Datenschutz
Lösung geprüft
Die Aufgabe der heutigen Stunde ist der Datenschutz! Kein Code diesmal, sondern Recht. Das ist der Teil des Halbjahres, den man am leichtesten unterschätzt – in der Klausur gibt es dafür aber genauso Punkte wie für SQL, und die Fallaufgaben sind gut machbar, wenn man das Schema kennt.
Leitfrage: Wann dürfen personenbezogene Daten gespeichert, verarbeitet oder weitergegeben werden – und wie müssen sie technisch geschützt werden?
Aufgabe 1: Notieren Sie zwei Beispiele für personenbezogene Daten, die in schulischen Informatiksystemen oder Datenbanken vorkommen können. Ergänzen Sie jeweils Zweck und Risiko.
Aufgabe 2: Wählen Sie eine Norm aus (DSGVO Art. 4, 5, 6 oder 32, § 26 BDSG, HSchG § 83 / HDSIG § 22), lesen Sie nur die angegebene Fundstelle und formulieren Sie die Kernaussage in eigenen Worten.
Aufgabe 3: Bearbeiten Sie drei Fälle knapp, aber
begründet. Nutzen Sie pro Fall mindestens eine Rechtsgrundlage und zwei
Datenschutzprinzipien.
Fall A: Ein Journalist möchte Daten der Projektwahlen
einer Schule erhalten.
Fall B: Die Eltern einer volljährigen Mitarbeiterin
möchten wissen, wie viele Stunden ihre Tochter arbeitet.
Fall C: Ein Schüler verwaltet 40 Adressen von Freunden
und Verwandten künftig in einem DBMS mit Webserver.
Sicherung: Formulieren Sie den Unterschied zwischen Datenschutz und Datensicherheit.
Aufgabe 1 – Personenbezogene Daten in der Schule
| Beispiel für ein Datum | Möglicher Zweck der Speicherung | Risiko bei falscher Verwendung |
|---|---|---|
| Name, Klasse, Kurszuordnung (Beispiel aus der Vorlage) | Organisation des Unterrichts, Kurslisten, Leistungsdokumentation | Unbefugte Veröffentlichung kann schulische Zuordnungen oder Leistungsdaten offenlegen. |
| Noten und Fehlzeiten | Leistungsbewertung, Zeugniserstellung, Nachweis der Schulpflicht | Werden sie bekannt, entsteht ein Leistungsprofil einer Person. Das kann zu Ausgrenzung führen und ist für Mitschüler oder Arbeitgeber nicht bestimmt. |
| E-Mail-Adresse und Login-Daten | Zugang zum Schulnetz, Kommunikation über die Lernplattform | Mit erbeuteten Zugangsdaten kann jemand in fremdem Namen handeln und an alle weiteren gespeicherten Daten dieser Person kommen. |
„Personenbezogen" heißt nach DSGVO Art. 4 Nr. 1: alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Wichtig ist das Wort identifizierbar – auch eine Schülernummer ohne Namen ist personenbezogen, solange irgendwo eine Liste existiert, die die Nummer wieder einem Namen zuordnet.
Aufgabe 2 – Die Normen im Überblick
| Norm | Kernaussage in eigenen Worten |
|---|---|
| DSGVO Art. 4 Nr. 1 und 2 | Legt die Begriffe fest. Personenbezogene Daten sind alle Angaben zu einer bestimmbaren Person. Verarbeitung ist praktisch alles, was man damit macht – erheben, speichern, ansehen, weitergeben, löschen. |
| DSGVO Art. 5 Abs. 1 | Die Grundprinzipien: Daten nur für einen festgelegten Zweck (Zweckbindung), nur so viele wie nötig (Datenminimierung), vertraulich und sicher (Integrität und Vertraulichkeit), und der Verantwortliche muss das nachweisen können (Rechenschaftspflicht). |
| DSGVO Art. 6 Abs. 1 | Verarbeitung ist nur erlaubt, wenn einer von sechs Gründen vorliegt: Einwilligung, Vertrag, rechtliche Pflicht, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse. Ohne einen davon ist sie verboten. |
| DSGVO Art. 32 Abs. 1 | Datensicherheit: man muss technische und organisatorische Maßnahmen treffen – Verschlüsselung, Zugriffsbeschränkung, Belastbarkeit der Systeme, regelmäßige Überprüfung. |
| § 26 BDSG Abs. 1 S. 1 | Beschäftigtendaten dürfen nur verarbeitet werden, soweit es für das Arbeitsverhältnis erforderlich ist. Arbeitszeitdaten gehören dazu – aber eben nur für den Betrieb. |
| HSchG § 83 / HDSIG § 22 | Regelt schulische Daten in Hessen. Die Schule darf die Daten verarbeiten, die sie für ihren Bildungsauftrag braucht; eine Übermittlung an Dritte ist nur zulässig, wenn ein Gesetz es erlaubt oder eine Einwilligung vorliegt. |
Der wichtigste Satz für alle Fallaufgaben ist das Verbot mit Erlaubnisvorbehalt aus Art. 6: Verarbeitung personenbezogener Daten ist erstmal verboten. Man muss also nicht begründen, warum etwas nicht geht, sondern warum es ausnahmsweise geht.
Aufgabe 3 – Die drei Fälle
Fall A: Projektwahlen an die Presse
| Daten und Verarbeitung | Übermittlung schulischer Daten an einen Dritten (Journalist). Zu unterscheiden sind allgemeine Projektdaten (Titel, Thema, Teilnehmerzahl) und personenbezogene Daten (welcher Schüler, welche Lehrkraft). |
|---|---|
| Rechtsgrundlage / Prinzipien | DSGVO Art. 6 Abs. 1 – es braucht einen Erlaubnisgrund; HSchG § 83 / HDSIG § 22 für die Übermittlung an Dritte. Prinzipien: Zweckbindung (die Daten wurden für die Schulorganisation erhoben, nicht für Presseberichte) und Datenminimierung. |
| Ergebnis / Maßnahme | Allgemeine Projektdaten: zulässig, weil sie keinen Personenbezug haben – „Projekt Robotik, 18 Teilnehmer" betrifft niemanden persönlich. Personenbezogene Daten: unzulässig ohne Einwilligung. Ein Presseartikel ist ein völlig anderer Zweck als die Organisation der Projektwoche. Maßnahme: Daten anonymisiert oder aggregiert herausgeben. Sollen Namen genannt werden, braucht es die schriftliche Einwilligung der Betroffenen, bei Minderjährigen der Erziehungsberechtigten. |
Fall B: Arbeitszeit der volljährigen Mitarbeiterin
| Daten und Verarbeitung | Arbeitszeitdaten einer volljährigen Beschäftigten sollen an Dritte (die Eltern) übermittelt werden. |
|---|---|
| Rechtsgrundlage / Prinzipien | § 26 Abs. 1 BDSG – Beschäftigtendaten nur, soweit für das Arbeitsverhältnis erforderlich. DSGVO Art. 6 Abs. 1 – kein Erlaubnisgrund für die Weitergabe an Eltern. Prinzipien: Zweckbindung und Vertraulichkeit. |
| Ergebnis / Maßnahme | Unzulässig. Die Tochter ist volljährig, die Eltern haben kein Auskunftsrecht. Die Daten wurden für die Lohnabrechnung und die Arbeitszeitkontrolle erhoben – Elterninformation ist kein Zweck des Arbeitsverhältnisses. Maßnahme: Der Filialleiter verweist die Eltern an die Tochter selbst. Nur sie kann die Auskunft geben oder ausdrücklich einwilligen. |
Bei diesem Fall ist der springende Punkt die Volljährigkeit. Wäre die Mitarbeiterin minderjährig, sähe es anders aus – dann hätten die Erziehungsberechtigten ein Sorgerecht und damit eine andere Stellung. Genau deshalb steht das Wort in der Aufgabe.
Fall C: Private Adressdatenbank mit Webserver
| Daten und Verarbeitung | Rund 40 Adressen von Freunden und Verwandten, bisher in einer Tabellenkalkulation, künftig in einem DBMS mit Webserver und Zugriff von unterwegs. |
|---|---|
| Rechtsgrundlage / Prinzipien | Für rein private Zwecke greift die Haushaltsausnahme (DSGVO Art. 2 Abs. 2 lit. c) – die DSGVO gilt dann nicht. DSGVO Art. 32 ist trotzdem der Maßstab für die Technik. Prinzipien: Datenminimierung und Integrität und Vertraulichkeit. |
| Ergebnis / Maßnahme | Rechtlich zulässig, technisch aber fragwürdig. Für 40 Adressen ist ein DBMS mit Webserver deutlich überdimensioniert – der Nutzen (Zugriff unterwegs) steht in keinem Verhältnis zum Risiko. Risiken: Der Webserver ist aus dem Internet erreichbar und damit angreifbar; ohne HTTPS gehen die Daten im Klartext durchs Netz; ohne Login kann jeder mit der URL alles lesen; ungepatchte Software wird automatisiert gescannt. Maßnahmen: Login mit gehashten Passwörtern, HTTPS, Prepared Statements gegen SQL-Injection, regelmäßige Updates, Backups. Oder deutlich einfacher: eine synchronisierte Kontakte-App benutzen. |
Die Pointe von Fall C: zulässig und sinnvoll sind zwei verschiedene Fragen. Die Haushaltsausnahme sagt nur, dass die DSGVO hier nicht greift. Die Verantwortung für die Daten anderer Leute ist man damit nicht los – werden die 40 Adressen im Netz gefunden, betrifft das 40 echte Menschen.
Und die Ausnahme fällt sofort weg, sobald die Datenbank nicht mehr rein privat ist. Verwaltet er darin auch die Adressen seines Vereins, gilt die DSGVO in vollem Umfang.
Sicherung – Datenschutz gegen Datensicherheit
Datenschutz schützt die PERSON vor dem Missbrauch ihrer Daten.
Rechtliche Frage: Wer darf welche Daten
zu welchem Zweck verarbeiten?
Datensicherheit schützt die DATEN selbst vor Verlust, Veränderung
und unbefugtem Zugriff.
Technische Frage: Wie schütze ich sie?| Datenschutz | Datensicherheit | |
|---|---|---|
| Schützt | die Person | die Daten |
| Frage | Darf ich das? | Wie schütze ich es? |
| Geregelt in | DSGVO Art. 5, 6, BDSG, HDSIG | DSGVO Art. 32 |
| Beispiele | Einwilligung einholen, Zweckbindung, Auskunftsrecht, Löschfristen | Verschlüsselung, Passwort-Hashing, Backups, Zugriffsrechte, Updates |
Der Merksatz, an dem man beide auseinanderhält: Datenschutz ist eine rechtliche Frage, Datensicherheit eine technische. Man braucht beides, und keins ersetzt das andere.
Zwei Beispiele, die das zeigen: Eine perfekt verschlüsselte Datenbank voller Daten, die man gar nicht erheben durfte – Datensicherheit gut, Datenschutz verletzt. Eine rechtmäßig erhobene Adressliste, die ungeschützt auf einem Webserver liegt – Datenschutz erfüllt, Datensicherheit katastrophal. Genau das ist Fall C.
Nebenbei ist das auch die Verbindung zum Rest des Halbjahres:
password_hash, Prepared Statements und die
Zugriffsbeschränkung im Account-System sind alles Maßnahmen nach DSGVO
Art. 32. Man hat also die halbe Vorschrift schon umgesetzt, ohne es zu
wissen.