Ende Juni 2022 stellte die LDI NRW ihren Tätigkeitsbericht für das vorangegangene Jahr 2021 vor. Im Bericht, der als PDF verfügbar ist, geht es auch um das Thema Schule. Neben Gerichtsentscheidungen und Veröffentlichungen der LDI NRW im Zusammenhang mit der Corona Pandemie sind hier die Aussagen zu der während der Pandemie sehr häufig genutzten US Plattform Padlet von Interesse. Es wird festgestellt, dass eine Nutzung von Padlet an Schulen nicht datenschutzgerecht möglich ist. Die Gründe dafür werden anschließend detailliert. Padlet wird von Wallwisher, einem US Unternehmen betrieben, Nutzerdaten in den USA verarbeitet. Hinzu komme – „Zum anderen ist auch der Einsatz diverser Cookies und Tracker auf „Padlet“-Seiten bedenklich, der offenbar ohne vorherige Einwilligung erfolgt. Hinzu kommt, dass dadurch über Indicative, Google Analytics und Google Tag Manager Datenflüsse an Firmen möglich sind, die ebenfalls Daten in nicht-EU/EWR-Staaten, insbesondere in die USA, übermitteln. Wir gehen davon aus, dass die Schulen keine Möglichkeit haben,
die ungesicherten Datenübermittlungen in Drittstaaten und Trackingfunktionen zu unterbinden.“ Zu weiteren Datenabflüssen könne es kommen, wenn externe Inhalte wie YouTube Videos in ein Padlet eingebunden werden. Wallwisher gebe außerdem an Nutzerdaten an Dritte weiterzugeben.
Bezüglich der Nutzung von Padlet macht die LDI NRW den Schulen keinen Vorwurf, denn „Viele Schulen gingen davon aus, dass sie die Plattform „Padlet“ bedenkenlos einsetzen konnten, weil das Schulministerium NRW und die ihm nachgeordneten Behörden Hinweise auf bestehende „Padlets“ gegeben haben oder selbst „Padlets“ veröffentlichten.“
Der Beitrag zu Padlet endet mit einer Aufforderung:
„Die Schulen sind aufgefordert, den nicht datenschutzgerechten Einsatz der Plattform „Padlet“ zu unterlassen.“
und dem Hinweis, dass den Schulen mittlerweile datenschutzfreundlichere Alternativen zur Verfügung stünden.
Bewertung
Die LDI NRW ist nicht die erste Aufsichtsbehörde, welche feststellt, dass die Nutzung von Padlet in der Schule datenschutzrechtlich problematisch ist. Ihre Aufforderung am Ende bedeutet jedoch nicht, dass Schulen Padlet gar nicht mehr nutzen können. Sie sollen den „nicht datenschutzgerechten Einsatz“ unterlassen. Damit ist es durchaus noch möglich, Schülerinnen und Schüler ein Padlet aufrufen zu lassen, wenn dieses an einem schuleigenen Gerät in der Schule erfolgt, die Schüler dabei nicht an anderen nichtschulischen Plattformen eingeloggt sind und auch keine persönlichen Inhalte einbringen. Wenn eine Grundschule beispielsweise einen iPad Koffer nutzt und Schüler von den unpersonalisierten Geräten aus ein Padlet aufrufen, um ein Thema zu erkunden, dann fallen dabei keinerlei personenbezogene oder -beziehbare Daten an. Schulen, die eine Lizenz erworben haben, die noch Laufzeit hat, können Padlet deshalb durchaus noch in der beschriebenen Art und Weise nutzen. Danach empfiehlt es sich jedoch, die Plattform zu wechseln. Wer sich mit Padlet angefreundet hat, könnte auf Taskcards wechseln, wie viele Schulen dieses bereits getan haben. Teils erwerben hier Schulen selbst Lizenzen oder der Schulträger. In einigen Kommunen erwerben die Medienzentren Lizenzen und teilen den Lehrkräften ihrer Schulen Zugänge zu.
Hinweis: „nicht datenschutzgerecht“ ist der Einsatz von Padlet, wenn er
- über privaten Endgeräte erfolgt oder
- über private Internetzugänge, etwa von zu Hause aus oder über Endgeräte mit Internetverbindung über Mobilfunk oder
- außerhalb des Standortes Schule oder
- von Geräten aus, die von Schülern auch für private Zwecke genutzt werden und
- wenn bei der Nutzung persönliche Inhalt eingebracht werden.
Unter allen diesen Bedingungen fallen bei der Nutzung von Padlet personenbezogene oder -beziehbare Daten an, welche es Padlet und den eingesetzten Dienstleistern ermöglichen, die Nutzer identifizierbaren Personen zuzuordnen. Padlet ist von daher nicht geeignet für Distanzunterricht, wenn es wieder solchen geben sollte. Hier muss auf Alternativen gesetzt werden.