Datenschutzrechtliche Prüfung - Teil 1 (Vorprüfung)

Das hier als Vorprüfung bezeichnete Vorgehen filtert vorgeschlagene digitale Dienste heraus, die aufgrund grober Mängel aus datenschutzrechtlicher Perspektive für den schulischen Einsatz ungeeignet sind oder die keiner datenschutzrechtlichen Dokumentation bedürfen.

Der erste Schritt in der Vorprüfung ist, herauszufinden, ob das Datenschutzrecht überhaupt angewendet werden muss. Eine Nichtanwendung tritt nur ein, wenn die Verwendung des Dienstes keinerlei personenbezogene Daten (bspw. Namen, E-Mail-Adressen, Lernstände, IP-Adressen, Geräte-IDs) erfordert oder abfragt. Um dies beurteilen zu können, müssen zunächst die verwendeten Geräte und ihr Einsatzort betrachtet werden. Im Schulkontext sind folgende Kombinationen üblich:

1. Einsatz schuleigener, nicht-personalisierter Endgeräte im Schulnetz.
2. Einsatz schuleigener, personalisierter Endgeräte im Schulnetz.
3. Einsatz schuleigener, nicht-personalisierter Endgeräte zuhause.
4. Einsatz schuleigener, personalisierter Endgeräte zuhause.
5. Einsatz beliebiger privater Endgeräte im Schulnetz und zuhause (bring your own device - BYOD).
6. Einsatz vorgegebener privater Endgeräte im Schulnetz und zuhause (get your own device - GYOD).

Nicht-personalisiert bedeutet, dass das Gerät keiner Person (hier: keiner Schülerin/keinem Schüler) fest zugewiesen ist und auch kein personenspezifischer Login nötig ist, weil es beispielsweise aus einem Tablet-Koffer der Schule stammt.

Jede dieser sechs Kombinationen ist zudem mit jeder der folgenden sechs grundlegenden Arten digitaler Dienste nutzbar:

1. Über den Browser nutzbare Webanwendung ohne Account
2. Über den Browser nutzbare Webanwendung mit Account
3. Lokal installierte Software, für deren Nutzung kein Account und keine Internetverbindung erforderlich ist
4. Lokal installierte Software, für deren Nutzung kein Account, aber eine Internetverbindung erforderlich ist
5. Lokal installierte Software, für deren Nutzung ein Account, aber keine Internetverbindung erforderlich ist
6. Lokal installierte Software, für deren Nutzung ein Account und eine Internetverbindung erforderlich ist

Alle möglichen Kombinationen aus Gerätetyp, Einsatzort und Art des Dienstes ergeben die grundlegenden Nutzungsszenarien, aus denen das zutreffende Szenario für die datenschutzrechtliche Prüfung des zu untersuchenden digitalen Dienstes ausgewählt und betrachtet werden muss. Im Rahmen der vollständigen Prüfung wird das ausgewählte Nutzungsszenario ggf. durch weitere technische oder organisatorische Maßnahmen verfeinert (z.B. Verpflichtung zur pseudonymen Nutzung, Verschlüsselung von Speichermedien), um das Risiko bei der Nutzung zu minimieren.

Beispiel:

Eine Webseite bietet online Lernübungen für den Physikunterricht an. Der Anbieter unterliegt den Vorgaben der DSGVO. Die Lernübungen können ohne die Einrichtung eines Accounts durchgeführt werden (Art des Dienstes: Nr. 1). Außerdem beinhalten die Übungen keine Freitextfelder.

Fall 1: Die Webseite wird über schuleigene, nicht-personalisierte Endgeräte im Schulnetz genutzt.
Fall 2: Die Webseite wird von zu Hause mit einem privaten Endgerät bspw. für Hausaufgaben (BYOD/ GYOD) genutzt.

In beiden Fällen wird mindestens die IP-Adresse des Internetanschlusses übertragen, da dies technisch zwingend erforderlich ist. Eine IP-Adresse wird in der Datenschutzpraxis in der Regel als personenbezogenes Datum angesehen. Datenschutzrecht ist somit grundsätzlich anzuwenden.

Je nach Nutzungsszenario wird das Risiko einer Zuordnung der IP-Adresse zu einer bestimmten Person aber unterschiedlich hoch sein. Eine IP-Adresse, die einen Drei-Personen-Haushalt zugeordnet wird, ist häufig leichter einer bestimmten Person zuzuordnen als eine IP-Adresse, die auf eine Schule mit 800 Personen verweist. Das Risikos für die Rechte und Freiheiten der Betroffenen (z.B. Schülerinnen und Schüler) unterscheidet sich also.

Die Bewertung des Risikos erfolgt durch die Schule, vertreten durch die Schulleitung als Verantwortliche im Sinne des Datenschutzes. Sie wägt ab und entscheidet über einen potenziellen Einsatz eines Dienstes und ist gemäß Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) verpflichtet, die Bewertung nachvollziehbar zu dokumentieren.

Hinweise:

• Auch wenn keinerlei personenbezogenen Daten verarbeitet werden, gibt es zusätzliche Prüfkriterien, die beachtet werden müssen. Beispiele hierfür sind unter der Überschrift „Ausgewählte rechtliche Aspekte über den Datenschutz hinaus“ am Ende dieser Seite gelistet.
• Wurde bereits im Vorfeld ein Landesdienst identifiziert, der für die gewünschte Nutzung in Frage kommt, entfallen die Prüfschritte Vorprüfung und vollständige Prüfung. Das Nutzungsszenario wird in diesem Fall vom Land definiert und ist Teil der Dokumentation. Dadurch verringern sich die Dokumentationspflichten sowie einige Arbeitsschritte auf Seiten der Schule zur Vorbereitung des Einsatzes (siehe Zentrale-Stellen-Schule-Verordnung - ZStSchulVO).
• Neben den Dokumentenpakten für die Landesdienste, existieren auch Musterdokumente für einige häufig genutzte Einzellösungen. Werden diese entsprechend der Nutzungshinweise eingesetzt, entfallen auch hier die Vorprüfung und die vollständige Prüfung.
• Die Musterdokumente für die Landesdienste und Einzellösungen befinden sich hier.

Für die Einschätzung, ob ein digitaler Dienst aufgrund deutlicher Nichtkonformität mit den relevanten Datenschutzbestimmungen bereits grundsätzlich nicht im Unterricht eingesetzt werden darf, bieten die im Folgenden gelisteten Kriterien eine erste Hilfestellung. Weitere Prüfungen würden sich bei Ausschluss dann erübrigen.

Ein Ausschlusskriterium liegt dann vor, wenn der Dienst an sich von Grund her (z.B. von seinem Aufbau, seiner Programmierung, der impliziten Datenerhebung) gegen Datenschutzvorgaben verstößt, die insbesondere für den schulischen Einsatz gelten. Je nach Kriterium können ggf. technische oder organisatorische Maßnahmen ergriffen werden, um ein datenschutzkonformes Nutzungsszenario zu erreichen. Hierbei ist jedoch zu prüfen, ob der pädagogische Mehrwert dann überhaupt noch gewährleistet ist.

Wer ist der Anbieter?

• Herauszufinden über die Webseite des Anbieters - Impressum/AGB
• Ist keine verantwortliche Person/Firma/Behörde auffindbar, kann dies als Ausschlusskriterium gewertet werden.

Wo ist der Anbieter ansässig?

• Herauszufinden über die Webseite des Anbieters - Impressum/AGB
• Der Anbieter sollte sich in der EU, im EWR oder einem Land mit Angemessenheitsbeschluss befinden. Handelt es sich um einen Anbieter aus Drittstaaten, kann dies je nach Nutzungsszenario als Ausschlusskriterium gewertet werden.
• Hinweis: Angemessenheitsbeschlüsse können jederzeit geändert oder zurückgezogen werden, wenn sie die in der DSGVO vorgesehenen Durchführungsbefugnisse überschreiten. Das ist z.B. im Fall der USA im Rahmen der sogenannten Schrems I und Schrems II Urteile bereits zweimal passiert. Somit kann die Verarbeitung personenbezogener Daten in einem Land mit Angemessenheitsbeschluss plötzlich rechtswidrig werden. Von einer Nutzung entsprechender Dienste ist daher abzuraten.

Gibt es eine Datenschutzerklärung für den Dienst?

• Herauszufinden über die Webseite des Anbieters - z.B. in der dortigen Datenschutzerklärung oder auf Anfrage
• Die Datenschutzerklärung muss gut verständlich sein und sich konkret und umfänglich (s.u.) auf den von Schule für die Nutzung in Betracht gezogenen Dienst beziehen. Teilweise beinhaltet die Datenschutzerklärung für die Webseite des Anbieters auch die Informationen bzgl. des angebotenen Dienstes. (Wichtig: Eine Erklärung, die nur die Webseite selbst, aber nicht den eigentlichen Dienst adressiert, ist nicht ausreichend.)
• Wenn keine Datenschutzerklärung existiert, kann dies als Ausschlusskriterium gewertet werden.

Hat der Anbieter eine verantwortliche Person für ihn als verantwortliche Stelle und ggf. einen Datenschutzbeauftragten genannt?

• Der Anbieter muss einen Verantwortlichen benennen. Das können natürliche oder juristische Personen oder auch Behörden sein.
• Bei Unternehmen müssen je nach Größe auch Kontaktdaten für einen Datenschutzbeauftragten (DSB) genannt werden. Behörden müssen immer einen DSB nennen.
• Fehlen diese Angaben, kann dies als Ausschlusskriterium gewertet werden.

Nimmt die Datenschutzerklärung Bezug auf die Betroffenenrechte nach DSGVO/GDPR?

• Werden die Rechte der Betroffenen (insb. Auskunft, Löschung, Widerspruch) nicht genannt, kann dies als Ausschlusskriterium gewertet werden.

Kommt der Anbieter seinen Informationspflichten nach?

• Der Anbieter muss transparent machen welche personenbezogenen Daten er zu welchen Zwecken verarbeitet.
• Fehlt diese Angabe, kann dies als Ausschlusskriterium gewertet werden.

Welche personenbezogenen Daten sind anzugeben, um den Dienst nutzen zu können und bewegen sich diese Angaben innerhalb des für SH zulässigen Rahmens?

• Zulässig für unterrichtliche Zwecke für die Nutzung eines digitalen Dienstes sind nach § 11 Absatz 4 SchulDSVO nur Name, E-Mail-Adresse und Lerngruppenzugehörigkeit sowie weitere technische personenbezogene Daten und Daten die erst bei der Nutzung entstehen (Auflistung von Beispielen im Gesetzestext).

Wird ein Auftragsverarbeitungsvertrag - AVV (Data Processing Agreement - DPA) angeboten?

• Herauszufinden über die Webseite des Anbieters oder auf Anfrage
• Eine Schule benötigt zwingend einen AVV, wenn es bei der Nutzung des Dienstes zur Verarbeitung personenbezogener Daten durch den Anbieter oder durch den Anbieter beauftragte Unterauftragsverarbeiter kommt.
• Ermöglicht der Anbieter auch auf Nachfrage keinen Abschluss eines AVV, ist dies ein Ausschlusskriterium.

Wo ist der Standort der Server?

• Herauszufinden über die Datenschutzerklärung, den AVV oder auf Anfrage.
• In der Schulpraxis sollten die Daten in der EU, im EWR oder in einem Land mit Angemessenheitsbeschluss gespeichert werden, da eine rechtssichere Auslagerung in andere Staaten an extrem komplexe und in der Praxis kaum umsetzbare Prüfpflichten geknüpft ist.
• Nicht geeignete Standorte können als Ausschlusskriterium gewertet werden.
• Hinweis: Angemessenheitsbeschlüsse können jederzeit geändert oder zurückgezogen werden, wenn sie die in der DSGVO vorgesehenen Durchführungsbefugnisse überschreiten. Das ist z.B. im Fall der USA im Rahmen der sogenannten Schrems I und Schrems II Urteile bereits zweimal passiert. Somit kann die Verarbeitung personenbezogener Daten in einem Land mit Angemessenheitsbeschluss plötzlich rechtswidrig werden. Von einer Nutzung entsprechender Dienste ist daher abzuraten.

Gibt es der Unterauftragsverarbeiter?

• Herauszufinden über die Datenschutzerklärung, den AVV oder auf Anfrage.
• Haben Unterauftragsverarbeiter Zugriff auf die Daten, sollte deren Geschäftssitz sich möglichst in der EU, dem EWR oder einem Land mit Angemessenheitsbeschluss befinden.
• Nicht geeignete Standorte können als Ausschlusskriterium gewertet werden.
• Hinweis: Angemessenheitsbeschlüsse können jederzeit geändert oder zurückgezogen werden, wenn sie die in der DSGVO vorgesehenen Durchführungsbefugnisse überschreiten. Das ist z.B. im Fall der USA im Rahmen der sogenannten Schrems I und Schrems II Urteile bereits zweimal passiert. Somit kann die Verarbeitung personenbezogener Daten in einem Land mit Angemessenheitsbeschluss plötzlich rechtswidrig werden. Von einer Nutzung entsprechender Dienste ist daher abzuraten.

Werden bei Nutzung des Dienstes Daten an Dritte weitergegeben?

• Herauszufinden über die Datenschutzerklärung oder auf Anfrage.
• Gibt der Anbieter Daten (ggf. auch mit Einwilligung durch Akzeptieren von AGB, Nutzungsbedingungen usw.) an Dritte (z.B. zu Forschungs- oder Werbezwecken) weiter, kann dies als Ausschlusskriterium gewertet werden.
• Hinweis: Dritter ist laut Art. 4 Nr. 10 DSGVO wer nicht betroffene Person, Verantwortlicher, Auftragsverarbeiter oder Unterauftragsverarbeiter ist.

Kann während der Nutzung des Dienstes das Verbot von Werbung eingehalten werden?

• Herauszufinden durch einfache Tests (Aufrufen des Dienstes)
• Kann das Verbot nicht eingehalten werden, kann dies als Ausschlusskriterium gewertet werden: Schulgesetz § 29 Warenverkauf, Werbung, Sammlungen, Sponsoring und politische Betätigungen

Enthalten die AGB besondere Vereinbarungen bspw. hinsichtlich von Nutzungsrechten durch den Anbieter?

• Herauszufinden über die Webseite des Anbieters - AGB, Nutzungs- und Lizenzbedingungen
• Müssen für die Nutzung des Dienstes bspw. Rechte abgetreten werden (Anbieter verlangt z.B. Nutzungsrechte an Fotos, die durch Nutzende hochgeladen werden), so ist dies ein Ausschlusskriterium.