Datenschutz in der Schule – (k)eine Herausforderung! | Bildungsalltag | bpb.de

Die Ausgangslage: Eine große Schere

Während wenige Schulen sich bereits seit Jahren mit digitaler Bildung beschäftigen, sind einige erst durch den beschlossenen DigitalPakt (im Sommer 2019) aktiver geworden, andere dann durch die pandemiebedingten Schulschließungen im Frühjahr 2020. Insgesamt herrscht im Zusammenhang mit digitalen Werkzeugen viel Unsicherheit über datenschutzrechtliche Bestimmungen in der Schule. Eltern wissen nicht, welche Rechte sie (und ihre Kinder) haben oder wie sie diese einfordern sollen. Lehrkräfte haben wenig Handlungs- und Entscheidungsspielraum, da sie an Vorgaben der Schulleitung gebunden sind. Schulträger folgen mal mehr und mal weniger den unverbindlichen Empfehlungen der Bildungsministerien, die wiederum auch kein perfektes Rezept zur Hand haben, wie etwa die Streitigkeiten in Baden-Württemberg rund um den Einsatz von Microsoft 365 zeigen.

Entlastung bekommen die Schulen durch beratende Datenschutzbeauftragte (festgelegt durch Art. 37 der DSGVO). Jedenfalls theoretisch. Die Umsetzung läuft bisher ernüchternd: Während einige Schulen externe Expertinnen oder Experten beauftragen, behelfen sich andere mit IT-affinen Lehrkräften, die dieses wichtige Amt zusätzlich zu ihren Unterrichtsstunden auferlegt bekommen. Die Schulleitung ist dafür verantwortlich, alle Fragen rund um die Speicherung von Daten detailliert beantworten zu können (§§ 120 bis 122 Schulgesetz) und die nötigen Informationen in sogenannten Auftragsdatenverarbeitungsverträgen (AVV) mit den jeweiligen IT-Firmen einzuholen (Art. 28 DGSVO). Diese Verträge liefern Softwarebetreiber oftmals gleich mit, doch ob die darin festgeschriebenen Inhalte vertretbar sind, entscheidet am Ende die Schulleitung mit allen Konsequenzen. Die Schule muss sich dabei, neben dem geltenden Datenschutzrecht, auch an den Verordnungen zur Datenverarbeitung an der Schule orientieren, die z.B. auf den Websites von Schulministerien zu finden sind.

Wo Datenschutz in der Schule eine Rolle spielt

Überall wo Daten erfasst oder verarbeitet werden, müssen auch Datenschutzmaßnahmen mitgedacht werden. Das betrifft nicht nur die Kontaktdaten der Kinder, Lehrkräfte und Eltern, sondern auch die Kommunikation untereinander: Noten, Fehlzeiten, Lern- und Förderbedarfe, Medikationen (z.B. bei Klassenfahrten), Fotos von Ausflügen sowie alle Inhalte, die von den Schülerinnen und Schülern produziert werden (Hausaufgaben, Aufsätze, Klausuren) und die Aufschluss über die Persönlichkeit des Kindes geben könnten.

Werden diese Daten und Inhalte digital in einer Software erhoben oder abgelegt, müssen viele Aspekte mitbedacht werden: Wer betreibt die Software? Auf wessen Servern werden die Daten gespeichert und wo stehen diese? Sind die Server für andere zugänglich? Sind Drittfirmen beteiligt? Welche Daten werden gespeichert und zu welchem Zweck? Werden die Daten für weitere Analysen verwendet und wenn ja, wofür? Diese Fragen müssen von der Schulleitung letztlich für die Nutzung jedes digitalen Endgeräts, für jede Verwaltungs- und Unterrichtssoftware und jede Schulcloud beantwortet werden können. Wichtig ist aber auch, dass Datenschutz nicht nur umgesetzt, sondern auch als Unterrichtsgegenstand behandelt wird. Die Schule ist ein Ort, wo freiheitlich-demokratische Werte und verantwortungsvolles, selbstständiges und reflektiertes Handeln vermittelt werden sollen. Souverän mit eigenen und anderen Daten umgehen zu können ist ein wesentlicher Bestandteil digitaler Bildung.

Voraussetzungen und Hinweise zum datenschutzkonformen Einsatz von Software

Die Interner Link: Europäische Datenschutzgrundverordnung (DSGVO) legt durch zahlreiche Gesetze und Rechte einen Grundstein zum Schutz personenbezogener Daten, den es anderswo nicht gibt. Daher sollte auch an Schulen keine Software genutzt werden, die ihren Serverstandort außerhalb der Europäischen Union (EU) hat. Im deutschen Schulwesen kommt dennoch oft kommerzielle US-amerikanische Software zum Einsatz, die nicht nur besonders viele Daten sammelt (jeden Tastendruck, Geräteinformationen, Standortdaten, etc.), sondern diese auch US-Geheimdiensten bei Bedarf zur Verfügung stellt – selbst wenn die Server in der EU stehen (das regeln der Externer Link: CLOUD-Act und das FISA-Abkommen). Das heißt: Daten, die bei Microsoft, Google, Apple & Co. hinterlassen werden, entziehen sich zu großen Teilen unserer Kontrolle.

Auch bei der Nutzung von Servern innerhalb der EU sind wichtige Aspekte zu beachten: Kommerzielle Anbieter bauen häufig Tracker in ihre Systeme ein, um so viele Daten wie möglich zu erheben, auszuwerten und gewinnbringend zu verkaufen. Es ist außerdem wichtig, die Daten der Schülerinnen und Schüler dezentral zu speichern: nicht an jeder Schule selbst, aber auch nicht auf den Servern von IT-Konzernen. Ein gutes Mittelmaß wäre die Stärkung kommunaler Rechenzentren, z.B. städtischer Serverstandorte. Die beste Hoheit über gespeicherte Daten kann mit der Nutzung freier Software erzielt werden, also quelloffener Software, die mit gemeinschaftlichen Werten entwickelt wird. Der öffentliche Programmcode bietet die Möglichkeit, kritische Datenflüsse zu erkennen und die Software zudem an die Bedürfnisse der Schulen anzupassen. Es gibt bereits viele freie, datenschutzfreundliche Möglichkeiten für den Unterricht, wie z.B. Moodle als Lernmanagementsystem, BigBlueButton für Videokonferenzen oder Nextcloud für die Dateiverwaltung.

Handlungsmöglichkeiten für Lehrkräfte, Eltern und SuS

Für Eltern und Lehrkräfte gilt: sie müssen nichts unterschreiben, was sie (oder ihre Kinder) nicht wollen. Alle haben das Recht auf informationelle Selbstbestimmung, also zu bestimmen, welche von ihren Daten von wem und wozu gespeichert werden. Notfalls muss sich die Schule Alternativen für jene überlegen, die der Datenverarbeitung mit einem bestimmten Programm nicht zugestimmt haben. Externer Link: Außerdem können die Beteiligten von ihrem Auskunftsrecht (Art 15. DSGVO) Gebrauch machen. Kann die Schule die eingangs erörterten Datenschutzfragen nicht beantworten, ist das ein Fall für die Landesdatenschutzbehörden. Eine Beschwerde führt selten zu Bußgeldern, dafür aber oft zu Nachbesserungen seitens der Schule: sei es durch höhere Transparenz gegenüber den Eltern oder durch den Wechsel zu datenschutzkonformer Software. Meist muss man aber gar nicht so weit gehen: Bereits aufklärende Gespräche können eine Schlüsselwirkung haben und zum Nachbessern oder Umdenken anregen. Dazu ist es besonders wichtig, dass Eltern und Lehrkräfte miteinander ins Gespräch kommen, wichtige Informationen zu Datenschutz an der Schule zusammentragen und auf die Schulleitung zugehen, wenn sie sich mit vorhandenen oder fehlenden Datenschutzmaßnahmen nicht wohl fühlen.

Herausforderungen im Spannungsfeld Datenschutz und Schule

Die Corona-Pandemie hat viele Schulen zu schnellen Digitalisierungsmaßnahmen gezwungen, oftmals ungeachtet des Datenschutzes. Angesichts der Ausnahmesituation sind Fehlentscheidungen zu verzeihen. Wichtig ist nun, dass schnell nachgebessert wird. Die kommerziellen IT-Konzerne werden weiterhin attraktiv bleiben. Durch die Größe und Finanzkraft der Unternehmen, die vielen Softwareentwicklerinnen und -entwickler, die Support-Struktur und die leichte Bedienbarkeit (Usablity) bleibt die Versuchung groß, ihre Angebote zu nutzen. Die Vorteile von Softwarepaketen wie Microsoft 365 müssen jedoch den direkten Nachteilen gegenübergestellt werden: Eingriff in die Privatsphäre von Kindern, das mögliche Risiko der Manipulation durch frühe Gewöhnung an einschlägige Produkte und eben auch das Risiko, selbst durch Datenweitergabe, -analyse und -verkauf zur gehandelten Ware zu werden. Schulen sind zudem kein Ort für kommerzielle Werbung, doch dass IT-Konzerne Werbeverbote an Schulen umgehen, wird oftmals gar nicht bedacht. Mit der Nutzung von Apple, Google & Co. wird durch langjährige Verträge oder den finanziellen und personellen Mehraufwand, den ein Wechsel zu anderer Software mit sich bringt, häufig ein Abhängigkeitsverhältnis eingegangen – dies gilt allerdings auch für jede andere kommerzielle Lernplattform.

Im Unterricht sollten Datenschutzkenntnisse vermittelt werden, die gesellschaftliche, politische und wirtschaftliche Abhängigkeiten aufzeigen. Dafür muss digitale Bildung auch in der Ausbildung von Lehrkräften einen höheren Stellenwert bekommen als es bisher der Fall ist. Mit diesen Maßnahmen zur „digitalen Souveränität" würden viele Hürden des Datenschutzes abgebaut werden. Und das ist zu schaffen, denn die vorhandenen freien Programme und Expertise in dem Fachbereich müssen nur angenommen werden. Wenn jetzt die richtigen Weichen gestellt werden und der Digitalisierungsschub als Chance begriffen wird, könnte Datenschutz in ein paar Jahren ganz unangestrengt an Schulen mitlaufen.