Weiterentwicklung des Datenschutzes

Das Grund­pro­blem

Schu­le hat aus Sicht des Daten­schut­zes ein gra­vie­ren­des Pro­blem: Per­so­nen­be­zo­ge­ne Daten (Namen, Noten, Fehl­zei­ten usw.) wer­den in der Regel auch auf pri­va­ten Gerä­ten (Note­books, Tablets usw.) ver­ar­bei­tet, deren Soft­ware- und Aktua­li­sie­rungs­stand nicht kon­trol­lier­bar ist. Noch schlim­mer: Wer sich in einem Schul­netz wirk­lich ein­mal die Mühe macht, nach Frei­ga­ben und offe­nen Ports bei ein­ge­buch­ten Gerä­ten zu nut­zen, wird mit Sicher­heit fün­dig wer­den.

Es gibt beim nor­ma­len Anwen­der in der Regel über­haupt kein Bewusst­sein dar­über, wie die eige­nen Gerä­te zumin­dest mit Bord­mit­teln des Betriebs­sys­tems abge­si­chert wer­den kön­nen. Bei geschlos­se­nen Hard­war­uni­ver­sen wir z.B. bei App­le­pro­duk­ten hät­te er — selbst wenn er es woll­te — nicht ein­mal eine Mög­lich­keit der Absi­che­rung, son­dern ist auf die Vor­ga­ben der App­pro­gram­mie­rer und Gerä­te­her­stel­ler ange­wie­sen.

Das ruft natür­lich jeden auf den Plan, der sich mit tech­ni­schem Daten­schutz beschäf­tigt. Es ist ver­lo­ckend, Schu­len in die­ser Hin­sicht Fir­men gleich­zu­stel­len, die in ihrem eige­nen Inter­es­se schon längst tech­ni­sche Lösun­gen dafür ent­wi­ckelt haben, sen­si­ble Daten zu schüt­zen. Dabei darf nicht ver­ges­sen wer­den, dass Fir­men in der Regel über aus­rei­chen­de finan­zi­el­le und per­so­nel­le Res­sour­cen ver­fü­gen, zum einen die Mit­ar­bei­ten­den hin­sicht­lich der Benut­zung der Fir­men­zu­gän­ge zu schu­len und zum ande­ren nicht nicht in der Ver­le­gen­heit sind, ihre Mit­ar­bei­ten­den mit ent­spre­chen­der Hard­ware aus­zu­stat­ten zu kön­nen und sich um deren Pfle­ge sowie Admi­nis­tra­ti­on zu küm­mern.

Die Poli­tik ver­weist bei Kri­tik an die­sem Zustand dar­auf, dass es schließ­lich Sache der Schul­trä­ger sei, in den Schul­net­zen für ent­spre­chen­de Aus­stat­tung und Abhil­fe zu sor­gen. Der Schul­trä­ger wie­der­um kennt Netz­struk­tu­ren nur aus den eige­nen Ver­wal­tun­gen und so nimmt das Unheil dann sei­ne Lauf, wenn tech­ni­scher Daten­schutz z.B. im Rah­men der Ver­ar­bei­tung von Mel­de­da­ten 1:1 auf Schu­len über­tra­gen wird. Da gibt es dann

  • Schul­trä­ger, die den Ein­satz von WLAN gene­rell unter­sa­gen
  • Schul­trä­ger, die den Ein­satz von pri­va­ten Gerä­ten in Schul­net­zen gene­rell unter­sa­gen (Nein, das Mobil­funk­netz ist kei­ne Lösung, zumin­dest nicht flä­chen­de­ckend)
  • Schul­trä­ger, die die Schul­netz­werk­lö­sun­gen und den Sup­port dafür out­sour­cen (z.B. damit oder damit), lei­der aber manch­mal Din­ge wie Fort­bil­dung­kon­zep­te für Lehr­kräf­te ver­nach­läs­si­gen oder eben nicht in die Kal­ku­la­ti­on mit ein­be­zie­hen.
  • Schul­trä­ger, die auf­grund ihrer Erfah­rung in den Ver­wal­tun­gen, Hard­ware- und Raum­aus­stat­tungs­kon­zep­te fest vor­ge­ben.

Und wer soll­te ihnen genau das ver­den­ken? An Schu­len gibt es schließ­lich meist nur Anwen­der­kom­pe­ten­zen, die das eige­ne End­ge­rät fokus­sie­ren und nicht Din­ge wie die Kon­zep­ti­on eines gan­zen Net­zes mit sei­ner Infra­struk­tur.

Die For­de­run­gen des Daten­schut­zes tra­gen in ganz erheb­li­chen Maße zu die­sem Dilem­ma bei.

Kei­ne kla­ren Aus­sa­gen

Für ein in mei­nen Augen recht weg­wei­sen­des Pro­jekt habe ich ver­sucht, von vorn­her­ein Daten­schutz­über­le­gun­gen mit ein­zu­be­zie­hen. Ich habe mich bei zustän­di­gen Stel­len erkun­digt und kon­kre­te Fra­gen zu kon­kre­ten The­men gestellt. Was dabei her­aus­kommt? Zwei Juris­ten, ein Tech­ni­ker und 3+n Mei­nun­gen. Dabei bräuch­ten Schu­len, die das The­ma Daten­schutz ernst­neh­men wol­len, drin­gend Unter­stüt­zung, z.B. bei:

  • der For­mu­lie­rung von Nut­zungs­ord­nun­gen im Schul­netz
  • der Fest­stel­lung eines Daten­rah­mens, der dem Gebot der Daten­spar­sam­keit genügt (Gehört der Beruf der Eltern in eine Schul­ak­te?)
  • der For­mu­lie­rung von Nut­zungs­be­din­gun­gen bei der Nut­zung des schul­ei­ge­nen WLAN
  • der For­mu­lie­rung von Ein­ver­ständ­nis­er­klä­run­gen zur Nut­zung von Bil­dern der Schü­le­rin­nen und Schü­lern für die Öffent­lich­keits­ar­beit von Schu­len (eher Urhe­ber­recht, aber das ist nicht weni­ger dif­fi­zil)
  • der Auf­stel­lung von Min­dest­stan­dards den tech­ni­schen Daten­schutz betref­fend: Wo steht der Schul­ser­ver? Wie ist er gesi­chert? […]

Beklagt man das Feh­len von Mus­ter­schrei­ben, so wird immer wie­der dar­auf ver­wie­sen, dass jede Schu­le und jeder Schul­trä­ger indi­vi­du­el­le Vor­stel­lun­gen hat und daher immer auf den kon­kre­ten Fall geschaut wer­den müs­se. Wie soll aber eine Schu­le oder ein Schul­trä­ger etwas leis­ten, was sich über­ge­ord­ne­te Stel­len nicht zutrau­en? So geht es jeden­falls in mei­nen Augen nicht wei­ter. Mir scheint, dass die­ses Dilem­ma den Daten­schüt­zern selbst auch durch­aus bewusst ist. Die Tech­nik ist da noch rela­tiv leicht zu lösen und zu beherr­schen.

Kri­tik

Man kann in mei­nen Augen nicht ein­fach etwas vor­ge­ben und ver­lan­gen, für das man selbst kei­ne Kon­zep­te und Modell­pro­jek­te vor­zu­wei­sen hat. Die Akzep­tanz wird gegen Null ten­die­ren und jeder wird in dem Bereich der neu­en Medi­en dann eher machen, was er will, bevor dann gar nichts an Inno­va­ti­on geschieht. Und das läuft den Grund­prin­zi­pi­en und der Inten­ti­on des Daten­schut­zes dann oft dia­me­tral ent­ge­gen.

Was ich im Netz nicht veröffentliche

Die Netz­ta­ge Springe rücken näher. Im Gegen­satz zum übli­chen Web2.0-Optimismus-Sprech wird hier schon in der Ankün­di­gung ein eher düs­te­res Bild vom Netz mit sei­nen Wir­kun­gen gezo­gen, die es auf Gesell­schaft und Kul­tur ent­fal­tet. Ich bie­te einen Vor­trag zum The­ma „Die eige­ne Daten­spur ownen” an — ein Aus­druck, der von Kris­ti­an Köhn­topp stammt. In die­sem Vor­trag geht es um Din­ge, die ich im Netz mache und Din­ge, die ich nicht oder teil­wei­se auch nicht mehr mache. Ich ori­en­tie­re mich seit Jah­ren dabei nicht an Aus­sa­gen von Soci­al­me­dia-Exper­ten, son­dern aus­schließ­lich an sol­chen von Men­schen mit soli­dem tech­ni­schen Hin­ter­grund. Ins­be­son­de­re zwei Arti­kel von Doe­pfner (kom­mer­zia­li­sier­tes Inter­net) und Lanier (eher prag­ma­ti­scher Tech­ni­ker) zei­gen eigent­lich ganz gut, wo wir nach mei­ner Ansicht mit dem Netz heu­te ste­hen.

Fotos, Vide­os und auf­be­rei­te­te Erleb­nis­se aus mei­nem fami­liä­ren Umfeld

Ich habe fünf Kin­der und ver­su­che trotz mei­ner beruf­li­chen Ein­bin­dung es so hin­zu­be­kom­men, dass ich das nicht nur nach außen sage und tat­säch­lich mei­ne Frau die Kin­der dann „hat”. Das ist nicht immer leicht und auch der Haupt­grund dafür, dass man mich eher sel­ten auf Bar­camps antrifft. Fami­li­en­le­ben fin­det eben oft­mals geballt am Wochen­en­de statt, da will ich dann da sein.

Phil­ip­pe Wampf­ler hat poin­tiert und her­vor­ra­gend argu­men­tiert, war­um Fotos und Vide­os von den eige­nen Kin­dern im Netz nichts ver­lo­ren haben. Die Dis­kus­si­on zu die­sem Arti­kel ist abso­lut lesens­wert.

Aber auch Geschich­ten aus mei­nem fami­liä­ren All­tag sind für mich abso­lut tabu für die Ver­öf­fent­li­chung. Dabei zäh­len gera­de sol­che Blogs und sol­che Blogs zu mei­nen Favo­ri­ten. Bei­de Auto­rin­nen ind sich nach mei­ner Mei­nung der Gren­zen und Pro­ble­me ihrer Inhal­te sehr bewusst und bewe­gen sich sehr kom­pe­tent in die­sem Span­nungs­feld. Ich ler­ne sehr viel von bei­den und es macht Spaß, die Tex­te zu lesen.

Für mich gehö­ren sol­che Din­ge jedoch in klei­ne­re Krei­se, aber auch in Vor­trä­ge, die ich hal­te und deren Auf­zeich­nung ich genau des­we­gen nicht wün­sche. Ich schla­ge für mich und mei­ne Geschich­ten da mehr „sozia­les Kapi­tal” her­aus — wenn man das so kapi­ta­lis­tisch über­haupt sagen kann. Das Gesag­te ist flüch­tig, das Digi­ta­li­sier­te nicht zwangs­läu­fig.

Mir ist sehr bewusst, dass dadurch ein recht distan­zier­ter Ein­druck mei­ner Per­son im Netz ent­steht. Aber genau das ist so gewollt und viel­leicht auch Teil einer Insze­nie­rung, die sich natür­lich struk­tu­rell nicht von der Selbst­dar­stel­lung vie­ler Men­schen in sozia­len Netz­wer­ken unter­schei­det, nur dass die­se bei mir eben sehr kon­trol­liert abläuft.

Anek­do­ten und „Pro­duk­te” aus dem Schul­le­ben

Mar­tin Klin­ge ist der Pro­to­typ eins Blog­gers, der Außen­ste­hen­den humor­voll, kri­tisch und oft auch sehr mutig Ein­bli­cke in die Welt der Schu­le ermög­licht. Er hat vie­le Leser, über­re­gio­na­le Auf­merk­sam­keit und doch schon so man­ches Mal aus tech­ni­schen Grün­den sein Blog fast geschlos­sen — Mensch Mar­tin :o)… Ich war eine zeit­lang in dem Bereich auch offe­ner, hat­te aber ein bestimm­tes Erleb­nis mit einem Arti­kel, der bis heu­te zu den popu­lärs­ten die­ses Blog gehört. In der Dis­kus­si­on dazu haben mir Schü­le­rin­nen und Schü­ler gezeigt, dass das Ent­schei­den­de nicht mei­ne Inter­pre­ta­ti­on von Anony­mi­sie­rung ist, son­dern das, was Außen­ste­hen­de wie­der­erken­nen wol­len. Gera­de Schü­le­rin­nen und Schü­ler in der Puber­tät kön­nen hier eben nicht immer abs­tra­hie­ren. Ich hat­te das Glück, die Sache direkt klä­ren zu kön­nen — andern­falls wäre schul­ty­pisch ein Lei­che mehr im Kel­ler gewe­sen.

An Pro­duk­ten von Schü­le­rin­nen und Schü­lern kann ich rein for­mal kein Ver­öf­fent­lichs­recht bekom­men. Ande­rer­seits fin­de ich didak­tisch-metho­di­sche Beschrei­bun­gen ohne Bele­ge für eine gewis­se inhalt­li­che Qua­li­tät immer schwie­rig. Dilem­ma. Herr Rau hat­te mal Schü­le­rin­nen nund Schü­lern einen Euro für das Ver­öf­fent­li­chungs­recht gezahlt. Ich selbst habe mit Ein­wil­li­gungs­er­klä­run­gen der Eltern her­um­fuhr­werkt. Schluss­end­lich mache ist das heu­te nicht mehr.

Ein abso­lu­tes NoGo sind auch Erleb­nis­se mit Kol­le­gin­nen und Kol­le­gen. Frl. Rot hat ihr Blog aus Grün­den schon pri­vat gemacht, Frl. Kri­se schreibt auch viel über die Leh­rer­schaft. Auch die­se bei­den Blogs lese ich schon ganz ger­ne, aber stets auch mit einer bedingt voy­eu­ris­ti­schen Moti­va­ti­on. Mein per­sön­li­ches NoGo hat damit zu tun, dass es mein Job ist, Schu­len und Lehr­kräf­te für die Mög­lich­kei­ten und Poten­tia­le des des Net­zes zu öff­nen. Wür­de bekannt, dass ich das Netz selbst ver­wen­de, um bestimm­te Din­ge öffent­lich zu machen, die ande­re Men­schen nicht öffent­lich dar­ge­stellt haben möch­ten, bekä­me ich sehr rasch ein Glaub­wür­dig­keits­pro­blem. Natür­lich juckt es immer in den Fin­gern, über Unter­schie­de zwi­schen den Schul­for­men gera­de in Bera­tungs­si­tua­tio­nen zu schrei­ben. Auch in poli­ti­schen Krei­sen (ja, auch da sind wir Medi­en­be­ra­ter tätig …) pas­sie­ren gele­gent­lich Din­ge, die ihren Platz ohne Wei­te­res in einer Sati­re­sen­dung fin­den könn­ten. Jour­na­lis­ten sind da von Berufs­we­gen immer sehr inter­es­siert.

Kor­rek­tur­ge­schich­ten

Ent­lar­vend fin­de ich immer wie­der Kor­rek­turt­weets, die bei man­chen Kol­le­gen üblich sind. Bei bestimm­ten, eher all­ge­mein auf­tre­ten­den Feh­lern ist natür­lich eine gewis­se Anony­mi­sie­rung gege­ben. Gleich­wohl weiß ich nicht, wie ein Schü­ler oder eine Schü­le­rin, die den betref­fen­den Feh­ler gemacht hat, die­sen Tweet dann auf­fasst. Die Deu­tungs­ho­heit habe ich im Netz nie. Wenn ich mich also dazu äuße­re, dann allen­falls zur Sta­pel­hö­he oder eben posi­tiv. Zudem passt es für mich nicht, einer­seits Defi­zit­ori­en­tie­rung zu bekla­gen, um dann über­wie­gend defi­zit­ori­en­tiert zu twee­ten und sei es nur im Kor­rek­tur­kon­text. Klar rege ich mich über bestimm­te Feh­ler immer wie­der auf, lege dann den Sta­pel aber lie­ber erst­mal weg, bis die­ser Mit­tei­lungsm­puls ver­aschwun­den ist.

Hob­bys, Vor­lie­ben, Fähig­kei­ten

Es gibt eine Rei­he von Din­gen, die im Netz von mir bewusst nicht sicht­bar sind. Ich mei­de Platt­for­men, die mich dazu ver­lei­ten, mehr preis­zu­ge­ben als ich eigent­lich nach ein­ge­hen­der Refle­xi­on für rich­tig erach­te — daher bin ich z.B. nicht auf Face­book und selbst von Twit­ter hat­te ich mich eine zeit­lang ver­ab­schie­det, um dann mit einem ande­ren Ansatz zurück­zu­kom­men. Des Wei­te­ren ver­knüp­fe ich Accounts ver­schie­de­ner Diens­te nicht, „fave”, „like” und „plus­se” auch nicht — wenn ich etwas gut fin­de, ver­su­che ich zu ver­lin­ken, zu ret­wee­ten oder zumin­dest kurz zu kom­men­tie­ren (Kom­men­ta­re sind im übri­gen tech­nisch auch schwe­rer aus­zu­wer­ten als logi­sche Ope­ra­to­ren wie Likes). Mir ist das dann wirk­lich mehr als einen Klick oder infla­tio­nä­re Ein­la­dung wert — ein ganz schö­ner Anspruch.

Ich könn­te mir nie vor­stel­len, Daten in das Netz zu stel­len, die Rück­schlüs­se auf mein kör­per­li­ches Befin­den zulas­sen, etwa die Anzahl der gefah­re­nen oder gelau­fen­den Kilo­me­ter. Dafür  fal­len mir viel zu vie­le künf­ti­ge Geschäft­mo­del­le ein. Glei­ches gilt für Daten aus dem Bereich der Finan­zen.

Dadurch blei­be ich in der Wahr­neh­mung der Men­schen im Netz natür­lich ambi­va­lent. Einer­seits der kri­ti­sche Mensch, der oft quer­schlägt, gera­de bei Main­stream­din­gen und das auch begrün­den kann, ander­seits wohl auch ein Spur Unnah­bar­keit, die natür­lich auch als Arro­ganz gedeu­tet wer­den muss.

Fazit

Das kann man natür­lich alles anders sehen. Mir liegt es fern, das bei ande­ren Men­schen zu wer­ten. Schwie­rig fän­de ich aber z.B. Geschrei, wenn mit den frei­wil­lig gelie­fer­ten Daten dann tat­säch­lich Geschäfts­mo­del­le ent­ste­hen, die eben nicht für all­ge­mei­nen Wohl­stand sor­gen oder sich als kos­ten­in­ten­siv her­aus­stel­len. Unse­re Wirt­schafts­ord­nung basiert auf Wachs­tum.

Wie wahr­schein­lich ist es da, dass z.B. Men­schen und Schu­len, die sich an einen Anbie­ter fest bin­den (Mein Lieb­lings­bei­spiel aus der Bera­tung: Apple) lang­fris­tig weni­ger zah­len?  Die­ser poten­ti­el­len Kon­se­quenz muss man sich bewusst sein und sie dann eben tra­gen, falls sie ein­tritt. Wel­che Stra­te­gie ver­folgt Goog­le — ein Kon­zern, der Daten ver­mark­tet — mit Goo­g­le­Apps for Edu­ca­ti­on? (für Open­Sour­ce wer­den weder Lern­be­reit­schaft noch Res­sour­cen aus­rei­chen — man wird in der Flä­che zwin­gend auf kom­mer­zi­el­le Anbie­ter aus ganz prag­ma­ti­schen Grün­den ange­wie­sen sein). Wer­den lang­fris­tig weni­ger oder mehr Daten ver­knüpft und ver­ar­bei­tet?  Wie wer­den pri­va­ten Kran­ken­kas­sen in Zei­ten stei­gen­der Behand­lungs­kos­ten ihre Gewin­ne maxi­mie­ren? Wie die Kre­dit­wirt­schaft?

 

 

 

 

 

Datenschutz und Schulgesetz

Das wird jetzt viel Text. Ich stel­le hier ein­mal die aus mei­ner Sicht wich­tigs­ten Rege­lun­gen zum Daten­schutz in den Schul­ge­set­zen (zusätz­lich ergän­zen bestimm­te Erlas­se im Ein­zel­fall die Bestim­mun­gen) von Nie­der­sach­sen und Schles­wig-Hol­stein gegen­über.

1. Nie­der­sach­sen ( http://www.nds-voris.de/jportal/?quelle=jlink&query=SchulG+ND+%C2%A7+31&psml=bsvorisprod.psml&max=true )

Nie­der­säch­si­sches Schul­ge­setz
(NSchG)
in der Fas­sung vom 3. März 1998

§ 31 Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten

1) Schu­len, Schul­be­hör­den, Schul­trä­ger, Schü­ler­ver­tre­tun­gen und Eltern­ver­tre­tun­gen dür­fen per­so­nen­be­zo­ge­ne Daten der Schü­le­rin­nen und Schü­ler und ihrer Erzie­hungs­be­rech­tig­ten (§ 55 Abs. 1) ver­ar­bei­ten, soweit dies zur Erfül­lung des Bil­dungs­auf­trags der Schu­le (§ 2) oder der Für­sor­ge­auf­ga­ben, zur Erzie­hung oder För­de­rung der Schü­le­rin­nen und Schü­ler oder zur Erfor­schung oder Ent­wick­lung der Schul­qua­li­tät erfor­der­lich ist. Per­so­nen­be­zo­ge­ne Daten der Schü­le­rin­nen und Schü­ler und ihrer Erzie­hungs­be­rech­tig­ten dür­fen auch den unte­ren Gesund­heits­be­hör­den für Auf­ga­ben nach § 56 und den Trä­gern der Schü­ler­be­för­de­rung für Auf­ga­ben nach § 114 über­mit­telt und dort ver­ar­bei­tet wer­den, soweit dies für die Wahr­neh­mung der jewei­li­gen Auf­ga­be erfor­der­lich ist.

(2) Schu­len dür­fen auch die­je­ni­gen per­so­nen­be­zo­ge­nen Daten von Kin­dern in Kin­der­gär­ten und deren Erzie­hungs­be­rech­tig­ten (§ 55 Abs. 1) ver­ar­bei­ten, die in Kin­der­gär­ten bei der Wahr­neh­mung vor­schu­li­scher För­der­auf­ga­ben erho­ben und an Schu­len über­mit­telt wer­den, soweit die Ver­ar­bei­tung zur Erzie­hung oder För­de­rung der Kin­der in der Schu­le erfor­der­lich ist.

(3) Die Rech­te auf Aus­kunft, Ein­sicht in Unter­la­gen, Berich­ti­gung, Sper­rung oder Löschung von Daten sowie das Wider­spruchs­recht nach § 17a des Nie­der­säch­si­schen Daten­schutz­ge­set­zes wer­den für min­der­jäh­ri­ge Schü­le­rin­nen und Schü­ler durch deren Erzie­hungs­be­rech­tig­te (§ 55 Abs. 1) aus­ge­übt.

(4) Schu­len, Schul­be­hör­den und die Schul­in­spek­ti­on dür­fen Per­so­nal­da­ten (§ 88 Abs. 1 des Nie­der­säch­si­schen Beam­ten­ge­set­zes) aller an der Schu­le täti­gen Per­so­nen auch ver­ar­bei­ten, soweit es zur Erfor­schung und Ent­wick­lung der Schul­qua­li­tät erfor­der­lich ist.

2. Schles­wig-Hol­stein ( http://www.gesetze-rechtsprechung.sh.juris.de/jportal/?quelle=jlink&query=SchulG+SH+%C2%A7+30&psml=bsshoprod.psml&max=true )

Schles­wig-Hol­stei­ni­sches Schul­ge­setz
(Schul­ge­setz — SchulG)
Vom 24. Janu­ar 2007*

§ 30 Erhe­bung und Ver­ar­bei­tung von Daten

(1) Per­so­nen­be­zo­ge­ne Daten der Schü­le­rin­nen, Schü­ler und Eltern dür­fen von den Schu­len, den Schul­trä­gern und Schul­auf­sichts­be­hör­den erho­ben und ver­ar­bei­tet wer­den, soweit dies zur Erfül­lung ihrer Auf­ga­ben erfor­der­lich ist.

Es sind dies

1. bei Schü­le­rin­nen und Schü­lern:
Vor- und Fami­li­en­na­me, Tag und Ort der Geburt, Geschlecht, Adress­da­ten (ein­schließ­lich Tele­fon und E-Mail-Adres­se), Staats­an­ge­hö­rig­keit, Aus­sied­l­er­ei­gen­schaft, Her­kunfts- und Ver­kehrs­spra­che, Kon­fes­si­on, Kran­ken­ver­si­che­rung, Leis­tungs- und Schul­lauf­bahn­da­ten, Daten über das all­ge­mei­ne Lern­ver­hal­ten und das Sozi­al­ver­hal­ten, Daten über son­der­päd­ago­gi­schen För­der­be­darf, soweit sie für den Schul­be­such von Bedeu­tung sein kön­nen, die Ergeb­nis­se der schul­ärzt­li­chen, schul­psy­cho­lo­gi­schen und son­der­päd­ago­gi­schen Unter­su­chun­gen, bei Berufs­schü­le­rin­nen und Berufs­schü­lern die Daten über Vor­bil­dung, Berufs­aus­bil­dung, Berufs­prak­ti­kum und Berufs­tä­tig­keit sowie die Adress­da­ten (ein­schließ­lich Tele­fon) des Aus­bil­dungs­be­trie­bes oder der Prak­ti­kums­stel­le;

2. bei Eltern:
Name, Adress­da­ten (ein­schließ­lich Tele­fon und E-Mail-Adres­se). Schü­le­rin­nen, Schü­ler und Eltern haben die erfor­der­li­chen Anga­ben zu machen. Sie sind auf die Rechts­grund­la­ge für die Erhe­bung und Ver­ar­bei­tung der Daten auf­merk­sam zu machen.

(2) Die Daten der Schul­ver­wal­tung dür­fen aus­schließ­lich mit in der Schu­le befind­li­chen Daten­ver­ar­bei­tungs­ge­rä­ten des Schul­trä­gers ver­ar­bei­tet wer­den.

[…]
(10) Die mit Ein­wil­li­gung der Schü­le­rin­nen, Schü­ler und Eltern erho­be­nen Daten dür­fen nur zu dem Zweck benutzt wer­den, zu dem sie von den Betrof­fe­nen mit­ge­teilt wor­den sind. Eine ander­wei­ti­ge Ver­wen­dung bedarf einer erneu­ten Ein­wil­li­gung.

(11) Soweit es zur Erfül­lung der sich aus die­sem Gesetz erge­ben­den Auf­trä­ge der Schu­le und der Schul­auf­sicht sowie zur Wahr­neh­mung gesetz­li­cher Mit­wir­kungs­rech­te erfor­der­lich und unter Wah­rung der über­wie­gen­den schutz­wür­di­gen Belan­ge der Betrof­fe­nen mög­lich ist, regelt das für Bil­dung zustän­di­ge Minis­te­ri­um durch Ver­ord­nung:

1. den zuläs­si­gen Umfang der Ver­ar­bei­tung von Daten,
2. die Daten­über­mitt­lung ein­schließ­lich der Über­mitt­lung zu sta­tis­ti­schen Zwe­cken,
3. die Sper­rung, Löschung und Auf­be­wah­rung von Daten,
4. die Daten­si­che­rung,
5. die Daten der Schul­ver­wal­tung und sons­ti­gen per­so­nen­be­zo­ge­nen Daten, die durch Lehr­kräf­te außer­halb der Schu­le ver­ar­bei­tet wer­den dür­fen,
6. die auto­ma­ti­sier­te Daten­ver­ar­bei­tung,
7. die für sta­tis­ti­sche Erhe­bun­gen maß­ge­ben­den Erhe­bungs- und Hilfs­merk­ma­le, den Berichts­zeit­raum und die Peri­odi­zi­tät,
8. die für die Auf­ga­be nach Absatz 4 Satz 2 zustän­di­ge Stel­le,
9. Zeit­punkt und Stand der nach Absatz 5 zu über­mit­teln­den Daten.

(12) Rege­lun­gen in ande­ren Rechts­vor­schrif­ten über die Erhe­bung und Ver­ar­bei­tung von Daten blei­ben unbe­rührt, soweit sich nicht aus den vor­ste­hen­den Bestim­mun­gen etwas ande­res ergibt.

Mein per­sön­li­cher Kom­men­tar

Das Gesetz in Schles­wig-Hol­stein ist auf den ers­ten Blick wesent­lich enger und restrik­ti­ver gefasst. Ich weiß, dass es unter Mit­wir­kung des ULD ent­stan­den ist. Es ist zudem wesent­lich aktu­el­ler. Eine Schu­le in Schles­wig-Hol­stein weiß aber sehr genau:

  • wel­che Daten sie ver­ar­bei­ten darf (z.B. dass der Beruf der Eltern nicht erfasst wird)
  • dass die­se Daten NICHT in einer Cloud lie­gen dür­fen (z.B. kei­ne digi­ta­len Klas­sen­bü­cher, wenn sie nicht im Hau­se gehos­tet wer­den)
  • mit wem sie unter wel­chen Vor­aus­set­zun­gen Daten aus­tau­schen darf
  • dass Eltern und Schü­ler die Anga­be bestimm­ter Daten nicht ver­wei­gern dür­fen

Wenn der Dienst­herr die Ver­mitt­lung von Medi­en­kom­pe­tenz for­dert, benö­ti­gen Schu­len dafür einen rechts­si­che­ren Rah­men. Natür­lich fal­len in Schles­wig-Hol­stein dann z.B. durch Ver­la­ge ange­bo­te­ne Lern­stands­er­he­bun­gen weit­ge­hend flach. In Nie­der­sach­sen bleibt nach mei­nem Emp­fin­den vor allem eins: Gro­ße Ver­un­si­che­rung, zumin­dest bei mir.

Datenschutzformalia für Schulen in Niedersachsen

Ich habe ein­mal ein wenig recher­chiert und zusam­men­ge­tra­gen, was nach mei­ner Auf­fas­sung eine Schu­le an Papie­ren hier in Nie­der­sach­sen pro­du­zie­ren muss, um grund­le­gen­de Daten­schutz­auf­la­gen zu erfül­len — die juris­ti­schen Kom­men­ta­re zu den Vor­schrif­ten habe ich noch nicht alle gele­sen:

1. Daten­schutz­be­auf­trag­ter

Ein Daten­schutz­be­auf­trag­ter muss benannt sein (§8a NDSG).

  1. Er muss nicht der Schu­le ange­hö­ren
  2. Er muss über Sach­kennt­nis und Zuver­läs­sig­keit ver­fü­gen
  3. Er darf durch die Bestel­lung kei­nem Inter­es­sens­kon­flikt aus­ge­setzt sein
  4. Er muss sei­ne Arbeit jeder­mann ver­füg­bar machen

Der Sys­tem­ad­mi­nis­tra­tor kann also nicht Daten­schutz­be­auf­trag­ter sein, da ein Inter­es­sens­kon­flikt besteht – schließ­lich müss­te er sich selbst kon­trol­lie­ren.

2. Ver­fah­ren­be­schrei­bun­gen

Jedes Ver­fah­ren, bei dem Daten Drit­ter in der Schu­le ver­ar­bei­tet wer­den, bedarf einer Ver­fah­rens­be­schrei­bung gemäß §8 NDSG.

Typi­scher­wei­se wird das in der Schu­le gel­ten für:

  1. Schü­ler­ver­wal­tungs­pro­gram­me (DANIS, Sibank …)
  2. Office­pro­gram­me (Lis­ten, Kol­le­gi­ums­da­ten etc.)
  3. Ober­stu­fen­ver­wal­tung (Apol­lon)
  4. Stun­den­pla­nungpro­gramm (UNTIS etc.)
  5. Zeug­nis­pro­gram­me (Win­ZEP etc.)
  6. usw. (hängt von den Ver­wal­tungs­struk­tu­ren ab)

3. Ver­pflich­tungs­er­klä­run­gen von Kol­le­gin­nen und Kol­le­gen gemäß Erlass „Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten auf pri­va­ten Infor­ma­ti­ons­tech­ni­schen Sys­te­men (IT Sys­te­men) von Lehr­kräf­ten

Die Ver­pflich­tungs­er­klä­rung ERSETZT hier die sonst not­wen­di­ge Ver­fah­rens­be­schrei­bung – schließ­lich ist das ja durch die Erlass­vor­ga­be eine Rechts­norm. Es ist NICHT not­wen­dig Ver­fah­rens­be­schrei­bun­gen für jedes denk­ba­re Ver­fah­ren auf einem pri­va­ten Gerät zu erstel­len.

4. Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten durch Drit­te

Bei­spie­le:

  • Lern­stands­er­he­bun­gen durch Ver­la­ge
  • durch Anbie­ter gehos­te­te Lern­platt­for­men
  • digi­ta­le Klas­sen­bü­cher
  • etc.

Hier haben wir zwei Kon­struk­te:

a) Es gibt ein Ver­trags­ver­hält­nis zwi­schen Schu­le und Anbie­ter. Dafür braucht man einen Ver­ein­ba­rung zur Auf­trags­da­ten­ver­ar­bei­tung. Zusätz­lich ist eine Ver­fah­ren­be­schrei­bung     not­wen­dig.

b) Es gibt nach wie vor ein Für­sor­ge­ver­hält­nis zwi­schen Schu­le und Schü­lern bzw. Eltern. Wenn z.B. der Nach­weis nicht erbracht wer­den kann, dass es erfor­der­lich ist (und das ist lt. Schul­ge­setz z.Zt. juris­tisch fast immer wack­lig), dass die Daten im Auf­trag ver­ar­bei­tet     wer­den, braucht man eine Ein­wil­li­gungs­er­klä­rung der Betrof­fe­nen.

Abso­lut unüber­sicht­lich wird es, wenn der Ver­lag z.B. die Test­soft­ware zur Lern­stands­er­he­bung nicht selbst hos­tet, son­dern sich wie­der­um bei einem Dienst­leis­ter ein­ge­mie­tet hat. Dann braucht man eine wei­te­re Ver­ein­ba­rung zur Auf­rags­da­ten­ver­ar­bei­tung (Unter­ver­ein­ba­rung) zwi­schen die­sem Dienst­leis­ter, z.B. dem Rechen­zen­trums­be­trei­ber und dem Ver­lag, die auch dem LfD auf Anfra­ge vor­ge­legt wer­den muss.

5. Ein­wil­li­gungs­er­klä­run­gen

Für ALLE Arten der Daten­ver­ar­bei­tung, die gemäß NSchG NICHT erfor­der­lich sind.

  1. Ver­wen­dung von Fotos (Schul­home­page, Leh­rer­ka­len­der, Noten­ver­wal­tung von Lehr­kräf­ten etc.)
  2. Wei­ter­ga­be von Adress­da­ten (Tele­fon, E-Mail, Adres­se) an z.B. den Klas­sen­leh­rer aber auch Eltern
  3. Ver­wen­dung von Schü­ler­ar­bei­ten bei jeder Art von Ver­öf­fent­li­chung
  4. Schul­netz­werk (Nut­zungs­ver­ein­ba­rung, Auf­klä­rung über Art um Umfang der Daten­ver­ar­bei­tung im päd­ago­gi­schen Netz)
  5. WLAN-Nut­zungs­ver­ein­ba­rung, wenn durch Lehr­kräf­te und/oder SuS genutzt
  6. Gibt es ggf. wei­te­re Daten­ver­ar­bei­tungs- und Ver­öf­fent­li­chungs­pro­zes­se, die z.B. die Belan­ge des Per­so­nals betref­fen?
  7. [ … ]

Tech­ni­scher Daten­schutz

Wo ste­hen die IT-Sys­te­me mit sen­si­blen Daten?
Wer hat Zugriff auf die Pass­wör­ter? Wie kom­plex sind die Pass­wör­ter? Wann wer­den sie aus­ges­tauscht?
Was pas­siert bei Dieb­stahl oder Beschä­di­gung der daten­ver­ar­bei­ten­den Sys­te­me?
Was pas­siert bei einem z.B. krank­heits­be­ding­ten Aus­fall des Sys­tem­ad­mi­nis­tra­tors?
Wie kann ich den Aus­kunfts­an­spruch gem. §16 NSchG mit ver­tret­ba­rem Auf­wand in ver­tret­ba­rem Zeit­rah­men sicher­stel­len?

Tja. Die­se Lis­te ist garan­tiert weder voll­stän­dig noch kom­plett kor­rekt. Es feh­len noch diver­se Rege­lun­gen bezüg­lich des Urhe­ber­rechts, das ger­ne mal mit dem Daten­schutz ver­mischt wird. Wei­ter infor­mie­ren kann man sich auf dem Nibis anschau­en.

Ich will das nicht wei­ter kom­men­tie­ren, fän­de es aber schön, wenn:

  • das Schul­ge­setz ver­bind­li­che und kon­kre­te Vor­ga­ben dar­über macht, wel­che Daten von SuS ver­ar­bei­tet wer­den dür­fen
  • wei­te­re Ver­fah­rens­be­schrei­bun­gen durch den Dienst­herrn erstellt wür­den
  • Mus­ter­tex­te durch den Dienst­herrn erstellt wür­den (Nut­zungs­ord­nung, Ein­wil­li­gung in Ver­wen­dung von Fotos etc.)
  • all­ge­mein der Dienst­herr sich sei­ner Schu­len im Rah­men der Für­sor­ge­pflicht in Bezug auf den Daten­schutz noch mehr annimmt, als er das jetzt schon tut (das war doch jetzt diplo­ma­tisch, oder?)

Größ­ten­teils haben wir hier näm­lich For­ma­lis­men. Die Cur­ri­cu­la schrei­ben mehr und mehr die Nut­zung digi­ta­ler Medi­en vor oder legen sie nahe. Dann muss die Rechts­ord­nung das auch ermög­li­chen und eine kla­re Ori­en­tie­rung bie­ten. Schu­len sol­len nach mei­ner Wahr­neh­mung noch ande­re Din­ge zu tun haben, als sich um den Daten­schutz zu küm­mern. Zudem sit­zen dort eher Lehr­kräf­te als Voll­ju­ris­ten.

Datenschutz — konkret umgesetzt auf riecken.de

Ich lege Wert auf den Schutz der Daten mei­ner Besu­cher. Ich ver­su­che zudem einen Inter­es­sen­aus­gleich zwi­schen mei­nem Bedürf­nis nach sta­tis­ti­scher Aus­wer­tung der Sei­ten­be­su­che und dem Recht mei­ner Besu­cher auf infor­mel­le Selbst­be­stim­mung zu ermög­li­chen. Das rea­li­sie­re ich z. Zt. durch fol­gen­de kon­kre­te Maß­nah­men:

  1. riecken.de ver­wen­det kei­ne Sta­tis­tik­tools von Dritt­an­bie­tern wie z.B. Goog­le Ana­ly­tics. Ein­ge­setzt wird das freie Tool piwik, wel­ches mit einem Plug­in zur Kür­zung der auf­ge­zeich­ne­ten IP-Adres­sen aus­ge­stat­tet ist. Die Ana­ly­se­er­geb­nis­se ste­hen dar­über­hin­aus jedem frei zur Ein­sicht zur Ver­fü­gung.
  2. riecken.de ver­wen­det kei­nen Spam­fil­ter, der mit Dritt­an­bie­tern der­art kom­mu­ni­ziert, dass Nut­zer­da­ten wei­ter­ge­ge­ben wer­den. Zum Ein­satz kommt das Plug­in Antis­pam Bee. Die Stan­dard­lö­sung von Wor­d­Press (Akis­met) ist unter Daten­schutz­as­pek­ten kri­tisch zu sehen.
  3. riecken.de zwingt Besu­chern kei­ne Kom­men­tarplug­ins wie z.B. Dis­qus auf, wel­ches Besu­cher­da­ten an Drit­te über­mit­telt.
  4. riecken.de ver­wen­det kei­ne Face­book­but­tons, die ein Tracking schon beim rei­nen Sei­ten­be­such ermög­li­chen. Der modi­fi­zier­te Face­book­but­ton dient eher Bewusst­ma­chungs­zwe­cken als dem Bedürf­nis, viel­fäl­tig und bequem auf Face­book ver­linkt zu wer­den.
  5. riecken.de blen­det kei­ne Wer­bung von Ad-Ser­vern wie z.B. Goo­g­leAd­sen­se ein, unter ande­rem auch wegen sol­cher Vor­fäl­le, die immer wie­der vor­kom­men.
  6. riecken.de bie­tet sei­ne Diens­te auch via https und damit SSL-ver­schlüs­selt an. Wer z.B. anonym kom­men­tie­ren möch­te, bleibt damit auch auf dem Weg zu riecken.de anonym.
  7. riecken.de nutzt bei Posts auf Soci­al­Me­dia-Platt­for­men jetzt wie­der yourls als eige­nen URL-Shor­tener. Die in die­se Diens­te ein­ge­bun­de­nen URL-Shor­tener geben zum einen i.d.R. kei­ne Rück­mel­dung dar­über, ob der Link ange­nom­men wur­de und  zum ande­ren ermög­li­chen sie ein erwei­ter­tes Tracking von Benut­zern.
  8. riecken.de ist offen für wei­te­re Vor­schlä­ge von Nut­zern, dem Daten­schutz gerecht zu wer­den, z.B. gibt es Über­le­gun­gen gra­va­tar even­tu­ell auch nicht mehr zu ver­wen­den (wobei ich den­ke, dass dadurch viel per­sön­li­cher „Touch” ver­lo­ren gin­ge und die Benut­zer sich ja frei­wil­lig bei gra­va­tar regis­triert haben, damit ihr Bild neben Bei­trä­gen erscheint).

Der Grund­ge­dan­ke dahin­ter ist, dass ich nicht dar­über bestim­men möch­te, was ein Besu­cher von riecken.de an Daten über sich Drit­ten preis­zu­ge­ben hat, wenn er mei­ne Sei­ten nut­zen möch­te. Riecken.de ist ein vor­aus­set­zungs- bzw. bedin­gungs­lo­ses Ange­bot.

Aus dem glei­chen Grund ver­wen­de ich auch kei­ne Goog­le- oder Face­bookapps auf mei­nem Mobil­ge­rät, son­dern syn­chro­ni­sie­re Kon­takt- und Kalen­der­da­ten aus­schließ­lich über eige­ne Lösun­gen — z.Zt. via tine20 (Active­Sync). Die Apps las­sen mir kei­ne Wahl, ob ich Adress­bü­cher mit exter­nen Diens­ten syn­cen möch­te oder nicht, sodass ich mich selbst oft in Web­diens­ten vor­fin­de, in denen ich mich gar nicht vor­fin­den will.

1 2 3