Datenschutz an Schulen: Was ist neu nach der Einführung der EU-DSGVO?
Der Fachartikel "Datenschutz an Schulen" beschreibt und erläutert die Aufgaben, die die Verantwortlichen an Schulen bei der Umsetzung der EU-Datenschutz-Grundverordnung (EU-DSGVO) bedenken müssen. Tipps, Hinweise und Hilfestellungen können der Schulleitung, aber auch allen anderen Lehrkräften bei dieser neuen Herausforderung helfen.
Wo gilt die EU-Datenschutz-Grundverordnung (DSGVO)?
Ab dem 25. Mai 2018 gilt die EU-DSGVO unmittelbar in sämtlichen Mitgliedsstaaten der Europäischen Union. Damit wird das bestehende Datenschutzrecht harmonisiert und durch einen einheitlichen europäischen Rechtsrahmen ersetzt, der aber auch eine Vielzahl von Öffnungsklauseln und Regelungsaufträge für den nationalen Gesetzgeber enthält. Dies betrifft insbesondere die Möglichkeit der Schaffung fachspezifischer Normen für bestimmte Bereiche, wie zum Beispiel den Schulen der einzelnen Mitgliedsländer. Weiterhin gilt dies unter anderem für die Schulen der 16 Bundesländer, in denen jeweils unterschiedliche Schulgesetze gelten. Die Anpassung der entsprechenden fachspezifischen Datenschutzbestimmungen für die Schulen an die unmittelbar geltende EU-DSGVO ist in der Regel erfolgt und ist am 01. August 2018 in Kraft getreten.
Wer ist für die Umsetzung verantwortlich?
Die EU-DSGVO und die daran angepassten fachspezifischen Bestimmungen der Schulgesetze, sind die wesentliche gesetzliche Grundlage für den Datenschutz an Schulen. Um den Vorgaben der EU-DSGVO zu entsprechen, müssen die Schulen als öffentliche Stellen, bestehende Strukturen und Prozesse zeitnah anpassen und fortentwickeln. Verantwortlich für die Umsetzung der EU-DSGVO ist die Schulleitung der jeweiligen Schule. Hieraus ergeben sich neue Aufgaben, die nur zum Teil delegiert werden können. Für die Einhaltung dieser Regelungen sorgt in jedem Fall die Schulleitung.
Konsequenzen für die Leitungen der Schulen der 16 Bundesländer
Die wesentlichen Veränderungen der EU-DSGVO gegenüber dem geltenden Recht und die daraus resultierenden Anforderungen an die verantwortlichen Stellen (Schulleitung) betreffen folgende Bereiche:
- Die EU-DSGVO sieht erweiterte Dokumentations- und Nachweispflichten vor. Dies betrifft unter anderem den Nachweis der Einhaltung der Datenschutzgrundsätze (Art. 5 Abs. 2 EU-DSGVO), der erforderlichen technisch-organisatorischen Maßnahmen (Art. 24 EU-DSGVO) und den Einsatz geeigneter Auftragsverarbeiter (Art. 28 EU-DSGVO). Weitere Dokumentationspflichten folgen aus Art. 30 EU-DSGVO (Führung eines Verarbeitungsverzeichnisses) und Art. 33 EU-DSGVO (Dokumentation von Datenschutzvorfällen).
- Erweitert wird auch der Umfang der Informations- und Auskunftspflichten gegenüber den Betroffenen (Art. 13 – 15 EU-DSGVO). Gemäß Art. 12 Abs. 1 EU-DSGVO sind die Betroffenen in "präziser, transparenter, verständlicher und leicht zugänglicher Form in einer einfachen und klaren Sprache" von der Verarbeitung ihrer personenbezogenen Daten zu unterrichten.
- Auch die sonstigen Betroffenenrechte werden gegenüber dem bisherigen Recht erweitert. Neu ist unter anderem das Recht auf Datenübertragbarkeit (Art. 20 EU-DSGVO).
- Hat eine Verarbeitung voraussichtlich hohe Risiken für die persönlichen Rechte und Freiheiten der Betroffenen zur Folge, so muss der Verantwortliche zukünftig eine Datenschutz-Folgeabschätzung (Art. 35 EU-DSGVO) durchführen. Die...
