Skip to content

Gesichtserkennung an schottischen Schulen

Die Schulen im schottischen Bezirk North Ayrshire setzten Ende 2021 Gesichtserkennungssysteme ein, um Schulkinder zu erkennen. Das System sollte die Kinder identifizieren und denen dann die Teilnahme am kostenlosen Schulessen ermöglichen. Diese Praxis sorgte bereits für einige Kritik in UK-Medien und rief auch die dortige Datenschutzbehörde ICO auf den Plan.

Diese hat den Sachverhalt geprüft und kam zu dem Schluss, dass Gesichtserkennung in Schulen im Allgemeinen möglich ist. Allerdings hat der North Ayrshire Council (NAC) gegen verschiedene Bestimmungen in der DSGVO verstoßen. Konkret wurden folgende Punkte benannt:

  • Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
  • Informationspflicht
  • Speicherbegrenzung
  • Datenschutz-Folgenabschätzung

Der NAC wurde empfohlen bei der Datenminimierung und dem Grundsatz der Richtigkeit Verbesserungen vorzunehmen.

Die DSGVO schreibt im Erwägungsgrund 38, dass Kinder einen besonderen Schutz bei der Verarbeitung ihrer Daten genießen, da Kinder sich der betreffenden Risiken, Folgen und Garantien und ihrer Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind.

Insbesondere wenn die Verarbeitung sehr tief in die Rechte und Freiheiten eingreift, so muss eine so genannte Datenschutz-Folgenabschätzung vorgenommen werden. Hierbei müssen die konkreten Risiken bewertet und Abhilfemaßnahmen eingebaut werden. Dies erschien der ICO im Falle der Schulen zwingend notwendig, war aber nicht vorhanden.

Die ICO hat sich die Anlage genauer angeschaut und versucht, eine Bewertung entlang der Pflichten der DSGVO vorzunehmen. Das Schreiben an die NAC liest sich wie eine Horrovorstellung.

  • NAC were unable to demonstrate that there was a valid lawful basis for the processing.
    Zu gut Deutsch: Für die Verarbeitung gab es keine Rechtsgrundlage. Personenbezogene Daten dürfen aber nur verarbeitet werden, wenn es eine solche gibt. Anfangs wurde wohl behauptet, dass die Schulen Aufgaben des öffentlichen Interesses wahrnehmen. Später ist man dann umgeschwenkt und hat eine Einwilligung als Rechtsgrundlage herangezogen. Allerdings gab es eben keine wirkliche Einwilligung, die den Vorgaben der DSGVO entsprach. Die Eltern scheinen mehr so eine Art allgemeine Einwilligung abgegeben zu haben.
  • Die Gesichtserkennung diente hier zur Identifizierung von Kindern. Das sind also biometrische Daten und damit besondere Kategorien personenbezogener Daten. Deren Verarbeitung ist im Art. 9 DSVGO nochmal explizit untersagt und hier gibt es eine Liste von Ausnahmen.
  • Einwilligung für Kinder müssen in einem für sie verständlichen Text geschrieben sein. Die ICO schreibt, dass es in der Tat zwei verschiedene Einwilligungsformulare (Erwachsene und Kinder) gab. Der Unterschied zwischen beiden Formularen waren die Worte Ihr Kind und Du. Dazu muss man wohl nichts mehr sagen.
  • Die ICO konnte nicht herausfinden, wann welche Daten wirklich gelöscht werden. Die NAC gab an, dass die Bilder fünf Jahre nach dem Ausscheiden oder am 23. Geburtstag der Person gelöscht werden. Warum gerade fünf Jahre ausgewählt wurden oder ob sowohl die Vorlage, die zur Erkennung genutzt wird wie auch die Einzelaufnahmen gelöscht werden, konnte nicht herausgefunden werden.
  • Auch zur Datenschutz-Folgenabschätzung ist die ICO eindeutig: We consider that the DPIA we reviewed is unlikely to have complied with Article 35 of the UK GDPR

Insgesamt ist das Schreiben der ICO sowie die Case Study ein schönes Dokument, um mal zu erfahren, wie man es nicht macht. Allerdings schreibt die ICO auch sehr gut und detailliert, wie die Schulen es besser machen könnten.

Ich hoffe ja, dass die Schulen lernen und das System abbauen und nicht wieder benutzen. In Anbetracht der Tatsache, dass vorher dort wie auch an anderen Schulen in Schottland Fingerabdrucksysteme zum Einsatz kamen, habe ich da jedoch wenig Hoffnung.

Zensieren für Anfänger

Der Twitterer TheCake meldete gestern, dass Netzpolitik in seiner Schule gesperrt ist. Heute lieferte er den Screenshot nach:

@netzpolitik hier ist der Screenshot. Zugriff mit Firefox, 'T... on Twitpic

Die zugrundeliegende Software nennt sich Schulfilter Plus und stammt von der TIME for kids Informationstechnologien GmbH. Laut Internet Law ist der Freistaat Bayern ein Musterland bei der Initiative für ein sauberes Internet an bayerischen Schulen. Wie es scheint, ist die Software bei Schülern nicht so beliebt. Jedenfalls legen das die Suchvorschläge von Google nahe:

Suchvorschläge von Google für Time for kids

In den Kommentaren zum Beitrag bei Netzpolitik sind mehrere gesperrten Seiten genannt. Unter anderem auch SelfHTML, die die Schüler benötigen.

Alles in allem sollten sich die Schulen wohl eher darauf konzentrieren, Schülern Noten zu verpassen statt Schüler zu zensieren. :-)

Lieber zensieren als Äpfel essen

Letzte Woche fand die 860. Sitzung des Bundesrates statt. Dort sollte unter anderem das viel diskutierte Zugangserschwerungsgesetz an der Tagesordnung sein. Ich versuchte im Vorfeld den Ministerpräsidenten mit einem Schreiben mit einigen Argumenten zu überzeugen (siehe auch die Pressemitteilung des AK Zensur dazu). Wie jedoch zu erwarten war, wurde das Gesetz angenommen. Jetzt steht nur noch der Bundespräsident vor der endgültigen Unterschrift und damit vor dem Inkrafttreten des Gesetzes. Der AK Zensur hat einen Appell an Herr Köhler gerichtet.

Beim Betrachten des Ergebnisses fiel mir auf, dass alle Gesetze angenommen wurden, bis auf eines: das Gesetz zur Durchführung gemeinschaftsrechtlicher Vorschriften über das Schulobstprogramm (Schulobstgesetz - SchulObG). Gerade das klingt doch recht sinnvoll. Warum wird sowas nun abgelehnt?

Das Schulobstgesetz geht zurück auf eine Initiative der EU, das EU-Schulobstprogramm. Im Rahmen dessen wurden verschiedene Alternativen untersucht und eine Kommission kam zu dem Schluss, dass die beste Lösung sei, kostenlos Obst an Schüler im Alter von 6 bis 10 Jahren einmal in der Woche auszuteilen. Flankiert mit aufklärenden Maßnahmen gehen die Mitglieder von einem Erfolg aus, d.h. es würden gesunde Essgewohnheiten gefördert werden, die Fettleibigkeit würde zurückgehen und das Risiko chronischer Krankheiten (Diabetes etc.) nimmt ab. Als problematisch werden die Kosten genannt. Die Folgeabschätzung geht EU-weit von Gesamtkosten in Höhe von 156 Millionen Euro (nicht Milliarden!) aus. Daher wurde vorgeschlagen, 90 Millionen aus EU-Mitteln zu zahlen und der Rest aus den Mitteln der jeweiligen Länder. Wenn ich nun den Bericht des Agrarausschusses richtig verstehe, gibt es in Deutschland jetzt Diskussionen, ob Bund oder Länder diese Zusatzmitteln zahlen sollen. Dabei geht es deutschlandweit um eine Summe von 12,5 Millionen Euro oder pro Bundesland um etwa eine Million Euro. Also nach jeglichen Maßstäben Peanuts.

Ich hatte schon vorher mal kalkuliert, welche Gesamtkosten für Thüringen entstehen, wenn alle Kinder täglich kostenlos Obst bekommen. Insgesamt gibt es etwa 300.000 Kinder bis 18 Jahren in Thüringen. Wir zahlen für ein Obstfrühstück im Kindergarten momentan 25 Cent. Wenn man von etwa 200 Tagen in Kindergarten und Schule ausgeht, kämen für Thüringen (aufgerundet) etwa 20 Millionen Euro Kosten zu. Die Zahl ist natürlich nur eine grobe Schätzung. Nichtsdestotrotz würde sie nach meinem Dafürhalten kaum im Portemonnaie des Landes auffallen. :-)

Aber was solls. Lieber zensieren wir den Kindern das Internet weg als ihnen was Gesundes zu Essen zu geben. :-(

cronjob