Source: https://datenschutz.hessen.de/datenschutz/hochschulen-schulen-und-archive/schulen-und-die-datenschutz-grundverordnung-was-%C3%A4ndert
Timestamp: 2019-07-18 07:50:32
Document Index: 256233199

Matched Legal Cases: ['Art. 13', 'Art. 12', 'Art. 35', '§ 7', 'Art. 36', 'Art. 25', 'Art. 5', 'Art. 37', 'Art. 39']

Schulen und die Datenschutz-Grundverordnung - was ändert sich? | Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Startseite Datenschutz Hochschulen, Schulen und Archive Schulen und die Datenschutz-Grundverordnung - was ändert sich?
Durch die Datenschutz-Grundverordnung wird auch die Anpassung datenschutzrechtlicher Regelungen erforderlich.
Fotolia_183723528_S.jpg
© momius fotolia.com
Das Schulgesetz wird im Rahmen eines Anpassungsgesetzes nur dahingehend geändert, als der Anwendungsvorbehalt für die Übermittlung personenbezogener Daten an mit der externen Evaluierung Beauftragte wegfällt.
Das Hessische Datenschutzgesetz wird neu gefasst und um die Informationsfreiheit ergänzt. Die seit dem Jahr 2009 bestehende Verordnung zur Verarbeitung personenbezogener Daten in Schulen wird derzeit ebenfalls überarbeitet. Das Datenschutzrecht im schulischen Bereich steht also vor einer umfassenden Neustrukturierung.
Um den Vorgaben der DS-GVO zu entsprechen, müssen die Schulen in Hessen als öffentliche Stellen bestehende Strukturen und Prozesse zeitnah anpassen und fortentwickeln.
Wesentliche Veränderungen sind nachfolgend zusammengefasst:
Erweitert wird der Umfang der Informations- und Auskunftspflichten gegenüber Schülern und Eltern (Art. 13-15 DS-GVO). Gem. Art. 12 Abs. 1 DS-GVO sind die Betroffenen (also hier: Eltern und Schüler) in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer einfachen und klaren Sprache“ über die Verarbeitung ihrer personenbezogenen Daten zu unterrichten.
Hat eine Verarbeitung voraussichtlich hohe Risiken für die persönlichen Rechte und Freiheiten der Schüler und Eltern, so muss die Schule künftig eine Datenschutz-Folgeabschätzung (Art. 35 DS-GVO) durchführen. Die Datenschutz-Folgeabschätzung ersetzt das Instrument der Vorabkontrolle, die bislang in § 7 Hessisches Datenschutzgesetz geregelt war. Diese ist vom Verantwortlichen zu erstellen; der oder die Datenschutzbeauftragte hat hier nur noch eine beratende Funktion. Im Rahmen der Datenschutz-Folgeabschätzung sind u.a. die Eintrittswahrscheinlichkeit und die Schwere der möglichen Risiken zu bewerten und Maßnahmen zur Eingrenzung der Risiken zu prüfen. Soweit erforderlich, muss die Schule zuvor die Aufsichtsbehörde konsultieren (Art. 36 DS-GVO).
Art. 25 DS-GVO regelt die Grundsätze des „Datenschutzes durch Technik und datenschutzfreundliche Voreinstellungen“. Demnach hat die Schule ihre IT-Systeme so auszugestalten, dass die Grundsätze des Art. 5 Abs. 1 DS-GVO (Grundsätze der Verarbeitung personenbezogener Daten) wirksam umgesetzt werden. Dies gilt insbesondere für das Gebot der Datenminimierung. Danach dürfen nur so viele Daten erhoben werden, wie zur Erfüllung des Zwecks benötigt sind. Zudem müssen IT-Systeme so voreingestellt werden, dass nur die erforderlichen personenbezogenen Daten verarbeitet werden.
Die Pflicht zu Bestellung einer oder eines Datenschutzbeauftragten sowie eines Vertreters bleibt für öffentliche Stellen und damit auch die Schulen zwingend erhalten (Art. 37 Abs. 1 DS-GVO). Dennoch ändert sich deren Rolle innerhalb der Schule: Während ihnen nach bisherigem Recht eine primär beratende und unterstützende Funktion im Hinblick auf die Einhaltung des Datenschutzes zukam, sieht Art. 39 Abs. 1 DS-GVO umfassende Pflichten zur Überwachung vor. Die eigentliche Umset-zungspflicht der datenschutzrechtlichen Vorgaben liegt jedoch nach wie vor bei der Schulleitung, welche einzelne Aufgaben delegieren kann.
Wiesbaden, den 31. Januar 2018