Datenschutz auch bei privaten Geräten in Duisburg

Die Situation an Duisburger Schulen ist bekannt: Es gibt nicht genügend Computer in der Schule, einen Arbeitsplatz sowieso nicht und die vorhandene IT-Technik muss auch noch von Kolleg*innen gewartet werden. Was tun die meisten? Es wird der private PC genutzt, um die schulischen Abläufe halbwegs zu sichern. Dabei sind alle sehr kreativ und es werden Smartphones, Notebooks, Tablets, diverse Betriebssysteme und die unterschiedlichsten Programme genutzt.

Das Land NRW hat nun eine mehrseitige Datenschutzerklärung herausgegeben, die Lehrkräfte unterschreiben sollen. Das sorgt für Aufregung. Denn es gilt Sicherheitsvorschriften zu beachten!

Die Maßnahmen die getroffen werden müssen, um dem Datenschutz auf dem Privatgerät gerecht zu werden, sind nicht einfach. Das leuchtet schon allein deshalb ein, da in größeren Unternehmen IT-Experten die Datensicherheit gewährleisten. Es sind hochqualifizierte Kräfte. Das soll nun jede Lehrkraft machen?

Vorgeschrieben sind u.a.:

• Passwortschutz und automatische Sperre des Geräts nach maximal 15 Minuten
• Datenschutzkonforme Nutzung eines aktuellen Betriebssystems (Beispiel: Wenn Sie Windows 10 nutzen, müssen sie dutzende  Einstellungen verändern, um die Datenschutz-Vorgaben zu erfüllen)
• Anlegen eines eigenen Nutzer*innenkontos für Schulzwecke
• Verschlüsselung von Daten auf PCs/Notebooks
• Einrichtung von Antivirenprogramm und Firewall, die für den betrieblichen Einsatz lizensiert sind (i.d.R. kostenpflichtig)
• regelmäßige Updates von Betriebssystem, Antivirensoftware und anderer Software
• regelmäßige verschlüsselte Backups, aber nicht in eine Cloud
• Wenn das Gerät selbstständig sensible Daten aus dem (Schul-)netz laden kann, z.B. Dienstmails via IMAP, muss das Gerät so konfiguriert werden, dass andere Programme auf diese Daten nicht zugreifen können.

Wenn nur einer dieser Punkte nicht erfüllt werden kann, darf die Verarbeitung personenbezogener Daten auf dem privatem Gerät nicht durch die Schulleitung genehmigt werden.

Die datenschutzkonforme Absicherung digitaler Geräte ist eine Aufgabe für IT-Profis. Lehrer*innen können dies nicht leisten, Schulleiter*innen nicht beurteilen. Das sieht auch die Datenschutzbeauftragte des Landes so.

Eine konkrete Hilfestellung vom Ministerium gibt es nicht, sondern nur Beruhigungspillen. So heißt es, die alten Genehmigungen gelten weiter. Das stimmt zwar, ABER sie gelten auf Basis der neuen Rechtslage, die durch die Dienstanweisung und die Datenschutzverordnung DGSVO geschaffen wurden.

GEW: Wir sind nicht technikfeindlich

Lehrkräfte sind nicht technikfeindlich. Wir wollen gute Bildung für die Kinder und Schulen, die den Anforderungen des 21. Jahrhunderts gerecht werden. Wir wollen eine ausgereifte und angemessene, datenschutzkonforme digitale Ausstattung, wie es überall sonst in Wirtschaft und Verwaltung üblich ist!

Nichts unterschreiben – nicht einfach weitermachen.

Sicher sind in der momentanen Rechtslage, in welche die Lehrkräfte gebracht worden sind, nur die Verarbeitung schülerbezogener Daten auf den Dienstrechnern oder per Stift, Papier und Schreibmaschine. Wir empfehlen daher nochmal ganz dringend jeder Lehrkraft, nichts zu unterschreiben. Dazu gibt es keinen Rechtsgrund, und es gibt auch keine Fristen. Wer den Antrag auf Nutzung des eigenen PC zur Verarbeitung schülerbezogener Daten stellt, ist in der persönlichen Haftung. Man kann eine bereits erteilte Zustimmung auch zurückgeben und den Antrag auf Nutzung des eigenen Computers zurückziehen.

Erst recht gilt: Wer nichts unterschreibt und weiter macht wie bisher, verletzt Dienstrecht und Datenschutzrecht und ist dafür auch persönlichen haftbar zu machen. Er/sie verletzt die Dienstanweisung wie auch die Datenschutzbestimmungen, was inzwischen nach der neuen DSGVO ein Bußgeld nach sich ziehen kann. Auch davon raten wir dringend ab.

Nach der DSGVO haben Schüler*innen bzw. deren Eltern das Recht, Auskunft über Maßnahmen zum Datenschutz zu verlangen. Die Datenschutzbeauftragten bzw. die Schulleitungen müssen diesen Anfragen nachgehen. Wenn dann herauskommt, dass die Bestimmungen nicht eingehalten wurden, können Kolleg*innen neben Disziplinarmaßnahmen vor allem teure Zivilklagen drohen. Gerade in Konfliktsituationen mit Eltern ist es sicher nicht gut, wenn der Datenschutz lückenhaft ist.

Die GEW rät jeder Lehrkraft:

• Beenden Sie das Arbeiten mit schülerbezogenen Daten auf ihrem privaten Endgerät und fordern Sie schulische IT-Lösungen ein. Es gibt keine Verpflichtung einer Lehrkraft, die privat finanzierten Geräte zur Verfügung zu stellen.
• Schreiben Sie individuell oder gemeinsam eine Beschwerde über den Dienstweg an das Ministerium. Beschreiben Sie Ihr Dilemma und bitten um eine schriftliche Mitteilung, aus der hervorgeht, wie Sie sich zukünftig unter Berücksichtigung der datenschutzrechtlichen Vorschriften verhalten sollen (Muster siehe unten).
• Stellen Sie individuell oder gemeinsam einen Antrag auf Bereitstellung von mobilen Dienstgeräten über den Dienstweg ans Ministerium (Muster siehe unten).

Die GEW rät jeder Sonderpädagogin/jedem Sonderpädagogen:

• AOSF-Gutachten, Förderpläne und ähnliche personenbezogene Dokumente dürfen in keinem Fall auf privaten Endgeräten erstellt werden, auch nicht bei Einhaltung aller Vorgaben und Genehmigung.
• Beschreiben Sie Ihr Dilemma und bitten um eine schriftliche Mitteilung, aus der hervorgeht, wie Sie sich zukünftig unter Berücksichtigung der datenschutzrechtlichen Vorschriften verhalten sollen und beantragen Sie vorsorglich eine Fristverlängerung. (Muster siehe unten).

Die GEW rät jeder Schulleiterin und jedem Schulleiter:

• Unterzeichnen Sie keine Genehmigungen (Die Landesdatenschutzbeauftragte stellt dazu fest: „Mangels Prüfgrundlage dürfte daher derzeit die Nutzung solcher Geräte von der Schulleitung nicht genehmigt werden.“);
• Fordern Sie Lösungen durch das Schulamt, die Bezirksregierung und das Ministerium;
• Beantragen Sie beim Schulträger eine auskömmliche Anzahl an Verwaltungsrechner.
• Es gibt bereits ein erstes Urteil des OLG Hamm vom 9.3.2018, das unter ausdrücklichem Bezug auf die Dienstanweisung ADV feststellt, dass der/die Schuleiter*in für die Verarbeitung personenbezogener Daten im Schulbetrieb persönlich haftbar ist.

Darum tritt die GEW ein für

• die Ausstattung aller Lehrkräfte mit mobilen Dienstgeräten;
• die Ausstattung der Duisburger Schulen mit angemessener Hard- und Software sowie einer zeitnahen und qualifizierten IT-Betreuung durch den Schulträger.