Datenschutz Check – Seite 3 – datenschutz-schule.info

Trello – digitales Board

Lesezeit: 6 Minuten

Beschreibung

Trello erlaubt die Erstellung von sogenannten Boards. Innerhalb dieser lassen sich Listen erstellen, denen Karten zugeordnet werden, die ihrerseits Text aufnehmen können und Dateien als Anhänge. Dokumente und Bilder können angezeigt werden, Audiodateien lassen sich abspielen. Mitunter wird Trello als eine Alternative zu Padlet angeführt. Boards können privat sein oder öffentlich. Letztere können durch Suchmaschinen wie Google gefunden und indiziert werden. In Trello registrierte Nutzer können zur Mitarbeit eingeladen werden. Das heißt, ohne ein Trello Konto ist keine aktive Mitarbeit an einem Board möglich.

Für die Erstellung eines Kontos sind eine E-Mail Adresse und ein Passwort erforderlich. Zusätzlich können Nutzer sich über bestehende Konten bei Google oder Microsoft anmelden. Nutzer müssen bei Kontoerstellung die Nutzungsbedingungen und Datenschutzrichtlinie akzeptieren “Mit Ihrer Anmeldung bestätigen Sie, dass Sie unsere Nutzungsbedingungen und Datenschutzbestimmungen gelesen und akzeptiert haben.” Angemerkt werden sollte an dieser Stelle auch, dass sich das Angebot nicht an Kinder und Jugendliche unter 16 Jahren richtet. “The Services are not directed to individuals under 16.”¹

Datenschutz, Sicherheit

Serverstandort, Anbieter

Trello ist nur eines von verschiedenen Produkten des US Unternehmens Atlassian, das sich mit seinen Produkten vorwiegend an Unternehmen richtet. Die Server, auf denen Trello und verbundene Dienste laufen, haben ihre Standorte vorwiegend in den USA. Entsprechend hat sich der Anbieter für den europäischen Markt EU-US Privacy Shield zertifiziert, wodurch der Transfer von personenbezogenen Daten zumindest formell DS-GVO konform abgesichert ist. Atlassian bietet Kunden aus der EU ein Data Processing Addendum, welches als PDF heruntergeladen werden kann. Es ist vorunterzeichnet. Im Data Processing Addendum sind die Standard Contractual Clauses (Standardvertragsklauseln) enthalten. Da Trello nur ein Teil der von Atlassian angebotenen Dienste ist, bezieht sich das Data Processing Addendum nicht nur auf Trello alleine.

Cookies, Tracking

Zumindest in der kostenlosen Version ist Trello alles andere als datensparsam. In Datenschutzerklärung werden zahlreiche Dienste beschrieben, sowohl eigene als auch solche von Dritten, über welche Daten der Nutzer erhoben werden. Alleine im Browser werden so bereits ohne Login 69 Cookies angezeigt. Nach Login mit einem kostenlosen Konto und öffnen eines Boards werden daraus 71, zu denen unter anderem Googles Werbenetz Doubleclicknet, Googleadeservices und Facebook gehören. Eine genauere Analyse mit Webbkoll Dataskydd findet 9 Cookies, von denen 8 zu Trello selbst gehören (1st party cookies) und eines zu Google (third party cookie). Es folgt dann eine Auflistung weiterer Tracking Dienste, 30 insgesamt, von denen 23 Trello selbst zuzuordnen sind und 7 Google (u.a. googletagmanager, google-analytics). In der Datenschutzerklärung gibt der Anbieter an, dass man selbst wie auch Drittpartner (meint Werbe- und Analysepartner) Cookies und andere Tracking-Technologien einsetze, um Nutzer über verschiedene Dienste und Geräte hinweg zu erkennen.².

Google-Analytics

Der Einsatz von Google Analytics erfolgt laut Google-Analytics-Prüfung der Uni Bamberg ohne IP Nummern Verkürzung. Im Test kann eine Übermittlung an Google nachgewiesen werden. Allerdings könnte diese nach Benutzeraktionen auf einem Trello Board möglich sein.³

Weitere Informationen zur Datenverarbeitung durch Trello

Atlassian erhebt nicht nur selbst Daten der Besucher und gibt seinen Werbe- und Analysepartnern die Möglichkeit dazu, sondern kombiniert diese Daten mit weiteren Daten aus einer Vielzahl von Quellen. Der Beschreibung in der Datenschutzerklärung nach scheint dieses recht umfangreich zu erfolgen. Es geht dabei nicht nur um die bei fast allen Anbietern übliche Verbesserung des Dienstes, sondern auch um personalisierte Werbung.⁴ Und damit noch nicht genug. Informationen, welche man von Drittanbietern erhalten kann, erstrecken sich sogar auf postalische Anschriften, Telefonnummern und mehr, soweit öffentlich über Websites oder Social Media verfügbar.⁶

Es wird klar, dass Atlassian sehr daran gelegen ist, möglichst viel über seine Nutzer in Erfahrung zu bringen, um höchst persönliche Profile zu erstellen, die dann genutzt werden können, um personalisierte Angebote und Werbung für eigene Dienste erstellen zu können. Dafür bedient man sich Daten, die man selbst erhebt und zu deren Erhebung man Partnern Zugang zu den eigenen Diensten gestattet. Die so erhobenen Daten werden dann mit Daten aus weiteren Quellen kombiniert. Selbst mit einem Fake Account sollte es dem Anbieter bzw. den Partnern so leicht möglich sein, Nutzer zu identifizieren.

Inwieweit zahlende Nutzer hiervon nicht betroffen sind, ist schwierig abzuschätzen, denn im Data Processing Addendum behält man sich vor, die bei der Nutzung der Cloud Dienste des Anbieters erhobenen Daten für “legitime interne Zwecke zu verwenden, wie zum Beispiel …“⁷ Eigentlich sollten Nutzer, deren Organisation das Data Processing Addendum abgeschlossen haben, geschützt sein, da ihre Daten dann nur für Zwecke der Organisation verarbeitet werden dürfen. Das schließt jedoch nicht aus, dass Anbieter Nutzer beim Anlegen oder ersten Login in ihr Konto in einer darüber hinausgehende Datenverarbeitung durch den Anbieter einwilligen lassen. Mangels eines entsprechenden Kontos kann dieses hier nicht überprüft werden.

Hinweise zur Nutzung durch Schulen

Grundsätzliches

Atlassian, der Anbieter von Trello, greift zumindest bei Nutzern mit einem kostenlosen Konto und bei Besuchern eines öffentlichen Boards selbst viele Daten ab und gibt darüber hinaus sogenannten Werbe- und Analysepartnern Zugriff auf die Daten von Nutzern und Besuchern. Das ist nicht unüblich, in Schulen aber doch problematisch, vor allem, wenn ein Anbieter wie Atlassian, dann diese Daten noch mit Daten aus einer Vielzahl von anderen Quellen kombiniert und anreichert, um damit personalisierte Werbung zu erstellen und Nutzern mit einem Konto, weitere eigene Dienste schmackhaft zu machen.

Man sollte eigentlich erwarten können, dass mit einem Bezahl-Konto und Abschluss des Data Processing Addendum keine Erhebung und Verarbeitung von personenbezogenen Daten zu eigenen Zwecken des Anbieters (von Nutzung zur Bereitstellung des Dienstes, Gewährleistung der Sicherheit, … abgesehen) erfolgt, sofern Nutzer diesen nicht zugestimmt haben, da das dem Data Processing Addendum widersprechen würde. Solches wäre jedoch noch zu prüfen. Offen bleibt auch, wie genau Atlassian seine eigenen”legitime Interessen” genau definiert, wenn es um die Einräumung von Nutzungsrechten an den personenbezogenen Daten der Nutzer geht.

Nutzung in der Schule

Bei einer Nutzung mit schulischen Endgeräten und ohne gleichzeitigen personalisierten Login an anderen Online-Plattformen und am Standort Schule, können die im Hintergrund von Trello aktiven Dienste des Anbieters und von Drittanbieten keine für sie verwertbaren Daten erheben. Die Nutzung beschränkt sich dabei jedoch auf reinen Konsum. Eine aktive Mitarbeit an einem Board ist ohne eigenes Konto nicht möglich und die Erstellung eines solchen kommt in Schule nicht in Frage.

Nutzung zu Hause/ auf privaten Geräten/ BYOD

Rufen Schüler von zu Hause aus oder über das Mobilnetz mit ihrem Smartphone ein Trello Board auf, greifen die verschiedenen auf der Seite im Hintergrund laufenden Dienste Daten der Nutzer ab, die diese über Zusammenführung mit eigenen Daten oder solchen aus anderen Quellen identifizierbar machen. Der Aufruf eines Trello Boards kann einer identifizierbaren Person dann recht einfach über Zusammenführung mit Daten aus anderen Quellen zugeordnet werden.

Wenn Schüler ein Trello Board zum Auruf von privaten Endgeräten oder vom heimischen Internetanschluss aus angeboten wird, sollten sie vorab über die möglichen Risken informiert werden. Außerdem sollten ihnen Möglichkeiten gezeigt werden, wie sie sich zumindest in Teilen schützen können, etwa durch Nutzung von Brave Browser oder auf Mobilgeräten DuckDuckGo.

Datenschutz Bewertung Übersicht

Nutzung in der Schule mit schulischen Endgeräten

Für eine Nutzung zur Bereitstellung von Inhalten und Links kann Trello durchaus verwendet werden, wenn die Schüler (a) ohne eigene Konten, (b) als konsumierende Besucher auf die Trello Boards (c) über schulische Endgeräte (d) ohne gleichzeitigen Login an sonstigen Drittanbieter-Plattformen (e) am Standort Schule darauf zugreifen. Mehr ist leider nicht möglich.

Nutzung auf privaten Endgeräten/BYOD

Wenn Lehrkräfte ihren Schülern Inhalte über ein Trello Board zur Nutzung von einem privaten Endgerät oder vom heimischen Internetanschluss aus bereitstellen wollen, kann dieses nur ein Angebot sein. Nutzer müssen vorweg über mögliche Risiken informiert werden und es muss Alternativen geben, an die gleichen Inhalte zu gelangen, ohne Trello nutzen zu müssen.

Mit ausreichendem Selbstschutz kann das Risiko gemindert, aber keinesfalls komplett beseitigt werden. Eine Nutzung von Trello auf Smartphones und anderen privaten Endgeräten bzw. vom heimischen Anschluss ist von daher ganz sicher nicht zu empfehlen.

Nutzung durch Lehrkräfte – Boards erstellen und teilen

Lehrkräfte nutzen Trello mit einem kostenlosen Konto auf eigenes Risiko. Sie willigen bei der Erstellung ihres Nutzerkontos in die Datenvereinbarung und die Nutzungsbedingungen ein.

Fazit

Trello wird oft als eine datenschutzfreundliche Alternative zu Padlet empfohlen. Im Vergleich zu Padlet schneidet Trelle jedoch eindeutig schlecher ab, wenn es um Datenschutz geht.⁸ Trello ist definitiv keine Alternative, da wenn überhaupt nur eine passive Nutzung durch Schüler vertretbar ist und diese auch nur in der Schule mit schulischen Geräten und ohne gleichzeitigen Login an anderen Plattformen. Für Schulen ist eine Nutzung zur Bereitstellung von Informationen, auf die von zu Hause oder mit privaten Endgeräten zugegriffen werden soll, nicht vertretbar, da der Anbieter selbst wie auch durch Dritte zu viele Daten abgreift, die dann zur Erstellung von umfangreichen Profilen zwecks Anzeige von Werbung genutzt werden. Darüber hinaus hat der Anbieter Trello wie auch seine anderen Plattformen nicht für Nutzer vor Vollendung des 16. Lebensjahres gedacht.

Wem das Format der Trello Boards gefällt, der kann eine vergleichbare Darstellung von Inhalten z.B. mit Decks von NextCloud erzielen. Alternativ käme auch Padlet in Frage, das sehr viel mehr kann und zumindest innerhalb der Schule mit schuleigenen Geräten und ohne gleichzeitigen Login an anderen Plattformen sehr datenschutzfreundlich genutzt werden kann. Siehe dazu Datenschutz Check – Padlet – digitale Pinnwand

Stand 06/2020

Padlet – digitale Pinnwand

Lesezeit: 9 Minuten

Beschreibung

Padlet ist eine digitale Pinnwand, die sich vor allem dadurch auszeichnet, dass sie sehr vielseitig und trotzdem einfach zu bedienen ist. Aus diesem Grund erfreut sie sich bei Lehrkräften und Schülern großer Beliebtheit. Eine Nutzung ist über den Browser wie auch Apps für Tablets und Smartphones möglich. Dabei läuft Padlet komplett online. Eine Nutzung ohne Internet ist deshalb nicht möglich. Nutzerkonten sind lediglich für die Ersteller von Padlets, meist die Lehrkräfte, erforderlich. Schüler können über einen Link und auf iOS über eine Broadcast Funktion zur Mitarbeit eingeladen werden. Eine Stärke von Padlet neben der Fähigkeit, eine Vielzahl von Medien (Text, Ton, Bild, Video, Zeichnungen, Links, …) aufzunehmen, ist die Möglichkeit zur synchronen Kollaboration. Das heißt, es können mehrere Personen zeitgleich an einem Padlet arbeiten. Padlet kann kostenlos mit bis zu drei Pinnwänden genutzt werden. Es gibt darüber hinaus kostenpflichtige Konten für Einzelnutzer (Padlet Pro), für Unternehmen (Padlet Briefcase) und für Schulen (Padlet Backpack – als Schullizenz), die über zusätzliche Funktionen verfügen. Dazu gehört auch ein Data Processing Addendum, mit welchem Schulen ihrer Pflicht zum Abschluss eines Vertrag zur Auftragsverarbeitung, die sich aus den umfangreicheren Funktionen ergeben, zumindest formell nachkommen können.

Datenschutz, Sicherheit

Serverstandort, Anbieter

Der Anbieter kommt aus den USA und nutzt Server in den USA. Padlet nutzt unter anderem Server von Amazon (AWS), Fastly und Cloudlflare (auch als CDN).

Cookies, Tracking

Padlet setzt zur Erbringung seiner Dienste eine Vielzahl von Cookies und Trackingmechanismen ein. 10 davon werden in der Analyse mittels Webbkoll Dataskydd als eigene Cookies (First Party Cookies), die unter anderem der Personalisierung der Nutzung dienen dürften, angezeigt. Aus Sicht des Datenschutz sollten diese genauso unproblematisch sein wie 19 weitere, die Dritten zugeordnet werden, da die beiden zugehörigen Hosts (padlet.pics und padlet.net) andere Domainendungen haben als die Hauptdomain padlet.com. Eindeutig Dritten zuzuordnen sind dann noch 10 Cookies von 5 einmaligen Hosts. Dazu zählen Indicative.com (api.indicative.com, cdn.indicative.com), Amazon (certify.alexametrics.com) und Google (google-analytics.com, googletagmanager.com).

Indicative ist ein Analysetool, welches Website Betreibern Aufschluss über Nutzungsverhalten gibt und wird in der Regel zur Optimierung des eigenen Angebotes eingesetzt. Indicative nutzt seine Technologien nicht, um für eigene Zwecke Nutzerprofile zu erstellen. Das Data Processing Addendum, welches Indicative Kunden wie Padlet zur Verfügung stellt, orientiert sich an den Standardvertragsklauseln bezüglich Kunden in der EU. Die Betreiber von Padlet nutzen Indicative, um Google Analytics Daten auszuwerten.
Hinter Alexametrics verbirgt sich ein Analysetool (Tracking Pixel), mit welchem Besucherstatistiken erstellt werden können.¹
Google Analytics wird von Padlet ohne Anonymisierung durch IP Verkürzung eingesetzt². Wie oben beschrieben, nutzt Padlet mittels Plugin Indicative, um die Google Analytics Daten über die Möglichkeiten dieses Anbieters auszuwerten.
Google Tag Manager leitet Informationen über Nutzerverhalten über verschiedene Padlet Seiten hinweg an Google Analytics zur Auswertung weiter. Es dient ebenfalls der Optimierung des Angebotes.

Padlet nutzt alle vier Angebote als Auftragsverarbeiterdienste³. In seinem Data Processing Addendum (vergleichbar einem Vertrag zur Auftragsverarbeitung) werden diese nicht explizit genannt. Google Analytics ist jedoch in der Datenschutzerklärung erwähnt.

In der Datenschutzerklärung wird angegeben, wofür man Cookies einsetzt:

Benutzer authentifizieren
Benutzer eingeloggt lassen, während sie den Dienst nutzen
das Verhalten auf dem Dienst zu verfolgen (z.B. welche Seite der Benutzer nach der Startseite besucht hat)
Benutzereinstellungen merken (z.B. Zeitzone)
Anzeigen über Padlet außerhalb des Dienstes anzeigen (z.B. auf LinkedIn)

Cookies – nicht Padlet

Als digitale Pinnwand nimmt Padlet, wie beschrieben, eine Vielzahl von Inhalten auf. Dazu gehören auch verlinkte oder eingebettete Inhalte. Wird beispielsweise ein YouTube Video eingebettet, werden durch YouTube entsprechend Daten erhoben und gegebenfalls Cookies gesetzt. Gleiches gilt auch für Bilder von externen Seiten oder auch Links, die im Anhang einen Verweis enthalten. Das ist bei Padlet nicht anders als bei anderen Websites, etwa Blogs und Nachrichtenseiten, die externe Inhalte anzeigen bzw. auf diese verweisen.

Hinweise zur Nutzung durch Schulen

Grundsätzliches

Padlet gibt sich in der Datenschutzerklärung recht transparent bezüglich der Datenverarbeitung bei der Nutzung seiner Dienste. Nutzern werden DS-GVO Rechte eingeräumt. Es bleiben jedoch trotzdem einige Fragen offen. Das Data Processing Addendum ist leider nicht öffentlich abrufbar. Das betrifft etwa die Nutzung von personenbezogenen Daten für eigene Zwecke ⁴. Hierunter dürfte die oben beschriebene Möglichkeit einer Nutzung für die Anzeige von Werbung gehören.⁵ Auch wenn nach Angaben von Padlet die Dienste Dritter als Auftragsverarbeitung genutzt werden, so ist nicht wirklich klar, ob gerade im Fall von Google und Amazon nicht auch diese Auswertungen vornehmen und wenn, in welcher Form und in welchem Umfang. Im Fall von Google Analytics werden keine IP Nummern unmittelbar nach der Erhebung verkürzt, womit Nutzer durch Google über ihren Internetzugang potentiell einer identifizierbaren Person zugeordnet werden können.

Nutzung in der Schule

Bei einer Nutzung mit schulischen Endgeräten und ohne gleichzeitigen Login an anderen Online-Plattformen bzw. -diensten, können die im Hintergrund von Padlet aktiven Trackingmechanismen und Drittanbieter keine für sie verwertbaren Daten von Schülern erheben. Entsprechendes trifft auch auf in ein Padlet eingebundene externe Inhalte und damit verbundene Datenabflüsse zu. Richten Lehrkräfte sich ein persönliches Konto ein, hängt es sehr davon ab, mit welchen Angaben dieses erfolgt, ob die dadurch identifizierbar werden. Bei schulischen Padlet Konten könnte ein Konto mit einer schulischen E-Mail Adresse und einem Pseudonym als Nutzernamen angelegt werden.

Nutzung zu Hause/ auf privaten Geräten/ BYOD

Rufen Schüler ein Padlet von zu Hause aus oder über das Mobilnetz mit ihrem Smartphone auf, werden Daten erhoben, von der IP Nummer bis zum Browsertyp und Betriebssystem, die eine Identifizierung durch von Padlet genutzte Dienste Dritter ermöglichen können. Gleiches gilt auch für Datenabflüsse aus von externen Quellen eingebundene Inhalte eines Padlets.

Wenn Schüler Padlets zur Nutzung auf privaten Endgeräten oder vom heimischen Internetanschluss angeboten werden, sollten sie vorab über die möglichen Risken informiert werden. Außerdem sollten ihnen Möglichkeiten gezeigt werden, wie sie sich zumindest in Teilen schützen können, etwa durch Nutzung von Brave Browser, den mobilen Browser von DuckDuckGo oder das zugehörige Google Chrome Plugin.

Datenschutz Bewertung Übersicht

Im Folgenden ist die Rede von einer konsumierenden Nutzung. Das meint Lesen, Ansehen, Links folgen und Herunterladen von Inhalten. Produktive Nutzung schließt auch das Einstellen von Inhalten durch die Nutzer ein, das Erstellen von Notizzetteln mit Texten, das Hochladen von Dateien, das Kommentieren.

Nutzung in der Schule mit schulischen Endgeräten

Gute Bedingungen, sowohl für ein konsumierende als auch eine produktive Nutzung, solange Schüler nicht gleichzeitig an anderen Online-Plattformen bzw. -diensten eingeloggt sind, wodurch für die im Hintergrund eines Padlet laufenden Trackingmachanismen potentiell identifizierbar würden.

Konsumierende Nutzung auf privaten Endgeräten/BYOD

Wenn Lehrkräfte ihren Schülern ein Padlet für den Abruf von Inhalten⁶ von zu Hause aus oder über private Endgeräte in der Schule geben, kann dieses nur ein Angebot sein. Eventuelle Risiken, welche sich aus einer Nutzung von Padlet über ein privates Endgerät ergeben, lassen sich nie völlig auszuschließen. Vergleicht man ein gut bestücktes Padlet mit eingebetteten Inhalten von externen Seiten, wie Bildern und Videos, so fällt das Risiko, welches von Padelt selbst ausgeht, deutlich geringer als das, welches von den Inhalten ausgeht. Verglichen mit der durchschnittlichen Website einer Tageszeitung oder einer Portalseite wie der von T-Online sind die Risiken für die Nutzer eines Padlets ebenfalls deutlich geringer.

Produktive Nutzung auf privaten Endgeräten/BYOD

Wenn Lehrkräfte ein Padlet, wie zuvor beschrieben, für den Abruf von zu Hause aus oder über private Endgeräte in der Schule bereitstellen, und Schüler sollen aktiv am Padlet mitarbeiten, indem sie Inhalte einfügen oder Bewertungen abgeben, hängt vor allem bei den Inhalten viel davon ab, welcher Art diese sind. Inhalte, welche Rückschluss auf die Person zulassen, etwa Fotos der Person, Tonaufnahmen oder Texte mit ganzem Namen sollten unter diesen Voraussetzungen eher nicht eingebracht werden. Insgesamt erhöht sich das Risiko in diesem Setting gegenüber dem einer rein konsumierenden Nutzung.

Fazit

Padlet ist eine in Schulen sehr beliebte Plattform, da sie auch für Einsteiger ohne Vorkenntnisse einfach zu nutzen ist. Gleichzeitig steht Padlet aber auch in der Kritik wegen datenschutzrechtlicher Belange. Eine genauere Betrachtung zeigt jedoch, dass die Lage längst nicht so dramatisch ist, wie sie oft dargestellt wird. Tatsache ist, Padlet nutzt verschiedene Analysedienste. Nach eigenen Aussagen im Data Processing Addendum und der Datenschutzerklärung erfolgt dieses mit entsprechenden Verträgen im Sinne eines Vertrags zur Auftragsverarbeitung oder die Daten werden in einer Form weitergegeben, die für Dritte keine Rückschlüsse auf identifizierbare Personen zulassen. Von daher sollte man davon ausgehen können, dass eine Verwertung von Analysedaten, die einer identifizierbaren Person zugeordnet werden können, durch Dritte für eigene Zwecke nicht stattfindet. Letztlich ist und bleibt es eine Frage des Vertrauens, denn eine Überprüfung der vertraglichen Zusagen im Data Processing Addendum ist nur schwierig bis gar nicht möglich.

Bei einer Nutzung mit schulischen Endgeräten in der Schule ohne gleichzeitiges Login an anderen Plattformen, kann man sicher davon ausgehen, dass für Schüler keine Risiken durch eine Nutzung entstehen, auch wenn externe Inhalte eingebunden sind in das Padlet. Werden private Endgeräte genutzt, ist ein gewisses Risiko nicht sicher auszuschließen. Eltern, die ihren Kindern erlauben, zu Hause YouTube Videos am eigenen Smartphone oder Computer zu schauen oder kostenfreie Spiele auf den zahlreichen durch Werbung gesponserten Portalen zu spielen, können davon ausgehen, dass die Risiken für ihre Kinder dort um einige Größenordnungen größer sind.

Mit einem sicheren Browser wie Brave Browser oder dem DuckDuckGo Browser auf einem Mobilgerät lassen sich die oben beschriebenen Aktivitäten von Dritten (Indicative, Alexametrics, GoogleTagManager) nicht komplett unterbinden, aber reduzieren.

Im Hinblick auf die Standorte der vom Anbieter genutzten Server in den USA sollte darauf geachtet werden, Padlet ohne weitere personenbezogene Daten zu nutzen, um hier keine unnötigen Risiken entstehen zu lassen.

Bitte beachten Sie, dass durch das EU-GH Urteil vom 16.07.2020, der EU-US Privacy Shield für ungültig erklärt wurde. Transfers von personenbezogenen Daten in die USA, wie sie auch bei einer Nutzung von Padlet möglich sind, können damit nicht mehr auf der Grundlage des EU-US Privacy Shield erfolgen. Eltern sollten entsprechend informiert werden. Bei einer Nutzung von Padlet ohne personenbezogene oder -beziehbare Daten von Schülerinnen und Schülern, wie oben beschrieben, hat der Wegfall es EU-US Privacy Shield keine nachteiligen Auswirkungen.

Einwilligung nicht vergessen

Eine Einwilligung der Betroffenen d.h. der Eltern oder der Schüler, bei Schülern ab Vollendung des 16. Lebensjahres der Schüler selbst, wird erforderlich, wenn Padlet im Unterricht – egal ob in der BackPack Version für Schulen oder der Pro Version für Einzelpersonen – so eingesetzt wird, dass er

nicht auf schulischen Geräten in der Schule selbst erfolgt,
er zu Hause erfolgen soll, und er
über eine rein konsumierende Nutzung hinausgeht, von den Schüler also eine produktive Nutzung erfordert.

Setzen Lehrkräfte mit Zustimmung der Schulleitung kostenlose Padlets ein, sollte ebenfalls eine Einwilligung eingeholt werden.⁷

Tipps zur sicheren Nutzung von Padlet

Lehrkräfte sollte darauf achten und ihre Schüler dafür sensibilisieren, dass in ein Padlet keine Informationen eingetragen werden, anhand derer sie eindeutig zu identifzieren sind. Dazu gehören auch Fotos, auf welchen die Schüler abgebildet sind, oder Stimmaufnahmen.
Es ist nicht erforderlich, individuelle Nutzerkonten für Schüler anzulegen, da die Bearbeitung auch ohne solche möglich ist.
Padlets sollte grundsätzlich immer auf geheim gestellt werden, da sie so nicht über Suchmaschinen gefunden und indiziert werden können. Ebenso wird damit unterbunden, dass Dienste Dritter die Inhalte von Padlets analysieren und eventuell Besuchern zuordnen.⁸
Nach Ende eines Projektes, an dem Schüler gearbeitet haben, sollte die Schreibberechtigung für andere Personen als die Lehrkraft deaktiviert werden, um Vandalismus vorzubeugen.
Nutzt eine Schule Padlets als öffentliche Seiten, sollte es auf jedem Padlet einen Link zur Datenschutzerklärung auf der Schulhomepage geben. Diese muss dann auch Angaben zur Datenverarbeitung beim Aufruf eines Padlets enthalten.

Bewertung von Padlet durch die Hessische Aufsichtsbehörde

Auch die Behörde des Hessischen Beauftragten für Datenschutz und Informationsfreiheit hat sich Padlet angesehen. Ähnlich wie dieser Datenschutz-Check kommt man in dem Beitrag “Kein ausreichender Datenschutz bei der Nutzung von Padlet” vom 01.02.2021 zu dem Schluss: “Eine datenschutzrechtlich unproblematische Nutzung von Padlet kann nur dadurch erzielt werden, wenn die Nutzung ausschließlich auf schulischen Rechnern stattfindet.”

Geht es um eine Nutzung über private Endgeräte oder den heimischen Internetzugang, kommt man zu einem anderen Ergebnis: “Werden private Geräte eingesetzt, ist eine datenschutzkonforme Anwendung kaum mehr möglich. Auch mit der Einwilligung der Betroffenen und hinreichenden Informationen zur Datenverarbeitung, soweit diese überhaupt gegeben werden können, bietet sich eine Nutzung der Plattform Padlet im schulischen Kontext nicht an.”

Es wird deutlich, die Aufsichtsbehörde schätzt die im Datenschutz-Check beschriebenen im Hintergrund von Padlet laufenden Dienste Dritter bezüglich dadurch entstehender möglicher Risiken deutlich kritischer ein.

Hinweise zur Nutzung der Padlet Apps

Im September 2020 hat das Portal MOBILSICHER die Padlet Apps unter die Lupe genommen. In ihrem Test kommen sie zu dem Schluss, dass aus den mobilen Apps Daten an Dritte abfließen, “an den Dienstleister Branch Metrics, der aus der App Informationen zusammen mit der Werbe-ID erhält“, an Microsoft, die “den Namen des Mobilfunkproviders sowie User-Agent mit Build-Nummer” erhalten, und an Google, die “u.a. die Werbe-ID, die Hardware-ID und die IMEI-Nummer” erhalten. Zu beachten ist hierbei, dass Daten zum Mobilfunkprovider und IMEI-Nummer nur bei Geräten mit mobilem Zugang und SIM Karte vorhanden sind und abgefragt werden können. Das wäre beispielsweise der Fall, wenn Schüler mit ihren Smartphones die Padlet App nutzen. Wenn Lehrkräfte Padlet im (Distanz)Unterricht einsetzen, sollten sie darauf hinweisen, dass Eltern sich vor der Installation des Apps auf einem Mobilgerät ihres Kindes entsprechend informieren. Schülerinnen und Schüler ohne Zustimmung der Eltern aufzufordern, sich das App auf ihr Smartphone zu installieren, kann vor allem bei jüngeren Schülern rechtliche Folgen für Lehrkräfte nach sich ziehen.

Gegen eine Nutzung der Padlet App auf schulischen iPads spricht nichts. Selbst bei einer Nutzung mit managed Apple IDs erhalten der Anbieter und die Dienste im Hintergrund nicht mehr Informationen als sie bei der Nutzung von Padlet über einen Browser erhalten.

Zusätzliche Informationen

Das Data Processing Addendum, der Vertrag zur Auftragsverarbeitung von Padlet im Check mit der Checkliste der Orientierungshilfe Auftragsverarbeitung. Mit Hilfe der Checkliste wurde überprüft, welche Kriterien das Data Processing Addendum erfüllt. Nicht alle Kriterien treffen auf Padlet zu. Die meisten Punkte werden erfüllt. Es verbleiben jedoch auch einige, zu denen Angaben nicht gemacht werden können. Ein Teil der Informationen, welche die Checkliste abfragt, müssen der Datenschutzerklärung und den Geschäftsbedingungen von Padlet entnommen werden.

Checkliste – Vertrag zur Auftragsverarbeitung Bayern – Padlet.pdf

Das Data Processing Addendum in einer zweisprachigen Version zum besseren Verständnis.⁹

Padlet Data Processing Addendum – Analyse.pdf

Genügt das Data Processing Addendum den Anforderungen von Art. 28 DS-GVO?

In großen Teilen sollte, wie die Analyse oben zeigt, das Data Processing Addendum die Vorgaben von Art. 28 DS-GVO erfüllen, doch es gibt einige Bereiche, bei denen Fragen offen bleiben. Eine davon betrifft die Hinzunahme weiterer Auftragsverarbeiter durch den Padlet zur Unterstüztung der eigenen Auftragsverarbeitung für den Vertragnehmer (Schule). In Abs. 2 Art. 28 DS-GVO heißt es dazu:

“Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch.”

Im Data Processing Addendum wird hierzu nichts gesagt, weder räumt Padlet dem Verantwortlichen eine Möglichkeit zur Genehmigung ein, noch sagt man zu, den Verantwortlichen zu informieren. Da der Anbieter sich jedoch verpflichtet, von weitere Auftragsverarbeitern, vertraglich die Gewährleistung eines gleichen Datenschutzniveaus und gleicher Sicherheit einzufordern, sollte daraus kein Problem erwachsen.

Garantien, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung DS-GVO konform erfolgt, liegen nicht vor. Ob das Sicherheitskonzept, welches man anfordern kann, wenn man das Data Processing Addendum vereinbart hat, ausreicht, müsste man sehen.

Stand 02/2021

Loom – Bildschirm aufnehmen und teilen

Lesezeit: 5 Minuten

Beschreibung

Loom ist eine Plattform, die es ermöglicht, Aufnahmen des Computerbildschirmes zu machen und gleichzeitig den Aufnehmenden über eine Webcam und mit Ton aufzuzeichnen. So haben Betrachter eines Videos, in dem etwas gezeigt oder erklärt wird, den Autoren gleichzeitig im Blick. Auch wenn Loom mit seinem Produkt vor allem die Wirtschaft anspricht, findet die Plattform auch Interesse bei Lehrkräften, etwa um Erklärvideos zu erstellen. Loom kann kostenlos mit Einschränkungen genutzt werden. Für Lehrkräfte ist die Pro Version unbegrenzt kostenlos nutzbar.

Zur Anmeldung sind eine E-Mail Adresse und ein Passwort erforderlich. Zusätzlich sind SSO Optionen vorhanden. Zur Website gibt es Software für das Screenrecording für Windows, Mac, Chromebrowser und iOS.

Der Anbieter ist in seiner Datenschutzerklärung sehr transparent bezüglich der genutzten Dienste. In einer zweiten, in einfacher Sprache verfassten Datenschutzerklärung für Menschen, werden die wichtigsten Fakten noch einmal übersichtlich erklärt.

Ein erstelltes Video ist über einen Link abrufbar. Auf der dann erscheinenden Seite befinden sich das Video, Textinformationen zum Video, das Veröffentlichungsdatum, die Anzahl der Abrufe und Informationen zum Autoren, ein Feld für eine Texteingabe mit Bezug zu ausgewählten Stellen im Video, Emoji zur Abgabe einer Reaktion auf das Video und ein Teilen Menü. Dort unter anderem die Option, auf Twitter und Facebook zu teilen. Zur Abgabe eines Textkommentars ist keine Registrierung, aber die Angabe eines Namens erforderlich. Dieser kann aber frei gewählt werden.

Datenschutz, Sicherheit

Serverstandort, Anbieter

Der Anbieter kommt aus den USA und nutzt Server in den USA. Loom hat sich für seine Kunden in der EU nach dem EU-US Privacy Shield zertifiziert¹Für die Speicherung von Daten wird überwiegend Amazon Web Services (AWS oder auch Amazon S3) genutzt. Textinformationen werden in verschlüsselter Form gespeichert. Videos sind in verschlüsselten Containern gespeichert und werden über ein Content Delivery Network (CDN) abgerufen. Mit Amazon und anderen genutzten Diensten Dritter bestehen Verträge, die in etwa einem Vertrag zur Auftragsverarbeitung entsprechen.

Cookies, Tracking

Loom nutzt eine Vielzahl von Diensten, die im Hintergrund laufen. In der einfachen Datenschutzerklärung werden diese alle aufgezählt und sie lassen sich überwiegend auch beim Abruf eines Videos über einen Link, der ein Format hat wie https://www.loom.com/share/f81f012af77r4780a7cc184584b6ccfd nachweisen. Webbkoll Dataskydd weist mit Stand von 2020-05-15 insgesamt 17 Cookies nach, davon eines Third Party, und 36 Anfragen von 21 Stellen. Der Chromebrowser weist 68 Cookies aus. Brave Browser identifiziert bis zu 8 Website übergreifende Tracker. Nicht alle Anfragen von Dritten sind in der Datenschutzerklärung ausgewiesen, darunter auch eine Abfrage von Facebook². Unter den Cookies ist auch Google vertreten mit dem Werbenetzwerk Doubleclick.net. Und obwohl es sich nur um eine Seite handelt, auf der ein Video angezeigt wird, und sonst nichts, läuft im Hintergrund Stripe, ein Anbieter, der Bezahlungen für Diensteanbieter wie Loom abwickelt, so aber Daten von Besuchern des verlinkten Videos aufnimmt. Auch wenn Loom betont, dass die genutzten Dienste alle mit Verträgen geregelt sind, die den Anbieter zum Verantwortlichen machen, so ist davon auszugehen, dass einige Daten von den Dritten wie Facebook und Google auch zu eigenen Zwecken genutzt werden.

Google-Analytics

Loom nutzt den Analyse Dienst, gibt jedoch an, dass man die IP Nummern verkürze und Google keine Daten darüber erhält³. Diese Aussage ist sicher zutreffend, doch es werden wie oben angesprochen, weitere Google Dienste genutzt.

Hinweise zur Nutzung durch Schulen

Grundsätzliches

Auch wenn die Plattform Loom sich in ihren Datenschutzerklärungen sehr transparent und datenschutzkonform gibt, so laufen selbst im Hintergrund von Webseiten, über die Videos weitergegeben werden, um sie anzusehen, zu kommentieren, herunterzuladen oder zu teilen, jede Menge Dienste im Hintergrund, über die mit sehr großer Wahrscheinlichkeit Daten an Dritte abfließen. Anbieter wie Facebook können so die Besuche eines Nutzers registrieren und einem bestehenden Profil oder Schattenprofil zuordnen. Gleiches dürfte auch auf Google zutreffen. Es gibt sicherlich wesentlich schlimmere Websites, doch datenschutzfreundlich sollte im Zusammenhang mit Schule anders aussehen.

Nutzung in der Schule

Bei einer Nutzung mit schulischen Endgeräten und ohne gleichzeitigen Login an anderen Online-Plattformen, können die im Hintergrund von Loom aktiven Trackingmechanismen und Drittanbieter keine für sie verwertbaren Daten erheben. Das gilt sowohl für den Konsum von Videos, wie auch die Bewertung über die Emoji Buttons oder einen Textkommentar, solange der Textkommentar und der eingetragene Name keine personenbezogenen Daten enthält.

Nutzung zu Hause/ auf privaten Geräten/ BYOD

Rufen Schüler von zu Hause aus oder über das Mobilnetz mit ihrem Smartphone einen Loom Videolink auf, greifen die verschiedenen auf der Seite im Hintergrund laufenden Dienste Daten der Nutzer ab, die diese über Zusammenführung mit eigenen Daten oder solchen aus anderen Quellen identifizierbar machen. Einer identifizierbaren Person kann dann der Aufruf eines Videolinks zugeordnet werden.

Wenn Schülern Videolinks von Loom zum Abruf auf privaten Endgeräten oder vom heimischen Internetanschluss angeboten werden, sollten sie vorab über die möglichen Risken informiert werden. Außerdem sollten ihnen Möglichkeiten gezeigt werden, wie sie sich zumindest in Teilen schützen können, etwa durch Nutzung von Brave Browser.

Loom räumt Nutzern zwar DS-GVO Betroffenenrechte ein, doch die sind eher für registrierte Nutzer gedacht, nicht für Schüler, die nur Videolinks abrufen.

Datenschutz Bewertung Übersicht

Nutzung in der Schule mit schulischen Endgeräten

Gute Bedingungen, wenn die Schüler nicht gleichzeitig an anderen Online-Plattformen eingeloggt sind, wodurch für die in Loom aktiven Tracker potentiell identifizierbar würden.

Nutzung auf privaten Endgeräten/BYOD

Wenn Lehrkräfte ihren Schülern Loom Videolinks für den Abruf von zu Hause aus oder über private Endgeräte in der Schule geben, kann dieses nur ein Angebot sein. Verglichen mit dem Abruf eines YouTube Videos über YouTube selbst, ergibt sich für Schüler bei einer Nutzung eines Browsers in Standardkonfiguration ein deutlich größeres Risiko. Während bei YouTube nur Google Daten über verschiedene Mechanismen Daten erhebt, greifen bei Loom eine Vielzahl verschiedener Dienste auf die Daten der Nutzer zu.

Mit ausreichendem Selbstschutz kann das Risiko gemindert, aber nicht beseitigt werden. Eine Nutzung auf Smartphones und anderen privaten Endgeräten bzw. vom heimischen Anschluss ist von daher nicht zu empfehlen.

Nutzung durch Lehrkräfte – Videos erstellen und teilen

Lehrkräfte nutzen Loom auf eigenes Risiko. Sie willigen bei der Erstellung ihres Nutzerkontos in die Datenvereinbarung und die Nutzungsbedingungen ein.

Fazit

Loom ist eine Plattform, die sich zwar sehr gut nutzen lässt, um Screencast Erklär Videos zu erstellen und einfach mit Schülern zu teilen, doch dieses schöne Angebot hat seinen Preis. Die Plattform selbst erhebt eine Menge Daten von registrierten Nutzern wie auch Personen, die lediglich Videolinks abrufen und kommentieren. Außerdem gibt Loom Dritten die Möglichkeit, auf die Daten von Nutzern, die beim Aufruf der Website anfallen, zuzugreifen.

Wer als Lehrkraft über Loom Erklärvideos erstellt, sollte sie nur innerhalb der Schule mit Schülern nutzen, wenn dort die Möglichkeit besteht, sie über schuleigene Geräte ohne gleichzeitige Anmeldung an anderen Online-Plattformen, abzurufen.

Falls die Videos auch für den Abruf von zu Hause aus, vom Smartphone oder über in die Schule mitgebrachte Privatgeräte bereitgestellt werden sollen, dann müssen Betroffene informiert werden. Außerdem sollte es eine Alternative geben, an die Videos zu kommen oder die dort vermittelten Inhalte. Loom erlaubt es, Videos herunterzuladen. Sie könnten dann auch auf einer schulischen Lernplattform bereitgestellt werden, falls diese kein Streaming zulässt, zum Download. Solange die Zahl der Downloads begrenzt wird auf die Mitglieder einer Lerngruppe, sollte das immer möglich sein.

Qwiqr – Audiofeedback

Lesezeit: 7 Minuten

Qwiqr entstand als eine Plattform, mit deren Hilfe Lehrkräfte Schülern auf einfach Art und Weise gesprochenes Feedback geben können, sei es zur Bewertung einer Klassenarbeit oder zur Erläuterung von Fehlern und Verbesserungsvorschlägen. Die Feedback Plattform Qwiqr existiert nur als Website. Das Nutzungsprinzip hinter der von dem englischen Lehrer Marc Waller betrieben Plattform ist recht einfach. Die Lehrkraft erstellt sich ein Konto. Im Konto werden QR Codes erzeugt, die anschließend ausgedruckt werden. Hinter den QR Codes verstecken sich Links, die auf den Qwiqr Server führen. Mit einem Smartphone oder Tablet scannt die Lehrkraft anschließend einen der QR Codes ein. Sie loggt sich dann beim ersten Mal auf der Plattform ein und erhält danach die Möglichkeit, einen Text aufzusprechen, der verknüpft mit dem Link im QR Code auf den Server geladen wird. Ein Schüler erhält dann den QR Code, beispielsweise unter eine Arbeit geklebt, scannt zu Hause den Code ein und kann sich dann das Feedback anhören. Die Lehrkraft kann in ihrem Konto sehen, an welchem Datum ein hinterlegtes Feedback zuletzt angehört wurde. Alternativ kann die Lehrkraft neben Audio Feedback auch einen Text schreiben, ein Bild machen oder vom Smartphone laden, einen Link weitergeben oder eine Kombination von diesen.

Da die Weitergabe der Links zu den Feedbacks über QR Codes erfolgt, braucht es auf Mobilgeräten entweder ein App zum Auslesen solcher Codes oder eine Funktion des OS, welche dieses unterstützt. Seit Corona ist es auch möglich, Schülern direkt Links zu übermitteln, die im Menü der Website erzeugt werden.

In ihrem Konto kann die Lehrkraft Feedback und Konversationen löschen.

In einer Premium Version bietet die Plattform weitere Funktionen, etwa auch Video Feedback und unbegrenzte Speicherung und Wiederverwendung von Feedbacks. Feedback kann mit einem Tag versehen werden zum einfacheren Auffinden, wenn die Lehrkraft bereits viele Feedbacks erstellt hat. Alternativ zum Feedback kann die Lehrkraft in der Premium Version auch eine ‘Conversation’ starten. Das erlaubt es den Schülerinnen und Schülern, zu reagieren, indem sie eine Audioaufnahme machen, ein Bild abgeben, einen Link einfügen, einen Text schreiben oder eine Kombination. Welche Optionen den Schülern zur Verfügung stehen, entscheidet die Lehrkraft vorab.¹ Schulen können in Qwiqr Teams bilden. Ein Vertrag zur Auftragsverarbeitung (Data Processing Agreement) ist für Schulen verfügbar und kann digital abgeschlossen werden.

Datenschutz, Sicherheit

Serverstandort, Anbieter

Der Anbieter kommt aus Großbritannien. Im Hinblick auf den Brexit und die mit dem Auslaufen der Übergangsphase Ende 2020 bestehenden Unsicherheiten, ob es für die UK einen Angemessenheitsbeschluss geben wird oder ob die UK als ein unsicheres Drittland eingestuft werden, hat der Betreiber vorgesorgt und für EU Nutzer Server in Deutschland angemietet². Hier werden alle Daten von EU Nutzern gespeichert, sowohl die Nutzerdaten als auch die Feedback Dateien. Damit hofft Qwiqr, die Vorgaben der DS-GVO einhalten zu können.

Mit Stand von Mai 2020 laufen Aufrufe von Qwiqr noch über die auf einem britischen Server liegenden Seiten. Inhalte von Feedbacks werden jedoch bereits auf Servern in Deutschland gespeichert und dann von dort aufgerufen. Der Anbieter plant jedoch, in den nächsten Monaten auch die eigentliche Qwir Seite für EU Nutzer direkt von einem Server in Deutschland aufrufen zu lassen.

Cookies, Tracking

Qwiqr ist sehr datensparsam und es werden durch den Anbieter selbst nur Cookies gesetzt, die zur Nutzung erforderlich sind. Über das auf der Startseite eingebettete Video, fließen Informationen an Amazon Web Services (AWS), die aber mit Vertrag zur Auftragsverarbeitung vom Anbieter genutzt werden, womit diese Datenverarbeitung rechtlich abgesichert ist. Nutzer können beim ersten Aufruf der Seite oder unter https://qwiqr.education/cookies/ die Cookie Einstellungen ändern und zwischen ‘Essential cookies only‘ und ‘Accept all cookies‘ wählen.

Google-Analytics

Entsprechend der Cookie Richtlinie wird auf der Website Google Analytics eingesetzt, wenn beim ersten Besuch ‘Accept all cookies‘ gewählt wurde. Das trifft jedoch nur auf die normalen Seiten zu und die Lehrerseiten. Nach Aussagen von Qwiqr wird auf den Seiten, wo die Feedbacks hinterlegt sind, also den hinter den von den Lehrkräften an Schüler weitergebenen Links liegenden Seiten, niemals Google Analytics eingesetzt.³

Einbindung externer Inhalte

Sämtliche Inhalte in Feedbacks oder auch von Schülern im Modus Conversation eingestellte Inhalte liegen ausschließlich auf Servern des Anbieters. Dazu gehören auch zwei Videos zur Erklärung des Angebots auf der Startseite und als Hilfe auf der Help-Seite. Diese erscheinen jedoch als direkt über AWS eingebunden. In Bezug auf Sicherheit entstehen dadurch keine Risiken für Nutzer.

Speicherung von Feedback

Die als Audio, Foto oder Text und in der Premium Version als Video gespeicherten Inhalte liegen für EU Nutzer auf Servern in Deutschland. Sie sind nur für Personen zugänglich, die den Feedback Link entweder als QR Code oder als URL in schriftlicher Form erhalten haben. Der Link besteht aus einer zehnstelligen Zufallsfolge von Zahlen, Sonderzeichen und Groß- und Kleinbuchstaben. Beispiel: https://eu.qwiqr.education/uqAFhyXww3/. Nach Angaben von Mark Waller gibt es so 1,000,000,000,000,000,000 mögliche Codes. Die Chancen, durch reines Probieren auf einen gültigen Code zu kommen, sind dadurch recht klein.

Das heißt aber auch, die nicht verschlüsselt gespeicherten Inhalte sind nur dadurch geschützt, dass es wenig wahrscheinlich ist, Codes zu erraten.

Sicherheit

Im Dezember 2022 hat der Anbieter für Lehrkräfte die Absicherung der Konten verbessert und Zwei-Faktor-Authentifizierung (2FA) integriert.⁴ Diese lässt sich aktivieren, indem man sich mit E-Mail Adresse und Passwort einloggt und dort dann 2FA einrichtet. Dafür gibt es zwei Optionen, Zusendung eines Codes per E-Mail und Nutzung eines Authenticator Apps, welches den Code zeitbasiert generiert. Aus Sicherheitsgründen sollte man den Code mittels Authenticator App erzeugen. Nutzt man E-Mail, so sollte man für das Zusenden des Codes nicht die gleiche Adresse verwenden, mit der man sich auch an der Plattform anmeldet. Nach der Aktivierung von 2FA gibt es eine Option, Backup Token zu erzeugen. Diese sollten immer erstellt werden, um den Zugang auch bei Problemen mit E-Mail oder Authenticator App zu ermöglichen.

Hinweise zur Nutzung durch Schulen

Grundsätzliches

Die Nutzung von Qwiqr ist auf Datensparsamkeit angelegt. Nur Lehrkräfte benötigen ein Konto, um die Feedback Funktionen nutzen zu können. Dafür ist nicht mehr als eine E-Mail Adresse erforderlich. Bei Schulkonten (Teams) muss eine Schul E-Mail Adresse angegeben werden. Darüber hinaus wird noch ein Passwort benötigt. Schüler selbst benötigen kein Konto, weder um Feedback abzurufen noch um bei der Option Conversation eigene Inhalte einzugeben.

Auch wenn die Wahrscheinlichkeit extrem gering ist, dass ein Code erraten wird und Dritte Zugriff auf Inhalte erhalten, sollte man trotzdem auf Datensparsamkeit achten. Das bedeutet, es sollten keine Namen von Personen genannt werden und Feedback sollte keine sensiblen Inhalte haben. In der kostenlosen Version werden aufgenommene Feedbacks nach 90 Tagen automatisch gelöscht. In der Premium Version bleiben sie gespeichert, solange der Nutzer einen Premium Account hat. Feedbacks sollten grundsätzlich, sobald sie ihren Zweck erfüllt haben, von der Lehrkraft gelöscht werden. Ausnahme könnten bei Nutzung eines Premium Kontos Feedbacks sein, die sehr allgemein gehalten sind und mehrfach verwendet werden sollen.

Bei Fotos sollte darauf geachtet werden, dass auch diese keine Daten enthalten, die einer Person leicht zuzuordnen sind. Gleiches gilt auch für Texte.

Wenn Schüler mit der Option Conversation die Möglichkeit erhalten, Inhalte einzustellen, sollten Regeln besprochen werden. Außerdem sollte je nach Setting die Möglichkeit, Inhalte einzustellen auf Audio oder Text begrenzt werden. Fotos sollten nur, wo tatsächlich erforderlich zugelassen werden.

Es ist auch möglich, Schülern nur den kurzen zehnstelligen Code zu geben, den diese dann auf der Website direkt eingeben. Davon sollte abgesehen werden, da Schüler vorher erst die Cookies ablehnen müssten, damit Google Analytics nicht ihre IP Nummer erfasst.

Nutzung zu Hause/ auf privaten Geräten/ BYOD

Da beim Aufruf eines Qwiqr Feedback über einen QR Code oder Link keine personenbezogenen Daten aufgerufen werden, durch welche ein Risiko für Schüler entstehen könnte, kann eine Nutzung ohne Bedenken von privaten Endgeräten aus erfolgen. Dabei ist es auch unerheblich, dass es sich um mobile Endgeräte handelt, die an ihrer eigene IP Adresse bei Nutzung außerhalb eines WLAN einer Person zu geordnet werden könnten. Auf Qwiqr läuft beim Zugriff auf einen Feedback Link keine Tracking Technologie, die dieses ermöglicht.⁵

Information und Einwilligung der Betroffenen

Bei der Nutzung von Qwiqr mit einem Schulkonto fallen personenbezogene Daten der Nutzer an. Das ist auf der Seite der Lehrer die Einrichtung von Konten in der Plattform mit Schul-E-Mail Adresse und Passwort. Personenbezogene Daten fallen auch an, wenn Feedback (z.B. Stimme) erstellt wird, auch wenn dieses ohne erkennbaren direkten Personenbezug aufgenommen wird. Bei Schülern werden über den Server auch ohne Analysetools personenbeziehbare Daten wie die IP Nummer erhoben. Außerdem hält die Plattform fest, wann ein Feedback zuletzt abgerufen wurde. Können Schüler im Conversation Modus eigene Inhalte einstellen, fallen weitere personenbezogene oder -beziehbare Daten an. Entsprechend ist nach Art. 12 DS-GVO zu informieren und gem. Art. 6 Abs. 1 lit. a eine Einwilligung einzuholen.

Datenschutz Bewertung Übersicht

Nutzung durch Schüler – Feedback

Da eine Nutzung ohne Nutzerkonten für Schüler möglich ist und bei Verwendung der Feedback Links keine personenbezogenen Daten erhoben werden, aus denen sich für die Schüler ein Risiko ergeben könnte, kann Qwiqr für Feedback empfohlen werden.

Nutzung durch Schüler – Conversation

Bei Conversation, etwa um in einer Fremdsprache auf eine Frage der Lehrkraft zu antworten, wird auch die Stimme des Schülers aufgenommen. Solange hier keine persönlichen Informationen Gegenstand sind, entsteht für Schüler kein nennenswertes Risiko. Bei Videoaufnahmen sollten keine Personen aufgenommen werden.

Nutzung durch Lehrkräfte – Feedback geben

Lehrkräfte kommen ohne Konto nicht aus. Für Schulkonten müssen Schul-E-Mail Adressen genutzt werden. Risiken enstehen für Lehrkräfte aber auch dadurch nicht, da der Anbieter diese Daten nicht für eigene Zwecke nutzt. Google Analytics kann einfach deaktiviert werden.

Fazit

Qwiqr ist eine Online Plattform, die eine einfache und sichere Möglichkeit bietet, Schülern ein individuelles oder auch eher allgemeines Feedback in verschiedenen Formaten zu geben. Solange dabei durch die Lehrkräfte darauf geachtet wird, dass keine Namen oder sonstigen persönlichen Details genannt oder gezeigt werden, die auch ohne Zusammenführung mit weiteren Daten leicht einer identifizierbaren Person zuzuordnen werden können, kann die Plattform ein wertvolles Instrument für die Schule sein. Auch eine Nutzung, bei welcher Schüler Inhalte eingeben können, ist gut machbar, wenn die Möglichkeiten auf das Notwendige eingeschränkt werden und die Regeln für alle klar sind.

Eine Nutzung durch eine einzelne Lehrkraft mit kostenlosem oder bezahltem Konto kann, wenn überhaupt nur mit Zustimmung der Schulleitung sowie Information und Zustimmung der Betroffenen erfolgen. Risiken entstehen dabei für Lehrkräfte und Schüler genauso wenig wie bei der Nutzung eines kostenpflichtigen Schulkontos. Ohne dieses gibt es jedoch keinen Vertrag zur Auftragsverarbeitung und damit bewegt sich die Schule bzw. Lehrkraft in einer rechtlichen Grauzone. Schulen, die Gefallen an Qwiqr finden, sollten ein Schulkonto, Premium for Teams, nutzen, damit sie das Angebot rechtssicher einsetzen und den Anbieter finanziell unterstützen können.

Disclaimer

Ich bin mit Mark Waller, dem Mann hinter Qwiqr, mehrfach in Kontakt gewesen und habe ihn auch etwas beraten mit Bezug auf den Vertrag zur Auftragsverarbeitung und die Berücksichtigung der Folgen von Brexit. Dafür habe ich kein Geld oder sonstige Vergünstigungen erhalten. Dieser Datenschutz Check enstand nicht als Gefälligkeit, sondern auf Rückfrage verschiedener Lehrkräfte.

Stand 01/2023

Anton App – interaktive Übungen

Lesezeit: 4 Minuten

Anton ist ein Angebot für interaktive Übungen für Schülerinnen und Schüler der Grundschulen wie weiterführenden Schulen. Vor allem in Grundschulen erfreut sich die Plattform einer recht großen Beliebtheit. Hinter Anton App steht ein noch recht junges Startup, Solocode GmbH, welches sein Projekt mit EU Fördermitteln gestartet hat. Bisher vertritt man bei Anton den Grundsatz, dass es immer ein kostenloses Angebot geben soll, um keine Nutzer auszuschließen, weil ihnen die finanziellen Möglichkeiten fehlen. Wer bereit ist, zu zahlen, erhält zusätzliche Funktionen, etwa die Möglichkeit, auf mobilen Endgeräten über das App auch offline zu üben oder den eigenen Avatar aufzuhübschen. Für Schulen gibt es die Anton Schul-Lizenz, die es Schulen ermöglicht, Nutzer anzulegen und Anton gezielt im Unterricht zur individuellen Förderung einzusetzen. Datenschutz nehmen die Anbieter sehr ernst.¹

Solocode GmbH erhebt und verarbeitet die personenbezogenen Daten von Nutzern nicht, um daraus Profile zu erstellen, gegen die Werbung geschaltet wird. Es werden auch keine Daten verkauft. Entsprechend sind auch die Nutzungsbedingungen und die Datenschutzerklärung gestaltet bzw. der Vertrag zur Auftragsverarbeitung, den Schulen erhalten, wenn sie eine kostenpflichtige Schullizenz nutzen.

Der Zugang zu Anton ist über die Website unter https://anton.app und Apps für iOS und Android möglich. Zur Anmeldung reichen für Schüler ein Nutzername und ein Passwort.

Datenschutz, Sicherheit

Serverstandort, Anbieter

Anton nutzt Server in Deutschland², wo auch der Anbieter seinen Sitz hat.

Cookies, Tracking

Anton nutzt ein Minimum an Technologien, die im Hintergrund des Angebots laufen. Sämtliche Verbindungen erfolgen außschließlich zu Servern des Anbieters. Das heißt, es gibt keine Datenabflüsse an Dritte, nicht an Werbefirmen, nicht an soziale Netzwerke und auch nicht an Firmen, die Daten sammeln, um Nutzerprofile zu erstellen.³

Google-Analytics

Der Anbieter verzichtet, abgesehen von den üblicherweise von Servern erstellten Log-Dateien, auf den Einsatz von Technologien, welche Nutzerverhalten aufnehmen und analysieren und nutzt keine Analyse Dienste von Google oder anderen Firmen.

Einbindung externer Inhalte

Es werden keine externen Inhalte in Anton genutzt. Medien wie z.B. Tondateein oder Bilder werden über eigene Server vorgehalten.

iOS und Android Apps

Nach Angaben des Anbieters berücksicht man bei der Entwicklung beider Apps das Prinzip Datensparsamkeit.

Kuketz, IT Sicherheits, Datenschutzexperte und Mitarbeiter einer Aufsichtsbehörde hat die App geprüft und auf Twitter das Ergebnis veröffentlicht: “Kurzprüfung der ANTON-Lern-App für Schüler der Klassen 1. bis 10. Selten so eine datenschutzfreundliche App gesehen. Sogar das Logging wird auf eigenen Servern durchgeführt.”

Hinweise zur Nutzung durch Schulen

Grundsätzliches

Anton benötigt für die Erstellung von Nutzerkonten für Lehrkräfte wie auch Schüler lediglich einen Nutzernamen, der frei gewählt werden kann. Der Zugang erfolgt über einen vom System generierten Zufalls-Code. Als Lern- und Übungsplattform zeichnet Anton bearbeitete Übungen und Fortschritte automatisch auf, verbunden mit dem Datum der Bearbeitung. Lehrkräfte können diese Daten einsehen, um Schülern Feedback zu geben und gezielt Übungen zuzuweisen. Von Spielen, die Schüler in Anton spielen können, werden Highscores erstellt, welche für alle Schüler einer Lerngruppe sichtbar sind.⁴ Lehrkräfte wie Schüler haben als Nutzer die Möglichkeit, eine E-Mail Adresse und ein Passwort zu hinterlegen, um bei Verlust des Codes eigenständig den Zugang wiederherzustellen.

Nutzung in der Schule

Schulen mit Schul-Lizenz schließen mit dem Anbieter einen Vertrag zur Auftragsverarbeitung ab. Damit ist sichergestellt, dass personenbezogene Daten von Schülern und Lehrkräften nur zu Zwecken der Schule verarbeitet werden. Eine Einwilligung ist auf Seiten der Betroffenen vor Bereitstellung des Zugangs-Codes einzuholen. Sollten Betroffene die Einwilligung verweigern, bleibt diese immer noch die Möglichkeit, Anton mit einem privaten Konto zu nutzen. Sie müssen dann ohne Feedback und Zuweisung von Aufgaben durch die Lehrkraft damit arbeiten, sind aber von der Nutzung nicht ausgeschlossen.

Da die App sehr datensparsam arbeitet und keinen Dritten Zugriff auf Nutzerdaten gewährt, entstehen bei einer Nutzung in der Schule keine Risiken für die Schüler. Bei einer Nutzung auf iPads ohne individuelle Nutzerkonten (shared iPad) oder PC, die im Klassenraum gemeinsam ohne Nutzerkonten genutzt werden, muss die Schule darauf achten, dass Kinder sich nach Ende des Unterrichts aus dem App oder dem Browser ausloggen, um anderen den Zugriff auf das eigene Konto zu verwehren.

Nutzung zu Hause/ auf privaten Geräten/ BYOD

Bei einer Nutzung auf Privatgeräten, ob in der Schule oder von zu Hause aus, entstehen für Schüler keine Risiken. Es werden keine Standort- oder Gerätedaten⁵ gespeichert, die dazu geeignet wären, über Zusammenführung mit Daten aus anderen Quellen, eine Zuordnung zu einer identifizierbaren Person vorzunehmen. Die Nutzung ist von daher unbedenklich.

Information der Betroffenen

Wie bei jeder von der Schule genutzten Plattform müssen Nutzer vor der Einwilligung über die zur Nutzung erforderliche Datenverarbeitung von Anton informiert werden.

Datenschutz Bewertung Übersicht

Nutzung in der Schule mit schulischen Endgeräten

Da Anton wirklich sehr datenschutzfreundlich ist, bestehen für Schüler keine Risiken.

Nutzung auf privaten Endgeräten/BYOD

Auch bei einer Nutzung auf privaten Endgeräten enstehen für Nutzer keine Risiken.

Fazit

Anders als viele andere Plattformen zum Lernen und Üben ist Anton sehr datenschutzfreundlich aufgestellt. Es spricht aus Gründen des Datenschutzes nichts gegen eine Nutzung in der Schule und zu Hause.

Ergänzung

Im März 2021 gab es bei Anton App eine kurzzeitige Sicherheitslücke, die es Dritten potentiell erlaubte, auf die Daten von Nutzern auf den Servern des Anbieters zuzugreifen. Nach Angaben des Anbieters, der sehr transparent mit der Situation umgeht, konnte die Sicherheitslücke schnell geschlossen werden. Unbefugte Zugriffe durch Dritte waren im System nicht nachweisbar. Der Anbieter geht deshalb davon aus, dass für Nutzer keine Risiken entstanden sind. Weitere Informationen unter Status und Sicherheit bei Anton App

Stand 03/2021

Quizlet – interaktive Lernkartensets

Lesezeit: 7 Minuten

Weltweit erfreut sich Quizlet großer Beliebtheit. Es lassen sich damit Vokabeln, Fachbegriffe und Wissen trainieren und abfragen. Ohne großen Aufwand können Lehrkräfte ansprechende Lernsets für Fremdsprachen wie auch die Festigung von Fachwissen zu erstellen. Bei Fremdsprachen besondern nützlich ist die Audiofunktion, mittles welcher beispielsweise Vokabeln über Sprache abgefragt werden können. Mit Quizlet Live können Schüler einer Lerngruppe in Teams gegeneinander antreten. Die Plattform bietet außerdem Funktionen, Kurse einzurichten und dann auch Lernaktivitäten anzuzeigen und zu überprüfen. Quizlet kann mit Microsoft Teams und Google Classroom verbunden werden, so dass Schülern dorthin Aufgaben gestellt werden können, die sie dann in Quizlet erledigen. Auch ein Facebook Konto kann zum einfachen Login genutzt werden. Die Datenschutzerklärung findet sich unter https://quizlet.com/privacy. Zusätzlich gibt es noch eine Informationsseite zum Schutz von Nutzerdaten (https://help.quizlet.com/hc/de/articles/360030253571-Schutz-von-Nutzerdaten), die in verständlicher Sprache erklärt, wie Quizlet Daten nutzt und schützt, und eine Cookie Richtlinie unter https://quizlet.com/de/cookies. Ein Teil der Cookies lässt sich beim ersten Besuch der Seite über “Weitere Optionen” im Cookie Banner deaktivieren. Die Plattform lässt sich in vollem Umfang nur nach Erstellung eines Kontos nutzen. Das gilt für Lehrkräfte wie für Schüler.¹ Letztere können sich auch aus Office 365 oder G Suite for Education über SSO anmelden. Die Nutzung von Quizlet ist für Lehrkräfte und Schüler ohne Bezahlkonto möglich. Es wird dann Werbung angezeigt.

Quizlet ist über den Browser nutzbar und über Apps für iOS und Android. Beide Apps setzen für die Nutzung eine Registrierung des Nutzers voraus.

Datenschutz, Sicherheit

Serverstandort, Anbieter

Quizlet ist ein US Anbieter² und nutzt Server in den USA. Der Anbieter hat sich nach dem EU-US Privacy Shield zertifiziert³ und sichert außerdem zu, sich an die Vorgaben von COPPA (Children’s Online Privacy Protection Act) zu halten. In einer Erklärung zum Schutz von Nutzerdaten wird erklärt, dass man auch “Musterverträgen und Standardvertragsklauseln” verwende, um den Transfer von Daten aus der EU in die USA abzusichern. Ob solche für Schulen verfügbar sind, ist der Seite nicht zu entnehmen. Entsprechende Dokumente scheinen auch nirgendwo einsehbar.

Datenschutzerklärung

Die Datenschutzerklärung ist in deutscher Sprache verfügbar und bemüht sich um Transparenz. Es gibt jedoch Bereiche, wo man recht vage bleibt. Unter Daten, die man automatisch erhält, werden die üblichen Logdaten beschrieben, gerätebezogene Daten und Daten zur Geolokation. Hinzu kommen Daten aus anderen Quellen, von Dritten also, wenn Social Logins genutzt werden, aber auch von nicht näher definierten “Partnern, Dienstleistern oder anderen Drittparteien”. Die Daten von Kindern möchten man besonders schützen. Deshalb nutzt man in Bereichen, zu denen Kinder Zugang haben, eine “eingeschränkte Version von Google-Analytics, um […] die Weiterleitung und Rückverfolgung von Daten zu beschränken.” Bei der Verwendung der Daten gibt es auch den Bereich “Werbung, Analysen und Marketing.” Hier gibt man offen an, personenbezogene Daten der Nutzer für die Vermarktung des Dienstes und die “Einspielung für Sie relevanter Anzeigen während Ihrer Nutzung des Dienstes.” Das gilt für alle Nutzer. Weiterhin räumt man sich das Recht ein, Analysen von Drittanbietern zu nutzen, welche beispielsweise die IP-Adresse aufnehmen, eine Gerätekennung, andere auf dem Gerät installierte Apps aufnehmen. Um Werbung anzuzeigen, nutzt man das DoubleClick-Cookie von Google und OpenX. Unter Cookies wird dann erklärt, wie man selbst Cookies nutzt und wie man externen Partnern das Recht einräumt, Cookies zu setzen, auch im lokalen Speicher. Mit der Einbindung von Diensten Dritter und Anzeige von Dritten gehen weitere Datenabflüsse einher. Quizlet übernimmt für diese nicht selbst Verantwortung, sondern lässt Nutzer wissen “Diese Datenschutzerklärung gilt nicht für Cookies, Zählpixel oder andere Tracking-Technologien von Drittanbietern” und verweist auf die Datenschutzerklärungen dieser nicht näher beschriebenen Anbieter. Unter Cookie-Richtlinie wird über die Herkunft und Funktion von Cookies informiert. Dort gibt es dann auch einen Punkt Cookies von Drittanbietern, unter dem verschiedene Anbieter aufgelistet sind:

AdRoll
Amazon Transparent Ad Marketplace
Cloudflare
comScore (Scorecard Research)
Google Ads + Partnerschaften mit einer Reihe von Werbungs-Tauschbörsen auf Google
- Critereo
- District M
- Index Exchange
- inMobi
- JW Player
- Oath
- Pubmatic
- Sovrn
FullStory
Google-Analytics
QuantCast

Unter Hilfen gibt es den oben bereits erwähnten Beitrag Schutz von Nutzerdaten, in dem es um die Einhaltung der Vorgaben der DS-GVO durch Quizlet geht. Hier wird erklärt, auf welcher Rechtsgrundlage man Nutzerdaten verarbeitet und welche Rechte Nutzer gegenüber dem Anbieter haben. Von einem Vertrag zur Auftragsverarbeitung oder einem Data Processing Agreement steht dort nichts.

Cookies, Tracking

Es ist möglich, alle Cookies bis auf die “Unbedingt erforderlichen Cookies” zu deaktivieren.⁴ Der Anbieter weist darauf hin, dass dann die Funktionalität in Teilen beeinträchtigt sein könnte. Trotz Deaktivierung bleiben immer noch eine Reihe von bedenklichen Diensten im Hintergrund aktiv.

Bei Deaktivierung zeigt Chrome Browser 76 Cookies an, wenn ein Kartenset aufgerufen wird. Opera zeigt 37 Cookies und der integrierte Privacy Badger 45 mögliche Tracker an.⁵ Die Anzahl der nachweisbaren Cookies kann sich über die Besuchsdauer auf Quizlet verändern, da auch die geschaltete Werbung sich verändert. Dadurch nimmt die Zahl der Cookies mit der Verweildauer zu. Ein einheitliches Bild ist von daher schwierig zu gewinnen. Über die Entwickler Tools lassen sich zahlreiche Cookies und im Local Storage abgelegte Informationen verschiedener Drittanbieter nachweisen. Serverkontakte sind nachweisbar u.a. zu

ads.pubmatic.com
ats.rlcdn.com
doubleclick.net
static.ads-twitter.com
tagan.adlightning.com
googletagmanager.com
google-analytics.com
signal-beacon.s-onetag.com
google_ads_iframe/…

Zu den regelmäßig gesetzten Cookies gehören beispielsweise:

cto_bidid und cto_bundle – über welche durch Google Nutzerverhalten erfasst wird, um relevantere Werbung anzuzeigen
_scid – womit eine eindeutige ID für den Nutzer festgelegt wird, die es Drittanbietern ermöglicht, den Nutzern mit relevanter Werbung anzusprechen. Dieser Dienst wird von Werbeknotenpunkten Dritter bereitgestellt, die das Bieten in Echtzeit erleichtern.
muc_ads – ein Twitter Dienst, über den Daten zum Nutzerverhalten und zur Interaktion gesammelt werden, um die Website zu optimieren und die Werbung auf der Website relevanter zu gestalten.
personalization_id – ein Twitter Cookie, welches für Twitter-Integrations- und Freigabefunktionen für die sozialen Medien gesetzt wird.
_gcl_au – ein Google Cookie im Zusammenhang mit Google Ads Conversion Tracking, der Messung der Wirksamkeit von Werbung
KRTBCOOKIE_80 – ein Cookie stammt von PubMatic, dass eingesetzt wird, um die Nutzer gezielt mit Werbung anzusprechen.

Google-Analytics

Bei Quizlet ist Google-Analytics über die Entwicklertools nachweisbar. Die Ergebnisse sind in Untersuchungen mit verschiedenen Tools nicht einheitlich und dürften auch von der geschalteten Werbung abhängen.

Eine Deaktivierung ist durch den Anbieter nicht vorgesehen. Nach Angaben des Anbieters wird der Dienst nur mit eingeschränkten Funktionen genutzt, um Kinder zu schützen.⁶

Einbindung externer Inhalte

In Lernkarten können Bilder und Grafiken eingebunden werden, die entweder bei Quizlet selbst gespeichert sind oder aus anderen Quellen (Flickr) kommen. Eigene hochgeladene Bilder landen auf Quizlet Servern. Bei von Flickr eingebundenen Bildern erfolgt entsprechend ein Zugriff auf die Server dieses Anbieters.

iOS und Android Apps

Es ist zu erwarten, dass die Apps aus Sicht des Datenschutz gleichermaßen problematisch sind wie die Website selbst, da sie nur einen Zugang zum Online Dienst darstellen.

Nachweisbar sind bei dem iOS App auch ohne eine Anmeldung durch das bloße Starten des Apps Serverkontakte wie zu

doubleclick.net
amazon-adsystem.com
appsflyer.com
apptimize.com
graph.Facebook.com
iad-03.braze.com
googletagmanager.com

Für Android ließen sich für das Quizlet App auch ohne Anmeldung nur durch das Starten des Apps verschiedene Serverkontakte nachweisen, wie etwa

Facebook Graph (graph.Facebook.com)
Google-Firebase (firebaselogging-pa.googleapis.com)
brahe.apptimize.com (ein Analyse Dienst zur Optimierung von Apps für Einnahmen)

Es lassen sich im App darüber hinaus u.a. Tracker Libraries, d.h. Programm Code, nachweisen für Amazon Advertisement, Appsflyer, Google Analytics, Google Tag Manager, Google AdMob nachweisen. Einige davon werden möglicherweise erst nach einem Login aktiviert.

Hinweise zur Nutzung durch Schulen

Grundsätzliches

Quizlet erlaubt es zwar, Lernkarten Sets über den Browser ohne eine Anmeldung in den Modi Karteikarten und Zuordnen zu nutzen, doch dieses ist nicht möglich ohne die Anzeige von Werbung und Datenabflüsse an zahlreiche Drittanbieter. Auch wenn die Werbung unpersonalisiert ist, wird auch regelmäßig Werbung für die Zielgruppe Kinder und Jugendliche angezeigt.

Auch wenn Nutzer beim ersten Besuch der Website einen Teil der Cookies deaktivieren können, bleiben noch immer so viele Dienste aktiv, dass Nutzerverhalten durch den Anbieter wie auch Dritte verfolgt, ausgewertet und zur Bildung von Profilen zur gezielten Anzeige von Werbung genutzt werden kann.

Durch die Anzeige von Werbung ist eine unterrichtliche Nutzung von Quizlet aus Sicht von Datenschutz und mit Blick auf die Wahrung der Rechte von Kindern und Jugendlichen nicht vertretbar.

Auf mobilen Endgeräten lässt sich Quizlet am komfortabelsten mit den mobilen Apps nutzen. Diese sind aus Datenschutzsicht ebenfalls nicht unbedenklich, da sie verschiedene Analyse Dienste Dritter integrieren und eine Nutzung ohne Erstellung eines Kontos nicht möglich ist.

Die Erstellung von Schülerkonten ist bei Quizlet problematisch, da dieses entweder eine E-Mail Adresse voraussetzt oder einen schulischen Login, über welche Schüler leicht zu identifizieren sind. Als US Anbieter, der seine Daten nach eigenen Aussagen in den USA verarbeitet und auch Drittanbieter nutzt, über die Nutzerdaten direkt in die USA abfließen, und der auch keinen Vertrag zur Auftragsverarbeitung bzw. ein vergleichbares Rechtsinstrument nach Unionsrecht bereitstellt landen so Schülerdaten in den USA und unterliegen unmittelbar US Recht. Im schulischen Zusammenhang ist die Erstellung von Schülerkonten deshalb nicht vertretbar.

Der Verzicht auf die Erstellung eines Kontos bedeutet, deutliche Einschränkungen bei der Nutzung und beim Nutzen von Quizlet. Mehr als etwas Üben und Einprägen ist damit so im Prinzip nicht möglich.

Nutzung in der Schule

Eine datenschutzfreundliche Nutzung in der Schule ist unter aktuellen Bedingungen kam umzusetzen. Sie würde neben einer Nutzung über schulische Endgeräte und ohne gleichzeitigen Login an anderen Online Diensten erfordern, dass die Schule einen Werbeblocker im schulischen Internetzugang installiert hat, der die Anzeige von Werbung zuverlässig unterbindet.

Solange Quizlet keine Nutzung seiner Lernsets ohne personalisierte Werbung ermöglicht, dürfte eine Nutzung in der Schule selbst auf schuleigenen Geräten und ohne Login an anderen Plattformen aus datenschutzrechtlicher Sicht kaum so umsetzbar sein, ohne dass die Schüler in ihrem Recht auf informationelle Selbstbestimmung massiv beeinträchtigt werden.

Nutzung zu Hause/ auf privaten Geräten/ BYOD

Eine Nutzung von Quizlet in der häuslichen Umgebung bzw. mit eigenen Endgeräten ist aus Sicht des Datenschutz noch einmal deutlich bedenklicher, da private Smartphones, Tablets und PC nahezu immer an den Diensten Dritter angemeldet sind. Das erleichtert es Dritten, die in Quizlet im Hintergrund aktiv sind, noch einmal die erfassten Nutzerdaten auszuwerten.

Information der Betroffenen

Wenn Lehrkräfte Lernsets erstellen und ihren Schülern zur freiwilligen Nutzung außerhalb des Unterrichts zur Verfügung stellen, sollten die Betroffenen unbedingt über die möglichen Risiken informiert werden und auch darauf hingewiesen werden, dass zumindest ein Teil der Cookies deaktiviert werden kann.

Datenschutz Bewertung Übersicht

Nutzung in der Schule mit schulischen Endgeräten

Auf schulischen Endgeräten in der Schule, ohne Anmeldung an der Plattform oder an anderen nicht-schulischen Plattformen und ohne Verwendung von persönlichen Informationen entstehen für Schüler als Nutzer keine Risiken aus den im Hintergrund aktiven Tracking Tools von Quizlet und Drittanbietern. Da jedoch immer Werbung angezeigt wird, ist eine unterrichtliche Nutzung nicht zu empfehlen.

Nutzung auf privaten Endgeräten/BYOD

Problematik ist im Vergleich zur Nutzung auf Schulgeräten noch größer, da auf privaten Endgeräten auch die verschiedenen Tracker und Analyse Dienste wirken und darüber Nutzerdaten abfließen. In der Plattform wird durch die Querverbindungen zu Daten aus anderen Quellen personalisierte Werbung angezeigt.

Fazit

Quizlet ist in Bezug auf das Thema Datenschutz und die Wahrung der Rechte von Kindern und Jugendlichen für eine Nutzung in der Schule aktuell nicht geeignet. Um diese Bewertung zu ändern, müsste Quizlet zumindest auf die Anzeige von Werbung verzichten. Da es sich um einen US Anbieter handelt, der seine Daten direkt in den USA verarbeitet, käme aktuell eine Nutzung mit individuellen Nutzerkonten für Schülerinnen und Schüler auch mit einem Vertrag zur Auftragsverarbeitung oder Data Processing Agreement nicht in Frage, da diese nicht ausreichen würden, um die Rechte der Nutzer ausreichend abzusichern.

Wenn Lehrkräfte Schülern ihre Lernsets zu einer freiwilligen außerunterrichtlichen Nutzung im eigenen Ermessen anbieten, dann sollte dieses allerhöchstens bei älteren Schülern ab Vollendung des 16. Lebensjahres erfolgen. Die Datenschutzproblematik darf dabei nicht unterschlagen werden. Bei jüngeren Schülern muss damit gerechnet werden, dass diese sich ohne Wissen der Eltern ein Konto anlegen, vielleicht auch, um der Lehrkraft zu gefallen. Die dadurch für sie entstehenden Risiken können sie definitiv noch nicht abschätzen.

Stand 05/2022

LearningApps – interaktive Übungen

Lesezeit: 4 Minuten

Hinweis: Die Plattform LearningApps ist jetzt sehr datenschutzfreundlich nutzbar, in der Schule, wie auch außerhalb der Schule und auf privaten Endgeräten, da der Anbieter auf Google-Analytics verzichtet.

LearingApps.org ist ein bei Schulen sehr beliebtes Angebot an interaktiven multimedialen Übungsbausteinen. Bei LearningApps handelt es sich um ein Projekt, welches ursprünglich von der Pädagogischen Hochschule Bern, in Kooperation mit der Universität Mainz und der Hochschule Zittau/Görlitz entwickelt und betrieben wurde. Heute steht ein non-Profit Verein dahinter. Man hat also keine finanziellen Interessen, sondern ist sogar auf Spenden angewiesen, um das Angebot ohne Werbung aufrechtzuerhalten. Es gibt eine Datenschutzerklärung, in welcher man alles über die zur Nutzung von LearningApps erforderliche Datenverarbeitung erfährt. Dort kann man auch Google-Analytics, welches die Seite nutzt, mit einem Klick deaktivieren. Die Datenschutzerklärung finden Sie unter https://learningapps.org/rechtliches.php Eine Anmeldung ist für die Nutzung von LearningApps nicht erforderlich.

Datenschutz, Sicherheit

Serverstandort, Anbieter

LearningApps wird auf Servern in Deutschland¹ betrieben. Der Anbieter kommt aus der Schweiz. Die Datenverarbeitung von EU Bürgern in der Schweiz bzw. durch Schweizer Unternehmen ist durch einen Angemessenheitsbeschluss abgesichert, mit welchem für die Schweiz ein der DS-GVO vergleichbares Datenschutzniveau festgestellt wird.

Cookies, Tracking

LearningApps setzt eigene Cookies (1st Party Cookies). Neben einem funktionalen PHPsession ID Cookie werden vier weitere im Zusammenhang mit einem selbstbetriebenen Analyse Tool gesetzt. Dazu gehören eine Matomo_SessionID und eine längerfristige ID (_pk._id), eine Information zum Referrer, woher der Nutzer auf LearningApps kommt (_ph_ref) und ein damit verbundenes Session Cookie (_pk_ses). Bei der Einbindung von hochgeladenen Bildern, wird eine Verbindung zu einem weiteren von LearningApps genutzten, ebenfalls in Deutschland lokalisierten, Server aufgebaut.

Google-Analytics

Der Anbieter setzt seit August 2022 kein Google-Analytics mehr ein. Stattdessen kommt mit Matomo (ehemals Piwiki) ein eigenes, selbst gehostetes Analyse Tool zum Einsatz unter analytics.learningapps.org.

Einbindung externer Inhalte

Bei Übungen, in welchen z.B. Audio- oder Videomaterial eingebunden wird, werden diese in der Regel über YouTube eingebunden. Auch die Verlinkung aus Übungen heraus auf Inhalte außerhalb von LearningApps kann, je nach Gestaltung des Links, zu weiteren Datenabflüssen an Dritte führen.

Hinweise zur Nutzung durch Schulen

Grundsätzliches

Bis zum Sommer 2021 war es möglich, in LearningApps auch Schülerkonten und Klassen anzulegen, um Übungen gezielt Lerngruppen zuzuweisen und individuelle Lernfortschritte einzusehen. Um dem Datenschutz mehr Rechnung zu tragen, hat der Anbieter diese Funktionen jetzt deaktiviert. Bestehende Schülerkonten werden zum Jahresende 2021 gelöscht. Alternativ gibt es nun die Möglichkeit, verschiedene Übungen in Kollektionen zusammenzufassen und diese den Schülerinnen und Schülern einer Lerngruppe per QR-Code, Link oder eingebettet in eine Website zur Verfügung zu stellen. Habe die Lernenden eine Übung bearbeitet, können sie den Vornamen oder ein verabredetes Pseudonym eintragen, um der Lehrkraft die Möglichkeit zu geben, ihre Lernfortschritte in der einzelnen App einzusehen.

Wenn Lehrkräfte ihre Schülerinnen und Schülern darum bitten, nach Abschluss der Bearbeitung einer App innerhalb einer Kollektion dort einen Namen einzutragen, dann sollte vorab geklärt werden, was eingetragen genau werden soll, nur der Vorname oder ein verabredetes Pseudonym.

Nutzung in der Schule

In der Schule können Schüler LearningApps auf schulischen Endgeräten problemlos nutzen. Aus dem genutzten Analyse Tool entstehen keine Risiken für Nutzer.

Nutzung zu Hause/ auf privaten Geräten/ BYOD

Mit dem Ersetzen von Google-Analytics durch eine selbstbetriebene Open Source Lösung für die Analyse der Nutzung der Plattform sind die LearningApps sehr datenschutzfreundlich geworden und können auch auf privaten Endgeräten und von zu Hause aus ohne Risiken für Nutzer eingesetzt werden. Die Nutzung bleibt jedoch immer freiwillig.

Information der Betroffenen

Durch die Nutzung von LearningApps entstehen für Schülerinnen und Schüler keine Risiken, da die Plattform keine Nutzeranmeldung braucht und auch über Analytics keine Daten verarbeitet, die ohne enormen Aufwand einer identifizierbaren Person zugeordnet werden können. Trotzdem sollten die Eltern zumindest einmal im Rahmen eines Elternpflegschaftsabends von der Lehrkraft informiert werden, dass man LearningApps nutzt, dass durch die Art der Nutzung keine Risiken für die Kinder entstehen und natürlich wie und wozu man das Angebot nutzt.

Möchte die Lehrkraft Einblick in die Lernfortschritte bei einzelnen Apps innerhalb einer Kollektion erhalten, sollten Eltern darüber informiert werden. Auch wenn nur der Vorname oder ein Pseudonym verwendet werden, sollte eine Einwilligung der Eltern dazu eingeholt werden. Da die Schule LearningApps nicht mit Vertrag zur Auftragsverarbeitung nutzen kann, handelt es sich hierbei nicht um eine Einwilligung im Sinne der DS-GVO, sondern um eine Einwilligung in die Nutzung von LearningApps mit Angabe eines Pseudonyms/ Vornamens am Ende einer Übung. Diese Einwilligung ist selbstredend freiwillig und aus einer Nichterteilung dürfen den Kindern keine Nachteile entstehen.

Datenschutz Bewertung Übersicht

Nutzung in der Schule mit schulischen Endgeräten

Gute Bedingungen, da die Plattform sehr datensparsam und datenschutz-freundlich arbeitet.

Nutzung auf privaten Endgeräten/BYOD

Auch außerhalb der Schule und mit privaten Endgeräten ist die Plattform ohne Risiken für Schülerinnen und Schüler nutzbar.

Beispiel für Information von Eltern

Sehr geehrte Eltern,

wir nutzen an unserer Schule LearningApps. Das sind kleine interaktive Übungen, die von uns selbst oder anderen Nutzern von LearningApps erstellt wurden. Wir können in LearningApps nur sehen, wie oft eine von uns angebotene Übung bearbeitet wurde, sehen jedoch nicht, wer eine Übung gemacht hat und mit welchem Erfolg. Die Nutzung von LearningApps ist eine sinnvolle und gute Möglichkeit, Unterrichtsinhalte ergänzend zu vertiefen und zu üben. Die Nutzung des Angebotes durch Ihr Kind ist freiwillig. Durch eine Nichtnutzung entstehen ihm keine Nachteile.

Bei LearningApps handelt es sich um ein Projekt, welches ursprünglich von der Pädagogischen Hochschule Bern, in Kooperation mit der Universität Mainz und der Hochschule Zittau/Görlitz entwickelt und betrieben wurde. Heute steht ein Non-profit Verein dahinter. Man hat also keine finanziellen Interessen, sondern ist sogar auf Spenden angewiesen. Es gibt eine Datenschutzerklärung, in welcher man alles über die zur Nutzung von LearningApps erforderliche Datenverarbeitung erfährt.

Stand 10/2022

Datenschutz-Check

Lesezeit: 7 Minuten

Während Lehrkräfte in der Vergangenheit nicht viel darüber nachdachten, ob die tolle neue App oder Online-Plattform, die sie für ihren Unterricht entdeckt hatten und dann kurzerhand direkt in der nächsten Unterrichtsstunde mit ihren Schülern ausprobierten, auch den datenschutzrechtlichen Vorgaben entsprach, ist man heute deutlich sensibler bezüglich des Themas Datenschutz. Es ist klar, nicht alles, was geht, ist auch immer gut, denn manche Anbieter genügen den datenschutzrechtlichen Vorgaben des Schulgesetzes und der DS-GVO nicht oder nur unzureichend. Doch woher weiß man, ob ein App den Anforderungen genügt?

“Weiterhin sind die hohen Anforderungen an den Schutz von Daten von Kindern (s. Art. 6 Abs. 1 lit. f, Art. 8 DS-GVO) und an die Vertraulichkeit sowie die hierzu gebotenen technischen und organisatorischen Datenschutzmaßnahmen zu berücksichtigen (s. Art. 5 Abs. 1 lit. f, Art. 32 DS-GVO). Eine ggf. für die Verarbeitung von Schülerdaten vorgesehene Anwendung bedürfte einer detaillierten Prüfung durch den Verantwortlichen, ob die gesetzlichen und insbesondere technischen und organisatorischen Voraussetzungen erfüllt sind. Dies dürfte mit den in der Regel in Schulen vorhandenen Mitteln kaum zu gewährleisten sein.”¹

Aufsichtsbehörden prüfen zwar durchaus Plattformen auf ihre Datenschutzkonformität und man liest dann Aussagen von ihnen wie, “können wir nicht empfehlen”, doch wer von ihnen Empfehlungen erwartet, wird enttäuscht werden, denn als ein Datenschutz TÜV oder eine Zertifizierungsstelle sehen sie sich nicht, wie auch die LDI NRW betont.

“Die LDI NRW ist keine Einrichtung, die etwa der „Stiftung Warentest“ vergleichbar wäre. Sie selbst kann – schon aus kapazitativen Gründen – grundsätzlich keine Prüfung einzelner Softwareprodukte vornehmen. Sie ist regelmäßig keine Genehmigungsbehörde für Datenverarbeitungsprozesse oder Softwareprodukte. Sie ist auch keine Zertifizierungsstelle und spricht grundsätzlich keine ausdrücklichen Empfehlungen für einzelne Produkte aus.”²

Selbst mit einer Checkliste wie dem Leitfaden für die datenschutzkonforme Auswahl und Nutzung von Apps.pdf des Kultuisministeriums Baden-Württemberg und der sehr gut gemachten Checkliste: Apps im Unterricht – Regeln und Tipps zum datenschutzkonformen Einsatz von DigiBitS wird es für viele Schulen noch immer sehr schwierig sein, eine entsprechende Bewertung vorzunehmen.

Auf dieser Seite sollen deshalb im Laufe der Zeit Bewertungen gesammelt werden zu Online-Plattformen und Apps, die für Schulen von Interesse sind. Beim Datenschutz Check soll festgestellt werden, ob die Angebote datenschutzkonform nutzbar sind bzw. unter welchen Bedingungen das möglich ist. Ziel ist dabei, dieses verständlich und nachvollziehbar aufzubereiten.

Hinweis: Diese Datenschutz-Checks sind keine IT Sicherheits-Checks! Hier geht es darum, inwieweit die Anbieter die formalen Vorgaben der DS-GVO mit Blick auf eine schulische Nutzung einhalten. Wenn es bei Anbietern Sicherheitsvorfälle gab, zu denen öffentliche Informationen vorhanden sind, werden diese hier erwähnt.

Bewertete Plattformen und Apps

Weitere Informationen

Eine US Organisation, welche Apps und Plattformen auf das Thema Datenschutz untersucht und dafür die Datenschutzerklärungen der Anbieter auswertet, ist Common Sense Privacy Program. Auch wenn man sich vor allem auf Apps und Plattformen konzentriert, die für US Schulen von Interesse sind, lohnt ein Blick, da die Auswertungen sehr differenziert sind.

Wie kann man selbst Anbieter überprüfen?

Man sollte zunächst das Impressum/ About nachsehen, um etwas über den Sitz der Firma herauszufinden, da dieses häufig auch die Jurisdiktion ist, welcher der Anbieter unterliegt.
Danach sollte die Datenschutzerklärung/ Privacy untersucht werden. Zu den wichtigsten Angaben zählen die erhobenen Daten und die Dienste Dritter/ Third Parties.
Auch die AGB/ Terms of Service/ Terms/ TOS können wichtige Aufschlüsse liefern. Sind die Angaben dort nur in englischer Sprache verfügbar, kann man sie sich gut mit dem EU Council Presidency Translator (Online-Übersetzungstool der EU Ratspräsidentschaft) übersetzen, der vor allem bei technisch-bürokratischer Sprache sehr zuverlässig ist.
Moderne Browser zeigen an, wie viele Cookies auf einer Website aktiv sind bzw. gesetzt werden. Bei Chrome erhält man diese Informationen über einen Klick auf das Schloss-Symbol links neben der URL der Seite, bei Brave zeigt der Löwenkopf in der Standardeinstellung zusätzlich, welche Aktivitäten geblockt wurden. Vergleichbare Funktionen gibt es bei Firefox, Edge und Safari. Cookies, die unter der URL der Seite selbst aufgeführt werden (1st Party Cookies), sind oft unbedenklich. Anbieter lassen Dienste Dritter, etwa von Google, Facebook und ähnlich zunehmend unter der eigenen URL laufen. Sie erscheinen dann ebenfalls als 1st Party Cookies. Ein Blick lohnt immer auf Cookies, die von anderen URL (3rd party cookies), etwa Google, Facebook, DoubleClick.net, Mixpanel, … in die Plattform eingebunden sind.
Eine einfache Möglichkeit, Cookies und Tracker sichtbar zu machen, ist das Third Party Tracking Tool von ProPrivacy Tools. Die URL wird eingegeben und sofern vorhanden, werden aufgefundene Tracking Tools angezeigt mit der Anzahl der Serverkontakte und einem Vergleichswert, wie oft der jeweilige Tracker auf anderen Websites ermittelt wurde.
Mit dem Webdienst Webbkoll Dataskydd lassen sich Websites auf Cookies und Tracking Mechanismen überprüfen. Dabei sollte darauf geachtet werden, den Test mit einer Seite aus der Plattform, um die es geht, zu machen und nicht mit der Seite, mit welcher der Anbieter seine Plattform bewirbt. Prüft man die Seite, mit welcher der Anbieter auf sein Produkt aufmerksam macht und um Kunden wirbt, wird man nahezu immer Analyse Tools im Hintergrund laufen finden. Das muss in der eigentlichen Plattform nicht der Fall sein.³ Es empfiehlt sich, eine Seite in der Plattform aufzurufen und die URL davon dann in Webbkoll Dataskydd zu testen.
Der DSGVO Webseiten-Check von Dr. Datenschutz prüft Websites recht umfangreich. Anders als bei Webbkoll Dataskydd wird hier auch automatisch bewertet, ob sich aus bestimmten Befunden Datenschutz Probleme ergeben könnten. Nicht jedes aufgezeigte mögliche Problem stellt aber tatsächlich eines dar. Wie bei vergleichbaren Tools kann mit diesem nur geprüft werden, was öffentlich ist. Seiten, die hinter einem Login liegen und andere Befunde ergeben könnten, lassen sich damit nicht überprüfen.
Ein Dienst, der nur auf Daten(ab)flüsse von Websites schaut, ist Request Map Generator. Daten(ab)flüsse von Websites lassen sich damit in Form einer Art von Mindmap sichtbar machen. Die Ziele der Daten(ab)flüsse werden farbig nach ihrer Art kategorisiert. Geprüft werden können mit dem Tool jedoch nur “öffentliche URLs”. D.h. was hinter einem Login passiert, kann wie bei Webbkoll DataSkydd in der Regel nicht geprüft werden.
urlscan.io ist ein deutscher Anbieter, der Websites untersucht und sehr detaillierte Ergebnisse liefert zu kontaktierten Servern, integrierten Links, Cookies, aktiven JavaScripten und mehr. Um zu sehen, was hinter einem Login passiert, braucht es vertieftes Wissen, wie man vorgeht.
Die Seite PrivacyScore beschreibt sich selbst als einen automatischen Webseiten-Scanner dabei unterstützt, Webseiten auf Datenschutz- und Sicherheitsaspekte hin zu untersuchen. Anders als bei Webbkoll Dataskydd sind die Ergebnisse jedoch nicht immer zuverlässig. Wie sicher ein Befund der automatischen Analyse ist, wird mit einem Label markiert.
Die Erweiterung Big Tech Detective für Chromium basierte Browser und Firefox zeigt auf, ob beim Aufruf einer Website Daten mit Servern von Google, Facebook, Amazon und Microsoft ausgetauscht werden. Blockiert man eine der Plattformen, werden deren Anfragen aufgelistet, so dass man sehen kann, über welche Schnittstellen die Kommunikation erfolgt.
Die australische Plattform BuiltWith mit deutschem Benutzerinterface gibt Aufschluss über die von einer Website verwendeten Technologien. Dabei werden auch Analyse- und Tracking Dienste, welche auf einer Website eingebaut sind, aufgeführt. Anders als Webbkoll Dataskydd, liefert BuiltWith keine Echtzeit Analyse, sondern greift auf eine Datenbank zurück, die fortlaufend aktualisiert wird. In den Ergebnissen finden sich auch Hinweise, ob sich genutzte Dienste im Laufe der Zeit verändert haben.
Verwendet eine Website Google Analytics kann man über die Google-Analytics Prüfung der Universität Bamberg testen, ob die IP Nummer dabei durch Verkürzung anonymisiert wird oder nicht. Mit Verkürzung erhält Google Analytics keine IP Nummer, die geeignet ist, die im Zusammenhang mit dieser IP Nummer aufgezeichneten Aktivitäten einer identifizierbaren Person zuzuordnen.
1. Die Prüfung mit dem Tool der Uni Bamberg kommt in der Regel an ihre Grenzen, wenn man innerhalb einer Plattform mit eingeloggtem Nutzern prüfen will. Es bleibt dann noch die Möglichkeit, selbst zu forschen über die Entwicklertools im Chrome Browser oder Chromium basierten Browsern. Eine Anleitung dazu findet sich unter IP-Anonymisierung in Google Analytics prüfen und aktivieren bei traffic3.
Mobile Apps verhalten sich oft ähnlich wie Websites von Anbietern. Auch in Apps können wie in Websites Analyse- und Tracking Dienste eingebaut werden, um Aufschluss über Nutzer und ihr Verhalten zu erlangen. Anbieter wie Facebook und Google bieten App Entwicklern sogenannte Software Developer Kits (SDK) an, die fertige Funktionen liefern und Entwicklern Arbeit abnehmen können. Allerdings kommt dieser Service oft mit einem Preis. Die Anbieter der SDK erhalten Zugriff auf Daten der App Nutzer.
1. Bei iOS sind App Anbieter seit iOS 14 gehalten, genaue Datenschutzinformationen zu geben und Tracking offenzulegen. Hier sollte man genau hinsehen bei der Auswahl von Apps.
2. Seit iOS 15.2 gibt es nun die Möglichkeit, die Aktivitäten von Apps zu protokollieren. Was vorher über nur ein zwischengeschaltetes Tool wie einen Proxy Server möglich war, ist jetzt mit Bordmitteln von iOS machbar. Wenn im Menü Datenschutz aktiviert, zeichnet iOS die Serverkontakte von Apps auf und stellt diese grafisch aufbereitet dar. Das Beispiel stellt die Serverkontakte für das App GoodNotes dar.
  Die Darstellung ist für das einzelne App möglich und für kontaktierte Server. Auf Apps bezogen wird dargestellt, welche Server ein App kontaktiert und auf Server bezogen erfährt man welche Apps eine bestimmte Server Adresse aufrufen. Wer sich tiefer einlesen möchte, findet auf der Entwickler Website von Apple unter Inspecting App Activity Data mehr Informationen.
3. Wer bei iOS noch tiefer forschen will und Einblick in den Netzwerkverkehr der Apps erhalten möchte, kann dieses direkt auf einem iOS Gerät machen, braucht dafür jedoch ein App wie Charles for iOS. Dieses App, welches es auch für macOS und Windows gibt, baut einen Proxy auf, über den HTTP and HTTPS Netzwerk Verkehr aufgezeichnet werden kann. Über SSL-Proxying, lassen sich die SSL-/TLS-Anfragen von Apps im Klartext einsehen.
4. Bei Android gibt es zu Apps ebenfalls Datenschutzerklärungen. Allerdings sind diese nicht mit denen von iOS vergleichbar. Orientierung liefert hier die Datenbank von Mobil-Sicher – App Check. Ergänzend kann man Exodus – (Bewertung von Android Apps in Bezug auf Datenschutz) konsultieren.
5. Sowohl für iOS als auch Android Apps lassen sich Analyseergebnisse und Risikobewertungen bei AppMicroscope.com finden. Nach der Suche nach einem bestimmten App wird angezeigt, welche Ergebnisse vorliegen. Ein Klick auf ein Ergebnis bringt eine detailliertere Ansicht mit Einzelergebnissen.
Wer selbst tiefer bohren möchte, kann sich der Entwickler Tools des Browsers bedienen. Bei Browsern wie Chrome oder Brave, der auf der Chrome Basis aufbaut, oder auch Firefox ist das relativ einfach. Man geht über das Hamburger Menü (die drei Punkte oben rechts) auf Weitere Tools und dann auf Entwickler Tools.
Dort gibt es zwei Stellen, die einen guten Einblick geben, welche Datenverbindungen zwischen Browser und dem bestehen, was von einer besuchten Website angezeigt wird und welche Cookies gesetzt werden.
Unter Sources wird angezeigt, von welchen Servern die im Browser dargestellten Inhalte kommen. Welche Cookies gesetzt werden, ist unter Application sichtbar.Am Beispiel der Seite Quizlet – Ireland (ohne Bestätigung des Cookie Dialogs) sieht man, dass Inhalte der Seite von einer Vielzahl verschiedener Server kommen. Inhalte kommen vom Anbieter Quizlet selbst, aber auch von Google, Ad-Delivery.net, Ads-pubmatic.com, Apple, ats.rlcdn.com, btloader.com, cookielaw.org, CloudFlare, Facebook, Google Double Click, Adlightning, Google Tag Manager und tcfapiLocator.com.
Cookies werden unter dem Reiter Application angezeigt. Doch auch unter Local Storage können Cookies abgelegt sein. Anders als bei den unter Cookies im Browser abgelegten Dateien gibt es hier keine Speicherbegrenzung. Auch hier kann man mitunter Drittanbieter Cookies finden.Für die Website werden unter Application die Cookies angezeigt. Die, welche der Domain der Website (quizlet.com) selbst zugeordnet sind, bezeichnet man als 1st party cookies, und die, welche anderen Websites zugeordnet sind, fallen unter 3rd party Cookies. Um herauszufinden, welche Cookies, woher kommen, reicht eine Websuche mit der Suchmaschine des Vertrauens. Im Fall dieser einzelnen Webseite werden
1. als 3rd party cookies: laufen auf dieser Website ohne Zustimmung zum Setzen aller Cookies im Cookie Dialog keine Cookies. Das ändert sich jedoch massiv, lässt man das Setzen von Cookies uneingeschränkt zu.
2. als 1st party cookies: alle angezeigten Cookies werden als unter der Domain von quizlet.com laufend angezeigt. Dazu gehören Google-Analytics, Pubmatic, Cloud Flare und weitere.