Solange wie wir uns in der Corona-Krise befinden, solange befinden wir uns auch in der Videokonferenz-Tool-Krise. Gefühlt vergeht keine Woche, in der nicht ein neues Tool in den Fokus potentieller Nutzer gerät. Genauso vergeht gefühlt keine Woche, in der das Tool nicht durch eine Instanz kritisiert oder „zerrissen“ wird. Was zurück bleibt sind verunsicherte Verantwortliche, die versuchen ihre Geschäfte oder Aufgaben irgendwie am Laufen zu halten.

Da kann man es niemandem verdenken, wenn die Sympathie für Datenschutzrecht langsam schwindet.

Der Landesdatenschutzbeauftragte (LfDI) Baden-Württemberg hat am 29.4.2020 auf seiner Webseite eine Pressemitteilung mit dem Titel „LfDI: Gute Entscheidung für Threema – Schulen brauchen mehr Orientierung“ veröffentlicht.

Inhaltlich wird einerseits auf Messenger-Dienste und andererseits auf eingangs erwähnte Videokonferenz-Tools eingegangen. An dieser Stelle soll der Schwerpunkt auf den Videokonferenz-Tools liegen. Nur eine Anmerkung zu den Messenger-Diensten: Der nun allen Lehrkräften in Baden-Württemberg zur dienstlichen Nutzung zur Verfügung gestellte Sofortnachrichten-Dienst Threema Work wurde bereits Anfang 2014 durch die Stiftung Warentest zum Testsieger unter den WhatsApp-Alternativen gekürt (wir berichteten).

Videokonferenz-Tools in der Schule

Der LfDI führt hierzu aus:

„Gerade im Moment kommen in den Schulen auch sehr problematische Dienste wie der besonders nachgefragte US-Videokonferenz-Dienst Zoom zum Einsatz. Zoom ist in den letzten Monaten insbesondere als Desktop-Version durch eine Reihe schwerer Sicherheits- und Datenschutz-Probleme in die Kritik geraten. Ob bekannte Sicherheitslücken, bei denen Angreifer das ganze Computersystem übernehmen konnten, mittlerweile vollständig behoben wurden, ist derzeit nicht klar. Zudem lässt die unnötige Erhebung und Verwertung von Nutzerdaten durch Zoom befürchten, dass diese zur Nachverfolgung und wirtschaftlichen Verwertung der User verwendet werden – auch zum Nachteil unserer Schülerinnen und Schüler. Das kann gerade bei unsachgemäßer Installation dieses Video-Dienstes passieren. Auch bei der browserbasierten Nutzung von Zoom kommen sogenannte Tracker z.B. von Google zum Einsatz, welche im Schulunterricht persönliche Informationen über Schülerinnen und Schülern sammeln. Eine datenschutzkonforme Nutzung von Zoom für den Unterricht ist damit nicht möglich […].

Der LfDI fordert daher alle Schulen und Lehrkräfte auf, die vom Land kostenlos zur Verfügung gestellte datenschutzfreundliche Lernplattform Moodle mitsamt des besonders auf das Online-Lernen zugeschnittenen Videokonferenzsystems BigBlueButton zu nutzen – denn solche Alternativen sind beides: praxisgerecht und datenschutzkonform.“

Die Ausführungen erwecken den Eindruck, dass die angesprochenen Tools einer umfangreichen und tiefgreifenden Prüfung unterzogen wurden.

BigBlueButton

Zweifel kommen auf, wenn man selbst ein wenig recherchiert. So wird von vielen Seiten berichtet, dass BigBlueButton einen automatischen Mitschnitt der Sitzung anfertigt, selbst dann, wenn ein Mitschnitt vom Nutzer nicht gestartet wurde.

Auf der Webseite von BigBlueButton findet sich dazu folgende Aussage:

“BigBlueButton records all the events and media data generated during a BigBlueButton session for later playback.”

Wird also zunächst auf Vorrat erstmal alles aufgezeichnet und gespeichert? Dann wäre nicht einmal klar, wie lange die Speicherung erfolgt:

“After the session finishes, the BigBlueButton server will run an archive script that copies all of the related files to a single directory. It then checks to see if the moderator has clicked the “Record” button during the session to indicate a section of the meeting that should be turned into a recording. If the recording button was not clicked during the session, the files are queued to be deleted after a period of time. (You can override this and force a recording to be processed; see the bbb-record –rebuild command below.)”

Das Ganze wird übrigens als „Record and Playback feature“ positiv beworben (http://docs.bigbluebutton.org/dev/recording.html#Recording).

Ganz so „praxisgerecht und datenschutzkonform“, wie es der LfDI darstellt, ist BigBlueButton möglicherweise doch nicht – bzw. nicht ohne weitere Maßnahmen.

Update (17.5.): Mit BigBlueButton haben wir uns in einem weiteren Beitrag beschäftigt: https://bit.ly/2AuVjtU

Zoom

Zu allgemeinen Ausführungen zu Zoom wollen wir uns es an dieser Stelle mit einem Verweis auf den Beitrag des Kollegen Tom Lukaß (https://www.datenschutz-notizen.de/videochats-datenschutz-heute-zoom-4325330/) begnügen.

Aber ist Zoom wirklich so untauglich im Schulalltag? Entscheidend ist, wie das Verfahren konkret eingesetzt wird. Unter folgenden Aspekten ist aus unserer Sicht in Zeiten der Corona-Krise ein akzeptabler Einsatz von Zoom realisierbar:

  • Nutzung ausschließlich zur Virtualisierung des klassischen Unterrichts. Keine Notenbesprechungen oder vertrauliche Gespräche mit Schülerinnen und Schülern. Gespräche mit Sozialpädagogen, bei denen Inhalte entstehen können, die dem Berufsgeheimnis unterliegen, sollten auf anderem Wege erfolgen.
  • Freiwillige Nutzung der Video- und Mikrofonfunktion durch die Schülerinnen und Schüler. Standardmäßig sind beide Funktionalitäten zu deaktivieren. Wer möchte, kann Fragen alternativ über den Chat „privat“ an die Lehrkraft stellen.
  • Die Schülerinnen und Schüler nutzen das Tool ausschließlich mit einem Pseudonym und nicht mit ihrem „Klarnamen“. Dies kann Beispielsweise durch eine Kombination aus Abkürzung des Vor- und Nachnamens (SebErt anstelle von Sebastina Ertel).
  • Der Zutritt zum System darf nur über einen virtuellen Warteraum UND ein Passwort möglich sein. Die Lehrkraft muss jeden Teilnehmer ausdrücklich freigeben. Hierdurch wird auch die Gefahr des „Zoombombing“ gebannt.
  • Mit Zoom müssen Verträge zur Auftragsverarbeitung geschlossen werden (erfolgt mittlerweile automatisch). Zudem sollte die Datenübertragung über EU-Server in den Einstellungen gewählt werden. Zwar ist dann immer noch eine Datenverarbeitung in den USA möglich, dies ist aber datenschutzrechtlich nicht zu beanstanden – bzw. führt nicht zu einer Unzulässigkeit, da Zoom unter dem Pricacy Shiled zertifiziert ist.
  • Keine Nutzung der Aufmerksamkeitsverfolgung, die im Standard aber ohnehin deaktiviert ist.
  • Keine Aufzeichnung des Unterrichts.
  • Die Nutzer müssen (wie bei allen anderen Verfahren auch) sorgsam mit ihren Passwörtern umgehen und sollten dasselbe Passwort nicht für unterschiedliche Dienste nutzen.

Fazit und persönliche Meinung

Es wird wohl kein Videokonferenz-Tool geben, dass den Anforderungen der Aufsichtsbehörden einerseits und dem Bedarf in der Praxis andererseits gerecht wird. Um es klar zu sagen: Eine echte Ende-zu-Ende Verschlüsselung bietet kaum ein Anbieter an, sofern mehrere Teilnehmer per Video zusammenkommen (An dieser Stelle sei auf den Artikel unseres Kollege Dr. Torge Schmidt verwiesen, der die Ende-zu-Ende-Verschlüsselung von Videokonferenzsystemen bewertet/untersucht – https://www.datenschutz-notizen.de/ende-zu-ende-verschluesselung-von-videokonferenzen-1825597/). Wenn dann noch die Performance, die Funktion und die Bedienbarkeit des Systems stimmen müssen, um dem Lehrauftrag nachzukommen wird die Luft in der Praxis sehr eng. Jetzt müssen wir mit den Folgen leben, dass in der Vergangenheit das Thema Videokonferenz eher stiefmütterlich behandelt wurde. Hier wären klare Ansagen empfehlenswert, damit der Unterrichtsausfall schnellstmöglich kompensiert werden könnte. Stattdessen müssen seit den Schulschließungen vor sechs Wochen immer neue Steine aus dem Weg geräumt und Hindernisse umgangen werden. Und der Hinweis darauf, dass man ja auf Video verzichten kann, ist weder zeitgemäß noch wird sich mit dieser Haltung dauerhaft etwas an den angebotenen Tools ändern oder gar eine europäische Alternative entwickeln können.

Positiv sei an dieser Stelle die aktuelle Stellungnahme des LfDI Hessen (https://datenschutz.hessen.de/datenschutz/hochschulen-schulen-und-archive/videokonferenzsysteme-schulen) zu erwähnen:

„Bei Schulschließungen zur Bewältigung der Corona-Krise können Videokonferenzen einen wesentlichen Beitrag zur Erfüllung des staatlichen Bildungs- und Erziehungsauftrags leisten. Der HBDI geht daher davon aus, dass für die Dauer der Krisenbewältigungsmaßnahmen die gegenwärtig erhältlichen Videokonferenzsysteme aufgrund einer vorläufigen positiven Beurteilung gemäß Art. 6 Abs. 1 Buchs. d) und e) DS-GVO als erlaubt gelten.“

Allerdings drängt sich hier die Frage auf: Sind wirklich alle gegenwärtig erhältlichen Videokonferenzsysteme umfasst?

Aus meiner Sicht brauchen wir eine objektive und faire Bewertung der Systeme, die einerseits die echten Risken benennt aber auch den Blick in die Praxis nicht scheut und dabei den Verfahren ergebnisoffen begegnet.