Durchführungsverordnung StMUK Art. 28 Abs. 2 BayDSG hält, muss keine Freigabe durch den Datenschutzbeauftragten der Schule erfolgen. Bei der Veröffentlichung in einem passwortgeschützten Bereich der Schulhomepage kann eine Einwilligung nur insoweit entfallen, als das Einwilligungserfordernis gerade darauf beruht, dass die personenbezogenen Daten weltweit im Internet veröffentlicht werden und damit eine Datenübermittlung an die Allgemeinheit vorliegt. Soweit hingegen personenbezogene Daten betroffen sind, deren Bekanntgabe – unabhängig von der Veröffentlichungsform – auch dann einer Einwilligung bedarf, wenn diese lediglich an Lehrkräfte, Schülerinnen und Schüler sowie Eltern weitergegeben werden, wird eine Einwilligung durch die Einrichtung eines passwortgeschützten Bereichs auf der Internetseite nicht entbehrlich. (Vgl. dazu Nr. 10.2.4 des 24. Tätigkeitsberichts des LfD.)
Wie sieht ein Verfahrensverzeichnis aus? Wo wird es aufbewahrt?
Welche Verfahren müssen eingeordnet werden?
Was muss nicht ins Verfahrensverzeichnis?
Wer darf das Verfahrensverzeichnis einsehen?
Der Vater von Julius, 9d, kommt ins Sek gestürzt: "Das ist ja unmöglich! Gestern hat mein Sohn von Ihnen eine Mail bekommen, dass er seine Deutschschulaufgabe noch abzugeben hat. Woher haben Sie überhaupt seine E-Mail-Adresse? Warum haben Sie seine E-Mail-Adresse gespeichert? Wo steht das, dass Sie das dürfen?"
Darf die Schule die E-Mail-Adressen der Schüler speichern?
Ja, die Schule darf die E-Mail-Adressen speichern. Dies ist in der Freigabe der ASV geregelt und kann im Verfahrensverzeichnis eingesehen werden.
Ja, die Schule darf die E-Mail-Adresse speichern, wenn der Schüler und seine Eltern eingewilligt haben und die Einwilligung im Verfahrensverzeichnis abgeheftet ist.
Nein, die Schule darf die E-Mail-Adresse nicht speichern, weil zwar der 15-jährige Schüler, aber nicht seine Eltern rechtswirksam eingewilligt haben.
Der Datenschutzbeauftragte führt ein Verfahrensverzeichnis. Beim Verfahrensverzeichnis handelt es sich um einen Ordner, in den die Freigaben eingeheftet werden. Dieser Ordner wird in der Schule aufbewahrt.
Handreichung 2.2, S. 10
Art. 27 Abs. 1 BayDSG
Ins Verfahrensverzeichnis werden automatisierte Verfahren eingeordnet, die
- vom Staatsministerium für Unterricht und Kultus landesweit (z. B. ASV),
- vom Vorstand der AKDB,
- vom Datenschutzbeauftragten der Schule bzw. des Schulamtsbezirks
freigegebenen wurden, sobald und solange sie vor Ort zum Einsatz kommen.
Art. 26 Abs. 1 Satz 2 Halbsatz 2 BayDSG
Link ASV (siehe Handreichung)
Art. 26 Abs. 1 Satz 2 Halbsatz 1 BayDSG
Link zur AKDB
Art. 26 Abs. 1 Satz 1 BayDSG
Nr. 5 VollzBekBayDSG
Handreichung, Kap. 2.2.2, S. 11
3 Ausgenommen von der Aufnahme ins Verfahrensverzeichnis sind Verfahren, die ausschließlich
- dem internen Verwaltungsablauf oder
- der Datensicherung und Datenschutzkontrolle oder
- Verfahren dienen, die aufgrund der Durchführungsverordnung des Art. 28 Abs. 2 BayDSG geregelt sind (z.B. Schülerdatei, Lehrerdatei, Videoaufzeichnung, Homepage, …). Hier sind die Bestimmungen der Verordnung zur Durchführung des Art. 28 Abs. 2 BayDSG zu beachten.
4 Das Verfahrensverzeichnis kann grundsätzlich von jedem kostenfrei ohne Nachweis eines berechtigten Interesses eingesehen werden
Art. 27 Abs. 3 BayDSG
Die Schule darf die E-Mail-Adressen von Schülerinnen und Schülern speichern. Die Möglichkeit der automatischen Speicherung ist in der Freigabe des Verfahrens ASV geregelt und kann im Verfahrensverzeichnis eingesehen werden. Denn in der Verfahrensbeschreibung für das Amtliche Schulverwaltungsprogramm (ASV) ist festgelegt, welche Daten von Schülerinnen und Schülern automatisiert gespeichert werden dürfen. Zu den Grunddaten der Schüler (3.1) gehört auch die E-Mail-Adresse.
Hinwirken auf die Einhaltung der Rechtsvorschriften
Welche Personen werden beraten?
Welche technischen Prozesse sollen datenschutzrechtlich überprüft werden?
Werden nur Programme, die datenschutzrechtlich unbedenklich sind, an der Schule eingesetzt?
Schüler findet Zeugnisbemerkungen und fragt den Lehrer: „Sagen Sie mal, Herr X. Die Zeugnisbemerkung vom Maxi Meier ist aber schon unfair. Bei uns beim Fußball ist der echt klasse und kein so ein Auftreiber, wie es hier in seiner Zeugnisbemerkung steht, die ich hier auf dem Rechner gefunden habe.“ Lehrer X: „Wo hast du denn die Zeugnisbemerkung her?“ „Auf dem Laufwerk, wo ich die Bilder suchen/speichern sollte.“
Im Rahmen des Wahlfachs Digitale Bildgestaltung findet ein Schüler auf dem Rechner im Kunstsaal die Zeugnisbemerkungen, die von einem Kollegen im Schulnetz abgelegt wurden. Als Datenschutzbeauftragter werden Sie darüber informiert. Was würden Sie tun? (mehrere richtige Lösungen)
Die betroffenen Schüler umgehend informieren, dass ihre Zeugnisbemerkungen frei zugänglich im pädagogischen Netz standen.
Kontakt mit dem Kollegen aufnehmen, der die Zeugnisbemerkungen im pädagogischen Netz abgelegt hat, und ihn beraten.
Die Schulleitung direkt informieren, dass das Verwaltungsnetz und das pädagogische Netz nicht voneinander getrennt sind, und dass Handlungsbedarf besteht.
Den Systembetreuer informieren, dass möglicherweise ein unerlaubter Zugriff vom pädagogischen Netz auf das Verwaltungsnetz besteht.
1 Beschäftigte der Schule können sich unmittelbar an den Datenschutzbeauftragten wenden. Zur Beratung gehört es auch, Hinweisen der Beschäftigten zu datenschutzrechtlichen Problemen nachzugehen. Darüber hinaus können sich alle Mitglieder der Schulfamilie an den Datenschutzbeauftragten wenden.
Art. 25 Abs. 3 Satz 6 BayDSG
Art. 25 Abs. 4 Satz 1 BayDSG
2 Der Datenschutzbeauftragte holt Informationen über technische Systeme an der Schule ein und prüft diese datenschutzrechtlich. Er schafft sich einen Überblick über die in der Schule ablaufenden digitalen und analogen Verfahren.
3 Der Datenschutzbeauftragte prüft, in welchem Umfang die eingesetzten Programme personenbezogene Daten verarbeiten oder speichern und ob dies von den geltenden Vorschriften abgedeckt ist. Handlungsbedarf: Freigabe nötig oder Abschaltung?
Sie sollten zunächst Kontakt mit dem Kollegen aufnehmen, der die Zeugnisbemerkungen im pädagogischen Netz abgelegt hat und ihn beraten. Diese Beratung des Kollegen könnte hinsichtlich des Speicherorts von personenbezogenen Daten und hinsichtlich einer möglichen Verschlüsselung von sensiblen Daten erfolgen. Zu beachten wären auch die Löschungsfristen.
Falls Anhaltspunkte dafür bestehen, dass ein Zugriff aus dem pädagogischen Netz in das Verwaltungsnetz besteht, sollten Sie den Systembetreuer kontaktieren. Denn der Datenschutzbeauftragte berät Schulleitung, Verwaltungspersonal, Systembetreuer, Kollegen und ggf. Schüler und Eltern. Zur Beratung gehört es auch, Hinweisen der Beschäftigten zu datenschutzrechtlichen Problemen nachzugehen. Im Gespräch mit dem Systembetreuer können Sie Informationen über technische Systeme einholen und prüfen, ob Verwaltungsnetz, pädagogisches Netz und ggfs. Lehrerzimmer getrennt sind (vgl. technisches Grundwissen: Sicheres Netzwerk).
Rechte des Datenschutzbeauftragten
Wem bin ich unterstellt?
Wer kann mir Weisungen erteilen?
Wer kann mir bei Entscheidungen helfen?
Muss ich bei unliebsamen Entscheidungen Benachteiligungen befürchten?
Wo soll ich nur die Zeit hernehmen?
Auf wessen Unterstützung darf ich bauen?
Sie haben in eine Berufung zum Datenschutzbeauftragten eingewilligt und machen Ihren Job so gut Sie es eben mit einem Schulaufgabenfach, zwei Oberstufenkursen und Familie können. Vor den Zeugnissen wird es dann halt manchmal zeitlich etwas enger. Kurz: Sie waren brutal im Stress und jetzt ist tatsächlich etwas schief gelaufen.
Können Sie als DSB für Verstöße gegen Datenschutzbestimmungen haftbar gemacht werden? (mehrere richtige Lösungen)
Nein, wenn ich nicht grob fahrlässig oder vorsätzlich gehandelt habe.
Nein, weil die Schulleitung bzw. das Schulamt alleine für den Datenschutz verantwortlich ist.
Ja, wie jeder andere Beamte hafte auch ich gegenüber dem Dienstherrn nach allgemeinen beamtenrechtlichen Grundsätzen – unabhängig von meiner Position als Datenschutzbeauftragter – bei vorsätzlicher oder grob fahrlässiger Verletzung der mir obliegenden Pflichten für den daraus entstehenden Schaden (§ 48 Beamtenstatusgesetz).
1 Die Datenschutzbeauftragten der Schulen sind in dieser Eigenschaft unmittelbar der Schulleitung unterstellt, die Datenschutzbeauftragten in den Schulamtsbezirken den fachlichen Leitungen des Schulamts.
Art. 25 Abs. 3 Satz 1 BayDSG
2 Die Datenschutzbeauftragten sind in ihrer Eigenschaft als Datenschutzbeauftragte weisungsfrei. Die Weisungsfreiheit bezieht sich auf fachliche Weisungen betr. den Datenschutz. Vom „datenschutzrechtlichen Vorgesetzten“ können weiterhin organisatorische und dienstrechtliche Anweisungen (z.B. zur Arbeitszeit) erteilt werden. Die Weisungsfreiheit bezieht sich dagegen nicht auf sonstige Funktionen, die vom Datenschutzbeauftragten noch ausgeübt werden (also z. B. nicht auf die Tätigkeit als Lehrkraft im Unterrichtsbetrieb).
Art. 25 Abs. 3 Satz 2 BayDSG
3 Die Datenschutzbeauftragten können sich in Zweifelsfällen unmittelbar (d.h. ohne Einhaltung des Dienstweges) an den Landesbeauftragten für den Datenschutz wenden.
Art. 25 Abs. 3 Satz 3 BayDSG
4 Die Datenschutzbeauftragten dürfen wegen der Erfüllung ihrer Aufgaben nicht benachteiligt werden. Umsetzungen, Versetzungen, Kündigungen oder disziplinarische Maßnahmen, die aus der Wahrnehmung der Funktion als behördlicher Datenschutzbeauftragter herrühren, sind daher unzulässig.
Art. 25 Abs. 3 Satz 4 BayDSG
5 Die behördlichen Datenschutzbeauftragten sind im erforderlichen Umfang von der Erfüllung sonstiger dienstlicher Aufgaben freizustellen. Das Staatsministerium für Unterricht und Kultus stellt hierzu ein Anrechnungsstundenkontingent zur Verfügung.
Art. 25 Abs. 3 Satz 5 BayDSG
6 Die Schule und die übrige Schulverwaltung haben den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben zu unterstützen. Zur Überwachung der Einhaltung des BayDSG und anderer Vorschriften über den Datenschutz kann er Einsicht in Akten und Dateien der Schule(n) nehmen, für die er zuständig ist. Akten mit personenbezogenen Daten, die dem Arztgeheimnis unterliegen und Personalakten dürfen allerdings nur mit Einwilligung der Betroffenen eingesehen werden.
Art. 25 Abs. 4 Satz 2 BayDSG
Verfahren, die eine Freigabe erfordern, dürfen nicht durchgeführt werden, solange der Datenschutzbeauftragte die Freigabe nicht erteilt hat. Kann eine Freigabe nicht erteilt werden, weil z.B. einschlägige Bestimmungen verletzt werden, darf das Verfahren nicht eingesetzt werden. Zwar kann die Schulleitung den Datenschutzbeauftragten nicht anweisen, eine datenschutzrechtliche Freigabe zu erteilen. Jedoch hat die Schulleitung die Letztentscheidungsbefugnis betreffend die datenschutzrechtliche Freigabe (Vgl. Art. 26 Abs. 3 Satz 3 BayDSG). Sollte er dennoch auf dem Einsatz des Verfahrens bestehen, trägt er dafür die rechtliche Verantwortung. Als Beamter dürfen Sie sich allerdings keine grobe Fahrlässigkeit erlauben und müssen die Freigabeanträge sorgfältig prüfen.
Dieses Kapitel hat Sie mit den Erwartungen an Datenschutzbeauftragte vertraut gemacht. Sie sollten nun abschätzen können, welche Rolle Sie als Datenschutzbeauftragter in der Schule übernehmen und welche Aufgaben auf Sie zukommen werden.
Lernen Sie im nächsten Kapitel das Problemfeld Datenerhebung kennen.

References: Art. 26
 Art. 26

Art. 7
 Art. 8
 Art. 28
 § 2
 Art. 28

Art. 26

Art. 28

§ 2
 Art. 28
 Art. 28
 Art. 28

Art. 27

Art. 26

Art. 26

Art. 26
 Art. 28
 Art. 28

Art. 27

Art. 25

Art. 25

Art. 25

Art. 25

Art. 25

Art. 25

Art. 25

Art. 25
 Art. 26