Die Schulgemeinden bearbeiten viele, zum Teil auch sehr sensitive Personendaten. So können auf ihren Computern Noten, alte Adressbestände gesamter Klassengänge oder persönliche Berichte des schulpsychologischen Dienstes gespeichert sein. Bruno Baeriswyl, der Datenschutzbeauftragte des Kantons Zürich, hat im vergangenen Jahr mit seinem Team deshalb seinen Fokus unter anderem auf die Websites der Schulen gelegt.

Seine Bilanz fällt negativ aus, wie er gestern an einer Medienkonferenz in Zürich ausführte: «Ein Grossteil der Websites musste beanstandet werden.» Laut Baeriswyl zeigten acht der zehn intensiv überprüften Internetauftritte Mängel auf. Die weiteren zwei zeigten gar «kritische Sicherheitslücken» auf.

Bei einer Seite wäre es laut des Jahresberichts beispielsweise möglich gewesen, den Inhalt der Website zu verändern oder über die offizielle Schulseite ein Schadprogramm zu verbreiten. Wie der beim Datenschutzbeauftragten für die IT-Beratung und Kontrolle zuständige Reto Mathys ausführte, kann dies eine grosse Gefahr darstellen. Insbesondere dann, wenn die Homepage über einen schuleigenen Server laufe – dann sei im schlimmsten Fall von aussen nicht nur ein Zugriff auf die Homepage und deren Inhalte, sondern auf den gesamten Datenbestand der Schulgemeinde möglich, so Mathys.

Bruno Baeriswyl, Datenschützer

Bruno Baeriswyl, Datenschützer

Google sammelt Schul-Daten

Einen gewissen Handlungsbedarf sieht Bruno Baeriswyl nicht nur in den Schulen, sondern bei den Verwaltungen allgemein. Er bezifferte den Anteil jener Gemeinden, die «es im Griff haben», auf rund ein Drittel. 40 Prozent der Zürcher Gemeinden «fahren ihre Informatik hingegen mit gewissen Risiken», sagte der Datenschutzbeauftragte. «Und 25 Prozent machen nicht genug, um die Daten sicher zu schützen.»

Als problematisch erachtet das Team um Baeriswyl etwa den unbedachten Einsatz von Tools, die Dritte anbieten. «Bei 80 Prozent der Schulgemeinden waren Programmcodes der Firma Google in die Webseite eingebunden», heisst es im Jahresbericht. Dadurch würden Informationen der Besucher in die USA zum Konzern aus Mountain View übermittelt. Dies etwa beim Einsatz von «Google Maps» (Landkarten) oder «Google Analytics» (Statistik über die Webseitennutzung). «Ein schriftlicher Vertrag, der insbesondere den Umgang mit Personendaten betreffend Verantwortung, Verfügungsmacht und Zweckbindung, aber auch Geheimhaltungspflichten, Sicherheitskontrollen und Löschung der Daten regelt, fehlte in allen Fällen.»

Risikobehaftetes Auslagern

Beim Trend, dass öffentliche Organe zunehmend ihre Informationsbestände durch externe IT-Dienstleister bearbeiten oder zumindest auswärts, in einer «Cloud» speichern lassen, mahnte Baeriswyl ebenfalls zur Vorsicht. «Produkte wie Microsoft Office 365, Google Classroom und andere, die Informationen in der Cloud bearbeiten, dürfen eingesetzt werden, sofern die datenschutzrechtlichen Anforderungen berücksichtigt werden.»

Bei Office 365, das an den Schulen verbreitet ist, konnten die Datenschützer einen Erfolg verzeichnen: Bei Microsoft lässt sich eine Zusatzvereinbarung abschliessen. Die Daten werden dann nicht mehr in den USA, sondern in Europa gespeichert. Und in einem Rechtsstreit würde schweizerisches Recht zur Anwendung gelangen. Anders sieht es laut Baeriswyl bei Google Classroom aus: «Es waren keine Verhandlungen möglich.» Damit bleibe «intransparent, welche Daten Google an wen zu welchem Zweck weitergibt». Das Tool genüge den datenschutzrechtlichen Anforderungen nicht. Die Schulen sollten es für allgemeine Informationen verwenden, nicht aber für die Bearbeitung von Personendaten.

Und auch wenn die Datenflüsse klar seien und der Anbieter sich an das Schweizer Recht hielte: «Sensible Daten sollen nur verschlüsselt in der Cloud abgelegt werden», mahnte Baeriswyl.

Grundsätzlich gilt: Je grösser eine Gemeinde ist, desto professioneller ist sie auch aufgestellt. «Gemeinden, die klein sind, sind aber nicht weniger vernetzt», sagte der Datenschutzbeauftragte gestern. «Sie sind denselben Gefahren ausgesetzt wie grössere.» Er will deshalb auch 2015 den Fokus auf die kleineren Gemeinden richten.