Häusliche Datenverarbeitung der Lehrkräfte. Sehr geehrte. vielen Dank für Ihr o. a. Schreiben, zu dem wir wie folgt Stellung nehmen:

Transkript

1 ULD. Postfach Kiel Holstenstraße Kiel Tel.: Fax: Ansprechpartner/in: Herr Brocks Durchwahl: Aktenzeichen: LD / Kiel, 25. Januar 2010 Häusliche Datenverarbeitung der Lehrkräfte Sehr geehrte vielen Dank für Ihr o. a. Schreiben, zu dem wir wie folgt Stellung nehmen: Die elektronische personenbezogene Datenverarbeitung der Lehrkräfte mittels privateigener EDV im häuslichen Bereich ist bereits seit 1998 in der Datenschutzverordnung-Schule (DSVO-Schule) geregelt. Diese Datenverarbeitung unterliegt dem Genehmigungsvorbehalt durch die Schulleitung. Die Regelung des 9 DSVO-Schule (alt) bzw. des 10 DSVO-Schule (neu) wurde in Kenntnis dessen getroffen, dass elektronische Datenverarbeitung regelmäßig mit größeren Risiken behaftet ist als die konventionelle papierene Datenverarbeitung. Da Lehrkräfte in der Schule üblicherweise keine eigenen Arbeitsplätze haben, an denen nach Unterrichtsschluss die noch durchzuführenden Arbeiten erledigt werden können, sind die Lehrkräfte eine Berufsgruppe, die personenbezogene Datenverarbeitung im häuslichen Bereich vornehmen muss. Bei diesen personenbezogenen Daten handelt es sich um dienstliche Daten, deren Verarbeitung nach den Regelungen des Landesdatenschutzgesetzes sowie des Schulgesetzes und der Datenschutzverordnung-Schule vorzunehmen ist. Die Schule ist, sofern sie personenbezogene Daten der Schülerinnen, Schüler und Eltern verarbeitet, Daten verarbeitende Stelle i. S. v. 2 Abs. 3 Landesdatenschutzgesetz (LDSG). Für die Verarbeitung der personenbezogenen Daten ist gem. 4 Abs. 1 DSVO-Schule die Schulleiterin oder der Schulleiter verantwortlich. Werden durch eine Daten verarbeitende Stelle personenbezogene Daten mit Hilfe von automatisierten Verfahren verarbeitet, hat die Daten verarbeitende Stelle gem. 7 Abs. 1 LDSG ein Verfahrensverzeichnis zu führen. Darüber hinaus sind die Regelungen der Landesverordnung über die Sicher- ULD Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein Holstenstraße 98, Kiel Tel Fax mail@datenschutzzentrum.de PGP-Fingerprint : 042D 0B0E 6D4F F4D3 FB5D 1B6A 318C B401

2 - 2 - heit und Ordnungsmäßigkeit automatisierter Verarbeitung personenbezogener Daten (Datenschutzverordnung DSVO -) zu beachten. Im Verfahrensverzeichnis hat die Daten verarbeitende Stelle Angaben über den Namen und die Anschrift der Daten verarbeitenden Stelle, die Zweckbestimmung und die Rechtsgrundlage des Verfahrens, den Kreis der Betroffenen, die Kategorien der verarbeiteten Daten usw. zu machen. Nach 3 der DSVO sind automatisierte Verfahren zu dokumentieren. Die Dokumentation muss eine Darstellung des Verfahrenszwecks, der Verfahrensbeschreibung, des Sicherheitskonzepts und des Tests und der Freigabe enthalten. Ziel dieser Vorschriften ist es, elektronische Datenverarbeitung, mit deren Hilfe personenbezogene Daten verarbeitet werden, für die Betroffenen, die Kontrollbehörden und nicht zuletzt für die Daten verarbeitende Stelle selbst transparent zu machen. Die Daten verarbeitende Stelle muss gegenüber Betroffenen, wenn sie ihre Rechte nach 27 LDSG bzw. speziell für den schulischen Bereich nach 30 Abs. 8 Schulgesetz (SchulG) ausüben wollen, und im Zusammenhang mit datenschutzrechtlichen Kontrollen gem. 39 Abs. 1 i. V. m. 41 Abs. 1 LDSG in der Lage sein zu erklären, welche personenbezogenen Daten in welcher Weise und mit Hilfe welcher informationstechnischen Geräte verarbeitet werden. Aus diesem Grund ist ein Verfahrensverzeichnis und eine Verfahrensdokumentation zu führen. Schulen, deren Schulverwaltung bereits am Landesnetz Bildung Schleswig-Holstein (LanBSH) angeschlossen sind, werden, nachdem die Installation der Systeme und die Inbetriebnahme abgeschlossen ist, unter Zuhilfenahme der Dienstleistung von dataport eine Verfahrensakte erhalten, aus denen die geforderten Informationen ersichtlich sind. Daten verarbeitende Stellen sind nach der DSVO verpflichtet, die automatisierte Verarbeitung personenbezogener Daten umfassend zu dokumentieren. Dazu gehört auch die Dokumentation über eingesetzte Peripheriegeräte wie z. B. Drucker. Wegen der besonderen Situation im schulischen Bereich, wurde auf diese umfassende Dokumentation hinsichtlich der automatisierten Verarbeitung mittels privateigener EDV der Lehrkräfte verzichtet. Sofern Lehrkräfte mit Genehmigung der Schulleitung personenbezogene Daten der Schülerinnen, Schüler und Eltern mittels privateigener informationstechnischer Systeme im häuslichen Bereich verarbeiten wollen, sind sie verpflichtet, der Schulleitung die auf dem von Ihnen angesprochenen Formblatt geforderten Angaben zu machen. Dies ist erforderlich, da im häuslichen Bereich dienstliche personenbezogene Daten verarbeitet werden und die Schulleitung im Falle des 27 LDSG oder des 39 LDSG verpflichtet ist, über die Art und Weise der Verarbeitung der dienstlichen Daten Auskunft zu geben. Ob die Lehrkräfte wegen der geänderten organisatorischen Verfahrensabläufe in den Schulen mittlerweile gezwungen sind, personenbezogene Datenverarbeitung mit Hilfe informationstechnischer Systeme im häuslichen Bereich zu betreiben oder weiterhin stattdessen lediglich in konventioneller Weise arbeiten können, ist keine datenschutzrechtliche Fragestellung. Dies wäre im Grundsatz vom hierfür zuständigen Bildungsministerium zu beantworten. Davon ausgehend, dass die Lehrkräfte eine Wahlmöglichkeit zwischen elektronischer Datenverarbeitung und papierener Datenverarbeitung haben, steht es ihnen frei, sich dem Genehmigungsverfahren nach 10 DSVO-Schule zu unterziehen. Entscheiden sie sich für eine elektronische Datenverarbeitung im häuslichen Bereich mittels privateigener informationstechnischer Systeme, ist dies genehmigungsbedürftig. Da die Lehrkräfte überwiegend in einem Dienst- und Treueverhältnis als Beamte gegenüber dem Bildungsministerium stehen bzw. durch arbeitsvertragliche Regelungen gebunden sind, haben sie die Regelungen des 10 DSVO-Schule zu beachten. Die Angaben über die eingesetzte privateigene EDV dienen ausschließlich den o. g. Zwecken. Eine Verwendung für

3 - 3 - andere Zwecke durch die Schulleitungen ist somit unzulässig. Da die Lehrkräfte in diesem Zusammenhang dienstliche Erklärungen abgeben und in ihrer Funktion als Lehrkraft personenbezogene Informationen im Dienstverhältnis verarbeiten und dies rechtlich eindeutig geregelt ist, sehen wir hier keinen Verstoß gegen das Datenvermeidungs- und Datensparsamkeitsgebot des 4 Abs. 1 LDSG ( 3a BDSG ist nicht einschlägig). Die Erklärung dient daneben der Abgrenzung der Verantwortlichkeiten. Wie oben ausgeführt, ist die Schulleitung für die personenbezogene Datenverarbeitung verantwortlich. Soweit diese in der Schule erfolgt, hat die Schulleitung direkte Kontrollmöglichkeiten. Die häusliche Datenverarbeitung entzieht sich jedoch im Grundsatz dieser Kontrolle. Verstößt die Lehrkraft gegen die schriftlichen Zusicherungen, liegt die Verantwortung für diesen Verstoß nicht bei der Schulleitung, sondern bei der Lehrkraft. Aus diesem Grund ist die Genehmigung unverzüglich zurückzunehmen und der Verstoß unverzüglich der obersten Schulaufsichtsbehörde zu melden ( 10 Abs. 4 DSVO-Schule). Die Vorschrift macht deutlich, dass der Verordnungsgeber besonderen Wert darauf legt, dass die aufgestellten Regelungen zur häuslichen elektronischen Datenverarbeitung durch die Lehrkräfte tatsächlich eingehalten werden. Ein Verstoß hiergegen hat nicht nur datenschutzrechtliche Folgen (Beanstandung nach 42 Abs. 2 LDSG). Die Vorgabe an die Schulleitung, Verstöße der obersten Schulaufsichtsbehörde zu melden, macht deutlich, dass Verstöße durchaus auch zu dienstrechtlichen Konsequenzen führen können. Nichtsdestotrotz wird die Schulleitung durch diese Abgrenzung nicht von ihren Sorgfaltspflichten entbunden. Oftmals wird die Erklärung nach 10 DSVO-Schule von Schulleitungen und Lehrkräften nur als bürokratische Proforma-Erklärung abgetan. Die Angaben, die die Lehrkräfte machen, stellen wie bereits ausgeführt eine dienstliche Erklärung dar. Verstöße hiergegen werden ihnen zugerechnet. Allerdings ist die Schulleitung vor der Erteilung der Genehmigung verpflichtet, die von den Lehrkräften gemachten Angaben zur eingesetzten EDV kritisch zu prüfen. Die Schulleitung muss anhand der Angaben die Risiken für die Sicherheit der personenbezogenen Daten abschätzen. Dies ist nur in Kenntnis der eingesetzten EDV-Geräte und Programme möglich. Die stringenten Vorschriften zur Datensicherheit, die vom LDSG und der DSVO getroffen werden, entsprechen dem Stand der Technik und bundesweiten (BSI-Grundschutz) und internationalen (Common Criterias) Vorgaben für die Datensicherheit. Es wäre nicht hinnehmbar, dass die Sicherheit personenbezogener Daten hinter anerkannten Schutzstandards zurückbleiben, wenn diese im häuslichen Bereich öffentlich Bediensteter auf privaten Datenverarbeitungsgeräten verarbeitet werden. Darüber hinaus ist das Urteil des Bundesverfassungsgerichts zur Onlinedurchsuchung (1 BvR 370/07 und 1 BvR 595/07) zu beachten. Danach hat jeder das Recht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme. Diese Rechtsprechung lässt sich so interpretieren, dass eine erhöhte Sorgfaltsverpflichtung für die Behörden besteht, wenn diese personenbezogene Daten gespeichert haben.

4 - 4 - Zu Ihren Fragen: Art der Geräte: Werden Notebooks oder Netbooks eingesetzt, sind die Datenbestände zu verschlüsseln ( 6 Abs. 3 LDSG). Die Lehrkräfte gehören in ihrer dienstlichen Tätigkeit auch dann zur Daten verarbeitenden Stelle, wenn sie personenbezogene Daten im häuslichen Bereich verarbeiten. Wollen Sie hierfür informationstechnische Geräte einsetzen, müssen Sie sich dieselbe Verpflichtung zurechnen lassen, wie sie für eine Daten verarbeitende Stelle gilt, die personenbezogene Daten mit dienstlichen informationstechnischen Geräten außerhalb ihrer Räumlichkeiten verarbeitet. Die Verschlüsselungsverpflichtung, die im Übrigen ebenfalls für alle Wechseldatenträger (dies sind auch informationstechnische Geräte) gilt, wurde wegen des höheren Verlustrisikos (z. B. Diebstahl, Liegenlassen oder Verlieren der Geräte usw.) getroffen. Drucker gehören zu den Geräten, die gem. 8 DSVO in einem Verzeichnis zu erfassen sind. Standort der Geräte Der Gerätestandort ist nach 8 DSVO zu dokumentieren. Der Standort innerhalb der Wohnung ist in Anbetracht der Tatsache, dass die Lehrkräfte unterschiedliche Wohnformen und Familienstrukturen haben, durchaus für die Beurteilung der Datensicherheit von Wichtigkeit. Es kann nicht immer davon ausgegangen werden, dass z. B. alle Familienmitglieder über eigene PC oder Notebooks verfügen und sich somit das informationstechnische Gerät, mit dem die Lehrkraft die dienstlichen Daten verarbeitet, in ihrem alleinigen Zugriff befindet. Wird die von den Schulleitungen geforderte besondere Sorgfalt der Risikoeinschätzung hinsichtlich der Datensicherheit richtig wahrgenommen, wird ein Standort außerhalb eines Arbeitszimmers, von dem angenommen wird, dass es im Grundsatz nur von der Lehrkraft selbst genutzt wird, Konsequenzen für den Grad der zu ergreifenden Datensicherheitsmaßnahmen haben. Der Schulleitung bleibt es in geeigneten Fällen unbenommen, von der Lehrkraft im Einzelfall höhere Sicherheitsstandards zu fordern, als nur die in 10 Abs. 1 DSVO- Schule obligatorische Verschlüsselung der Daten. Verwendete Betriebssysteme Die Angabe des Betriebssystems gehört ebenfalls zur Dokumentation nach 8 DSVO. Die Lehrkraft versichert auf der Basis des 10 Abs. 1 Nr. 4 DSVO-Schule, dass sie die Maßnahmen zur Sicherung gegen den Zugriff Unberechtigter gem. 11 DSVO-Schule durchgeführt hat. Diese Vorschrift verweist auf die 5 und 6 LDSG. Die erforderlichen technischen Maßnahmen zur Gewährleistung der Datensicherheit umfassen nach dem Stand der Technik auch die Aktualität von Betriebssystemen. Nach unserem Kenntnisstand setzt die überwiegende Zahl der Lehrkräfte Betriebssysteme der Fa. Microsoft ein. Deren Sicherheit hängt entscheidend von der Aktualität der Updates und Patches ab. Die Schulleitung hat in Kenntnis des eingesetzten Betriebssystems somit die Möglichkeit, ggf. durch Nachfrage, das Risiko für die Datensicherheit einzuschätzen. Ferner ist ein Zugriff unberechtigter Personen (hierzu gehören auch Familienmitglieder oder Mitbewohner) nur durch Betriebssysteme zu verhindern, die das Einrichten von Benutzerkonten zulassen. Im Fall von Microsoft-Betriebssystemen ist dies aber erst ab Windows NT möglich. Setzt eine Lehrkraft also ein älteres Betriebssystem ein, muss die Schulleitung in Kenntnis der fehlenden Zugriffssicherheit evtl. die Genehmigung verweigern.

5 - 5 - Anwendungsprogramme Diese Information ist aufgrund 8 DSVO zu geben. Internetzugang Internetzugänge stellen eine Vernetzung i. S. v. 8 Abs. 1 Nr. 3 DSVO dar und sind zu dokumentieren. Bei dieser Information kommt es in erster Linie nicht darauf an, in welcher Weise eine Anbindung an das Internet erfolgt, sondern ob eine solche besteht. Werden personenbezogene Daten auf einem Rechner mit Internetzugang verarbeitet, ist das Sicherheitsrisiko trotz vorgeschriebener Verschlüsselung der personenbezogenen Daten wesentlich höher als bei einem Rechner ohne Internetzugang. Berichte von Schulleitungen, Schulsekretärinnen und schulischen Administratoren zeigen, dass offensichtlich viele Lehrkräfte auf virenverseuchten Rechnern arbeiten. Dies wird meistens zu den Zeugnisterminen offenbar, wenn Lehrkräfte USB-Sticks, die vorher mit ihren privaten Rechnern verbunden waren, mit den Schulverwaltungssystemen verbinden, um ihre im häuslichen Bereich erstellten Zeugnisnoten zu überspielen. Bereits diese Tatsache müsste eigentlich zu der Annahme führen, dass diese Lehrkräfte die gegebene Zusicherung nach 10 Abs. 1 Nr. 4 DSVO-Schule nicht einhalten. Wegen der unbestritten und ihnen nicht vorzuwerfenden geringeren Kenntnisse der Lehrkräfte über Datensicherheit ist es denkbar, dass Lehrkräfte Ziel von Hackerangriffen durch Schüler werden könnten und dabei von den Angreifern auch personenbezogene Daten oder andere private Daten der Lehrkräfte zur Kenntnis genommen, verfälscht oder gelöscht werden könnten. Die Schulleitung hat also mit dieser Information ebenfalls die Möglichkeit zur Risikoeinschätzung. Verschlüsselung Die Verschlüsselung ist in 10 Abs.1 DSVO-Schule mit dem Hinweis auf 6 Abs. 3 LDSG sehr wohl genannt. Dabei handelt es sich um eine Muss-Vorschrift. Welches Verschlüsselungsverfahren oder welche Verschlüsselungssoftware zur Erreichung der Vorgabe einzusetzen ist, wird nicht vorgeschrieben. Allerdings muss sich das Verfahren am Stand der Technik orientieren. Wir empfehlen für den Schutz der von den Lehrkräften zu verarbeitenden personenbezogenen Daten derzeit TrueCrypt (s. auch www. datenschutzzentrum.de/faq/schule2. htm#iv4). Wir haben diese Empfehlung ausgesprochen, weil es sich um ein Opensource-Produkt handelt, das lizenzfrei und relativ leicht handhabbar ist und nach den uns bekannten Publikationen als für die hier in Rede stehende Zwecke als hinreichend sicher gilt.

6 - 6 - Änderungen an der Konfiguration Diese Vorgabe orientiert sich ebenfalls an den Dokumentationspflichten des 8 DSVO. Wir halten es nicht für notwendig, jede Änderung an der Konfiguration eines Rechners zu melden. Die Mitteilung, dass ein neuer PC oder Notebook gekauft wurde, mit der Angabe des Betriebssystems und der eingesetzten Programme, halten wir zur Erfüllung dieser Angabe für ausreichend. Sollte ein bisher gemeldetes Gerät erstmals mit dem Internet verbunden werden, ist dies ebenfalls mitzuteilen. Zusammenfassend ist festzustellen, dass die Sicherheit elektronischer Verarbeitung dienstlicher personenbezogener Daten durch die Beachtung der gesetzlichen Vorschriften des LDSG, der DSVO und der DSVO-Schule eingehalten werden kann. Wenn Lehrkräfte im häuslichen Bereich solche Daten verarbeiten wollen, sind sie verpflichtet, diese Vorgaben zu beachten und eigenständig umzusetzen. Es ist nicht Aufgabe der Schulleitung, ihnen genaue Hinweise zur Datensicherheit zu geben. Wie die Daten verarbeitenden Stellen haben auch die Lehrkräfte die Möglichkeit, sich bei Fragen an das ULD zu wenden. Wegen der besonderen Umstände der Arbeitsabläufe im schulischen Bereich haben wir bereits eine große Anzahl von Informationen als FAQ auf unserer Homepage veröffentlicht. Zusätzlich wurde nunmehr in 2. Auflage ein Praxishandbuch Schuldatenschutz von uns herausgegeben. Dieses steht allen Schulleitungen, den Schulsekretärinnen und Schulsekretären, den schulischen Datenschutzbeauftragten (die an allen Beruflichen Schulen verpflichtend zu bestellen sind) und den schulischen Administratoren sowie den Lehrkräften kostenlos zur Verfügung. Die dienstlichen Erklärungen der Lehrkräfte werden im Rahmen des Dienstverhältnisses abgegeben. Das Recht auf informationelle Selbstbestimmung ist in diesem Rahmen tatsächlich eingeschränkt. Die Verarbeitung der Daten erfolgt nicht im Verhältnis Daten verarbeitende Stelle zur Privatperson, sondern Arbeitgeber zum Funktionsträger (Arbeitnehmer). Diese Einschränkung ist nach dem Urteil des Bundesverfassungsgerichts v (1 BvR 209/83 u. a.) und der im Verlauf der Zeit ergangenen Urteile, die sich mit dem Spannungsfeld Arbeitgeber/Arbeitnehmer befassen, zulässig. Die Schulleitungen dürfen diese Informationen nur zur Führung des Verfahrensverzeichnisses nutzen. Es handelt sich bei diesen Informationen auch nicht um sensible Daten. Sensible personenbezogene Daten sind Informationen, die der Gesetzgeber durch enge Verarbeitungsregelungen als solche gekennzeichnet hat. Hierzu gehören z. B. das Patientengeheimnis ( 203 StGB), das Sozialgeheimnis ( 35 SGB I) und die Daten nach 11 Abs. 3 LDSG. Im Übrigen weisen wir nochmals darauf hin, dass die Lehrkräfte nicht dienstlich verpflichtet sind, personenbezogene Daten der Schülerinnen, Schüler und Eltern im häuslichen Bereich mittels informationstechnischer Geräte zu verarbeiten. Wir hoffen, Ihre Fragen ausreichend beantwortet zu haben. Mit freundlichen Grüßen Holger Brocks