Datenschützer: Es gibt keine Negativliste für Online-Lernplattformen

Erfurt.  Es ist gar nicht so einfach, sich rechtssicher im Bildungsbereich für den passenden Anbieter von Videokonferenzen zu entscheiden.

Lutz Hasse, Landesbeauftragter für den Datenschutz und die Informationsfreiheit von Thüringen.

Lutz Hasse, Landesbeauftragter für den Datenschutz und die Informationsfreiheit von Thüringen.

Foto: Martin Schutt / dpa

Die Frage an den obersten Datenschützer im Lande ist denkbar einfach: Welche Plattformen sind im Bildungsbereich nicht zu verwenden? Der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), Lutz Hasse, rät zu einer vorherigen ausführlichen Prüfung bei der Nutzung von US-amerikanischen Produkten.

Die dort geltenden Gesetze, etwa der US-Cloud-Act, erfüllen demnach nicht die Anforderungen der Datenschutzgrundverordnung (DS-GVO). Auch Serverstandorte außerhalb der USA seien nicht davor geschützt, dass US-Sicherheitsbehörden auch dort auf Daten zugreifen. Erschwerend komme hinzu, dass der Europäische Gerichtshof in seiner Entscheidung Schrems II (C-311/18) vom 16. Juli 2020 das EUUS Privacy Shield für ungültig erklärt hat. „Begründet wird dies mit den zu weitreichenden Zugriffsmöglichkeiten auf personenbezogene Daten. Damit ist Datentransfers in US-Clouds die Rechtsgrundlage weitestgehend entzogen“, sagt Lutz Hasse.

Keine Liste von nicht zu empfehlenden Anbietern

Aber welche Möglichkeiten sind denn nun für die Bildungseinrichtungen empfehlenswert? „Es gibt beim TLfDI keine Liste mit Anbietern von nicht zu empfehlenden digitalen Produkten“, heißt es. Und begründet wird das so: Das Amt sei „personell und aus zeitlichen Gründen nicht in der Lage, alle auf dem Markt befindliche Lernplattformen, Messengerdienste, Videokonferenzsysteme und dergleichen umfangreich und rechtssicher zu prüfen“, lautet die Antwort.

Und nur damit keiner auf falsche Gedanken kommt, heißt es: „Dies ist auch nicht von der gesetzlichen Beratungs- und Informationsaufgabe der Datenschutzaufsichtsbehörden umfasst.“

Zum Einsatz von Online-Lernplattformen allgemein gibt es eine Orientierungshilfe. Die Regeln zur Nutzung von Videokonferenzsystemen seien über die Schulämter bereits allen Schulen zur Kenntnis gegeben worden. Im Einzelfall beantworte das Amt von Hasse „selbstverständlich Anfragen von Schulleitern, die Beratung zu einer Lernplattform, einem Videokonferenzsystem benötigen“, heißt es.

Schulen können Anweisungen gegeben werden

Nutzt eine staatliche Schule in eigener Verantwortung ein Videokonferenzsystem, das nicht den datenschutzrechtlichen Bestimmungen entspricht, so stehen Hasses Amt nach § 7 Abs. 1 Thüringer Datenschutzgesetz die Befugnisse nach Art. 58 DS-GVO zur Verfügung. Das heißt: „Neben umfangreichen Untersuchungsbefugnissen sind dies Abhilfebefugnisse, um beispielsweise eine Schule zu warnen, zu verwarnen und auch Anweisungen auszusprechen.“ Die Möglichkeit der Verhängung einer Geldbuße gegen öffentliche Stellen von Thüringen ist allerdings gemäß § 61 Abs. 4 ThürDSG nicht möglich.

Handelt eine einzelne Lehrkraft auf eigene Faust beziehungsweise vorsätzlich den Anweisungen der Schule zuwider und nutzt ein digitales Verfahren, das gegen datenschutzrechtliche Vorschriften verstößt beziehungsweise nicht von der Schulleitung genehmigt wurde, kann der Verstoß unter Umständen mit einem Bußgeld geahndet werden. „Möglicherweise droht dann der Lehrkraft auch ein Disziplinarverfahren mit dem Dienstherrn“, so Hasse.

Zweifel an Zulässigkeit von Zoom

Gegen das beliebte Videochatprogramm Zoom spricht nach Angaben des Bildungsministeriums „bisher die datenschutzrechtliche Bewertung“ der Berliner Beauftragten für den Datenschutz und ihres Thüringer Kollegen, wonach gegenüber Zoom „Zweifel an der Zuverlässigkeit des Anbieters“ bestehen. So lange diese Bewertung nicht geändert werde, könne ein Einsatz datenschutzrechtlich auch vom Bildungsministerium „nicht empfohlen werden“, heißt es auf Anfrage dieser Zeitung.

Sollte sich die Einschätzung des Landesdatenschutzbeauftragten Hasse hinsichtlich der Plattformen ändern, könnten diese Plattformen auch wieder genutzt werden.

Diese Möglichkeit scheint durchaus gegeben, weil zwischenzeitlich Veränderungen vom Plattformbetreiber vorgenommen wurden.

Staatlichen Schulen steht über das Thüringer Schulportal das Videokonferenzsystem BigBlueButton zur Verfügung. Dieses sei vom Landesdatenschutzbeauftragten geprüft worden und dessen Einsatz somit unbedenklich, heißt es aus dem Bildungsministerium.

Weitere Infos unter www.tlfdi.de/mam/tlfdi/gesetze/orientierungshilfen/oh-videokonferenzsysteme_final.pdf

sowie www.datenschutz-berlin.de/fileadmin/user_upload/pdf/orientierungshilfen/2020-BlnBDI-Hinweise_Berliner_Verantwortliche_zu_Anbietern_Videokonferenz-Dienste.pdf