Bei diesem Beispiel entstehen gleich mehrere Schwierigkeiten:

Zum einen geben die Schüler:innen auf der virtuellen Pinnwand ihre Personendaten bekannt, indem sie einen Steckbrief anfertigen. Die Schule muss sicherstellen, dass die virtuelle Pinnwand über ein angemessenes Datenschutzniveau verfügt. Dazu muss die Lehrperson respektive die Schule eine Risikoabwägung vornehmen und prüfen, ob der Onlinedienst die Anforderungen hinsichtlich des Datenschutzes erfüllt. Dies ist notwendig, weil die Schule ihre Pflichten in Bezug auf Datenschutz und Informationssicherheit auch dann wahrnehmen muss, wenn die Daten ausgelagert werden (mehr dazu siehe unten).

Problematisch ist ausserdem die Publikation dieser Steckbriefe im Internet. Zum Schutz der Schüler:innen dürfen persönliche Daten wie Name, Vorname, Hobby, Adressen, Geburtsdatum usw. für Aussenstehende niemals zugänglich sein. Die Inhalte dürfen ausserdem nicht von Suchdiensten indiziert und über Suchmaschinen auffindbar sein. Da das Risiko besteht, dass durch automatisches Crawling und Indexieren auch kryptisch erscheinende Links durch Suchmaschinen erfasst werden, sollte der Zugang nur über einen individuellen Usernamen und ein sicheres Passwort möglich sein.

Auch so bleiben datenschutzrechtliche Problematiken bestehen, haben doch Familienangehörige von Schüler:innen kein Anrecht darauf, Daten, besondere Personendaten oder gar Persönlichkeitsprofile einsehen zu dürfen.

Aufgrund der vielen Personendaten, die bei einem Steckbrief preisgegeben werden, kann also nicht einfach ein beliebiges Tool eingesetzt werden. Wesentlich unproblematischer ist dagegen die Vorbereitung einer Präsentation, wofür die Schüler:innen ausschliesslich Sachdaten aufbereiten und in einer Onlinepräsentation zusammenstellen. Dabei gilt es allerdings das Urheberrecht zu berücksichtigen (vgl. Kap. 2).

Aus informatischer Sicht handelt es sich bei Daten um digitale Repräsentationen von Informationen, die von Computern gelesen und bearbeitet werden können. Daten werden einerseits zwischen Nutzer:in und Computer ausgetauscht, zum Beispiel wenn wir einen Post in einem sozialen Netzwerk schreiben oder unsere Adresse bei einer Bestellung ins Formular des Onlineshops eintragen. In diesen Fällen geben wir Daten bewusst bekannt. Andererseits können Daten auch unter Computern gänzlich ohne Zutun von Benutzenden ausgetauscht werden. Dies geschieht zum Beispiel, wenn ein Smartphone selbstständig ein Software-Update vom Server herunterlädt oder wenn ein Endgerät beim Aufruf einer Website seine IP-Adresse (die eindeutige Adresse eines Gerätes im Internet) an den Webserver übermittelt.

Die wenigen Beispiele zeigen bereits, wie unterschiedlich Daten und deren Bearbeitung sind. Allerdings wird auch deutlich, dass Betreiber von Websites und Plattformen einiges über die Nutzenden erfahren. Aus Sicht der Nutzenden lässt sich zwischen Daten unterscheiden, die Menschen bewusst produzieren und auf Websites preisgeben, und solchen, die für Nutzende unsichtbar im Hintergrund an die Betreiber von Websites übermittelt werden.

Um einen Cloud-Service datenschutzkonform in der Schule einsetzen zu können, bedarf es einer umfassenden Risikoanalyse. Es gilt zu prüfen, ob die Sensitivität der Daten und die damit verbundenen Risiken und Massnahmen es überhaupt erlauben, die Daten in die Cloud auszulagern. Falls dies bejaht wird, so kann der Schutzbedarf bestimmt werden. Ob dann der Anbieter eines Cloud-Dienstes die Anforderungen erfüllt und der Cloud-Dienst somit eingesetzt werden kann, hängt massgeblich davon ab, welche Sach- und/oder Personendaten bearbeitet werden sollen. Werden beispielsweise besondere Personendaten der Schüler:innen bearbeitet, so sind die Anforderungen höher und es müssen umfangreichere Massnahmen zur Gewährleistung der Sicherheit getroffen werden, als dies bei Personen- und Sachdaten der Fall wäre.