Bald gilt «Switzerland first» bei Google und Co.

Im Sommer haben wir die laufenden Vertrags­verhandlungen zwischen der Schweizer ICT-Fachagentur für Bildung Educa.ch und Google beim Einsatz der Schul­software «G Suite for Education» publik gemacht.

Der Beitrag hat einiges ausgelöst. Verlegerinnen haben sich gemeldet, deren Kinder ebenfalls eine «Google-Schule» besuchen und die bei heiklen Aufsätzen zur Selbst­zensur angehalten werden. So sollen Schülerinnen etwa nicht wahrheits­getreu über die Krankheiten oder die sexuelle Orientierung von echten Personen schreiben.

In unserem Dialogforum wurde engagiert über Schweizer Alternativen diskutiert. Bildungs­vertreter und Medien aus Deutschland interessierten sich ebenfalls für das Vertragswerk, das die Tech-Konzerne in ihrem Daten­hunger wenigstens an Schulen in die Schranken weisen würde.

In der Zwischenzeit haben die Verhandlungen zwischen Google und den Schweizer Vertrags­parteien wieder Fahrt aufgenommen.

Die positiven Neuigkeiten für Lehrer, Eltern und Schulleitungen:

• Der Rahmenvertrags­entwurf für «G Suite for Education» steht.

• Auch andere Tech-Konzerne aus den USA signalisierten grünes Licht für ein verbindliches Regel­werk mit der Schweiz. So will zum Beispiel auch Apple mit der Schweiz einen Rahmen­vertrag abschliessen.

Kommen diese Rahmenverträge zustande, kommt das einer Welt­premiere gleich. Die Schweiz wäre damit weltweit das einzige Land, das die Big-Tech-Firmen (Google, Apple und Microsoft) in Sachen Schüler­daten zumindest ansatzweise reguliert.

Dennoch bleiben wegen des amerikanischen Cloud Act noch einige Fragen offen.

Ein Update in vier Punkten.

1. Was bisher geschah: Schüler müssen sich selbst zensieren

Immer mehr Schweizer Schulen arbeiten mit «G Suite for Education», dem Bildungs­angebot von Google, das Google-Dienste wie Drive, Cloud und Gmail aus einer Hand anbietet. Die Schulen setzen darauf, weil das Komplett­paket praktisch gratis ist und gefeit vor Hacker­angriffen. Zudem ist jeder und jede mit dem benutzer­freundlichen Design von Google vertraut.

Doch die Recherche der Republik zeigte, dass Google sich vorbehält, die Daten zu personalisieren. Denkbar ist folgendes Szenario: Die Legasthenie-Schwäche einer Schülerin (die in Google Docs beispiels­weise fehlerhafte Titel setzt) mündet vielleicht früher oder später in Empfehlungen für Nachhilfe-Tutorials auf Youtube.

Ohne ein Schweizer Rechts­dokument haben Eltern nur eine Möglichkeit: die von Google vorgefertigten Nutzer­vereinbarungen zu unterzeichnen. Diese entsprechen in keiner Weise dem Schweizer Datenschutz­niveau, was viele Eltern in eine ausweglose Situation manövriert.

Wie zum Beispiel im Fall einer Berner Schule. Ein Elternpaar wurde bereits vor Einschulung seiner damals noch fünfjährigen Tochter aufgefordert, eine Einwilligung zu unterzeichnen, wie der Republik vorliegende Dokumente zeigen. Das Paar und auch einige andere Eltern weigerten sich, diese zu unterzeichnen. Damit die Töchter und Söhne nicht vom Unterrichts­betrieb ausgeschlossen wurden, mussten sie als Ersatz­lösung auf Pseudonyme oder Klassen­konten ausweichen.

Das Problem: Viele Schulen bieten kaum Alternativen an. Und schon gar nicht Lösungen, die nicht von den Big Players aus dem Silicon Valley stammen. Die Stadt Bern ist mit ihrem Open-Source-Angebot Collabora die Ausnahme und nicht die Regel.

Weil ohne Rahmenvertrag «Google-Recht» gilt, verordnen kantonale Erziehungs­direktionen eine Art Selbst­zensur. Im Kanton Bern gibt etwa ein Schema vor, bei welchen sensiblen Themen mit welchen Technologien gearbeitet werden soll. Eine 11-jährige Primar­schülerin beispielsweise darf demnach persönliche Erlebnisse oder Informationen wie die Scheidung der Eltern oder den religiösen Glauben des Bruders nicht auf Google Drive nieder­schreiben. Weil diese Informationen als sehr schützenswerte Personen­daten gelten.

Kurz: Statt in sichere, überwachungs­freie Technologien zu investieren, setzen Schulen auf kosten­günstige Komplett­lösungen wie« G Suite for Education» und wälzen die Verantwortung bezüglich der Privat­sphäre auf Lehrpersonen und Schülerinnen ab. Diese Situation empfinden vor allem Eltern als sehr unbefriedigend. Und für Lehrer bedeuten sie bürokratischen Mehraufwand.

2. Google akzeptiert die Forderungen der Schweizer Verhandler

Wie die Republik im Sommer enthüllte, arbeitete die Schweizer Fachagentur Educa.ch mit Google auf einen Rahmen­vertrag nach Schweizer Standards hin. Doch die monate­langen Verhandlungen harzten im Frühsommer.

Der Grund: Der US-Suchmaschinen­konzern zeigte bei zwei zentralen Forderungen der Schweizer null Entgegen­kommen: beim Daten­schutz und bei Haftungsfragen.

Seit unserer Veröffentlichung haben die Verhandlungen wieder Fahrt aufgenommen, wie neue Recherchen zeigen. Google bewegte sich und ist offenbar einverstanden, alle drei «heissen Eisen» – Gerichtsbarkeit, Datenschutz­recht und Haftung – in den Vertrag aufzunehmen.

Educa.ch wollte auf Anfrage der Republik keine Auskunft geben. Anders Bruno Baeriswyl von der Datenschutz­konferenz Privatim, die für Educa.ch die Vertrags­inhalte rechtlich geprüft hatte. Er bestätigt: «Wir haben den Google-Rahmen­vertrag (G-Suite for Education) geprüft. Er erfüllt die notwendigen datenschutz­rechtlichen Anforderungen, inklusive Anwendung schweizerisches Datenschutz­recht und Gerichts­stand in der Schweiz.»

Der Entwurf ist so gut wie fertig. Kommt der Vertrag gemäss Fahrplan im Frühjahr 2020 zustande, wäre das – wie erwähnt – eine Weltpremiere.

3. Apple verhandelt nun auch mit Educa.ch

Sowohl in der Republik-Debatte als auch in den sozialen Netzwerken wurde Apple als teurere, aber bessere Alternative zu Google empfohlen. Weil Apple kein Business mit Schüler­daten verfolge. Ein Blick in die Nutzungs­bedingungen des am 1. Dezember in Kraft getretenen «School Manager» – der Bildungs­software von Apple – zeigt, dass der Konzern in der Tat nur sparsam Schülerdaten sammelt.

Dennoch würden sich mit dem «School Manager» die datenschutz­rechtlichen Bedingungen im Vergleich zu Apples früheren Lizenz­verträgen verschlechtern.

Darüber waren insbesondere die Daten­schützer von Privatim nicht erfreut. Die Mac- und iPad-Nutzer unter den Schülern sollen in Zukunft genauso gut abgesichert sein wie «Microsoft-Schulen».

Und so kam es zu einem kleinen Verhandlungs­drama mit einigen Wendungen.

Apple signalisierte gegenüber der nationalen Bildungsagentur Educa.ch und Privatim Verhandlungs­bereitschaft. Insbesondere der ehemalige CEO Adrian Schmucki zeigte sich sehr offen gegenüber einem nationalen Rahmenvertrag.

Im Frühjahr 2019 reiste eine Delegation aus Deutschland – Verantwortliche des «Apple School Manager» – extra an und setzte sich mit Baeriswyls Team zusammen.

Die Signale waren zunächst positiv, denn die Apple-Delegation stimmte der Ultima Ratio der Schweizer Verhandlungs­partner zu: dass die Schweiz als Standort für Gerichts­verhandlungen dient. Ohne diese Vorbedingung würde man gar nicht erst zu verhandeln beginnen.

Doch nach einigen Monaten wurde die Delegation von Kalifornien zurück­gepfiffen. Das Haupt­quartier von Apple goutierte die Initiative der Delegation offenbar nicht. Die Schweiz erhalte – obwohl sie einen wichtigen Absatz­markt darstellt – keine Sonder­konditionen, wie ein Insider bestätigt.

Mitte August hat Apple wieder eine Kehrtwende vollzogen. Der neue Apple-Schweiz-Chef Rolf Weiss startete einen neuen Anlauf und hat es offenbar geschafft, das strenge amerikanische Regime umzustimmen. Die Delegation aus Deutschland hat sich im Sommer erneut mit Privatim-Verhandler und Datenschutz­experte Bruno Baeriswyl getroffen. Ein schriftlicher Entwurf existiert zwar noch nicht. Aber: «Apple wird auch Schweizer Recht und Gerichts­stand garantieren», bestätigt Baeriswyl gegenüber der Republik.

In der Zwischenzeit setzten sich noch weitere Vertreter von Tech-Konzernen an den Verhandlungstisch. Educa.ch redete auch mit Repräsentanten des bekannten Software­konzerns Adobe. Denn auch in diesem Fall wird ein Rahmen­vertrag dringend nötig: Adobe kündigte im September Neuerungen an, die vor allem rechtliche Verschlechterungen für Nutzer bedeuten würden.

Bereits unterzeichnet ist der Rahmen­vertrag mit dem Messenger­dienst Wire. Dies ist vor allem deshalb relevant, weil das schweizerisch-deutsche Unternehmen aufgrund von amerikanischen Investoren seinen Hauptsitz in die USA verlegen wird. Und Educa.ch sich damit gerade noch rechtzeitig Schweizer Standards ausbedingen konnte.

4. Rahmenverträge nützen den Eltern, doch es bleiben einige Fragen offen

Doch was bedeuten nun die ausgehandelten Abkommen? Die Rahmen­verträge bieten Schulen und Eltern Rechts­sicherheit. Alle bestehenden Nutzungs­vereinbarungen, die die Juristen von Google und Co. nach US-Recht verfasst haben, würden damit nichtig. Es gilt dann «Switzerland first». Eltern könnten mit diesem Instrument Google einklagen. Es gibt weltweit kein vergleichbares Abkommen. Die Schweiz wird so zum Pionier, der die Big-Tech-Firmen in ihrem Daten­hunger etwas zähmt.

Dennoch braucht man sich keine Illusionen zu machen: Erstens würde ein Kampf gegen Tech-Riesen vor Gericht für beteiligte Eltern einen zeitraubenden Kraftakt bedeuten.

Google wird ausserdem wohl kaum wegen Schweizer Schülern gänzlich auf Profiling – die service­übergreifende Verknüpfung aller Schüler­daten zu einem Profil – verzichten. Damit der Rahmen­vertrag aber eingehalten wird, müsste Google die persönlichen Daten von Schülerinnen in einzelnen Silos horten. Ausserdem liegt eine grosse Beweis­last bei den Eltern: Sie müssten vor Gericht nachweisen, dass der Tech-Gigant Personalisierung betreibt. Es bliebe abzuwarten, ob sich ein solcher organisierter Widerstand gegen einen Tech-Monopolisten formieren würde.

Und zweitens wird der Daten­transfer in die USA auch mit dem Rahmen­vertrag nicht gestoppt: Mit dem «Cloud Act» sichern sich die US-Behörden den Zugriff auf die sensiblen Schüler­daten der in den USA ansässigen Tech-Giganten. Und dieser zielt auch auf die Cloud-Riesen Microsoft, Google und Apple, die im Schweizer Bildungs­markt mitmischen wollen.

Die Bildungs­vertreter der EU-Staaten haben zwar kein Abkommen mit den Tech-Giganten. Dafür verfügen sie mit der DSGVO über ein strengeres Regelwerk als die Schweiz. Gegen den Daten­transfer in die USA wehrten sich etwa niederländische Behörden und auch der hessische Datenschützer. Beide konstatierten nach einer eingehenden rechtlichen Analyse, dass Microsoft Office 365 und Windows 10 in keiner Weise DSGVO-konform seien.

Unter anderem weil Microsoft Nutzer­daten (sogenannte Telemetrie-Daten wie den Geräte­status, aber auch zum Konsum von Video- und Audio­dateien) sammelt, ohne darauf explizit hinzuweisen. Microsoft hat nun vor ein paar Wochen ein Update angekündigt, das mehr Transparenz über die Verwaltung dieser Metadaten einräumt. Damit ist die Frage aber immer noch ungeklärt, ob die Nutzung von Windows 10 wegen des Cloud Act grundsätzlich überhaupt mit EU-Recht vereinbar ist.

Das letzte Kapitel ist also noch nicht geschrieben, das Tauziehen zwischen Europa und dem Software-Konzern wird im nächsten Jahr weitergehen.