Schule digital: (K)ein Platz für Microsoft

Seite 3: Baden-Württembergs "Ella"

Baden-Württemberg hat gleichzeitig Großes vor und will die Schmach der 2018 für gescheitert erklärten digitalen Bildungsplattform Ella wettmachen. Für rund 24 Millionen Euro soll bis 2021 eine funktionierende Lösung entstehen. Die ersten Basiskomponenten will das federführende Kultusministerium den Lehrkräften noch im Herbst Schritt für Schritt zur Verfügung stellen. Dazu gehören ein "marktgängiges" Lernmanagementsystem als Alternative zur Open-Source-Lösung Moodle, eine dienstliche E-Mail-Adresse für Lehrkräfte sowie Programme und Services zur Kommunikation und Zusammenarbeit inklusive eines persönlichen Datenspeichers.

Einen angeblich sicheren Instant-Messenger konnte das von Susanne Eisenmann geführte Ressort bereits im April einführen, "um die Lehrkräfte bei den Herausforderungen der Corona-Pandemie zu unterstützen", wie eine Sprecherin der CDU-Politikerin gegenüber heise online erläuterte.

Stilles Ministerium

Der Landesdatenschutzbeauftragte Stefan Brink mahnte zunächst zwar noch "umfangreiche Korrekturen" an, konnte aber zumindest keine "substanziellen datenschutzrechtliche Probleme" für den Betrieb erkennen. Anders verhält es sich mit den Plänen des Ministeriums, auch eine – der Sprecherin zufolge – "datenschutzkonforme Nutzung" von Microsoft Office 365 für "einzelne Bausteine" im Rahmen der Plattform in Betracht zu ziehen. Man stehe dazu "in einem engen Austausch" mit Brink.

Der betonte schon im April in einer Stellungnahme für den Landtag in Stuttgart "die Notwendigkeit einer Datenschutz-Folgenabschätzung für die Bildungsplattform und damit auch für MS Office 365 oder den Betrieb von E-Mail-Diensten". Eine solche hat das Ressort bislang aber nicht veröffentlicht, eine entsprechende Anfrage nach dem Informationsfreiheitsgesetz des Landes hat es seit Monaten nicht beantwortet. Ohne diese Unterlagen sei die Frage, ob überhaupt eine Variante von Office 365 mit entsprechender Konfiguration "in datenschutzrechtlich zulässiger Weise im Rahmen der Bildungsplattform eingesetzt werden kann", bisher noch nicht abschließend zu beurteilen, hatte der Leiter der Aufsichtsbehörde im Frühjahr die Abgeordneten wissen lassen.

Besonders heikel an dem Produkt seien Übertragungen von Telemetrie- und Diagnosedaten an Microsoft, eine "sichere und verschlüsselte Speicherung von Dokumenten und E-Mails" sowie der Umgang mit von der Software erhobenen Nutzungsdaten allgemein. Inzwischen schickte Brink laut der "Badischen Zeitung" einen Brief an das Ministerium, in dem er auf potenzielle "strukturelle Merkmale der ins Auge gefassten" Lösung verweise, "welche die Möglichkeit eines datenschutzkonformen Einsatzes ohne wesentliche Anpassung der Datenverarbeitung durch Microsoft fraglich erscheinen lassen".

"Kontrollverlust über Schülerdaten"

Für den Abfluss personenbezogener Informationen an den Konzern zu eigenen Zwecken ist für den Kontrolleur keine Rechtsbasis ersichtlich. Er widerspricht damit entschieden einem Papier des Beraterhauses PricewaterhouseCoopers (PWC), wonach dem Betrieb des Office-Pakets unter gewissen Schutzvorkehrungen nichts im Wege stehe.

Der Chaos Computer Club Stuttgart fragt Eisenmann derweil in einem Brief, ob sie in ihre baldige Entscheidung auch das Urteil des Europäischen Gerichtshof (EuGH) einfließen lasse, wonach der Privacy Shield zum Datentransfer aus der EU in die USA ungültig ist. "Erschrocken" zeigen sich die Hacker über Aussagen "Ihres Projektleiters Ralf Armbruster" im Bildungsausschuss des Landtags. Diese ließen den Eindruck entstehen, "dass Ihr Ministerium Microsoft Office 365 klar favorisiert", was einem Kontrollverlust über Schülerdaten gleichkomme.

Auch die Anbieter von Datenspeichern und Kollaborationssoftware Nextcloud in Ionos rufen laut "Tagesspiegel" Foul, da sie "leistungsfähige Alternativen" zu Microsoft "aus dem eigenen Bundesland" anböten. Ende 2019 hatte das Ressort bereits in einer Ausschreibung für das Lernmanagementsystem gefordert, Schülerdaten über die Microsoft-Cloud Azure zu verwalten. Erst nach Protesten von Open-Source-Vertretern und Bürgerrechtsorganisationen lenkte es hier ein.

Investitionswirrwarr

Ebenfalls nicht überall gut an kommt Eisenmanns Initiative, Moodle & Co. mit einer kommerziellen Variante zu ersetzen, wobei die Christdemokratin dem Vernehmen nach itslearning im Blick hat. Ihr Haus schreibt selbst, dass es für Server, Speicher und Backup-Systeme schon insgesamt 1,3 Millionen Euro ausgegeben habe und über 600.000 Nutzer Moodle verwendeten. Parallel habe man mittlerweile das passende datenschutzkonforme Videokonferenzsystem Big Blue Button (BBB) für Live-Übertragungen von Unterricht verfügbar gemacht. Mit Stand Juli hätten mehr als 500 Schulen ihre Moodle-Konto um diese Funktion erweitert.

Befürworter der offenen Infrastruktur wie der Lehrer Andreas Grupp haben auf dieser Basis bereits auf Mastodon die "digital souveräne Schule" mit inzwischen über 20.000 Nutzern an Unterrichtstagen ausgerufen. Mit der auf andere Ansätze ausgerichteten Ausschreibung der neuen Bildungsplattform könnte für solche Experimente aber kaum noch Raum bleiben.

Bedenken, Duldungen, rote Karten

Microsoft geht derweil weiter davon aus, mit den OST und einem Anhang zum Datenschutz alias Data Protection Addendum (DPA) allen DSGVO-Anforderungen bei sämtlichen eigenen kommerziellen Online-Diensten gerecht zu werden. Man lege es in die Hand der Kunden, welche Informationen übertragen würden. Zugleich gelang es dem Softwaregiganten gerade, einen im Mai 2020 ausgelaufenen Lizenzvertrag mit dem Institut für Film und Bild in Wissenschaft und Unterricht (FWU) für drei Jahre zu erneuern. Damit können Bildungseinrichtungen in Deutschland Neuverträge und Verlängerungen für Microsoft-Bildungsprodukte abzuschließen und Dienste für zwölf oder 36 Monate abonnieren.

Im Rahmen der Datenschutzkonferenz von Bund und Ländern macht sich ein Unterarbeitskreis seit Monaten Gedanken darüber, ob eine rechtskonforme Auftragsverarbeitung mit Office 365 möglich ist. Ein Ergebnis ist noch nicht absehbar, aber der Flickenteppich von Bedenken, Duldungen und roten Karten für das Softwarepaket dürfte endgültig vorbei sein, wenn die Experten eine einheitliche Linie finden.

Verantwortung für Schüler:innen

Die Berliner Datenschutzbeauftragte Maja Smoltczyk, die Video-Systemen wie Teams, Skype, Zoom oder Google Meet jüngst die rote Karte zeigte, will bis dahin härter durchgreifen. "Im Frühjahr waren wir als Aufsichtsbehörde natürlich zurückhaltend mit Sanktionen bei Datenschutzverstößen, das war schließlich eine absolute Ausnahmesituation", sagte sie der "Frankfurter Allgemeinen Zeitung". "Bei einer zweiten Welle wäre das aber anders zu betrachten." Man könne nicht dabei zusehen, wenn in Bildungseinrichtungen gegen den Datenschutz verstoßen werde, da ein Missbrauch persönlicher Informationen Schüler "ihr Leben lang begleiten" könne.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmmung wird hier eine externe Umfrage (Opinary GmbH) geladen.

Umfragen immer laden

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Opinary GmbH) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Zu unserer Serie "Schule digital" finden Sie auch diese Beiträge:

(kbe)

nach oben

Alle Angebote

Newsletter heise-Bot Push Push-Nachrichten

${intro} ${title}