Vorlage für die Schule und ihre Datenschutzbeauftragten. Die Vorprüfung entscheidet, ob eine vollständige Folgenabschätzung nötig ist. Fällt sie so aus, muss die Abschätzung vor dem ersten Einsatz mit echten Daten vorliegen, auch für einen Pilot.
Teil A: Ist eine DSFA erforderlich?
Kriterien nach den Leitlinien des Europäischen Datenschutzausschusses (WP 248) und der Muss-Liste der Datenschutzkonferenz. Je Kriterium ankreuzen und kurz begründen.
| Kriterium | Trifft zu? | Begründung |
|---|---|---|
| Bewertung oder Einstufung von Personen | tapiloop bildet keine Profile, Statistiken oder Vergleiche; das ist technisch nicht vorgesehen. | |
| Automatisierte Entscheidungen mit Rechtswirkung | Keine. Der stille Hinweis nach langer Abwesenheit hat keine automatische Folge. | |
| Systematische Überwachung | Zu prüfen: Wege werden für 48/24 Stunden festgehalten, danach gelöscht. Keine Ortung, kein Dauerprotokoll. | |
| Sensible Daten oder Daten hochpersönlicher Natur | Toilettengänge betreffen die Privatsphäre; Gründe werden nie erfragt, Gesundheitsdaten nicht verarbeitet. | |
| Datenverarbeitung in großem Umfang | Zahl der Kinder; im Pilot eine Klasse. | |
| Abgleich oder Zusammenführung von Datensätzen | Nein. Kein Klassenbuch, keine Verbindung zu anderen Systemen. | |
| Daten schutzbedürftiger Personen | Minderjährige, Abhängigkeitsverhältnis Schule. | |
| Innovative Nutzung oder neue technische Lösungen | NFC-Aufkleber und Tablet sind gängige Technik; die Nutzung im Schulkontext ist neu. | |
| Verhinderung der Ausübung von Rechten | Der Gang zur Toilette bleibt immer erlaubt; die Technik ist nie Voraussetzung. |
Faustregel der Leitlinien: Treffen zwei oder mehr Kriterien zu, ist eine DSFA in der Regel erforderlich. Ergebnis: DSFA erforderlich nicht erforderlich. Begründung: . Datum, Unterschrift Schulleitung und Datenschutzbeauftragte(r):
Teil B: Bewertung (nur wenn erforderlich)
1. Beschreibung
Siehe Verarbeitungsbeschreibung und Verzeichniseintrag. Umfang im Pilot: Klasse(n), Zahl der Kinder, Geräte, Zeitraum.
2. Notwendigkeit und Verhältnismäßigkeit
- Zweck: Aufsicht während des Unterrichts (siehe oben). Mildere Mittel: Zettel oder Zuruf leisten die Aufsicht nur teilweise (niemand weiß nach 20 Minuten, wer draußen ist) und zwingen Kinder, vor der Klasse zu fragen. Dauerlisten oder Klassenbucheinträge wären eingriffsintensiver (Sachsen, Tätigkeitsbericht 2023).
- Datenminimierung: nur Name oder Kürzel, Ziel und drei Zeitpunkte; keine Gründe, kein Standort, keine Statistik; nach 48/24 Stunden nicht mehr sichtbar, kurz darauf gelöscht.
- Transparenz: Elterninformation, Elternbrief, Elternseite in acht Sprachen, Kinderinformation am Handy.
- Betroffenenrechte: Auskunft, Berichtigung, Löschung über die Schule; Entfernen eines Kindes löscht sofort alle seine Wege; Export der Klassenlisten.
- Auftragsverarbeiter: Vertrag mit TOM, Unterauftragsverarbeiter benannt, Kinderdaten in der EU.
3. Risiken für die Betroffenen
| Risiko | Eintritt | Schwere | Maßnahmen | Restrisiko |
|---|---|---|---|---|
| Rückschluss auf Häufigkeit von Toilettengängen (z. B. Erkrankung) | gering | mittel | keine Statistik, nach 48/24 h nicht mehr sichtbar und kurz darauf gelöscht, Sichtbarkeit nur für Lehrkräfte, kein Klassenbuch | gering |
| Bloßstellung vor der Klasse | gering | mittel | Abmelden ohne Melden, Tablet zeigt keine Abwesenheiten, Karte ohne Bezug zum Kind | gering |
| Unbefugter Zugriff auf Namen und Wege | gering | hoch | Datenbankregeln mit aktueller Mitgliedschaft, keine Kinderkonten, verschlüsselt, Zugriff des Betreibers nur über protokollierte Einladung | gering |
| Zweckänderung (Disziplin, Bewertung) | mittel | hoch | Regel in Verarbeitungsbeschreibung und Beschluss festhalten; keine Auswertungsfunktion vorhanden | gering bis mittel, organisatorisch |
| Datenverlust oder Ausfall | mittel | gering | analoger Ersatzablauf, Wege sind ohnehin kurzlebig | gering |
| Fehlende Löschung | gering | mittel | Anzeige endet mit der Frist, physische Löschung durch stündlichen Lauf (Hilferufe) und zusätzlich Datenbankregel (Wege, Ereignisse), Fehler des Laufs werden protokolliert; keine feste Höchstdauer | gering |
| Identitätsverwechslung am Tablet (Kind tippt fremdes Bild) | mittel | gering | Korrektur durch Lehrkraft, pädagogischer Umgang, keine Folgen für das Kind | gering |
4. Ergebnis
Verarbeitung kann mit den Maßnahmen durchgeführt werden. Konsultation der Aufsichtsbehörde erforderlich (Art. 36). Datum, Beteiligte, Unterschriften: . Überprüfung: nach dem Pilot, spätestens nach einem Jahr.