Niederlande: Datenschutzbedenken gegen Chrome/ChromeOS in Schulen

In den Niederlanden hegt das Bildungsministerium Vorbehalte gegen Google Chrome und ChromeOS an Schulen und im Bildungsbereich, da die Nutzung gegen die Datenschutzgrundverordnung verstoßen. Es gab wohl Gespräche mit diversen US-Techkonzernen bezüglich der Nachbesserung bestimmter Produkte für den Einsatz im schulischen Bereich. Bis August 2023 sollen Bildungseinrichtungen die Google Produkte nur einsetzen, wenn bestimmte Datenschutzmaßnahmen umgesetzt werden. Danach sollen die Produkte erneut auf DSGVO-Konformität bewertet werden.

Gerade erst hatte Google die Freigabe seines ChromeOS Flex-Betriebssystems für Gebraucht-Computer bekannt gegeben. Ich hatte im Blog-Beitrag ChromeOS Flex ist fertig über diesen spannenden Ansatz berichtet. Im Hinterkopf war mir aber klar, dass der Einsatz im Hinblick auf die DSGVO geprüft werden muss, sobald die Geräte in Firmen oder Bildungseinrichtungen eingesetzt werden. Denn es fließen ja Daten bei der Benutzung der Google-Produkte ab, deren Verbleibt geklärt werden muss.

Niederländisches Bildungsministerium mit Vorbehalten

Die Kollegen hatten es hier bereits zum Wochenende kurz angesprochen. Vom niederländischen Bildungsminister und vom Minister für Grund- und Sekundarschulbildung wurde ein Brief an das niederländische Parlament mitunterzeichnet, in dem eine Reihe von Fragen der Cybersicherheit und des Datenschutzes im Bildungsbereich aufgegriffen werden.

Es dreht sich um die Frage der digitalen Sicherheit in Bildung und Forschung. Es ist als wichtig erachtet, dass jeder Schüler, Student und Wissenschaftler in einem sicheren Umfeld unterrichten, lernen und forschen kann. Die Digitalisierung setze öffentlichen Werte (Grundsätze wie Sicherheit und Privatsphäre) in den Niederlanden unter Druck. Es würden immer mehr Daten über Schüler und Studenten gespeichert und ausgetauscht. Andererseits seien Bildungs- und Forschungseinrichtungen zunehmend zum Ziel von Cyberangriffen. Für Einrichtungen werde es immer schwieriger, die Privatsphäre von Schülern und Studenten vor digitalen Bedrohungen zu schützen. Daten über Schüler und Studenten können öffentlich werden, und die Kontinuität des Bildungswesens könnte gefährdet sein, wenn die Systeme nicht mehr zugänglich sind.

Digitale Resilienz stärken

Die digitale Resilienz muss daher in allen Institutionen auf ein Niveau angehoben werden, das nachweislich Sicherheit bietet, heißt es in diesem Brief. Dazu gehört auch, dass der Datenschutz und die Privatsphäre von Schülern gemäß DSGVO bei der Nutzung von Software gewährleistet wird. Hier gibt es aber die Befürchtung, dass Google-Dienste, die im Google Chrome-Browser und in Google Chrome OS verwendet werden, Schülerdaten sammeln und sie großen Werbenetzwerken zur Verfügung stellen. Diese Daten könnten dort für andere Zwecke als zur Förderung der Bildung verwendet werden. Aktuell ist den zuständigen Stellen nicht bekannt, wo und wie die persönlichen Daten der Schüler in bestimmter Software gespeichert und verarbeitet werden. Dadurch könnte es zu Verstößen der Datenschutzgrundverordnung (DSGVO) kommen.

Aus dem Brief an das niederländische Parlament geht hervor, dass Gespräche mit Google, Microsoft und Zoom über das heikle Thema des Datenschutzes geführt wurden. In diesem Gesprächen seit zugesichert worden, künftige Versionen von Softwareprodukten transparenter zu gestalten und mit den in der EU geltenden Datenschutzbestimmungen in Einklang zu bringen. Insbesondere Google habe versprochen, dass neue Versionen des Chrome-Webbrowsers und des Chrome-Betriebssystems bis zum nächsten Jahr fertig sein würden.

Vorbehalte gegen Google Chrome und ChromeOS

Bis zu diesem Zeitpunkt, an denen die neuen Produkte vorliegen und durch die niederländische Aufsichtsbehörde erneut bewertet werden sollen, gelten einige Nutzungseinschränkungen, u.a. für den Chrome-Browser und ChromeOS. Schulen und Bildungseinrichtungen können diese Produkte zwar weiterhin einsetzen, müssen aber zusätzliche Maßnahmen ergreifen, wie in den SURF-Leitlinien beschrieben sind. Es handelt sich um ein 33 PDF-Seiten umfassendes Handbuch als Leitfaden zum Einsatz von Google Workspace for Education. Ein Verbot von Chrome und ChromeOS, wie es in diversen Presseberichten zu lesen ist, gibt es aber nicht.

Normenrahmen für die Informationssicherheit

Das Bildungsministerium und das Ministerium für Grund- und Sekundarschulbildung ist wohl dabei, einen Normenrahmen für die Informationssicherheit und den Datenschutz in der Primar- und Sekundarstufe zu erstellen. Auf der Grundlage des Normenrahmens ist Anfang 2023 eine Basismessung für den gesamten Sektor geplant, um aufzeigen, wo jede Schulbehörde in Bezug auf die Standards steht. Die Schulen müssen sich dann an die Arbeit machen, um die Vorgaben zur digitalen Sicherheit umzusetzen. Danach planen die Aufsichtsbehörden mit regelmäßigen Kontrollen und Benchmarks zu verfolgen, wie die Schulträger die Standards erfüllen.

Ab dem Schuljahr 2023/2024 wollen die Aufsichtsbehörden in den Ministerien die Schulträger verpflichten, in ihren Jahresberichten ausdrücklich auf Informationssicherheit und Datenschutz (ISP) einzugehen. Im Schreiben an das Parlament werden eine Reihe weiterer Maßnahmen im Hinblick auf digitale Sicherheit vorgeschlagen.

Schaut man sich die Punkte am Schreiben der Ministerien an das Parlament an, stehen die in starkem Kontrast zu dem, was ich hier in Deutschland diesbezüglich vernehme. Dort versuchen Datenschutzbeauftragte Schulen die Verwendung bestimmter Produkte, die als nicht DSGVO-konform eingestuft werden, zu verbieten. Sofort erheben sich Stimmen, warum das alles nicht geht – und in jedem Bundesland herrschen andere Regeln (Deutschland hat ja Föderalismus und Bildung ist Ländersache). Unter dem Strich interpretiere ich aber das oben erwähnte Schreiben so, dass Google und Microsoft sowie Zoom Schritte unternehmen müssen, um DSGVO-konform und langfristig weiterhin an niederländischen Bildungseinrichtungen eingesetzt zu werden