Die Nutzung von G Suite for Education von Google mögen die Datenschutzbeauftragten der Schulämter in Berlin gar nicht. Und das aus gutem Grund. Denn die Verantwortlichen können nicht gewährleisten, dass personenbezogene Daten von Google nicht weiter verarbeitet und analysiert werden.
EU-US Privacy Shield und ISO-Zertifizierungen nützen nur bedingt
Google hat das EU-US-Datenschutzschild unterschrieben und verfügt über verschiedene ISO-Zertifizierungen. Trotzdem können Verantwortliche nicht gewährleisten, dass Google personenbezogene Daten nicht für eigene Zwecke weiterverarbeitet, um z. B. Angebote zu verbessern.
Man stelle sich vor, dass Schüler bei Google ihre Zeugnisse, Lebensläufe, Bewerbungsschreiben etc. ablegen.
Die Verantwortlichen, also die Schulleitungen, müssen nun den Kopf dafür hinhalten, dass Google mit diesen personenbezogenen Daten nichts anfängt.
Weil das keine Schuldirektion gewährleisten kann, sollten solche Dienste auch nur eingeschränkt genutzt werden - wenn es denn schon sein muss. Eine Nutzung sollte nur erfolgen, wenn die Verarbeitung sensibler Daten sicher ausgeschlossen werden kann. Und natürlich kann man sich für diese Dienste entscheiden, wenn nur allgemeine Informationen, Lehrmaterialien etc. kommuniziert werden.
Datenschutz-Folgenabschätzung bringt Licht ins Dunkel
Nach Art. 35 DSGVO - Datenschutz-Folgenabschätzung müssen sich Verantwortliche über bestehende Risiken informieren bzw. diese evaluieren. Das ist bei der Nutzung von G Suite for Education von Google unmöglich, um dort persönliche Daten DSGVO-konform zu verarbeiten.
Daher sollten die Schulleitungen sehr eng mit den Datenschutzbeauftragten zusammenarbeiten. Weil jedes Schulamt pro Verwaltungsbezirk jedoch nur eine Person für diese Funktion hat (die dann für schon mal 70 Schulen zuständig ist), kann die Zusammenarbeit etwas hakelig sein. Dranbleiben und immer im Dialog stehen, kann ich hier nur empfehlen.
Privacy by Design
Der Datenschutz muss bereits bei der Technikgestaltung, also bei z. B. der Systemintegration neuer Server oder Dienste berücksichtigt werden (Art. 25 DSGVO - Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen).
Das bedeutet, dass die Schulleitung den Datenschutzbeauftragten schon bei der Konzeption neuer Systeme und Dienste mit ins Boot holen sollte. Oftmals werden Entscheidungen im guten Glauben getroffen, ohne jedoch die Risiken und Konsequenzen abzuschätzen. Das ist teilweise verständlich, weil oft einfach die Fachkunde fehlt. Aber dafür ist ja der Datenschutzbeauftragte da.
Fazit: Lieber erst den Datenschutzbeauftragten beim Schulamt fragen, bevor Technik, Software und Dienste eingekauft werden. Das spart viel Zeit, Ärger und Geld.
Anonymous via Commento
Was soll diese subjektive…