Datenschutz an Schulen in NRW Handreichung für Schulen

INHALT 1.  Vorwort                                       4 2.  Datenschutz und Datensicherheit               6 3.  Datenverarbeitung                             7 4.  Personenbezogene Daten                        8 5.  Prinzipien rechtskonformer Datenverarbeitung 10 6.  Sicherheit der Datenverarbeitung             12 7.  Wenn Daten die Schule verlassen              14 8.  Verzeichnis von Verarbeitungstätigkeiten     16 9.  Behördliche Datenschutzbeauftragte           18 10. Überblick über die gesetzlichen Regelungen   20 11. Datenschutz als Unterrichtsgegenstand        22 12. Häufig gestellte Fragen                      24 13. Verweise                                     25

1. VORWORT In der sich rasant digitalisierenden Welt sind Daten beachtlicher Seit dem 25. Mai 2018 ist die Verordnung (EU)     Die vorliegende Schrift möchte nicht nur Schulleitungen, sondern Wirtschaftsfaktor und wertvolle Ressource. Die vielfältigen       2016 / 679 (Datenschutzgrundverordnung,           allen im Umfeld von Schule mit der Verarbeitung von personen- Angebote im Internet für einen sozialen Austausch (z. B. Insta-   DSGVO) EU-weit geltendes Recht und ersetzt        bezogenen Daten Beauftragten erforderliches Hintergrundwis- gram, WhatsApp), zur Datenspeicherung (z. B. dropbox, OneDrive)   in weiten Bereichen die bisherigen nationalen     sen liefern und damit das Verantwortungsbewusstsein schärfen. oder Recherche (z. B. google, bing) sind aber nur vordergründig   Datenschutzgesetze.                               Die Informationen unterstützen aber nicht nur bei der Einfüh- kostenlos, denn die Nutzenden dieser Dienste bezahlen mit der                                                       rung digitaler Medien und der Umsetzung von Maßnahmen zum Preisgabe ihrer persönlichen Daten.                               Auch in Schulen führte die DSGVO zu Verunsi-      Datenschutz, sondern auch bei der Medienkonzepterstellung als cherung. Viele Fragen stellten sich zur Recht-    eine Grundlage für die kommunale Medienentwicklungsplanung. Vor diesem Hintergrund ist eine Aufgabe von Schule die Medien-    mäßigkeit bereits umgesetzter Maßnahmen und kompetenzentwicklung und -förderung ihrer Schülerinnen und        etablierter Verfahren. Die DSGVO wurde dabei      Die 3. Auflage dieser Schrift berücksichtigt im Wesentlichen die Schüler, um die Lernenden zu einem sicheren und verantwor-        als neue, zusätzliche Belastung wahrgenommen.     Anpassung der Verweise auf die DSGVO und die neuen Begriff- tungsvollen Umgang mit Medien in der digitalisierten Welt zu                                                        lichkeiten dieser Verordnung. Dabei wurden die bestehenden befähigen. Als Lerngegenstand und als Werkzeuge haben digitale    Doch schon vor Inkrafttreten dieser Verordnung    Inhalte gestrafft und die Kapitel neu sortiert. Dienste vor der Schule nicht Halt gemacht. Das technisch Mach-    gewährleisteten die in Deutschland und den bare muss sich hier jedoch für eine pädagogisch reflektierte,     Bundesländern geltenden Rechtsvorschriften        Die Hinweise und Vorschläge zum Datenschutz und zur Datensi- nachhaltig sinnvolle Verwendung qualifizieren und den rechtli-    ein sehr hohes Datenschutzniveau – sofern die     cherheit dieser kompakten Schrift können nicht für den Einzelfall chen Vorgaben unterwerfen.                                        einschlägigen Vorgaben beachtet und umgesetzt     rechtlich bindend noch insgesamt abschließend sein. Sie stellen wurden. Das Schulgesetz NRW und die grund-        jedoch die wesentlichen Eckpunkte des Handlungsrahmens dar, Mit dem Einsatz digitaler Systeme geht die Verarbeitung perso-    legenden Verordnungen VO-DV I und II bilden       in dem Schule datenschutzrechtlich agiert. Die Verantwortung für nenbezogener Daten einher. Jeder und jede einzelne Betroffene     weiterhin den wesentlichen für den Schulbe-       den Datenschutz an einer Schule obliegt der einzelnen Schullei- hat grundsätzlich das Recht, selbst über die Preisgabe und Ver-   reich in NRW relevanten Rechtsrahmen. Die         tung, die sich bei komplexen Fragen an die jeweiligen behörd- wendung der Daten zu bestimmen, die ihn oder sie identifizierbar  Auswirkungen der DSGVO für den Schulbereich       lichen Datenschutzbeauftragten wenden sollte. machen. Nur dann, wenn gesetzliche Regelungen dieses Recht        sind somit eher gering und bisher an Schulen auf informationelle Selbstbestimmung einschränken oder wenn       rechtskonform Praktiziertes ist nicht automatisch wirksame Einwilligungen es erlauben, ist die Verarbeitung der     rechtswidrig geworden. betreffenden Daten zulässig (»Verbot mit Erlaubnisvorbehalt«). 4                                                                                                                                                                                       5

2. DATENSCHUTZ UND DATENSICHERHEIT                                                                                3. DATENVERARBEITUNG Das aus dem Grundgesetz abgeleitete Recht auf informationelle     getragen werden, denn unkomfortable Maß-        Die DSGVO definiert Datenverarbeitung als das         Dies umfasst digitale und analoge Daten, digitales und manuelles Selbstbestimmung erfordert, dass jeder Verarbeitung von Daten     nahmen werden oft nicht dauerhaft eingehalten                                                         Verarbeiten sowie die verschiedenen angewendeten Verfahren, mit Personenbezug – und nur dann greifen datenschutzrecht-        und gerne umgangen.                                              Erheben, Erfassen                    z. B. Aktenführung oder Dateispeicherung, Onlineübertragung liche Vorgaben – eine Erlaubnis zugrunde liegen muss. Diese                                                                                                             oder Transport von Daten über einen USB-Stick. Erlaubnis kann einerseits eine Rechtsgrundlage sein, z. B. das    Datensicherheit selbst spielt bei der Verarbei-                  Organisieren, Ordnen Schulgesetz NRW, oder die wirksame Einwilligung Betroffener.1     tung von Daten ohne Personenbezug ebenfalls eine wichtige Rolle. So sind beispielsweise                      Speichern Werden Daten verarbeitet, so sind Vorgaben zur Datensicherheit    Abiturklausuren vor unbefugtem Zugriff zu zu beachten.2 Als Verantwortliche für die Datenverarbeitung       schützen, damit die Aufgaben nicht vor den                       Anpassen, Verändern in ihrer Schule müssen Schulleitungen Maßnahmen ergreifen,        Prüfungen im Internet veröffentlicht werden. die sicherstellen, dass die verarbeiteten Daten geschützt sind.                                                                    Auslesen, Abfragen, Verwenden Aspekte sind u. a. der Schutz vor unbefugtem Zugriff, die Verfüg- barkeit der Daten oder deren Wiederherstellbarkeit bei Verlust.                                                                    Offenlegen, Übermitteln, Verbreiten, Bereitstellen Zulässige Maßnahmen sind allerdings nicht allein technischer Natur, wie komplexe Passworte oder automatische Backups.                                                                           Abgleichen, Verknüpfen Auch organisatorische Maßnahmen, z. B. ein Vier-Augen-Prinzip oder eine Dienstanweisung fallen darunter. Die sinnvolle Kombi-                                                                    Einschränken, Löschen, Vernichten nation technischer und organisatorischer Maßnahmen definiert am Ende die Qualität der Sicherheit einer Datenverarbeitung. Dabei muss jedoch auch dem Anwendungskomfort Rechnung                                                             von Daten mit Personenbezug. 3 Verarbeitung personenbezogener Daten 1   s. Art. 6 DSGVO                                                                                               3  s. Art. 4 Nr. 2. DSGVO 2   s. Art. 32 DSGVO 6                                                                                                                                                                                                                                          7

4. PERSONENBEZOGENE DATEN Person angesehen, die direkt oder indirekt, insbesondere mittels           lichen Kontext ergeben, z. B. Hausaufgaben DSGVO Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnum-              oder Arbeitsergebnisse. VERARBEITUNG mer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die          Erweitern sich die Prozesse einer Schule durch DSG RASTER                                          ERHEBUNG                                       Ausdruck der physischen, physiologischen, genetischen, psychi-        den Einsatz digitaler Systeme, z. B. beim Einsatz ETHNISCHE HERKUNFT BESONDERS SCHÜTZENSWERT                                                     DATEN                                          schen, wirtschaftlichen, kulturellen oder sozialen Identität dieser   von LOGINEO NRW, einer Lernplattform oder di- VERARBEITUNG ERHEBUNG          PERSONENBEZUG                                                                                              natürlichen Person sind«.4                                            gitaler Lernmittel, entstehen Protokolldaten, die zur Gewährleitung der Integrität der eingesetz- GESUNDHEIT                             PERSÖNLICHKEITSBILD RELIGION DSG ten Systeme selbst erforderlich sind.6 POLITISCHE ÜBERZEUGUNG               BESTIMMBARE PERSON Daten mit Personenbezug in der Schule MEINUNG                                  EINZELANGABEN PERSÖNLICH KOMBINATION BDSG In der Schule werden personenbezogene Daten zur Erfüllung des Bildungs- und Erziehungsauftrages auf Basis des Schulgesetzes 5 und der Verordnungen VO-DV I und II verarbeitet. •	Die Verwaltung einer Schule benötigt Daten wie Namen und Definition durch den Gesetzgeber                                                                                                                   Adressen von Schülerinnen und Schülern, deren Eltern und Fragen zum Datenschutz und damit zur Zulässigkeit einer Verar-                          Die DSGVO definiert personenbezogene Daten                 des Schulpersonals. beitung von Daten stellen sich erst, wenn durch die Daten ein Be-                       als                                                     •	Zur Erfüllung des Lehrauftrags dokumentieren Lehrkräfte zug zu einer natürlichen Person herstellbar ist. Um welche Daten                                                                                   Leistungs- und Verhaltensdaten ihrer Schülerinnen und es sich dabei handelt, lässt sich pauschal nicht beantworten, da                        »alle Informationen, die sich auf eine identifizierte      Schüler. der Personenbezug auch durch die Zusammenführung oder die                               oder identifizierbare natürliche Person […] bezie-      •	Lernende generieren Daten, die sich aus dem unterricht- Kombination unverfänglicher Daten entstehen kann.                                       hen; als identifizierbar wird eine natürliche 4   s. Art. 4. Nr. 1 DSGVO 5   s. §§120 bis 122 SchulG NRW 6   s. §32 DSGVO 8                                                                                                                                                                                                                                                                             9

5. PRINZIPIEN RECHTSKONFORMER DATENVERARBEITUNG Erhebungsgrundlage und Informationspflicht                     Entsprechende Informationen und Muster zur        nicht verlässlich abbildbar. Da Einwilligungen jederzeit und ohne   Zweitschriften von Abgangs- und 50 Jahre Abschlusszeugnissen Personenbezogene Daten dürfen nur auf Basis gesetzlicher       Erfüllung der Informationspflichten hat das       Nennung von Gründen widerrufbar sind, ist ein Widerruf eine Bestimmungen oder wirksamer Einwilligungen verarbeitet         Ministerium für Schule und Bildung NRW im         legitime Entschuldigung für nicht erbrachte Leistungen, die dann    Schülerstammblätter                    20 Jahre werden. In Schule geschieht dies zur Erfüllung des Bildungs-   Bildungsportal zur Verfügung gestellt.            nicht in eine Notenfindung einfließen dürfen. Für Lehrkräfte be- und Erziehungsauftrages auf Basis des Schulgesetzes 7 und       Verweise                                        deuten auf Einwilligungen basierende Verfahren somit in jedem       Zeugnislisten, Zeugnisdurchschriften, Unterlagen über die Klassenführung,    10 Jahre der Verordnungen VO-DV I und II. Die Betroffenen sind über die                                                   Fall zusätzlichen Aufwand, da die klassischen Verfahren, die Akten über Prüfungen beabsichtigte Datenverarbeitung zu informieren. 8              Wirksame Einwilligungen                           ohne eine Verarbeitung einwilligungspflichtiger Daten auskom- In den Verordnungen VO-DV I und VO-DV II nicht    men, ebenfalls zu bedienen sind.                                    alle übrigen                           5 Jahre Dabei sind u. a. anzugeben                                     enthaltene Daten, z. B. Fotos zum Einstellen auf die Schulhomepage oder für Sitzpläne, können      Zweckbindung und Löschfristen                                       in privaten DV-Anlagen gespeicherte 1 Jahr Daten Name und Kontaktdaten des Verantwortlichen                   in Schule nur auf Grundlage wirksamer Einwil-     Das Gebot der Zweckbindung soll sicherstellen, dass erhobene ligungen der Betroffenen bzw. deren Eltern ver-   Daten nur im Rahmen der Erhebungsgrundlage verarbeitet wer- Kontaktdaten der/des Datenschutzbeauftragten                 arbeitet werden. Die Einwilligungen sind so zu    den. 10 Jede darüber hinaus gehende Nutzung oder eine Weiter-     §9 VO-DV II listet die Fristen für Aufbewahrung, gestalten, dass die Betroffenen u. a. hinreichend gabe der Daten ist unzulässig. Wenn sich der Zweck, zu dem die    Aussonderung, Löschung und Vernichtung der Zwecke und Rechtsgrundlage der Verarbeitung                  über Umfang, Art und Zweck der Datenverarbei-     Daten erhoben wurden erübrigt hat, sind diese unverzüglich zu     Dateien und Akten von Lehrerinnen und Lehrern tung informiert, sowie über ihre Rechte – z. B.   löschen. 11                                                       auf und regelt den Fristbeginn. Die Fristen Empfänger der Daten                                          das Recht auf Widerruf mit Wirkung für die                                                                          gelten gleichermaßen für analoge und digitale Zukunft – aufgeklärt werden. 9                    Konkrete Fristen für die Aufbewahrung bzw. Löschung der Daten     Datenverarbeitung. Daten sollten so kurz wie Dauer der Verarbeitung                                                                                         von Schülerinnen und Schülern listet § 9 VO-DV I auf und trifft   möglich und nur so lange wie nötig aufbewahrt Pädagogische Prozesse, die z. B. auf der Bereit-  Regelungen zum Fristbeginn:                                       werden (Datensparsamkeit). Rechte der Betroffenen                                       stellung von Arbeitsmaterialien über digitale Plattformen beruhen, sind über Einwilligungen 7  s. §§120 bis 122 SchulG NRW                                                                                      10 s. Art 5 DSGVO 8  s. Art. 13 und 14 DSGVO                                                                                          11 s. Art 17 DSGVO 9  s. Art. 7 und Art. 8 DSGVO 10                                                                                                                                                                                                                                      11

6. SICHERHEIT DER DATENVERARBEITUNG Werden Daten mit Personenbezug verarbeitet, so sind unter Be-   Pseudonymisierung und Verschlüsselung rücksichtigung des Stands der Technik, der Kosten, der Art, des Der Zugriff auf personenbezogene Daten wird durch Pseu- Umfangs und der Zwecke der Verarbeitung sowie des möglichen     donymisierung (z. B. statt Klarnamen) oder Verschlüsselung Risikos für die Rechte und Freiheiten der Betroffenen geeignete erschwert. Maßnahmen zur ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.12                                Vertraulichkeit Nur Befugte können personenbezogene Daten zur Kenntnis Die Maßnahmen schließen u. a. Folgendes ein:                    nehmen. •   Pseudonymisierung und Verschlüsselung                       Integrität •   Vertraulichkeit                                             Personenbezogene Daten bleiben während der Verarbeitung •   Integrität                                                  unversehrt, vollständig und aktuell. •   Verfügbarkeit und Belastbarkeit der Systeme •   Wiederherstellbarkeit nach einem Zwischenfall               Verfügbarkeit und Belastbarkeit der Systeme •   Überprüfbarkeit.                                            Personenbezogene Daten stehen zeitgerecht zur Verfügung und können auf Dauer ordnungsgemäß verarbeitet werden. Wiederherstellbarkeit nach einem Zwischenfall Personenbezogene Daten können rasch wiederhergestellt werden. Überprüfbarkeit. Die Wirksamkeit der ergriffenen Maßnahmen wird durch Imple- 12 s. Art 17 DSGVO mentierung eines Verfahrens zur regelmäßigen Überprüfung und Bewertung sichergestellt (z. B. Überprüfung von Backups) 12                                                                                                                              13

7. WENN DATEN DIE SCHULE VERLASSEN Auftragsverarbeitung Die Verarbeitung von Daten findet heute physisch nicht mehr nur     Eine enge Zusammenarbeit mit dem Schulträ-      Mit der »Dienstanweisung ADV« hat das Ministerium für Schule in den Räumen einer verantwortlichen Stelle (z. B. der Schule)      ger und den für die Schulen verantwortlichen    und Bildung NRW ein Formular für die Genehmigung privater oder durch dessen Personal (z. B. durch eine für die Administra-    behördlichen Datenschutzbeauftragten ist zu     Endgeräte vorgegeben; dieses ist u.a. auf den Seiten der Medien- tion verantwortlichen Lehrkraft) statt, sondern es werden exter-    empfehlen.                                      beratung NRW abrufbar: ne Stellen damit beauftragt.                                                                                         Verweise Einschlägig für diese sogenannte »Auftragsverarbeitung« sind        Personenbezogene Daten auf privaten Endge- die Regelungen der VO-DV I und VO-DV II in Verbindung mit der       räten von Lehrkräften                           USB-Zeugnis-Sticks DSGVO. 13 Hervorzuheben ist, dass die Schulleitung auch in diesem   Die Verarbeitung von personenbezogenen Daten    Verwendet eine Schule mobile Datenträger, wie z. B. USB-Sticks Falle für die Einhaltung der datenschutzrechtlichen Vorgaben ge-    aus der Schule auf privaten Endgeräten von      zur Erstellung von Zeugnissen, müssen die gespeicherten Daten samtverantwortlich bleibt. Der Auftragsverarbeiter handelt nur auf  Lehrkräften kann von der Schulleiterin bzw.     gegen unbefugten Zugriff mit einem ausreichenden Passwort Weisung des Verantwortlichen und auf Grundlage des Vertrags.        dem Schulleiter genehmigt werden. 15 Die Lehr-  gesichert und in verschlüsselter Form abgelegt werden. kräfte verpflichten sich dabei, Maßnahmen zur Die DSGVO legt dem Auftragsverarbeiter allerdings auch eigene       Datensicherheit umzusetzen. Verantwortungen auf. Neu ist, dass der Auftragsverarbeiter verpflichtet ist, eine Verarbeitungsübersicht über alle Tätigkeiten Die eingesetzten Privatgeräte sind u. a. mit zu führen, die im Rahmen der beauftragten Datenverarbeitung         einem ausreichenden Passwortschutz gegen durchgeführt werden. 14                                             unbefugten Zugriff zu schützen, mit Sicher- heitsupdates zu versorgen und es sind von den Verantwortungsbewusste Dienstleister unterstützen Schul-            Lehrkräften die Löschfristen einzuhalten. leitungen, indem sie die erforderlichen Informationen wie die Dokumentation der technischen und organisatorischen Maßnah-         Welche Daten für eine Verarbeitung auf privaten men, die Verarbeitungsübersicht oder eine Vertragsvorlage zur       Endgeräten genehmigungsfähig sind, listet die Auftragsverarbeitung von sich aus beisteuern.                       VO-DV I in Anlage 3 auf.                        13 s. § 2 Abs. 3 VO DV I, § 3 VO DV II, Art. 28 DSGVO 14 s. Art. 30 DSGVO 15	nach Maßgabe des § 2 Abs. 2 VO DV I i.V.m. der Anlage 3 (und § 2 Abs.4 VO DV II i.V.m. Anlage 6 für Lehrerausbildungsdaten) 14                                                                                                                                                                                                                15

8. VERZEICHNIS VON VERARBEITUNGSTÄTIGKEITEN Verzeichnis von Verarbeitungstätigkeiten:                           Eine Vorlage findet sich auf den Seiten der Verpflichtung und Unterstützung                                     Medienberatung NRW: RECHTS- GRUNDLAGEN                                                          Das Verzeichnis von Verarbeitungstätigkeiten stellt nicht nur ein    Verweise IMPRESSUM                                       zentrales Element dar, das die wesentlichen Informationen in DATENSCHUTZ-                                      Bezug auf die Datenverarbeitung dokumentiert und als Nachweis       Im Gegensatz zum ehemaligen Verfahrensver- EINWILLIGUNG                           ERKLÄRUNG der Einhaltung der Vorgaben aus der DSGVO dient. Es ist essen-      zeichnis entfällt durch die DSGVO die verpflich- tiell, um die datenschutzrechtlichen Verpflichtungen erfüllen       tende Vorabkontrolle durch die behördlichen zu können, denn nur wer einen Überblick über alle anfallenden       Datenschutzbeauftragten. Es ist jedoch empfeh- VERZEICHNIS VON                                                       Verarbeitungstätigkeiten in seinem Zuständigkeitsbereich hat,       lenswert, diesen Personenkreis bei der Zusam- VERARBEITUNGSTÄTIGKEITEN RISIKO-                                 kann gezielt die Maßnahmen ableiten, die zum Schutz der Daten       menstellung der Übersicht einzubeziehen. AUFTRAGS-                                       ABSCHÄTZUNG VERARBEITUNG                                                                                 zu ergreifen sind. Verzeichnis von Verarbeitungstätigkeiten und Inhalt des Verzeichnisses von Verfahrenstätigkeiten                 Auftragsverarbeitung Die folgenden Informationen muss ein Verzeichnis u. a. enthalten 17 Wird ein komplettes System inkl. Hosting – z. B. MASSNAHMEN LÖSCH- ZUR DATEN- eine Lernplattform oder ein Stundenplan- FRISTEN SICHERHEIT                                             •	Name und Kontaktdaten des Verantwortlichen, dessen Vertre-       system – von einem externen Dienstleister – tung sowie des Datenschutzbeauftragten                         dem Auftragsverarbeiter – bereitgestellt, so ist •    Zwecke und Rechtsgrundlagen der Verarbeitung                   dieser verpflichtet – und das ist eine der Neue- •	Kategorien betroffener Personen und verarbeiteter perso-         rungen der DSGVO – ein eigenes Verzeichnis zu Eine sich aus der DSGVO ergebende Verpflichtung für datenver-          Um Redundanzen zu vermeiden und den                  nenbezogener Daten                                             pflegen.18 Die Zugriffsberechtigungen auf be- arbeitende Stellen ist die Dokumentation der Datenverarbei-            Aufwand für die Erstellung und Führung des      •    Kategorien von Empfängern                                      stimmte Daten durch externe Dienstleister sind tungen in einem sogenannten »Verzeichnis von Verarbeitungs-            Verzeichnisses gering zu halten, können zu ein- •    Löschfristen                                                   im Verzeichnis der Schule zu dokumentieren. tätigkeiten«. 16 Dieses erfordert im Wesentlichen die gleichen         zelnen Beschreibungen Verweise auf bestehen-    •	allgemeine Beschreibung der technischen und organisato- Angaben wie die bisherigen, auf einzelne Verfahren bezogenen           de Dokumente aufgenommen bzw. vorhandene             rischen Maßnahmen zur Datensicherheit                          16  s. Art. 30 DSGVO »Verfahrensverzeichnisse«.                                             Verzeichnisse gesammelt vorgehalten werden.                                                                         17 s. Art. 30 Abs. 1 DSGVO 18 s. Art. 30 Abs. 2 DSGVO 16                                                                                                                                                                                                                                             17

9. BEHÖRDLICHE DATENSCHUTZBEAUFTRAGTE Schulen sind öffentliche Stellen, die personenbezogene Daten      Die behördlichen Datenschutzbeauftragten sind verarbeiten. Aus diesem Grund haben sie gemäß DSGVO einen         zur Verschwiegenheit über die Identität der Beauftragten oder eine Beauftragte für Datenschutz zu bestim-     Betroffenen verpflichtet und können von der men.19 Die DSGVO lässt allerdings zu, wie bisher für mehrere      Schulleitung, von Lehrkräften, Schülerinnen öffentliche Stellen einen gemeinsamen Datenschutzbeauftragten     und Schülern wie auch von Eltern unmittelbar zu benennen.20 Mit Landesrecht ist entsprechend festgelegt, dass  angesprochen werden. für Schulen in kommunaler und staatlicher Trägerschaft vom Schulamt jeweils für alle Schulen im Schulamtsbezirk zustän-      Eine Auflistung aller behördlichen Datenschutz- dige Datenschutzbeauftragte bestellt werden. 21                   beauftragten für die öffentlichen Schulen in NRW findet sich auf den Seiten der Medien- Zu den Aufgaben der behördlichen Datenschutzbeauftragten          beratung NRW: gehören u. a.: 22                                                  Verweise •	Unterrichtung und Beratung der Schulleitung und der Lehrkräfte hinsichtlich ihrer Pflichten nach der Datenschutz- grundverordnung und der schulspezifischen Regelungen •	Überwachung der Einhaltung aller Datenschutzvorschriften einschließlich Überprüfungen, Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter •	Anlaufstelle für Anfragen von Lehrkräften, Schülerinnen, Schülern und Eltern in mit der Verarbeitung ihrer personen- bezogenen Daten und der Ausübung ihrer Rechte zusammen- hängenden Fragen. 19 s. Art 37 DSGVO 20 s. Art 37 Abs. 3 DSGVO 21 s. § 1 Abs. 3 VO DV I und § 1 Abs. 6 VO DV II 22 s. Art. 39 DSGVO 18                                                                                                                    19