Das Wichtigste in Kürze
- Bei Videokonferenzen von Schulen und Hochschulen spielt Datenschutz eine wichtige Rolle, denn bei jeder Sitzung werden personenbezogene Daten gesammelt.
- Staatliche bzw. kommunale Schulen und Hochschulen sind zwar nicht bußgeldfähig, Lehrende als Privatpersonen aber schon.
- Ein datenschutzfreundliches Tool ist das A und O.
- Anbieter aus der EU sind unter Datenschutzaspekten weniger problematisch als etwa Tools aus den USA.
- Im Sinne des Datenschutzes müssen sich alle Teilnehmer einer Videokonferenz an die zuvor festgelegten Spielregeln halten.
In diesem Beitrag
- Welche Rolle spielt der Datenschutz bei Videokonferenzen?
- Welche personenbezogenen Daten werden beim Unterricht via Videokonferenz erhoben?
- Welche Datenschutzprobleme bergen Videokonferenzen von Schulen und Hochschulen?
- Müssen Schulen und Universitäten im Zweifelsfall mit Bußgeldern rechnen?
- Wie lassen sich Videokonferenzen datenschutzkonform gestalten?
- Fazit
Die Coronakrise machte zur Notwendigkeit, was schon seit Jahren angedacht war: E-Learning für Schulen und Hochschulen. Viele digitale Lösungen sind bereits vorhanden und nutzbar. Ähnlich wie Unternehmen durch die Krise feststellten, dass viele Geschäftsreisen eigentlich überflüssig sind, wurde auch Schulen und Hochschulen klar, dass im Unterricht die Anwesenheit vor Ort nicht immer erforderlich ist.
Doch auch beim E-Learning und Homeschooling ist ein regelmäßiger direkter Austausch nötig, der sich ohne Videokonferenzen kaum ermöglichen lässt. Die Nutzung von Microsoft Teams, Zoom und vergleichbaren Diensten stellt Lehrende und Lernende allerdings vor neue Herausforderungen – auch und vor allem mit Blick auf den Datenschutz.
Welche Rolle spielt der Datenschutz bei Videokonferenzen?
Name, Vorname, E-Mail-Adresse: Bei Videokonferenzen von Schulen und Hochschulen müssen Teilnehmer und Teilnehmerinnen einige Informationen über sich preisgeben, die zu den personenbezogenen Daten zählen. Ebendiese gilt es zu schützen.
Nicht nur die Daten von Lernenden sind zu schützen. Auch müssen Bildungseinrichtungen und Lehrende dafür sorgen, dass Unbefugte nicht an den Videokonferenzen teilnehmen können. Wie wichtig das insbesondere mit Blick auf den Unterricht ist, hat sich an einer Freiburger Schule gezeigt: Dort haben unberechtigte Teilnehmer bei einer Videokonferenz über Zoom pornografische Bilder geteilt.
Welche personenbezogenen Daten werden beim Unterricht via Videokonferenz erhoben?
Der Austausch von personenbezogenen Daten geht oft über den Vor- und Nachnamen und die E-Mail-Adresse hinaus. Manchmal werden auch ganze Benutzerprofile offengelegt.
Im Schulkontext spielt auch die Besprechung von Leistungen und Benotungen eine Rolle. Wenn sich eine Lehrkraft mit einem Lernenden per Videokonferenz über dessen Schulnoten austauscht, so ist auch das entsprechend schützenswert.
Welche Datenschutzprobleme bergen Videokonferenzen von Schulen und Hochschulen?
Datenschutzrechtlich problematisch wird es, wenn es bei Videokonferenz-Tools zu Sicherheitslücken, zur Weitergabe von Daten an Dritte oder zum Zugriff durch Unbefugte kommt. Im Schulkontext ist zudem die besondere Schutzwürdigkeit der Daten von Kindern und Jugendlichen zu beachten. Es muss jederzeit transparent sein, welche Daten das Tool sammelt, welche es mit Dritten teilt und welche Zugriffsrechte diesem übertragen werden.
Im Fall der Coronakrise mussten Lehrende an Schulen und Hochschulen von einem Tag auf den anderen Tools nutzen, mit denen sie nicht vertraut waren. Zu dieser Zeit gab es von offizieller Seite, also von den Kultusministerien und den Schulbehörden, noch keine konkreten Regelungen. Erst nach den Erfahrungen aus der Krise begannen Diskussionen über die klare Definition, welche personenbezogenen Daten erhoben werden dürfen.
Müssen Schulen und Universitäten im Zweifelsfall mit Bußgeldern rechnen?
Laut der europäischen Datenschutz-Grundverordnung (DS-GVO) sind öffentlich-rechtliche Träger nicht bußgeldfähig. Aufgrund dieser Regelung müssen weder die zuständigen Schulbehörden noch die Schulen und Universitäten selbst mit Bußgeldern rechnen, wenn nicht datenschutzkonforme Videokonferenz-Tools verwendet wurden.
Lehrende an Schulen und Hochschulen dagegen sind als Privatpersonen durchaus bußgeldfähig und können zur Verantwortung gezogen werden, auch wenn die alleinige Schuld nicht bei ihnen liegt. So gab es beispielsweise einen Fall in Thüringen, bei dem der Landesdatenschutzbeauftragte mit Bußgeldern drohte, weil eine Lehrkraft ein nicht datenschutzkonformes Videokonferenz-Tool einer US-Firma genutzt hatte.
Damit es erst gar nicht soweit kommt empfiehlt es sich in jedem Fall mit einem Datenschutzexperten zu sprechen. Hier kann Ihnen ein Datenschutzbeauftragter weiterhelfen.
Wie lassen sich Videokonferenzen datenschutzkonform gestalten?
Generell sollten die Aufsichtsbehörden der Schulen und Hochschulen Vorgaben machen, wie und welche Videokonferenz-Tools genutzt werden dürfen. Wenn sich einzelne Lehrkräfte absichern möchten, dass ihre Videokonferenzen datenschutzkonform ablaufen, können sie sich an folgenden Hinweisen orientieren:
Datenschutzfreundliches Tool wählen
Kostenlose Tools sind nicht immer für Schulen und Hochschulen geeignet. Zunächst muss geklärt werden, wer an der Schule oder Hochschule für die Datenverarbeitung verantwortlich ist und welche Tools verwendet werden dürfen. Zentral ist dabei die Frage, ob das Tool die datenschutzrechtlichen Voraussetzungen erfüllt, die sich aus dem Schulgesetz, dem Landesdatenschutzgesetz und der DS-GVO ergeben.
Eine Auswahl datenschutzkonformer Tools und weitere Informationen finden Sie in diesem Artikel.
Anbieter aus Deutschland und der EU denen aus Drittländern vorziehen
Anbieter mit Sitz außerhalb der EU sind problematisch, weil die Daten ggf. in ein Drittland übertragen werden. Dadurch kann datenschutzrechtlich viel Unklarheit entstehen. Nehmen wir als Beispiel US-Anbieter: Die US-Gesetzgebung gewährt Behörden auch ohne richterlichen Beschluss Zugang zu Daten, die von US-Unternehmen gesammelt wurden. Das gilt auch dann, wenn sich die Nutzer außerhalb der USA befinden.
Datenschutzrechtlich besser aufgehoben sind Schulen und Hochschulen bei Anbietern aus Deutschland oder aus anderen EU-Ländern, deren Tools den Regelungen der DS-GVO unterworfen sind.
Auftragsverarbeitungsvertrag mit Anbieter abschließen
Die Schule oder Hochschule sollte einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter abschließen. Wenn das gewählte Tool über den eigenen Server der Schule oder Hochschule läuft, ist ein AVV nicht erforderlich. Kennzeichnend für eine Auftragsverarbeitung ist die ausgelagerte Verarbeitung personenbezogener Daten, die bei der Nutzung auf einem eigenen Server regelmäßig nicht gegeben ist. Ein AVV ist aber z. B. mit dem IT-Dienstleister zu schließen, der den Server wartet.
Einen Hinweis in der Datenschutzerklärung für Schulen und Unis aufnehmen
Wenn Videokonferenz-Tools verwendet werden, muss ein entsprechender Hinweis in die Datenschutzerklärung der Schule oder Hochschule aufgenommen werden. Dies sollte in Absprache mit dem Landesdatenschutzbeauftragten und der zuständigen Aufsichtsbehörde erfolgen. In einigen Bundesländern gibt es bereits Vorlagen mit Mustertexten. Für staatliche, aber auch private Schulen in Bayern stellt etwa das Bayerische Staatsministerium für Unterricht und Kultus eine Handreichung für den Datenschutz einschließlich Musterdatenschutzhinweisen für Schulen zur Verfügung.
Auch bei der Einrichtung von PC und Videokonferenz-Tool auf den Datenschutz achten
Bildungseinrichtungen, Lehrende und Lernende können und sollten auch darauf achten, dass die Grundvoraussetzungen für einen datenschutzkonformen Einsatz von Videokonferenz-Tools gegeben sind. Wichtig sind hier vor allem folgende Punkte:
- Die Datenschutzeinstellungen im Tool sollten überprüft und bei Bedarf angepasst werden.
- Das WLAN aller Teilnehmer und Teilnehmerinnen muss verschlüsselt sein.
- Der genutzte Computer sollte für andere Personen nicht zugänglich sein.
- Auf dem Computer sollten regelmäßig Updates installiert werden, um den aktuellen Sicherheitsstandard zu gewährleisten.
- Lehrkräfte müssen Daten wie Chats, die nach dem Unterricht nicht mehr benötigt werden, umgehend nach der Unterrichtseinheit löschen.
Einwilligung aller Teilnehmer einholen
Alle Teilnehmer und Teilnehmerinnen der Videokonferenz müssen über die Art und den Umfang der Datenerhebung informiert werden. Wie bereits erwähnt, gilt bei Kindern ein besonderer Schutz von Daten, daher müssen auch die Eltern in Kenntnis gesetzt werden.
Eine Einwilligung zur Datenverarbeitung ist nicht zwingend erforderlich – zumindest dann nicht, wenn die Verarbeitung auf eine andere Rechtsgrundlage gestützt werden kann. In der Coronakrise etwa sollten die Verordnungen der Bundesregierung und der Landesregierungen eine solche Rechtsgrundlage bilden.
Aufgrund der teils unklaren Vorgaben empfiehlt es sich für Schulen und Hochschulen dennoch, auf Nummer sicher zu gehen. Sie können bei der Einladung zur Videokonferenz auf ihre Datenschutzerklärungen hinweisen und sicherheitshalber auch eine Einwilligung aller Beteiligten einholen.
Spielregeln für alle Teilnehmer festlegen
Für Videokonferenzen empfiehlt sich ein „Datenschutz-Knigge“, an den sich alle Teilnehmerinnen und Teilnehmer halten. Wenn die Lehrkräfte beispielsweise den Unterricht aufzeichnen möchten, bedarf dies der Einwilligung aller. Eine Ausnahme bilden etwa Vorlesungen, bei denen nur die Lehrenden sprechen. Wenn nur eine einzelne Person spricht, muss die Einwilligung zur Aufzeichnung nicht bei den Zuhörern eingeholt werden.
Lehrende sollten auch vorab entscheiden, welche Inhalte sie während der Videokonferenz teilen. Dabei gelten in der digitalen Welt die gleichen Regeln wie in der analogen Welt. Wenn Materialien digital verbreitet werden, muss beispielsweise die Rechtslage bezüglich des Urheberrechts klar sein. Vorsicht ist auch bei Links geboten, denn sie könnten eventuell zu Seiten mit strafbaren Inhalten oder zu Urheberrechtsverletzungen führen.
Fazit
Spätestens seit der Coronakrise sind die meisten Schulen und Hochschulen mit dem Thema E-Learning und Homeschooling vertraut. Als Folge daraus wird auch das Thema Datenschutz immer wichtiger. Vor allem beim Einsatz von Tools für Videokonferenzen müssen Schulen und Hochschulen darauf achten, in welchem Umfang personenbezogene Daten erhoben und verarbeitet werden dürfen.
Viele Dinge können Lehrende selbst in die Hand nehmen, um sich datenschutzrechtlich abzusichern. Langfristig sollten die Kultusministerien und die zuständigen Aufsichtsbehörden möglichst einheitliche Regelungen festlegen, um Videokonferenz-Tools für Lehrende und Lernende einfach nutzbar zu machen. Denn das Thema E-Learning wird wohl immer mehr Raum im Unterricht der Zukunft einnehmen.
Sie haben Fragen zur Einhaltung der DS-GVO oder zu weiteren Datenschutzspezifischen Themen?
Bei DataGuard sind zertifizierte Experten auf Augenhöhe für Sie da. Buchen Sie Ihr persönliches Gespräch mit einem Branchenexperten und lernen Sie uns persönlich kennen:
