DSGVO für Administrator/innen

Haftungsausschluss: Die Empfehlungen in diesem Artikel haben reinen Informationscharakter und sind nicht rechtsverbindlich. Moodle Pty Ltd übernimmt keine Garantie für die Richtigkeit, Vollständigkeit und Verlässlichkeit. Bitte sichern Sie sich in der IT- und Rechtsabteilung Ihrer Organisation ab.

Checkliste

1. Wird Ihre Moodle-Site in einem Mitgliedsstaat der Europäischen Union gehostet oder sind einzelnen Nutzer/innen Angehörige der Europäischen Union?
   • Wenn Sie diese Frage mit "Nein" beantworten, dann sind Sie von der DSGVO nicht betroffen. Dennoch können Sie von diesen Datenschutzregelungen profitieren, da sie universell anwendbar sind. Sie können also die Anforderungen der DSGVO im Interesse Ihrer Nutzer/innen auf freiwilliger Basis erfüllen.
2. Verlangen Sie von Ihren Nutzer/innen, dass sie einer Nutzungs- und Datenschutzerklärung zustimmen (innerhalb oder außerhalb der Moodle-Site, z.B. in Papierform), bevor sie Moodle nutzen können?
   • Wenn Sie diese Frage mit "Nein" beantworten, dann müssen Sie eine entsprechende Erklärung einrichten. Die Nutzer/innen müssen über ihre Rechte und über die Datenverarbeitungsprozesse informiert sein, damit sie diese Rechte wahrnehmen können.
   • Wenn Sie diese Frage mit "Ja" beantworten, dann müssen Sie Ihre Nutzungs- und Datenschutzerklärung überprüfen und sicherstellen, dass sie alle Anforderungen der neuen DSGVO erfüllt, siehe unten. Wenn Sie Ihre Nutzungs- und Datenschutzerklärung ändern, müssen alle Nutzer/innen erneut zustimmen, bevor sie Moodle weiter nutzen können.
3. Wird Ihre Moodle-Site von Minderjährigen (d.h. unter 16-Jährigen in den meisten Ländern, in einigen Ländern unter 13-Jährige) genutzt?
   • Wenn Sie diese Frage mit "Ja" beantworten, müssen Sie sicherstellen, dass die Zustimmung von einem berechtigten Vormund erteilt wird. Bedenken Sie, dass das Sammeln und Verarbeiten von Daten von Minderjährigen mit besonderer Sorgfalt erfolgen muss. Sie sollten diese Daten besonders schützen und so kurz wie möglich speichern.
4. Stellt das Sammeln und Verarbeiten von personenbezogenen Daten in Ihrer Moodle-Site ein erhöhtes Risiko für die Rechte und Freiheiten Ihrer Nutzer/innen dar?
   • Erhöhtes Risiko liegt z.B. in folgenden Situationen vor:
     • systematische und extensive Auswertung von personenbezogenen Daten durch automatisierte Prozesse, inklusive Profiling, die zu Entscheidungen führen, die die Rechte der Nutzer/innen betreffen
     • umfangreiche Verarbeitung von speziellen Datenkategorien, z.B.:
       • Rasse und ethnische Herkunft
       • Politische Meinung
       • Religiöse und philosophische Bekenntnisse
       • Mitgliedschaft in einer Gewerkschaft oder Partei
       • Genetische Daten
       • Biometrische Daten
       • Gesundheitsdaten
       • Sexuelle Orientierung
       • Daten zum Sexualleben
       • Vorstrafen
       Diese Liste ist nicht vollständig und wenn Sie unsicher sind, sollten Sie im Zweifelsfall professionellen Rat einholen.
   • Wenn Sie diese Frage mit "Ja" beantworten, dann sollten Sie eine Risikoabschätzung durchführen. Wenden Sie sich an Ihre Rechtsabteilung und holen Sie sich professionellen Rat.
5. Verwenden Sie die gesammelten Daten für Marketingzwecke?
   • Wenn Sie diese Frage mit "Ja" beantworten, dann benötigen Sie eine separate Zustimmung von jedem/r einzelnen Nutzer/in, dass Sie die Daten für diesen Zweck verwenden dürfen. Die Zustimmung zur Datenverarbeitung für Marketingzwecke muss separat widerrufbar sein.
6. Verwenden Sie die gesammelten Daten für Forschungszwecke?
   • Wenn Sie diese Frage mit "Ja" beantworten, dann müssen Sie dafür die Zustimmung von jedem/r einzelnen Nutzer/in einholen oder die Daten für die Forschung vollständig anonymisieren.
     https://github.com/moodlehq/moodle-local_anonymise ist ein Beispiel für ein Werkzeug, das alle Daten einer Moodle-Site anonymisiert.
7. Teilen Sie die gesammelten Daten mit Dritten? Das schließt Seiten und Dienste ein, die in Moodle integriert sind, z.B. Google Analytics, LTI, Repositories (Google Docs, OneDrive, etc.), Authentifizierungssysteme usw. Es schließt auch den Provider ein, falls Sie Ihr Moodle hosten lassen.
   • Wenn Sie diese Frage mit "Ja" beantworten, dann sind Sie für alle Daten verantwortlich, die mit Dritten geteilt werden. Sie müssen von jedem/r einzelnen Nutzer/in und für jeden Drittanbieter und dessen Seite bzw. Dienst die Zustimmung einholen. Sie sollten auch dafür sorgen, dass die Drittanbieter die Daten angemessen schützen. Dazu gehört:
     • Prüfen Sie die Richtlinien und Datenschutzerklärungen der Drittanbieter und stellen Sie sicher, dass diese mit Ihren Richtlinien konform sind.
     • Informieren Sie Ihre Nutzer/innen, wenn sich die Richtlinien und Datenschutzerklärungen der Drittanbieter ändern.
     • Legen Sie Prozesse für die Bearbeitung von Anfragen zum Ändern oder Löschen personenbezogener Daten beim Drittanbieter fest, so dass sie diese Vorgänge nachverfolgen können, wenn an Sie als Moodle-Betreiber/in Anfragen zum Ändern oder Löschen gestellt werden.
     • Weisen Sie die Datenschutzverantwortlichen und Datenschutzerklärungen aller Drittanbieter als Teil Ihrer eigenen Datenschutzrichtlinie aus.
   • Google Analytics hat z.B. noch keine aktualisierten Anleitungen bereitgestellt, wie die Anforderungen der DSGVO erfüllt werden können. Gleichwohl bleibt es in Ihrer Verantwortung, die Daten Ihrer Nutzer/innen zu schützen. Es ist nicht rechtens, Cloud-Dienste zu nutzen, ohne sich Gedanken über die Folgen für den Datenschutz bei jedem einzelnen Dritt-Dienstleister zu machen.
8. Nutzen Sie Best-Practise-Richtlinien und Prozesse, um den Datenschutz sicherzustellen?
   • Wenn Sie diese Frage mit "Nein" beantworten, dann müssen Sie Ihre Richtlinien und Prozesse überprüfen, um sicherzustellen, dass die persönlichen daten Ihrer Nutzer/innen keinem Risiko ausgesetzt sind.
     • "Best Practices" schließt organisatorische und technische Maßnahmen ein, um ein dem Risiko angemessenes Sicherheitslevel zu gewährleisten, z.B.:
       • Pseudonymisierung und Verschlüsselung persönlicher Daten
       • fortlaufende Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der datenverarbeitenden Systeme und Dienste
       • die Möglichkeit der Wiederherstellung und des Zugriffs auf die Daten im Fall einer technischen Störung
       • ein Prozess des regelmäßigen Testens und der Bewertung der Effektivität der organisatorischen und technischen Sicherheitsmaßnahmen
     • Beispiele:
       • Verwendung von Verschlüsselung (https)
       • Durchführung von relevanten Sicherheitsupdates auf allen Systemen und der Software
       • Löschen der persönlichen Daten, sobald der Grund für deren Sammlung und Speicherung entfällt
9. Haben Sie Prozesse und Richtlinien festgelegt, wie Datenpannen angezeigt werden?
   • Wenn Sie diese Frage mit "Nein" beantworten, dann müssen Sie eine Vorgehensweise definieren.
   • Wenn Sie für diesen Fall Prozesse und Richtlinien definert haben, dann müssen sie diese überprüfen.
   • Die Prozesse und Richtlinien müssen enthalten, dass im Fall einer Datenpanne die Aufsichtsbehörde innerhalb von 72 Stunden informiert wird und alle betroffenen Nutzer/innen benachrichtigt werden.
10. Haben Sie einen Datenschutzbeauftragten benannt und in Ihrer Datenschutzrichtlinie ausgewiesen?
    • Wenn Sie diese Frage mit "Nein" beantworten, dann müssen Sie eine Personen benennen und entsprechend ausweisen. Der Datenschutzbeauftragte muss in der Lage sein, IT-Prozesse zu managen, Datensicherheit und Datenschutz zu gewährleisten, mit Cyber-Attacken umzugehen. 1.
11. Do you have a mechanism with with your site users can request their personal data is erased, corrected or made available to the requesting user on your site?
    • If you answered yes to this question then must ensure it is listed in your site's privacy policy
    • If you answered no to this question then you define one and list it in your site's privacy policy
      • For a Moodle site that does not make use of the GDPR plugins, a suitable mechanism would be an email address, reserved for this purpose that is monitored by an administrator for your Moodle site. Once a request is received, reasonable steps should be taken to ensure the authenticity of the request and the identity of the user making the request
      • Corrections to personal data can be processed by changing the data in Moodle directly using an administrator account
      • Erasures of personal data can be processed by either deleting the user account, or by editing the user account to remove all identifying information and making it inactive
      • Records of personal data can be obtained from the “Site Administration -> Reports -> Logs” by downloading all the logs for a single user as a CSV file. There will likely be additional personal data about a user that is stored outside of Moodle, such as web server access logs.
12. Does your organisation have more than 250 employees?
    • If you answered yes to this question then you must maintain detailed records on all processing of personal data. Refer to the regulation for details of the records that must be maintained

Nutzungs- und Datenschutzerklärung

Eine Nutzungs- und Datenschutzerklärung dient dazu, Zustimmung der Nutzer/innen zur Verarbeitung ihrer Daten zu erhalten und damit den Anforderungen der DSGVO zu genügen. Dieses Dokument sollte sorgfältig erstellt und geprüft werden, um sicherzustellen, dass es alle Informationen (siehe unten) enthält und in verständlicher Sprache formuliert.

Ab Moodle 3.4.2 wird die URL zur Nutzungs- und Datenschutzerklärung auf der Seite Website-Administration > Nutzer/innen > Datenschutz und Richtlinien > Richtlinieneinstellungen eingetragen (in früheren Moodle-Versionen war diese Einstellung unter Website-Administration > Sicherheit > Website-Rechte zu finden).

Die Nutzungs- und Datenschutzerklärung wird während des Anmelde-Prozesses in einem Frame angezeigt, so dass das Dokument keinen Header und keinen Footer benötigt.

Die Nutzungs- und Datenschutzerklärung sollte die folgenden Informationen in verständlicher Sprache enthalten:

1. Welche Informationen werden gesammelt.
2. Zweck der Verarbeitung der Daten; Die Zustimmung zur Verarbeitung für Marketingzwecke muss separat erfolgen und widerrufbar sein.
3. Name und Kontaktdaten des Datenschutzbeauftragten
4. Liste der Rechte, die Nutzer/innen haben
5. Die Nutzungs- und Datenschutzerklärungr der Speicherung der Daten
6. Verfahrensweise, wie eine Zustimmung widerrufen werden kann
7. Verfahrensweise, wie das Ändern oder Löschen personenbezogener Daten angefordert werden kann
8. Verfahrensweise, wie gespeicherte Daten abgefragt werden können
9. Liste der Dritten, die Zugriff auf die Daten haben (inklusive LTI, Portfolios, Plagiatfinder, Repositories, Authentifizierungssysteme) einschließlich:
   1. Kontaktdaten des jeweiligen Datenschutzbeauftragten
   2. Datenschutzerklärung jedes Drittanbieters
10. Ob die personenbezogenen Daten für irgendwelche automatisierten Entscheidungsprozesse verwendet werden und wenn ja, wie die Verfahrensweise ist (z.B. Analytics)