Datenschutz an Schulen: Was ist neu nach der Einführung der EU-DSGVO? - Unterrichtsmaterial online bei Elixier
Der Fachartikel "Datenschutz an Schulen" beschreibt und erläutert die Aufgaben, die die Verantwortlichen an Schulen bei der Umsetzung der EU-Datenschutz-Grundverordnung (EU-DSGVO) bedenken müssen. Tipps, Hinweise und Hilfestellungen können der Schulleitung, aber auch allen anderen Lehrkräften bei dieser neuen Herausforderung helfen.
Anbieter:
Lehrer-Online | Eduversum GmbH, Taunusstr. 52, 65183 Wiesbaden
Autor:
Jost Baum
Lange Beschreibung:
Wo gilt die EU-Datenschutz-Grundverordnung (DSGVO)? Ab dem 25. Mai 2018 gilt die EU-DSGVO unmittelbar in sämtlichen Mitgliedsstaaten der Europäischen Union. Damit wird das bestehende Datenschutzrecht harmonisiert und durch einen einheitlichen europäischen Rechtsrahmen ersetzt, der aber auch eine Vielzahl von Öffnungsklauseln und Regelungsaufträge für den nationalen Gesetzgeber enthält. Dies betrifft insbesondere die Möglichkeit der Schaffung fachspezifischer Normen für bestimmte Bereiche, wie zum Beispiel den Schulen der einzelnen Mitgliedsländer. Weiterhin gilt dies unter anderem für die Schulen der 16 Bundesländer, in denen jeweils unterschiedliche Schulgesetze gelten. Die Anpassung der entsprechenden fachspezifischen Datenschutzbestimmungen für die Schulen an die unmittelbar geltende EU-DSGVO ist in der Regel erfolgt und ist am 01. August 2018 in Kraft getreten. Wer ist für die Umsetzung verantwortlich? Die EU-DSGVO und die daran angepassten fachspezifischen Bestimmungen der Schulgesetze, sind die wesentliche gesetzliche Grundlage für den Datenschutz an Schulen. Um den Vorgaben der EU-DSGVO zu entsprechen, müssen die Schulen als öffentliche Stellen, bestehende Strukturen und Prozesse zeitnah anpassen und fortentwickeln. Verantwortlich für die Umsetzung der EU-DSGVO ist die Schulleitung der jeweiligen Schule. Hieraus ergeben sich neue Aufgaben, die nur zum Teil delegiert werden können. Für die Einhaltung dieser Regelungen sorgt in jedem Fall die Schulleitung. Konsequenzen für die Leitungen der Schulen der 16 Bundesländer Die wesentlichen Veränderungen der EU-DSGVO gegenüber dem geltenden Recht und die daraus resultierenden Anforderungen an die verantwortlichen Stellen (Schulleitung) betreffen folgende Bereiche: Die EU-DSGVO sieht erweiterte Dokumentations- und Nachweispflichten vor. Dies betrifft unter anderem den Nachweis der Einhaltung der Datenschutzgrundsätze (Art. 5 Abs. 2 EU-DSGVO), der erforderlichen technisch-organisatorischen Maßnahmen (Art. 24 EU-DSGVO) und den Einsatz geeigneter Auftragsverarbeiter (Art. 28 EU-DSGVO). Weitere Dokumentationspflichten folgen aus Art. 30 EU-DSGVO (Führung eines Verarbeitungsverzeichnisses) und Art. 33 EU-DSGVO (Dokumentation von Datenschutzvorfällen). Erweitert wird auch der Umfang der Informations- und Auskunftspflichten gegenüber den Betroffenen (Art. 13 15 EU-DSGVO). Gemäß Art. 12 Abs. 1 EU-DSGVO sind die Betroffenen in "präziser, transparenter, verständlicher und leicht zugänglicher Form in einer einfachen und klaren Sprache" von der Verarbeitung ihrer personenbezogenen Daten zu unterrichten. Auch die sonstigen Betroffenenrechte werden gegenüber dem bisherigen Recht erweitert. Neu ist unter anderem das Recht auf Datenübertragbarkeit (Art. 20 EU-DSGVO). Hat eine Verarbeitung voraussichtlich hohe Risiken für die persönlichen Rechte und Freiheiten der Betroffenen zur Folge, so muss der Verantwortliche zukünftig eine Datenschutz-Folgeabschätzung (Art. 35 EU-DSGVO) durchführen. Die Datenschutz-Folgeabschätzung setzt das Instrument der Vorabkontrolle in einer neuen Ausprägung fort. Diese ist vom Verantwortlichen (Schulleitung und Auftragsdatenverarbeiter) zu erstellen; der oder die Datenschutzbeauftragte hat nur noch eine beratende Funktion. Hierbei sind insbesondere Eintrittswahrscheinlichkeit und Schwere der möglichen Risiken zu bewerten und Maßnahmen zur Eindämmung der Risiken zu prüfen. Gegebenenfalls muss der oder die Verantwortliche (Schulleitung) zuvor die Aufsichtsbehörde konsultieren (Art. 36 EU-DSGVO). Art. 25 EU-DSGVO regelt die Grundsätze des "Datenschutzes durch Technik und datenschutzrechtliche Voreinstellungen" . Demnach haben Verantwortliche (Auftragsdatenverarbeiter) ihre IT-Systeme so auszugestalten,dass die Grundsätze des Art. 5 Abs. 1 EU-DSGVO wirksam umgesetzt werden. Dies gilt insbesondere für das Gebot der Datenminimierung. Danach dürfen nur so viele Daten erhoben werden, wie zur Erfüllung des Zwecks erforderlich. Zudem müssen IT-Systeme so voreingestellt werden, dass nur die erforderlichen Daten verarbeitet werden. Erstmals wird auch für öffentliche Stellen eine Melde- und Benachrichtigungspflicht bei Datenschutzverletzungen eingeführt (Art. 33 f. EU-DSGVO). Die Pflicht zur Benennung einer oder eines Datenschutzbeauftragten bleibt für die öffentlichen Stellen zwingend erhalten (Art. 37 Abs. 1 EU-DSGVO). Gleichwohl ändert sich deren Rolle innerhalb der verantwortlichen Stelle: Während ihnen nach bisherigem Recht eine primär beratende und unterstützende Funktion im Hinblick auf die Einhaltung der datenschutzrechtlichen Normen zukommt, sieht Art. 39 Abs. 1 EU-DSGVO umfassende Überwachungspflichten vor. Die eigentliche Umsetzungspflicht der datenschutzrechtlichen Vorgaben liegt damit bei der Behördenleitung, welche einzelne Aufgaben delegieren kann. Das bedeutet, das die behördlichen Datenschutzbeauftragten die Schulleitungen berät und die jeweiligen Datenschutz Maßnahmen überwacht. Das Instrument der Auftragsverarbeitung (AV) wird beibehalten (Art. 28 EU-DSGVO). Allerdings ändert sich die Rolle des Auftragsverarbeiters im Hinblick auf eine mögliche eigene Haftung und Bußgeldpflicht. Dabei teilen sich Auftraggeber (Schulleitung) und Auftragnehmer (Auftragsdatenverarbeiter) die Haftung und mögliche Bußgelder. Es wird angeraten, die bestehenden AV-Verträge zeitnah auf einen durch die EU-DSGVO ausgelösten eventuellen Anpassungsbedarf zu überprüfen. Zudem wird durch Art. 82 Abs. 1 EU-DSGVO die zivilrechtliche Haftung bei Datenschutzver stößen auch auf den Ersatz immaterieller Schäden erweitert, für die im Zweifelsfall die Schulleitung beziehungsweise der Auftragsdatenverarbeiter verantwortlich ist. Zusammenfassung Zusammenfassend ist festzuhalten, dass die EU-DSGVO für die Datenverarbeitung durch öffentliche Stellen eine Vielzahl von Veränderungen vorsieht und damit den Schulen neue Aufgaben überträgt, die im Zweifelsfall auch zivilrechtliche Konsequenzen beinhalten. Eine Beratung und Überwachung datenschutzrechtlicher Maßnahmen im Sinne der EU-DSGVO übernimmt der behördliche Datenschutzbeauftragte. Im Netz kursieren zahlreiche Handlungsempfehlungen zu den wichtigsten Punkten der EU-DSGVO, die den verantwortlichen Stellen und damit auch den Schulen zielführende Hilfestellungen bei der Anwendung der EU-DSGVO im praktischen Vollzug geben und die stetig erweitert werden. Hierbei ist zu bedenken, dass die jeweiligen Gesetze und Verordnungen der einzelnen Bundesländer bei der Umsetzung der EU-DSGVO bedacht werden müssen.
Bildungsebene:
Frei zugänglich:
nein
Kostenpflichtig:
ja
Lernressourcentyp:
Arbeitsmaterial
Lizenz:
Frei nutzbares Material
Sprache:
Deutsch
Themenbereich:
Schule fachunabhängige Bildungsthemen sonstige fachunabhängige Bildungsthemen
Berufliche Bildung Berufliche Bildung allgemein Berufswahl, Berufsvorbereitung, Berufsberatung
Geeignet für:
Lehrer
