Inhaltliche Anforderungen der Beschreibung eines Verfahrensverzeichnisses
Hinweis
Bitte beachten Sie, dass die Materialien und Informationen in diesem Bereich aktuell überarbeitet werden und noch nicht an die neue Gesetzeslage angepasst wurden.
Nach § 11 Abs. 2 LDSG sind im Verfahrensverzeichnis nachstehende Angaben zu dokumentieren:
1. Name und Anschrift der verantwortlichen Stelle,
Die verantwortliche Stelle ist nach § 3 Abs. 3 LDSG die Schule, die personenbezogene Daten für sich selbst verarbeitet oder durch andere im Auftrag verarbeiten lässt.
2. die Bezeichnung des Verfahrens,
Das Verfahren ist eindeutig zu bezeichnen. Über die Bezeichnung muss sich das Verfahren im DV-System der Schule oder eines beauftragten Auftragnehmers identifizieren lassen.
3. die Zweckbestimmung und die Rechtsgrundlage der Verarbeitung,
Der Zweck der Datenverarbeitung ist so präzise wie möglich zu benennen. Nach § 4 Abs. 1 LDSG ist die Verarbeitung personenbezogener Daten nur zulässig, wenn das Landesdatenschutzgesetz oder eine andere Rechtsvorschrift sie erlaubt oder der Betroffene, d.h. die Person, deren Daten verarbeitet werden sollen, eingewilligt hat. Im Verfahrensverzeichnis ist daher zu dokumentieren, ob die Verarbeitung aufgrund einer Einwilligung oder aufgrund einer Rechtsvorschrift erfolgt. Erfolgt die Verarbeitung aufgrund einer Rechtsvorschrift, so ist sie zusammen mit den einschlägigen Paragraphen präzise anzugeben.
„Als Zweckbestimmung für die Verarbeitung von personenbezogenen Daten von Schülerinnen und Schülern sowie von deren Erziehungsberechtigten können in der Regel der Erziehungs- und Bildungsauftrag der Schule und Verwaltungs- oder Fürsorgeaufgaben genannt werden. Die Zweckbestimmung ist möglichst ausführlich zu beschreiben.
Als Rechtsgrundlage der Verarbeitung von personenbezogenen Daten von Schülerinnen und Schülern sowie von deren Erziehungsberechtigten sind in der Regel § 13 Abs. 1 und § 15 Abs. 1 LDSG und diese Verwaltungsvorschrift (Datenschutz an öffentlichen Schulen) zu nennen.
Als Rechtsgrundlage der Verarbeitung von personenbezogenen Daten von Lehrkräften sind in der Regel § 36 i.V.m. § 13 Abs. 1, § 15 Abs. 1 LDSG und § 50 Beamtenstatusgesetz und diese Verwaltungsvorschrift zu nennen."
4. die Art der gespeicherten Daten,
Hier geht es nicht darum, jedes einzelne im automatisierten Verfahren gespeicherte Datenfeld aufzuführen. Vielmehr sind sachlich zusammengehörende Datenfelder zu sinnvollen Gruppen zusammenzufassen und diese Datenarten dann allgemein verständlich zu benennen. Beispiele dafür sind:
- Ordnungsmerkmal (z. B. eine Personennummer)
- Familienname
- Vorname
- Geburtstag
- Deputatsangaben
- Abwesenheitsdaten
Einzelmerkmale wie etwa "Postleitzahl", "Wohnort", "Straße" und "Hausnummer" können dabei zu einem Sammelmerkmal, in diesem Falle "Postanschrift", zusammengefasst werden. Bei der Bildung von Sammelmerkmalen ist allerdings darauf zu achten, dass diese noch aussagekräftig bleiben
5. der Kreis der Betroffenen,
Betroffene sind die natürlichen Personen wie Schüler, Eltern und Lehrer, deren Daten mit Hilfe des automatisierten Verfahrens verarbeitet werden. Der Kreis der Betroffenen ist so präzise wie möglich zu bezeichnen.
6. die Empfänger der Daten oder Gruppen von Empfängern sowie die jeweiligen Datenarten, wenn vorgesehen ist,
- die Daten zu übermitteln,
„Sollten durch die Schule personenbezogene Daten, also z. B. Namen von Schülerinnen und Schülern oder Lehrkräften elektronisch im Rahmen eines Schulverwaltungsprogramms an Dritte übermittelt werden, ist für die Übermittlung auch § 16 LDSG oder gegebenenfalls § 18 LDSG anzugeben.“1 - sie innerhalb der öffentlichen Stelle für einen weiteren Zweck zu nutzen oder
- sie im Auftrag verarbeiten zu lassen,
Empfänger ist nach § 3 Abs. 4 LDSG jede Person oder Stelle, die Daten erhält, mit Ausnahme des Betroffenen. Angaben sind sowohl bei einer Datenweitergabe an einen Dritten (Fall a) als auch bei einer Zweckänderung innerhalb der verantwortlichen Stelle Schule (Fall b) oder bei der Einschaltung eines Auftragnehmers (Fall c) zu machen.
7. die Fristen für die Prüfung der Sperrung und Löschung der Daten oder für die Sperrung und Löschung,
Wer personenbezogene Daten mit Hilfe eines automatisierten Verfahrens verarbeitet, muss - beginnend mit der erstmaligen Speicherung von Daten - festlegen, wann welche Datenarten zu sperren oder zu löschen sind.
8. die zugriffsberechtigten Personengruppen oder Personen, die allein zugriffsberechtigt sind,
Zugriffsberechtigte können sowohl Mitarbeiter der öffentlichen Stelle als auch Dritte sein. Nicht notwendig ist, die Zugriffsberechtigten namentlich aufzuführen. Dies würde einen hohen Änderungsbedarf des Verfahrensverzeichnisses nach sich ziehen. Vielmehr können die Zugriffsberechtigten auch funktionsbezogen aufgeführt werden.
9. eine allgemeine Beschreibung der eingesetzten Hardware, der Vernetzung und der Software und
Zu dokumentieren ist die technische Infrastruktur, in der die verantwortliche Stelle ihre automatisierten Verfahren betreibt. Es sind neben den Angaben zur Hardware u.a. auch Angaben zur eingesetzten Software ((z. B. Betriebssysteme, Datenbanksysteme, Sicherheitssoftware oder andere systemnahe Software wie z. B. Tools zur Fernadministration) zu machen.
*die kursiv gedruckten Textstellen sind den Hinweisen des LfD zum Verfahrensverzeichnis entnommen.
10. die technischen und organisatorischen Maßnahmen nach § 9 LDSG.
Bei der Beschreibung der technischen und organisatorischen Maßnahmen bedarf es der Dokumentation konkreter umgesetzter Maßnahmen der nachstehend beschriebenen elf „Kontrollbereiche“.
| § 9 Abs. 3 Nr. .. LDSG |
Bezeichnung | Was soll erreicht werden |
| 1 | Zutrittskontrolle | Unbefugten den Zutritt zu Datenverarbeitungsanlagen zu verwehren |
| 2 | Datenträgerkontrolle | zu verhindern, dass Datenträger unbefugt gelesen, kopiert, verändert oder entfernt werden können |
| 3 | Speicherkontrolle | die unbefugte Eingabe in den Speicher sowie die unbefugte Kenntnisnahme, Veränderung oder Löschung gespeicherter Daten zu verhindern |
| 4 | Benutzerkontrolle | zu verhindern, dass Datenverarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung von Unbefugten genutzt werden können |
| 5 | Zugriffskontrolle | zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können |
| 6 | Übermittlungskontrolle | zu gewährleisten, dass überprüft und festgestellt werden kann, an welche Stellen Daten durch Einrichtungen zur Datenübertragung übermittelt werden können |
| 7 | Eingabekontrolle | zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, welche Daten zu welcher Zeit von wem in Datenverarbeitungssysteme eingegeben worden sind |
| 8 | Auftragskontrolle | zu gewährleisten, dass Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können |
| 9 | Transportkontrolle | zu gewährleisten, dass bei der Übertragung von Daten sowie beim Transport von Datenträgern die Daten nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können |
| 10 | Verfügbarkeitskontrolle | zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind |
| 11 | Organisationskontrolle | die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird |
(Stand Juli 2015)