04. Mai 2020: Hamburgs Datenschutzbeauftragter Prof. Johannes Caspar im interview mit dem parentsmagazin-hamburg über den einsatz des us-videomessengers "zoom" im digitalen unterricht:
Frage des Parentsmagazin-Hamburg: Wie bewerten Sie Herr Prof. Caspar den Einsatz des US-Messengers ZOOM im digitalen Unterricht aus datenschutzrechtlicher Sicht?
Antwort des Hamburgischen Datenschutzbeauftragten Prof. Johannes Caspar: „Es besteht gerade im Bereich des E-Learning an Schulen ein hoher Bedarf an digitalen Kommunikations- und Kollaborationstools. Aus dem Dickicht der vielen, zumeist kommerziellen Angebote das eine oder andere einzusetzen und damit auf Patchwork-Lösungen zu setzen, die fernab von Datenschutz und Datensicherheit sind, kann am Ende nicht die Lösung sein.
Das Hamburgische Schulgesetz erlaubt eine Verarbeitung personenbezogener Daten von Schüler*innen vielmehr nur insoweit, wie die Datenverarbeitung zur Erfüllung des Unterrichts- und Erziehungsauftrags erforderlich ist (§ 98 Abs. 1 Satz 1 HmbSG). Zudem regelt § 98b HmbSG, dass Lernportale und pädagogischen Netzwerke für die elektronische Kommunikation von Schülerinnen und Schülern untereinander, die pädagogische Arbeit mit digitalen Endgeräten sowie die Erstellung, Bearbeitung und den Abruf von elektronischen Lerninhalten durch die zuständige Behörde oder in ihrem Auftrag durch andere Stellen betrieben werden sollen. Nur wenn es aus technischen oder pädagogischen Gründen erforderlich ist, darf die zuständige Behörde sich beim Betrieb der pädagogischen Netzwerke unter Beachtung der datenschutzrechtlichen Bestimmungen auch anderer Stellen außerhalb des öffentlichen Bereichs bedienen und deren digitale Lernangebote und Lerninhalte in die schulisch betriebenen Netzwerke einbinden. Personenbezogene Daten der Schülerinnen und Schüler dürfen dabei ausschließlich in pseudonymisierter Form übermittelt werden. Zudem darf kein Grund zu der Annahme bestehen, dass schutzwürdige Interessen der betroffenen Personen an der Geheimhaltung überwiegen. Schließlich muss die Stelle, der die Daten übermittelt werden sollen, vertraglich verpflichtet werden, die Daten nicht zu wirtschaftlichen Zwecken zu nutzen.
Letztlich betreffen diese Vorgaben alle digitalen Werkzeuge für das E-Learning und nicht nur den Videokommunikationsdienst Zoom.
Bei der Nutzung von Zoom werden eine Vielzahl von Meta- und Nutzungsdaten erhoben, die den Schulen als Veranstaltern von Zoom-Meetings oder -Webinaren über das sogenannte Dashboard einen tiefgehenden Einblick in das Nutzungsverhalten und die Geräteausstattung der teilnehmenden Schüler*innen und der Lehrer*innen als Hosts der Meetings und Webinare ermöglichen. Die entsprechende Datenverarbeitung kann daher nicht auf die Rechtsgrundlage des Hamburgischen Schulgesetzes gestützt werden. Sie würde vielmehr eine Einwilligung der betroffenen Schüler*innen bzw. ihrer Sorgeberechtigten und der Lehrer*innen voraussetzen, die aber mangels Freiwilligkeit nicht wirksam erteilt werden kann, wenn die Zoom-Nutzung Voraussetzung für die Teilnahme am Unterricht oder ein begleitendes schulisches Angebots ist bzw. durch die Schulleitung oder die BSB vorgegeben wird.
Schulen, die Zoom für den Unterricht einsetzen wollen, müssen sich aufgrund der jüngsten Berichterstattungen über Störungen von Videokonferenzen durch unbefugte Dritte (sog. Zoom-Bombing), Sicherheitsdefizite von Zoom-Warteräumen, den unberechtigten Abfluss von Nutzerdaten an Facebook, Passwort Leaks und das Traffic Routing über chinesische Server zudem fragen lassen, ob das Unternehmen in puncto Datensicherheit als Auftragsverarbeiter geeignet ist. Problematisch erscheinen im schulischen Kontext auch die von Zoom bereitgestellte Aufzeichnungsfunktion und das Aufmerksamkeitstracking. Beide Funktionen können hier nicht rechtmäßig eingesetzt werden. Es ist fraglich, ob durch technische und/oder organisatorische Maßnahmen hinreichend sichergestellt werden, dass sie nicht zum Einsatz kommen.“
Frage des Parentsmagazin-Hamburg:
Teilen Sie Herr Prof. Caspar die
datenschutzrechtliche Auffassung Ihres Kollegen Stefan Brink aus Baden-Württemberg ( https://www.baden-
Antwort des Hamburgischen Datenschutzbeauftragten Prof. Johannes Caspar: „Der HmbBfDI teilt die kritische Haltung bezüglich des Einsatzes von Zoom im Schulbereich. Es ist darauf hinzuweisen, dass die gesetzlichen Vorgaben grundsätzlich für alle Dienste zum e-Learning gelten.“