Nachdem sich die Pilotschulen am HPI zur Teilnahme am Projekt bzw. zur Nutzung der HPI Schul-Cloud angemeldet haben, steht zunächst das große Thema Datenschutz an. In einem vorherigen Blogbeitrag haben wir erklärt, was genau das bedeutet und welche Dokumente wir den Schulen zur Verfügung stellen - um sie in diesem Dokumenten-Dschungel nicht allein zu lassen.

Nach der Unterzeichnung aller notwendigen Vertragsunterlagen zwischen dem HPI und der Schule können die Admins der Schule über verschiedene Wege Nutzer:innen in die HPI Schul-Cloud einladen: CSV-Import, Einladungslink oder LDAP-Anbindung.

Die Nutzer:innen sind also im System angelegt - aber dann?

Das HPI stellt allen Schulen an dieser Stelle ein unverbindliches Einwilligungskonzept zur Verfügung. Das Einwilligungskonzept findet dann Anwendung, wenn die verantwortliche Schule die Daten in der HPI Schul-Cloud auf Basis einer Einwilligung verarbeitet. Sofern die für die jeweilige Schule einschlägigen schulgesetzlichen Regelungen eine verpflichtende Teilnahme an einer Lernplattform vorsehen, bedarf es keiner Einwilligung. Dazu gleich mehr.

Ist die Verarbeitung der Daten auf Basis der Einwilligung rechtens?

Eine Einwilligung ist jede freiwillige, in informierter Weise und unmissverständlich bekundete Einverständniserklärung mit einem konkreten Datenverarbeitungsvorgang. Sie ist jederzeit widerruflich. In Bezug auf die HPI Schul-Cloud ist sie bis zur Vollendung des 16. oder 18. Lebensjahres je nach landesschulrechtlichen Vorgaben durch die erziehungsberechtigten Elternteile zu erteilen, danach ist sie durch die Schüler:in selbst abzugeben.

Im Verhältnis von Schule und Schüler:in ist insbesondere auf den Aspekt der Freiwilligkeit ein Augenmerk zu legen. Dem/Der einzelnen Schüler:in darf durch Nichterteilung oder Widerruf der Einwilligung kein Nachteil im Unterricht oder der Schule entstehen. Es ist also gesetzlich festgelegt, dass die Einwilligung freiwillig erfolgen muss. Doch wie soll das in der Schule umgesetzt werden? Wenn sich ein:e Schüler:in oder auch die Erziehungsberechtigten gegen die Nutzung der HPI Schul-Cloud entscheiden, aus welchen Gründen auch immer, muss die zuständige Lehrkraft für diese:n Schüler:in also eine — ohne Nachteile behaftete — Alternative für den Unterricht und Schulalltag bereitstellen. Aus unserer Erfahrung kommt dieser Fall in der Praxis nur äußerst selten vor. Wie die Schulen in diesem Fall umgehen, ist im entsprechenden Einzelfall zu entscheiden.  Wir unterstützen hier gern, können aber vom HPI aus nicht den Schul- und Unterrichtsalltag des Lernenden bestimmen.

Das Einwilligungsverfahren der HPI Schul-Cloud ist mit den Landesdatenschützer:innen abgestimmt — da es an dieser Stelle schlichtweg derzeit keine andere Lösungsmöglichkeit gibt. Alle Beteiligten sind sich an dieser Stelle einig, dass hier dringender Handlungsbedarf besteht - zum einen um rechtssicher zu handeln und zu anderen um Lehrkräfte vor Ort zu schützen. Im gemeinsamen Abstimmungsprozess mit den Landesdatenschützer:innen ist daher besprochen, dass der Einwilligungsprozess aufgrund fehlender Alternativen und fehlender schulgesetzlicher Grundlagen für die Pilotierung der einzig gangbare Weg ist, bei Roll-out aber — und das insbesondere in der Landesprojekten — dringend Änderungen der Schulgesetze von Nöten sind.

Auch wenn es mit dem Land Schleswig-Holstein derzeit kein Landesprojekt gibt, prüft das Ministerium für Bildung, Wissenschaft und Kultur des Landes Schleswig-Holstein zum Beispiel derzeit die Rechtmäßigkeit des Einsatzes der HPI Schul-Cloud. Nach Abschluss können dann Schulen nach Meldung beim Kultusministerium die HPI Schul-Cloud einsetzen — ganz ohne vorher notwendige Einwilligung.

Der Einwilligungsprozess erklärt

Sollten Schüler:innen unter 16 oder in machen Bundesländern auch unter 18 Jahren alt sein, benötigt es die Zustimmung in die Verarbeitung der Daten der Eltern. Die Erziehungsberechtigten werden damit im ersten Schritt der Einwilligungserklärung zur Angabe der Daten ihres Kindes aufgefordert. Die abgefragten Daten des Kindes sind: Vorname, Nachname, Geburtsdatum, E-Mail-Adresse. Anschließend gibt der/die Erziehungsberechtigte die ihn/sie selbst betreffenden Daten ein. [1]

Anschließend geben die Erziehungsberechtigten ihre Einwilligung in die Verarbeitung der Daten ab und stimmen den Nutzungsbedingungen der HPI Schul-Cloud zu. Die Erziehungsberechtigten geben drei Erklärungen ab: Erklärung über Berechtigung der Vertretung des anderen Elternteils in den nachfolgenden Erklärungen; Kenntnisnahme der Datenschutzerklärung und Einwilligung in die Verarbeitung der Nutzerdaten; Kenntnisnahme und Zustimmung der Nutzungsordnung HPI Schul-Cloud. Danach erhalten die Erziehungsberechtigten an die von ihnen angegebene E-Mail-Adresse einen Code, um die Registrierung ihres Kindes abzuschließen. Dies dient der Verifikation, um sicherzustellen, dass die Einwilligung tatsächlich von den Erziehungsberechtigten abgegeben wurde und nicht von dem/der Schüler:in selbst. [2]

Die Registrierung seitens der Eltern ist damit abgeschlossen. Die Schüler:innen willigen beim erstmaligen Login ebenfalls in die Verarbeitung ihrer personenbezogenen Daten ein und stimmen der Nutzungsordnung zu. [3]

Sollten Schüler:innen beim erstmaligen Login bereits 16 oder in einigen Bundesländern 18 Jahre an sein, entfällt der Einwilligungsprozess seitens der Eltern und die Schüler:innen stimmen gleich selbst der Datenschutzerklärung und Nutzungsordnung zu. Der Prozess bleibt in diesem Fall derselbe. Die abzugebenden Einwilligungen stimmen mit den oben wiedergegebenen Einwilligungserklärungen überein. Nach Abgabe der Einwilligung erhalten die Schüler:innen an die von ihnen angegebene E-Mail-Adresse einen Bestätigungscode zur Verifikation nach dessen Eingabe der Registrierungsprozess abgeschlossen ist.

Geht´s auch analog?

Ja, für Pilotschulen, die lieber auf das Online-Einwilligungsverfahren verzichten wollen, stellen wir auch ein analoges Muster zur Verfügung. In diesem Fall verteilt die entsprechende Lehrkraft die ausgedruckte Muster-Einwilligungserklärung an die Schüler:innen bzw. Eltern und vermerkt direkt in der Klassenverwaltung der HPI Schul-Cloud, ob die Einwilligung analog vorliegt oder nicht. Erst nachdem ein:e Schül:in hier ein grünes Häkchen hat, kann er/sie sich - ohne den oben beschriebene Prozess - in der HPI Schul-Cloud anmelden. Unsere Erfahrung zeigt, dass hauptsächlich Grundschulen die analoge Einwilligungserklärung wählen.

Ist das alles mit den Landesdatenschützer:innen abgestimmt?

Ja, ist es. Im Rahmen des BMBF-Projekts wird die HPI Schul-Cloud eng durch durch die Untergruppe HPI Schul-Cloud im Arbeitskreis Schule und Bildungseinrichtungen der Datenschutzkonferenz der Länder begleitet. Im Abstimmungsprozess des HPI mit dem Arbeitskreis sind sich alle Beteiligten einig, dass es auf kurz oder lang einer gesetzlichen Rechtmäßigkeit bedarf, die eine Einwilligung der Schüler:innen und Eltern in die Nutzung der HPI Schul-Cloud in Schule ersetzt (s.o. den Passus zur Freiwilligkeit).

[1] Hintergrund-Info: Da der/die Schüler:in noch nicht das Alter von 16 oder 18 Jahren erreicht hat, muss der „Träger der elterlichen Verantwortung“ die Einwilligung für den/die Schüler:in abgeben. Träger der elterlichen Verantwortung ist der/die gesetzliche Vertreter:in des Kindes. Wer gesetzliche:r Vertreter:in des Kindes in diesem Sinne ist, richtet sich nach dem Recht der Mitgliedsstaaten. Damit sind grundsätzlich die Eltern des Kindes Träger der elterlichen Verantwortung. Diese werden zur Abgabe der Einwilligung aufgefordert.

[2] Hintergrund-Info: Die Anforderungen, die an die Verifizierung der Einwilligung anzulegen sind, richten sich nach dem mit der Verarbeitung einhergehenden Risiko. Bei einem als gering einzustufenden Risiko ist die Verifikation mittels E-Mail als ausreichend anzusehen, vgl. Artikel-29-Datenschutzgruppe WP 259. Hinsichtlich des Risikos, dass der/die Minderjährige diese Verifikation mittels einer eigens eingerichteten, vermeintlich den Eltern zuzuordnenden E-Mail-Adresse umgeht, ist hinzunehmen. Schlussendlich liegt die Vermeidung von Umgehungsmöglichkeiten in der Erziehungsverantwortung der Eltern selbst. Da bei der HPI Schul-Cloud die Einladungslinks von den Lehrkräften grundsätzlich direkt an die Eltern ausgegeben werden (z.B. bei Elternabenden), wird das Risiko einer Umgehung hier noch weiter reduziert.

[3] Hintergrund-Info: Kinder sind Träger des Datenschutzgrundrechts aus Art. 8 GRCh. Die Erziehungsberechtigten des Kindes haben daher keine freie Verfügungsbefugnis über die personenbezogenen Daten des Kindes, da diese ein höchstpersönliches Rechtsgut des Kindes darstellen. Der Dienstanbieter muss sich daher vergewissern, dass die durch die Erziehungsberechtigten abgegebene Einwilligung tatsächlich im Interesse des Kindes erfolgt.

Hinweise der Redaktion

Bildnachweise: HPI/D. Lässig