Aussagen der Thüringer Aufsichtsbehörde zu Plattformen und schulischer Nutzung

Nach eigenen Aussagen des Thüringer Landesbeauftragen für Datenschutz und Informationsfreiheit in Interviews erhielten Schulleitungen von ihm im Laufe der vergangenen Monate in mehreren Schreiben Informationen zur datenschutzrechtlichen Einschätzung von verschiedenen Plattformen und Apps durch seine Behörde bezüglich der Nutzbarkeit in Schule. In den Schreiben wurde die Antworten auf verschiedene Anfragen, die zu diesem Thema an die Aufsichtsbehörde gegangen waren, zusammengefasst. Wie Table Bildung in einem Beitrag im Newsletter vom 08.11.2021 wissen ließ, wurde alle Schreiben der Aufsichtsbehörde im Rahmen einer Anfrage auf der Grundlage des Informationsfreiheitsgesetzes Thüringen von Frag den Staat mit Datum vom 19.10.2021 veröffentlicht. In den insgesamt 10 Schreiben stellt die Aufsichtsbehörde den Schulleitungen des Bundeslandes neben den Einschätzungen bezüglich einer unterrichtlichen Nutzbarkeit weitere Informationen bereit. Dabei geht es auch um Videokonferenz Plattformen. In einem ersten Schreiben ging die Aufsichtsbehörde im Januar auf Anfragen zu Instagram, Padlet und Anton App ein. Nach weiteren Anfragen ging den Schulen mit Datum vom 17.03.2021 eine deutlich umfangreichere Liste zu. Keine Bedenken sah man bei Sdui, Dudle, oonco, LearningApps, LearningView.org, EduPage und Teamviewer. Bei einigen der Anbieter hatte die Aufsichtsbehörde allerdings Anmerkungen, etwa zum Vertrag zur Auftragsverarbeitung. Bedenken äußerte die Aufsichtsbehörde bezüglich Office 365, Zoom, sofatutor, YouTube, kialo-edu.com, Duolingo, Quizlet, schooltogo.de, schlaukopf.de, frustfrei-lernen.de und quizacademy.de, wooclap, teachermade.com, G Suite for Education, EdHu.school, onlilo.de, serlo.org, Adobe.scan, Instagram, Facebook und WhatsApp. Die Aufsichtsbehörde erhielt auch wiederholte Anfragen zu datenschutzfreundlichen YouTube Alternativen und äußerte sich dazu in einem Schreiben vom 27.04.2021. Betrachtet wurden dort drei Plattformen, mundo.schule, planet-schule.de und wirlernenonline.de. Nur bei letzterer Plattform sah die Aufsichtsbehörde keine Bedenken für eine schulische Nutzung. In einem Schreiben vom 02.06.2021 erfuhren die Schulleitungen, dass einige der Anbieter, bei denen die Aufsichtsbehörde zuvor Bedenken geäußert hatte, nachgebessert hatten. Die Aussagen zu quizacademy.de wurden angepasst, da man sich bei der Aufsichtsbehörde wohl nicht im Klaren gewesen war, dass der deutsche Anbieter nichts mit quizacademy.org zu tun hat.

Bewertung

Die Schreiben der Aufsichtsbehörde sind für jeden interessant, der sich mit der Frage beschäftigt, welche Plattformen mit Blick auf Datenschutz im Unterricht genutzt werden können. Aus den verschiedenen Schreiben lassen sich auch die Kriterien ableiten, anhand derer die Aufsichtsbehörde Plattformen und Apps hinsichtlich ihrer Eignung bewertet. Man schaut beispielsweise darauf,

• ob die Datenschutzerklärung Mängel erkennen lässt: ist sie unvollständig oder weist Datenverarbeitungen aus, die nicht DS-GVO konform sind, ist das ungünstig, 
• in welchem Land die vom Anbieter und seinen eigenen Unterauftragnehmern eingesetzten Server stehen: Server in den USA, außerhalb der EU bzw. des EWR (Drittstaaten Transfers) sind ungünstig,
• aus welchen Ländern die Anbieter und deren eigene Unterauftragnehmer kommen: US Anbieter und Anbieter von außerhalb der EU/ des EWR sind ungünstig,
• ob Analyse-Tools eingesetzt werden und welche dieses sind: Google-Analytics und vergleichbar sind ungünstig, auch open-source Tools wie Matomo können ungünstig sein, wenn der Anbieter sie auf der Grundlage von berechtigten Interessen (Art. 6 Abs. 1 lit. f DS-GVO) für eigene Zwecke einsetzt; fließen Daten an Facebook oder Twitter ab, ist das ungünstig,
• ob und welche Cookies gesetzt werden: technisch notwendige Cookies sind OK, Cookies, über die Nutzerverhalten analysiert und Nutzer getrackt werden, sind ungünstig, 
• ob Drittanbieter Tools/ Tracker/ Werbeanbieter zum Einsatz kommen und ob diese durch Nutzer deaktiviert werden können: lässt sich bzw. Google-Analytics deaktivieren, ist das vertretbar; setzen Drittanbieter Tools bereits Cookies und greifen Daten ab, bevor die Cookie Einstellungen getätigt werden, ist das ungünstig, 
• ob ein Vertrag zur Auftragsverarbeitung (AVV) angeboten wird: je nach Plattform und Nutzungsszenario kann das Fehlen eines AVV für die Nutzung in Schule ungünstig sein, 
• ob der Vertrag zur Auftragsverarbeitung (AVV) für Schulen nutzbar ist: es kann erforderlich sein, dass Schulen dem Anbieter einen eigenen AVV vorgeben.

Auch Aufsichtsbehörden kochen nur mit Wasser, wie man sieht. Für eine schnelle Analyse nutzt man beispielsweise Webbkoll DataSkydd und empfiehlt Schulen dieses für eigene Prüfungen. In einem der Schreiben, es geht um Padlet, schickt man Schulen gar ein PDF des Analyseergebnisses von Webbkoll Dataskydd. Nicht erwähnt werden hier jedoch die Grenzen, welche dieses sehr gute Tool hat. Es lassen sich nur schwierig Aussagen treffen, wenn die eigentliche Plattform hinter einem Login liegt und auch Apps können damit nicht getestet werden. Hinzu kommt, dass auch der Analyse von Serverstandorten Grenzen gesetzt sind, wenngleich die meisten Angaben zutreffend sind. Mehr zu diesem Thema findet sich auf der Seite Datenschutz Check im unteren Bereich. Manche der von der Thüringer Aufsichtsbehörde bewerteten Anbieter kann man sicher noch etwas differenzierter betrachten. Ich persönlich würde nicht mit jeder Bewertung übereinstimmen. Einige der deutschen Anbieter könnten in der Zwischenzeit außerdem nachgebessert haben. Wo die Aufsichtsbehörde empfiehlt, die vom Anbieter vorgegebenen AVV abzulehnen, wäre ein von der Aufsichtsbehörde oder dem Schulministerium entworfener passender AVV für die Schulen sicherlich hilfreich.