Als Vorlage 17/6049 liegt im Archiv des Landtages NRW jetzt der Entwurf einer Verordnung zur Änderung der beiden Verordnungen zur Datenverarbeitung VO-DV I und VO-DV II vor. In die neue Entwurfsfassung flossen auch Rückmeldungen der LDI NRW und der Verbände zum ersten Entwurf ein. Außerdem werden im überarbeiteten Entwurf auch die Neuerungen im Gesetzesentwurf zum 16. Schulrechtsänderungsgesetz berücksichtigt. Man kann deshalb davon ausgehen, dass die aktuelle Entwurfsfassung so auch in Kraft treten wird.
Mit der Neufassung von VO-DV I & II wird es einige Neuerungen geben, die für die tägliche Arbeit in der Schule hilfreich sind. Leider werden auch neue Regelungen dabei sein, die genau das Gegenteil bewirken, auch wenn sie aus datenschutzrechtlicher Sicht konsequent und richtig sind. Dazu gehören die Vorgaben zur Nutzung von privaten Endgeräten zur Verarbeitung von personenbezogenen Daten aus der Schule. Bisher war diese Möglichkeit auf Lehrkräfte beschränkt. Nur sie konnten diese Genehmigung von der Schulleitung erhalten. Mit der neuen Regelung erweitert sich der Kreis der Personen, die diese Möglichkeit haben. In §2 Abs. 2 heißt es dann:
„Die Verarbeitung personenbezogener Daten von in § 1 Absatz 1 Satz 1 genannten Personen auf privaten digitalen Geräten von Lehrkräften, Lehramtsanwärterinnen und Lehramtsanwärtern, Lehrkräften in Ausbildung, sonstigem pädagogischen und sozialpädagogischen Personal sowie Schulpsychologinnen und Schulpsychologen für dienstliche Zwecke bedarf der schriftlichen, ein Verzeichnis der Verarbeitungstätigkeiten gemäß Artikel 30 der Datenschutz-Grundverordnung enthaltenden Genehmigung durch die Schulleiterin oder den Schulleiter.“
Praxissemesterstudierende und Studierende im Eignungs- und Orientierungspraktikum im Lehramtsstudium (EOP) sind von dieser Möglichkeit jedoch weiterhin ausgeschlossen.
Wird ein persönliches digitales Dienstgerät zur Verfügung gestellt, ändert sich die Sachlage bezüglich der Erteilung bzw. Gültigkeit von Genehmigungen zur Verarbeitung von personenbezogenen Daten aus der Schule auf privaten Endgeräten allerdings:
„Die Genehmigung darf nicht erteilt werden, wenn ein persönliches dienstliches digitales Gerät für schulische Zwecke zur Verfügung gestellt wird. Eine bereits erteilte Genehmigung erlischt mit Aushändigung eines solchen Gerätes.„
Falls noch dienstliche Daten vom privaten Endgerät auf das Dienstgerät übertragen werden müssen, kann eine Frist von bis zu vier Wochen eingeräumt werden, während der das private Endgerät weiterhin für die Verarbeitung von personenbezogenen Daten aus der Schule genutzt werden darf. Es wird Fälle geben, in welchen es sinnvoll sein kann, dass die Schulleitung eine Genehmigung erteilen kann, personenbezogenen Daten doch auf einem privaten Endgerät zu verarbeiten, auch wenn ein Dienstgerät zur Verfügung gestellt wurde. Dann gilt:
„Unabhängig davon kann die Schulleitung ausnahmsweise in begründeten, von ihr zu dokumentierenden Einzelfällen die Nutzung von Privatgeräten vorübergehend zulassen, soweit dies zur vollumfänglichen schulischen Verarbeitung personenbezogener Daten erforderlich und die datenschutzgerechte Verarbeitung entsprechend der für die Nutzung von Privatgeräten geltenden Standards gewährleistet ist.“
Wie weit „ausnahmsweise“ und „Einzelfälle“ ausgelegt werden kann, wird man sehen. Wäre es denkbar, den Dienst iPad nutzenden Lehrkräften eine vorübergehende Nutzung privater Endgeräte zur Eingabe von Noten im externen Notenmodul von SchiLD NRW zu gestatten oder müssten sich dann die 120 Kolleginnen und Kollegen einer großen Schule in Schichten an die wenigen für Verwaltungsarbeiten eingerichteten PCs in der Schule setzen? Neu sind auch spezifische Vorgaben für die Verarbeitung von personenbezogenen Daten aus der Schule auf privaten Endgeräten durch Schulleitungen.
In den Begründungen zu den Änderungen wird hervorgehoben, dass die Möglichkeit, den oben genannten Personen eine Genehmigung zur Verarbeitung von personenbezogenen Daten aus der Schule auf privaten Endgeräte zu erteilen, nur für einen vorübergehenden Zeitraum gedacht ist, nicht jedoch auf Dauer, wie bisher.
„Die Genehmigungsoption gilt nur für die Übergangszeit, in der noch keine persönliche dienstliche Ausstattung zur Verfügung steht.“
In der Praxis wird man an Schulen diese Möglichkeit jedoch durchaus für längere Zeiträume nutzen müssen, da die Ausstattung von allen Lehrkräften und anderem schulischen Personal mit Dienstgeräten zumindest gegenwärtig nicht sichergestellt ist. Sind die Mittel aus den Fördertöpfen des Bunds bzw. Landes ausgeschöpft und stellen Schulträger nicht aus eigenen Mitteln Geräte bereit, gibt es keine neuen Geräte. Das wird vor allem auf Lehramtsanwärter zutreffen und Lehrkräfte, welche die Schule wechseln oder auch auf Lehrkräfte, deren Geräte vorzeitig aufgrund eines Defekts ausfallen.
Im Zusammenhang mit der Verarbeitung von personenbezogenen Daten aus der Schule auf privaten Endgeräten wurde auch Anlage 3 und die zur Verarbeitung zugelassenen Daten angepasst und erweitert und berücksichtigt dabei die Personen, welche nun auch personenbezogene Daten aus der Schule mit Genehmigung der Schulleitung verarbeiten dürfen. Unter der neuen Nummer 14 dürfen dann auch
„Dokumentationen im Zuge des pädagogischen, sozialpädagogischen und schulpsychologischen Mitwirkens bei der Bildungs- und Erziehungsarbeit (z.B. Vermerke über Beratungstätigkeit, Arbeits- und Sozialverhalten)“
von diesen Personen auf genehmigten privaten Endgeräten verarbeitet werden, soweit dieses zur
„Erfüllung des Bildungs- und Erziehungsauftrags der Schule und für die hierbei entstehenden Beurteilungen beziehungsweise notwendigen Dokumentationen“
erforderlich ist. Mit Genehmigung durften Lehrkräfte bisher Leistungsbewertung in den Fächern, in welchen sie Schülerinnen und Schüler unterrichteten auf privaten Endgeräten verarbeiten. Dieses wird ebenfalls erweitert um
„Bemerkungen zum Arbeits- und Sozialverhalten in den Fächern, in denen die Lehrkraft die Schülerinnen und Schüler unterrichtet, einschließlich digital von diesen erstellter Leistungsnachweise.“
Damit ist auch in diesem Bereich Klarheit geschaffen und Lehrkräfte können digital erstellte Leistungsnachweise auf den genehmigten privaten Endgeräten betrachten und bewerten.
Ein weiterer Bereich, der bisher ungeregelt war, wenn es um die Verarbeitung von personenbezogenen Daten aus der Schule auf privaten Endgeräten von Lehrkräften geht, wurde im neuen Absatz 5 von § 2 VO-DV II geregelt.
„Sofern dienstliche Dokumente auf privaten digitalen Geräten verarbeitet werden, ist die Verarbeitung personenbezogener Daten von Lehrkräften, anderem Personal der Schule und Personen in Ausbildung zulässig, soweit es sich um in der Schule oder im Zentrum für schulpraktische Lehrerausbildung dienstlich bekannte Daten und Kontaktdaten handelt, die Nennung für die Aufgabenerledigung erforderlich ist und ein angemessener technischer Zugangsschutz gewährleistet wird.“
Damit ist es dann bei vorliegender Genehmigung durch die Schulleitung rechtssicher möglich, Dokumenten wie Protokolle von Konferenzen, Unterrichts- und Vertretungspläne, Ausbildungs-Stundenpläne, Aufsichtspläne, Sprechstundenlisten und Ähnliche auf privaten Endgeräten zu erstellen und zu übermitteln, auch wenn diese dienstlich bekannte Namen, Kontaktdaten und Unterrichtsfächer des Personals enthalten.
Die LDI NRW hatte bei der Neueinführung von Abs. 5 § 120 SchulG NRW (Verarbeitung von personenbezogenen Daten in digitalen Lehr- und Lernmitteln) angemahnt, dass bezüglich der Verarbeitung von personenbezogenen Daten von Schülerinnen und Schülern und Lehrkräften bei der Nutzung von digitalen Lehr- und Lernmitteln konkretisiert werden müsse, welche Daten zulässigerweise verarbeitet werden dürfen. Hierzu findet sich jetzt eine Regelung in §2 Abs. 1:
„Beim Einsatz digitaler Lehr- und Lernmittel, digitaler Kommunikationsmittel sowie IT-Infrastrukturen ist die Verarbeitung von Protokolldaten nur zulässig, soweit dies zum Betrieb technisch erforderlich ist.“
Die Verarbeitung von Protokolldaten, die bisher auf die Regelungen von Art. 6 Abs. 1 S. 1 lit. e), Abs. 3 lit. b) DS-GVO in Verbindung mit § 3 Abs. 1 DSG NRW gestützt wurde, wird nun durch durch die beiden Verordnungen zur Datenverarbeitung selbst legitimiert. Klargestellt wird hierbei jedoch auch, wo die Grenzen der Verarbeitung von Protokolldaten liegen. Eine Verarbeitung etwa für die Erstellung von Profilen von Nutzern oder für eine automatisierte Verhaltens- und Leistungskontrolle ist damit ausgeschlossen. Dass die Einschränkung auf die technische Erfordernis zum Betrieb auch den Zweck der Aufrechterhaltung von Datenschutz und Datensicherheit einschließt, sollte man annehmen können.
Veränderungen gibt es auch bezüglich der Bestellung von Datenschutzbeauftragten für die Schulen. Zwar wählen die Schulämter weiterhin die Personen aus, doch um personalvertretungsrechtliche Interessen zu wahren,
„werden diese Personen nach Art. 37 Abs. 3 der DS-GVO von den Bezirksregierungen benannt und an das jeweilige Schulamt anteilig zur Wahrnehmung der Funktion abgeordnet.“
Eine Änderung, die bereits im ersten Entwurf der Änderungen von einigen Seiten kritisch gesehen wurde, ist die Möglichkeit großer Schulen, eigene Datenschutzbeauftragte zu benennen.
„Schulen können stattdessen eine schuleigene Datenschutzbeauftragte oder einen schuleigenen Datenschutzbeauftragten benennen.“
Hinweis
Man sollte bei der Auseinandersetzung mit dem diesem Beitrag zugrunde liegenden Entwurf einer Verordnung zur Änderung der beiden Verordnungen zur Datenverarbeitung beachten, dass es sich um einen Entwurf handelt. Auch wenn in diesem Entwurf Eingaben und Kritiken von verschiedenen Seiten zum vorherigen Entwurf berücksichtigt wurden, bedeutet dieses nicht, dass der neue Entwurf zu 100% der finalen verabschiedeten Fassung entsprechen muss.