Online-Unterricht am GSG – Datenschutzkonzept

Liebe Schülerinnen und Schüler, liebe Erziehungsberechtigte,

das Geschwister-Scholl-Gymnasium Aachen richtet für das Schuljahr 2020/2021 schuleinheitliche Lösungen für einen ausschließlichen Online-Unterricht und für einen durch Online-Elemente ergänzten Präsenz-Unterricht ein. Im Mittelpunkt steht GSG365, hinzu kommt die ucloud und im Laufe des Jahres Logineo mit moodle. Auf diesen Plattformen können alle Angebote, Materialien und Aufgaben für den Online-Unterricht bereitgestellt und alle persönlichen Beiträge, Recherche-Ergebnisse und Antworten sicher gesammelt werden. Diese Plattformen ermöglichen die Zusammenarbeit aller Beteiligten und eine intensivierte Kommunikation.

Die Schul-Cloud „GSG365“ beruht auf „Microsoft Office 365 education A1“. Microsoft stellt darin eine umfassende Sammlung von cloud-basierten Anwendungen für Schulen kostenlos zur Verfügung. Darin enthalten sind neben zahlreichen anderen die kollaborativen Online-Anwendungen von Microsoft-Office: Word, Excel und PowerPoint, vor allem aber die kombinierte Kommunikations- und Lernmanagement-Software Teams und ein sehr großzügig bemessener Cloud-Speicher.

Die Stadt Aachen stellt allen Schulen die Online-Plattform „ucloud4schools“ der regioit, des regionale Dienstleisters für It-Lösungen der Städte-Region Aachen, zur Verfügung. Ucloud4schools beruht auf dem Open-Source-Cloud-System „nextcloud“, das die regioit für die Benutzung als Schulplattform angepasst hat. Ucloud umfasst vor allem ein auf Zusammenarbeit ausgerichtetes Speichersystem. Das Land NRW stellt für alle Schulen die Kommunikations-Plattform „Logineo“ in Verbindung mit dem Lernmanagement-System „moodle“ bereit. Logineo ist als sicheres Email- und Dokumenten-Austausch-System konzipiert und moodle ist ein weltweit verbreitetes Open-Source-Lernmanagement-System.

Das Geschwister-Scholl-Gymnasium wird alle bereitgestellten Systeme zu unterschiedlichen Zwecken nutzen zusätzlich und in Verbindung mit dem Computersystem, das die Stadt Aachen im Gebäude des GSG betreibt, zu dem in Zukunft auch Klassensätze von Tablet-Computern gehören werden.

Mit dem vorliegenden Schreiben informieren wir Sie über die Rahmenbedingungen, das Datenschutzkonzept und die Nutzungsordnung.

Durch Ihre Unterschrift in der angefügten Einwilligungserklärung bestätigen Sie, dass Sie diese Informationen erhalten haben und Ihrem Kind erlauben, die genannten Systeme zu diesen Bedingungen zu benutzen. Sie bestätigen, dass Sie alle Abschnitte dieses Schreibens und speziell die Benutzungs-Regeln zur Kenntnis genommen und verstanden haben, und Sie verpflichten sich und Ihre Kinder, diese Regeln einzuhalten.

StD‘ I. Sturms, (kommissarische Schulleiterin)

Datenschutzkonzept

Rahmenbedingungen

Seit Mai 2018 gilt die europäische Datenschutzgrundverordnung (DSGVO). Das Bundesdatenschutzgesetz konkretisiert diese für die Bundesrepublik Deutschland. Unter den besonderen Schutz der Datenschutzgesetze fallen insbesondere die „personenbezogenen Daten“. Zum Datenschutz in einer Schul-Cloud gehört aber auch der Schutz geistiger Werke, ihrer Integrität und Vertraulichkeit, d.h. vor Verlust durch technisches und menschliches Versagen, durch Manipulation und Diebstahl, und den Schutz vor Missbrauch durch die Benutzer selber, d.h. Schutz vor einer Benutzung, die nicht den allgemeinen Gesetzen wie dem Jugendschutz und anderen entsprechen. Datenschutz ist ein sehr umfassendes Gebiet. Das Datenschutzkonzept des GSG teilt deshalb den Datenschutz in zwei Bereiche, den Bereich der IT-Sicherheit und den Bereich für den „Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten“ (Europäische Datenschutzrichtlinie).

Der Bereich der IT-Scherheit wird weitestgehend durch die IT-Dienstleister verwirklicht, mit denen das GSG jeweils, direkt oder indirekt, einen Vertrag zur Auftragsdatenverarbeitung geschlossen hat. Der Anteil, den das GSG zur IT-Sicherheit beizutragen hat, wird in der Benutzungsordnung geregelt. Der Bereich „Schutz personenbezogener Daten“ aber hat im letzten Jahrzehnt eine eigenständige Bedeutung gewonnen und hängt mit der Entwicklung der Geschäftsmodelle in der globalen Informations-Industrie zusammen.

Für alle öffentlichen Einrichtungen in Aachen hat die Städteregion zentral einen Datenschutzbeauftragten ernannt, den man unter „datenschutz-schulen@staedteregion-aachen.de“ kontaktieren kann. Alle unmittelbaren Fragen zum Datenschutz der Systeme am Geschwister-Scholl-Gymnasium beantwortet das Administrations-Team über „it@gsg-aachen.de“. Anfragen zur Wiederherstellung von Daten nach irrtümlicher oder nicht-autorisierter Veränderung, auf Löschung und auf Abruf von Daten, sofern diese Vorgänge nicht durch den Benutzer selber ausführbar sind, werden an das Administrations-Team „it@gsg-aachen.de“ gerichtet.

Die öffentlich-rechtlichen oder öffentlich-rechtlich beauftragten Dienstleister garantieren von sich aus einen Gebrauch der bei der Verarbeitung anfallenden „personenbezogenen Daten“, der absolut mit den Datenschutzgesetzen in Deutschland und der europäischen Union übereinstimmt, so dass von Seiten des GSG keine speziellen Datenschutzkonzepte notwendig sind. Die Server von ucloud werden von der regioit in Deutschland betrieben und entsprechen allen Anforderungen der deutschen Datenschutzgesetze. „Logineo“ ist speziell als sicheres und datenschutz-konformes Kommunikationssystem für Schulen im Auftrag der Landesregierung von NRW entwickelt worden und garantiert durch den Standort der Server in Deutschland und durch die Pflege durch das Land NRW eine absolut datenschutz-konforme Lösung. Dasselbe gilt auch vom Lernmanagementsystem „moodle“, das vom Land NRW in Verbindung mit Logineo angeboten wird.

Eine grundsätzlich andere Situation besteht gegenüber dem globalen Unternehmen Microsoft, das als ganzes nicht den europäischen oder deutschen Datenschutzgesetzen untersteht. Microsoft realisiert aber in „Office 365 education“ umfassend IT-Sicherheit und Datenschutz und stellt auch die nötigen Werkzeuge zur Verfügung, damit die Einhaltung des Datenschutzes kontrolliert werden kann. Vgl. dazu: https://www.microsoft.com/de-de/trust-center. Microsoft sichert die Serverstandorte für die Daten von Office-365-education in Deutschland oder ausnahmsweise für den Zeitraum von Spitzenbelastungen in der Europäischen Union zu, also im Geltungsbereich der DSGVO, und gibt Frankfurt a. M. als Standort an, d.h. im Geltungsbereich der deutschen Datenschutzgesetze. Das Geschwister-Scholl-Gymnasium hat am 04.05.2020 den Vertrag zur „Auftragsdatenverarbeitung“ mit Microsoft abgeschlossen. Der Vertragstext ist unter nachfolgendem Link dokumentiert: https://www.microsoftvolumelicensing.com/Downloader.aspx?DocumentId=17483.

Obwohl Microsoft außerordentliche und umfassend zertifizierte Maßnahmen zum Datenschutz in Office 365 education verwirklicht, gibt es von der Seite europäischer und verschiedener deutscher Datenschutz-Instanzen einen sogenannten „Klärungsbedarf“. Dieser bezieht sich auf Daten, die Microsoft aus den Benutzerdaten ermittelt, um zu überprüfen, ob die angebotenen Funktionen und Tools richtig funktionieren, und um die eigenen Produkte so zu verbessern, wie es Benutzer wünschen. Dazu fragt Microsoft auch direkt bei Benutzern bestimmter Tools oder Funktionen an, um eine gezielte und konkrete Rückmeldung zu erhalten. Die Option solcher Anfragen kann im Normalfall vom Benutzer abgelehnt werden. An einigen Stellen gibt Microsoft die automatisch erhobenen Daten an außereuropäische Firmen weiter, die über ihre eigene, hochspezialisierte Software eine besonders aufschlussreiche Analyse ermöglichen. Auf diesem Wege gelangen auch „personenbezogene Daten“ an diese Firmen. Das ist nach den europäischen Datenschutzgesetzen nicht erlaubt, wird aber von Microsoft als notwendig erachtet, so dass es einen „Klärungsbedarf“ zwischen dem europäischen Datenschutzrecht und Microsoft gibt. Dieser „Klärungsbedarf“ ist der Grund dafür, dass das Bildungsministerium NRW Office 365 nicht ausdrücklich empfehlen kann. Vielmehr teilt das Bildungsministerium die Bedenken der deutschen Datenschützer. Es ist aber kein ausdrückliches Verbot erlassen worden. Die Landesbeauftragte für Datenschutz und Informationsfreiheit bemerkt in ihrer Handreichung „Pandemie und Schule – Datenschutz mit Augenmaß“ vom 18. Mai 2020:

„[…] Der Augenblick der Pandemie ist nicht der Zeitpunkt, seit Jahren noch nicht hinreichend gelöste Probleme der digitalen Datenverarbeitung in Schulen aufgreifen und einer dauerhaften Lösung zuführen zu wollen. In dieser besonderen Ausnahmesituation, in der sich Schulen in Nordrhein-Westfalen befinden, müssen allerdings gleichwohl Ansätze gefunden werden, die die Verfolgung des Zieles ermöglichen, den Schulbetrieb fortzuführen, ohne den Datenschutz und die Datensicherheit an Schulen zu torpedieren; beides muss – so gut wie unter den erschwerten tatsächlichen Rahmenbedingungen möglich – in Einklang gebracht werden. […]

In genau diesem Sinne nimmt das Geschwister-Scholl-Gymnasium die Bedenken sehr ernst und stellt sich zugleich der benannten Herausforderung, durch technische und organisatorische Maßnahmen diesen Bedenken Rechnung zu tragen, ohne auf Office 365 verzichten zu müssen.

Die Konzeption der Vereinbarkeit von Cloudbenutzung und Datenschutz, der o.g. „Einklang“, besteht darin zu verhindern, dass die „personenbezogenen Daten“, die bei der Benutzung von Office 365 anfallen, zu einer Bestimmbarkeit der Personen führen.

1. Die grundlegende Maßnahme ist eine Pseudonymisierung der Anmelde-Daten und der absolute Verzicht auf die Eingabe weiterer personenbezogener Daten. Diese Maßnahme wird weitestgehend durch Richtlinien auf der Software-Ebene realisiert, fordert aber auch die Bereitschaft der Benutzer ein, an den Stellen, an denen noch Eingabe-Möglichkeiten bestehen, auf diese zu verzichten.

2. Hinzu kommt der darüberhinausgehende Verzicht auf Kontakte der pseudonymen Identitäten innerhalb von GSG365 mit bestimmten oder bestimmbaren Personen außerhalb von GSG365: Es darf keine E-Mail-, Chat- oder Teilen-Kontakte mit Personen oder Organisationen außerhalb von GSG365 geben. Auch dieser Verzicht kann weitestgehend durch technische Maßnahmen in der Gestalt von Software-Richtlinien erzwungen werden, setzt aber auch organisatorisch die Bereitschaft zur Einhaltung dieser Grundregel voraus.

3. Weil im Normalfall die privaten Geräte bzw. die Software auf den privaten Geräten, mit denen die Arbeit in GSG365 stattfindet, eine Identifikation der Personen tendenziell ermöglichen, wird durch weitere organisatorische Maßnahmen auf diesem Gebiet eine Identifikation vermieden.

Spezielle Organisatorische Maßnahmen für einzelne Betriebssysteme

Die Pseudonymität des GSG365-Benutzers bleibt gewahrt, solange er/sie ausschließlich im Browser arbeitet. Wenn aber die zugehörigen Microsoft-Apps benutzt werden, kann sie/er identifiziert werden. Dabei ergeben sich verschiedene Szenarien:

a) Die Apps bzw. Programme greifen auf das Hauptbenutzer-Konto des Gerätes zu.

b) Die Apps bzw. Programme greifen auf Hardware-Kennungen zu.

c) Die Apps bzw. Programme greifen auf die Konten anderer Microsoft-Produkte, etwa ein zusätzliches Office-365-Konto zu, das „parallel“ zu GSG-365 mit eigener Lizenz genutzt wird.

Diese Szenarien erfordern je nach Betriebssystem unterschiedliche Regelungen.

Windows-Geräte

a) Microsoft-Apps können auf das Windows-Konto, das unter Windows 10 im Normalfall ein Microsoft-Online-Konto mit Real-Namen ist, zugreifen. Dadurch ist die Identifikation möglich.

b) Microsoft identifiziert im Betriebssystem die Hardware des Computers. Wenn bei der Benutzung von GSG365 Hardware-Daten des benutzten Gerätes über das Internet an Microsoft übermittelt werden, ist eine Identifikation möglich.

c) Windows trägt die Benutzerkonten aller Microsoft-Apps unter „Email- und App-Konten“ in die Registrierung ein.

Die zentrale organisatorische Maßnahme auf Windows-Geräten ist, GSG365 ausschließlich im Browser zu benutzen und streng auf die Installation der zugehörigen Apps, vor allem Outlook, Teams und OneNote zu verzichten. Ausdrücklich verboten ist die Einbindung von OneDrive als Laufwerk auf dem Computer. Die Synchronisierung zwischen den Kontakten auf dem Computer und den Kontakten in GSG365 ist durch Richtlinien unterbunden. Abzuraten ist von der Benutzung von Internet-Explorer und Edge. Die Benutzung eines Portable-Browsers wird dringend empfohlen. Geeignete Portable-Browser können Sie hier herunterladen:

„Firefox portable“ https://lms.frontes.de/index.p h p/s/xogAq66RanYFPHf,

„Opera portable“: https://lms.frontes.de/index.php/s/3z94tsc5NMWdf5t,

„ChromePortable“: https://lms.frontes.de/index.php/s/MLd7k4H4kcKwb4f.

Apple-Geräte

Mit dem neuesten Browser von Firefox, Opera und Google Chrome können Sie auf OSX-Geräten nahezu alle Funktionen nutzen. Das gilt nicht für den Browser Safari. Bei iPhone und iPad unter iOS dagegen gilt, dass bis auf Outlook – -E-Mails und Adressbuch sind vollständig im Browser zugänglich und für die App gesperrt – auf eine Installation der Apps nicht verzichtet werden kann. Im beiden Betriebssystem ergibt sich darüber hinaus:

a) der Zugriff auf die Apple-ID ist nicht überprüfbar,

b) der Zugriff auf die Hardware-Kennungen ist nicht überprüfbar. Er wird allerdings beim Installationsvorgang nicht als Berechtigung explizit angefordert,

c) bei Abmeldung und Neuanmeldung einer Office-365-App mit anderem Konto wird das Konto in den Einstellungen in den meisten Fällen ersetzt, aber nicht in jedem Fall. Die Löschung des Kontos muss also vor dem Wechsel zu einem anderen Konto ausdrücklich kontrolliert und vorgenommen werden. Dies ist eine strenge Pflicht!

Jede Benutzung eines Apple-Gerätes unterstellt in einem extrem hohen Ausmaß die Vertrauenswürdigkeit des globalen Unternehmens Apple. In diesem Sinn könnte man auch bei der Benutzung von Office-365-Apps diese Apple-Diskretion unterstellen. Die Anonymität der Benutzung von GSG365 kann aber auf Apple-Geräten nicht kontrolliert werden. Das ist ein Problem.

Android-Geräte

Es müssen durchgängig – zu Outlook vgl. unten – Apps benutzt werden.

a) Der offizielle Zugriff auf das Google-Konto kann kontrolliert und ggf. entfernt werden.

b) In den Berechtigungen gibt es die Rechte-Gruppe „Telefon“, die der Benutzer kontrollieren kann und die von Microsoft-Apps nicht automatisch angefordert werden, also auch bei der Installation nicht gesetzt sind. Alle automatischen Rechte beziehen sich nur auf die WLAN-Verbindung

c) Bei Microsoft-Office-Apps ist es scheinbar möglich, mehrerer Konten einzutragen: „ein weiteres Konto hinzufügen“, aber im Normalfall wird das vorhergehende ersetzt.

Insgesamt scheint die Beanspruchung von Berechtigungen sehr durchsichtig und kontrollierbar. Zusätzlich sind die Einstellungsmöglichkeiten in den Apps relativ umfangreich. Eine strenge Pflicht zur Kontrolle der Berechtigungen und Einstellungen muss aber ausgesprochen werden. Die Outlook-App soll nicht installiert werden, weil die Verbindung durch Richtlinien verhindert wird. Der GSG365-interne E-Mail-Verkehr kann problemlos im Browser bewältigt werden.

Der Durchgang durch die Betriebssysteme ergibt ein sehr unterschiedliches Bild bezüglich der Frage, ob die Anonymität der Identitäten in GSS365 durch die Geräte, auf denen die Arbeit stattfindet, bedroht ist.

Unter Android scheint das Benutzen von Office-365-Apps relativ unproblematisch.

Bei Apple ist der Zugriff der Apps nur teilweise kontrollierbar, man kann aber unterstellen, dass Apple genauso diskret mit den Identitäten den Apps umgeht, wie man unterstellt, dass alle anderen Daten bei Apple mit absoluter Diskretion behandelt werden. Man muss daher unterstellen, das über die benutzten Microsoft-Apps eine Identifikation der anonymen Identität in GSG365 mit realen Namen an anderen Stelle der Apple-Benutzung nicht möglich ist.

Unter Windows können Office-365-Apps bzw. Programme nicht benutzt werden, ohne die Anonymität zu gefährden. In einem Portable-Browser dagegen dürften keine Probleme auftreten. Die Outlook-App ist für alle Betriebssysteme untersagt, ebenso eine Synchronisierung von Mails, Kontakten und Kalender auf andere Weise und die Einbindung von OneDrive. Alle erforderlichen Funktionen können erfolgreich im Browser benutzt werden.

Eine streng anonyme Benutzung von GSG365 im Prinzip möglich und praktikabel ist.

Die organisatorischen Maßnahmen lassen sich zu folgenden Verhaltensregeln zusammenfassen:

1. Wir tragen keinerlei persönliche Informationen an den dafür vorgesehenen Stellen ein (Wohnort, Telefonnummer, Geburtstag, Zahnarzt-Termin usw.)

2. Wir nehmen aus GSG365 keinen Kontakt nach außen auf, damit wir nicht über diese Kontakte identifiziert werden können:

a) keine E-Mails an Adressen außerhalb von GSG365, keine Benutzung von Outlook-Apps!

b) kein Teilen (z.B. Links) von GSG365 mit Menschen, die nicht zu GSG365 gehören,

c) wir kommunizieren nicht mit den Mitteln von GSG365 mit Menschen außerhalb, d.h. Video-/Audio-Konferenzen und Chats nur mit Menschen, die in GSG365 angemeldet sind.

d) In GSG365 melden wir uns nicht bei Bing oder Google oder irgendeiner anderen App mit unserem Anmeldenamen oder Klarnamen an.

Alle Aktivitäten bleiben anonym. Und das gilt für alles, was in GSG365 geschieht!

3. Wir beachten die Regeln zur Benutzung unter den verschiedenen Betriebssystemen!

Wenn diese Regeln beachtet werden, können die realen Personen nicht identifiziert werden. Die Verwendung von Benutzerdaten zu Analysezwecken durch Microsoft führt daher nicht zur Verletzung von Datenschutzrechten und der von den Datenschutz-Instanzen angemahnte “Klärungsbedarf” betrifft unter diesen Bedingungen nicht die Benutzung von GSG365. Problematisch sind die innerhalb der Apps niedergelegten Konten-Daten von identifizierbaren Office-365-Lizenzen. D.h. an dieser Stelle ist besondere Sorgfalt bei der vorsorglichen Löschung von Konten geboten. Andererseits können Nutzer sich frei dazu entscheiden, ihre Real-Identität für das System zugänglich zu machen. Dies ist kein Mangel von GSG365, das eine Benutzungs-Weise ermöglicht, die nicht zur Auflösung der Anonymität führt.

Anmelde-Daten

Benutzer erhalten für GSG365 einen individuellen pseudonymen Benutzernamen und ein Anfangskennwort. Der Nutzername besteht aus wenigen Buchstaben des Realnamens und einer laufenden Nummer, die Mehrfachvorkommnisse des Anmeldenamens vermeidet, so dass die Lehrkräfte unter Zuhilfenahme der Klassenliste die Realpersonen identifizieren können. Sollten Kennwörter geändert werden müssen, gilt: – Mindestlänge 10 Zeichen, keine echten Wörter der Sprache, keine Kombinationen, die leicht zu erraten sind wie Namen/Geburtstage von Freunden/Familie oder Lieblings-Dingen usw. Eine Benutzung des GSG365-Kennworts in einer anderen Software und umgekehrt ist untersagt! Dasselbe gilt auch für Ucloud, Logineo und moodle!

Quelle: https://datenschutz-schule.info/service-downloads/einwilligungen-schule-nrw/

Nutzungsvereinbarungen für das Geschwister-Scholl-Gymnasium, Aachen

Für alle Arbeiten im Unterricht und in Phasen des eigenverantwortlichen Lernens erhalten Sie/Ihre Kinder Zugang zu den IT-Angeboten. Den Zugang zu Cloud-Lösungen stellen wir Ihnen/Ihren Kindern auch außerhalb des Unterrichts zur schulischen Nutzung Verfügung. Die Nutzung setzt einen verantwortungsvollen Umgang mit den Netzwerkressourcen, den IT-Angeboten sowie den eigenen personenbezogenen Daten und denen von anderen in der Schule lernenden und arbeitenden Personen voraus. Die folgende Nutzungsvereinbarung informiert und steckt den Rahmen ab für eine verantwortungsvolle Nutzung und ihre Annahme bzw. die Einwilligung sind Voraussetzung für die Erteilung eines Nutzerzugangs.

Geltungsbereich: – Die Nutzungsvereinbarung gilt für Schüler*innen und Lehrkräfte, nachfolgend „Benutzer“ genannt, welche die von der Schule bereitgestellten IT-Angebote zur elektronischen Datenverarbeitung nutzen.

Laufzeit: – Den Benutzern werden innerhalb ihrer Dienst-/Schulzeit Benutzerkonten zu den IT-Angeboten zur Verfügung gestellt. Beim Verlassen der Schule wird die Benutzerkonten deaktiviert und gelöscht sowie die Zuweisung der Office 365 Education-Lizenzen aufgehoben. Gelöschte Daten können in GSG365 innerhalb von 30 Tagen wiederhergestellt werden.

Umfang: – Zum Umfang des von der Schule für die Benutzer kostenlos bereitgestellten Paketes gehören: der Zugang zum pädagogischen Netzwerk der Schule, Zugang zu GSG365 mit den bereitgestellten Modulen, Zugang zu Ucloud und unter Vorbehalt weil zukünftig bzw. geplant der Zugang zu Logineo und dem von Logineo bereitgestellten moodle.

Datenschutz und Datensicherheit: Das GSG sorgt durch technische und organisatorische Maßnahmen für den Schutz und die Sicherheit der im pädagogischen Netz verarbeiteten personenbezogenen Daten. Mit Microsoft wurde zur Nutzung von GSG365 ein Vertrag abgeschlossen, welcher gewährleistet, dass personenbezogene Daten von Benutzern nur entsprechend der Vertragsbestimmungen verarbeitet werden. Die Stadt Aachen hat einen entsprechenden Vertrag mit der regioit und das Land NRW mit den Dienstleistern.

Microsoft verpflichtet sich, die personenbezogenen Daten von Benutzern in GSG365 nicht zur Erstellung von Profilen zur Anzeige von Werbung oder Direkt Marketing zu nutzen. Ziel unserer Schule ist es, durch eine Minimierung von personenbezogenen Daten bei der Nutzung von GSG365 auf das maximal erforderliche Maß, das Recht auf informationelle Selbstbestimmung unserer Schüler und Lehrkräfte bestmöglich zu schützen.

Dieses ist nur möglich, wenn die Benutzer selbst durch verantwortungsvolles Handeln zum Schutz und zur Sicherheit ihrer personenbezogenen Daten beitragen – vgl. dazu die oben abgegebenen Erklärungen und die formulierten Regel! – und auch das Recht anderer Personen an der Schule auf informationelle Selbstbestimmung respektieren. An erster Stelle gilt dieses für die Nutzung von personenbezogenen Daten in der Clous von GSG365. Es gilt jedoch auch für das pädagogische Netzwerk der Schule und die anderen IT-Angeboten.

Verantwortungsvolles und sicheres Handeln bedeutet:

A) Zugangsdaten: Der Benutzer ist verpflichtet, die Passwort-Richtlinien zu befolgen und die eigenen Zugangsdaten zum pädagogischen Netz und zu den persönlichen Konten geheim zu halten. Sie dürfen nicht an andere Personen weitergegeben werden.

Sollten die eigenen Zugangsdaten durch ein Versehen anderen Personen bekannt geworden sein, ist der Benutzer verpflichtet, sofort Maßnahmen zum Schutz der eigenen Zugänge zu ergreifen. Falls noch möglich, sind Zugangspasswörter zu ändern. Ist dieses nicht möglich, ist ein schulischer Administrator zu informieren.

Sollte der Benutzer in Kenntnis fremder Zugangsdaten gelangen, so ist es untersagt, sich damit Zugang zum fremden Benutzerkonto zu verschaffen. Der Benutzer ist jedoch verpflichtet, den Eigentümer der Zugangsdaten oder einen schulischen Administrator zu informieren.

Nach Ende der Unterrichtsstunde oder der Arbeitssitzung an einem schulischen Rechner bzw. Mobilgerät meldet sich der Benutzer von den IT-Angeboten ab (ausloggen).

B) Personen-bezogene Daten: Für die Nutzung von personenbezogene Daten wie dem eigenen Name, biographischen Daten, der eigenen Anschrift, Fotos, Video und Audio, auf welchen der Benutzer selbst abgebildet ist, gelten die Prinzipien der Datenminimierung und Datensparsamkeit. Innerhalb der IT-Angebote, abgesehen von GSG365, personenbezogene Daten genutzt und gespeichert werden, solange dieses sparsam und zu Zwecken des Unterrichts erfolgt.

Personenbezogene Daten des Benutzers haben in Office 365 nichts verloren. Soll mit personenbezogenen Daten gearbeitet werden (z.B. Lebenslauf), muss dieses offline im pädagogischen Netz erfolgen. Eine Speicherung von personenbezogenen Daten in Microsoft OneDrive ist nicht zulässig. Bei der Nutzung von GSG365 von privaten Geräten aus, ist darauf zu achten, dass keine Synchronisation mit OneDrive usw. siehe oben stattfindet.

Bestandteil des GSG365 Paketes ist auch eine schulische E-Mail-Adresse, die gleichzeitig Teil der Zugangsdaten ist. Die Nutzung des schulischen E-Mail-Kontos ist nur für schulische Zwecke zulässig. Eine Nutzung für private Zwecke ist nicht erlaubt. Wie bei den anderen Komponenten von GSG365 ist auch beim Versand von E-Mails die Nutzung von personenbezogenen Daten zu minimieren. Eine Weiterleitung schulischer E-Mails auf eine private E-Mail-Adresse ist nicht gestattet.

Die Aufnahme von privaten, nicht schulischen Terminen in den Kalender von GSG365 ist nicht zulässig. Dazu gehören auch die Geburtstage von anderen Benutzern aus der Schule.

Zur Wahrung des Schutzes und der Sicherheit der eigenen personenbezogenen Daten ist es nicht zulässig, das schulische GSG365 Konto mit anderen privaten Konten von Microsoft oder anderen Anbietern zu koppeln. Eine Nutzung des schulischen GSG365-Kontos zur Authentifizierung an anderen Online Diensten ist nicht zulässig.

C) Urheberrecht: Bei der Nutzung der IT-Angebote sind die geltenden rechtlichen Bestimmungen des Urheberrechtes zu beachten. Fremde Inhalte, deren Nutzung nicht durch freie Lizenzen wie Creative Commons, GNU oder Public Domain zulässig ist, haben ohne schriftliche Genehmigung der Urheber nichts im den IT-Angeboten zu suchen, außer ihre Nutzung erfolgt im Rahmen des Zitatrechts.

Fremde Inhalte (Texte, Fotos, Videos, Audio und andere Materialien) dürfen nur mit der schriftlichen Genehmigung des Urhebers veröffentlicht werden. Dieses gilt auch für digitalisierte Inhalte. Dazu gehören eingescannte oder abfotografierte Texte und Bilder. Bei vorliegender Genehmigung ist bei Veröffentlichungen auf einer eigenen Website ist, der Urheber zu nennen, wenn dieser es wünscht.

Bei der unterrichtlichen Nutzung von freien Bildungsmaterialien (Open Educational Resources – OER) sind die jeweiligen Lizenzen zu beachten und entstehende neue Materialien, Lernprodukte bei einer Veröffentlichung entsprechend der ursprünglichen Creative Commons Lizenzen zu lizenzieren.

Bei von der Schule über die IT-Angebote zur Verfügung gestellten digitalen Inhalten von Lehrmittelverlagen ist das Urheberrecht zu beachten. Eine Nutzung ist nur innerhalb der schulischen Plattformen zulässig. Nur wenn die Nutzungsbedingungen der Lehrmittelverlage es gestatten, ist eine Veröffentlichung oder Weitergabe digitaler Inhalte von Lehrmittelverlagen zulässig.

Stoßen Benutzer in den IT-Angeboten auf urheberrechtlich geschützte Materialien, sind sie verpflichtet, dieses bei einer verantwortlichen Person anzuzeigen.

Die Urheberrechte an Inhalten, welche Benutzer eigenständig erstellt haben, bleiben durch eine Ablage oder Bereitstellung in den IT-Angeboten unberührt.

D) Unzulässige Inhalte und Handlungen: Benutzer sind verpflichtet, bei der Nutzung der IT-Angebote geltendes Recht einzuhalten. Es ist verboten, pornographische, gewalt-darstellende oder verherrlichende, rassistische, menschenverachtende oder denunzierende Inhalte über die IT-Angebot abzurufen, zu speichern oder zu verbreiten. Die geltenden Jugendschutzvorschriften sind zu beachten.

Die Verbreitung und das Versenden von belästigenden, verleumderischen oder bedrohenden Inhalten sind unzulässig. Die E-Mail-Funktionen innerhalb der IT-Angebote darf nicht für die Versendung von Massen-Nachrichten (Spam) und/oder anderen Formen unzulässiger Werbung genutzt werden.

E) Zuwiderhandlungen: Im Falle von Verstößen gegen diese Nutzungsordnung behält sich die Schulleitung des Geschwister-Scholl-Gymnasiums, Aachen, das Recht vor, den Zugang zu einzelnen oder allen Bereichen innerhalb de IT-Angebote zu sperren. Davon unberührt behält sich die Schulleitung weitere dienstrechtliche Maßnahmen oder Ordnungsmaßnahmen vor.

F) Nutzungsbedingungen von Microsoft für GSG365: Es gelten außerdem die Nutzungsbedingungen des Microsoft-Servicevertrags, vgl. https://www.microsoft.com/de-de/serviceorientiert/ und, darauf soll vor allem hingewiesen werden, auf den Verhaltenskodex. Inhalte, Materialien oder Handlungen, die diese Bestimmungen verletzen, sind unzulässig. Mit Ihrer Zustimmung zu diesen Bestimmungen gehen Sie die Verpflichtung ein, sich an diese Regeln zu halten:

Nehmen Sie keine unrechtmäßigen Handlungen vor.

Unterlassen Sie Handlungen, durch die Kinder ausgenutzt werden, ihnen Schaden zugefügt oder angedroht wird.

Versenden Sie kein Spam. Bei Spam handelt es sich um unerwünschte bzw. unverlangte Massen-E-Mails, Beiträge, Kontaktanfragen, SMS (Textnachrichten) oder Sofortnachrichten.

Unterlassen Sie es, unangemessene Inhalte oder anderes Material (das z. B. Nackt-Darstellungen Brutalität, Pornografie, anstößige Sprache, Gewaltdarstellungen oder kriminelle Handlungen zum Inhalt hat) zu veröffentlichen oder über die IT-Angebote zu teilen.

Unterlassen Sie Handlungen, die betrügerisch, falsch oder irreführend sind (z. B. unter Vorspiegelung falscher Tatsachen Geld fordern, sich als jemand anderes ausgeben, die Dienste manipulieren, um den Spielstand zu erhöhen oder Rankings, Bewertungen oder Kommentare zu beeinflussen).

Unterlassen Sie es, wissentlich Beschränkungen des Zugriffs auf bzw. der Verfügbarkeit der Dienste zu umgehen.

Unterlassen Sie Handlungen, die Ihnen, den IT-Angeboten oder anderen Schaden zufügen (z. B. das Übertragen von Viren, das Belästigen anderer, das Posten terroristischer Inhalte, Hassreden oder Aufrufe zur Gewalt gegen andere).

Verletzen Sie keine Rechte anderer (z. B. durch die nicht autorisierte Freigabe von urheberrechtlich geschützter Musik oder von anderem urheberrechtlich geschütztem Material, den Weiterverkauf oder sonstigen Vertrieb von Gegenständen oder Fotos).

Unterlassen Sie Handlungen, die die Privatsphäre von anderen verletzen.

Helfen Sie niemandem bei einem Verstoß gegen diese Regeln.

Zur Nutzung der IT-Angebote am Geschwister-Scholl-Gymnasium Aachen ist die Verarbeitung von personenbezogenen Daten erforderlich. Darüber möchten wir Sie im Folgenden informieren.

Datenverarbeitende Stelle Geschwister-Scholl-Gymnasium Aachen
Stolberger Str. 200
52068 Aachen
Tel.: 0241 / 50 39 62
Fax: 0241 / 53 74 14
E-Mail: verwaltungsintern-aachen.de
Homepage: www.gsg-aachen.de

Schulischer Datenschutzbeauftragter Peter Schulz
Beauftragter für Datenschutz
Talstraße 2 (DEPOT)
D-52068 Aachen
Tel.: +49 (0)241 5102-205
peter.schulz@kt.nrw.de

Zwecke der Verarbeitung personenbezogener Daten

Personenbezogene Daten der Benutzer des pädagogischen Netzes und von GSG365 werden erhoben, um dem Benutzer die genannten Dienste zur Verfügung zu stellen, die Sicherheit dieser Dienste und der verarbeiteten Daten aller Benutzer zu gewährleisten und im Falle von missbräuchlicher Nutzung oder der Begehung von Straftaten die Verursacher zu ermitteln und entsprechende rechtliche Schritte einzuleiten.

Rechtsgrundlage der Verarbeitung personenbezogener Daten

Die Verarbeitung personenbezogener Daten bei Nutzung des pädagogischen Netzes und von GSG365 erfolgt auf der Grundlage von DS-GVO Art. 6 lit. a (Einwilligung).

Kategorien betroffener Personen: Schülerinnen und Schüler, Lehrkräfte

Kategorien von personenbezogenen Daten:

– Im Pädagogisches Netz: Anmeldeinformationen (Nutzerkennung, Passwort, Passworthinweis)

Nutzerinhalte (erzeugte Dateien und Inhalte, Versionen von Dateien)

technische Daten (Datum, Zeit, Gerät, Traffic, IP Nummern aufgesuchter Internetseiten und genutzter Dienste), [Geräte-Identifikationsdaten (Gerätename, MAC Adresse), bei BYOD]

– In GSG365: Anmeldeinformationen, Rechte und Rollen, Zuteilung zu Gruppen, Geräte- und Nutzungsdaten (Gerätedaten nur bei BYOD und außerschulischer Nutzung relevant), Nutzungsdaten von Inhalten, Interaktionen, Suchvorgänge und Befehle, Text-, Eingabe- und Freihanddaten, (Positionsdaten – vor allem bei BYOD und außerschulischer Nutzung relevant), Inhalte[1], Lizenzinformationen (Anzahl Installationen, bei Nutzung von Office 365 Pro Plus)

Kategorien von Empfängern

– Im Pädagogisches Netz

Intern: Lehrkräfte, andere Benutzer/ Schüler (nur gemeinsame Daten oder von Nutzern in ein gemeinsames Verzeichnis übermittelte Daten oder Freigaben),

Administratoren (alle technischen und öffentlichen Daten, soweit für administrative Zwecke erforderlich),

Schulleitung (alle technischen und öffentlichen Daten, Daten im persönlichen Nutzerverzeichnis nur im begründeten Verdachtsfall einer Straftat oder bei offensichtlichem Verstoß gegen die Nutzungsvereinbarung),

Extern: Dienstleister, Administratoren (alle technischen und öffentlichen Daten, soweit für administrative Zwecke erforderlich, auf Weisung der Schulleitung)

Ermittlungsbehörden (alle Daten betroffener Nutzer, Daten im persönlichen Nutzerverzeichnis nur im Verdachtsfall einer Straftat)

Betroffene (Auskunftsrecht nach Art. 15 DS-GVO)

– In GSG365

Intern: Schulische Administratoren (alle technischen und Daten und Kommunikationsdaten, soweit für administrative Zwecke erforderlich)

Schulleitung (Zugangsdaten, alle technischen und Daten und Kommunikationsdaten im begründeten Verdachtsfall einer Straftat oder bei offensichtlichem Verstoß gegen die Nutzungsvereinbarung),

Extern: Microsoft (zur Bereitstellung der Dienste von GSG365, auf Weisung der Schulleitung, OST vom [Datum des Vertragsabschlusses/ Verlinkung der OST])

Dienstleister, Administratoren (alle technischen und öffentlichen Daten, soweit für administrative Zwecke erforderlich, auf Weisung der Schulleitung)

Ermittlungsbehörden (alle Daten betroffener Benutzer, Daten im persönlichen Nutzerverzeichnis nur im Verdachtsfall einer Straftat)

Betroffene (Auskunftsrecht nach Art. 15 DS-GVO)

Löschfristen

– Im Pädagogisches Netz: Zugangs- und Nutzungsdaten bleiben bestehen, solange der Benutzer Mitglied im pädagogischen Netz ist. Logdaten von Anmeldungen am pädagogischen Netz und Endgeräten sowie von Internetzugriffen aus dem pädagogischen Netz werden automatisch nach 14 Tagen gelöscht. Nach Ende der Schulzugehörigkeit werden sämtliche Zugangsdaten sowie das Nutzerverzeichnis gelöscht. Bis dahin ist es für den Benutzer möglich, sich die Inhalte des persönlichen Verzeichnisses aushändigen zu lassen.

– In GSG365: Mit dem Ende der Schulzugehörigkeit erlischt das Anrecht auf die Nutzung von GSG365. Entsprechend wird die Zuweisung von GSG365 Education-Lizenzen zu Benutzern mit Ende der Schulzugehörigkeit, in der Regel zum Schuljahresende, aufgehoben. Damit verliert der Benutzer den Zugriff auf Onlinedienste und -daten.

Das bedeutet: alle Daten im Zusammenhang mit dem Konto dieses Benutzers werden von Microsoft 30 Tage aufbewahrt. Eine Ausnahme bilden Daten mit gesetzlicher Aufbewahrungspflicht, die entsprechend lange aufbewahrt werden.

Nach Ablauf der 30-tägigen Frist werden die Daten von Microsoft gelöscht und können nicht wiederhergestellt werden. Ausgenommen sind Dokumente, die auf SharePoint Online-Websites gespeichert sind. Benutzer müssen ihre Daten vorher eigenständig sichern.

Recht auf Widerruf

Die erteilte Einwilligung kann für die Zukunft jederzeit widerrufen werden. Dabei kann der Widerruf auch nur auf einen Teil der der Datenarten bezogen sein. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Im Falle des Widerrufs sämtlicher Verarbeitung personenbezogener Daten im pädagogischen Netz und in GSG365 werden die entsprechenden Zugangsdaten aus dem System gelöscht und der Zugang gesperrt.

Weitere Betroffenenrechte

Gegenüber der Schule besteht ein Recht auf Auskunft über Ihre personenbezogenen Daten, ferner haben Sie ein Recht auf Berichtigung, Löschung oder Einschränkung, ein Widerspruchsrecht gegen die Verarbeitung und ein Recht auf Datenübertragbarkeit. Zudem steht Ihnen ein Beschwerderecht bei der Datenschutzaufsichtsbehörde, der Landesbeauftragten für den Datenschutz und die Informationsfreiheit Nordrhein-Westfalen zu.

Wichtiger Hinweis

– Freiwilligkeit –

Wir möchten darauf hinweisen, dass sowohl die Nutzung des pädagogischen Netzes, der Computer der Schule und des Wlans, wie auch der Cloud-Angebote des GSG auf freiwilliger Basis erfolgen. Eine Anerkennung der Nutzervereinbarungen und eine Einwilligung in die Verarbeitung von erforderlichen personenbezogenen Daten bei der zur Nutzung der IT-Angebote des GSG ist freiwillig.

Die Nutzung des pädagogischen Netzes setzt keine Nutzung der anderen IT-Angebote voraus. Wer die Nutzungsvereinbarung für einzelne IT-Angebote nicht anerkennen möchte, erfährt daraus keinen Nachteil.

Die Nutzung der Cloud-Angebote setzt keine Nutzung des pädagogischen Netzes voraus. Alternativ ist es auch möglich, mit Einwilligung der Eltern – und im Rahmen der von der Schulordnung zugelassenen Verwendungsweisen – über einen eigenen mobilen Zugang mit dem eigenen Gerät auf die verschiedenen Clouds zuzugreifen. Für eine brauchbare und zuverlässige Leistung einer Mobilfunkverbindung in allen Gebäudeteilen übernimmt die Schule keine Verantwortung.

Wer die Nutzungsvereinbarung des pädagogischen Netzes nicht anerkennt, kann keine schulischen Computer und Mobilgeräte nutzen. Die Lehrkräfte werden dann anderweitig Materialien für Arbeitsaufträge im Unterricht bereitstellen. Unsere Schulbibliothek steht unseren Schülern für Recherchen in analogen Medien offen.

Die Nutzung des pädagogischen Netzes setzt immer die Anerkennung der Nutzervereinbarung für das pädagogische Netz und die Einwilligung in die diesbezügliche Verarbeitung von personenbezogenen Daten des Betroffenen voraus.

Die Nutzung von GSG365 setzt immer die Anerkennung der Nutzervereinbarung für GSG365 und die Einwilligung in die Verarbeitung von personenbezogenen Daten für GSG des Betroffenen voraus.

Die Nutzung von ucloud4schools setzt immer die Anerkennung der Nutzervereinbarung und die Einwilligung in die Verarbeitung von personenbezogenen Daten für ucloud4schools des Betroffenen voraus.

Die Nutzung von Logineo/moodle setzt immer die Anerkennung der Nutzervereinbarung und die Einwilligung in die Verarbeitung von personenbezogenen Daten für Logineo/moodle des Betroffenen voraus.

Einwilligungserklärungen – Geschwister-Scholl-Gymnasium, Aachen

Liebe Schülerin, lieber Schüler, liebe Erziehungsberechtigte,

unsere IT-Angebote können Sie erst dann nutzen, wenn Sie der Nutzungsvereinbarung zugestimmt haben. Bei der Nutzung unsere IT-Angebote werden automatisch personenbezogene Daten verarbeitet. Dies geht nur, wenn hierfür eine Einwilligung vorliegt. Im Folgenden bitten wir Sie, hierzu Ihre Einwilligung zu geben. Danach können wir Ihnen die Zugangsdaten zu den IT-Angebote in geeigneter Weise zukommen lassen.

StD‘. I.Sturms (kommissarische Schulleiterin)

Name, Vorname

Einwilligungserklärung zu den Nutzungsbedingungen der IT-Angebote des GSG
Hiermit willige ich in die Nutzungsbedingungen der IT-Angebote wie vorstehend ausgeführt ein: ☐ja/ ☐nein Nutzungsbedingungen allgemein der IT-Angebote des GSG ☐ja/ ☐nein Nutzungsbedingungen speziell von GSG365 (Bitte ankreuzen!)
Ort/Datum: _______________________________________________________ _______________________________________________________________ Unterschrift
Datenschutzrechtliche Einwilligungserklärung in die Verarbeitung von personenbezogenen Daten der Benutzer bei der Nutzung der IT-Angebote des GSG
Hiermit willige ich in die Verarbeitung meiner personenbezogenen bei Nutzung der Computer in der Schule und des pädagogischen Netzes einschließlich einer Benutzung des Wlans der Schule wie beschrieben ein: (Bitte ankreuzen!) ☐ja/ ☐nein Nutzer-, Nutzungs- und Protokolldaten bei Nutzung der Computer des GSG
Hiermit willige ich in die Verarbeitung meiner personenbezogenen Daten bei Nutzung der Cloud GSG365 wie zuvor beschrieben ein: (Bitte ankreuzen!) ☐ja/ ☐nein Nutzer-, Nutzungs- und Protokolldaten bei Nutzung von GSG365
Hiermit willige ich in die Verarbeitung meiner personenbezogenen Daten bei Nutzung der ucloud4schools wie zuvor beschrieben ein: (Bitte ankreuzen!) ☐ja/ ☐nein Nutzer-, Nutzungs- und Protokolldaten bei Nutzung von Ucloud4schools
Hiermit willige ich in die Verarbeitung meiner personenbezogenen Daten bei Nutzung von Logineo/moodle wie zuvor beschrieben ein: (Bitte ankreuzen!) ☐ja/ ☐nein Nutzer-, Nutzungs- und Protokolldaten bei Nutzung von Logineo/moodle
Die Einwilligung ist freiwillig. Aus der Nichterteilung oder dem Widerruf der Einwilligung entstehen keine Nachteile. Ort/Datum: ________________________________________________________ ____________________________________________________________ Unterschrift

Dieses Blatt ist ausgefüllt (unterschrieben und angekreuzt) vom Benutzer aufzubewahren.