Quelltext der Seite Datenschutzbeauftragter – Neue Verfahren, Risikoanalyse und Datenschutz-Folgenabschätzung begleiten

{{T}}

{{BR}}
= Datenschutzbeauftragter – Neue Verfahren, Risikoanalyse und Datenschutz-Folgenabschätzung begleiten =

[[Datei:GDPR p1.svg|500px|rahmenlos|center]]

{{BR}}
= Einleitung =

'''Zielgruppe:''' Datenschutzbeauftragte an Schulen und Bildungseinrichtungen.

'''Kurzbeschreibung:''' Du begleitest neue digitale Verfahren risikoorientiert, ohne selbst die Verantwortung der Schule zu übernehmen. Im Mittelpunkt stehen fünf Fälle: [[Lernplattform]], [[Videokonferenz]], digitale [[Schülerverwaltung]], Analysewerkzeug und [[Künstliche Intelligenz|KI-System]].

'''Leitidee:''' Nicht jedes neue Verfahren braucht eine Datenschutz-Folgenabschätzung. Aber jedes Verfahren mit personenbezogenen Daten braucht eine strukturierte Datenschutzprüfung. Je nach Risiko folgen Risikoanalyse und gegebenenfalls [[Datenschutz-Folgenabschätzung|Datenschutz-Folgenabschätzung (DSFA)]].

'''Stand der Quellenprüfung: 7. Oktober 2026.''' Schulrecht und Zuständigkeiten unterscheiden sich zwischen den Bundesländern. Prüfe deshalb zusätzlich die Vorgaben der für Deine Schule zuständigen Aufsichts- und Schulbehörde.

{{BR}}
== Lernziele ==

Nach dem Kurs kannst Du zwischen '''allgemeiner Datenschutzprüfung''', '''Risikoanalyse''' und '''DSFA''' unterscheiden, die Rolle des Datenschutzbeauftragten sauber von der Verantwortung der Schule trennen und neue Verfahren frühzeitig in die richtige Prüftiefe einordnen.

[[Datei:Lock Icon.svg|350px|rahmenlos|center]]

{{BR}}
= Die Rolle des Datenschutzbeauftragten =

Der Datenschutzbeauftragte wird nach Art. 38 DSGVO '''ordnungsgemäß und frühzeitig''' in Fragen zum Schutz personenbezogener Daten eingebunden. Nach Art. 39 DSGVO informiert und berät er, überwacht die Einhaltung, berät bei einer DSFA und überwacht deren Durchführung.

'''Wichtig:''' Der Datenschutzbeauftragte ist nicht der Entscheider über Zweck und Mittel der Verarbeitung. Er übernimmt weder Projektleitung noch Freigabe- oder Betreiberverantwortung.

{| class="wikitable"
! Schule bzw. Verantwortlicher
! Datenschutzbeauftragter
|-
| entscheidet über Zweck und Mittel
| informiert und berät
|-
| bestimmt Rechtsgrundlage und Verfahren
| prüft und hinterfragt die Datenschutzkonzeption
|-
| führt erforderliche DSFA durch
| berät zur DSFA und überwacht ihre Durchführung
|-
| setzt technische und organisatorische Maßnahmen um
| bewertet und überwacht die Umsetzung risikoorientiert
|-
| dokumentiert Entscheidungen und trägt Verantwortung
| dokumentiert Hinweise, Empfehlungen und Überwachung
|}

{{#ev:youtube|   https://www.youtube.com/watch?v=gzJ02Jbz-9M   |500|center}}

{{BR}}
== Frühzeitige Einbindung statt spätem Abnicken ==

[[Datei:Data-flow-diagram-example.svg|500px|rahmenlos|center]]

Eine gute Einbindung beginnt '''vor''' Beschaffung, Vertragsbindung und Festlegung kritischer Systemeinstellungen.

{| class="wikitable"
! Projektphase
! Beitrag des Datenschutzbeauftragten
|-
| Idee
| Datenschutzrelevanz erkennen
|-
| Auswahl
| Prüfkriterien und Risiken benennen
|-
| Beschaffung
| Rollen, Auftragsverarbeitung und Drittlandbezug hinterfragen
|-
| Konfiguration
| Datenminimierung, Löschung, Rechte und Schutzmaßnahmen prüfen
|-
| Pilot
| reale Datenflüsse und Restrisiken kontrollieren
|-
| Betrieb
| Umsetzung überwachen und Änderungen erneut bewerten
|}

{{BR}}
= Drei Prüfstufen =

[[Datei:Risk matrix diagram.svg|500px|rahmenlos|center]]

{| class="wikitable"
! Prüfstufe
! Leitfrage
! Typisches Ergebnis
|-
| '''Allgemeine Datenschutzprüfung'''
| Ist die Verarbeitung rechtmäßig, erforderlich, transparent und angemessen geschützt?
| Anforderungen, Maßnahmen und offene Punkte
|-
| '''Risikoanalyse'''
| Welche Schäden für Rechte und Freiheiten können eintreten, wie schwer und wie wahrscheinlich sind sie?
| Risikobild und Schutzmaßnahmen
|-
| '''Datenschutz-Folgenabschätzung'''
| Ist wegen eines voraussichtlich hohen Risikos eine förmliche vertiefte Prüfung nach Art. 35 DSGVO erforderlich?
| dokumentierte DSFA mit Beschreibung, Erforderlichkeit, Risiken und Abhilfemaßnahmen
|}

'''Merksatz:''' Jede DSFA enthält eine Risikoanalyse. Nicht jede Risikoanalyse wird zur DSFA. Eine allgemeine Datenschutzprüfung ist bei neuen oder wesentlich geänderten Verarbeitungen mit personenbezogenen Daten immer erforderlich.

{{#ev:youtube|   https://www.youtube.com/watch?v=Jru0UiXDJP8   |500|center}}

{{BR}}
== Stufe 1: Allgemeine Datenschutzprüfung ==

Prüfe kompakt:

# [[Zweckbindung]]: Wozu werden die Daten wirklich benötigt?
# [[Rechtsgrundlage]]: Welche Norm erlaubt die Verarbeitung?
# [[Datenminimierung]]: Werden nur erforderliche Daten verarbeitet?
# [[Transparenz]]: Werden Betroffene verständlich informiert?
# [[Betroffenenrechte]]: Sind Auskunft, Berichtigung, Löschung und weitere Rechte praktisch umsetzbar?
# [[Auftragsverarbeitung]]: Sind Rollen und Verträge korrekt?
# [[Drittlandtransfer]]: Werden Daten außerhalb des EWR übermittelt?
# [[Technische und organisatorische Maßnahmen]]: Sind Schutz, Berechtigungen, Protokollierung und Löschung angemessen?
# [[Privacy by Design]]: Sind datenschutzfreundliche Voreinstellungen vorgesehen?

{{BR}}
== Stufe 2: Risikoanalyse ==

Die Risikoanalyse betrachtet Risiken '''für die Rechte und Freiheiten der betroffenen Menschen''', nicht nur IT-Ausfall oder finanzielle Risiken der Schule.

Besonders relevant sind unter anderem Minderjährige, sensible oder sehr persönliche Daten, systematische Beobachtung, Profilbildung, Zusammenführung großer Datenbestände, neue Technologien und Situationen, in denen Betroffene ihre Rechte nur schwer ausüben können.

'''Praxisregel:''' Nutze zusätzlich die aktuelle Art.-35-Abs.-4-Liste der für Dich zuständigen Datenschutzaufsicht. Produktname oder Hersteller allein entscheiden nie darüber, ob eine DSFA nötig ist.

{{BR}}
== Stufe 3: Datenschutz-Folgenabschätzung ==

Eine DSFA ist nach Art. 35 DSGVO vor der Verarbeitung erforderlich, wenn eine Verarbeitung '''voraussichtlich ein hohes Risiko''' für Rechte und Freiheiten natürlicher Personen zur Folge hat.

Eine DSFA umfasst insbesondere:

# systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke
# Bewertung von Notwendigkeit und Verhältnismäßigkeit
# Bewertung der Risiken für Rechte und Freiheiten
# geplante Abhilfemaßnahmen, Garantien und Sicherheitsvorkehrungen

Der Verantwortliche holt den Rat des Datenschutzbeauftragten ein. Bleibt trotz Maßnahmen ein hohes Risiko bestehen, ist vor Beginn der Verarbeitung eine vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO zu prüfen.

{{BR}}
= Entscheidungspfad =

{| class="wikitable"
! Frage
! Wenn Ja
! Wenn Nein
|-
| Werden personenbezogene Daten verarbeitet?
| allgemeine Datenschutzprüfung starten
| Entscheidung kurz dokumentieren
|-
| Bestehen relevante Risiken für Rechte und Freiheiten?
| Risikoanalyse vertiefen
| allgemeine Prüfung abschließen und Änderungen beobachten
|-
| Ist ein hohes Risiko wahrscheinlich?
| DSFA durchführen
| Maßnahmen und Risikobegründung dokumentieren
|-
| Bleibt nach Maßnahmen ein hohes Risiko?
| vorherige Konsultation nach Art. 36 DSGVO prüfen
| Verarbeitung erst nach dokumentierter Freigabe durch den Verantwortlichen starten
|}

{{BR}}
= Fünf Praxisfälle =

{{BR}}
== Fall 1: Lernplattform ==

[[Datei:Moodle-logo.svg|400px|rahmenlos|center]]

'''Situation:''' Eine Schule möchte eine Lernplattform einführen. Sie verarbeitet Namen, Kurszugehörigkeiten, Aufgaben, Kommunikation und Nutzungsdaten. Eine optionale Funktion erstellt Aktivitätsstatistiken.

'''Startpunkt:''' allgemeine Datenschutzprüfung plus risikoorientierte Analyse. Eine DSFA ist nicht automatisch wegen des Begriffs „Lernplattform“ erforderlich. Tracking, Profilbildung, große Datenmengen oder besonders eingriffsintensive Funktionen können die Schwelle verändern.

'''Moodle dient hier nur als sichtbares Beispiel einer Lernplattform; es ist keine Produktempfehlung.'''

<div class="mw-collapsible mw-collapsed">
'''Entscheidungssimulation: Was tust Du zuerst?'''
<div class="mw-collapsible-content">
Du verlangst keine pauschale „Datenschutzfreigabe“, sondern lässt Zweck, Datenarten, Rollen, Datenflüsse, Speicherdauer, Empfänger, Vertragslage und Funktionen beschreiben. Danach wird die Risikostufe bestimmt.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 1'''
<div class="mw-collapsible-content">
Trenne Grundfunktion der Plattform von Zusatzfunktionen wie Lernstandsprofilen, Tracking oder automatischen Empfehlungen.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 2'''
<div class="mw-collapsible-content">
Frage: Werden Verhalten oder Leistungen systematisch ausgewertet? Werden Daten verschiedener Quellen zusammengeführt? Sind Minderjährige in besonderer Weise betroffen?
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 3 – Auflösung'''
<div class="mw-collapsible-content">
Grundprüfung ist immer nötig. Die Risikoanalyse entscheidet, ob die konkrete Konfiguration ein voraussichtlich hohes Risiko erzeugt und damit eine DSFA erforderlich wird.
</div>
</div>

{{BR}}
== Fall 2: Videokonferenz ==

[[Datei:Video Camera Icon.svg|300px|rahmenlos|center]]

'''Situation:''' Für Elternabende und Unterricht soll ein Videokonferenzdienst eingesetzt werden. Standardmäßig sind Kamera, Mikrofon und Chat verfügbar; Aufzeichnung ist optional.

'''Startpunkt:''' allgemeine Prüfung und Risikoanalyse. Prüfe insbesondere Inhaltsdaten, Metadaten, Aufzeichnung, Zugriffsrechte, Verschlüsselung, Auftragsverarbeitung, Drittlandbezug und Löschung.

<div class="mw-collapsible mw-collapsed">
'''Entscheidungssimulation: Die Schulleitung will Aufzeichnung standardmäßig aktivieren. Was ändert sich?'''
<div class="mw-collapsible-content">
Der Eingriff wird intensiver. Du verlangst eine erneute Risikoanalyse: Zweck, Erforderlichkeit, Rechtsgrundlage, Zugriff, Löschung und mögliche Weiterverwendung der Aufnahmen müssen neu bewertet werden.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 1'''
<div class="mw-collapsible-content">
Eine neue Funktion kann eine bereits geprüfte Verarbeitung wesentlich verändern.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 2'''
<div class="mw-collapsible-content">
Besonders kritisch sind dauerhafte Aufzeichnung, biometrische Auswertung oder systematische Beobachtung.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 3 – Auflösung'''
<div class="mw-collapsible-content">
Die DSFA-Pflicht hängt von der konkreten Ausgestaltung und dem resultierenden hohen Risiko ab. Der Datenschutzbeauftragte berät; die Schule entscheidet und verantwortet.
</div>
</div>

{{BR}}
== Fall 3: Digitale Schülerverwaltung ==

[[Datei:Database.svg|300px|rahmenlos|center]]

'''Situation:''' Ein neues System bündelt Stammdaten, Fehlzeiten, Noten, Förderinformationen, Kommunikationsdaten und Berechtigungen.

'''Startpunkt:''' vertiefte allgemeine Prüfung und Risikoanalyse. Breite Datenbestände, lange Speicherdauer, Minderjährige und gegebenenfalls besonders schutzbedürftige Informationen erhöhen das Risiko.

<div class="mw-collapsible mw-collapsed">
'''Entscheidungssimulation: Der Anbieter möchte alle Module sofort aktivieren. Deine Reaktion?'''
<div class="mw-collapsible-content">
Du empfiehlst eine funktionsbezogene Prüfung: nur erforderliche Module aktivieren, Rollen und Zugriffe trennen, Löschfristen festlegen und die DSFA-Schwelle anhand der konkreten Datenverarbeitung und der einschlägigen Muss-Liste prüfen.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 1'''
<div class="mw-collapsible-content">
Mehr Funktionen bedeuten nicht automatisch mehr Erforderlichkeit.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 2'''
<div class="mw-collapsible-content">
Achte auf sensible Inhalte, große Datenzusammenführungen, Auswertungsfunktionen und weitreichende Rollen.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 3 – Auflösung'''
<div class="mw-collapsible-content">
Empfehle Datenminimierung und ein Berechtigungskonzept. Ob eine DSFA erforderlich ist, wird anhand des konkreten Risikos und der Vorgaben der zuständigen Aufsicht dokumentiert entschieden.
</div>
</div>

{{BR}}
== Fall 4: Analysewerkzeug ==

[[Datei:Wikipedia20 DataAnalytics.svg|400px|rahmenlos|center]]

'''Situation:''' Ein Analysewerkzeug soll Lernaktivitäten aus mehreren Systemen zusammenführen und Schülerinnen und Schüler nach „Unterstützungsbedarf“ einstufen.

'''Startpunkt:''' Die Kombination aus Datenzusammenführung, Profilbildung, systematischer Bewertung und möglicher Wirkung auf Lernende verlangt eine besonders sorgfältige Risikoanalyse. Eine DSFA kann hier naheliegen.

<div class="mw-collapsible mw-collapsed">
'''Entscheidungssimulation: Ein Score soll automatisch Fördermaßnahmen auslösen. Welche Frage ist zentral?'''
<div class="mw-collapsible-content">
Welche tatsächlichen Folgen hat der Score für die betroffene Person, wie transparent und überprüfbar ist er und welche menschliche Entscheidung bleibt erhalten?
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 1'''
<div class="mw-collapsible-content">
Bewerte nicht nur den Algorithmus, sondern die Wirkung der gesamten Verarbeitung.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 2'''
<div class="mw-collapsible-content">
Systematische Bewertung, Profilbildung, Datenzusammenführung und erhebliche Auswirkungen sind wichtige Risikosignale.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 3 – Auflösung'''
<div class="mw-collapsible-content">
Prüfe die DSFA-Schwelle besonders sorgfältig. Fordere Zweckbegrenzung, nachvollziehbare Kriterien, menschliche Überprüfung, Datenminimierung und wirksame Rechte der Lernenden.
</div>
</div>

{{BR}}
== Fall 5: KI-System ==

[[Datei:Noun-artificial-intelligence-8395365.svg|300px|rahmenlos|center]]

'''Situation:''' Ein KI-System soll Texte zusammenfassen, individuelle Aufgaben vorschlagen und perspektivisch Leistungsdaten auswerten.

'''Startpunkt:''' Trenne die Funktionen. Eine Lehrkraft, die ohne personenbezogene Eingaben einen Textentwurf erzeugt, ist datenschutzrechtlich anders zu bewerten als ein System, das Schülerprofile, Leistungsdaten oder Verhaltensmuster analysiert.

Zusätzlich zur DSGVO können der [[AI Act|EU AI Act]], Schulrecht und landesspezifische Vorgaben relevant sein. Für Baden-Württemberg weist der LfDI beispielsweise ausdrücklich auf besondere Schutzbedürftigkeit von Kindern und zusätzliche Grenzen bei KI im Schulkontext hin. Diese Aussage ist '''nicht automatisch auf andere Bundesländer übertragbar'''.

{{#ev:youtube|   https://www.youtube.com/watch?v=3PMMlspWFjw   |500|center}}

<div class="mw-collapsible mw-collapsed">
'''Entscheidungssimulation: Der Pilot soll morgen mit echten Schülerdaten starten. Was empfiehlst Du?'''
<div class="mw-collapsible-content">
Kein ungeprüfter Pilot mit Echtdaten. Zuerst Zweck, Rechtsgrundlage, Datenflüsse, Anbieterrolle, Trainings- oder Weiterverwendung, Datenübermittlungen, Löschung, Schutzmaßnahmen und Risikoschwelle klären.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 1'''
<div class="mw-collapsible-content">
„Pilot“ ist keine datenschutzrechtliche Ausnahme.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 2'''
<div class="mw-collapsible-content">
Frage besonders nach Profilbildung, automatisierter Bewertung, sensiblen Daten, Minderjährigen und Weiterverwendung von Eingaben.
</div>
</div>

<div class="mw-collapsible mw-collapsed">
'''Hilfe 3 – Auflösung'''
<div class="mw-collapsible-content">
Empfehle einen Test mit nicht personenbezogenen oder geeigneten synthetischen Daten, bis die Datenschutzprüfung abgeschlossen ist. Bei voraussichtlich hohem Risiko ist die DSFA vor dem produktiven Einsatz durchzuführen.
</div>
</div>

{{BR}}
= Typische Fehlentscheidungen =

{| class="wikitable"
! Fehlannahme
! Bessere Praxis
|-
| „Der Datenschutzbeauftragte gibt das Tool frei.“
| Der Verantwortliche entscheidet; der Datenschutzbeauftragte berät und überwacht.
|-
| „Cloud bedeutet automatisch DSFA.“
| Die konkrete Verarbeitung und ihr Risiko entscheiden.
|-
| „Wir machen erst nach dem Kauf die Datenschutzprüfung.“
| Datenschutz wird vor Auswahl und Vertragsbindung eingebunden.
|-
| „Eine einmalige Prüfung reicht dauerhaft.“
| Wesentliche Änderungen und neue Risiken lösen eine erneute Bewertung aus.
|-
| „IT-Sicherheitsrisiko und Datenschutzrisiko sind dasselbe.“
| Datenschutzrisiken beziehen sich auf Rechte und Freiheiten betroffener Personen.
|}

{{BR}}
= Dokumentation für die Beratungspraxis =

Eine kurze, belastbare Beratungsakte kann enthalten:

# Datum, Anlass und Verfahrensstand
# verantwortliche Stelle und Ansprechpartner
# Zweck, Datenkategorien, Betroffene und Empfänger
# zentrale Datenflüsse und eingesetzte Dienstleister
# offene Rechts- und Vertragsfragen
# Risikoeinschätzung und DSFA-Schwellenprüfung
# konkrete Empfehlungen des Datenschutzbeauftragten
# Entscheidung des Verantwortlichen
# Termin zur Nachkontrolle

So bleibt sichtbar: '''Der Datenschutzbeauftragte berät; der Verantwortliche entscheidet.'''

{{BR}}
= Aktuelle offizielle Quellen =

# [https://eur-lex.europa.eu/eli/reg/2016/679 EUR-Lex: Datenschutz-Grundverordnung], besonders Art. 35, 36, 38 und 39
# [https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_de Europäischer Datenschutzausschuss: Datenschutz-Folgenabschätzung]
# [https://www.datenschutzkonferenz-online.de/media/dskb/DSK_Standardisierter_Pruefprozess_OZG.pdf Datenschutzkonferenz: Standardisierter Prüfprozess zu datenschutzrechtlichen Anforderungen bei EfA-Onlinediensten nach OZG, Dezember 2025]
# [https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO4.pdf?__blob=publicationFile&v=22 BfDI: Info 4 – Die Datenschutzbeauftragten in Behörden und Betrieben]
# [https://www.lfd.niedersachsen.de/schulen/einsatz_digitaler_lernplattformen_in_schulen/ LfD Niedersachsen: Einsatz digitaler Lernplattformen in Schulen]
# [https://www.datenschutz-berlin.de/themen/telekommunikation/videokonferenzen/ Berliner Beauftragte für Datenschutz und Informationsfreiheit: Videokonferenzen]
# [https://www.datenschutz.rlp.de/themen/datenschutz-in-der-schule-faq LfDI Rheinland-Pfalz: Datenschutz in der Schule – FAQ]
# [https://www.baden-wuerttemberg.datenschutz.de/rechtsgrundlagen-datenschutz-ki/ LfDI Baden-Württemberg: Rechtsgrundlagen im Datenschutz beim Einsatz von Künstlicher Intelligenz]

'''Hinweis:''' Prüfe bei jeder praktischen Entscheidung zusätzlich die aktuelle „Muss-Liste“ nach Art. 35 Abs. 4 DSGVO und schulrechtliche Vorgaben Deiner zuständigen Landesbehörden.

{{BR}}
= Interaktive Aufgaben =

{{BR}}
== Quiz: Teste Dein Wissen ==

{{MC}}

'''Wer trägt die datenschutzrechtliche Verantwortung für die Entscheidung über ein neues schulisches Verfahren?'''
(Der Verantwortliche beziehungsweise die zuständige Schule oder Stelle)
(!Der Datenschutzbeauftragte)
(!Der Softwareanbieter)
(!Die betroffenen Schülerinnen und Schüler)

{{E}}
<br>

{{MC}}

'''Wann soll der Datenschutzbeauftragte bei einem neuen Verfahren eingebunden werden?'''
(Ordnungsgemäß und frühzeitig)
(!Erst nach Vertragsunterzeichnung)
(!Nur nach einer Datenschutzverletzung)
(!Erst nach dem Produktivstart)

{{E}}
<br>

{{MC}}

'''Welche Prüfung ist bei einer neuen Verarbeitung personenbezogener Daten grundsätzlich erforderlich?'''
(Eine allgemeine Datenschutzprüfung)
(!Immer eine Datenschutz-Folgenabschätzung)
(!Immer eine vorherige Behördenkonsultation)
(!Nur eine Kostenprüfung)

{{E}}
<br>

{{MC}}

'''Worauf richtet sich eine datenschutzrechtliche Risikoanalyse vor allem?'''
(Auf Risiken für Rechte und Freiheiten betroffener Personen)
(!Nur auf den Kaufpreis)
(!Nur auf die Verfügbarkeit des Servers)
(!Nur auf den Schulnoten-Durchschnitt)

{{E}}
<br>

{{MC}}

'''Wann ist eine Datenschutz-Folgenabschätzung erforderlich?'''
(Wenn die Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt)
(!Bei jeder Cloud-Anwendung)
(!Bei jedem neuen Passwort)
(!Nur nach einer Datenpanne)

{{E}}
<br>

{{MC}}

'''Wer führt die erforderliche Datenschutz-Folgenabschätzung verantwortlich durch?'''
(Der Verantwortliche)
(!Der Datenschutzbeauftragte allein)
(!Die Aufsichtsbehörde)
(!Der Elternbeirat)

{{E}}
<br>

{{MC}}

'''Welche Rolle hat der Datenschutzbeauftragte bei einer Datenschutz-Folgenabschätzung?'''
(Er berät und überwacht deren Durchführung)
(!Er ersetzt die Entscheidung des Verantwortlichen)
(!Er genehmigt das Produkt rechtsverbindlich)
(!Er übernimmt automatisch die Projektleitung)

{{E}}
<br>

{{MC}}

'''Was ist zu prüfen, wenn trotz Schutzmaßnahmen ein hohes Restrisiko bleibt?'''
(Eine vorherige Konsultation der Aufsichtsbehörde)
(!Eine öffentliche Abstimmung)
(!Eine automatische Löschung aller Schulakten)
(!Ein Wechsel des Datenschutzbeauftragten)

{{E}}
<br>

{{MC}}

'''Welche Funktion kann das Risiko einer Lernplattform besonders erhöhen?'''
(Systematische Profilbildung aus Nutzungsdaten)
(!Eine statische Hilfeseite)
(!Ein lokales Farbschema)
(!Eine alphabetische Kursliste ohne Zusatzanalyse)

{{E}}
<br>

{{MC}}

'''Was muss bei einem KI-System in der Schule zusätzlich zur DSGVO berücksichtigt werden?'''
(Einschlägiges KI-Recht und landesspezifisches Schulrecht)
(!Nur das Markenrecht)
(!Nur die Bildschirmgröße)
(!Nur die Lizenzfarbe)

{{E}}
<br>

{{BR}}
== Memory ==

<div class="memo-quiz">
{|
|-
| Datenschutzprüfung || Rechtmäßigkeit und Grundsätze
|-
| Risikoanalyse || Eintrittswahrscheinlichkeit und Schwere
|-
| Datenschutz-Folgenabschätzung || Voraussichtlich hohes Risiko
|-
| Datenschutzbeauftragter || Beraten und überwachen
|-
| Verantwortlicher || Entscheiden und verantworten
|-
| Konsultation || Aufsichtsbehörde vorab einbeziehen
|-
| Frühzeitige Einbindung || Vor Festlegung und Beschaffung
|}
{{E}}
<br>

{{BR}}
== Drag and Drop ==

<div class="lueckentext-quiz">

{| class="wikitable" 
! Ordne die richtigen Begriffe zu.
! Thema
|-
| '''Datenschutzprüfung'''
| Rechtmäßigkeit und Grundanforderungen prüfen
|-
| '''Risikoanalyse'''
| Risiken für Rechte und Freiheiten bewerten
|-
| '''Schwellwertanalyse'''
| Wahrscheinlichkeit eines hohen Risikos bestimmen
|-
| '''Datenschutz-Folgenabschätzung'''
| Hohes Risiko systematisch untersuchen und mindern
|-
| '''Konsultation'''
| Aufsichtsbehörde vor Beginn einbeziehen

|}
{{E}}

<br>

{{BR}}
== Kreuzworträtsel ==

<div class="kreuzwort-quiz">
{|
|-
| Verantwortlicher || Wer entscheidet über Zweck und Mittel der Verarbeitung?
|-
| Risikoanalyse || Welche Prüfung bewertet mögliche Schäden und deren Wahrscheinlichkeit?
|-
| Folgenabschätzung || Wie heißt die vertiefte Prüfung bei voraussichtlich hohem Risiko verkürzt?
|-
| Konsultation || Wie heißt die vorherige Einbeziehung der Aufsichtsbehörde bei verbleibendem hohem Risiko?
|-
| Datenminimierung || Welcher Grundsatz verlangt die Beschränkung auf erforderliche Daten?
|-
| Überwachung || Welche Kernaufgabe hat der Datenschutzbeauftragte neben der Beratung?
|}
{{E}}
<br>

{{BR}}
== LearningApps ==

<iframe> https://learningapps.org/index.php?s=Datenschutzbeauftragter+Neue+Verfahren+Risikoanalyse+Datenschutz-Folgenabschätzung+begleiten </iframe>

{{BR}}
== Lückentext ==

<quiz display=simple>
{'''Vervollständige den Text.'''<br>
|type="{}"}
Der Datenschutzbeauftragte soll bei datenschutzrelevanten Fragen { frühzeitig } eingebunden werden.
Die Verantwortung für das neue Verfahren bleibt beim { Verantwortlichen }.
Jede neue Verarbeitung personenbezogener Daten braucht zunächst eine allgemeine { Datenschutzprüfung }.
Eine vertiefte Bewertung möglicher Schäden erfolgt in der { Risikoanalyse }.
Eine DSFA ist erforderlich, wenn voraussichtlich ein { hohes } Risiko besteht.
Bei der DSFA berät der Datenschutzbeauftragte und überwacht ihre { Durchführung }.
Bleibt trotz Maßnahmen ein hohes Risiko bestehen, ist eine vorherige { Konsultation } zu prüfen.
Bei neuen KI-Systemen müssen neben der DSGVO auch einschlägiges KI-Recht und das jeweilige { Schulrecht } berücksichtigt werden.
</quiz>

<br>

{{BR}}
= Offene Aufgaben =

{{BR}}
=== Leicht ===

# [[Rollenklärung]]: Formuliere in drei Sätzen, was der Datenschutzbeauftragte bei einer neuen Lernplattform tut und was ausdrücklich nicht zu seiner Verantwortung gehört.
# [[Prüfstufen]]: Zeichne ein einfaches Flussdiagramm von Datenschutzprüfung über Risikoanalyse bis DSFA und markiere die Entscheidungspunkte.
# [[Risikofaktoren]]: Sammle fünf Merkmale, die bei einer digitalen Schülerverwaltung das Risiko für Lernende erhöhen können.
# [[Quellenprüfung]]: Öffne die aktuelle DSFA-Seite Deiner zuständigen Datenschutzaufsicht und notiere, welche Prüfliste oder Orientierungshilfe dort angeboten wird.

{{BR}}
=== Standard ===

# [[Lernplattform]]: Analysiere eine fiktive Lernplattform mit Chat, Aufgabenabgabe und Aktivitätsstatistik und begründe, welche Prüftiefe Du empfiehlst.
# [[Datenfluss]]: Erstelle für eine Videokonferenz ein Datenflussbild mit Schule, Dienstleister, Teilnehmenden und möglichen Unterauftragnehmern.
# [[Beschaffung]]: Entwickle zehn Datenschutzfragen, die vor dem Einkauf einer digitalen Schülerverwaltung beantwortet sein sollen.
# [[Beratungsvermerk]]: Schreibe einen einseitigen Beratungsvermerk zu einem Analysewerkzeug und trenne klar Empfehlung des Datenschutzbeauftragten und Entscheidung des Verantwortlichen.

{{BR}}
=== Schwer ===

# [[Datenschutz-Folgenabschätzung]]: Erstelle für ein schulisches Analysewerkzeug eine kompakte Muster-DSFA mit Verarbeitung, Erforderlichkeit, Risiken und Maßnahmen.
# [[Landesrecht]]: Vergleiche die Hinweise zweier Landesdatenschutzaufsichten zum Einsatz digitaler Systeme in Schulen und arbeite Gemeinsamkeiten und Unterschiede heraus.
# [[KI-System]]: Simuliere eine Sitzung mit Schulleitung, IT, Fachbereich und Datenschutzbeauftragtem zu einem KI-System, das Lernstände prognostiziert; dokumentiere Konflikte und Entscheidungen.
# [[Überwachungsplan]]: Entwickle einen risikoorientierten Jahresplan, mit dem der Datenschutzbeauftragte die Umsetzung von Empfehlungen zu fünf neuen Verfahren nachverfolgt.

{{:Offene Aufgabe - MOOC erstellen}}

{{BR}}
= Lernkontrolle =

# [[Transferfall Lernplattform]]: Eine bestehende Lernplattform erhält plötzlich ein Modul zur automatischen Verhaltensanalyse. Erkläre, welche Prüfungen neu aufgerollt werden müssen und warum.
# [[Transferfall Videokonferenz]]: Eine Schule wechselt von nicht aufgezeichneten Besprechungen zu standardmäßiger Cloud-Aufzeichnung. Entwickle die ersten fünf Prüfschritte des Datenschutzbeauftragten.
# [[Transferfall Schülerverwaltung]]: Zwei Schulen sollen ihre Verwaltungsdaten in einer gemeinsamen Lösung verarbeiten. Zeige, welche zusätzlichen Fragen zu Verantwortlichkeit, Zugriff und Risiko entstehen.
# [[Transferfall Analysewerkzeug]]: Ein Analysemodell stuft Lernende als „förderbedürftig“ ein. Bewerte, wie mögliche Folgen für Betroffene die Risikoeinschätzung verändern.
# [[Transferfall KI]]: Ein KI-Anbieter verspricht, Eingaben nur zur „Qualitätsverbesserung“ weiterzuverwenden. Formuliere die Fragen, die vor einer Nutzung mit Echtdaten geklärt werden müssen.
# [[Rollenabgrenzung]]: Die Schulleitung verlangt vom Datenschutzbeauftragten eine verbindliche Produktfreigabe. Entwirf eine fachlich korrekte Antwort und einen alternativen Beratungsprozess.

<br>
<br>

{{BR}}
= Lernnachweis =

Für einen Lernnachweis solltest Du zeigen können, dass Du:

# allgemeine Datenschutzprüfung, Risikoanalyse und DSFA sicher voneinander unterscheidest
# die DSFA-Schwelle anhand des konkreten Verarbeitungsvorgangs und nicht anhand eines Produktnamens beurteilst
# Risiken aus Sicht der Rechte und Freiheiten der Betroffenen analysierst
# die Verantwortung des Verantwortlichen von Beratung und Überwachung durch den Datenschutzbeauftragten trennst
# die Bedeutung frühzeitiger Einbindung in Beschaffung und Projektplanung begründest
# bei verbleibendem hohen Risiko die mögliche Konsultation der Aufsichtsbehörde erkennst
# landesspezifisches Schulrecht und aktuelle aufsichtsbehördliche Listen in die Prüfung einbeziehst
# eine nachvollziehbare Beratungs- und Überwachungsdokumentation erstellst

<br>
<br>

{{BR}}
= OERs zum Thema =

<iframe> https://de.m.wikipedia.org/wiki/Datenschutz-Folgenabsch%C3%A4tzung </iframe>

<br>

{{BR}}
= Verknüpfte Lernbereiche =

{| align=center
{{:D-Tab}}
'''[[Datenschutz]]'''
# [[Datenschutz-Grundverordnung]]
# [[Datenschutzbeauftragter]]
# [[Datenschutz-Folgenabschätzung]]
# [[Informationssicherheit]]
# [[Datenminimierung]]
# [[Künstliche Intelligenz]]
# [[Schulrecht]]
|}

[[Kategorie:Datenschutz]]
[[Kategorie:Datenschutzbeauftragter]]
[[Kategorie:Schule]]
[[Kategorie:Digitalisierung]]
[[Kategorie:Künstliche Intelligenz]]
[[Kategorie:Fortbildung]]
[[Kategorie:Erwachsenenbildung]]

{{BR}}
= aiMOOC-Projekte =
[[Kategorie:AI_MOOC]] [[Kategorie:GPT aiMOOC]]
{{MT}}