Viele Schulhomepages laufen über Auftragsdatenverarbeitung

Lesezeit: 2 Minuten

Die meisten Schulhomepages dürften wohl nicht auf Servern laufen, die von der Schule selbst betrieben werden. Stattdessen laufen sie auf Servern, die entweder durch den Schulträger oder einen von ihm beauftragten IT-Dienstleister bereitgestellt werden oder, und das wird bei der überwiegenden Zahl aller Schulhomepages der Fall sein, sie laufen auf dem Server eines Web-Hosters wie 1&1, Strato, Domainfactory, Host Europe o.ä.

In Bezug auf den Datenschutz kann dieses von Bedeutung sein. Vermutlich gibt es kaum eine Schulhomepage, auf der nicht personenbezogene Daten verarbeitet werden. Lehrerinnen und Lehrer werden mit Name, Klasse und Informationen zur dienstlichen Erreichbarkeit aufgeführt und Schülerinnen und Schüler eventuell namentlich genannt bei Berichten über Projekte oder teilnahmen an Wettbewerben.

Trifft dieses zu, gilt Art. 28 Datenschutz Grundverordnung bzw. § 62 BDSG Auftragsverarbeitung. Ein Fall von Auftragsdatenverarbeitung liegt vor.

“Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags1Art. 28 DSGVO Auftragsverarbeiter, Abs. 3

Die Verarbeitung durch einen Auftragsverarbeiter hat auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments zu erfolgen, der oder das den Auftragsverarbeiter an den Verantwortlichen bindet und der oder das den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Rechte und Pflichten des Verantwortlichen festlegt.2§ 62 BDSG Auftragsverarbeitung, Abs. 5

Gegenwärtig dürften wohl nur die wenigsten Schulen einen solchen Vertrag mit dem Betreiber des Servers abgeschlossen haben, auf welchen ihrer Homepage betrieben wird. Ein solcher Vertrag ist nicht erst seit der DS-GVO erforderlich, sondern war auch schon die ganze Zeit durch die Datenschutzgesetzgebung vorgeschrieben. Mit der DS-GVO werden die Rechte der einzelnen Personen jedoch deutlich gestärkt und Schulen sollten aus Eigeninteresse sobald wie möglich einen solchen Vertrag abschließen. Auf den Webseiten der verschiedenen Web-Hoster sind die entsprechenden Unterlagen nicht immer leicht zu finden. Zur Not muss man Kontakt aufnehmen.

Üblicherweise findet man diese Verträge in Form eines PDF und dieses ist von Seiten des Anbieters bereits unterzeichnet. Man trägt in den Vertrag die eigenen Kontaktdaten und die Verantwortlichen ein und macht Angaben zur Art und zum Zweck der Verarbeitung. Häufig gibt es dafür vorgefertigte Listen, wo man entsprechende Angaben durch Ankreuzen machen kann. Der ausgefüllte unterschriebene Vertrag wird anschließend an den Web-Hoster zurückgeschickt. Er ist damit rechtlich gültig.

Liegt die Homepage auf einem Server des Schulträgers (z.B. bei der kommunalen IT im Rathaus) oder eines beauftragten Dienstleisters (zum Beispiel Kommunales Rechenzentrum), muss der entsprechende Vertrag beim Schulträger angefordert werden.

Ist die Schulhomepage auf einem Server untergebracht, der im Schulgebäude steht, ist zumindest das Führen eines Verzeichnisses der Verarbeitungstätigkeiten erforderlich.

Datenschutz als Waffe gegen Schule

Lesezeit: < 1 Minute

Mittlerweile machen sich die ersten Schulen Gedanken, ob Schüler im Kampf um Noten nicht zur Waffe Datenschutz greifen könnten. Durch die neue DS-GVO ist anders als bisher nicht mehr der Betroffene in der Nachweispflicht, sondern der Verarbeitende (Art. 82 Abs. 3 DSGVO). Das wäre dann die Lehrkraft bzw. die Schulleitung der Schule. Den Schritt, einen Verstoß anzuzeigen, macht das deutlich leichter. Oder aber man droht lediglich damit, um so zu einer besseren Note zu kommen.

Bei tatsächlichen Verstößen gegen die Vorgaben der DS-GVO hat die betroffene Person nach Art. 82 Abs. 1 DSGVO Anspruch auf Schadenersatz, wenn es ein Verschulden des Verantwortlichen gibt und es dadurch es zu einem materiellen oder immateriellen Schaden gekommen ist.

Zusätzlich kann nach Art. 83 DSGVO auch noch ein Bußgeld von den Aufsichtsbehörden verhängt werden.

Quelle: DSGVO: Schadensersatz bei Datenschutzverstoß möglich (04/2018)

Fazit: Lehrkräfte sollten den Schutz der personenbezogenen Daten immer beachten und keine unnötigen Fehler machen. Es könnte sie teuer zu stehen kommen. Wo Möglichkeiten sich ergeben, werden sie auch genutzt.

WordPress zur Datensparsamkeit zwingen

Lesezeit: < 1 Minute

Momentan liest man an vielen Stellen von der Sorge, mit dem eigenen Blog oder der Schulhomepage nicht konform zur DS-GVO zu sein1Blogs und Schulhomepages für die DSGVO fit machen und damit womöglich Abmahnungen zu risikieren. Abgesehen davon, dass es ohnehin nicht so schlimm kommen wird, wie von vielen befürchtet, ist es trotzdem keine schlechte Idee, die eigene Webseite in Bezug auf die Erhebung von Nutzerdaten sparsamer zu machen.

Eine schöne Anleitung dazu findet sich unter anderem, bezogen auf das weitverbreitete WordPress, in dem Beitrag “Geschützte Daten – geschützter Webmaster” von Arne Paulsen.

Apple verkauft sich mit mehr Datenschutz

Lesezeit: < 1 Minute

Apple hat einen Bildungsevent in Chicago abgehalten, iOS wurde auf 11.3 aktualisiert und Mac OS auf 10.13.4. Datenschutz und das bevorstende Inkrafttreten der DS-GVO waren dabei ein Thema, das alle drei Ereignisse gemeinsam haben. Pünktlich zum Inkrafttreten sollen Datenschutz Features kommen, das Herunterladen der gespeicherten Daten wie das einfachere Deaktivieren eines Accounts beinhalten. In Mac OS wie iOS soll vom System darauf hingewiesen werden, wenn eine Apple Funktion Nutzerdaten erhebt. Gleichzeitig verpflichtet man sich Datensparsamkeit. Wo möglich will man die Verarbeitung von Daten on device durchführen und nicht in der Cloud.

Das klingt gut, ob es jedoch gerade in Schule ausreichend ist, die bestehenden Datenschutz Problematiken, welche mit der Nutzung von Apple Produkten im Unterricht verbunden sind, zu lösen, bleibt abzuwarten.

Wie sieht es bei einer Website mit dem Datenschutz aus?

Lesezeit: 2 Minuten

Mit der anstehenden Einführung der DSGVO kommt auch bei manchen bloggenden Lehrkräften große Unsicherheit auf. Kann man bestimmte Inhalte überhaupt noch einbinden, ohne gegen die datenschutzrechtlichen Vorgaben zu verstoßen? Liegt das Angebot in Europa oder auf einem US amerikanischen Server? Werden über den Embed/ iFrame Daten erhoben von den Besuchern meiner Webseite, auf die ich keinen Einfluss habe?

Manches lässt sich über die Datenschutzangaben auf der Webseite selbst ermitteln. Wenn das nicht weiterhilft, dann kann man sich selbst schlau machen.

Wie kann man Informationen über Webseiten bekommen?

Dafür gibt es diverse Tools, online und kostenlos. Sehr nützlich ist dafür eine Seite wie PingEU. Dort kann man diverse Abfragen machen.

  • Über eine Country-by-IP kann man ermitteln, in welchem Land der Server steht, auf dem die Website gehostet ist.
  • Über Traceroute lassen sich Informationen über den Weg zwischen eigenen Rechner und dem Webserver der Website ermitteln und dabei oft auch Informationen zum Server selbst.
  • Eine WHOIS Abfrage gibt Informationen über die Eigentümer der Webseite und den Hoster.
  • Einen sehr umfassenden Check über die Maßnahmen, welche eine Webseite zum Schutz der personenbezogenen Daten von Besuchern getroffen hat oder auch nicht liefert die schwedische Seite Webkkoll. Hier erfährt man, wo der Server vermutlich steht, ob die Verbindung sicher ist (SSL) und besonders wichtig, ob durch die Einbindung von Ressourcen aus Fremdquellen ein Risiko, für Sicherheit und Privatsphäre gegeben sein könnte. Das Angebot ist englischsprachig.

Wo ist das Problem mit der Integration von Inhalten über Embeds und Verlinkungen?

Wenn eine Website  über die Integration von Analysetools, Werbung, verlinkten Bildern und Grafiken, Youtube Videos, Embedds von Seiten wie Pinterest oder ähnlichen Diensten zulässt, dass jede Menge Daten von den Besuchern erhoben werden, dann könnte das mit der Einführung der DSGVO für den Betreiber der Webseite zu Problemen führen. Der Grund ist einfach. Besucher der Seite haben ein Recht darauf, über die Erhebung ihrer Daten informiert zu werden, möglichst bevor diese Daten erhoben werden. Bindet man Elemente einer fremden Website ein, hat man keinerlei Kontrolle über die Erhebung von Daten durch Dritte.

Welche Lösungen sind denkbar?

  1. Man verzichtet auf alle Embeds, die man nicht einschätzen kann und die dadurch ein Risiko für Sicherheit und Datenschutz darstellen könnten.
  2. Man erstellt eine Startseite, die nicht mehr enthält als Informationen über die auf der eigentlichen Website eingebetten externen Inhalte und die möglichen Risiken. Mit dem Anklicken eines Links zur eigentlichen Website erklärt sich der Besucher mit der Datenerhebung durch Dritte einverstanden. Die Datenschutzerklärung wird entsprechend angepasst. Außerdem muss die Website so eingestellt werden, dass Besucher, die über einen Link von außen kommen oder über eine Suchmaschine, zunächst einen Screen sehen mit den Informationen wie auf der Startseite, den die anklicken müssen, bevor sie die Website sehen.

Das ist alles recht umständlich und für den Betreiber des Blogs nicht schön. Man wird abwarten müssen, wie sich die Sache nach dem 25. Mai 2018 entwickelt.

Datenschutz wird auch für Schulwebseiten durch die DSGVO wieder ein Thema

Lesezeit: 2 Minuten

Der 25. Mai 2018 rückt näher und damit auch der Termin, mit welchem sich in Bezug auf das Thema Datenschutz und Schulhomepage noch einmal ein paar Dinge etwas verändern.

Schon jetzt waren die Betreiber von Schulhomepages gehalten, ein Impressum zu führen. Auch zu einer Datenschutzerklärung war von verschiedenen Stellen geraten worden. Mit der Europäischen Datenschutz Grundverordnung (DSGVO) werden diese Dinge nun Pflicht. Fehlen Impressum und Datenschutzerklärung können Schulen nicht nur potentielle Opfer von Abmahnern werden, sondern geraten auch in Gefahr, von Besuchern der Webseite wegen Verletzung des Datenschutzes angezeigt zu werden.

Nach der DSGVO hat jederman das Recht, über die Erhebung und Verarbeitung von Daten aufgeklärt zu werden (siehe Art. 13 DSGVO Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person). Der Betrieb von Webseiten ist fast immer mit der Erhebung und Verarbeitung von Daten der Besucher verbunden.

Bei der Abgabe eines Kommentars werden eventuell Nutzername, E-Mail Adresse und IP Nummer gespeichert. IP Nummern werden auch abgespeichert, wenn eine Webseite Tools benutzt, um Zugriffsstatistiken zu erstellen, z.B. Google Analytics. Dabei landen Nutzerdaten nicht nur in der Datenbank der Webseite, sondern eben auch bei Dritten, etwa Google.

Die Integration von Facebook Like Buttons, Teilen auf Twitter und ähnliche Social Media Share Funktionalitäten funktionieren, indem sie Daten der Webseitenbesucher erheben.

Das Abonnement von E-Mail Benachrichtigungen über neue Blogeinträge und ähnlich sind mit der Erhebung von Nutzerdaten verbunden.

Mit der DSGVO ist dieses nicht plötzlich verboten. Man kann es weiterhin nutzen, muss die Nutzer jedoch darüber aufklären und ihre Einwilligung einholen. Dieses kann z.B. durch das Setzen eines zusätzlichen Hakens erfolgen.

Aktuell findet man zahlreiche Hinweise, worauf man als Webseitenbetreiber achten muss und wie man die neuen Vorgaben der DSGVO erfüllen kann. Zwei davon möchte ich hier empfehlen.