Videokonferenzen an Schulen und Hochschulen

Der ehemalige Thüringer Landesdatenschutzbeauftragte Lutz Hasse kündigte 2020 an, mögliche Datenschutzverstöße von Lehrkräften im Distanzunterricht zu prüfen. Bei der Nutzung nicht datenschutzkonformer bzw. nicht freigegebener Tools – im Kontext wurden unter anderem Zoom und Microsoft Teams genannt – hielt er Bußgelder von bis zu 1.000 Euro für möglich. Tatsächlich wurde nach seiner späteren Aussage jedoch kein Bußgeldbescheid gegen Lehrkräfte erlassen. Der Fall zeigt jedoch exemplarisch, dass die Verantwortung für eine datenschutzkonforme Videokonferenzlösung im Bildungsbereich nicht allein bei der Schule als Institution liegt, sondern im Einzelfall bis zur einzelnen Lehrkraft reichen kann.

Warum Daten von Kindern und Jugendlichen besonderen Schutz genießen

Bei Videokonferenzen im Schulkontext werden in der Regel umfangreiche personenbezogene Daten verarbeitet: Bild- und Tonaufnahmen, Namen, teils auch besondere Kategorien personenbezogener Daten, etwa im Rahmen sonderpädogischer Förderung. Die DSGVO berücksichtigt die besondere Schutzbedürftigkeit von Kindern ausdrücklich. Erwägungsgrund 75 nennt die Verarbeitung personenbezogener Daten schutzbedürftiger Personen, insbesondere von Kindern, als einen Umstand, aus dem sich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen ergeben kann. Art. 8 DSGVO enthält zudem besondere Voraussetzungen für einwilligungsbasierte Verarbeitungen im Zusammenhang mit Diensten der Informationsgesellschaft, die Kindern direkt angeboten werden.

Für eine Videokonferenzlösung im schulischen Einsatz bedeutet das in der Praxis: Die Auswahlkriterien liegen tendenziell strenger als in vielen anderen Anwendungsfeldern, weil die Betroffenen ihre Rechte häufig nicht selbst vollumfänglich wahrnehmen können und besonders schutzbedürftig sind.

Wer haftet: Schule, Schulträger oder Lehrkraft

Nach überwiegender Auffassung der Landesdatenschutzbeauftragten sind einzelne Schulen datenschutzrechtlich eigene Verantwortliche im Sinne der DSGVO. Die schulgesetzlichen Grundlagen der Länder erlauben die Verarbeitung personenbezogener Daten von Schülerinnen, Schülern, Eltern und Lehrkräften im Rahmen von Videokonferenzsystemen, sofern dies für den jeweiligen Zweck erforderlich ist.

In der praktischen Umsetzung entsteht daraus eine mehrstufige Verantwortungskette: Der Schulträger oder das zuständige Ministerium trifft häufig die grundsätzliche Entscheidung für ein System, die einzelne Schule verantwortet den konkreten Einsatz, und die Lehrkraft ist für die tägliche Anwendung zuständig.

Was die Landesdatenschutzbeauftragten fordern

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) veröffentlichte 2020 eine Orientierungshilfe zu Videokonferenzsystemen und ergänzte diese um eine Checkliste, welche die wesentlichen rechtlichen und technischen Anforderungen zusammenfasst. Landesdatenschutzaufsichten konkretisierten diese Anforderungen für Schulen, unter anderem in Baden-Württemberg, Niedersachsen und Nordrhein-Westfalen. Dazu gehören insbesondere:

• eine dem Risiko angemessene Verschlüsselung
• datenschutzfreundliche Voreinstellungen: etwa deaktivierte Aufzeichnungsfunktionen sowie standardmäßig ausgeschaltete Kamera- und Mikrofonzugriffe
• transparente Informationen über Rollen und beteiligte Dienstleister
• vertragliche Absicherung von Auftragsverarbeitern
• geeignete Lösch- und Speicherregelungen
• eine tragfähige Rechtsgrundlage für die jeweiligen Verarbeitungsvorgänge

Diese Anforderungen gelten unabhängig davon, ob eine Videokonferenzlösung als lokal betriebene Software oder als Online-Dienst (Software as a Service) eingesetzt wird. Bei Online-Diensten außereuropäischer Anbieter kommt regelmäßig die Frage nach der Rechtsgrundlage für den internationalen Datentransfer hinzu.

Besonderheiten an Hochschulen

An Hochschulen stellt sich die Ausgangslange teilweise anders dar: Studierende sind in der Regel volljährig, sodass die besonderen Anforderungen für Minderjährige entfallen. Gleichzeitig kommen andere Aspekte hinzu, etwa Vorlesungsaufzeichnungen, die dauerhaft gespeichert und wiederverwendet werden, sowie die durch die Wissenschaftsfreiheit geprägten Rahmenbedingungen der Hochschullehre. Auch hier gilt: Eine Videokonferenzlösung für Hochschulen sollte eine klare Datenschutzerklärung, nachvollziehbare Speicherfristen für Aufzeichnungen und eine dokumentierte Auftragsverarbeitung vorweisen können.

Worauf Bildungseinrichtungen bei der Auswahl achten sollten

Für die Bewertung einer Videokonferenzlösung im Bildungskontext lassen sich folgende Kriterien heranziehen:

• Rechtsgrundlage und Auftragsverarbeitung: Liegt eine Vereinbarung zur Auftragsverarbeitung vor und ist die Rechtsgrundlage für etwaige internationale Datentransfers dokumentiert?
• Verschlüsselung und technische Schutzmaßnahmen gemäß den Vorgaben der DSK-Orientierungshilfe
• Transparenz der Software: Lässt sich nachvollziehen, wie Daten verarbeitet werden, und ist diese Transparenz auch gegenüber Schulaufsicht und Landesdatenschutzbeauftragten dokumentierbar?
• Betriebsmodell: Kann die Lösung durch den Schulträger, ein Landesmedienzentrum oder eine Hochschule selbst gehostet werden, statt an einen einzelnen externen Anbieter gebunden zu sein?

Das Betriebsmodell gewinnt hierbei zunehmend an Bedeutung, weil viele Schulträger und Landesmedienzentren die Kontrolle über die eingesetzte Infrastruktur selbst behalten möchten, statt sich vollständig auf die Zusagen eines externen Cloud-Anbieters zu verlassen. Open-Source-Videokonferenzlösungen wie openVisavid lassen sich hierfür durch Schulträger oder Landesmedienzentren selbst betreiben, wodurch die Verantwortung für die Daten der Kinder vollständig in der Hand der Bildungseinrichtung beziehungsweise ihres Trägers verbleibt, anstatt von den Zusagen eines außereuropäischen Anbieters abhängig zu sein.

Videokonferenzen im Bildungskontext unterliegen aufgrund der besonderen Schutzbedürftigkeit von Kindern und Jugendlichen strengeren Anforderungen als in vielen anderen Anwendungsfeldern. Schulen, Schulträger und Hochschulen tun gut daran, die Auswahl einer Videokonferenzlösung nicht allein technisch, sondern auch datenschutzrechtlich fundiert zu treffen und sich an den Orientierungshilfen der Landesdatenschutzbeauftragten zu orientieren. Selbst hostbare Open-Source-Lösungen bieten dabei einen praktikablen Weg, Kontrolle über sensible Daten dauerhaft in der eigenen Organisation zu behalten.