Vorgehen bei Datenschutz-, Informations- oder IT- Sicherheitsverletzungen in der Schule [ID 1583]

Im Zuge der Nutzung des Schulportals Hessen kann die Situation entstehen, dass es zu einer Verletzung des Schutzes personenbezogener Daten oder einer Verletzung der IT-Sicherheit kommt. Dies kann beispielsweise der Fall sein, indem Dritte Zugriff auf die Anmeldeinformationen von Nutzenden erlangen (z. B. Ausspähen von Passwörtern - s. auch „Sicherheitsrisiko Passwort" → ID 1581). Oder dass unautorisierte Zugriffsversuche auf IT-Systeme erfolgen (z. B. DDos-Attacken, um das System lahmzulegen).

Solche Fälle sind folgenreich und es droht insbesondere der Verlust und/oder Missbrauch personenbezogener Daten. Bei Verdacht auf eine Datenschutzverletzung/einen IT-Sicherheitsvorfall oder bei der Entdeckung eines solchen ist deshalb ein schnelles und zielgerichtetes Vorgehen wie nachfolgend dargestellt von großer Bedeutung. Wir empfehlen folgendes Vorgehen im Vier-Augen-Prinzip (mindestens zwei Personen):

1. Maßnahmen einleiten, damit der Vorfall beendet wird bzw. sich der Vorgang nicht wiederholt oder anhält. Beispiele, je nach Situation, können sein:

   1. Betroffene Module deaktivieren (ggf. für Tooladmins aktiviert lassen)

   2. Betroffene Accounts sperren (bei kompromittierten Accounts)

   3. Zugang für alle Accounts sperren (Benutzerverwaltung --> Weiteres --> Login --> Logins sperren)

   4. Einstellungen innerhalb von betroffenen Modulen anpassen

   5. Unterhaltungen im Nachrichtenmodul zurückziehen

2. Dokumentation des Vorfalls und aller unternommenen Schritte.

3. Je nach Situation:

   1. Meldung an die Schulleitung

   2. Meldung an die Datenschutzbeauftragte/den Datenschutzbeauftragten Ihrer Schule

   3. Meldung an den Hessischen Beauftragten für Datenschutz und Informationssicherheit (HBDI) (siehe unten)

   4. Meldung an das Schulportal Hessen über schulportal@kultus.hessen.de.

   5. Sicherung von Hinweisen.

Es ist in jedem Fall zu prüfen, ob ein meldepflichtiger Datenschutzvorfall im Sinne von Art. 33 DS-GVO vorliegt. In diesem Fall ist die zuständige Aufsichtsbehörde, also der Hessische Beauftragte für Datenschutz und Informationssicherheit (HBDI) zu informieren. Hierfür gilt gem. Art. 33 Abs. 1 S. 2 DSGVO eine kurze Frist von 72 Stunden. Häufig sind gem. Art. 34 DSGVO auch die Betroffenen zu benachrichtigen.

Weitere Informationen hierzu finden Sie unter dem nachfolgenden Link:
https://datenschutz.hessen.de/datenschutz/hochschulen-schulen-und-archive/meldepflicht-bei-datenpannen

Hinsichtlich der Nutzung des Schulportals Hessen besteht aus datenschutzrechtlicher Sicht eine gemeinsame Verantwortlichkeit im Sinne des Art. 26 DSGVO zwischen Ihrer Schule und dem Ministerium für Kultus, Bildung und Chancen. Deshalb ist in jedem Fall eine Meldung an das Schulportal Hessen zur Abstimmung der Vorgehensweise unerlässlich. Auch wenn Sie als Schule Ihrer Meldepflicht an den HBDI bereits nachgekommen sind, informieren Sie das Schulportal Hessen über schulportal@kultus.hessen.de.