Menschenrechts-NGO wirft EdTechs Datenverstöße gegen Kinder vor – Schoolfox kontert
Die Story wurde oft erzählt: Die Coronakrise mit ihren COVID-Lockdowns hat weltweit hunderte Millionen Schüler:innen sowie ihre Lehrer:innen, Eltern und Schulorganisationen zu neuen EdTech-Apps und Webseiten gebracht – und zwar nicht nur in der privaten Nachhilfe, sondern auch im Rahmen des regulären Schulunterrichts. Eine Untersuchung der Menschenrechtsorganisation Human Rights Watch (HRW) hat nun aufgedeckt, dass bei diesen Apps und Web-Diensten auch sehr viele Daten in Bewegung sind – und zwar die Daten von Kindern, die auch an werbetreibende Unternehmen weiter gegeben wurden.
HRW sieht dabei „Verletzungen der Rechte von Kindern durch Regierungen, die während der Covid-19-Pandemie das Online-Lernen unterstützten“, und zwar mit Hilfe von 164 untersuchten EdTech-Produkten. Das Ergebnis: Die Mehrheit der Online-Lernplattformen würden die Privatsphäre von Kindern gefährden oder verletzen, und die Daten würden zu Zwecken genutzt werden, die nichts mit ihrer Bildung zu tun haben. Untersucht wurden die digitalen Anwendungen im Zeitraum zwischen März und August 2021 in 49 Ländern, darunter Deutschland, Australien, Brasilien, Kanada, Deutschland, Indien, Spanien und die Vereinigten Staaten.
Österreich ist nicht in der Untersuchung dabei, aber sehr wohl ein österreichisches Startup: SchoolFox bzw. Fox Education, mittlerweile eine Tochterfirma des Wiener EdTech-Unicorns GoStudent (mehr dazu hier). SchoolFox, eine Art digitales Mitteilungsheft für den Einsatz im Schulkontext, wird etwa in Bayern von unterschiedlichen Schulen eingesetzt – deswegen taucht das ehemalige Startup dort auf.
„In den meisten Fällen heimlich und ohne die Zustimmung“
„Von den 164 untersuchten EdTech-Produkten schienen 146 (89 Prozent) Datenpraktiken anzuwenden, die die Rechte von Kindern gefährdeten, zu ihrer Unterminierung beitrugen oder diese Rechte aktiv verletzten. Diese Produkte überwachten Kinder oder waren in der Lage, sie zu überwachen, in den meisten Fällen heimlich und ohne die Zustimmung der Kinder oder ihrer Eltern. In vielen Fällen sammelten sie Daten darüber, wer sie sind, wo sie sich aufhalten, was sie im Klassenzimmer tun, wer ihre Familie und Freunde sind und welche Art von Gerät sich ihre Familien leisten können, um sie zu benutzen“, heißt es seitens Humans Right Watch.
Die meisten Apps und Lern-Plattformen würden Tracking-Technologien verwenden, um die Kinder auch außerhalb der virtuellen Klassenzimmer verfolgen zu können (u.a. auch per Fingerprinting), und die meisten der EdTech-Angebote würden den Anbietern von AdvertisingTech (AdTech) Zugriff auf die Daten über diese Kinder geben. „Kinder werden in schwindelerregendem Ausmaß in ihren Online-Klassenzimmern überwacht“, heißt es. „Human Rights Watch beobachtete 146 EdTech-Produkte, die personenbezogene Daten von Kindern direkt an 196 Drittunternehmen, überwiegend Werbeunternehmen, weiterleiten oder ihnen Zugang dazu gewähren. Anders ausgedrückt: Es wurde festgestellt, dass die Zahl der AdTech-Unternehmen, die Daten von Kindern erhalten, weitaus größer ist als die Zahl der EdTech-Unternehmen, die diese Daten an sie senden.“
Neben Schoolfox wurden eine Reihe sehr bekannter Digital-Tools untersucht, die nicht nur, aber auch im Online-Learning eingesetzt werden können – etwa Dropbox, WhatsApp, Minecraft, Cisco WebEx, Miro, Telegram, Moodle, Microsoft Teams, YouTube, oder eben auch Facebook. Diese Apps hätten nicht nur über so genannte Ad-Tracker wie die Android Advertising ID (AAID) die Möglichkeit, Nutzungsprofile von insgesamt 86,9 Millionen Kindern zu erstellen, sie hätten den Kindern auch keine Möglichkeit gegeben, die Datensammlung abzulehnen. Android ist hier besonders wichtig, weil bei Apples iPhone das App-Tracking seit iOS 14.5 (erschienen im April 2021) sehr einfach abzulehnen ist.
SchoolFox: „Android Advertising ID (AAID) kommt nicht zum Einsatz“
Die EdTech-Apps, darunter SchoolFox, sollen die Möglichkeit gehabt haben, die Nutzerdaten der Kinder an mindestens 33 AdTech-Unternehmen weiterzugeben – diese hätten dann die Möglichkeit, personalisierte Werbung für diese Zielgruppen zu schalten. Im HRW-Bericht geht es neben den Ad-Trackern auf Android noch um eine Reihe weiterer Daten wie etwa Location Data, WiFi-Daten, Kontaktlisten, Adressbücher, Session Recording, Key Logging oder SDKs. SchoolFox soll der Analyse zufolge das SDK „Google Firebase Analytics“ verbaut haben – und die App könnte dann darüber die Android Advertising ID an Drittfirmen weitergeben.
Bei SchoolFox passiere das nicht, heißt es aus dem Unternehmen gegenüber Trending Topics. „SchoolFox verwendet für jedes mobile Betriebssystem (iOS, Android, Huawei) die nativ vorgesehene Technologie zum Versenden von Push-Benachrichtigungen, z.B. bei iOS das “Apple Push Notification Service” und bei Android “Firebase Cloud Messaging” (vormals “Google Cloud Messaging”). Firebase Cloud Messaging ist Teil von der Google Firebase Plattform, welche wir als SDK in unsere Android Apps eingebunden haben. Firebase wird von uns nicht für Werbezwecke, sondern rein als Entwicklerkomponente verwendet. Die Android Advertising ID (AAID) kommt daher nicht zum Einsatz und wird weder gesammelt noch übertragen.“
Laut FoxEducation würde bei „Firebase Cloud Messaging“ die jeweilige Installations-ID der App registriert, damit SchoolFox Push-Benachrichtigungen an genau dieses Smartphone zustellen kann. Außerdem würden anonyme Gerätedaten wie Betriebssystem und Modell erhoben werden, damit die Entwickler:innen Softwarefehler leichter beheben könnten. „Diese Daten sind vollständig anonym und können nicht auf eine:n echte:n Nutzer:in zurückgeführt werden. Es wird keine AAID gesammelt oder übertragen“, heißt es aus dem Unternehmen.
HRW-Bericht soll „missverständlich“ sein
Generell sei der Bericht von Human Rights Watch „missverständlich, uneindeutig und undifferenziert“. „Er rückt damit auch seriös am Markt agierende EduTech-Firmen in ein schlechtes Licht, was der Branche schadet und sämtliche Stakeholder in diesem Bereich, Schulleitungen, Lehrer:innen, Schüler:innen, sowie Behörden verunsichert“, so ein Sprecher von FoxEducation.
Generell wolle das Unternehmen, das seine Software bei 7.000 Bildungseinrichtungen im Einsatz hat und laufend datenschutzrechtlich seitens Behörden und Kunden geprüft werde, unabhängiger von den Cloud-Diensten von US-Unternehmen wie Google werden. „Um unabhängig von der proprietären Cloud-Technologie der Tech-Riesen zu sein, setzen wir in der Entwicklung bereits stark auf Open Source on-premise Lösungen, wo dies technisch machbar ist. Diesen Weg setzen wir fort und prüfen laufend die von uns verbauten Komponenten“, heißt es.
Die Rolle der Behörden
Delikat an der Angelegenheit ist, dass in vielen Fällen die EdTech-Angebote von staatlichen Behörden selbst empfohlen werden. Laut Humans Right Watch sollen von den 42 untersuchten Ländern, die Kindern Online-Bildung ermöglichten, indem sie ihre eigenen EdTech-Produkte für die Nutzung während der Pandemie entwickelten und anboten, 39 Produkte eingeführt haben, die die persönlichen Daten von Kindern gefährdetet oder verletzt haben sollen. In einigen Ländern seien Schüler:innen, deren Eltern und Lehrer:innen zur Nutzung bestimmter EdTech-Produkte verpflichtet worden – und hätten es den Kindern auch unmöglich gemacht, sich vor der Nutzung ihrer Daten durch Dritte zu schützen.
„Kinder sollten nicht gezwungen werden, ihre Privatsphäre und andere Rechte aufzugeben, um zu lernen“, so Hye Jung Han, bei Human Rights Watch für Kinderrechte und Tech-Forschung zuständig, und Verfasser des Reports. „Die Regierungen sollten dringend moderne Kinderdatenschutzgesetze verabschieden und durchsetzen, um die Überwachung von Kindern durch Akteure zu stoppen, denen nicht das Wohl der Kinder am Herzen liegt.“ In einem breiten Forderungskatalog setzt sich die Menschenrechtsorganisation nun dafür ein, dass EdTech- wie Adtech-Unternehmen keine Daten von Kindern zu Werbezwecken mehr verarbeiten können sollten.
Human Rights Watch fordert ein umgehendes Ende der Datensammelei in Schul-Apps. „EdTech- und AdTech-Unternehmen sollten keine Daten von Kindern zu Werbezwecken sammeln und verarbeiten. Unternehmen sollten alle während der Pandemie aufgenommenen Kinderdaten inventarisieren und identifizieren und sicherstellen, dass sie Kinderdaten nicht für Zwecke verarbeiten, weitergeben oder nutzen, die nicht mit der Bildung von Kindern in Verbindung stehen“, heißt es in einer Aussendung. „AdTech-Unternehmen sollten alle Kinderdaten, die sie erhalten haben, sofort löschen; EdTech-Unternehmen sollten mit Regierungen zusammenarbeiten, um klare Aufbewahrungs- und Löschungsregeln für Kinderdaten festzulegen, die während der Pandemie gesammelt wurden.“
Eine neue Kampagne unter dem Motto „Students not Products“ soll nun Bewusstsein schaffen, dass EdTech-Produkte frei von Tracking-Software sein sollte.
Anmerkung: Der Artikel wurde um die Stellungnahmen von FoxEducation zum HWR-Report ergänzt.
