FAQ

Früher galt die E-Mail wie eine offene Postkarte. Ist das auch heute noch der Fall ? Die Mails werden doch verschlüsselt !

Für den Fall, dass Sie in den Kontoeinstellungen Ihres Mailprogramms die Portnummern für die Verschlüsselung/Entschlüsselung eingetragen haben, erfolgt der Transport (Sender ->Provider1 ->Provider2 ->Empfänger) in verschlüsselter Form. Bei den Providern und beim Empfänger liegen die Mails wieder im Klartext vor.
Also nur während des Transports kann die Mail zwar abgefangen aber nicht gelesen werden. Die Problemstelle liegt dann weniger beim Provider (Hacking unwahrscheinlich aber nicht unmöglich) als beim Empfänger.
Sie wissen nicht, wer die E-Mail abruft! (Gleiches galt übrigens auch für Fax-Geräte.)

Natürlich werden in einer Dienst-Mail personenbezogene Daten ausgetauscht. Z.B. Wer, wann und wo an einer Prüfung oder einer anderen Veranstaltung teilzunehmen hat.
Aber darum geht es gar nicht. Die entscheidende Frage ist immer: Kann den Betroffenen ein Schaden entstehen, wenn die Informationen von unbefugten gelesen werden? Immer, wenn diese Frage nicht eindeutig verneint werden kann, müssen entsprechende Maßnahmen erfolgen, dass die Informationen nicht von unbefugten gelesen werden können! --> Entweder verschlossener Brief (ggf. mit Einschreiben) oder Mail mit verschlüsseltem Inhalt.

Unabhängig von anderen Möglichkeiten sei hier auf das Packprogramm 7-Zip verwiesen. Mit ihm ist es möglich, einzelne Dateien oder auch ganze Ordner nicht nur zu komprimieren sondern auch mit unterschiedlichsten Verfahren sicher zu verschlüsseln. Diese verschlüsselte Datei können Sie dann in den Anhang der Mail legen.
iOS-Nutzer können kompatibel zur Windows-Welt mit iZip arbeiten.
Das Schlüsselwort sollten Sie aber auf einem anderen Weg mit dem Empfänger austauschen!

Datenschutzrechtlich relevant sind nur Inhalte, die personenbezogene Daten der Schülerinnen und Schüler enthalten. Derartige dienstliche Kommunikation über E-Mail kommt daher aus datenschutzrechtlicher Sicht nur über dienstliche E-Mail-Adressen in Betracht, die von der Schulleitung bzw. dem Schulträger bereitgestellt wurden.

Voraussetzung dafür ist allerdings, dass die Eltern bzw. die einwilligungsfähigen Schülerinnen und Schüler mit der E-Mail-Kommunikation einverstanden sind; denn die Angabe ihrer privaten E-Mail-Adresse ist nach der VO DV I freiwillig und jederzeit widerrufbar. In der Schulpraxis kann das Einverständnis auch konkludent erfolgen, indem Eltern sich z.B. mit Anfragen selber per E-Mail an die Schule wenden.

Unter der gleichen Voraussetzung können z.B. über LOGINEO NRW oder andere dienstlich zur Verfügung gestellte Systeme auch von Privatgeräten E-Mails mit personenbezogenen Daten versendet werden, wenn in dem System eine dienstliche E-Mail-Adresse zur Verfügung gestellt wird. Die Verarbeitung der Daten auf Privatgeräten unterliegt allerdings den dafür üblichen Bedingungen (Genehmigung) und ist auch bei der E-Mail-Kommunikation auf die in Anlage 3 zur VO DV I aufgelisteten Daten beschränkt.    
Soweit Lehrkräfte ihre privaten E-Mail-Konten mit Schülerinnen und Schülern oder Eltern kommunizieren, ist dies ihre persönliche Entscheidung, die einvernehmlich mit Eltern bzw. Schülerinnen und Schülern zu erfolgen hat. Diese Kommunikation fällt nicht in die datenschutzrechtliche Verantwortung der Schulleitung.

Erklär-Filme Datenschutz

Erklärvideos für einen sicheren digitalen Schulalltag

Neben den vielen Möglichkeiten, digitale Medien in die Schule zu bringen, steht für LehrerInnen oft die Frage im Raum, wie sicher die eingesetzte IT oder die gewählten Kommunikationswege sind. Dabei können LehrerInnen, die sich sicher im digitalen Schulalltag bewegen, ihr Wissen an KollegInnen weitergeben sowie den sicherheitsbewussten Umgang mit Geräten, Apps und Daten auch ihren SchülerInnen vorleben. Das BSI möchte sie dabei mit verständlichen Empfehlungen und Hilfestellungen unterstützen.

Verordnung über die zur Verarbeitung zugelassenen Daten von Schülerinnen, Schülern und Eltern (VO-DV I)

Verordnung über die zur Verarbeitung zugelassenen Daten der Lehrerinnen und Lehrer sowie des sonstigen Personals im Schulbereich (VO-DV II)

Dienstanweisung für die automatisierte Verarbeitung von personenbezogenen Daten in der Schule

Datenschutz-Grundverordnung DSGVO 

Datenschutzgesetz Nordrhein-Westfalen (DSG NRW)

Dürfen Lehrkräfte ihr Handy für die telefonische Kommunikation mit Eltern nutzen? 

Telefongespräche mit einzelnen Eltern von einem mobilen Telefon aus zu führen ist unproblematisch. Telefonnummern oder Namenslisten von Schülerinnen und Schülern und Eltern mit Kontaktdaten auf einem mobilen Handy zu speichern, bedarf dagegen der Einwilligung der Betroffenen, oder, sofern die Speicherung erforderlich ist, der Genehmigung der Schulleitung zur Nutzung dieses Gerätes für personenbezogene Schüler-/Elterndaten.

 Beim Betrieb einer Homepage sind u. a. die Vorgaben gem. § 5 Telemediengesetz (TMG, Impressumspflicht) sowie die Informationsrechte der Betroffenen zu beachten, die in der Datenschutzerklärung erfüllt werden. Bei Daten mit Personenbezug ist zu beachten, dass eine Veröffentlichung nur auf Grundlage einer Einwilligung erfolgen kann. Etwas anderes gilt nur, wenn entsprechende Veröffentlichungspflichten bestehen (z. B. Name der Datenverantwortlichen, Art. 13 Abs. 1 a) DSGVO; Geschäftsverteilungspläne/Organigramme mit Namen der Beschäftigten gem. § 12 IFG). (Weitere Informationen unter dem Reiter "Sonstige Fragen zum Datenschutzrecht an Schulen")

Datenschutzhinweise; Angaben zu Datenschutzbeauftragten                                 

Die oben genannte Informationspflicht gemäß Artikel 13 DSGVO besteht auch gegenüber Personen, die die Homepage von Schulen nutzen. Sofern auf der Homepage einer Schule Cookies, Besucherzähler, Fragebögen o.ä. eingerichtet sind und in der Schule somit Daten von Personen, die die Homepage besucht haben, verarbeitet werden, muss auch ein Hinweis erfolgen, ob und wie bei Zugriff auf das Homepageangebot personenbezogene Daten verarbeitet werden. Entsprechend der Zielsetzung der DSGVO, Transparenz im Umgang mit dem Daten zu erreichen, müssen Besucher der Webseite informiert werden, was im Hintergrund mit ihren Daten geschieht.           

Zudem ist nach Artikel 37 Absatz 7 DSGVO verpflichtend, die Kontaktdaten des bzw. der zuständigen schulischen Datenschutzbeauftragten zu veröffentlichen. Dazu eignet sich ebenfalls ein Hinweis auf der Homepage der Schule. Die Angabe der dienstlichen E-Mail-Adresse und der Telefonnummer ist ausreichend.