Antrag auf Zulassung zur Nutzung privater

IT-Systeme zu dienstlichen Zwecken

(KDG-DVO §20)

Antrag auf Zulassung zur Nutzung privater IT-Systeme zu dienstlichen Zwecken (KDG-DVO §20)

Schulorganisatorische Gründe legen es nahe, die Nutzung privater IT-Systeme zu dienstlichen Zwecken speziell für die Arbeit zu Hause und für das mobile Arbeiten zuzulassen.

Name der Schule und Anschrift

Kontakt-Emailadresse der verantwortlichen Stelle

Name, Vorname , Amts-/Dienstbezeichnung:

_____________________________________________________________________

Ich beabsichtige die Nutzung der folgenden privaten IT-Systeme:

Genutzte Hardware:

_____________________________________________________________________

_____________________________________________________________________

(Es genügt, den Gerätetyp anzugeben z.B. Laptop, Tablet, USB-Stick usw.)

Die Einrichtungsleitungen legen fest, welche Programme verwendet werden oder nicht verwendet werden dürfen.

Eine aktuelle Liste ist im _____________________________der Einrichtung einsehbar.

Folgende personenbezogene Daten sollen verarbeitet werden:

________________________________________

________________________________________

________________________________________

Ich sichere zu, die Maßnahmen nach KDG §26 und KDG-DVO §6 einzuhalten, sowie die erforderlichen technischen und organisatorischen Maßnahmen getroffen zu haben, insbesondere

Pseudonymisierung (nur falls für Aufgabenerfüllung sinnvoll und möglich) und Verschlüsselung (personenbezogene Daten müssen auf allen mobilen Geräten immer verschlüsselt gespeichert werden)

Maßnahmen um Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste sicherzustellen (Zutritts- und Zugriffsschutz, bspw. durch EDV-Geräte unter Verschluss nehmen, Passwortschutz, Berechtigungsvergabe, ferner verschlüsselter Datenversand, Datenlöschung mit geeignetem Verfahren)

Maßnahmen um Verfügbarkeit der personenbezogenen Daten und Zugang zu ihnen bei physischem und technischem Zwischenfall rasch wiederherzustellen (Datensicherung anfertigen)

Ich habe folgende Sicherheitsmaßnahmen realisiert:

Regelmäßiges Update Betriebssystem	ja O nein O

Einsatz einer Firewall	____________________________	(Benennung)

Einsatz und regelmäßiges Update eines Virenschutzes

____________________________	(Benennung)

Ich sichere ferner zu, nach entsprechender Aufforderung, die o.g. Datenverarbeitungsgeräte, auf welchen personenbezogene Daten gespeichert werden, zu Kontrollzwecken an die Schule zu bringen. Die Löschung der gespeicherten Daten führe ich spätestens nach dem Ende des nächsten Schuljahres durch.

Ich verpflichte mich, alle wesentlichen Änderungen (Neubeschaffung von Hardware, Software) der Einrichtungsleitung umgehend mitzuteilen.

Die Gültigkeit des Antrags auf Nutzung privater IT Systeme für dienstliche Zwecke erstreckt sich über die Dauer des Beschäftigungsverhältnisses der/des Antragstellerin/s.
Eine spezifische Handlungsanweisung zur Nutzung des privaten IT-Systems habe ich erhalten.

___________________________ genehmigt, ________________________________

Datum, Unterschrift Lehrkraft	Datum, Unterschrift Schulleitung

Anlagen

Auszug KDG §26

Auszug KDG-DVO §6

Auszug KDG-DVO §20

Anlage

KDG § 26 Technische und organisatorische Maßnahmen

(1) Der Verantwortliche und der Auftragsverarbeiter haben unter Berücksichtigung unter anderem des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeiten und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten und einen Nachweis hierüber führen zu können. Diese Maßnahmen schließen unter anderem ein:

a) die Pseudonymisierung, die Anonymisierung und die Verschlüsselung personenbezogener Daten;

b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;

c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;

d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

(2) Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch – ob unbeabsichtigt oder unrechtmäßig – Vernichtung, Verlust, Veränderung, unbefugte Offenlegung von oder unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.

(3) Erforderlich sind Maßnahmen nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht.

4) Die Einhaltung eines nach dem EU-Recht zertifizierten Verfahrens kann als Faktor herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen gemäß Absatz 1 nachzuweisen.

(5) Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte um sicherzustellen, dass ihnen unterstellte Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach kirchlichem oder staatlichem Recht zur Verarbeitung verpflichtet.

Anlage

KDG-DVO § 6 Technische und organisatorische Maßnahmen

(1) Je nach der Art der zu schützenden personenbezogenen Daten sind unter Berücksichtigung von §§ 26 und 27 KDG angemessene technische und organisatorische Maßnahmen zu treffen, die geeignet sind,

a) zu verhindern, dass unberechtigt Rückschlüsse auf eine bestimmte Person gezogen werden können (z.B. durch Pseudonymisierung oder Anonymisierung personenbezogener Daten),

b) einen wirksamen Schutz gegen eine unberechtigte Verarbeitung personenbezogener Daten insbesondere während ihres Übertragungsvorgangs herzustellen (z. B. durch Verschlüsselung mit geeigneten Verschlüsselungsverfahren),

c) die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste zum Schutz vor unberechtigter Verarbeitung auf Dauer zu gewährleisten und dadurch Verletzungen des Schutzes personenbezogener Daten in angemessenem Umfang vorzubeugen,

d) im Fall eines physischen oder technischen Zwischenfalls die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen rasch wiederherzustellen (Wiederherstellung).

2) Im Einzelnen sind für die Verarbeitung personenbezogener Daten in elektronischer Form insbesondere folgende Maßnahmen zu treffen:

a) Unbefugten ist der Zutritt zu IT-Systemen, mit denen personenbezogene Daten verarbeitet werden, zu verwehren (Zutrittskontrolle).

b) Es ist zu verhindern, dass IT-Systeme von Unbefugten genutzt werden können (Zugangskontrolle).

c) Die zur Benutzung eines IT-Systems Berechtigten dürfen ausschließlich auf die ihrer Zuständigkeit unterliegenden personenbezogenen Daten zugreifen können; personenbezogene Daten dürfen nicht unbefugt gelesen, kopiert, verändert oder entfernt werden (Zugriffskontrolle).

d) Personenbezogene Daten sind auch während ihrer elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträgern gegen unbefugtes Auslesen, Kopieren, Verändern oder Entfernen durch geeignete Maßnahmen zu schützen.

e) Es muss überprüft und festgestellt werden können, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung erfolgt (Weitergabekontrolle). Werden personenbezogene Daten außerhalb der vorgesehenen Datenübertragung weitergegeben, ist dies zu protokollieren.

f) Es ist grundsätzlich sicher zu stellen, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in IT-Systemen verarbeitet worden sind (Eingabekontrolle). Die Eingabekontrolle umfasst unbeschadet der gesetzlichen Aufbewahrungsfristen mindestens einen Zeitraum von sechs Monaten.

g) Personenbezogene Daten, die im Auftrag verarbeitet werden, dürfen nur entsprechend den Weisungen des Auftraggebers verarbeitet werden (Auftragskontrolle).

h) Es ist zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle).

i) Es ist zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden (Trennungsgebot).

j) Im Netzwerk- und im Einzelplatzbetrieb ist eine abgestufte Rechteverwaltung erforderlich. Anwender- und Administrationsrechte sind zu trennen.

(3) Absatz 2 gilt entsprechend für die Verarbeitung personenbezogener Daten in nicht automatisierter Form sowie für die Verarbeitung personenbezogener Daten außerhalb der dienstlichen Räumlichkeiten, insbesondere bei Telearbeit.

Anlage

KDG-DVO § 20 Nutzung privater IT-Systeme zu dienstlichen Zwecken

(1) Die Verarbeitung personenbezogener Daten auf privaten IT-Systemen zu dienstlichen Zwecken ist grundsätzlich unzulässig. Sie kann als Ausnahme von dem Verantwortlichen unter Beachtung der jeweils geltenden gesetzlichen Regelungen zugelassen werden.
(2) Die Zulassung erfolgt schriftlich und beinhaltet mindestens

a) die Angabe der Gründe, aus denen die Nutzung des privaten IT-Systems erforderlich ist,

b) eine Regelung über den Einsatz einer zentralisierten Verwaltung von Mobilgeräten (z. B. Mobile Device Management) auf dem privaten IT-System des Mitarbeiters,

c) das Recht des Verantwortlichen zur Löschung durch Fernzugriff aus wichtigem und unabweisbarem Grund; ein wichtiger und unabweisbarer Grund liegt insbesondere vor, wenn der Schutz personenbezogener Daten Dritter nicht auf andere Weise sichergestellt werden kann,

d) eine jederzeitige Überprüfungsmöglichkeit des Verantwortlichen, e) die Dauer der Nutzung des privaten IT-Systems für dienstliche Zwecke,

f) das Recht des Verantwortlichen festzulegen, welche Programme verwendet oder nicht verwendet werden dürfen sowie

g) die Verpflichtung zum Nachweis einer Löschung der zu dienstlichen Zwecken verarbeiteten personenbezogenen Daten, wenn die Freigabe der Nutzung des privaten IT-Systems endet, das IT-System weitergegeben oder verschrottet wird. Ergänzend ist dem betreffenden Mitarbeiter eine spezifische Handlungsanweisung auszuhändigen, die Regelungen zur Nutzung des privaten IT-Systems enthält.

(3) Der Zugang von privaten IT-Systemen über sogenannte webbasierte Lösungen kann mit den Mitarbeitern vereinbart werden, soweit alle datenschutzrechtlichen Voraussetzungen für eine sichere Nutzung gegeben sind.

(4) Die automatische Weiterleitung dienstlicher E-Mails auf private E-Mail-Konten ist in jedem Fall unzulässig.