Schulen brauchen Klarheit beim Datenschutz

An der Brodowin-Schule in Berlin findet aktuell kein Unterricht per Videokonferenz statt; Kinder, die die Schule nicht besuchen können, arbeiten mit Aufgabenzetteln auf Papier. Dabei würden die Lehrer gern digitale Werkzeuge einsetzen. Doch die bisherige Praxis an der Schule war offenbar nicht datenschutzkonform.

"Wir haben Microsoft Teams zunächst im Kollegium eingesetzt", berichtet die Schulleiterin Doreen Eccarius. Sie habe auch mit Zoom und Jitsi experimentiert, doch mit Teams seien die Besprechungen am stabilsten gelaufen. Aufgrund der positiven Erfahrungen habe die Schule während des Lockdowns im Frühjahr Teams dann auch für die Kommunikation mit Schülern und Eltern genutzt. Für die Schüler seien Mailadressen mit Pseudonymen eingerichtet worden: "Wir haben nicht mit Klarnamen gearbeitet."

"Es war allen Schulen freigestellt, welche Programme sie verwenden. Nach und nach kamen von der Senatsverwaltung Vorschläge, die aber zum Teil nicht vom Datenschutz geprüft waren", schildert die Schulleiterin die erste Phase des Distanzlernens. "Wir haben ein sehr engagiertes Kollegium. Ein Kollege schlug Padlet vor, um Schülern zusätzliches Lernmaterial zur Verfügung zu stellen." Der Kollege schickte Eltern einen Link zu Aufgaben in Padlet, einer Art digitaler Pinnwand.

Man habe es allerdings versäumt, dafür eine schriftliche Einverständniserklärung von den Eltern einzuholen, räumt Eccarius ein. In einer Fortbildung sei erklärt worden, dass kein Einverständnis der Eltern nötig ist, solange die Schüler keine individuellen Padlet-Accounts nutzen.

Verwarnung erteilt

"Ich verstehe die Nöte der Schulen", sagt Maja Smoltczyk, die Berliner Beauftragte für Datenschutz und Informationsfreiheit. Aber als ein Elternteil das Fehlen der Einverständniserklärung für die Padlet-Nutzung und auch den Einsatz von Teams an der Schule bei ihrer Behörde meldete, musste sie tätig werden. Das Ergebnis der Prüfung war eine Verwarnung.

"Das ist das sanfteste Mittel, das uns die DSGVO zur Verfügung stellt", erklärt Smoltczyk im Gespräch mit c’t. "Wir haben gleich Anfang des Jahres Hinweise zu Lernplattformen und kurz darauf zu Videokonferenz-Software mit einer Ampelbewertung herausgegeben." Microsoft Teams habe darin eine rote Bewertung erhalten, so die Datenschützerin. Auch Padlet sei derzeit selbst mit Einwilligungserklärung nicht datenschutzgerecht einsetzbar. Fast bedauernd fügt sie hinzu: "Es gab keine Entschuldigung, wir mussten eine Verwarnung aussprechen."

Gleichzeitig hält Smoltczyk es für falsch, dass die Verantwortung für die datenschutzkonforme Nutzung von Software bei den Schulen liegt. "Diese Vorschrift stammt aus einer analogen Zeit. Der Gesetzgeber muss das Problem endlich an der Wurzel packen und zeitgemäße Strukturen schaffen, die es den Schulen erlauben, sich auf die pädagogische Arbeit zu konzentrieren." Die Auswahl datenschutzkonformer Arbeitsmittel dürfe den Schulen nicht länger aufgebürdet werden.

"Wir haben der Bildungsverwaltung wiederholt unsere fachliche Unterstützung angeboten", so Smoltczyk. Die Moodle-Variante "Lernraum Berlin" – die offizielle Lernplattform des Bundeslandes Berlin – sei jedoch zunächst ohne Beteiligung der Berliner Datenschützer entwickelt worden. "Es war nicht ganz einfach, da ran zu kommen. Aber wir haben den Lernraum Berlin jetzt angesehen. Es ist noch nicht perfekt und viele Dinge müssen sicher permanent beobachtet werden, aber wir halten den Einsatz dieser Lernplattform für am ehesten vertretbar."

Senatsverwaltung in der Pflicht

"Dass wir für die Padlet-Nutzung eine Einverständniserklärung hätten einholen müssen, haben wir sofort eingesehen. Alle Padlet-Inhalte sind wieder gelöscht", berichtet Schulleiterin Eccarius. Sie weiß von Kollegen, dass andere Schulen weiter mit Teams arbeiten. "Wir hätten das auch gemacht, wenn wir keine Verwarnung bekommen hätten." Was wäre, wenn jetzt ein zweiter harter Lockdown kommt und die Schule geschlossen wird? "Das wäre wieder Steinzeit", sagt Eccarius.

Der Umstieg auf den Lernraum Berlin wird Zeit kosten. "Unser IT-Mitarbeiter betreut fünf Schulen. Im Augenblick ist er 14 Tage in Quarantäne, da bleibt alles in meiner Verantwortung." Sowohl die Schulleiterin als auch die Berliner Datenschützerin sehen die Senatsverwaltung in der Pflicht, Software für den Schuleinsatz zu evaluieren und eine geeignete Vorauswahl zu treffen. "Es ist ein riesiges Versäumnis, dass die Senatsverwaltung nicht mehr getan hat in der Zwischenzeit", sagt Smoltczyk. Ihre Rolle sei eine unterstützende: "Wir machen Dinge möglich, nicht unmöglich. Man sieht ja jetzt beim Lernraum Berlin, dass die Zusammenarbeit gut funktionieren kann."

Mehr Infos

c’t 1/2021

Dieser Artikel stammt aus c’t 1/2021. Darin beraten wir Sie bei der Auswahl und Einrichtung von Netzwerkspeichern für zu Hause und testen passende NAS-Leergehäuse. In einem weiteren Schwerpunkt beleuchten wir die Sicherheit von Krankenkassen-Apps und Kartenterminals und zeigen, wie Sie Android-Apps für E-Health selbst analysieren können. Ebenfalls brisant: Ein Serverfehler ermöglichte Identitätsklau bei Hostern und die Schufa will Privatkonten durchleuchten. Wir haben Tastaturen für Vielschreiber getestet, Telefonanlagen fürs Homeoffice und vieles mehr. c't 1/2021 ist ab sofort im Heise-Shop und am gut sortierten Zeitschriftenkiosk erhältlich.

(dwi)