Baden-Württemberg : Wie baut man eine datenschutzkonforme Bildungsplattform?

Warum es so schwierig ist, den Schulen eine datenschutzkonforme Bildungsplattform anzubieten, zeigt das Beispiel Baden-Württemberg. Hier sollten die Lernmanagementsysteme auf der Bildungsplattform ergänzt werden durch digitale Kommunikations- und Kollaborationstools. Dafür war der Einsatz von „Microsoft 365“ vorgesehen. Laut Empfehlung des Landesdatenschutzbeauftragten soll damit aber bald Schluss sein. Durch eine Ausschreibung will das Kultusministerium nun eine datenschutzkonforme Lösung für noch fehlende Module auf der Bildungsplattform finden. Das Schulportal sprach mit dem Kultusministerium und mit dem Datenschutzbeauftragten des Landes darüber, worin die Hauptprobleme liegen, und wie sie gelöst werden können.
Florentine Anders 09. September 2021 Aktualisiert am 10. September 2021 4 Kommentare
Bildschirm zeigt Microsoft-Anwendung
Viele Schulen haben während der Schulschließung auch auf das Konferenztool von Microsoft 365 zurückgegriffen. Doch Datenschützer warnen.
©dpa

Eine Bildungsplattform für Schulen mit allen gewünschten Funktionen zu entwickeln ist offenbar eine komplizierte Angelegenheit – jedenfalls wenn diese leistungsfähig und datenschutzkonform sein sollen. Mal reichen die Serverkapazitäten nicht aus, mal sind die Zugänge nicht ausreichend geschützt oder die Datenflüsse nicht transparent.

Das Beispiel der Bildungsplattform in Baden-Württemberg zeigt die Komplexität der Probleme. Wie in vielen anderen Ländern auch bestand hier der Wunsch vieler Schulen und auch der Kultusverwaltung, „Microsoft 365“ in die bestehende Bildungsplattform zu integrieren und so den Schulen ein leistungsfähiges Komplettpaket anzubieten.

Während Kommunikations- und Kollaborationslösungen wie „Microsoft 365“ Arbeitsprozesse und Kommunikation zwischen Lehrkräften und Lernenden organisieren, schaffen Lernmanagementsysteme wie „itslearning“ oder „Moodle“ adaptive Lernumgebungen, in denen die Schülerinnen und Schüler Material vorfinden, Aufgaben bearbeiten, Feedback erhalten und ihren Lernfortschritt dokumentieren.

Die Vorteile von „MS 365“ liegen auf der Hand: Die Handhabung ist einfach, die Funktionen bilden die schulischen Bedarfe ab, und das System läuft verlässlich. Hinzu kommt ein praktischer Nebeneffekt: Die Schülerinnen und Schüler können sich auf die digitale Arbeitswelt vorbereiten, indem sie sich vertraut machen mit dem weitverbreiteten System eines Marktführers.

Während der Schulschließungen haben viele Schulen mit „Microsoft“-Programmen wie „MS Teams“ gearbeitet, um den Schülerinnen und Schülern Online-Unterricht anbieten zu können. In Baden-Württemberg nutzt etwa ein Drittel aller Schulen „MS 365“.

Das Kultusministerium wollte daran anknüpfen und eine schulkompatible Version als Baustein in die bestehende Bildungsplattform des Landes integrieren. Zwar können die Schulen hier bereits mit „Moodle“ oder „itslearning“ Arbeitsaufträge mit den Schülerinnen und Schülern teilen, mit „BigBlueButton“ oder „Jitsi“ Videokonferenzen abhalten und mit dem Messengerdienst „Threema“ schnell und informell kommunizieren.

Doch die Bildungsplattform soll viel mehr sein. Um sie perfekt zu machen, fehlen noch ein paar entscheidende Module. „Dazu gehört beispielsweise eine Bürokommunikation für Lehrkräfte, die auch eine Zusammenarbeit an gemeinsamen Dokumenten möglich macht, oder auch ein leistungsfähiger Online-Datenspeicher, auf dem die Dokumente gespeichert werden könnten“, sagt Benedikt Reinhard vom Kultusministerium in Baden-Württemberg.

Geht das nicht auch mit den vorhandenen Bausteinen wie „Moodle“ oder ”itslearning“? „Nein“, sagt Reinhard, „die Bausteine sind einfach für einen anderen Zweck konzipiert.“

Von Anfang an hatten Datenschutzbeauftragte der Länder gewarnt

Zunächst hatte das Land Baden-Württemberg versucht, das Bildungsportal für die rund 4.000 Schulen in Eigenregie zu entwickeln, war mit dem Vorhaben aber gescheitert. Also griff das Land auf die bereits entwickelten und erprobten Module wie „Moodle“ oder „itslearning“ zurück.

Indem die Schulen zwischen verschiedenen Lernmanagementsystemen und Konferenztools wählen können, sollte auch eine Überlastung der Kapazitäten verhindert werden – auch wenn sich viele Schülerinnen und Schüler, Eltern und auch Lehrkräfte eine Vereinheitlichung wünschen würden.

Die noch fehlenden Bausteine in der Bildungsplattform hätte „Microsoft 365“ komplett und einheitlich abdecken können. Kapazitätsprobleme gebe es nicht mit den Programmen, die weltweit in Unternehmen eingesetzt werden, so Benedikt Reinhard. Nicht mal eine Ausschreibung wäre nötig gewesen, weil die Landesverwaltung bereits eine Rahmenvereinbarung mit Microsoft hatte, die auch für die Schulen hätte genutzt werden können.

Wären da nicht von Anfang an die Bedenken der Datenschützer gewesen. Die Datenschutzbeauftragten aller Bundesländer hatten gewarnt: Wenn Schulen mit Microsoft-Programmen arbeiten, bestehe möglicherweise die Gefahr, dass sensible Daten in die USA abfließen.

Doch welche Daten werden erfasst, und wie werden diese tatsächlich weitergeleitet und verarbeitet? Kann das Problem vielleicht durch eine schultaugliche Konfiguration behoben werden?

Stefan Brink, der Landesdatenschutzbeauftragte von Baden-Württemberg, war der Einzige unter den Amtskollegen, der sich die Mühe machte, Antworten auf diese Fragen zu finden. In einem Pilotversuch an mehreren beruflichen Schulen haben Brink und sein Team versucht, die Datenflüsse zu messen und nachzuvollziehen, wo diese hingehen. Die Datenschützer hatten eigens dafür ein IT-Labor eingerichtet. Immer wieder wurden gemeinsam mit Microsoft Anpassungen vorgenommen.

Resultat: „Im Juni schließlich haben wir die Bemühungen aufgegeben. Es waren einfach zu viele Probleme, die sich auftaten“, sagt Brink.

Stefan Brink
Stefan Brink ist Landesdatenschutzbeauftragter von Baden-Württemberg.
©Kristina Schäfer

Datenflüsse lassen sich nicht exakt nachvollziehen

Und worin liegen die Hauptprobleme für den Datenschutz? Im Gespräch mit dem Schulportal nennt Brink vor allem drei Punkte, die dazu führten, dass er dem Kultusministerium im Juni die Empfehlung aussprach, Microsoft auch in der konfigurierten Fassung nicht für die Bildungsplattform zu verwenden.

  • „Erstens gibt es das große Problem der Transparenz. Microsoft hat ein sehr komplexes Produkt entwickelt – vor allem auch mit der Cloud-Anwendung. Bei der Überprüfung fanden wir jede Menge Datenflüsse, die wir uns nicht erklären konnten. Auch Microsoft konnte auf Nachfrage nicht überzeugend darlegen, warum das so sein muss. Wenn ich aber als Schule die Schülerinnen und Schüler verpflichte, damit zu arbeiten, übernehme ich die Verantwortung. Das ist nicht möglich, wenn die Schule nicht genau sagen kann, was mit den Daten passiert.“
  • „Der zweite neuralgische Punkt für den Datenschutz sind die Nutzungsbedingungen von Microsoft. Hierin wird festgelegt, dass Microsoft die Daten aus den Anwendungen für eigene Zwecke verwenden kann. Das kann eine Schule aus meiner Sicht nicht zulassen. Das wäre in etwa so, als würden wir einem Versicherungsvertreter erlauben, sich hinten in die Klasse zu setzen und Krankentage, Verhalten und Ähnliches für seine Produkte auszuwerten.“
  • „Die dritte entscheidende Hürde besteht darin, dass Microsoft nicht nur in Europa arbeitet. Daten fließen regelmäßig aus Europa – auch in Länder, in denen sie nicht sicher sind. Und dazu gehören nach dem sogenannten Schrems-Urteil des Europäischen Gerichtshofs auch die USA aufgrund des enormen Datenhungers der dortigen Sicherheitsbehörden. Und selbst wenn die Daten in Europa bleiben, so regeln US-amerikanische Gesetze, dass Sicherheitsbehörden auch im Ausland bei Bedarf auf Daten von US-Firmen zugreifen können.“

Für einige der Probleme gibt es bei Microsoft bereits Lösungen, an anderen wird gearbeitet. Dennoch kam der Landesdatenschutzbeauftragte Brink zu dem Schluss, dass das Produkt für Schulen erst mal nicht empfohlen werden kann.

Jetzt bereitet das Kultusministerium eine Ausschreibung vor, um die fehlenden datenschutzkonformen Module für die Bildungsplattform einkaufen zu können. Die Behörde rechnet damit, dass es eineinhalb Jahre dauern wird, bis der Ausschreibungsprozess abgeschlossen ist. „Grund für diesen langen Zeitraum sind Ausschreibungs- und Widerspruchsfristen, die eingehalten werden müssen“, sagt Benedikt Reinhard vom Kultusministerium. Am Ende sei es möglich, dass sich auch Microsoft mit einer datenschutzkonformen Version für Schulen an der Ausschreibung beteiligt. Der Datenschutzbeauftragte jedenfalls wird das Kultusministerium bei der Auswahl beraten.

Bis dahin werden wohl viele Schulen trotzdem weiter mit „Microsoft Teams“ Konferenzen abhalten oder im Kollegium in gemeinsamen Excel-Tabellen arbeiten. „Die Schulen wählen selbst – wir können das nicht verbieten! Wenn es aber eine Beschwerde von Schülerinnen und Schülern oder ihren Eltern gibt, müssen die Schulen auf andere Tools zurückgreifen“, sagt Brink.

Der Datenschutzbeauftragte wird sie dabei in jedem Einzelfall beraten. Der Arbeitsaufwand dafür ist für seine Behörde enorm. Allein deshalb ist auch der Landesdatenschutzbeauftragte daran interessiert, dass das Kultusministerium möglichst eine Lösung findet, die von vielen Schulen angenommen wird.