BYOD/Elternfinanzierte iPads an Schulen vs Datenschutz und Rechtsvorschriften

In diesem Beitrag stelle ich ausschließlich meine persönliche Meinung als Elternteil dar.

Elternfinanzierte 1:1-iPad-
Ausstattungen an deutschen Schulen

Viele Schulen sind dabei den digitalen Unterricht voranzutreiben. Dazu setzen sie auf die privaten iPads der Schüler. Dies vornehmlich aus dem Grund, dass Schulen und Schulträger ganz überwiegend nicht über die erforderlichen Mittel verfügen, um die gesamte Schülerschaft, bzw. alle Klassen mehrerer Jahrgänge mit digitalen Endgeräten auszustatten.

Gemeinsam mit den Kollegen von Chaos macht Schule des CCC habe ich zu diesem Thema den ausführlichen Artikel „Bring your own devices an Schulen“ in der „datenschleuder Nr. 106“ veröffentlichen dürfen. Der kritische Blick auf die elternfinanzierten Geräte macht den Artikel zur Pflichtlektüre für Schulen, Schulträger, Eltern und Elternräte. In dem Artikel wird schonungslos angesprochen welche bürokratischen Hürden die Institutionen nehmen müssen und Eltern & Schüler erhalten einen ungeschönten Einblick worauf sie sich einlassen, wenn eine elternfinanzierte 1:1 iPad Ausstattung an ihrer Schule eingeführt wird.

Wie bewerten Landesdatenschutzbehörden den Einsatz von BYOD an Schulen?

Oftmals können die Schulen keine umfassende Aufklärung der Eltern leisten. Umso erfreulicher, dass sich die Landesdatenschutzbehörden bereits (eingeschränkt) zu dem Einsatz privater Geräte an Schulen geäußert haben.

Die LDI NRW hat mit Stellungnahme vom 31.10.2022 nur schulischen Geräten eine datenschutzkonforme Anwendung bescheinigt. Hingegen „sieht die LDI NRW den Einsatz privater Endgeräte nicht nur bei Lehrkräften, sondern auch bei Schülerinnen generell kritisch. … Daher kann der Einsatz privater Endgeräte – auch im Interesse der Schulen, die für die Wahrnehmung ihres Bildungsauftrags auf digitale Lösungen setzen – nur übergangsweise in Betracht kommen. … Um die hiermit verbundenen rechtlichen Unsicherheiten zu vermeiden, empfehlen wir Ihnen, alle Schülerinnen möglichst kurzfristig mit schulischen Endgeräten auszustatten und damit die dauerhafte Gewährleistung von Datenschutz und –sicherheit zu ermöglichen.“

„Bring your own devices an Schulen“, die datenschleuder Nr. 106

LDI Vorgaben für eine übergangsweise Nutzung von BYOD

Den Einsatz von elternfinanzierten iPads knüpft die LDI an einige Bedingungen:

  • Umsetzung von technischen und oragnisatorischen Maßnahmen zur Gewährleistung des Datenschutzes der Schüler. Hier ist ein umfassendes Paket zu implementieren, um das Missbrauchspotential der totalen Kontrolle über die private iPads abzumindern.
  • Echte freiwillige und nachteilsfreie Wahl, so dass eine Elternfinanzierung weder direkt noch indirekt zur Sicherung der Teilhabe an der digitalen Ausbildung ist.
  • Aufklärung und Information der Eltern über die Einbindung der BYOD Geräte in ein schulisches MDM inklusive supervised Mode.
  • Jederzeitiges Widerrufsrecht.

Durch die private Nutzung der durch die Schule voll kontrollierten, gesteuerten und überwachten BYOD Geräte ergeben sich weitere zu prüfende Aspekte.

Teacher Tools und Teacher App

Als erstes Beispiel dienen die Möglichkeiten der Apple Teacher Tools in Kombination mit einer MDM Teacher App.

Classroom erlaubt es einer Lehrkraft jederzeit auf den Bildschirm eines Schülers in seiner Klasse zuzugreifen.

Die Funktion „Klassenzusammenfassung“ liefert ein Aktivitäts- und Leistungsprotokoll über die Schüler in der Klasse. 

(https://support.apple.com/de-de/guide/classroom/claa8326dfe9/web)

Die Teacher App (https://relution.io/insights/relution-teacher) erlaubt es einer Lehrkraft Richtlinien (Ad-Hoc) für die Schüler Geräte festzulegen (https://www.youtube.com/watch?v=_r5Mxzfvy0s) . Damit kann eingeschränkt werden (optional) welche Apps, System Apps oder Webseiten zugelassen sind. Diese Profile lassen sich sogar mit der Option „Persönliches Unterrichtsprofil“ vor anderen Lehrkräften verbergen.

Die Classroom-App für Lehrkräfte ermöglicht somit eine umfangreiche und anlasslose Datenerhebung/ Überwachung der Schülerinnen und Schüler. Diese sehen nur, ob die Lehrkraft gerade die Funktion „Screens der Schüler ansehen“ aktiviert hat oder nicht. Der Einzelne kann nicht erkennen, ob die Lehrkraft gerade auf seinen Bildschirm schaut oder nicht.  Auch im Nachhinein werden sie darüber nicht regelmäßig informiert.
Diese Funktion / Vorgehensweise unterscheidet sich ganz erheblich vom analogen Unterricht, bei dem Schülerinnen und Schülern bekannt ist, wann jemand auf die eigenen Unterlagen schaut. Es entsteht ein permanenter Überwachungsdruck und Mangel an Privatsphäre während der Bearbeitung (z.B. falls nicht abgabereife Notizen/Aufgaben der Schülerinnen und Schüler von der Lehrkraft angeschaut werden oder der persönliche Daten geöffnet sind).
Darüber hinaus ermöglicht die Auswertung „Klassenzusammenfassung“ die genaue Nachverfolgung, wer wann und wie lange welche App zur Bearbeitung geöffnet hatte. Dazu steht in dem Dokument „Eckpunkte für den datenschutzkonformen Einsatz von digitalen Lernplattformen in den niedersächsischen Schulen (Stand: Juni 2022)“ :

Es muss sichergestellt sein, dass die Lehrkräfte nicht nachverfolgen können, wie lange die Schülerinnen und Schüler an den jeweiligen Dokumenten gearbeitet haben. Denn dies würde im Vergleich zum analogen Schulalltag, in dem solche Auswertungsmöglichkeiten nicht bestehen, einen unverhältnismäßigen Eingriff in das Recht auf informationelle Selbstbestimmung der Schülerinnen und Schüler darstellen.“

Eckpunkte für den datenschutzkonformen Einsatz von
digitalen Lernplattformen in den niedersächsischen
Schulen (Stand: Juni 2022)

Risiko Zugriff auf das private Leben

Die Teacher App erlaubt es einem Einzelnen -ohne 4 Augen Prinzip oder technischen Einschränkungen- jederzeit Richtlinien für die Geräte “seiner” Klasse zu erzeugen und diese sogar vor anderen Lehrkräften zu verstecken. Zusätzlich kann über die App jederzeit ein Unterricht gestartet werden.
Jemand könnte jederzeit auf diesem Weg eine Richtlinie (ohne Einschränkungen für die SuS Geräte, um „unbemerkt“ zu bleiben) erzeugen und vor anderen Lehrkräften verbergen. Dann könnte er damit zu einem beliebigen Zeitpunkt einen Unterricht für (gezielt ausgewählte) SuS starten und direkt im Anschluss mit Apple Classroom sich Zugriff auf dessen Bildschirm verschaffen.
Ob Schüler und Schülerinnen (SuS) diesen Zugriff bemerken und “verstehen” bleibt fraglich, da auf dem IPAD der SuS kein Hinweis oder eine Informationsmeldung erscheint (https://youtu.be/ZG3mmnxUW-E?t=349) .

Verbot BYOD in den Apple AGBs und SchulG §30

Die School Manager AGBs definieren in Punkt 11 Abschnitt M, was autorisierte Geräte sind, die einem Account zur Registrierung hinzugefügt werden dürfen. Im letzten Satz der Definition, wird dabei ausgeschlossen BYOD-Geräte (Private) zu registrieren und dem Account hinzuzufügen. Die AGBs des Apple School Manager untersagen damit die Verwendung von privaten Geräten.

„Autorisierte Geräte“ bezeichnet Hardware der Marke Apple, die in Ihrem Eigentum oder unter Ihrer Kontrolle ist (und die Sie und/oder Ihre Endnutzer persönlich besitzen (z. B. „BYOD“- Geräte)) und die zur Nutzung ausschließlich durch die Endnutzer vorgesehen ist und die geltenden technischen Spezifikationen und Anforderungen zur Verwendung mit dem Dienst erfüllt. Ungeachtet des Vorstehenden ist es nicht erlaubt, dass Sie BYOD-Geräte in der überwachten Geräteverwaltung als Teil des Dienstes registrieren, und solche Geräte dürfen nicht Ihrem Account hinzugefügt werden.

School Manager AGBs

Ebenso deutlich kommuniziert das Handbuch dieses Verbot.

„Du musst alle Geräte, die du nicht besitzt oder kontrollierst, gemäß der Apple School Manager-Vereinbarung freigeben.“

School Manager Handbuch

Somit liegt bei Nutzung von BYOD an Schulen bereits ein Verstoss gegen das Vertrags- und Lizenzrecht vor. Doch auch das Schulgesetz ist nun betroffen:

SchulG NRW § 30

Lernmittel

(1) Lernmittel sind Schulbücher und andere Medien, die dazu bestimmt sind, von den Schülerinnen und Schülern über einen längeren Zeitraum genutzt zu werden.

(2) Lernmittel dürfen vom Ministerium nur zugelassen werden, wenn sie

1. Rechtsvorschriften nicht widersprechen,

2. den Unterrichtsvorgaben entsprechen,

SchulG Online

Aufgrund der (geplanten) langfristigen Nutzung des Mediums IPAD sind auch die BYOD iPads als Lernmittel einzustufen. Aufgrund der vorliegenden Verletzung des Vertrag- und Lizenzrechtes der Apple School Manager AGBs bezüglich der verbotenen Einbindung von BYOD erscheint Punkt 1. bezüglich der Einhaltung der Rechtsvorschriften nicht erfüllt.

Fragenkatalog Datenschutz BYOD iPads an Schulen

Die zwei ausgewählten Beispiele zeigen den weiteren Prüfbedarf auf. Mein Paper Digitaler Unterricht – Chaosfrei? – Eine technische Risikobetrachtung gewährt einen tieferen Einblick in die Welt des Datenschutzes und der Datensicherheit inklusive Betrachtung rechtlicher und organisatorischer Fragen. Aus diesem Paper stammt die folgende Auflistung der zu betrachtenden Aspekte bei dem Einsatz von elternfinanzierten iPads an Schulen.

  1. Gewährleistung eines freiwilligen und nachteilsfreien Angebotes (z.B. Leihgeräte) inklusive Widerrufsrecht und Aufklärung bei BYOD Geräten. Festlegung eines angemessenen Zeitraumes für eine möglichst kurzfristige übergangsweise Nutzung privater iPads .
  2. Sind die Datenübertragungen von (nicht anonymisiert gesendeten) Analysedaten (Zweckkonform?) an Apple datenschutzkonform? ( https://gizmodo.com/apple-iphone-privacy-dsid-analytics-personal-data-test-1849807619 )
  3. Welche Auswirkungen hat der Ausschluss von BYOD in den Apple School Manager AGBs im Widerspruch zu dem Einsatz von elternfinazierten iPads /BYOD?
  4. Ist die Informierung und Zustimmung von Eltern zur Erstellung einer (verwalteten) APPLE ID für ein Schulkind im Rahmen der Nutzung eines iPads erforderlich? Wie wirkt sich das Mindestalter von 16 Jahren für eine APPLE ID aus? Wie ist der Datenschutz zu bewerten im Hinblick auf die implizite Notwendigkeit der Erzeugung einer Apple ID (mit allen Konsequenzen der Nutzung eines iPads und APPLE ID)  für das Schulkind zur parallel privaten Nutzung des elternfinanzierten iPads, da die Auswahl des Gerätes (iPad) durch die Schule erfolgte und bei Wahl eines anderen Gerätes keine Apple ID notwendig wäre?
  5. Existiert ein (unabhängiger) Nachweis, dass die notwendigen TOMs (Change Management vorhanden? ; Teacher App & Classroom Zugriff) wirkungsvoll für die tatsächliche Infrastruktur (shared Server?) implementiert sind? 
  6. Ist die Gewährleistung der Anforderungen bezüglich der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO durch die Schule sichergestellt?
  7. Gewährleistung, dass bei ein Auftragsverarbeiter einer öffentlichen Einrichtung (Schule) keinerlei persönlichen Daten der Nutzenden für eigene Zwecke verwendet wird – wie jedoch in den Apple AGBs angegeben.
  8. Schutz aller Daten der Kinder vor unberechtigtem Zugriff durch Dritte.
    „Dabei ist der entscheidende Aspekt, ob die Schule als öffentliche Einrichtung personenbezogene Daten (von Kindern) in einer (europäischen) Cloud speichern kann, die z.B. einem möglichen Zugriff US-amerikanischer Behörden ausgesetzt ist. Öffentliche Einrichtungen in Deutschland haben eine besondere Verantwortung hinsichtlich der Zulässigkeit und Nachvollziehbarkeit der Verarbeitung personenbezogener Daten.“.
    (ITMediaLaw)
  9. Es ist zu prüfen, ob die Funktionen der Apple Teacher Apps wie die Classroom Funktion „Viewing Students Device Screen“ datenschutzkonform auf privaten Geräten genutzt werden können. Insbesondere in Kombination mit den Möglichkeiten der Relution Teacher App ist der Datenschutz für SuS zu gewährleisten. Zudem ist zu prüfen, ob die Erhebung der Aktivitäts- und Leistungsdaten durch Apple Schoolwork/Classroom zulässig ist.
  10. Welche Folgen hat ein Verstoß gegen SchulG NRW § 30 im weiteren Verlauf für die einzuhaltenden Datenschutzanforderungen an ein solch potenziell rechtswidriges Lernmittel? Beispielsweise Datenübertragungen an Apple, Zugriff auf die Geräte durch Lehrkräfte und dies vor dem Hintergrund eines potentiell unzulässigen Lernmittels.
  11. Es ist zu prüfen, ob der Einsatz der Plattform Office 365 und deren Apps datenschutzkonform ist, da diese Plattform in der Schule verwendet wird und deren Apps automatisch durch die Schule aufgespielt werden.

Was kann man als Betroffene tun?

Oftmals ist die Aufklärung durch die Institution unzureichend und die Angst vor Nachteilen, wenn man nicht „mitzieht“, ist groß. Der Druck auf die Schüler ist ebenfalls nicht zu leugnen, da ja „alle“ mitmachen und weder Eltern noch Schüler verstehen was da genau auf einen zu kommt und welche Optionen einem eigentlich zustehen. Nicht immer ist die Kommunikation mit der Schule zu diesem Punkt einfach und man kann schnell eine gemeinsame Lösung finden.

Ob diese Art der Kommunikation strategisch ist, lässt sich nicht mit Sicherheit beantworten. Allerdings spricht die Empfehlung des Medienzentrums Cloppenburg für sich.

FAQ des Medienzentrums Cloppenburg wie Schulen Tablets einführen sollen

In solchen Fällen findet jeder Betroffene (Eltern oder Schüler) Hilfe bei seiner zuständigen LDI. Dort kann man mit eine formlosen E-Mail eine Anfrage/Beschwerde einreichen. Dies ist jederzeit möglich – sowohl VOR der Einführung als auch DANACH. Wie hier dargestellt existieren Auflagen für einen BYOD Einsatz und mehrere kritische Punkte sind zum jetzigen Zeitpunkt noch ungeklärt.

Eine Inspiration für eine solch formlose Anfrage stelle ich in meiner Vorlage bereit. Diese Vorlage stellt keine juristische Beratung oder Dienstleistung dar und ist meine rein private und subjektive Sicht der Dinge.

In der Vorlage ist der Kontakt zu der LDI NRW enthalten, andere LDI sind eigenständig im Internet zu suchen (postestelle@xyz ist ausreichend). Die Vorlage ist auf die persönliche Situation anzupassen und stellt nur eine Inspiration dar.