Informationelle Selbstbestimmung beim Einsatz von Lernplattformen Bremer Erfahrungen

Transkript

1 Informationelle Selbstbestimmung beim Einsatz von Lernplattformen Bremer Erfahrungen Dr. Imke Sommer Datenschutz-Fachtagung Schöne neue Schule Im Spannungsfeld von Datenschutz, digitaler Entwicklung und schulischer Wirklichkeit Waren / Müritz, 25. Juni 2015

2 Datenschutz ist Grundrechtsschutz (1) Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme (= IT- Grundrecht ) Cartoon von Fernandez, Lappan Verlag GmbH, Oldenburg 2

3 Datenschutz ist Grundrechtsschutz (2) Darauf verzichtet, etwas im Netz erneut nachzuschlagen, aus Angst, die Google- Mitarbeiter könnten mich für doof halten. * Grundrecht auf informationelle Selbstbestimmung = das Recht, selbst zu bestimmen, wer wann was über mich weiß *Zitat / Tweet von Benjamin Nickel, veröffentlicht im Twitterbuch 3

4 Grundrechtsschutz für personenbezogene Daten Vom Grundrecht auf informationelle Selbstbestimmung werden (nur) personenbezogene Daten geschützt Dazu gehören auch personenbeziehbare Daten (zum Beispiel Pseudonyme ) Nicht vom Grundrecht auf informationelle Selbstbestimmung geschützt werden anonymisierte Daten Quelle: DerPunk/flickr.com (CC BY-NC-SA 2.0) 4

5 Personenbezogene Daten und Lernplattformen Lernplattform: (Softwaresystem, das Lerninhalte bereitstellt, Lernvorgänge organisiert und die elektronische Kommunikation und Kooperation von Lehrenden und Lernenden ermöglicht) Entstehende personenbezogene Daten Stammdaten von Nutzenden (Vor- und Nachname, Login- Name, Zugehörigkeit zur Schule und evtl. Klasse/Gruppen) Logdaten (vom Server protokolliert, z.b. IP-Adresse, Betriebssystem und Browser des Rechners, Art der Zugriffe) Pädagogische Prozessdaten (schülerbezogene Ergebnisse von Tests, bearbeitete Aufgaben usw.) Etc. 5

6 Grundrechtsträger- Innen im Bereich Lernplattformen SchülerInnen Eltern LehrerInnen 6

7 Wann liegen Grundrechtsverletzungen vor? Greifen Datenverarbeitungen in das Grundrecht auf informationelle Selbstbestimmung ein? Bundesverfassungsgericht: Weiter Schutzbereich, umfasst ist schon der Schutz vor dem diffusen Gefühl des Beobachtetseins Ist der Eingriff gerechtfertigt und daher keine Verletzung des Grundrechtes? Rechtfertigungsmöglichkeiten: 1. Einwilligung der/des Betroffenen als Ausdruck der individuellen Selbstbestimmung 2. Gesetzliche Grundlagen als Ausdruck der kollektiven Selbstbestimmung 7

8 Individuelle Selbstbestimmung: Einwilligung Wirksamkeitsvoraussetzungen: Freiwillig (z.b. im Beschäftigungsverhältnis grundsätzlich nicht gegeben) Informiert Schriftlich Jederzeit widerruflich Vor der Datenverarbeitung Fehlt eine der Wirksamkeitsvoraussetzungen, liegt keine den Eingriff rechtfertigende Einwilligung vor und der Eingriff ist rechtswidrig. 8

9 Kollektive Selbstbestimmung: Gesetze, Beispiel Gesetzliche Rahmenbedingungen für Lernplattformen in der n Bremisches Schuldatenschutzgesetz, Verordnung über die Datenverarbeitung durch Schulen und Schulbehörden Bremisches Datenschutzgesetz (u.a. Auftragsdatenverarbeitung) Bremisches Beamtengesetz (Beschäftigtendatenschutz) Dienstvereinbarung 9

10 Verhältnismäßigkeit Verhältnismäßigkeit = Zweck-Mittel-Relation Legitimer Zweck Eignung des Mittels zur Erreichung des Zwecks Erforderlichkeit des Mittels zur Erreichung des Zwecks (= mildestes Mittel?) Verhältnismäßigkeit im engeren Sinne: Mittel und Zweck müssen in einem angemessenen Verhältnis zueinander stellen Grundsatz des Zweckbindung: Nutzung für andere Zwecke (Zweckänderung) erfordert eine neue Rechtsgrundlage 10

11 Lernplattformen stehen mit dem Grundrecht auf informationelle Selbstbestimmung der betroffenen SchülerInnen, Lehrenden und Eltern in Einklang, wenn sie sich auf rechtswirksame Einwilligungen oder auf gesetzliche Grundlagen stützen können. 11

12 Datenschutzrechtliche Anforderungen der LfDI (1) Rechtsgrundlage für die Verarbeitung personenbezogener Daten von SchülerInnen und Erziehungsberechtigen auf einer Lernplattform: 2 Abs. 1 i. V. m. 4 Bremisches Schuldatenschutzgesetz und die Verordnung über die Datenverarbeitung durch Schulen und Schulbehörden: Schulen dürfen personenbezogene Daten verarbeiten, soweit es zur Erfüllung ihres Unterrichts- und Erziehungsauftrages ( ), zur Durchführung sonstiger schulischer Aktivitäten ( ) erforderlich ist. Sie benötigen hierfür die Einwilligung der Betroffenen, es sei denn, die Verarbeitung ist im Interesse der oder des Betroffenen oder für die pädagogische Arbeit an der Schule notwendig (= erforderlich). Rechtsgrundlage für die Verarbeitung personenbezogener Lehrerdaten ist 20 Abs. 1 BremDSG i. V. m. 85 Bremisches Beamtengesetz (keine Verhaltens- und Leistungskontrollen). 12

13 Datenschutzrechtliche Anforderungen der LfDI (2) Vor der Entscheidung über und vor dem Einsatz einer Lernplattform: Vorabkontrolle der verantwortlichen Stelle zusammen mit dem/der behördlichen Datenschutzbeauftragten vor Einsatz Allg. Richtlinien zum Einsatz von Online-Lernplattformen formulieren Gestaltung und Auswahl von Datenverarbeitungssystemen nach den Grundsätzen der Datenvermeidung und Datensparsamkeit, Speicherdauer für Logdaten maximal 24 Stunden, Löschung der Schülerdaten im Regelfall zum Schuljahresende. Löschung der Benutzerkonten von SchülerInnen und LehrerInnen nach deren Ausscheiden aus der Schule (Leistungsbeschreibung) Sicherstellen, dass Verarbeitung personenbezogener Daten mit dem Europäischen Recht im Einklang steht, Probleme außerhalb des Schengen-Raumes (Leistungsbeschreibung) 13

14 Datenschutzrechtliche Anforderungen der LfDI (3) Vor der Entscheidung über und vor dem Einsatz einer Lernplattform: Klärung des Ob und Wie von Auftragsdatenverarbeitung 10 Abs. 3 BremSchulDSG und 9 BremDSG, Auftragsdatenverarbeitung grundsätzlich ok, aber Problematik beim Cloudcomputing, Entwurf entsprechender Verträge, insbesondere technische und organisatorische Maßnahmen, Zugriffsverwaltung (Leistungsbeschreibung) 14

15 Datenschutzrechtliche Anforderungen der LfDI (4) Nach Abschluss des Vergabeverfahrens Erstellung von Nutzungsbedingungen und eines Verfahrensverzeichnisses Realisierung der technischen und organisatorischen Maßnahmen, einschließlich Zugriffsverwaltung nach 7 Abs. 4 BremDSG Unterrichtung der betroffenen SchülerInnen, Eltern und Lehrkräfte über den Einsatz der Lernplattformen nach 11 BremDSG 15

16 Informationelle Selbstbestimmung in der Dreierkonstellation Dreierkonstellation: datenschutzrechtlich Verantwortliche/r Auftragnehmerin Grundrechtsträger/in 16

17 Informationelle Selbstbestimmung in der Dreierkonstellation datenschutzrechtliche Lösung für Dreierkonstellationen: Auftragsdatenverarbeitung Auftragnehmerin datenschutzrechtlich Verantwortliche/r Auftragsdatenverarbeitung Grundrechtsträger/in 17

18 Voraussetzungen für rechtmäßige Auftragsdatenverarbeitung Verarbeitung personenbezogener Daten im Auftrag durch andere Personen oder Stellen datenschutzrechtliche Verantwortung verbleibt beim Auftraggeber Auswahl des Auftragnehmers: Eignung des Auftragnehmers (Berücksichtigung der technischen und organisatorischen Maßnahmen) Steuerung: Schriftliche Auftragserteilung (Festlegung der technischen und organisatorischen Maßnahmen und etwaige Unterauftragsverhältnisse) Kontrolle: Auftraggeber muss sich von der Einhaltung der Maßnahmen überzeugen Auftraggeber muss Unterwerfung unter Landesdatenschutzgesetz und Kontrollzuständigkeit der zuständigen Landesbeauftragten für Datenschutz durchsetzen 18

19 Probleme der Auftragsdatenverarbeitung Die datenschutzrechtliche Verantwortung kann nicht an den Auftragnehmer/Clouddiensteanbieter abgegeben werden. Risikoeinschätzung durch Auftraggeber/in Auftragsdatenverarbeitung funktioniert nach einer privatrechtlichen Logik, also auf Augenhöhe Zur Weitergabe rechtlicher Anforderungen können keine Verwaltungsakte erlassen werden. Zur Weitergabe rechtlicher Anforderungen gibt es nur vertragsrechtliche Möglichkeiten (Drohung mit Vertragsstrafen)

20 Informationelle Selbstbestimmung im Dreierverhältnis Öffentliche Stelle ist datenschutzrechtlich verantwortlich Auftragnehmer datenschutzrechtlich Verantwortliche/r Vertrag Bindung an Grundrechte Gesetzmäßigkeit der Verwaltung Rechtsstaatsprinzip Hoheitliches Verhältnis Grundrechtsträgerin 20

21 öffentliche Stellen als Auftraggeber von Auftragsdatenverarbeitung: Das Ob Auftragsdatenverarbeitung funktioniert nach einer privatrechtlichen Logik. Das macht es schwerer, der datenschutzrechtlichen Verantwortung nachzukommen. Wann ist AuftragsDV für öffentliche Stellen erlaubt? Bindung der öffentlichen Verwaltung an Gesetz und Recht (Art. 20 III Grundgesetz), grundsätzlich hat der Gesetzgeber zu entscheiden Artikel 33 Absatz 4 Grundgesetz: Ausübung hoheitsrechtliche Begfugnisse idr durch BeamtInnen -> wenn durch die Datenverarbeitung der Kernbereich hoheitlicher Tätigkeit berührt ist (z.b. Steuergeheimnis, 30 Abgabenordnung, nur Verarbeitung durch öffentliche Stellen), scheidet Auftragsdatenverarbeitung (ganz oder durch private Dienstleister) aus. 21

22 öffentliche Stellen als Auftraggeber von Auftragsdatenverarbeitung: Das Wie Mit geeigneten Auftragnehmern gute Verträge machen, die alle Risiken so minimieren, dass es verantwortbar ist, die Datenverarbeitung von Dritten ausführen zu lassen 22

23 Cloudcomputing und informationelle Selbstbestimmung Wolke = Gebräuchliches Bild der Informatik für formlose Netze mit nur bedingt von den NutzerInnen erkennbaren Strukturen Die Cloud: eine über Netze angeschlossene Rechnerlandschaft, in welche eigene Datenverarbeitungen ausgelagert werden können Cloudcomputing: Bereitstellung von IT-Dienstleistungen (Infrastrukturen, Plattformen, Anwendungssoftware) in der Cloud aufeinander abgestimmt, schnell und dem tatsächlichen Bedarf angepasst nach tatsächlicher Inanspruchnahme abrechenbar 23

24 Das Wolkenkuckucksheim gestern Die Vögel, Komödie von Aristophanes (414 v. Chr.) Wanderer_%C3%BCber_dem_Nebelmeer.jpg 24

25 das smarte cloud-cuckoo-land heute Beschütze Emmet und Wyldstyle im LEGO Movie Set Wolkenkuckucksheim Palast. (Preis 19,99 ) Vergnüge dich mit Einhorn Kitty im Wolkenkuckucksheim Palast, dem glücklichsten, unbeschwertesten und kreativsten Ort im ganzen Universum! Triff Emmet, Wyldstyle und die anderen Baumeister in diesem farbenfrohen, verspielten Paradies ( ). Aber Achtung! Was Emmet nicht weiß: An seinem Bein wurde ein Ortungsgerät befestigt, und der Executron von Lord Business ist schon ganz in der Nähe, um ihm Handschellen anzulegen. Feuere Blumen aus dem Blumenkatapult ab, um ihn abzuwehren und hilf Emmet und Wyldstyle bei der Flucht!

26 Klassische Risiken beim Cloudcomputing (1) Legale und illegale Zugriffe von Behörden (NSA, GCHQ) und Gerichten der Länder, in denen die Cloudserver stehen Fahrlässiges oder vorsätzliches missbräuchliches Handeln von MitarbeiterInnen des Cloudanbieters und Unterauftragnehmern des Cloudanbieters Missbräuchliche Nutzung von Sicherheitslücken beim Provider durch andere Kunden oder durch Dritte Missbräuchliche Nutzung von Sicherheitslücken auf den Übertragungswegen via Internet zwischen Kunden und Providern Missbräuchliche Nutzung von Sicherheitslücken in den vom Provider zur Nutzung durch die Kunden bereit gestellten Software-Schnittstellen und APIs 26

27 Klassische Risiken beim Cloudcomputing (2) Angriffe durch Schadsoftware auf die Dienste in der Cloud, Risiken jeglicher Form von Computerkriminalität durch schlecht kontrollierte Registrierungsmodalitäten zur Nutzung von Clouddiensten Cloud-unabhängige Sicherheitsmängel der technischen Infrastruktur ( )

28 Cloudspezifische Risiken beim Cloudcomputing Cloudspezifische Risiken: Löschung von Daten Fehlende Transparenz der Datenverarbeitung in der Cloud durch fehlende Protokollierung und fehlende Dokumentation Vervielfältigung und Verteilung der Daten Fehlende Datentrennung ( ) 28

29 Besondere Probleme im Wolkenkuckucksheim über den USA Massenhafte und anlasslose Überwachung von BürgerInnen und offiziellen Stellen durch NSA, GCHQ, etc. Insbesondere wichtig im Zusammenhang mit Auftragsdatenverarbeitung durch Dienstleister in den USA: Datenübermittlung von Daten europäischer BürgerInnen, die diese US-Firmen gegenüber offenbart haben, an den US-Nachrichtendienst NSA. 29

30 Was tun, um informationelle Selbstbestimmung im Wolkenkuckucksheim zu gewährleisten? Entschließung der Datenschutzkonferenz vom : Orientierungshilfe Cloud-Computing Version

31 Informationelle Selbstbestimmung bei Nutzung von Clouddiensten Im Zweifel gegen Cloudcomputing entscheiden. Abstufung der Risiken zwischen von verbeamteten und privaten Dienstleistern betriebene Clouds beachten: Im Zweifel für das verbeamtete Cloudcomputing entscheiden Bei Entscheidung für von Privaten betriebene Clouds Abstufung zwischen Clouds im und außerhalb des Schengen-Raumes (= Safe-Harbor-Problematik ): Im Zweifel für die Cloud im Schengen-Raum entscheiden 31

32 Weitere Ausprägungen der informationellen Selbstbestimmung in der Cloud Vermeidung personenbezogener Daten Verzicht keine personenbezogenen Daten erheben Anonymisierung ursprünglich vorhandenen Personenbezug nachträglich verhindern Erschwerter Zugang zu personenbezogenen Daten Verschlüsseln Nutzung von sicheren Übertragungswegen Alle anderen Maßnahmen des technischen und organisatorischen Datenschutzes 32

33 Fazit: Die Wolke Sieben Cloud liegt ziemlich nah am Wolkenkuckucksheim Foto: Stefan Schweihofer München, Deutschland, CC0, PD 33

34 Die bremischen Erfahrungen - Vergabeverfahren Leistungsbeschreibung u.a.: Standort des Servers ist so zu wählen, dass Anwendung des Datenschutzrechtes der EU garantiert ist verschlüsselte SSL-Verbindung für Datenübertragung Datenschutzrechtliche Hinweise und eine Einwilligungserklärung in die Verarbeitung personenbezogener Daten müssen integriert sein Nach Zuschlag Verpflichtung zur Beteiligung an Erstellung eines Datenschutzkonzeptes Datensicherheit: ISO/IEC verpflichtend, Virenschutz durch zertifizierte Anti-Viren-Software 34

35 Die bremischen Erfahrungen Dienstvereinbarung (1) datenschutzrechtliche Regelungsinhalte der Dienstvereinbarug Leistungs- und Verhaltenskontrollen mit Hilfe bzw. durch die Anwendung und Nutzung der Lernplattform sind unzulässig und auszuschließen. Die Erfassung, Verarbeitung und Nutzung personenbezogener Daten wird in einem Datenschutzkonzept geregelt, das die geltenden gesetzlichen Anforderungen einhält. Das Datenschutzkonzept ist mitbestimmungspflichtig. Der Personalrat Schulen kann jederzeit eine Änderungen bzw. Anpassungen einfordern. Eine Auftragsdatenverarbeitung von personenbezogenen Daten hat unter Beachtung des 9 des Bremer Datenschutzgesetzes zu erfolgen. 35

36 Die bremischen Erfahrungen Dienstvereinbarung (2) Sofern Personaldaten im Auftrag verarbeitet werden, stellt die Senatorin für Bildung vertraglich sicher, dass die Verarbeitung nach den Regelungen dieser Dienstvereinbarung und unter Beachtung des 11 BremDSG erfolgt. Nutzung der Lernplattform erfolgt freiwillig (pädagogische Freiheit) Ausschluss von Clouddiensten Unzulässigkeit eines elektronischen Klassenbuches Administrationsrechte dürfen nur von Lehrenden, nicht von der Schulleitung ausgeübt werden, Verpflichtung auf Amtsverschwiegenheit 36

37 informationelle Selbstbestimmung bei Lernplattformen realisieren Beim Einsatz von Lernplattformen die Fütterung von smarten Anwendungen mit den Daten der SchülerInnen, LehrerInnen, Eltern ausschließen. -> Gegen Produkte entscheiden, die nicht zweifelsfrei die weitere Verwendung personenbezogener Daten für eigene Zwecke und die Weitergabe personenbezogener Daten an Dritte ausschließen. Der Weg dorthin: Schon im Vergabeverfahren datenschutzrechtliche Anforderungen formulieren Datenvermeidung und Datensparsamkeit Auftragsdatenverarbeitung: Cloudcomputing möglichst ausschließen Technische und organisatorische Maßnahmen 37

38 Informationelle Selbstbestimmung bei Lernplattformen realisieren Verbindliche Regelungen treffen: Verträge mit den Anbietern (Auftragsdatenverarbeitung) Einschränkung/Ausschluss des Cloudcomputing Beschäftigtendatenschutz (Dienstvereinbarung) Für SchülerInnen, LehrerInnen und Eltern Transparenz über Datenverarbeitung schaffen 38

39 Vielen Dank für die Aufmerksamkeit! Gibt es noch Fragen an mich? Dr. Imke Sommer Arndtstraße Bremerhaven Tel. 0421/ office@datenschutz.bremen.de 39