Lernplattform und Datenschutz: EU-Hosting richtig prüfen

Schon ein einfaches LMS verarbeitet eine Menge personenbezogener Daten: Name, E-Mail-Adresse, Organisation, Rolle, Anmeldezeiten, geöffnete Kurse, Antworten in Übungen, Prüfungsergebnisse, Zertifikate. Moderne Plattformen kommen mit KI-Funktionen hinzu: Fragen an einen Tutor, gesprochene Antworten, Aufnahmen für einen eigenen Avatar, Kamerabilder bei beaufsichtigten Prüfungen.

Manche dieser Daten sind besonders heikel. Prüfungsergebnisse können über Studienabschluss oder Beförderung mitentscheiden. Stimm- und Bildaufnahmen sind persönlich und können, wenn sie zur eindeutigen Identifizierung verarbeitet werden, als biometrische Daten unter Artikel 9 DSGVO fallen. Je mehr Funktionen eine Plattform bietet, desto genauer muss man hinsehen.

Die Organisation, die das LMS einsetzt, ist in aller Regel Verantwortlicher im Sinne der DSGVO. Der Anbieter verarbeitet die Daten in ihrem Auftrag. Daraus folgen klare Pflichten auf beiden Seiten.

Viele Anbieter werben mit Servern in Deutschland oder der EU. Das ist ein guter Anfang, beantwortet aber nicht alle Fragen. Entscheidend ist, wo jede Verarbeitung stattfindet, nicht nur die Speicherung in der Datenbank. Eine Lernplattform ruft oft weitere Dienste auf: Sprachmodelle für Antworten und Kurserstellung, Sprachausgabe, Spracherkennung, Bilderzeugung, E-Mail-Versand, Zahlungsabwicklung und Fehlerüberwachung.

Liegt einer dieser Dienste außerhalb der EU, findet eine Übermittlung in ein Drittland statt, für die die Artikel 44 und folgende DSGVO gelten. Das kann zulässig sein, etwa auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln, muss aber bewusst entschieden und dokumentiert werden. Fragen Sie deshalb nach der vollständigen Liste der Unterauftragnehmer mit Standort und nach dem, was jeweils übermittelt wird.

Daten in einer Lernplattform dürfen nicht ewig liegen. Gleichzeitig gibt es Aufbewahrungspflichten: Nachweise über Pflichtschulungen müssen unter Umständen jahrelang verfügbar sein, Prüfungsunterlagen an Hochschulen ebenfalls. Eine gute Plattform unterscheidet deshalb zwischen Löschen, Sperren und Anonymisieren und lässt Fristen je Datenart festlegen.

Achten Sie darauf, dass Löschungen tatsächlich wirken, auch in Sicherungen nach deren Ablauf, und dass ein Bericht zeigt, was fällig war und was erledigt wurde. Vor einer Aufsichtsbehörde zählt das Ergebnis, nicht der Plan.

Für die meisten KI-Funktionen braucht ein Sprachmodell keine personenbezogenen Daten. Um eine Frage zu einer Folie zu beantworten, genügt der Kursinhalt und die Frage selbst. Name, E-Mail-Adresse und Kontokennung haben im Modellaufruf nichts zu suchen. Fragen Sie Anbieter, wie sie das sicherstellen.

Bei Funktionen mit Stimme und Bild, etwa einem eigenen Avatar, ist eine dokumentierte Einwilligung der abgebildeten Person nötig, die jederzeit widerrufbar ist. Ein Widerruf sollte sofort wirken, nicht erst nach Wochen.

In Universe liegen Nutzerdaten, Prüfungsergebnisse und Zertifikate in einer Datenbank in Frankfurt; die Anwendung läuft in einer EU-Region, und ein automatischer Test schlägt an, sobald eine Region außerhalb der EU eingetragen wird. Die Spracherkennung arbeitet in der EU und verweigert lieber den Dienst, als auf einen Anbieter außerhalb auszuweichen. An Sprachmodelle gehen Kursinhalt und Frage, keine Namen oder Kontodaten. Löschen, Sperren und Anonymisieren sind getrennt, mit Löschkalender und Bericht an den Datenschutzbeauftragten.