Source: https://datenschutz-schule.info/category/datenschutz-tipps/
Timestamp: 2020-07-05 07:49:47+00:00

Document:
Datenschutz Tipps – datenschutz-schule.info ")}}return a.proceed()});scriptParent=document.getElementsByTagName("script")[0].parentNode;if(scriptParent.tagName.toLowerCase!=="head"){head=document.getElementsByTagName("head")[0];aop_around(head,"insertBefore");aop_around(head,"appendChild")}aop_around(scriptParent,"insertBefore");aop_around(scriptParent,"appendChild");var a2a_config=a2a_config||{};a2a_config.no_3p=1;var addthis_config={data_use_cookies:false};var _gaq=_gaq||[];_gaq.push(["_gat._anonymizeIp"])}
Kategorie: Datenschutz Tipps
Veröffentlicht am Mai 3, 2020 Mai 28, 2020
Die Technik macht es möglich. Schüler können von zu Hause über Videokonferenz Plattformen am Unterricht ihrer Klasse teilnehmen. Gerade in Zeiten von Corona ist diese Möglichkeit von Interesse, vor allem dann, wenn Schüler entweder selbst zu einer Risikogruppe gehören oder Familienangehörige mit Vorerkrankungen haben und aus diesem Grund nicht in die Schule kommen können, um am Unterricht teilzunehmen. Es stellt sich deshalb die Frage, ob solches aus schul- und datenschutzrechtlicher Sicht möglich ist?
Sobald es um die Aufzeichnung von Unterricht in Form von Audio oder Video geht oder die vorübergehende Aufzeichnung von Bild- und Tondaten des Unterrichts zur Übermittlung im Rahmen einer Videokonferenz, bewegt man sich in einem recht problematischen Bereich. E geht hier um einen Eingriff in die Grundrechte, der nicht durch das Schulgesetz gedeckt ist. Dabei ist es letztlich egal, ob es um Aufzeichnungen, Streaming, Mithören über Telefon oder Teilnahme über eine Videokonferenz Plattform geht. Da das Thema Videoübertragung von Unterricht im Schulgesetz aktuell nicht einmal vorgesehen ist, muss man sich an den Vorgaben zur Audio- und Videoaufzeichnung orientieren. Genau genommen findet auch bei einer Videokonferenz eine Aufzeichnung dieser Daten statt, da ohne diese rein technisch gesehen keine Übermittlung möglich wäre.
In der noch gültigen Fassung des Schulgesetzes sind Aufnahmen des Unterrichts gemäß §120 Abs. 3 Satz 2 nur für bestimmte Zwecke zulässig.
In der Kommentierung zum Schulgesetz NRW1Wingen; SchulG NRW-Kommentar, März 2015. Katernberg, S. 40 heißt es dazu:
„Ton- und Bildaufzeichnungen des Unterrichts. Ton- und Bildaufzeichnungen tangieren die Persönlichkeitsrechte der betroffenen Personen in besonderer Weise. Dies gilt erst recht, wenn die Aufzeichnung im Unterricht erfolgt, weil die Teilnahme am Unterricht sowohl für die Lehrkraft als auch für die Schülerinnen und Schüler im Regelfall verpflichtend ist. Deshalb ist es besonders wichtig, die Voraussetzungen und Grenzen des § 120 Abs. 3 Satz 2 SchulG wie auch des § 121 Abs. 1 Satz 2 SchulG in der Schulpraxis sorgfältig zu beachten. Dies sind übrigens die einzigen Ausnahmefälle, in denen nach dem SchulG überhaupt Bild- und/oder Tonaufzeichnungen in der Schule zulässig sind. Das bedeutet im Umkehrschluss, dass in allen anderen Fällen derartige Aufzeichnungen regelmäßig ausscheiden, wenn nicht die betroffenen Personen zuvor wirksam in diese besondere Datenerhebung und -Verarbeitung eingewilligt haben.“
Die noch geltende Rechtslage schränkt die Möglichkeiten für Bild- und Tonaufzeichnungen auf der Grundlage des Schulgesetzes stark ein. Wie im letzten Satz des Kommentars aber auch deutlich wird, schließt das Schulgesetz auch aktuell Bild- und Tonaufnahmen nicht kategorisch aus. Im Entwurf der Neufassung des Schulgesetzes2Siehe https://www.landtag.nrw.de/portal/WWW/dokumentenarchiv/Dokument/MMV17-2308.pdf wird §120 Abs. 3 Satz 2 gestrichen und lautet als neuer Absatz 5:
„Bild- und Tonaufzeichnungen des Unterrichts bedürfen der Einwilligung der betroffenen Personen.“
Hintergrund der Änderung sind die häufigen Missverständnisse bei der Anwendung der bestehenden Regelung und die Absicht, die Rechte der Schülerinnen und Schüler zu stärken.3Siehe MMV17-2308 – Entwurf 15. Schulrechtsänderungsgesetz (15.“SchuIRÄndG) Text Begründung (Stand 10.07.2019), S. 11
Entsprechenden Änderungen finden sich auch für §121 Abs. 1. Satz 2 bezüglich der Rechte der Lehrkräfte. In der Begründung wird auch hier eine Verbesserung der Datenschutzrechte der Lehrkräfte angeführt.4„Mit der Neufassung des Absatzes 1 Satz 2 wird die Entscheidung über Bild- und
Tonaufnahmen des Unterrichts zur Verbesserung der Datenschutzrechte der Lehrkräfte auch von deren Einwilligung abhängig gemacht.“ MMV17-2308 – Entwurf 15. Schulrechtsänderungsgesetz (15.“SchuIRÄndG) Text Begründung (Stand 10.07.2019), S. 12
Damit ist klar, mit einer Einwilligung der Betroffenen, das meint Schüler wie Lehrkräfte, sind Bild- und Tonaufzeichnungen möglich. Dem Sinn und Zweck dieser Regelung nach lässt sich dieses auch auf eine Übertragung der Aufzeichnungen anwenden.
Eine Einwilligung setzt immer eine Freiwilligkeit voraus und eine Information über die Datenverarbeitung, so dass Betroffene die für sie möglicherweise entstehenden Risiken abwägen können, um eine Entscheidung zu treffen. Da Schüler, wie auch im Kommentar beschrieben, verpflichtet sind, am Unterricht teilzunehmen, kann eine Freiwilligkeit nur dann bestehen, wenn es gleichwertige Alternativen gibt. Das könnte das Angebot sein, am Unterricht einer Parallelgruppe teilzunehmen.
In normalen Zeiten, wenn es nur darum geht, den Unterricht einem Schüler im Krankenhaus zugänglich zu machen, wäre eine solche Alternative durchaus umsetzbar, in Zeiten von Corona mit festen Lerngruppen dürfte solches schwierig sein. Sollten Schüler hier die Einwilligung verweigern, kann dieses nur bedeuten, dass eine Teilnahme des Mitschülers über eine Videokonferenz Plattform nicht möglich ist oder eine Alternative gefunden werden muss, die Teilnahme des Mitschülers zu ermöglichen, ohne dabei die Rechte der anderen Schüler zu beeinträchtigen.
Eine solche Möglichkeit könnte darin bestehen, dass die Kamera des Laptops, Tablets oder Smartphones, über welche die Videokonferenz Plattform läuft, nur auf den Teil der Klasse gerichtet sein, wo die Tafel bzw. das Display und die Lehrkraft sich befinden. Um die Schüler, welche ihre Einwilligung verweigern, nicht über das Mikrofon des Laptops/ Tablets/ Smartphones zu erfassen, wäre es einmal möglich, das Mikrofon jeweils stummzuschalten, wenn der betroffene Schüler einen Wortbeitrag macht. Alternativ könnte die Lehrkraft ein kleines mit dem Endgerät gekoppeltes Ansteckmikrofon tragen, welches nur die eigene Stimme erfasst. Die betroffenen Schüler sollten weiter hinten im Raum sitzen. Besteht die technische Möglichkeit wie beschrieben nicht, muss auf eine Videokonferenz Schaltung verzichtet werden.
Bei den Lehrkräften gibt es die Möglichkeit einer Alternative nicht. Hier kann nur eine Einwilligung erteilt oder verweigert werden. Im Falle der Verweigerung müsste man sehen, ob man dem Mitschüler, der von zu Hause teilnehmen möchte, die Teilnahme am Unterricht einer Parallelgruppe ermöglichen kann. Geht auch dieses nicht, ist eine Teilnahme des Mitschülers über eine Videokonferenz Plattform nicht möglich.
Eine Einwilligung ist auch von dem von von seinem Zuhause aus teilnehmenden Schüler einzuholen. Außerdem sollte dieser Schüler eine Unterlassungserklärung unterzeichnen, mit welcher er sich verpflichtet, keine Aufzeichnungen von der Videokonferenz anzufertigen oder andere Personen im Haushalt oder online daran teilnehmen zu lassen.
Es ist durchaus möglich, Schülern, die nicht persönlich am Unterricht ihrer Klasse teilnehmen können, eine Teilnahme über eine Videokonferenz Plattform zu ermöglichen. Voraussetzung dafür ist eine Einwilligung der betroffenen Personen. Sollten einzelne Schüler die Einwilligung verweigern besteht vielleicht die technische Möglichkeit, die Teilnahme eines Mitschülers über eine Videokonferenz Plattform zu ermöglichen, ohne die Rechte dieser Schüler zu beeinträchtigen. Ist dieses nicht möglich, muss auf das Vorhaben verzichtet werden. Gleiches gilt auch, wenn es anstatt der Teilnahme über eine Videokonferenz Plattform um eine Teilnahme über Audio geht, etwa über eine Mobiltelefon Verbindung.
Bei der Auswahl der Videokonferenz Plattform sollte darauf geachtet werden, dass ein Anbieter gewählt wird, der einen Vertrag zur Auftragsverarbeitung anbietet. Das ist am ehesten der Fall bei Anbietern aus Deutschland oder der EU. Im Idealfall steht der Schule eine vom Schulträger oder einem beauftragten IT Dienstleister bereitgestellte Videokonferenz Plattform zur Verfügung. Siehe dazu auch Videokonferenz Plattformen in Schule nutzen.
Vorlagen für Einwilligungen
Folgende Vorlage geht davon aus, dass ein Schüler über ein an ein Speakerphone (Bluetooth Lautsprecher mit Mikrofon) gekoppeltes Smartphone der Lehrkraft am Unterricht der Klasse aktiv teilnimmt.
Einwilligung – EU-DSGVO konform – Audio Übertragung Unterricht.docx
Diese Vorlage geht von einer Teilnahme per Videokonferenz Plattform aus. Es sollte dazu ein Anbieter gewählt werden, der alle schul- und datenschutzrechtlichen Anforderungen zweifelsfrei erfüllt und mit dem ein Vertrag zur Auftragsverarbeitung abgeschlossen werden kann.
Einwilligung – EU-DSGVO konform – Bild-Ton-Übertragung Unterricht.docx
Anders als in NRW hat sich der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) zum Thema Videokonferenzen in der Schule in Zeiten von Corona geäußert. In dem Beitrag „Videokonferenzsysteme in Schulen“ heißt es:
„Bei Schulschließungen zur Bewältigung der Corona-Krise können Videokonferenzen einen wesentlichen Beitrag zur Erfüllung des staatlichen Bildungs- und Erziehungsauftrags leisten. Der HBDI geht daher davon aus, dass für die Dauer der Krisenbewältigungsmaßnahmen die gegenwärtig erhältlichen Videokonferenzsysteme aufgrund einer vorläufigen positiven Beurteilung gemäß Art. 6 Abs. 1 Buchs. d) und e) DS-GVO als erlaubt gelten.“
Das ist in sofern sehr interessant, als dass der HBDI Schulen hier die Möglichkeit zugesteht, Videokonferenz Plattformen ohne eine Einwilligung der Betroffenen zu nutzen. Schulen erhalten so einmal die Möglichkeit, die zur Durchführung von Videokonferenzen erforderliche Datenverarbeitung auf Art. 6 Abs. 1 lit. d DS-GVO abzustellen. Das ist der Fall, wenn es darum geht, „lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen“ – in dem Fall die Gesundheit von Schülern und Lehrkräften mit Vorerkrankungen oder Familienangehörigen mit Vorerkrankungen. Diese erhalten dadurch ein Recht darauf, per Videokonferenz am Unterricht teilzunehmen. Außerdem können Schulen die erforderliche Verarbeitung von personenbezogenen Daten auf Art. 6 Abs. 1 lit. e DS-GVO abstellen, um mit der Durchführung von Videokonferenzen ihrem staatlichen Bildungs- und Erziehungsauftrag in der Wahrnehmung einer Aufgabe nachzukommen, „die im öffentlichen Interesse liegt“.
Auch wenn in diesem Fall keine Einwilligung der Betroffenen eingeholt werden muss, so ist doch die Erteilung von Informationen nach Art. 12 DS-GVO weiterhin erforderlich.
Hessische Schulen werden von dieser Aussage des HBDI jedoch nur Gebrauch machen können, wenn das Hessische Schulgesetz entweder eine Auslegung in diese Richtung zulässt oder das Schulministerium einen entsprechenden Erlass verabschiedet.
Wenn Windows 10 – dann unbedingt die Education Version
Im Januar 2020 stellte Microsoft, wie lange vorher angekündigt, endgültig den Support von Windows 7 ein1Microsoft bietet Kunden allerdings noch bis zu 3 Jahre die Möglichkeit, Updates gegen Gebühr zu erhalten. Problematisch ist jedoch, dass mit der Zeit immer mehr Software nicht mehr sicher auf Windows 7 laufen wird, da die Hersteller den Support ihrer Software für das veraltete System einstellen werden. Dazu gehören auch Virenscanner – siehe auch Windows-7-Support-Ende: Rund 500 Millionen PCs unsicher; abgerufen am 01.02.2020. Schulen, welche dieses mittlerweile über 10 Jahre alte Betriebssystem in Verwaltung und pädagogischem Netz nutzten, sind in der Regel direkt auf Windows 10 umgestiegen, um weiterhin sicher arbeiten zu können. Als dann im letzten Jahr Meldungen aufkamen, dass Windows 10 aufgrund der an Microsoft übermittelten Telemetriedaten nicht datenschutzkonform betrieben werden könne, war die Unsicherheit groß. Im nun vorliegenden 9. Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht für das Jahr 2019 wird jetzt Entwarnung gegeben. Eine von der Datenschutzkonferenz beauftragte Arbeitsgruppe unter Leitung des Bayerischen Landesbeauftragten für den Datenschutz führte im Dezember 2019 unter Beteiligung von Microsoft Mitarbeitern eine Laboranalyse von Windows 10 durch. Getestet wurde die Windows 10 Enterprise Edition (Version 1909). Mit Hilfe der von Microsoft offiziell zur Verfügung gestellten Informationen und Tools wurde das System auf das Telemetrielevel „Security“ eingestellt.
Im Ergebnis konnte so der Nachweis erbracht werden, dass die Übermittlung von Telemetriedaten an Microsoft erfolgreich unterbunden werden kann.2Wie im Bericht erwähnt, wurden in der Konfigurationeinstellung aus Sicherheitsgründen nicht sämtliche Datenabflüsse unterbunden, auch wenn dieses technisch möglich ist. Siehe Seite 22 im Bericht. Im Bericht lautet das Fazit deshalb:
Vom Ergebnis konnte bei diesem Treffen in unserem technischen Labor festgestellt werden, dass die datenschutzrechtlich kontrovers diskutierten Telemetriedaten bei Einsatz der Enterprise Version (und damit auch bei der Education-Version) im überprüften Szenario deaktivierbar sind.
Der Labortest von Windows 10 Enterprise fand unter kontrollierten Bedingungen statt. Im schulischen Alltag findet die Nutzung jedoch in der Regel in einer verwalteten Umgebung statt, da die Windows PCs Teil eines Netzwerks sind. Deshalb ist die Aussage des Bayerischen Landesbeauftragten für den Datenschutz mit einer kleinen Einschränkung versehen.3Es gibt genau genommen noch eine weitere Einschränkung. Die Aussagen im Bericht beziehen sich nur auf das Thema Telemetriedaten. Etwaige andere Datenschutzprobleme, die bei einer Nutzung von Windows 10 auftreten können, sind dabei nicht berücksichtigt. Damit sichert sich der Bayerische Landesbeauftragte für den Datenschutz rechtlich ab.
Sollte sich dieses Ergebnis beim realen Einsatz von Windows 10 bei Unternehmen bestätigen, dann stellt zumindest der Umgang mit Telemetriedaten bei Windows 10 Enterprise (auch in verwalteten Umgebungen) keinen datenschutzrechtlichen Hinderungsgrund eines Einsatzes dieses Betriebssystems dar.
Man dürfte aber wohl davon ausgehen können, dass bei fachmännisch administrierten Windows 10 Education PCs das Laborergebnis replizierbar ist.
Schulen, die Windows 10 einsetzen oder auf diese Version wechseln wollen, müssen eine Education Version nutzen und zwar in der Version 19094Man sollte davon ausgehen können, dass auch künftige Versionen die gleichen Möglichkeiten bieten werden, die Übermittlung von Telemetriedaten an Microsoft zu unterbinden. und müssen diese mittels der von Microsoft bereitgestellten Informationen und Tools auf das Telemetrielevel „Security“ einstellen. Nur dann ist es möglich, die Übermittlung von Telemetriedaten an Microsoft datenschutzkonform zu unterbinden.
Lizenzrechtlich ist es zulässig, Windows 10 Education sowohl im pädagogischen Bereich wie auch der schulischen Verwaltung zu nutzen5Siehe dazu das PDF Microsoft-Berechtigungskriterien für Qualifizierte Nutzer für Forschung & Lehre (EMEA).pdf; abgerufen am 01.02.2020. Dort werden auch „Verwaltungsbüros einer Ausbildungseinrichtung“ als berechtigt aufgeführt. .
Auch beim Einsatz von Office 365, für welches es bisher leider noch keine vergleichbaren Aussagen der Aufsichtsbehörden gibt, ist für Schulen dringend die Nutzung von Education Versionen zu empfehlen. Genau wie bei Windows 10 bieten nur diese Versionen – neben Enterprise Versionen – die umfangreichsten Möglichkeiten, Einfluss auf die Datenabflüsse an Microsoft zu nehmen. Hinzu kommt noch, dass Microsoft bei den Education Versionen zusätzliche Versicherungen abgibt, Nutzungsdaten nicht zur Profilbildung zu Werbezwecken zu verwenden.
Veröffentlicht am August 19, 2019 März 20, 2020
Die sogenannten Security Keys, im Bild von französischen Hersteller Yubico und von Google4Der Google Security Key ist Stand 03/2020 auch in Deutschland erhältlich – https://store.google.com/product/titan_security_key , müssen ebenfalls an der Plattform im Nutzerkonto registriert werden. Die Nutzung setzt hier eine physikalische Verbindung zwischen dem Key und dem Endgerät voraus, über USB, Bluetooth oder NFC. Je nach Verfahren werden die Kopfdruck oder bei Berühren des Keys erzeugt und direkt an die Plattform übertragen. Auch bei diesen Verfahren ist die Gültigkeit der einmalig erzeugten Passwörter in der Regel zeitlich begrenzt.
Auch SMS werden für 2FA Verfahren genutzt. Im schulischen Bereich dürfte dieses Verfahren jedoch eher nicht zu finden sein. Bei diesem Verfahren muss zunächst die Mobilnummer im Nutzerkonto der Plattform registriert werden. Gleiches dürfte für Verfahren gelten, die mittels App und von der Plattform angezeigtem QR Code arbeiten oder mit Kartenlesern und Scheckkarten. Möglich sind außerdem Verfahren, die NFC nutzen, die mittels Security Keys oder Smartphones angewandt werden. Modernere Android Smartphones können selbst als Security Keys eingesetzt werden.
Die Nutzung von Security Keys für 2FA wird von Windows, Mac OS, Linux, Chrome OS und seit iOS 13.35Das Update auf iOS 13.3 ist seit Mitte Dezember 2019 verfügbar. auch von neueren iOS Geräten unterstützt. Für iOS Geräte mit Lightning Port hat Yubico einen speziellen Security Key herausgebracht. Dieser unterstützt auch USB C.
Welche Maßnahmen man außerdem ergreifen kann, um den Zugriff auf Systeme und Plattformen zu schützen, erläutert umfangreich der Beitrag Passwörter und Zugriffsschutz.
Windows 7 Support endet Anfang 2020
In einigen Schulverwaltungen laufen noch immer PCs mit dem Betriebssystem Microsoft Windows 7. Dieses wird demnächst nicht mehr unterstützt. Bei Microsoft heißt es dazu1Ende des Supports für Windows 7:
„Ab dem 14. Januar 2020 stellt Microsoft weder Sicherheitsupdates noch technischen Support für Windows 7 zur Verfügung.“
Ein veraltetes Betriebssystem ist auch ein Datenschutz-Thema. In der Schulverwaltung werden personenbezogene Daten von Schülerinnen und Schülern, von Eltern und Lehrkräften verarbeitet, darunter auch sehr sensible Daten. Eine Verarbeitung von personenbezogenen Daten setzt nach §2 Abs. 1 SchulG NRW2(1) Die automatisierte Verarbeitung der personenbezogenen Daten ist zulässig auf ADV-Arbeitsplätzen und in Netzwerken, die für Verwaltungszwecke eingerichtet sind, auf sonstigen schulischen ADV-Anlagen und in sonstigen Netzwerken, wenn jeweils über die Konfiguration die Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Revisionsfähigkeit und
gewährleistet sind. 3Eine vergleichbare Vorgabe zu technischen und organisatorischen Maßnahmen findet sich in Art. 32 DS-GVO. voraus, dass durch geeignete technische und organisatorische Maßnahmen der Schutz und die Sicherheit dieser Daten gewährleistet ist.
Mit Windows 7 wird dieses nach dem 14. Januar 2020 nicht mehr möglich sein.4Ausnahme: der Schulträger bezahlt Microsoft für weitere Sicherheitsupdates und technischen Support. Dann ließe sich eine Nutzung unter Einhaltung der Vorgaben des Schulgesetzes NRW und der DS-GVO noch bis 2023 vertreten. Es reicht auch nicht, sich hier auf einen guten Virenschutz zu verlassen. Sobald ein Betriebssystem keine Sicherheitsupdates mehr erhält, steigt mit jedem neu entdeckten Sicherheitsleck das Risiko, dass Dritte ohne Berechtigung Zugriff auf die Daten der Schule erhalten, diese entwenden, verändern oder zerstören können.
Von daher ist es Schulen dringend zu empfehlen, sich mit dem Schulträger in Verbindung zu setzen und das Upgrade auf eine neuere Version des Betriebssystems, bei den meisten Schulen vermutlich Windows 10, frühzeitig zu planen, so dass dieses spätestens in den Weihnachtsferien zum Ende diesen Jahres in Angriff genommen werden kann.5System Administratoren sollten hierbei bedenken, Windows 10 durch entsprechende Maßnahmen ausreichend zu härten, um die Sicherheit des Systems zu erhöhen. Siehe hierzu SiSyPHuS Win10: Studie zu Systemaufbau, Protokollierung, Härtung und Sicherheitsfunktionen in Windows 10 des BSI
Weitere Informationen: Ende des Supports für Windows 7

References: §120
 § 120
 § 121
 §120
 §121
 Art. 6
 Art. 6
 Art. 6
 Art. 12
 §2
 Art. 32