Online-Klausuren: Überwachung und Datenschutz

Wenn Studierende Klausuren daheim schreiben, sorgt eine Überwachungssoftware dafür, dass nicht geschummelt wird. Doch sind solche technischen Methoden bei Online-Klausuren rechtens?

Die Corona-Situation zwingt Hochschulen, ihren Vorlesungs- und Prüfungsbetrieb umzustellen. Lehrveranstaltungen finden nicht im Hörsaal, sondern als Videokonferenz statt, und Prüfungen absolvieren Studierende aktuell häufig zu Hause. Spezielle Software soll sicherstellen, dass dabei für alle die gleichen, fairen Bedingungen herrschen.

Bei den meisten Online-Klausuren erhalten die Studierenden in Learning-Management-Systemen wie Moodle Zugang zu den Aufgaben oder sie bekommen ein Aufgabenblatt per Mail zugeschickt. Die Prüfung muss auch von zu Hause aus innerhalb einer vorgegebenen Zeit absolviert werden – wie bei Präsenzklausuren üblich. Dafür kommt sogenannte Proctoring-Software zum Einsatz, die den Start und das Ende der Prüfungszeit kontrolliert und außerdem den Prüfling überwacht.

Wie dabei Daten gewonnen und ausgewertet werden, variiert je nach verwendeter Software. So müssen Prüflinge beispielsweise ihren Personalausweis in die Kamera halten, um sich zu identifizieren, den Raum, in dem sie die Prüfung schreiben, rundum filmen oder mittels Webcam und Mikrofon die Prüfungssituation aufzeichnen. Die Auswertung erfolgt dann live oder durch Betrachten einer gespeicherten Aufzeichnung – entweder durch einen Mitarbeiter der Universität oder automatisch per KI.

Wir berichteten bereits über Möglichkeiten Software auf DSGVO-Konformität zu prüfen. Im Fall der Online-Klausuren sind Programme besonders umstritten, die eine Überwachung in Echtzeit durch eine KI vornehmen und dabei Bewegungen und Geräusche der gefilmten Person analysieren. Dass sich dadurch so manch einer übermäßig observiert fühlt, liegt auf der Hand. Wer sich bereits bei einem kurzen nachdenklichen Blick durch das Zimmer eines Betrugsversuchs verdächtig fühlt – schließlich könnte die Software dann einen Spicker an der gegenüberliegenden Wand vermuten –, der kann sich verständlicherweise schlechter konzentrieren.

Universitäten haben nicht nur ein großes Interesse an, sondern eine Pflicht zur Gleichbehandlung der Studierenden, auch im Rahmen von Prüfungen. Der prüfungsrechtliche Grundsatz der Chancengleichheit entspringt dem Grundgesetz, wie auch das Bundesverfassungsgericht bestätigt hat. Dieser Grundsatz setzt unter anderem voraus, dass jeder Prüfling zur Lösung einer Klausur nur die zugelassenen Hilfsmittel nutzt – das muss die Hochschule sicherstellen beziehungsweise prüfen. Doch auch Studierende sind vom Grundgesetz nicht schutzlos gestellt: Das Recht auf informationelle Selbstbestimmung hat ebenfalls Verfassungsrang. Wer gleiche Bedingungen will, muss sich überwachen lassen? So einfach ist das nicht.

Online-Klausuren und das Recht auf Selbstbestimmung

Das Recht auf informationelle Selbstbestimmung, aus der sich die modernen Datenschutzregeln ableiten, gewährt jedem, selbst darüber zu entscheiden, was mit seinen Daten geschieht. Art. 6 Absatz 1 a) der Datenschutzgrundverordnung (DSGVO) gestattet einem Verantwortlichen – in diesem Fall der Universität – nur dann personenbezogene Daten von Betroffenen – den Studierenden – zu verarbeiten, wenn eine informierte Einwilligung der Betroffenen vorliegt.

Besteht die Lösung also darin, Prüflinge mit Einwilligungserklärungen zu bombardieren, die sie oft ungelesen unterschreiben oder wegklicken dürften? Auf den ersten Blick scheint dies zu genügen, um eine Proctoring-Software rechtssicher einzusetzen. Aber eine Einwilligung muss freiwillig erteilt werden. Und inwiefern dies im Fall der Online-Klausuren überhaupt möglich wäre, ist zumindest fraglich. Als Alternative bleibt den Studierenden schließlich nur, die Prüfung nicht anzutreten, und ob sie im nächsten Semester als Präsenzklausur nachgeholt werden kann, ist ungewiss.

Selbst wenn es alternative Angebote gäbe, zum Beispiel Präsenzklausuren mit wenigen Prüflingen und großen Sicherheitsabständen, wären die Studierenden einem erhöhten Infektionsrisiko ausgesetzt. Insbesondere für Menschen aus einer Risikogruppe ist das keine wirkliche Alternative. Solange Studierende vor die Wahl gestellt werden, eine Einwilligung zu erteilen oder sich erheblichen Nachteilen auszusetzen, kann von Freiwilligkeit nicht die Rede sein.

Für die Universitäten ist das Einholen einer Einwilligung kein sonderlich praktisches Mittel. Es ist mit einem hohen bürokratischen Aufwand verbunden, da die Einwilligung von jedem Prüfling schriftlich vorliegen muss: Sollte es zu Meinungsverschiedenheiten kommen und ein Fall schließlich bei Gericht landen, so trägt die Universität die Beweislast der ordnungsgemäßen Einwilligung – die zudem jederzeit von dem Studierenden widerrufen werden kann.

Öffentliches Interesse

Die DSGVO gestattet jedoch in Art. 6 eine Datenverarbeitung auch ohne eine Einwilligung der Betroffenen. Der Verantwortliche kann etwa mit gutem Gewissen loslegen, wenn die Verarbeitung zur Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt. So zumindest Art. 6 Absatz 1 e) der DSGVO. Zuvor muss der Gesetzgeber dafür aber eine konkrete Rechtsgrundlage schaffen. In diesem Fall besser: die Gesetzgeber – denn das Hochschulrecht ist Ländersache.

So kann beispielsweise in Niedersachsen der Paragraf 17 des Niedersächsischen Hochschulgesetzes (NHG) („Verarbeitung personenbezogener Daten“) als eine solche Ermächtigungsnorm gesehen werden. In ihm steht, in welchen Fällen Hochschulen personenbezogene Daten von Studierenden verarbeiten dürfen und welche Voraussetzungen es dafür gibt. Allerdings bedarf es auch hier noch weiterer Arbeit der Gesetzgeber, denn § 17 NHG ermöglicht lediglich die Verarbeitung personenbezogener Daten zur Teilnahme an einer Klausur, sofern die jeweilige Hochschule dies in einer (Hochschul-)Ordnung festgelegt hat. Mit § 17 NHG allein ist es also noch nicht getan.

Selbst wenn eine Rechtsgrundlage für die Datenverarbeitung im öffentlichen Interesse vorliegt, sind die Schäfchen rechtlich noch nicht im Trockenen. Denn jede dieser Rechtsgrundlagen muss sich zusätzlich am Prinzip der Verhältnismäßigkeit messen lassen, also einen angemessenen Ausgleich der widerstreitenden Interessen – Prüflinge vs. Universität – gewährleisten. Hier kommen die unterschiedlichen Techniken der Proctoring-Programme ins Spiel.

Vor allem eine Aufzeichnung und Speicherung des Audio- und Videomaterials von Online-Klausuren mit einer automatisierten Auswertung wird unter dem Aspekt der Verhältnismäßigkeit gerichtlich kaum eine Chance auf Bestand haben. Dass automatisierte Entscheidungen, die von Computern getroffen werden, oft problematisch sind, zeigt etwa der Fall des amerikanischen Studenten Areeb Khan. Dieser konnte sich via Gesichtserkennung nicht in der Prüfungssoftware seiner Hochschule einloggen, da es laut Software „zu dunkel“ sei und sie „kein Gesicht erkennen könne“. Er suchte daraufhin hellere Orte in seiner Wohnung und versuchte schließlich die Klausur vom Badezimmer aus zu schreiben – vergeblich. Der dunkelhäutige Khaan vermutete eine Diskriminierung seitens der Software aufgrund seiner Hautfarbe. Erst einige Tage später und nach langen Telefonaten mit dem Kundensupport konnte er an der Prüfung teilnehmen.

Die Überwachung mittels Audio und Video durch Menschen in Echtzeit stellt im Regelfall eine verhältnismäßige Methode dar – das hängt aber am Ende auch von der jeweiligen Universität ab. Es muss immer im Auge behalten werden, dass die Prüfungssituation nicht erheblich belastender sein sollte als die in einer regulären Präsenzklausur. Konnten solche klassischen Klausuren immer mit zumindest hinreichender Fairness bestritten werden, muss nicht plötzlich jeder einzelne Prüfling einen persönlichen fiktiven Überwacher vor der Nase haben, nur weil es technisch möglich ist.

Ein weiteres Hindernis stellt der Einsatz von Proctoring-Software ausländischer Anbieter dar. Nachdem der EuGH den Privacy Shield zur Übertragung von Daten in die USA im Sommer dieses Jahres gekippt hat, müssten nun vor dem Einsatz der Software eines Herstellers aus den USA sogenannte Standardvertragsklauseln geschlossen werden. Aber auch dann – oder sogar bei einem Drittland im Sinne des Art. 45 DSGVO mit im Vergleich zur EU gleichwertigem Datenschutzniveau – dürfte sich eine Universität, die die erhobenen Daten durch Dritte verarbeiten lässt, auf rechtlich dünnem Eis bewegen. Oft ist schließlich gar nicht bekannt, was der Anbieter der Software überhaupt so alles mitbekommt. Universitäten sind also gut beraten, auf eine saubere Vertragslage mit den Anbietern und angemessenen Schutz personenbezogener Daten zu achten.

Fazit

Auch wenn Proctoring-Software umfassende Überwachungsfunktionen bietet, ist sie nicht per se unzulässig. Allerdings bedarf es einiger Regelungen, um eine tatsächlich rechtssichere Anwendung zu erreichen. Studierende sollten sich nicht abschrecken lassen, sondern die Mechanismen der Software hinterfragen und bei invasiven Methoden an die Verantwortlichen der jeweiligen Universität herantreten. Gemeinsam kann es gelingen, sinnvolle und faire Umsetzungsmöglichkeiten für Online-Klausuren zu finden.

Umstritten werden die Programme bis auf Weiteres bleiben, wie aktuelle Klagen in den Niederlanden oder auch die nicht neue Problematik rassistischer KI zeigen.

Teile dieses Beitrages wurden erstmals veröffentlicht auf Heise Online, heise online ist eine seit 1996 bestehende Nachrichten-Website des Heise-Zeitschriften-Verlags.