Im Rahmen des landesgeförderten Projektes KI:edu.nrw ist ein Gutachtachten zum Datenschutzrahmen für die Lerndatenanalyse entstanden. Mit dem Gutachten liegt nun erstmals eine umfassende rechtliche Bewertung von zentralen Datenschutzfragen in Bezug auf den Einsatz von Learning Analytics-Systemen an Hochschulen in NRW vor. Die Federführung hatte das Datenschutzteam der Ruhr-Universität Bochum und des Projekts, Dr. Kai-Uwe Loser und Christopher Lentzsch.
Im Interview erläutern sie ihre Aufgaben als Datenschutzbeauftrage an der Uni, aber auch im Projekt und geben einen Einblick in den Entstehungsprozess des Gutachtens.
Könnt ihr euch kurz vorstellen?
Christopher Lentzsch (CL): Ich habe an der RUB Angewandte Informatik studiert. Seitdem habe ich mich immer mit dem Zusammenspiel von Menschen und Technik beschäftigt. Dabei war Datenschutz durch Technik ein Aspekt, der mich besonders fasziniert hat: Die clevere Kombination von Technik erlaubt es, die Vorteile der Digitalisierung zu nutzen, ohne dafür auf Privatsphäre zu verzichten. Wie das im Bereich Learning Analytics, also Lerndatenanalysen, gelingen kann, untersuche ich als Mitarbeiter im Projekt KI:edu.nrw.
Kai-Uwe Loser (KUL): Datenschutz hat drei Gestaltungsebenen: Technik, Recht und Organisation – alle drei sind bei KI:edu.nrw relevant. Wir konnten im Projekt gestaltungsorientiert vorgehen und haben den Wissensstand voranbringen können. Auch ich habe Informatik studiert und im Bereich Beteiligungsorientierung bei der Softwareeinführung promoviert. Vieles, was dabei relevant war, ist bis heute präsent.
Wie sieht eure Arbeit an der RUB aus? Was ist eure Aufgabe?
CL: Die Aufgaben als Datenschutzbeauftragte sind sehr abwechslungsreich: Von speziellen rechtlichen Problemen kleiner Forschungsgruppen auf Expeditionen bis zu großen technischen Infrastrukturprojekten für NRW gibt es immer wieder neue Bereiche, mit denen wir uns beschäftigen und zu denen wir beraten müssen.
KUL: Unsere Arbeit ist also vielfältig wie Hochschule an sich. Wir haben eine Verwaltung, die als Behörde eine öffentliche Aufgabe wahrnimmt, es gibt die Lehre und die vielfältige Forschung mit unterschiedlichsten Methoden. Alle Humanwissenschaften stehen da bei uns im Blick. Die Beratung ist daher sehr breit angelegt, das notwendige Wissen dafür umfänglich, aber eben auch sehr spannend, mit immer neuen Herausforderungen.
CL: Unsere Hauptaufgabe ist also, die vielen Bereiche der RUB zu beraten. Wenn ich Forscher:innen z. B. dabei helfe, ein Datenschutzkonzept oder eine Einwilligungserklärung für eine Umfrage zu erstellen, dann geht es häufig darum, das Thema zu erläutern und anfassbar zu machen. Datenschutz wird oft als undurchdringlich angesehen und nur wenn es fünf Din-A4-Seiten Text sind gilt es als „gut umgesetzt”. Fast immer ist das Gegenteil der Fall: Die notwendigen Infos lassen sich kurz zusammenstellen und für die Teilnehmenden der Umfrage „im Vorbeigehen” erklären. Etwas Planung vor der Umsetzung bedarf das natürlich schon. Es kann sonst sehr schnell kompliziert werden, z. B. bei internationalen Datentransfers …
Was ist eure Rolle im Projekt KI:edu.nrw? Könnt ihr eure Funktion als Querschnittsprojekt genauer erläutern?
CL: Als Querschnittsprojekt arbeiten wir mir den unterschiedlichen Teilprojekten in KI:edu.nrw zusammen. Dabei geht es viel ums Beraten und das gemeinsame Erarbeiten von Lösungen im Bereich Learning Analytics. Im Projekt bearbeiten wir aber auch eigene Arbeitspakete wie eine Datenschutz-Folgenabschätzung oder das Rechtsgutachten. Das ist nur möglich, weil im Projekt eine Stelle für den Themenkomplex Datenschutz besetzt werden konnte. Das sind Themen, die originär aus speziellen datenschutzrechtlichen Pflichten entstehen und für die spezifische Datenschutzkompetenzen nötig sind. Jede:r sollte grundlegend verstehen, was für seine Arbeit im Datenschutz umzusetzen ist. Hier bewegen wir uns allerdings auch in Bereichen, die rechtlich und in der praktischen Umsetzung Neuland sind.
Im Rahmen des Projekts ist ein Datenschutzgutachten entstanden. Wie sah hier das Vorgehen aus? Wie habt ihr das Gutachten vorbereitet und anschließend umgesetzt?
CL: Dass ein Rechtsgutachten hilfreich sein würde, war schnell klar: Wirklich umfassende rechtliche Erörterungen zum Thema Learning Analytics gibt es nur wenige und der Hochschulbereich berührt viele verschiedene rechtliche Bereiche. Ebenfalls war schnell klar, dass es unterschiedliche Möglichkeiten der rechtlichen Ausgestaltung gibt – jeweils mit eigenen Vor- und Nachteilen. Für uns war die größte Herausforderung, zunächst die Frage zu formulieren. Die ist dann auch etwas länger geworden: Sechs Seiten hatte der Fragenkatalog, in dem wir in acht Fragenkomplexen und mit drei möglichen Einsatzszenarien am Ende unsere Kernfrage untergebracht haben.
KUL: Bereits die Vorbereitungen für ein solches Rechtsgutachten sind enorm und für den Erfolg entscheidend: Wer die Fragen unspezifisch stellt, erhält Antworten wie „das kann man so und so sehen“. Dafür können die Autor:innen des Gutachtens dann wenig, weil die Frage nicht ausgearbeitet war. Das lässt sich natürlich nie ganz vermeiden. Aber wir wollten auch Fragen adressieren, die aus der Praxis heraus entstanden sind.
CL: Das waren u. a. Fragen, die sie sich konkret in der Bearbeitung der Teilprojekte gezeigt haben oder in Gesprächen mit diesen aufkamen. Wir haben natürlich auch im Vorfeld recherchiert und uns mit den Kolleg:innen an anderen Hochschulen in NRW abgestimmt.
Könnt ihr das Gutachten bzw. das Ergebnis kurz zusammenfassen?
KUL: Das ist nicht einfach, weil die Fragen jeweils für sich stehen und die Antworten nicht unkomplex sind. Eine einfache Zusammenfassung fällt da schwer. Das Gutachten gibt aber v. a. rechtliche Hinweise, die von den rechtlichen Pflichten und hochschulrechtlichen Ordnungen der einzelnen Hochschulen bis hin zu Empfehlungen an den Landesgesetzgeber vieles in den Blick nehmen.
CL: Das wichtigste Ergebnis ist sicherlich erst einmal, Learning Analytics ist möglich. Als Rechtsgrundlage für die Verarbeitung kommen die freiwillig erteilten Einwilligungen der Studierenden in Frage oder alternativ können Hochschulen eigene „Ordnungen” erlassen auf die der Betrieb von Learning Analytics datenschutzrechtlich gestützt werden kann. Beides ist nicht einfach umzusetzen. Die Autor:innen, Christian Geminn, Paul Johannes, Maxi Nebel, Tamer Bile, haben dafür aber Vorlagen erarbeitet die als Ausgangspunkte genutzt werden können.
CL: Die Umsetzung an einer Hochschule hängt aber nicht nur vom Recht ab, sondern auch davon, wofür und wie die Hochschulgemeinschaft Learning Analytics nutzen will. Das ist ja auch ein Thema in KI:edu.nrw.
Warum wurde das Gutachten erstellt? Welchen Nutzen erhofft ihr euch davon?
CL: Wir hoffen, dass wir mit dem Gutachten die Beratung zum Thema Learning Analytics besser begründen und dabei helfen können, das Vorgehen in NRW zu vereinheitlichen. Nicht zuletzt fordert das Gutachten von der Legislative konkretere Regelungen für den Einsatz von Learning Analytics (und auch die Grenzen). In dem Bereich geht die Diskussion erst los.
KUL: Es geht bei einem solchen Gutachten auch um einen gewissen unabhängigen rechtlichen Blick, der sich von den lokalen, manchmal politisch geprägten Wünschen, aber auch von einfachen Meinungen sorgsam begründet abhebt und Wege, aber auch Grenzen aufzeigt. Ich glaube, hier leistet das Gutachten einen guten Startpunkt für die Diskussion und die weitere Entwicklung.
