SchILD-Zentral & Univention Corporate Server (UCS)

[burmeister]

Klingt aber so, als würden die Hausmeister dann beim UCS-Export nicht berücksichtigt werden. Die sollen ja vor allem WLan-Zugänge erhalten.

[T.Hagel]

Hallo Herr Burmeister,

das wäre eigentlich ein Problem, dass sie gerne bei uns als Störungsticket eröffnen können. Ich übernehm das mal und melde mich gleich bei Ihnen.

So wie es auf dem ersten Blick aussieht, sind Ihre Hausmeister weiterhin (auch) bei im Katalog Lehrer erfasst. Daher werden diese natürlich auch als "teacher" übertragen. Dass Sie den gleichen Namen dann auch bei "Personengruppen" hinzugefügt haben, hilft dann nicht viel, denn so bekommt der Eintrag in den Personengruppen eine zusätzliche, eigene UCS-ID.

Schöne Grüße
Thomas Hagel

Stadt Köln
12/Digitalisierung und Informationstechnik
Fachanwendungsentwicklung und -betreuung für Schulen

[T.Hagel]

Einfache Lösung:
Beim Hausmeister in den Schild-Stammdaten den Haken "Bei Export berücksichtigen" entfernen?

Das sorgt nur dafür, dass das UCS-Konto nach Ablauf einer bestimmten Frist gelöscht wird. Solange die Hausmeister im Katalog Lehrer hinterlegt sind, haben sie beim Export die Rolle "teacher". Was Hr. Burmeister aber möchte, ist, dass die Hausmeister in die Rolle Mitarbeiter wechseln, das wiederum gelingt, in dem diese bei den Personengruppen hinzugefügt werden.

Das aber wiederum erzeugt neue GU_IDs und ggf. neue Benutzernamen. Um bestehende Benutzernamen und damit verbundene Zugriffe auf etwaige Dateiablage und anderen Webtools mit übernehmen zu können, müssen auf UCS-Seite diese GU_IDs zusammengefasst, bzw. angepasst werden.

Ticket ist bei uns aber eröffnet und wird dann dort weiterverfolgt.

[burmeister]

Hallo nochmal,

ich habe verstanden, dass wir bei den Einträgen auf dem falschen Dampfer waren.

Die MitarbeiterInnen sollen unter Personengruppen angelegt werden.
Wenn ich aber im dortigen Feld "Art" ins Dropdown-Menü gehe, fehlt dort in der Auswahl "Mitarbeiter/Mitarbeiterin" und auch
das Feld für die DV-Zustimmung.
Wie lässt sich das lösen?

Mitarbeiter anlegen.jpg (50.62 KiB) 108 mal betrachtet

Im Video wird alles erklärt, aber dort gibt es die entsprechende Auswahl dann auch.
https://www.youtube.com/watch?v=Sd4NSS4BTJs

[T.Hagel]

Welche Gruppen benötigt werden, legt jede Schule für sich fest.

Wenn Sie das Menü für die Personengruppen aufrufen, haben Sie ja zwei Reiter: "Übersicht" und "Personen". Unter "Übersicht" legen Sie die benötigten Gruppenbezeichnungen fest ...

[burmeister]

Ja genau. Bei Übersicht ist der Gruppenname ja beliebig. Unter Personen ist es aber wichtig, dass dort bei "Art" die Auswahl "Mitarbeiter/Mitarbeiterin" getroffen wird und unten die DV-Einwilligung angehakt wird.
In den Anleitungen heißt es, dass nur dann alle Mitarbeiter korrekt in den UCS-Daten landen, wenn diese beiden Bedingungen erfüllt sind.
Im Erklärvideo gibt es beide Auswahlmöglichkeiten, in unserem Programm nicht.

Mitarbeiter Video.jpg (26.4 KiB) 95 mal betrachtet

[T.Hagel]

Nun Sie müssen sich die gewünschten Gruppen erst noch in der Übersicht erzeugen. Dazu oben links auf das Plus-Icon klicken. Dann können Sie sich die gewünschten Bezeichnungen selber anlegen ...

---

Was das Löschen von Einträgen im Katalog Lehrer und Personen betrifft, ist es wichtig zu wissen, dass dann diese Person direkt physikalisch aus der Datenbank gelöscht wird. Bei Schülern hingegen gibt es mit dem Papierkorb noch eine Art Abfangmechanismus. Personen und Lehrkräfte hingegen werden direkt, zack, aus der Datenbank gelöscht. Hierzu hatte ich bei Ribeka schon vor längerer Zeit ein entsprechendes Ticket aufgegeben...

Wenn man bei den Personen oder Lehrkräften feststellt, dass man jemanden versehentlich gelöscht hat, legt man ihn unweigerlich neu an. Dabei aber werden neue schildinterne IDs und neue GU_IDs (und damit neue UCS-Konten und neue UCS-Benutzernamen) erzeugt. Erfolgt eine solche Wiederneuanlage innerhalb von 60 Tagen besteht unsererseits noch die Möglichkeit, die neue mit der alten GU_ID durch unseren IT-Partner für den pädagogischen Support verschmelzen zu lassen. Andernfalls wird das mit der gelöschten ID verknüpfte UCS-Konto gelöscht. Damit verliert die Person dann auch den Zugriff auf seine etwaige Dateiablage und Apps...

Schild-Intern jedoch kann das Löschen einer Lehrkraft aber noch ganz andere erhebliche Auswirkungen haben. Insbesondere wenn mit der schildinternen Lehrkräfte-ID Leistungsdaten oder Klassenzugehörigkeiten oder andere Dinge verknüpft sind. Eine Wiederherstellung von gelöschten Lehrer- und Personenkonten ist im Backupsystem leider nicht hinterlegt. Ich habe aber hierzu mittlerweile einen Workaround gefunden, diese Einträge aus Datensicherungen wieder herzustellen. Auch dazu gibt es ein Ticket bei Ribeka.


Schöne Grüße
Thomas Hagel

[T.Hagel]

Ergänzung:
Mir war entfallen, dass unsere Anwender für die Bereitstellung der gewünschten Gruppenbezeichnungen noch eine spezielle Gruppenrichtlinie benötigen, die den Zugriff auf eine Config-Datei freigibt. Diese Rechte haben einige wenige in der Schule bereits, bei Hr. Burmeister hingegen fehlte sie. In der Datei liegen die benötigten Gruppenbezeichnungen. Damit wird sichergestellt, dass Schreibfehler bei der Gruppenanlage vermieden werden, damit die Exportscripte sauber laufen können. Aber das ist alles bereits in Klärung.

Insgesamt aber bräuchte die Personen- und Lehrkräfteverwaltung jedoch mal ein Facelifting um das Ganze einfacher und vor allem intuitiver bedienbar zu gestalten. Nicht nur in Bezug auf die Möglichkeit, Schild zum Anlegen/Löschen von externen Benutzerkonten zu nutzen. In dem Zuge müssten dann auch die Parameter eindeutiger und einheitlicher formuliert werden (im Moment gibt es ja für Lehrkräfte und Personen unterschiedliche Parameter, die gesetzt werden müssen). Außerdem wäre dann eine Übersicht mit Filtern und Auswahlmöglichkeit ein Träumchen, über die festgelegt werden kann, für welche Systeme die Person oder Lehrkraft noch zugreifen können soll (schulisches WLAN, Dateiablage, O365, Moodle, etc.). So ließe sich dann Schild auch für sowas wie eine Lizenzübersicht, bzw. Nutzungsübersicht nutzen, inkl. Reports und Co.

Es wäre dann auch sicherlich einfacher zu administrieren, wenn es innerhalb von Schild möglich wäre, diese Bereiche (oder in Schildsprech "Kompetenzen") über die Schild-Benutzerverwaltung zu steuern, statt über externe Konstrukte. Hierzu sind wir mit Ribeka auch im Austausch.

Im Moment ist das alles ja eher noch eine Behelfslösung, die zudem umständlich zu bedienen ist.

[011marTusch]

Ja, SchILD-Zentral ... und es soll wohl ein direkter Zugriff auf die DB erfolgen, weil tagesgenauer Abgleich der TN.

Mich interessiert aber weniger die technische Vorgehensweise als datenschutzrechtliche Fragen ...

Bei der Suche nach etwas anderem, bin ich gerade auf diese Frage gestoßen.

Natürlich, die Kölner wieder
Ich möchte hier nur richtigstellen, dass es hier keinen "direkten Zugriff auf die DB" gibt. Das wäre ja noch schöner. Die UCS-Server liegen ziemlich deutlich physikalisch getrennt von unserem Rechenzentrum, in dem u.a. die SchildZentral-Datenbank auf entsprechend geschützten Servern liegt. Wie aber gelangen nun die Daten von A nach B ?

Technisch betrachtet und ohne zu sehr ins Detail zu gehen läuft der Austausch über zeitgesteuerte Oneway-Scripte, die abendlich bestimmte Eckdaten aus der SchildZentral-Datenbank ermitteln und verschlüsselt übergesicherte Wege an unseren Schulsupport-Dienstleister weitergeleitet werden, der wiederum die UCS-Server betreut. Oneway meint, dass es keinen Weg gibt, dass vom UCS-Server irgendetwas in die SchildZentral-Datenbank gelangen kann.

Auf diese Weise stehen Änderungen in SchildZentral (durch die Kollegen in der Schulverwaltung) schon am Folgetag bereit (Hochstufung von Klassen, Klassenwechsel von Schülern, abgehende Schüler, Lehrende in Ruhestand, etc.).

Hallo,

gerade bin ich auf die "datenschutzrechtliche" Antwort gestoßen.

Der Gesetzgeber sieht einen Zugriff des Schulträgers auf personenbezogene Daten der Schulen weder aktiv (das wäre ja noch schöner), noch automatisiert (das ist auch nicht besser) vor! Ich sehe da im Ergebnis keinen großen Unterschied, ob ein Unbefugter auf die Daten direkt zugreift oder sich Diese des Nachts per Script schön aufbereitet übermitteln lässt. Ist der Schulsupport-Dienstleister eine externe Instanz (Vertrag zur Auftragsdatenverarbeitung)?

Wer sind die Kollegen in der Schulverwaltung, welche Änderungen schon/erst am Folgetag in Schild-Zentral bereitstellen? Offenbar nicht PädagogInnen in den Verwaltungen der jeweiligen Schulen, denn dann würden die Änderungen ja sofort bereitstehen. Hochstufung von Klassen, Klassenwechsel von Schülern, abgehende Schüler, Lehrende in Ruhestand, etc. sind m.E schulinterne Verwaltungsaufgaben. Wenn diese Aufgaben im Schulverwaltungsamt (Behörde des Schulträgers) erledigt werden und hierzu personenbezogene Daten der Schulen dorthin übertragen werden, läuft "datenschutzrechtlich" etwas arg daneben. Der Schulträger ist datenschutzrechtlich ausschließlich für anonyme Daten Kunde der Schulen.

Natürlich, die Kölner wieder - Selbsterkenntnis .......

...... und wo war GS Schwerte?

[T.Hagel]

Der Gesetzgeber sieht einen Zugriff des Schulträgers auf personenbezogene Daten der Schulen weder aktiv (das wäre ja noch schöner), noch automatisiert (das ist auch nicht besser) vor! Ich sehe da im Ergebnis keinen großen Unterschied, ob ein Unbefugter auf die Daten direkt zugreift oder sich Diese des Nachts per Script schön aufbereitet übermitteln lässt. Ist der Schulsupport-Dienstleister eine externe Instanz (Vertrag zur Auftragsdatenverarbeitung)?
[/qoute]

Hallo Herr Tusch,
schön zu sehen, dass Sie weiterhin aktiv dabei sind
Da liegt ein Missverständnis vor. Der Schulträger ist bei diesem Export-Script nicht involviert. Zwischen den beteiligten Schulen und uns als Schulverwaltungs-IT-Support liegt natürlich ein Auftrag zu Datenverwaltung vor und die rechtliche Seite wurde auch hingegehend geprüft. Wir betreiben den Aufwand ja "einfach so". Selbstverständlich gibt es auch einen Auftrag zur Datenverarbeitung zwischen "uns" und dem eiternen Support-Dienstleister. Die Brisanz hinter den personenbezogenen Daten ist uns sehr bewusst und die Vorgänge sind sowohl mit dem Datenschutzbeauftragen der Kölner Schulen, sowie dem städtischen Datenschutzbeauftragten und dem des IT-Dienstleisters abgestimmt.

Personenbezogene Daten aus Schild werden ja im übrigen auch für den Export in andere Tools genutzt, wie etwa bei den Logino-Exports für Schüler und Lehrer oder beim Erzeugen von Benutzerkennungen für andere Lernplattformen, oder jetzt aktuell für Telli. Es gibt ja auch ähnliche Lösungen für iServ. Aber auch dort wird es entsprechende Auftragsdatenverarbeitungen geben.

Wer sind die Kollegen in der Schulverwaltung, welche Änderungen schon/erst am Folgetag in Schild-Zentral bereitstellen? Offenbar nicht PädagogInnen in den Verwaltungen der jeweiligen Schulen, denn dann würden die Änderungen ja sofort bereitstehen.

Tun sie ja auch. Die angesprochenen Änderungen erfolgen durch die SchildZentral-Nutzer in den Schulen mit den entsprechenden Berechtigungen. Deren Änderungen stehen zwar direkt in der SchildZentral-Datenbank, das Script für UCS läuft derzeit aber eben nur einmal täglich nachts durch, wenn sich entsprechende Parameter an den Schulen geändert haben. Gab es keine Änderungen, wird auch nichts exportiert. Bei 265 Schulen kommt je nachdem eine Menge "Holz" zusammen. Der gesammelte Austausch erfolgt nachts, weil dann mit keinen größeren Aktivitäten auf den UCS-Servern und der SchildZentral-Datenbank zu rechnen ist. Es gibt aber durchaus Bestrebungen den Zyklus zu erhöhen, bzw. den Schulen selbst zu überlassen, wann sie einen Export zusätzlich oder statt der nächtlichen Routine wünschen.
[/quote]

Wenn diese Aufgaben im Schulverwaltungsamt (Behörde des Schulträgers) erledigt werden und hierzu personenbezogene Daten der Schulen dorthin übertragen werden, läuft "datenschutzrechtlich" etwas arg daneben.

Wie gesagt, der Schulträger hat mit diesen UCS-Exporten überhaupt nichts zu tun. Außer vielleicht, dass sie ihren Segen für das Vorhaben geben haben.