Startseite Bildungsportal NRW

Zulässig sind Anwendungen, Programme und Apps, bei denen sichergestellt werden kann, dass Daten mit Personenbezug aus der Schule nach den Vorgaben der DSGVO verarbeitet werden können.

Es muss u. a. sichergestellt sein, dass die betreffenden Daten

• nur von berechtigten Personen verarbeitet werden.
• bei cloudbasierten Systemen auf Basis gültiger Vereinbarungen zur Auftragsverarbeitung verarbeitet werden.
• nicht an unberechtigte Dritte weitergegeben werden.

Es wird stattdessen vielmehr empfohlen, bei der Beschaffung und Nutzung von cloudbasierten Anwendungen auf das landesseitig zur Verfügung gestellte Angebot LOGINEO NRW für Datenspeicherung und E-Mail-Verkehr, auf LOGINEO NRW LMS als Lernmanagementsystem sowie auf LOGINEO NRW Messenger mit integrierter Videokonferenzoption zurückzugreifen. Zudem ist künftig für LOGINEO NRW die Anbindung einer Office-Komponente vorgesehen.

Grundsätzlich gibt es keine rechtliche Regelung, die Schulen sowie Lehrkräften die Verwendung von modernen Kommunikationsmedien wie WhatsApp ausdrücklich verbietet. Die Zulässigkeit der Datenverarbeitung und -speicherung ist vielmehr umfassend durch Gesetz, Verordnungen und Erlasse geregelt. Die Schulleitung steht in der Verantwortung für die Beachtung der Datenschutzbestimmungen.

Nach diesen Vorgaben muss bei der dienstlichen Kommunikation an öffentlichen Schulen gewährleistet sein, dass der gewählte Kommunikationskanal die datenschutzrechtlichen Voraussetzungen erfüllt. Sofern personenbezogene Schülerdaten übermittelt werden, erfüllt WhatsApp diese datenschutzrechtlichen Voraussetzungen nicht. Wenn Lehrkräfte mit Eltern sowie Schülerinnen und Schülern über WhatsApp kommunizieren und personenbezogenen Daten übermittelt werden, liegt dies daher im persönlichen Ermessen aller Beteiligten und ist keine von der Schulleitung zu verantwortende dienstliche Kommunikation. Sinnvollerweise ist eine schriftliche Einverständniserklärung der betroffenen Personen bzw. der Erziehungsberechtigten für diese Form der Kommunikation einzuholen.

Den Schulen stehen bei Fragen die Medienberaterinnen und -berater vor Ort sowie die schulischen Datenschutzbeauftragten in den Schulamtsbezirken zur Seite.

Es ist nicht erforderlich, kostenpflichtige Anwendungen einzusetzen. Bei kostenfreien Programmen ist allerdings zu prüfen, ob die jeweilige Lizenz sich ebenfalls auf einen Einsatz zu kommerziellen Zwecken erstreckt. Manche Progamme sind zudem kostenfrei bei einem Einsatz im Bildungsbereich.

Empfehlungen seitens des MSB werden nicht ausgesprochen.

Zum aktuellen Zeitpunkt können die folgenden Empfehlungen gegeben werden:

• Symmetrische Verschlüsselungsverfahren:
  AES-128, AES-192, AES-256
• Asymmetrische Verschlüsselungsverfahren:
  ECIES-250, min. DLIES-2000, min. RSA 2000, curve25519, cuve448

Programme die. das umsetzen sind beispielsweise 7-Zip, VeraCrypt oder Gpg4win. Aber auch Microsoft setzt ab Office 2007 auf diese starken Algorithmen.

Weitere Empfehlungen finden sich auf den Seiten des Bundesamt für Informationssicherheit (BSI): Link

Von der LDI NRW ist mitgeteilt worden, dass ein bundesländerübergreifendes Verfahren zur datenschutzrechtlichen Beurteilung von Microsoft 365 stattfindet. Eine abschließende bundesländerübergreifende Bewertung der Datenschutzbeauftragten in Abstimmung mit Microsoft liegt noch nicht vor.
Vor diesem Hintergrund musste daher von der LDI die Verarbeitung von personenbezogenen oder personenbeziehbaren Daten innerhalb von Microsoft 365 aktuell als datenschutzrechtlich bedenklich eingestuft werden.
Es wird stattdessen vielmehr empfohlen, bei der Beschaffung und Nutzung von cloudbasierten Anwendungen auf das landesseitig zur Verfügung gestellte Angebot LOGINEO NRW für Datenspeicherung und E-Mail-Verkehr, auf LOGINEO NRW LMS als Lernmanagementsystem sowie auf LOGINEO NRW Messenger mit integrierter Videokonferenzoption zurückzugreifen. Zudem ist künftig für LOGINEO NRW die Anbindung einer Office-Komponente vorgesehen.

Eine Genehmigung ist für die Nutzung eines privaten Endgerätes einzuholen, sobald Daten mit Personenbezug auf diesem verarbeitet werden sollen (vgl. § 2 Abs. 2 Satz 1 VO DV I bzw. § 2 Abs. 4 VO DV II). Dieses gilt auch, wenn z. B. Webanwendungen mit personenbezogenen Daten nur aufgerufen werden; auch das reine Betrachten bzw. Lesen von Daten auf dem Bildschirm fällt bereits unter den Begriff der Datenverarbeitung.