Bereits im Juli 2022 hatte die dänische Datenschutzbehörde die Nutzung von Google Workspace und Chromebooks in der Gemeinde Helsingør verboten. Das Verbot wurde im August 2022 noch einmal ausdrücklich bestätigt. Im Austausch mit der dänischen Datenschutzbehörde identifizierte die Gemeinde Helsingør dann eine Reihe von Bedingungen, unter denen die Nutzung von Google Workspace etc. entweder nicht rechtmäßig war oder das Risiko für Schülerinnen und Schüler nicht ausreichend erkannt und reduziert worden war. Auf der Grundlage der von der Gemeinde Helsingør gezeigten Einsicht – und der Feststellung ähnlicher Bedingungen bei der Verarbeitung mehrerer anderer Kommunen – entschied sich die Datenschutzbehörde, das ausgesprochene Verbot für zwei Monate bis zum 2. November 2022 auszusetzen. Gleichzeitig wurde der Gemeinde eine Reihe von Anordnungen zur Legalisierung der Nutzung der Google Plattformen erteilt.
Während diese Zeit können Schülerinnen und Schüler wieder mit den beiden Plattformen arbeiten. Ob diese Nutzung dann jedoch auf Dauer erfolgen kann, hängt maßgeblich davon ab, ob die Gemeinde in der Lage ist, die Vorgaben der Aufsichtsbehörde umzusetzen. Dazu müssen eine Reihe bestehender Probleme in Bezug auf Verträge, Technologie und Dokumentation behoben werden. Auch der Gemeinde Aarhus gegenüber wurde eine ähnliche Anordnung erteilt, denn auch dort hatte man wie bei der Gemeinde Helsingør feststellen müssen, ein Teil der Verarbeitung von personenbezogenen Daten von Schülerinnen und Schülern bei der Nutzung von Chromebooks und Workspace for Education nicht DS-GVO konform erfolgt und man Risiken nicht erkannt und reduziert hatte. In Folge des Verbotes und der gegenüber der Gemeinde Helsingør getroffenen Anordnungen wurde nun auch der Landesverband der dänischen Kommunen tätig und kündigte an, man werde im Namen weiterer Gemeinden ähnliche Anfragen zur „Legalisierung der Nutzung von Google Workspace und ähnlichen Diensten„1ähnliche Dienste dürfte hier wohl Microsoft 365 meinen und eventuell auch die Plattformen von Apple (iCloud, managed Apple IDs, Classroom, Schoolwork) an die Aufsichtsbehörde stellen. Diese ihrerseits geht schon jetzt davon aus, dass sie auch anderen Gemeinden, die durch die schulische Nutzung von Chromebooks und Google Workspace for Education eine ähnliche Verarbeitung durchführen, dieselben Anforderungen aufzuerlegen. Da die Verarbeitungsvorgänge, um die es geht, in den verschiedenen Gemeinden, welche die Google Plattformen nutzen, wird Gemeinden empfohlen, sich zusammenzuschließen und gemeinsam an einer Lösung zu arbeiten.
Im Weiteren erläutert die Aufsichtsbehörde, was sie von den beiden Gemeinden erwartet. Angeordent wurde den Gemeinden Aarhus und Helsingør, dass der „mit dem Datenverarbeiter und dem Technologielieferanten Google geschlossene Vertrag in einigen Punkten geändert und präzisiert werden muss.“ Beide Kommunen müssen außerdem, „zusätzliche Risiken in Bezug auf Datenpunkte und Daten mit personenbezogenen Daten identifizieren, die an den Technologielieferanten für eigene Zwecke weitergegeben werden.“ Darüber hinaus müssen Funktionalität in der Plattform deaktiviert werden, die zu einer unbefugten Preisgabe personenbezogener Daten führt. Die beiden Gemeinden haben nun zwei Monate Zeit, um Google dazu zu bringen, die Vertragsbedingungen im Sinne der Anordnung der Aufsichtsbehörde zu ändern. Sollte Google dazu nicht bereit sein, wird die Aufsichtsbehörde die betreffenden Verarbeitungstätigkeiten erneut verbieten.
Bezüglich der Gemeinde Aarhus veröffentlichte die dänische Aufsichtsbehörde am 08.09.2022 eine eigene Pressemitteilung, in welcher der Fall dort ausführlich einschließlich der Antwort der Gemeinde2von der Gemeinde eingereichte Dokumente sind hier nicht enthalten. dargelegt wird, ausgehend von der oben beschriebenen Anordnung mit der Frist von zwei Monaten. Eine vergleichbare Pressemitteilung gibt es mit Datum vom 08.09.2022 auch bezüglich der Gemeinde Helsingør. In dieser Mitteilung ist auch die aktuelle Entwicklung nach dem Verbot auf Seiten der Gemeinde dargestellt. Diese hatte ihre Datenschutz Folgenabschätzung überarbeitet und eine Tabelle mit den hohen ungeminderten Risiken beigefügt, die, wie die Aufsichtsbehörde feststellt, „im Wesentlichen mit der in den Niederlanden durchgeführten Folgenabschätzung übereinstimmt.“
Bewertung
Der Fall der Gemeinde Helsingør und der Nutzung von Chromebooks und Google Workspace for Education an Schulen in Dänemark bleibt spannend. Wer den Fall verfolgt, hatte vielleicht schon mitbekommen, dass es Bewegung gab. Die Aufsichtsbehörde ist offen für Lösungen und gibt auch klar die Anforderungen vor. Im Blick hat man, darauf deutet einiges hin, die Lösung, zu welcher man in den Niederlanden gekommen ist. Nun wird es davon abhängen, ob Google bereit ist, die Bedingungen, welche man den Niederlanden einräumt, auch in angepasster Version dänischen Schulen anzubieten. Der Druck auf Google ist hoch, droht doch der Verlust des dänischen Bildungsmarktes. Auch wenn Dänemark ein kleines Land ist, so nutzen dort Schulen an mehr als der Hälfte der 98 Gemeinden die Google Produkte. Es wurde durch die Beschaffung der Chromebooks viel Geld investiert. Wenn Google sich hier nicht bewegt und das Aus an den Schulen endgültig ist, wird es für Google auch keinen Weg zurück mehr geben, denn noch einmal wird man dann nicht auf Google setzen. Darüber hinaus muss Google auch andere EU Länder im Blick haben. Auch wenn in Deutschland die Zahl der Schulen, die Google Workspace for Education, teils auch in Verbindung mit Chromebooks, nutzen, recht klein ist, wird man diese Schulen und den Markt nicht verlieren wollen. Auch aus Deutschland gab es bereits Anfragen an Google, hier die niederländischen Vertragsbedingungen anzubieten. Bisher hat sich hier von Seiten Googles jedoch nichts bewegt. Mit den den Niederlanden zugesagten angepassten Version von ChromeOS und Chrome Browser steht Google allem Anschein nach in Verzug. Die für August 2023 zugesagten angepassten Versionen sollen nach Informationen einer Datenschützerin aus Dänemark nun erst ein Jahr später im August 2024 kommen. Welche Auswirkungen das auf die Situation in den Niederlanden haben wird, bleibt abzuwarten. Bezüglich ChromeOS behilft man sich dort aktuell damit, diese ohne Anmeldung im Gast Modus zu nutzen.
2 thoughts on “Dänische Aufsichtsbehörde setzt Verbot bezüglich Chromebooks aus”