Seit 25.05.2018 gelten die Vorschriften der EU-Datenschutz-Grundverordnung (DSGVO), die umfassende Informationspflichten der verantwortlichen Stellen gegenüber den betroffenen Personen vorschreiben.

Sofern Schulen eigene Webseiten betreiben, sind sie verpflichtet, entsprechende Datenschutzerklärungen zu veröffentlichen.

Die Datenschutzerklärungen müssen auf die jeweiligen Verhältnisse der Webseite abgestellt werden. Daher kann in dieser FAQ kein allgemein anzuwendendes Muster mit vorgefertigten Formulierungen bereitgestellt werden.

Beigefügt sind als Unterstützung

• Hinweise zu den Informationspflichten im Allgemeinen und im Zusammenhang mit einem Webauftritt (Link zum ULD).
• Ein Muster für eine Datenschutzerklärung (s.u.) und ein Impressum (s.u.) einer statischen Schulhomepage, die maximal ein Kontaktformular zur Interaktion enthält.
• eine Checkliste (s.u.), mit deren Hilfe wichtige Punkte geprüft werden können. Die Liste erhebt keinen Anspruch auf Vollständigkeit.

Die möglicherweise erforderlichen weiteren Informationen zur Datenverarbeitung müssen an die tatsächlichen Verhältnisse der Webseite angepasst werden.

Bei der Gestaltung einer Schulhomepage sollten folgende Punkte beachtet werden: 

Technische Realisierung:

• Hosting bei einem Provider innerhalb Deutschlands/der EU (Auftragsverarbeitung).
• DSGVO-konforme Datenschutzhinweise, korrektes Impressum.
• Datenschutzhinweise und Impressum müssen von der Startseite und allen Unterseiten direkt erreichbar sein.
• Keine Cookies außer der sog. Sessioncookies (technisch notwendig).
• Cookie-Hinweis muss beim Aufruf der Seite erscheinen (Pop-Up).
• Keine Nutzung von Google-Fonts, sondern von auf dem Webserver lokal gespeicherten Schriftarten
• Kein Einsatz von Analysetools wie Google-Analytics o.ä.
• Nutzungsauswertung/Analyse darf maximal lokal erfolgen (bspw. durch Matomo)

Unzulässige Inhalte auf einer Schulhomepage (kein Anspruch auf Vollständigkeit) sind:

• Fotos/Bilder/Grafiken/Namensnennungen, für die keine Einwilligung zur Veröffentlichung vorliegt bzw. nicht mehr nachgewiesen werden kann. (bspw. Bilder von SuS, die bereits die Schule verlassen haben und deren Schülerakte gelöscht wurde)
• Gleiches gilt für Kontaktlisten
• Fotos aus anderen Quellen, für die keine Nutzungsrechte bestehen (Urheberrecht)
• Eingebettete Videos, die einen Player eines nicht datenschutzkonformen Anbieters nutzen
• Plugins/Like-Buttons von Sozialen Netzwerken oder Streamingdiensten/Videoportalen

Anfahrtsbeschreibungen sollten, wenn erforderlich, mit Openstreetmap als OpenSource-Alternative realisiert werden.

Veröffentlichung von Namen, Kontaktdaten

• Namensnennungen und Angaben privater Telefonnummern oder Mailadressen von
  Kolleginnen und Kollegen dürfen nur erfolgen, wenn hierfür die Einwilligungen vorliegen.
• Dies gilt nicht für
  • die Schulleitung (Funktionsträger)
  • Ansprechpartner anderer Behörden, deren Daten im Internet bereits veröffentlicht sind
  • dienstliche Telefonnummern

Zugehörige Dateien
→ Muster Datenschutzerklärung [DOCX]
→ Muster Impressum [DOCX]
→ Checkliste Schulhomepage [PDF]

Mit Inkrafttreten der EU-Datenschutzgrundverordnung am 25.05.2018 wurden alle öffentlichen Stellen verpflichtet, einen Datenschutzbeauftragten zu bennen. Das Bildungsministerium hat in Abstimmung mit der Aufsichtsbehörde entschieden, hierfür eine zentrale Position im Ministerium zu schaffen. Somit existiert für allle öffentlichen Schulen ein zentraler Ansprechpartner, der auch alleinig an die Aufsichtsbehörde gemeldet wurde.

Schulen benennen daher keinen eigenen Datenschutzbeauftragten gegenüber der Aufsichtsbehörde (ULD).

Nichtsdestotrotz ist es empfehlenswert, eigene Datenschutzkompetenz an Schule aufzubauen und ggf. einen weiteren Ansprechpartner neben der nach § 2 Schuldatenschutzverordnung (SchulDSVO) für die Organisation und Einhaltung des Datenschutzes verantwortliche Schulleitung zu haben. Diese Datenschutzkoordinatoren können dann auch als Bindeglied zum zentralen Datenschutzbeauftragten für die öffentlichen Schulen fungieren.

In allen Belangen, bei denen die Nennung des Datenschutzbeauftragten erforderlich ist (bspw. Datenschutzhinweise auf der Schulhomepage, Anmeldeformulare, Einwilligungen gegenüber der Schule etc.) sind folgende Angaben aufzunehmen:

Die/Der Datenschutzbeauftragte der Schule ist

Zentraler Datenschutzbeauftragter des Bildungsministeriums für die öffentlichen Schulen
DatenschutzbeauftragterSchule@bimi.landsh.de
Telefon: +49 431 988 2452

Die Aufgaben des Datenschutzbeauftragten sind insbesondere:

• Ansprechpartner in Datenschutzfragen für alle an Schule Beteiligten
  
• Beratung auf Anfrage
• Durchführung von Schulungen und Sensibilisierungsveranstaltungen (bspw. Schulentwicklungstage, IQSH-Fortbildungen)
• Bereitsstellung von allgemeinen Informationen zum Datenschutz (dieses Infoportal, Muster, Handreichungen etc.)
• Unterstützung bei der Kommunikation mit der Aufsichtsbehörde im Falle von Datenpannen
• Zusammenarbeit mit der Aufsichtsbehörde
• Überprüfung der Einhaltung der datenschutzrechtlichen Vorschriften und Vorgaben
  
  

Zugehörige Dateien
→ Informationen des Bildungsministeriums zum Inkrafttreten der DSGVO [PDF]

Vertretungspläne dienen der Organisation des Schulbetriebes. Sie informieren die Schülerinnen und Schüler über Veränderungen in den Stundenplänen. Vertretungspläne werden üblicher Weise in den Räumlichkeiten der Schulen ausgehängt und sind damit im Grundsatz nur den Adressaten (Schülerinnen, Schülern, ggf. Eltern und den Lehrkräften) zugänglich. Diese Veröffentlichung von Vertretungsplänen ist zur Organisation des Schulablaufes erforderlich. In diesem Fall ist es datenschutzrechtlich grundsätzlich zulässig, dass die Vertretungspläne Namen von Lehrkräften oder deren entsprechende Kürzel enthalten. Die Gestaltung der Vertretungspläne liegt letztlich im organisatorischen Entscheidungsbereich der Schulleitung. Dabei muss im Einzelfall bewertet werden, ob auf die Angabe des Namens einer Lehrkraft verzichtet werden kann. Ist die Schulleitung der Auffassung, dass die Namensnennung unverzichtbar ist, so müssen es sich die Lehrkräfte gefallen lassen, dass ihre Namen genannt werden, da diese im Zusammenhang mit ihrer (Lehr-)Funktion stehen.

Die Veröffentlichung von Vertretungsplänen auf der schuleigenen Homepage mit Nennung der Namen der Lehrkräfte ist hingegen aus schulorganisatorischen Gründen in der Regel zunächst nicht erforderlich, weil die Schülerinnen und Schüler anhand der Vertretungspläne nur Informationen erhalten müssen, ob sich Fächer verschieben oder sich der Stundenplan verändert hat.

Darüber hinaus ist zu bedenken, dass durch die Veröffentlichung von Vertretungsplänen auf der Schulhomepage nicht nur der eingeschränkte Adressatenkreis der Schulöffentlichkeit Zugang zu diesen Informationen hat, sondern jeder Nutzer des Internets weltweit. Wegen der fehlenden Erforderlichkeit und des unbestimmten Adressatenkreises ist eine Veröffentlichung von Namen der Lehrkräfte daher unzulässig.

Idealerweise sollten die Vertretungspläne in einem gesonderten Bereich der Schulhomepage untergebracht werden, der nur befugten Nutzenden unter Eingabe eines Passwortes zugänglich ist und der nicht für die Web-Öffentlichkeit zur Verfügung steht. Auf diese Weise ließe sich der Zugriff auf solche Daten im Ansatz auf die Schulöffentlichkeit beschränken. Allerdings sollten auch hier maximal die Namenskürzel der Lehrkräfte angegeben werden.

Beabsichtigt die Schulleitung dennoch, zusammen mit den Vertretungsplänen auch personenbezogene Daten der Lehrkräfte zu veröffentlichen, so muss eine Einwilligung der Betroffenen eingeholt werden.