DV-Dienstleistungen für Schulen durch Schulträger und deren Auftragnehmer

Fotolia_125706205_S.jpg

Bild IT Security

Die hessischen Schulträger erbringen im Rahmen ihres gesetzlichen Auftrags durch eigenes Personal oder beauftragte Unternehmen DV-Dienstleistungen in den Schulen, die mit der gesamten Entwicklung der schulischen Datenverarbeitung immer umfänglicher und komplexer werden. Einerseits werden die Schulen dadurch von Aufgaben entlastet, für die sie in aller Regel personell nicht ausgestattet sind, andererseits versuchen die Schulträger durch größere Vereinheitlichung in ihrem Aufgabenbereich Kosten zu sparen. Zum Teil geschieht dies durch die Entwicklung geeigneter Netzkonzepte. Die datenschutzrechtlichen Risiken werden durch die vereinheitlichten Konzepte bei der Administration zum Teil gemindert, durch die Vernetzung innerhalb der Schulen und darüber hinaus sind jedoch neue Problemfelder zu bewältigen. Dabei müssen die Schulträger als entscheidenden Punkt beachten, dass trotz des besonderen Innenverhältnisses zwischen Schule und Schulträger die Schule nach außen die Daten verarbeitende Stelle im Sinne des Hessischen Datenschutzgesetzes ist (§ 2 Abs.3 HDSG) und damit die datenschutzrechtliche Verantwortung für die betroffenen personenbezogenen Daten trägt.
Das bedeutet, dass die Schule auch bei allen Leistungen, die der Schulträger für die Schule erbringt, Herr des Verfahrens bleiben muss.
Der Schulträger muss sich demnach im Allgemeinen gegenüber der Schule wie jeder andere Auftragnehmer nach § 4 HDSG verhalten und die entsprechenden Rahmenbedingungen sicherstellen. Beauftragt der Schulträger einen öffentlichen oder nicht öffentlichen Dienstleister, müssen die gleichen Voraussetzungen durch die vertraglichen Vereinbarungen zwischen Schulträger und Auftragnehmer sichergestellt werden.
Dies beinhaltet unter Anderem folgende Eckpunkte:

Der Schulträger muss seine Tätigkeit transparent machen und für die Schule nachvollziehbar dokumentieren. Vor-Ort-Arbeiten sind der Schule ebenso vorab anzuzeigen, wie jede nicht standardisiert vereinbarte Aktivität über ein ggf. eingerichtetes Schulträgernetz.
Der Schule müssen alle relevanten System- und Softwareprotokolle zugänglich sein. Durch geeignete Maßnahmen ist die Unverfälschbarkeit der Protokolle sicher zu stellen.
Werden schulische Rechner oder Teilnetze durch den Schulträger an das Verwaltungsnetz des Schulträgers angebunden, müssen sie durch den Einsatz verschiedener Adressräume und geeigneter Firewalls wirkungsvoll separiert werden. Der Zugriff Unbefugter - auch aus dem Bereich der Schulträger - auf personenbezogene Daten der Schule muss ausgeschlossen sein. Die Trennung der verschiedenen Schulnetze für Verwaltungs- und Unterrichtszwecke darf durch die Vernetzung nicht aufgehoben werden.
Der berechtigte Personenkreis, der auf diesem Weg Zugriff auf die schulischen Netze hat, ist ebenso festzulegen wie die Arbeitsplätze von denen die Zugriffe erfolgen (geschlossene Gruppen).
Für Daten mit erhöhtem Schutzbedarf (z. B. Personal- und Gesundheitsdaten) sind besonders bei einer Vernetzung zusätzliche Maßnahmen vorzusehen. Beispielsweise ist durch die Speicherung auf gesonderten Datenträgern oder eine geeignete Verschlüsselung sicherzustellen, dass diese Daten auch bei Wartungs- oder Administrationsarbeiten nicht zugänglich sind.
Während der Verarbeitung solcher Daten ist auch vom Einsatz einer Fernbetreuungs-Software abzusehen.
Bei der Wartung und Störungsbeseitigung ist im Einzelfall nicht auszuschließen, dass personenbezogene Daten der Schule auf die Systeme des Schulträgers übertragen werden oder dass der Schulträger zur Überprüfung oder Entsorgung komplette Datenträger, z.B. Festplatten erhält. In diesen Fällen muss der Schulträger die Löschung der Daten bzw. die Vernichtung der Datenträger nach den veröffentlichten Standards des Bundesamtes für Sicherheit in der Informationstechnik (BSI) gewährleisten und für die Schule nachvollziehbar dokumentieren.
Alle grundsätzlichen Details sind den Musterverträgen und Erläuterungen auf meiner Homepage zu den Themen Hardware- bzw. Fernwartung und Datenverarbeitung im Auftrag zu entnehmen.
Der Umfang der erbrachten Leistungen durch die Schulträger wird nach den vorliegenden Erfahrungen in aller Regel als DV im Auftrag einzuordnen sein.

Sonderfall Fernbetreuung (oder auch Fernsteuerung, Remote Controle Software)
An allen Schulverwaltungs-Rechnern (auch Servern), die als Arbeitsplätze genutzt werden, dürfen Programme zur Fernbetreuung bzw. -steuerung nur unter bestimmten Rahmenbedingungen eingesetzt werden.
Es dürfen nur solche Programme ausgewählt werden, deren Installationsparameter eine verbindliche Konfiguration ergeben. Ggf. ist der Zugriff auf die Konfiguration durch das Vier-Augen-Prinzip unter Beteiligung der Schule zu schützen.
Die Protokolle, die Aufschluss über die Installation, den Betrieb sowie Änderungen an der Konfiguration geben, müssen der Schule zugänglich sein und von dieser auch ausgewertet werden.
Die Konfiguration soll sicher stellen, dass ein Anwender, der eine Fernbetreuung initiiert, der nachfolgenden Aufschaltung auf seinen Rechner aktiv zustimmen muss, eine aktive Verbindung immer im Vordergrund gut erkennbar angezeigt wird und der Anwender die Verbindung jederzeit abbrechen kann.

Die Nutzung dieser Programme zur Verhaltens- und Leistungskontrolle ist nach § 34 HDSG ausgeschlossen. Dies gilt auch für andere notwendige Programme zur Systempflege oder Störungsbeseitigung, die auch Teil des Betriebssystems sein können. Bei Einsatz einer solchen Software empfiehlt sich der Abschluss bzw. die Erweiterung einer entsprechenden Dienstvereinbarung.

(Stand 22. August 2008)

SERVICE