CNIL (Frankreich) erinnert Schulen an Datenschutzregeln bei Online-Kollaborationstools

Hintergrund

Die digitale Transformation im Bildungsbereich hat zu einem verstärkten Einsatz von Online-Kollaborationstools geführt, wie den „Espaces Numériques de Travail“ (ENT) oder ähnlichen Angeboten, die oft auf Cloud Computing basieren. Diese Tools erleichtern die Zusammenarbeit zwischen Verwaltungspersonal, Lehrkräften, Schülern und deren Erziehungsberechtigten. Die Dienste beinhalten die Verarbeitung personenbezogener Daten, darunter Kommunikationsinhalte, Schülerarbeiten, persönliche Dokumente und Bewertungen. Die Verantwortlichen müssen sicherstellen, dass diese Tools den Datenschutzvorschriften entsprechen, und dabei die Unterstützung ihres Datenschutzbeauftragten (DSB) in Anspruch nehmen. Die Rechtsgrundlage für die Datenverarbeitung ist, wenn die Verarbeitungen im Rahmen der öffentlichen Aufgaben der Bildungseinrichtungen (öffentliche oder private, insbesondere gemäß Artikel L.131-2 des Code de l'éducation) erfolgen, die Wahrnehmung einer Aufgabe im öffentlichen Interesse. Die Einwilligung ist oft schwierig als gültige Rechtsgrundlage zu verwenden, da sie frei, nicht erzwungen oder durch die Autoritätsposition des Verantwortlichen beeinflusst sein muss. Die betroffenen Personen müssen eine echte Wahl haben, ohne negative Konsequenzen im Falle einer Ablehnung. Die Verantwortlichen müssen auch prüfen, ob die Kollaborationstools keine Werbetracker verwenden, da diese durch den Grundsatz der kommerziellen Neutralität des öffentlichen Bildungsdienstes untersagt sind. Sind solche Geräte zu Werbe- oder Profiling-Zwecken vorhanden, müssen die Funktionen deaktiviert werden. Die betroffenen Personen (Schüler, Erziehungsberechtigte und Personal) müssen prägnant, transparent, verständlich und leicht zugänglich informiert werden (Artikel 12, 13 und 14 der DSGVO). Die Informationen müssen die Identität des Verantwortlichen und des DSB, die Zwecke und die Rechtsgrundlage der Verarbeitungen, die Empfänger der Daten, etwaige Übertragungen außerhalb der EU, die Speicherdauer und die Rechte der betroffenen Personen umfassen. Für Minderjährige müssen die Informationen einfach und pädagogisch aufbereitet sein, altersgerecht angepasst und sich an Standards wie ISO 24495-1:2023 und ISO 24495-2:2025 oder der Methodik „facile à lire et à comprendre“ (FALC) orientieren.

Warum es wichtig ist

Der Einsatz von Online-Kollaborationstools in Schulen ohne angemessenen Datenschutz setzt die Einrichtungen Risiken der Nichteinhaltung der DSGVO aus. Die ordnungsgemäße Verwaltung personenbezogener Daten, einschließlich sensibler Daten von Minderjährigen, ist eine gesetzliche Verpflichtung. Schulen müssen eine korrekte Rechtsgrundlage identifizieren und klare Informationen an Schüler, Eltern und Personal weitergeben. Wer stellt sicher, dass die Tools keine Werbetracker verwenden und die Informationen für alle, auch die Jüngsten, verständlich sind?

Was zu tun ist

• Die Einhaltung der Datenschutzvorschriften für alle verwendeten Online-Kollaborationstools überprüfen.
• Eine geeignete Rechtsgrundlage für jede Datenverarbeitung festlegen und dokumentieren, wobei für institutionelle Tätigkeiten die Aufgabe im öffentlichen Interesse zu bevorzugen ist.
• Funktionen deaktivieren oder von Anbietern deaktivieren lassen, die Werbe- oder Profiling-Tracker verwenden.
• Vollständige und zugängliche Informationen (gemäß Artikel 12, 13 und 14 der DSGVO) an Schüler, Erziehungsberechtigte und Personal bereitstellen.
• Datenschutzinformationen für Minderjährige anpassen und eine einfache sowie pädagogische Sprache verwenden.

Was zu vermeiden ist

• Die Einwilligung als Rechtsgrundlage für Hauptverarbeitungen nutzen, wenn diese nicht frei und informiert gewährleistet werden kann.
• Die Existenz von Werbe- oder Profiling-Trackern in von Dritten bereitgestellten Tools ignorieren.
• Allgemeine oder nicht leicht verständliche Datenschutzerklärungen bereitstellen, insbesondere für Minderjährige.

Praktische Auswirkungen

Der Einsatz von Kollaborationstools im schulischen Umfeld beinhaltet die Verarbeitung sensibler personenbezogener Daten, einschließlich derer von Minderjährigen. Schulen müssen eine Due Diligence bei Cloud-Dienstanbietern durchführen, um sicherzustellen, dass deren Praktiken den Vorschriften entsprechen. Nichteinhaltung kann zu Sanktionen führen und den Ruf der Einrichtung schädigen.

Zu vermeidende Fehler

• Annehmen, dass die Einwilligung immer die geeignete Rechtsgrundlage für schulische Datenverarbeitungen ist.
• Unterlassen, die betroffenen Personen über die Verarbeitung personenbezogener Daten zu informieren.
• Die Verwendung von Werbetrackern durch die Anbieter der Kollaborationstools ignorieren.

Fragen zur Selbsteinschätzung

• Haben wir eine klare und dokumentierte Rechtsgrundlage für jede Datenverarbeitung durch die Kollaborationstools?
• Haben wir eventuelle Werbe- oder Profiling-Tracker in den Tools überprüft und deaktiviert?
• Sind unsere Datenschutzerklärungen spezifisch für Minderjährige und entsprechen sie den Artikeln 12, 13 und 14 der DSGVO?
• Kennen wir die Empfänger der Daten und die Übertragungsrichtlinien außerhalb der EU für jedes verwendete Tool?

Verweise

Nationales Recht: RGPD (Regolamento Generale sulla Protezione dei Dati) · Articoli 12, 13 e 14 del RGPD · Legge dell'8 luglio 2013 (Francia) · Articolo L.131-2 del codice dell’educazione (Francia) · ISO 24495-1:2023 · ISO 24495-2:2025