Datenschutz und Gerätesicherheit

im Lichte der Digitalisierung an Schulen

Die Geräteinitiative des BMBWF ist nunmehr im 2. Jahr.

Mit dem Bundesgesetz zur Finanzierung der Digitalisierung des Schulunterrichts (SchDigiG), kundgemacht am 7.1.2021, wurde die Ausstattung der Schülerinnen und Schüler (SuS) mit Endgeräten in Gang gesetzt.
Im ersten Jahr der Initiative (Schuljahr 2021/22) durften einmalig Geräte für 2 Jahrgänge (5. und 6. Schulstufe) angefordert werden. Für die Folgejahre war/ist nur jeweils die 5. Schulstufe vorgesehen.
Für die „Teilnahme“ an dieser Initiative war gemäß SchDigiG § 2 Abs. 1 ein Digitalisierungskonzept erforderlich,

(2) also einen Entwicklungs- und Umsetzungsplan zur Nutzung digitaler Technologien und Medien im Rahmen des IKT-gestützten Unterrichts sowie der Schul-, Personal- und Unterrichtsentwicklung. Er umfasst kurz-, mittel- und langfristige Entwicklungsziele und Maßnahmen.

Nicht alle in Frage kommenden Schulen beteiligten sich und nicht alle, die sich beteiligten, taten dies in vollem Umfang und forderten auch für ihre SuS der damals 6. Schulstufe die Geräte an.
So besteht nun die Situation, dass (zu) viele SuS seit Beginn dieses Schuljahres (2022/23) den Pflichtgegenstand „Digitale Grundbildung“ besuchen (müssen), ihnen aber keine Geräte über diese Initiative zur Verfügung stehen.
Denn die Lehrpläne für das Fach Digitale Grundbildung wurden hinsichtlich der 1., 2. und 3. Klasse mit 1. September 2022 und nur hinsichtlich der 4. Klasse mit 1. September 2023 in Kraft gesetzt.

Immer wieder gibt es Anfragen von Eltern hinsichtlich der Verantwortung für die Gerätesicherheit. Die Geräte der SuS werden in verschiedenen Netzen verwendet: zu Hause, unterwegs, im Schulnetz. Der Umfang der Maßnahmen, die seitens der einzelnen Schulen getroffen werden, scheint unterschiedlich. Alle SuS und auch deren Eltern sollten klare Informationen und gegebenenfalls Handlungsanleitungen erhalten, damit Sicherheitslücken vermieden werden. Dazu sagt

§ 6 SchDigiG - Fernverwaltung

Zur sicheren Integration der mobilen Endgeräte in die IKT-Infrastruktur der Schule, und damit zur Gewährleistung der Sicherheit der Verarbeitung gemäß Art. 32 DSGVO, sowie zur Unterstützung des Digitalisierungskonzeptes sind folgende technisch-organisatorische Maßnahmen beim Einsatz der Geräte, im Rahmen der schulischen Verwendung zu ergreifen:

1. Funktionalität und Sicherheit aller Geräte mittels geeigneter technischer Maßnahmen, insbesondere durch ein Mobile Device Management, sicherzustellen. Der Bundesminister für Bildung, Wissenschaft und Forschung kann dazu Anwendungen, insbesondere von Ländern oder Schulerhaltern, für geeignet erklären oder einen IKT-Dienstleister beauftragen.

2. Zur Gewährleistung der Unterrichtsziele können Lehrpersonen während des IKT-gestützten Unterrichts mittels Fernverwaltung auf die Geräte der jeweiligen Schülerinnen und Schüler zugreifen. Diese Fernverwaltung ist so auszugestalten, dass sie nicht unbemerkt durch die Schülerin oder den Schüler stattfinden kann.

3. Bei Maßnahmen gemäß Z 1 und 2 sind die die Bestimmungen der §§ 79e bis 79h BDG sinngemäß auch für Schülerinnen und Schüler anzuwenden.

Die Festlegung der Erfordernisse für die technisch organisatorischen Maßnahmen gemäß Z 1 bis Z 3 kann durch eine Verordnung des Bundesministers für Bildung, Wissenschaft und Forschung, insbesondere von Maßnahmen zur sicheren Authentifizierung und sicheren Datenübertragung auf Endgeräten, Mindestanforderungen an die eingesetzte Hostingumgebung sowie Leitlinien für von den Bildungseinrichtungen festzulegenden IKT-Nutzungsbedingungen erfolgen.

Verordnung des Bundesministers für Bildung, Wissenschaft und Forschung über IKT-gestützten Unterricht und Datensicherheitsmaßnahmen im Schulwesen (IKT-Schulverordnung)

Diese Verordnung regelt
• Technische und organisatorische Maßnahmen zur Gewährleistung der Sicherheit der Datenverarbeitung bei schulischen Verarbeitungen
• Technische und organisatorische Maßnahmen bei digitalen Endgeräten
• Technische und organisatorische Maßnahmen beim IKT-gestützten Unterricht und für Lern- und Arbeitsplattformen
• Verantwortlichkeit bei schulischen Datenverarbeitungen

Wichtige Begriffe (§ 4)
 Schulverwaltung: sämtliche Verarbeitungen personenbezogener Daten, die in datenschutz-rechtlicher Verantwortung der Schulleitung am Schulstandort aufgrund schulgesetzlicher Regelungen vorzunehmen sind, soweit sie nicht in den Z 3 bis 6 geregelt sind, insbesondere
a) Verarbeitungen von Schülerinnen- und Schülerdaten in den Evidenzen gemäß § 5 BilDokG 2020; dazu gehören jedenfalls alle IT-Systeme und Dienste, soweit deren Benutzerinnen und Benutzer, insbesondere in der Rolle der Schulleitung oder Sokrates-Administration damit schulweit auf personenbezogene Daten von Schülerinnen und Schülern zugreifen können, oder ...
b) Verarbeitungen von Schülerinnen- und Schülerdaten zur Ausstellung von Zeugnissen,
c) Datenverarbeitungen in Bezug auf Stundenplanerstellung, Personalverwaltung, aktenmäßige Kommunikation zwischen Schule und Schulbehörde;
 Endgeräteverwaltung (Mobile Device Management): ein IT-System zur zentralisierten Verwaltung von digitalen Endgeräten gemäß Z 10; dieses IT-System dient der Erfüllung der in § 10 festgelegten Funktionalität;
 Unterrichtsdokumentation: sämtliche Verarbeitungen von Schülerinnen- und Schülerdaten, die zu Zwecken der laufenden Dokumentation des Unterrichts und der Leistungsbeurteilung durch die Lehrperson vorgenommen werden sowie Datenverarbeitungen zur Durchführung von Kompetenzerhebungen;
 IT-Services für pädagogische Zwecke: Maßnahmen zur Schaffung der technischen Rahmenbedingungen für IKT-gestützten Unterricht und elektronische Kommunikation, insbesondere die Zurverfügungstellung von Lernplattformen sowie die Einrichtung von Schülerinnen- und Schüler-Mail-Postfächern, Online-Office-Umgebungen, Onlinespeicherplatz und Webpräsenzen (zB für Projekte); (Z 4)
 Fernverwaltung: der Zugriff von Lehrpersonen auf die Schülerinnen- und Schülergeräte während des IKT-gestützten Unterrichts; (Z 5)
 Authentifizierung: die Überprüfung der Identität einer Benutzerin oder eines Benutzers im Zuge eines Anmeldevorgangs an einem IT-System und Dienst; (Z 6)
 digitale Endgeräte: Einrichtungen zur elektronischen oder nachrichtentechnischen Übermittlung, Speicherung und Verarbeitung von Sprache, Text, Stand- und Bewegtbildern sowie Daten, die zur Datenverarbeitung und -kommunikation eingesetzt werden können, insbesondere Notebooks oder Tablets; diese können durch den Dienstgeber als Sachbehelf ... oder durch die Erziehungsberechtigten als Arbeitsmittel ... bereitgestellt werden; (Z 10)
 Schulnetz: die Gesamtheit aller Netzwerke, Komponenten und Server, die Software, Dienste und Daten bereitstellen, um am Schulstandort durch digitale Endgeräte (unabhängig vom wirtschaftlichen Eigentümer) genutzt zu werden.

 Endgeräteverwaltung für digitale Endgeräte (§ 10)

Um die Funktionalität und Sicherheit aller digitalen Endgeräte mittels geeigneter technischer Maßnahmen, insbesondere durch Integration in eine Endgeräteverwaltung (Mobile Device Management), sicherzustellen, haben die ... eingesetzten Systeme zur Endgeräteverwaltung folgende technische und organisatorische Maßnahmen zu gewährleisten:

1. automatisiertes Einspielen von Sicherheits- und Betriebssystemupdates auf den digitalen Endgeräten,
2. aktueller Schutz vor Schadsoftware auf digitalen Endgeräten zum Schutz des Schulnetzes,
3. sicherer Betrieb im Schulnetz gemäß den für die jeweilige Benutzerin oder den jeweiligen Benutzer festgelegten Zugriffsrechten,
4. bei Verlust die Möglichkeit zur Fernlokalisierung, Fernsperre bzw. Fernlöschung der digitalen Endgeräte bei technischer Möglichkeit auf ausdrücklichen und dokumentierten Wunsch der Geräteinhaberin oder des Geräteinhabers, soweit das Endgerät erreichbar ist, und
5. Aktivierung der für die Endgeräteverwaltung erforderlichen Software-Komponenten auf den verwalteten digitalen Endgeräten.

 Funktionalitäten der Endgeräte im IKT-gestützten Unterricht § 13

(1) Die im IKT-gestützten Unterricht eingesetzten IT-Systeme und Dienste haben den Videoeinsatz und die Präsentationsmöglichkeiten zu unterstützen.
(2) Bei Aktivierung der Kameras sind die technischen Möglichkeiten der Schülerinnen und Schüler, der Schutz der familiären Privatsphäre in der Wohnung der Schülerinnen und Schüler sowie die besonderen Bedürfnisse von Schülerinnen und Schülern mit Behinderung nach Maßgabe der technischen Möglichkeiten zu berücksichtigen.
(3) Aufzeichnungen des Unterrichts durch Video- oder Audioaufnahmen oder Screenshots sind nur mit Einwilligung aller Betroffenen gemäß Art. 7 DSGVO in Verbindung mit § 4 Abs. 4 DSG zulässig.

 Elektronische Kommunikation mit Erziehungsberechtigten § 14

Sofern die Erziehungsberechtigten die Möglichkeit einer elektronischen Kommunikation mit der Schule nützen wollen, ist durch die zum Einsatz kommenden IT-Systeme und Dienste sicherzustellen, dass die elektronische Kommunikation mit den Erziehungsberechtigten der jeweiligen Schülerin bzw. des jeweiligen Schülers erfolgt und die Kenntnisnahme der Nachricht durch die Erziehungsberechtigten für die Schule nachvollziehbar ist.