SchoolFox – Messenger und mehr

Lesezeit: 7 Minuten
Hinweis: Dieser Datenschutz-Check wurde am 12.06.2021 noch einmal überarbeitet, nachdem einige Funktionen mit weiteren Möglichkeiten erneut überprüft werden konnten. Einige der zuvor beschriebenen Beobachtungen – Einwilligung in die Datenverarbeitung durch den Anbieter und Anmeldung für einen Newsletter sowie eine umfangreichere Datenschutzerklärung des Anbieters sind jetzt nicht mehr vorhanden. Die Angaben wurden entsprechend angepasst.

Beschreibung

SchoolFox ist ein Schulmessenger, der je nach Version zusätzliche Funktionen wie Cloud-Speicher, Gruppen Diskussionen, Hausaufgaben, Stundenplan, Notfallnachrichten, Meldung von Absenzen, Organisation von Schulterminen, einen digitalen Assistenten, digitale Unterschriften und Videokonferenzen einschließt. Die Funktion für Mitteilungen lässt es zu, dass Eltern bzw. Schüler um eine Antwort gebeten werden, um Beantwortung einer Umfrage und um Zusage einer Teilnahme. Besonders beliebt bei Schulen in deren Einzugsgebieten es viele Elternhäusern mit Migrationshintergrund gibt, ist die Funktion zum Versenden von Nachrichten in 40 Sprachen. SchoolFox kann über den Browser genutzt werden. Ergänzend gibt es Apps für iOS und Android. Die Android Version kann auch als APK geladen werden, was für Personen interessant ist, die z.B. FDroid nutzen oder das App über ein MDM verteilen wollen. Nach eigenen Angaben wird die Plattform zur Zeit von 5.000 Einrichtungen genutzt.

Schoolfox gibt es in einer kostenlosen, im Funktionsumfang eingeschränkten Version (Basic) und in einer kostenpflichtigen Version (Plus). Worin die Versionen sich unterscheiden, wird unter SchoolFox PLUS für Ihre Schule erklärt. Für beide Versionen bietet der Anbieter einen Vertrag zur Auftragsverarbeitung an. Dieser ist unter AVV_Muster_Fox.pdf einsehbar.

Die Nutzung von SchulFox durch Lehrkräfte erfolgt über eine Einladung per E-Mail durch den schulischen Administrator. Auch bei Schülern und Eltern wird ein ähnliches Verfahren genutzt. Lehrkräfte legen ihre Schülerinnen und Schüler und Eltern in ihren Klassen an. Liegen die Nutzer bereits im System vor, können die eingetragenen Schüler und Eltern mit diesen verbunden werden. Handelt es sich um neue Schüler oder Eltern, wird ein Einladungsschreiben mit einem nutzerspezifischen Code erstellt. Mit diesem können die Schüler und Eltern sich an SchoolFox anmelden, ein Passwort setzen und ihr Profil ergänzen. Ergänzt werden können Kontakt- und Notfallinformationen. Lehrkräfte können Eltern  anschließend direkt über das App über die in den Notfallinformationen hinterlegte Telefonnummer anrufen. Weitere Informationen zu den Leistungen von SchoolFox finden sich in den Allgemeinen Nutzungsbedingungen.pdf.

Datenschutz, Sicherheit

Serverstandort, Anbieter

SchoolFox ist ein österreichischer Anbieter mit Sitz in Wien und Berlin. Gegenwärtig nutzt man für die Bereitstellung des Angebotes Server der Link11 GmbH aus Frankfurt a.M.. Es scheint jedoch Pläne zu geben, zum deutsch-österreichischen Cloud-Anbieter Exoscale zu migrieren.1Siehe https://www.hannovermesse.de/apollo/hannover_messe_2021/obs/Binary/A1085066/Innovator%20Pioneers%20References%20Cloud%20%281%29.pdf, Seite 23ff. Schoolfox besteht in der jetzigen Rechtsform seit 2017. Gegründet wurde das Unternehmen bereits 2015. Ein Jahr später, 2016, konnte die App als Datensammler den BigBrotherAward Österreich mitnehmen. Das war vor der DS-GVO und seither hat sich einiges getan, darf man annehmen.

Auf der Browser Anmeldeseite zu SchoolFox setzt man auf Module des US Anbieters Teleric.com, um die Seite als responsive Web App zu gestalten. Dabei fließen Nutzerdaten an den US Dienstleister2Über kendo.cdn.telerik.com ab, zumindest die IP Adresse. Da das Modul auch dafür sorgt, dass die im Browser des Nutzers voreingestellte Sprache angezeigt wird, dürften dabei auch weitere Browserdaten an den Anbieter fließen. Telerik kommt auch zum Einsatz, wenn Nutzer Mitteilungen in der Plattform als PDF herunterladen. Bei der Übersetzung von Mitteilungen in der Plattform ist Telerik nicht nachweisbar. Das scheint direkt über die Server von SchoolFox und nicht im Browser abzulaufen. Es ist aber zu vermuten, dass dafür der gleiche Anbieter zum Einsatz kommt.

Datenschutzerklärung

In der Datenschutzerklärung für die App wird in einfacher Sprache, unterstützt durch Grafiken erklärt, welche Datenschutzprinzipien für das Angebot gelten: Privacy by Design, kein Geld mit Werbung, Server in der EU und vertrauensvolle Partner. Letzteres meint von SchoolFox beauftragte Dienstleister. Unter „Alle Infos zur DS-GVO“ gibt man weitere Informationen zum Datenschutz. Man betont ausdrücklich, DS-GVO konform zu sein und hat sich sogar einer Prüfung (Audit) unterzogen. Nach dieser Prüfung durch AppVisory, welche sich auf die iOS (Version 3.0.1) und Android (Version 3.2.0) Apps bezieht, erhalten diese das TRUSTED APP SIEGEL.3Die Apps liegen aktuell im Juni 2021 in Version 5.4.0 (Android) vor und in Version 5.4.0 (iOS). Demnach gilt:

  • Verschlüsselte Übermittlung sensibler und vom Nutzer bestätigter Daten
  • Authentifizierte Empfänger der übermittelten Daten
  • gesetzliche Datenschutz- und Datensicherheitsrichtlinien werden eingehalten
  • DSGVO-konforme Datenverarbeitung bestätigt
  • Sichere Datenspeicherung auf dem Device
  • geprüfe AGB und Datenschutzerklärung

Ergänzend zur sehr stark vereinfachten Datenschutzerklärung finden sich weitere Informationen auf einer umfangreichere Datenschutzseite, die speziell für Deutschland gilt. Dort sind die Datenschutzinformationen als Tabelle dargestellt mit einer ausführlichen und einer vereinfachten Erklärung.

Die Seite, die am 08.06.2021 noch abrufbar war mit einer PDF Version der umfangreicheren Datenschutzerklärung, scheint mittlerweile nicht mehr vorhanden bzw. man wird umgeleitet auf die oben verlinkte Seite.

Einwilligung

In der Vergangenheit mussten Nutzer bei Erstellung eines Kontos mit einem Code der Schule auch gegenüber dem Anbieter in die Datenverarbeitung einwilligen. Dieses ist mittlerweile nicht mehr der Fall.

Beim ersten Login mit einem Code der Schule über den Browser und App erscheint dort nun als Meldung:

Die Verlinkung verweist auf https://foxeducation.com/schoolfox/datenschutz/ Das entspricht dem, was man erwarten würde.

Newsletter

Die Einwilligung für die Benachrichtigung über Mitteilungen per E-Mail in Ergänzung zu Push Nachrichten im App enthält mittlerweile keine Option mehr zum Erhalt eines Newsletters des Anbieters. Hinweise, dass es diese Funktion gab, finden sich jedoch noch in den PDF Handbüchern für Lehrkräfte und Eltern.

Im Webinterface finden sich davon keine Spuren mehr.

Das ist aus Sicht der Schule auch besser, da so keine rechtlichen Konflikte zwischen Schule und Anbieter entstehen.

Cookies, Tracking

In der Webanwendung von SchoolFox unter https://my.schoolfox.app/ lassen sich ohne Login keine Cookies nachweisen. Der Anbieter gibt in seiner Datenschutzerklärung jedoch an Session Cookies zu verwenden, die auch nachweisbar sind. Außerdem plant er „Partner- und Affiliate-Cookies zu verwenden, sofern ein Nutzer über eine externe Werbefläche auf die Dienste von SchoolFox zugreift.“ und erkärt, dass diese keine personenbezogenen Daten des Nutzers enthalten. Für schulische Nutzer dürften diese Partner- und Affiliate-Cookies nicht relevant sein, da sie in der Regel über ein mobiles App auf die Plattform zugreifen werden oder über die Website des Anbieters selbst.

Diese Cookies dienen der Abrechnung mit dem Kooperationspartner und enthalten keine personenbezogenen Daten des Nutzers.

Bei längerem Login tauchen bei Lehrkräften zwei weitere Cookies auf, die der Domain .telerik.com zugeordnet sind. 4Beide sind ein Jahr lang gültig. Sie haben dem Namen nach etwas mit Einwilligung zu tun: OptanonAlertBoxClosed, OptanonConsent.

Sicherheit

Der Anbieter gibt im Vertrag zur Auftragsverarbeitung an, durch geeignete technische und organisatorische Maßnahmen  für die Sicherheit und den Schutz bei der Verarbeitung von personenbezogenen Daten zu garantieren:

„Der Auftragsverarbeiter erklärt rechtsverbindlich, dass er ausreichende technische und organisatorische Maßnahmen im Sinne des Art. 32 DSGVO ergriffen hat, um ein dem Risiko angemessenes Schutzniveau bei der Verarbeitung personenbezogener Daten zu erreichen und um zu verhindern, dass Daten ordnungswidrig verwendet oder Dritten unbefugt zugänglich werden.“

Man sollte davon ausgehen können, dass die Verarbeitung von personenbezogenen Daten tatsächlich eine ausreichende Sicherheit hat. Die Plattform ist als eine Kommunikationsplattform gedacht und sollte auch nur für allgemeine Inhalte verwendet werden. SchoolFox wird auch damit beworben, dass man statt eines Mitteilungsheftes nun den Messenger hätte und man so Krankmeldungen elektronisch auf das Smartphone oder den Computer schicken könne. Gleichzeitig sagen aber die Datenschutzschutzbestimmungen, dass sensible Daten im Sinne von Art. 9 DS-GVO nicht über das Mitteilungscenter verschickt werden sollen:

„Dem Nutzer ist es untersagt, sensible Daten im Sinne des Art 9 DSGVO (also insbesondere solche über die rassische und ethnische Herkunft, politische Meinung, religiöse oder weltanschauliche Überzeugung, Gesundheit oder das Sexualleben) von sich oder von einem Betroffenen über das Schülerprofil oder das Mitteilungscenter zu teilen.“

Eine einfache Krankmeldung sollte, ohne Angabe von Gründen, kein Problem sein. Atteste sollten jedoch auf keinen Fall über die Plattform übermittelt werden. Genauso ist die Plattform nicht geeignet, Notenlisten oder andere Dokumente der pädagogischen Dokumentation oder aus der schulinternen Verwaltung zwischen Lehrkräften zu übermitteln. Auch der Cloud Speicher sollte nicht für derartige Daten genutzt werden. Die Nutzung ist hier für pädagogische Zwecke ausgelegt.

Vertrag zur Auftragsverarbeitung

Im Vertrag zur Auftragsverarbeitung werden neben den üblichen Angaben im Anhang auch technische und organisatorische Maßnahmen  detailliert. Interessant am Vertrag ist, dass SchoolFox weitere Unterauftragsverarbeiter nur nach schriftlicher Genehmigung des Auftraggebers, also der Schule, einsetzen darf.

„Der Auftragsverarbeiter darf ein anderes Unternehmen als weiteren Auftragsverarbeiter nach Art. 4 Abs. 8 DSGVO nur dann heranziehen, wenn der Auftraggeber dem schriftlich zustimmt (Art. 28 Abs. 2 DSGVO).“

Das ist in sofern interessant als dass die Schule keine Informationen über die aktuellen von SchoolFox beauftragten Auftragsverarbeiter hat. Zumindest werden diese nicht im Vertrag zur Auftragsverarbeitung angegeben, wie er als Muster auf der Website abrufbar ist. Der einzige Auftragsverarbeiter von SchoolFox, über den man etwas erfährt, ist Rapidmail, da er in der Datenschutzerklärung erwähnt wird im Zusammenhang mit der Zustellung von E-Mails und des Newslettern. Fraglich ist, wie der Anbieter eine schriftliche Genehmigung bei 5.000 Kunden umsetzen möchte und welche Folgen es hätte, wenn einige von diesen nicht zustimmten.

Nicht ganz eindeutig ist an der Stelle auch, welchen Dienstleister SchoolFox für die Mehrsprachigkeit des Angebots nutzt. In der Web App wie in den mobilen Apps können Nutzer die Sprache einstellen. In der Regel sorgt dann ein über eine API eingebundener Dienst für eine direkte Übersetzung. Dafür wird der zu übersetzende Text an die Server des Dienstleisters übermittelt, hier Telerik, übersetzt und dann wieder an das App zurückgeschickt. Allem Anschein nach wird Telerik auch genutzt, um weitere Übersetzungsdienste bereitzustellen, etwa die Erstellung von (übersetzten) PDFs. Letzteres scheint jedoch nicht direkt über die Telerik Server zu laufen, sondern über die Server des Anbieters, von wo aus dann vermutlich die Dienste Teleriks aufgerufen werden. Wie dieses genau abläuft, wäre wichtig zu wissen, da die Mitteilungen auch sehr sensible Inhalte haben können, wenn z.B. Eltern solche darüber übermitteln.

Datenschutz Bewertung Übersicht

SchoolFox wird auch von Schulen in Deutschland genutzt. Man verlässt sich auf die Aussagen des Anbieters, DS-GVO konform zu sein. Die in der Vergangenheit recht ungewöhnliche datenschutzrechtliche Konstruktion, dass Nutzer bei der Anmeldung an der Plattform mit einem Code der Schule auch gegenüber dem Anbieter in die Datenverarbeitung einwilligen müssen, ist mittlerweile verschwunden.

Gegen eine Nutzung für die Zwecke, für welche die Plattform gedacht ist, Kommunikation mit Eltern und Schülern und Austausch von Informationen und die Organisation von schulischen Angelegenheiten spricht nichts, solange die Nutzung freiwillig ist und Personen, welche die Plattform nicht nutzen wollen, keine Nachteile daraus entstehen.

Lehrkräfte, Schüler und Eltern sollten vor der Nutzung eingewiesen und auf die vom Anbieter bereitgestellten Informationen aufmerksam gemacht werden. Allen Beteiligten sollte klar sein, wie und wofür die Plattform genutzt werden soll, und vor allem, welche Daten bzw. Informationen nicht darin landen sollten. Sensible personenbezogene Daten, Daten der pädagogischen Dokumentation, also etwa Notenlisten oder Gutachten und Beurteilungen oder der schulinternen Verwaltung sollten nicht in SchoolFox verarbeitet werden.

Schulen, die sich für SchoolFox entscheiden, sollten vom Anbieter eine Liste mit den von ihm beauftragten Auftragsverarbeitern anfordern. Transparenz ist hier wichtig, vor allem, wenn Übersetzungsdienstleistungen von Dritten eingesetzt werden.

Stand 06/2021