RUTHENEUM-BOTE EXKLUSIV Datenschützer Hasse im Interview. Bild: © Lutz Hasse, FeM e.V. und Gustav Blaß

In den letzten Wochen und Monaten war die Aufregung groß: Der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), Dr. Lutz Hasse, hatte angekündigt, Lehrer mit Bußgeldern zu bestrafen, wenn diese nicht-datenschutzkonforme Software im Unterricht benutzen. Hasses Bußgeld-Ankündigung wurde vielfach kritisiert, unter anderem von OTZ, MDR sowie Schülersprecher Tillman Becker und der Elternvertretung des Rutheneums. Darüber hatte der Rutheneum-Bote bereits berichtet und TLfDI Hasse schriftlich einige Fragen gestellt. Er bezeichnete den Artikel im Nachhhinein als „ausgesprochen objektiv“ und gab uns einige Tage später ein Interview zur Thematik per Video-Konferenz. Für Interessierte haben wir es auch vollständig verschriftlicht.

Zum vollständigen Interview

Wir möchten Dr. Hasse danken, dass er sich die Zeit genommen hat, unsere Fragen ausführlich und geduldig zu beantworten! Unser Dank gilt auch der Forschungsgemeinschaft elektronische Medien der TU Ilmenau, die den Jitsi-Videokonferenz-Server bereitstellte.

Datenschutz als zentrales Grundrecht
In der laufenden Debatte vergessen viele Beteiligte den eigentlichen Grund, aus dem Bußgelder verhängt werden, denn: Es ist nicht eine banale, rein rechtliche Frage, vielmehr geht es um Datenschutz als Grundrecht der Schüler. Hasse erklärte uns, warum dieses so wichtig ist:



Besonders gefährlich findet Hasse vermeintlich „intelligente“ Algorithmen, die Daten versuchen zu interpretieren. Dabei verweist er auf Michał Kosiński , einen „nicht ganz ungefährlichen“ Mann, dessen Methoden etwa bei der Trump-Wahl zum Einsatz kamen. Laut ihm reichen auch beispielsweise nur wenige Social-Media-Daten wie Likes oder Antworten aus, um weitreichende Rückschlüsse über den Nutzer zu ziehen.



Profilbildung kann laut Hasse auch dann gefährlich sein, wenn etwa eine Bank aufgrund eines Rankings oder Scores einen Kunden als nicht kreditwürdig einstuft oder wenn der Arbeitgeber soziale Medien nach kompromittierenden Inhalten über den Bewerber durchforstet.



Unsensibilität für Datenschutz und fehlende digitale Mündigkeit lassen sich jedoch keineswegs nur bei „Digital-Dinosauriern“ feststellen: Wesentlich stärker von derartiger Naivität ist die Generation der „Digital Natives“ betroffen. Datenschutzmäßige Bedenken, etwa bei der Installation des Facebook-Messengers WhatsApp, wird von neunmalklugen Insta-Influencern und Snapchat-Hochkantfilmern als Inkompetenz abgetan, das notwendige Häkchen bei „Ich akzeptiere die AGBs“ zu setzen. Insofern beschränkt sich das Datenschutz-Problem nicht auf gutwillige Lehrer. Würden diese aus Unwissenheit datenschutzfeindliche Software einsetzen wollen, könnten sensibilisierte Schüler sie davon abhalten – was jedoch leider fast nie geschieht.

Weit verbreitet ist zudem die Annahme, Massenüberwachung und Profilbildung seinen in Ordnung, weil man ja nichts zu verbergen habe. Dr. Hasse erklärte uns, warum das hochgradig naiv ist:



Hierzu verwies er auch auf Journalisten, die aufgrund falscher Ergebnisse von Algorithmen als „Terroristen“ verhaftet wurden. Ein „komisches Beispiel“ sei außerdem, dass Menschen immer häufiger eigene Genproben analysieren lassen und diese ungeprüft ins Netz stellen würden, ohne zu bedenken, dass diese Daten womöglich gegen ihre Angehörigen, vor allem ihre Kinder, verwendet werden könnten, weil in Zukunft daraus etwa kompromittierende Informationen, wie Erbkrankheiten, ausgelesen werden könnten.

Unterrichts-Apps nicht ungeprüft verwenden
Doch was hat das mit der aktuellen Situation zu tun? Höchst sensible Nutzerdaten fließen auch dann ab, wenn Lehrer nicht-datenschutzkonforme Software einsetzen. Besonders zuspitzen kann sich dies, wenn Betroffene weniger technikaffin sind und sich keine Gedanken über mögliche Gefahren einer App machen. Denn: Nur weil ein Dienst kostenlos ist, heißt das noch lange nicht, dass er auch alle nötigen Kriterien erfüllt, um im Unterricht verwendet werden zu dürfen.



Was sollten Lehrer tun?
Lehrer sollten laut Hasse vor der Installation einer App z.B. einen Blick in die entsprechende Datenschutz-Erklärung werfen. Fallen dort kritische Sätze wie die folgenden, sollte unbedingt von einer Nutzung der Software abgesehen werden:

Zur Verbesserung unserer Software verwenden wir Ihre personenbezogenen Daten.“

oder

Die personenbezogenen Daten werden an Dritte weitergegeben.“

Wenn explizit von Profilbildung die Rede ist, sei das laut Hasse ein absolutes No-Go.

Des Weiteren können sich Lehrer im Internet über die betreffenden Dienste informieren. Besonders auf den Blog des IT-Experten Mike Kuketz und den Datenschutz-Verein Digitalcourage könne man sich diesbezüglich „hundertpro“ verlassen. Bei anderen Websites sollte man unter Umständen darauf achten, dass es sich nicht um versteckte Werbung handelt.

Der Rutheneum-Bote empfiehlt zudem das IT-Magazin Mobilsicher , welches ein Projekt des Grimme-Online-Award-ausgezeichneten Portals iRights ist und vom Bundesjustizministerium gefördert wird.

Vielleicht geht man nicht auf eine Seite, sondern schaut sich Kuketz an, dann Digitalcourage, vielleicht die Datenschützer noch, also mehr Informationen sammeln von rundherum. Und wenn man dann den Eindruck hat, diese Software ist im Moment relativ safe, dann kann man die schon nehmen.“ – TLfDI Hasse

Im Zweifelsfall könne man auch einfach den Datenschutzbeauftragten, also in Thüringen Dr. Hasse, fragen. Gerade, wenn der betreffende Dienst schon einmal bewertet wurde, könne er schnell dazu etwas sagen.

Unseren Lehrern am Rutheneum empfiehlt der Rutheneum-Bote dringend die Nutzung der schul.cloud für sensible dienstliche Kommunikation. Sie leitet keinerlei Daten an Dritte weiter und hat ihren Sitz in Deutschland.

Videokonferenzen sollten unbedingt über den BigBlueButton-Server der Thüringer Schulcloud getätigt werden. Hierbei ist zu beachten: Ist der Dienst überlastet, kann nicht einfach auf externe Websites zurückgegriffen werden, die ebenfalls BigBlueButton anbieten. Zwar sei BBB an sich momentan eines der sichersten Chatsysteme, so Hasse, doch Lehrer sollten bei Drittanbietern immer überprüfen, wie diese mit den BBB-Daten umgehen. Letztendlich hat der Betreiber die volle Kontrolle über seinen – ggf. außereuropäischen – Server, sodass nur die Einbindung der BBB-Software kein hinreichender Beweis ist, dass kein Datenmissbrauch stattfindet, auch wenn das recht unwahrscheinlich ist. Im Zweifelsfall solle man sich immer beim Datenschutzbeauftragten rückversichern.

Das Bußgeld-Problem, das tatsächlich keines ist
Zur konkreten Situation wollten wir von Dr. Hasse wissen, wie viele Datenschutz-Verfahren momentan laufen. Eingangs hatte er unseren Erkenntnisstand des letzten Artikels bestätigt, dass bisher keinerlei Bußgelder tatsächlich verhängt wurden. Momentan seien er und seine Mitarbeiter in „ein paar wenigen“ Verfahren drin, zu denen er jedoch keine Prognose abgeben wollte. Zudem sei die Darstellung einiger Medien, jeder kleinste Verstoß würde konsequent verfolgt werden, allein schon deshalb falsch, weil die Kapazitäten der kleinen Behörde dafür nicht ausreichen würden.

Wie kam es überhaupt zur Bußgeld-Ankündigung?



Zwar ist die Bußgeld-Höchstgrenze in § 61 Thüringer Datenschutzgesetz mit 50.000 Euro angegeben, aber die Durchschnittsbußgelder würden sich laut Hasse sehr viel niedriger, zwischen besagten 100 und 1000 Euro, bewegen.

Ob es aber überhaupt dazu kommen wird, dass wir so ein Bußgeld verhängen und wenn, dann in dieser Höhe, das steht ja noch völlig in den Sternen.“ – TLfDI Hasse

Sanftere Formulierung?
Hasse räumte ein, er hätte die Ankündigung, Bußgelder gegen nichtsahnende Lehrer zu verhängen, sanfter – oder auch differenzierter – formulieren können. Ein derart großes Zugeständnis an seine Kritiker ist Beweis genug, dass es ihm nicht um trockene Rechtsanwendung geht, sondern auch – und vor allem – um eine für alle gerechte Lösung, die Grundrechte der Thüringer Schüler zu wahren.

Zwar ändert eine andere Formulierung rein gar nichts am geltenden Recht, wie Hasse bemerkt, doch in der öffentlich-medialen Debatte hätte es durchaus den Ton ändern und das Verhärten der bestehenden Fronten vermeiden können.



Was passiert im Falle eines Datenschutz-Verstoßes?
Anders als es manch ein erboster Beckmesser darstellen möchte, findet sehr wohl eine Ermessensabwägung statt, bevor Bußgelder verhängt werden – oder eben auch nicht. Gab es, etwa aufgrund der Corona-Pandemie, keine geeignete datenschutzkonforme Möglichkeit, Unterricht zu machen? Fragen wie diese spielen eine große Rolle im Verlauf eines Bußgeldverfahrens, wie uns TLfDI Hasse erklärte:



Zudem, so sagt Hasse, sei beim Abwägen weiterhin wichtig, ob der Betroffene, der einen Verstoß begangen hat, kooperativ ist, Einsicht zeigt und Besserung gelobt. Handelt es sich lediglich um ein versehentliches Malheur, welches derjenige zerknirscht zugibt, kann viel eher auf ein Bußgeld verzichtet werden, als wenn er keinerlei Verständnis zeigt. Allein schon deswegen sollten Lehrer beispielsweise im Rahmen von Aus- und Weiterbildungen für den Datenschutz ihrer Schüler besonders sensibilisiert werden.



Hasse räumt ein: „Finde § 61 nicht ganz unproblematisch“

Auf unsere Frage, ob ein Lehrer sicher wäre, wenn er – ohne sich eingenständig informiert zu haben – sich an den Schulleiter wendet und dieser sagt, ein nicht-datenschutzkonformer Dienst sei in Ordnung, antwortete TLfDI Hasse:



Hasses Kritik an § 61 Thüringer Datenschutzgesetz ist nicht unbegründet: Es muss Lehrern möglich sein, sich voll und ganz auf den Unterricht zu konzentrieren, ohne sich darüber Gedanken zu machen, dass die Anweisung des Chefs vielleicht nicht korrekt ist. Gerade in technischen Belangen kann eine Einschätzung recht kompliziert werden, ob genutzte Software nun datenschutzkonform ist oder nicht. Dies differenziert zuzugeben, ist insofern ein weiteres großes Zugeständnis von Datenschützer Hasse an die Kritikerschar.

Nichtsdestotrotz darf der Datenschutz dabei nicht auf der Strecke bleiben: Auch, wenn Lehrer nur Weisungen befolgen sollten, muss jemand in der Befehlskette für die endgültige Produktauswahl verantwortlich zeichnen – Schulleiter und Bildungsminister sind dabei gute Kandidaten. Am Rutheneum etwa entschied die Schulleitung, vollständig zum datenschutzfreundlichen Messenger schul.cloud zu wechseln. Lehrer sollten sich jedoch darauf auch verlassen können, statt eigeninitiativ extra über die Sicherheit des Dienstes recherchieren zu müssen, um ja nichts zu riskieren.

Harsche Kritik am Datenschützer
Viele Kritiker werfen TLfDI Hasse vor, sich in der relevanten Homeschooling-Zeit „weggeduckt“ zu haben und erst danach „aus der Deckung“ gekommen zu sein. Hierzu verwies er auf die Website seiner Behörde, über die man eine extra angefertigte Linksammlung für Schulen finden könne. Zudem habe er zusammen mit dem Bildungsministerium FAQs an die Schulen geschickt, weshalb man sich auch rechtzeitig hätte informieren können.



Außerdem wird Hasse vorgeworfen, keine eigene Technik zur Verfügung gestellt zu haben. Auf unsere Frage hin, ob das überhaupt zu seinen Aufgaben zählt, antwortete er, seine Aufsichtsbehörde achte darauf, dass das Datenschutzrecht eingehalten wird; zudem hätte sie auch eine Beratungsfunktion. Insofern ist es jedoch nicht primär sein Job, Tools zu entwickeln. Wer dennoch so argumentiert, verkennt schlicht und ergreifend die faktische Sachlage. Trotzdem – so sagt er selbst – versucht er, auf freiwilliger Basis aus dieser Rolle herauszukommen und „leistungsbehördlich“ doch von Beginn an in die Datenschutz-Praxis einzugreifen.

Da Hasse Vorsitzender von zwei Bundesarbeitskreisen der Datenschutzkonferenz (der Bundes- und alle Landesdatenschützer) ist, wisse er ungefähr, „was so im Bundesgebiet passiert“. Vor einigen Jahren sollte die sogenannte „Deutschland-Cloud“ entwickelt werden. Weil sich Hasse in ihre Entwicklung eingeschaltet hatte, sei ein Grundmodul der Cloud in Thüringen angekommen, welches jetzt in der Thüringen-Cloud Verwendung findet.



Auch Bildungsminister Holter griff Datenschützer Hasse hart an – schnell konnte der Eindruck gewonnen werden, er wolle den TLfDI als Sündenbock inszenieren, um von seinem eigenen Versagen abzulenken, beispielsweise die Videokonferenz-Funktion der Schulcloud nicht rechtzeitig zur Verfügung gestellt zu haben. Auf unsere Frage, ob er sich dadurch ungerecht behandelt fühle, entgegnete Hasse:



Löblicherweise verzichtet Hasse darauf, sich auf wilde Anschuldigungs-Kindergartenkriege einzulassen, obgleich er allen Grund dazu hätte: Es ist unfassbar, dass ein Landesminister rechtliche Gegebenheiten ignoriert, stattdessen eine Aufsichtsbehörde, die lediglich ihrer Arbeit nachgeht, als Ursache des Problems darstellt und Kritik als persönlichen Angriff auffasst.

Es bleibt zu hoffen, dass derart hochrangige Kritiker weniger pöbelnd und dafür faktenbasiert und vor allem datenschutzbewusst argumentieren würden, statt einer Hexenjagd gleich vermeintlich Schuldigen nachzujagen.

Gleichwohl sind einige Kritikpunkte durchaus berechtigt, wenn es etwa darum geht, ob die Bußgeld-Ankündigung nicht einfühlsamer und differenzierter hätte geschehen könnten oder ob von Anfang an hätte erklärt werden können, unter welchen Bedingungen Bußgelder verhängt werden. Letzeres betrifft vor allem Medien wie den MDR, die solch wichtige Details gerne mal unter den Teppich kehrten, statt vollständig zu berichten und dem Leser eine realitätsgetreue Meinungsbildung zu ermöglichen.


Gustav Blaß