Mit dem Runderlass des Ministeriums für Schule und Bildung NRW vom 19.01.2018 wurde die Dienstanweisung für die automatisierte Verarbeitung von personenbezogenen Daten in der Schule neugefasst.
Unverändert bleibt, dass für die Verarbeitung von personenbezogenen Daten aus der Schule auf den privaten Endgeräten einer Lehrkraft die Genehmigung der Schulleiterin bzw. des Schulleiters erforderlich ist.
Die Neufassung der Dienstanweisung enthält einen Vordruck für diese Genehmigung. Das Formular unterstützt die Schulleitungen dabei, den bestehenden schulgesetzlichen und datenschutzrechtlichen Anforderungen an eine solche Genehmigung zu genügen.
Die Einhaltung der Bedingungen gewährleistet, dass Daten mit Personenbezug, zu denen Lehrkräfte in dienstlichem Kontext Zugriff haben, sicher auf deren Privatgeräten verarbeitet werden.
Die Medienberatung NRW hat eine Handreichung zur Verfügung gestellt, die die Zusammenhänge erläutert und Hilfestellung beim Ausfüllen geben kann.
Bei Fragen können sich Schulen direkt an die von den Bezirksregierungen bestellten behördlichen Datenschutzbeauftragten für Schulen wenden.
http://www.medienberatung.schulministerium.nrw.de/Medienberatung/Datenschutz-und-Datensicherheit/Datenschutzbeauftragte/index-2.html
Weitere Informationen zum Datenschutz im Schulbereich die Genehmigung und die Handreichung gibt es auf den Seiten des Bildungsportals
https://www.schulministerium.nrw.de/docs/Recht/Datenschutz/Datenschutz_FAQ4/index.html
und bei der Medienberatung NRW
http://www.medienberatung.schulministerium.nrw.de/Medienberatung/Datenschutz-und-Schule/Praxishilfen/private-Endgeräte/
In einer Schulmail konkretisiert Herr Mathias Richter (Staatssekretär im Ministerium für Schule und Bildung des Landes Nordrhein-Westfalen) den entsprechenden Erlass und gibt Hinweise zum Umgang mit automatisierter Verarbeitung von personenbezogenen Daten im schulischen Bereich.
[grey_box]
An die
Schulleiterinnen und Schulleiter
aller öffentlichen Schulen
nachrichtlich
An die
Bezirksregierungen Arnsberg, Detmold,
Düsseldorf, Köln und Münster
Betreff: Dienstanweisung für die automatisierte Verarbeitung von personen-bezogenen Daten in der Schule – BASS 10-41 Nr.4
Sehr geehrte Damen und Herren,
im Januar dieses Jahres wurde die Neufassung der o.g. Dienstanweisung (DA ADV) als Erlass veröffentlicht. Dieser Erlass war am 24. April 2018 Gegenstand eines intensiven und sehr konstruktiven Austauschs des Schulministeriums mit Gewerkschaften, Verbänden und Schulleitungsvereinigungen. Als Ergebnis unseres Gesprächs möchte ich Ihnen zur Entstehung, zum Zweck und zum Inhalt der DA ADV einige klarstellende Informationen geben und Unterstützung bei der Umsetzung der DA ADV aufzeigen.
Der Erlass gibt Hinweise zum Umgang mit automatisierter Verarbeitung von personenbezogenen Daten im schulischen Bereich. Dabei handelt es sich im Wesentlichen um Vorgaben, die sich aus höherrangigem Recht ergeben und die für die Praxis vor Ort erläutert werden sollen. Grundlage sind insbesondere die beiden grundlegenden Datenschutzverordnungen zur Verarbeitung personenbezogener Daten im Schulbereich (VO DV I – BASS 10-44 Nr. 2.1 und VO DV II – BASS 10-41 Nr. 6.1).
Die Notwendigkeit, den Schulen eine „neue“ DA ADV zur Verfügung zu stellen, ergab sich, weil der alte Erlass aus dem Jahr 1988 an aktuelle Änderungen der Datenschutz-Verordnungen anzupassen und insgesamt zu aktualisieren war.
Ich möchte Ihnen gegenüber versichern, dass die DA ADV keine neuen Standards setzt. Sie begründet keine neuen rechtlichen Verpflichtungen oder gar Verschärfungen im Datenschutz, sie gibt lediglich die aktuelle Rechtslage wieder. Die neugefasste DA ADV soll erklären und unterstützen.
In einer Anlage wird ein Genehmigungsvordruck für die Nutzung von privaten ADV-Geräten vorgegeben. Die Gründe hierfür sind folgende:
– Es ist grundsätzlich zulässig, Schülerdaten für schulische Zwecke auf Privatgeräten der Lehrkräfte zu verarbeiten. Hierbei sind jedoch die Rechte der Schülerinnen und Schüler auf Schutz ihrer persönlichen Daten zu wahren. Daher besteht seit 1995 die Verpflichtung, die Verarbeitung personenbezogener Schülerdaten auf privaten ADV-Anlagen vorher durch die Schulleitung genehmigen zu lassen (vgl. § 2 Abs. 2 VO DV I).
– Der neue Genehmigungsvordruck ist eine Hilfestellung, indem die Verantwortlichkeiten und die – aufgrund der Verordnungen – bestehenden Nachweispflichten nutzerfreundlich zusammengefasst und klargestellt werden. Er wurde in Zusammenarbeit mit Personen aus der Schulpraxis erarbeitet und soll Schulleitungen entlasten, indem diese ihre Genehmigungspflicht zukünftig formularbasiert wahrnehmen können. Gleichzeitig werden alle Beteiligten für die Bedeutung des notwendigen Schutzes personenbezogener Daten sensibilisiert.
– Die dargestellten Vorgaben im Genehmigungsformular geben einen Datenschutzstandard (z.B. Passwortschutz, Virenscanner) wieder, der heute von Fachleuten auch für die Nutzung der persönlichen IT-Ausstattung dringend empfohlen wird. Dennoch werden wir unsere Bemühungen verstärken, allen Lehrkräften und allen Schulleitungen zusätzliche Erläuterungen zum Umgang mit dem Formular zu geben (s.u.). Die geregelten Nachweispflichten beinhalten selbstverständlich nicht die Verpflichtung der Schulleitung, die privaten Endgeräte jeder einzelnen Lehrkraft persönlich zu überprüfen. Das wäre gar nicht leistbar.
Vielmehr werden in der Genehmigung die datenschutzrechtlich erforderlichen technischen und organisatorischen Maßnahmen nochmals in Erinnerung gebracht. Die dokumentierten Angaben sind zudem von der bzw. von dem zuständigen behördlichen Datenschutzbeauftragten an Schulen zu prüfen, insbesondere daraufhin, ob zu den erforderlichen Maßnahmen zur Datensicherheit abweichende Angaben erfolgt sind, die einer Genehmigung entgegen stehen könnten.
Ausdrücklich darauf hinweisen möchte ich, dass in der Vergangenheit erteilte Genehmigungen weiterhin Bestand haben. Die Neufassung der DA ADV löst keinen neuen Handlungsdruck aus.
Weitere Erfahrungen in der Praxis mit dem Genehmigungsvordruck oder Anpassungsbedarf, der aus der EU-Datenschutzgrundverordnung resultieren könnte, werden wir selbstverständlich im Rahmen einer künftigen Überarbeitung der Dienstanweisung berücksichtigen.
Zum Datenschutzrecht in der Schule sind im Bildungsportal Informationen eingestellt. Erläuterungen zum Umgang mit dem Genehmigungsvordruck gibt ein Link auf die Handreichung der Medienberatung NRW. Es ist beabsichtigt, auch dieses Informationsangebot aufgrund von Rückmeldungen der Schulen bedarfsgerecht zu erweitern.
Der Prozess der Digitalisierung der Schulen ist eine große Herausforderung für alle am Schulleben Beteiligten. Die Landesregierung arbeitet weiterhin mit Hochdruck daran, eine digitale Arbeitsplattform (LOGINEO NRW) für Schulen anzubieten, die Ihnen vor allem auch im Umgang mit personenbezogenen Daten Unterstützung bieten soll. Sie will sich dabei jedoch sicher sein, den Schulen ein Produkt zur Verfügung stellen zu können, das reibungslos funktioniert und den Ansprüchen der Nutzerinnen und Nutzer auch gerecht wird. Hierzu sind technische Nachbesserungen und neue Vereinbarungen mit unseren Projektpartnern zwingend erforderlich.
Zudem möchte ich zeitnah eine Entscheidung innerhalb der Landesregierung vorbereiten, die klarstellt, in welchem notwendigen Umfang das Land als Dienstherr Endgeräte für die Lehrerinnen und Lehrer vor Ort an den Schulen zur Verfügung zu stellen und zu finanzieren hat.
Schließlich werden wir die Notwendigkeit der Ausstattung der Schulen mit Endgeräten für den Zweck der spezifischen Speicherung und Verarbeitung von sensiblen Schülerdaten mit den Schulträgern diskutieren. Hier sind Fragen im Hinblick auf die Gerätefunktion und -ausstattung, der darauf bezogene Support und ein ausreichendes Informations- und Beratungsangebot für die Fragen des Datenschutzes zu klären.
Ich hoffe, diese Erläuterungen unterstützen Sie bei Ihren Anstrengungen, vor Ort einen sensiblen und verantwortungsvollen Umgang mit personenbezogenen Daten sicher zu stellen. Für Ihr Engagement in diesem wichtigen Bereich habe ich zu danken.
Mit freundlichen Grüßen
gez. Mathias Richter
[/grey_box]
