Was FERPA von einer Edtech-Plattform tatsächlich verlangt

„FERPA-konform“ steht auf fast jeder Edtech-Website, meist neben einem kleinen Schildsymbol. Zugleich gehört die Aussage zu den am häufigsten missverstandenen der Branche. Sie wird wie ein Abzeichen behandelt, das man erwirbt und ausstellt. Das ist sie nicht. Es gibt weder ein FERPA-Zertifikat noch eine behördliche Produktprüfung und keine Stelle, die Ihnen jemals schreibt: „Sie sind jetzt FERPA-konform.“

Hinter dem Marketing ist FERPA ein Geflecht von Pflichten, die bei den Bildungseinrichtungen beginnen und in deren Verträgen und eingekauften Systemen landen. Wenn Sie Lernsoftware entwickeln oder verkaufen, die in den USA Schülerdaten verarbeitet, werden diese Pflichten zu Architekturentscheidungen und Vertragsklauseln – ob Sie damit gerechnet haben oder nicht. Dieser Beitrag erklärt, was das Gesetz wirklich verlangt, weshalb ein Anbieter Bildungsdaten überhaupt verarbeiten darf, was er dafür bauen muss und welche weiteren Gesetze zugleich gelten. Er ist ein praktischer Leitfaden, keine Rechtsberatung. Lassen Sie Ihre konkreten Pflichten juristisch prüfen.

FERPA in einem Absatz

FERPA, der Family Educational Rights and Privacy Act, ist ein US-Bundesgesetz von 1974 zum Schutz der Privatsphäre in Bildungsunterlagen. Es gilt für Schulen, Schulbezirke, Colleges und Universitäten, die Mittel des US-Bildungsministeriums erhalten – also fast alle. Eltern und, sobald sie 18 Jahre alt sind oder ein College besuchen, die Studierenden selbst dürfen ihre Unterlagen einsehen, Korrekturen verlangen und kontrollieren, wer sonst darauf zugreift. Als Bildungsunterlage gilt weit gefasst jeder Datensatz, der eine Person direkt identifiziert und von der Einrichtung oder jemandem in ihrem Auftrag geführt wird.

Entscheidend ist „in ihrem Auftrag“. FERPA verpflichtet die Bildungseinrichtung, nicht unmittelbar Ihr Unternehmen. Sobald eine Schule Ihnen jedoch Daten für den Plattformbetrieb übergibt, handeln Sie in ihrem Auftrag. Über den Vertrag werden ihre Pflichten zu Ihrem Problem.

Die Behauptung, die allein nichts bedeutet

Da es keine Zertifizierung gibt, beschreibt „FERPA-konforme Software“ eine Absicht und keinen geprüften Zustand. Niemand vergibt dieses Prädikat. Das ist beim Kaufen wie beim Bauen wichtig.

Als Käufer erfahren Sie aus der Behauptung allein wenig. Nützlich sind konkrete Fragen: Was geschieht mit den Daten, wer darf darauf zugreifen, wie lange werden sie aufbewahrt und unterzeichnet der Anbieter eine echte Datenschutzvereinbarung? Wer sich hinter dem Abzeichen versteckt und diese Fragen nicht beantwortet, liefert damit ebenfalls eine Antwort.

Beim Entwickeln gilt dasselbe für das eigene Marketing. Compliance zu behaupten ist leicht. Sie mit Zugriffskontrollen, Aufbewahrungsregeln, Protokollen und Verträgen zu belegen, ist die eigentliche Arbeit. Die Aussage ist nur so viel wert wie die Architektur darunter.

Weshalb ein Anbieter Schülerdaten verarbeiten darf

Diesen Teil übersehen viele. Grundsätzlich verbietet FERPA Schulen, Bildungsunterlagen ohne Einwilligung offenzulegen. Wie können dann Tausende Edtech-Anbieter täglich Daten verarbeiten, ohne für jedes Kind eine Unterschrift einzuholen? Durch eine bestimmte Ausnahme: die school official exception.

Eine Schule darf einen externen Anbieter als „school official“ mit „legitimate educational interest“ behandeln und Daten ohne separate Einwilligung teilen, jedoch nur unter Bedingungen:

Der Anbieter erfüllt eine Aufgabe, die die Schule sonst selbst erledigen würde. Der Betrieb der Lernplattform zählt. Der Verkauf von Werbung nicht.
Der Anbieter unterliegt der direkten Kontrolle der Schule, was Nutzung und Pflege der Unterlagen betrifft. In der Praxis stellt der Vertrag diese Kontrolle her.
Der Anbieter nutzt die Daten ausschließlich für den autorisierten Zweck und gibt sie ohne Erlaubnis nicht weiter.

Der dritte Punkt ist die scharfe Kante. Daten für den Kursbetrieb dürfen nicht stillschweigend ein sachfremdes Modell trainieren, an Partner verkauft oder für Werbeprofile genutzt werden. Die Ausnahme, die Ihnen den Besitz überhaupt erlaubt, begrenzt zugleich die Nutzung. Überschreiten Sie diese Grenze, verletzt die Schule FERPA und Sie verletzen Vertrag und Vertrauen.

Was FERPA technisch von Ihnen verlangt

Wenn Sie Daten unter dieser Ausnahme verarbeiten, werden die Rechte der Familien zu Funktionen und Kontrollen Ihrer Plattform. Sie sind nicht exotisch, werden aber leicht ausgelassen, solange noch niemand danach fragt.

FERPA-Versprechen an Familien	Was Ihre Plattform unterstützen muss
Recht auf Einsicht	Alle zu einer Person gespeicherten Daten verlässlich exportieren oder bereitstellen
Recht auf Berichtigung	Daten ändern oder ergänzen, statt sie spurlos zu überschreiben
Kontrolle der Offenlegung	Klare Grenzen für Personen und Systeme sowie keine Weitergabe außerhalb des Zwecks
Nachweis, wer was sah	Zugriffe protokollieren, damit Offenlegungen später nachvollziehbar sind
Daten nur so lange wie nötig	Aufbewahrungsfristen und tatsächliche Löschung beim Ausscheiden von Schule oder Lernenden

Zwei Punkte verdienen besondere Aufmerksamkeit. Zugriffsprotokolle werden früh verschoben und später am stärksten vermisst. Ohne sie können Sie einen Verdacht weder untersuchen noch den Ablauf belegen. Tatsächliche Löschung ist schwieriger als sie klingt: Daten verteilen sich auf Backups, Analysen und Drittanbieter, die alle in den Prozess gehören. Dieselben Architekturfähigkeiten schützen das System allgemein. Deshalb passt das Thema zur Checkliste für die Sicherheit von Schülerdaten und zur Lehre aus der Canvas-Datenpanne, bei der kein raffinierter Angriff, sondern gewöhnliches Zugriffsdesign in großem Maßstab versagte.

FERPA ist nicht das einzige Gesetz im Raum

Nur für FERPA zu bauen genügt nicht, weil oft mehrere Gesetze zugleich gelten. Am häufigsten begegnen Ihnen:

Gesetz	Wen es verpflichtet	Was hinzukommt
COPPA (USA)	Onlinedienste, die Daten von Kindern unter 13 erheben	Eigene Einwilligungsregeln für junge Kinder, durchgesetzt von der FTC und getrennt von FERPA
Gesetze der Bundesstaaten wie Kaliforniens SOPIPA	Anbieter direkt, nicht nur Schulen	Häufig Verbote für Datenverkauf, zielgerichtete Werbung und nichtpädagogische Profile
DSGVO (EU und Vereinigtes Königreich)	Alle, die Daten von Menschen in diesen Regionen verarbeiten	Strenge Einwilligung, Betroffenenrechte und Regeln zum Datenstandort

US-Entwickler überrascht meist die mittlere Spalte. FERPA bindet die Schule und erreicht Sie über den Vertrag. Gesetze wie SOPIPA regulieren Anbieter unmittelbar: keine Schülerdaten verkaufen, keine zielgerichtete Werbung, keine Profile außerhalb des beauftragten Bildungszwecks. Viele Bundesstaaten besitzen eigene Varianten. Wer mehrere bedient, baut praktisch nach der strengsten.

Das Dokument, das die Pflichten wirklich festlegt

Mangels Zertifikat legt ein Vertrag Ihre Verpflichtungen fest, meist ein Data Privacy Agreement oder DPA, mitunter student data privacy agreement genannt. Beschaffung oder Rechtsabteilung der Schule werden ihn vorlegen. Darin werden abstrakte Gesetze zu konkreten Zusagen: welche Daten Sie erhalten, was Sie damit tun dürfen, wie Sie sie schützen, wie lange Sie sie behalten, was bei einer Panne geschieht und wie sie am Vertragsende gelöscht werden.

Viele US-Schulbezirke verwenden über das Student Data Privacy Consortium gemeinsame Vorlagen, damit Schulen und Anbieter nicht jedes Mal dieselben Bedingungen neu verhandeln. Wer an Schulen verkauft, sollte mit einem solchen Vertrag und den oben genannten Kontrollen rechnen. Ein Standard-DPA aufmerksam zu lesen ist einer der schnellsten Wege, die praktische Bedeutung von „FERPA-konform“ zu verstehen: Dort stehen die wirklichen Anforderungen in direkter Vertragssprache.

Was „konform“ leistet – und was nicht

Diese Pflichten zu erfüllen ist wertvoll. Es senkt rechtliche und Reputationsrisiken und besteht die Beschaffung. Beim Verkauf an Schulen entscheidet das häufig zwischen Vertragsabschluss und Ausscheiden in der Sicherheitsprüfung. Zunehmend ist es Grundvoraussetzung: Der Fragebogen kommt früh, und wer nicht antworten kann, erreicht die Demo nicht.

Was Sie nicht erhalten, ist eine Ziellinie. Compliance ist kein einmal erworbenes Abzeichen, sondern eine dauerhafte Reihe vertraglicher Versprechen, die das System jeden Tag einhalten muss. Jede neue Funktion, jeder Unterauftragnehmer und jeder neue Datenfluss kann ein DPA brechen. Gute Teams behandeln Datenschutz wie Sicherheit und Barrierefreiheit: als bleibende Systemeigenschaft, nicht als einmaliges Projekt. Diese Pflichten treten oft gemeinsam auf. Deshalb steht FERPA sinnvoll neben den Anforderungen von WCAG 2.2 AA an Lernplattformen.

Für Datenschutz, Sicherheit und Barrierefreiheit gilt derselbe rote Faden. Verpflichtungen, die Lernende und Ihr Unternehmen schützen, werden früh zu Architektur- und Vertragsentscheidungen, solange sie günstig einzuhalten sind. FERPA ist kein Aufkleber für die Fußzeile. Es ist ein Versprechen darüber, wie Ihr System gebaut ist und sich verhält. Bedeutung hat nur die Version, die Ihre Plattform tatsächlich halten kann.