Bildungsminister Fassmann hat ein neues Bildungsdokumentationsgesetz in Begutachtung geschickt. Die unter der schwarz-blauen Bundesregierung eingeführte Bildungsdokumentation wird unter türkis-grün nun auf 60 Jahre ausgeweitet. Damit wird eine lückenlose Datensammlung vom Kindergarten bis zur Weiterbildung kurz vor der Pension geschaffen. Wir begrüßen, dass die Sozialversicherungsnummer in den Datensätzen entfernt wurde und durch das datenschutzfreundliche bereichsspezifisches Personenkennzeichen (bPk) ersetzt werden soll. Trotzdem entstehen mit einer solch enormen Datenspeicherung Begehrlichkeiten und Missbrauchspotential. Sonderpädagogischer Förderbedarf wird künftig auch mit Personenbezug gespeichert. Bildungseinrichtungen bekommen Zugriff auf die zentrale Passdatenbank, um die biometrischen Gesichtsbilder für Schüler*innen- und Studierendenausweise verwenden zu können. Insgesamt bringt der Entwurf viele Verschlechterungen im Datenschutz an Schulen und Unis. Am schlimmsten dabei ist, dass viele Entscheidungen im Gesetz nicht begründet sind, da das Bildungsministerium es nicht geschafft hat, dazugehörige Datenschutzfolgenabschätzung rechtzeitig fertigzustellen. In der heiklen Frage des Datenschutzes für Kinder- und Jugendliche bekommt Bildungsminister Fassmann von uns ein "nicht genügend". 

Grundlegendes

Die Datenverarbeitung von Schülerinnen und Schüler unterliegt der DSGVO, die vor 2 Jahren in Kraft getreten ist. Im neuen Bildungsdokumentationsgesetz schlägt sich das aber nur zum Teil nieder. Grundsätzlich ist die Schulleitung für die Datenverarbeitung ihrer Schülerinnen und Schüler verantwortlich. Im Rahmen zentral vorgegebener Anwendungen, wie Sokrates, Web-Untis, etc., liegt die Verantwortung neben der Schulleitung auch beim Bund und betreffend der Schülerinnenevidenzen bei der Bildungsdirektion. Datenschutz im Schulbetrieb wird durch mehr Schulungsmaßnahmen zusätzliche Aufmerksamkeit geschenkt. Auch die datenschutzrechtliche Prüfung von Anwendungen für Schulen soll ausgebaut werden. Im aktuellen Entwurf sind die Definitionen der Datenkategorien zum Teil genauer ausgeführt. Dennoch sehen wir einige Punkte inhaltlich und vor allem grundrechtlich kritisch.

Lebenslange Bildungsdokumentation

Die Einführung einer durchgehenden Bildungsdokumentation war schon unter türkis-blauer Regierung geplant. 2019 ist ein Gesetz dafür in Begutachtung gegangen, wurde aber vor dem Platzen der Regierung nicht mehr beschlossen. Man ist die Datenschutzfolgenabschätzung also seit über einem Jahr schuldig.

Wir haben bereits in der Analyse vom damaligen Regierungsprogramm 2017 vor dem Vorhaben gewarnt und eine Stellungnahme in der Begutachtung abgegeben. Kinder und Jugendliche sind von der Anhäufung von Datenbergen nicht ausgenommen. Im Gegenteil: Das Projekt ist eine der massivsten Erweiterungen von Datenspeicherung im staatlichen Bereich in Österreich. Die durchgehende Bildungs- und Leistungsdokumentation über jede Schülerin und jeden Schüler beginnt bereits im Kindergarten und soll jede Abweichung von vorgegebenen Leistungszielen dokumentieren.

Türkis-grün hat nun wieder ein Gesetz auf den Weg gebracht, das eine durchgehende Bildungsdokumentation vorsieht. Laut dem Entwurf für das neue Bildungsdokumentationsgesetz sollen die Daten aller Schülerinnen und Schüler für 60 Jahre gespeichert werden und mit Daten aus dem weiteren Leben wie z.B. aus den Erwerbskarrieren verknüpft und ausgewertet werden. Das bedeutet eine lückenlose Datensammlung vom Kindergarten bis zur Weiterbildung kurz vor der Pension. Die Änderungen sollen eine präzise Abbildung des Bildungsstands der österreichischen Wohnbevölkerung ermöglichen und für Langzeitanalysen und Bildungsverlaufsstatistiken herangezogen werden.

In den Erläuterungen heißt es dazu: „Diese Datenerhebungen sollen neben dem Bildungscontrolling einerseits, der individuellen Förderung der Schülerinnen und Schüler, der Unterrichtsentwicklung sowie dem Ausgleich von Nachteilen aufgrund unterschiedlicher sozioökonomischer Hintergründe und andererseits der qualitätsvollen Weiterentwicklung von standardisierten Prüfungen dienen.“

Die Bildungsdokumentation wird ebenfalls mit Daten aus der regelmäßigen Kompetenzerhebung der Schülerinnen und Schüler angereichert. Die Problematik die mit den standardisierten Testungen einhergeht haben wir auch schon einmal genauer behandelt.

In der Bildungsdokumentation wird von der Sozialversicherungsnummer auf das bereichsspezifische Personenkennzeichen (bPK) umgestellt. Dadurch sind die Daten in verschiedenen Bereichen nicht so leicht zusammenzuführen, was wir begrüßen. Der direkte Personenbezug und die nicht DSGVO-konforme Vorgehensweise wurden schon seit langem kritisiert. Dass durch die Verwendung von bPK ein höherer Schutz der Daten gegeben ist, hat für die Notwendigkeit der längeren Aufbewahrung der Daten aus datenschutzrechtlicher Sicht keine Bedeutung, wie der Datenschutzrat in seiner Stellungnahme 2019 ausgeführt hat. 

Problematisch ist nicht nur die Erhebung dieser Daten, sondern auch, was mit einer solchen Datenmenge gemacht werden kann. Sind die Daten einmal vorhanden, können sie in Zukunft auch für jetzt noch nicht absehbare Zwecke genutzt werden. Mit einem solchen Datenberg über die gesamte Bevölkerung wachsen Begehrlichkeiten und das Missbrauchspotential. Künftige Arbeitgeber, begehrte Bildungsinstitutionen, das AMS oder Kreditauskunftssysteme hätten enormes Interesse an diesen Daten.

Sonderpädagogischer Förderbedarf

Des Weiteren soll die Löschung des Personenbezugs im Bereich des sonderpädagogischen Förderbedarfs wegfallen. Bisher wurde diese Information nach der Erstellung der Statistik für das jeweilige Jahr gelöscht. Im Bereich der Berufsausbildung wird sonderpädagogischer Förderbedarf bisher noch nicht erhoben. In Zukunft soll er an Berufsschulen ebenfalls erfasst und für weitere Verwendung gespeichert werden. Der Gesetzgeber hatte bei diesen heiklen Daten bisher aus gutem Grund von einer langfristigen Speicherung mit Personenbezug abgesehen.

Zugriff auf Lichtbilder

Neu ist auch eine Ausweitung der Verarbeitung von Bildern. Ein Zugriff auf zentral gespeicherte Bilddaten wird eingerichtet. Die Schulverwaltung kann mit Einwilligung von Erziehungsberechtigten bzw. Schülerinnen und Schülern ab 14 Jahren auf Lichtbilder aus dem Passregister zugreifen und speichern. Bei Studierenden ist ein automatisierter Zugriff auf Bilder in zentralen Registern für die Ausstellung von Studierendenkarten oder Studierendenausweisen ohne ausdrückliche Einwilligung vorgesehen. Dies ist ein weiterer Schritt zur Vernetzung der zentralen Datenbank von biometrischen Gesichtsfotos mit hunderten von Bildungseinrichtungen in Österreich, für die ein solcher Zugriff nicht zwingend notwendig gewesen wäre. 

Datenschutzfolgenabschätzungen (DSFA)

In der Wirkungsfolgenabschätzung zu dem Gesetz heißt es, dass eine Datenschutzfolgenabschätzung parallel zum Gesetzgebungsprozess im Resort durchgeführt wird. Das ist eine Verbesserung zum Entwurf unter der vorherigen Regierung in dem die Durchführung nicht festgeschrieben wurde. Man verweist aber auf eine noch nicht genau feststehende technische Umsetzung, die man für die vollständige Datenschutzfolgenabschätzung bräuchte. Die Rechtsgüterabwägung mit der Begründung für eine Verdreifachung der Speicherdauer und die Aufrechterhaltung der Rückführbarkeit steht also während der öffentlichen Diskussion des Gesetzes nicht zur Verfügung. Die Auswirkung von Gesetzen auf die Grundrechte muss aber endlich in der Wirkungsfolgenabschätzung zum Gesetzesentwurf behandelt werden.

Für die Anwendungen, die an Schulen zum Einsatz kommen und vom Ministerium vorgeschrieben oder empfohlen werden, ist im neuen Gesetz die Durchführung einer Datenschutzfolgenabschätzung vorgeschrieben. Das ist eine wesentliche Verbesserung und man kommt damit einer unserer Forderungen nach. Wir haben auf das Fehlen von Datenschutzfolgenabschätzungen im Schulbereich während der Diskussion um den Einsatz von Google und anderen US-Clouddiensten an den Schulen hingewiesen. In der Anfragebeantwortung zur Empfehlung von Google durch das Ministerium wurde die DSFA für das 3. Quartal 2020 angekündigt. 

Die Datenschutzfolgenabschätzung ist man im BMBWF aber schuldig geblieben und hat im September ein Dokument mit dem Titel „Rahmenbedingungen für den Einsatz privater Clouddiensteanbieter im IT-gestützten Unterricht“ veröffentlicht und den laufenden Prozess dargestellt. Man begründet die Verzögerung mit dem Urteil zu Schrems II und die dadurch geänderte Lage was die Datensicherheit von US-Cloudanbietern betrifft. Anders als im Gesetzgebungsprozess zur Bildungsdokumentation legt man den schon vorhandenen Teil zur Folgenabschätzung offen. Die transparente Vorgehensweise begrüßen wir ebenso wie das Problembewusstsein für die datenschutzrechtliche Problematik. Aber man bringt Google an die Schulen und setzt sich dann erst mit den Auswirkungen auf die Grundrechte auseinander. Die grundrechtliche Abwägung sollte aber vor dem Ausrollen einer Software an Schulen und dem Ende der Begutachtung eines Gesetzes stehen. Mit der vorliegenden Novelle werden Fakten geschaffen, ohne dass die eingeführten Maßnahmen zu Ende gedacht oder ins Verhältnis zu den Grundrechten gesetzt werden. Bei so weitreichender Ausweitung der Datenspeicherung, die Kinder und somit besonders schutzbedürftige Personen so massiv betrifft, ist dieses Vorgehen von Bildungsminister Fassmann aus unserer Sicht unverantwortlich.

Die Begutachtung läuft noch bis 6.November. Wir hoffen auf rege Beteiligung und kritische Stimmen.