Beispiele aus dem schulischen Bereich sind die Nutzung der LUSD, Führen einer Schülerakte oder des papiergebundenen Klassenbuchs, schriftliche Kommunikation mit den Eltern, Veröffentlichung von Informationen mit Personenbezug auf einer Schul-Homepage.
Verarbeitungsgrundsätze
Verarbeitung personenbezogener Daten
Lesedauer:5 Minuten
Jede Verarbeitungstätigkeit muss in einem Verzeichnis von Verarbeitungstätigkeiten dokumentiert werden.
Grundsätze für die Verarbeitung personenbezogener Daten
Nach Art. 5 Abs. 1 DS-GVOÖffnet sich in einem neuen Fenster müssen folgende datenschutzrechtliche Grundsätze bei der Verarbeitung personenbezogener Daten eingehalten werden.
(Art. 5 Abs. 1 Buchst. a DS-GVO)
Personenbezogene Daten dürfen grundsätzlich nicht verarbeitet werden, es sei denn, es gibt eine Rechtsgrundlage.
(Art. 5 Abs. 1 Buchst. c DS-GVO)
Personenbezogene Daten müssen sparsam erhoben werden. Sie dürfen nur verarbeitet werden, wenn sie für den Zweck angemessen, erheblich und relevant sind.
(Art. 5 Abs. 1 Buchst. a DS-GVO)
Bei der Verarbeitung der personenbezogenen Daten ist darauf zu achten, dass die Betroffene bzw. der Betroffene fair behandelt wird und Rücksicht auf seine Rechte und Interessen genommen wird. Der Grundsatz der Transparenz bedeutet, dass keine verdeckte oder heimliche Verarbeitung von personenbezogenen Daten erfolgen darf.
(Art. 5 Abs. 1 Buchst. f DS-GVO)
Der Verantwortliche muss die personenbezogenen Daten vor unrechtmäßiger Verarbeitung von Unbefugten und vor unbeabsichtigter Schädigung und Verlust schützen. Die Daten dürfen nicht verändert werden.
(Art. 5 Abs. 1 Buchst. d DS-GVO)
Die erhobenen personenbezogenen Daten müssen den Tatsachen entsprechen.
(Art. 5 Abs. 1 Buchst. e DS-GVO)
Personenbezogene Daten dürfen nicht länger verarbeitet werden als es für die Zwecke, für die sie eingeholt wurden, notwendig ist. Sie sind zu löschen, wenn der Zweck erreicht wurde. Ausnahmsweise können die Daten länger verarbeitet werden, wenn eine gesetzliche Pflicht zur Aufbewahrung besteht oder die Verarbeitung für Archiv- oder für wissenschaftliche oder historische Forschungszwecke erfolgt.
(Art. 5 Abs. 1 Buchst. b DS-GVO)
Der Zweck muss eindeutig vor der Verarbeitung festgelegt werden. Werden Daten an Dritte weitergegeben, stellt diese Übermittlung unter Umständen eine Datenverarbeitung zu einem neuen Zweck dar. Es bedarf dann eines Rechtfertigungsgrundes oder der Einwilligung des Betroffenen in diese Datenverarbeitung.
(Art. 5 Abs. 2 DS-GVO)
Der Verantwortliche muss den Betroffenen, der Öffentlichkeit und den Behörden nachweisen, dass die datenschutzrechtlichen Pflichten eingehalten werden
Verzeichnis von Verarbeitungstätigkeiten (VVT)
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) stellt eine Art „Buchhaltung der Datenverarbeitung“ dar und ist in Art. 30 DS-GVOÖffnet sich in einem neuen Fenster geregelt. Werden personenbezogene Daten verarbeitet, muss ein Verzeichnis über die Verarbeitungstätigkeiten geführt werden. Für Schulen wurde dies durch § 5 Abs. 1 Nr. 1 SchDSVÖffnet sich in einem neuen Fenster konkretisiert.
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) dient der Übersicht über die Datenverarbeitungsvorgänge in der Schule. Auf Anfrage ist das VVT der Aufsichtsbehörde (Hessischer Beauftragter für Datenschutz und Informationsfreiheit) zur Verfügung zu stellen.
Verantwortlichkeit
Verantwortlich für Datenverarbeitungen ist nach Art. 4 Nr. 7 DS-GVOÖffnet sich in einem neuen Fenster eine „natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“.
Hessische Schulen sind Dienststellen des Landes. Sie werden durch die Schulleiterin oder den Schulleiter vertreten. Nach § 87 Abs. 1 Satz 5 HSchGÖffnet sich in einem neuen Fenster trägt die Schulleiterin oder der Schulleiter die Gesamtverantwortung der Schule und leitet nach § 88 Abs. 1 Satz 2 HSchGÖffnet sich in einem neuen Fenster diese nach den geltenden Rechts- und Verwaltungsvorschriften.
Verantwortlicher nach Art. 4 Nr. 7 DS-GVOÖffnet sich in einem neuen Fenster in Verbindung mit § 4 SchDSVÖffnet sich in einem neuen Fenster ist somit die Schule, vertreten durch die Schulleiterin oder den Schulleiter. Nach Art. 5 Abs. 2 DS-GVOÖffnet sich in einem neuen Fenster ist der Verantwortliche für die rechtmäßige Datenverarbeitung verantwortlich und muss dessen Einhaltung nachweisen können (Rechenschaftspflicht). Der Datenschutzbeauftragte ist lediglich beratend und überwachend tätig.
Rechtliche Grundlage
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
( 7 ) „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
( 1 ) Die Schulleiterin oder der Schulleiter, die Stellvertreterin oder der Stellvertreter und die Lehrkräfte, die besondere Funktionsstellen innehaben (Lehrkräfte mit besonderen Funktionen), bilden die Schulleitung. Die Mitglieder der Schulleitung nehmen ihre Aufgaben auf der Grundlage eines Geschäftsverteilungsplanes unter Berücksichtigung der Funktionen selbstständig und eigenverantwortlich wahr. Ferner nehmen sie Aufgaben des oder der Vorgesetzten nach Maßgabe dieses Gesetzes und der Dienstordnung (§ 91 Abs. 1 Satz 1 Nr. 1) wahr, soweit es für die ordnungsgemäße Erfüllung der Aufgaben der Schule erforderlich ist. Die Schulleiterin oder der Schulleiter kann einzelne Aufgaben auf die übrigen Mitglieder der Schulleitung und andere Lehrkräfte übertragen. Die Gesamtverantwortung der Schulleiterin oder des Schulleiters für die Schule bleibt unberührt.
( 1 ) Die Schulleiterin oder der Schulleiter ist dafür verantwortlich, dass die Schule ihren Bildungs- und Erziehungsauftrag erfüllt. Sie oder er leitet die Schule nach den geltenden Rechts- und Verwaltungsvorschriften sowie den Beschlüssen der Schulkonferenz und der Konferenzen der Lehrkräfte. Die Schulleiterin oder der Schulleiter nimmt Aufgaben der oder des Dienstvorgesetzten nach Maßgabe dieses Gesetzes und der Dienstordnung (§ 91 Abs. 1 Satz 1 Nr. 1) wahr, soweit es die Selbstverwaltung der Schule erfordert.
( 1 ) Verantwortlicher nach Art. 4 Nr. 7 der Datenschutz-Grundverordnung ist die jeweilige Schule oder Schulaufsichtsbehörde.
( 2 ) Die Einhaltung der datenschutzrechtlichen Bestimmungen in der jeweiligen Dienststelle ist durch die Schulleiterin oder den Schulleiter der Schule sowie die Leiterin oder den Leiter des Staatlichen Schulamtes sicherzustellen. Sie oder er hat die Abläufe der Dienststelle entsprechend zu organisieren und die Einhaltung des Datenschutzes zu überwachen.
( 3 ) Lehrkräfte sowie sonstige in der Schule beschäftigte Personen haben die Einhaltung der datenschutzrechtlichen Vorschriften für Schulen zu beachten. Sie sind verpflichtet, die in ihrem Aufgabenbereich anfallenden Daten zu erheben und die im Rahmen ihrer Tätigkeiten erforderlichen Nachweise zu führen.
Auftragsverarbeitung
Eine Auftragsverarbeitung im Sinne des Art. 28 DS-GVOÖffnet sich in einem neuen Fenster ist jede Verarbeitung personenbezogener Daten durch einen Dienstleister im Auftrag des Verantwortlichen. Die Dienstleistung wird hierbei durch einen Dritten, dem sogenannten Auftragsverarbeiter, erbracht. Werden personenbezogene Daten durch ein externes Dienstleistungsunternehmen verarbeitet, ist zu überprüfen, inwieweit ein Auftragsdatenverarbeitungsvertrag (AVV) zwischen dem Verantwortlichen und dem Dienstleister abgeschlossen werden muss, vgl. § 5 Abs. 1 Nr. 2 SchDSVÖffnet sich in einem neuen Fenster. Bei Fragen und Unsicherheiten, ob ein Auftragsdatenverarbeitungsvertrag abgeschlossen werden muss und wie dieser inhaltlich ausgestaltet sein sollte, empfiehlt es sich, das zuständige Staatliche Schulamt und die schulische Datenschutzbeauftragte oder den schulischen Datenschutzbeauftragten einzubinden.
Betroffenenrechte und Informationspflichten
Werden personenbezogene Daten verarbeitet, stehen den betroffenen Personen verschiedene Rechte zu, die in der DS-GVO aufgeführt sind. Der Verantwortliche hat gegenüber der betroffenen Person die Einhaltung der Betroffenenrechte sicherzustellen. Ziel ist es, der betroffenen Person mehr Kontrolle über ihre personenbezogenen Daten und mehr Rechte bezüglich der Verarbeitung zu verleihen.
Die folgenden Rechte stehen dem Betroffenen im Rahmen seiner Datenverarbeitung zu:
Der Verantwortliche muss unter anderem seine Kontaktdaten, die Rechtsgrundlage für die Datenverarbeitung sowie die Verarbeitungszwecke mitteilen. Die Informationen sollen in einer verständlichen, leicht zugänglichen Form und in einer klaren und einfachen Sprache übermittelt werden. Die DS-GVO schreibt nicht vor in welcher Form die Informationen (schriftlich, mündlich oder elektronisch) vorliegen müssen. Aufgrund der Nachweispflicht empfiehlt es sich aber, die Bereitstellung der Informationen schriftlich in einer Datenschutzerklärung zur Verfügung zu stellen.
Die betroffene Person hat das Recht von dem Verantwortlichen zu erfahren, ob sie betreffende personenbezogene Daten verarbeitet werden. Trifft dies zu, so hat die betroffene Person ein Recht auf Auskunft auf weitergehende Informationen (unter anderem Verarbeitungszwecke, die Kategorien der verarbeiteten personenbezogenen Daten, die geplante Speicherdauer etc.).
Die betroffene Person hat das Recht unrichtige personenbezogene Daten über sie berichtigen zu lassen.
Bei Vorliegen bestimmter Voraussetzungen wie zum Beispiel einer unrechtmäßigen Verarbeitung personenbezogener Daten oder dem Wegfall einer Rechtsgrundlage beispielsweise dem Widerruf einer Einwilligung, hat die betroffene Person ein Recht auf Löschung („Recht auf Vergessenwerden“) dieser Daten. Das bedeutet, dass der Verantwortliche gegenüber dem Betroffenen dazu verpflichtet ist, alle personenbezogenen Daten die verarbeitet wurden, zu löschen.
Unter bestimmten Voraussetzungen, zum Beispiel wenn die Richtigkeit der personenbezogenen Daten von der betroffenen Person bestritten wird und der Verantwortliche die Richtigkeit noch nicht prüfen konnte, hat die betroffene Person das Recht, die Einschränkung der Verarbeitung zu verlangen.
Beruht die Datenverarbeitung auf einer Einwilligung oder einem Vertrag und ist eine automatisierte Verarbeitung erfolgt, kann die betroffene Person verlangen, von ihr bereitgestellte personenbezogene Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und darf sie anderen Verantwortlichen übermitteln.
Betroffene Personen können gegen die Verarbeitung ihrer personenbezogenen Daten Widerspruch einlegen, wenn diese auf der Rechtsgrundlage nach Art. 6 Abs. 1 Buchst. e DS-GVO oder Art. 6 Abs. 1 Buchst. f DS-GVO basiert.
Datenschutz-Folgenabschätzung (DSFA)
Bei der Verwendung neuer Technologien und bei Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, müssen sogenannte Datenschutzfolgenabschätzungen erstellt werden. Hierbei handelt es sich um eine Art Risikobewertung, in der die Verarbeitungsvorgänge und Zwecke sowie eine Risikobewertung und Abhilfemaßnahmen aufgeführt werden.
In Art. 35 Abs. 3 DS-GVO wird aufgeführt, wann eine solche Datenschutzfolgeabschätzung erforderlich ist. Schulen, die mit Videoüberwachungssysteme ausgestattet sind, müssen beispielsweise eine Datenschutzfolgeabschätzung durchführen (s. Art. 35 Abs. 3 Buchst. c DS-GVO). Der Rat des jeweiligen Datenschutzbeauftragen ist einzuholen (s. Art. 35 Abs. 2 DS-GVO und § 7 Abs. 2 Satz 2 SchDSV).
