Verwaltungvorschrift des Sächsischen Staatsministeriums für Kultus zum Datenschutz an Schulen und Schulaufsichtsbehörden des Freistaates Sachsen

1    Allgemeines

1.1     Gesetzliche Grundlage für den Datenschutz an öffentlichen Schulen im Freistaat Sachsen ist das Gesetz zum Schutz der informationellen Selbstbestimmung im Freistaat Sachsen (Sächsisches Datenschutzgesetz –  SächsDSG) vom 13. Dezember 1991 (SächsGVBl. Nr. 32/91).

1.2     Diese Verwaltungsvorschrift gilt für alle Schulen, für die Schulaufsichtsbehörden und für alle sonstigen, dem Sächsischen Staatsministerium für Kultus nachgeordneten Dienststellen.

1.3     Soweit keine abweichenden Festlegungen getroffen werden, gelten die folgenden Regelungen für die Verarbeitung personenbezogener Daten sowohl für in Dateien als auch für in Akten gespeicherte personenbezogene Daten, ungeachtet der dabei angewendeten Verfahren.

2    Datengeheimnis

2.1     Den bei der Datenverarbeitung beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu verarbeiten oder sonst zu verwenden. Das Datengeheimnis besteht auch nach Beendigung ihrer Tätigkeit fort.

2.2     Die bei der Datenverarbeitung beschäftigten Personen sind bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis schriftlich zu verpflichten.
Im Amtsblatt des Sächsischen Staatsministeriums für Kultus Nr. 4/92 wurde ein Formblatt für die Verpflichtung und im Amtsblatt des SMK Nr. 5/92 wurde ein zugehöriges Merkblatt veröffentlicht.

3    Zulässigkeit der Verarbeitung personenbezogener Daten

3.1    Allgemeines

3.1.1     Schulen dürfen personenbezogene Daten von Schülern und deren Erziehungsberechtigten, von Lehrern, Referendaren und sonstigem pädagogischen Personal verarbeiten, soweit es zur Erfüllung der Aufgaben erforderlich ist.

3.1.2     Das Verarbeiten personenbezogener Daten ist nur zulässig, wenn die Schulen ohne die gespeicherten Daten ihren Erziehungs- und Bildungsauftrag sowie ihre Verwaltungs- und Fürsorgeaufgaben nicht oder nicht vollständig erfüllen können.

3.1.3     Es besteht die Pflicht, bei der Erhebung der Daten dem Betroffenen mitzuteilen, daß seine Daten gespeichert werden. Dabei ist ihm der Erhebungszweck mitzuteilen. Der Betroffene ist auf die entsprechende Rechtsvorschrift hinzuweisen.
Willigt der Betroffene nicht ein, so ist er auf etwaige Folgen der Verweigerung hinzuweisen.

3.1.4     Es ist nachzuweisen, daß das Verarbeiten jedes einzelnen Merkmals der Daten für die Erfüllung der Aufgaben unbedingt erforderlich ist und daß das Verarbeiten aufgrund einer Rechtsvorschrift beziehungsweise mit Einwilligung des Betroffenen erfolgt.
Die Einwilligung des Betroffenen ist immer dann notwendig, wenn nicht durch ein Gesetz oder durch eine Rechtsvorschrift die Verarbeitung personenbezogener Daten erlaubt oder angeordnet wird. Diese Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist.

3.1.5     Nach § 31 Abs. 7 SächsDSG darf eine automatisierte Verarbeitung von Daten der Beschäftigten und der Schüler nur im Benehmen mit dem Sächsischen Datenschutzbeauftragten eingeführt, angewendet, geändert oder erweitert werden.
Die automatisierte Verarbeitung von personenbezogenen Daten der Schüler wird in einer gesonderten Verwaltungsvorschrift geregelt (Verwaltungsvorschrift des Sächsischen Staatsministeriums für Kultus zur automatisierten Verarbeitung von Schülerdaten in Schulen und Schulaufsichtsbehörden des Freistaates Sachsen vom 6. Januar 1993).

3.1.6     Eine Datensammlung auf Vorrat ist unzulässig.

3.2    Schulspezifische Regelungen

3.2.1     Bewertungen von Leistungskontrollen, persönliche Notizen von Lehrern, Referendaren und sonstigem pädagogischen Personal und die den täglichen Unterricht begleitenden Vermerke im Klassenbuch und in ähnlichen Unterlagen dürfen im Rahmen der täglichen Arbeit in den Bildungseinrichtungen genutzt werden. Pädagogische Besprechungen über Schüler sind gestattet.

3.2.2     Die Noten vorangegangener Schuljahre dürfen für die Notenfindung des laufenden Schuljahres nicht verwendet werden, sie sind unerheblich.

3.2.3     Die Bekanntgabe von Noten vor der Klasse ist eine rein pädagogische Frage und liegt demzufolge im Ermessensspielraum jedes einzelnen Lehrers. Die Aspekte der Benotung dürfen zwischen Lehrern und Schülern besprochen werden.

3.2.4     Das Führen von Klassenbüchern und Kurstagebüchern, der Schülerübergabeverzeichnisse und der Schülerkartei ist in der „Verwaltungsvorschrift des Staatsministeriums für Kultus zur Verwendung von Vordrucken für die schulische Verwaltung ( Schulformular-VwV)“ vom 9. März 1992 geregelt.
Das Erstellen von Zeugnissen, Halbjahresinformationen und Schulberichten ist in der „Verwaltungsvorschrift Zeugnisse, Halbjahresinformationen und Schulberichte“ vom 21. November 1991 geregelt.

3.2.5     Bei Schülerwettbewerben ist bereits in der Ausschreibung die geplante Veröffentlichung der Namen der Teilnehmer zu formulieren.

3.3    Automatisierte Verarbeitung

3.3.1     In einer Schule oder einer Einrichtung gespeicherte personenbezogene Daten dürfen nur denen zugänglich gemacht werden, die sie zur Erfüllung ihrer dienstlichen Aufgaben benötigen. Insbesondere dürfen personenbezogene Daten nicht auf privateigenen Datenverarbeitungsanlagen oder Datenträgern gespeichert werden. Ebenso darf eine Verarbeitung dieser Daten auf Datenverarbeitungsanlagen außerhalb der Einrichtung oder durch unbefugte Dritte weder veranlaßt noch geduldet werden.
In Havariesituationen erforderliche Verarbeitung durch Dritte ist vorher von der zuständigen Schulaufsichtsbehörde genehmigen zu lassen.

3.3.2     Die Datenverarbeitungsanlagen, auf denen personenbezogene Daten gespeichert sind, dürfen nicht im Unterricht oder für unterrichtliche Zwecke eingesetzt werden.

3.3.3     Es ist verboten, nichtlizensierte Software (sogenannte Raubkopien) einzusetzen. Spiele, Shareware, Teleware, Demosoftware, private oder privat beschaffte Software, unverlangt zugesandte Datenträger, Public-Domain-Software und Programme, die sich selbst verändern, dürfen nicht zum Einsatz kommen.

3.3.4     Die Verarbeitung personenbezogener Daten des pädagogischen Personals erfolgt nicht in den Schulen, sondern in den entsprechenden Schulaufsichtsbehörden. Die Erhebung dieser Daten in den Schulen kann von den Schulaufsichtsbehörden angeordnet werden. Eine Ausnahme bilden solche Daten, die für die Planung des aktuellen Unterrichtseinsatzes erforderlich sind (Anlage: Aktueller Unterrichtseinsatz).
Die Daten für die Planung des Unterrichtseinsatzes sind zu löschen, wenn der Lehrer die Schule verläßt.

4    Übermitteln

4.1.    Allgemeines

4.1.1     Als Übermitteln gilt auch die Weitergabe von Listen, Ausdrucken und Datenträgern, die Dateneinsicht, die Veröffentlichung und die mündliche Auskunft.

4.1.2     Das Einrichten von automatisierten Verfahren, die die Übermittlung personenbezogener Daten durch Abruf ermöglichen, ist nur gestattet, wenn ein Gesetz dies ausdrücklich zuläßt.

4.1.3     Die Empfänger übermittelter personenbezogener Daten sind von einer Berichtigung, Löschung oder Sperrung zu benachrichtigen, soweit dies insbesondere zur Wahrung schutzwürdiger Interessen des Betroffenen oder zur Erfüllung der Aufgaben der übermittelnden Stelle oder des Empfängers erforderlich erscheint.

4.2    Datenübermittlung an öffentliche Stellen

4.2.1     An den Jugendärztlichen Dienst, den Schulpsychologischen Dienst, die Organe der öffentlichen Jugendhilfe, die Gerichte, die Staatsanwaltschaft, die Bezügestelle, die Jugendgerichtshilfe und sonstige öffentliche Stellen dürfen personenbezogene Daten übermittelt werden, sofern für diese öffentlichen Stellen oder für die übermittelnde Stelle die Übermittlung im Rahmen der gesetzlichen Vorschriften erforderlich ist.

4.2.2     Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle. Der Empfänger trägt die Verantwortung, wenn die Übermittlung auf sein Ersuchen erfolgt. Es ist von der übermittelnden Stelle zu prüfen, ob das Übermittlungsersuchen im Rahmen der Aufgaben des Empfängers liegt.

4.2.3     An die Gesamtvertretungen der Schüler bzw. der Eltern dürfen die Namen, Adreßdaten und die Funktion innerhalb der Schülervertretung bzw. der Elternvertretung übermittelt werden.

4.3    Datenübermittlung an nicht-öffentliche Stellen

4.3.1     Datenübermittlung an nicht-öffentliche Stellen ist unzulässig. Dies gilt insbesondere für die Übermittlung personenbezogener Daten für Werbezwecke.

4.3.2     Ausnahmen bilden Übermittlungen an Schulen in freier Trägerschaft und Ausbildungsstellen, die mit Schulen zusammenarbeiten.
Die Übermittlung an sonstige nicht-öffentliche Stellen ist nur zulässig, wenn ein Gesetz oder eine Rechtsvorschrift dies gestattet oder wenn der Betroffene eingewilligt hat.

4.3.3     Die übermittelnde Stelle trägt die Verantwortung für die Zulässigkeit der Übermittlung.

5    Sonstige Verarbeitung personenbezogener Daten

Das Erteilen von Genehmigungen für Verarbeitung personenbezogener Daten durch Forschungseinrichtungen im Bereich des Sächsischen Staatsministeriums für Kultus wird durch die Verwaltungsvorschrift „Untersuchungen und Befragungen in Schulen“ geregelt.

6.    Dateien- und Geräteverzeichnis

6.1     Sofern eine automatisierte Verarbeitung von personenbezogenen Daten erfolgt, sind alle öffentlichen Stellen verpflichtet, ein Dateien- und Geräteverzeichnis zu führen.
Für nicht-automatisierte Dateien (Karteien) sind ebenfalls Dateienverzeichnisse zu führen.
Nur auf Anforderung sind diese Verzeichnisse dem Sächsischen Datenschutzbeauftragten zuzuleiten. In diesem Fall ist der zuständigen Schulaufsichtsbehörde ist ein Duplikat der Meldung, die an den Sächsischen Datenschutzbeauftragten erfolgte, zuzuleiten.

6.2     Folgende Angaben sind im Dateien- und Geräteverzeichnis gemäß § 10 SächsDSG schriftlich festzuhalten:

 1.

Die Bezeichnung der Datei und ihre Zweckbestimmung,

 2.

die Aufgabe, zu deren Erfüllung personenbezogene Daten verarbeitet werden und die Rechtsgrundlage der Verarbeitung,

 3.

die Art der gespeicherten Daten,

 4.

der Kreis der Betroffenen,

 5.

die Art der regelmäßig zu übermittelnden Daten und deren Empfänger sowie die Art und Herkunft der regelmäßig zu empfangenen Daten,

 6.

die Fristen für die Prüfung der Sperrung und Löschung der Daten sowie für die Sperrung und Löschung,

 7.

die zugriffsberechtigten Personen oder Personengruppen,

 8.

die personellen, technischen und organisatorischen Maßnahmen,

 9.

bei automatisierten Verfahren die Betriebsart des Verfahrens, die Art der Geräte sowie die Verfahren zur Übermittlung, Sperrung, Löschung und Auskunftserteilung,

10.

Typ, Art, Hersteller und Gerätenummern der bei der automatisierten Datenverarbeitung eingesetzten Geräte, das verwendete Betriebssystem sowie die Möglichkeiten zur Datenfernverarbeitung und Datenübertragung.

6.3     Dateien- und Geräteverzeichnisse für bereits vorhandene Dateien sind unverzüglich zu erstellen.
Alle Verzeichnisse sind laufend auf dem neuesten Stand zu halten.

6.4     Es sind personelle, technische und organisatorische Maßnahmen gemäß § 9 SächsDSG zu ergreifen, um eine den Vorschriften des Sächsischen Datenschutzgesetzes entsprechende Datenverarbeitung zu gewährleisten. Die Maßnahmen müssen zur Erreichung des angestrebten Zwecks geeignet und erforderlich sein. Es ist in jedem Einzelfall zu prüfen, welche Maßnahmen zweckmäßig und angemessen sind.

6.5     Jede öffentliche Stelle, die personenbezogene Daten automatisiert verarbeitet, hat die Datenschutzmaßnahmen, die sie ergriffen hat, in einer besonderen Dienstanweisung im einzelnen festzulegen.

7.    Die Rechte des Betroffenen

Die Rechte des Betroffenen können nicht durch Rechtsgeschäft ausgeschlossen oder beschränkt werden.

7.1.    Das Recht auf Auskunft

7.1.1     Dem Betroffenen ist auf Antrag von der speichernden Stelle Auskunft über die zu seiner Person gespeicherten Daten und über die Stellen, denen Daten regelmäßig übermittelt werden, zu erteilen. Bei minderjährigen Schülern wird der Auskunftsanspruch durch die Erziehungsberechtigten geltend gemacht.

7.1.2     Der Schüler, auch der minderjährige, hat ein Anspruch auf Mitteilung der Noten. Die Auskunft darf sich nur auf Daten des Betroffenen beziehen.

7.1.3     Einsichtnahme in die Schülerkartei darf durch den Betroffenen beziehungsweise durch die Erziehungsberechtigten erfolgen.

7.1.4     Die Auskunftserteilung ist kostenlos.

7.1.5     Das Verfahren und die Form der Auskunftserteilung werden durch die speichernde Stelle bestimmt.

7.2.    Das Recht auf Berichtigung

Der Betroffene hat das Recht auf Berichtigung seiner personenbezogenen Daten, wenn sie nachweislich unrichtig sind. Sind personenbezogene Daten in Akten unrichtig, so ist dies in der Akte zu vermerken.

7.3    Das Recht auf Löschung

7.3.1     Der Betroffene hat das Recht auf Löschung seiner personenbezogenen Daten in Dateien, wenn die Speicherung dieser Daten unzulässig ist oder wenn die Kenntnis dieser Daten für die speichernde Stelle zur Erfüllung ihrer Aufgaben nicht mehr erforderlich ist. Personenbezogene Daten in Akten sind zu löschen, wenn die speichernde Stelle im konkreten Fall feststellt, daß die gesamte Akte zur Aufgabenerfüllung nicht mehr erforderlich ist. Die Löschung personenbezogener Daten unterbleibt, wenn Gründe zu der Annahme bestehen, daß schutzwürdige Belange des Betroffenen durch die Löschung beeinträchtigt werden.

7.3.2     Die Löschung personenbezogener Daten auf magnetischen Datenträgern muß durch Neuformatieren, Überschreiben des Speicherplatzes mit anderen Daten oder spezielle Software erfolgen. DEL oder ERASE sind nicht ausreichend.

7.4    Das Recht auf Sperrung

7.4.1     Der Betroffene hat ein Recht auf Sperrung seiner personenbezogenen Daten, wenn die Richtigkeit dieser Daten vom Betroffenen bestritten wird und sich weder die Richtigkeit noch die Unrichtigkeit feststellen läßt oder wenn eine Löschung der Daten aus besonderen Gründen (Wahrung der Interessen des Betroffenen, Löschen nicht möglich bzw. unverhältnismäßig hoher Aufwand) unterbleibt.

7.4.2     In Akten sind personenbezogene Daten zu sperren, wenn die speichernde Stelle im konkreten Fall feststellt, daß die Daten unzulässig gespeichert sind oder wenn diese Daten zur Aufgabenerfüllung nicht mehr erforderlich sind, aber eine Löschung nicht in Betracht kommt.

7.4.3     Gesperrte personenbezogene Daten sind gesondert aufzubewahren, bei automatisierten Verfahren kann die Sperrung auch durch technische Maßnahmen erfolgen. In jedem Fall sind die Daten mit einem Sperrvermerk zu versehen.

7.5    Das Recht auf Schadensersatz

Wird durch unzulässige oder unrichtige Verarbeitung personenbezogener Daten einem Betroffenen Schaden zugefügt, so ist die öffentliche Stelle zum Ersatz des daraus entstehenden Schadens verpflichtet.

7.6    Das Recht auf Anrufung des Datenschutzbeauftragten

Jeder hat das Recht, sich an den Sächsischen Datenschutzbeauftragten zu wenden.

8    Datensicherheit

Die Daten sind so weit wie möglich vor Beeinträchtigung unter Berücksichtigung verarbeitungsfremder Risiken, aber auch während der ordnungsgemäßen Verarbeitung zu bewahren. Es sind solche Maßnahmen zu ergreifen, die die materielle Sicherheit der Datenverarbeitungsanlagen und der Datenträger gewährleisten.
Weitere Einzelheiten sind dem „Merkblatt zum sicheren Umgang mit Rechnern am Arbeitsplatz“ zu entnehmen (Anlage).

9    Altdatenbestände

9.1     Auf Verlangen sind Altdatenbestände (Akten und Dateien) sowie die zu ihrer Ordnung, Auffindung oder Auswertung dienenden Materialien und Träger sowie sämtliches Zubehör dem Sächsischen Staatsministerium des Innern oder einer von diesem genannten Behörde im Original und mit sämtlichen Ausfertigungen auf Verlangen zur Einsicht vorzulegen und zu übergeben. Kopien dürfen weder angefertigt noch behalten werden.

9.2     Die zuständige Schulaufsichtsbehörde ist von der Übergabe der Altdatenbestände zu unterrichten.

10    Beratungsmöglichkeiten in Datenschutzfragen

10.1     Der Datenschutzbeauftragte des Freistaates Sachsen ist für die Überwachung des Datenschutzes bei allen öffentlichen Stellen des Freistaates Sachsen zuständig.
Die Anschrift des Sächsischen Datenschutzbeauftragten lautet:

Sächsischer Datenschutzbeauftragter
beim Sächsischen Landtag
Postfach 120905
01008 Dresden

10.2     Für Schüler, Eltern und Lehrer ist in allen Fragen des Datenschutzes der Schulleiter der Ansprechpartner. Unabhängig davon hat jeder Betroffene das Recht, sich an andere zuständige öffentliche Stellen zu wenden, insbesondere auch an den Datenschutzbeauftragten des Freistaates Sachsen.

11    Fristen für Übergangsregelungen

11.1     Bis zum 31.3.1992 waren folgende Maßnahmen abzuschließen:

• Die Verpflichtung auf das Datengeheimnis für die Personen, die bei Inkrafttreten des SächsDSG mit der Datenverarbeitung öffentlicher Stellen beschäftigt sind,
• die Unterrichtung des Sächsischen Datenschutzbeauftragten über die bei Inkrafttreten des SächsDSG eingerichteten Abrufverfahren (automatisierte Verfahren, die die Übermittlung personenbezogener Daten mittels Abruf ermöglichen),
• die Erstellung der Dateien- und Geräteverzeichnisse für die bei Inkrafttreten des SächsDSG eingesetzten Dateien und Datenverarbeitungsanlagen,
• die Erstellung von Dateien- und Geräteverzeichnissen über Altdatenbestände und Zuleitung dieser Verzeichnisse an den Sächsischen Datenschutzbeauftragten.

Bisher nicht erfolgte Maßnahmen sind unverzüglich abzuschließen.

11.2     Bis 31.12.1992 waren die bei Inkrafttreten des SächsDSG vorhandenen Dateien und automatisierten Verfahren den Vorschriften des SächsDSG anzupassen.
Bisher nicht erfolgte Maßnahmen sind unverzüglich abzuschließen.

12    Inkrafttreten

Diese Verwaltungsvorschrift tritt mit ihrer Veröffentlichung im Amtsblatt des Sächsischen Staatsministeriums für Kultus in Kraft.

Gleichzeitung tritt die Fassung vom 15. Juli 1992 außer Kraft.

Nowak
Staatssekretär

Anlage 1

Aktueller Unterrichtseinsatz

Für die Planung des Unterrichtseinsatzes ist die Verarbeitung folgende Daten gestattet:

• Name, Vorname, Titel
• Lehrbefähigungen
• Unterrichtspflichtzeit
• Ermäßigungsstunden, Anrechnungsstunden (Art und Anzahl)
• Funktionen, außerunterrichtlicher Einsatz, Wahlunterricht,
• Arbeitsgemeinschaften
• Unterrichtsstunden an anderen Schulen
• erteilte Unterrichtsstunden (Fach, Klasse, Wochenstunden, Unterrichtsart)
• Klassenleitung
• Sprechstunde

Anlage 2

Merkblatt zum sicheren Umgang mit Rechnern am Arbeitsplatz

1.

Schützen Sie Ihren PC vor Benutzung durch Unbefugte und verhindern Sie beim Verlassen des Arbeitsplatzes die unberechtigte Benutzung von Programmen und Daten.

2.

Gehen Sie verantwortungsvoll mit den vorgesehenen Schutzmöglichkeiten des PC s um.

3.

Verhindern Sie die Kenntnisnahme von Daten – insbesondere von Paßwörtern – bei der Eingabe auf Tastatur und Bildschirm und bei der Ausgabe auf Bildschirm und Drucker.

4.

Verhindern Sie die Beschädigung und den Diebstahl von beweglichen Datenträgern wie Disketten und Sicherungsbänder.

5.

Schützen Sie die Programme und Daten vor einer unabsichtlichen Zerstörung.

6.

Benutzen Sie im Dienst keine private Hard- und Software und die dienstliche Hard- und Software nur am Arbeitsplatz.

7.

Schützen Sie sich durch regelmäßige Datensicherung gegen Auswirkungen von Datenverlust.

8.

Überprüfen Sie regelmäßig Geräte, Verbindungen und Datenbestände auf nicht beabsichtigte bzw. Ihnen unverständliche Änderungen.

9.

Informieren Sie den Datenschutzbeauftragten Ihrer Dienststelle oder die vorgesetzte Behörde über ungewöhnliche Ereignisse an Ihrem PC.

10.

Übertragen Sie vertrauliche Daten nur mit besonderem Verfahren (z.B. verschlüsselt).