Betriebserlass eines zentralen Identitätsmana- gementsystems für die öffentlichen allgemein bildenden und beruflichen Schulen des Landes Mecklenburg-Vorpommern

Inhaltsverzeichnis I.     Einleitung ................................................................................................................................... 3 1. Was ist das IDM? ....................................................................................................................... 3 2. Begründung der Einführung und Gültigkeit dieses Erlasses ..................................................... 3 3. Aufbau des Erlasses ................................................................................................................... 4 II.    Wie funktioniert das IDM? ........................................................................................................ 4 1. IDM-Funktionen ........................................................................................................................ 4 2. Zugang zum IDM über das Schulportal M-V.............................................................................. 4 3. Authentifizierung über Single Sign-on (SSO) ............................................................................. 4 4. Übersicht datenverarbeitende Stellen und verarbeitete personenbezogene Daten ............... 5 5. Übertragung von Daten der Nutzenden des Active Directory zum IDM .................................. 5 III.   Grundlagen des IDM-Betriebs ................................................................................................... 6 1. Einführung .............................................................................................................................. 6 2. Nutzungsbedingungen für angeschlossene Schuldienste ......................................................... 6 3. Sicherheitsvorschriften für technisch Verantwortliche des IDM und daran angeschlossener Dienste          .............................................................................................................................. 8 4. Nutzende Personen und deren Berechtigungen ..................................................................... 10 IV. Anlagen .................................................................................................................................... 11 Anlage A            IDM-Rollen- und Rechtekonzept ........................................................................ 11 Anlage B            Datenschutzkonzept für das IDM....................................................................... 13 Anlage C            Supportkonzept .................................................................................................. 19 Anlage D            Kennwortrichtlinien ........................................................................................... 22 Anlage E            Checkliste Nutzungsbedingungen für Schulleitungen ....................................... 23 Anlage F            Sicherheitshinweise für die Gruppe nutzender Lehrkräfte und unterstützende pädagogische Fachkräfte beim Umgang mit an das IDM angeschlossenen Schuldiensten ..................................................................................................... 24 a.     Organisatorische Maßnahmen ................................................................................... 24 b.     Technische Maßnahmen ............................................................................................. 25 V.     Glossar ..................................................................................................................................... 27 VI. Änderungshistorie ................................................................................................................... 30

I.       Einleitung 1. Was ist das IDM? Das vom Ministerium für Bildung, Wissenschaft und Kultur M-V betriebene zentrale Identitätsma- nagementsystem (IDM) beinhaltet die sichere Verwaltung und Pflege digitaler Identitäten. Die Nutzung des zentralen IDM ist verpflichtend, wenn eine Schule eine neue Software einführt, die zur Erfüllung des Unterrichts- und Erziehungsauftrages, der Schulplanung, der Schulorganisation, sowie der Schulaufsicht erforderlich ist. Unter digitaler Identität ist die Sammlung von personen- bezogenen Attributen, die eine Person im Umfeld der digitalen Schuldienste eindeutig kennzeich- net, zu verstehen. Das IDM stellt somit personenbezogene Daten konsistent, verlässlich, ständig verfügbar und aktuell für Schuldienste bereit und ermöglicht eine automatisierte Verwaltung der Kennungen und Berechtigungen für Nutzende im Sinne eines individualisierten und sicheren Be- triebs von digitalen Schuldiensten. Grundsatz des Systems ist die Datensparsamkeit, es werden nur die Daten erhoben und verarbeitet, die für die Zweckerreichung wirklich erforderlich sind. Nutze- rinnen und Nutzer besitzen für alle Dienste nur eine Identität und können sich mit den gleichen Zugangsdaten bei allen bereitgestellten Diensten (Single Sign-On) anmelden. 2. Begründung der Einführung und Gültigkeit dieses Erlasses Der Betriebserlass ist erforderlich, da mit dem zentralen IDM ein neues Instrument der digitalen Verwaltung von schulischen Identitäten eingeführt wurde. Daher ist es wichtig, dass alle Nutzerin- nen und Nutzer die Funktionen des IDM kennen und die zu beachtenden Nutzungsregeln zur Wah- rung von Datenschutz und Datensicherheit sowie weiteren wichtigen Anwendungsvorgaben be- achten. Dieser Erlass gilt verbindlich für Beschäftigte und Bedienstete des Ressorts des Ministeriums für Bildung, Kultur und Wissenschaft des Landes Mecklenburg-Vorpommern, welche die personenbe- zogenen Daten des IDM verwalten, warten, verarbeiten oder weiterleiten. Des Weiteren gilt der Betriebserlass für alle landesseitigen und kommunalen Systeme, die das IDM als Datenquelle für das Schuldienstemanagement und die damit angebundenen Schuldienste zur Erfüllung des Unter- richts- und Erziehungsauftrages, der Schulplanung, der Schulorganisation, sowie der Schulaufsicht nutzen. Grundlagen dieses Erlasses sind das Schulgesetz für das Land Mecklenburg-Vorpommern (SchulG M-V) sowie die Verordnung zum Umgang mit personenbezogenen Daten der Schülerinnen und Schüler, Erziehungsberechtigten, Lehrkräften und sonstigem Schulpersonal (Schuldatenschutzver- ordnung - SchulDSVO M-V) in der jeweils geltenden Fassung. 3 Version 1.0 – Stand Mai 2021

3. Aufbau des Erlasses Der Erlass gliedert sich in eine Funktionsübersicht, grundlegende Regeln im Umgang mit dem IDM sowie einem dynamischen Teil mit Anlagen mit den auf das IDM bezogenen Konzepten. Bei diesem Erlass handelt es sich um ein der Revision unterstehendes „lebendiges“ Dokument. Dies bedeutet die Möglichkeit der bedarfsgerechten Anpassung bei signifikanten Änderungen im Kontext der Fachanwendung unter der Beteiligung der Mitbestimmungsgremien. II.      Wie funktioniert das IDM? 1. IDM-Funktionen    Zentrale Bereitstellung einer digitalen Identität von Nutzenden    Automatische regelbasierte Synchronisation bestimmter Daten von Nutzenden mit dem zentralen Verzeichnisdienst des Bildungsministeriums    Anbindung des Schulinformations- und Planungssystems M-V (SIP) als zentrale Datenquelle an das IDM    Kontenverwaltung für Nutzende    User-Self-Service (Passwörter ändern)    delegative Administrierung (siehe Rollen- und Rechtekonzept)    Schnittstellenerweiterungen für die Anbindung weiterer Dienste    revisionssichere Protokollierung    Synchronisation digitaler Identitäten aus dem führenden IDM für ein Schuldienstemanage- mentsystem (SDM)    Bereitstellung eines Anmeldedienstes und Realisierung einer SSO-Funktion (einmalige Au- thentifizierung gegenüber einem Server) 2. Zugang zum IDM über das Schulportal M-V Der Zugang zum IDM erfolgt für die Anwenderinnen und Anwender über das Schulportal https://cloud.schule-mv.de. Mit der Zugangskennung und dem Passwort können alle angeschlos- senen Schuldienste genutzt werden. Die aktuellen Kennwortrichtlinien sind der Anlage D zu ent- nehmen. 3. Authentifizierung über Single Sign-on (SSO) SSO bedeutet, dass Nutzende nach einer einmaligen Authentifizierung am IDM auf alle Dienste, für die sie berechtigt (autorisiert) sind, vom selben Arbeitsplatz zugreifen können, ohne sich an den einzelnen Diensten jedes Mal zusätzlich anmelden zu müssen. Wechseln die Nutzenden den Arbeitsplatz, wird die Authentifizierung wie auch die lokale Autorisierung hinfällig. Durch diesen Dienst ist sowohl eine gesicherte Authentifizierung aus dem lokalen Schulnetz über Radius-Server als auch eine Authentifizierung aus dem Internet möglich. Ziel des Single Sign-on ist es, dass sich die Nutzenden der Dienste des ISY M-V nur einmal unter Zuhilfenahme eines einzigen Authentifizierungsverfahrens (Name und Passwort der Nutzenden) identifizieren müssen. Danach übernimmt der SSO-Mechanismus die Aufgabe, die Nutzenden zu authentifizieren (die erkannte Identität zu bestätigen). 4 Version 1.0 – Stand Mai 2021

Das IDM wird zukünftig Grundlage für die Authentifizierung aller Schuldienste sein. Bei landessei- tigen Diensten, die nach Einschätzung des behördlichen DSB oder behördlichen IT-SiBe einen kri- tischen Funktionsumfang aufweisen sowie den Zugriff auf besonders sensible Inhalte ermöglichen, wird zur Erhöhung des Sicherheitsniveaus für den Zugriff eine seitens des Systems bereitgestellte Zwei-Faktor-Authentifizierung notwendig. Die Authentifizierung über einen zweiten Faktor kann dabei direkt auf IDM-Ebene oder über den entsprechenden Dienst erfolgen. 4. Übersicht datenverarbeitende Stellen und verarbeitete personenbezogene Daten Um die Aufgaben der Unterrichts- und Schulorganisation erfüllen zu können, ist es für angebun- dene digitale Systeme erforderlich, auf eine einheitliche, zentral verwaltete Identität zugreifen zu können und aufgabenspezifische Daten zu erhalten. Hierzu werden die entsprechenden Daten vom zentralen SIP M-V, welche im Active Directory gespeichert sind, regelmäßig mit dem IDM syn- chronisiert. 5. Übertragung von Daten der Nutzenden des Active Directory zum IDM Die Aufgabe der Schnittstelle ist die Synchronisation der in der nachfolgenden Tabelle aufgezähl- ten Daten zwischen dem Active Directory des BM und dem zentralen Identitätsprovider des BM (IDM-Master). Dabei werden die folgenden Datenkategorien von verschiedenen Nutzenden verar- beitet. Diese Gruppen der Nutzenden sind in § 5a der SchulDSVO M-V in ihrer jeweils aktuell gül- tigen Fassung festgelegt. Die Verarbeitung der einzelnen Datenkategorien erfolgt nur bei tatsäch- licher Erforderlichkeit. Auflistung verarbeitbarer Daten (Nutzendendaten IDM): Verarbeitetes Attribut:            Erklärung Anrede                             eventuell vorhandener Titel Vorname                            individueller Teil des Namens Nachname                           Familienname Name der/des Nutzenden             individuelle Anmeldekennung Passworthash                       Hashwert des Passworts Primäre E-Mail-Adresse             individuelle dienstliche E-Mail-Adresse Anzeigename                        Wert aus Nach- und Vornamen: Mustermann, Max Straße Stammdienststelle           Straße der Stammdienststelle der Lehrkraft bzw. der Stamm- schule der Schülerin bzw. des Schülers PLZ Stammdienststelle              Postleitzahl der Stammdienststelle der Lehrkraft bzw. der Stammschule der Schülerin bzw. des Schülers Stadt Stammdienststelle            Ort/Stadt der Stammdienststelle der Lehrkraft bzw. der Stammschule der Schülerin bzw. des Schülers Typ der des Nutzenden              Zuordnung nach standardisierten IDM-Gruppen der Nutzen- den (Lehrkräfte, Mitarbeitende, Schülerinnen und Schüler) Schulzugehörigkeit (Schulkürzel) Zuordnung zur jeweiligen Schule über spezifisches Kürzel Klasse (nur Schülerinnen und Zuordnung der nutzenden Person zu einer übergeordneten Schüler)                           Gruppe mvSex                              biologisches Geschlecht der nutzenden Person 5 Version 1.0 – Stand Mai 2021

mvRole   1                              weitere Untergliederung von Typen der Nutzenden zur er- weiterten Rollen-Rechtesteuerung der internen Module und angeschlossenen Schuldienste (siehe Gruppen der Nutzen- den in Anlage A) mvStaffType                             Zuordnung der Typen von Nutzenden (Lehrkräfte, Mitarbei- tende, Schülerinnen und Schüler) mvDst                                   schematische und zeitliche Zuordnungen der nutzenden Per- sonen (Schulträger, Dienststelle/Schule, Stammdienststelle, Klasse (Schülerinnen und Schüler), Laufzeit-Beginn, Laufzeit- Ende) UUID                                    interne Identifikationsnummer (darf ausschließlich für den technischen Zweck der Sicherstellung der Identifikation der nutzenden Person im Rahmen der Synchronisation verwen- det werden) Kontostatus                             Status des Kontos der/des Nutzenden (aktiv oder deaktiviert) Passwortänderung                        Passwortänderung bei der nächsten Anmeldung notwendig III.     Grundlagen des IDM-Betriebs 1. Einführung Die Zulässigkeitsvoraussetzungen für die Verarbeitung personenbezogener Daten sind in Art. 6 Abs. 1 littera. c) und e), Abs. 2 und 3 Datenschutz-Grundverordnung (DS-GVO) bzgl. der Daten von Schülerinnen und Schülern in Verbindung m. § 70 SchulG M-V sowie bzgl. der Daten von Lehrkräf- ten in § 84 Landesbeamtengesetz M-V (LBG M-V) und § 10 Landesdatenschutzgesetz M-V (DSG M- V), jeweils in Verbindung mit der SchulDSVO M-V geregelt. Die administrative Verarbeitung perso- nenbezogener Daten aus dem IDM hat ausschließlich mit vom Schulträger bzw. Auftragsverarbei- ter zur Verfügung gestellten Datenverarbeitungsanlagen zu erfolgen. Der Betrieb des IDM erfolgt entsprechend §5a SchulDSVO M-V in gemeinsamer Verantwortung gemäß Artikel 26 DS-GVO durch das Ministerium für Bildung, Wissenschaft und Kultur M-V mit den Schulen. Die darin enthaltenen Regelungen für die Umsetzung der Informationspflichten wie sie in den Vereinbarungen zwischen Schule und BM geschlossen sind, gelten als verbindlich. Weitere Informationen finden sich im Datenschutzkonzept (Siehe Anlage B). Für die Beantwortung von technischen Fragestellungen und zur Lösung von Problemen im Zusam- menhang mit der Nutzung des IDM finden sich Hinweise im Supportkonzept (Siehe Anlage C). 2. Nutzungsbedingungen für angeschlossene Schuldienste Wenn öffentliche Schulen weitere Schuldienste nutzen wollen, so sind folgende Bedingungen für die Nutzung zu beachten und umzusetzen (siehe Checkliste Nutzungsbedingungen in Anlage E): 1 Eine Erweiterung des Katalogwertes dieses Attributs in Zukunft sowie damit einhergehende Änderungen der An- lage A (Rollen- und Rechtekonzept) sind möglich und erfolgen unter Beteiligung der Mitbestimmungsgremien. 6 Version 1.0 – Stand Mai 2021

Die Schulleitung ist die Auftraggebende für den Anbietenden (Auftragnehmenden) eines Schul- dienstes (Auftragsverarbeitung nach Art. 28 DS-GVO). Dieser Auftrag muss durch die Schule schrift- lich erteilt und mit dem Auftragnehmenden in einem Auftragsverarbeitungsvertrag festgehalten werden. Im Vertrag müssen die eingesetzte Hardware, Software und Vernetzung konkret benannt sowie die bereits durch den Anbieter getroffenen technischen und organisatorischen Datenschutz- maßnahmen genau dargestellt werden. Ferner ist zu beachten, dass der Vertrag keine Formulie- rung enthalten darf, die es dem Auftragsverarbeiter ermöglicht, die Allgemeinen Geschäftsbedin- gungen bzw. andere Vertragsbestandteile einseitig zu ändern. Der Vertrag muss eine abschlie- ßende und vollständige Auflistung aller Stellen, Personen oder Firmen (Unterauftragsverarbei- tende) enthalten, an die personenbezogenen Daten übermittelt werden. Bei späterer Unterauf- tragsverarbeitung muss eine Genehmigung des Auftraggebenden eingeholt werden. Die Schullei- tung muss sich außerdem von den vom Auftragnehmenden getroffenen technischen und organi- satorischen Maßnahmen überzeugen. Dabei hat sie sich durch ihre Datenschutzbeauftragten bei der Überprüfung der ordnungsgemäßen Verarbeitung der personenbezogenen Daten beraten zu lassen. Zudem müssen regelmäßig aktuelle und aussagekräftige Nachweise, beispielsweise Zertifi- kate von anerkannten und unabhängigen Prüfungsorganisationen, herangezogen werden. Im Ver- trag muss der Auftragnehmende zudem zur Vertraulichkeit verpflichtet werden und seine Unter- stützungspflicht bei der Umsetzung der Betroffenenrechte durch die Schulleitung vereinbart sein. Ferner muss die Lösch- oder Rückgabepflicht der Daten nach Abschluss der Verarbeitung verein- bart sein. Die Schulleitung muss sich auch Betretungs- und Kontrollrechte vertraglich zusichern lassen. Erbringt ein Schulträger gegenüber einer Schule Leistungen im Rahmen der digitalen Schuldienste oder des Schuldienstemanagementsystems, so handelt der Schulträger im Auftrag der Schule (Auf- tragsverarbeitung nach Art. 28 DS-GVO). Die Schulträger dürfen die personenbezogenen Daten aus dem IDM nicht zu eigenen Zwecken verarbeiten. 7 Version 1.0 – Stand Mai 2021

3. Sicherheitsvorschriften für technisch Verantwortliche des IDM und daran ange- schlossener Dienste Hinweis: Die nachfolgenden Sicherheitsvorschriften richten sich an technisch verantwortliche IT- Fachkräfte des Landes, eines Schulträgers oder von diesem Beauftragte. Allgemeine Sicherheits- hinweise zur Nutzung des IDM und das daran angeschlossene Schulportal M-V sind für Lehrkräfte und sonstiges Schulpersonal als Anlage F angefügt. Betrieb des IDM-Kernsystems und daran angeschlossener Module Das IDM sowie daran angeschlossene Module müssen konform zu den aktuellen operativen Vor- gaben des Bundesamtes für Sicherheit in der Informationstechnik (BSI) entsprechen. Der Betrieb hat konform zum BSI IT-Grundschutz und dem dazugehörigen BSI IT-Grundschutz Kompendium, insbesondere zu den Bausteinen CON.5 Entwicklung und Einsatz von Allgemeinen Anwendungen und CON.8 Software-Entwicklung zu erfolgen. Sollte eine gültige Zertifizierung nach „ISO 27001 auf Basis IT-Grundschutz“ oder nach „ISO 27001“ für den Geltungsbereich der Anwendung vorliegen, sind die entsprechenden Nachweise dem Mi- nisterium für Bildung, Wissenschaft und Kultur bereitzustellen. Es müssen für das IDM sowie daran angeschlossene Module jeweils aktuelle Schutzbedarfsfest- stellungen und daraus abgeleitete Sicherheitskonzepte für die personenbezogenen Daten, die ver- arbeitet werden sollen, vorhanden sein und auf Verlangen dem Ministerium für Bildung, Kultur und Wissenschaft zur Prüfung vorgelegt werden. Diese dienen als Grundlage für die umzusetzen- den Sicherheitsanforderungen (vgl. BSI-Standard 200-2). Sollte keine Zertifizierung vorliegen, sind folgende Anforderungen als Grundvorrausetzung für den Betrieb anzunehmen: ISMS.1.A4: Eine Ansprechperson in Fragen der IT-Sicherheit ist zu benennen Hinweis: Um auch in Bedrohungsfällen schnell und effektiv reagieren zu können, ist es zwin- gend notwendig, dass eine aktuelle Ansprechperson für den IT-Betrieb bzw. IT-Sicherheit benannt ist. Sollte sich diese ändern, ist dies umgehend dem Ministerium für Bildung, Wis- senschaft und Kultur M-V mitzuteilen. ISMS.1.A10: Es ist ein Sicherheitskonzept für ein an das IDM angeschlossenes Modul durch den jeweiligen Auf- tragnehmenden bzw. dafür Verantwortlichen bereit zu stellen. Hinweis: Das Sicherheitskonzept dient als Grundlage eines ganzheitlichen Risikomanage- ments und ist daher verpflichtend. Es beinhaltet auch die Schutzbedarfsfeststellung der je- weiligen Anwendung. Die folgenden Anforderungen sind Teil des Sicherheitskonzeptes und sollen als Orientierungshilfe bei dessen Erstellung und Pflege, sowie als Maßgabe für den operativen Betrieb dienen. APP.3.1 und APP.3.2: Webanwendungen und Webserver. Hinweis: Das Hosting der Server und aller Daten, insbesondere personenbezogener Daten, ist im Geltungsbereich der DS-GVO (europäischer Wirtschaftsraum) vorzunehmen. Auch bei der Entwicklung von Client-Applikationen, die nicht Webanwendungen darstellen, ist die Kommu- nikation sicher zu verschlüsseln (CON.1.A3 und APP.1.2.A2). Wenn ein webbasiertes Modul an das IDM angebunden werden soll, ergeben sich die technischen Sicherheitsanforderungen ins- besondere aus dem System-Baustein „APP.3.2 Webanwendungen“ des o.g. IT-Grundschutz Kompendiums. Dieser muss vom jeweiligen Auftragnehmenden bzw. dafür Verantwortlichen 8 Version 1.0 – Stand Mai 2021

bei der Entwicklung umgesetzt werden. Wird ein webbasiertes Modul an das IDM angebunden, so muss es den datenschutzrechtlichen Anforderungen der DS-GVO, des SchulG M-V, der SchulDSVO M-V, des DSG M-V sowie dem Telemediengesetz entsprechen. Ein entsprechendes Datenschutzkonzept ist dem Ressort des Ministeriums für Bildung, Kultur und Wissenschaft auf Verlangen vorzulegen. Beim IDM sowie daran angebundenen Modulen muss sichergestellt werden, dass die Sicherheit von Informationen nach dem Stand der Technik in und beim Aus- tausch zwischen Webanwendungen/Webservices und der anwendenden Person gewährleistet ist. Die Systeme müssen als Mindeststandard eine Transportverschlüsselung zwischen Webs- erver und Webbrowser der nutzenden Person mittels eine vom BSI empfohlenen Version von TLS besitzen bzw. ist die Transportverschlüsselung so zu wählen, dass der Stand der Technik gewährleistet wird (siehe CON.1.A3). Nutzende müssen von dem Modul sicher authentifiziert werden. Das System muss fehlerhafte Authentisierungsversuche protokollieren. Wiederholte fehlerhafte Authentifizierungsversuche müssen zu einer Sperrung führen. Dies betrifft sowohl Zugriffe von Nutzenden als auch von administrierenden Personen. Jeweils Verantwortliche o- der Auftragnehmende haben ein Konzept zur abgestuften revisionssicheren Protokollierung von Eingaben nutzender Personen im Rahmen des Datenschutzkonzepts vorzulegen. Wird zu anderen Modulen oder Webseiten per Webservice kommuniziert, muss als Mindeststandard ebenso eine aktuelle Transportverschlüsselung realisiert sein, die dem Stand der Technik ent- spricht. OPS.1.1.4 Schutz vor Schadprogrammen Hinweis: Ein Virenschutz ist für alle in das angebundene System geladenen Inhalte sicher- zustellen. Die Virensignaturen müssen so aktualisiert werden, dass ein aktueller Viren- schutz jederzeit gegeben ist. OPS.2.2 Cloud-Nutzung Hinweis: Wird ein an das IDM angeschlossenes System in einer Cloud-Plattform betrieben, muss eine Trennung der darin betriebenen Systeme und gespeicherten Daten gemäß deren Schutzbedürfnissen erfolgen. Der Cloudanbieter muss nach ISO 27001 oder nach BSI ISO 27001 auf Basis IT-Grundschutz zertifiziert sein und sich im europäischen Wirtschaftsraum befinden. Des Weiteren sollten die ISO/IEC 27017 (Code of practice for information security controls for cloud computing services) und ISO/IEC 27018 (Code of practice for controls to protect personally identifiable information processed in public cloud computing services) als Grundlage des Betriebes dienen. Sollten Eigenentwicklungen zum Einsatz kommen, dann sind folgende Anforderungen zwingend zu berücksichtigen: CON.5 – Entwicklung und Einsatz von Individualsoftware Hinweis: Individualsoftware, die nicht über Standardsoftware abgedeckt werden kann, sind dedizierte Anforderungen vorgegeben. CON.8 – Software-Entwicklung Hinweis: Zur sicheren Umsetzung von Applikationen ist die IT-Sicherheit frühzeitig mit zu planen. Dies wird auch als „Security by Design“ bezeichnet. Eine geeignete und sichere Ent- wicklungsumgebung, Bibliotheken aus vertrauenswürdigen Quellen sowie ein sicheres Sys- temdesign sind anzuwenden. OPS.1.1.6 – Software-Tests und –Freigaben 9 Version 1.0 – Stand Mai 2021

Hinweis: Vor dem Produktivbetrieb und der Anbindung sind die Anwendungen zu testen. Eine strikte Trennung von Testsystemen mit realistischen Testdaten und dem Produktivsys- tem sind umzusetzen. Testdaten haben mit anonymisierten und fiktiven personenbezoge- nen Datensätzen zu erfolgen. Sind reale personenbezogene Daten für Tests notwendig, ist dies mit dem verantwortlichen Datenschutzbeauftragten abzustimmen. Darüber hinaus sind je nach Anwendungsszenario eigenständig weitere Anforderungen aus dem BSI IT-Grundschutz Kompendium zu bestimmen. 4. Nutzende Personen und deren Berechtigungen Anhand von Rollen definiert das Ministerium für Bildung, Wissenschaft und Kultur M-V bestimmte Rechte für landeseigene Schuldienste vor. Durch das Schuldienstemanagementsystem auf kom- munaler Ebene werden die Konten von Nutzenden darüber hinaus mit Rechten für weitere Schul- dienste der Schulträger bzw. Schulen angereichert. Rechte werden automatisiert anhand der je- weils zugeordneten Rolle übertragen. Nutzende im Sinne dieses Erlasses sind im IDM-Rollen- und Rechtekonzept (siehe Anlage A) beschrieben. Nutzende eines SDM und daran angeschlossener Schuldienste müssen in einem eigenen Rollen- und Rechtekonzept beschrieben werden. Schwerin, 18.05.2021 Im Auftrag Thomas Jackl 10 Version 1.0 – Stand Mai 2021