Beschluss des OVG NRW zum Google Workspace for Education Fall veröffentlicht

Unter dem Aktenzeichen 19 B 417/22 wurde jetzt der Beschluss des Oberverwaltungsgerichts NRW vom 22.02.2023 zu einem Beschwerdeverfahren bezüglich des Einsatzes von Google Workspace for Education an einer Schule veröffentlicht. Das Dokument gibt den Verlauf des Erörterungstermins wieder, bei welchem neben dem zuständigen Richter, dem Berichterstatter, ein Prozessbevollmächtigter des Antragstellers zugegen war sowie Vertreter der Bezirksregierung Arnsberg als Antragsgegner. Die Schule selbst war in dem Verfahren offensichtlich nicht vertreten wie auch der Schulträger. Mit dem Beschluss endete ein Rechtsstreit, welcher über zwei Instanzen lief und sich über rund zwei Jahre erstreckte.

Dabei ging es um ein Gymnasium in städtischer Trägerschaft, welches Google Workspace for Education zur Durchführung des Unterrichts nutzt. Die Plattform war nicht vom Schulträger bereitgestellt worden, sondern von der Schule eigenständig beschafft worden. Der Antragsteller, eine Schüler:in, hatte wegen datenschutzrechtlicher Bedenken die Nutzung der Plattform verweigert. Zwar hatte die Schule der Schüler:in eine Alternativlösung angeboten, doch auch diese wurde abgelehnt, da man so keine diskriminierungsfreie Teilhabe am Unterricht für möglich hielt.

Damit landete der Fall vor dem Petitionsausschuss des Landtags. Dort ließ sich der Fall allem Anschein nach jedoch nicht zufriedenstellend lösen. Bevor der Fall dann beim OVG NRW als Beschwerdeverfahren landete, beschäftigte sich das Verwaltungsgericht Gelsenkirchen zweimal mit dem Fall, zunächst in einem erstinstanzlichen Klageverfahren (4 K 695/22) und anschließend, nachdem der Antragsteller gegen den Beschluss Widerspruch eingelegt hatte, in einem Eilverfahren (4 L 149/22). Der Antragsteller begehrte nach dem Verständnis des Verwaltungsgerichtes eine „einstweilige Verpflichtung des Landes NRW [, dass die Schule] ihm und den gemeinsam mit ihm lernenden Mitschülern anstelle der derzeit genutzten Arbeits- und Kommunikationsplattform „Google Workspace for Education Plus“ (früher „G Suite for Education“) eine Arbeits- und Kommunikationsplattform zur Verfügung stellt, die mit nationalem und europäischem Datenschutzrecht nachweislich übereinstimmt.“ Zu dem Beschlüssen des Verwaltungsgerichtes (4 L 149/22) vom 5.03.2021 wie auch (4 K 695/22) vom 9.03.2022 liegt keine Dokumentation vor. Vom VG Gelsenkirchen ging der Fall an das OVG NRW, wo der Senat zunächst über das Beschwerdeverfahren beriet. Für das sich an die Beratung anschließende eigentliche Verfahren war dann nicht mehr der Senat, sondern ein einzelner Richter, der Berichterstatter¹Mehr zur Funktion des Berichterstatters unter https://de.wikipedia.org/wiki/Berichterstatter, zuständig. Diesem ging es zunächst darum, einen gem. § 86 Abs. 3 VwGO sachdienlichen Beschwerdeantrag vom Antragsteller zu erhalten. Welche Aspekte dafür maßgeblich sind, wird in den nachfolgenden Ausführungen beschrieben. Dieses sind:

• das tatsächliche Begehren des Antragstellers,
• die gesetzliche Verpflichtung des Schulträgers gem. § 79 SchulG NRW, eine digitale Arbeits- und Kommunikationsplattform zur Verfügung zu stellen,
• die gesetzliche Nutzungspflicht für Schüler und Lehrer bezüglich solcher vom Schulträger bereitgestellter Plattformen gem. § 8 Abs. 2, § 65 Abs. 2 Nr. 6, § 120 Abs. 5 Satz 2, § 121 Abs. 1 Satz 2 SchulG NRW,
• die Einschränkung der Entscheidungsbefugnis der Schulkonferenz gem. § 65 Abs. 2 Nr. 6 SchulG NRW auf vom Schulträger bereitgestellte Plattformen,
• die Nichtanwendbarkeit der zuvor genannten Rechtsgrundlagen auf vor der 16. Schulrechtsänderung eingeführte Plattformen und
• die Verantwortung der kommunalen Schulträger hinsichtlich des Datenschutzes.

Nach einer Beratungspause formuliert der Prozessbevollmächtigte des Antragstellers seinen Beschwerdeantrag wie folgt neu:

„Er beantragt, den Antragsgegner im Weg der einstweiligen Anordnung nach § 123 Abs. 1 Satz 2 VwGO 9 vorläufig zu verpflichten, ihm und den gemeinsam mit ihm lernenden Mitschülern am Gymnasium an der T. B. keine digitale Arbeits- und Kommunikationsplattform zur Verfügung zu stellen, deren Vereinbarkeit mit nationalem und europäischem Datenschutzrecht nicht der kommunale Schulträger nachweislich überprüft und bestätigt hat.“

Der Richter genehmigt den neu gefassten Beschwerdeantrag und äußert sich dann zur Antragsbefugnis analog zu  § 42 Abs. 2 VwGO. Nach Auffassung des Richters erfüllt der Antragsteller die Voraussetzungen, da er geltend machen kann, durch „Verwaltungsakt oder seine Ablehnung oder Unterlassung in seinen Rechten verletzt zu sein.“ Dieses

• komme einmal in Betracht, soweit es um die Grundrechte von Schülern und Lehrkräften auf informationelle Selbstbestimmung geht und der Gesetzgeber diesbezüglich eine Rechtsgrundlage geschaffen habe [, die in diesem Fall aber nicht zum Tragen gekommen ist, da die Schule die Plattform selbst beschafft hat und es somit zu einer Verletzung dieser Grundrechte gekommen ist], und
• es sei darüber hinaus als möglich in Betracht zu ziehen, dass Grundrechte des Antragstellers verletzt werden. Das meint hier eine Verletzung des „nach Art. 2 Abs. 1 GG verankerten Rechts auf schulische Bildung in Betracht, das gegenüber dem Staat in Verbindung mit dem allgemeinen Gleichheitssatz des Art. 3 Abs. 1 GG allen Kindern ein Recht auf gleiche, d. h. diskriminierungsfreie Teilhabe an den staatlichen Bildungsleistungen, insbesondere an den vom Staat zur Verfügung gestellten Schulen gewährleistet .„

Der Antragsteller hatte praktische Nachteile bei einer Nichtbenutzung von Google Workspace for Education Plus geschildert: „(Ausschluss vom visuellen Austausch mit den Lehrkräften beim Distanzunterricht, Abruf von Hausaufgaben und Hochladen von Lösungen nur per (wohl unverschlüsselter) E-Mail, Ausschluss von digitalen Gruppenarbeiten der Klassenkameraden, Klassenbesprechungen usw.)“

Anschließend erörterte der Richter mit den erschienen Personen den Anordnungsanspruch des Antragstellers, da dieser mit seinem Beschwerdeantrag eine einstweilige Anordnung durch das OVG gegenüber dem Antragsgegner (Bezirksregierung Arnsberg) erreichen möchte. Da es nach Ansicht des Richters in diesem Fall um Grundrechte geht, ist auch mit Blick auf Schulrecht nicht der Antragsteller gefordert, „einen konkreten Datenschutzverstoß darzulegen und zu beweisen.“ Stattdessen hat hier „vorrangig der kommunale Schulträger die Datenschutzkonformität einer von ihm bereitgestellten digitalen Arbeits- und Kommunikationsplattform zu gewährleisten und gegebenenfalls den betroffenen Schülern, Eltern und Lehrern auf fachkundiger Grundlage nachzuweisen.“ Die Schlussfolgerung daraus ist, dass dieses auch für die durch die Schule unabhängig vom kommunalen Schulträger mit eigenen Finanzmitteln beschaffte Arbeits- und Kommunikationsplattform (Google Workspace for Education) gilt. Der Schulträger konnte die Datenschutzkonformität der von der Schule eigenständig beschafften Plattform jedoch nicht nachweisen, da die Schulleitung den mit Google abgeschlossenen Vertrag zur Auftragsverarbeitung und das Verzeichnis der Verarbeitungstätigkeiten den Datenschutzbeauftragten der Kommune²Gemeint scheinen hier der Formulierung nach die Datenschutzbeauftragten der Stadt und nicht die behördlich bestellter schulischer Datenschutzbeauftragten. bis zum Erörterungstermin nicht zur Prüfung vorgelegt hat.³Hinweis: Die Schule selbst widerspricht dieser Aussage. Entsprechende Unterlagen hätten “nachweislich sowohl den Datenschutzbeauftragten der Dortmunder Schulen als auch der Bezirksregierung Arnsberg” vorgelegen. Im Verfahren sei dies jedoch nicht klargestellt worden von Seiten der Bezirksregierung.

Nach den Erörterungen stellt der Richter den Vertretern der Bezirksregierung Arnsberg „den Vorschlag des Senats zur einvernehmlichen Einigung zur Beendigung von Eil- und Hauptsacheverfahren“ vor und gibt ihnen Zeit sich über den Vorschlag zu beraten.

Die Bezirksregierung nimmt den Vorschlag an und eine Vertreterin erklärt, dass sie sicherstellen wird, dass „das Gymnasium an der T. B. bis zum Ende der Osterferien 2023 dem Antragsteller und den gemeinsam mit ihm lernenden Mitschülern anstelle der derzeit genutzten und bislang datenschutzrechtlich ungeprüften Arbeits- und Kommunikationsplattform „Google Workspace for Education Plus“ (früher „G Suite for Education“) eine Arbeits- und Kommunikationsplattform zur Verfügung stellt, deren Vereinbarkeit mit nationalem und europäischem Datenschutzrecht die Stadt E. als Schulträgerin nachweislich überprüft und bestätigt hat.“ Außerdem erklärt sie ihr Einverständnis, die Kosten aller Verfahren zu übernehmen und erklärt darüber hinaus alle Verfahren für jeweils in der Hauptsache erledigt. Der Prozessbevollmächtigte schließt sich den Erledigungserklärungen der Bezirksregierung an. Nachdem der Richter beides genehmigt hat, folgt der Beschluss, durch welchen das Eilverfahren eingestellt, der Beschluss des VG Gelsenkirchen aufgehoben und der Streitwert festgelegt werden.

Weitere Informationen finden sich im Beitrag „Dortmunder Gymnasium erhält Weisung der Bezirksregierung, die Nutzung von Google Workspace for Education einzustellen,“ der sich auf eine Bekanntmachung des Gymnasiums bezieht, welche dieses auf seiner Website veröffentlichte, nachdem Vertreter der Bezirksregierung der Schule die Frist zur Umstellung auf eine vom Schulträger zur Verfügung gestellte datenschutzrechlich geprüfte Plattform mitgeteilt hatte.

Bewertung

In einem Beitrag auf LinkedIn fragt Stefan Hessel, ob hier „Hausaufgaben bei Datenschutz nicht gemacht?!“ wurden. Der Fall wäre möglicherweise anders gelaufen, wenn die Schulleitung den mit Google abgeschlossenen Vertrag zur Auftragsverarbeitung im Admin Bereich von Google Workspace for Education heruntergeladen, ein Verzeichnis der Verarbeitungstätigkeiten erstellt und beides den Datenschutzbeauftragten des Schulträgers zur Prüfung vorgelegt hätte. Welchen Ausgang der Fall genommen hätte, darüber kann jedoch nur spekuliert werden.

Auch wenn es durch die einvernehmliche Einigung nicht zu einer Anordnung durch das Gericht kam, so dürfte dieser Fall Konsequenzen haben. Ob das MSB diesen Fall zum Anlass nehmen wird, um in der nächsten Schulrechtsänderung Anpassungen vorzunehmen, die für mehr Klarheit sorgen werden, bleibt abzuwarten.

Einige der Aussagen im Dokument haben es eindeutig in sich.

• Zwar ist die Schulleitung laut SchulG NRW und VO-DV I Verantwortlicher im Sinne der DS-GVO und unterliegt damit allen Verpflichtungen, welche die DS-GVO einem Verantwortlichen auferlegt (Information Betroffener, Verfahrensverzeichnis, technische und organisatorische Maßnahmen  zum Schutz und zur Sicherheit der Verarbeitung, Umsetzung der Betroffenenrechte, Einhaltung datenschutzrechtlicher Vorgaben, …),
• doch wenn es um die Bereitstellung von Plattformen geht, sieht das OVG NRW hier die datenschutzrechtliche Verantwortlichkeit beim kommunalen Schulträger. Dieser muss „die Datenschutzkonformität einer von ihm bereitgestellten digitalen Arbeits- und Kommunikationsplattform […] gewährleisten und gegebenenfalls den betroffenen Schülern, Eltern und Lehrern auf fachkundiger Grundlage nach[…]weisen.„

Letztlich ist diese Zuweisung der Verantwortlichkeit nur konsequent, wenn der kommunale Schulträger seinen Schulen Plattformen zur Verfügung stellt, sollte er auch darauf achten, dass diese den datenschutzrechtlichen Vorgaben genügen. Die Schulleitungen als Verantwortliche sind damit ein Stück weit entlastet. In der Praxis ist das jedoch nicht so einfach. Wie verschiedene Beispiele zeigen, etwa Microsoft 365, kommen Schulträger bei der datenschutzrechtlichen Bewertung von Plattformen zu unterschiedlichen Ergebnissen. So sind einige Schulträger der Ansicht, die Microsoft Office Plattform ist DS-GVO konform, da Microsoft das so angibt und/ oder der eigene Datenschutzbeauftragte keine Probleme sieht und es die kommunale Verwaltung ebenfalls nutzt, während andere den Beschluss der Datenschutzkonferenz (DSK) von November 2022 zum Anlass nehmen, ihren Schulen die Plattform zu verweigern. Genau wie den Schulleitungen die Expertise fehlt, die Datenschutzkonformität von Plattformen zu beurteilen, so ist sie auch bei vielen kommunalen Schulträgern nicht vorhanden. Eventuell können Zertifikate wie das in der Entwicklung befindliche Directions oder die geprüften Plattformen, die über Vidis vermittelt werden, helfen.

Auch wenn der Senat des OVG NRW die Verantwortung für die Datenschutzkonformität einer von ihm bereitgestellten Plattform beim Schulträger sieht, so darf nicht vergessen werden, dass die Aufsichtsbehörde NRW diese Einschätzung nicht uneingeschränkt teilen dürfte. Wie verschiedene Schriftstücke der LDI NRW zeigen, sieht diese die Verantwortung in datenschutzrechtlicher Sicht bei der Schulleitung und weist dieser deshalb auch die Rechenschaftspflicht gem. Art. 5 Abs. 2 DS-GVO zu⁴Siehe hier beispielsweise „LDI NRW im 28. Tätigkeitsbericht zu Microsoft 365„

Rechtlich dürfte es zukünftig spannend werden, wenn ein Schüler die Nutzung einer vom Schulträger bereitgestellten und von der Schulkonferenz zur verbindlichen Nutzung eingeführten digitalen Arbeits- und Kommunikationsplattform wegen datenschutzrechtlicher Bedenken ablehnt. Microsoft 365 wäre hier wieder ein gutes Beispiel. Würde der Schüler

• der Schulleitung gegenüber erklären, die Plattform wegen datenschutzrechtlicher Bedenken nicht zu nutzen, könnte diese ihn nun an den Schulträger verweisen, dass er sich dort von der Datenschutzkonformität überzeugen könne,
• vor dem Verwaltungsgericht klagen, würde dieses den Nachweis der Datenschutzkonformität vom kommunalen Schulträger einfordern. Die Frage wäre aber, wie es mit dem Nachweis umginge, wenn der Schulträger einen solche liefert und vor allem wenn der Schüler geltend macht, dass ihn dieser Nachweis nicht überzeugen konnte,
• den Weg der Beschwerde bei der Aufsichtsbehörde wählen, wäre definitiv die Schulleitung in der Pflicht und müsste den Nachweis führen, dass die Nutzung  der Plattform an der Schule datenschutzkonform erfolgt.

Die kommunalen Schulträger werden sicherlich überrascht sein, dass sie mit einem Mal in der Nachweispflicht Schülern, Eltern und Lehrkräften gegenüber sind, wenn diese die Datenschutzkonformität einer von ihnen bereitgestellten Plattform anzweifeln. Wie Schulträger damit umgehen werden, sollte der Fall eintreten, ist schwierig abzuschätzen (siehe Kompetenzproblem oben).

Ein weitere interessante Aussage im Dokument ist der Verweis auf die mögliche Verletzung von Grundrechten, vor allem die diskriminierungsfreie Teilhabe an den staatlichen Bildungsleistungen, die eben dann unter Umständen nicht möglich ist, wenn ein Schüler die Nutzung einer Plattform wegen datenschutzrechtlicher Bedenken ablehnt. Das erinnert sehr stark an die Ausführungen der LDI NRW gegenüber Schulen und im 28. Tätigkeitsbericht bezüglich der Nutzung von Microsoft 365. Verweigert ein Schüler wegen datenschutzrechtlicher Bedenken die Nutzung von Microsoft 365, so muss die Schule ihm und seiner Klasse bzw. Lerngruppe eine datenschutzkonforme Alternativlösung bereitstellen. So soll vermieden werden, dass „die Schüler*innen, die bzw. deren Eltern sich über den Einsatz von Microsoft 365 beschwert haben, nicht schutzlos gestellt sind und diskriminiert werden.“

Nicht vergessen werden sollte insgesamt, dass es in diesem Fall zwar um die Nutzung von Google Workspace for Education (Plus) ging, die Datenschutzkonformität der Plattform aber zu keiner Zeit Gegenstand der Erörterungen gewesen ist.