IT Sicherheit – datenschutz-schule.info

Juli 13, 2026Juli 13, 2026

Welchen Schutz brauchen personenbezogene Daten in der Schule?

Lesezeit: 14 Minuten

Wenn es um die Frage geht, wie sicher die Nutzung einer digitalen Plattform oder eines IT-Systems ist, führt dies zwangsläufig zu der Frage, welche personenbezogenen oder -beziehbaren Daten bei der Nutzung verarbeitet werden und welchen Schutzbedarf diese haben. Der Schutzbedarf richtet sich danach, welche Folgen eine unbefugte Offenlegung, Manipulation oder der Verlust dieser Daten für die betroffenen Personen haben kann. Je höher die möglichen Risiken für die Rechte und Freiheiten der Betroffenen sind, desto höher ist auch der Schutzbedarf der Daten.

Die Bewertung des Schutzbedarfs ist deshalb von zentraler Bedeutung für die Auswahl und Ausgestaltung geeigneter technischer und organisatorischer Maßnahmen. Sie bestimmt unter anderem, welche Anforderungen an Zugriffskontrollen, Verschlüsselung, Protokollierung, Datenspeicherung oder Berechtigungskonzepte zu stellen sind, um eine datenschutzkonforme Verarbeitung sicherzustellen. Neben anderen Kriterien bestimmen sie auch, ob und in welchem Umfang eine Verarbeitung mit Apps, Plattformen und IT-Systemen möglich ist. Der Schutzbedarf ist darüber hinaus ein wesentliches Kriterium bei der Auswahl digitaler Anwendungen. Er beeinflusst, ob und unter welchen technischen und organisatorischen Rahmenbedingungen personenbezogene Daten mithilfe von Apps, Plattformen oder IT-Systemen verarbeitet werden können.

Ein Beispiel aus der Praxis

Ein Beispiel dafür, welche Bedeutung der Schutzbedarf der verarbeiteten Daten für die Auswahl und datenschutzrechtliche Bewertung einer Plattform haben kann, ist die schulische Nutzung von iPads in Verbindung mit der iCloud in Bremen. Im Jahr 2021 ließ die Senatorin für Kinder und Bildung durch ihren behördlichen Datenschutzbeauftragten, die datenschutz nord GmbH, prüfen, unter welchen Voraussetzungen die bis dahin stark eingeschränkte Nutzung der iCloud ausgeweitet werden könnte. Grundlage der Prüfung waren unter anderem Informationen von Apple, die dokumentierten technischen und organisatorischen Maßnahmen sowie die vertraglichen Rahmenbedingungen.

Im Ergebnis stufte die Senatorin für Kinder und Bildung die schulische Nutzung der iCloud für die Verarbeitung personenbezogener Daten mit normalem Schutzbedarf als vertretbar ein. Hierzu zählte sie unter anderem Namen, Kontaktinformationen, die Zugehörigkeit zu Klassen oder Kursen, Arbeitsergebnisse sowie in Lernanwendungen dokumentierte Lernstände. Voraussetzung waren insbesondere die Aktivierung der von Apple bereitgestellten Sicherheitsfunktionen, etwa der Gerätesperre und der Speicherverschlüsselung, eine datensparsame Nutzung sowie die vorherige datenschutzrechtliche Prüfung eingesetzter Drittanbieter-Apps.

Die spätere Bewertung durch die Landesbeauftragte für Datenschutz und Informationsfreiheit Bremen fiel allerdings deutlich kritischer aus. Sicher auch vor dem Hintergrund der Zugriffsmöglichkeiten von US-Ermittlungsbehörden auf von Apple verarbeitete Daten europäischer Nutzer vertrat sie die Auffassung, dass die tatsächlich in der iCloud verarbeiteten Unterrichts-, Kalender-, Kontakt-, Browser-, Foto- und Audiodaten in ihrer Gesamtheit nicht lediglich einen normalen Schutzbedarf aufwiesen. Der Fall zeigt damit anschaulich, welche zentrale Bedeutung der Schutzbedarfsbewertung für die datenschutzrechtliche Beurteilung digitaler Plattformen zukommt. Bereits die unterschiedliche Einschätzung, welche personenbezogenen Daten tatsächlich verarbeitet werden und welchen Schutzbedarf diese haben, kann zu unterschiedlichen Bewertungen derselben Plattform führen. Unabhängig davon sind selbstverständlich auch weitere datenschutzrechtliche Anforderungen, etwa die Rechtsgrundlage oder die Erforderlichkeit der Verarbeitung, zu berücksichtigen.

Wie könnte man die Schutzbedarfe von in der Schule verarbeiteten personenbezogenen Daten einstufen?

Weder die Datenschutz-Grundverordnung noch die VO-DV I enthalten eine Einteilung personenbezogener Daten in Schutzklassen oder Schutzbedarfsstufen. Soll der Schutzbedarf personenbezogener Daten systematisch bewertet werden, bietet sich daher ein Blick auf die Methodik des Bundesamtes für Sicherheit in der Informationstechnik (BSI) an.

Im Rahmen des IT-Grundschutzes verwendet das BSI keine festen Schutzklassen für einzelne Datenarten. Stattdessen erfolgt eine Schutzbedarfsfeststellung, bei der bewertet wird, welche Auswirkungen eine Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit der Daten für die betroffenen Personen oder die Organisation hätte. Das BSI unterscheidet dabei drei Schutzbedarfsstufen¹:

normal – Die Schadensauswirkungen sind begrenzt und überschaubar.
hoch – Die Schadensauswirkungen können beträchtlich sein.
sehr hoch – Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales
Ausmaß erreichen

Das BSI betont zugleich, dass die Einstufung stets organisations- und anwendungsbezogen erfolgen muss. Eine allgemeingültige Zuordnung bestimmter personenbezogener Daten zu einer Schutzbedarfsstufe gibt es daher nicht.

Für den schulischen Bereich kann es hilfreich sein, die Schutzbedarfe stärker zu differenzieren und sich dabei aber weiterhin an der Systematik des BSI zu orientieren. Zwischen einfachen Organisationsdaten, wie der Klassenzugehörigkeit, und besonders sensiblen Daten, etwa zu einem sonderpädagogischen Förderbedarf oder zu Gesundheitsbeeinträchtigungen, liegt eine Vielzahl personenbezogener Daten, die sich nicht ohne Weiteres nur den Stufen „normal“, „hoch“ oder „sehr hoch“ zuordnen lassen. Hinzu kommen zahlreiche in der VO-DV I nicht katalogisierte Nutzungs-, Kommunikations- und Inhaltsdaten, die erst beim Einsatz digitaler Endgeräte, IT-Infrastruktur, Online-Plattformen, Apps und Anwendungen entstehen.

Für die nachfolgenden Übersichten wird deshalb ein an die Methodik des BSI angelehntes vierstufiges Modell verwendet. Dieses stellt keine rechtlich verbindliche Klassifizierung dar, sondern eine fachliche Orientierung für die Bewertung möglicher Folgen einer unberechtigten Offenlegung, Veränderung oder eines Verlustes personenbezogener Daten. Die konkrete Einstufung kann abhängig vom Verarbeitungszweck, vom Umfang der Daten, von ihrer Verknüpfung mit weiteren Informationen und vom jeweiligen Nutzungskontext abweichen.

Schutzbedarfsstufe	Beschreibung	Mögliche Folgen einer Beeinträchtigung
Stufe 1 – normal	Personenbezogene Daten mit einem im schulischen Alltag üblichen und begrenzten Schutzbedarf.	Eine unberechtigte Offenlegung, Veränderung oder ein Verlust hätte voraussichtlich nur geringfügige oder überschaubare Nachteile für die betroffene Person.
Stufe 2 – erhöht	Personenbezogene Daten, deren Verarbeitung eine genauere Identifizierung, Kontaktaufnahme oder Beurteilung einzelner Personen ermöglicht.	Eine Beeinträchtigung könnte zu spürbaren persönlichen Nachteilen, unerwünschter Kontaktaufnahme, Bloßstellung oder einer begrenzten Beeinträchtigung der informationellen Selbstbestimmung führen.
Stufe 3 – hoch	Personenbezogene Daten, die vertiefte Einblicke in Leistungen, Verhalten, Kommunikation, familiäre Verhältnisse oder die persönliche Entwicklung ermöglichen.	Eine Beeinträchtigung könnte erhebliche soziale, schulische, persönliche oder rechtliche Nachteile verursachen oder die Bildung umfangreicher Leistungs- und Verhaltensprofile ermöglichen.
Stufe 4 – sehr hoch	Besonders sensible Daten, insbesondere besondere Kategorien personenbezogener Daten gem. Art. 9 DS-GVO sowie Daten, die eine umfassende Überwachung, Profilbildung oder Bewertung der Persönlichkeit ermöglichen.	Eine Beeinträchtigung könnte schwerwiegende oder langfristige Folgen haben, etwa Diskriminierung, Stigmatisierung, erhebliche Eingriffe in die Privatsphäre oder gravierende Nachteile für die weitere schulische und persönliche Entwicklung.

Hinweis: Einen vergleichbaren Ansatz verfolgt auch das österreichische Bundesministerium für Bildung in seiner Handreichung zur Einteilung personenbezogener Daten in Schutzbedarfsklassen. Das dort verwendete Modell unterscheidet zwischen keinem, geringem, hohem und sehr hohem Schutzbedarf und orientiert sich ebenfalls an den möglichen physischen, materiellen und immateriellen Folgen für die betroffenen Personen. Abweichend davon geht das hier verwendete vierstufige Modell bei personenbezogenen Daten, die im schulischen Zusammenhang verarbeitet werden, grundsätzlich von zumindest einem geringen beziehungsweise normalen Schutzbedarf aus. Auch einfache Organisations- oder technische Daten sind damit nicht als völlig schutzbedürfnisfrei eingeordnet, da sie einer Person zugeordnet, mit weiteren Angaben verknüpft oder in einem anderen Verarbeitungskontext aussagekräftiger werden können. Auch das Schutzstufenkonzept des Landesbeauftragten für den Datenschutz Niedersachsen (von 2018) verfolgt einen vergleichbaren risikoorientierten Ansatz. Es unterscheidet sogar fünf Schutzstufen (A bis E) und orientiert sich ebenfalls am möglichen Schadenspotenzial für die betroffenen Personen.

Personenbezogene Daten nach der VO-DV I

Die folgende Tabelle ordnet wesentliche in der VO-DV I aufgeführte personenbezogene Daten und Datenkategorien den zuvor beschriebenen Schutzbedarfsstufen zu. Dabei werden zusammengehörige Einzelangaben teilweise zu übergeordneten Kategorien zusammengefasst. Die Zuordnung stellt keine verbindliche rechtliche Klassifizierung dar. Der konkrete Schutzbedarf kann insbesondere vom Inhalt, vom Umfang, von der Verknüpfung mit weiteren Daten und vom jeweiligen Verarbeitungskontext abhängen.

Daten bzw. Datenkategorie	Beispiele nach der VO-DV I	Schutzbedarf	Begründung
Name und Vorname	Name, Geburtsname, Vorname	Stufe 1 – normal	Allgemeine Identifikationsdaten, deren Bekanntwerden für sich genommen regelmäßig nur begrenzte Nachteile verursacht.
Interne Identifikationsnummern	Schülernummer, Nummer des Gesamtschülerverzeichnisses	Stufe 2 – erhöht	Eindeutige Zuordnung innerhalb schulischer Systeme; ein Missbrauch kann die Verknüpfung weiterer Schuldaten erleichtern.
Geburtsangaben	Geburtsdatum, Geburtsort, Geburtsland, Jahr des Zuzugs	Stufe 2 – erhöht	Erleichtern in Verbindung mit weiteren Angaben die eindeutige Identifizierung und können Rückschlüsse auf Herkunft und Biografie ermöglichen.
Geschlecht	Angabe des Geschlechts	Stufe 2 – erhöht	Personenbezogenes Merkmal, das abhängig vom Kontext mit Diskriminierungs- oder Bloßstellungsrisiken verbunden sein kann.
Private Kontaktdaten	Wohnanschrift, Postanschrift, private E-Mail-Adresse, Telefon- und Faxnummer	Stufe 2 – erhöht	Ermöglichen eine unmittelbare Kontaktaufnahme und können bei unberechtigter Offenlegung für Belästigungen oder Täuschungsversuche genutzt werden.
Schulische Kontaktdaten	Schulische E-Mail-Adresse	Stufe 2 – erhöht	Ermöglichen eine gezielte Kontaktaufnahme und können für Phishing, Identitätstäuschung oder die Zuordnung zu einer Schule genutzt werden.
Staatsangehörigkeit	Eine oder mehrere Staatsangehörigkeiten	Stufe 2 – erhöht	Kann Rückschlüsse auf Herkunft und aufenthaltsbezogene Verhältnisse ermöglichen und mit Diskriminierungsrisiken verbunden sein.
Migrationsbezogene Angaben	Migrantenstatus, Anzahl der im Ausland geborenen Elternteile, Geburtsland der Eltern, Jahr des Zuzugs	Stufe 3 – hoch	Erlauben vertiefte Rückschlüsse auf die familiäre und biografische Herkunft und können zu Diskriminierung oder Stigmatisierung führen.
Sprachbezogene Angaben	Herkunftssprache, in der Familie gesprochene Sprache	Stufe 3 – hoch	Können Rückschlüsse auf Herkunft, familiäre Verhältnisse und Unterstützungsbedarfe ermöglichen.
Religionszugehörigkeit	Konfession, Angabe der Konfession auf dem Zeugnis	Stufe 4 – sehr hoch	Die religiöse Überzeugung gehört zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO.
Wirtschaftliche und soziale Verhältnisse	BAföG-Bezug, Beginn, Ende und Umfang der Förderung	Stufe 3 – hoch	Ermöglichen Rückschlüsse auf die wirtschaftliche Situation der Schülerin oder des Schülers und der Familie.
Foto	Schülerfoto	Stufe 3 – hoch	Ermöglicht die unmittelbare visuelle Identifizierung und kann unerlaubt verbreitet, verändert oder für Täuschungen verwendet werden.
Notfallkontakte	Name und Erreichbarkeit einer wichtigen Person oder Institution	Stufe 2 – erhöht	Enthalten personenbezogene Daten weiterer Personen und können familiäre oder betreuungsbezogene Beziehungen offenlegen.
Notfallinformationen	Art des Notfalls, Stichwort oder Kurzinformation	Stufe 4 – sehr hoch	Können Gesundheitsdaten oder andere besonders sensible Angaben enthalten, deren Offenlegung erhebliche Nachteile verursachen kann.
Daten der Eltern, Sorgeberechtigten und Verpflichteten	Name, Status, Staatsangehörigkeit, Anschrift und weitere Erreichbarkeitsdaten	Stufe 2 – erhöht	Ermöglichen die Identifizierung und Kontaktaufnahme und geben Aufschluss über familiäre oder rechtliche Beziehungen.
Familiäre und rechtliche Verhältnisse	Elternstatus, Vormundschaft, Pflege- oder Betreuungsverhältnisse	Stufe 3 – hoch	Können sensible Informationen über die familiäre Lebenssituation und rechtliche Verantwortungsverhältnisse offenlegen.
Grundlegende Schullaufbahndaten	Datum und Art der Einschulung oder Aufnahme, besuchte Schule, Klasse, Jahrgang	Stufe 1 – normal	Dienen überwiegend der schulischen Organisation und lassen für sich genommen regelmäßig nur begrenzte Rückschlüsse zu.
Erweiterte Schullaufbahndaten	Bisherige Bildungsgänge, Ausbildungsstätten, Schulwechsel, Klassenwiederholungen und deren Gründe	Stufe 3 – hoch	Ermöglichen eine weitergehende Bewertung der Bildungsbiografie und können Schwierigkeiten oder Brüche im schulischen Werdegang offenlegen.
Bildungsgang und Unterrichtsorganisation	Bildungsgang, Klasse, Jahrgangsstufe, Kurse, Unterrichtsfächer und Kurswahlen	Stufe 1 – normal	Überwiegend organisatorische Angaben; in Kombination können sie jedoch Rückschlüsse auf die schulische Laufbahn ermöglichen.
Schul- und Ausbildungsabschlüsse	Abschlüsse, Qualifikationen, Latinum, Graecum und vergleichbare Nachweise	Stufe 2 – erhöht	Beschreiben den individuellen Bildungsstand und können für schulische oder berufliche Auswahlentscheidungen relevant sein.
Ausbildungs- und Praktikumsdaten	Ausbildungsberuf, Ausbildungsbetrieb, Praktikumsbetrieb, Ausbildungsjahr	Stufe 2 – erhöht	Geben Aufschluss über die berufliche Orientierung und ermöglichen eine Zuordnung zu externen Einrichtungen.
Fehlzeiten und Verspätungen	Schulversäumnisse, entschuldigte und unentschuldigte Fehlzeiten, Verspätungen	Stufe 3 – hoch	Ermöglichen Rückschlüsse auf das Teilnahmeverhalten; bei Angabe von Gründen können zusätzlich gesundheitliche oder familiäre Umstände sichtbar werden.
Unterrichtsbefreiungen und Ausschlüsse	Befreiung von Unterricht oder Schulveranstaltungen, Ausschluss von der Teilnahme	Stufe 3 – hoch	Können Rückschlüsse auf gesundheitliche, religiöse, familiäre oder disziplinarische Gründe ermöglichen.
Einzelne Leistungsdaten	Einzelnoten, Ergebnisse einzelner Leistungsnachweise	Stufe 2 – erhöht	Betreffen die individuelle schulische Leistung, ergeben isoliert jedoch noch kein umfassendes Leistungsprofil.
Zusammengefasste Leistungsdaten	Notenlisten, Zeugnisse, Prüfungsergebnisse, Leistungsübersichten	Stufe 3 – hoch	Ermöglichen eine umfassendere Bewertung des Leistungsstandes und können für weitere Bildungsentscheidungen maßgeblich sein.
Leistungsnachweise und Arbeitsergebnisse	Klassenarbeiten, Prüfungsarbeiten, sonstige schriftliche oder digital erstellte Leistungsnachweise	Stufe 3 – hoch	Dokumentieren individuelle Kenntnisse, Fähigkeiten, Fehler und Lernentwicklungen und können persönliche Inhalte enthalten.
Arbeits- und Sozialverhalten	Bewertungen und Aufzeichnungen zum Arbeitsverhalten, Sozialverhalten und zur Mitarbeit	Stufe 3 – hoch	Enthalten wertende Aussagen über Verhalten und Persönlichkeit und können die schulische Wahrnehmung einer Person langfristig beeinflussen.
Förderempfehlungen und Fördermaßnahmen	Förderempfehlungen, Förderpläne, individuelle Lern- und Entwicklungsziele	Stufe 3 – hoch	Geben vertiefte Einblicke in Lernschwierigkeiten, Fähigkeiten, Entwicklungsstände und Unterstützungsbedarfe.
Sonderpädagogischer Förderbedarf	Förderschwerpunkt, Feststellungen und Angaben zur sonderpädagogischen Förderung	Stufe 4 – sehr hoch	Kann Gesundheits- und Entwicklungsdaten enthalten und ist mit erheblichen Risiken der Stigmatisierung oder Benachteiligung verbunden.
Gesundheitliche Beeinträchtigungen und Behinderungen	Körperliche oder gesundheitliche Beeinträchtigungen, Behinderungen, besondere Betreuungsbedarfe	Stufe 4 – sehr hoch	Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO.
Medizinische und sonderpädagogische Gutachten	Schulärztliche, schulpsychologische oder sonderpädagogische Stellungnahmen und Gutachten	Stufe 4 – sehr hoch	Können detaillierte Gesundheits-, Entwicklungs- und Persönlichkeitsdaten enthalten.
Sprachstands- und Lernstandsdaten	Sprachstandsfeststellungen, Lernstandsberichte, Lernausgangslagen	Stufe 3 – hoch	Ermöglichen eine differenzierte Einschätzung individueller Fähigkeiten, Defizite und Förderbedarfe.
Ordnungs- und Erziehungsmaßnahmen	Erzieherische Einwirkungen, Ordnungsmaßnahmen und damit verbundene Vorgänge	Stufe 3 – hoch	Enthalten Angaben zu Konflikten oder Pflichtverletzungen und können zu Stigmatisierung und erheblichen schulischen Nachteilen führen.
Besondere Vorkommnisse	Dokumentierte Vorfälle, Gefährdungen oder besondere Anforderungen an Aufsicht und Schutz	Stufe 4 – sehr hoch	Können Angaben zu Gesundheit, Gewalt, Konflikten, familiären Situationen oder anderen besonders sensiblen Umständen enthalten.
Klassen- und Kursbücher	Unterrichtsinhalte, Anwesenheit, Fehlzeiten, Verspätungen und besondere Eintragungen	Stufe 3 – hoch	Führen zahlreiche organisatorische und verhaltensbezogene Angaben zusammen und ermöglichen eine Rekonstruktion des Schulalltags.
Prüfungsakten und Zeugnisunterlagen	Prüfungsarbeiten, Niederschriften, Bewertungsunterlagen, Zeugnislisten und Zeugnisdurchschriften	Stufe 3 – hoch	Enthalten gebündelte Leistungs- und Bewertungsdaten mit Bedeutung für den weiteren Bildungsweg.
Mitwirkung und schulisches Engagement	Mandate in Mitwirkungsgremien, Teilnahme an Wettbewerben oder besonderen schulischen Aktivitäten	Stufe 2 – erhöht	Geben Aufschluss über Interessen, Engagement und schulische Funktionen; abhängig vom Gegenstand können auch persönliche Überzeugungen erkennbar werden.
Schultagebuch für Kinder aus Familien beruflich Reisender	Schülerpersonalbogen, Schulbesuche, Lernstandsberichte, Lernausgangslage und individuelle Lernpläne	Stufe 3 – hoch	Führt umfangreiche Angaben zur familiär bedingten Mobilität, zur Schullaufbahn und zur individuellen Lernentwicklung zusammen.

Hinweis: Entscheidend ist nicht allein die Bezeichnung einer Datenart. Mehrere für sich genommen weniger sensible Angaben können durch ihre Zusammenführung einen deutlich höheren Schutzbedarf erhalten. Ebenso kann eine Datenkategorie unterschiedliche Inhalte umfassen. Notfallinformationen, Unterrichtsbefreiungen oder besondere Vorkommnisse können beispielsweise Gesundheitsdaten oder andere besonders sensible Angaben enthalten und sind dann entsprechend höher einzustufen.

Personenbezogene Daten bei der Nutzung digitaler Endgeräte, Plattformen und Anwendungen

Bei der Nutzung digitaler Endgeräte, schulischer Netzwerke, Arbeits- und Kommunikationsplattformen, Lehr- und Lernplattformen, Apps und sonstiger IT-Anwendungen werden sehr unterschiedliche personenbezogene Daten verarbeitet. Für die Schutzbedarfsbewertung ist es hilfreich, zwischen solchen Daten zu unterscheiden, die unmittelbar mit der Person, ihren Inhalten und ihrem Handeln verbunden sind, und solchen Daten, die zunächst vor allem beim technischen Betrieb der Systeme entstehen.

Die erste Gruppe ist für die datenschutzrechtliche Bewertung regelmäßig von besonderer Bedeutung. Hierzu gehören insbesondere Zugangs- und Kontodaten, Kommunikationsinhalte, Lernprodukte, Nutzungsverläufe, Leistungsdaten sowie Foto-, Audio- und Videodaten. Bei der Bewertung der schulischen Nutzung von iPads und iCloud in Bremen spielten beispielsweise Unterrichts-, Kalender-, Kontakt-, Browser-, Foto- und Audiodaten eine zentrale Rolle.

Nutzer-, Inhalts-, Zugangs- und Verhaltensdaten

Daten bzw. Datenkategorie	Typische Beispiele	Schutzbedarf	Begründung
Benutzer- und Kontodaten	Benutzername, Anzeigename, interne Nutzer-ID, schulische E-Mail-Adresse, Klassen-, Kurs- und Organisationszugehörigkeit	Stufe 2 – erhöht	Ermöglichen die eindeutige Zuordnung einer Person zu Benutzerkonten, Aktivitäten, Inhalten und schulischen Gruppen.
Authentifizierungsdaten	Passwörter, PINs, Wiederherstellungscodes und Sicherheitsschlüssel	Stufe 4 – sehr hoch	Eine Offenlegung kann unmittelbar zur Übernahme des Benutzerkontos und zum Zugriff auf weitere personenbezogene Daten führen.
Sitzungs- und Zugriffsdaten	Session-Cookies, Zugriffstoken, Refresh-Token und Anmeldeschlüssel	Stufe 4 – sehr hoch	Können einen unmittelbaren Zugriff auf Benutzerkonten und gespeicherte Inhalte ermöglichen, ohne dass das eigentliche Passwort bekannt ist.
Rollen und Berechtigungen	Rolle als Schülerin oder Schüler, Kursmitgliedschaften, Gruppenrechte sowie Freigabe- und Bearbeitungsrechte	Stufe 2 – erhöht	Geben Aufschluss über schulische Zugehörigkeiten und bestimmen, auf welche Inhalte und Funktionen eine Person zugreifen kann.
Kontakt- und Adressbuchdaten	Namen, E-Mail-Adressen, Telefonnummern, Verteiler und Gruppenmitgliedschaften	Stufe 3 – hoch	Führen personenbezogene Daten mehrerer Personen zusammen und machen soziale sowie organisatorische Beziehungen sichtbar.
Kalender- und Termindaten	Unterrichtstermine, Abgabefristen, Besprechungen, Erinnerungen und persönliche Kalendereinträge	Stufe 2 – erhöht	Geben Aufschluss über schulische Abläufe, Anwesenheit und gegebenenfalls persönliche Planungen. Bei umfangreichen oder privaten Kalendereinträgen kann der Schutzbedarf höher ausfallen.
Browser- und Webnutzungsdaten	Aufgerufene Webseiten, Browserverlauf, Suchbegriffe, Downloads und Lesezeichen	Stufe 3 – hoch	Können Interessen, Lernschwerpunkte, persönliche Fragestellungen sowie unter Umständen gesundheitliche, religiöse oder politische Bezüge offenlegen.
Suchanfragen	Suchbegriffe in Lernplattformen, Bibliotheken, Apps, Browsern oder KI-Systemen	Stufe 3 – hoch	Können Rückschlüsse auf Interessen, Verständnisprobleme, Lernschwierigkeiten und sensible persönliche Fragestellungen ermöglichen.
Aktivitäts- und Nutzungsdaten	Anmeldezeiten, Nutzungsdauer, Seitenaufrufe, Downloads, Uploads, Änderungen, Freigaben und Löschungen	Stufe 3 – hoch	Ermöglichen die Rekonstruktion des Nutzungs-, Lern- und Arbeitsverhaltens sowie der Zusammenarbeit mit anderen Personen.
Bearbeitungsdaten	Beginn und Ende einer Aufgabe, Bearbeitungsdauer, Unterbrechungen sowie Anzahl der Bearbeitungsversuche	Stufe 3 – hoch	Können Rückschlüsse auf Arbeitstempo, Ausdauer, Unsicherheiten, Konzentration und Leistungsfähigkeit zulassen.
Versions- und Änderungshistorien	Frühere Fassungen, einzelne Änderungen, Bearbeitungszeitpunkte und beteiligte Personen	Stufe 3 – hoch	Machen den gesamten Entstehungsprozess eines Dokumentes einschließlich verworfener Inhalte nachvollziehbar.
Datei- und Dokumenteninhalte	Textdokumente, Tabellen, Präsentationen, PDFs, Arbeitsblätter und sonstige Dateien	Stufe 3 – hoch	Dokumentieren Arbeitsergebnisse, Lernstände und häufig auch personenbezogene oder persönliche Inhalte. Der Schutzbedarf richtet sich wesentlich nach dem konkreten Inhalt.
Schriftliche Lern- und Arbeitsergebnisse	Hausaufgaben, Aufsätze, Berichte, Protokolle, Projektarbeiten und Präsentationen	Stufe 3 – hoch	Dokumentieren individuelle Kenntnisse, Fähigkeiten und Fehler und können zugleich persönliche Ansichten oder Erfahrungen enthalten.
Digitale Notizen und Entwürfe	Handschriftliche oder getippte Notizen, Markierungen, Skizzen und unveröffentlichte Entwürfe	Stufe 3 – hoch	Können persönliche Gedanken, Ideen und noch nicht zur Veröffentlichung bestimmte Inhalte enthalten.
Gestalterische und technische Lernprodukte	Zeichnungen, Collagen, Modelle, Webseiten, Programme und Quellcode	Stufe 2 – erhöht	Der Personenbezug ergibt sich vor allem aus der Urheberschaft und der Verwendung als schulische Leistung; je nach Inhalt kann der Schutzbedarf höher sein.
Automatisch gespeicherte Lernstände	Abgeschlossene Lektionen, erreichte Kompetenzstufen, richtige und falsche Antworten sowie Fortschrittsanzeigen	Stufe 3 – hoch	Ermöglichen eine differenzierte Einschätzung individueller Kenntnisse, Defizite und Lernentwicklungen und bilden häufig die Grundlage weiterer Auswertungen.
Kompetenz- und Leistungsprofile	Kompetenzstufen, Stärken-Schwächen-Profile, Fähigkeitsmodelle und automatisch erzeugte Leistungsübersichten	Stufe 4 – sehr hoch	Verdichten zahlreiche Einzelinformationen zu einem umfassenden Leistungs- und Entwicklungsprofil und können Grundlage weitreichender pädagogischer Entscheidungen sein.
Adaptive Lernpfade und Empfehlungen	Automatisch zugewiesene Aufgaben, Schwierigkeitsgrade, Förderhinweise und Leistungsprognosen	Stufe 4 – sehr hoch	Beruhen regelmäßig auf einer fortlaufenden Analyse des Lern- und Leistungsverhaltens und ermöglichen eine weitgehende Profilbildung.
Learning-Analytics-Daten	Zusammenführung von Nutzungsdaten, Lernständen, Bearbeitungszeiten, Fehlerquoten und Leistungsdaten	Stufe 4 – sehr hoch	Ermöglichen eine umfassende Analyse des Lern-, Arbeits- und Nutzungsverhaltens und führen regelmäßig zu detaillierten Persönlichkeits- oder Leistungsprofilen.
Lerntagebücher und Reflexionen	Selbsteinschätzungen, persönliche Lernberichte, Reflexionsaufgaben und Portfolios	Stufe 4 – sehr hoch	Können persönliche Gedanken, Gefühle, Schwierigkeiten sowie Angaben zur familiären oder gesundheitlichen Situation enthalten.
Fotos	Porträtfotos, Gruppenbilder, Unterrichts- und Projektaufnahmen	Stufe 3 – hoch	Ermöglichen die unmittelbare Identifizierung und können zusätzlich soziale Beziehungen, Aufenthaltsorte oder das persönliche Umfeld offenlegen.
Audioaufnahmen	Sprachaufnahmen, Podcasts, Interviews und mündliche Leistungsbeiträge	Stufe 4 – sehr hoch	Enthalten Stimme, Inhalt und Ausdrucksweise und ermöglichen eine besonders persönliche Wahrnehmung der betroffenen Person.
Videoaufnahmen	Referate, Lernvideos, Rollenspiele und Unterrichtsaufzeichnungen	Stufe 4 – sehr hoch	Verbinden Bild, Stimme, Verhalten und gegebenenfalls das schulische oder private Umfeld und erlauben eine besonders umfassende Bewertung.
Kommunikationsdaten	Chatnachrichten, Forenbeiträge, Kommentare, Whiteboard- und Pinnwandbeiträge	Stufe 3 – hoch	Enthalten persönliche Äußerungen, Meinungen, soziale Interaktionen sowie häufig Angaben zum Lern- und Arbeitsverhalten.
Vertrauliche Direktkommunikation	Private Nachrichten zwischen einzelnen Schülerinnen und Schülern oder mit Lehrkräften	Stufe 4 – sehr hoch	Kann persönliche, familiäre, gesundheitliche oder konfliktbezogene Inhalte enthalten und unterliegt einer besonderen Vertraulichkeit.
Feedback und Bewertungen	Korrekturen, Kommentare, Peer-Feedback, Punktzahlen, Noten und Bewertungsraster	Stufe 3 – hoch	Enthalten individuelle Leistungs- und Verhaltensbewertungen und können die schulische Entwicklung nachhaltig beeinflussen.
Rankings und Fortschrittsanzeigen	Bestenlisten, digitale Abzeichen, Punktestände und Fortschrittsbalken	Stufe 3 – hoch	Machen Leistungen und Verhaltensbewertungen sichtbar und können Leistungsdruck oder Stigmatisierung fördern.
Cloud-Speicherinhalte	Dokumente, Notizen, Kalender, Kontakte, Fotos, Audiodateien, Videos sowie App-Daten	Stufe 3 – hoch	Führen unterschiedliche personenbezogene Inhalte an einem Ort zusammen. Der konkrete Schutzbedarf richtet sich nach den gespeicherten Inhalten und kann bei besonders sensiblen Daten bis zur Stufe 4 reichen.
Geräte- und Cloud-Backups	Sicherungen von Dokumenten, Nachrichten, Fotos, Einstellungen, App-Daten und sonstigen Inhalten	Stufe 4 – sehr hoch	Enthalten regelmäßig umfangreiche und unterschiedlichste personenbezogene Daten und ermöglichen eine weitgehende Rekonstruktion der Nutzung eines Endgeräts oder Benutzerkontos.
Videokonferenzdaten	Teilnahmezeiten, Kamerabild, Mikrofon, Chat, Bildschirmfreigaben sowie Angaben zum verwendeten Gerät	Stufe 4 – sehr hoch	Verbinden Anwesenheits-, Kommunikations-, Bild-, Ton- und gegebenenfalls Umgebungsdaten in einer Verarbeitungssituation.
Bildschirmfreigaben und Bildschirmaufzeichnungen	Freigabe oder Aufzeichnung des gesamten Bildschirms oder einzelner Anwendungen	Stufe 4 – sehr hoch	Können eine Vielzahl persönlicher, schulischer und privater Inhalte gleichzeitig sichtbar und dauerhaft auswertbar machen.
KI-Eingaben	Prompts, hochgeladene Dokumente, Bilder, Sprachaufnahmen und sonstige Eingaben	Stufe 3 – hoch	Können Lernstände, Arbeitsergebnisse, persönliche Fragestellungen und – je nach Nutzung – auch besonders sensible personenbezogene Daten enthalten.
KI-Ausgaben und KI-Nutzungsverläufe	Generierte Texte, Bilder, Bewertungen, Empfehlungen, Chatverläufe und Prompt-Historien	Stufe 4 – sehr hoch	Ermöglichen über längere Zeiträume umfassende Einblicke in Interessen, Lernverhalten, Denkprozesse und persönliche Fragestellungen und können Grundlage einer Profilbildung sein.

Hinweis: Die Zuordnung stellt eine fachliche Orientierung dar und erhebt keinen Anspruch auf Allgemeingültigkeit. Der tatsächliche Schutzbedarf hängt stets vom konkreten Inhalt der Daten, ihrem Umfang, ihrer Verknüpfung mit weiteren Informationen sowie vom jeweiligen Verarbeitungskontext ab. So können beispielsweise Dokumente, Chatnachrichten oder KI-Eingaben je nach Inhalt lediglich organisatorische Angaben enthalten oder Gesundheitsdaten, Informationen über einen sonderpädagogischen Förderbedarf, religiöse Überzeugungen oder andere besonders sensible personenbezogene Daten umfassen. Ebenso kann die Zusammenführung zahlreicher für sich genommen weniger sensibler Nutzungs-, Kommunikations- und Inhaltsdaten die Erstellung umfangreicher Leistungs-, Verhaltens- oder Persönlichkeitsprofile ermöglichen und damit zu einem deutlich höheren Schutzbedarf führen.

Technische Betriebs-, Geräte- und Diagnosedaten

Daten bzw. Datenkategorie	Typische Beispiele	Schutzbedarf	Begründung
IP-Adressen	Öffentliche und interne IP-Adressen bei Anmeldung und Nutzung	Stufe 2 – erhöht	Ermöglichen die Zuordnung von Nutzungsvorgängen zu Anschlüssen, Geräten und Zeitpunkten und können gemeinsam mit weiteren Daten zur Identifizierung einer Person beitragen.
Gerätekennungen	Device-ID, Seriennummer, Installations-ID, Hardwarekennung	Stufe 2 – erhöht	Ermöglichen die dauerhafte Wiedererkennung eines Endgerätes und die Verknüpfung verschiedener Nutzungsvorgänge.
Netzwerkkennungen	MAC-Adresse, Hostname, WLAN-Zuordnung, Netzwerksegment	Stufe 2 – erhöht	Ermöglichen die Identifikation eines Gerätes innerhalb des Schulnetzwerks und gegebenenfalls die Zuordnung zu bestimmten Standorten.
Geräte- und Systeminformationen	Gerätetyp, Modell, Betriebssystem, Version, Browser, Spracheinstellungen	Stufe 1 – normal	Technische Angaben mit regelmäßig geringem Personenbezug; in Kombination mit weiteren Merkmalen kann jedoch ein eindeutiger Geräte-Fingerabdruck entstehen.
Gerätekonfiguration	Installierte Apps, Konfigurationsprofile, Zertifikate und Systemeinstellungen	Stufe 2 – erhöht	Kann Rückschlüsse auf Nutzung, Ausstattung und Einsatzbereiche des Gerätes ermöglichen.
Sicherheits- und Compliance-Daten	Verschlüsselungsstatus, Sperrcode, Geräteschutz, Root-/Jailbreak-Status, Sicherheitsrichtlinien	Stufe 2 – erhöht	Dienen der Absicherung der IT-Systeme, können aber zugleich Sicherheitslücken oder den technischen Zustand eines Endgerätes offenlegen.
Anmelde- und Sicherheitsprotokolle	Erfolgreiche und fehlgeschlagene Anmeldungen, Abmeldungen, Authentifizierungsereignisse und Sicherheitswarnungen	Stufe 2 – erhöht	Ermöglichen die Nachvollziehbarkeit von Zugriffen und können bei längerer Speicherung Nutzungs- und Anwesenheitsmuster erkennen lassen.
System- und Serverprotokolle	Logdateien, Zugriffsprotokolle, Audit-Logs und Administrationsprotokolle	Stufe 3 – hoch	Führen regelmäßig Benutzerkennungen, Zeitpunkte, IP-Adressen und konkrete Nutzungshandlungen zusammen und ermöglichen eine umfassende Rekonstruktion von Vorgängen.
Fehler- und Diagnosedaten	Absturzberichte, Fehlermeldungen, Debug-Informationen und Diagnosedaten	Stufe 2 – erhöht	Können technische Kennungen, Benutzerinformationen oder Ausschnitte aus bearbeiteten Dokumenten enthalten.
Telemetriedaten	Nutzungsstatistiken, Leistungsdaten, Gerätezustand und Systemereignisse	Stufe 2 – erhöht	Dienen der technischen Optimierung. Bei personenbezogener Erfassung oder langfristiger Speicherung können daraus Nutzungsprofile entstehen.
Datei-Metadaten	Dateiname, Dateigröße, Dateiformat, Erstellungs- und Änderungszeitpunkt, Autor	Stufe 2 – erhöht	Ermöglichen die Zuordnung von Dateien zu Personen und geben Aufschluss über Bearbeitungsabläufe und Arbeitsprozesse.
Synchronisationsdaten	Zeitpunkt und Status des Abgleichs zwischen Geräten, Apps und Cloud-Diensten	Stufe 2 – erhöht	Erlauben Rückschlüsse auf verwendete Geräte, Anwendungen und Nutzungszeitpunkte.
Mobile-Device-Management-Daten (MDM)	Gerätezuordnung, verwaltete Apps, Compliance-Status, Fernsperrung und Fernlöschung	Stufe 3 – hoch	Ermöglichen eine weitreichende technische Kontrolle des Endgerätes und verbinden diese regelmäßig mit einer bestimmten Person, sofern Geräte personenbezogen genutzt werden oder BYOD.
Inventar- und Ausleihdaten	Gerätenummer, Ausleihzeitraum, Rückgabe, Schadensvermerke und Gerätezuordnung	Stufe 2 – erhöht	Dokumentieren die Nutzung schulischer Endgeräte und können Verantwortlichkeiten sowie Nutzungszeiträume nachvollziehbar machen.
Druck- und Kopierprotokolle	Benutzerkennung, Druckzeitpunkt, Drucker, Seitenzahl, Dateiname	Stufe 2 – erhöht	Ermöglichen Rückschlüsse auf Arbeitsvorgänge und können über Dateinamen oder Druckzeitpunkte zusätzliche personenbezogene Informationen offenlegen.
Netzwerk- und WLAN-Protokolle	Anmeldung an Access Points, Verbindungsdauer, Datenvolumen, Netzwerkwechsel	Stufe 3 – hoch	Ermöglichen bei personenbezogener Zuordnung die Rekonstruktion von Aufenthaltsorten, Bewegungen und Nutzungsgewohnheiten innerhalb des Schulnetzwerks.
Technische Standortdaten	Zuordnung zu WLAN-Access-Points, Bluetooth-Beacons oder sonstigen technischen Standortinformationen	Stufe 3 – hoch	Erlauben Rückschlüsse auf Aufenthaltsorte; bei kontinuierlicher Erfassung können Bewegungsprofile entstehen.
Support- und Wartungsdaten	Support-Tickets, Fernwartungsprotokolle, Fehlerbeschreibungen, Screenshots und Kommunikationsverläufe	Stufe 3 – hoch	Können neben technischen Angaben auch personenbezogene Inhalte, Dokumente oder Bildschirmansichten enthalten.

Hinweis: Technische Betriebs-, Geräte- und Diagnosedaten weisen für sich genommen häufig einen geringeren Schutzbedarf auf als Inhalts-, Kommunikations- oder Leistungsdaten. Sie ermöglichen jedoch regelmäßig die Zuordnung von Geräten zu bestimmten Personen sowie die Nachvollziehbarkeit von Nutzungs- und Verwaltungsvorgängen. Werden solche Daten über längere Zeiträume gespeichert oder mit Inhalts-, Kommunikations- oder Verhaltensdaten verknüpft, kann ihr Schutzbedarf erheblich steigen. Insbesondere umfangreiche Protokoll- und Telemetriedaten können die Erstellung detaillierter Nutzungs-, Bewegungs- oder Verhaltensprofile ermöglichen und erfordern daher eine sorgfältige datenschutzrechtliche Bewertung.

Stand 07/2026

Zugänge löschen, wenn ein Mitarbeiter die Schule verlässt

Lesezeit: 2 Minuten

In Zeiten, in welchen Schulen immer mehr Tätigkeiten in digitale Plattformen verlagern, reicht es nicht länger aus, dass ein Mitarbeiter, der die Schule verlässt, am letzten Tag den Schlüsselbund abgibt und sich verabschiedet. Wer in Schule tätig ist und dort digitale Plattformen nutzt, hat dadurch je nach Funktion Zugang zu den durch die Schule verarbeiteten personenbezogenen Daten. Zu welchen Daten Zugang besteht, hängt in der Regel von der Funktion ab, welche die Person ausübt. Verlässt die Person die Schule oder übernimmt innerhalb der Schule eine andere Funktion, ist es erforderlich die Zugangsrechte entsprechend aufzuheben oder anzupassen.

Vor allem die Aufhebung von Zugangsrechten und Löschung obsoleter Nutzerkonten ist wichtig, da sich Risiken ergeben können, wenn dieses nicht erfolgt.

Ehemalige Mitarbeiter können bei Online Plattformen ohne bestehende Befugnis auf Daten zugreifen. Im harmlosesten Fall schauen sie sich nur an, im schlimmsten Fall verändern, löschen oder entwenden sie sie.
Verwaiste Konten – Geister Konten – können für Angreifer zusätzliche Angriffsvektoren bieten, da eine Übernahme eines solchen Kontos ohne aktiven Nutzer lange Zeit unentdeckt bleiben kann. Und je nach Art des Kontos, etwa ein E-Mail Konto, kann dieses Zugang zu weiteren schulischen Konten eröffnen.

Was sollte die tun, wenn ein Mitarbeiter sie verlässt?

Die Schule muss tätig werden, um den Schutz der verarbeiteten personenbezogenen Daten gem. Art. 5 Abs. 1 lit. f DS-GVO auch weiterhin gewährleisten zu können.

Bevor der Mitarbeiter die Schule verlässt, sollte er/ sie wo möglich Konten selbst schließen.
Hat ein Nutzer Administrationsrechte in einer Plattform, sollte er sie auf andere Personen übertragen.
Ein schulische Dienstgerät sollte vom Nutzer zurückgesetzt werden, sofern schulische Regelungen kein anderes Verfahren vorsehen.
Der Nutzer sollte sein E-Mail Postfach sowie persönliche Verzeichnisse in schulischen Plattformen leeren. Informationen, die für andere Personen in der Schule wichtig sind oder einer Aufbewahrungspflicht gem. § 9 VO-DV I & II unterliegten, sollten übertragen werden.
Verfügt die Person über Fernzugriff auf lokale Systeme in der Schule, sind diese zu löschen.
Gegebenenfalls sind andere Stellen über das Ausscheiden des Mitarbeiters oder eine Änderung seiner/ ihrer Funktion zu unterrichten, so dass auch dort entsprechende Anpassungen vorgenommen werden.

Die hier gegebenen Hinweise orientieren sich an einem Beitrag der dänischen Aufsichtsbehörde von November 2023.

Stand 10/2024

Trennung pädagogisches Netz von schulinterner Verwaltung

Lesezeit: 10 Minuten

Eine Frage, die im Datenschutz-Alltag von Schulen immer wieder auftaucht, ist die nach der Trennung des pädagogischen Netzes einer Schule von dem der schulischen Verwaltung. Muss diese Trennung physischer Natur sein oder reicht auch eine logische Trennung? Daran an schließen sich oft Fragen, ob es zulässig ist, auf einem PC in einem Klassenraum oder in einem PC Raum auf ein digitales Klassenbuch in der Cloud zuzugreifen, Noten in das externe Notenmodul einzugeben oder Zeugnisse zu schreiben?

In den Veröffentlichungen vieler Bundesländer zur Ausstattungsempfehlung für eine schulische IT wird teilweise schon vor mehr als zehn Jahren die logische Trennung als eine Möglichkeit neben der physischen Trennung beschrieben. Auch in NRW gibt es entsprechende Aussagen in Broschüren der Medienberatung NRW. Das Thema logische Trennung im Zusammenhang mit schulischen WLAN findet sich einmal in der Broschüre WLAN AN SCHULEN.pdf (2020):
“NETZWERKKONFIGURATIONEN UND BENUTZERVERWALTUNG
In der modernen Netzwerktechnik gibt es sicherheitszertifizierte Software, die die erforderliche logische Trennung der Netze in unterschiedliche Netzsegmente, sogenannte VLANs (virtuelle Netzwerke), innerhalb eines physikalischen Netzwerkes ermöglicht. Damit ist eine physikalische Trennung von Netzwerken nicht mehr notwendig. In Verbindung mit einem RADIUS-Server (Remote Authentication Dial-In User Service) bieten VLANs ein hohes Maß an Datensicherheit.”

In der Broschüre Lernförderliche IT-Ausstattung für Schulen.pdf von 2016 wird das Thema logische Trennung sogar noch umfangreicher aufbereitet:

“4.2 Netzwerk
Die bisherige Praxis der physischen Trennung des pädagogischen Netzes und des Verwaltungsnetzes ist nicht mehr zwingend geboten. Vielmehr kann aus § 2 Abs. 1 VODV I, (Verordnung über die zur Verarbeitung zugelassenen
Daten von Schülerinnen, Schülern und Eltern) insbesondere nach seiner Änderung im Jahr 1995, geschlossen werden, dass es ausreicht, eine logische Trennung über Netzwerkkomponenten und Anmeldeprozeduren herzustellen. Dabei dürfen personenbezogene Daten ausschließlich auf Rechnern, die der Verwaltung zugewiesen sind, verarbeitet werden und nicht auf Rechnern, die im
unterrichtlichen Einsatz sind. Als Ausnahmen sind hier nur personenbezogene Daten zu werten, die im Zuge des Unterrichts im pädagogischen Netz entstehen. In dieser Weise ist auch das in § 4 DSG NRW (Datenschutzgesetz NRW, 2016) und in Anlage zu § 9 Satz 1 BDSG (Bundesdatenschutzgesetz, 2010) geforderte Trennungsgebot zu sehen. Hier ist ebenfalls keine physische Trennung explizit eingefordert. In Tabelle 1 sind die Vorteile der jeweiligen Einrichtungsvarianten zusammengetragen. Die Erfahrung zeigt, dass man bei der Ausgestaltung der Netztrennung einen Kompromiss zwischen Sicherheit und Bedienbarkeit finden muss, um das Bauen »goldener Brücken«, wie das
Kopieren von Daten auf USB-Sticks oder Überspielen von Verwaltungsdaten in das pädagogische Netz, aufgrund zu unhandlicher Abläufe zu vermeiden.” In der Tabelle werden die Vorteile der beiden Trennungsvarianten zwischen dem pädagogischen Netz und dem Verwaltungsnetz dargestellt.

Die Möglichkeit, das Netzwerk der schulischen Verwaltung von dem für den Unterricht logisch zu trennen, lässt sich für NRW aus drei Stellen in schuldatenschutzrechtlichen Regelungen ableiten. Das sind die nahezu wortgleichen Regelungen in § 2 Abs. 1 Satz 1 VO-DV I und § 2 Abs. 1 Satz 1 VO-DV II sowie die in Abs. 1 Satz 4-6 BASS 10-41 Nr. 4 – Dienstanweisung für die automatisierte Verarbeitung von personenbezogenen Daten in der Schule.

In § 2 Abs. 1 Satz 1 VO-DV I macht die folgenden Vorgaben bezüglich der digitalen Verarbeitung von personenbezogenen Daten in der Schule:

§ 2 Verfahren der automatisierten Datenverarbeitung
(1) Die automatisierte Verarbeitung der personenbezogenen Daten ist zulässig auf dienstlichen digitalen Geräten und in Netzwerken, wenn jeweils über die Konfiguration die Vertraulichkeit, Integrität und Verfügbarkeit gemäß Artikel 32 in Verbindung mit Artikel 5 der Datenschutz-Grundverordnung gewährleistet sind.

Hier ist grundlegend festgelegt, auf bzw. in welchen digitalen Systemen in der Schule personenbezogene Daten verarbeitet werden dürfen. Das sind sowohl dienstliche Geräte als auch Netzwerke. Möglich ist damit die Verarbeitung sowohl auf Einzelgeräten wie auch Geräten, die zu einem Netzwerk, einem Verbund von Geräten, gehören. Voraussetzung für die Verarbeitung von personenbezogenen Daten auf bzw. in diesen Systemen ist, dass gem. Art. 32 DS-GVO in Verbindung mit Art. 5 DS-GVO die drei Schutzziele der Informationssicherheit – Vertraulichkeit, Integrität und Verfügbarkeit – gewährleistet sind.

Bei der Frage nach der Trennung von Unterricht und Verwaltung geht es vor allem um das Schutzziel Vertraulichkeit. Um die Vertraulichkeit von personenbezogenen Daten sicherzustellen, muss gewährleistet sein, dass nur berechtigte Personen Zugriff darauf erhalten. Das gilt für den individuellen Rechner wie auch für das Netzwerk. Gibt es mehrere Netzwerke, muss gegebenenfalls auch die Vertraulichkeit dieser Netzwerke untereinander sicherstellt sein, etwa indem Nutzer eines Netzwerks nicht auf ein anderes zugreifen können. Vertraulichkeit lässt sich mittels technischer und organisatorischer Maßnahmen erreichen. § 2 Abs. 1 Satz 1 VO-DV I gibt vor, dass die Gewährleistung der Schutzziele durch die Konfiguration erfolgen muss. Konfiguration kann sowohl hardware- als auch softwareseitige Maßnahmen meinen, wie auch eine Kombination von beiden. Welche Maßnahmen im Einzelfall eingesetzt werden, hängt von verschiedenen Faktoren ab, die sich aus dem Schutzbedarf der verarbeiteten Daten, sowie der eingesetzten Hard- und/ oder Software selbst ergeben.

In den Anfangszeiten der Digitalisierung in Schule waren PCs in Computerräumen in ihrem eigenen Netzwerk verbunden, dem pädagogischen Netz, in der Regel sogar mit einem eigenen Internetzugang. Streng davon getrennt in ihrem eigenen Netzwerk, dem Verwaltungsnetz, waren die für Verwaltungsarbeiten eingerichteten Arbeitsplätze der Schulleitung und des Sekretariats. Für Lehrkräfte gab es teilweise noch einmal ein davon getrenntes separates Netzwerk mit Arbeitsplätzen. Durch physikalisch voneinander getrennte Netzwerke war sichergestellt, dass die in der schulinternen Verwaltung verarbeiteten personenbezogenen Daten vor unbefugten Zugriffen durch Schüler geschützt waren. Selbst wenn Schüler in den Besitz von Zugangsdaten kamen, konnten sie damit nicht aus dem pädagogischen Netz auf die Verwaltungsrechner zugreifen.

Moderne IT braucht diese physische Trennung nicht mehr. Heute laufen Verwaltung und Unterricht mitunter auf einem einzigen Server im Keller der Schule nebeneinander, wie auch die Daten verschiedener Schulen in SchiLD-Zentral auf einem einzigen Server laufen können oder die Instanzen des Landes Moodle, Logineo NRW LMS, vieler Schulen nebeneinander betrieben werden, ohne dass die Nutzer davon etwas merken oder auf die Instanzen der anderen Schulen zugreifen könnten.

Mit der Frage, ob die Rechtsvorgabe aus § 2 Abs. 1 Satz 1 VO-DV I nun eine physische Trennung erfordert oder auch eine logische Trennung zulässt, beschäftigte sich schon 2012 eine “Rechtliche Stellungnahme zur physischen oder logischen Trennung von Schulverwaltungsnetz und pädagogischem Netz“¹ Die rechtliche Stellungnahme, welche von einer Mitarbeiterin des Fraunhofer-Instituts für Sichere Informationstechnologie (SIT) und einem Mitarbeiter der Kommunalen Informationsverarbeitung Baden-Franken (KIVBF) für CloudCycle, ein Projekt der Uni Stuttgart, erstellt wurde, kommt zu folgendem Ergebnis:

“Nach Auffassung beider Verfasser dieser Stellungnahme ergibt sich aus § 2 Abs. 1 VO-DV I keine Pflicht, das Schulverwaltungsnetz und das pädagogische Netz physikalisch voneinander zu trennen, sondern lediglich die Pflicht, personenbezogene Daten, die für Verwaltungszwecke erhoben wurden, nur auf ADV-Arbeitsplätzen zu verarbeiten, die für Verwaltungszwecke eingerichtet wurden. Was die Datenhaltung an sich angeht, muss diese nach Auffassung beider Verfasser nicht physisch getrennt erfolgen. Im Ergebnis gehen die beiden Verfasser daher davon aus, dass das Schulverwaltungsnetz und das pädagogische Netz im Rahmen einer Bildungscloud nicht physisch voneinander getrennt werden müssen, sondern eine logische Trennung erfolgen kann, solange zum Beispiel über Zugriffsregelungen verhindert wird, dass „eine Anwendung außer auf die für den ursprünglichen Zweck eigentlich relevanten Daten auch noch auf weitere, zweckfremde Daten zugreifen kann [….].“²“

Man kommt also zu dem Schluss:

Schulverwaltungsnetz und pädagogisches Netz können auch logisch von einander getrennt werden,
personenbezogene Daten aus der schulischen Verwaltung dürfen nur auf für Verwaltungsarbeiten eingerichteten Arbeitsplätzen verarbeitet werden,
die Speichung von personenbezogenen Daten aus der schulischen Verwaltung erfordert keine physische Trennung von pädagogischen Daten, und
in einer Bildungscloud ist eine logische Trennung von Bildung und Verwaltung möglich, etwa über Zugriffsregelungen.

Logineo NRW, die Basis Plattform mit Online-Dateiverwaltung, E-Mail und Kalender, welche es zur Zeit der Stellungnahme noch nicht gab, verfügt laut Dokumentation über eine “strikte technische Trennung” von Bildungs- und Verwaltungscloud. Auch der sogenannte Daten-Safe innerhalb der Verwaltungscloud ist noch einmal auf technischer Ebene strikt vom Rest getrennt. Lehrkräfte und Schüler melden sich über den selben Login an Logineo NRW an, Schüler können jedoch nicht auf den Verwaltungsteil zugreifen. Die Trennung erfolgt hierfür an erster Stelle, durch eine Vergabe von Zugriffsrechten, die den verschiedenen Nutzerrollen zugewiesen sind,³ also durch eine logische Trennung.

Inwieweit die “strikte technische Trennung” auch durch eine zusätzlich physische Trennung umgesetzt wird, ist der Dokumentation nicht zu entnehmen. Bekannt ist, dass es zumindest zwei getrennte EduSharing Instanzen gibt. Diese könnten auf verschiedenen virtuellen Servern wie auch physischen Servern laufen.

“LOGINEO NRW unterstützt die Trennung von pädagogischer Arbeit und Verwaltungstätigkeit durch eine für Schülerinnen und Schüler bzw. Auszubildende im ZfsL nicht zugängliche Verwaltungscloud.” Anlage1_Produktbeschreibung.pdf

“Trennung zwischen pädagogischem Bereich und Verwaltungsbereich
Im Cloud-Dateimanager von LOGINEO NRW sind der pädagogische- und der Verwaltungsbereich strikt, das bedeutet auf technischer Ebene, voneinander getrennt. Diese Maßnahme dient der zusätzlichen Datensicherheit und unterstützt darüber hinaus die klare und bewusste Unterscheidung beider Arbeitsbereiche durch die Benutzerinnen und Benutzer. Lernende in der Schule und Auszubildende im ZfsL haben auf die Verwaltungscloud keinen Zugriff und können diesen auch nicht im Rahmen von Bedienungsfehlern erhalten.“ Anlage_8_Rechte_Rollen_Konzept.pdf

Während die beiden Regelungen in VO-DV I und II vorsehen, das Schutzziel Vertraulichkeit über die Konfiguration, also technische Maßnahmen umzusetzen, stellt die BASS 10-41 Nr. 4 – Dienstanweisung für die automatisierte Verarbeitung von personenbezogenen Daten in der Schule selbst eine organisatorische Maßnahme dar, um die Vertraulichkeit der Verarbeitung zu regeln. In dieser Dienstanweisung, die mit Stand von April 2022 noch nicht aktualisiert wurde, geht es um die Zulässigkeit der lokalen Verarbeitung von als sensibel eingestuften personenbezogenen Daten von Schülern und Lehrkräften.

Schuleigene ADV-Anlagen, zu denen Schülerinnen und Schüler Zugang haben, dürfen nicht für die lokale Verarbeitung der unter Nummern 4.3.2.1 bis 4.3.2.4⁴ sowie 4.3.3⁵ genannten Dokumente eingesetzt werden. Die lokale Verarbeitung von Zeugnissen, sonderpädagogischen Gutachten gemäß § 19 Absatz 5 SchulG (BASS 1-1), Lern- und Förderempfehlungen gemäß § 50 Absatz 3 SchulG und Benachrichtigungen gemäß § 50 Absatz 4 SchulG ist auf diesen Anlagen untersagt. Dieses bezieht sich in der Regel auf Anlagen außerhalb des Verwaltungsnetzes.

In der Dienstanweisung geht es speziell um Computer Arbeitsplätze, zu denen Schülerinnen und Schüler Zugang haben und die sich in der Regel außerhalb des Verwaltungsnetzes befinden. Darunter fallen beispielsweise PCs in Computerräumen oder auch Lehrer Arbeitsplätze in Klassenräumen. Es können isolierte Arbeitsplätze sein, die keine Verbindung zu irgendeinem Netzwerk haben oder solche, die sich in anderen Netzwerken befinden. Zugang muss im Sinne der Dienstanweisung nicht unbedingt auch bedeuten, dass Schüler sich an diesen Arbeitsplätzen anmelden können. Es reicht ein physischer Zugang. Auf Computerarbeitsplätzen, die den beschriebenen Kriterien entsprechen, ist durch diese Regelung jeweils die lokale Verarbeitung der aufgeführten personenbezogenen Daten untersagt. Damit schränkt die Dienstanweisung die Möglichkeiten, welche sich durch die Regelungen in VO-DV I und II ergeben, ein. Das heißt, selbst wenn bei einem PC durch die Konfiguration die Vertraulichkeit gewährleistet ist, so dürfen die in der Dienstanweisung genannten Daten dort nicht lokal verarbeitet werden, sofern Schüler zu diesem PC Zugang haben.

Im Umkehrschluss bedeutet die beschriebene Einschränkung jedoch auch, dass eine Verarbeitung der beschriebenen Daten, sofern sie nicht lokal erfolgt, sondern in einer sicheren Basis-IT-Infrastruktur wie Logineo NRW, von diesen Arbeitsplätzen aus durchaus zulässig ist. Möglich sein sollte auf solchen Computer Arbeitsplätzen demnach dann sogar eine lokale Verarbeitung von anderen, nicht unter die beschriebenen Kategorien fallenden personenbezogenen Daten, vorausgesetzt, die in VO-DV I Und II beschriebenen Schutzziele sind dort gewährleistet. Ob und inwieweit dieses erforderlich und sinnvoll ist, ist eine andere Frage.

Die persönlichen Dienstgeräte der Lehrkräfte, zu denen Schülerinnen und Schüler, keinen Zugang haben sollten, fallen nicht unter die in der Dienstanweisung vorgegebenen Einschränkungen, solange eine Lehrkraft dieses Gerät nicht dauerhaft offen in der Klasse stehen lässt.

Was heißt das jetzt für die schulische Praxis?

Die Vorgabe in § 2 Abs. 1 Satz 1 VO-DV I und § 2 Abs. 1 Satz 1 VO-DV II, die Gewährleistung der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit umzusetzen, ist technikneutral formuliert über den Begriff der Konfiguration. Damit ist sowohl eine Umsetzung über eine logische wie auch eine physische Trennung als auch eine Kombination von beiden möglich. Der Schutzbedarf und die den einzelnen Computern, den Netzwerken, Anwendungen und Online-Plattformen verfügbaren technischen Möglichkeiten bestimmen letztlich, wie die Umsetzung des Schutzziels Vertraulichkeit durch technische Maßnahmen praktisch umgesetzt wird.

Schulen sind gerade bei Netzwerkstrukturen innerhalb eines Schulgebäudes oftmals bauliche Grenzen gesetzt. “Eine physikalische Trennung der Netze, sprich der Verkabelung einschließlich der Hard- und Software scheitert regelmäßig an baulichen Voraussetzungen und auch an den hiermit verbundenen Kosten.” heißt es im Rechtsgutachten Digitalpakt Schulen von 2019. Um diese Einschränkungen zu kompensieren, muss mit Hardware gearbeitet werden, welche eine sichere logische Trennung ermöglichen: “Daraus resultieren zusätzliche Anforderungen an die Netzwerkkomponenten (Switche, WLAN-APs), welche in der Praxis auch gut und datenschutzrechtlich sicher erfüllt werden können.” Man schlägt dann im Einzelnen folgende Komponenten vor:

”
• Managebar Layer-2 oder besser
• VLAN-Unterstützung
• Multi-SSID”

Die Einrichtung von VLAN (Virtual Local Area Network) ist eine Form der logischen Trennung, bei welcher logische Teilnetze innerhalb eines Switches oder eines gesamten physischen Netzwerks konfiguriert werden. In einem Dokument zur Netzwerksegmentierung für Administratoren und Entscheider von KOM SG wird beschrieben, wie sich diese Trennung von Netzwerken gegeneinander erreichen lässt: “Eine Netzwerksegmentierung wird am einfachsten durch VLANs erreicht. Mit VLANs lassen sich mehrere logisch getrennte Netzwerke über die gleichen physischen Kanäle verwalten. Netzwerkpakete werden entsprechend des VLANs markiert (Tagging) und operieren getrennt zu Paketen mit anderer VLAN Markierung.“⁶

Das Beispiel Netzwerke zeigt, wie komplex das Thema ist. Einfache Antworten gibt es hier nicht. Ob ein Netzwerk die erforderlichen Voraussetzungen für eine sichere Abtrennung mitbringt, kann von den baulichen Gegebenheiten im Schulgebäude abhängen. Inwieweit eine Online Plattform die erforderlichen Voraussetzungen für eine sichere Trennung von schulischer Verwaltung und Unterricht mitbringt, hängt davon ab, ob die Entwickler dieses Thema mitgedacht und umgesetzt haben, und muss jeweils für den Einzelfall ermittelt werden. Logineo NRW bringt für die Basis Plattform diese Voraussetzungen mit, wohingegen das Landes Moodle Logineo NRW LMS sie von Haus aus nicht mitbringt. Wollte man mit Moodle eine entsprechende Trennung umsetzen, müsste man dafür die mandantenfähige Version Moodle Workplace verwenden. Die Macher von IServ geben an, dass ihre Plattform nicht die erforderlichen Voraussetzungen mitbringt und Schulen für Verwaltungszwecke eine zweite Instanz benötigen. Die großen Office Plattformen von Microsoft und Google, deren Nutzung für Zwecke der schulischen Verwaltung aus anderen Gründen ausscheidet, verfügen über sehr umfangreiche Möglichkeiten, verschiedene Bereiche innerhalb der Plattform voneinander abzuschotten. Die aus Island stammende Plattform Namfus wird als “ganzheitliches Schulverwaltungs- und Lernmanagementsystem” beworben und sollte von daher in der Lage sein, beide Bereiche sicher von einander zu trennen. Technische Möglichkeiten, Vertraulichkeit zu gewährleisten, wenn eine Plattform sowohl für schulische Verwaltung wie auch pädagogische Zwecke genutzt werden soll, müssen bei der Entwicklung von Anfang an mitgedacht werden. Da eine nachträgliche Anpassung sehr tiefgreifende Veränderungen erfordern kann, ist es oft nicht möglich, ursprünglich für das Lernen konzipierte Plattformen auch für schulische Verwaltungszwecke auszubauen.

Wer noch etwas mehr Technik braucht

Das BSI hält verschiedene Informationen zum Thema Sicherheit bereit. Bestandteil des Standarddatenschutzmodells, ist die SDM 2.0 Beschreibung von Trennungsoptionen. Hier geht es jetzt nicht nur um Netzwerke, sondern primär um die Trennung der Verarbeitung von personenbezogenen Daten durch verschieden Fachapplikationen (spezialisierte Software). Das Modell kann jedoch vom Prinzip her auf andere Bereiche übertragen werden, also beispielsweise auch auf Online Plattformen.

“Differenzierung bei hohem Schutzbedarf

Logische Trennung ohne technische Unterstützung, die allein auf einer Organisationsanweisung beruht, welche der verfügbaren Daten nicht verarbeitet werden dürfen;
logische Trennung durch parallel betriebene Instanzen innerhalb einer Applikation, die aufgrund von der Sachbearbeitung zugänglichen Regeln eine Hürde für den Zugriff auf verfügbare Daten einzieht (typisch: Mandantentrennung durch Regeln innerhalb einer Datenbankinstanz);
logische Trennung durch parallel betriebene Instanzen innerhalb einer Applikation, die aufgrund der Administration zugänglichen Regeln eine Hürde für den Zugriff auf verfügbare Daten einzieht (typisch: Mandantentrennung durch Regeln innerhalb einer Datenbankinstanz);
logische Trennung von Fachapplikationen, die parallel innerhalb eines Betriebssystems betrieben werden (typisch: mehrere Datenbank-Instanzen);
logische Trennung von Fachapplikationen, von der jeweils eine Instanz in einem virtuellen Betriebssystem betrieben wird, wobei die virtuellen Systeme als „Gäste“ auf einem gemeinsamen Betriebssystem („Host“) aufsetzen;
physikalische Trennung von Fachapplikationen, bei der jede Fachapplikation in einem Betriebssystem auf einer eigenen IT-Hardware in einem gemeinsamen Rack eines Server-Raums über unterschiedliche Netze erreichbar betrieben wird;
physikalische Trennung von Fachapplikationen, bei der jede Fachapplikation in einem Betriebssystem auf einer eigenen IT-Hardware in unterschiedlichen Räumen eines Gebäudes über unterschiedliche Netze erreichbar betrieben werden;
physikalische Trennung von Fachapplikationen, bei der jede Fachapplikation in anderen Rechenzentren, die bspw. spezialisiert für bestimme Verwaltungen („Landesrechenzentrum“, „kommunales Rechenzentrum“) oder für spezielle Berufsgeheimnisträger („Apotheken-Rechenzentrum“) betrieben werden.

Es lassen sich weitere Zwischenstufen formulieren, wobei ganz wesentlich auch die Trennung von Netzen – logisch anhand von Regeln auf Routern und Switches – oder anhand physikalischer Trennung auf der Ebene der Verkabelung zu beachten ist.“⁷

In der Auflistung der Maßnahmen zur Trennung von Fachanwendungen nimmt die Absicherung der Trennung zur Wahrung der Vertraulichkeit von oben nach unten zu. Je höher der Schutzbedarf, desto besser muss die Trennung abgesichert sein.

Eine Möglichkeit, das Schutzziel Vertraulichkeit durch technische Maßnahmen zu erreichen, ist die Virtualisierung, wie sie in der Liste des BSI zur Differenzierung bei hohem Schutzbedarf oben auch erwähnt wird. In seiner Veröffentlichung zur Cyber-Sicherheit BSI-CS 113: „Server-Virtualisierung“ gibt das BSI entsprechende Empfehlungen zum Einsatz von Virtualisierung. Auf Seite 5 findet sich diese Übersicht.

“Die folgende Matrix beinhaltet einen Vorschlag zur Gestaltung virtualisierter Infrastrukturen.
Es wird von drei unterschiedlichen Schutzbedarfskategorien (normal, hoch, sehr hoch, siehe auch [IT-GS])) ausgegangen sowie von zwei Bedarfsträgern.”

Bedarfsträger kann hier beispielsweise zwei Abteilungen in einer Behörde einen. Das Modell ist auch auf Schulserver übertragbar, etwa mehrere IServ Instanzen, welche ein Schulträger für seine Schulen betreibt oder die IServ Instanzen, welche der Anbieter selbst in seinem Cloud Angebot betreibt für Schulen, deren Schulträger die Plattform ohne eigene Hardware bereitstellen möchten.

Es gibt weitere technische Möglichkeiten, Vertraulichkeit zu gewährleisten, etwa Verschlüsselung. In AWS Logische Trennung, Handbuch für Behörden beschreibt der Server Dienstleister Amazon für seine Cloud Services: “Beispielsweise ist die Verwendung von starken kryptographischen Algorithmen zur logischen Trennung von Kundendaten bei gespeicherten Daten mit der räumlichen Trennung von gespeicherten Daten (eine IL5-Anforderung) gleichwertig.” Es ist so möglich, die Daten unterschiedlicher Unternehmen, sondern auch von verschiedenen Nutzergruppen unterschiedlich zu verschlüsseln.

Stand 04/2022

Februar 1, 2020Mai 27, 2021

Wenn Windows 10 – dann unbedingt die Education Version

Lesezeit: 2 Minuten

Im Januar 2020 stellte Microsoft, wie lange vorher angekündigt, endgültig den Support von Windows 7 ein¹. Schulen, welche dieses mittlerweile über 10 Jahre alte Betriebssystem in Verwaltung und pädagogischem Netz nutzten, sind in der Regel direkt auf Windows 10 umgestiegen, um weiterhin sicher arbeiten zu können. Als dann im letzten Jahr Meldungen aufkamen, dass Windows 10 aufgrund der an Microsoft übermittelten Telemetriedaten nicht datenschutzkonform betrieben werden könne, war die Unsicherheit groß. Im nun vorliegenden 9. Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht für das Jahr 2019 wird jetzt Entwarnung gegeben. Eine von der Datenschutzkonferenz beauftragte Arbeitsgruppe unter Leitung des Bayerischen Landesbeauftragten für den Datenschutz führte im Dezember 2019 unter Beteiligung von Microsoft Mitarbeitern eine Laboranalyse von Windows 10 durch. Getestet wurde die Windows 10 Enterprise Edition (Version 1909). Mit Hilfe der von Microsoft offiziell zur Verfügung gestellten Informationen und Tools wurde das System auf das Telemetrielevel “Security” eingestellt.

Im Ergebnis konnte so der Nachweis erbracht werden, dass die Übermittlung von Telemetriedaten an Microsoft erfolgreich unterbunden werden kann.² Im Bericht lautet das Fazit deshalb:

Vom Ergebnis konnte bei diesem Treffen in unserem technischen Labor festgestellt werden, dass die datenschutzrechtlich kontrovers diskutierten Telemetriedaten bei Einsatz der Enterprise Version (und damit auch bei der Education-Version) im überprüften Szenario deaktivierbar sind.

Der Labortest von Windows 10 Enterprise fand unter kontrollierten Bedingungen statt. Im schulischen Alltag findet die Nutzung jedoch in der Regel in einer verwalteten Umgebung statt, da die Windows PCs Teil eines Netzwerks sind. Deshalb ist die Aussage des Bayerischen Landesbeauftragten für den Datenschutz mit einer kleinen Einschränkung versehen.³

Sollte sich dieses Ergebnis beim realen Einsatz von Windows 10 bei Unternehmen bestätigen, dann stellt zumindest der Umgang mit Telemetriedaten bei Windows 10 Enterprise (auch in verwalteten Umgebungen) keinen datenschutzrechtlichen Hinderungsgrund eines Einsatzes dieses Betriebssystems dar.

Man dürfte aber wohl davon ausgehen können, dass bei fachmännisch administrierten Windows 10 Education PCs das Laborergebnis replizierbar ist.

Was bedeutet das für Schulen?

Schulen, die Windows 10 einsetzen oder auf diese Version wechseln wollen, müssen eine Education Version nutzen und zwar in der Version 1909⁴ und müssen diese mittels der von Microsoft bereitgestellten Informationen und Tools auf das Telemetrielevel “Security” einstellen. Nur dann ist es möglich, die Übermittlung von Telemetriedaten an Microsoft datenschutzkonform zu unterbinden.

Lizenzrechtlich ist es zulässig, Windows 10 Education sowohl im pädagogischen Bereich wie auch der schulischen Verwaltung zu nutzen⁵.

Auch beim Einsatz von Microsoft 365 (ehemals Office 365), für welches es bisher leider noch keine vergleichbaren Aussagen der Aufsichtsbehörden gibt, ist für Schulen dringend die Nutzung von Education Versionen zu empfehlen. Genau wie bei Windows 10 bieten nur diese Versionen – neben Enterprise Versionen – die umfangreichsten Möglichkeiten, Einfluss auf die Datenabflüsse an Microsoft zu nehmen. Hinzu kommt noch, dass Microsoft bei den Education Versionen zusätzliche Versicherungen abgibt, Nutzungsdaten nicht zur Profilbildung zu Werbezwecken zu verwenden.

Update 1

Vom Dezember 2020 gibt es bei Heise einen Bericht zum aktuellen Stand der Arbeit der DSK – Datenschützer: Windows-10-Nutzer bei Telemetrie nicht aus dem Schneider. Demnach sind die beiden Versionen Home und Pro weiterhin nicht ohne Übermittlung von Telemtriedaten nutzbar. Die Win 10 Pro Version wird auch in schulischen Verwaltungen eingesetzt. Zu empfehlen ist das nicht. Schulen haben es oftmals nicht in der Hand, da der Schulträger oder der von diesem beauftragte IT Dienstleister die Windows Version bestimmt. Hier sollten Schulleiter deutlich Einspruch erheben.

Update 2

Das BSI stellt seine Sicherheitseinstellungen für Windows 10 jetzt öffentlich zur Verfügung.

Die empfohlenen Konfigurationseinstellungen gibt es als direkt in Windows importierbare Gruppenrichtlinienobjekte (GPO) zum Download.

Stand 05/2021