Rechtsgutachten
Download:
Rechtsgutachten „Digitalpakt Schule“ (PDF / 0,5 MB) »
Informationen:
Gilt das Recht auf Vergessenwerden auch für Hausaufgaben?
Oder: Die Digitalisierung der Schulen und der Datenschutz [1]
Von: Dr. Eric Heitzer [2]
Vorab:
Die heutige Generation Social Media gewohnter Schüler geht sehr sorglos mit dem Datenschutz um: Sie teilt bereitwillig persönliche Informationen auf einer Vielzahl digitaler Plattformen, die kommen und gehen. Das Recht auf „informationelle Selbstbestimmung“, welches das Bundesverfassungsgericht in seiner wegweisenden Volkszählungsentscheidung 1983 herausgearbeitet hat, kennt sie nicht. Datenschutz ist wie Facebook eher etwas für die Generation der Eltern.
Betrifft dies die Schulen?
Selbstverständlich! Schulen sind nicht nur gesetzlich verpflichtet, sondern geradezu prädestiniert, den Schülern eine kompetente Nutzung von Informationen ebenso zu vermitteln wie ein Verständnis für digitale Infrastrukturen und einen intelligenten Umgang mit Endgeräten. All dies dient dem Zweck, die Schüler auf ein selbstbestimmtes Leben und eine weitgehend bereits digitalisierte Arbeitswelt vorzubereiten. Voraussetzung hierfür ist das Vorhandensein einer modernen IT-Infrastruktur an den Schulen mit ausreichender Bandbreite und den zugehörigen Endgeräten.
Was müssen die Schulen tun?
Bund und Länder haben die Anforderungen verstanden und in seltener Einigkeit einen Fördertopf in Höhe von 5,5 Milliarden € für Infrastrukturmaßnahmen an den Schulen bereitgestellt. Die Schulen reichen über ihren Träger Förderanträge ein. Im Antrag sind die beabsichtigten Maßnahmen zu beschreiben.
Wo liegt das datenschutzrechtliche Problem?
Aus der aktuellen Icils-Studie (International Computer and Information Literacy) wissen wir, dass 75 % der deutschen Schulen derzeit nicht einen einzigen WLAN Access Point haben, geschweige denn ein flächendeckendes Netz für digitale Lernmethoden. Im ersten Schritt werden daher viele in den Aufbau eines eigenen Schul-WLAN investieren und dessen Betrieb dann auslagern. Schließlich sind eigene IT-Admins in den Schulen eine echte Rarität.
Bei der Nutzung eines Netzwerks fallen jedoch eine Vielzahl personenbezogener Daten an: Betroffen sind Lehrer, Schüler, eventuell Eltern und andere Nutzer. Wird nun der Betrieb dieses Netzes ausgelagert – was aus Qualitäts- und Effizienzgründen immer häufiger an einen Cloud-Dienst geschieht –, verlassen viele dieser hochsensiblen Daten das Schulnetz und müssen besonders gut abgesichert werden, um die strengen Datenschutzvorgaben durch die DSGVO zu erfüllen.
Allein: viele Schulen scheinen sich dessen nicht bewusst zu sein, allzu oft verstecken sich diese Cloud-Dienste hinter Begriffen wie „zentrales Netzwerkmanagement“ oder „WLAN as a Service“. Die Folge: es fehlt an der nötigen datenschutzrechtlichen Prüfung, und viele Daten von Schülern und Lehrern wandern unbeabsichtigt in die Cloud.
Die Daten der Betroffenen sind aber nur sicher, wenn dieser Anbieter aus der EU stammt. Insbesondere die großen Anbieter aus den USA und China können trotz politischer Zusicherungen keine Gewähr dafür bieten, dass die Daten der Betroffenen nicht in großem Stil von ausländischen Stellen abgefangen und ausgewertet werden. Das gilt selbst dann, wenn sie die Netzwerke aus europäischen Rechenzentren verwalten.
Und die Konsequenzen?
Eigentlich ist es ganz einfach: Die Nutzung von WhatsApp und Outlook einzuschränken ist realitätsfremd. Aber in ein Schul-WLAN zu investieren, dass von einem nicht-europäischen Cloud-Anbieter verwaltet wird, ist nicht erforderlich und datenschutzrechtlich sogar unzulässig. Im Hinblick auf die in den Förderrichtinien der Länder vorgegebene Zweckbindung der Fördermittel (in NRW z.B. Ziff. 6.1) besteht bei Gesetzesverstößen zudem das Risiko, rechtswidrig eingesetzte Mittel zurückzahlen zu müssen. Dies ist vermeidbar: Denn in der EU und in Deutschland stehen den Schulen qualifizierte und sichere Alternativen für „Cloud-managed WLAN“ zur Verfügung, die die Digitalisierung der Schulen unterstützen – das Recht auf Vergessenwerden ist dabei eingeschlossen. Das gilt – last but not least – auch für die Hausaufgaben, aber leider nur, wenn sie vorher gemacht wurden.
[1] Die Thematik ist Gegenstand eines datenschutzrechtlichen Gutachtens, welches abrufbar ist unter www.dgc-integrity.digitalpakt.de
[2] Der Autor ist Rechtsanwalt und zertifizierter Datenschutzbeauftragter für rund 30 Unternehmen in Europa. Sie erreichen ihn unter: eh@dgc-integrity.de