Zum Hauptinhalt springen

Anonymität und Datenverarbeitung in Umfragen

Diese Seite beschreibt, was Pomelo tatsächlich speichert, wenn Schülerinnen und Schüler Umfragen beantworten, und was für wen sichtbar ist. Sie ergänzt So arbeiten wir mit der DSGVO.

Schülerinnen und Schüler melden sich nie an​

Wer an einer Umfrage teilnimmt, verwendet einen Code je Termin. Pomelo legt dafür keine Anmeldung an: kein Passwort, kein Profil, keine Sitzung über den Zeitpunkt der Beantwortung hinaus.

Die teilnehmende Person erhält eine vorübergehende Kennung, die nur während des Umfragetermins existiert und danach nicht gespeichert wird.

Es werden überhaupt keine personenbezogenen Daten über Schülerinnen und Schüler gespeichert. Die Schule legt Klassen mit Namen und Anzahl an — nicht einzelne Personen.

Wenn die Schule über Skolon angebunden ist​

Dann werden die Klassenlisten automatisch aus Skolon abgerufen. Die Schülerinnen und Schüler werden gezählt, um die Größe und Jahrgangsstufe der Klasse zu bestimmen, und es werden keine Daten über einzelne Personen gespeichert. Schülerkonten, die von früheren Versionen des Dienstes angelegt wurden, werden bei jeder Synchronisierung automatisch gelöscht.

Über Skolon werden ausschließlich Konten des Personals angelegt. Schülerinnen und Schüler melden sich nicht an, und eine Antwort wird ohne Verknüpfung zu einer Person gespeichert.

Antworten lassen sich keiner Person zuordnen​

Eine Antwort von einer Person, die sich mit einem Code angemeldet hat, wird ohne Absender gespeichert. Es gibt keine Verbindung zwischen der Antwort und einer Person, weder in der Oberfläche noch in der Datenbank.

Die Folge zieht sich durch:

  • Die Lehrkraft sieht, wie viele geantwortet haben, nie wer.
  • Niemand kann nachträglich herausfinden, was eine einzelne Person geantwortet hat — weder die Lehrkraft noch die Administration der Schule noch wir.
  • Aus demselben Grund kann eine einzelne Antwort auch nicht nachträglich entfernt werden. Es gibt nichts, worauf man zeigen könnte.

Das gilt für die Pulsmessung, die Abschlussumfrage und die Exit-Ticket-Umfrage — und unabhängig davon, ob die Schule über Skolon angebunden ist oder nicht.

Antworten aus derselben Sitzung gehören zusammen​

Eine Antwort wird ohne Absender gespeichert. Pomelo muss dennoch wissen, welche Antworten in derselben Sitzung eingegangen sind, damit sich eine Umfrage danach aufschlüsseln lässt, wie die Schülerinnen und Schüler eine ihrer eigenen Fragen beantwortet haben (siehe Fragen zur Person der Schülerin oder des Schülers).

Jede Antwort wird deshalb mit einem Schlüssel versehen, der pro Sitzung zufällig erzeugt wird. Er entsteht, wenn der Code eingegeben wird, und wird nie als Konto gespeichert. Der Schlüssel benennt keine Person, er existiert in keinem weiteren Register, und wer die nächste Umfrage beantwortet, erhält einen neuen.

Schutz vor Doppelantworten​

Damit dieselbe Person auf demselben Gerät nicht zweimal antwortet, wird lokal im Browser eine Markierung gespeichert, dass der Termin abgeschlossen ist. Die Markierung enthält keine Angabe zur Person, sondern nur, um welchen Umfragetermin es geht.

Sie verbleibt im Browser und wird nie an uns übermittelt. Wer das Gerät wechselt, kann daher erneut antworten — der Schutz ist eine Hilfe gegen Versehen, keine Sperre.

Die Ergebnisse der Klasse​

Die Lehrkraft sieht die Antworten der Klasse als Zusammenstellungen: Verteilungen, Mittelwerte und Anzahlen. Grundlage ist immer die gesamte Klasse, nie einzelne Datensätze.

Ein Ergebnis wird nie für weniger als zwei Antwortende angezeigt. Hat nur eine Person geantwortet, gibt es keine Zusammenstellung — ein Mittelwert aus einer einzigen Antwort ist diese Antwort. In einer Klasse, in der die Lehrkraft weiß, wer anwesend war, ließe sich daraus erkennen, wer geantwortet hat.

Die Sperre gilt überall dort, wo die Antworten der Klasse dargestellt werden: bei der Pulsmessung, der Abschlussrunde, der Exit-Ticket-Umfrage und in der detaillierten Statistik. Sie lässt sich nicht umgehen — auch nicht durch vorzeitiges Schließen der Umfrage, das sonst ein Weitergehen erlaubt, ohne dass alle geantwortet haben.

Empfehlungen sind keine Ergebnisse. Welche Stärke Pomelo der Klasse zum Üben vorschlägt, ist ein pädagogischer Vorschlag des Dienstes und keine Wiedergabe dessen, was die Schülerinnen und Schüler geantwortet haben — er wird deshalb immer angezeigt. Was die Lehrkraft nicht zu sehen bekommt, ist die Auswertung der Antworten: Verteilungen, Mittelwerte und Anzahl je Frage.

Die Sperre hält den Unterricht also nicht auf. Die Lehrkraft kann fortfahren, eine Stärke wählen und die Klasse üben lassen, auch wenn nur eine Person geantwortet hat — wie weit ein Klassenprojekt geführt wird, entscheidet die Lehrkraft. Zurückgehalten wird der Einblick in die Antworten, bis mindestens zwei Personen geantwortet haben.

Fragen zur Person der Schülerin oder des Schülers​

Eine Umfrage kann eine Frage zur Person enthalten, nach deren Antwort sich die übrigen Antworten gruppieren lassen. Die Lehrkraft sieht dann, wie verschiedene Gruppen der Klasse geantwortet haben, statt nur die Gesamtzahlen der Klasse. Derzeit gibt es genau eine solche Frage, und sie betrifft das Geschlecht.

Die Frage wird wie jede andere Frage der Umfrage beantwortet. Die Antwortmöglichkeiten sind Junge, Mädchen, Anderes und Möchte ich nicht sagen, und jede bildet eine eigene Gruppe — niemand fällt aus der Gruppierung heraus.

Die Antworten einer Gruppe werden nur angezeigt, wenn mindestens fünf Schülerinnen und Schüler in dieser Gruppe geantwortet haben. Gruppen, die das erreichen, werden angezeigt; die übrigen werden einzeln zurückgehalten. Eine zurückgehaltene Gruppe erscheint nur mit ihrem Namen — wie diese Schülerinnen und Schüler die übrigen Fragen beantwortet haben, wird nicht ausgewiesen.

Auch die Anzahl in einer zurückgehaltenen Gruppe wird nicht ausgewiesen, und eine Gruppe, die niemand gewählt hat, wird ebenso zurückgehalten. Dadurch sehen „niemand hat das gewählt" und „vier haben das gewählt" gleich aus.

Die Schwelle liegt höher als die zwei Antwortenden, die sonst für die Ergebnisse der Klasse gelten. Eine Gruppe beruht auf einer Teilmenge der Klasse und ist damit stets kleiner als diese, und in einer Klasse, deren Schülerinnen und Schüler die Lehrkraft kennt, sagt eine kleine Gruppe viel über die Einzelnen darin aus. In einer Klasse üblicher Größe erreichen nicht alle Gruppen fünf.

Antworten auf eine solche Frage zählen nie zu den Stärken der Klasse, zur Empfehlung, was die Klasse üben soll, oder zu den Vergleichen mit anderen Schulen.

Vergleiche zwischen Schulen​

Die Ergebnisse einer Klasse können auf vier Ebenen mit anderen Schulen verglichen werden: Schule, Kommune, Land und global. Die Vergleiche werden aus anonymisierten und aggregierten Zahlen gebildet.

Ein Mittelwert wird nie für weniger als zehn Antworten angezeigt. Liegt die Grundlage darunter, wird stattdessen angezeigt, dass der Wert verborgen ist, zusammen mit der Anzahl. Das verhindert, dass sich eine kleine Gruppe auf einzelne Personen zurückrechnen lässt.

Das ist eine höhere Schwelle als die für die eigenen Ergebnisse einer Klasse (zwei Antwortende), und das ist beabsichtigt: ein Vergleich stellt die Daten mehrerer Schulen einander gegenüber, und je kleiner eine verglichene Gruppe ist, desto mehr sagt sie über die einzelnen Personen darin aus.

Als administrativ markierte Gruppen — Personalgruppen, Jahrgangsteams — fließen überhaupt nicht in die Vergleiche ein.

Die Vergleiche werden jede Nacht neu berechnet und laufen nie direkt gegen die Rohantworten anderer Schulen.

Das Personal hat Konten​

Lehrkräfte und Administrierende haben echte Konten mit Namen und E-Mail-Adresse. Gespeichert werden die Kontodaten, die Gruppenzugehörigkeit und der Zeitpunkt der letzten Anmeldung.

Wird ein Personalkonto gelöscht, wird es anonymisiert: Name und E-Mail-Adresse werden überschrieben und die Person kann sich nicht mehr anmelden. Klassenprojekte und Umfragen, die die Person angelegt hat, bleiben bestehen, ohne auf eine namentlich genannte Person zu verweisen.

Bewertungen, die zwischen Schulen geteilt werden​

Bewertungen und Kommentare von Lehrkräften zu Übungen sind bewusst für Lehrkräfte an anderen Schulen sichtbar. Sie werden mit Vornamen und Initial, Schule und Kommune angezeigt.

Das ist das einzige personenbezogene Datum in Pomelo, das bewusst über die eigene Schule hinaus geteilt wird, und es stammt immer von einer Lehrkraft — nie von Schülerinnen und Schülern. Deren Sternebewertungen fließen in den Durchschnitt ein, werden aber nicht einzeln aufgeführt.

Wo die Daten liegen​

Pomelo läuft auf Servern in Schweden bei einem schwedischen Anbieter. Siehe So arbeiten wir mit der DSGVO dazu, wie wir generell mit personenbezogenen Daten umgehen.