LfD: Weiterhin keine Freigabe für die Niedersächsische Bildungscloud

Quelle: Die Landesbeauftragte für den Datenschutz Niedersachsen, Tätigkeitsbericht 2021, S. 139f.

Im September 2021 hat mir das Niedersächsische Kultusministerium erneut eine überarbeitete Fassung des Datenschutzkonzepts zur Niedersächsischen Bildungscloud (NBC) übersandt, die auch eine Datenschutz-Folgenabschätzung enthielt. Aufgrund fortbestehender, bereits in der Vergangenheit angemerkter Änderungs- und Ergänzungsbedarfe des Datenschutzkonzepts, konnte eine Freigabe der NBC aus datenschutzrechtlicher Sicht nicht erfolgen.

Die Unterlagen wurden von mir dahingehend geprüft, ob die bereits im Dezember 2020 mitgeteilten datenschutzrechtlichen Änderungs- und Ergänzungsbedarfe berücksichtigt worden waren. Meine Prüfung ergab, dass die dem Kultusministerium teils hinlänglich bekannten Mängel sowohl im rechtlichen Bereich als auch im Bereich der Datenschutz-Folgenabschätzung größtenteils nicht beseitigt worden waren, sodass eine datenschutzrechtliche Freigabe der NBC anhand der mir vorliegenden Unterlagen nicht möglich war.

Die wesentlichen Beanstandungen waren:

• Die Struktur und das Zusammenspiel der an der NBC beteiligten Akteure war nach wie vor unklar. Insbesondere waren Teile des Datenschutzkonzepts nicht an den Umstand angepasst worden, dass das Hasso-Plattner-Institut als ursprünglicher Hauptakteur der NBC im Verlauf des Berichtsjahres durch den IT-Dienstleister Dataport ersetzt worden war.
• Aus den Unterlagen ergab sich, dass personenbezogene Daten an außerhalb der NBC stehende Dritte übermittelt werden sollten. Es wurde jedoch weder eine gesetzliche Rechtsgrundlage benannt, auf die die Übermittlung gestützt werden könnte, noch war eine solche erkennbar.
• Es blieb nach wie vor offen, wie und durch wen an die NBC angeschlossene Produkte (Lern- und Bildungsinhalte) externer Anbieter vorab auf Datenschutzkonformität geprüft werden.
• Die eingereichte Datenschutz-Folgenabschätzung war unvollständig und wies in Bezug auf entscheidende Punkte Mängel auf.

Offizieller Abschluss der Prüfung
Ich übermittelte dem Kultusministerium das Ergebnis meiner Prüfung und bat darum, die mitgeteilten Änderungsbedarfe zeitnah in eigener Zuständigkeit umzusetzen. Gleichzeitig wies ich darauf hin, dass die Umsetzung dieser Änderungen auch für die Erfüllung der Informationspflichten gemäß Art. 13 und 14 Datenschutz-Grundverordnung (DS-GVO) gegenüber den betroffenen Schülerinnen und Schülern sowie Lehrkräften durch die jeweils datenschutzrechtlich verantwortliche Schule unabdingbar ist. Hinzukommt, dass die Schule im Zuge der ihr obliegenden Rechenschaftspflicht gemäß Art. 5 Abs. 2 DS-GVO den datenschutzkonformen Einsatz der NBC nachweisen muss. Dies setzt jedoch ein vollständiges und nachvollziehbar strukturiertes Datenschutzkonzept voraus.

Schließlich teilte ich dem Kultusministerium mit, dass ich vor dem Hintergrund der umfangreichen, über einen langen Zeitraum und mit hohem Aufwand geleisteten Beratungen keine erneute Prüfung ggf. überarbeiteter Unterlagen durchführen kann.

Die gewonnenen Erkenntnisse aus der datenschutzrechtlichen Begleitung der NBC werde ich in die noch in der Entwicklung befindlichen „Eckpunkte für den datenschutzkonformen Einsatz von Bildungsplattformen im Schulbereich“ einfließen lassen, die den Schulen als Hilfestellung beim Einsatz von Bildungsplattformen dienen sollen

Quelle: Die Landesbeauftragte für den Datenschutz Niedersachsen, Tätigkeitsbericht 2021, S. 139f.