Trello – digitales Board – datenschutz-schule.info

Lesezeit: 6 Minuten

Beschreibung

Trello erlaubt die Erstellung von sogenannten Boards. Innerhalb dieser lassen sich Listen erstellen, denen Karten zugeordnet werden, die ihrerseits Text aufnehmen können und Dateien als Anhänge. Dokumente und Bilder können angezeigt werden, Audiodateien lassen sich abspielen. Mitunter wird Trello als eine Alternative zu Padlet angeführt. Boards können privat sein oder öffentlich. Letztere können durch Suchmaschinen wie Google gefunden und indiziert werden. In Trello registrierte Nutzer können zur Mitarbeit eingeladen werden. Das heißt, ohne ein Trello Konto ist keine aktive Mitarbeit an einem Board möglich.

Für die Erstellung eines Kontos sind eine E-Mail Adresse und ein Passwort erforderlich. Zusätzlich können Nutzer sich über bestehende Konten bei Google oder Microsoft anmelden. Nutzer müssen bei Kontoerstellung die Nutzungsbedingungen und Datenschutzrichtlinie akzeptieren “Mit Ihrer Anmeldung bestätigen Sie, dass Sie unsere Nutzungsbedingungen und Datenschutzbestimmungen gelesen und akzeptiert haben.” Angemerkt werden sollte an dieser Stelle auch, dass sich das Angebot nicht an Kinder und Jugendliche unter 16 Jahren richtet. “The Services are not directed to individuals under 16.”¹

Datenschutz, Sicherheit

Serverstandort, Anbieter

Trello ist nur eines von verschiedenen Produkten des US Unternehmens Atlassian, das sich mit seinen Produkten vorwiegend an Unternehmen richtet. Die Server, auf denen Trello und verbundene Dienste laufen, haben ihre Standorte vorwiegend in den USA. Entsprechend hat sich der Anbieter für den europäischen Markt EU-US Privacy Shield zertifiziert, wodurch der Transfer von personenbezogenen Daten zumindest formell DS-GVO konform abgesichert ist. Atlassian bietet Kunden aus der EU ein Data Processing Addendum, welches als PDF heruntergeladen werden kann. Es ist vorunterzeichnet. Im Data Processing Addendum sind die Standard Contractual Clauses (Standardvertragsklauseln) enthalten. Da Trello nur ein Teil der von Atlassian angebotenen Dienste ist, bezieht sich das Data Processing Addendum nicht nur auf Trello alleine.

Cookies, Tracking

Zumindest in der kostenlosen Version ist Trello alles andere als datensparsam. In Datenschutzerklärung werden zahlreiche Dienste beschrieben, sowohl eigene als auch solche von Dritten, über welche Daten der Nutzer erhoben werden. Alleine im Browser werden so bereits ohne Login 69 Cookies angezeigt. Nach Login mit einem kostenlosen Konto und öffnen eines Boards werden daraus 71, zu denen unter anderem Googles Werbenetz Doubleclicknet, Googleadeservices und Facebook gehören. Eine genauere Analyse mit Webbkoll Dataskydd findet 9 Cookies, von denen 8 zu Trello selbst gehören (1st party cookies) und eines zu Google (third party cookie). Es folgt dann eine Auflistung weiterer Tracking Dienste, 30 insgesamt, von denen 23 Trello selbst zuzuordnen sind und 7 Google (u.a. googletagmanager, google-analytics). In der Datenschutzerklärung gibt der Anbieter an, dass man selbst wie auch Drittpartner (meint Werbe- und Analysepartner) Cookies und andere Tracking-Technologien einsetze, um Nutzer über verschiedene Dienste und Geräte hinweg zu erkennen.².

Google-Analytics

Der Einsatz von Google Analytics erfolgt laut Google-Analytics-Prüfung der Uni Bamberg ohne IP Nummern Verkürzung. Im Test kann eine Übermittlung an Google nachgewiesen werden. Allerdings könnte diese nach Benutzeraktionen auf einem Trello Board möglich sein.³

Weitere Informationen zur Datenverarbeitung durch Trello

Atlassian erhebt nicht nur selbst Daten der Besucher und gibt seinen Werbe- und Analysepartnern die Möglichkeit dazu, sondern kombiniert diese Daten mit weiteren Daten aus einer Vielzahl von Quellen. Der Beschreibung in der Datenschutzerklärung nach scheint dieses recht umfangreich zu erfolgen. Es geht dabei nicht nur um die bei fast allen Anbietern übliche Verbesserung des Dienstes, sondern auch um personalisierte Werbung.⁴ Und damit noch nicht genug. Informationen, welche man von Drittanbietern erhalten kann, erstrecken sich sogar auf postalische Anschriften, Telefonnummern und mehr, soweit öffentlich über Websites oder Social Media verfügbar.⁶

Es wird klar, dass Atlassian sehr daran gelegen ist, möglichst viel über seine Nutzer in Erfahrung zu bringen, um höchst persönliche Profile zu erstellen, die dann genutzt werden können, um personalisierte Angebote und Werbung für eigene Dienste erstellen zu können. Dafür bedient man sich Daten, die man selbst erhebt und zu deren Erhebung man Partnern Zugang zu den eigenen Diensten gestattet. Die so erhobenen Daten werden dann mit Daten aus weiteren Quellen kombiniert. Selbst mit einem Fake Account sollte es dem Anbieter bzw. den Partnern so leicht möglich sein, Nutzer zu identifizieren.

Inwieweit zahlende Nutzer hiervon nicht betroffen sind, ist schwierig abzuschätzen, denn im Data Processing Addendum behält man sich vor, die bei der Nutzung der Cloud Dienste des Anbieters erhobenen Daten für “legitime interne Zwecke zu verwenden, wie zum Beispiel …“⁷ Eigentlich sollten Nutzer, deren Organisation das Data Processing Addendum abgeschlossen haben, geschützt sein, da ihre Daten dann nur für Zwecke der Organisation verarbeitet werden dürfen. Das schließt jedoch nicht aus, dass Anbieter Nutzer beim Anlegen oder ersten Login in ihr Konto in einer darüber hinausgehende Datenverarbeitung durch den Anbieter einwilligen lassen. Mangels eines entsprechenden Kontos kann dieses hier nicht überprüft werden.

Hinweise zur Nutzung durch Schulen

Grundsätzliches

Atlassian, der Anbieter von Trello, greift zumindest bei Nutzern mit einem kostenlosen Konto und bei Besuchern eines öffentlichen Boards selbst viele Daten ab und gibt darüber hinaus sogenannten Werbe- und Analysepartnern Zugriff auf die Daten von Nutzern und Besuchern. Das ist nicht unüblich, in Schulen aber doch problematisch, vor allem, wenn ein Anbieter wie Atlassian, dann diese Daten noch mit Daten aus einer Vielzahl von anderen Quellen kombiniert und anreichert, um damit personalisierte Werbung zu erstellen und Nutzern mit einem Konto, weitere eigene Dienste schmackhaft zu machen.

Man sollte eigentlich erwarten können, dass mit einem Bezahl-Konto und Abschluss des Data Processing Addendum keine Erhebung und Verarbeitung von personenbezogenen Daten zu eigenen Zwecken des Anbieters (von Nutzung zur Bereitstellung des Dienstes, Gewährleistung der Sicherheit, … abgesehen) erfolgt, sofern Nutzer diesen nicht zugestimmt haben, da das dem Data Processing Addendum widersprechen würde. Solches wäre jedoch noch zu prüfen. Offen bleibt auch, wie genau Atlassian seine eigenen”legitime Interessen” genau definiert, wenn es um die Einräumung von Nutzungsrechten an den personenbezogenen Daten der Nutzer geht.

Nutzung in der Schule

Bei einer Nutzung mit schulischen Endgeräten und ohne gleichzeitigen personalisierten Login an anderen Online-Plattformen und am Standort Schule, können die im Hintergrund von Trello aktiven Dienste des Anbieters und von Drittanbieten keine für sie verwertbaren Daten erheben. Die Nutzung beschränkt sich dabei jedoch auf reinen Konsum. Eine aktive Mitarbeit an einem Board ist ohne eigenes Konto nicht möglich und die Erstellung eines solchen kommt in Schule nicht in Frage.

Nutzung zu Hause/ auf privaten Geräten/ BYOD

Rufen Schüler von zu Hause aus oder über das Mobilnetz mit ihrem Smartphone ein Trello Board auf, greifen die verschiedenen auf der Seite im Hintergrund laufenden Dienste Daten der Nutzer ab, die diese über Zusammenführung mit eigenen Daten oder solchen aus anderen Quellen identifizierbar machen. Der Aufruf eines Trello Boards kann einer identifizierbaren Person dann recht einfach über Zusammenführung mit Daten aus anderen Quellen zugeordnet werden.

Wenn Schüler ein Trello Board zum Auruf von privaten Endgeräten oder vom heimischen Internetanschluss aus angeboten wird, sollten sie vorab über die möglichen Risken informiert werden. Außerdem sollten ihnen Möglichkeiten gezeigt werden, wie sie sich zumindest in Teilen schützen können, etwa durch Nutzung von Brave Browser oder auf Mobilgeräten DuckDuckGo.

Datenschutz Bewertung Übersicht

Nutzung in der Schule mit schulischen Endgeräten

Für eine Nutzung zur Bereitstellung von Inhalten und Links kann Trello durchaus verwendet werden, wenn die Schüler (a) ohne eigene Konten, (b) als konsumierende Besucher auf die Trello Boards (c) über schulische Endgeräte (d) ohne gleichzeitigen Login an sonstigen Drittanbieter-Plattformen (e) am Standort Schule darauf zugreifen. Mehr ist leider nicht möglich.

Nutzung auf privaten Endgeräten/BYOD

Wenn Lehrkräfte ihren Schülern Inhalte über ein Trello Board zur Nutzung von einem privaten Endgerät oder vom heimischen Internetanschluss aus bereitstellen wollen, kann dieses nur ein Angebot sein. Nutzer müssen vorweg über mögliche Risiken informiert werden und es muss Alternativen geben, an die gleichen Inhalte zu gelangen, ohne Trello nutzen zu müssen.

Mit ausreichendem Selbstschutz kann das Risiko gemindert, aber keinesfalls komplett beseitigt werden. Eine Nutzung von Trello auf Smartphones und anderen privaten Endgeräten bzw. vom heimischen Anschluss ist von daher ganz sicher nicht zu empfehlen.

Nutzung durch Lehrkräfte – Boards erstellen und teilen

Lehrkräfte nutzen Trello mit einem kostenlosen Konto auf eigenes Risiko. Sie willigen bei der Erstellung ihres Nutzerkontos in die Datenvereinbarung und die Nutzungsbedingungen ein.

Fazit

Trello wird oft als eine datenschutzfreundliche Alternative zu Padlet empfohlen. Im Vergleich zu Padlet schneidet Trelle jedoch eindeutig schlecher ab, wenn es um Datenschutz geht.⁸ Trello ist definitiv keine Alternative, da wenn überhaupt nur eine passive Nutzung durch Schüler vertretbar ist und diese auch nur in der Schule mit schulischen Geräten und ohne gleichzeitigen Login an anderen Plattformen. Für Schulen ist eine Nutzung zur Bereitstellung von Informationen, auf die von zu Hause oder mit privaten Endgeräten zugegriffen werden soll, nicht vertretbar, da der Anbieter selbst wie auch durch Dritte zu viele Daten abgreift, die dann zur Erstellung von umfangreichen Profilen zwecks Anzeige von Werbung genutzt werden. Darüber hinaus hat der Anbieter Trello wie auch seine anderen Plattformen nicht für Nutzer vor Vollendung des 16. Lebensjahres gedacht.

Wem das Format der Trello Boards gefällt, der kann eine vergleichbare Darstellung von Inhalten z.B. mit Decks von NextCloud erzielen. Alternativ käme auch Padlet in Frage, das sehr viel mehr kann und zumindest innerhalb der Schule mit schuleigenen Geräten und ohne gleichzeitigen Login an anderen Plattformen sehr datenschutzfreundlich genutzt werden kann. Siehe dazu Datenschutz Check – Padlet – digitale Pinnwand

Stand 06/2020