Datenschutz bei Lernplattformen: AVV und Drittland

Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO, wer über Zwecke und Mittel der Verarbeitung entscheidet. Setzt ein Unternehmen eine Lernplattform ein, um Beschäftigte zu schulen, entscheidet es, wer welche Kurse bekommt und wozu die Daten dienen — es ist Verantwortlicher. Der Anbieter, der die Plattform nach Weisung betreibt, ist Auftragsverarbeiter nach Art. 4 Nr. 8. Bei Hochschulen gilt dasselbe: Die Hochschule verantwortet die Verarbeitung der Daten ihrer Studenten, der Plattformbetreiber verarbeitet in ihrem Auftrag.

Die Rollen können sich verschieben. Nutzt ein Anbieter Lerndaten für eigene Zwecke, etwa um eigene Modelle zu trainieren oder Kursangebote zu vermarkten, wird er insoweit selbst Verantwortlicher — und braucht dafür eine eigene Rechtsgrundlage. Legen zwei Stellen Zwecke und Mittel gemeinsam fest, sind sie gemeinsam Verantwortliche nach Art. 26 und brauchen eine Vereinbarung darüber, wer welche Pflichten erfüllt.

Art. 28 Abs. 1 verlangt, nur mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Abs. 3 schreibt einen Vertrag vor, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen und die Rechte und Pflichten des Verantwortlichen festlegt. Der Vertrag muss insbesondere Folgendes vorsehen:

Moderne Lernplattformen nutzen weitere Dienste: Rechenzentren, E-Mail-Versand, Sprachmodelle, Sprachsynthese, Videodienste. Jeder davon ist ein Unterauftragsverarbeiter, wenn er personenbezogene Daten verarbeitet. Nach Art. 28 Abs. 2 braucht der Anbieter dafür eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen; bei allgemeiner Genehmigung muss er über Änderungen informieren und dem Verantwortlichen Gelegenheit zum Einspruch geben.

Liegt ein Dienst außerhalb des Europäischen Wirtschaftsraums oder kann aus einem Drittland auf Daten zugegriffen werden, gelten die Art. 44 ff. Eine Übermittlung ist zulässig, wenn die Kommission die Angemessenheit des Schutzniveaus festgestellt hat (Art. 45), wenn geeignete Garantien wie die Standardvertragsklauseln der Kommission bestehen (Art. 46) oder wenn eine Ausnahme nach Art. 49 greift. Seit dem Urteil des Gerichtshofs der EU vom 16. Juli 2020 (C-311/18) ist bei Standardvertragsklauseln zu prüfen, ob das Recht des Drittlands ihre Wirksamkeit beeinträchtigt.

Für die USA hat die Kommission im Juli 2023 einen Angemessenheitsbeschluss für zertifizierte Organisationen erlassen. Ob und wie lange er Bestand hat, hängt auch von gerichtlicher Überprüfung ab; der aktuelle Stand sollte vor Vertragsschluss geprüft werden. Die sicherste Lösung für Lerndaten ist eine Verarbeitung vollständig in der EU, einschließlich der eingesetzten KI- und Sprachdienste.

Lernplattformen erzeugen viele Daten: Fortschritt, Antworten, Prüfungsergebnisse, Verweildauer, Chatverläufe mit KI-Tutoren. Der Grundsatz der Zweckbindung (Art. 5 Abs. 1 Buchst. b) verlangt, vorab festzulegen, wofür diese Daten verwendet werden. Werden sie zur Leistungs- oder Verhaltenskontrolle genutzt, sind im Unternehmen zudem die Mitbestimmungsrechte des Betriebsrats zu beachten.

Prüfungsaufsicht per Kamera ist besonders heikel. Sie kann biometrische Daten berühren (Art. 9) und erfordert in der Regel eine Datenschutz-Folgenabschätzung nach Art. 35. Datensparsame Verfahren — etwa einzelne Fotos statt Video, kurze Speicherfristen und Zugriff nur im Prüffall — senken das Risiko. Automatisierte Entscheidungen über Prüfungsergebnisse ohne menschliche Beteiligung sind nach Art. 22 grundsätzlich unzulässig. Und wo KI Lernergebnisse bewertet oder Prüfungen überwacht, kann nach Anhang III Nr. 3 der KI-Verordnung ein Hochrisiko-System vorliegen.

Vor der Einführung einer Lernplattform lohnt eine strukturierte Prüfung. Die folgenden Fragen decken die häufigsten Lücken ab; die Antworten gehören in die Dokumentation des Verantwortlichen.

Dieser Beitrag erklärt die Rechtslage allgemein und ist keine Rechtsberatung. Für den Einzelfall gilt der amtliche Normtext in der aktuellen Fassung; bei Zweifeln helfen anwaltliche Beratung, der Datenschutzbeauftragte oder die zuständige Aufsichtsbehörde.