Die datenschutzsensible Schule

Lesezeit: 5 Minuten
Diese Seite ist noch in der Entwicklung.

Datenschutz ist ein Alltagsthema in Schule. Selbst bei sehr grundlegenden und wichtigen Anwendungen, die in vielen Schulen genutzt werden, bereitet der Schutz der personenbezogenen Daten von Schülern und Lehrern Probleme. Dabei ist es vollkommen egal, ob es um den Bereich der Verwaltung geht, der Kommunikation oder den pädagogischen Bereich. Viele Schulen setzen auf die Produkte großer US-amerikanischer Anbieter. Dieses bringt seine eigenen Herausforderungen mit sich. Die Frage ist aber, muss es unbedingt Microsoft und Office 365 sein, die G Suite for Education oder die iCloud? Gibt es keine Alternativen? Es gibt sie. Eine Nutzung ist für Schule längst keine Frage der Kompatibilität mit in Verwaltung und Wirtschaft verbreiteten Formaten mehr. Schüler müssen im Unterricht auch nicht unbedingt mit der Office Suite von Microsoft arbeiten, denn es geht nicht darum, aus ihnen kompetente Nutzer von Microsoft Produkten zu machen. Vielmehr sollen sie in die Lage versetzt werden, eine Textverarbeitung zu nutzen, Tabellenkalkulation, Präsentationssoftware und ähnlich, um damit Probleme zu lösen und produktiv zu arbeiten. Gleiches gilt auch für die Arbeit im Kollegium, wenn es um das gemeinsame Erstellen von Unterrichtsvorhaben, Materialien, Lehrplänen und ähnlich geht.

In diesem Bereich dieser Website sollen deshalb Mittel und Wege vorgestellt werden, wie eine Schule ihrer datenschutzrechtlichen Verantwortung besser gerecht werden kann, ohne Abstriche zu machen bei Themen wie Kollaboration und plattformübergreifende Nutzbarkeit 24/7.

(Volle) Kontrolle über die eigene Datenverarbeitung bedeutet, dass die Plattform entweder in Deutschland oder der EU bzw. dem EWR betrieben und über einen Vertrag zur Auftragsverarbeitung entsprechend Art. 28 DS-GVO abgesichert werden kann oder dass keine personenbezogenen Daten durch die Plattform erhoben werden bzw. diese solches aktiv verhindert. Plattformen, die auf Grundlage von Open Source laufen, können noch einmal einen zusätzlichen Gewinn in Punkto Kontrolle bedeuten.

  • Cloud Speicher

    • NextCloud
    • Owncloud

  • Office Suiten

  • LMS

  • alternative Messenger

    • Threema (AVV)
    • Signal
    • Wire (AVV)1Der Anbieter hat seit Ende 2019 seinen Hauptsitz in den USA. Server stehen in der Schweiz, aber CLOUD-Act ist jetzt relevant.
    • Talk – Messenger in NextCloud
    • Rocket.chat (Chat Plattform, die selbst betrieben werden kann)

  • alternative Videokonfernz Plattformen

  • alternative Browser

  • Kollaboration Tools

Die Tools sind Browser-basiert.

  • Suchmaschinen

  • Karten

  • MDM

    • Jamf School (ehem. ZuluDesk)3Leider aktuell nicht mehr ganz so datenschutzfreundlich wie zuvor, da es von Jamf, einem US Anbieter gekauft wurde und damit trotz Servern in Deutschland und Herkunft aus Holland unter den CLOUD-Act fällt.
    • Jamf (Mac OS, iOS MDM, on premise Betrieb möglich)
    • Relution (multi OS MDM, Shared iPad Lösung ohne iCloud)
    • iServ (Schulserver mit multi OS MDM) 
    • Airwatch (multi OS MDM)
    • Puavo (open source MDM für Linux Clients)
  • Passwortmanager
  • Andere
    • Sharedrop (peer-to-peer sharing von Dateien zwischen Geräten)
    • KurzeLinks.de (URL Shortener, macht aus langen Links kurze)
    • Speechday (Elternsprechtag Buchung zur Selbstinstallation für Schulhomepage)
  • Schutz & Sicherheit (extras)
    es geht hier um Angebote aus dem nicht-professionellen Bereich.

    • Pi-hole (Firewall, die alle Geräte im Netz vor unerwünschten Inhalten, Tracking und mehr schützen kann)
    • Netguard (Android Root Firewall, kann auch Aufschluss geben, wohin Apps Verbindung haben)
    • https://webbkoll.dataskydd.net/de/  (Tool, um Aufschlüsse über Datenabflüsse auf Websiten zu erhalten. In sehr reduziertem Maß finden sich vergleichbare Informationen auch in Browsern.)
    • Exodus – (Bewertung von Android Apps in Bezug auf Datenschutz)
    • Google Analytics Check – (Seite der Uni Bamberg; prüft, ob GA mit IP-Anonymisierung genutzt wird oder nicht)

 

Von Nele Hirsch vom ebildungslabor gibt es auf OER info eine Übersicht über datenschutzfreundliche Offene Webtools und erläuternde Videos von dem Webtalks dazu. Ein Teil der oben aufgeführten Webtools wird dort vorgestellt.

Übersicht Open Source Alternativen

Die Übersicht sammelt Open Source Alternativen zu bekannten vielfach verwendeten Plattformen und Tools. Durch Open Source ist gewährleistet, dass die Verarbeitung durch das Tool oder die Plattform transparent ist. Trotzdem ist wichtig, auf den Anbieter, seine Datenschutzerklärung und Nutzungsbedingungen zu schauen, denn auch mit Open Source Software kann man Nutzerdaten sammeln und niemand hindert Anbieter von auf Open Source Software aufgebauten Plattformen, Dienste Dritter zu integrieren, mit denen Nutzerverhalten analysiert werden kann.

Geplant sind auch Informationen zu:

Datenschutzsparsame Nutzung großer bekannter Plattformen

  • iPad
  • Chromebook

Plattformen zur Kommunikation und Organisation

Plattformen, die mit einem Vertrag zur Auftragsverarbeitung rechtlich abgesichert nutzbar sind für Schulen. Siehe vorläufige Sammlung auf Padlets:

Stand 06/2020

Veröffentlicht am

Wie sieht es bei einer Website mit dem Datenschutz aus?

Lesezeit: 2 Minuten

Mit der anstehenden Einführung der DSGVO kommt auch bei manchen bloggenden Lehrkräften große Unsicherheit auf. Kann man bestimmte Inhalte überhaupt noch einbinden, ohne gegen die datenschutzrechtlichen Vorgaben zu verstoßen? Liegt das Angebot in Europa oder auf einem US amerikanischen Server? Werden über den Embed/ iFrame Daten erhoben von den Besuchern meiner Webseite, auf die ich keinen Einfluss habe?

Manches lässt sich über die Datenschutzangaben auf der Webseite selbst ermitteln. Wenn das nicht weiterhilft, dann kann man sich selbst schlau machen.

Wie kann man Informationen über Webseiten bekommen?

Dafür gibt es diverse Tools, online und kostenlos. Sehr nützlich ist dafür eine Seite wie PingEU. Dort kann man diverse Abfragen machen.

  • Über eine Country-by-IP kann man ermitteln, in welchem Land der Server steht, auf dem die Website gehostet ist.
  • Über Traceroute lassen sich Informationen über den Weg zwischen eigenen Rechner und dem Webserver der Website ermitteln und dabei oft auch Informationen zum Server selbst.
  • Eine WHOIS Abfrage gibt Informationen über die Eigentümer der Webseite und den Hoster.
  • Um zu ermitteln, ob eine Webseite Google Analytics nutzt, kann man den GA Checker nutzen.
  • Einen sehr umfassenden Check über die Maßnahmen, welche eine Webseite zum Schutz der personenbezogenen Daten von Besuchern getroffen hat oder auch nicht liefert die schwedische Seite Webkkoll. Hier erfährt man, wo der Server vermutlich steht, ob die Verbindung sicher ist (SSL) und besonders wichtig, ob durch die Einbindung von Ressourcen aus Fremdquellen ein Risiko, für Sicherheit und Privatsphäre gegeben sein könnte. Das Angebot ist englischsprachig.

Wo ist das Problem mit der Integration von Inhalten über Embeds und Verlinkungen?

Wenn eine Website  über die Integration von Analysetools, Werbung, verlinkten Bildern und Grafiken, Youtube Videos, Embedds von Seiten wie Pinterest oder ähnlichen Diensten zulässt, dass jede Menge Daten von den Besuchern erhoben werden, dann könnte das mit der Einführung der DSGVO für den Betreiber der Webseite zu Problemen führen. Der Grund ist einfach. Besucher der Seite haben ein Recht darauf, über die Erhebung ihrer Daten informiert zu werden, möglichst bevor diese Daten erhoben werden. Bindet man Elemente einer fremden Website ein, hat man keinerlei Kontrolle über die Erhebung von Daten durch Dritte.

Welche Lösungen sind denkbar?

  1. Man verzichtet auf alle Embeds, die man nicht einschätzen kann und die dadurch ein Risiko für Sicherheit und Datenschutz darstellen könnten.
  2. Man erstellt eine Startseite, die nicht mehr enthält als Informationen über die auf der eigentlichen Website eingebetten externen Inhalte und die möglichen Risiken. Mit dem Anklicken eines Links zur eigentlichen Website erklärt sich der Besucher mit der Datenerhebung durch Dritte einverstanden. Die Datenschutzerklärung wird entsprechend angepasst. Außerdem muss die Website so eingestellt werden, dass Besucher, die über einen Link von außen kommen oder über eine Suchmaschine, zunächst einen Screen sehen mit den Informationen wie auf der Startseite, den die anklicken müssen, bevor sie die Website sehen.

Das ist alles recht umständlich und für den Betreiber des Blogs nicht schön. Man wird abwarten müssen, wie sich die Sache nach dem 25. Mai 2018 entwickelt.