Kategorie: Datenschutz Tipps

Empfehlung zur Konfiguration von iPads für Lehrkräfte

Lesezeit: 2 Minuten

Leihgeräte für Lehrkräfte heißt die zweite Zusatzvereinbarung zum Digitalpakt und ermöglicht mit rund 500 € je Lehrkraft die Beschaffung von digitalen Endgeräten. In NRW begann man schon vor Eintreffen dieser Gelder mit der Beschaffung von dienstlichen Endgeräten. In vielen Kommunen wurden einheitlich iPads für alle Lehrkräfte beschafft und selbst in Kommunen, wo man den Lehrkräften die Wahl ließ, gab es mit einem Mal eine große Zahl von iPads, die zu verwalten waren. Die Erfahrungen in den kommunalen IT Abteilungen und bei beauftragten Dienstleistern mit der Verwaltung von iPads über MDM ist in vielen Fällen begrenzt. Verwaltet wurden bisher überwiegend iPads für Schülerinnen und Schüler. In NRW gibt BASS 2020/2021 – 11-02 Richtlinie über die Förderung von dienstlichen Endgeräten für Lehrkräfte an Schulen in Nordrhein-Westfalen den Rahmen vor, wie die Geräte zu verwalten sind und genutzt werden können. Das Problem hierbei ist, in den rechtlichen Vorgaben werden nur sehr grobe Parameter vorgegeben. Dazu gehört, dass die Geräte die Schulen, das meint hier die Lehrkräfte, “bei der rechtssicheren Arbeit mit personenbezogenen Daten nach den Vorgaben der §§ 120 bis 122 des Schulgesetzes NRW und der Verordnung für die zur Verarbeitung zugelassenen Daten von Schülerinnen, Schülern und Eltern (VO-DV I) und der Verordnung über die zur Verarbeitung zugelassenen Daten der Lehrerinnen und Lehrer (VO-DV II)” unterstützen sollen.

Damit das möglich ist, müssen die dienstlichen iPads über das MDM so gesteuert werden, dass bei der Verarbeitung von personenbezogenen Daten auf dem Gerät die Vorgaben von Art. 5 lit. f DS-GVO eingehalten werden können. Es geht dabei vor allem um den Schutz und die Sicherheit der Verarbeitung. Unbefugte dürfen keinen Zugriff auf die Daten erhalten, nicht um sie auszulesen, zu übermitteln oder zu verändern, noch um sie zu löschen. Daten dürfen nicht unkontrolliert vom Gerät abfließen.

iOS bietet im in Verbindung mit iCloud Diensten eine Vielzahl von Funktionen, welche die Arbeit mit einem iPad unterstützen. iPads sind in aller erster Linie Consumer Geräte, werden aber auch in der Wirtschaft, in Verwaltung und in Schulen eingesetzt. Deshalb stellt Apple für iOS Möglichkeiten bereit, über welche sich diese Funktionen sowie das Zusammenspiel von iPad und iCloud steuern lässt.

Das Problem, vor welchem man nun bei der Konfiguration und Steuerung der dienstlichen iPads steht, ist die Auswahl der “richtigen” Einschränkungen. Welche Funktionen müssen eingeschränkt und welche dürfen zugelassen werden? Soll man die Nutzung einer privaten Apple ID auf dem dienstlichen iPads gestatten oder ist dieses zu riskant? Die folgende Empfehlung soll eine Orientierung geben und als Grundlage dienen, hier Entscheidungen zu treffen.

Empfehlungen für die Konfiguration und Verwaltung von dienstlich genutzten iPads

Kurzübersicht der empfohlenen Einschränkungen

 

Bitte beachten Sie, dass verfügbare Einschränkungen (engl. payloads) sich von MDM zu MDM etwas unterscheiden. Diese Empfehlung nutzt die in JamfSchool verfügbaren Einschränkungen. Mit größeren Updates können sich verfügbare Einschränkungen verändern, neue hinzu kommen, alte verschwinden. Die Empfehlungen werden nach Möglichkeit zügig angepasst, wenn es Veränderungen gibt, welche Auswirkungen haben auf Datenschutz- und Sicherheit. Achten Sie deshalb auf die Versionsnummer des Dokuments.

Einwilligung einholen ohne Papier

Lesezeit: 7 Minuten
Mit der Änderung der VO-DV I wird es 2021 auch eine Anpassung zum Einholen der Einwilligung geben. Die elektronische Einwilligung als Ausnahme, wird dann auch dort Vergangenheit sein. An den Aussagen dieses Beitrags ändert das nichts, da die bisherige Einschränkung in der VO-DV I seit Beginn der Umsetzung der DS-GVO bereits keine praktische Auswirkung mehr hat.

Ausgangslage

Bisher haben Schulen Einwilligungen in die Verarbeitung von personenbezogenen Daten, für die es keine Rechtsgrundlage aus dem SchulG NRW gibt, überwiegend in Papierform eingeholt. Das liegt zum einen daran, dass die elektronische Einwilligung bisher eher als Ausnahme gesehen und deshalb vermieden wurde, und zum anderen an den fehlenden Möglichkeiten dazu. Aber es geht auch anders, denn weder die DS-GVO noch das Schulrecht in NRW untersagen sie. Bisher ging es bei der Möglichkeit der elektronischen Einwilligung vor allem um die Einwilligung bei Online Plattformen. Entsprechend betrachten Rechtstexte das Thema der elektronischen Einwilligung vor allem mit Bezug auf diesen Anwendungsfall.

Elektronische Einwilligung im Schulrecht NRW

In der §3 Abs. 2  VO-DV I heißt es zur elektronischen Einwilligung (in die Verarbeitung von personenbezogenen Daten):

“(2) Nicht in den Anlagen aufgeführte Daten dürfen nur erhoben werden, wenn die oder der Betroffene eingewilligt hat. Die Einwilligung ist schriftlich gegenüber der Schulleitung zu erklären. Sofern dies wegen besonderer Umstände angemessen ist, kann die Einwilligung ausnahmsweise in elektronischer Form erfolgen. Dabei sind die Grundsätze des § 13 Absatz 2 des Telemediengesetzes vom 26. Februar 2007 (BGBl. I S. 179), das zuletzt durch Artikel 1 des Gesetzes vom 21. Juli 2016 (BGBl. I S. 1766) geändert worden ist, zu erfüllen.”

Die Vorgabe zur Erfüllung der Grundsätze des § 13 Absatz 2 des Telemediengesetzes hat damit zu tun, dass sich diese Aussage vor allem auf Online-Plattformen bezieht. Hintergrund bei der Ausgestaltung der Passage der VO-DV I war, dass man eine Möglichkeit schaffen wollte, wie Nutzer online ohne den Zwischenschritt Papier in die Datenverarbeitung durch die Online Plattform Logineo NRW einwilligen können. 1In der Begründung zum vorangegangenen Entwurf zur Änderung der VO-DV I 2016 (Stand: 18.10.2016) heißt es:
“Die Abgabe der erforderlichen Einwilligung zur Datenverarbeitung soll ausnahmsweise auch elektronisch ermöglicht werden. Dabei sind die Standards des Telemediengesetzes einzuhalten. Die elektronische Einwilligung ist z.B. aus verwaltungsökomischen Gründen erforderlich zur gemeinsamen Nutzung einer IT- Basisstruktur. Der Prozess entspricht der üblichen Vorgehensweise bei der Zustimmung z.B. zu AGBs für die Nutzung von Diensten und Anwendungen im Netz: Bei Erstanmeldung an LOGINEO NRW werden die Nutzungsbedingungen angezeigt. Eine Zustimmung muss durch aktives Anklicken erfolgen, wobei dann Datum und Uhrzeit im Profil des Nutzers I der Nutzerin protokolliert werden. Zusätzlich können Nutzerinnen und Nutzer uneingeschränkt über die Internetseiten von LOGINEO NRW vorab auf die Nutzungsbedingungen zugreifen. Nach Anmeldung sind sie zudem ständig über einen Link im Nutzerprofil aufrufbar. Ein Widerruf der Einwilligung ist
jederzeit möglich und führt zur Deaktivierung des Accounts.” Dabei orientierte man sich an einer Stellungnahme der LDI NRW2Der Hintergrund zu dieser Regelung ist eine Stellungnahme der LDI NRW zu den geplanten Änderungen der VO-DV I vom 26. Juni 2016. Dort heißt es entsprechend:
Ҥ3 Datenerhebung, Berichtigung, Auskunft, Einsicht in Akten
Die Möglichkeit, eine elektronische Einwilligung nach § 13 Abs. 2 TMG zu erteilen, ist nur dann eine gangbare Alternative zur grundsätzlich schriftlich zu erteilenden Einwilligungserklärung, wenn der Anwendungsbereich des TMG eröffnet ist. Dies ist gemäß § 1 Abs. 1 TMG der Fall, wenn es sich um Telemedien, also alle elektronischen Informations- und Kommunikationsdienste handelt. In allen anderen Fällen bleibt es bei dem grundsätzlichen Schriftformerfordernis (vgl. § 4 Abs. 1 S. 3 DSG NRW). Da die Schule unter den o.g. Anforderungen kein Anbieter von Telemedien ist, ist eine elektronische Einwilligung in direkter Anwendung des § 13 Abs. 2 TMG nicht möglich.

Im Einzelfall kann vom Schriftformerfordernis abgewichen und eine Einwilligung auf elektronischem Wege eingeholt werden, wenn gemäß § 4 Abs. 1 S. 3 DSG NRW wegen besonderer Umstände eine andere Form angemessen ist. Wenn dies von der Schulleiterin oder dem Schulleiter konkret festgestellt worden ist, sollte sich die Ausgestaltung einer elektronischen Einwilligung an den inhaltlichen Vorgaben des § 13 Abs. 2, 3 TMG orientieren.”.

Die VO-DV I geht von der Schriftform als Normalfall aus, räumt Schulen jedoch die Möglichkeit ein, bei Vorliegen besonderer Umstände Einwilligungen ausnahmsweise auch elektronisch einzuholen. In den Überlegungen, die zur oben zitierten Formulierung der Ausnahme in der VO-DV I führten, war “Die elektronische Einwilligung ist z.B. aus verwaltungsökomischen Gründen erforderlich zur gemeinsamen Nutzung einer IT- Basisstruktur.”3Begründung zum vorangegangenen Entwurf zur Änderung der VO-DV I 2016 (Stand: 18.10.2016) Man wollte mit der Regelung eine Möglichkeit schaffen, den Einwilligungsvorgang für Schulen mit geringerem Aufwand zu organisieren. Die Entscheidung, ob besondere Umstände vorliegen, trifft die Schulleitung.4“Im Einzelfall kann vom Schriftformerfordernis abgewichen und eine Einwilligung auf elektronischem Wege eingeholt werden, wenn gemäß § 4 Abs. 1 S. 3 DSG NRW wegen besonderer Umstände eine andere Form angemessen ist. Wenn dies von der Schulleiterin oder dem Schulleiter konkret festgestellt worden ist, sollte sich die Ausgestaltung einer elektronischen Einwilligung an den inhaltlichen Vorgaben des § 13 Abs. 2, 3 TMG orientieren.” – aus der Stellungnahme der LDI NRW zu den geplanten Änderungen der VO-DV I vom 26. Juni 2016.

Vor dem Hintergrund, dass die aktuell noch gültigen Vorgaben zur Einwilligung in der VO-DV I bereits 2016 erarbeitet wurden, zwei Jahre vor Beginn der Umsetzung der DS-GVO, ist es sinnvoll, zu betrachten, wie die DS-GVO das Thema Einwilligung und die Formerfordernis regelt.

Elektronische Einwilligung in der DS-GVO

Die DS-GVO regelt das Thema Einwilligung in Artikel 7. Eine Formerfordernis für die Einwilligung sucht man dort vergeblich. In Erwägungsgrund 32 wird jedoch eine Aussage hierzu gemacht.

“Die Einwilligung sollte durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist, etwa in Form einer schriftlichen Erklärung, die auch elektronisch erfolgen kann, oder einer mündlichen Erklärung.”

Entsprechend kommentiert auch die Fachliteratur.

“Die DSGVO verlangt keine bestimmte materielle Verstetigung oder Übermittlung der Willensbekundungen. Es gilt der Grundsatz der Formfreiheit. Eine Erklärung kann schriftlich, mündlich und auch elektronisch an den Adressaten gerichtet werden (EG 32 S. 1). Im Sinne der DSGV erfolgt „elektronisch“ auch eine durch einfache E-Mail oder über ein Onlineformular übermittelte Einwilligung. § 126 a BGB und § 3 a Abs. 2 S. 1 VwVfG sind nicht anwendbar.”5Klement in Simitis DS-GVO Art. 7 Rn. 39

Datenschutzgesetz NRW (neue Fassung)

Entsprechend der DS-GVO, welche die dem Datenschutzgesetz NRW übergeordnete Rechtsnorm ist, hat sich der Gesetzgeber auch hier nicht auf eine bestimmte Form der Einwilligung festgelegt. Im neuen DSG NRW heißt es deshalb unter Begriffsbestimmungen § 36 Nr. 19 “19. „Einwilligung“ jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist,”

Fazit

Die elektronische Einwilligung ist möglich für Schulen in NRW, schon seit fast drei Jahren. Allerdings ist sie auf Ausnahmen beschränkt, noch. Das Schulgesetz NRW ist seit Mitte 2019 in Überarbeitung und auch die anhängigen Verordnungen zur Datenverarbeitung VO-DV I und II werden Veränderungen erfahren. Bis zur Verabschiedung der Neufassungen von Schulgesetz und VO-DV I und II wird es vermutlich noch eine Weile dauern und solange gelten die bestehenden Regelungen fort.

Sie geben Schulen jedoch auch jetzt schon einen Handlungsspielraum. Gerade in Zeiten von Schulschließungen, in welchen die Möglichkeiten, Einwilligungen in Papierform einzuholen sehr beschränkt, aufwändig und zeitraubend sind, kann eine Schule ohne Probleme von den Möglichkeiten von §3 Abs. 2  VO-DV I Gebrauch machen. Schulschließungen sind ganz sicher besondere Umstände. Es ist lediglich erforderlich, dass wie in der Stellungnahme der  LDI NRW zu den geplanten Änderungen der VO-DV I vom 26. Juni 2016 beschrieben, die Schulleitung die besonderen Umstände konkret feststellt und dokumentiert. Dann ist es möglich, Einwilligungen in elektronischer Form einzuholen bei den Erziehungsberechtigten und älteren Schülerinnen und Schülern.

Praktische Umsetzung

Bezüglich der elektronischen Einwilligung gibt es verschiedene Möglichkeiten. Für den Fall, dass es beispielsweise um die Einwilligung zur Nutzung einer App oder einer Onlineplattform geht, welche der Schule selbst keine Möglichkeit gibt, darüber die Einwilligung der Erziehungsberechtigten beziehungsweise Schüler einzuholen wie bei Logineo NRW, dann bleibt immer der Weg über E-Mail, ein von der Schule genutztes App zur Kommunikation oder einen sicheren Messenger. Wichtig ist, dass die Schule die Einwilligung der Betroffenen dokumentieren kann. Dazu muss die elektronische Einwilligung in irgendeiner Form, idealerweise als PDF, gespeichert werden. Bei der Übermittlung sollte auf Sicherheit geachtet werden und es sollten nur die personenbezogenen Daten in der Einwilligung erfasst werden, welche dafür zwingend erforderlich sind (Datenminimierung).

E-Mail – direkt

Eine Möglichkeit, die Einwilligung einzuholen, ist direkt über E-Mail. Dazu werden wie in der Papierversion die Informationen zur Datenverarbeitung entsprechend Art. 13 DS-GVO In das E-Mail gepackt, wie auch der eigentliche Einwilligungstext mit einem Anschreiben der Schulleitung. Anstelle der Unterschrift reicht dann, wenn die Betroffenen ihre Einwilligung beispielsweise durch Schreiben des Wortes JA geben.

Die Rück Antwort der Betroffenen mit der Einwilligung sollte als PDF gedruckt und mit einem eindeutigen Dateinamen gesichert werden, um die Einwilligung nachweisen zu können.

Ein Beispiel, wie man das E-Mail mit der Einwilligung gestalten könnte:

E-Mail – PDF

Eine andere Möglichkeit besteht darin, die für Papier entworfene Einwilligung in ein PDF Formular umzuwandeln. Dieses kann man relativ leicht mit LibreOffice tun. Diese kostenlose Office Suite bietet die Möglichkeit, Eingabefelder für Text und Auswahlfelder (Checkboxen) anzulegen und das gesamte Text Dokument anschließend als PDF Dokument abzuspeichern.Dieses wird dann von den Betroffenen an einem Computer, Tablet oder Smartphone ausgefüllt und an die Schule zurück geschickt.

Das von den Betroffenen rückübermittelte PDF sollte mit einem eindeutigen Dateinamen gesichert werden, um die Einwilligung rechtssicher nachweisen zu können.

Ein Beispiel, wie eine als PDF gestaltete Einwilligung aussehen könnte6In diesem Formular müsste die Schule auf der ersten Seite den Namen der Schulleitung ergänzen und auf der zweiten Seite die Kontaktdaten der Schulleitung und des Datenschutzbeauftragten.:

E-Mail – Microsoft Word Dokument

Aus Sicherheitsgründen wird von einer Nutzung dieses Formats abgeraten. Dabei geht es weniger darum, dass die Schule eventuell Betroffene gefährdet, sondern umgekehrt dass das Verwaltungsnetz der Schule durch zurückgeschickte und eventuell infizierte Word Dateien gefährdet wird

Schul App

Schulen, die eine Schul App nutzen, die eine Kommunikation mit den Betroffenen ermöglicht, wie etwa Schulmanger Online, Elternnachricht, Sdui, Schul-Info-App, schul.cloud Pro, Elternportal, SchoolFox Plus, ISY-Schule, Die SchulApp u. Ä. können diese Plattformen zur Übermittlung eines PDF nutzen.

Messenger

Ein PDF könnte auch mit einem sicheren Messenger übermittelt werden, etwa Wire oder Threema7Die Schule sollte mit diesen Anbietern einen Vertrag zur Auftragsverarbeitung abgeschlossen haben.

Hinweis – direktes Einholen Einwilligung online

Logineo NRW erlaubt es, die Einwilligung der Betroffenen direkt bei der Anmeldung an der Plattform einzuholen. Wichtig ist hierbei, dass es sich um eine Einwilligung gegenüber der Schule bzw. Schulleitung handelt, die über den Weg der Plattform eingeholt wird. Auch an anderen Plattformen können Nutzereinwilligungen geholt werden. Diese stellen in der Mehrzahl der Fälle jedoch eine Einwilligung gegenüber dem Plattformbetreiber dar. Das ist nicht gleichzusetzen mit einer Einwilligung gegenüber der Schule. Man sollte hier als Schule genau hinsehen, ob dieses Verfahren den rechtlichen Vorgaben zur Erteilung einer Einwilligung gegenüber der Schule tatsächlich Genüge tut. Genauso müsste mit der Einwilligung gegenüber der Schule auch über die Datenverarbeitung durch die Schule bei Nutzung der Plattform informiert werden. Diese Informationen sind nicht gleichzusetzen mit der Datenschutzerklärung des Anbieters, auch wenn es inhaltliche Überschneidungen gibt.

Andere Bundesländer

Sofern das Schulrecht anderer Bundesländer eine elektronische Einwilligung nicht ausdrücklich ausschließt, können Schulleitungen das Einholen elektronische Einwilligungen probemlos auf Artikel 7 DS-GVO und Erwägungsgrund 32 abstellen. Mit großer Wahrscheinlichkeit finden sich ähnlich wie in Nordrhein-Westfalen auch im jeweiligen Landes Datenschutzgesetz keine Vorgaben zur Form Erfordernis der Einwilligung.

Der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), Dr. Lutz Hasse, hat sich im April 2020 zum Thema geäußert, wonach die Einholung einer Einwilligung nicht in Schriftform erfolgen muss.

“Ebenso muss bei der Einwilligung nach Artikel 7 DS-GVO nicht zwingend der Weg über das „Papier“ gewählt werden. Bei der Einwilligung ist nach Artikel 7 Absatz 2 DSGVO keine Schriftform erforderlich.”

„Einwilligung einholen ohne Papier“ weiterlesen

Veröffentlicht am

Wenn Windows 10 – dann unbedingt die Education Version

Lesezeit: 2 Minuten

Im Januar 2020 stellte Microsoft, wie lange vorher angekündigt, endgültig den Support von Windows 7 ein1Microsoft bietet Kunden allerdings noch bis zu  3 Jahre die Möglichkeit, Updates gegen Gebühr zu erhalten. Problematisch ist jedoch, dass mit der Zeit immer mehr Software nicht mehr sicher auf Windows 7 laufen wird, da die Hersteller den Support ihrer Software für das veraltete System einstellen werden. Dazu gehören auch Virenscanner – siehe auch Windows-7-Support-Ende: Rund 500 Millionen PCs unsicher; abgerufen am 01.02.2020. Schulen, welche dieses mittlerweile über 10 Jahre alte Betriebssystem in Verwaltung und pädagogischem Netz nutzten, sind in der Regel direkt auf Windows 10 umgestiegen, um weiterhin sicher arbeiten zu können. Als dann im letzten Jahr Meldungen aufkamen, dass Windows 10 aufgrund der an Microsoft übermittelten Telemetriedaten nicht datenschutzkonform betrieben werden könne, war die Unsicherheit groß. Im nun vorliegenden 9. Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht für das Jahr 2019 wird jetzt Entwarnung gegeben. Eine von der Datenschutzkonferenz beauftragte Arbeitsgruppe unter Leitung des Bayerischen Landesbeauftragten für den Datenschutz führte im Dezember 2019 unter Beteiligung von Microsoft Mitarbeitern eine Laboranalyse von Windows 10 durch. Getestet wurde die Windows 10 Enterprise Edition (Version 1909). Mit Hilfe der von Microsoft offiziell zur Verfügung gestellten Informationen und Tools wurde das System auf das Telemetrielevel “Security” eingestellt.

Im Ergebnis konnte so der Nachweis erbracht werden, dass die Übermittlung von Telemetriedaten an Microsoft erfolgreich unterbunden werden kann.2Wie im Bericht erwähnt, wurden in der Konfigurationeinstellung aus Sicherheitsgründen nicht sämtliche Datenabflüsse unterbunden, auch wenn dieses technisch möglich ist. Siehe Seite 22 im Bericht. Im Bericht lautet das Fazit deshalb:

Vom Ergebnis konnte bei diesem Treffen in unserem technischen Labor festgestellt werden, dass die datenschutzrechtlich kontrovers diskutierten Telemetriedaten bei Einsatz der Enterprise Version (und damit auch bei der Education-Version) im überprüften Szenario deaktivierbar sind.

Der Labortest von Windows 10 Enterprise fand unter kontrollierten Bedingungen statt. Im schulischen Alltag findet die Nutzung jedoch in der Regel in einer verwalteten Umgebung statt, da die Windows PCs Teil eines Netzwerks sind. Deshalb ist die Aussage des Bayerischen Landesbeauftragten für den Datenschutz mit einer kleinen Einschränkung versehen.3Es gibt genau genommen noch eine weitere Einschränkung. Die Aussagen im Bericht beziehen sich nur auf das Thema Telemetriedaten. Etwaige andere Datenschutzprobleme, die bei einer Nutzung von Windows 10 auftreten können, sind dabei nicht berücksichtigt. Damit sichert sich der Bayerische Landesbeauftragte für den Datenschutz rechtlich ab.

Sollte sich dieses Ergebnis beim realen Einsatz von Windows 10 bei Unternehmen bestätigen, dann stellt zumindest der Umgang mit Telemetriedaten bei Windows 10 Enterprise (auch in verwalteten Umgebungen) keinen datenschutzrechtlichen Hinderungsgrund eines Einsatzes dieses Betriebssystems dar.

Man dürfte aber wohl davon ausgehen können, dass bei fachmännisch administrierten Windows 10 Education PCs das Laborergebnis replizierbar ist.

Was bedeutet das für Schulen?

Schulen, die Windows 10 einsetzen oder auf diese Version wechseln wollen, müssen eine Education Version nutzen und zwar in der Version 19094Man sollte davon ausgehen können, dass auch künftige Versionen die gleichen Möglichkeiten bieten werden, die Übermittlung von Telemetriedaten an Microsoft zu unterbinden. und müssen diese mittels der von Microsoft bereitgestellten Informationen und Tools auf das Telemetrielevel “Security” einstellen. Nur dann ist es möglich, die Übermittlung von Telemetriedaten an Microsoft datenschutzkonform zu unterbinden.

Lizenzrechtlich ist es zulässig, Windows 10 Education sowohl im pädagogischen Bereich wie auch der schulischen Verwaltung zu nutzen5Siehe dazu das PDF Microsoft-Berechtigungskriterien für Qualifizierte Nutzer für Forschung & Lehre (EMEA).pdf; abgerufen am 01.02.2020. Dort werden auch “Verwaltungsbüros einer Ausbildungseinrichtung” als berechtigt aufgeführt. .

Auch beim Einsatz von Microsoft 365 (ehemals Office 365), für welches es bisher leider noch keine vergleichbaren Aussagen der Aufsichtsbehörden gibt, ist für Schulen dringend die Nutzung von Education Versionen zu empfehlen. Genau wie bei Windows 10 bieten nur diese Versionen – neben Enterprise Versionen – die umfangreichsten Möglichkeiten, Einfluss auf die Datenabflüsse an Microsoft zu nehmen. Hinzu kommt noch, dass Microsoft bei den Education Versionen zusätzliche Versicherungen abgibt, Nutzungsdaten nicht zur Profilbildung zu Werbezwecken zu verwenden.

Update 1

Vom Dezember 2020 gibt es bei Heise einen Bericht zum aktuellen Stand der Arbeit der DSK – Datenschützer: Windows-10-Nutzer bei Telemetrie nicht aus dem Schneider. Demnach sind die beiden Versionen Home und Pro weiterhin nicht ohne Übermittlung von Telemtriedaten nutzbar. Die Win 10 Pro Version wird auch in schulischen Verwaltungen eingesetzt. Zu empfehlen ist das nicht. Schulen haben es oftmals nicht in der Hand, da der Schulträger oder der von diesem beauftragte IT Dienstleister die Windows Version bestimmt. Hier sollten Schulleiter deutlich Einspruch erheben.

Update 2

Das BSI stellt seine Sicherheitseinstellungen für Windows 10 jetzt öffentlich zur Verfügung.

Die empfohlenen Konfigurationseinstellungen gibt es als direkt in Windows importierbare Gruppenrichtlinienobjekte (GPO) zum Download.

Stand 05/2021

Veröffentlicht am

Bewerbungsverfahren und Datenschutz

Lesezeit: < 1 Minute

Schulen stellen nicht nur Lehrkräfte ein, welche ihnen von Seiten des Landes zugewiesen werden, sondern führen auch Einstellungen durch im Rahmen von schulscharfen Auswahlverfahren. Bewerber schicken dabei ihre Bewerbungsunterlagen direkt an die Schule. Neben diesem offiziellen Weg landen auch schon einmal Initiativbewerbungen im Schulbüro. Dazu kommen noch Krankheitsvertretungen und Elternzeitvertretungen. Die Bewerbungen können dabei unterschiedliches Format haben. Neben den klassischen Bewerbungsmappen landen auch Bewerbungen in digitaler Form als E-Mail mit Anhang bei den Schulen. Bewerbungs- bzw. Einstellungsverfahren sind Verarbeitungsvorgänge, bei denen es sogar um recht sensible personenbezogene Daten gehen kann.

Wie bei jeder Datenverarbeitung sind Betroffene entsprechend Art. 12 DS-GVO über die Verarbeitung ihrer Daten zu informieren. Das erfolgt am besten, wenn den Bewerbern der Eingang ihrer Bewerbung schriftlich bestätigt wird. Zu berücksichtigen sind entsprechend je nach Bewerber Angaben nach Art. 13 (bezüglich der Bewerbungsunterlagen, die vom Bewerber selbst eingereicht werden) und Art. 14 (bezüglich Unterlagen, die von einer anderen Dienststelle angefordert werden, etwa die Personalakte). Angegeben werden sollten dabei:

  • Art der personenbezogenen Daten: Lebenslauf, Zeugnisse, Qualifikationen, …,
  • Herkunft der personenbezogenen Daten: vom Bewerber eingereicht, von der Schulaufsicht angefordert (z.B. Bezirksregierung),
  • Übermittlung der personenbezogenen Daten: an die am Auswahlverfahren beteiligten Personen, z.B. Mitglieder der Schulleitung, Abteilungsleiter, Fachleiter, Gleichstellungsbeauftragte(r), Mitglied des Personalrates, … und bei einer Einstellung z.B. Schulaufsicht
  • Speicherdauer der personenbezogenen Daten :
    • bei Ablehnung Rückgabe oder Löschung 2 Monate nach Beendigung des Bewerbungsverfahrens (in Orientierung an §15 Abs. 4 AGG)
    • bei einer Einstellung Aufnahme in die Personalakte,
  • Rechte der Bewerber Betroffenenrechte wie z.B. Löschung, Auskunft oder Recht auf Berichtigung).

Weiterlesen:

Veröffentlicht am

Tipps zur Datensicherheit auf privaten Endgeräten überarbeitet

Lesezeit: < 1 Minute

Die Genehmigung für die Verarbeitung von personenbezogenen Daten aus der Schule durch Lehrkräfte zu dienstlichen Zwecken ist nun schon über ein Jahr verbindlich vorgegeben für Lehrkräfte in NRW. Für viele Lehrkräfte ist die Situation bezüglich der Verarbeitung von personenbezogenen Daten von Schülern auf eigenen Geräten noch immer nicht zufriedenstellend geklärt. An einigen Schulen geht auch jetzt noch nichts. Entweder die Schulleitungen verweigern die Unterschrift unter die Genehmigung oder die Lehrkräfte wollen sie nicht einholen. Man darf deshalb gespannt sein, ob es mit der anstehenden Änderung in §§120-22 SchulG NRW und dem finalen Rollout von Logineo NRW noch einmal Änderungen am Genehmigungsformular geben wird. Änderungen sind durchaus möglich, da der Genehmigungsvordruck noch immer in der Kritik steht, vor allem bezüglich des Haftungspassus, und das MSB zum anderen bestrebt sein dürfte, weitere personenbezogene Daten zur Verarbeitung auf privaten Endgeräten zuzulassen1Letzteres ist eine Vermutung, die vor allem auf der Entwicklungsgeschichte von Logineo NRW beruht. Der Daten Safe kann ohne eine Erweiterung der für eine Verarbeitung auf privaten Endgeräten zugelassenen Daten nie im geplanten Sinne genutzt werden und wäre damit als Konstrukt mehr oder weniger hinfällig..

Auch wenn noch immer Schulen und Lehrkräfte die Genehmigung verweigern, so gibt es doch auch solche, die dann irgendwann doch den Schritt gehen und die Genehmigung geben bzw. einholen. Die Tipps helfen dabei, die in Teil B – Datensicherheit der Genehmigung geforderten Maßnahmen zum Schutz der auf dem privaten Endgerät verarbeiteten Daten zu gewährleisten. Da sich seit der Erstellung der Tipps Anfang 2018 wieder einiges getan hat bei den großen Betriebssystemen – Windows, Mac OS, Linux, iOS und Android2Chrome OS fehlt hier, da dieses Betriebssystem komplett Cloud basiert ist und eine Nutzung für die Verarbeitung von personenbezogenen Daten aus der Schulverwaltung gegenwärtig aus datenschutzrechtlicher Sicht nicht vertretbar ist. – gibt es die Tipps jetzt in einer aktualisierten Version.

Veröffentlicht am

Lehrer- und Funktionskonten immer mit #2FA sichern

Lesezeit: 7 Minuten

Lehrkräfte haben in Schule immer auch Zugriff auf die personenbezogenen Daten von Schülerinnen und Schülern und deren Erziehungsberechtigten. Für die Arbeit im Verwaltungsbereich und im Unterricht sollten sie zwei verschiedene Konten haben, und diese sollten vor unberechtigtem Zugriff geschützt sein. Oftmals entsprechen aus praktischen Gründen die Anmeldenamen der E-Mail Adresse eines Nutzers, auch wenn aus Datenschutzgründen ein Anmeldename zu empfehlen wäre, welcher sich nicht einfach erraten bzw. ableiten lässt. Die Zugriffssicherheit eines Nutzerkontos ist an vielen Schulen damit bereits an einer Stelle beeinträchtigt. Umso wichtiger ist der Schutz durch ein Geheimnis, das Passwort. Dieses sollte definitiv nicht einfach zu erraten sein. Was aber, wenn der Nutzer das Passwort auf der Umschlagseite im Lehrerkalender notiert, um es immer parat zu haben? Das kommt öfter vor, als man denkt. Schüler können so sehr einfach Passwörter ihrer Lehrkräfte ausspähen. Vor allem bei Plattformen, welche über das Internet erreichbar sind, kann solches Verhalten schnell zum Sicherheitsrisiko werden, wenn der Zugangs ausschließlich durch ein Passwort gesichert wird.

Ein Fall Passwort Diebstahl von November 2018 (im August 2019 in der Presse) zeigt einmal mehr, wie wichtig es ist, sich zum Schutz von Nutzerkonten nicht auf ein Passwort alleine zu verlassen. Im angesprochenen Fall waren an einem Darmstädter Gymnasium Lehrer Passwörter für Office 365 über ein fingiertes E-Mail gestohlen worden. Durch diesen Phishing Angriff waren die Zugangspasswörter von etwa 20 – 30 Lehrkräften in falsche Hände geraten und den Dieben stand der Zugriff auf die Konten und die darin verarbeiteten personenbezogenen Daten offen.

Wie kann eine Schule den Schutz von Lehrer- und Funktionskonten verbessern?

Sichere Passwörter

Zunächst einmal sollten Passwörter selbst sicher sein. Im Fall des Gymnasiums von Darmstadt hätte dieses alleine zwar nicht geholfen, doch trotzdem soll hier kurz darauf eingegangen werden, wie man an der Schule für sichere Passwörter sorgen kann.

Vorgabe von Passwortrichtlinien

Passwörter sollten eine durch das System bzw. die Plattform oder das Programm vorgegebene Komplexität haben. Sie müssen deshalb trotzdem nicht schwierig zu merken sein. Über eine Vorgabe zum Aufbau von Passwörtern in Form einer Passwortrichtlinie lässt sich verbindlich regeln, wie lang ein Passwort mindest sein muss und welche Art von Zeichen enthalten sein müssen. In größeren Plattformen lassen sich diese Vorgaben als Passwortrichtlinien definieren. Die Plattform vergleicht vom Nutzer angelegte Passwörter anhand dieser Richtlinie und weist Passwörter, welche der Richtlinie nicht entsprechen, zurück.1Siehe hierzu auch die Empfehlungen des BSI zum Thema Passwörter. Eine Passwortrichtlinie sollte auch vorgeben, dass ein Passwort nie für mehr als eine Anwendung oder Plattform genutzt werden darf.

Kontrolle der Passwortkomplexität

Einige Plattformen erlauben es, die Komplexität von Passwörtern durch einen Administrator überprüfen zu lassen. Hierzu werden vom System Passwörter hervorgehoben, welche zwar der Richtlinie entsprechen, dabei aber nur eine geringe Komplexität haben. Die eigentlichen Passwörter werden dabei, um den Schutz der personenbezogenen Daten des Nutzers zu wahren, nicht angezeigt, sondern nur das Ergebnis aus der Bewertung mittels eines Algorithmus. Ermittelt der Administrator ein schwaches Passwort, kann er über das System den Nutzer zum Erstellen eines neuen Passwortes beim nächsten Anmelden auffordern.

Nutzung eines Passwortmanagers

Eine einfache Möglichkeit, sehr komplexe Passwörter zu erstellen, die man sich nicht merken muss, sind sogenannte Passwortmanager. Darunter versteht man Anwendungen, welche die Login Informationen geschützt aufbewahren. Viele dieser Anwendungen nehmen weitere wichtige Informationen auf, die vor fremdem Zugriff geschützt werden sollen. Funktionsreiche Passwortmanager erlauben eine Nutzung von verschiedenen Endgeräten aus. Der Passwortsafe der Anwendung liegt dazu entweder in einer Cloud des Anbieters oder einem anderen über das Internet zugänglichen Speicher. Geschützt wird der Passwortsafe durch ein Masterpasswort. An Geräten mit Fingerabdrucksensor kann der Zugriff auf den Passwortsafe auch damit zusätzlich geschützt werden. Neben dem Erstellen von sicheren Passwörtern erlauben viele Passwortmanager auch das automatische Ausfüllen von Login Informationen beim Besuch von Webseiten oder Öffnen von Apps, die einen Login bzw. Entsperren erfordern. Auch Browser enthalten (einfache) Passwortmanager und bieten so beim Erstellen neuer Logins eine Speicherung zum bequemen Login an. Von der Nutzung der in Browser integrierten Passwortmanager wird generell abgeraten, zumindest wenn es um die Speicherung der Zugangsdaten von Websiten mit persönlichen Daten geht.

So gut und nützlich Passwortmanager auch sind, sie haben einen Schwachpunkt, das Masterpasswort. Dieses muss deshalb sehr komplex sein und besonders gut geschützt werden.2Bei Programmen, welche eine Sicherung des Passwortsafes über ein biometrisches Datum wie einen Fingerabdruck zulassen, kann das Masterpasswort so komplex gestaltet werden, dass es nur schwierig auswendig zu lernen ist. Man kann es dann in einem Safe auf Papier hinterlegen. Achtung! Viele Passwortmanager fordern das Masterpasswort nach einem Neustart des Programms oder Endgerätes an, bevor die Nutzung etwa des Fingerabdrucks wieder aktiviert wird. Das kann im Unterricht dann zum Problem werden, wenn man dann das Masterpasswort nicht zur Hand hat.

Zwei-Faktor-Authentifizierung (2FA)

Das beste Passwort schützt in dem Moment nicht mehr, wo es in fremde Hände fällt. Eine weitere Möglichkeit, den Zugriff auf sensible Daten zu schützen, ist die Absicherung mit einem zweiten Geheimnis. Man spricht hier von einer Authentifizierung mit zwei Faktoren, wobei der erste Faktor das eigentliche Passwort ist, man zum Login erstellt hat. Teilweise wird diese Art der Absicherung eines Logins auch als two-step verification (2-Schritt Verifizierung) bezeichnet. Der zusätzliche Schutz der 2FA besteht nicht alleine im zweiten Faktor bzw. Schritt, sondern auch darin, dass keine Notwendigkeit besteht, sich ein weiteres Passwort zu merken. Es gibt auch kein Passwort, welches Fremde ausspähen können.3Im Prinzip ist es durchaus möglich, bei einigen Verfahren  der Erzeugung bzw. Übermittlung des zweiten Schlüssels, diesen abzufangen und zu missbrauchen. Dieses ist jedoch technisch aufwändig und im Bereich Schule eher unwahrscheinlich. TAN Listen würden ebenfalls in die Kategorie der 2FA fallen und diese könnten ausgespäht werden. Sie sind mittlerweile aber kaum noch zu finden und kommen in schulischen Anwendungen nicht zum Einsatz. Ein weit verbreitetes Verfahren für 2FA ist die Erzeugung eines Passwortes bzw. Schlüssels für jeden neuen Login als ein Einmal-Passwort (engl. one-time password, OTP). Da das Thema 2FA sehr komplex ist und verschiedene Verfahren kennt, sollen hier nur die gängigsten für den schulischen Einsatz relevanten Verfahren kurz beschrieben werden.

OTP Token

OTP Token gibt es von verschiedenen Herstellern. Sie kosten etwa ab 12 € aufwärts, wenn sie in größeren Stückzahlen abgenommen werden. Die Token haben eine Schlüsselnummer, welche bei der Anwendung oder Plattform zunächst im Konto des Benutzers registriert werden muss. Ab dem Zeitpunkt, wo 2FA aktiviert ist, wird beim Login nach korrekter Eingabe des Passwortes ein OTP abgefragt. Dieses wird auf Knopfdruck vom Token erzeugt und muss händisch eingegeben werden, um den Login abzuschließen.

Bildquelle: Wikipedia, Mateusz Adamowski, CC BY 1.0
Authenticator App

Die Erzeugung eines Einmal-Passwortes für 2FA ist auch über sogenannte Authenticator Apps möglich. Ein Beispiel dafür ist die App Google Authenticator. Auch wenn diese App von Google zur Verfügung gestellt wird, kann sie einmalige Passwörter für verschiedene Anwendungen und Plattformen liefern. Wie ein OTP Token muss die Authenticator App dazu zunächst mit dem Nutzerkonto gekoppelt werden. Im Zuge der Registrierung erhält die App von der Plattform einen geheimen Schlüssel, den sie sicher speichert. Die Übermittlung kann z.B. per SMS erfolgen oder über einen QR Code. Nach erfolgreicher Registrierung der App an der Plattform, ist der Zugang durch 2FA gesichert. Nach dem Login mit dem Passwort, wird das OTP abgefragt. Das App wird am Smartphone gestartet und ein Passwort erzeugt, welches dann händisch eingegeben wird, z.B. am Computer. Die Eingabe muss innerhalb eines vorgegebenen Zeitfensters erfolgen, da die erzeugten Passwörter  zur Sicherheit einen Zeitcode mitbekommen und nur begrenzte Gültigkeit haben.

Security Key

Die sogenannten Security Keys, im Bild von französischen Hersteller Yubico und von Google4Der Google Security Key ist Stand 03/2020 auch in Deutschland erhältlich – https://store.google.com/product/titan_security_key , müssen ebenfalls an der Plattform im Nutzerkonto registriert werden. Die Nutzung setzt hier eine physikalische Verbindung zwischen dem Key und dem Endgerät voraus, über USB, Bluetooth oder NFC. Je nach Verfahren werden die Kopfdruck oder bei Berühren des Keys erzeugt und direkt an die  Plattform übertragen. Auch bei diesen Verfahren ist die Gültigkeit der einmalig erzeugten Passwörter in der Regel zeitlich begrenzt.

Flickr, Tony Webster, CC-BY 2.0.

 

SMS und andere

Auch SMS  werden für 2FA Verfahren genutzt. Im schulischen Bereich dürfte dieses Verfahren jedoch eher nicht zu finden sein. Bei diesem Verfahren muss zunächst die Mobilnummer im Nutzerkonto der Plattform registriert werden. Gleiches dürfte für Verfahren gelten, die mittels App und von der Plattform angezeigtem QR Code arbeiten oder mit Kartenlesern und Scheckkarten. Möglich sind außerdem Verfahren, die NFC nutzen, die mittels Security Keys oder Smartphones angewandt werden. Modernere Android Smartphones können selbst als Security Keys eingesetzt werden.

2FA in Abhängigkeit von Plattform & Endgerät!

Will man die Zugänge von Lehrkräften durch 2FA besser sichern, sollte man vorher genau recherchieren, welches Verfahren die Plattform, um die es geht, unterstützt. Neben OTP gibt es beispielsweise auch noch U2F (Universal 2 Factor Authentication). Nicht jeder Anbieter hat die Nutzung von allen Formen von 2FA implementiert. Je nach Anbieter kann sich auch das Verfahren der Registrierung des Mediums unterscheiden, welches den 2. Schlüssel erzeugt. Setzt dieses etwa das Einlesen eines QR Codes voraus, scheiden Geräte ohne Kamera aus. Und nicht jede der oben vorgestellten Möglichkeiten unterstützt jedes 2FA Verfahren. So sind einige Security Keys in der Lage OTP zu erstellen, andere nicht. Die meisten Anbieter empfehlen bestimmte Hardware oder Apps für eine 2FA an ihrer Plattform. Daran sollte man sich orientieren. Zu berücksichtigen ist unter Umständen auch die Hardware der eingesetzten Endgeräte, also PC, Laptops, Tablets usw.. Welche Schnittstellen sind vorhanden? Gibt es USB oder USB-C Anschlüsse? Sind diese Anschlüsse aktiviert oder gesperrt?

Die Nutzung von Security Keys für 2FA wird von Windows, Mac OS, Linux, Chrome OS und seit iOS 13.35Das Update auf iOS 13.3 ist seit Mitte Dezember 2019 verfügbar. auch von neueren iOS Geräten unterstützt. Für iOS Geräte mit Lightning Port hat Yubico einen speziellen Security Key herausgebracht. Dieser unterstützt auch USB C.

Sicherheit geht vor Bequemlichkeit

Auch wenn die Nutzung von 2FA Verfahren zusätzlichen Aufwand für den Nutzer bedeutet, so sollte die Sicherheit eindeutig vorgehen. Wie Fälle aus der Vergangenheit und der Fall des Darmstädter Gymnasiums zeigen, sind auch sichere Passwörter keine Garantie für einen verlässlichen Schutz von Zugängen. Gelangen Passwörter durch die Unachtsamkeit oder Diebstahl in fremde Hände, können Dritte personenbezogene Daten auslesen, löschen, manipulieren oder gar veröffentlichen. Immer wenn es um Zugänge geht, bei denen sensiblere personenbezogene Daten verarbeitet werden, sollten die Konten von Lehrkräften und Funktionsträgern durch 2FA zusätzlich geschützt werden. Bei einem LMS, einem Schulserver oder einer Plattform wie Office 365 oder G Suite for Education muss ein solcher Schutz für Lehrerkonten nicht unbedingt erforderlich sein. Sobald auf der Plattform jedoch auch Leistungsbewertungen verarbeitet werden, sollten die Zugänge der Lehrkräfte zusätzlich abgesichert werden. Auch Plattformen mit Klassenbuchfunktion und der Verwaltung von Fehlstunden brauchen einen zusätzlichen Schutz. Dieser Schutz ist vor allem dann wichtig, wenn über einen Browser zugegriffen werden kann. Apps auf Mobilgeräten müssen meist zusätzlich im Nutzerkonto der Plattform autorisiert werden, so dass hier der Schutz über den Zugangschutz zum Endgerät selbst und ein einfaches Passwort gewährleistet werden muss. Lehrkräfte mit Administrationsrechten sollte für diese Funktion immer ein separates Konto haben und der Zugang dazu sollte zusätzlich über 2FA gesichert werden.

Empfehlung:
Nutzerzugänge von Lehrkräften zu Plattformen, in welchen sensiblere personenbezogene Daten verarbeitet werden, sollten immer mit 2FA gesichert werden.

Maßnahmen zum Schutz von Zugängen sollten im Sicherheitskonzept der Schule dokumentiert sein. Siehe dazu auch Sicherheitskonzept.

Welche Maßnahmen man außerdem ergreifen kann, um den Zugriff auf Systeme und Plattformen zu schützen, erläutert umfangreich der Beitrag Passwörter und Zugriffsschutz.

Stand 03/2020

Veröffentlicht am

Datenschutz im Klassenraum

Lesezeit: 2 Minuten

Ein guter Hinweis von Corinna Lammert auf Twitter. Viele Schulen fungieren während Wahlen als Wahllokale. Das bedeutet, es kommen viele Menschen in die Klassenzimmer, in welchen die Stimmbezirke ihre Wahlurnen aufgestellt haben. Viele dieser Menschen mögen die Kinder kennen, in deren Klassenraum sie ihre Stimme abgeben. Trotzdem haben sie damit kein Anrecht darauf, Einblick in persönliche Informationen aus der Schule zu nehmen. Selbst Informationen, die harmlos erscheinen, können durchaus mehr über eine Person sagen, als man zunächst vermutet. Ein Foto im Klassenraum der 2a kann einem Nachbarn, der das vielleicht nicht weiß, die Information geben, dass ein Kind eine Klassen wiederholt. Entsprechend fordert Frau Lammert richtig:

“Liebe Wahlämter, informiert doch bitte die Schulen, in denen gewählt wird, über notwendige Maßnahmen zum Datenschutz am Wahltag. Korrigierte Tests und Fotowände mit Namen und Geburtstagen dürfen nicht für alle Wähler*innen am Wahltag einsehbar sein.”

Es kommen natürlich auch andere Personen in den Klassenraum, vom Hausmeister bis zu den Reinigungskräften. Diese Personen werden in der Regel durch ihren Arbeitgeber zur Verschwiegenheit verpflichtet. Möglicherweise sensible Informationen sollten jedoch trotzdem grundsätzlich nicht offen herumliegen, so etwa Tests und Klassenarbeiten, vor allem wenn sie bewertet sind, denn es gibt durchaus auch Situationen, in welchen andere Personen in die Klassenräume kommen, etwa Handwerker.

Auch wenn Lehrkräften im hektischen Alltag in der Schule oft die Zeit fehlt am Ende einer Stunde oder des Schultages, Materialien in Schränke und Schubladen zu verstauen, so sollte man Materialien mit möglicherweise sensiblen Informationen zumindest umdrehen oder abdecken, so dass der Inhalt nicht direkt offensichtlich ist. In der Regel reicht dieses bei vielen Materialien als Schutz in der Klasse oder im Lehrerzimmer bereits aus. Wirklich sensible Informationen hingegen sollten nie offen zugänglich bleiben!

Ein Wahltag kommt selten vor und ein Hinweis vorab wäre in der Tat angebracht, denn nicht jede Lehrkraft weiß, dass ihr Klassenraum als Wahllokal dient, vor allem wenn die Lehrkräfte ortsfremd sind. Fotowände in der Klasse könnte man dann eben mit einem Tuch abhängen.

Weitere Informationen zu technischen und organisatorischen Maßnahmen zum Schutz von personenbezogenen Daten in der Schule finden sich unter Technische und organisatorische Maßnahmen.

Veröffentlicht am

Antolin & Datenschutz

Lesezeit: 2 Minuten

Antolin Raabe

Vor allem an Grundschulen beliebt ist die Online Plattform zur Förderung der Lesekompetenz, Antolin. Betrieben wird die Plattform von der Westermann Verlagsgruppe, und da auf der Plattform Nutzerdaten von Schülern und Lehrkräften erhoben und verarbeitet werden, wird entsprechend Art. 28 DS-GVO ein Vertrag zur Auftragsverarbeitung (AVV)1Aktuell (Stand 11.05.2019) finden sich einige kleine Fehler im AVV. So sind dort beispielsweise die Lehrkräfte nicht berücksichtigt und es fehlen Angaben zu den Löschfirsten durch Westermann selbst, nachdem die Schule einen Benutzer gelöscht hat. angeboten. Diesen müssen Schulen mit Westermann abschließen, um das Angebot datenschutzkonform an der Schule nutzen zu können. Oftmals erwerben Schulträger eine Lizenz für alle ihre Grundschulen. Damit sind sie Vertragspartner/ Lizenznehmer von Westermann. Trotzdem muss jede Schule einen eigenen AVV mit Westermann abschließen.

Wichtig ist dabei, dass die Schulleitung in Person den AVV abschließt und selbst unterschreibt. Dieses kann nicht von Lehrkräften übernommen werden!

Der unterschriebene AVV wird dann an Westermann geschickt, dort gegengezeichnet und ist damit gültig. Die Kopie, welche man zurück erhält, gehört zur Dokumentation des Verfahrens im Verzeichnis der Verarbeitungstätigkeiten. Für dieses braucht die Schule eine Beschreibung der Verarbeitungstätigkeit Antolin.

Außerdem ist es erforderlich, die Einwilligungen der Betroffenen einzuholen, da mit der Nutzung von Antolin personenbezogene Daten verarbeitet werden, deren Verarbeitung nicht auf der Grundlage des Schulgesetzes entsprechend Art. 6 lit. e legitimiert ist. Einwilligen müssen nicht nur die Schüler, sondern auch die Lehrkräfte, da auch deren Daten in Antolin verarbeitet werden, wenn sie als Nutzer dort angelegt werden und anschließend ihre Schüler in der Plattform betreuen. Sie kommentieren, stellen Quiz-Fragen und es fallen Nutzungsdaten an.

Als Hilfe gibt es für Schulen, die Antolin nutzen drei Vorlagen. Diese finden sich sonst auch im Bereich der Downloads.

Schulen, die andere Angebote von Westermann nutzen wie z.B. Zahlenzorro,  Bumblebee oder Grundschuldiagnose können diese Vorlagen leicht anpassen.

Veröffentlicht am

Fax bietet keine ausreichende Sicherheit für sensible Daten

Lesezeit: 2 Minuten

Dass auch Fax ein Datenschutz Thema sein kann, ist vermutlich den wenigsten bewusst. Immerhin gilt Fax bisher als zuverlässig, sicher und echt. Mit dem Wandel der Kommunikationstechnologie zu IP basierten Systemen, hat sich auch die Technologie verändert, über welche Faxe übermittelt werden. Beim Endanwender hat sich nichts geändert, doch wie auch beim Telefonieren wurde die zugrundeliegende Technik auf Digitaltechnik umgestellt. Alles läuft jetzt quasi durch das Internet. Entsprechend wies jetzt die Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) von Bremen in ihrem 1. Jahresbericht 1 Download Link zum 1. Jahresbericht als PDF auf die sich dadurch ergebenden Sicherheitsprobleme bei der Übermittlung von personenbezogenen Daten per Fax hin.

“Nach Ermittlung des Schutzbedarfs der zu übermittelnden Daten und einer Analyse der Risiken der Verarbeitung sind für Übertragungsverfahren Sicherheitsmaßnahmen wie beispielsweise die in Artikel 32 Absatz 1 Buchstabe a Datenschutzgrundverordnung (DSGVO) explizit genannte Verschlüsselung zu ermitteln und umzusetzen. Hierbei ist zu beobachten, dass die Übermittlung per Fax inzwischen wie die Übermittlung durch eine unverschlüsselte E-Mail bewertet werden muss, weil beide Verfahren inzwischen IP-basierte Telekommunikationsnetze nutzen.”

Oftmals laufen Faxe auch nicht mehr auf einem Faxgerät auf, wie der Bremer LfDI in seinem zweiten Bericht erläutert, sondern werden als E-Mail an den Empfänger weitergeleitet2“Zudem kann nicht mehr davon ausgegangen werden, dass an der Gegenstelle der Faxübertragung auch ein reales Fax-Gerät existiert. Meist werden Systeme genutzt, die ankommende Faxe automatisiert in eine E-Mail umwandeln und diese dann an bestimmte E-Mail-Postfächer weiterleiten.” 2. Jahresbericht Datenschutz.pdf So kommt der LfDI Bremen zum Schluss:

“Aufgrund dieser Umstände hat ein Fax hinsichtlich der Vertraulichkeit das gleiche Sicherheitsniveau wie eine unverschlüsselte E-Mail (welche oftmals mit der offen einsehbaren Postkarte verglichen wird). Fax-Dienste enthalten keinerlei Sicherungsmaßnahmen um die Vertraulichkeit der Daten zu gewährleisten. Sie sind daher in der Regel nicht für die Übertragung personenbezogener Daten geeignet.”

“In der Regel” heißt, dass Ausnahmen möglich sind. Welche dieses sein könnten, wird aber nicht erwähnt. Ganz deutlich wird der LfDI Bremen jedoch, wenn es um Daten besonderer Kategorien nach Art. 9 Abs. 1 DS-GVO geht. Eine Übertragung mittels Fax-Diensten hält er für unzulässig.3“Für die Übertragung besonderer Kategorien personenbezogener Daten gemäß Artikel 9, Absatz 1 der Datenschutzgrundverordnung ist die Nutzung von Fax-Diensten unzulässig.” 2. Jahresbericht Datenschutz.pdf, Seite 29 Das lässt vermuten, dass eine Ausnahme dann möglich sein könnte, wenn es wenig sensible Daten übertragen werden sollen oder diese vielleicht pseudonymisiert sind.

Die DS-GVO verpflichtet Verantwortliche, bei einer Übermittlung von personenbezogenen Daten dem Schutzbedarf und den möglichen Risiken angemessene Maßnahmen zu treffen, um die Sicherheit der Verarbeitung bzw. Übermittlung zu gewährleisten. Bei E-Mails kann dieses z.B. durch Verschlüsselung erfolgen. Fax bietet solche Möglichkeiten nicht und sollte aus diesem Grund nicht zur Übermittlung von personenbezogenen Daten mit einem erhöhten Schutzbedarf genutzt werden.

Eine Übermittlung per Fax ist nicht sicherer als eine ungesicherte Übermittlung per E-Mail. Schulen und Schulämter sollten dieses in Zukunft unbedingt beachten, denn gerade zwischen diesen werden oft höchst sensible Informationen über Fax ausgetauscht.
Veröffentlicht am

Windows 7 Support endet Anfang 2020

Lesezeit: < 1 Minute

In einigen Schulverwaltungen laufen noch immer PCs mit dem Betriebssystem Microsoft Windows 7. Dieses wird demnächst nicht mehr unterstützt. Bei Microsoft heißt es dazu1Ende des Supports für Windows 7:

“Ab dem 14. Januar 2020 stellt Microsoft weder Sicherheitsupdates noch technischen Support für Windows 7 zur Verfügung.”

Ein veraltetes Betriebssystem ist auch ein Datenschutz-Thema. In der Schulverwaltung werden personenbezogene Daten von Schülerinnen und Schülern, von Eltern und Lehrkräften verarbeitet, darunter auch sehr sensible Daten. Eine Verarbeitung von personenbezogenen Daten setzt nach §2 Abs. 1 SchulG NRW2(1) Die automatisierte Verarbeitung der personenbezogenen Daten ist zulässig auf ADV-Arbeitsplätzen und in Netzwerken, die für Verwaltungszwecke eingerichtet sind, auf sonstigen schulischen ADV-Anlagen und in sonstigen Netzwerken, wenn jeweils über die Konfiguration die Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Revisionsfähigkeit und
Transparenz gemäß § 10 des Datenschutzgesetzes Nordrhein-Westfalen
gewährleistet sind. 3Eine vergleichbare Vorgabe zu technischen und organisatorischen Maßnahmen findet sich in Art. 32 DS-GVO. voraus, dass durch geeignete technische und organisatorische Maßnahmen der Schutz und die Sicherheit dieser Daten gewährleistet ist.

Mit Windows 7 wird dieses nach dem 14. Januar 2020 nicht mehr möglich sein.4Ausnahme: der Schulträger bezahlt Microsoft für weitere Sicherheitsupdates und technischen Support. Dann ließe sich eine Nutzung unter Einhaltung der Vorgaben des Schulgesetzes NRW und der DS-GVO noch bis 2023 vertreten. Es reicht auch nicht, sich hier auf einen guten Virenschutz zu verlassen. Sobald ein Betriebssystem keine Sicherheitsupdates mehr erhält, steigt mit jedem neu entdeckten Sicherheitsleck das Risiko, dass Dritte ohne Berechtigung Zugriff auf die Daten der Schule erhalten, diese entwenden, verändern oder zerstören können.

Von daher ist es Schulen dringend zu empfehlen, sich mit dem Schulträger in Verbindung zu setzen und das Upgrade auf eine neuere Version des Betriebssystems, bei den meisten Schulen vermutlich Windows 10, frühzeitig zu planen, so dass dieses spätestens in den Weihnachtsferien zum Ende diesen Jahres in Angriff genommen werden kann.5System Administratoren sollten hierbei bedenken, Windows 10 durch entsprechende Maßnahmen ausreichend zu härten, um die Sicherheit des Systems zu erhöhen. Siehe hierzu SiSyPHuS Win10: Studie zu Systemaufbau, Protokollierung, Härtung und Sicherheitsfunktionen in Windows 10 des BSI

Weitere Informationen: Ende des Supports für Windows 7

 

Stolz präsentiert von WordPress