Es gibt neue Fortschritte zu berichten aus den Niederlanden mit Bezug auf die Nutzung von Google Workspace for Education an Schulen, die Verhandlungen mit Google und die Umsetzung der vertraglich vereinbarten Maßnahmen, wie ein Beitrag mit dem Titel „Supportpaket für Google Workspace for Education“ vom 02.08.2021 auf den Seiten des großen kommunalen IT Dienstleisters SURF berichtet. Mit dem Beitrag erhalten Schulen die Informationen, welche sie benötigen, um ihren Teil der Maßnahmen umzusetzen, die für eine Nutzung von Google Workspace for Education ohne hohe Risiken erforderlich sind.
Hintergrund und vertiefende Informationen zum aktuellen Stand
In den Niederlanden nutzen 53% aller Schulen im Primarbereich (bis 12 Jahre) und 36% aller Schulen im Sekundarbereich Google Workspace for Education. Nachdem man schon 2020 einer Datenschutz Folgenabschätzung (DSFA) festgestellt hatte, dass bei einer Nutzung der Plattform für Betroffene eine Reihe von hohen Risiken bestehen, hatten verantwortliche Stellen die niederländische Aufsichtsbehörde um Beratung gebeten. Diese konnte das Ergebnis letztlich nur bestätigen und warnte, dass sie den Schulen eine Nutzung von Google Workspace for Education verbieten müsse, sofern die hohen Risiken nicht bis zum Beginn des neuen Schuljahres am 21. August 2021 gemindert werden könnten. Nach Verhandlungen mit Google durch die großen IT Dienstleister SVION und SURF sowie den staatlichen Beschaffer SLM Rijk einigte man sich am 08. Juli 2021 auf eine Reihe von vertraglichen, organisatorischen und technischen Maßnahmen, mit welchen sich die in der DSFA identifizierten hohen Risiken ausreichend minimieren lassen. Diese gelten sowohl für die Bezahlversionen (Standard und Plus) wie auch die kostenlose Version von Google Workspace for Education.
Zu den verabredeten Maßnahmen gehören neben geänderten Vertragsbedingungen und der Einschränkung der Verarbeitung von Diagnosedaten zu eigenen Zwecken auch feste Zusagen, keine Verarbeitung von Daten aus der Schule für zu Werbezwecken oder zur Profilerstellung, Datenanalyse und Marktforschung vorzunehmen. Es wird darüber hinaus eindeutig festgelegt, welche Daten Google als Verantwortlicher zu eigenen Zwecken verarbeiten darf und welche als Auftragsverarbeiter nur auf Weisung der Schule. Google setzt eine Reihe von datenschutzfreundlichen Voreinstellungen in Google Workspace for Education um, die Schulen automatisch zur Verfügung stehen, wenn sie sich als K12 Schule identifizieren. Zur Verfügung gestellt werden den schulischen Administratoren außerdem zusätzliche Konfigurationsmöglichkeiten für datenschutzfreundliche Einschränkungen sowie Tools, welche Einblick in die erhobenen Telemetriedaten bieten. Google wird außerdem eine visuelle Anzeige einrichten, die es Nutzern erleichtert zu erkennen, ob sie sich in den besonders geschützten Diensten (Core Services) befinden oder diese, sofern möglich, verlassen haben. Das sonst eingeblendete Nutzer-Profilbild verschwindet dann. Neben einem speziellen Vertrag wird Google den niederländischen Schulen auch die neuen Standardvertragsklauseln (Standard Contractual Clauses, SCC) anbieten, die für die Übermittlung von Diagnose Daten in die USA maßgeblich sind. Ohne Beispiel ist die Zusage Googles, Schulen in den Niederlanden spezielle technisch angepasste Versionen von Chrome OS, Chrome Browser und Chromebooks und Chrome Browser für verwaltete Geräte und Profile anzubieten. In den angepassten Versionen ist Google bei der Verarbeitung von personenbezogenen Daten Auftragsverarbeiter. Google sagt ferner zu, sich beim Auslesen von Cookies und Telemetriedaten von den Endgeräten der Nutzer an den Vorgaben der ePrivacy Verordnung zu orientieren. Für eine verbesserte Transparenz gegenüber den Nutzern wird Google verbesserte Hinweise und Dokumentation bereitstellen.
Auch die Schulen müssen ihren Teil tun, um Google Workspace for Education ohne hohe Risiken nutzen zu können. Dazu gehören neben der Unterweisung der Nutzer und Transparenz bezüglich der Datenverarbeitung durch Google in Google Workspace for Education und mögliche Risiken auch im Admin Center anhand von Hilfestellungen der IT Dienstleister vorzunehmende Einstellungen. Gesperrt werden soll dabei unter anderem der Zugang zu zusätzlichen Diensten und auf verwalteten Geräten/ in verwalteten Profilen, die zeitgleiche Nutzung von privaten Google Konten und schulischen Google Konten. Je nach Altersgruppe müssen Schulen andere Maßnahmen ergreifen, da das Nutzerverhalten sich mit zunehmendem Alter deutlich verändert. Mit diesem verändern sich auch die möglichen Risiken. Schulen müssen außerdem den mit Google ausgehandelten Zusatzvertrag unterzeichnen und die SCC annehmen. Im Zusammenhang mit den SCC sind sie gehalten, ein Data Transfer Impact Assessment durchführen auf der Grundlage des Updates zur ursprünglichen DSFA zu Google Workspace for Education. Nach Vorgabe Aufsichtsbehörde ist außerdem von jeder Schule eine eigene DSFA anzufertigen. Dafür erhalten sie jedoch von den IT Dienstleistern eine Handreichung, die ihnen die Arbeit hier erleichtert. Da der mit Prozess der Anpassung an die mit Google vereinbarten Maßnahmen wie auch weitere Datenschutz Folgenabschätzungen nicht sämtlich in Q3 2021 zu bewerkstelligen sind, wird den Schulen empfohlen vorsorglich einige alternative Maßnahmen zu treffen. Bis zum Vorliegen der DSFA zu Chromebooks und der technisch speziell angepassten Version von Chrome OS wird empfohlen, die Geräte vorerst im Gastmodus zu betreiben. Ebenso wird mit Bezug auf den Chrome Browser angeraten, auf nicht Chrome OS Geräten einen alternativen Browser zu nutzen, bis die DSFA zu Chrome Browser und die technisch angepasste Version vorliegen und getestet worden sind.
Die hier beschriebenen Maßnahmen sind überwiegend dem Update zur DSFA zu Google Workspace for Education entnommen, welches im erwähnten Beitrag zur Verfügung gestellt wird und eine wertvolle Lektüre für Schulen ist, die GWE nutzen.
Noch offen ist, so wird auch im Update zur DSFA zu Google Workspace for Education beschrieben, die Anwendbarkeit der Standardvertragsklauseln SCC bezüglich der Übermittlung von Diagnosedaten in die USA. Das hängt mit einer aktuell bestehenden Unsicherheit zusammen, die aus einer unerwarteten Änderung der Definition von internationalen Datentransfers durch die Europäische Kommission herrührt. Je nach Interpretation stellt dann – stark vereinfacht gesagt – die Übermittlung von Diagnosedaten in die USA keinen internationalen Datentransfer mehr dar oder eben doch. Von der Interpretation hängt ab, ob die SCC überhaupt genutzt werden können, um die Daten zu schützen oder nicht (siehe S. 21 ff im Update zur DSFA zu Google Workspace for Education)
Bewertung
Die Entwicklung in den Niederlanden zeigt, dass es tatsächlich einen Weg gibt, wie Schulen Google Workspace for Education datenschutzfreundlich im Unterricht nutzen können. In den Niederlanden ist man den richtigen Weg gegangen und hat mit Google verhandelt und dem Anbieter ausreichend Druck gemacht. Die Bereitschaft Googles, Zugeständnisse zu machen, überrascht nicht, denn anders als in Deutschland stand für Google in den Niederlanden auch einiges auf dem Spiel. Google hat sich bewegt und das Ergebnis ist ein Vertrag, in welchem der Anbieter sich verpflichtet, durch vertragliche, organisatorische und technische Maßnahmen die in einer vorherigen DSFA ermittelten hohen Risiken für Nutzer zu minimieren. Da in den Niederlanden die gleiche DS-GVO gilt wie auch in Deutschland, sollte es möglich sein, die den Niederländern vertraglich zugesicherten Maßnahmen auch Schulen in Deutschland anzubieten. Da mit diesem Maßnahmen auch die Vorgaben der niederländischen Aufsichtsbehörde erfüllt werden, gäbe es für deutsche Aufsichtsbehörden keinen Grund, Schulen eine Verarbeitung von personenbezogenen Daten für eine pädagogische Nutzung von Google Workspace for Education zu untersagen, sofern sie auch ihren Teil der Maßnahmen umsetzen, wie er von den Niederländern beschrieben wird.
Anders als in den Niederlanden werden Schulen in den deutschen Bundesländern wohl eher nicht darauf hoffen können, dass sie hier Unterstützung von Seiten ihrer Schul- und Kultusministerien erhalten. Diesen ist mehr daran gelegen, ihre Landesplattformen an alle Schulen ihres Bundeslandes zu bringen. Es bleibt von daher zu hoffen, dass Google in Deutschland von sich aus den Schulen alle Unterstützung gibt, die sie benötigen, um Google Workspace for Education unter gleichen Bedingungen wie in den Niederlanden nutzen zu können. Als Verantwortliche haben Schulen immer die Möglichkeit, auch selbst aktiv auf Googe zuzugehen und zu verhandeln. Auch Schulträger können sich für ihre Schulen gegenüber Google engagieren.
Schulen, die aktuell mit Google Workspace for Education arbeiten, ist zu empfehlen, schon jetzt die Maßnahmen umzusetzen, welche in den verschiedenen Dokumenten, welche in Update zur DSFA zu Google Workspace for Education und den anderen verlinkten Dokumenten aufgeführt sind.
Einige kleinere Unsicherheiten gibt es noch, vor allem was die Übermittlung von Diagnosedaten in die USA angeht. Es bleibt zu hoffen, dass dieses sich im positiven Sinne regelt, vielleicht auch indem Google – ähnlich wie Microsoft – solche Daten zukünftig ausschließlich in der EU verarbeiten.