Fragen zur dienstlichen Verarbeitung personenbezogener Daten auf privaten Endgeräten

Bestehende Genehmigungen müssen bei Änderung der verwendeten Endgeräte oder bei Ablauf der vereinbarten Verarbeitungsdauer bei fortgesetztem Verarbeitungsbedarf an die dann aktuelle Fassung angepasst werden.

Anpassungen des Genehmigungsvordrucks durch einschränkende Anmerkungen einer Lehrkraft z. B. in Bezug auf die verfügbare Sicherheitssoftware des individuell verwendeten Gerätes oder weitergehende Konkretisierungen der Schulleitung sind durchaus zulässig. Es liegt jedoch in der Verantwortung der Schulleitung, die Genehmigung auf Basis der Änderungen zu verweigern, sofern die Änderungen dazu führen, dass ein dem Risiko angemessenes Schutzniveau nicht gewährleistet ist. Dabei sollte sich die Schulleistung von der bzw. dem zuständigen behördlichen Datenschutzbeauftragten beraten lassen.

Es gehört zum Verantwortungsbereich der Lehrkräfte, sich für die Nutzung ihrer Privatgeräte eine Genehmigung der Schulleitung erteilen zu lassen. Falls erforderlich, muss diese auch nachgewiesen werden können. Es ist daher ratsam, ein Exemplar zu den eigenen Unterlagen zu nehmen. Daneben ist ein Exemplar in die persönliche Schulakte der Lehrkraft in der Schule aufzunehmen (vgl. § 5 Abs. 2 VO DV II).

Grundsätzlich ist die Schulleitung die für die Verarbeitung personenbezogener Daten verantwortliche Stelle. Es ist in den schulischen Regularien zum Datenschutz dementsprechend nicht vorgesehen, dass die Schulaufsichtsbehörde eine solche Genehmigung für Schulleitungen zu erteilen hat.

Zur eigenen Sensibilisierung sollte die Schulleitung sich an den Inhalten des Genehmigungsvordrucks orientieren. Sie kann sich zudem von den behördlichen Datenschutzbeauftragten beraten lassen.

Die Genehmigung muss vorliegen, bevor erstmalig personenbezogene Daten auf den privaten Endgeräten verarbeitet (insbesondere gespeichert) werden.

Keine Lehrkraft ist verpflichtet, private Endgeräte für dienstliche Zwecke zu nutzen. Die Schulleitung sollte das Kollegium jedoch darauf hinweisen, dass die Verarbeitung von personenbezogenen Daten von Schülerinnen, Schülern und Eltern auf Privatgeräten ohne Genehmigung nicht zulässig ist.

Gleiches gilt für die Verarbeitung der Daten von Lehramtsanwärterinnen und –anwärtern und Lehrkräften in Ausbildung auf Privatgeräten der mit Ausbildung betrauten Personen (vgl. § 2 Abs. 4 VO DV II).

Die Schulleitung ist dafür verantwortlich, die Lehrkräfte über Art und Umfang der datenschutzrechtlichen erforderlichen Maßnahmen sowie deren Umsetzung zu informieren und dies entsprechend zu dokumentieren. Die Umsetzung liegt dann in der Eigenverantwortung der Lehrkraft. Es ist praktisch nicht möglich, dass eine Schulleitung die Einhaltung dienstlicher Pflichten jeder einzelnen Lehrkraft lückenlos kontrolliert, sei es an dienstlich zur Verfügung gestellten oder sei es an privaten Endgeräten. Vorhandener Qualifizierungsbedarf sollte in der Schule festgestellt und durch entsprechende Informationsveranstaltungen und Fortbildungsmaßnahmen gedeckt werden.

Zusätzlich kann die Schule und können einzelne Lehrkräfte bei allgemeinem Beratungsbedarf auf die Unterstützungsangebote der behördlichen Datenschutzbeauftragten für die Schulen, der Medienberaterinnen und Medienberater und der Medienberatung NRW zurückgreifen. Soweit die Schulleitung Hinweise auf eine nicht rechtskonforme Nutzung privater oder dienstlich zur Verfügung gestellter Endgeräte erlangt, sind in jedem Falle geeignete Kontroll- und sonstige Maßnahmen durchzuführen, um einen rechtmäßigen Einsatz sicherzustellen.

Die geregelten Bedingungen in der Genehmigung beinhalten selbstverständlich nicht die Berechtigung, private Endgeräte von Lehrkräften persönlich zu überprüfen. Soweit begründete Anhaltspunkte für die mangelnde Umsetzung erforderlicher Maßnahmen vorliegen, sind ein Widerruf einer erteilen Genehmigung sowie ggf. weitere disziplinarische Maßnahmen zu prüfen.

Die Art und Weise des Nachweises hängt vom Einzelfall ab und kann daher nicht pauschal beantwortet werden. In vielen Fällen wird ein Nachweis aber nicht ohne Kooperation der betroffenen Lehrkraft möglich sein. Angesichts der Tatsache, dass bei einem Datenschutzverstoß auch eine persönliche Haftung der handelnden Person in Betracht kommt, sollte eine entsprechende Mitarbeit letztlich auch im Interesse der Lehrkraft liegen.

Eine Genehmigung ist für jede Nutzung eines privaten Endgerätes im Schulkontext einzuholen, sobald Daten mit Personenbezug auf diesem verarbeitet werden sollen (vgl. § 2 Abs. 2 Satz 1 VO DV I bzw. § 2 Abs. 4 VO DV II). Dieses gilt auch, wenn z. B. Webanwendungen mit personenbezogenen Daten nur aufgerufen werden; auch das reine Abfragen von Daten fällt bereits unter den Begriff der Datenverarbeitung nach DSGVO.

Die Seriennummer dient der Identifizierung eines genehmigten Gerätes und der Zuordnung zu dessen Nutzer. Damit kann insbesondere nachweisbar dokumentiert werden, dass auf diesem Gerät personenbezogene Daten aus der Schule verarbeitet werden dürfen.

Bei selbst zusammengestellten Rechnern handelt es sich in der Regel um Desktoprechner, die nicht in der Schule, sondern im häuslichen Umfeld einer Lehrkraft zum Einsatz kommen. Hier ist die Seriennummer einer zentralen Hardwarekomponente, z. B. des Mainboards, anzugeben.

Lehrkräfte, die an Schulen in die Ausbildung von Lehramtsanwärterinnen, Lehramtsanwärtern oder Lehrkräften in Ausbildung eingebunden sind, benötigen für die Verarbeitung von Daten dieser Personen eine Genehmigung. Dazu wurde festgelegt, dass die Genehmigung – anders als im Vordruck vorgesehen – ebenfalls von der Schulleitung erteilt wird.

Bis zu einer entsprechenden Änderung des Genehmigungsvordrucks (die erst nach Änderung der VO DV II möglich sein wird) sind somit die Teile E und F des Genehmigungsvordrucks für diese Ausbildungslehrkräfte an Schulen im Einzelfall von der Schulleitung – und nicht von einer ZfsL-Leitung – zu unterzeichnen.

Empfehlungen für sichere Passwörter finden sich u.a. auf den Seiten des Bundesamtes für Informationssicherheit (BSI).

Vor allem bei Geräten, die regelmäßig mit in die Schule genommen werden, sollte das Passwort regelmäßig geändert und darauf geachtet werden, dass andere Personen die Anmeldung am Gerät nicht beobachten können, um das Passwort oder Sperrmuster auszuspionieren. Ein Passwort sollte grundsätzlich nicht notiert werden, insbesondere nicht an einem unsicheren Ort, wie etwa im Deckel des Lehrerplaners, der dann vielleicht offen in der Klasse liegt. Passwortmanager können bei der Ablage der Passworte eine Hilfe sein.

Falls das eingesetzte Endgerät Biometrische Verfahren, wie Fingerabdruck, Retina Scan oder Gesichtserkennung unterstützt, bieten diese in einer schulischen Umgebung eine gute und verlässliche Sicherung, da diese von anderen Personen nicht leicht ausspioniert bzw. eingesetzt werden können.

Die Genehmigung fordert die Einrichtung eines Sperrkennwortes. Sollte das eingesetzte Betriebssystem die Möglichkeit bieten, bei Abmeldung die Festplatte bzw. Festplattenpartition zu verschlüsseln – z. B. FileVault auf Mac-Rechnern oder BitLocker auf Windows-Rechnern - so sollte diese aktiviert werden.

Nur über die Einrichtung eines separaten – dienstlichen – Nutzerkontos wird eine klare Trennung von dienstlicher und privater Nutzung des Gerätes vorgenommen.

Um Daten endgültig zu löschen, reicht es nicht aus, diese einfach in den Papierkorb zu verschieben oder mit der Taste "Delete" oder "Entfernen" zu löschen. Für ein sicheres Löschen existieren auf dem Markt geeignete Softwarelösungen. Auch die Festplattenhersteller bieten Systemwerkzeuge an, um Datenträger vollständig zu bereinigen. Beim Löschen sind auch Sicherungskopien auf Backupdatenträgern einzubeziehen.

Dagegen ist bei der Weitergabe oder dem Verkauf von zu dienstlichen Zwecken eingesetzten privaten Endgeräten unbedingt darauf zu achten, dass die Geräte vorher komplett und endgültig „gesäubert“ werden. Dazu bieten einige Endgeräte entsprechende Funktionen bzw. gibt es spezielle Softwaretools, mit denen ggf. noch vorhandene Daten endgültig gelöscht werden können. Gleiches gilt bei Verwendung von mobilen Datenträgern zum Datenaustausch – z. B. USB-Sticks oder Festplatten für Datenbackups.

Sollen Datenträger endgültig dem Recycling zugeführt werden, können diese auch physikalisch zerstört werden, sodass eine Verwendung nicht mehr möglich ist.

Weitere Informationen zum Löschen von Daten bietet das Bundesamt für Informationssicherheit (BSI).

Ein Datenaustausch zwischen privatem Endgerät und schulischer IT kann z. B. über die Dateiablage von LOGINEO NRW oder einer anderen schulischen Basis-IT-Infrastruktur erfolgen. Ebenso können Daten mittels verschlüsselter USB-Sticks oder anderer verschlüsselter mobiler Datenträger transportiert werden. Darüber hinaus gibt es für SCHiLD NRW eine gesicherte Online-Übertragung von Noten. Berichte, die besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO beinhalten - zum Beispiel Gesundheitsdaten - dürfen hingegen auch mit Genehmigung zu keiner Zeit auf einem privaten Endgerät verarbeitet werden.

Computer, für deren Betriebssystem keine Sicherheitsupdates existieren, stellen auch dann ein potenzielles Risiko dar, wenn sie nicht mit einem Netzwerk verbunden sind. Spätestens dann, wenn Daten z. B. über externe Datenträger ausgetauscht werden sollen, können Schadprogramme auf diese Rechner gelangen oder von dort über externe Datenträger verbreitet werden. Aus diesem Grund ist für solche Geräte die Genehmigung zu verweigern.

Zulässig sind Anwendungen, Programme und Apps, bei denen sichergestellt werden kann, dass Daten mit Personenbezug aus der Schule nach den Vorgaben der DSGVO verarbeitet werden können.

Es muss u. a. sichergestellt sein, dass die betreffenden Daten

• nur von berechtigten Personen verarbeitet werden;
• bei cloudbasierten Systemen auf Basis gültiger Vereinbarungen zur Auftragsverarbeitung verarbeitet werden;
• nicht an unberechtigte Dritte weitergegeben werden und vor dem Zugriff durch solche Dritte angemessen geschützt sind;
• nicht ohne angemessene Sicherungsmaßnahmen in ein Drittland, d.h. ein Land außerhalb des Europäischen Wirtschaftsraum, übermittelt werden.

Es wird stattdessen vielmehr empfohlen, bei der Beschaffung und Nutzung von cloudbasierten Anwendungen auf das landesseitig zur Verfügung gestellte Angebot LOGINEO NRW für Datenspeicherung und E-Mail-Verkehr, auf LOGINEO NRW LMS als Lernmanagementsystem sowie auf LOGINEO NRW Messenger mit integrierter Videokonferenzoption zurückzugreifen. Zudem ist künftig für LOGINEO NRW die Anbindung einer Office-Komponente vorgesehen.

Die Zulässigkeit der Nutzung von Messengerdiensten auf privaten Endgeräten ist zulässig, solange gewährleistet ist, dass hierdurch die datenschutzkonforme Verarbeitung der dienstlichen Kommunikation sowie dienstlicher Daten nicht beeinträchtig oder gefährdet ist. Viele Kommunikationsdienste haben Zugriff auf das auf dem Endgerät gespeicherte Adressbuch sowie die in der Mediathek verfügbaren Dateien, insbesondere Fotos und Videos. Im schulischen Kontext ist daher sicherzustellen, dass dieser Zugriff nur auf Daten erfolgen kann, bei denen der Betroffene seine ausdrückliche, und im Streitfalle nachweisbare, Zustimmung hierzu gegeben hat.

Den Schulen stehen bei Fragen die Medienberaterinnen und -berater vor Ort sowie die behördlichen Datenschutzbeauftragten in den Schulamtsbezirken zur Seite.

Es ist nicht erforderlich, kostenpflichtige Anwendungen einzusetzen. Bei kostenfreien Programmen ist allerdings zu prüfen, ob die jeweilige Lizenz sich nicht nur auf den Einsatz zu privaten Zwecken, sondern ebenfalls auf einen Einsatz zu kommerziellen und beruflichen Zwecken erstreckt. Manche Programme sind zudem kostenfrei bei einem Einsatz im Bildungsbereich.

Empfehlungen seitens des MSB werden nicht ausgesprochen.

Empfehlungen finden sich auf den Seiten des Bundesamt für Informationssicherheit (BSI).

Von der Landesbeauftragten für Datenschutz und Informationssicherheit (LDI) ist mitgeteilt worden, dass ein bundesländerübergreifendes Verfahren zur datenschutzrechtlichen Beurteilung von Microsoft 365 stattfindet. Eine abschließende bundesländerübergreifende Bewertung der Datenschutzbeauftragten in Abstimmung mit Microsoft liegt noch nicht vor. Auch diesbezügliche höchstrichterliche Entscheidungen gib es bislang nicht. Eine Handreichung der LDI NRW zur Nutzung von Microsoft 365, wonach der Einsatz nicht als datenschutzkonform anzusehen ist, kann hier abgerufen werden.

Es wird stattdessen vielmehr empfohlen, bei der Beschaffung und Nutzung von cloudbasierten Anwendungen auf das landesseitig zur Verfügung gestellte Angebot LOGINEO NRW für Datenspeicherung und E-Mail-Verkehr, auf LOGINEO NRW LMS als Lernmanagementsystem sowie auf LOGINEO NRW Messenger mit integrierter Videokonferenzoption zurückzugreifen.

Eine Genehmigung ist für die Nutzung eines privaten Endgerätes einzuholen, sobald Daten mit Personenbezug auf diesem verarbeitet werden sollen (vgl. § 2 Abs. 2 Satz 1 VO DV I bzw. § 2 Abs. 4 VO DV II). Dieses gilt auch, wenn z. B. Webanwendungen mit personenbezogenen Daten nur aufgerufen werden; auch das reine Abfragen (und damit das Betrachten bzw. Lesen von Daten auf dem Bildschirm) fällt bereits unter den Begriff der Datenverarbeitung gemäß Art 4 Nr. 2 DSGVO.

Bei der Nutzung von Daten im Rahmen von KI Systemen – unabhängig davon, ob es sich dabei um dienstliche oder private Endgeräte handelt – ist zu berücksichtigen, dass es zum Teil unklar ist, in welchen Ländern die Daten von dem KI Anbieter verarbeitet werden, und zum anderen die Daten in der Regel auch zum weiteren Training der KI genutzt werden.

Personenbezogene Daten sollten daher im Rahmen von KI grundsätzlich weder auf dienstlichen noch zum dienstlichen Gebrauch genehmigten privaten Endgeräten verarbeitet werden. Wichtig ist es daher auch, sicherzustellen, dass auf dem Endgerät installierte Apps oder sonstige Software keinen Zugriff auf personenbezogene Daten haben (z.B. Adressbuch und Kontakte), die auf dem betreffenden Gerät gespeichert sind.

Zwar sind Tablets nicht grundsätzlich unsicherer als Notebooks oder stationäre Desktop-PC. Es können jedoch nur Geräte eingesetzt werden, bei denen die nach § 2 Abs. 2 VO DV I geforderten und in der Genehmigung benannten Maßnahmen zum Datenschutz und zur Datensicherheit umgesetzt werden können. Wichtig ist bei allen Geräten und Betriebssystemen die Pflege und Wartung der verwendeten Software. Es ist daher sicherzustellen, dass jeweils die aktuellsten Softwareversionen und Updates installiert werden.

Verbleiben trotz Beachtung der Regelungen und Umsetzung der empfohlenen Maßnahmen im konkreten Fall Zweifel, ob die datenschutzrechtlichen Bedingungen mit einzelnen mobilen oder auch stationären Geräten erfüllt werden können, ist die Verarbeitung personenbezogener Schülerdaten darauf nicht vertretbar.

Es können Geräte eingesetzt werden, bei denen die nach § 2 Abs. 2 VO DV I geforderten und in der Genehmigung benannten Maßnahmen zum Datenschutz und zur Datensicherheit umgesetzt werden können. Wichtig ist bei allen Geräten und Betriebssystemen die Pflege und Wartung der verwendeten Software. Es ist daher sicherzustellen, dass jeweils die aktuellsten Softwareversionen und Updates installiert werden.

Verbleiben trotz Beachtung der Regelungen und Umsetzung der empfohlenen Maßnahmen im konkreten Fall Zweifel, ob die datenschutzrechtlichen Bedingungen mit einzelnen mobilen oder auch stationären Geräten erfüllt werden können, ist die Verarbeitung personenbezogener Daten aus der Schule darauf nicht vertretbar.

NAS („Network Attached Storages“) sind so zu bewerten wie jedes andere Gerät, auf welchem dienstlich personenbezogene Daten verarbeitet werden. Besonderes Augenmerk sollte beim Einsatz von privaten NAS auf die Zugriffsrechte bezüglich der darauf gespeicherten dienstlichen Daten gelegt werden. Grundsätzlich ist es zu begrüßen, wenn Lehrkräfte mit NAS konsequent Datensicherungen vornehmen; Maßnahmen zur Datensicherung werden in „Teil B – Datensicherheit“ der Genehmigung auch ausdrücklich gefordert.

Die zur Verarbeitung - und somit auch zur Speicherung - auf privaten ADV-Anlagen zugelassenen Daten sind in Anlage 3 zur VO DV I abschließend aufgeführt und im Genehmigungsvordruck unter Nr. 3 entsprechend benannt.

Die Speicherdauer für die auf privaten Endgeräten von Lehrkräften gespeicherten Daten beträgt ein Jahr. Sie beginnt mit Ablauf des Kalenderjahres, in dem die Schülerin oder der Schüler nicht mehr von der Lehrkraft unterrichtet wird (§9 Abs. 2 S. 2 u.3 VO DV I). Darunter fallen auch ggf. erstellte Backups. Bitte beachten Sie, dass für bestimmte Daten längere Aufbewahrungsfristen gelten können. In diesem Falle sind solche Daten in jedem Falle vor der Löschung von dem privaten Endgerät auf schulische Anlagen zu übertragen.

Soweit Dokumente vollständig anonymisiert sind, unterfallen diese nicht mehr dem Datenschutz und können damit auch auf privaten Endgeräten ohne Einschränkungen verarbeitet werden. Eine Anonymisierung setzt jedoch voraus, dass der Personenbezug unter keinen Umständen mehr hergestellt werden kann. Eine bloße Pseudonymisierung, z.B. durch Ersatz des Namens durch eine Kennnummer, reicht hierfür allerdings nicht aus, Zu beachten ist, dass in den entsprechenden Dokumenten nicht nur keine Klarnamen verwendet werden, sondern auch andere Daten mit Personenbezug zu anonymisieren sind. Denn ein Personenbezug kann sich auch ohne Namensnennung durch Kombination verschiedener Informationen oder Zusatzwissen ergeben. Insgesamt ist daher darauf zu achten, dass abgesehen von eindeutig personenbezogenen Daten (z. B. Name, Geburtsdatum, Adresse) auch durch sonstige Angaben (wie z.B. ungewöhnlicher Bildungsweg, ausführliche Anamnese) kein Bezug zu einer einzelnen Person herstellbar ist.

Die „Funktionstabelle“, also die Zuordnung eines Dokuments zu einer Person, darf nicht auf dem Privatgerät gespeichert werden. Denn sie müsste zwangsläufig personenbezogene Daten enthalten und deren Verarbeitung ist ohne die Genehmigung ja gerade nicht zulässig.

Ohne die Genehmigung zur Nutzung eines Privatgeräts für personenbezogene Lernendendaten ist die Zuordnungstabelle getrennt in analoger Form zu führen und vor unbefugtem Zugang geschützt aufzubewahren.

In Anlage 3 zur VO DV I sind abschließend die Daten aufgeführt, deren Verarbeitung auf Privatgeräten zulässig ist. Unter Abschnitt I Nr. 10 sind darin genannt: „Leistungsbewertungen in den Fächern, in denen die Lehrkraft die Schülerinnen und Schüler unterrichtet.“ „Leistungsbewertungen“ können nach Maßgabe des §48 Abs. 1 SchulG anstelle von Noten auch schriftliche Aussagen sein.

Die einzelne Lehrkraft hat also die Möglichkeit, Bewertungen und Textpassagen zu verarbeiten, die vorbereitend für spätere Zeugniseintragungen für ihre jeweiligen Schülerinnen und Schüler sind, - allerdings nur bezogen auf die konkreten Fächer der Lehrkraft.

Der Personenkreis, der vollständige Zeugnisse (also sämtliche Angaben für alle Fächer und Zeugnisbemerkungen) auf Privatgeräten verarbeiten darf, ist unter Abschnitt II der Anlage 3 genannt. Dies sind Schulleitung bzw. Stellvertretung, Beauftragte sowie die Klassen-/Stufenleitung.

Die Genehmigung bezieht sich auf die Nutzung privater Endgeräte. Die Finanzierung der Geräte selbst, wie auch die Umsetzung der für die Erteilung der Genehmigung erforderlichen Maßnahmen - z. B. durch den Erwerb von Virenschutz-Software - trägt die einzelne Lehrkraft. Die entstandenen Kosten können ggf. steuerlich geltend gemacht werden.

Die geforderten Maßnahmen übersteigen nicht die Anforderungen an die erforderlichen Kenntnisse, die auch bei einer rein privaten Nutzung von Informationstechnologie zu beachten sind. Wird in der Schule oder bei einzelnen Lehrkräften diesbezüglich ein Qualifizierungsbedarf festgestellt, sollte dieser durch entsprechende Informationsveranstaltungen und Fortbildungsmaßnahmen gedeckt werden.

Bei allgemeinem Beratungsbedarf kann die Schule auf die Unterstützungsangebote der behördlichen Datenschutzbeauftragten für die Schulen, der Medienberaterinnen und Medienberater oder der Medienberatung NRW zurückgreifen.