Source: https://www.schulministerium.nrw.de/docs/Recht/Datenschutz/Umsetzung-EU-Datenschutzgrundverordnung/Regelungsbereiche/3-Kopien-von-Unterlagen-mit-personenbezogenen-Daten/index.html
Timestamp: 2019-07-17 12:26:21
Document Index: 110932336

Matched Legal Cases: ['§ 8', 'Art. 5', 'Art. 32', 'Art. 35', '§ 120', 'Art. 15']

Kopien von Unterlagen mit personenbezogenen Daten
Einzelne Regelungsbereiche
Die bisherige Pflicht gem. §§ 8, 10 DSG, ein Verfahrensverzeichnis zur Führung und Einsichtnahme bei den behördlichen Datenschutz-beauftragten zu erstellen und ihnen das Verzeichnis zur Vorabkontrolle vorzulegen, entfällt.
Allerdings hat künftig der bzw. die für die Verarbeitung von personenbezogenen Daten Verantwortliche (Schulleitung; ZfsL-Leitung) ein Verzeichnis über alle Verarbeitungstätigkeiten, die seiner bzw. ihrer Zuständigkeit unterliegen, zu führen. Dies soll der strukturierten Datenschutzdokumentation und als Nachweis der Einhaltung der Vorgaben aus der DSGVO dienen (Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO).
Das neue Verzeichnis erfordert im Wesentlichen die gleichen Angaben, wie das bisherige Verfahrensverzeichnis. Daher wird es nicht für erforderlich gehalten, bestehende Verfahrensverzeichnisse durch ein neues Verzeichnis zu ersetzen.
Es reicht vielmehr aus, wenn die vorhandenen Verfahrensverzeichnisse vom Verantwortlichen gesammelt vorgehalten werden und die Datenverarbeitung damit insgesamt nachweisbar dokumentiert ist.
Erst für neue Verarbeitungstätigkeiten ist das Verzeichnis laut DSGVO zu erstellen. Ein Muster ist auf der Homepage der LDI eingestellt. Zusätzlich wird es hier als ausfüllbares Word-Dokument zur Verfügung gestellt.
- Hinweis: Die Medienberatung ist derzeit beauftragt, soweit wie möglich vorausgefüllte Muster-Verzeichnisse für die Schulen zu erstellen. Sie werden nach Fertigstellung hier eingestellt. -
Die in dem Verzeichnis anzugebenden technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 Abs.1 DSGVO entsprechen im Wesentlichen den Angaben, die auch bislang schon in dem bisherigen Verfahrensverzeichnis (unter Teil B Sicherheitskonzept) auszufüllen waren. Auf der Hompage der LDI sind hierzu ergänzende Informationen eingestellt, vgl. Ziffer 6.7 und 6.8 der Hinweise.
Zwar sind die Datenschutzbeauftragten zur Vorabkontrolle des Verzeichnisses nicht mehr konkret gesetzlich verpflichtet. Gleichwohl wird den Schulleitungen dringend empfohlen, sie weiterhin um Prüfung neuer Dokumentationen zu bitten. Dies unterfällt dem Beratungsrecht der Schulleitungen bzw. der korrespondierenden Pflicht der Datenschutzbeauftragten.
Entsprechendes gilt für die Genehmigung zur Nutzung von privaten ADV-Geräten der Lehrkräfte:
Der Genehmigungsvordruck, der mit der Dienstanweisung (BASS 10-41 Nr. 4) zur Verfügung gestellt worden ist, sieht die Dokumentation der Vorabkontrolle nach bislang geltender Rechtslage vor. Hierzu wird ebenfalls empfohlen, die Datenschutzbeauftragten weiterhin im Wege der Beratung einzubeziehen und dies vom Verantwortlichen (Schulleitung oder ZfsL-Leitung) entsprechend dort im Vordruck zu vermerken.
Die bzw. der Datenschutzbeauftragte ist nicht mehr zur schriftlichen Prüfungsbestätigung verpflichtet.
Der europäische Gesetzgeber hat die für die Datenverarbeitung Verantwortlichen verpflichtet, unter bestimmten Voraussetzungen eine DSFA durchzuführen (Art. 35 DSGVO). Dabei handelt es sich um eine aufwändige, systematische Beschreibung der geplanten Verarbeitungsvorgänge und ihrer Zwecke, die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung sowie die Beschreibung und Beurteilung der Risiken und der Abhilfemaßnahmen zur Risikoeindämmung.
Nach den Regelbeispielen im Verordnungstext ist dies jedoch insbesondere bei der Verwendung neuer Technologien und nur für Verarbeitungen vorgesehen, die aufgrund u.a. Art und Umfang voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben (z.B. systematisches Profiling; kommunale Meldedaten; umfangreiche behördliche Erhebungen im Zuge der Bewilligung von Sozialleistungen).
Angesichts Umfang und Art der auf Ebene der Einzelschule üblichen Verarbeitung von personenbezogenen Lehrer- und Schülerdaten für schulische Zwecke besteht nach hiesiger Einschätzung in der Regel keine Verpflichtung der Schulleitung, eine DSFA durchzuführen.
Ohnehin sind bereits bestehende Verfahren von einer Datenschutz-Folgenabschätzung ausgenommen, wenn bereits ein Verfahrensverzeichnis erstellt war, die seinerzeitige Vorabkontrolle durch den Datenschutzbeauftragten erfolgte, der Verarbeitungsvorgang noch immer auf dieselbe Art durchgeführt wird und sich das mit dem Verarbeitungsvorgang verbundene Risiko nicht geändert hat.
Schülerinnen und Schüler sind berechtigt, bei Bedarf Einsicht in die sie betreffenden Unterlagen zu nehmen und Auskunft über die sie betreffenden Daten zu erhalten. Dies beinhaltet auch das Recht, Kopien zu erhalten. Bislang sieht dazu § 120 Abs. 7 Satz 2 SchulG vor, dass die Erstattung von Auslagen für Kopien von Schülerunterlagen verlangt werden kann. Nach Art. 15 Abs. 3 DSGVO ist jedoch eine Kopie unentgeltlich zur Verfügung zu stellen. Diese Vorgabe der höherrangigen DSGVO gilt unmittelbar und ist daher bereits zu beachten; die Regelung im SchulG wird angepasst.
Entsprechendes gilt z. B. für Abschlussklausuren[1] ehemaliger Schülerinnen und Schüler oder für die in der Schule aufbewahrten Zweitschriften von Abgangs- und Abschlusszeugnissen. Auch hier gilt: Eine Kopie ist unentgeltlich zur Verfügung zu stellen, Auslagen können nur für weitere Kopien verlangt werden. Dieses Recht wird nur auf Antrag Einzelner gewährt; selbstverständlich muss die Schule nicht von Amts wegen für den gesamten Abschlussjahrgang Kopien erstellen.
[1] vgl. hierzu: https://www.schulministerium.nrw.de/docs/Recht/Schulrecht/FAQ-Schulrecht/FAQ-Schulrecht-Unterricht/Notengebung-Zeugnisse-Versetzung/index.html; „Wann kann ich meine schriftlichen Abschlussklausuren, z. B. der Zentralen Prüfungen 10 oder die Abiturklausuren, einsehen oder diese zurückbekommen?“
Muster und Hinweise MI Informationspflichten bei Datenerhebung nach Artikel 13 Absatz 1 DSGVO
Muster und Hinweise MI Informationspflichten bei Datenerhebung nach Artikel 14 Absatz 1 DSGVO
Muster MSB Informationspflicht Schülerinnen und Schüler Datenerhebung Artikel 13, 14 DSGVO
Muster MSB Informationspflicht Lehrkräfte Datenerhebung Artikel 13, 14 DSGVO
Ein Muster einer Datenschutzerklärung finden Sie hier.
Zusätzlich wird es hier als ausfüllbares Word-Dokument zur Verfügung gestellt.
Auf der Homepage der LDI sind der Text der DSGVO sowie vielfältige ergänzende Informationen, FAQ-Listen und Kurzpapiere zu einzelnen Themen eingestellt, die im Zuge des weiteren Umsetzungsprozesses kontinuierlich aktualisiert werden dürften.
Im Übrigen bleibt es im Bereich des Datenschutzrechts bei den bisherigen Beratungsstrukturen durch Bezirksregierungen sowie behördliche Datenschutzbeauftragte an Schulen und Medienberatung NRW.