Was die DSGVO tatsächlich von einer E-Learning-Plattform verlangt

Die DSGVO wird häufig auf Cookie-Banner und Datenschutzerklärung reduziert. Bei einer Lernplattform sind das nur die sichtbaren Ränder einer viel größeren Pflicht. Die eigentliche Arbeit steckt darin, welche Lernerdaten erhoben werden, wer sie sehen darf, welche Anbieter sie erhalten, wie lange sie bleiben und ob die Plattform ein Auskunfts- oder Löschersuchen wirklich erfüllen kann.

Dieser Beitrag erklärt, was die DSGVO für ein E-Learning-Produkt bedeutet: Verantwortliche und Auftragsverarbeiter, Analysen, KI, internationale Datenhaltung und Betroffenenrechte. Er ist ein praktischer Leitfaden, keine Rechtsberatung. Lassen Sie Rechtsgrundlage und nationale Regeln für Ihre Organisation prüfen.

Wann die DSGVO für eine Lernplattform gilt

Die DSGVO gilt, wenn eine Organisation personenbezogene Daten von Menschen im Europäischen Wirtschaftsraum verarbeitet. Sie kann auch Unternehmen außerhalb Europas erfassen, wenn diese dort Waren oder Dienstleistungen anbieten oder Verhalten beobachten.

Personenbezogene Daten sind weit mehr als Name und E-Mail-Adresse. Einschreibungen, Quizversuche, Noten, Freitextantworten, Anwesenheit, Supportnachrichten, IP-Adressen, Gerätekennungen, Aktivitätsprotokolle, Angaben zur Barrierefreiheit und Kommentare von Führungskräften können eine Person identifizieren oder beschreiben. Auch pseudonymisierte Datensätze bleiben personenbezogen, wenn eine Zuordnung möglich ist.

Entscheidend ist nicht der Firmensitz. Fragen Sie, ob die Plattform Daten über Lernende, Lehrkräfte oder Beschäftigte im EWR hält und weshalb jedes Feld gebraucht wird. Falls ja, gehört die DSGVO in Architektur und Vertrag.

Verantwortlicher und Auftragsverarbeiter

Der Verantwortliche entscheidet, warum und wie Daten verarbeitet werden. Der Auftragsverarbeiter handelt nach seinen Weisungen.

Bei einem Unternehmens- oder Hochschul-LMS ist der Kunde meist Verantwortlicher. Er entscheidet, wer Kurse belegt, welche Ergebnisse zählen und wie lange Unterlagen nötig sind. Der Plattformanbieter ist meist Auftragsverarbeiter. Die Beziehung braucht eine Vereinbarung nach Artikel 28 mit Gegenstand, Dauer, Zweck, Datenarten, Sicherheitsaufgaben, Löschung, Audits und Unterauftragsverarbeitern.

„Meist“ ist wichtig. Nutzt ein Anbieter Lernaktivität eigenständig für Werbung, sachfremde Profile oder das Training eines allgemeinen Modells, folgt er nicht länger nur den Weisungen. Ein Vertrag kann ihn nicht zum Auftragsverarbeiter erklären, wenn das Produkt wie ein Verantwortlicher handelt.

Die Rollenfrage muss deshalb für jede Funktion einzeln beantwortet werden.

Einwilligung ist nicht die Standardantwort

Jede Verarbeitung braucht eine Rechtsgrundlage. Der Europäische Datenschutzausschuss nennt sechs: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse und berechtigte Interessen.

Lernprodukte wählen häufig die Einwilligung, weil sie sicher klingt. Das ist sie nicht immer. Sie muss freiwillig und widerrufbar sein. Beschäftigte in einer Pflichtschulung oder Studierende, die die Plattform für einen Kurs benötigen, haben womöglich keine echte Wahl. Abhängig von Kontext und nationalem Recht kann eine rechtliche Pflicht, öffentliche Aufgabe, ein Vertrag oder eine andere Grundlage passen.

Die Plattform sollte daher Zweck und Grundlage jeder wesentlichen Verarbeitung speichern, statt ein großes „Ich stimme zu“ für alles zu verwenden. Kursbereitstellung, Sicherheitsprotokolle, optionale Analytik, Marketing und KI-Training sind verschiedene Zwecke.

Die DSGVO-Grundsätze der Europäischen Kommission verlangen festgelegte Zwecke, Datenminimierung, begrenzte Speicherung, Richtigkeit, Sicherheit und Rechenschaft.

Betroffenenrechte müssen zu Funktionen werden

Kann eine Plattform Daten nicht finden, exportieren, korrigieren, einschränken oder löschen, wird jede Anfrage zum manuellen Datenbankprojekt.

Zwei Details verursachen besonders viel Arbeit. Erstens muss Identität konsistent sein. Existiert jemand mit drei E-Mail-Adressen in LMS, Video, Analytik und Support, bleiben Daten zurück. Zweitens ist Löschung ein Ablauf, keine SQL-Anweisung. Backups, Zertifikate, Berichte, Ereignisströme und Fremdsysteme brauchen Regeln.

Datenminimierung erleichtert jedes Recht. Was nie erhoben wurde, muss nie geschützt, erklärt, exportiert oder gelöscht werden.

Unterauftragsverarbeiter und internationale Transfers

Die meisten Plattformen sind eine Anbieterkette: Hosting, E-Mail, Video, Analytik, Fehlerverfolgung, Support, Anmeldung und KI. Jeder Dienst mit personenbezogenen Daten gehört in die Datenlandkarte.

Ein Auftragsverarbeiter benötigt vor dem Einsatz weiterer Anbieter eine schriftliche Genehmigung. Eine glaubwürdige Plattform pflegt eine aktuelle Liste, erklärt Aufgabe und Verarbeitungsort und kündigt Änderungen vertraglich an.

Transfers außerhalb des EWR brauchen einen gültigen Mechanismus. Eine Angemessenheitsentscheidung kann das Zielland abdecken. Andernfalls werden häufig die Standardvertragsklauseln der Europäischen Kommission mit den nötigen Prüfungen und Schutzmaßnahmen verwendet. Ein EU-Rechenzentrum löst die Frage nicht, wenn Support, Logs, Backups oder eine KI-API Daten anderswohin bewegen.

Fragen Sie nicht nur, ob Server in Europa stehen. Verlangen Sie alle Länder, in denen Lernerdaten gespeichert oder abgerufen werden können, einschließlich Support und Unterauftragnehmern.

Analytik, KI und die Datenschutz-Folgenabschätzung

Ein Abschlussbericht hat nicht dasselbe Risiko wie Profiling, Misserfolgsprognosen oder automatische Entscheidungen über Chancen. Die DSGVO ist risikobasiert.

Eine Datenschutz-Folgenabschätzung (DSFA) ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko erzeugt. Die Europäische Kommission nennt systematische Bewertung oder Profiling und großflächige Verarbeitung sensibler Daten. Die DSFA erfolgt vorher und bleibt ein lebendes Dokument.

Warnzeichen bei einem LMS:

• Bewertung oder Rangfolge durch undurchsichtige Modelle;
• Vorhersage von Scheitern, Abbruch oder Chancen;
• Verhaltensanalyse über vernünftige Erwartungen hinaus;
• Verarbeitung von Gesundheits-, Behinderungs-, biometrischen oder anderen besonderen Daten;
• Überwachung von Kindern oder Beschäftigten in großem Maßstab;
• Übermittlung von Arbeiten an ein externes KI-Modell.

Eine DSFA macht eine riskante Funktion nicht automatisch rechtmäßig. Sie zwingt das Team, Zweck, Notwendigkeit, Datenfluss, Risiken und Gegenmaßnahmen vor dem Start zu beschreiben. Das Ergebnis kann eine kleinere Funktion, menschliche Verantwortung oder der Verzicht sein. Dieselbe Grenze beschreibt was KI in einem LMS tatsächlich leistet.

Eine praktische Checkliste

Vor Kauf oder Start sollten Sie beantworten können:

• Welche Daten halten wir und weshalb brauchen wir jedes Feld?
• Wer ist für welchen Zweck verantwortlich oder Auftragsverarbeiter?
• Welche Rechtsgrundlage trägt jeden Zweck?
• Können wir Daten einer Person vollständig exportieren, korrigieren, einschränken und löschen?
• Welche Unterauftragnehmer erhalten Daten, in welchen Ländern und mit welchem Mechanismus?
• Welche Fristen gelten für Konten, Abgaben, Logs, Berichte und Backups?
• Welche Rollen sehen Noten, Nachrichten, Kommentare oder Angaben zur Barrierefreiheit?
• Verlangen Profiling, KI, Überwachung oder sensible Daten eine DSFA?
• Können wir eine Panne untersuchen und den Verantwortlichen schnell informieren?

Die letzte Frage zählt, weil ein Verantwortlicher die Aufsicht unter Umständen binnen 72 Stunden nach Bekanntwerden einer riskanten Verletzung informieren muss. Ein Anbieter, der mehrere Tage wartet, verbraucht die Frist seines Kunden.

Die DSGVO ist Datenarchitektur, kein Banner

Ein Banner erfasst eine Präferenz. Es repariert weder übermäßige Erhebung noch unbegrenzte Aufbewahrung, unkontrollierte Exporte oder eine unbekannte Anbieterkette.

Gute DSGVO-Arbeit wirkt unspektakulär: weniger Felder, klare Rollen, begrenzter Zugriff, planbare Löschung, dokumentierte Anbieter und erklärbare Datenflüsse. Deshalb gehört sie neben Schülerdatensicherheit und FERPA. Die Gesetze unterscheiden sich, die technischen Fähigkeiten nicht.

Am günstigsten sind diese Entscheidungen, bevor Datenbank, Analytik und Verträge falsche Annahmen verfestigen. Datenschutz durch Technikgestaltung bedeutet, die Plattform so zu bauen, dass sie die Versprechen halten kann, die die Organisation unterschreiben wird.