Empfehlung zur Konfiguration von iPads für Lehrkräfte

Lesezeit: 2 Minuten

Leihgeräte für Lehrkräfte heißt die zweite Zusatzvereinbarung zum Digitalpakt und ermöglicht mit rund 500 € je Lehrkraft die Beschaffung von digitalen Endgeräten. In NRW begann man schon vor Eintreffen dieser Gelder mit der Beschaffung von dienstlichen Endgeräten. In vielen Kommunen wurden einheitlich iPads für alle Lehrkräfte beschafft und selbst in Kommunen, wo man den Lehrkräften die Wahl ließ, gab es mit einem Mal eine große Zahl von iPads, die zu verwalten waren. Die Erfahrungen in den kommunalen IT Abteilungen und bei beauftragten Dienstleistern mit der Verwaltung von iPads über MDM ist in vielen Fällen begrenzt. Verwaltet wurden bisher überwiegend iPads für Schülerinnen und Schüler. In NRW gibt BASS 2020/2021 – 11-02 Richtlinie über die Förderung von dienstlichen Endgeräten für Lehrkräfte an Schulen in Nordrhein-Westfalen den Rahmen vor, wie die Geräte zu verwalten sind und genutzt werden können. Das Problem hierbei ist, in den rechtlichen Vorgaben werden nur sehr grobe Parameter vorgegeben. Dazu gehört, dass die Geräte die Schulen, das meint hier die Lehrkräfte, „bei der rechtssicheren Arbeit mit personenbezogenen Daten nach den Vorgaben der §§ 120 bis 122 des Schulgesetzes NRW und der Verordnung für die zur Verarbeitung zugelassenen Daten von Schülerinnen, Schülern und Eltern (VO-DV I) und der Verordnung über die zur Verarbeitung zugelassenen Daten der Lehrerinnen und Lehrer (VO-DV II)“ unterstützen sollen.

Damit das möglich ist, müssen die dienstlichen iPads über das MDM so gesteuert werden, dass bei der Verarbeitung von personenbezogenen Daten auf dem Gerät die Vorgaben von Art. 5 lit. f DS-GVO eingehalten werden können. Es geht dabei vor allem um den Schutz und die Sicherheit der Verarbeitung. Unbefugte dürfen keinen Zugriff auf die Daten erhalten, nicht um sie auszulesen, zu übermitteln oder zu verändern, noch um sie zu löschen. Daten dürfen nicht unkontrolliert vom Gerät abfließen.

iOS bietet im in Verbindung mit iCloud Diensten eine Vielzahl von Funktionen, welche die Arbeit mit einem iPad unterstützen. iPads sind in aller erster Linie Consumer Geräte, werden aber auch in der Wirtschaft, in Verwaltung und in Schulen eingesetzt. Deshalb stellt Apple für iOS Möglichkeiten bereit, über welche sich diese Funktionen sowie das Zusammenspiel von iPad und iCloud steuern lässt.

Das Problem, vor welchem man nun bei der Konfiguration und Steuerung der dienstlichen iPads steht, ist die Auswahl der „richtigen“ Einschränkungen. Welche Funktionen müssen eingeschränkt und welche dürfen zugelassen werden? Soll man die Nutzung einer privaten Apple ID auf dem dienstlichen iPads gestatten oder ist dieses zu riskant? Die folgende Empfehlung soll eine Orientierung geben und als Grundlage dienen, hier Entscheidungen zu treffen.

Empfehlungen für die Konfiguration und Verwaltung von dienstlich genutzten iPads

Kurzübersicht der empfohlenen Einschränkungen

 

Bitte beachten Sie, dass verfügbare Einschränkungen (engl. payloads) sich von MDM zu MDM etwas unterscheiden. Diese Empfehlung nutzt die in JamfSchool verfügbaren Einschränkungen. Mit größeren Updates können sich verfügbare Einschränkungen verändern, neue hinzu kommen, alte verschwinden. Die Empfehlungen werden nach Möglichkeit zügig angepasst, wenn es Veränderungen gibt, welche Auswirkungen haben auf Datenschutz- und Sicherheit. Achten Sie deshalb auf die Versionsnummer des Dokuments.
Veröffentlicht am

Teilnahme am Unterricht über Video – geht das?

Lesezeit: 6 Minuten
Hinweis – spätestens mit der Verabschiedung der Zweiten Verordnung zur befristeten Änderung der Ausbildungs- und Prüfungsordnungen gemäß § 52 SchulG vom 02.10.2020 ist klar, dass die Hürden für eine verpflichtende Nutzung zur Erteilung von bzw. zur Teilnahme am digitalen Distanzunterricht per Videokonferenz sehr hoch gesetzt sind. Aktuell dürfte es in NRW an keiner Schule aus datenschutzrechtlicher Sicht möglich sein, Schüler oder Lehrkräfte zum Distanzunterricht per Videokonferenz zu verpflichten.

Dazu gibt es jetzt einen neuen Beitrag – Distanzunterricht – rechtliche Vorgaben und Möglichkeiten

Die Technik macht es möglich. Schüler können von zu Hause über Videokonferenz Plattformen am Unterricht ihrer Klasse teilnehmen. Gerade in Zeiten von Corona ist diese Möglichkeit von Interesse, vor allem dann, wenn Schüler entweder selbst zu einer Risikogruppe gehören oder Familienangehörige mit Vorerkrankungen haben und aus diesem Grund nicht in die Schule kommen können, um am Unterricht teilzunehmen. Es stellt sich deshalb die Frage, ob solches aus schul- und datenschutzrechtlicher Sicht möglich ist?

Die Rechtslage

Die Aufzeichnung von Unterricht in Form von Audio oder Video und die Übermittlung von Bild- und Tondaten des Unterrichts im Rahmen einer Videokonferenz sind aus datenschutzrechtlicher Sicht nicht unproblematisch. Es geht um einen Eingriff in die Grundrechte, für den sich im Schulgesetz NRW bislang keine Reglung findet, welche die Durchführung von Videokonferenzen zwischen Lehrkräften und Schulleitungen oder Lehrkräften und Schülern oder Schülern untereinander legitimiert. Dabei ist es unerheblich, ob es um Aufzeichnungen, Streaming, Mithören über Telefon oder Teilnahme über eine Videokonferenz Plattform geht. Da das Thema Videoübertragung von Unterricht im Schulgesetz aktuell nicht einmal vorgesehen ist, bleiben zur rechtlichen Orientierung nur die  Vorgaben zur Audio- und Videoaufzeichnung. Das liegt nache, denn genau genommen findet auch bei einer Videokonferenz eine sehr kurzfristige Zwischenspeicherung dieser Daten statt, da ohne diese rein technisch gesehen keine Übermittlung möglich wäre.1Diese Übertragung von Bild- und Tondaten in einen Puffer stellt allerdings keine perpetuierbare Speicherung dar, denn sie ist nur vorübergehend und ist damit mit einer Speicherung im Sinne auf Aufzeichnung von Videoaufnahmen nicht gleichzusetzen.

In der neuen Fassung des Schulgesetzes von Mai 2020 sind Aufnahmen des Unterrichts gemäß §120 Abs. 6 nur mit Einwilligung der Betroffenen zulässig.

„Bild- und Tonaufzeichnungen des Unterrichts oder sonstiger verbindlicher Schulveranstaltungen bedürfen der Einwilligung der betroffenen Personen. Die Einwilligung muss freiwillig erteilt werden. Den betroffenen Personen dürfen keine Nachteile entstehen, wenn sie eine Einwilligung nicht erteilen.“
Ein entsprechender Passus findet sich auch für §121 Abs. 1. Satz 2 bezüglich der Rechte der Lehrkräfte.

Damit ist klar, mit einer Einwilligung der Betroffenen, das meint Schüler wie Lehrkräfte, sind Bild- und Tonaufzeichnungen möglich. Dem Sinn und Zweck dieser Regelung nach lässt sich dieses auch auf eine Übertragung anwenden. Das heißt, mit Einwilligung der Betroffenen kann eine Videokonferenz oder auch ein Streaming des Unterrichts stattfinden.

Möglichkeiten der Umsetzung

In den meisten Fällen wird man davon ausgehen können, dass Einwilligungen erteilt werden, sofern bei den Betroffenen keine Zweifel an der Sicherheit der genutzten Plattform bestehen oder sie sonst grundsätzliche Einwände haben. Doch selbst wenn einige Personen die Einwilligung verweigern, kann es möglich sein, trotzdem eine Videoübertragung des Unterrichts bzw. die Teilnahme eines Schülers per Videokonferenz am Unterricht der Klasse zu realisieren. Das wird im folgenden beschrieben.

Normalfall

Das Schulgesetz geht vom Normalfall aus. Es herrscht keine Ausnahmesituation wie im Falle einer Pandemie.

Eine Einwilligung setzt immer eine Freiwilligkeit voraus und eine Information über die Datenverarbeitung. Mit letzteren können die  Betroffene die für sie möglicherweise entstehenden Risiken abwägen, um eine Entscheidung zu treffen. Da Schüler verpflichtet sind, am Unterricht teilzunehmen, kann eine Freiwilligkeit nur dann bestehen, wenn es gleichwertige Alternativen gibt. Das könnte das Angebot sein, am Unterricht einer Parallelgruppe teilzunehmen.

In normalen Zeiten, wenn es nur darum geht, den Unterricht einem Schüler im Krankenhaus zugänglich zu machen, wäre eine solche Alternative durchaus umsetzbar, in Zeiten von Corona mit festen Lerngruppen dürfte solches schwierig sein. Sollten Schüler hier die Einwilligung verweigern, kann dieses nur bedeuten, dass eine Teilnahme des Mitschülers über eine Videokonferenz Plattform nicht möglich ist oder eine Alternative gefunden werden muss, die Teilnahme des Mitschülers zu ermöglichen, ohne dabei die Rechte der anderen Schüler zu beeinträchtigen.

Eine solche Möglichkeit könnte darin bestehen, dass die Kamera des Laptops, Tablets oder Smartphones, über welche die Videokonferenz Plattform läuft, nur auf den Teil der Klasse gerichtet sein, wo die Tafel bzw. das Display und die Lehrkraft sich befinden. Um die Schüler, welche ihre Einwilligung verweigern, nicht über das Mikrofon des Laptops/ Tablets/ Smartphones zu erfassen, wäre es einmal möglich, das Mikrofon jeweils stummzuschalten, wenn der betroffene Schüler einen Wortbeitrag macht. Alternativ könnte die Lehrkraft ein kleines mit dem Endgerät gekoppeltes Ansteckmikrofon tragen, welches nur die eigene Stimme erfasst. Die Schüler, welche nicht Teil der Videoübertragung sein möchten, sollten weiter hinten im Raum sitzen. Besteht die technische Möglichkeit wie beschrieben nicht, muss auf eine Videokonferenz Schaltung verzichtet werden.

Bei den Lehrkräften gibt es die Möglichkeit einer Alternative nicht. Hier kann nur eine Einwilligung erteilt oder verweigert werden. Im Falle der Verweigerung müsste man sehen, ob man dem Mitschüler, der von zu Hause teilnehmen möchte, die Teilnahme am Unterricht einer Parallelgruppe ermöglichen kann. Geht auch dieses nicht, ist eine Teilnahme des Mitschülers über eine Videokonferenz Plattform nicht möglich.

Eine Einwilligung ist auch von dem von von seinem Zuhause aus teilnehmenden Schüler einzuholen. Außerdem sollte dieser Schüler eine Unterlassungserklärung unterzeichnen, mit welcher er sich verpflichtet, keine Aufzeichnungen von der Videokonferenz anzufertigen oder andere Personen im Haushalt oder online daran teilnehmen zu lassen.

Vorlagen für Einwilligungen

Die beiden folgenden Vorlagen sind für die Schüler in der Klasse gedacht. Für die Schüler, die von zu Hause aus teilnehmen, nimmt man eine der Vorlagen für Jitsi, BigBlueButton, Teams, Zoom oder erstellt damit eine eigene für eine andere Videokonferenz Lösung.

Folgende Vorlage geht davon aus, dass ein Schüler über ein an ein Speakerphone (Bluetooth Lautsprecher mit Mikrofon) gekoppeltes Smartphone der Lehrkraft am Unterricht der Klasse aktiv teilnimmt.

Diese Vorlage geht von einer Teilnahme per Videokonferenz Plattform aus. Es sollte dazu ein Anbieter gewählt werden, der alle schul- und datenschutzrechtlichen Anforderungen zweifelsfrei erfüllt und mit dem ein Vertrag zur Auftragsverarbeitung abgeschlossen werden kann.

 

Stand: 01/2021

 

In der vorherigen Version dieses Beitrags von ursprünglich Mai 2020 war auch eine Möglichkeit beschrieben, wie die Nutzung von Videokonferenzen unter besonderen Bedingungen während der Pandemie von der Schulleitung verpflichtend vorgeschrieben werden kann, um den Unterrichts- und Schulbetrieb aufrechtzuerhalten. Diese von der LDI NRW beschriebene rechtliche Möglichkeit bestand jedoch allenfalls für einen relativ kurzen Zeitraum vor Verabschiedung der Zweiten Verordnung zur befristeten Änderung der Ausbildungs- und Prüfungsordnungen gemäß § 52 SchulG im Oktober 2020 und der Überarbeitung des Schulgesetzes NRW im September 2020. Da vor allem in der Zweiten Verordnung vom Land NRW explizit Regelungen für den Distanzunterricht getroffen wurden, sehe ich aus datenschutzrechtlicher Sicht keine Möglichkeiten, die von der LDI NRW beschriebenen Möglichkeiten auch in der aktuellen Situation von Schulschließungen umzusetzen, ohne dabei gegen geltendes Recht zu verstoßen. Der Vollständigkeit wegen ist der im oberen Text nun nicht mehr vorhandene Text hier aufgeführt.

 

Ausnahmesituation – Pandemie

Im Mai 2020 äußerte sich die LDI NRW in der Schrift Pandemie und Schule zur Problematik von Videokonferenzen in Zeiten von COVID19. Sie hält darinne einen anderen datenschutzrechtlichen Ansatz für vertretbar:

„Die Durchführung von Videokonferenzen einschließlich der damit verbundenen erforderlichen Datenverarbeitung könnte temporär auf die o.g. schulrechtlichen in Generalklauseln in § 120 Abs. 1 Satz 1 und 121 Abs. 1 Satz 1 SchulG gestützt werden, soweit es die Schulleitung während der Schulschließungen und der weitgehenden Kontaktverbote zur Aufrechterhaltung des Unterrichts- und Schulbetriebs für erforderlich erachtet, derartige Videokonferenzen durchzuführen.“

Gleichzeitig macht die LDI NRW aber auch klar, dass eine solche Möglichkeit nur in sehr engen Grenzen besteht. Dazu gehört beispielsweise, dass die Schule Herrin der Daten ist. Das bedeutet, sie betreibt die Videokonferenzplattform entweder selbst oder nutzt einen Anbieter, der einen Vertrag zur Auftragsverarbeitung anbietet. Das ist am ehesten der Fall bei Anbietern aus Deutschland oder der EU. Im Idealfall steht der Schule eine vom Schulträger, einem beauftragten IT Dienstleister oder dem Land bereitgestellte Videokonferenz Plattform zur Verfügung. Siehe dazu auch Videokonferenz Plattformen in Schule nutzen. Darüber hinaus darf keine Aufzeichnung von Bild- und Tondaten erfolgen und es dürfen keine anderen Personen an der Videokonferenz teilnehmen. Dieses ist dann durch geeignete organisatorische Maßnahmen sicherzustellen.

Interessant ist in diesem Zusammenhang auch eine Aussage des Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) zum Thema Videokonferenzen in der Schule in Zeiten von Corona. In dem Beitrag „Videokonferenzsysteme in Schulen“ heißt es:

„Bei Schulschließungen zur Bewältigung der Corona-Krise können Videokonferenzen einen wesentlichen Beitrag zur Erfüllung des staatlichen Bildungs- und Erziehungsauftrags leisten. Der HBDI geht daher davon aus, dass für die Dauer der Krisenbewältigungsmaßnahmen die gegenwärtig erhältlichen Videokonferenzsysteme aufgrund einer vorläufigen positiven Beurteilung gemäß Art. 6 Abs. 1 Buchs. d) und e) DS-GVO als erlaubt gelten.“

Das ist in sofern sehr interessant, als dass der HBDI Schulen hier die Möglichkeit zugesteht, Videokonferenz Plattformen ohne eine Einwilligung der Betroffenen zu nutzen. Schulen erhalten so einmal die Möglichkeit, die zur Durchführung von Videokonferenzen erforderliche Datenverarbeitung auf Art. 6 Abs. 1 lit. d DS-GVO abzustellen. Das ist der Fall, wenn es darum geht, „lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen“ – in dem Fall die Gesundheit von Schülern und Lehrkräften mit Vorerkrankungen oder Familienangehörigen mit Vorerkrankungen. Diese erhalten dadurch ein Recht darauf, per Videokonferenz am Unterricht teilzunehmen. Außerdem können Schulen die erforderliche Verarbeitung von personenbezogenen Daten auf Art. 6 Abs. 1 lit. e DS-GVO abstellen, um mit der Durchführung von Videokonferenzen ihrem staatlichen Bildungs- und Erziehungsauftrag in der Wahrnehmung einer Aufgabe nachzukommen, „die im öffentlichen Interesse liegt“.

Auch wenn in diesem Fall keine Einwilligung der Betroffenen eingeholt werden muss, so ist doch die Erteilung von Informationen nach Art. 12 DS-GVO weiterhin erforderlich.

Die Äußerungen der beiden Landesbeauftragen für Datenschutz haben eines gemein. Sie vertreten beide die Auffassung, dass in der Ausnahmesituation einer Pandemie die sonst in Normalzeiten geltenden Regelungen zur Durchführung von Videokonferenzen außer Kraft gesetzt werden können, um grundlegendere Rechte der Betroffenen zu wahren, nämlich die Aufrechterhaltung des Unterrichts- und Schulbetriebes (LDI NRW), und die lebenswichtigen Interessen der Betroffenen selbst oder einer anderen Person zu schützen.

Die Ausnahmesituation besteht im Falle von vorerkrankten Schülern, die nicht am Präsenzunterricht teilnehmen können, zwar nicht mehr für eine ganze Schule oder ganze Klassen fort, doch es sollte sich diese Sachlage der gleiche datenschutzrechtlich Ansatz vertreten lassen.

Eine Schulleitung könnte sich dadurch auf diese beiden Aussagen stützen und einzelnen Schülern, die durch Vorerkrankung nicht am Präsenzunterricht teilnehmen können, eine Teilnahme über Videokonferenzschaltung ermöglichen, ohne dafür die Einwilligung der Schüler und Lehrkräfte einzuholen. Sie sollte dazu eine Richtlinie erstellen, in welcher geregelt ist, wann, in welcher Form und in welchem Umfang die Videoübertragung durchgeführt werden darf. Die Begründung dafür sollte sie schriftlich niederlegen und den Betroffenen transparent machen, warum sie diesen Weg geht. Darüber hinaus müsste sie die Betroffenen über die erforderliche Datenverarbeitung gemäß Art. 12 DS-GVO informieren und von dem vorerkrankten Schüler und den Eltern eine Unterlassungserklärung unterzeichnen lassen, in welcher sich diese Personen dazu verpflichten, die vorgegebenen Regeln einzuhalten, etwa dass die Videoübertragung nicht aufgezeichnet oder in anderer Form dritten zugänglich gemacht wird und dass keine anderen Personen als Zuschauer oder Zuhörer während der Übertragung zugegen sind.

Einwilligung einholen ohne Papier

Lesezeit: 7 Minuten
Mit der Änderung der VO-DV I wird es 2021 auch eine Anpassung zum Einholen der Einwilligung geben. Die elektronische Einwilligung als Ausnahme, wird dann auch dort Vergangenheit sein. An den Aussagen dieses Beitrags ändert das nichts, da die bisherige Einschränkung in der VO-DV I seit Beginn der Umsetzung der DS-GVO bereits keine praktische Auswirkung mehr hat.

Ausgangslage

Bisher haben Schulen Einwilligungen in die Verarbeitung von personenbezogenen Daten, für die es keine Rechtsgrundlage aus dem SchulG NRW gibt, überwiegend in Papierform eingeholt. Das liegt zum einen daran, dass die elektronische Einwilligung bisher eher als Ausnahme gesehen und deshalb vermieden wurde, und zum anderen an den fehlenden Möglichkeiten dazu. Aber es geht auch anders, denn weder die DS-GVO noch das Schulrecht in NRW untersagen sie. Bisher ging es bei der Möglichkeit der elektronischen Einwilligung vor allem um die Einwilligung bei Online Plattformen. Entsprechend betrachten Rechtstexte das Thema der elektronischen Einwilligung vor allem mit Bezug auf diesen Anwendungsfall.

Elektronische Einwilligung im Schulrecht NRW

In der §3 Abs. 2  VO-DV I heißt es zur elektronischen Einwilligung (in die Verarbeitung von personenbezogenen Daten):

“(2) Nicht in den Anlagen aufgeführte Daten dürfen nur erhoben werden, wenn die oder der Betroffene eingewilligt hat. Die Einwilligung ist schriftlich gegenüber der Schulleitung zu erklären. Sofern dies wegen besonderer Umstände angemessen ist, kann die Einwilligung ausnahmsweise in elektronischer Form erfolgen. Dabei sind die Grundsätze des § 13 Absatz 2 des Telemediengesetzes vom 26. Februar 2007 (BGBl. I S. 179), das zuletzt durch Artikel 1 des Gesetzes vom 21. Juli 2016 (BGBl. I S. 1766) geändert worden ist, zu erfüllen.”

Die Vorgabe zur Erfüllung der Grundsätze des § 13 Absatz 2 des Telemediengesetzes hat damit zu tun, dass sich diese Aussage vor allem auf Online-Plattformen bezieht. Hintergrund bei der Ausgestaltung der Passage der VO-DV I war, dass man eine Möglichkeit schaffen wollte, wie Nutzer online ohne den Zwischenschritt Papier in die Datenverarbeitung durch die Online Plattform Logineo NRW einwilligen können. 1In der Begründung zum vorangegangenen Entwurf zur Änderung der VO-DV I 2016 (Stand: 18.10.2016) heißt es:
“Die Abgabe der erforderlichen Einwilligung zur Datenverarbeitung soll ausnahmsweise auch elektronisch ermöglicht werden. Dabei sind die Standards des Telemediengesetzes einzuhalten. Die elektronische Einwilligung ist z.B. aus verwaltungsökomischen Gründen erforderlich zur gemeinsamen Nutzung einer IT- Basisstruktur. Der Prozess entspricht der üblichen Vorgehensweise bei der Zustimmung z.B. zu AGBs für die Nutzung von Diensten und Anwendungen im Netz: Bei Erstanmeldung an LOGINEO NRW werden die Nutzungsbedingungen angezeigt. Eine Zustimmung muss durch aktives Anklicken erfolgen, wobei dann Datum und Uhrzeit im Profil des Nutzers I der Nutzerin protokolliert werden. Zusätzlich können Nutzerinnen und Nutzer uneingeschränkt über die Internetseiten von LOGINEO NRW vorab auf die Nutzungsbedingungen zugreifen. Nach Anmeldung sind sie zudem ständig über einen Link im Nutzerprofil aufrufbar. Ein Widerruf der Einwilligung ist
jederzeit möglich und führt zur Deaktivierung des Accounts.” Dabei orientierte man sich an einer Stellungnahme der LDI NRW2Der Hintergrund zu dieser Regelung ist eine Stellungnahme der LDI NRW zu den geplanten Änderungen der VO-DV I vom 26. Juni 2016. Dort heißt es entsprechend:
Ҥ3 Datenerhebung, Berichtigung, Auskunft, Einsicht in Akten
Die Möglichkeit, eine elektronische Einwilligung nach § 13 Abs. 2 TMG zu erteilen, ist nur dann eine gangbare Alternative zur grundsätzlich schriftlich zu erteilenden Einwilligungserklärung, wenn der Anwendungsbereich des TMG eröffnet ist. Dies ist gemäß § 1 Abs. 1 TMG der Fall, wenn es sich um Telemedien, also alle elektronischen Informations- und Kommunikationsdienste handelt. In allen anderen Fällen bleibt es bei dem grundsätzlichen Schriftformerfordernis (vgl. § 4 Abs. 1 S. 3 DSG NRW). Da die Schule unter den o.g. Anforderungen kein Anbieter von Telemedien ist, ist eine elektronische Einwilligung in direkter Anwendung des § 13 Abs. 2 TMG nicht möglich.

Im Einzelfall kann vom Schriftformerfordernis abgewichen und eine Einwilligung auf elektronischem Wege eingeholt werden, wenn gemäß § 4 Abs. 1 S. 3 DSG NRW wegen besonderer Umstände eine andere Form angemessen ist. Wenn dies von der Schulleiterin oder dem Schulleiter konkret festgestellt worden ist, sollte sich die Ausgestaltung einer elektronischen Einwilligung an den inhaltlichen Vorgaben des § 13 Abs. 2, 3 TMG orientieren.”.

Die VO-DV I geht von der Schriftform als Normalfall aus, räumt Schulen jedoch die Möglichkeit ein, bei Vorliegen besonderer Umstände Einwilligungen ausnahmsweise auch elektronisch einzuholen. In den Überlegungen, die zur oben zitierten Formulierung der Ausnahme in der VO-DV I führten, war „Die elektronische Einwilligung ist z.B. aus verwaltungsökomischen Gründen erforderlich zur gemeinsamen Nutzung einer IT- Basisstruktur.“3Begründung zum vorangegangenen Entwurf zur Änderung der VO-DV I 2016 (Stand: 18.10.2016) Man wollte mit der Regelung eine Möglichkeit schaffen, den Einwilligungsvorgang für Schulen mit geringerem Aufwand zu organisieren. Die Entscheidung, ob besondere Umstände vorliegen, trifft die Schulleitung.4„Im Einzelfall kann vom Schriftformerfordernis abgewichen und eine Einwilligung auf elektronischem Wege eingeholt werden, wenn gemäß § 4 Abs. 1 S. 3 DSG NRW wegen besonderer Umstände eine andere Form angemessen ist. Wenn dies von der Schulleiterin oder dem Schulleiter konkret festgestellt worden ist, sollte sich die Ausgestaltung einer elektronischen Einwilligung an den inhaltlichen Vorgaben des § 13 Abs. 2, 3 TMG orientieren.“ – aus der Stellungnahme der LDI NRW zu den geplanten Änderungen der VO-DV I vom 26. Juni 2016.

Vor dem Hintergrund, dass die aktuell noch gültigen Vorgaben zur Einwilligung in der VO-DV I bereits 2016 erarbeitet wurden, zwei Jahre vor Beginn der Umsetzung der DS-GVO, ist es sinnvoll, zu betrachten, wie die DS-GVO das Thema Einwilligung und die Formerfordernis regelt.

Elektronische Einwilligung in der DS-GVO

Die DS-GVO regelt das Thema Einwilligung in Artikel 7. Eine Formerfordernis für die Einwilligung sucht man dort vergeblich. In Erwägungsgrund 32 wird jedoch eine Aussage hierzu gemacht.

„Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung.“

Entsprechend kommentiert auch die Fachliteratur.

“Die DSGVO verlangt keine bestimmte materielle Verstetigung oder Übermittlung der Willensbekundungen. Es gilt der Grundsatz der Formfreiheit. Eine Erklärung kann schriftlich, mündlich und auch elektronisch an den Adressaten gerichtet werden (EG 32 S. 1). Im Sinne der DSGV erfolgt „elektronisch“ auch eine durch einfache E-Mail oder über ein Onlineformular übermittelte Einwilligung. § 126 a BGB und § 3 a Abs. 2 S. 1 VwVfG sind nicht anwendbar.”5Klement in Simitis DS-GVO Art. 7 Rn. 39

Datenschutzgesetz NRW (neue Fassung)

Entsprechend der DS-GVO, welche die dem Datenschutzgesetz NRW übergeordnete Rechtsnorm ist, hat sich der Gesetzgeber auch hier nicht auf eine bestimmte Form der Einwilligung festgelegt. Im neuen DSG NRW heißt es deshalb unter Begriffsbestimmungen § 36 Nr. 19 “19. „Einwilligung“ jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist,”

Fazit

Die elektronische Einwilligung ist möglich für Schulen in NRW, schon seit fast drei Jahren. Allerdings ist sie auf Ausnahmen beschränkt, noch. Das Schulgesetz NRW ist seit Mitte 2019 in Überarbeitung und auch die anhängigen Verordnungen zur Datenverarbeitung VO-DV I und II werden Veränderungen erfahren. Bis zur Verabschiedung der Neufassungen von Schulgesetz und VO-DV I und II wird es vermutlich noch eine Weile dauern und solange gelten die bestehenden Regelungen fort.

Sie geben Schulen jedoch auch jetzt schon einen Handlungsspielraum. Gerade in Zeiten von Schulschließungen, in welchen die Möglichkeiten, Einwilligungen in Papierform einzuholen sehr beschränkt, aufwändig und zeitraubend sind, kann eine Schule ohne Probleme von den Möglichkeiten von §3 Abs. 2  VO-DV I Gebrauch machen. Schulschließungen sind ganz sicher besondere Umstände. Es ist lediglich erforderlich, dass wie in der Stellungnahme der  LDI NRW zu den geplanten Änderungen der VO-DV I vom 26. Juni 2016 beschrieben, die Schulleitung die besonderen Umstände konkret feststellt und dokumentiert. Dann ist es möglich, Einwilligungen in elektronischer Form einzuholen bei den Erziehungsberechtigten und älteren Schülerinnen und Schülern.

Praktische Umsetzung

Bezüglich der elektronischen Einwilligung gibt es verschiedene Möglichkeiten. Für den Fall, dass es beispielsweise um die Einwilligung zur Nutzung einer App oder einer Onlineplattform geht, welche der Schule selbst keine Möglichkeit gibt, darüber die Einwilligung der Erziehungsberechtigten beziehungsweise Schüler einzuholen wie bei Logineo NRW, dann bleibt immer der Weg über E-Mail, ein von der Schule genutztes App zur Kommunikation oder einen sicheren Messenger. Wichtig ist, dass die Schule die Einwilligung der Betroffenen dokumentieren kann. Dazu muss die elektronische Einwilligung in irgendeiner Form, idealerweise als PDF, gespeichert werden. Bei der Übermittlung sollte auf Sicherheit geachtet werden und es sollten nur die personenbezogenen Daten in der Einwilligung erfasst werden, welche dafür zwingend erforderlich sind (Datenminimierung).

E-Mail – direkt

Eine Möglichkeit, die Einwilligung einzuholen, ist direkt über E-Mail. Dazu werden wie in der Papierversion die Informationen zur Datenverarbeitung entsprechend Art. 13 DS-GVO In das E-Mail gepackt, wie auch der eigentliche Einwilligungstext mit einem Anschreiben der Schulleitung. Anstelle der Unterschrift reicht dann, wenn die Betroffenen ihre Einwilligung beispielsweise durch Schreiben des Wortes JA geben.

Die Rück Antwort der Betroffenen mit der Einwilligung sollte als PDF gedruckt und mit einem eindeutigen Dateinamen gesichert werden, um die Einwilligung nachweisen zu können.

Ein Beispiel, wie man das E-Mail mit der Einwilligung gestalten könnte:

E-Mail – PDF

Eine andere Möglichkeit besteht darin, die für Papier entworfene Einwilligung in ein PDF Formular umzuwandeln. Dieses kann man relativ leicht mit LibreOffice tun. Diese kostenlose Office Suite bietet die Möglichkeit, Eingabefelder für Text und Auswahlfelder (Checkboxen) anzulegen und das gesamte Text Dokument anschließend als PDF Dokument abzuspeichern.Dieses wird dann von den Betroffenen an einem Computer, Tablet oder Smartphone ausgefüllt und an die Schule zurück geschickt.

Das von den Betroffenen rückübermittelte PDF sollte mit einem eindeutigen Dateinamen gesichert werden, um die Einwilligung rechtssicher nachweisen zu können.

Ein Beispiel, wie eine als PDF gestaltete Einwilligung aussehen könnte6In diesem Formular müsste die Schule auf der ersten Seite den Namen der Schulleitung ergänzen und auf der zweiten Seite die Kontaktdaten der Schulleitung und des Datenschutzbeauftragten.:

E-Mail – Microsoft Word Dokument

Aus Sicherheitsgründen wird von einer Nutzung dieses Formats abgeraten. Dabei geht es weniger darum, dass die Schule eventuell Betroffene gefährdet, sondern umgekehrt dass das Verwaltungsnetz der Schule durch zurückgeschickte und eventuell infizierte Word Dateien gefährdet wird

Schul App

Schulen, die eine Schul App nutzen, die eine Kommunikation mit den Betroffenen ermöglicht, wie etwa Schulmanger Online, Elternnachricht, Sdui, Schul-Info-App, schul.cloud Pro, Elternportal, SchoolFox Plus, ISY-Schule, Die SchulApp u. Ä. können diese Plattformen zur Übermittlung eines PDF nutzen.

Messenger

Ein PDF könnte auch mit einem sicheren Messenger übermittelt werden, etwa Wire oder Threema7Die Schule sollte mit diesen Anbietern einen Vertrag zur Auftragsverarbeitung abgeschlossen haben.

Hinweis – direktes Einholen Einwilligung online

Logineo NRW erlaubt es, die Einwilligung der Betroffenen direkt bei der Anmeldung an der Plattform einzuholen. Wichtig ist hierbei, dass es sich um eine Einwilligung gegenüber der Schule bzw. Schulleitung handelt, die über den Weg der Plattform eingeholt wird. Auch an anderen Plattformen können Nutzereinwilligungen geholt werden. Diese stellen in der Mehrzahl der Fälle jedoch eine Einwilligung gegenüber dem Plattformbetreiber dar. Das ist nicht gleichzusetzen mit einer Einwilligung gegenüber der Schule. Man sollte hier als Schule genau hinsehen, ob dieses Verfahren den rechtlichen Vorgaben zur Erteilung einer Einwilligung gegenüber der Schule tatsächlich Genüge tut. Genauso müsste mit der Einwilligung gegenüber der Schule auch über die Datenverarbeitung durch die Schule bei Nutzung der Plattform informiert werden. Diese Informationen sind nicht gleichzusetzen mit der Datenschutzerklärung des Anbieters, auch wenn es inhaltliche Überschneidungen gibt.

Andere Bundesländer

Sofern das Schulrecht anderer Bundesländer eine elektronische Einwilligung nicht ausdrücklich ausschließt, können Schulleitungen das Einholen elektronische Einwilligungen probemlos auf Artikel 7 DS-GVO und Erwägungsgrund 32 abstellen. Mit großer Wahrscheinlichkeit finden sich ähnlich wie in Nordrhein-Westfalen auch im jeweiligen Landes Datenschutzgesetz keine Vorgaben zur Form Erfordernis der Einwilligung.

Der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), Dr. Lutz Hasse, hat sich im April 2020 zum Thema geäußert, wonach die Einholung einer Einwilligung nicht in Schriftform erfolgen muss.

„Ebenso muss bei der Einwilligung nach Artikel 7 DS-GVO nicht zwingend der Weg über das „Papier“ gewählt werden. Bei der Einwilligung ist nach Artikel 7 Absatz 2 DSGVO keine Schriftform erforderlich.“

„Einwilligung einholen ohne Papier“ weiterlesen

Veröffentlicht am

Wenn Windows 10 – dann unbedingt die Education Version

Lesezeit: 2 Minuten

Im Januar 2020 stellte Microsoft, wie lange vorher angekündigt, endgültig den Support von Windows 7 ein1Microsoft bietet Kunden allerdings noch bis zu  3 Jahre die Möglichkeit, Updates gegen Gebühr zu erhalten. Problematisch ist jedoch, dass mit der Zeit immer mehr Software nicht mehr sicher auf Windows 7 laufen wird, da die Hersteller den Support ihrer Software für das veraltete System einstellen werden. Dazu gehören auch Virenscanner – siehe auch Windows-7-Support-Ende: Rund 500 Millionen PCs unsicher; abgerufen am 01.02.2020. Schulen, welche dieses mittlerweile über 10 Jahre alte Betriebssystem in Verwaltung und pädagogischem Netz nutzten, sind in der Regel direkt auf Windows 10 umgestiegen, um weiterhin sicher arbeiten zu können. Als dann im letzten Jahr Meldungen aufkamen, dass Windows 10 aufgrund der an Microsoft übermittelten Telemetriedaten nicht datenschutzkonform betrieben werden könne, war die Unsicherheit groß. Im nun vorliegenden 9. Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht für das Jahr 2019 wird jetzt Entwarnung gegeben. Eine von der Datenschutzkonferenz beauftragte Arbeitsgruppe unter Leitung des Bayerischen Landesbeauftragten für den Datenschutz führte im Dezember 2019 unter Beteiligung von Microsoft Mitarbeitern eine Laboranalyse von Windows 10 durch. Getestet wurde die Windows 10 Enterprise Edition (Version 1909). Mit Hilfe der von Microsoft offiziell zur Verfügung gestellten Informationen und Tools wurde das System auf das Telemetrielevel „Security“ eingestellt.

Im Ergebnis konnte so der Nachweis erbracht werden, dass die Übermittlung von Telemetriedaten an Microsoft erfolgreich unterbunden werden kann.2Wie im Bericht erwähnt, wurden in der Konfigurationeinstellung aus Sicherheitsgründen nicht sämtliche Datenabflüsse unterbunden, auch wenn dieses technisch möglich ist. Siehe Seite 22 im Bericht. Im Bericht lautet das Fazit deshalb:

Vom Ergebnis konnte bei diesem Treffen in unserem technischen Labor festgestellt werden, dass die datenschutzrechtlich kontrovers diskutierten Telemetriedaten bei Einsatz der Enterprise Version (und damit auch bei der Education-Version) im überprüften Szenario deaktivierbar sind.

Der Labortest von Windows 10 Enterprise fand unter kontrollierten Bedingungen statt. Im schulischen Alltag findet die Nutzung jedoch in der Regel in einer verwalteten Umgebung statt, da die Windows PCs Teil eines Netzwerks sind. Deshalb ist die Aussage des Bayerischen Landesbeauftragten für den Datenschutz mit einer kleinen Einschränkung versehen.3Es gibt genau genommen noch eine weitere Einschränkung. Die Aussagen im Bericht beziehen sich nur auf das Thema Telemetriedaten. Etwaige andere Datenschutzprobleme, die bei einer Nutzung von Windows 10 auftreten können, sind dabei nicht berücksichtigt. Damit sichert sich der Bayerische Landesbeauftragte für den Datenschutz rechtlich ab.

Sollte sich dieses Ergebnis beim realen Einsatz von Windows 10 bei Unternehmen bestätigen, dann stellt zumindest der Umgang mit Telemetriedaten bei Windows 10 Enterprise (auch in verwalteten Umgebungen) keinen datenschutzrechtlichen Hinderungsgrund eines Einsatzes dieses Betriebssystems dar.

Man dürfte aber wohl davon ausgehen können, dass bei fachmännisch administrierten Windows 10 Education PCs das Laborergebnis replizierbar ist.

Was bedeutet das für Schulen?

Schulen, die Windows 10 einsetzen oder auf diese Version wechseln wollen, müssen eine Education Version nutzen und zwar in der Version 19094Man sollte davon ausgehen können, dass auch künftige Versionen die gleichen Möglichkeiten bieten werden, die Übermittlung von Telemetriedaten an Microsoft zu unterbinden. und müssen diese mittels der von Microsoft bereitgestellten Informationen und Tools auf das Telemetrielevel „Security“ einstellen. Nur dann ist es möglich, die Übermittlung von Telemetriedaten an Microsoft datenschutzkonform zu unterbinden.

Lizenzrechtlich ist es zulässig, Windows 10 Education sowohl im pädagogischen Bereich wie auch der schulischen Verwaltung zu nutzen5Siehe dazu das PDF Microsoft-Berechtigungskriterien für Qualifizierte Nutzer für Forschung & Lehre (EMEA).pdf; abgerufen am 01.02.2020. Dort werden auch „Verwaltungsbüros einer Ausbildungseinrichtung“ als berechtigt aufgeführt. .

Auch beim Einsatz von Microsoft 365 (ehemals Office 365), für welches es bisher leider noch keine vergleichbaren Aussagen der Aufsichtsbehörden gibt, ist für Schulen dringend die Nutzung von Education Versionen zu empfehlen. Genau wie bei Windows 10 bieten nur diese Versionen – neben Enterprise Versionen – die umfangreichsten Möglichkeiten, Einfluss auf die Datenabflüsse an Microsoft zu nehmen. Hinzu kommt noch, dass Microsoft bei den Education Versionen zusätzliche Versicherungen abgibt, Nutzungsdaten nicht zur Profilbildung zu Werbezwecken zu verwenden.

Update 1

Vom Dezember 2020 gibt es bei Heise einen Bericht zum aktuellen Stand der Arbeit der DSK – Datenschützer: Windows-10-Nutzer bei Telemetrie nicht aus dem Schneider. Demnach sind die beiden Versionen Home und Pro weiterhin nicht ohne Übermittlung von Telemtriedaten nutzbar. Die Win 10 Pro Version wird auch in schulischen Verwaltungen eingesetzt. Zu empfehlen ist das nicht. Schulen haben es oftmals nicht in der Hand, da der Schulträger oder der von diesem beauftragte IT Dienstleister die Windows Version bestimmt. Hier sollten Schulleiter deutlich Einspruch erheben.

Update 2

Das BSI stellt seine Sicherheitseinstellungen für Windows 10 jetzt öffentlich zur Verfügung.

Die empfohlenen Konfigurationseinstellungen gibt es als direkt in Windows importierbare Gruppenrichtlinienobjekte (GPO) zum Download.

Stand 05/2021

Veröffentlicht am

Bewerbungsverfahren und Datenschutz

Lesezeit: < 1 Minute

Schulen stellen nicht nur Lehrkräfte ein, welche ihnen von Seiten des Landes zugewiesen werden, sondern führen auch Einstellungen durch im Rahmen von schulscharfen Auswahlverfahren. Bewerber schicken dabei ihre Bewerbungsunterlagen direkt an die Schule. Neben diesem offiziellen Weg landen auch schon einmal Initiativbewerbungen im Schulbüro. Dazu kommen noch Krankheitsvertretungen und Elternzeitvertretungen. Die Bewerbungen können dabei unterschiedliches Format haben. Neben den klassischen Bewerbungsmappen landen auch Bewerbungen in digitaler Form als E-Mail mit Anhang bei den Schulen. Bewerbungs- bzw. Einstellungsverfahren sind Verarbeitungsvorgänge, bei denen es sogar um recht sensible personenbezogene Daten gehen kann.

Wie bei jeder Datenverarbeitung sind Betroffene entsprechend Art. 12 DS-GVO über die Verarbeitung ihrer Daten zu informieren. Das erfolgt am besten, wenn den Bewerbern der Eingang ihrer Bewerbung schriftlich bestätigt wird. Zu berücksichtigen sind entsprechend je nach Bewerber Angaben nach Art. 13 (bezüglich der Bewerbungsunterlagen, die vom Bewerber selbst eingereicht werden) und Art. 14 (bezüglich Unterlagen, die von einer anderen Dienststelle angefordert werden, etwa die Personalakte). Angegeben werden sollten dabei:

  • Art der personenbezogenen Daten: Lebenslauf, Zeugnisse, Qualifikationen, …,
  • Herkunft der personenbezogenen Daten: vom Bewerber eingereicht, von der Schulaufsicht angefordert (z.B. Bezirksregierung),
  • Übermittlung der personenbezogenen Daten: an die am Auswahlverfahren beteiligten Personen, z.B. Mitglieder der Schulleitung, Abteilungsleiter, Fachleiter, Gleichstellungsbeauftragte(r), Mitglied des Personalrates, … und bei einer Einstellung z.B. Schulaufsicht
  • Speicherdauer der personenbezogenen Daten :
    • bei Ablehnung Rückgabe oder Löschung 2 Monate nach Beendigung des Bewerbungsverfahrens (in Orientierung an §15 Abs. 4 AGG)
    • bei einer Einstellung Aufnahme in die Personalakte,
  • Rechte der Bewerber Betroffenenrechte wie z.B. Löschung, Auskunft oder Recht auf Berichtigung).

Weiterlesen:

Veröffentlicht am

Tipps zur Datensicherheit auf privaten Endgeräten überarbeitet

Lesezeit: < 1 Minute

Die Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken ist nun schon über ein Jahr verbindlich vorgegeben für Lehrkräfte in NRW. Für viele Lehrkräfte ist die Situation bezüglich der Verarbeitung von personenbezogenen Daten von Schülern auf eigenen Geräten noch immer nicht zufriedenstellend geklärt. An einigen Schulen geht auch jetzt noch nichts. Entweder die Schulleitungen verweigern die Unterschrift unter die Genehmigung oder die Lehrkräfte wollen sie nicht einholen. Man darf deshalb gespannt sein, ob es mit der anstehenden Änderung in §§120-22 SchulG NRW und dem finalen Rollout von Logineo NRW noch einmal Änderungen am Genehmigungsformular geben wird. Änderungen sind durchaus möglich, da der Genehmigungsvordruck noch immer in der Kritik steht, vor allem bezüglich des Haftungspassus, und das MSB zum anderen bestrebt sein dürfte, weitere personenbezogene Daten zur Verarbeitung auf privaten Endgeräten zuzulassen1Letzteres ist eine Vermutung, die vor allem auf der Entwicklungsgeschichte von Logineo NRW beruht. Der Daten Safe kann ohne eine Erweiterung der für eine Verarbeitung auf privaten Endgeräten zugelassenen Daten nie im geplanten Sinne genutzt werden und wäre damit als Konstrukt mehr oder weniger hinfällig..

Auch wenn noch immer Schulen und Lehrkräfte die Genehmigung verweigern, so gibt es doch auch solche, die dann irgendwann doch den Schritt gehen und die Genehmigung geben bzw. einholen. Die Tipps helfen dabei, die in Teil B – Datensicherheit der Genehmigung geforderten Maßnahmen zum Schutz der auf dem privaten Endgerät verarbeiteten Daten zu gewährleisten. Da sich seit der Erstellung der Tipps Anfang 2018 wieder einiges getan hat bei den großen Betriebssystemen – Windows, Mac OS, Linux, iOS und Android2Chrome OS fehlt hier, da dieses Betriebssystem komplett Cloud basiert ist und eine Nutzung für die Verarbeitung von personenbezogenen Daten aus der Schulverwaltung gegenwärtig aus datenschutzrechtlicher Sicht nicht vertretbar ist. – gibt es die Tipps jetzt in einer aktualisierten Version.

Veröffentlicht am

Lehrer- und Funktionskonten immer mit #2FA sichern

Lesezeit: 7 Minuten

Lehrkräfte haben in Schule immer auch Zugriff auf die personenbezogenen Daten von Schülerinnen und Schülern und deren Erziehungsberechtigten. Für die Arbeit im Verwaltungsbereich und im Unterricht sollten sie zwei verschiedene Konten haben, und diese sollten vor unberechtigtem Zugriff geschützt sein. Oftmals entsprechen aus praktischen Gründen die Anmeldenamen der E-Mail Adresse eines Nutzers, auch wenn aus Datenschutzgründen ein Anmeldename zu empfehlen wäre, welcher sich nicht einfach erraten bzw. ableiten lässt. Die Zugriffssicherheit eines Nutzerkontos ist an vielen Schulen damit bereits an einer Stelle beeinträchtigt. Umso wichtiger ist der Schutz durch ein Geheimnis, das Passwort. Dieses sollte definitiv nicht einfach zu erraten sein. Was aber, wenn der Nutzer das Passwort auf der Umschlagseite im Lehrerkalender notiert, um es immer parat zu haben? Das kommt öfter vor, als man denkt. Schüler können so sehr einfach Passwörter ihrer Lehrkräfte ausspähen. Vor allem bei Plattformen, welche über das Internet erreichbar sind, kann solches Verhalten schnell zum Sicherheitsrisiko werden, wenn der Zugangs ausschließlich durch ein Passwort gesichert wird.

Ein Fall Passwort Diebstahl von November 2018 (im August 2019 in der Presse) zeigt einmal mehr, wie wichtig es ist, sich zum Schutz von Nutzerkonten nicht auf ein Passwort alleine zu verlassen. Im angesprochenen Fall waren an einem Darmstädter Gymnasium Lehrer Passwörter für Office 365 über ein fingiertes E-Mail gestohlen worden. Durch diesen Phishing Angriff waren die Zugangspasswörter von etwa 20 – 30 Lehrkräften in falsche Hände geraten und den Dieben stand der Zugriff auf die Konten und die darin verarbeiteten personenbezogenen Daten offen.

Wie kann eine Schule den Schutz von Lehrer- und Funktionskonten verbessern?

Sichere Passwörter

Zunächst einmal sollten Passwörter selbst sicher sein. Im Fall des Gymnasiums von Darmstadt hätte dieses alleine zwar nicht geholfen, doch trotzdem soll hier kurz darauf eingegangen werden, wie man an der Schule für sichere Passwörter sorgen kann.

Vorgabe von Passwortrichtlinien

Passwörter sollten eine durch das System bzw. die Plattform oder das Programm vorgegebene Komplexität haben. Sie müssen deshalb trotzdem nicht schwierig zu merken sein. Über eine Vorgabe zum Aufbau von Passwörtern in Form einer Passwortrichtlinie lässt sich verbindlich regeln, wie lang ein Passwort mindest sein muss und welche Art von Zeichen enthalten sein müssen. In größeren Plattformen lassen sich diese Vorgaben als Passwortrichtlinien definieren. Die Plattform vergleicht vom Nutzer angelegte Passwörter anhand dieser Richtlinie und weist Passwörter, welche der Richtlinie nicht entsprechen, zurück.1Siehe hierzu auch die Empfehlungen des BSI zum Thema Passwörter. Eine Passwortrichtlinie sollte auch vorgeben, dass ein Passwort nie für mehr als eine Anwendung oder Plattform genutzt werden darf.

Kontrolle der Passwortkomplexität

Einige Plattformen erlauben es, die Komplexität von Passwörtern durch einen Administrator überprüfen zu lassen. Hierzu werden vom System Passwörter hervorgehoben, welche zwar der Richtlinie entsprechen, dabei aber nur eine geringe Komplexität haben. Die eigentlichen Passwörter werden dabei, um den Schutz der personenbezogenen Daten des Nutzers zu wahren, nicht angezeigt, sondern nur das Ergebnis aus der Bewertung mittels eines Algorithmus. Ermittelt der Administrator ein schwaches Passwort, kann er über das System den Nutzer zum Erstellen eines neuen Passwortes beim nächsten Anmelden auffordern.

Nutzung eines Passwortmanagers

Eine einfache Möglichkeit, sehr komplexe Passwörter zu erstellen, die man sich nicht merken muss, sind sogenannte Passwortmanager. Darunter versteht man Anwendungen, welche die Login Informationen geschützt aufbewahren. Viele dieser Anwendungen nehmen weitere wichtige Informationen auf, die vor fremdem Zugriff geschützt werden sollen. Funktionsreiche Passwortmanager erlauben eine Nutzung von verschiedenen Endgeräten aus. Der Passwortsafe der Anwendung liegt dazu entweder in einer Cloud des Anbieters oder einem anderen über das Internet zugänglichen Speicher. Geschützt wird der Passwortsafe durch ein Masterpasswort. An Geräten mit Fingerabdrucksensor kann der Zugriff auf den Passwortsafe auch damit zusätzlich geschützt werden. Neben dem Erstellen von sicheren Passwörtern erlauben viele Passwortmanager auch das automatische Ausfüllen von Login Informationen beim Besuch von Webseiten oder Öffnen von Apps, die einen Login bzw. Entsperren erfordern. Auch Browser enthalten (einfache) Passwortmanager und bieten so beim Erstellen neuer Logins eine Speicherung zum bequemen Login an. Von der Nutzung der in Browser integrierten Passwortmanager wird generell abgeraten, zumindest wenn es um die Speicherung der Zugangsdaten von Websiten mit persönlichen Daten geht.

So gut und nützlich Passwortmanager auch sind, sie haben einen Schwachpunkt, das Masterpasswort. Dieses muss deshalb sehr komplex sein und besonders gut geschützt werden.2Bei Programmen, welche eine Sicherung des Passwortsafes über ein biometrisches Datum wie einen Fingerabdruck zulassen, kann das Masterpasswort so komplex gestaltet werden, dass es nur schwierig auswendig zu lernen ist. Man kann es dann in einem Safe auf Papier hinterlegen. Achtung! Viele Passwortmanager fordern das Masterpasswort nach einem Neustart des Programms oder Endgerätes an, bevor die Nutzung etwa des Fingerabdrucks wieder aktiviert wird. Das kann im Unterricht dann zum Problem werden, wenn man dann das Masterpasswort nicht zur Hand hat.

Zwei-Faktor-Authentifizierung (2FA)

Das beste Passwort schützt in dem Moment nicht mehr, wo es in fremde Hände fällt. Eine weitere Möglichkeit, den Zugriff auf sensible Daten zu schützen, ist die Absicherung mit einem zweiten Geheimnis. Man spricht hier von einer Authentifizierung mit zwei Faktoren, wobei der erste Faktor das eigentliche Passwort ist, man zum Login erstellt hat. Teilweise wird diese Art der Absicherung eines Logins auch als two-step verification (2-Schritt Verifizierung) bezeichnet. Der zusätzliche Schutz der 2FA besteht nicht alleine im zweiten Faktor bzw. Schritt, sondern auch darin, dass keine Notwendigkeit besteht, sich ein weiteres Passwort zu merken. Es gibt auch kein Passwort, welches Fremde ausspähen können.3Im Prinzip ist es durchaus möglich, bei einigen Verfahren  der Erzeugung bzw. Übermittlung des zweiten Schlüssels, diesen abzufangen und zu missbrauchen. Dieses ist jedoch technisch aufwändig und im Bereich Schule eher unwahrscheinlich. TAN Listen würden ebenfalls in die Kategorie der 2FA fallen und diese könnten ausgespäht werden. Sie sind mittlerweile aber kaum noch zu finden und kommen in schulischen Anwendungen nicht zum Einsatz. Ein weit verbreitetes Verfahren für 2FA ist die Erzeugung eines Passwortes bzw. Schlüssels für jeden neuen Login als ein Einmal-Passwort (engl. one-time password, OTP). Da das Thema 2FA sehr komplex ist und verschiedene Verfahren kennt, sollen hier nur die gängigsten für den schulischen Einsatz relevanten Verfahren kurz beschrieben werden.

OTP Token

OTP Token gibt es von verschiedenen Herstellern. Sie kosten etwa ab 12 € aufwärts, wenn sie in größeren Stückzahlen abgenommen werden. Die Token haben eine Schlüsselnummer, welche bei der Anwendung oder Plattform zunächst im Konto des Benutzers registriert werden muss. Ab dem Zeitpunkt, wo 2FA aktiviert ist, wird beim Login nach korrekter Eingabe des Passwortes ein OTP abgefragt. Dieses wird auf Knopfdruck vom Token erzeugt und muss händisch eingegeben werden, um den Login abzuschließen.

Bildquelle: Wikipedia, Mateusz Adamowski, CC BY 1.0
Authenticator App

Die Erzeugung eines Einmal-Passwortes für 2FA ist auch über sogenannte Authenticator Apps möglich. Ein Beispiel dafür ist die App Google Authenticator. Auch wenn diese App von Google zur Verfügung gestellt wird, kann sie einmalige Passwörter für verschiedene Anwendungen und Plattformen liefern. Wie ein OTP Token muss die Authenticator App dazu zunächst mit dem Nutzerkonto gekoppelt werden. Im Zuge der Registrierung erhält die App von der Plattform einen geheimen Schlüssel, den sie sicher speichert. Die Übermittlung kann z.B. per SMS erfolgen oder über einen QR Code. Nach erfolgreicher Registrierung der App an der Plattform, ist der Zugang durch 2FA gesichert. Nach dem Login mit dem Passwort, wird das OTP abgefragt. Das App wird am Smartphone gestartet und ein Passwort erzeugt, welches dann händisch eingegeben wird, z.B. am Computer. Die Eingabe muss innerhalb eines vorgegebenen Zeitfensters erfolgen, da die erzeugten Passwörter  zur Sicherheit einen Zeitcode mitbekommen und nur begrenzte Gültigkeit haben.

Security Key

Die sogenannten Security Keys, im Bild von französischen Hersteller Yubico und von Google4Der Google Security Key ist Stand 03/2020 auch in Deutschland erhältlich – https://store.google.com/product/titan_security_key , müssen ebenfalls an der Plattform im Nutzerkonto registriert werden. Die Nutzung setzt hier eine physikalische Verbindung zwischen dem Key und dem Endgerät voraus, über USB, Bluetooth oder NFC. Je nach Verfahren werden die Kopfdruck oder bei Berühren des Keys erzeugt und direkt an die  Plattform übertragen. Auch bei diesen Verfahren ist die Gültigkeit der einmalig erzeugten Passwörter in der Regel zeitlich begrenzt.

Flickr, Tony Webster, CC-BY 2.0.

 

SMS und andere

Auch SMS  werden für 2FA Verfahren genutzt. Im schulischen Bereich dürfte dieses Verfahren jedoch eher nicht zu finden sein. Bei diesem Verfahren muss zunächst die Mobilnummer im Nutzerkonto der Plattform registriert werden. Gleiches dürfte für Verfahren gelten, die mittels App und von der Plattform angezeigtem QR Code arbeiten oder mit Kartenlesern und Scheckkarten. Möglich sind außerdem Verfahren, die NFC nutzen, die mittels Security Keys oder Smartphones angewandt werden. Modernere Android Smartphones können selbst als Security Keys eingesetzt werden.

2FA in Abhängigkeit von Plattform & Endgerät!

Will man die Zugänge von Lehrkräften durch 2FA besser sichern, sollte man vorher genau recherchieren, welches Verfahren die Plattform, um die es geht, unterstützt. Neben OTP gibt es beispielsweise auch noch U2F (Universal 2 Factor Authentication). Nicht jeder Anbieter hat die Nutzung von allen Formen von 2FA implementiert. Je nach Anbieter kann sich auch das Verfahren der Registrierung des Mediums unterscheiden, welches den 2. Schlüssel erzeugt. Setzt dieses etwa das Einlesen eines QR Codes voraus, scheiden Geräte ohne Kamera aus. Und nicht jede der oben vorgestellten Möglichkeiten unterstützt jedes 2FA Verfahren. So sind einige Security Keys in der Lage OTP zu erstellen, andere nicht. Die meisten Anbieter empfehlen bestimmte Hardware oder Apps für eine 2FA an ihrer Plattform. Daran sollte man sich orientieren. Zu berücksichtigen ist unter Umständen auch die Hardware der eingesetzten Endgeräte, also PC, Laptops, Tablets usw.. Welche Schnittstellen sind vorhanden? Gibt es USB oder USB-C Anschlüsse? Sind diese Anschlüsse aktiviert oder gesperrt?

Die Nutzung von Security Keys für 2FA wird von Windows, Mac OS, Linux, Chrome OS und seit iOS 13.35Das Update auf iOS 13.3 ist seit Mitte Dezember 2019 verfügbar. auch von neueren iOS Geräten unterstützt. Für iOS Geräte mit Lightning Port hat Yubico einen speziellen Security Key herausgebracht. Dieser unterstützt auch USB C.

Sicherheit geht vor Bequemlichkeit

Auch wenn die Nutzung von 2FA Verfahren zusätzlichen Aufwand für den Nutzer bedeutet, so sollte die Sicherheit eindeutig vorgehen. Wie Fälle aus der Vergangenheit und der Fall des Darmstädter Gymnasiums zeigen, sind auch sichere Passwörter keine Garantie für einen verlässlichen Schutz von Zugängen. Gelangen Passwörter durch die Unachtsamkeit oder Diebstahl in fremde Hände, können Dritte personenbezogene Daten auslesen, löschen, manipulieren oder gar veröffentlichen. Immer wenn es um Zugänge geht, bei denen sensiblere personenbezogene Daten verarbeitet werden, sollten die Konten von Lehrkräften und Funktionsträgern durch 2FA zusätzlich geschützt werden. Bei einem LMS, einem Schulserver oder einer Plattform wie Office 365 oder G Suite for Education muss ein solcher Schutz für Lehrerkonten nicht unbedingt erforderlich sein. Sobald auf der Plattform jedoch auch Leistungsbewertungen verarbeitet werden, sollten die Zugänge der Lehrkräfte zusätzlich abgesichert werden. Auch Plattformen mit Klassenbuchfunktion und der Verwaltung von Fehlstunden brauchen einen zusätzlichen Schutz. Dieser Schutz ist vor allem dann wichtig, wenn über einen Browser zugegriffen werden kann. Apps auf Mobilgeräten müssen meist zusätzlich im Nutzerkonto der Plattform autorisiert werden, so dass hier der Schutz über den Zugangschutz zum Endgerät selbst und ein einfaches Passwort gewährleistet werden muss. Lehrkräfte mit Administrationsrechten sollte für diese Funktion immer ein separates Konto haben und der Zugang dazu sollte zusätzlich über 2FA gesichert werden.

Empfehlung:
Nutzerzugänge von Lehrkräften zu Plattformen, in welchen sensiblere personenbezogene Daten verarbeitet werden, sollten immer mit 2FA gesichert werden.

Maßnahmen zum Schutz von Zugängen sollten im Sicherheitskonzept der Schule dokumentiert sein. Siehe dazu auch Sicherheitskonzept.

Welche Maßnahmen man außerdem ergreifen kann, um den Zugriff auf Systeme und Plattformen zu schützen, erläutert umfangreich der Beitrag Passwörter und Zugriffsschutz.

Stand 03/2020

Veröffentlicht am

Datenschutz im Klassenraum

Lesezeit: 2 Minuten

Ein guter Hinweis von Corinna Lammert auf Twitter. Viele Schulen fungieren während Wahlen als Wahllokale. Das bedeutet, es kommen viele Menschen in die Klassenzimmer, in welchen die Stimmbezirke ihre Wahlurnen aufgestellt haben. Viele dieser Menschen mögen die Kinder kennen, in deren Klassenraum sie ihre Stimme abgeben. Trotzdem haben sie damit kein Anrecht darauf, Einblick in persönliche Informationen aus der Schule zu nehmen. Selbst Informationen, die harmlos erscheinen, können durchaus mehr über eine Person sagen, als man zunächst vermutet. Ein Foto im Klassenraum der 2a kann einem Nachbarn, der das vielleicht nicht weiß, die Information geben, dass ein Kind eine Klassen wiederholt. Entsprechend fordert Frau Lammert richtig:

„Liebe Wahlämter, informiert doch bitte die Schulen, in denen gewählt wird, über notwendige Maßnahmen zum Datenschutz am Wahltag. Korrigierte Tests und Fotowände mit Namen und Geburtstagen dürfen nicht für alle Wähler*innen am Wahltag einsehbar sein.“

Es kommen natürlich auch andere Personen in den Klassenraum, vom Hausmeister bis zu den Reinigungskräften. Diese Personen werden in der Regel durch ihren Arbeitgeber zur Verschwiegenheit verpflichtet. Möglicherweise sensible Informationen sollten jedoch trotzdem grundsätzlich nicht offen herumliegen, so etwa Tests und Klassenarbeiten, vor allem wenn sie bewertet sind, denn es gibt durchaus auch Situationen, in welchen andere Personen in die Klassenräume kommen, etwa Handwerker.

Auch wenn Lehrkräften im hektischen Alltag in der Schule oft die Zeit fehlt am Ende einer Stunde oder des Schultages, Materialien in Schränke und Schubladen zu verstauen, so sollte man Materialien mit möglicherweise sensiblen Informationen zumindest umdrehen oder abdecken, so dass der Inhalt nicht direkt offensichtlich ist. In der Regel reicht dieses bei vielen Materialien als Schutz in der Klasse oder im Lehrerzimmer bereits aus. Wirklich sensible Informationen hingegen sollten nie offen zugänglich bleiben!

Ein Wahltag kommt selten vor und ein Hinweis vorab wäre in der Tat angebracht, denn nicht jede Lehrkraft weiß, dass ihr Klassenraum als Wahllokal dient, vor allem wenn die Lehrkräfte ortsfremd sind. Fotowände in der Klasse könnte man dann eben mit einem Tuch abhängen.

Weitere Informationen zu technischen und organisatorischen Maßnahmen zum Schutz von personenbezogenen Daten in der Schule finden sich unter Technische und organisatorische Maßnahmen.

Veröffentlicht am

Antolin & Datenschutz

Lesezeit: 2 Minuten

Antolin Raabe

Vor allem an Grundschulen beliebt ist die Online Plattform zur Förderung der Lesekompetenz, Antolin. Betrieben wird die Plattform von der Westermann Verlagsgruppe, und da auf der Plattform Nutzerdaten von Schülern und Lehrkräften erhoben und verarbeitet werden, wird entsprechend Art. 28 DS-GVO ein Vertrag zur Auftragsverarbeitung (AVV)1Aktuell (Stand 11.05.2019) finden sich einige kleine Fehler im AVV. So sind dort beispielsweise die Lehrkräfte nicht berücksichtigt und es fehlen Angaben zu den Löschfirsten durch Westermann selbst, nachdem die Schule einen Benutzer gelöscht hat. angeboten. Diesen müssen Schulen mit Westermann abschließen, um das Angebot datenschutzkonform an der Schule nutzen zu können. Oftmals erwerben Schulträger eine Lizenz für alle ihre Grundschulen. Damit sind sie Vertragspartner/ Lizenznehmer von Westermann. Trotzdem muss jede Schule einen eigenen AVV mit Westermann abschließen.

Wichtig ist dabei, dass die Schulleitung in Person den AVV abschließt und selbst unterschreibt. Dieses kann nicht von Lehrkräften übernommen werden!

Der unterschriebene AVV wird dann an Westermann geschickt, dort gegengezeichnet und ist damit gültig. Die Kopie, welche man zurück erhält, gehört zur Dokumentation des Verfahrens im Verzeichnis der Verarbeitungstätigkeiten. Für dieses braucht die Schule eine Beschreibung der Verarbeitungstätigkeit Antolin.

Außerdem ist es erforderlich, die Einwilligungen der Betroffenen einzuholen, da mit der Nutzung von Antolin personenbezogene Daten verarbeitet werden, deren Verarbeitung nicht auf der Grundlage des Schulgesetzes entsprechend Art. 6 lit. e legitimiert ist. Einwilligen müssen nicht nur die Schüler, sondern auch die Lehrkräfte, da auch deren Daten in Antolin verarbeitet werden, wenn sie als Nutzer dort angelegt werden und anschließend ihre Schüler in der Plattform betreuen. Sie kommentieren, stellen Quiz-Fragen und es fallen Nutzungsdaten an.

Als Hilfe gibt es für Schulen, die Antolin nutzen drei Vorlagen. Diese finden sich sonst auch im Bereich der Downloads.

Schulen, die andere Angebote von Westermann nutzen wie z.B. Zahlenzorro,  Bumblebee oder Grundschuldiagnose können diese Vorlagen leicht anpassen.

Veröffentlicht am

Fax bietet keine ausreichende Sicherheit für sensible Daten

Lesezeit: 2 Minuten

Dass auch Fax ein Datenschutz Thema sein kann, ist vermutlich den wenigsten bewusst. Immerhin gilt Fax bisher als zuverlässig, sicher und echt. Mit dem Wandel der Kommunikationstechnologie zu IP basierten Systemen, hat sich auch die Technologie verändert, über welche Faxe übermittelt werden. Beim Endanwender hat sich nichts geändert, doch wie auch beim Telefonieren wurde die zugrundeliegende Technik auf Digitaltechnik umgestellt. Alles läuft jetzt quasi durch das Internet. Entsprechend wies jetzt die Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) von Bremen in ihrem 1. Jahresbericht 1 Download Link zum 1. Jahresbericht als PDF auf die sich dadurch ergebenden Sicherheitsprobleme bei der Übermittlung von personenbezogenen Daten per Fax hin.

„Nach Ermittlung des Schutzbedarfs der zu übermittelnden Daten und einer Analyse der Risiken der Verarbeitung sind für Übertragungsverfahren Sicherheitsmaßnahmen wie beispielsweise die in Artikel 32 Absatz 1 Buchstabe a Datenschutzgrundverordnung (DSGVO) explizit genannte Verschlüsselung zu ermitteln und umzusetzen. Hierbei ist zu beobachten, dass die Übermittlung per Fax inzwischen wie die Übermittlung durch eine unverschlüsselte E-Mail bewertet werden muss, weil beide Verfahren inzwischen IP-basierte Telekommunikationsnetze nutzen.“

Oftmals laufen Faxe auch nicht mehr auf einem Faxgerät auf, wie der Bremer LfDI in seinem zweiten Bericht erläutert, sondern werden als E-Mail an den Empfänger weitergeleitet2„Zudem kann nicht mehr davon ausgegangen werden, dass an der Gegenstelle der Faxübertragung auch ein reales Fax-Gerät existiert. Meist werden Systeme genutzt, die ankommende Faxe automatisiert in eine E-Mail umwandeln und diese dann an bestimmte E-Mail-Postfächer weiterleiten.“ 2. Jahresbericht Datenschutz.pdf So kommt der LfDI Bremen zum Schluss:

„Aufgrund dieser Umstände hat ein Fax hinsichtlich der Vertraulichkeit das gleiche Sicherheitsniveau wie eine unverschlüsselte E-Mail (welche oftmals mit der offen einsehbaren Postkarte verglichen wird). Fax-Dienste enthalten keinerlei Sicherungsmaßnahmen um die Vertraulichkeit der Daten zu gewährleisten. Sie sind daher in der Regel nicht für die Übertragung personenbezogener Daten geeignet.“

„In der Regel“ heißt, dass Ausnahmen möglich sind. Welche dieses sein könnten, wird aber nicht erwähnt. Ganz deutlich wird der LfDI Bremen jedoch, wenn es um Daten besonderer Kategorien nach Art. 9 Abs. 1 DS-GVO geht. Eine Übertragung mittels Fax-Diensten hält er für unzulässig.3„Für die Übertragung besonderer Kategorien personenbezogener Daten gemäß Artikel 9, Absatz 1 der Datenschutzgrundverordnung ist die Nutzung von Fax-Diensten unzulässig.“ 2. Jahresbericht Datenschutz.pdf, Seite 29 Das lässt vermuten, dass eine Ausnahme dann möglich sein könnte, wenn es wenig sensible Daten übertragen werden sollen oder diese vielleicht pseudonymisiert sind.

Die DS-GVO verpflichtet Verantwortliche, bei einer Übermittlung von personenbezogenen Daten dem Schutzbedarf und den möglichen Risiken angemessene Maßnahmen zu treffen, um die Sicherheit der Verarbeitung bzw. Übermittlung zu gewährleisten. Bei E-Mails kann dieses z.B. durch Verschlüsselung erfolgen. Fax bietet solche Möglichkeiten nicht und sollte aus diesem Grund nicht zur Übermittlung von personenbezogenen Daten mit einem erhöhten Schutzbedarf genutzt werden.

Eine Übermittlung per Fax ist nicht sicherer als eine ungesicherte Übermittlung per E-Mail. Schulen und Schulämter sollten dieses in Zukunft unbedingt beachten, denn gerade zwischen diesen werden oft höchst sensible Informationen über Fax ausgetauscht.