VollzBek DS – Schulen: 3. Rechtmäßigkeit der Datenverarbeitung(zu Art. 6 DSGVO)
3.   Rechtmäßigkeit der Datenverarbeitung
(zu Art. 6DSGVO)
3.1   Allgemeines 
1Die Schule – und somit auch die einzelne Lehrkraft und das sonstige an der Schule tätige Personal im Rahmen der Tätigkeit für die Schule – darf personenbezogene Daten nur verarbeiten, wenn hierfür eine gesetzliche Befugnis besteht oder eine wirksame Einwilligung vorliegt (vgl. Art. 6 Abs. 1 DSGVO). 2Gesetzliche Verarbeitungsbefugnisse der Schulen ergeben sich insbesondere aus Art. 85 des Bayerischen Gesetzes über das Erziehungs- und Unterrichtswesen (BayEUG) in Verbindung mit den Vorschriften der Bayerischen Schulordnung. 3Auf die Bestimmungen für den Umgang mit Schülerunterlagen in §§ 37 ff. der Bayerischen Schulordnung (BaySchO) und den zugehörigen Durchführungshinweisen sowie die Regelungen für Verarbeitungsverfahren der Schulen in § 46 i. V. m. Anlage 2 BaySchO wird hingewiesen. 4Lehrkräfte und das sonstige an der Schule tätige Personal haben in ihrem jeweiligen Aufgabenbereich sicherzustellen, dass Unbefugte auf dienstliche Aufzeichnungen und Unterlagen mit Personenbezug keinen Zugriff erhalten. 5Auf die §§ 14a und 27 Abs. 7 der Dienstordnung für Lehrkräfte an staatlichen Schulen in Bayern (LDO) wird hingewiesen. 6Im Übrigen finden bei Datenverarbeitungen durch Lehrkräfte und das sonstige an der Schule tätige Personal die Regelungen zum Datengeheimnis bzw. zur Verschwiegenheitspflicht von Beamten und Beamtinnen nach § 37 Beamtenstatusgesetz (BeamtStG) oder von Arbeitnehmerinnen und Arbeitnehmern nach § 3 Abs. 2 Tarifvertrag für den Öffentlichen Dienst der Länder (TV-L) Anwendung.
3.2   Besondere Verarbeitungssituationen 
Die folgenden Vorgaben betreffen einzelne an Schulen häufig auftretende Verarbeitungssituationen.
3.2.1   Veröffentlichung von Kontaktdaten der Lehrkräfte und des sonstigen an der Schule tätigen Personals 
1Die Kontaktdaten der Lehrkräfte und des sonstigen an der Schule tätigen Personals dürfen unter Beachtung der Vorgaben der Anlage 2 Abschnitt 5 zu § 46 BaySchO im schulinternen passwortgeschützten Bereich bekanntgegeben werden. 2Im allgemein zugänglichen Bereich der Schulhomepage dürfen diese Daten nicht ohne Einwilligung der betroffenen Lehrkräfte und des sonstigen an der Schule tätigen Personals veröffentlicht werden. 3Um die Einwilligung nachweisen zu können (vgl. Art. 5 Abs. 2 DSGVO), ist eine geeignete Dokumentation sicherzustellen. 4Eine Einwilligung zur Veröffentlichung im allgemein zugänglichen Bereich der Schulhomepage ist nicht erforderlich für dienstliche Kommunikationsdaten (Name, Namensbestandteile, Vorname(n), Funktion, Amtsbezeichnung, Lehrbefähigung, dienstliche Telefonnummer, dienstliche E-Mail-Adresse) von Personen, die an der Schule eine Funktion mit Außenwirkung wahrnehmen. 5Im schulischen Bereich sind dies neben der Schulleiterin bzw. dem Schulleiter insbesondere die stellvertretende Schulleitung, Beratungslehrkräfte und Schulpsychologinnen bzw. Schulpsychologen sowie im beruflichen Schulbereich die Leiterinnen bzw. Leiter einzelner Berufsfachschulen innerhalb von Schulzentren, die technischen und gestalterischen Leiterinnen bzw. Leiter, die Produktionsbetreuerinnen bzw. -betreuer, die Schulbeauftragten für die fachpraktische Ausbildung außerhalb der Schule und die Außenkoordinatorinnen bzw. Außenkoordinatoren. 6Eine Einwilligung zur Veröffentlichung der Kontaktdaten der bzw. des Datenschutzbeauftragten der Schule im allgemein zugänglichen Bereich der Schulhomepage ist nicht erforderlich, soweit lediglich der Funktionsname (z. B. „Datenschutzbeauftragte/Datenschutzbeauftragter der Schule x“), die Anschrift und allgemeine Telefonnummer der Schule und eine etwaige Funktions-E-Mail-Adresse (z. B. „[Schulnummer].datenschutz@schule.bayern.de“) genannt werden. 7Die Fachschaftsleitung und vergleichbare fachbezogene Funktionsstellen innerhalb der Schule gelten nicht als Funktion mit Außenwirkung. 
3.2.2   Vertretungspläne und Sprechstundenverzeichnisse 
1Personenbezogene Vertretungspläne und Sprechstundenverzeichnisse dürfen unter Beachtung der Vorgaben der Anlage 2 Abschnitt 5 zu § 46 BaySchO grundsätzlich nur im schulinternen passwortgeschützten Bereich im erforderlichen Umfang bekanntgegeben werden. 2Im allgemein zugänglichen Bereich der Schulhomepage sind Vertretungspläne und Sprechstundenverzeichnisse in der Regel nicht erforderlich. 
3.2.3   Videoüberwachung an Schulen 
1Eine Verarbeitung personenbezogener Daten an Schulen mit Hilfe von optisch-elektronischen Einrichtungen (Videoüberwachung) ist mit Blick auf den erheblichen Eingriff in das Recht auf informationelle Selbstbestimmung restriktiv zu handhaben. 2Neben den allgemeinen Voraussetzungen des Art. 24 Bayerisches Datenschutzgesetz (BayDSG) und den Maßgaben in Anlage 2 Abschnitt 6 zu § 46 BaySchO sind insbesondere folgende Maßgaben zu beachten: 
3Die Gefahrsituation, die die Videoüberwachung begründet, ist anhand einer Einzelfallprognose zu beurteilen. 4Die für die Prognose relevanten tatsächlichen Anhaltspunkte sind in einer Vorfallsdokumentation festzuhalten und regelmäßig zu überprüfen. 5Bei der Entscheidung für eine Videoüberwachung ist dem Verhältnismäßigkeitsgrundsatz Rechnung zu tragen; daher ist zu dokumentieren, dass die Videoüberwachung zur Abwehr der prognostizierten Gefahr geeignet und erforderlich ist und andere, weniger eingreifende Aufsichts- und Überwachungsmaßnahmen oder technisch-organisatorische Sicherungsmaßnahmen (z. B. Einbau von Einbruchssicherung, graffitiabweisende Wandfarbe) nicht in Betracht kommen. 6Audioübertragungen oder Audioaufzeichnungen im Rahmen der Videoüberwachung sind unzulässig. 7Sind durch die Videoüberwachung Beschäftigte betroffen (z. B. in Verwaltungsgängen, Lehrerzimmern oder Kaffeeküchen), so hat der Personalrat mitzubestimmen (Art. 75a Bayerisches Personalvertretungsgesetz – BayPVG).
3.2.4   Nutzung privater Endgeräte für dienstliche Zwecke 
1Die Verarbeitung personenbezogener Daten für schulische Zwecke ist grundsätzlich nur auf schulischen Endgeräten zulässig. 2Soweit kein geeignetes schulisches Endgerät zur Verfügung steht, dürfen personenbezogene Daten ausnahmsweise auf privaten Endgeräten verarbeitet werden. 3Dies ist zulässig, wenn sichergestellt ist, dass vor einer Nutzung von privaten Endgeräten die diesbezüglichen Verfahrensabläufe in der Datenschutz-Geschäftsordnung (vgl. Nr. 2) angemessen geregelt wurden und die vom Staatsministerium aufgestellten technisch-organisatorischen Mindestvorgaben, die sich an der IT-Sicherheitsrichtlinien für die bayerische Staatsverwaltung – Sicherheit von IT-gestützten Endgeräten (BayITSiR-13) sowie Telearbeits- und mobile Arbeitsplätze (BayITSiR-05) orientieren, abrufbar unter www.km.bayern.de/schule-digital/datensicherheit-an-schulen.html – eingehalten werden.
4Private Endgeräte, die dienstlich genutzt werden, sind der Schule anzuzeigen – vgl. hierzu die vom Staatsministerium zur Verfügung gestellten Hinweise und Checklisten, abrufbar unter www.km.bayern.de/schule-digital/datensicherheit-an-schulen.html. 5Die Schule hat Lehrkräfte und sonstiges an der Schule tätiges Personal über die Verpflichtungen nach Satz 3 und Satz 4 zu belehren und diese Belehrung zu dokumentieren.