Online-Kurse von Unis in der Kritik Massig Daten von Studenten
Mehr als 20 Millionen Menschen nutzen sogenannte MOOCs, massive open online courses, an. In Deutschland bieten unter anderem die beiden großen Münchener Unis solche Kurse an. Sie kooperieren dafür mit einer US-Firma - eine heikle Zusammenarbeit aus Sicht von Datenschützern.
"Das war vielleicht ein wenig blauäugig", sagt Monika Rösler. Begeistert hatte sie sich auf das Angebot gestürzt: Vorlesungen renommierter Professoren der besten Unis weltweit, attraktiv aufbereitet mit Videos, Quiz und der Möglichkeit, sich mit den Dozenten und anderen Studenten auszutauschen - und all das kostenlos. Das bieten sogenannte MOOCs, "massive open online courses".
Als "blauäugig" beschreibt Monika Rösler sich, weil sie sich keine Gedanken darüber gemacht hat, wer jetzt - nachdem sie mehrere MOOCs mitgemacht hat - was alles über sie weiß oder wissen könnte. Sie lebt in Lübeck, arbeitet als Physiotherapeutin - das ist relativ leicht mit einer Internet-Suche herauszufinden.
Doch der Anbieter ihrer MOOC-Kurse könnte wahrscheinlich noch viel mehr über sie erzählen - oder sein Wissen mit den Behörden teilen oder an jemand anders verkaufen. Denn der Anbieter sitzt in Kalifornien, USA.
Daten für alle möglichen Zwecke
Anders als in Deutschland sehe das amerikanische Recht vor, "dass Daten die vorhanden sind, genutzt werden können - für alle möglichen Zwecke", erklärt Marit Hansen, die Datenschutzbeauftragte in Schleswig-Holstein. Und bei solchen Online-Kursen werde eine ganze Menge von Daten gesammelt, sagt Hansen.
Wann hat sie sich von wo angemeldet? Welche Videos hat sie sich angeschaut? Hat sie sie bis zum Ende geguckt oder zwischendurch abgeschaltet? Welche Teile der Kurse hat sie wiederholt? Wie hat sie bei Tests abgeschnitten? Welche Fragen hat sie gestellt? Mit wem hat sie sich ausgetauscht? Worüber? Unter dem Namen von Monika Rösler ist jetzt wahrscheinlich ein umfassendes Profil abgespeichert: Persönliche Angaben, Kommunikationsdaten, Leistungsnachweise - möglicherweise sogar angereichert mit Daten aus ihrem sonstigen Verhalten im Internet.
Mehr als 16 Millionen Nutzer
Monika Rösler hat Kurse über die Seite des US-Unternehmens Coursera belegt. Was die Firma genau speichert, was sie mit den Daten macht - darauf antwortete sie auf Anfrage von NDR, "Süddeutscher Zeitung" und des SRF zunächst nicht.
Coursera hat 2012 sein MOOC-Angebot gestartet, ist in dem Bereich unbestrittener Weltmarktführer - mit mehr als 16 Millionen registrierten Nutzern, Tendenz stark steigend.
Das Unternehmen kooperiert mit namhaften Unis weltweit. Sie produzieren die MOOCs, die Inhalte, die Coursera dann kostenlos anbietet. Aus Deutschland sind die beiden großen Münchener Hochschulen dabei: die Ludwig-Maximilians-Universität (LMU) und die Technische Universität (TUM). Dort schwärmen sie von der Zusammenarbeit mit Coursera mit seiner gigantischen Reichweite.
Er sei begeistert, sagt Hans Pongratz, Vizepräsident der TUM, zuständig für alle IT-Projekt, der offizielle "Chief Information Officer" (CIO). Pongratz berichtet von einem Kurs über selbstfliegende Kleinhubschrauber. An der Uni selbst hatten sie dazu schon mal ein Tutorium angeboten, zehn Studenten nahmen teil. Jetzt im ersten Online-Durchlauf seien es 25.000 gewesen, aus 170 Ländern. Eine gigantische Werbung für die TUM. Die Unis sehen die Online-Kurse auch als eine Marketing-Maßnahme. Sie wollen Studierende nach München locken.
Coursera behält sich Verkauf von Daten vor
Datenschützerin Marit Hansen ist weniger begeistert. Sie kritisiert eine solche Zusammenarbeit. Wenn Daten von deutschen Studenten in die USA abfließen und diese eventuell noch verkauft würden, sei das nicht in Ordnung. Tatsächlich behält sich Coursera diese Möglichkeit explizit vor. Das geht aus Verträgen und Unterlagen des Unternehmens hervor, die NDR, SZ und SRF vorliegen. Danach wird zum Beispiel als eine Verdienstmöglichkeit der Verkauf von Daten an Unternehmen zu Recruiting-Zwecken angeführt. Allerdings sollen die Nutzer vorher gefragt werden, ob sie dem zustimmen.
Der Züricher Junior-Professor Paul-Olivier Dehaye wollte im vergangenen Jahr dieses Problem thematisieren, der Frage nachgehen, wie sich das gemeinwohlorientierte Interesse von Unis mit dem Profitstreben eines von Wagniskapitalgebern finanzierten Start-Up-Unternehmens vereinbaren lassen. Das Heikle daran: Er hat diese Frage in seinem Coursera-Kurs aufgeworfen. Dehaye wollte zeigen, dass die gesammelten Daten des MOOC-Anbieters ausgesprochen lukrativ sein können. Er fragte deshalb bei Coursera nach den vollständigen Datensätzen seines Kurses und der Teilnehmer nach. Das Unternehmen verweigerte jedoch die Herausgabe.
Schließlich entbrannte ein Streit zwischen dem Prof und dem Unternehmen. Dehaye löschte spontan alle Kursmaterialien und forderte seine Studenten auf, Coursera zu verlassen. Umgekehrt sperrte das Unternehmen seine Dozenten-Rechte und veröffentlichte seine Kommentare in den Foren der Plattform nicht. Schließlich verlangte Dehaye die Herausgabe der Daten, die Coursera über ihn persönlich gespeichert hat. Doch auch hier weigerte sich das Unternehmen. Der Professor hat deshalb nun eine Klage in den USA eingereicht. Auf Fragen von NDR, SZ und SRF zu diesem Streit hat Coursera nicht geantwortet.
"Noch schlimmer": US-Behörden haben Zugriff
Schlimmer noch als einen möglichen Verkauf von Daten finde sie, wenn staatliche Stellen in den USA auf die Daten zugreifen würden, sagt Schleswig-Holsteins Datenschützerin Marit Hansen. Das sei nach dem geltenden US-Recht immer möglich. Die Behörden könnten die Profile nach allen möglichen Kriterien auswerten, zum Beispiel danach, wer Arabisch spreche oder sich für bestimmte Inhalte interessiere. Basierend auf diesen Informationen könnten sie etwa entscheiden, wen sie einreisen lassen und wen nicht. In ähnlichen Bereichen sei so etwas bereits passiert, sagt Hansen.
Die beiden Münchener Universitäten teilen diese Sorgen offenbar nicht. Aus Sicht ihres Datenschützers sei das Angebot in Ordnung, teilte die LMU mit. Und an der TUM spricht der zuständige Vize-Präsident Hans Pongratz zwar von Herausforderungen mit dem Datenschutz, aber da das Angebot freiwillig sei und kein Student einen Coursera-Kurs belegen müsse, um sein Studium zu absolvieren, sieht er kein grundsätzliches Problem.
Allerdings denke die TUM auch darüber nach, ihre MOOCs über Plattformen in Europa zu betreiben, um den Datenschutzrichtlinien dann sicher zu entsprechen. Eine ganze Reihe anderer Unis in Deutschland macht dies schon.
Komplizierte Rechtslage
Tatsächlich ist die Rechtslage derzeit ziemlich kompliziert. Was wirklich erlaubt ist, was möglicherweise gegen Datenschutz-Vorschriften verstößt, kann im Moment kaum jemand zuverlässig sagen. Denn im Oktober hat der Europäische Gerichtshof das sogenannte Safe-Harbor-Abkommen für ungültig erklärt. Hierauf basierte jahrelang der Datenaustausch zwischen der EU und den USA. Jetzt muss eine neue Regelung gefunden werden.
Wie groß die Herausforderungen mit dem Datenschutz sind, hat Coursera selbst schon erlebt. Im letzten Jahr war es einem Professor aus den USA, der einen MOOC geleitet hat, ohne größere Schwierigkeiten gelungen, große Bestände der Nutzerdaten herunterzuladen. Ein riesiges Datenleck. Coursera besserte nach und versicherte anschließend, dass das Problem nun gelöst sei.
Man wisse einfach nicht, wo die Daten am Ende landen, sagt nun Monika Rösler. "Es ist schon ein komisches Gefühl, dass man so viel von sich preisgibt". Sie will nun stärker darauf achten, sollte sie noch einmal einen Kurs belegen.
"Wir verwenden die Informationen von Teilnehmern, um die Qualität unserer Kurse zu verbessern. Dies geschieht im Einklang mit den Datenschutzregeln in der EU. Informationen über einzelne Teilnehmer teilen wir nur mit Arbeitgebern, wenn es eine ausdrückliche Erlaubnis unserer Teilnehmer gibt. Dies geschieht in Ergänzung zu unseren Datenschutzbestimmungen. Wir verkaufen die Daten unserer Teilnehmer nicht und machen kein Geld damit, dass wir ihre Daten teilen."