Nutzt eine Schule Social Media Kanäle zur Außendarstellung direkt über die Seiten der Anbieter, so ist dieses in Bezug auf das Thema Datenschutz eine Sache. Werden die Social Media Auftritte der Schule zusätzlich in die Schulhomepage eingebunden, kommen ergeben sich in Bezug auf die datenschutzrechtliche Verantwortung der Schule weitere Aspekte, die zu berücksichtigen sind. Diese sollen hier beleuchtet werden.
Datenfluss bei Embed von Social Media
Werden Social Media wie Twitter oder Instagram über ein Embed in die Website eingebunden, fließen automatisch Daten der Besucher der Seite an den Social Media Anbieter, nicht anders als würde man diesen Anbieter direkt auf der Seite besuchen. Entsprechend äußert sich auch der LDI Baden Württemberg, dessen Behörde einen Twitter Account betreibt bis Ende Januar 2020 einen Twitter Account betrieb, zu dieser Thematik1Quelle des Zitats: https://www.baden-wuerttemberg.datenschutz.de/twitter-datenschutzfolgenabschaetzung/ (abgerufen 11/2019) Die Datenschutzfolgenabschätzung ist mittlerweile nicht mehr online verfügbar (03.2020).
Technisch besteht die Möglichkeit, in eigene Webseiten aktive Elemente von Sozialen Netzwerken, auch von Twitter, zu integrieren. Derartige Elemente informieren das Soziale Netzwerk (oder ggf. sonstige Dritte) von dem Besuch auf einer bestimmten Seite. Ist der Besucher mit seinem (z.B. Twitter-)Account angemeldet, so ist er für den Dritten (z.B. Twitter) identifiziert. Auch wenn er nicht angemeldet oder sogar gar nicht registriert ist, sind Profilbildung und Wiedererkennung möglich.
Danach ist die Einbindung derartiger Elemente nicht erlaubt, wenn nicht die informierte, freiwillige und vorherige, aktiv und separat erklärte Einwilligung des Nutzers vorliegt.
Daraus ergibt sich die Erfordernis, die Besucher vorher über diese Art von Datenverarbeitung zu informieren, ähnlich wie diese jetzt bei den nicht erforderlichen Cookies oder bei der Einbettung von Social Media Buttons notwendig ist. Erst wenn die Besucher diesbezüglich einwilligen oder einen Link klicken, werden die Cookies gesetzt, die Social Media Sharing Buttons auf der Website aktiviert und können genutzt werden. Entsprechend ist es aus Sicht des Datenschutzes erforderlich, wenn man Twitter, Instagram oder ähnliche Anbieter entsprechend einbindet.
Lösungsmöglichkeiten
Es gibt verschiedene Möglichkeiten, die Datenerhebung durch Social Media Embed Elemente2Embed bezeichnet die technische Möglichkeit, Inhalte anderer Websites innerhalb der eigenen Website einzubetten, so das der Inhalt der anderen Website unmittelbar von der Quelle angezeigt wird, so als würde man diese Seite direkt aufrufen. in einer Seite zu unterbinden.
Information
Datenschutzerklärung
Die saubere Einbettung von externen Social Media Inhalten ist die eine Seite der Medaille. Die andere ist die Information der Website Besucher über die Datenschutzerklärung. Dort muss ein entsprechender Passus enthalten sein. Dieser sollte nicht nur auf die Datenschutzerklärung des Social Media Anbieters verlinken, sonder auch darüber hinausgehend informieren, welche Datenverarbeitung im Zusammenhang mit der Einbettung in die Schulhomepage erhoben werden. Dazu gehört die Identifizierung des Besuchers durch den Social Media Anbieter. Ist der Besucher gleichzeitig bei diesem Anbieter eingeloggt, kann der Anbieter dem Besucher den Seitenbesuch auf der Schulhomepage zuordnen. Je nach Anbieter kann solches auch ohne Anmeldung oder eigenes Profil beim Social Media Anbieter möglich sein (z.B. Facebook Schatten Profil).
Information beim Embed
Wichtig ist, dass die Besucher der Seite vor Aktivierung der Social Media Embeds bzw. Besuch des Social Media Angebotes (auf einer andere Seite der eigenen Homepage) einen Hinweis erhalten über die damit einhergehende Datenerhebung, der auch auf die Datenschutzerklärung verweist für vertiefende Informationen. Es sollte in den meisten Fällen ausreichen, wenn außerdem darauf hingewiesen wird, dass die Besucher durch Anklicken in die erforderliche Datenverarbeitung einwilligen.
Plugins & Tools
Welche Möglichkeiten es dazu in technischer Hinsicht gibt, hängt vom genutzten System für die Website ab. Bei WordPress kann man so etwas über Plugins lösen, bei anderen Systemen muss man eventuell etwas von Hand erstellen. Es gibt darüber hinaus verschiedene Techniken. Ein Beispiel ist die Einbettung von YouTube Videos, bei denen nur ein Vorschau Bild generiert wird, welches mit dem Video selbst verlinkt ist. Das wird dann in den iframe geladen, wenn dieses Bild angeklickt wird. Bis dahin fließen keine Daten an YouTube. Vergleichbare Ergebnisse bei Nutzung einer etwas anderen Technik liefert Embetty für WordPress von Heise Online 3Die Nutzung setzt allerdings die Einrichtung eines kleinen Proxy Servers voraus.
Verlinkung
Ist eine Umsetzung mittels Plugin oder anderer Tools nicht möglich, bleibt immer noch die Option, über einen Link zu arbeiten. Dieser Link kann entweder über einen Textlink oder ein Bild erfolgen. Dabei gibt es zwei Optionen, wohin der Link verweist. Er kann direkt auf das Social Media Angebot führen oder er kann auf eine andere Seite innerhalb der Homepage verweisen, in welcher das Social Media Angebot direkt eingebettet ist, ohne weitere Schutzmaßnahmen. Wichtig wäre bei letzterer Option, dass diese Seite nicht über eine Suche innerhalb der Website oder eine Suche über eine Suchmaschine direkt aufgerufen werden kann. In Systemen wie WordPress lassen sich Seiten aus der Suchfunktion ausschließen. Für Suchmaschinen muss der Ausschluss aus der Suche über einen entsprechenden Meta Tag umgesetzt werden.4Leider ist der robots txt noindex Meta Tag keine Gewähr mehr, dass Suchmaschinen eine einzelne Seite nicht in den Index aufnehmen, da Google die Berücksichtigung dieses Tags im Juli 2019 gestoppt hat.
Kann eine Schule aktuell überhaupt noch einen eigenen Social Media Kanal betreiben?
Wenn sogar Behörden und Aufsichtsbehörden eigene Social Media Auftritte haben, sollte eine Nutzung auch für Schulen möglich sein. Wie oben beschrieben, sind dabei jedoch einige Dinge zu beachten.5Da der Inhalt dieser Seite auf Anfrage entstand, überschneidet sich ein Teil der folgenden Inhalte mit denen anderer Seiten zum Thema Social Media und Schule.
Nur eine Informationsmöglichkeit von mehreren
Für Besucher der Seite, ob externe Besucher oder Schüler, Eltern und Lehrkräfte sollten die über den Social Media Account bereitgestellten Inhalte und Informationen möglichst auch auf einem anderen Weg bereitgestellt werden. Besucher dürfen nicht gezwungen sein, den Social Media Dienst zu nutzen bzw. den Embed in der Schulhomepage zu aktivieren, um an Informationen, welche sie zwingend erhalten müssen, zu gelangen. Werden in den Social Media Kanal nur “unwichtige” Informationen eingestellt, besteht keine Erfordernis, sie auch auf anderem Wege zur Verfügung zu stellen.
Alternative Zugangswege
Um Personen aus der Schule, die am Social Media Auftritt der Schule interessiert sind, eine Möglichkeit zu geben, diese Inhalte auch im Social Media Kanal selbst anzusehen könnte die Schule alternative Zugangswege bieten. Das könnte eine Einbindung in digitale Schwarze Bretter im Schulgebäude sein oder die Möglichkeit, den Social Media Kanal über schulische Rechner zu besuchen, die einen un-personalisierten Zugang erlauben (z.B. Zugang über Rechner ohne Logins an irgendwelchen externen Diensten, die eine Verbindung zu Social Media Anbietern haben, Gastzugang auf einem Rechner, Brave Browser im Anonym Modus mit Schutz durch TOR Netzwerk)
Vertrag zur Auftragsverarbeitung bzw. Gemeinsame Verantwortlichkeit
Wenn die Schule einen eigenen Social Media Auftritt hat, werden dabei personenbezogene Daten verarbeitet. Das sind auf jeden Fall personenbezogene Daten der Besucher des Auftritts und können je nach Nutzung auch personenbezogene Daten der Personen sein, welche den Auftritt betreuen. Außerdem kommen personenbezogene Daten von Personen aus der Schule in Betracht, wenn solche über den Auftritt veröffentlicht werden. Aus diesem Grund muss zwischen der Schule als verantwortlicher Stelle und dem Social Media Anbieter ein Vertrag geschlossen werden, welcher die Verantwortlichkeiten, Rechte und Pflichten beider Seiten regelt. Da Social Media Anbieter die durch die Plattform erhobenen Daten auch immer für eigene Zwecke nutzen, kommt ein Vertrag zur Auftragsverarbeitung im Sinne von Art. 28 DS-GVO in der Regel nicht in Betracht. Stattdessen bedarf es einer Vereinbarung gemäß Artikel 26 DS-GVO, in welchem die Zwecke und Mittel zur Verarbeitung gemeinsam festgelegt werden wie auch wer für die Erfüllung der verschiedenen Verpflichtungen, welche sich aus der DS-GVO ergeben, verantwortlich ist. Dabei sind insbesondere zu regeln, wer für die Wahrnehmung der Rechte der betroffenen Person zuständig ist, und in wessen Zuständigkeit die Erfüllung der Informationspflichten gemäß den Artikeln 13 und 14 liegt.
Personenbezogene Daten aus der Schule in Social Media
Solange eine Schule ihren Social Media Account ohne personenbezogene Daten aus der Schule nutzt und nur allgemeine Informationen darüber verbreitet, die gegebenenfalls auch noch auf anderem Wege genauso einfach zu erhalten sind, etwa über einen Blog oder ein Nachrichten Board auf der Schulhomepage, ist die Nutzung insgesamt datenschutzrechtlich wenig problematisch. Sollen auch personenbezogene Daten von Personen aus der Schule darüber verbreitet werden, so setzt dieses eine informierte und freiwillige Einwilligung der Betroffenen voraus. Jugendliche können hier vor Vollendung des 16. Lebensjahres nicht eigenständig einwilligen, da es sich bei Social Media Kanälen in der Regel um Dienste der Informationsgesellschaft im Sinne von Art. 8.1 DS-GVO handelt.6Siehe hierzu auch den Beitrag Auswirkungen der DS-GVO auf die Einwilligungsfähigkeit von Schülern Die Schule sollte darüber hinaus auch ihre ethische und moralische Verantwortung gegenüber den Schülerinnen und Schülern nicht außer acht lassen. Bei älteren Schülern, welche über einen eigenen Instagram Account verfügen und diesen auch aktiv nutzen, spricht sicherlich weniger gegen eine aktive Beteiligung an einem Social Media Auftritt der Schule mittels Posts und Fotos die der Person zugeordnet werden können als bei Schülern, die selbst (noch) nicht aktive Social Media Nutzer sind.
Lernanlass
Besitzt eine Schule einen Social Media Account, so sollte die damit verbundene datenschutzrechtliche Problematik mit den Schülern auf jeden Fall thematisiert werden. Es sollte für Schüler klar sein, warum die Schule dieses Medium nutzt und welche Risiken eine Nutzung für Betroffene in Bezug auf ihr Recht auf informationelle Selbstbestimmung, Profilbildung, Cyberbullying, … darstellen kann.
Weiter lesen
Wer mit dem Gedanken spielt, Social Media in die Schulhomepage einzubinden, sollte unbedingt die aktuellen Entwicklungen bezüglich der Nutzungsmöglichkeiten von Social Media durch Behörden bzw. öffentliche Stellen und Firmen berücksichtigen – siehe dazu Schule Social Media Auftritt – Stand Januar 2020.