Datenschutz in der Schule – Setzen Sie sich durch!

Verordnungen zur Datenverarbeitung

Im nordrhein-westfälischen Schulwesen sind es so genannte „Verordnungen über die zur Verarbeitung zugelassenen Daten von Schülerinnen, Schülern, Eltern und Lehrkäften“ (VO-DV I und VO-DV II), in denen genau beschrieben wird, wie mit sensiblen Daten umzugehen ist.

Auftragsdatenverarbeitungsvertrag

Schulen müssen außerdem einen Auftragverarbeitungsvertrag (AVV – früher ADV) vorweisen können, wenn Dienste verwendet werden, auf deren Datenverarbeitung sie keinen Einfluss haben (z.B. bei der Nutzung von Microsoft-Software). Dies regelt Art. 28 der Datenschutz-Grundverordnung (DSGVO): Der Auftragnehmer (hier z.B. Microsoft) muss in einem Vertrag mit der Schule „hinreichend[e] Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet“. Diese Garantie kann beispielsweise von Datenschutzbeauftragten eingefordert und geprüft werden.

Auskunftspflicht: Außerdem muss die Schule auf Anfrage erklären können, welche Daten der Schülerinnen und Schüler gespeichert werden (Art. 15 DSGVO). Hierzu gibt es vom Land Baden-Württemberg ein Musterformular, das entsprechend angepasst werden kann (im docx-Dateiformat von Microsoft – etwas paradox).

Datenschutzbeauftragte an Schulen

Die Verantwortung der Schulleitung

Die Schulleitung hat die Verantwortung für den Schutz der Schüler.innen-Daten zu tragen (§§ 120 bis 122 Schulgesetz und Art. 28 der DSGVO) – nicht die Lehrkräfte und auch nicht der Elternbeirat. Dennoch werden Eltern und Lehrkräfte immer wieder aufgefordert, Vereinbarungen zu unterschreiben, in denen sie die Verantwortung für die Daten der Schüler.innen übernehmen, z.B. bei der Nutzung von Schulclouds über private Endgeräte oder bei der Nutzung von Microsoft- oder Google-Produkten, auf deren Datenverarbeitung die Schule keinen Einfluss hat.

Einbeziehung der Lehrkräfte

Hinweis für Lehrkräfte: Unterschreiben Sie keine Vereinbarungen, in der Sie die Verantwortung für Daten der Schüler.innen übernehmen! Sie können die Datenschutzmaßnahmen oftmals gar nicht so zufriedenstellend gewährleisten, wie es das Gesetz vorgibt. Beispiel: Sie verpflichten sich womöglich, dafür zu sorgen, dass keine andere Software auf Ihrem Privatgerät auf die Daten der Schüler.innen zugreift. Zu erkennen, welche Software welche Informationen ausliest, ist aber schon für Expert.innen nicht immer leicht und erst recht nicht jeder Lehrkraft zuzutrauen. Wir haben bereits früher am Beispiel der Schulplattform LOGINEO NRW gewarnt, genau hinzuschauen, was Sie als Lehrkräfte da eigentlich unterschreiben.

Das können Sie tun: Klären Sie Ihre Schulleitung freundlich darüber auf, welche absurden  Maßnahmen in diesen Vereinbarungen von Ihnen verlangt werden. Viele Schulleitungen verteilen die Vereinbarungen nicht aus Boshaftigkeit oder um ihren eigenen Kopf aus der Schlinge zu ziehen – sie halten die Übertragung der Verantwortung lediglich für eine praktikable Lösung oder greifen ohne nachzudenken zu abstrusen Musterformularen.

Einbeziehung der Eltern

Hinweis für Eltern: Bleiben Sie hellhörig und stellen Sie den Einsatz der Software in Frage, wenn Sie aufgefordert werden, der Nutzung von Software in der Schule zuzustimmen – sei es im Unterricht oder in der Verwaltung. Denn es gibt für diese Aufforderung oft nur die folgenden, schlechten Gründe.

1. Unwissenheit: Die Schulleitung weiß nicht, dass sie verantwortlich ist.
2. Unsicherheit: Die Schulleitung drückt sich vor der Verantwortung oder davor, einen Auftragsverarbeitungsvertrag zu erstellen.
3. Vorsatz: Die Schule weiß genau, dass sie den Schutz der Daten nicht gewährleisten kann, und möchte sich das von Ihnen mit einer Unterschrift legitimieren lassen. Dies liegt bei der Nutzung von Microsoft- und Google-Produkten in der Natur der Sache (die Schule hat keinen Einfluss auf die Datenverarbeitung) und erfordert daher immer eine Einwilligung der Eltern.

Datenschutzrechtliche Einwilligungen

Prüfen Sie gut, welche Dokumente und Einwilligungen Sie unterschreiben. Hier finden Sie eine Liste mit freiwilligen und notwendigen datenschutzrechtlichen Einwilligungen für Schulen in NRW.

Fragen Sie in der Schule nach

Folgen Sie Ihrem Bauchgefühl! Denn sobald Sie nicht genau wissen, was mit Ihren Daten oder den Daten Ihrer Kinder passiert, sind Sie vermutlich nicht hinreichend informiert worden. So können Sie auch herausfinden, ob Sie lediglich einen Info-Elternbrief versäumt haben oder ob grundlegende Maßnahmen zum Datenschutz an Ihrer Schule fehlen und ggf. weitere Bemühungen notwendig sind. Die Schule sollte Sie von Beginn an darüber informieren, welche Daten verarbeitet werden und wie diese verarbeitet werden. Da dies aber häufig unterbleibt, sollten Sie sich lieber auch selbst schlau machen.

Recherchieren Sie im Netz

Nehmen Sie eigene Recherchen zur Datenverarbeitung der Software oder Plattform vor. Lesen Sie die Datenschutzbestimmungen. So können Sie die Vorgänge besser verstehen und Probleme erkennen. Achten Sie vor allem darauf, welche Daten erhoben und mit wem sie geteilt werden. Außerdem ist interessant, ob die Daten in der EU gespeichert und verarbeitet werden (wo besonderer Schutz durch die DSGVO gilt), oder z.B. in den USA, wo sowohl Konzerne als auch Geheimdienste womöglich Zugriff auf diese Daten bekommen können. Lassen Sie sich nicht entmutigen, wenn Sie Sätze und Begriffe nicht gleich verstehen. Suchen Sie online nach Bewertungen und Einschätzungen von Expert.innen zur geplanten Software.

Zeitliche Ressourcen

Wer sich über mangelnde zeitliche Ressourcen beschwert, vergisst oder verschweigt, dass die Installation jeder Software Zeit in Anspruch nimmt – egal ob sie A oder B heißt. Nur weil A bereits bekannt ist und für B ein wenig Hintergrundrecherche nötig ist, liegt noch lange kein plausibler Grund vor, auf die datenschutzfreundlichere Alternative zu verzichten. Die zusätzliche Zeit ist es wert!

Finanzielle Ressourcen

Wer über mangelnde finanziellen Ressourcen klagt und deshalb zu Lockangeboten von Microsoft, Google & Co. greift, hat das Zahlungsmodell dieser Programme nicht verstanden: Günstige oder kostenlose Angebote von Großkonzernen wollen unsere Nutzungsdaten auswerten und diese sensiblen, personenbezogenen Daten zu Geld machen. Es gibt zahlreiche Programme, die sowohl datenschutzfreundlich als auch kostengünstig sind. Freie Software bietet zudem noch viele weitere Vorteile, die in diese Kalkulation positiv mit aufgenommen werden müssen (weitere Infos: siehe unten).

Mangelndes Personal

Wer nicht genügend Personal aufbringen kann, um gute Software zu warten und zu administrieren, dem fehlt auch Personal, um schlechte Software zu warten und zu administrieren.

Mangelnde Fachkenntnis

Nicht zu wissen, wie vorzugehen ist, ist tatsächlich ein größeres Problem, das sich nicht so leicht lösen lässt wie die anderen. Hier muss die Schule Schwachstellen eingestehen und bereit sein, sich helfen zu lassen. Es gibt Vereine und Organisationen, die Hilfestellung leisten können. Beginnen Sie mit Organisationen vor Ort (Medienpädagogische Einrichtungen, Hackspaces, Datenschutzorganisationen), ggf. der Stadt (Schulämter, Verbraucherzentralen) oder des Landes (Medienanstalten/Medienberatungen, Datenschutzbeauftragte, Kultusministerien) (weitere Infos: siehe unten).