Source: https://datenschutz-schule.info/tag/instagram/
Timestamp: 2019-10-20 00:52:21
Document Index: 376652256

Matched Legal Cases: ['§120', 'EuG', 'Art. 26', 'Art. 5', 'Art. 6', 'Art. 5']

Instagram – datenschutz-schule.info ")}}return a.proceed()});scriptParent=document.getElementsByTagName("script")[0].parentNode;if(scriptParent.tagName.toLowerCase!=="head"){head=document.getElementsByTagName("head")[0];aop_around(head,"insertBefore");aop_around(head,"appendChild")}aop_around(scriptParent,"insertBefore");aop_around(scriptParent,"appendChild");var a2a_config=a2a_config||{};a2a_config.no_3p=1;var addthis_config={data_use_cookies:false};var _gaq=_gaq||[];_gaq.push(["_gat._anonymizeIp"])}
Die Altersvorgaben der Plattform sollten eingehalten werden.2Mehr dazu weiter unten.
Die Nutzung von Social Media in der Schule ist in den verschiedenen Bundesländern recht unterschiedlich geregelt. Während einige Schulministerien eine Nutzung untersagen3z.B. Berlin „der Einsatz von sozialen Medien zur dienstlichen Kommunikation von Lehrern mit Eltern oder Schülern ist unzulässig“, ist bei anderen nichts geregelt.
Während es bis Anfang 2019 noch eine Aussage auf die Frage gab, wie Lehrkräfte auf den Wunsch von Eltern zur Kommunikation über Social Media reagieren sollen, was in der Praxis tatsächlich immer wieder vorkommt,4Was tun, wenn Schülerinnen und Schüler oder Erziehungsberechtigte Lehrerinnen und Lehrer in Sozialen Medien hinzufügen wollen?
Darf ich auf privaten Endgeräten Programme wie Whatsapp oder iMessage benutzen, wenn ich auf dem gleichen Gerät meine dienstlichen Daten verarbeite?
Die Zulässigkeit der Datenverarbeitung und -speicherung ist umfassend durch Gesetz, Verordnungen und Erlasse geregelt. Die Schulleitung steht in der Verantwortung für die Beachtung der Datenschutzbestimmungen.
Nach diesen Vorgaben muss bei der dienstliche Kommunikation an öffentlichen Schulen gewährleistet sein, dass der gewählte Kommunikationskanal die datenschutzrechtlichen Voraussetzungen erfüllt. Sofern sensible personenbezogene Schülerdaten übermittelt werden, erfüllt WhatsApp diese datenschutzrechtlichen Voraussetzungen nicht. Wenn Lehrkräfte mit Eltern sowie Schülerinnen und Schülern über WhatsApp kommunizieren und keine sensiblen personenbezogenen Daten übermittelt werden, liegt dies im persönlichen Ermessen aller Beteiligten und ist keine von der Schulleitung zu verantwortende dienstliche Kommunikation. Sinnvollerweise ist eine schriftliche Einverständniserklärung der betroffenen Personen bzw. der Erziehungsberechtigten für diese Form der Kommunikation einzuholen.
FAQs Datenschutz/ Fragen zu Anwendungen, Apps und Programmen/ Medienberatung NRW (02/2019)
Die Übermittlung von sensiblen personenbezogenen Daten ist davon jedoch ausgenommen.
Kommunizieren Lehrkräfte mit Eltern und Schülern über WhatsApp, liegt dieses im persönlichen Ermessen der Beteiligten. Die Übermittlung von sensiblen personenbezogenen Daten durch Lehrkräfte ist davon ausgenommen.
Werden die genannten Bedingungen bei der Kommunikation von Lehrkräften mit Eltern und Schülern eingehalten, fällt diese nicht in den Verantwortungsbereich der Schulleitung.
Aus verschiedenen Gründen haben viele Anbieter von Social Media Plattformen mittlerweile das Mindestalter für die Nutzung ihrer Plattformen auf 13 Jahre gesetzt. Jüngere Nutzer hindert das allerdings nicht daran, sich mit falschen Altersangaben trotzdem anzumelden und die Anbieter haben auch keine Möglichkeit der Alterskontrolle. Eine Schule sollte sich hier immer ihrer Verantwortung bewusst sein und solch eine Plattform, auch wenn die oben beschriebenen Empfehlungen eingehalten werden, nicht mit Schülern unter 13 Jahren nutzen. Nach den Vorgaben der DS-GVO können Jugendliche vor Vollendung des 16. Lebensjahres keine wirksame Einwilligung in die Nutzung von Social Media Plattformen wie WhatsApp, Instagram oder Facebook geben, da sie zu den sogenannten Diensten der Informationsgesellschaft zählen7Siehe hierzu den Beitrag Auswirkungen der DS-GVO auf die Einwilligungsfähigkeit von Schülern . Eine Nutzung ist damit nur mit Einwilligung der Erziehungsberechtigten bzw. deren Zustimmung zur Einwilligung möglich. Ob diese bei allen Schülern in der Klasse, welche die Plattform nutzen, bei der Anmeldung an derselben vorlag, darf bezweifelt werden.8Eine Überprüfung durch die Anbieter der hier genannten Plattformen findet aktuell nicht statt.
WhatsApp, Instagram, Facebook, Snapchat und ähnliche kostenfreie Social Media Plattformen, die sich über die personenbezogenen Daten ihrer Nutzer, und im Fall von Facebook auch die Nicht-Nutzer, und Werbung finanzieren, sind nicht die einzigen verfügbaren Plattformen. Am Markt gibt es eine Reihe anderer Plattformen, einige davon sogar kostenfrei nutzbar, welche aus datenschutzrechtlicher Sicht für einen Einsatz in der Schule durchaus in Frage kommen könnten. Wenn es um Messaging geht, sind aktuell vor allem drei Plattformen aus datenschutzrechtlicher Sicht interessant: Threema (kostenflichtig), Wire (kostenflichtig) und Signal (kostenlos). Darüber hinaus gibt es Anbieter, die Plattformen für Schulen entwickelt haben, die mehr als eine Messaging Funktion bieten. Für welche Plattform eine Schule sich entscheidet, hängt sehr vom geplanten Nutzungsszenario ab.
Sollen die Plattformen im Unterricht thematisiert werden, um sich mit Nettiquette, Cyberbullying, Fakenews und den Geschäftsmodellen der Anbieter auseinanderzusetzen, spricht nichts gegen eine exemplarische Nutzung, wenn dabei auf Altersvorgaben, das Recht auf informationelle Selbstbestimmung und Privatsphäre sowie Freiwilligkeit beachtet werden.
Eine Nutzung als informeller Kanal in einer Klasse ist definitiv nicht zu empfehlen, gegenwärtig aber nicht ausgeschlossen und muss, wenn überhaupt, auf Freiwilligkeit basieren, darf niemanden benachteiligen und keine personenbezogenen Daten verwenden.
Für Lehrkräfte in NRW ist es gegenwärtig auch zulässig, über eine Social Media Plattform wie WhatsApp mit Eltern zu kommunizieren, wenn diese das wünschen. Lehrkräfte müssen sich dabei jedoch auf Informationen beschränken, welche keine personenbezogenen Daten beinhalten. Sollte es eine Klassenelterngruppe geben, kann eine Lehrkraft über diese Gruppe allgmeine Informationen weitergeben. Sobald jedoch nicht alle Eltern Mitglied dieser Gruppe sind, muss die Lehrkraft sicherstellen, dass alle Informationen auch auf anderem Wege für die Eltern, welche sich nicht in der Elterngruppe befinden, verfügbar sind. Lehrkräfte sollten den Kontakt zu Eltern oder eine Elternklassengruppe über die genannten Social Media Plattformen unter niemals von sich aus initiieren.
Auch wenn es definitiv nicht zu empfehlen ist, so ist WhatsApp für die Kommunikation unter Lehrkräften nicht verboten, solange der Informationsaustausch im informellen Bereich bleibt und keine personenbezogenen Daten aus der Schule dort übermittelt werden. Da es scheinbar in fast jedem Kollegium Lehrkräfte gibt, welche mangels Disziplin doch immer wieder personenbezogene Daten darüber weitergeben, empfiehlt es sich, hier besser eine professionelle Lösung zu nutzen, welche dieses erlaubt. Mit einer Plattform wie Threema kann die Schule einen Vertrag zur Auftragsverarbeitung abschließen und Lizenzen in Anzahl der Lehrkräfte erwerben. Auf dieser Basis können dann sämtliche personenbezogenen Daten zwischen Lehrkräften und auch zu Schulleitung übermittelt werden, welche Anlage 3 der VO-DV I zur Verarbeitung auf privaten Endgeräten von Lehrkräften bei Genehmigung durch die Schulleitung zulässt. Werden mehr Funktionen benötigt, wählt man einen anderen Anbieter. Mittlerweile gibt es hier ein Angebot im deutschsprachigen Raum.12Siehe Padlet Plattformen zur schulischen Kommunikation
Da Veröffentlichungen von personenbezogenen Daten von Schülern und Lehrkräften durch die Schule in Online- oder Offlinemedien nicht durch das Schulgesetz NRW und die anhängigen Verordnungen zur Datenverarbeitung (VO-DV I & II) legitimiert werden, ist eine Verarbeitung in diesem Sinne nur mit einer rechtswirksamen Einwilligung der Betroffenen zulässig.13Siehe SchulG NRW §120 Abs. 2 Satz 2 und Abs. 5 Satz 3 Dabei ist es unerheblich, ob die Veröffentlichung in der Lokalpresse erfolgt oder auf einer Internetpräsenz, welche die Schule selbst betreibt, oder ob es sich bei den personenbezogenen Daten, welche veröffentlicht werden sollen, um Namen und Ergebnisse bei einem Sportwettbewerb handelt oder um Fotografien.
Facebook nutzt in seinen Plattformen Gesichtserkennungsalgorithmen, so dass auch Abbildungen von Personen auch ohne Angaben von Namen echten Personen zugeordnet werden können. 14Wie gering die Auflösung eines Fotos sein muss, dass dieses nicht mehr möglich ist, kann nur schwierig abgeschätzt werden. KI und steigende Rechnenleistung senkt auch hier die Schwelle immer mehr. Auch aus Profilen können heute bereits Personen erkannt werden.
Facebook handelt mit personenbezogenen Daten zur gezielten Schaltung von Werbung und zur Auswertung durch Dritte. Werbung kann so im Auftrag von Dritten passgenau auf Menschen zugeschnitten werden, welche die Plattform besuchen.15Im Prinzip geht es um nichts anderes als Manipulation. Facebook kennt Vorlieben und Abneigungen, religiöse Überzeugungen, politische Anschauungen und kann sogar aktuelle Stimmungen aus dem Verhalten ableiten. All dieses lässt sich zur gezielten Beeinflussung von Verhalten nutzen. Ein Beispiel wie Cambridge Analytica zeigt, in welche Richtung derartige Beeinflussung, hier im Zusammenhang mit Wahlen, gehen kann.
Wie auch bei der Schulhomepage hat Schule eine datenschutzrechtliche Verantwortung gegenüber den Besuchern einer Präsenz bei Facebook und Instagram. Öffnet ein Besucher die Facebook Seite oder Instagram Präsenz im Browser oder über ein App, so werden automatisch personenbezogene Daten durch die Plattformen erhoben. Dabei ist es vollkommen unerheblich, ob der Besucher ein registrierter Benutzer der Plattform ist oder nicht. Bei registrierten Benutzern werden die im Zusammenhang mit dem Besuch der schulischen Präsenz in Facebook oder Instagram erhobenen personenbezogenen Daten zum bestehenden Profil hinzugefügt. Auch die Daten von nicht registrierten Benutzern werden erhoben und verarbeitet. Bei vielen Menschen, die oft im Internet unterwegs sind und kein eigenes Facebook oder Instagram Profil besitzen, existiert bereits ein sogenanntes Schattenprofil16Siehe dazu Ob Nutzer oder nicht: Facebook legt Schattenprofile über alle an auf Netzpolitik.de . Mit diesem Schattenprofil verdient Facebook genauso Geld, wie oben bei der Auflistung der möglichen Risiken beschrieben. Damit eine Schule ihrer datenschutzrechtlichen Verantwortung nachkommen kann, müssen auch Besucher der Präsenz auf Facebook und Instagram in einer Datenschutzerklärung über mögliche Risiken aufgeklärt werden.
Die Schule ist damit jedoch nicht aus der Verantwortung entlassen. Vielmehr entschied der Europäische Gerichtshof im Juni 2018, dass die Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung personenbezogener Daten der Besucher der Fanpage datenschutzrechtlich verantwortlich sind.17EuGH Urteil (C-20/16) Um eine gemeinsame Verantwortlichkeit nachzuweisen, ist nach Art. 26 DS-GVO ein Vertrag zwischen beiden Seiten erforderlich, in welchem festgelegt ist, wer welche Verpflichtungen nach der DS-GVO erfüllt. Ohne diese Vereinbarung ist nach einem Beschluss der Datenschutz Konferenz18Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) vom 5. September 2018 der Betrieb einer Fanpage rechtswidrig. Facebook reagierte recht schnell auf diese Vorgabe und stellt seit dem 11. September als Seiten-Insights-Ergänzung19Seiten Insights meint ein Tool, welches Facebook Betreibern von Fanpages zur Verfügung stellt, um deren Nutzung durch Besucher – gestützt auf die von Facebook erhobenen personenbezogenen Daten – auswerten zu können. das sogenannte Page Controller Addendum zur Verfügung. Anstelle des Vertrags zur Auftragsbearbeitung tritt hier also im Rahmen der gemeinsamen Verantwortung das Page Controller Addendum. In diesem übernimmt Facebook beispielsweise die Verantwortung, wenn es um das Recht der Betroffenen auf Einsicht und Löschung geht. Das macht Sinn, da der Betreiber einer Fanpage selbst, wie vom EUGH bemängelt, hier keine technischen Möglichkeiten zur Umsetzung dieser Betroffenenrechte hat. Als Verantwortlicher ist die Schule dadurch in der Pflicht. Sie muss die Rechtmäßigkeit der gemeinsam mit Facebook zu verantwortenden Datenverarbeitung gewährleisten und entsprechend Art. 5 Abs. 2 DS-GVO nachweisen. Dieses kann erfolgen, indem für Besucher der Fanpage bzw. der Instagram Präsenz Angaben zur datenschutzrechtlichen Verantwortung gemacht werden und von dort aus auf die Datenschutzerklärung auf der Schulhomepage verlinkt wird. In der Datenschutzerklärung der Schulhomepage werden dann entsprechende Angaben zur gemeinsamen Verantwortung bezüglich Facebook und Instagram gemacht und auf das Page Controller Addendum verlinkt. Wie dieses funktioniert, erklärt der Jurist Dr. Schwenke unter Wird Facebook legal? – Anleitung für Seitenbetreiber zum „Page Controller Addendum“
Wie Dr. Schwenke schon im September 2018 selbst klar stellt, bleiben immer noch offene Fragen und kleine Unsicherheiten. Seine Ausführungen beziehen sich primär auf Unternehmen. Kann man das auf Schulen übertragen? Könnte man ein berechtigtes Interesse an Außendarstellung und Nutzung von Kanälen geltend machen, welche Schüler und Eltern nutzen? Das ist schwer zu sagen, zumal eine Anwendung von DS-GVO Art. 6 lit. f in Schule in dem Bereich ihrer eigentlichen Aufgaben rechtlich nicht möglich ist.20Siehe hierzu Verarbeitung auf Grundlage einer Interessenabwägung – geht das bei Schulen? „Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.“ Um Facebook oder auch Instagram auf der Grundlage von berechtigten Interessen nutzen zu können als Schule, müsste man argumentieren können, dass die Außendarstellung nicht Teil der Verarbeitungen ist, welche eine Schule in Erfüllung ihrer Aufgaben vornimmt. Das berechtigte Interesse könnte dann aber auch nur die mit den Besuchern der Präsenzen verbundene Verarbeitung von personenbezogenen Daten rechtlich abdecken, nicht die Veröffentlichungen, welche die Schule selbst dort vornimmt.
Rein formal erfüllt Facebook mit dem Page Controller Addendum vermutlich die Forderungen des Europäischen Gerichtshofes. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit stellt jedoch in Frage, ob damit auch dem Beschluss der DSK Genüge getan ist. In einem Schreiben an Unternehmen heißt es deshalb im November 2018: “Die DSK machte deutlich, dass Fanpage-Betreiberinnen und -Betreiber (unabhängig davon, ob es sich um öffentliche oder nicht-öffentliche Verantwortliche handelt) die Rechtmäßigkeit der gemeinsam zu verantwortenden Datenverarbeitung gewährleisten und dies nachweisen (Art. 5 Abs. 2 DS-GVO) können müssen.“21Siehe dazu den Brief als PDF: https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/informationen/2018-BlnBDI-Fragenkatalog_Fanpages.pdf. Die DSK (Datenschutz Konferenz) ist ein Gremium der Aufsichtsbehörden aller Bundesländer, in welchem zu datenschutzrechtlichen Fragen gemeinsame Positionen erarbeitet werden.