Die Dienstanweisung »Automatisierte Datenverarbeitung« (DA ADV)

Schüler*innendaten am heimischen PC verarbeiten? Angesichts der mageren Ausstattung vieler Schulen mit Dienst-PCs und der Notwendigkeit, auch zu Hause zu arbeiten, für viele Lehrer*innen ein Muss. Leider ist das aus datenschutzrechtlicher Sicht äußerst bedenklich, bei Missachtung der DA ADV drohen Zivil- und Disziplinarverfahren.

Eine einfache Lösung können auch wir nicht bieten – aber wir zeigen auf, wo welche Risiken liegen.

1.) Privatgeräte nie ohne Genehmigung durch die Schulleitung

Wer personenbezogene Daten (v.a. von Schüler*innen, aber auch von Eltern, Kolleg*innen, Referendar*innen etc.) auf dem eigenen Gerät (PC, Laptop, Tablet, Smartphone) verarbeitet, braucht dafür immer die schriftliche Genehmigung der Schulleitung. Der Antrag hierzu wird auf einem landesweit einheitlichen Formular gestellt (Download: »Genehmigungsvordruck für die Nutzung privater Endgeräte« über die die rechte Randspalte auf den Seiten der Medienberatung nrw), andere Formulare sind nicht gültig. Vor Februar 2018 erteilte Genehmigungen auf dem Vorgängerformular behalten zwar ihre Gültigkeit, aber zu den gleichen Bedingungen wie neu erteilte Genehmigungen.

Wozu man sich im einzelnen verpflichtet, kann dem oben verlinkten Formular entnommen werden, eine Einschätzung der Realisierbarkeit findet sich in diesem Artikel auf unserer Homepage.

Grob zusammengefasst lässt sich sagen: Für PCs und Laptops lassen sich die Bedingungen durch Lehrer*innen mit sehr guten IT-Kenntnissen wahrscheinlich erfüllen, für Mobilgeräte (Android, iOS) ist dies selbst für Expert*innen nahezu unmöglich.

Wichtig: Niemand ist gezwungen, Privatgeräte für schulische Aufgaben zu nutzen. Daher kann auch – entgegen der Praxis an manchen Schulen – niemand gezwungen werden, den Antrag auf Nutzung von Privatgeräten zu stellen.

Genehmigungen werden oft nicht erteilt

Selbst diejenigen Kolleg*innen, die einen Antrag gestellt haben, haben ihn in der Regel noch nicht genehmigt bekommen und es ist auch nicht sicher, dass das jemals geschieht: Die Landesdatenschutzbeauftragte rät von der Verwendung privater Geräte ab und sieht als einzig mögliche Lösung die Bereitstellung von Geräten durch den Dienstherrn. Diese würden vom Ministerium beschafft, eingerichtet und gewartet, auch die Verantwortung für die Datensicherheit würde daher beim Ministerium liegen.

Das Ministerium lässt eine langsam wachsende Bereitschaft zur Anschaffung von Dienstgeräten erkennen. Diese Bereitschaft würde sicher weiter wachsen, wenn möglichst viele Lehrkräfte einen Antrag auf ein Dienstgerät stellen. Auch wenn kaum mit einer unverzüglichen Bereitstellung zu rechnen ist, bitten wir, die unten verlinkten Musterbriefe zu verwenden, um die Dringlichkeit des Problems zu verdeutlichen. Die Briefe können als .pdf und .docx-Dateien heruntergeladen werden und gerne an die persönlichen Bedürfnisse und Gegebenheiten angepasst werden.

2.) Daten speichern? Nur wenige, und nie im Web!

Selbst wenn die Genehmigung für die Verarbeitung personenbezogener Daten auf Privatgeräten vorliegt, gelten strenge Auflagen: Im Wesentlichen dürfen nur Daten zur Identifizierung der Person (Name, Klasse, Fächer) sowie Leistungsdaten erhoben und verarbeitet werden. Zu den Leistungsdaten zählen Zahlen- und Wortnoten, wahrscheinlich auch Wortzeugnisse, sicher nicht Gutachten (Fördergutachten, Förderpläne, etc.).

Selbst genehmigte Daten auf genehmigten Geräten dürfen nicht über das Internet verteilt oder dort gespeichert werden. Die Nutzung von Cloudspeichern wie z.B. Dropbox ist damit ebenso ausgeschlossen wie der Versand per Email.

Einzige Ausnahme wäre die seit 2017 immer wieder verschobene Cloud- und Maillösung des Landes Logineo NRW, die jetzt ab Februar 2019 eingeführt werden soll.

Und nun?

Die Datenverarbeitung auf Privatgeräten ist mit so vielen Unsicherheiten verbunden, dass im Augenblick eigentlich nur abgeraten werden kann. Das erschwert allerdings erheblich die sachgerechte Erfüllung dienstlicher Pflichten, insbesondere in der Kommunikation und Dokumentation; in manchen Fällen ist selbst die fristgerechte Erstellung von Zeugnissen ohne ungenehmigte Nutzung von Privatgeräten nicht möglich.

Eine strafrechtliche Verantwortung für Lehrer*innen, die im Rahmen ihrer dienstlichen Pflichten die Regeln des Datenschutzes brechen, hat das Ministerium ausgeschlossen. Es drohen aber disziplinarrechtliche Konsequenzen bei Missachtung der DA ADV sowie zivilrechtliche Klagen der Betroffenen (meist Schüler*innen bzw. deren Eltern).

Wie die Regeln konkret ausgelegt werden, ist noch im Fluss. Die örtlichen Datenschutzbeauftragten haben hier z.T. sehr unterschiedliche Auffassungen, und auch die Medienberatung NRW gibt in ihrer Ausfüllhilfe für das Antragsformular Hinweise, die dem Wortlaut der DA ADV widersprechen. Diese Unsicherheit ist ein weiteres Argument dafür, dass Anschaffung, Einrichtung und Wartung der Computer von der Stelle zu leisten sind, die die finanziellen Mittel sowie den juristischen und technischen Sachverstand hierzu hat – dem Dienstherrn, also dem Schulministerium.