Informationen für Eltern zum Datenschutz

Für die schulinterne Kommunikation und Kooperation in Kollegium und Schulverwaltung benötigen wir funktionierende und datenschutz-konforme digitale Dienste. Optimalerweise nutzen wir hierfür einen Anbieter, der alle benötigten Dienste (z. B. Mailversand, gemeinsame Arbeit an Dokumenten, gemeinsame Kalendernutzung, Datei-Ablage in einer Cloud, Durchführung von Umfragen) in einem System zuverlässig anbietet. Dadurch reicht ein Nutzerkonto aus, um komfortabel alle Dienste nutzen zu können.

Optimalerweise wählen wir einen Anbieter, welcher zusätzlich auch einen Dienst anbietet, der das Lernen und Lehren mit SchülerInnen (Aufgaben stellen, Abgaben der SchülerInnen abrufen und korrigieren) ermöglicht.

Die Zahl der Anbieter, welche diese Dienste vereinen, ist begrenzt. Wir hat die relevantesten Systeme im Frühjahr analysiert und kriteriengeleitet die Empfehlung gegeben, das System Google Workspace zu nutzen. Leider waren die untersuchten Systeme europäischer Anbieter (bspw. Lernraum Berlin, iServ, itslearning, HPI Schulcloud) deutlich weniger leistungsfähig als die von Google und Microsoft. Aus Medienberichten kann regelmäßig entnommen werden, dass die genannten europöischen Anbieter bei hohen Nutzerzahlen Performanzprobleme haben. Zudem fehlen hier häufig wichtige Dienste, bspw. ein funktionierender Videokonferenzdienst in iServ oder eine nicht-vorhandene Nutzerverwaltung in Lernraum Berlin.

Aufgrund der Datenschutz-Standards der G Suite for Education sind wir überzeugt, dass die persönlichen Daten unserer Lernenden und Lehrenden umfassend geschützt sind (siehe weitere Fragen auf dieser Seite). Google ist sich mittlerweile der gestiegenen Bedeutung des Themas Datenschutz, gerade in Europa, bewusst und betreibt in München sein weltweit größtes Datenschutz-Zentrum mit mehr als Eintausend Mitarbeitern.

Das Rosa-Luxemburg-Gymnasium verwendet Google Workspace for Education plus. Bei dieser Variante werden alle Daten auf Servern in der EU gespeichert.

1. Die einzelnen Google-Dienste enthalten keine Anzeigen und die dort erhobenen Informationen werden nicht für Werbezwecke genutzt. Google verkauft die Daten nicht an Dritte und gibt außer auf Weisung des Gesetzgebers ohne Einwilligung auch keine personenbezogenen Daten weiter.

2. Minimierung personenbezogene Daten: Die Schule achtet auf die Minimierung personenbezogener Daten bei der Anmeldung und Registrierung für RLG ONLINE: Von den SchülerInnen wird lediglich folgendes erfasst: Vorname, Nachname (weitere Daten wie Geburtsdatum, Geschlecht, Adresse, private Email-Adresse werde NICHT erfasst). Aus Vor- und Nachname setzt sich die schulische Mail-Adresse zusammen. Besonders sensible Daten wie Noten, Krankheitsdaten oder Fehlzeiten werden auf Weisung der Schulleitung nicht über G Suite verarbeitet. Personenbezogene Daten, die an Google übermittelt werden, werden von Google nur zur technischen Bereitstellung der Dienste Google-intern genutzt.

3. Keine Speicherung von Nutzungs- und Aktivitätsdaten zu Auswertungszwecken und „Data profiling“: Google sammelt von allein keine Nutzungsdaten wie Texte, Präsentationen, Kommunikationsinhalte, Bearbeitungsverlauf von Dokumenten etc. um diese Daten für Profilbildungs- oder Werbezwecke zu verarbeiten. Als Standardeinstellung ist die Sammlung von Aktivitätsdaten in den @rlg.berlin Google-Accounts ausgeschaltet.

4. Löschung von Daten: Nutzer können über ihren Account selbst einsehen, welche Nutzungsdaten Google von ihnen gespeichert hat, diese ggf. löschen und die Speicherung von Nutzungsdaten für bestimmte Dienste ausschalten. Die Schule kann Google darüber hinaus beauftragen, gespeicherte Daten zu löschen. Alle vom RLG und seinen Nutzern in Google-Diensten eingegebenen Daten werden ausschließlich in Übereinstimmung mit den Weisungen der Schule verarbeitet.

5. Datensicherheit durch Verschlüsselung: Google Workspace wird von Google unter Einhaltung garantierter Sicherheitsstandards betrieben. So erfolgt die Kommunikation zwischen dem Rechner oder Smartphone/Tablet eines schulischen Nutzers und Googles Rechenzentren vollständig SSL-verschlüsselt und ist somit sicher vor Abhörmaßnahmen durch Dritte. Sobald die Daten in einem von Googles Rechenzentren ankommen, werden sie verschlüsselt gespeichert. Unsere Auswahl von Google Workspace als schulische Arbeitsplattform gründet auch auf der Tatsache, dass dieser Dienst das C5-Testat des Bundesamtes für Sicherheit in der Informationstechnik in einer Prüfung durch eine unabhängige Institution erhalten hat. (https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2018/C5-Testat_Google_18092018.html)
   Im Vergleich zu den Bildungsclouds mehrerer deutscher Bundesländer, die im letzten Jahr Opfer von teilweise erfolgreichen Hackerangriffen geworden sind, sind die Daten bei Google sicherer.

6. Hier kommuniziert Google die eigenen Maßnahmen zum Datenschutz.

Einfach gesagt: Daten, die von Organisationen wie dem RLG in Systeme von Google eingespeist werden, gehören weiterhin den Organisationen. Google ist nicht (!) Eigentümer dieser Daten. Kunden haben immer die Kontrolle und jederzeit die Möglichkeit auf ihre Daten zuzugreifen, diese zu exportieren oder vollständig zu entfernen.

Nein! Die Dienste in Google G Suite for Education / Workspace sind werbefrei und Google versichert, dass das auch in Zukunft so bleiben wird. Inhalte beispielsweise in Gmail oder in Google Drive werden NICHT für Werbezwecke gescannt.

Kurz und knapp: Google verkauft keine Daten! Eine Weitergabe erfolgt also nur unter ganz besonderen Umständen, bspw. wenn Google gesetzlich dazu verpflichtet ist. (siehe "Haben US-Behörden Zugriff auf die Daten?")

In den Diensten der G Suite werden weder Daten für Werbezwecke erhoben noch verwendet, um damit Werbeprofile zu erstellen.

Gmail für Privatnutzer und die G Suite basieren auf derselben Infrastruktur. Dadurch ist Google in der Lage, allen AnwenderInnen leistungsfähige, verlässliche und sichere Tools zu bieten. Die G Suite ist jedoch ein eigenständiges Produkt speziell für Kunden aus dem Bildungsbereich, für Unternehmen sowie Behörden und bietet diesen NutzerInnen zusätzliche Steuerelemente in den Bereichen Sicherheit, Verwaltung und Archivierung.

Wie bei vielen anderen E-Mail-Anbietern werden auch in Gmail Nachrichten gescannt. Dies dient der Sicherheit der NutzerInnen und gibt Google die Möglichkeit z. B. Viren- und Spamschutz und die Rechtschreibprüfung durchzuführen, relevante Suchergebnisse anzuzeigen sowie Funktionen wie den sortierte Eingang und die automatische Erkennung von Kalenderterminen anzuzeigen. Für diese Produktfunktionen von Gmail für die G Suite werden alle eingehenden E-Mails gescannt. Der Scanvorgang ist dabei 100 % automatisiert. Google scannt G Suite-E-Mails NICHT für Werbezwecke.

Ja. Die Daten werden auf mehreren Ebenen verschlüsselt. Google erzwingt HTTPS (HyperText Transfer Protocol Secure) für alle Übertragungen zwischen Nutzern und G Suite-Diensten und verwendet für alle Dienste Perfect Forward Secrecy (PFS). Außerdem verschlüsselt Google Nachrichtenübermittlungen an andere Mailserver über Transport Layer Security (TLS). Während der Validierung und entscheidender Austauschphasen verwendet Google außerdem 2048-Bit-RSA-Schlüssel. Dadurch werden Nachrichten geschützt, wenn Nutzer E-Mails mit externen Parteien austauschen, die ebenfalls TLS verwenden.

Wir haben uns bei der Auswahl unserer cloud-basierten schulischen Kommunikations- und Arbeitsplattform intensiv mit dem Thema Datenschutz beschäftigt und kennen alle Bestimmungen der EU-DSGVO genau. Wir verstehen vollständig, dass aufgrund des Rufes von Google als „Datenkrake“ im privaten Anwendungsbereich Zweifel und Bedenken vorhanden sind, weshalb wir uns ausgerechnet für Google for Education als Partner entschieden haben.

Grundsätzlich ist festzuhalten, dass der Einsatz von Anwendungen datenschutzrechtlich umstritten ist, wenn die cloudbasierte Verarbeitung personenbezogener Daten in den USA erfolgt. Nachdem der EUGH im Juli 2020 das EU-US Privacy-Shield-Abkommen für ungültig erklärt hat, wird es noch einmal schwerer, die Verarbeitung von personenbezogenen Daten in den USA zu begründen. Wenn die einzelne Schule trotz dieser Bedenken eine in den USA gehostete Anwendung nutzt, tut sie es in ihrer Eigenverantwortung. Schulen sind eigenständige datenverarbeitende Stellen und haben selbst die Ausführung der Rechtsvorschriften über den Datenschutz sicherzustellen. Es ist aufgrund der DSGVO nicht erforderlich, dass personenbezogene Daten innerhalb der EU gespeichert werden. Jedoch legt die DSGVO für den Fall der Speicherung in Nicht-EU-Ländern bestimmte Bedingungen für die Übertragung personenbezogener Daten außerhalb der EU fest.

Das Rosa-Luxemburg-Gymnasium hat daher mit Google LLC für die Nutzung von Google Workspace ("RLG ONLINE") einen Zusatz zur Datenverarbeitung („Data Processing amendment“; https://gsuite.google.com/terms/dpa_terms.html) und Mustervertragsklauseln (https://admin.google.com/terms/apps/1/7/en/mcc_terms.html) abgeschlossen, um die Angemessenheits- und Sicherheitsanforderungen der EU-Datenschutz-Grundverordnung (DSGVO) zu erfüllen. Die europäischen Datenschutzaufsichtsbehörden haben die Compliance dieser Mustervertragsklauseln bestätigt und versichert, dass die vertraglichen Verpflichtungen für Google Workspace den Anforderungen für eine rechtlich zulässige Übertragung personenbezogener Daten aus der EU in ein anderes Land vollständig genügen. Damit sind auch nach Auslaufen des EU-U.S. Privacy Shield personenbezogene Daten in Google Workspace geschützt. (Mehr Informationen zur Einhaltung der DSGVO seitens der Google LLC bietet folgendes Google-Informationsangebot: https://cloud.google.com/security/gdpr?hl=de).

Der regionale Datenschutz-Beauftragte des Bezirks Pankow hat bestätigt, dass das Rosa-Luxemburg-Gymnasium seine Erwägungsgründe ausführlich und nachvollziehbar dargelegt hat. Nach der vorliegenden Dokumentation möchte die Schule für alle Lehrenden, Mitglieder der Schulverwaltung und für Schülerinnen und Schüler RLG ONLINE einführen, um insbesondere für den Fall einer pandemiebedingten (teilweisen) Schulschließung gewappnet zu sein. Die Schule verfügt neben den bereits erwähnten Verträgen mit Google über eine Nutzungsvereinbarung sowie entsprechende Vorlagen zur Erteilung von Einwilligungserklärungen durch Eltern/Lernende und Lehrende, die abrufbar sind unter online.rlg.berlin. Die Schule stellt Interessierten hinaus auf Anfrage gern unsere 42-seitige Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DS-GVO zur Verfügung. Seit dem Schuljahr 2021/22 werden die Daten des RLG auf Serverstandorten in der Europäischen Union gespeichert. Damit haben wir alle datenschutzrechtlichen Voraussetzungen erfüllt, um eine Zusammenarbeit mit einem US-Unternehmen rechtfertigen zu können. Der Empfehlung der Berliner Datenschutzbeauftragten, ausschließlich Dienstleister aus dem Raum der Europäischen Union zu nutzen, folgen wir nicht. Unsere Datenschutzfolgeabschätzung hat ergeben, dass für die Daten unserer Schülerinnen bei dem Anbieter Google for Education keine erhöhten Risiken bestehen.

Das können wir nachvollziehen und verlangen wir von Ihnen natürlich auch gar nicht. Wir würden uns aber über Ihr Vertrauen freuen, wir haben uns monatelang intensiv mit der Thematik Lernplattformen und den damit in Verbindung stehenden Fragen zu Datensicherheit und Datenschutz auseinandergesetzt. Zudem stehen wir in Kontakt mit den für das Google Workspace-System Verantwortlichen an anderen Schulen in Berlin und Brandenburg (u. a. Marie-Curie-Gymnasium Hohen-Neuendorf , Nelson-Mandela-Schule Berlin und Evangelische Schule Berlin). Der Datenschutzbeauftragte des Bezirks Pankow, hat uns grundsätzlich die Freigabe für die Nutzung von Google Workspace erteilt. Das Rosa-Luxemburg-Gymnasium habe "seine Erwägungsgründe ausführlich und nachvollziehbar dargelegt".

Wir als Schule verfügen nicht über die Ressourcen, um die Einhaltung der Verträge vor Ort kontrollieren zu können, das ist richtig. Richtig ist aber auch, dass Google Verträge über die Verwendung der Daten abgeschlossen hat. Die Einhaltung dieser Verträge und die Verwendung von Daten wird jährlich von Wirtschaftsprüfern geprüft, welche entsprechende Zertifikate vergeben. Google Workspace und Google Cloud Platform sind durch das American Institute of Certified Public Accountants (AICPA) und ISO /IEC 27001 für SOC1, SOC2 und die SOC3-Prüfung zertifiziert. Voraussetzung hierfür ist eine regelmäßige, durch unabhängige Prüfer durchgeführte Untersuchung der Kontrollmechanismen, mit denen Daten in Googles Systemen geschützt werden. So wird sichergestellt, dass Sicherheits-, Datenschutz- und Compliance-Standards eingesetzt werden und wirksam sind. Es gibt also Kontrollen über die Verwendung der Daten.

Ein Verstoß gegen vertragliche Bestimmungen würde Sammelklagen und mögliche Millionen-Strafen nach sich ziehen, insbesondere in den USA, die juristisch in solchen Fällen viel strikter vorgehen als europäische Behörden. Uns sind keine Fälle von missbräuchlicher Verwendung der Daten aus Schul- oder Unternehmens-Clouds seitens des Unternehmens Google bekannt. Dabei wird das Cloud-System von Google seit mehreren Jahren von Tausenden Schulen und Zehntausenden Unternehmen weltweit genutzt.

Google ist sich mittlerweile der gestiegenen Bedeutung des Themas Datenschutz, gerade in Europa, bewusst und betreibt in München sein weltweit größtes Datenschutz-Zentrum mit mehr als Eintausend Mitarbeitern.

Die Dienste innerhalb von Google Workspace (bis jetzt auch als "G Suite for Education" bezeichnet) sind klar geregelt. Die Einwilligung in die weiteren Dienste von Google ist rechtlich nötig, weil sie theoretisch von der Schule freigeschaltet werden können. Wir versprechen jedoch, dass wir nur die Google Workspace-Kerndienste für Schüler und nur zur schulischen Nutzung freischalten! Youtube., Google Maps etc. ist für Schüler mit dem schulischen Account nicht nutzbar.

Die Bedeutung von elektronischem Beweismaterial für Strafverfahren hat in den vergangenen Jahren immens zugenommen. Daher ist der Zugang zu elektronischen Daten für die Strafverfolgungsbehörden elementar. Der US-CLOUD Act trat im März 2018 in Kraft und erlaubt US-Behörden, auf personenbezogene Daten zuzugreifen, die im Besitz oder unter der Kontrolle von US-Cloudanbietern wie Google oder Microsoft sind – auch dann, wenn sich diese Daten außerhalb der USA befinden. und bspw. auf Servern in der EU gespeichert werden.

Unternehmen mit US-amerikanischem Hauptsitz, welche den Regelungen des CLOUD Act unterliegen und Anordnungen von US-Behörden Folge leisten müssen und gleichzeitig als Datenverarbeiter in der EU die Regelung des Art. 48 DS-GVO beachten müssen, befinden sich nun zwangsläufig in einem Rechtskonflikt.

Wir halten das Risiko des Zugriffs von US-Behörden auf eine Bildungscloud wie unsere für sehr gering, da die Nutzung der Google-Dienste in unserer Nutzungsvereinbarung klar geregelt wird: Die Dienste dürfen nur für schulische Zwecke genutzt werden. Unseres Wissens gab es weltweit noch keinen Fall, in dem US-Behörden die Herausgabe von Daten aus Bildungsclouds verlangt haben.

Wir sind verpflichtet Ihrem Kind bei Nicht-Einwilligung in die Nutzung des schulischen Kommunikations- und Lernsystems Lernmaterial zukommen zu lassen. Der Kommunikationsweg muss individuell abgestimmt werden, dürfte im Regelfall aber per Mail erfolgen. Wir weisen daraufhin, dass die Aufbereitung dieses Materials aber womöglich nicht die Qualität haben wird, in der wir es auf einer Lernplattform aufbereiten können.

Die Teilnahme an Videokonferenzen über Google Meet ist auch für Externe möglich (Einladungslink kann per Mail verschickt werden). Die Nicht-Teilnahme eines Lernenden sorgt für immensen Mehraufwand für alle Lehrenden. Die Häufung von Nicht-Einwilligungen würde dazu führen, dass die gesamte Schule nicht mehr mit dem System arbeiten kann. Wir sind auf Ihre Einwilligung angewiesen!

Übergeordnetes Ziel der Schule ist es daher, ausnahmslos alle Eltern von einer Teilnahme Ihres Kindes im von der Schule gewählten System zu überzeugen.

Hierfür unterbreiten wir Kommunikationsangebote zum Datenschutz (diese Website, Zusendung der ausführlichen Datenschutzfolgeabschätzung für Interessierte). Bei Nicht-Einwilligung sucht die Schulleitung das persönliche Gespräch um Kompromissangebote zu unterbreiten.