Seitenhistorie

Übersicht:

Stellungnahme zu Datenschutz an den Hochschulen in BaWü

Die COVID-19-Pandemie hat den Betrieb an den Hochschulen, wie vieles andere, auf den Kopf gestellt. Eine Lehre in Präsenz war zu Beginn des Sommersemesters 2020 plötzlich nicht mehr möglich. In relativ kurzer Zeit musste auf eine reine Online-Lehre umgestellt werden, was die Einrichtung einer Videokonferenz-Lösung erforderlich gemacht hat. Die Hochschulen in Baden-Württemberg entschieden sich größtenteils für datenschutzbedenkliche Videokonferenzsysteme, wie Microsoft Teams, Cisco Webex oder Zoom Meetings, die auch in den kommenden Semester weiterhin zum Einsatz kommen sollen. Wir sehen den Einsatz dieser Systeme aufgrund mehrerer Aspekte kritisch und fordern deshalb die Hochschulleitungen auf, den Einsatz ihrer eingesetzten Videokonferenzsysteme zu überdenken und alternative Lösungen bereit zu stellen.

Zudem wird aktuell in Baden-Württemberg geprüft, ob Online-Klausuren an Universitäten stattfinden sollen und können. Die eingesetzten Softwarelösungen zur Überwachung bedeuten für Studierende einen massiven Eingriff in die Privatsphäre. Auch der Landesdatenschutzbeauftragte Brink sieht den Einsatz entsprechender Software als hochproblematisch. 

Konsequenter Datenschutz als Grundvoraussetzung für digitale Lehre

Da die Nutzung von Videokonferenzsystemen für alle Studierenden und Lehrenden praktisch verpflichtend ist, ist es besonders wichtig, auf Datenschutz zu achten. Der sorgsame Umgang mit den persönlichen Daten von Studierenden und Lehrenden ist eine Grundvoraussetzung für digitale Lehre.

Bei Videokonferenzsystemen wie Microsoft Teams, Cisco Webex oder Zoom Meetings werden massenweise personenbezogene Daten verarbeitet und gespeichert. Bei Webex beispielsweise kann die Person, die ein Meeting erstellt hat, im Nachhinein (noch mehrere Jahre) minutengenau nachvollziehen, wer (vollständiger Name, u. U. mit E-Mail-Adresse) von wann bis wann mit welchem Gerätetyp an dem Meeting teilgenommen hat. Darüber, dass diese Daten im Nachhinein für die Erstellenden (und für Cisco) einsehbar sind, werden die Teilnehmenden nicht informiert. Übertragen auf eine Vorlesung im Hörsaal wäre das in etwa so, als würden die Vortragenden (und eventuell weitere Personen) im Nachhinein minutengenau einsehen können, wer von wann bis wann im Hörsaal war und ob ein Kuli oder ein Bleistift zum Mitschreiben benutzt wurde. Die automatische Speicherung dieser Daten ist nicht notwendig!

Bei Diensten US-amerikanischer Unternehmen, wie Microsoft Teams, Cisco Webex oder Zoom, sind die Datenschutzprobleme besonders gravierend: US-Unternehmen unterliegen dem Cloud Act und sind als solche dazu verpflichtet, auf Anfrage der US-Behörden Daten herauszugeben, selbst wenn diese sich auf Servern in der EU befinden. Eine Datenübertragung in die USA ist kaum noch DSGVO-konform möglich, seit der EuGH am 16.07.2020 das EU-US Privacy-Shield für ungültig erklärt hat (Schrems Il)\footnote{https://curia.europa.eu/jcms/upload/docs/application/pdf/2020-07/cp200091de.pdf, abgerufen am 15.03.2021}. Solche Dienste sind damit von Datenschutzfreundlichkeit noch meilenweit entfernt.

Vom Landesbeauftragten für Datenschutz und Informationssicherheit (LfDI) Baden-Württemberg heißt es zu dieser Transferproblematik in der Orientierungshilfe: Was jetzt in Sachen internationaler Datentransfer?\footnote{https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2020/08/Orientierungshilfe-Was-jetzt-in-Sachen-internationaler-Datentransfer.pdf, abgerufen am 15.03.2021}:

Wenn Sie uns nicht davon überzeugen können, dass der von Ihnen genutzte Dienstleister/Vertragspartner mit Transferproblematik kurz- und mittelfristig unersetzlich ist durch einen zumutbaren Dienstleister/Vertragspartner ohne Transferproblematik, dann wird der Datentransfer vom LfDI Baden- Württemberg untersagt werden.

Alternativlösungen gibt es aber durchaus. An dieser Stelle möchten wir kurz auf BigBlueButton eingehen, welches sich als datenschutzfreundliches und funktionales Videokonferenzsystem für die Lehre an Hochschulen erwiesen hat. BigBlueButton ist bei richtiger Konfiguration zum einen datensparsam, d.h. es werden nur die Daten verarbeitet und gespeichert, die auch wirklich benötigt werden, und zum anderen Open Source, d.h. der Quellcode kann eingesehen und angepasst werden. So kann die Funktionsweise und die Verarbeitung von Daten nachvollzogen und die Software, falls nötig, an die Datenschutzanforderungen und Bedürfnisse der jeweiligen Hochschulen angepasst werden. Außerdem können Sicherheitslücken von der Community leichter entdeckt und behoben werden. Im Sinne der Datensouveränität ist es zu empfehlen, Dienste wie BigBlueButton selbst zu hosten, denn nur dann sind die Daten ganz unter Kontrolle der Hochschule. Es gibt aber auch Anbieter aus Deutschland und der EU, die BigBlueButton als DSGVO-konforme Cloud-Lösung anbieten.

Exemplarisch möchten wir auf ein paar Einschätzungen von Datenschutzbeauftragten verweisen: Die Berliner Beauftragte für Datenschutz und Informationssicherheit stellt zum einen eine "Checkliste für die Durchführung von Videokonferenzen während der Kontaktbeschränkungen"\footnote{https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/orientierungshilfen/2020-BlnBDI-Checkliste_Videokonferenzen.pdf, abgerufen am 17.03.2021} zur Verfügung, diese ist allerdings vom 03.07.2020 und berücksichtigt Schrems II daher noch nicht. Zum anderen bewertet die Berliner Beauftragte für Datenschutz und Informationssicherheit einige Dienste in den Hinweise[n] für Berliner Verantwortliche zu Anbietern von Videokonferenzdiensten\footnote{https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/orientierungshilfen/2021-BlnBDI-Hinweise_Berliner_Verantwortliche_zu_Anbietern_Videokonferenz-Dienste.pdf, abgerufen am 15.03.2021} vom 18.02.2021 nach rechtlichen und technischen Aspekten – Microsoft Teams, Webex und Zoom bekommen alle aufgrund rechtlicher Mängel eine rote Ampel. In der "Orientierungshilfe Videokonferenzsysteme"\footnote{https://www.tlfdi.de/mam/tlfdi/gesetze/orientierungshilfen/oh-videokonferenzsysteme_final.pdf, abgerufen am 17.03.2021} der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder werden rechtliche und technische Anforderungen an Videokonferenzsysteme dargestellt.

Transparenz

Besonders wichtig ist, dass Studierende und Beschäftigte in gut lesbarer Form und rechtzeitig darüber informiert werden, was mit ihren persönlichen Daten geschieht. Hochschulen müssen transparent machen, welche Daten erhoben werden, wozu sie verwendet werden, wer darauf Zugriff hat und wie lange sie gespeichert werden. Nutzende müssen darüber informiert werden, wie sie gespeicherte personenbezogene Daten einsehen und löschen lassen können, insbesondere müssen die eingesetzten Softwaresysteme dies ermöglichen. Falls noch Systeme eingesetzt werden, die hinsichtlich Datenschutz gravierende Mängel aufweisen, so ist ausdrücklich darauf hinzuweisen und sicherzustellen, dass die Nutzung dieser Systeme freiwillig geschieht. Falls es Verträge mit Drittanbietern gibt, sollten diese öffentlich gemacht werden.

Datenschutz und Privatsphäre bei Online-Prüfungen

Sollen Prüfungen online durchgeführt werden, ergeben sich noch weitere Probleme, die besonders zu betrachten sind. Im Landeshochschulgesetz sind dazu einige Anforderungen festgehalten (§ 32 a LHG Baden-Württemberg). Demnach muss die Freiwilligkeit gewährleistet sein, Studierende müssen informiert und Verbindungsdaten unverzüglich gelöscht werden.

Mit dem Ziel Täuschungsversuche zu vermeiden, wird bei Online-Prüfungen von manchen Hochschulen Überwachungssoftware eingesetzt. Hier ist der Eingriff in die Privatsphäre besonders groß, da eine Software mit umfangreicher Datenauswertung installiert werden muss und in der Regel zu Beginn einer Prüfung die komplette Umgebung im privaten Raum per Video erfasst werden muss. Außerdem findet meist auch eine automatisierte Auswertung der Live-Aufnahme statt, was zu zusätzlicher Nervosität bei den Prüflingen beiträgt. Eine falsche Bewegung könnte bereits als Täuschungsversuch interpretiert werden. Es sollte bedacht werden, dass der Druck bei Online-Prüfungen ohnehin oft deutlich höher ist. Nicht immer kann man sich auf eine stabile Internetverbindung verlassen. Präsenzprüfungen, falls pandemiebedingt vertretbar, oder Open-Book-Klausuren sollten stets präferiert werden.

Vertraulichkeit

Sollen Videokonferenzsysteme für besonders vertrauliche Zwecke wie Prüfungen oder nichtöffentliche Gremiensitzungen eingesetzt werden, so sollte im Sinne der Informationssicherheit Ende-zu-Ende-Verschlüsselung (E2E) eingesetzt werden, besonders, wenn es sich um Systeme von Drittanbietern handelt. Aus technischer Sicht ist es nur mit einer E2E-Verschlüsselung möglich, die Vertraulichkeit einer Sitzung jederzeit sicherzustellen.

Plattformunabhängigkeit

Die ausgewählten Konferenzsysteme sollten mit allen bekannten gängigen Betriebssystemen kompatibel sein. Bei Webex ist bisher zum Beispiel die Teilnahme an Umfragen unter Linux mit Problemen behaftet. Wer Linux nutzt, kann außerdem auch bei Webex Events derzeit keine Chatbetreuung übernehmen. Gerade Hochschulen sind ein Ort mit einer Vielfalt und Diversität an Betriebssystemen sowohl unter Lehrenden als auch unter Studierenden. Niemand sollte durch proprietäre Systeme an Teilnahme von Lehrveranstaltungen ausgeschlossen werden.

Barrierefreiheit

Die Hochschule muss dafür Sorge tragen, "dass Studierende mit Behinderungen oder chronischen Erkrankungen in ihrem Studium nicht benachteiligt werden und die Angebote der Hochschule möglichst ohne fremde Hilfe in Anspruch nehmen können." (§ 2 Abs. 3 Landeshochschulgesetz Baden-Württemberg). Das bedeutet, dass die Videokonferenzsysteme auch von Menschen mit Behinderungen nutzbar sein müssen. Insbesondere betroffen sind davon schwer sehende Menschen.

Der Deutsche Blinden- und Sehbehindertenverband gibt folgende Vorgaben zur Barrierefreiheit von Konferenzplattformen:

• Muss mit Screenreader lesbar sein
• Muss kontrastreich sein
• Muss mit Tastenkombinationen steuerbar sein

Bei der Wahl der Videokonferenzsysteme sollte entsprechend die Barrierefreiheit ausreichend Beachtung finden. Bisher erfüllen weder BigBlueButton, noch Microsoft Teams, Cisco Webex oder Zoom alle diese Anforderungen vollständig. Es muss also egal bei welcher Lösung nachgebessert werden. Hier kann der Vorteil von einer Open-Source-Software sein, benötigte Änderungen selbst vorzunehmen bzw. in in der Gemeinschaft umzusetzen.

Freie Software für freie Lehre

90 Prozent aller deutschen Hochschulen nutzen Lernplattformen auf Open-Source-Basis (Stand August 2019). Diese Offenheit und Freiheit der Bildungslandschaft in Bezug auf Lernplattformen begrüßen wir sehr. Allerdings ist diese in Gefahr, wie insbesondere die im Sommer 2020 veröffentlichte gemeinsame Erklärung "Freie Software für freie Lehre!" der deutschen, communitygestützten Open-Source-Bildungsplattformen verdeutlicht\footnote{https://www.opensourcelms.de/, abgerufen am 18.03.2021}. Wie es in der Erklärung heißt, werden durch den Einsatz proprietärer Lösungen die Bildungseinrichtungen abhängig von Softwarekonzernen, verlieren an Know-how und gefährden die langfristige Stabilität der Plattformen. Der Einsatz und die Weiterentwicklung von freier Open-Source-Software ist für die Bildungslandschaft in Deutschland essentiell und muss unbedingt gestärkt und gefördert werden. Zahlreiche Universitäten und Hochschulen sowie auch die Hochschulrektorenkonferenz (HRK) haben die Erklärung unterzeichnet. Aus Baden-Württemberg befinden sich unter den Unterzeichnenden neben einigen Schulen, Schulverbänden und Unternehmen die Universität Ulm, die Pädagogische Hochschule Heidelberg, das Leibniz-Institut für Wissensmedien aus Tübingen, die Universität Hohenheim, die Duale Hochschule Baden-Württemberg, der Philologenverband Baden-Württemberg und die BelWü-Koordination.

Wir unterstützen die Erklärung "Freie Software für freie Lehre!" ausdrücklich und schließen uns den drin enthaltenen Forderungen an. Zugleich wollen wir die Forderungen in Bezug auf Videokonferenzsysteme erweitern, denn diese werden absehbar auch nach der COVID-19-Pandemie eine wichtige Rolle in der Lehre einnehmen und somit essentieller Teil der digitalen Bildungslandschaft werden. Wie bei den Lernplattformen ist es auch bei Videokonferenzsystemen wichtig und sinnvoll, dass freie Open-Source-Software eingesetzt und gefördert wird. Nur so kann eine freie Lehre auch in Zukunft sichergestellt werden.

Zukunftsfähige Digitalisierung

Ein konsequenter Datenschutz ist Grundvoraussetzung für eine zukunftsfähige Digitalisierung. "Konsequenter Datenschutz" gilt als einer von drei Leitprinzipien, die zentral für eine sozialökologische Digitalisierung sind\footnote{https://www.oekom.de/buch/smarte-gruene-welt-9783962380205, abgerufen am 18.03.2021}. Die zwei weiteren Leitprinzipien sind "digitale Suffizienz" und "Gemeinwohlorientierung". Im Sinne des Erwerbs digitaler Kompetenzen während des Studiums ist es essentiell, Erfahrungen mit datenschutzfreundlichen und nachhaltigen Softwaresystemen zu sammeln. Dies gilt insbesondere für Lehramtsstudierende, da sie als zukünftige Lehrende eine besondere Verantwortung gegenüber ihren Schüler*innen tragen und digitale Kompetenzen vermitteln werden.

Hochschulen sind Orte der Transformation, an denen wichtige Impulse für eine zukunftsfähige Gesellschaft entstehen. Deshalb ist es umso wichtiger, dass sich die Hochschulen in Baden-Württemberg ihrer besonderen Verantwortung bewusst werden und in ihrer Digitalisierungsstrategie die Leitprinzipien als Rahmen setzen. Für Kommunikationssysteme bedeutet dies insbesondere, dass die Hochschulen sich nicht von kommerziellen Software-Diensten abhängig machen. "Zur Wahrung der sozialen Fairness, Datenschutz und Chancengleichheit sollten digitale Lösungen genutzt werden, die von der Universität bereitgestellt und verwaltet werden"\footnote{https://hochschulforumdigitalisierung.de/sites/default/files/dateien/Studentisches_Thesenpapier_2019.pdf, abgerufen am 18.03.2021}. Bei der Nutzung von Cloud-Diensten wie Webex, Zoom und Microsoft Teams ist dies nicht gegeben. Da es sich um proprietäre Software handelt, wird zugleich mit öffentlichen Geldern die Entwicklung von Closed Source-Software finanziert, die nicht der Allgemeinheit bereitsteht ("Public Money? Public Code!"\footnote{https://publiccode.eu/de/, abgerufen am 18.03.2021}). Des Weiteren steht die Nutzung von proprietärer Software für Videokonferenzen den Interessen einer nachhaltigen Beschaffung entgegen. Im Sinne einer zukunftsfähigen Bildungslandschaft sind wir der Ansicht, dass auch der Bereich der Informations- und Kommunikationstechnik (IKT) in den nachhaltigen Beschaffungsrichtlinien berücksichtigt und entsprechende rechtliche Rahmenbedingungen geschaffen werden müssen.

Kooperation zwischen Hochschulen

Derzeit sind alle Hochschulen auf Videokonferenzsysteme angewiesen. Wir sehen es deshalb als sinnvoll an, mehr auf Kooperation zu setzen und gemeinsam datenschutzfreundliche und nachhaltige IT-Dienste für Mitarbeitende, Studierende und auch Schüler*innen bereitzustellen.

Es ist unnötig, hier das Rad immer wieder neu zu erfinden. Hochschulen sollten sich untereinander austauschen und absprechen, was sich im Sinne einer datenschutzfreundlichen Lehre bewährt hat. Das Know-How sollte hier möglichst effizient und hochschulübergreifend eingesetzt werden; dann können auch Probleme schnell behoben werden. Insbesondere kleinere Hochschulen sollten die Infrastruktur anderer Hochschulen mitnutzen können. Insbesondere bei Kooperationsstudiengängen könnte dies die Nutzung einheitlicher IT-Systeme begünstigen. Außerdem können die Kapazitäten anderer Hochschulen im Störungsfall als Reserve genutzt werden. Möglicherweise fällt es so auch leichter, je nach Anwendungsfall und Anforderungen den jeweils passenden Dienst auszuwählen.

Für sehr sinnvoll halten wir die Idee, zusätzliche landesweite Lösungen bereitzustellen. In Baden-Württemberg haben wir mit der bwCloud bereits eine Cloud, die von Lehr- und Forschungseinrichtungen des Landes genutzt werden kann. Es wäre wünschenswert, wenn diese auch für Videokonferenzsysteme genutzt wird.

Finanzierung

Besonders der Betrieb von Software auf hochschuleigenen Servern benötigt zusätzliche personelle und infrastrukturelle Ressourcen. Damit die Hochschulen in Baden-Württemberg gerade in der jetzigen Situation den Mehraufwand bezüglich IT-Angeboten und Support bewältigen können, benötigt es zusätzliche Finanzierung durch das Land Baden-Württemberg. Diese allerdings zeitlich zu befristen, wäre zu kurz gedacht; es braucht unbefristete Stellen, um nicht nur etwa Videokonferenzsysteme bereitzustellen, sondern auch die digitale Lehrunterstützung voranzubringen.

Für Kooperationen zwischen den Hochschulen, die für eine nachhaltige Digitalisierung unabdingbar sind, sollte die Landesregierung finanzielle Unterstützung leisten. Mit der geplanten Neuregelung der Umsatzbesteuerung der öffentlichen Hand aufgrund der Mehrwertsteuerrichtlinie 2006/112/ EG werden Hochschulen, "soweit sie eine staatliche Einrichtung sind, als Unternehmen behandelt, wenn sie eine gewerbliche oder berufliche Tätigkeit selbstständig ausüben"\footnote{https://www.landtag-bw.de/files/live/sites/LTBW/files/dokumente/WP16/Drucksachen/7000/16_7666_D.pdf, abgerufen am 21.03.2021}. Somit wäre auch das Nutzen von Videokonferenzsystemen, die auf externen Servern gehostet sind, umsatzsteuerpflichtig, da diese einen entgeltlichen Leistungsaustausch darstellen. Hierdurch würde für die Hochschulen ein enormer Mehraufwand entstehen. Hierfür muss eine für alle Hochschulen zufriedenstellende Lösung gefunden werden.

Positivbeispiele

Zahlreiche Universitäten und Hochschulen zeigen, dass es möglich ist, datenschutzfreundliche, nachhaltige und funktionale Videokonferenzlösungen anzubieten. Als Beispiel aus Baden-Württemberg möchten wir an dieser Stelle auf die Universität Heidelberg verweisen, welche über die selbstbetriebene universitäre Cloud-Infrastruktur heiCLOUD den Mitarbeitenden und Studierenden diverse IT-Dienste anbietet, die datenschutzfreundlich sind und Nachhaltigkeitsaspekte berücksichtigen: Für Videokonferenzen wird heiCONF\footnote{https://www.urz.uni-heidelberg.de/de/heiconf, abgerufen am 18.03.2021} bereitgestellt, welches auf BigBlueButton basiert und in zwei Ausführungen für interaktive Veranstaltungsformate (bis zu 50 Personen) sowie frontale Veranstaltungsformate (bis zu 200 Personen) angeboten wird, als Chat-Plattform gibt es heiCHAT\footnote{https://www.urz.uni-heidelberg.de/de/heichat, abgerufen am 18.03.2021} basierend auf Matrix und zum Teilen von Dateien heiBOX\footnote{https://www.urz.uni-heidelberg.de/de/heibox, abgerufen am 18.03.2021} basierend auf Seafile. Auch an vielen anderen Hochschulen kommen derzeit Systeme wie BigBlueButton zum Einsatz.

Perspektive / Vision

Wir haben die Vision einer nachhaltigen Hochschullandschaft, in der zukunftsfähige Lehre einen hohen Stellenwert einnimmt, in der Datenschutz eine Selbstverständlichkeit ist und primär Open Source zum Einsatz kommt. Ein ausfinanziertes Hochschulsystem, in dem auch für die digitale Infrastruktur und das benötigte Personal genügend Geld zur Verfügung steht, sollte in Baden-Württemberg das Mindeste sein. Wir erwarten von den Hochschulen und der Landesregierung in Baden-Württemberg, dass sie ihrer Verantwortung für eine zukunftsfähige Digitalisierung gerecht werden.

Unsere Forderungen

• Konsequenter Datenschutz muss die Grundvoraussetzung für digitale Lehre sein; der Einsatz datenschutzfeindlicher Systeme muss beendet und die Nutzung DSGVO-konformer Videokonferenz-Lösungen ermöglicht werden, die nach Privacy by Design implementiert sind, Datensparsamkeit und Datensouveränität beachten.
• Transparenz über die etwaige Speicherung von personenbezogenen Daten muss jederzeit gewährleistet sein.
  
• Datenschutz und Privatsphäre müssen auch bei Online-Prüfungen beachtet werden; Präsenzprüfungen oder Open-Book-Klausuren sollten präferiert werden.
  
• Ende-zu-Ende-Verschlüsselung sollte beim Einsatz von Videokonferenzsystemen im vertraulichen Rahmen Standard sein.
  
• Softwaresysteme, die in der Lehre eingesetzt werden, müssen plattformunabhängig nutzbar sein.
  
• Auch beim Einsatz digitaler Systeme muss auf Kriterien der Barrierefreiheit geachtet und diese umgesetzt werden.
  
• Der Grundsatz "Public Money? Public Code!" sollte auch für Videokonferenzsysteme gelten; Open Source sollte bevorzugt eingesetzt und gefördert werden; Know-how sollte erhalten und die langfristige Nutzung sichergestellt werden.
• Für eine zukunftsfähige Digitalisierung sollten die Leitprinzipien "konsequenter Datenschutz", "digitale Suffizienz" und "Gemeinwohlorientierung" eingehalten werden; entsprechend sollten die gesellschaftlichen und ökologischen Auswirkungen von Informations- und Kommunikationstechnologien (IKT) in die Lehre integriert und IKT in nachhaltigen Beschaffungsrichtlinien berücksichtigt werden.
• Die Hochschulen in Baden-Württemberg sollten mehr miteinander kooperieren, um gemeinsam die Herausforderungen der zukunftsfähigen Digitalisierung bewältigen und sich gegenseitig unterstützen zu können.
• Die zukunftsfähige Gestaltung der Digitalisierung an Hochschulen erfordert zwingend zusätzliche Mittel, um unbefristete Stellen schaffen und benötigte Infrastrukturen einrichten zu können.
• Videokonferenzsysteme müssen auch nach der COVID-19-Pandemie zur Verfügung stehen, was eine datenschutzfreundliche und zukunftsfähige Nutzung umso wichtiger macht.