Niedersachsen überarbeitet sein Schulgesetz hinsichtlich den Erfordernissen der DSGVO
Yeah. Wer es ganz genau nachlesen möchte, findet den heute verabschiedeten Gesetzentwurf in voller Länge hier: http://www.stk.niedersachsen.de/portal/live.php?article_id=180273&_psmand=6.
Da das Lesen echt keinen Spaß macht, das aus meiner Sicht Wichtigste kurz zusammengefasst:
Lernplattformen und Schulclouds
Kurzfassung: Man wird in Niedersachsen nach meiner Einschätzung jetzt Lernplattformen und Schulclouds noch abgesicherter als vorher ohne Einwilligung der Betroffenen einsetzen können. Die entsprechende Rechtsnorm lautet im geänderten Schulgesetz folgendermaßen:
§31, Absatz 5, Satz 1–2: (1) Internetbasierte Lern- und Unterrichtsplattformen dürfen nur eingesetzt werden, soweit diese den Anforderungen der Datenschutz-Grundverordnung entsprechen und die Schulleitung dem Einsatz zugestimmt hat. (2) Die Schule darf für den Einsatz digitaler Lehr- und Lernmittel personenbezogene Daten der Schülerinnen und Schüler, der Lehrkräfte und der Erziehungsberechtigten verarbeiten, soweit dies für die Aufgaben der Schule erforderlich ist.
Es gab dazu bisher in Niedersachsen bereits eine gelebte Rechtspraxis, du nun aus meiner Sicht nochmal konkretisiert und an die DS-GVO angepasst wurde. Im Wesentlichen hat man sich vorher allein auf das Erforderlichkeitskriterium gestützt. Nicht freuen wird kritische Menschen, dass die Schulleitung hier als quasi „genehmigende Instanz“ aufgeführt ist (über Auswahl digitaler Lehr- und Lernmittel befindet trotzdem noch die Fachkonferenz, in der Eltern sowie SuS unterrepräsentiert sind) und – sollte z.B. Office365 die DS-GVO-Konformität bescheinigt werden – natürlich auch kommerzielle Anbieter zur Wahl stehen (politisch wird es m.E. eher darum gehen, die Niedersachsencloud rechtlich zu legitimieren).
Da Unterrichtsentwicklung jedoch stets eng mit möglichst vielen Beteiligten an einer Schule verbunden ist, wird man an Schulen schon sehr darauf achten, das Thema möglichst breit zu diskutieren.
Spannend ist die wiederum die doch recht weite Rechtsauslegung des neuen Absatz 5 auf S.23 der Entwurfsfassung in „Besonderen Teil“:
Satz 2 sichert die Zulässigkeit des Einsatzes digitaler Endgeräte und stellt klar, dass diese im Unterricht und insbesondere in schriftlichen Arbeiten und Prüfungen verwendet werden dürfen, auch wenn dabei personenbezogene Daten verarbeitet werden.
Überhaupt gebe ich dem „besonderen Teil“ eine Leseempfehlung. Für jemanden, der wie ich schon lange mit den Diskussionen auf Landesebene vertraut ist, liest sich das stellenweise wie ein Kriminalroman, weil man eben die Handschrift einzelner Player wiederzuerkennen glaubt – für Uneingeweihte dann doch eher trocken. In der Grundtendenz sind aus meiner Sicht aber Elternrechte beschnitten worden.
Mit Sicherheit werden wir demnächst ergänzende Erlasse sehen. Es bleibt spannend.
Der Erlass des Niedersächsischen Kultusministeriums bewegt sich meines Erachtens klar außerhalb der DSG-VO. Diese will nämlich nicht nur den Datenschutz der persönlichen Daten sicherstellen sondern auch die Datenverarbeitung und den Verkehr von Daten (#1) ermöglichen. Datenverarbeitung ist für Lehrer*innen in Niedersachsen nicht mehr möglich. Die Kriterien, die dieser Erlass festschreibt, sind derart rigide, dass sie keine Lehrerapp erfüllen kann. Somit ist der Einsatz digitaler Lehrerkalender und Notenbücher für Lehrer*innen im niedersächsischen Schuldienst nicht erlaubt. Dafür gibt es zwei KO-Kriterien.
1. Selbst die verschlüsselte Speicherung auf der Daten auf den mobilen Endgeräten ist nicht genehmigungsfähig.
2. Der Datenrahmen ist für einen sinnvollen Einsatz nicht ausreichend. Dinge wie: Fehlende Hausaufgaben, fehlendes Material, zu spät kommen, Störungen, Checklisten, freie Bemerkungen zu den Leistungen sind nicht erlaubt.
Man kann zu Lehrerapps unterschiedliche Meinungen haben. Sofern sichergestellt ist, dass die Daten im persönlichen Besitz der Lehrkraft bleiben, sollte man meines Erachtens den Lehrer*innen einen verantwortlichen Umgang mit diesen Tools zutrauen.
Natürlich muss sichergestellt sein, dass die Daten nicht in falsche Hände geraten. Dies scheint mir auf den aktuellen mobilen Endgeräten, die die Daten verschlüsselt speichern und in den Ende zu Ende verschlüsselten Clouds der Anbieter Google und Apple, gegeben. Kritischer wird es, wenn Daten auf mehreren Geräten synchronisiert, per Email exportiert oder versandt, oder auf einem zentralen Server gespeichert werden. Besonders im letzteren Fall würden diese Daten zu einem attraktiven Ziel für missbräuchliche Nutzung. Entsprechend hoch müssten dort die Sicherheitsanforderungen sein.
(#1) Das dritte Ziel der DSG-VO lautet: Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.