Source: http://docplayer.org/222335-Praxishandbuch-schuldatenschutz.html
Timestamp: 2017-10-17 21:05:31
Document Index: 143934000

Matched Legal Cases: ['Art. 2', 'Art. 1', 'Art. 1', 'Art. 2', 'Art. 2', 'Art. 1', 'Art. 10', 'Art. 10']

Praxishandbuch Schuldatenschutz - PDF
Download "Praxishandbuch Schuldatenschutz"
1 Praxishandbuch Schuldatenschutz 2. überarbeitete Auflage mit neuer Datenschutzverordnung-Schule Eine Infobroschüre des ULD Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
2 Impressum Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein Holstenstraße Kiel Telefon: Fax: Homepage: Autor: Holger Brocks 2. Auflage / ISBN Druck: Schmidt & Klaunig, Kiel Umschlag-Gestaltung: Eyekey Design Martin Papp, Kiel
3 Praxishandbuch Schuldatenschutz 2. überarbeitete Auflage mit neuer Datenschutzverordnung-Schule 2009 Eine Infobroschüre des ULD Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
4 Vorwort...7 Inhalt und Aufbau des Handbuches...8 Abschnitt I... Allgemeine Fragen zum Datenschutz...10 Was versteht man eigentlich unter Datenschutz?...10 Was sind personenbezogene Daten?...12 Was versteht man unter Datenverarbeitung?...13 Welche Maßnahmen sind zum Schutz personenbezogener Daten erforderlich?...20 Was müssen Sie grundsätzlich beachten, wenn Sie personenbezogene Daten verarbeiten wollen?...27 Was müssen Sie beachten, wenn Sie personenbezogene Daten benötigen, für deren Verarbeitung Sie keine rechtliche Grundlage haben?...28 Können auch nicht volljährige Schülerinnen und Schüler eine verbindliche datenschutzrechtliche Einwilligungserklärung abgeben?...30 Spezielle datenschutzrechtliche Vorschriften des Schulgesetzes und der DSVO Schule...31 Welche Stellen dürfen personenbezogene Daten erheben und weiterverarbeiten?...31 Welche Daten dürfen für Schulverwaltungszwecke verarbeitet werden?...32 Was muss beachtet werden, damit die Datenerhebung rechtmäßig erfolgt?...34 Dürfen auch Daten über die Sorgeberechtigung für Schülerinnen und Schüler erhoben werden?...35 In welcher Weise sollten die erhobenen Daten datenschutzgerecht gespeichert (aufbewahrt) werden?...37 Wie lange dürfen die personenbezogenen Daten gespeichert werden?...40 An welche Stellen und unter welchen Bedingungen dürfen personenbezogene Daten von Schülerinnen, Schülern und Eltern übermittelt werden?...43 Öffentliche Stellen (inkl. andere Schulen, Schulaufsichtsbehörden und Schulträger)...44
5 Private Stellen und Einzelpersonen...49 Haben Eltern und volljährige Schülerinnen und Schüler Auskunfts- und Akteneinsichtsrechte?...50 Datenverarbeitung der Elternvertretungen...52 Einzelne Fragestellungen, die immer wieder Thema von Anfragen sind...60 In welcher Weise sollten am besten Telefonkettenlisten und/oder -Verteiler angelegt werden?...60 Was darf in das Klassenbuch?...61 Wie ist mit Krankmeldungen zu verfahren?...66 Wie ist mit Informationen über die HIV-Infektion von Schülerinnen und Schülern umzugehen? Ist Videoüberwachung in Schulen zulässig?...69 Muss die Schule einen Datenschutzbeauftragten bestellen? Werbung in der Schule...74 Muss ein Schülerhauptbuch geführt werden?...78 Dürfen die Schulabgängerinnen und Schulabgänger ihre Abschlussarbeiten einsehen?...80 Ist ein personenbezogener Datenaustausch im Rahmen sog. Runder Tische im Bereich der Kriminalprävention zulässig?...80 Dürfen Schulen und ihre Fördervereine zusammenarbeiten, indem sie personenbezogene Daten austauschen?...81 In welcher Weise sind Personen, die Aufgaben in der Schule wahrnehmen, aber nicht unmittelbar zur Schule gehören, zur Verschwiegenheit zu verpflichten?...82 Ist eine Datenübermittlung an Stellen oder Personen, die die Betreuung in offenen oder gebundenen Ganztagsschulen sicherstellen, zulässig?...83 Was müssen Sie als Schulleiterin oder Schulleiter beachten, wenn Sie das Erstellen von Fotos durch eine Firma in Ihrer Schule zulassen?...85 Darf die Schule Verhaltens- und Leistungsdaten volljähriger Schülerinnen und Schüler an die Eltern übermitteln?
6 Was ist zu beachten, wenn sich die Schule mit ihren Schülerinnen und Schülern an sportlichen Veranstaltungen beteiligen will und dabei personenbezogene Daten übermittelt werden sollen?...88 Abschnitt II...92 Grundschulen...92 Zu welchem Zeitpunkt ist die Grundschule erstmalig berechtigt, personenbezogene Datenverarbeitung vorzunehmen?..92 Zusammenarbeit der Schule mit den Kindertageseinrichtungen...92 Sprachförderung im Rahmen von SPRINT...94 Übermittlung von Elternadressen an die Kirchen für die Einladung zu Einschulungsgottesdiensten...95 Rückmeldung von der aufnehmenden Grundschule an die abgebende Grundschule und umgekehrt...95 Lernpläne statt Entwicklungsberichte. Was darf die Grundschule an die weiterführende Schule übermitteln?...96 In welcher Weise ist mit den Unterlagen zur Feststellung einer Lese-Rechtschreib-Schwäche (LRS) umzugehen?...96 Weiterführende Schulen...99 Grundsätzliche Hinweise zur Datenerhebung...99 Gemeinschaftsschulen, Regionalschulen...99 Zusammenarbeit mit den Arbeitsämtern und den Arbeitsgemeinschaften/Jobcentern...99 Förderzentren Wie sind die Akten zu führen? In welcher Weise sind Fördergutachten zu speichern? Welche Daten darf die Schule, die Schülerinnen und Schüler mit sonderpädagogischem Förderbedarf integrativ beschult, vom Förderzentrum erhalten? Berufliche Schulen Grundsätzliches zur Datenerhebung Datenübermittlung an Ausbildungsbetriebe
7 Abschnitt III Elektronische Datenverarbeitung in der Schulverwaltung Einführung Welche Maßnahmen sind mindestens zu ergreifen, um die Schulverwaltungs-EDV vor unbefugten Zugriffen zu schützen? Wie ist der reibungslose Betrieb des Schulverwaltungsrechners sicherzustellen und welche Personen sollten hierfür zuständig sein? Wie sollte der Schulverwaltungs-PC konfiguriert sein? In welchen Abständen sollten Datensicherungen durchgeführt werden? Dürfen die Schulverwaltungsrechner an das Internet angeschlossen werden? Was ist bei der Nutzung dienstlicher Notebooks zu beachten? Abschnitt IV Die EDV-Nutzung im Rahmen des Schulunterrichts Welche Regelungen müssen beachtet werden, wenn die Schule ihren Schülerinnen und Schülern die Nutzung des Internets erlaubt? Dürfen die Protokolldaten, die im Zusammenhang mit der Nutzung der schulischen EDV-Systeme anfallen, genutzt werden?126 Abschnitt V Die Schulhomepage Einführung Wer ist für den Betrieb einer Schulhomepage verantwortlich? Impressumpflicht Dürfen auch Links zu anderen (externen) Webseiten gesetzt werden? Dürfen auch personenbezogene Daten auf der Schulhomepage veröffentlicht werden? Dürfen Bilder von Schülerinnen und Schülern auf der Schulhomepage veröffentlicht werden?
8 Abschnitt VI Datenverarbeitung im häuslichen Bereich der Lehrkräfte Einführung Was ist generell zu beachten? Unter welchen Voraussetzungen kann eine Genehmigung erteilt werden? Welche Daten dürfen von der Lehrkraft im häuslichen Bereich verarbeitet werden? Wann sind im häuslichen Bereich der Lehrkraft gespeicherte Daten zu löschen? In welcher Weise ist bei Verstößen gegen die Vorgaben zur häuslichen Datenverarbeitung vorzugehen? Anhang
9 Die 2. Auflage Mit Exemplaren ist das Praxishandbuch Schuldatenschutz in der 1. Auflage im Jahre 2008 an den Start gegangen. Die Nachfrage seitens der Schulen war groß. Positive Rückmeldungen von Schulleiterinnen und Schulleitern (Vielen Dank dafür!) haben gezeigt, dass die Hinweise die Umsetzung der datenschutzrechtlichen Vorschriften im Schulalltag erleichtern. Mit dieser 2. Auflage des Handbuches erhalten Sie u. a. die neuesten Informationen zur ab Januar 2009 in Kraft getretenen überarbeiteten Datenschutzverordnung-Schule. Ferner sind weitere Praxistipps aufgenommen worden, die Ihnen die Aufgabe der Umsetzung einer datenschutzkonformen personenbezogenen Datenverarbeitung in Ihrer Schule erleichtern sollen. Bereits gegebene Hinweise sind auf ihre Aktualität geprüft, ggf. ergänzt und geändert worden. Es sind weitere Mustervordrucke hinzugekommen und bereits in der 1. Auflage veröffentlichte auf den neuesten Stand gebracht worden. Fehler in der ersten Auflage wurden korrigiert. Die neuen Informationen und wesentliche Änderungen in den Erläuterungen sind farbig gekennzeichnet, so dass Sie sich schnell einen Überblick verschaffen können. 6
10 Vorwort Als Schulleiterin oder Schulleiter haben Sie die Aufgabe, den gesetzlichen Bildungs- und Erziehungsauftrag der Schule zu erfüllen. Dies erfordert Anstrengungen im Bereich der Organisation des Unterrichtsbetriebes und der Verwaltung der Schule. Neben der Umsetzung des pädagogischen Konzeptes, sind Sie auch für die Verwaltung, also die Organisation des Umgangs der Schule mit den Daten der Schülerinnen und Schüler, zuständig und verantwortlich. Ihr Schulsekretariat verarbeitet die hierzu erforderlichen personenbezogenen Daten der Schülerinnen und Schüler. Dabei werden nicht nur personenbezogene Grundinformationen, wie z. B. Name und Anschrift erhoben und gespeichert, sondern eine Fülle weiterer wesentlich sensiblerer Daten (Noten, soziales Verhalten, Gesundheitsverhältnisse usw.). Das Volkszählungsurteil 1983 hat dem Datenschutz verfassungsrechtliche Weihen gegeben. Inzwischen ist unstreitig, dass mit personenbezogenen Daten sorgfältig und sensibel umgegangen werden muss. Im Hinblick auf die sich immer weiter entwickelnde elektronische Datenverarbeitung und der Nutzung des Internets wird es immer wichtiger, das Recht auf informationelle Selbstbestimmung des einzelnen Menschen zu respektieren und zu schützen. In Schleswig-Holstein ist die personenbezogene Datenverarbeitung der Schulen gesetzlich geregelt. Die Vorschriften sind kurz und klar. Allerdings zeigen viele Anfragen von Schulleiterinnen und Schulleitern beim Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD), dass es bei der Auslegung der Vorschriften und deren praktischer Umsetzung immer wieder zu Schwierigkeiten kommt. Mit diesem Handbuch erhalten Sie deshalb einen Leitfaden an die Hand, der helfen soll, datenschutzrechtliche Fragen praxisnah zu beantworten. Natürlich können nicht alle vorstellbaren Sachverhalte berücksichtigt werden (dafür ist das Leben zu vielgestaltig und im dauernden Wandel), aber es wurde versucht, die wichtigsten Fragestellungen zu beantworten. 7
11 Inhalt und Aufbau des Handbuches Viele datenschutzrechtliche Fragen betreffen alle Schularten gleichermaßen. Bei einigen, wie z. B. den Grundschulen und den Berufsschulen, finden sich jedoch Sachverhalte, die spezifische datenschutzrechtliche Lösungen erfordern. Neben der Erklärung der datenschutzrechtlichen Regelungen erhalten Sie Hinweise zur Umsetzung dieser Vorschriften in die Praxis. Daneben erfordert die Ausstattung der Schulen mit EDV und die Internetnutzung durch die Schülerinnen und Schüler sowie die Internetpräsentation der Schulen mit eigenen Homepages eingehende Erläuterungen der hierbei zu beachtenden Vorschriften. Damit verbunden erhalten Sie Hinweise zur Datensicherheit im Bereich der konventionellen als auch der elektronischen Datenverarbeitung. Um Ihnen ein lästiges Blättern oder das Lesen von Fußnoten mit Querverweisen zu ersparen, sind die rechtlichen Regelungen immer bei den jeweils zitierten Vorschriften zu finden. Die in diesem Handbuch vorgestellten Vordrucke und sonstigen Muster verstehen sich als Orientierungshilfen. Es handelt sich nicht um amtliche Muster, es sei denn, es wird ausdrücklich darauf hingewiesen. Sie müssen diese, falls Sie sie verwenden möchten, an die jeweiligen Bedürfnisse, Gegebenheiten und Organisationsstrukturen in Ihrer Schule anpassen. Alle Vordrucke können Sie im pdf- Format von unserer Homepage unter herunterladen. 8
12 Der Aufbau des Handbuches orientiert sich an der Laufbahn einer Schülerin bzw. eines Schülers, also von der Einschulung bis zum Verlassen der Schule. Das Handbuch hat folgende Struktur: Abschnitt I behandelt die für alle Schularten gleichen datenschutzrechtlichen Fragen. Abschnitt II erläutert abweichende Sachverhalte getrennt nach Schularten. Abschnitt III geht auf die elektronische Datenverarbeitung in der Schulverwaltung ein. Abschnitt IV befasst sich mit der Internetnutzung in der Schule. Abschnitt V beschreibt die Regeln, die für den Betrieb einer Schulhomepage zu beachten sind. Abschnitt VI erklärt die zu beachtenden Regelungen, wenn Lehrkräfte im häuslichen Bereich Daten ihrer Schülerinnen und Schüler verarbeiten. 9
13 Abschnitt I Allgemeine Fragen zum Datenschutz Was versteht man eigentlich unter Datenschutz? Das Grundgesetz enthält keine ausdrückliche Regelung zum Datenschutz. Aus einer Reihe von Verfassungsbestimmungen hat das Bundesverfassungsgericht (BVerfG) jedoch praktisch relevante datenschutzrechtliche Folgerungen gezogen. Von großer Tragweite ist das sog. Volkszählungsurteil aus dem Jahre Das Urteil knüpft an die bisherige Rechtsprechung zum Schutz der Persönlichkeitsrechte an. Das BVerfG hat darin klargestellt, dass das Recht auf informationelle Selbstbestimmung ein Grundrecht ist. Dieses Recht wird v. a. aus den Art. 2 i. V. m. Art. 1 des Grundgesetzes hergeleitet. Aus dem Gundrechtscharakter ergibt sich, dass zunächst ein generelles Verbot der Verarbeitung personenbezogener Daten besteht; nur durch einen gesetzlichen Erlaubnistatbestand oder mit der Einwilligung Betroffener kann dieses Verbot durchbrochen werden. Art. 1 Abs. 1 GG Die Würde des Menschen ist unantastbar. Sie zu achten und zu schützen ist Verpflichtung aller staatlichen Gewalt. Art. 2 Abs. 1 GG Jeder hat das Recht auf die freie Entfaltung seiner Persönlichkeit, soweit er nicht die Rechte anderer verletzt und nicht gegen die verfassungsmäßige Ordnung oder das Sittengesetz verstößt. Diese beiden Artikel beschreiben unabdingbare Menschenrechte, zu denen das Bundesverfassungsgericht mit seinem Urteil auch das Recht des Einzelnen zählt, selbst zu entscheiden, wem er seine personenbezogenen Daten offenbart, und zu wissen, welche Stellen welche Informationen gespeichert haben. Dabei unterscheidet das Bundesverfassungsgericht grds. nicht hinsichtlich der Sensibilität von einzelnen personenbezogenen Daten. Daten- 10
14 schutz ist also eigentlich der falsche Begriff. Es geht vorrangig nicht darum, die personenbezogenen Daten vor dem Zugriff Unbefugter zu schützen, sondern die Persönlichkeitsrechte des Einzelnen zu wahren. Die beiden wichtigsten Leitsätze des Volkszählungs-Urteils (1 BvR 209/83): Unter den Bedingungen der modernen Datenverarbeitung wird der Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten von dem allgemeinen Persönlichkeitsrecht des Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG umfasst. Das Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Einschränkungen dieses Rechts auf informationelle Selbstbestimmung sind nur im überwiegenden Allgemeininteresse zulässig. Sie bedürfen einer verfassungsmäßigen gesetzlichen Grundlage, die dem rechtsstaatlichen Gebot der Normenklarheit entsprechen muss. Bei seinen Regelungen hat der Gesetzgeber ferner den Grundsatz der Verhältnismäßigkeit zu beachten. Auch hat er organisatorische und verfahrensrechtliche Vorkehrungen zu treffen, welche der Gefahr einer Verletzung des Persönlichkeitsrechts entgegenwirken. Für die schulische Datenverarbeitung hat der Gesetzgeber die Vorgaben des Bundesverfassungsgerichts grundsätzlich erfüllt: Die Datenverarbeitung erfolgt auf der Basis des Schulgesetzes (SchulG) und den ergänzenden Regelungen der Datenschutzverordnung-Schule (DSVO Schule) sowie den allgemeinen Normen des Landesdatenschutzgesetzes (LDSG). Sie haben also die gesetzliche Ermächtigung, die Sie für eine verfassungskonforme Datenverarbeitung benötigen. 11
15 Was sind personenbezogene Daten? Personenbezogene Daten sind Einzelangaben über persönliche und sachliche Verhältnisse einer bestimmten oder bestimmbaren Person. 2 Abs. 1 LDSG Hierzu einige Beispiele: Name, Anschrift, Geburtsdatum, Telefonnummer, Kfz-Kennzeichen, Kontonummer, Kreditkartennummer, Steuernummer, -Adresse, Fingerabdruck, Augeniris, Genetischer Fingerabdruck. Mit Hilfe von elektronischer Datenverarbeitung (EDV) ist es möglich, solche Informationen zu erheben, zusammenzuführen, auszuwerten und in anderen Zusammensetzungen zu nutzen oder an andere Stellen weiterzuleiten. 12
16 Was versteht man unter Datenverarbeitung? Datenverarbeitung ist die Verwendung personenbezogener Daten. Das LDSG beschreibt die einzelnen Verarbeitungsschritte folgendermaßen: Erheben Hiermit wird das (aktive) Beschaffen von Daten umschrieben. Personenbezogene Daten können auf vielfältige Weise erhoben werden. Beispiel: Durch direkte Befragung des Betroffenen (damit erhält er gleichzeitig Kenntnis über die Datenverarbeitung), Ausgabe eines Vordruckes an den Betroffenen, den er selbst ausfüllt, Datenerhebung bei anderen Stellen (Behörden, Firmen, Privatpersonen usw.). Speichern Damit ist das Aufbewahren von Daten auf Datenträgern gemeint. Datenträger ist ein umfassender Begriff, der wie auch der Begriff Speichern in erster Linie immer mit der elektronischen Datenverarbeitung (EDV) in Zusammenhang gebracht wird. Er beschränkt sich aber nicht darauf! Unter Datenträgern versteht man beispielsweise: Papier Festplatten Disketten CD-ROM, DVD Streamer-Tapes (also Aufzeichnungsbänder von Bandlaufwerken) USB-Sticks An dieser Aufstellung können Sie sehen, dass in der Tat elektronische Datenträger überwiegen. Die immer weitere Verbreitung der EDV bestimmt mitt- 13
17 lerweile weite Teile der staatlichen und der gesellschaftlichen Datenverarbeitung und Kommunikation. Übermitteln Darunter versteht man das Weitergeben von Daten an Dritte (natürliche oder juristische Personen, öffentliche oder nichtöffentliche Stellen). Die Übermittlung von Daten kann dabei in jeder Kommunikationsform geschehen. Es ist unerheblich, ob die Informationen im Gespräch (also von Angesicht zu Angesicht oder per Telefon), per Brief, per Fax, mittels oder elektronischen Abruf weitergegeben werden. Sperren Hierunter versteht man, dass gespeicherte Daten grundsätzlich nicht mehr weiterverarbeitet (also beispielsweise genutzt oder übermittelt) werden dürfen. Dies trifft zu, wenn Daten für den ursprünglichen Zweck nicht mehr benötigt werden, aber wegen vorgeschriebener Aufbewahrungsfristen noch nicht gelöscht werden dürfen. Löschen Das Landesdatenschutzgesetz spricht hier vom Unkenntlichmachen gespeicherter Daten. Gemeint ist damit das unwiederbringliche Vernichten von Informationen. Auch in diesem Falle wird der Begriff automatisch mit EDV in Verbindung gebracht. Mit der Löschung von Daten ist aber nicht nur das Vernichten elektronisch gespeicherter Daten gemeint, sondern auch das papierener Unterlagen. 14
18 Die Vernichtung von Unterlagen in Papierform muss so erfolgen, dass Unbefugte keinen Zugang zu den nicht mehr benötigten Unterlagen erhalten. Ausgesonderte Papiere (z. B. Klassenarbeitshefte, Konferenzunterlagen, alte Zeugnisse, Karteikarten, Zeugnis- und Klassenlisten usw.) dürfen nicht einfach in den Papiermüll geworfen werden. Es ist in der Vergangenheit vorgekommen, dass solche Unterlagen in Abfallbehältern gefunden wurden. Dies ist keine datenschutzgerechte Entsorgung. Papierene Unterlagen sind entweder durch eigenes Personal der Schule oder des Schulträgers zu schreddern oder Sie beauftragen ein darauf spezialisiertes und nach Möglichkeit vom ULD zertifiziertes (Datenschutz-Gütesiegel) Unternehmen. Die Firmen, die ein Gütesiegel für den datenschutzkonformen Umgang mit personenbezogenen Daten erhalten haben, finden Sie unter https://www.datenschutzzentrum.de/guetesiegel/register.htm Die Löschung elektronisch gespeicherter Daten ist unter datenschutzrechtlichen Gesichtspunkten nicht ganz einfach. Werden Daten durch einen Programmbefehl gelöscht, so sind sie zunächst nicht physikalisch gelöscht, d. h. sie sind weiterhin auf der Festplatte (oder einem anderen Datenträger) gespeichert, werden durch das Betriebssystem aber nur nicht mehr angezeigt. Erst wenn der Punkt auf dem Datenträger, an dem sich diese nicht mehr angezeigten Informationen physikalisch befinden, überschrieben wird, sind die Daten tatsächlich im Sinne der gesetzlichen Vorschriften vernichtet. Die in Ihrer Schule eingesetzten Verwaltungsprogramme bieten die Möglichkeit, Daten zu löschen. Dabei erfolgt jedoch zumeist keine physikalische Löschung. Die Daten sind also, sofern sie noch nicht überschrieben wurden, wiederherzustellen. Eigentlich müsste also eine physikalische Löschung erfolgen, würde man den Löschungsbegriff des Landesdatenschutzgesetzes konsequent umsetzen. Da dies jedoch einen größeren technischen Aufwand nach sich zieht, weil die meisten Anwendungsprogramme (auch die Schulverwaltungsprogramme) eine solche Löschroutine nicht enthalten, wird es toleriert, wenn zunächst nur die technisch angebotene Löschung erfolgt. 15
19 Anonymisieren Unter Anonymisierung versteht man die Veränderung personenbezogener Daten derart, dass die Einzelangaben über persönliche und sachliche Verhältnisse nicht mehr oder nur mit unverhältnismäßigem Aufwand einer Person zugeordnet werden können. Was heißt das konkret? Stellen Sie sich eine größere Gruppe von Personen vor, die alle eine Anzahl gleicher Merkmale haben, beispielsweise: Name Beruf Geschlecht Geb.- Fächer Schulart Datum Peter Lehrer m Mathe und Sport Regionalschule Müller Maike Lehrerin w Englisch und Erdkunde Gemeinschaftsschule Peter Markus Lehrer m Biologie Gymnasium Muster Frauke Siebke Lehrerin w Deutsch und Kunst Grundschule Nehmen wir an, diese Aufstellung wäre noch viel umfangreicher. Solange Namen und Geburtsdatum enthalten sind, handelt es sich in jedem Falle um personenbezogene Daten. Verändern Sie diese Aufstellung jedoch in dieser Weise Name Beruf Geschlecht Geb.- Fächer Schulart Datum Lehrer m Mathe und Sport Regionalschule Lehrerin w Englisch und Erdkunde Gemeinschaftsschule Lehrer m Biologie Gymnasium Lehrerin W Deutsch und Kunst Grundschule 16
20 ist eine Personenbeziehbarkeit nicht mehr ohne Weiteres möglich. In diesem Fall wären schon Zusatzkenntnisse erforderlich, um eine Person anhand der Fächerkombination, des Geschlechts und der Schulart zuzuordnen. Anonymisierte Daten dürfen uneingeschränkt für andere Zwecke übermittelt, gespeichert und anderweitig genutzt werden. Pseudonymisieren Die Pseudonymisierung personenbezogener Daten verfolgt das gleiche Ziel wie die Anonymisierung mit dem Unterschied, dass eine Wiederherstellung des Personenbezugs möglich ist. Auch hierfür ein Beispiel: In einer Referenzliste werden die personenbezogenen Daten zusammen mit einem Pseudonym für die jeweilige Person gespeichert. Peter Müller Maike Peter Markus Muster Frauke Siebke Name Pseudonym Beruf Geschlecht Geb.- Fächer Schulart Datum 4711 Lehrer m Mathe und Sport Regionalschule 5566 Lehrerin w Englisch und Gemeinschaftsschule Erdkunde Xyz2312 Lehrer m Biologie Gymnasium JKLTZTZ Lehrerin w Deutsch und Grundschule Kunst Ein Rückgriff auf die Referenzliste darf nur unter bestimmten Bedingungen erfolgen, die von der Daten verarbeitenden Stelle oder vom Gesetzgeber festgelegt werden müssen. Die Stellen, denen die pseudonymisierten Daten zur Verfügung gestellt werden, dürfen keinen Zugriff auf diese Referenzliste haben. Nach der Pseudonymisierung könnte die Tabelle so aussehen: 17
21 Insbesondere der zunehmende Austausch personenbezogener Daten mittels macht eine Verschlüsselung erforderlich. Sensible Informationen, wie z. B. Personalaktendaten, Gesundheitsdaten, Sozialdaten usw. gelangen, wenn sie traditionell per Brief verschickt werden, nach genau festgelegten Regeln vom Absender zum Empfänger. So werden Personalakten nur im verschlossenen und entsprechend gekennzeichneten Umschlag verschickt und allen Beteiligten ist klar, dass dieser Umschlag nur vom Adressaten geöffnet werden darf. Damit sind die Informa- Pseudonym Beruf Geschlecht Fächer Schulart 4711 Lehrer m Mathe und Sport Regionalschule 5566 Lehrerin w Englisch und Erdkunde Gemeinschaftsschule Xyz2312 Lehrer m Biologie Gymnasium JKLTZTZ Lehrerin w Deutsch und Kunst Grundschule In der Praxis macht eine Pseudonymisierung immer dann Sinn, wenn man über einen längeren Zeitraum bestimmte Sachverhalte im Leben eines Menschen untersuchen und verfolgen will oder wenn eine Nutzung von Daten ohne Personenbezug ausreicht, in Zweifelsfällen aber doch eine Reidentifizierung nötig werden kann. Beispielsweise werden die im Rahmen der Schülergesundheitsuntersuchungen von den Schulärzten gewonnenen Daten ( Schulreifeuntersuchung usw.) in pseudonymisierter Form an ein wissenschaftliches Institut übermittelt, das diese Daten für eine Übersicht über die landesweite Schülergesundheit auswertet. Dieses Institut benötigt hierfür keine personenbezogenen Daten. Mit Hilfe des Pseudonyms können die Daten aus der Untersuchung zum Zeitpunkt der Einschulung eines Kindes mit den Daten der Untersuchung in der vierten Klasse verglichen werden, ohne dass ein Personenbezug erforderlich ist. Die Referenzliste liegt in diesem Falle beim zuständigen Gesundheitsamt. Verschlüsselung Bei der Verschlüsselung von Daten muss zwischen zwei Arten unterschieden werden: 1. Die Kommunikationsverschlüsselung 18
22 tionen relativ gut vor dem Zugang Unbefugter (dies sind auch die Mitarbeiterinnen und Mitarbeiter der Poststelle, z. B. des Bildungsministeriums) geschützt. Auch der Versandweg selbst (üblicherweise die Deutsche Post) kann als sicher angesehen werden. Das Grundgesetz (Art. 10 GG) und das Strafgesetzbuch ( 202 und 206 StGB) schützen das Brief-, Post- und Fernmeldegeheimnis. Art. 10 GG Das Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich StGB (Verletzung des Briefgeheimnisses) Wer unbefugt einen verschlossenen Brief oder ein anderes verschlossenes Schriftstück, die nicht zu seiner Kenntnis bestimmt sind, öffnet, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft StGB (Verletzung des Post- und Fernmeldegeheimnisses) Wer unbefugt einer anderen Person eine Mitteilung über Tatsachen macht, die dem Post- oder Fernmeldegeheimnis unterliegen und die ihm als Inhaber oder Beschäftigten eines Unternehmens bekanntgeworden sind, das geschäftsmäßig Post- oder Telekommunikationsdienste erbringt, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft. Ebenso wird bestraft, wer als Inhaber oder Beschäftigter eines solchen Unternehmens unbefugt eine Sendung, die einem solchen Unternehmen zur Übermittlung anvertraut worden und verschlossen ist, öffnet... Die Kommunikation mittels Brief und Telefon ist nicht nur rechtlich gut abgesichert, auch hat sich darauf aufbauend über die Jahrzehnte eine funktionierende Infrastruktur entwickelt. 19
23 Anders ist dies bei der elektronischen Kommunikation mittels . Zwar ist diese Kommunikation auch durch das Fernmeldegeheimnis geschützt. Da aber der Weg einer über viele Zwischenstationen verläuft, die rund um den Erdball verstreut sein können und auf diesen Zwischenstationen die mitgelesen (und verändert) werden kann, gilt dieser Übertragungsweg als unsicher. Eine ist mit einer Postkarte vergleichbar; jeder könnte sie lesen, auch ein irrtümlicher Adressat. Um den Inhalt solcher s zu schützen, kann man sich der Verschlüsselung bedienen. Wirksame Verschlüsselungsprogramme stehen jedem Privatanwender kostenlos und jedem kommerziellem Nutzer (Firmen und Behörden) gegen Lizenzgebühr beispielsweise mit den Programmen PGP (Pretty Good Privacy) oder GNUPG (GNU Privacy Guard GNU steht für die Entwicklerfirma ) zur Verfügung. 2. Dateien- und Datenträgerverschlüsselung Um sicherzustellen, dass elektronisch gespeicherte Daten nicht von Unbefugten zur Kenntnis genommen oder verändert werden können, empfiehlt es sich, diese Daten zu verschlüsseln. Hierfür gibt es die verschiedensten Programme. Weitere Hinweise finden Sie im Abschnitt IV auf S. 139 Freeware-Programme zur Dateienverschlüsselung finden sich im Internet. Kostenpflichtige Programme können im Fachhandel gekauft werden. Welche Maßnahmen sind zum Schutz personenbezogener Daten erforderlich? In der öffentlichen Verwaltung wird schon immer darauf geachtet, dass die von ihr verarbeiteten Daten Unbefugten nicht ohne Weiteres zugänglich sind. Es sollte selbstverständlich sein, dass solche Informationen nicht offen herumliegen oder Computersysteme, in denen personenbezogene Daten gespeichert sind, nicht ungesichert betrieben werden. Das Datenschutzrecht hat dieses Prinzip der Datensicherheit nicht neu erfunden, sondern nur auf gesetzliche Grundlagen gestellt und verfeinert. 20
24 Das Landesdatenschutzgesetz trifft hierzu Regelungen, die in der Schulverwaltung umgesetzt werden müssen, weil dort klassische Verwaltung praktiziert wird. 5 LDSG Allgemeine Maßnahmen zur Datensicherheit (1) Die Ausführung der Vorschriften dieses Gesetzes sowie anderer Vorschriften über den Datenschutz ist durch technische und organisatorische Maßnahmen sicherzustellen. Dabei ist insbesondere 1. Unbefugten der Zugang zu Datenträgern, auf denen personenbezogene Daten gespeichert sind, zu verwehren, 2. zu verhindern, dass personenbezogene Daten unbefugt verarbeitet werden oder Unbefugten zur Kenntnis gelangen, 3. zu gewährleisten, dass die Daten verarbeitende Person, der Zeitpunkt und Umfang der Datenverarbeitung festgestellt werden kann. (2) Es sind die technischen und organisatorischen Maßnahmen zu treffen, die nach dem Stand der Technik und der Schutzbedürftigkeit der Daten erforderlich und angemessen sind.... Im Einzelnen ist Folgendes zu beachten: Es muss sichergestellt werden, dass nur Personen Zugriff auf die in der Schule gespeicherten personenbezogenen Daten erhalten, die hierzu auch eine Befugnis haben. Dabei spielt es keine Rolle, ob die Daten in althergebrachter Weise in Akten und Karteien oder in einem EDV-System gespeichert sind. Die Frage der Befugnis richtet sich nach gesetzlichen Bestimmungen und den Anweisungen der Leiterin oder des Leiters der Daten verarbeitenden Stelle, also Ihren Vorgaben. Generell gilt, dass Personen, die nichts mit der Beschulung der Schülerinnen und Schüler zu tun haben, keinen Zugang zu deren Daten haben dürfen. In der DSVO Schule besteht mit 4 eine ergänzende Bestimmung. 21
Meine Daten kriegt Ihr nicht Lehrerfortbildung Datenschutzrecht
D e r H a m b u r g i s c h e B e a u f t r a g t e f ü r D a t e n s c h u t z u n d I n f o r m a t i o n s f r e i h e i t Meine Daten kriegt Ihr nicht Lehrerfortbildung Datenschutzrecht Was versteht