Ab dem 25. Mai 2018 gilt die DS-GVO unmittelbar in sämtlichen Mitgliedsstaaten der Europäischen Union. Damit wird das bestehende Datenschutzrecht harmonisiert und durch einen einheitlichen europäischen Rechtsrahmen ersetzt. Jedoch enthält die DS-GVO auch eine Vielzahl von Öffnungsklauseln und Regelungsaufträgen für den nationalen Gesetzgeber. Dies betrifft insbesondere die Möglichkeit der Schaffung fachspezifischer Normen für bestimmte Bereiche. Ein für die öffentlichen Stellen des Landes Niedersachsen geltendes niedersächsisches Anpassungsgesetz steht noch aus. Deswegen kann derzeit keine Aussage getroffen werden, inwieweit die für die Datenverarbeitung in den Schulen geltenden schul- und beamtenrechtlichen Regelungen geändert werden.
Um den Vorgaben der DS-GVO zu entsprechen, müssen die Schulen als öffentliche Stellen bestehende Strukturen und Prozesse zeitnah anpassen und fortentwickeln.
Die wesentlichen Veränderungen der DS-GVO gegenüber dem geltenden Recht und die daraus resultierenden Anforderungen an die verantwortlichen Stellen werden wie folgt
zusammengefasst:
Die DS-GVO sieht erweiterte Dokumentations- und Nachweispflichten vor. Dies betrifft u. a. den Nachweis der Einhaltung der Datenschutzgrundsätze (Art. 5 Abs. 2 DS-GVO), der erforderlichen technisch-organisatorischen Maßnahmen (Art. 24 DS- GVO) und den Einsatz geeigneter Auftragsverarbeiter (Art. 28 DS-GVO). Weitere Dokumentationspflichten folgen aus Art. 30 DS-GVO (Führung eines Verarbeitungsverzeichnisses) und Art. 33 DS-GVO (Dokumentation von Datenschutzvorfällen).
Erweitert wird auch der Umfang der Informations- und Auskunftspflichten gegenüber den Betroffenen (Art. 13 – 15 DS-GVO). Gemäß Art. 12 Abs. 1 DS-GVO sind die Betroffenen in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer einfachen und klaren Sprache“ von der Verarbeitung ihrer personenbezogenen Daten zu unterrichten.
Auch die sonstigen Betroffenenrechte werden gegenüber dem bisherigen Recht erweitert. Neu ist u.a. das Recht auf Datenübertragbarkeit (Art. 20 DS-GVO).
Hat eine Verarbeitung voraussichtlich hohe Risiken für die persönlichen Rechte und Freiheiten der Betroffenen zur Folge, so muss der Verantwortliche zukünftig eine Datenschutz-Folgeabschätzung (Art. 35 DS-GVO) durchführen. Die Datenschutz Folgeabschätzung setzt das Instrument der Vorabkontrolle in einer neuen Ausprägung fort. Diese ist vom Verantwortlichen zu erstellen; der oder die Datenschutzbeauftragte hat nur noch eine beratende Funktion. Hierbei sind insbesondere Eintrittswahrscheinlichkeit und Schwere der möglichen Risiken zu bewerten und Maßnahmen zur Eindämmung der Risiken zu prüfen. Ggf. muss der Verantwortliche zuvor die Aufsichtsbehörde konsultieren (Art. 36 DS-GVO).
Art. 25 DS-GVO regelt die Grundsätze des „Datenschutzes durch Technik und datenschutzrechtliche Voreinstellungen“. Demnach haben Verantwortliche ihre IT- Systeme so auszugestalten, dass die Grundsätze des Art. 5 Abs. 1 DS-GVO wirksam umgesetzt werden. Dies gilt insbesondere für das Gebot der Datenminimierung. Danach dürfen nur so viele Daten erhoben werden, wie zur Erfüllung des Zwecks erforderlich. Zudem müssen IT-Systeme so voreingestellt werden, dass nur die erforderlichen Daten verarbeitet werden.
Erstmals wird auch für öffentliche Stellen eine Melde- und Benachrichtigungspflicht bei Datenschutzverletzungen eingeführt (Art. 33 f. DS-GVO).
Die Pflicht zur Benennung einer oder eines Datenschutzbeauftragten bleibt für die öffentlichen Stellen zwingend erhalten (Art. 37 Abs. 1 DS-GVO). Gleichwohl ändert sich deren Rolle innerhalb der verantwortlichen Stelle: Während ihnen nach bisherigem Recht eine primär beratende und unterstützende Funktion im Hinblick auf die Einhaltung der datenschutzrechtlichen Normen zukommt, sieht Art. 39 Abs. 1 DS- GVO umfassende Überwachungspflichten vor. Die eigentliche Umsetzungspflicht der datenschutzrechtlichen Vorgaben liegt damit bei der Behördenleitung, welche einzelne Aufgaben delegieren kann. Nähere Einzelheiten zu dieser Thematik können unter https://www.lfd.niedersachsen.de/startseite/dsgvo/datenschutzbeauftragte/ abgerufen werden.
Das Instrument der Auftragsdatenverarbeitung wird beibehalten (Art. 28 DS-GVO). Allerdings ändert sich die Rolle des Auftragsverarbeiters im Hinblick auf eine mögliche eigene Haftung und Bußgeldpflicht. Es wird angeraten, die bestehenden ADV-Verträge zeitnah auf einen durch die DS-GVO ausgelösten eventuellen Anpassungsbedarf zu überprüfen.
Zudem wird durch Art. 82 Abs. 1 DS-GVO die zivilrechtliche Haftung bei Datenschutz- verstößen auch auf den Ersatz immaterieller Schäden erweitert.
Zusammenfassend ist festzuhalten, dass die DS-GVO für die Datenverarbeitung durch öffentliche Stellen eine Vielzahl von Veränderungen vorsieht. Die Datenschutzkonferenz hat einige Kurzpapiere und Handlungsempfehlungen zu den wichtigsten Punkten erarbeitet, die den verantwortlichen Stellen – und damit auch den Schulen – zielführende Hilfestellungen bei der Anwendung der DS-GVO im praktischen Vollzug geben und die stetig erweitert werden. Der aktuelle Stand kann unter https://www.lfd.niedersachsen.de/startseite/dsgvo abgerufen werden.
Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstr. 5
30159 Hannover
Telefon: 0511 120 – 45 00
Fax: 0511 1204599
E-Mail: poststelle@lfd.niedersachsen.de
Stand: 13. November 2017
Dieser Leitfaden ist online als PDF abrufbar unter:
Dürfen Lehrer in Niedersachsen den Messenger „WhatsApp“ für den Unterricht nutzen?
„WhatsApp“ ist der zurzeit am weitesten verbreitete Messenger für die Kommunikation im privaten Bereich. Da liegt es nahe, dieses fast überall vorhandene Programm auch für die Kommunikation im schulischen Bereich verwenden zu wollen. Aus datenschutzrechtlicher Sicht wird der Einsatz von „WhatsApp“ für schulische Zwecke, also zur dienstlichen Kommunikation zwischen Lehrpersonal und Schülerinnen und Schülern, allerdings als nicht zulässig angesehen.
Bei der Nutzung eines Messengers wie WhatsApp findet die Verarbeitung von personenbezogenen Daten statt. Der Nutzer muss sich anmelden, d.h. es entstehen sog. „Bestandsdaten“ (§ 3 Satz 1 Nr. 3 Telekommunikationsgesetz (TKG)), Kommunikationsinhalte (Inhaltsdaten) werden ausgetauscht und dabei fallen jede Menge sog. „Verkehrsdaten“ (§ 3 Satz 1 Nr. 30 TKG) an. Zudem werden mit der Anmeldung automatisch alle im Mobiltelefon gespeicherten Kontakte an den Anbieter übertragen. Für
diese Datenverarbeitungen sind eine Rechtsgrundlage oder eine Einwilligung erforderlich. Der Nutzer von WhatsApp ist für die Übermittlung der in seinem Mobiltelefon gespeicherten Kontaktdaten von anderen Personen datenschutzrechtlich verantwortlich. Daher muss er vor der Anmeldung bei dem Messenger-Dienst über die entsprechende datenschutzrechtliche Erlaubnis verfügen.
Im Schulbereich kommt als Rechtsgrundlage nur der § 31 Niedersächsisches Schulgesetz (NSchG) in Frage. Danach ist eine Datenverarbeitung nur zulässig, wenn sie zum Zweck der Erfüllung des Bildungsauftrags der Schule (§ 2) oder der Fürsorgeaufgaben, zur Erziehung oder Förderung der Schülerinnen und Schüler oder zur Erforschung oder Entwicklung der Schulqualität erforderlich ist. Die Erforderlichkeit setzt voraus, dass der Zweck nur mit dieser Datenverarbeitung erreicht werden kann.
Eine bloße Erleichterung des Schulalltages kann die Erforderlichkeit nicht begründen. Die Nutzung von WhatsApp ist daher nach § 31 NSchG nicht zulässig.
Kinder – das sind aus datenschutzrechtlicher Sicht Personen, die das 16. Lebensjahr noch nicht vollendet haben – können nicht allein wirksam in die Datenschutzbestimmungen eines Messengers einwilligen. Hierzu ist auch die Einwilligung der Eltern erforderlich. Hierbei ist zu beachten, dass eine datenschutzrechtlich wirksame Einwilligung u.a. voraussetzt, dass sie „freiwillig“ erfolgt. Wenn das Kind faktisch WhatsApp nutzen muss, um Unterrichtsinhalte zuverlässig mitgeteilt zu bekommen, bestehen erhebliche Zweifel an der „Freiwilligkeit“ der Einwilligung.
Mit der Nutzung von WhatsApp ist zudem eine Übermittlung der Daten an das US-Unternehmen WhatsApp Inc. und somit in ein Land außerhalb des Europäischen Wirtschaftsraums verbunden. Da die WhatsApp Inc. sich nicht dem Privacy Shield Abkommen unterworfen hat (s. https://www.privacyshield.gov/list), ist die Übermittlung nach den Vorgaben des § 14 Abs. 2 NDSG unzulässig.
Zudem spricht gegen die Nutzung von WhatsApp zu schulischen Zwecken, dass eine Nutzung privater Geräte für die Verarbeitung personenbezogener Daten nur im Rahmen des Erlasses „Verarbeitung personenbezogener Daten auf privaten Informationstechnischen Systemen (IT-Systemen) von Lehrkräften“* zulässig ist. Hiernach dürfen aber insbesondere keine Kontaktdaten (wie z. B. E-Mailadresse
oder Mobilfunknummer) verarbeitet werden. Diese Daten überschreiten den im Erlass vorgegebenen Datenrahmen, so dass die Nutzung von WhatsApp auch aus diesem Grund unzulässig ist.
Gibt es Alternativen für Lehrer, Schüler und Eltern?
Als Aufsichtsbehörde kann ich keine Anbieter empfehlen. Es gibt diverse andere Anbieter am Markt. Hierunter befinden sich einige, die gegenüber WhatsApp datenschutzrechtlich den Vorteil haben, dass sie im Europäischen Wirtschaftsraum ansässig und damit potenziell bei Datenschutzverstößen besser zu kontrollieren, bzw, auch zu sanktionieren sind. Dabei darf die technische Sicherheit wie z. B. die Ende-zu-Ende-Verschlüsselung nicht vernachlässigt werden. Zurzeit liegen mir allerdings keine verlässlichen Ergebnisse darüber vor, ob einzelne Anbieter die datenschutzrechtlichen Vorgaben vollumfänglich erfüllen. Diese Prüfung obliegt der Schule als datenverarbeitende Stelle im Rahmen der Vorabkontrolle. Wegen der Verantwortung der Schule für die Sicherheit der Daten ist darüber hinaus neben der Anwendung selbst auch die technische Sicherheit der von den Lehrkräften genutzten Geräte zu überwachen.
Im Ergebnis sollte die dienstliche elektronische Kommunikation zwischen den Lehrkräften und den Schülerinnen und Schülern daher über eine schulische E-Mail-Adresse mit entsprechender Berücksichtigung des Datenschutzes erfolgen. In der Kommunikation mit den Eltern sollten die Lehrkräfte ebenfalls ausschließlich eine schulische E-Mail-Adresse verwenden.
Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Telefon 0511 120-4500
Fax 0511 120-4599
E-Mail an poststelle@lfd.niedersachsen.de schreiben
Stand: 19.10.2017
* RdErl. d. MK vom 1.2.2012 – 11-05410/1-8 – VORIS 20600 – Fundstelle: SVBl. 2012 Nr. 6, S. 312
Den gesamten Text des Merkblattes finden Sie hier zum Download:
Was Lehrerinnen und Lehrer die Polizei am häufigsten fragen:
(oder: Was Polizistinnen und Polizisten am meisten von Lehrerinnen und Lehrern im Kontext Handy / Tablet / Smartphone / Internet und allen Formen der Nutzung sozialer Netzwerke, Videoportale, Chats und Foren u. s. w. gefragt werden.)
Diese Zusammenstellung soll schnell, kurz und übersichtlich Antworten geben über die am meisten gestellten Fragen von Lehrerinnen und Lehrern an die Polizei. Ziel dieser Zusammenstellung ist nicht die Erläuterung juristischer Detailfragen. Deshalb sind die Antworten relativ kurz gefasst und stellen meist Grundsatzaussagen dar.
Die Fragen ab Ziffer 4 orientieren sich an einem Beispielfall: Ein Schüler (Malte) fotografiert / filmt einen Mitschüler in der Schule nach dem Sport beim Duschen. Dieser Fall wird nach und nach verändert, es ergeben sich verschiedene Fallkonstellationen mit diversen Fragen und Lösungen.
Die zu Anfang dieser Handreichung beschriebenen grundsätzlichen Dinge, Erziehungs- und Ordnungsmaßnahmen, der „Schulerlass zwischen Schule und Polizei“ und die Ausführungen der Datenschutzbeauftragten des Landes Niedersachsen sind sehr relevant und hilfreich zum Verständnis dieser Ausarbeitung.
Wenn eine Film AG zum vierten Mal hintereinander einen begehrten Filmpreis erhält, könnte man meinen, die Freude habe sich in gewisser Weise abgenutzt. An der Grundschule Bad Münder, die inzwischen als „Referenzschule: Film“ in ganz Niedersachsen Leuchtturmfunktion übernimmt, ist das ganz anders. 320 Kinder und das gesamte Kollegium nahmen heute an der Preisverleihung zur Filmklappe Weserbergland in der schuleigenen Aula teil und würdigten lautstark die umfangreiche Filmarbeit, die an der Schule mit großer Freude und Beteiligung geleistet wird.
Wie im vergangenen Jahr sahnte die Film AG unter der Leitung von Schulleiter Christoph Schieb gleich in zwei Kategorien den ersten Preis ab. In der Kategorie „Kindergarten/Grundschule“ gewann die Produktion „FilmZEITspiele“. In dem Film setzen sich die jungen Filmschaffenden auf amüsante und anschauliche Weise mit Phänomenen wie „Zeitraffer“ und „Zeitlupe“ auseinander. Auch in der Sonderkategorie „Dokumentarfilm“ gab es den Hauptgewinn für die Kinder von der Wallstraße. Ihr Film „Auf dem Weg zur Kinderrechte-Schule“, der jüngst den niedersächsischen Kinder-haben-Rechte-Preis 2017 erhielt, war aus Sicht der Jury eine sehr gelungene Aufarbeitung einer Reise an die Kinderrechte-Schule in Gau-Algesheim (Rheinland-Pfalz).
Timo Ihrke, medienpädagogischer Berater im Medienzentrum Hameln-Pyrmont, überbrachte anerkennende Worte und reichte Urkunden und Preisgelder in Höhe von jeweils 200 Euro mit Stephan Rakel von der Sparkasse Hameln-Weserbergland als Hauptsponsor an die stolzen Kinder der Film AG weiter. Mit im Gepäck hatte Ihrke auch eine Einladung an das Filmteam zur Fahrt nach Aurich. Im Februar 2018 wird dort zum 10. Mal die Niedersachsen Filmklappe stattfinden. Schieb dankte den Medienzentren der Landkreise Schaumburg, Holzminden und Hameln-Pyrmont für die Durchführung des Wettbewerbs und betonte, dass die erfolgreiche Filmarbeit kein Selbstzweck sei, vielmehr würden die Kinder mit ihren Filmen die Entwicklung der gesamten Schule in vielen Themengebieten positiv voranbringen.
