Einfach bei GoodNotes das Auto-Backup aktivieren und fertig. Nun kann man sich entspannt zurücklehnen, wenn im Hintergrund regelmäßig eine Kopie der Daten erstellt und in einer Cloud gespeichert wird. Doch wie sieht es bei Nutzern und Nutzerinnen aus, die personenbezogene Daten auf ihrem iPad in der Schule verwenden? In Zeiten von DSGVO, CLOUD Act & Co. eine Frage, die dann doch nicht mehr so einfach zu beantworten ist.

Dieser Frage bin ich nachgegangen und habe dafür mehrere Backup-Systeme ausprobiert. Wenn du Lehrer*in bist und deine Daten DSGVO-konform sichern möchtest, findest du hier die nötigen Informationen. Ob meine vorgeschlagenen Methoden datenschutz- und schulrechtlich an deiner Schule zulässig sind, muss in jedem Fall mit deiner Schulleitung bzw. mit dem Datenschutzbeauftragten deiner Schule abgeklärt werden, da die Schulleitung i.d.R. die Verantwortung für den Schutz der Daten trägt. Da ich digitale Lehrerkalender erstelle, möchte ich Lehrkräften geeignete Wege aufzeigen, wie man die Daten auf dem Tablet sicher verwahren kann. 

Backups

Was ist ein Backup?

Beim Backup geht es darum, eine Sicherheitskopie auf einem geeigneten Speichermedium zu erstellen. Bei den Speichermedien unterscheidet man in physischen Storage (USB-Stick, externe Festplatte etc.) und Onlinespeicher, die sogenannten Cloud-Speicher. Bei einem Datenverlust lässt sich über das Backup der zuvor gespeicherte Datenbestand wiederherstellen.

Warum sind regelmäßige Backups wichtig?

Backups sind essenziell, unabhängig davon, ob du Student*in oder Lehrer*in bist. Dein Gerät kann kaputtgehen, gestohlen werden oder im Falle eines digitalen Planers, kannst du aus Versehen Seiten löschen und die Hyperlinks gehen nicht mehr. Sobald hier Seiten gelöscht werden, wird der zugehörige Hyperlink irreparabel. Gerade bei Lehrkräften ist ein Backup extrem wichtig, weil die Lehrkraft für die Sicherstellung der Daten der Schüler und Schülerinnen verantwortlich ist.

Cloud-Speicher

Cloud-Dienste und DSGVO

Die immer populärer werdenden Onlinespeicher, die sogenannten Cloud-Speicher, ermöglichen einen orts- und zeitunabhängigen Datentransfer. Cloud-Speicherdienste wie Microsoft OneDrive, iCloud, Google Drive & Co. stellen eine Infrastruktur mit nahezu unbegrenzter Speicherkapazität zur Verfügung. Im Alltag kaum noch wegzudenken, haben sie in Bezug auf den Schutz persönlicher Daten einige Schwachstellen. Viele Cloud-Anbieter sind ausländische Firmen, die ihre großen Server-Farmen außerhalb von Deutschland bzw. der EU betreiben. Dazu lässt sich sagen: Andere Länder, andere Datenschutzbestimmungen. Die EU hat im Umgang mit sensiblen Daten höhere Anforderungen als andere Länder, wie beispielsweise die USA, in der viele Unternehmen wie Microsoft, Dropbox und Google nun ihre Rechenzentren betreiben. Der EU-US Privacy Shield diente dabei als Datenschutzgrundlage für die Speicherung von personenbezogenen Daten in den USA und anderen Drittstaaten, der jedoch 2020 durch ein Urteil des Europäischen Gerichtshofs (EuGH) für ungültig erklärt wurde. Das macht die Nutzung von Cloud-Diensten außerhalb der EU und des europäischen Wirtschaftsraums gegebenenfalls nicht mehr DSGVO-konform. Die amerikanischen Cloud-Dienste unterliegen nämlich dem CLOUD Act. Nach diesem Gesetz ist es den US-Bundesbehörden erlaubt, auf alle Daten zuzugreifen, die in einer Cloud gespeichert sind. Damit wären die Daten nicht vor dem Zugriff Dritter geschützt, selbst wenn wir uns hier in Europa befinden und das Gesetz uns nicht direkt betrifft, so befinden sich unsere Daten unter der Kontrolle und Obhut der US-Provider. Für Schulen in Deutschland sind zwei Gesetze entscheidend: Die EU-weit gültige DSGVO und das jeweilige Landesdatenschutzgesetz des Bundeslandes.

"Der CLOUD Act und die DSGVO sind miteinander nicht vereinbar. Jegliche Datenweitergaben auf Basis des CLOUD Acts in die USA stehen in grundsätzlichem Widerspruch zu den Grundprinzipien der DSGVO. So fehlt es insbesondere an einer Rechtsgrundlage für die Datenweitergabe, die nach der DSGVO zum Schutze der informationellen Selbstbestimmung des Einzelnen erforderlich ist." (Quelle: Dr. Thorsten Hennrich https://www.plusserver.com/blog/cloud-act)

Ein AV-Vertrag könnte hier Sicherheit geben, in dem die Rechte und Pflichten beider Seiten geregelt werden. Nach Art. 28 DS-GVO ist ein Vertrag erforderlich, wenn personenbezogene Daten in einem Online-Speicher außerhalb der EU von der Schule aus verwendet werden. 

Vertrag zur Auftrags­verarbeitung 

Viele Lehrer*innen nutzen aufgrund von mangelnden Dienstgeräten in Schulen ihre privaten Endgeräte für Schülerlisten, Schülerbeobachtungen o.ä. Wenn eine externe Speicherung personenbezogener Daten aus der Schule gegeben ist, setzt dies einen Vertrag zur Auftragsverarbeitung (AVV; AV-Vertrag, früher ADV-Vertrag) zwischen Schule und Cloud-Anbieter voraus. Der AVV kann nicht zwischen Lehrkraft und Cloud-Anbieter geschlossen werden, sondern immer nur zwischen Schule und Cloud-Provider. Sollte es einen solchen AVV zwischen Schule und Cloud-Anbieter nicht geben, ist die Nutzung einer Nicht-DSGVO-konformen Cloud zur Sicherung von personenbezogenen Daten durch Lehrkräfte unzulässig. Falls keine schulinterne Lösung existiert, wäre ein deutscher oder europäischer Cloud-Provider für Schulzwecke denkbar, die nicht dem CLOUD-Act unterliegt. In jedem Fall ist die geeignete Sicherung persönlicher Daten mit der Schulleitung abzustimmen. Die rechtlichen Vorgaben aus der Schul- und Datenschutzgesetzgebung müssen unbedingt eingehalten werden.

DSGVO-konforme Cloud-Dienste

Um auf Nummer sicher zu gehen, sollte man auf einen Cloud-Dienst zurückgreifen, der seinen Sitz und seine Server ausschließlich in Deutschland oder einem Staat innerhalb der EU bzw. des Europäischen Wirtschaftsraums betreibt. Solche Cloud-Anbieter erfüllen sehr wahrscheinlich die Vorgaben der DSGVO. NextCloud und HPI Schul-Cloud sind Beispiele für eine DSGVO-konforme Cloud-Lösung. Deine Schulleitung kann dir sicherlich hier die nötigen Informationen geben.

GoodNotes in Schulen

Ich lese immer wieder, dass GoodNotes aus datenschutzrechtlichen Gründen für Schulzwecke nicht verwendet werden darf. Allerdings nutzt GoodNotes für die Speicherung deiner Dateien keinen Onlinespeicher, wie viele annehmen, sondern die Daten werden offline gespeichert, lokal auf deinem Gerät. Nur wenn die Synchronisierung aktiviert ist, werden deine Dateien in die iCloud hochgeladen. Aus diesen Gründen wird auch kein AVV zwischen GoodNotes und der Schule benötigt, da keine Datenverarbeitung durch GN stattfindet. In der eigenen Datenschutzrichtlinie schreibt GoodNotes dazu:  

"If you don't choose to backup or sync to a cloud storage or use the optional features of GoodNotes Cloud, all your documents are only saved locally on your device." (Quelle: https://www.goodnotes.com/privacy-policy/)

Bei der Einstellung für das automatische Backup kann man derzeit zwischen OneDrive, Dropbox und Google Drive wählen. Kleiner Kritikpunkt ist hier, dass GN aktuell noch keine integrierte Unterstützung für WebDAV anbietet. Mit WebDAV ließe sich ein automatisches Backup mit einem DSGVO-konformen Server deiner Wahl verknüpfen, wie zum Beispiel deinem Schulserver. Der Druck auf GN wächst jedoch, da immer mehr GN-Nutzer*innen sich für diese Funktion aussprechen, daher hoffe ich, dass GN in absehbarer Zeit WebDAV integrieren wird. Hier kannst du deine Stimme für WebDAV bei GoodNotes abgeben, damit das Thema an Relevanz gewinnt.

Backup-Strategien

In der folgenden Abbildung habe ich die Backup-Möglichkeiten dargestellt. Je nachdem, welches Gerät du nutzt, ob du sensible Daten in deinem digitalen Planer verwendest oder nicht, gibt es hier unterschiedliche Backup-Möglichkeiten. Es handelt sich hier um meine persönliche Empfehlung. Alle Entscheidungen sind abschließend mit deiner Schulleitung abzustimmen.

 Abbildung: Backup-Systeme auf deinem iPad

1.) Privates Tablet/iPad

Ob du dein privates Tablet für Schulzwecke nutzen darfst, ist unbedingt mit der Schulleitung abzuklären. Ebenso was die Verwendung sensibler Daten auf deinem privaten Gerät betrifft. Einige Schulen empfehlen Anonymisierung bzw. Pseudonymisierung. Die verschiedenen Landesgesetze machen es unmöglich, hier eine allgemeingültige Antwort zu geben. Grundsätzlich kann man sagen, dass Lehrer*innen private Endgeräte nicht für dienstliche Zwecke nutzen dürfen. Da aber in der Vergangenheit die Schulen den Lehrkräften keine Dienstgeräte zur Verfügung stellten, lief es darauf zurück, dass private Endgeräte, wie der stationäre Rechner Zuhause, für die Aufbewahrung von Schülerdaten zum Einsatz kamen. Lehrkräfte müssen diese Daten gut geschützt und gesichert abspeichern. Die Genehmigung der Schulleitung muss in jedem Fall vorliegen.

2.) Personenbezogene Daten

Laut Art. 4 Nr. 1 aus der Datenschutz-Grundverordnung sind personenbezogene Daten "[...] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen." (Art. 4 Nr. 1 DSGVO) Im Kontext von Schülerdaten umfassen personenbezogene Daten: Name, Geburtsname, Vorname, Geschlecht, Geburtsdatum, Konfession, Klasse/Jahrgangsstufe usw.

3.) Backup erstellen mit externen Speichermedien

Die Verwendung eines externen Speichermediums bietet sich insofern an, da die Nutzung einer Cloud umgangen werden kann. Gerade für Nutzer*innen, die sensible Daten verwenden, kann diese Variante eine geeignete Backup-Methode sein. Natürlich ist dies in Absprache mit der Schulleitung zu treffen. Die Schwachstellen physischer Geräte betreffen vor allem Diebstahl, Verlust, Langlebigkeit. Daher ist es ratsam in regelmäßigen Abständen ein Backup vom Backup zu machen, um dem vorzubeugen. Die Verschlüsselung der Daten und der Passwortschutz sind weitere und sinnvolle Mittel, um Zugriffsmöglichkeiten durch Unbefugte auszuschließen.

Backup-Systeme bei der Nutzung personenbezogener Daten

Auf der Suche nach einem geeigneten Backup System habe ich mehrere externe Speichermedien à la Trial & Error ausprobiert. Einige funktionierten gar nicht, manche nur befriedigend und am Ende blieb ein Backup-System, welches ich euch jetzt vorstellen möchte. Vorab etwas zum SanDisk, der auch gerne für externe Speicherungen eingesetzt wird, aber aus meiner Sicht nicht für digitale Lehrerkalender geeignet ist. Ich nutze für die Backup-Variante mein iPad Pro und die App GoodNotes.

SanDisk - 32 GB Lightning iXpand - nicht zu empfehlen für digitale Planer

Den ersten Stick, den ich ausprobiert habe, war der 32 GB Lightning iXpand. Für die Nutzung musste man eine App installieren, was mich nicht gestört hat. Allerdings habe ich schnell gemerkt, dass der Stick mit großen Dateien, wie das bei der Speicherung eines digitalen Planers nicht unüblich ist, überfordert war und es Probleme beim Speichern und Wiederherstellen gab. Das ist bei der Backup-Erstellung fatal, weshalb ich diese Methode für einen digitalen Planer nicht empfehlen kann. Für Fotos super geeignet!

Apple "Lightning auf USB Kamera-Adapter" + USB Stick - empfohlene Variante

Für diese Backup-Variante benötigst du den "Lightning auf USB Kamera-Adapter"* und einen USB-Stick. Lightning ist die von Apple selbst seit 2012 entwickelte Schnittstelle für Apple Geräte. Die meisten iPads verfügen über einen Lightning-Anschluss. Für mein iPad Pro (2018) brauche ich jedoch statt des Lightning-Adapters einen USB-C auf USB Adapter.* Um ein Backup von deinem Tablet mit Lightning-Anschluss durchzuführen, folge diesen Schritten:

1. Lightning Adapter und USB-Stick am Tablet anschließen
2. Digitalen Planer in GoodNotes öffnen
3. Gesamtes Dokument (Planer) oder ausgewählte Seiten als .goodnotes-Datei exportieren. Wichtig: Wenn du eine editierbare .goodnotes-Datei exportieren möchtest, dann vergewissere dich, dass die Einstellungen für den Export korrekt eingestellt sind. Wenn du die GoodNotes-Datei als „unveränderlich“ exportierst, dann stampfst du auch die Hyperlinks ein. Die Datei bleibt erhalten, aber die Hyperlinks funktionieren dementsprechend nicht mehr.
4. Datei benennen Beispiel: 211215_Backup_Dateinahme und auf Exportieren klicken
5. „In Dateien sichern“ und den USB-Stick auswählen
6. Ordner für Backup auf dem USB-Stick anlegen und auf „Sichern“ klicken
7. Wenn es gespeichert ist, den Sticker vom iPad abziehen.
8. Überprüfen, ob der Export funktioniert hat.

Dateien vom USB-Stick auf Tablet wiederherstellen

Für den Fall, dass du dein Backup wiederherstellen möchtest, gehe wie folgt vor:

1. Schließe den Adapter + den USB-Sticker an dein Tablet an
2. Öffne Dateien und wähle den Ordner für deinen USB-Stick aus
3. Wähle die zuvor gespeicherte Datei aus
4. Gehe auf „Teilen“, dann „in GoodNotes“ öffnen
5. Das Dokument wird in GoodNotes importiert, wähle unbedingt „In neues Dokument importieren“ aus, da ansonsten das Dokument mit dem bereits geöffneten Dokument zusammengefügt wird. Das ist nicht schön.

4.) Manuelles Backup erstellen

Du hast die Möglichkeit in GoodNotes ein manuelles Backup zu erstellen. Dabei werden alle GoodNotes-Dateien mit dem aktuellen Stand gesichert. Alternativ kannst du auch einzelne Dokumente/Seiten exportieren. So kannst du ein Backup von deinen gesamten Dokumenten machen:

1. Gehe links oben auf den Pfeil, um zu der Übersicht deiner ganzen Dokumente zu gelangen
2. Klicke nun rechts oben auf das Zahnrad und wähle danach „Einstellungen“ aus
3. Gehe auf „Backup erstellen“
4. Danach auf "Jetzt Backup erstellen"
5. Dies kann einige Minuten dauern. Wichtig: Man benötigt dafür ausreichend freien Speicher
6. Nachdem das Backup erfolgreich abgeschlossen wurde, erhältst du eine .zip-Datei. Speichere diese .zip-Datei in einer DSGVO-konformen Cloud. Falls du keine hast, speichere die .zip-Datei zunächst lokal auf deinem Gerät und übertrage sie dann auf ein anderes Speichermedium (s. Punkt 3.)

5.) Automatisches Backup mit Cloud-Server

Solltest du keine sensiblen Daten verwenden, kannst du bedenkenlos auf einen Cloud-Server als Backup-Strategie zurückgreifen. Ich nutze dazu eine Kombination aus iCloud und OneDrive, weil man mit OneDrive die Möglichkeit hat, 30 Tage rückwirkend Dateien wiederherzustellen. Sollte ich nun aus Versehen ein Dokument löschen oder einen Hyperlink entfernen, dann ist diese Funktion Goldwert! Die iCloud gibt mir zusätzliche Sicherheit, indem sie von sich selbst ein automatisches Backup erstellt. Dafür muss in den Einstellungen das iCloud-Backup aktiviert sein:

Automatisches Backup in GoodNotes erstellen

In der Einstellung für das automatische Backup kannst du derzeit zwischen OneDrive, Dropbox und Google Drive wählen. Wenn du in GoodNotes deinen digitalen Planer gerade geöffnet hast, dann gehe wie folgt vor:

1. Gehe links oben auf den Pfeil, um zu der Übersicht deiner ganzen Dokumente zu gelangen
2. Klicke nun rechts oben auf das Zahnrad und wähle danach „Einstellungen“ aus
3. Gehe auf „Automatisches Backup“
4. Aktiviere das Auto-Backup
5. Melde dich mit deinem gewünschten Cloud-Speicher an
6. Aktiviere „Nur über WLAN und Bluetooth hochladen“
7. Wähle einen Zielordner aus. Falls noch kein Ordner existiert, dann erstelle einen
8. Dateiformat auf „GoodNotes & PDF“ einstellen, damit beide Formate gespeichert werden
9. Klicke auf „Fertig“

Wichtig: Vergewissere dich gelegentlich, ob das Backup erfolgreich durchgeführt wurde. Es kann nämlich sein, dass eine Datei zu einem Backup-Stau führt. In den Einstellungen für das Auto-Backup findest du die Option "Backup-Warteschlange anzeigen". Wenn du darauf klickst, gibt es unten die Möglichkeit "Warteschlange leeren", dann beginnt der Backup-Prozess von vorne und sollte erfolgreich durchgeführt werden.

6.) Schule stellt Dienstgerät

Wenn du dein Dienstgerät für die Schule nutzt, ist es wichtig zu wissen, ob die Schule eine Backup-Lösung vorgibt. Falls ja, gilt es natürlich diese zu befolgen. Selbstständig Apps auf Dienstgeräten zu installieren, ist höchstwahrscheinlich nicht zulässig/durchführbar. In der Regel stellt die Schule nicht nur das Tablet, sondern auch die darauf installierten Apps.

Fazit

Wer personenbezogene Daten in einem digitalen Lehrerplaner nutzt, der sollte sich mit dem Thema Datenschutz auseinandersetzen und zusätzlich mit der verantwortlichen Person, was in den meisten Fällen die Schulleitung ist, Rücksprache halten. Wie so oft, ist es bei sensiblen Themen sehr wichtig offen und ehrlich zu kommunizieren. Wem es nicht gestattet ist, automatische Backups über die von GoodNotes vorgegebenen Cloud-Server zu erstellen, der kann auf physische Datenträger oder auf DSGVO-konforme Server mit manuellem Backup zur Sicherung der Daten zurückgreifen. Im besten Fall trägt man sich dazu Uhrzeit und Datum zum Sichern in den digitalen Planer oder einen Kalender deiner Wahl ein, um es nicht zu vergessen, denn wenn die Daten erst einmal verloren gegangen sind, wird es schwer sie wiederherzustellen.

Ausblick

Für die Zukunft würde ich mir wünschen, dass das Thema Datenschutz in Deutschland zielführender angegangen wird. Datenschutz ist sehr wichtig, aber aus meiner Sicht ist es einfach rückschrittlich sich vor funktionierenden Systemen zu sperren. Ein Vertrag zur Auftragsverarbeitung mit dem Anbieter des Cloud-Speichers wird hier hoffentlich in naher Zukunft die Probleme der Cloudspeicherung von personenbezogenen Daten lösen. Bremen ist in dieser Debatte ein positives und aktuelles Beispiel dafür, den Schritt in die richtige Richtung zu gehen und ermöglicht nun die Nutzung der iCloud im schulischen Kontext. In den übrigen Ländern ist es leider doch sehr undurchsichtig, was möglich/machbar ist und am Ende kocht jeder seine eigene Suppe.

Wichtig: Dieser Artikel stellt meine persönliche Meinung dar. In jedem Fall ist es unbedingt mit der Schulleitung abzuklären, ob diese Art der Speicherung mit externen Speichermedien genutzt werden darf, da hier die jeweiligen Datenschutzbestimmungen der Länder und Schulen greifen.

Linksammlung: 

1. https://news.datenschutz-schule.info/2021/09/25/bremen-ermoeglicht-nutzung-von-icloud-zur-verarbeitung-von-personenbezogenen-daten-mit-normalem-schutzbedarf/

2. https://datenschutz-schule.info/2020/02/19/lehrer-apps-und-cloud-speicher/

3. https://keyed.de/blog/speicherung-personenbezogener-daten/

4. https://www.boxcryptor.com

5. https://datenschutz-schule.info/tag/av-vertrag/

6. https://datenschutz-schule.info/themen/dienstgeraete-fuer-lehrkraefte-umsetzung-der-richtlinie/dienstgeraete-fuer-lehrkraefte/

7. https://www.goodnotes.com/privacy-policy/

8. https://datenschutz-schule.info/themen/usb-sticks-und-datensicherheit/

9. https://www.ionos.de

10. https://it.kultus-bw.de/site/pbs-bw-km-root/get/params_E-1758151725/4695606/Hinweise-mobile-Endgeraete-im-Unterricht.pdf

11. https://www.herole.de/blog/datenschutz-schule/

12. https://t3n.de/news/cloud-act-compliance-datensicherheit-recht-1382018/

13. https://datenschutz-schule.info/tag/private-endgeraete/

14. https://www.datenschutz.rlp.de

15. https://www.iitr.de/blog/datenschutz-in-der-schule-ist-eine-datenverarbeitung-durch-lehrer-an-ihrem-haeuslichen-computer-zulaessig/3312/

16. https://datenschutzbeauftragter-dsgvo.com/datenschutz-in-der-schule-was-gilt-es-zu-beachten/

17. https://www.dataguard.de

18. https://www.goodnotes.com/privacy-policy/

Die mit Sternchen (*) gekennzeichneten Links sind sogenannte Affiliate-Links. Wenn du auf so einen Affiliate-Link klickst und über diesen Link einkaufst, bekomme ich von dem betreffenden Online-Shop oder Anbieter eine Provision. Für dich verändert sich der Preis nicht.