Entschließung: Entschließung über E-Learning-Plattformen

VERFASSER:

• Office of the Information and Privacy Commissioner, Alberta, Kanada
• Office of the Information and Privacy Commissioner, Ontario, Kanada
• Office of the Privacy Commissioner of Canada, Kanada
• Datenschutzbehörde, Tschechische Republik
• Commission Nationale de l’Informatique et des Libertés, Frankreich

UNTERSTÜTZER:

• Thüringer Landesbeauftragte für den Datenschutz, Deutschland
• Privacy Commissioner for Personal Data, Hong Kong
• Garante per la Protezione dei Dati Personali, Italien
• Data Protection Registrar, Jersey
• National Privacy Commissioner, Philippinen
• Datenschutzbehörde, Polen
• Datenschutzbehörde, Spanien
   

Es ist ein weltweiter Marktplatz von E-Learning-Plattformen entstanden, um Bildungsbehörden dabei zu unterstützen, erweiterte Bildungsangebote zu machen und die Ergebnisse für Kinder und Jugendliche zu verbessern. Immer mehr Bildungsbehörden nutzen diese Plattformen als Ergänzung zum Unterricht im Klassenzimmer und Möglichkeit, die Lernbedürfnisse der Schülerinnen und Schüler besser zu verstehen.

Einige dieser E-Learning-Plattformen und die damit möglichen Lernanalysen haben das enorme Potenzial, die Entwicklung innovativer und effektiver Lernverfahren zu fördern. Im besten Fall können sie den Austausch zwischen Schülerinnen und Schülern, Eltern und Lehrkräften in der Bildung erweitern und ergänzen und ihnen dabei helfen, ihr jeweiliges Potenzial auszuschöpfen. Allerdings können E-Learning-Plattformen auch die Privatsphäre gefährden, wenn die personenbezogenen Daten dieser Menschen erhoben, verwendet, weiterverwendet, weitergegeben und gespeichert werden.

Die personenbezogenen  Daten von Kindern und Jugendlichen verdienen besonderen Schutz und sollten nur mit einer ausreichenden Rechtsgrundlage verarbeitet werden. Kinder und Jugendliche haben das Recht auf Schutz ihrer Privatsphäre und müssen ihre Datenschutzrechte mit Hilfe ihrer Eltern oder Erziehungsberechtigten ausüben können. Eltern müssen in der Lage sein, ihre Kinder zu unterstützen und aktiv an der Ausübung dieser Rechte teilhaben.

Klassenzimmer  sind  zunehmend  vernetzt  und  können  so  die Privatsphäre  von  Kindern gefährden. Diese vernetzten Klassenzimmer werfen Fragen zur Transparenz auf, da das Risiko besteht, dass eine unangemessene Datenverarbeitung durch E-Learning-Plattformen, eine unklare automatisierte Entscheidungsfindung und ein Missbrauch der Lernanalyse die Datenschutzrechte der Betroffenen untergraben. Im Falle von Kindern und Jugendlichen kann dies erhebliche und langfristige soziale, wirtschaftliche und berufliche Folgen haben und ihre sich entwickelnden Fähigkeiten aus dem Blick nehmen.

Vor diesem Hintergrund und im Einklang mit dem Ziel, Entschließungen zu gemeinsamen Anliegen   oder   Themen   von   gemeinsamem   Interesse  zu   verabschieden,   ruft   die   40. Internationale Konferenz der Beauftragten für den Datenschutz und die Privatsphäre (ICDPPC) alle relevanten Akteure im Bereich E-Learning, insbesondere

• Anbieter und Hersteller von E-Learning-Plattformen, einschließlich Anbietern datengestützter Dienste für Schülerinnen und Schüler, und
• Bildungsbehörden,  einschließlich  Bildungsministerien,  Schulräten, Schulverwaltungen und Lehrkräften,

dazu  auf, das Recht von Schülerinnen und Schülern, Eltern und Lehrkräften („betroffene Personen“) auf Schutz ihrer personenbezogenen Daten und ihrer Privatsphäre zu achten und zu gewährleisten, dass  die  gesammelten Daten im Einklang mit dem Datenschutzrecht ausschließlich zu Bildungszwecken genutzt werden.
Die Akteure werden aufgefordert, in jeder Phase der Entwicklung, Umsetzung und Nutzung von E-Learning-Plattformen die unten empfohlenen Maßnahmen zu ergreifen. 

 1)  Die Bildungsbehörden werden zu Folgendem aufgerufen:

a)  Sicherstellen,  dass sie die Befugnisse  und Kenntnisse  haben, um die Dienste von E- Learning-Plattformen in Anspruch zu nehmen. Rollen, Zuständigkeiten und Entscheidungsbefugnisse von Lehrkräften, Schulverwaltungen und anderen zuständigen Bildungsbehörden sollten intern klar geregelt sein, so dass festgestellt werden kann, wer rechtlich befugt und verantwortlich ist, mit Anbietern von E-Learning-Plattformen zu verhandeln  und  Verträge  abzuschließen.  Die  bevollmächtigten  Vertreter sollten  ein klares Verständnis geltender Datenschutzgesetze haben, damit diese in die Bedingungen und  Bestimmungen  der  Verträge  und  der Vereinbarungen  mit  Dritten  einfließen können.

b)  Maßnahmen  und Verfahren entwickeln,  um die Nutzung von E-Learning-Plattformen zu beurteilen, zu genehmigen und zu unterstützen und Datenschutz- Folgenabschätzungen durchführen, wo dies machbar und erforderlich ist. Diese Maßnahmen sollten die Kontrolle des Einzelnen über seine personenbezogenen Daten fördern, die Rollen und Zuständigkeiten der verschiedenen an E-Learning-Plattformen beteiligten Akteure klären, Risiken mindern und Rechenschaftspflicht fördern.

c)   Ausbildung  und  kontinuierliche  Unterstützung  für  Lehrkräfte anbieten.  Lehrkräften müssen aktuelle, relevante und ausreichende Informationen zu Datenschutzrechten an die Hand  gegeben werden, damit sie nützliche  E-Learning-Plattformen  einsetzen können.  Durch den Zugang zu Materialien,  Schulungen  und  Workshops  können Lehrkräfte die Vorteile von E-Learning-Plattformen voll ausschöpfen und damit ihre Schülerinnen und Schüler und deren Eltern in der richtigen Anwendung anleiten und unterstützen.

d) Mit anderen Bildungsbehörden zusammenarbeiten und mit Unterstützung örtlicher Datenschutzbehörden gemeinsame Standards für den Umgang mit E-Learning- Plattformen  vereinbaren.  Dieser  partnerschaftliche  Ansatz hin  zu  allgemein anerkannten Verfahren verleiht Maßnahmen mehr Gewicht, verbessert den Wissensaustausch,  fördert  die  Entwicklung bewährter  Verfahren  und  optimiert  den Mitteleinsatz, um Datenschutzverfahren bei E-Learning-Diensten zu vereinheitlichen.
e)  Gültige,  informierte  und aussagekräftige  Einwilligung  einholen,  wo dies erforderlich und angemessen ist. Die Rechtsgrundlage für die Verarbeitung von Daten der Schülerinnen und Schüler auf einer E-Learning-Plattform, die von einer Bildungseinrichtung beauftragt wurde, sollten die Gesetze oder von den zuständigen Regulierungsbehörden festgelegten Regelungen sein, soweit diese vorhanden sind. Ist keine solche Rechtsgrundlage vorhanden, muss die Einwilligung der Eltern und/oder der Schülerinnen und Schüler eingeholt werden. Eine solche Einwilligung ist nur unter der Bedingung gültig, dass Schülerinnen und Schülern, die nicht einwilligen, daraus keine Nachteile gegenüber den einwilligenden Schülerinnen und Schülern entstehen. Wenn möglich  sollte  die  Entscheidung,  nicht  einzuwilligen  oder  eine  Einwilligung zurückzuziehen, für  alle  bzw.  einige  Formen  der  Verarbeitung  jederzeit  getroffen werden können.

f)  Im Einklang mit nationalem  Recht Regelungen für Personen umsetzen, die mit ihren persönlichen elektronischen Geräten auf eine E-Learning-Plattform zugreifen. Diese Regelungen sollten geeignete Anwendungsfälle für die E-Learning-Plattform sowie die Folgen der Nutzung persönlicher Geräte aufführen, insbesondere bei der Installation von Software und mobilen Anwendungen.

2)  Bildungsbehörden sowie Anbieter und Hersteller von E-Learning-Plattformen sind aufgerufen, im Einklang mit dem nationalen Datenschutzrecht gemeinsam oder unabhängig  folgende Maßnahmen zu ergreifen:

a)  Sicherstellen,  dass E-Learning-Plattformen die personenbezogenen Daten der Nutzer angemessen schützen und die entsprechenden Datenschutzstandards erfüllen. Unabhängig davon, wie die Nutzung von E-Learning-Plattformen geregelt ist, müssen die Bestimmungen immer im Einklang mit den geltenden Datenschutzgesetzen und - anforderungen stehen.

b) Sicherstellen,   dass   die   Zwecke,   zu   denen   personenbezogene  Daten   erhoben, verarbeitet   und  verwendet   werden,  rechtmäßig,   dem Kontext   angemessen   und gesetzlich erlaubt sind. Es sollten lediglich die für Bildungszwecke notwendigen Daten von Schülerinnen und Schülern erhoben werden. Standardmäßig sollten die Daten nicht zu  anderen Zwecken  verwendet  werden,  einschließlich  kommerzieller  und Werbezwecke. Sofern das Gesetz keine Zweckentfremdung zulässt, dürfen Schülerdaten niemals für andere oder nicht-pädagogische Zwecke verwendet werden, ohne dass eine ausdrückliche, ohne Zwang abgegebene Einwilligung vorliegt. Eine Weiterverarbeitung, auch zu statistischen und Forschungszwecken, sollte möglichst nur mit anonymisierten Daten erfolgen.
c)   Die   Menge   der  zu  verarbeitenden   personenbezogenen   Daten  minimieren.   Das Sammeln, Nutzen, Speichern und Weitergeben personenbezogener Daten, insbesondere von Schülerdaten, sollte stets auf das Maß beschränkt werden, das für die zugelassenen Zwecke erforderlich ist. Das Risiko einer übermäßigen Erhebung von Schülerdaten zu verringern,  sollte  ein  Kernprinzip  der  Datenverarbeitung  auf E-Learning-Plattformen sein.

d)  Die betroffenen Personen über die auf der E-Learning-Plattform verarbeiteten  Daten und  die  Gründe  der  Verarbeitung   informieren,  bevor  personenbezogene   Daten erhoben werden. Die Mitteilung sollte rechtzeitig versendet werden und altersgerecht, klar und knapp formuliert sein. Neben textlichen Inhalten können auch Bild-, Audio-, Video- und andere Medien eingesetzt werden. Genauere Informationen sollten leicht zugänglich sein. Die Mitteilung sollte die betroffenen Personen in die Lage versetzen, informierte   Entscheidungen   zu   treffen.   Die   Mitteilungen  sollten   auch   auf   die Verwendung und Weitergabe an Dritte sowie die Risiken der Verarbeitung personenbezogener Daten hinweisen, die vorhanden Schutzmechanismen zusammenfassen und bestehende Datenschutzrechte und Optionen erläutern.

e)  Personen so weit wie möglich erlauben, die E-Learning-Plattform  mit anonymisierten Daten zu nutzen. Um eine übermäßige Erhebung personenbezogener Daten zu vermeiden, sollten die betroffenen Personen die E-Learning-Plattform anonym oder mit nicht rückverfolgbaren Pseudonymen nutzen können.

f) Die  Nutzung  personenbezogener  Daten,  insbesondere  von  Daten zum Lernverhalten, für Zwecke der Vorhersage, Profilbildung oder automatisierten Entscheidungsfindung so weit wie möglich vermeiden. Die Nutzung der personenbezogenen Daten von Schülerinnen und Schülern, um subjektive Bewertungen vorzunehmen oder Annahmen zu generieren, kann Kinder und Jugendliche  in  der  Entwicklung  ihrer  Fähigkeiten  behindern. Schülerinnen  und Schüler sowie deren Eltern sollten ausdrücklich darüber informiert werden, wenn die Daten für statistische Analysen und Profilbildung, für subjektive Bewertungen, für die Verhaltensvorhersage oder in einem Entscheidungsprozess verwendet werden. Sie sollten Möglichkeiten erhalten, gegen diese Bewertungen vorzugehen.

g)  Werkzeuge integrieren und einsetzen, die betroffenen Personen ermöglichen, ihre personenbezogenen Daten zu verwalten und ihre Datenschutzrechte auszuüben, einschließlich ihres Rechts auf Auskunft, Berichtigung, Löschung und ggf. Datenübertragbarkeit.   Diese   Rechte  für  personenbezogene   Daten   sollten   auf Metadaten, Inferenzen, Bewertungen und Profile über Schülerinnen und Schüler, Eltern und Lehrkräfte ausgeweitet werden.
h) Speicherfristen für verschiedene Kategorien personenbezogener Daten setzen und einhalten. Daten und Metadaten nur so lange speichern, wie dies für die Zwecke der Erhebung und ihrer beabsichtigten Nutzung notwendig ist. Insbesondere Protokolle der Interaktionen zwischen Schülerinnen und Schülern, Eltern und Lehrkräften sollten regelmäßig  bereinigt  werden.  Nach  Ablauf  der  Speicherfrist  muss  eine  geeignete Methode der Entfernung oder Zerstörung angewandt werden, um ein sicheres Löschen der personenbezogenen Daten zu gewährleisten.

3)  Anbieter und Hersteller von E-Learning-Plattformen sind zu Folgendem aufgerufen:

a)  Ihre Datenverarbeitung  sowohl gegenüber Bildungsbehörden  als auch den Personen transparent zu machen, die die E-Learning-Plattformen nutzen. Betroffenen Personen sollte ein einheitlicher Ansprechpartner genannt werden, an den sie sich mit Fragen zum Datenschutz  der einzelnen  E-Learning-Plattformen  wenden  können.  Sie  haben  das Recht, die Datenverwaltung eines Unternehmens zu hinterfragen und sich bei einer Datenschutzbehörde zu beschweren, wenn sie mit der Erklärung des Unternehmens unzufrieden sind oder sich sorgen, dass mit personenbezogenen Daten falsch umgegangen wurde.

b)  Die Zwecke für die Erhebung personenbezogener  Daten je nach Kontext beschränken und in ihren Nutzungsbedingungen oder anderen Verträgen angeben, wann personenbezogene Daten weitergegeben werden können. Sofern das Gesetz keine Zweckentfremdung zulässt, dürfen Schülerdaten niemals für andere oder nicht- pädagogische Zwecke verwendet werden, ohne dass eine ausdrückliche Einwilligung vorliegt.

c)   Ihre Nutzungsbedingungen  klar,  konkret  und einheitlich  formulieren. Unternehmen sollten  Begriffe  wie  „Bildungszwecke“  meiden,  die  zu umfassend  sind  und  nicht detailliert genug erklären, wie personenbezogene Daten verwendet werden.

d)  Technologien zur Verbesserung des Datenschutzes einsetzen und die Grundsätze von „Privacy by Design“ und „Privacy by Default" anwenden. Verfahren und Technologien, die die Erhebung und Nutzung personenbezogener Daten verringern oder vermeiden, sollten stets bevorzugt werden, und ihre Wirksamkeit sollte regelmäßig überwacht und verbessert werden.
e) Sicherstellen, dass personenbezogene Daten im Einklang mit dem örtlichen Datenschutzrecht gespeichert werden. Administrative, physische und technische Sicherheitsvorkehrungen  sollten vorhanden  sein, um eine rechtmäßige  Verarbeitung aller  personenbezogenen  Daten  im  Einklang mit  geltenden  Anforderungen sicherzustellen und Sicherheitsrisiken zu vermeiden.

4)  Schließlich werden die Mitglieder der ICDPPC aufgefordert,

a) über die Datenschutzrisiken und -zuständigkeiten bei der Nutzung von E-Learning- Plattformen zu informieren und aufzuklären;

b)  diese Entschließung zu nutzen, um Richtlinien zu entwickeln, die Bildungsbehörden und Anbietern und Herstellern von E-Learning-Plattformen dabei helfen, ihre Datenschutzverpflichtungen zu erfüllen;

c) diese Entschließung und ihre Empfehlungen bei Beteiligten und politischen Entscheidungsträgern in ihrem Zuständigkeitsbereich und in ihren Netzwerken bekanntzumachen;

d) sich mit den einschlägigen internationalen Organisationen und zivilgesellschaftlichen Gruppen  auszutauschen,  um  die  Entschließung bekanntzumachen  und weiterzuverfolgen; und

e)  untereinander und mit der Arbeitsgruppe „Digitale Bildung“ zusammenzuarbeiten, um Ressourcen, Wissen und bewährte Verfahren auszutauschen.