Hervorgehobener Beitrag

Ihr Datenschutzbeauftragter – Blog

Guten Tag und herzlich willkommen in meinem Datenschutz-Blog.

Spätestens seit dem 25. Mai 2018, dem Tag, an dem die Datenschutz-Grundverordnung der Europäischen Union in Kraft trat, ist das Thema Datenschutz zu einem festen Begleiter geworden.

Ich greife verschiedene Themen auf und stelle sie hier vor. Bei Fragen kann ich unter ulf.tschech@ihrdatenschutzbeauftragter.info kontaktiert werden.

Digitale Kompentenzen, Datenschutz und die Erfordernisse des Arbeitsmarktes

Es ist Sommer, es sind Ferien und eigentlich sollte man nicht über diese Themen nachdenken müssen. Aber … ich sehe ein Foto in der Wirtschaftswoche mit einem Overheadprojektor (Polylux). Mein Freund/Kollege und ich, wir planen die feierliche Verbrennung aller Overheadprojektoren im Innenhof der Schule. Allerdings wollen wir damit warten, bis wir den Digitalpakt umgesetzt haben. Soviel zum Thema „Sommer, Ferien und nicht an die Arbeit denken“.

Beginnen wir mal mit dem Datenschutz. In der Süddeutschen las ich heute ein schönes Interview mit Peter Hense, Rechtsanwalt aus Leipzig und auf Fragen des Datenschutzes spezialisiert. Ich habe Peter Hense auf dem Datenschutztag 2020 in Berlin erlebt. Dort hat er bereits seine Position zum Thema Videokonferenztools deutlich gemacht. Im Interview bleibt er bei seiner auf dem Datenschutztag geäußerten Position. Nur weil die Kultusministerien der Länder in den vergangenen Jahren gepennt haben, es keine Pläne für digitalen Unterricht gibt, werden Tools wie Microsoft Teams und Zoom geduldet. Was das für Schülerinnen und Schüler bedeuten kann, wird weggeschwiegen.

Dann kommt mir heute noch ein Artikel in der Wirtschaftswoche unter. „Prähistorische Digitalkenntnisse gefährden den Arbeitsmarkt von morgen“ Zum wiederholten Mal werden grundlegende Reformen der Lehrpläne gefordert. SuS müssen besser auf die digitalen Erfordernisse der Arbeitswelt vorbereitet werden. Wir gefährden seit Jahren den Standort Deutschland. Das Problem ist längst bekannt, jedoch getan hat sich nix. Eine dritte Leseempfehlung kommt hinzu. Das Deutsche Schulportal hat sich mit der Frage auseinander gesetzt, welche digitalen Kompetenzen eigentlich SuS mitbringen. Die Antwort ist ernüchternd und doch vorhersehbar: Kaum praxisrelevante.

Was also ist das Fazit? In den letzten Wochen wurde viel gesagt und geschrieben zu den Defiziten von Lehrerinnen und Lehrern. Weniger gesagt wurde zu den Defiziten on SuS. Auch darüber muss gesprochen werden. Genau so muss über Infrastruktur gesprochen werden. Wie werden Schulen ausgestattet? Wie werden LuL befähigt, Technik zu nutzen, Methoden anzupassen? Die Partizipation am Digitalpakt erfordert (zumindest im Freistaat Sachsen) ein Medienbildungskonzept für Lehrpersonen. Es geht nicht einfach darum, Technik anzuschaffen ohne Sinn und Verstand – hauptsache haben. Das ist ein völlig falsches Konzept. Es geht um Fragen wie „Wo liegen Bezugspunkte in den Lehrplänen?“, „An welchen Stellen des Unterrichtens zeigen sich Vorteile bei der Digitalisierung?“ usw.

Wenn wir über mangelnde digitale Kompetenzen bei SuS sowie bei LuL sprechen, dann müssen wir zwangsläufig auch über Datenschutz sprechen. Sätze wie „Über Datenschutz können wir nachdenken, wenn Zeit dafür ist! Jetzt muss ich erst mal Unterricht absichern.“, „Ich weiß, dass es so was wie Datenschutz gibt, aber der interessiert mich gerade recht wenig!“… Ich könnte seitenweise weiter Beispiele liefern. Datenschutz als geltendes Recht anerkennen und umsetzen können zählt für mich zu den Basiskompetenzen. Wie will ich informationelle Selbstbestimmung als Gut vermitteln, wenn ich selbst keinen Bezug zum Datenschutz habe?

Mein Appell lautet also: Macht Euch kompetent! Macht Eure SuS kompetent! Seid Vorbilder!

Die Berliner Landesbeauftragte bleibt auf Konfrontationskurs

Die Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Berlin, Maja Smoltczyk, hat im Streit mit Microsoft und Zoom nachgelegt. In der heute (03.07.2020) veröffentlichten Handlungshilfe „Hinweise für Berliner Verantwortliche zu Anbietern von Videokonferenz-Diensten“ gibt es ein Ampelsystem zur Kennzeichnung von Diensten, die aus datenschutzrechtlicher Sicht geeignet oder eben auch nicht geeignet sind. Skype, Skype Business und Zoom sind weiterhin mit rot als nicht geeignet gekennzeichnet. Gleiches gilt übrigens auch für Microsoft Teams.

Die Nutzung dieser Dienste geht als weiter mit dem Risiko eines Datenschutzverstoßes einher, der bußgeldbewehrt ist. Die Begründungen, warum einzelne Anbieter so bewertet wurden, finden sich im Abschnitt „Anmerkungen zu den einzelnen Anbietern“ am Ende des Dokuments. Im Grunde geht es um die rechtswidrige Nutzung von Teilnehmerdaten und um unklare Verarbeitungsvorgänge.

Datenschutz, Schulen und Videokonferenzen

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit BW veröffentlichte am 24. Juni 2020 eine Pressemitteilung zum Thema Zoom im Besonderen und Videokonferenzen im schulischen Umfeld im Allgemeinen.

Er erkannte an, dass Zoom nach allen bisher geäußerten Kritikpunkten reagiert und nachgebessert hat.

Interessant an der Pressemitteilung finde ich folgende Stelle:

Die Corona-Warn-App

Installieren oder nicht installieren? Das scheint die Frage der Woche zu sein. Dabei schlagen die Wellen ziemlich hoch. Ich will hier weiß Gott niemanden bekehren oder belehren.

Was wissen wir denn? Wir wissen, dass der Quellcode der App öffentlich zugänglich ist. Gleiches gilt für die Dokumentation der App. (Quelle) Ich konnte bisher noch keinen Bericht von bild.de über heise.de bis zu netzpolitik.org finden, der sich generell negativ zur App äußert.

Beschäftigt man sich mit den Maßnahmen zur Pseudonymisierung so kann man feststellen, dass hier hohe Maßstäbe angelegt wurden. In vielen populär gehaltenen Texten wird das Thema sehr knapp dargestellt. Die App erzeugt zunächst einen zufälligen Schlüssel auf dem Smartphone – einen TEK (Temporary Exposure Key). Dieser Schlüssel ändert sich alle 24 Stunden und wird nach 14 Tagen gelöscht und anschließend komplett neu angelegt.

Aus dem TEK wird alle 10 bis 20 Minuten ein 128-Bit-Schlüssel generiert, der RPI (Rolling Proximity Identifier).

Jetzt sendet das Smartphone etwa 4 bis 5 mal pro Sekunde den RPI via Bluetooth Low Energy (BLE) in die Gegend. BLE ist ein Standard, der technisch auf älteren Geräten nicht verfügbar ist. Hier hat man wohl abgewogen: Akku sparen und Reichweite einschränken (BLE) oder Akku belasten bei höherer Reichweite (Bluetooth Klasse 1, 2 oder 3).

Alle 5 Minuten lauscht gleichzeitig das Smartphone in der Gegend herum und sammelt RPIs anderer Geräte. 5 Minuten beträgt die durchschnittliche Expositionszeit, in der es zu einer erfolgreichen Infektion kommen kann.

An diesem Punkt sollte vielleicht erwähnt werden, was die App nicht tut. Die auf dem Smartphone generierten Schlüssel verlassen das Gerät zunächst einmal nicht. Eine Geolokalisation findet nicht statt. Also weder die App noch der Server, auf dem Infektionen erfasst werden können, kennen den Aufenthaltsort des Smartphones.

Und was passiert nun im Infektionsfall? Wir erinnern uns: Smartphones, die sich begegnen, tauschen ihre RPIs miteinander aus, wenn die Begegnung länger als 5 Minuten dauert. Wird nun ein Nutzer der App positiv auf eine Corona-Infektion getestet, so kann er frei entscheiden, ob dieser Fakt weiter verfolgt werden soll. Also auf freiwilliger Basis kann nun der TEK des Smartphones auf einen zentralen Server geladen werden. Der TEK lässt keinen Rückschluss auf das Smartphone des Nutzers zu.

Auf dem zentralen Server muss nun noch der Infektionsfall über einen QR-Code (deshalb benötigt die App Zugriff auf die Kamera) oder über eine PIN (nicht alle Labore können QR-Codes erzeugen) autorisiert werden. Wäre diese Sicherheitsschwelle nicht eingebaut, könnte man ja „fröhliches Infektionswellen lostreten“ spielen.

Nun kann die App die Liste aller aktuell als „infiziert“ gemeldeten TEKs vom zentralen Server laden. Noch immer wissen wir nicht, welches Smartphone, also welche Person, sich hinter den TEKs verbirgt. Aus den TEKs werden nun nur noch die RPIs berechnet. Die Liste der RPIs wird mit der lokal gespeicherten Liste der „Begegnungszentrum-RPIs“ verglichen. Liegt eine nÜbereinstimmung vor. Wird eine Warnung ausgegeben. Und noch immer ist unbekannt, wer wo und wann zu einem Infektionsrisiko für den App-Nutzer wurde.

Nun kann man trotzdem den Aluhut aufsetzen, an allem zweifeln und die App nicht nutzen. Das ist ok, weil das gesamte Verfahren ist freiwillig. Wir sind hier weder in Ungarn, noch in Südkorea oder in China.

Wer es gerne etwas kürzer, dafür aber mit Bilderchen haben möchte, kann gerne hier die Zusammenfassung lesen.

Das Ding mit den Videokonferenzen

Seit Beginn der Corona-Pandemie wird die Diskussion geführt, welches Videokonferenz-System sicher und datenschutzgerecht ist und welches das nicht ist.

Es geistern Tools wie Microsoft Teams, Skype, Zoom, Jitsi, Big Blue Button, Webex und noch viele weitere durch die Gegend.

Zu Beginn dieser Phase war Zoom mit der App ganz dolle böse. Die App gab Daten weiter. Das Problem wurde dann behoben. Da war Zoom zunächst einmal ein ganz gut geeignetes Tool. Die Daten allerdings liegen in den USA.

Wie soll man denn nun vorgehen, wenn es um die Bewertung von Hilfsmitteln im Hinblick auf das Thema Datenschutz geht?

Wer ist die verantwortliche Stelle?

Datenschutz gilt ausdrücklich nicht im Privaten (Art. 2 Abs. 2 lit. c DS-GVO). Also als Privatperson kann ich jedes Tool nutzen, das mir gerade über den Weg läuft. Gestalte ich als Lehrperson meinen Unterricht, kommuniziere ich mit Kunden, mit Patienten usw., dann ist mein Arbeitgeber die verantwortliche Stelle und die DS-GVO kommt zur Anwendung.

Werden überhaupt personenbezogene Daten erhoben, gespeichert, verarbeitet oder weitergegeben?

In einem Zustand der völligen Anonymität muss Datenschutz nicht berücksichtigt werden. Sobald aber die genutzten Daten einer natürlichen Person zugeordnet werden können, sieht das anders aus. Bei Videokonferenzen fallen Transportdaten (IP-Adressen, ev. Mail-Adressen, Autorisierungsangaben…) an. Mindestens IP- und Mail-Adresse lassen eine Identifizierung zu. Bei den Inhaltsdaten kommen Videodaten ins Spiel, wenn die Kamera genutzt wird. Textangaben werden vielleicht im Chat erhoben.

Auf welche Rechtsgrundlagen kann sich die verantwortliche Stelle beziehen?

Schön isses immer, wenn es eine gesetzliche Grundlage für die Datennutzung gibt. Da fällt mir keine ein, die bei Videokonferenzen herangezogen werden könnte.

Hat man in weiser Voraussicht entsprechende Formulierungen in Verträgen stehen, dann kann man sich auf Vertragserfüllung als Ausnahmetatbestand berufen. Das können Schulen z. B. im Schul- oder im Ausbildungsvertrag regeln. Vielleicht ist auch die Schulordnung ein geeigneter Platz.

Dann gäbe es noch die Einwilligung. Eine Einwilligung muss freiwillig erfolgen und sie muss dokumentiert sein. Außerdem ist sie jederzeit widerrufbar. Die Einwilligung ist also wenig geeignet, Unterricht in Zeiten der Pandemie mit Videokonferenztools zu gestalten.

Bleibt das besondere Interesse der verarbeitenden Stelle. Das allerdings ist ein Leichtgewicht-Argument. Nur wenn es absolut keine datenschutzgerechten Alternativen gibt, kann ich vielleicht das besonderes Interesse ins Feld schicken.

Mein Fazit zu diesem Punkt: Wer nicht in der Glaskugel die Pandemie hat heraufziehen sehen und vorsorglich seine Verträge vor Vertragsschluss angepasst hat, steht doof da, zumindest was die Nutzung von Videokonferenzen und einiger anderer Online-Tools betrifft.

Wie kann man nun sauber aus diesem Dilemma heraus kommen?

Wie bereits gezeigt: Vertragserfüllung ist die beste Lösung. Auf diese werden sich aber viele verantwortliche Stellen nicht berufen können. Die Einwilligung ist blöd. Was mache ich mit den SuS, die nicht einwilligen?

Schritt 1: Eigener Server – Beim eigenen Videokonferenz-Server verlassen die Daten nicht die verantwortliche Stelle. Eine Weitergabe der Daten nach außen oder gar in ein unsicheres Drittland (z. B. USA) kommt nun nicht mehr vor.

Schritt 2: Auswahl einer geeigneten Software – Die Lizenzform Open Source garantiert ein beachtliches Maß an Transparenz. Wenn dann dann noch die Plattform technik- und softwareneutral genutzt werden kann, ist schon mal viel gewonnen. Ich zwinge die Nutzer nicht, eine App zu installieren, wenn das Meeting auch im Web-Browser läuft.

Schritt 3: Minimierung der genutzten personenbezogenen Daten – Wenn keine Anmeldung zu einem Meeting mit einer Webadresse erforderlich ist, fällt diese Datenkategorie schon mal weg. Treten die SuS mit ausgeschalteter Kamera dem Meeting bei, ist auch diese Hürde ausgeräumt. Da der Chat innerhalb der verantwortlichen Stelle bleibt und zum Ende des Meetings gelöscht wird, ist das Thema auch kein wirkliches Thema mehr. Heikel bleiben Aufzeichnungen der Meetings. Aber die können ja untersagt werden.

Wenn man diesen Punkten Beachtung schenkt, dann sieht das Leichtgewicht „Besonderes Interesse der verantwortlichen Stelle nach Risikoabwägung“ plötzlich gar nicht mehr wie ein Leichtgewicht aus. Vielmehr eröffnet sich hiermit die Möglichkeit, Videokonferenzen datenschutzkonform durchzuführen.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit schreibt zum Thema in ihrer „Checkliste für die Durchführung von Videokonferenzen während der Kontaktbeschränkungen“ vom 22. Mai 2020:

Aktualisiert – Leitlinien zur Einwilligung in Nutzung von Websites

Am 5. Mai 2020 aktualisierte der Europäische Datenschutzausschuss (EDSA) die Leitlinien. Der Bundesbeauftragte für Datenschutz und Informationsfreiheit Prof. Ulrich Kelber ist Mitglied des EDSA. Er begrüßte die Änderungen.

Ausgangslage

Immer noch existieren Websites, die durch geeignete Maßnahmen den Nutzern Tracking unterjubeln.

Leitlinien

Ein Cookie-Wall ist eine Maßnahme, die das Nutzen einer Website ohne Cookie-Einwilligung unmöglich macht. Die Leitlinien erlauben Cookie-Walls nur noch, wenn eine Nutzungsalternative, beispielsweise als Bezahldienst, existiert.

Zweiter wichtiger Fakt: Die Nutzung einer Website stellt keine Einwilligung dar. Das ist an sich nicht neu. Bisher galt bereits, dass eine Einwilligung immer durch einen aktiven Akt erklärt werden muss.

Digitaler Unterricht mit LearningView – Teil 1

An unseren Schulen gibt es eine Arbeitsgruppe „Unterricht 4.0“. Gemeinsam überlegen wir, wie Unterricht im Zeitalter der Digitalität gestaltet werden kann. Ich setze gerne Padlet ein. Dazu habe ich immer mal was geschrieben. Für Neuanmeldungen ist die Anzahl der Padlets, die kostenfrei erstellt werden können, auf 3 beschränkt. Das ist nicht so schön und wir suchen gemeinsam nach Alternativen.

Eine Kollegin wurde auf Learningview aufmerksam. Sie bat mich um eine datenschutztechnische Einschätzung des Angebotes. Wir wollen Lehrkräfte und Schüler zusammen bringen. Da kommt man um das Thema „Datenschutz“ nicht herum. Die Plattform kann gegenwärtig kostenlos genutzt werden. Sie kommt von der Pädagogischen Hochschule Schwyz. Da die Schweiz im Sinne des Datenschutzes sicherer Drittstaat ist, seht einer Nutzung zunächst einmal nichts im Weg.

Ich habe in dieser Woche mal bissel mit der Plattform gespielt. Sie unterstützt auch Apps in beiden großen mobilen Welten. Um dem Datenschutz nun vollständig zu entsprechen, habe ich meine Schüler durch ihre Vornamen anonymisiert.

Nach Registrierung als Lehrer kann man einen neuen Kurs (eine neue Klasse) anlegen.

Kursname rein – fertig

Der neue Kurs kann nun mit Schülern und Lehrern „befüllt“ werden.

Kursübersicht

Die Schüler müssen nicht per Hand eingegeben werden. Man kann bequem eine Liste importieren. Einzige Voraussetzung: Die Liste muss die Schüler durch Absatz trennen und die Schreibweise muss „Vorname, Name“ lauten.

Mit dem Button „Anmeldecodes anzeigen“ wird eine Liste generiert. In dieser Liste stehen alle Schüler des Kurses. Für jeden Schüler gibt es einen QR-Code sowie eine Kombination aus Login und Passwort. Diese Liste kann als PDF-Dokument exportiert, gespeichert und ausgedruckt werden.

Nur noch zerschnippeln und an Schüler austeilen

Im nächsten Teil werde ich dann Aufgaben erstellen. Das kann spannend werden.

27. Januar 2020 – Das iPad feiert 10. Geburtstag

Nachdem Steve Jobs am 27. Januar 2010 das iPad vorstellte, schrieb das Wall Street Journal dazu: „Das letzte Mal, als es dermaßen viel Aufregung um eine Tafel gab, standen darauf ein paar Gebote.“

Bis 2018 waren die iPad-Umsatzzahlen rückläufig. Inzwischen sind sie wieder leicht gestiegen. Das Aus für Tablets wurde bereits mehrfach prognostiziert. So ein richtiges Ende allerdings kann ich derzeit nicht erkennen.

Ich bin seit vielen Jahren intensiver iPad-Nutzer. Ich lese Bücher auf meinem iPad, ich kommuniziere via E-Mail, ich nutze mein iPad für Social Media. Seit etwa einem Jahr schreibe ich längere Texte mit einer externen Tastatur. Gerade tue ich das übrigens auch.

Mein iPad ist für mich ein unverzichtbarer Begleiter im Arbeitsalltag. Hier bereite ich meinen Unterricht vor. Ich plane und organisiere Unterrichtsprojekte und ich nutze es zur Medienwiedergabe. Um geräteneutral arbeiten zu können, setze ich AppleTV 2 ein. Ich kann mich so frei im Klassenraum bewegen und trotzdem Inhalte für meine Schüler projizieren.

Ich sage an der Stelle einfach mal: Herzlichen Glückwunsch iPad. Schön, dass es Dich gibt!

Datenschutz in Zeiten von Digitalisierung und Digitalität

Der Bundesbeauftragte für Datenschutz und Informationsfreiheit Ulrich Kelber gab in dieser Woche eine Stellungnahme zur Datenstrategie der Bundesregierung ab.

Bereits sein Einstieg regt zum Nachdenken an: „eine Datenstrategie innerhalb einer Digitalisierungsstrategie muss zwingend eine klare Linie beim Datenschutz beinhalten. Datenschutz ist in Europa von den Grundrechten abgeleitet und nicht optional.“ Datenschutzmaßnahmen sind in der Europäischen Union eben keine nette Nebensächlichkeit. Sie sind grundlegend. Das vergessen wir zu leicht. Hinterfragen wir wirklich immer unser Tun unter diesem Gesichtspunkt? Wie gehe ich mit Schülerdaten, mit Patienten- oder mit Kundendaten um? Sensibilisiere ich mein Umfeld zu Fragen des Datenschutzes?

„Bereits heute sind Daten nicht mehr auf ein paar Informationen über unsere Person beschränkt. Sie ermöglichen ein vollständiges Abbild des Menschen, seiner Familie und Freunde, seiner Ausbildung und Arbeit, seiner Hobbys, Krankheiten, Vorlieben und Schwächen, seines täglichen Bewegungsradius, seine Einkäufe, seine politischen und religiösen Einstellungen, seines Gemütszustands usw. Das ist angesichts der Verschränkung des digitalen und des nicht-digitalen Lebens von herausragender Bedeutung. heute sind Daten nicht mehr auf ein paar Informationen über unsere Person beschränkt. Sie ermöglichen ein vollständiges Abbild des Menschen, seiner Familie und Freunde, seiner Ausbildung und Arbeit, seiner Hobbys, Krankheiten, Vorlieben und Schwächen, seines täglichen Bewegungsradius, seine Einkäufe, seine politischen und religiösen Einstellungen, seines Gemütszustands usw. Das ist angesichts der Verschränkung des digitalen und des nicht-digitalen Lebens von herausragender Bedeutung.“

Stellungnahme des Bundesbeauftragten Ulrich Kelber

Zu oft wird Datenschutz als Hemmnis in Digitalisierungsprozessen gesehen. Dieser Logik folgend müsste das gesamte Silicon Valley in Aufruhr sein. Hat doch gerade erst Kalifornien in einem Alleingang ein Datenschutzrecht beschlossen, das in einigen Punkten schärfer eingreift, als die DS-GVO. Haben wir verzweifelte Aufschreie gehört? Droht eine gigantische Abwanderung von Konzernen aus Kalifornien? Nichts der Gleichen passiert.

Datenschutz und Informationsfreiheit müssen m. E. stärker im Unterricht eine Rolle spielen. Lehrer haben eine Vorbildfunktion auch unter diesen Gesichtspunkten. Wenn wir unsere Daten zu schätzen wissen, dann können wir auch den Schutz unserer Daten würdigen.