Ziel:

Das hier als Vorprüfung bezeichnete Vorgehen filtert vorgeschlagene digitale Dienste heraus, die aufgrund grober Mängel aus datenschutzrechtlicher Perspektive für den schulischen Einsatz ungeeignet sind oder die keiner datenschutzrechtlichen Dokumentation bedürfen.

Hinweise:

• Wurde bereits im Vorfeld eine Landeslösung identifiziert, die für die gewünschte Nutzung in Frage kommt, entfallen die Prüfschritte Vorprüfung sowie Vollständige Prüfung. Die Dokumentationspflichten sowie einige Arbeitsschritte auf Seiten der Schule zur Vorbereitung des Einsatzes verringern sich. Die speziellen Informationen zum jeweiligen Einsatzszenario und zugehöriger Musterdokumente finden sich auf den Seiten der jeweiligen Landeslösung.
• Wenn keinerlei personenbezogenen Daten verarbeitet werden, fällt der Dienst nicht in den Anwendungsbereich des Datenschutzrechts. Doch auch in diesem Fall gibt es zusätzliche Prüfkriterien, die beachtet werden müssen. Beispiele hierfür sind unter der Überschrift „Ausgewählte rechtliche Aspekte über den Datenschutz hinaus“ in der Tabelle am Ende der Seite gelistet.

Zusammenhang zwischen Nutzungsszenario und Datenschutz

Der erste Schritt in der Vorprüfung ist, herauszufinden, ob das Datenschutzrecht überhaupt angewendet werden muss. Eine Nichtanwendung tritt nur ein, wenn die Verwendung des Dienstes keinerlei personenbezogene Daten (bspw. Namen, E-Mail-Adressen, Lernstände, IP-Adressen, Geräte-IDs) erfordert oder abfragt. Um dies beurteilen zu können, müssen zunächst die verwendeten Geräte und ihr Einsatzort betrachtet werden. Im Schulkontext sind folgende Kombinationen üblich:

1. Einsatz schuleigener, nicht-personalisierter Endgeräte im Schulnetz.
2. Einsatz schuleigener, personalisierter Endgeräte im Schulnetz.
3. Einsatz schuleigener, nicht-personalisierter Endgeräte zuhause.
4. Einsatz schuleigener, personalisierter Endgeräte zuhause.
5. Einsatz beliebiger privater Endgeräte im Schulnetz und zuhause (bring your own device - BYOD).
6. Einsatz vorgegebener privater Endgeräte im Schulnetz und zuhause (get your own device - GYOD).

Nicht-personalisiert bedeutet, dass das Gerät keiner Person (hier: keiner Schülerin/keinem Schüler) fest zugewiesen ist und auch kein personenspezifischer Login nötig ist, weil es beispielsweise aus einem Tablet-Koffer der Schule stammt.

Jede dieser sechs Kombinationen ist zudem mit jeder der folgenden sechs grundlegenden Arten digitaler Dienste nutzbar:

1. Über den Browser nutzbare Webanwendung ohne Account
2. Über den Browser nutzbare Webanwendung mit Account
3. Lokal installierte Software, für deren Nutzung kein Account und keine Internetverbindung erforderlich ist
4. Lokal installierte Software, für deren Nutzung kein Account, aber eine Internetverbindung erforderlich ist
5. Lokal installierte Software, für deren Nutzung ein Account, aber keine Internetverbindung erforderlich ist
6. Lokal installierte Software, für deren Nutzung ein Account und eine Internetverbindung erforderlich ist

Alle möglichen Kombinationen aus Gerätetyp, Einsatzort und Art des Dienstes ergeben die grundlegenden Nutzungsszenarien, aus denen das zutreffende Szenario für die datenschutzrechtliche Prüfung des zu untersuchenden digitalen Dienstes ausgewählt und betrachtet werden muss. Im Rahmen der vollständigen Prüfung wird das ausgewählte Nutzungsszenario ggf. durch weitere technische oder organisatorische Maßnahmen verfeinert (z.B. Verpflichtung zur pseudonymen Nutzung, Verschlüsselung von Speichermedien), um das Risiko bei der Nutzung zu minimieren.

Beispiel:

Eine Webseite bietet online Lernübungen für den Physikunterricht an. Der Anbieter unterliegt den Vorgaben der DSGVO. Die Lernübungen können ohne die Einrichtung eines Accounts durchgeführt werden (Art des Dienstes: Nr. 1). Außerdem beinhalten die Übungen keine Freitextfelder.

Fall 1: Die Webseite wird über schuleigene, nicht-personalisierte Endgeräte im Schulnetz genutzt.
Fall 2: Die Webseite wird von zu Hause mit einem privaten Endgerät bspw. für Hausaufgaben (BYOD/ GYOD) genutzt.

In beiden Fällen wird mindestens die IP-Adresse des Internetanschlusses übertragen, da dies technisch zwingend erforderlich ist. Bei der IP-Adresse handelt es sich um ein personenbezogenes Datum, wie der Bundesgerichtshof am 16.05.2017 festgestellt hat.

Die IP-Adresse ist bspw. in einem Drei-Personen-Haushalt aber einfacher einer konkreten Person zuzuordnen, als dies in einer Schule mit 800 Personen der Fall ist. Somit kann die Auffassung vertreten werden, dass im ersten Fall das Datenschutzrecht (insb. das Recht auf informationelle Selbstbestimmung) nicht zwangsläufig zu berücksichtigen ist, im zweiten Fall muss es berücksichtigt werden.

Im Grunde fließen bei Nutzung des Internets also immer zumindest personenbeziehbare Daten. Ob und wie ein digitaler Dienst rechtmäßig unterrichtlich eingesetzt werden kann, hängt somit vom Aufwand ab, mit dem einerseits ein Personenbezug vermieden werden kann (z.B. Fall 1) bzw. mit dem andererseits die Vorgaben des Datenschutzes erfüllt werden müssen (Fall 2). Zudem ist eine Abwägung erforderlich, in der das Potenzial der Gefährdung für die Rechte der betroffenen Personen (hier z.B. Schülerinnen, Schüler, Lehrkräfte, Eltern) bewertet wird. Diese Abwägung erfolgt durch die Schulleitung als für die für die Datenverarbeitung verantwortliche Person (Leitung der verantwortlichen Stelle im Sinne des Datenschutzes).

Ausschlusskriterien

Für die Einschätzung, ob ein digitaler Dienst aufgrund deutlicher Nichtkonformität mit den relevanten Datenschutzbestimmungen bereits grundsätzlich nicht im Unterricht eingesetzt werden darf, bieten die im Folgenden gelisteten Kriterien eine erste Hilfestellung. Weitere Prüfungen würden sich bei Ausschluss dann erübrigen.

Ein Ausschlusskriterium liegt dann vor, wenn der Dienst an sich von Grund her (z.B. von seinem Aufbau, seiner Programmierung) gegen Datenschutzvorgaben verstößt, die insbesondere für den schulischen Einsatz gelten. Je nach Kriterium können ggf. technische oder organisatorische Maßnahmen ergriffen werden, um ein datenschutzkonformes Nutzungsszenario zu erreichen. Hierbei ist jedoch zu prüfen, ob der pädagogische Mehrwert des digitalen Dienstes weiterhin gewährleistet ist. Ist dies nicht der Fall, muss der Dienst ausgeschlossen werden.

¹ Angemessenheitsbeschlüsse können jederzeit geändert oder zurückgezogen werden, wenn sie die in der DSGVO vorgesehenen Durchführungsbefugnisse überschreiten. Das ist z.B. im Fall der USA (Schrems I und II) passiert. Das heißt, dass die Verarbeitung personenbezogener Daten in einem Land mit Angemessenheitsbeschluss plötzlich rechtswidrig werden kann. Somit ist von der Nutzung entsprechender Dienste abzuraten.

² Dritter ist laut Art. 4 Nr. 10 DSGVO wer nicht betroffene Person, Verantwortlicher, Auftragsverarbeiter oder Unterauftragsverarbeiter ist.