Das bedeutet schlicht: Alles ist verboten, was nicht ausdrücklich erlaubt ist. Die Erlaubnis kann durch eine Rechtsnorm (Gesetz, Erlass) oder eine Einwilligung der Betroffenen realisiert sein. Hier gibt es auch in Zeiten der DS-GVO von Bundesland zu Bundesland Unterschiede, was z.B. die Form von Einwilligungserklärungen angeht oder in Bezug auf Rechtsvorschriften. Es gibt z.B. Bundesländer, die die Nutzung von Facebook oder WhatsApp zum Kontakt mit Schüler:innen ausdrücklich untersagen. Diese unterschiedlichen Rechtsauslegungen laufen aber dem Grundansatz der immerhin europäischen Datenschutzgrundverordnung (DS-GVO) paradoxerweise zuwider - im europäischen Raum soll sie ja gerade das unterbinden.
Egal, was ich in Schule einführe und versuche: Wenn es nicht in Einklang mit Datenschutznormen steht, reicht eine juristisch bewanderte Person (s.o.) aus, um ggf. mühsam aufgebaute Strukturen effizient zu zerstören und für Jahre negativ zu besetzen – damit ist dann ein Produkt oder gar eine Produktlinie auf Jahre in der Region „verbrannt“. Konkret habe ich in einem Projekt ein digitales Klassenbuch an dieser Problemstellung scheitern sehen. Dabei gibt es durchaus Empfehlungen und Vorgaben verschiedener Dienstherren zur Umsetzung eines solchen Vorhabens.
Diese „klagende Person“ muss nicht einmal etwas mit der betreffenden Schule zu tun haben. Es scheint widersinnig: Prinzipiell kann jeder Verfahren an Schulen prüfen und Fehler bei der übergeordneten Behörde anzeigen.
„Bei Google, Apple oder Microsoft sind die Daten viel sicherer aufgehoben, als es eine Schule je leisten könnte! Daher sollten Schulen Clouddienste dieser Anbieter nutzen.“
Diese in sozialen Medien oft zu hörenden Aussagen zeugen von einem sehr einseitigen Datenschutzbegriff, der nicht zwischen Datenschutz und Datensicherheit differenziert.
Die Datensicherheit, der sogenannte technische Datenschutz, ist nur ein Teilaspekt des Themas. Geschichtlich leitet sich der deutsche Datenschutz von Artikel 1 des Grundgesetzes ab:
„Die Würde des Menschen ist unantastbar. Sie zu achten und zu schützen ist Verpflichtung aller staatlichen Gewalt.“
Staatliche Gewalt ist im Bereich Schule die jeweilige Schule selbst. Es macht pädagogisch begrenzt Sinn, die angebliche Mitteilungsfreundlichkeit der heutigen Jugendlichen in sozialen Netzwerken zu kritisieren, als System Schule oder als Lehrkraft dann aber vorzuleben, dass man sich ähnlich unreflektiert nicht an Vorgaben und Erlasse zu halten braucht. Die pädagogische Chance für den Datenschutz liegt für mich gerade darin, offen zu problematisieren, wenn man sich trotz uneindeutiger Vorgaben zu Nutzung entschließt.
Lernprodukte in Clouds von großen Internetkonzernen sind ebenso ein potentieller Datenpool wie z.B. die Daten von Fitnessarmbändern oder Bewegungsprofile von Autos. Vor einigen Jahren sind Menschen als paranoid verlacht worden, die Versicherungstarife auf Basis von diesen Daten prognostiziert haben. Heute sind diese Tarife Realität – mit allen gesellschaftlichen Folgen wie z.B. der schrittweisen Aushöhlung des Solidaritätsprinzips.
Lernprodukte als zumeist unvollkommene Texte oder sonstige Dateien gehören daher nach meiner Meinung zunächst in geschützte, rechtlich klar umrissene Räume.
Leider gibt es in den meisten Bundesländern keine verbindlichen anwendbaren Rechtsnormen, sodass einer Einwilligungserklärung momentan die zentrale Bedeutung zukommt.
Die Nutzung von Clouddiensten ist i.d.R. genau deswegen in Absprache mit dem jeweiligen Landesdatenschutzinstitut möglich. Einige große Internetkonzerne haben die Problematik mittlerweile erkannt und arbeiten mit in Deutschland ansässigen, deutschen Datenschutznormen genügenden Anbietern zusammen. Teilweise ist auch ein komplettes Datenschutzpaket inklusive vorformulierter Einwilligungserklärungen Teil des Vertrages. Derartige Anbieter sollte man bevorzugt in die engere Auswahl nehmen.