WLAN-Anwesenheit: eine App, die zu viel weiß
Die Schulleitung möchte die Anwesenheit bei Veranstaltungen automatisch erfassen. Geplant ist, dass sich die Smartphones von 900 Schülerinnen und Schülern sowie 60 Lehrkräften in ein eigenes WLAN einwählen; MAC-Adresse, Zeitstempel und – nach Login im Schulportal – die Zuordnung zur Person werden gespeichert. Die Daten sollen sechs Wochen bei einem US-Cloud-Anbieter liegen, der „anonymisierte Auswertungen“ verspricht. Informiert werden die Eltern über einen Aushang im Foyer. Erste Tests zeigen zwei Probleme: Moderne Smartphones randomisieren ihre MAC-Adresse pro Netzwerk, sodass viele Geräte mehrfach oder gar nicht erkannt werden; ein Schüler, der sein Gerät vergessen hat, gilt als abwesend. Eine Lehrkraft fragt, ob man die Daten nicht dauerhaft speichern solle, um „Lernprofile“ zu erstellen. Der Anbieter wirbt mit einer „schlanken Lösung ohne Papierkram“.
1. Bewerten Sie die geplante Verarbeitung datenschutzrechtlich. Gehen Sie auf Personenbezug, Rechtsgrundlage, Datenminimierung, Speicherdauer, Drittlandübermittlung und Informationspflichten ein.
Read the worked answer
Personenbezug: Eine MAC-Adresse allein ist pseudonym, nicht anonym – sie ist ein gerätespezifisches Kennzeichen. Durch den Login im Schulportal wird sie einer namentlich bekannten Person zugeordnet; spätestens dann sind es personenbezogene Daten nach Art. 4 Nr. 1 DSGVO. Auch Zeitstempel und Bewegungsprofil im Gebäude sind sensibel, weil sie Verhalten abbilden.
Rechtsgrundlage: Einwilligung ist im Schulkontext problematisch: Bei Minderjährigen kommt die elterliche Einwilligung hinzu, und ein Abhängigkeitsverhältnis (Anwesenheitspflicht, Bewertung) spricht gegen Freiwilligkeit. Für eine öffentliche Schule kommt eher eine gesetzliche Grundlage in Verbindung mit Art. 6 Abs. 1 DSGVO in Betracht; diese muss die Verarbeitung hinreichend bestimmt erlauben. Das ist keine Frage, die der Kurs allein entscheiden darf – sie gehört zur Schulleitung und zur Datenschutzbeauftragten.
Datenminimierung und Speicherdauer: Sechs Wochen für Anwesenheit sind nicht begründet, wenn die Anwesenheit nach der Veranstaltung nur dokumentiert werden muss. Richtwert: Löschung, sobald der Zweck erreicht ist.
Drittland: USA-Transfer nur mit tragfähiger Grundlage (Angemessenheitsbeschluss mit Zertifizierung oder Standardvertragsklauseln plus Transfer Impact Assessment). „Schlanke Lösung“ ist kein Rechtsgrund.
Information: Ein Aushang im Foyer erfüllt Art. 13 in der Regel nicht; nötig sind u. a. Verantwortlicher, Zwecke, Rechtsgrundlage, Empfänger, Übermittlung, Speicherdauer und Betroffenenrechte, in verständlicher Form.
2. Beurteilen Sie das Versprechen „anonymisierte Auswertung“ und die technische Zuverlässigkeit. Ist das Verfahren als Grundlage für Anwesenheits- oder Leistungsbewertung geeignet? Schlagen Sie eine datenschutzfreundlichere Alternative vor.
Read the worked answer
Anonymisierung: Von Anonymisierung darf man nur sprechen, wenn eine Re-Identifikation auch mit zusätzlichem Wissen nicht möglich ist. Hier existiert die Zuordnung zur Person im System, und MAC-Adressen tauchen in vielen weiteren Logs auf (Router, Portal, Anbieter). Wer MAC und Zeitstempel hat, kann Verhaltensprofile bilden. Es handelt sich also um Pseudonymisierung, und der Anbieter kann die Aussage „anonym“ nicht halten – ein Warnsignal für die gesamte Werbung.
Technische Zuverlässigkeit: Randomisierte MAC-Adressen führen zu falsch negativen und falsch positiven Erkennungen. Ein vergessenes Gerät, ein leerer Akku oder ein Gerät im Flugmodus erzeugt „abwesend“, obwohl die Person anwesend war. Als Bewertungsgrundlage ist das nicht belastbar: Die Beweislast liegt faktisch beim Schüler, und es entsteht eine Benachteiligung, die vom Besitz eines bestimmten Geräts abhängt. Die Fehlerquote ist zudem systematisch, nicht zufällig.
Alternative: Check-in per QR-Code am Raum, der ein kurzfristig gültiges, pseudonymes Token ausgibt, das nach der Veranstaltung gelöscht wird; die Zuordnung zur Person erfolgt nur für die Anwesenheitsliste. Oder schlicht: Die Lehrkraft erfasst die Anwesenheit, und die Technik unterstützt nur die Auswertung von Aggregatwerten. Wenn Geräte erfasst werden müssen, dann lokal, ohne Cloud, mit minimaler Speicherdauer und ohne Verhaltensprofile.
3. Nehmen Sie Stellung zum Vorschlag dauerhafter „Lernprofile“ und ordnen Sie die Verantwortlichkeiten zu: Wer entscheidet, wer ist zu beteiligen, wer haftet?
Read the worked answer
Verhältnismäßigkeit: Dauerhafte Lernprofile sind an einem anderen Zweck orientiert als Anwesenheit. Es fehlt schon an der Erforderlichkeit: Ein milderes Mittel (anlassbezogene Auswertung, Aggregation) erreicht denselben Zweck. Der Eingriff wiegt schwer, weil er Minderjährige betrifft, Verhalten über Zeit abbildet und Rückkopplungen erzeugt (Lehrkräfte sehen Profile und bewerten evtl. voreingenommen). Zweckbindung und Speicherbegrenzung sind verletzt; eine Datenschutz-Folgenabschätzung wäre hier sehr wahrscheinlich Pflicht.
Verantwortlichkeiten: Verantwortlicher ist die Schule bzw. die Schulleitung als Leitung der Einrichtung – sie entscheidet über Zwecke und Mittel, nicht der Kurs und nicht der Anbieter. Der Anbieter ist Auftragsverarbeiter und darf nur weisungsgebunden tätig werden; die Rolle muss vertraglich geklärt sein. Die behördliche Datenschutzbeauftragte ist zwingend zu beteiligen, der Schulträger für Infrastruktur und Verträge. Die Schülervertretung und die Elternvertretung haben nach dem Schulmitbestimmungsrecht Beteiligungsrechte; Betroffene sind zu informieren.
Verantwortung im engeren Sinn: Die Schule trägt die Rechenschaftspflicht (Art. 5 Abs. 2) und muss die Verarbeitung dokumentieren und begründen können. Ein „der Anbieter sagt, das ist anonym“ ist keine Begründung und entlastet nicht.