Ein Wortungetüm sorgt derzeit für Aufregung: EU-Datenschutz-Grundverordnung, kurz EU-DSGVO. Ist die Unruhe berechtigt? Kaum, sagen die Juristen des Kultusministeriums. Wer vorher Datenschutzbestimmungen beachtet hat, wird auch mit der EU-DSGVO zurechtkommen. Ein paar neue Regeln gilt es allerdings zu beachten. Seit heute (25. Mai) gilt in allen Mitgliedsstaaten der Europäischen Union die Datenschutz-Grundverordnung. Sie ähnelt dem bislang in Deutschland und Sachsen geltenden Datenschutzrecht, bringt aber auch veränderte Begrifflichkeiten und neue inhaltliche Anforderungen mit sich. Wir erläutern die wesentlichen Neuerungen. Die öffentlichen Schulen wurden darüber bereits in den vergangenen Tagen informiert.

Übersicht zur Datenverarbeitung anlegen

Schon das bisher geltende Datenschutzrecht forderte, dass jede datenverarbeitende Stelle, also auch Schulen, über alle automatisierten Verarbeitungstätigkeiten eine Übersicht führt. Neu ist, dass diese Übersicht als ein schriftlich oder elektronisch zu führendes Verzeichnis über sämtliche Verarbeitungstätigkeiten mit personenbezogenen Daten anzulegen ist. Typische Verarbeitungsverfahren, welche Schulen durchführen, sind beispielsweise die Verwaltung von Beschäftigtendaten und die Verwaltung von Schülerdaten. Eine Vorlage für ein Verzeichnis von Verarbeitungstätigkeiten ist allen öffentlichen Schulen in Sachsen in den vergangenen Tagen zugesandt worden.

Neue Informationspflichten

Mit der EU-DSGVO sind neue Informationspflichten verbunden. Sie gewährleisten, dass die betroffene Person darüber Kenntnis hat, welche ihrer personenbezogenen Daten verarbeitet werden. Die Information des Betroffenen muss spätestens zum Zeitpunkt der Datenerhebung stattfinden. Für Schulen bedeutet dies oftmals, schon bei der Schulanmeldung zu informieren. Bereits in diesem Stadium werden zahlreiche personenbezogene Daten erhoben. Auch dazu ist den Schulen bereits ein Formular zugegangen.

Datenschutzbeauftragten benennen

Die EU-DSGVO verlangt, dass grundsätzlich jede Stelle, die mit personenbezogenen Daten umgeht, einen Datenschutzbeauftragten benennt. Dies betrifft auch öffentliche Schulen. Der Datenschutzbeauftragte berät die Schule hinsichtlich ihrer datenschutzrechtlichen Pflichten, überwacht die Einhaltung der Datenschutzvorschriften und fungiert als Anlaufstelle für den Sächsischen Datenschutzbeauftragten. Folgende Lösung ist vorgesehen:

Jede Schule kann einen ihrer Beschäftigten als Datenschutzbeauftragten benennen. In diesem Fall teilt sie den Namen und die Kontaktdaten ihres Datenschutzbeauftragten dem Sächsischen Datenschutzbeauftragten mit. Hat eine Schule bereits einen Datenschutzbeauftragten, behält dieser die Funktion bei.

Benennt eine Schule keinen ihrer Beschäftigten als Datenschutzbeauftragten oder soll der bisherige Beauftragte diese Funktion nicht beibehalten, teilt der Schulleiter dies dem Landesamt für Schule und Bildung mit. In diesem Fall nimmt ein Mitarbeiter des Landesamtes für Schule und Bildung die Aufgabe des Datenschutzbeauftragten wahr.

In jedem Fall veröffentlicht die Schule die Kontaktdaten des für sie zuständigen Datenschutzbeauftragten zum Beispiel im Internet oder als Aushang im Schulgebäude. Es ist ausreichend, wenn die abstrakten Kontaktdaten des Datenschutzbeauftragten genannt werden, z. B. postalische Anschrift und E-Mail-Adresse. Eine Namensnennung ist nicht erforderlich.

Neue Meldepflichten bei Datenpannen

Öffentliche Schulen sind verpflichtet, bei einer Datenpanne den Sächsischen Datenschutzbeauftragten zu unterrichten.

Weitere Informationen der Sächsischen Staatsregierung zur Datenschutz-Grundverordnung gibt es unter: http://www.datenschutzrecht.sachsen.de/.

Das Kultusministerium wird den Schulen kurzfristig weitere Formulare für Einwilligungserklärungen von Schülern und Beschäftigten in die Veröffentlichung von personenbezogenen Daten bereitstellen. Diese Formulare können auch im Zusammenhang mit der Veröffentlichung von Fotos auf der Schulhomepage eingesetzt werden.