Autor: mr_tee

Veröffentlicht am

Welchen Schutz brauchen personenbezogene Daten in der Schule?

Lesezeit: 14 Minuten

Wenn es um die Frage geht, wie sicher die Nutzung einer digitalen Plattform oder eines IT-Systems ist, führt dies zwangsläufig zu der Frage, welche personenbezogenen oder -beziehbaren Daten bei der Nutzung verarbeitet werden und welchen Schutzbedarf diese haben. Der Schutzbedarf richtet sich danach, welche Folgen eine unbefugte Offenlegung, Manipulation oder der Verlust dieser Daten für die betroffenen Personen haben kann. Je höher die möglichen Risiken für die Rechte und Freiheiten der Betroffenen sind, desto höher ist auch der Schutzbedarf der Daten.

Die Bewertung des Schutzbedarfs ist deshalb von zentraler Bedeutung für die Auswahl und Ausgestaltung geeigneter technischer und organisatorischer Maßnahmen. Sie bestimmt unter anderem, welche Anforderungen an Zugriffskontrollen, Verschlüsselung, Protokollierung, Datenspeicherung oder Berechtigungskonzepte zu stellen sind, um eine datenschutzkonforme Verarbeitung sicherzustellen. Neben anderen Kriterien bestimmen sie auch, ob und in welchem Umfang eine Verarbeitung mit Apps, Plattformen und IT-Systemen möglich ist. Der Schutzbedarf ist darüber hinaus ein wesentliches Kriterium bei der Auswahl digitaler Anwendungen. Er beeinflusst, ob und unter welchen technischen und organisatorischen Rahmenbedingungen personenbezogene Daten mithilfe von Apps, Plattformen oder IT-Systemen verarbeitet werden können.

Ein Beispiel aus der Praxis

Ein Beispiel dafür, welche Bedeutung der Schutzbedarf der verarbeiteten Daten für die Auswahl und datenschutzrechtliche Bewertung einer Plattform haben kann, ist die schulische Nutzung von iPads in Verbindung mit der iCloud in Bremen. Im Jahr 2021 ließ die Senatorin für Kinder und Bildung durch ihren behördlichen Datenschutzbeauftragten, die datenschutz nord GmbH, prüfen, unter welchen Voraussetzungen die bis dahin stark eingeschränkte Nutzung der iCloud ausgeweitet werden könnte. Grundlage der Prüfung waren unter anderem Informationen von Apple, die dokumentierten technischen und organisatorischen Maßnahmen sowie die vertraglichen Rahmenbedingungen.

Im Ergebnis stufte die Senatorin für Kinder und Bildung die schulische Nutzung der iCloud für die Verarbeitung personenbezogener Daten mit normalem Schutzbedarf als vertretbar ein. Hierzu zählte sie unter anderem Namen, Kontaktinformationen, die Zugehörigkeit zu Klassen oder Kursen, Arbeitsergebnisse sowie in Lernanwendungen dokumentierte Lernstände. Voraussetzung waren insbesondere die Aktivierung der von Apple bereitgestellten Sicherheitsfunktionen, etwa der Gerätesperre und der Speicherverschlüsselung, eine datensparsame Nutzung sowie die vorherige datenschutzrechtliche Prüfung eingesetzter Drittanbieter-Apps.

Die spätere Bewertung durch die Landesbeauftragte für Datenschutz und Informationsfreiheit Bremen fiel allerdings deutlich kritischer aus. Sicher auch vor dem Hintergrund der Zugriffsmöglichkeiten von US-Ermittlungsbehörden auf von Apple verarbeitete Daten europäischer Nutzer vertrat sie die Auffassung, dass die tatsächlich in der iCloud verarbeiteten Unterrichts-, Kalender-, Kontakt-, Browser-, Foto- und Audiodaten in ihrer Gesamtheit nicht lediglich einen normalen Schutzbedarf aufwiesen. Der Fall zeigt damit anschaulich, welche zentrale Bedeutung der Schutzbedarfsbewertung für die datenschutzrechtliche Beurteilung digitaler Plattformen zukommt. Bereits die unterschiedliche Einschätzung, welche personenbezogenen Daten tatsächlich verarbeitet werden und welchen Schutzbedarf diese haben, kann zu unterschiedlichen Bewertungen derselben Plattform führen. Unabhängig davon sind selbstverständlich auch weitere datenschutzrechtliche Anforderungen, etwa die Rechtsgrundlage oder die Erforderlichkeit der Verarbeitung, zu berücksichtigen.

Wie könnte man die Schutzbedarfe von in der Schule verarbeiteten personenbezogenen Daten einstufen?

Weder die Datenschutz-Grundverordnung noch die VO-DV I enthalten eine Einteilung personenbezogener Daten in Schutzklassen oder Schutzbedarfsstufen. Soll der Schutzbedarf personenbezogener Daten systematisch bewertet werden, bietet sich daher ein Blick auf die Methodik des Bundesamtes für Sicherheit in der Informationstechnik (BSI) an.

Im Rahmen des IT-Grundschutzes verwendet das BSI keine festen Schutzklassen für einzelne Datenarten. Stattdessen erfolgt eine Schutzbedarfsfeststellung, bei der bewertet wird, welche Auswirkungen eine Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit der Daten für die betroffenen Personen oder die Organisation hätte. Das BSI unterscheidet dabei drei Schutzbedarfsstufen1Siehe Nr. 8.2 in BSI-Standard 200-2 herunterladbar unter https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/BSI_Standards/standard_200_2.pdf:

  • normal – Die Schadensauswirkungen sind begrenzt und überschaubar.
  • hoch – Die Schadensauswirkungen können beträchtlich sein.
  • sehr hoch – Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales
    Ausmaß erreichen

Das BSI betont zugleich, dass die Einstufung stets organisations- und anwendungsbezogen erfolgen muss. Eine allgemeingültige Zuordnung bestimmter personenbezogener Daten zu einer Schutzbedarfsstufe gibt es daher nicht.

Für den schulischen Bereich kann es hilfreich sein, die Schutzbedarfe stärker zu differenzieren und sich dabei aber weiterhin an der Systematik des BSI zu orientieren. Zwischen einfachen Organisationsdaten, wie der Klassenzugehörigkeit, und besonders sensiblen Daten, etwa zu einem sonderpädagogischen Förderbedarf oder zu Gesundheitsbeeinträchtigungen, liegt eine Vielzahl personenbezogener Daten, die sich nicht ohne Weiteres nur den Stufen „normal“, „hoch“ oder „sehr hoch“ zuordnen lassen. Hinzu kommen zahlreiche in der VO-DV I nicht katalogisierte Nutzungs-, Kommunikations- und Inhaltsdaten, die erst beim Einsatz digitaler Endgeräte, IT-Infrastruktur, Online-Plattformen, Apps und Anwendungen entstehen.

Für die nachfolgenden Übersichten wird deshalb ein an die Methodik des BSI angelehntes vierstufiges Modell verwendet. Dieses stellt keine rechtlich verbindliche Klassifizierung dar, sondern eine fachliche Orientierung für die Bewertung möglicher Folgen einer unberechtigten Offenlegung, Veränderung oder eines Verlustes personenbezogener Daten. Die konkrete Einstufung kann abhängig vom Verarbeitungszweck, vom Umfang der Daten, von ihrer Verknüpfung mit weiteren Informationen und vom jeweiligen Nutzungskontext abweichen.

Schutzbedarfsstufe Beschreibung Mögliche Folgen einer Beeinträchtigung
Stufe 1 – normal Personenbezogene Daten mit einem im schulischen Alltag üblichen und begrenzten Schutzbedarf. Eine unberechtigte Offenlegung, Veränderung oder ein Verlust hätte voraussichtlich nur geringfügige oder überschaubare Nachteile für die betroffene Person.
Stufe 2 – erhöht Personenbezogene Daten, deren Verarbeitung eine genauere Identifizierung, Kontaktaufnahme oder Beurteilung einzelner Personen ermöglicht. Eine Beeinträchtigung könnte zu spürbaren persönlichen Nachteilen, unerwünschter Kontaktaufnahme, Bloßstellung oder einer begrenzten Beeinträchtigung der informationellen Selbstbestimmung führen.
Stufe 3 – hoch Personenbezogene Daten, die vertiefte Einblicke in Leistungen, Verhalten, Kommunikation, familiäre Verhältnisse oder die persönliche Entwicklung ermöglichen. Eine Beeinträchtigung könnte erhebliche soziale, schulische, persönliche oder rechtliche Nachteile verursachen oder die Bildung umfangreicher Leistungs- und Verhaltensprofile ermöglichen.
Stufe 4 – sehr hoch Besonders sensible Daten, insbesondere besondere Kategorien personenbezogener Daten gem. Art. 9 DS-GVO sowie Daten, die eine umfassende Überwachung, Profilbildung oder Bewertung der Persönlichkeit ermöglichen. Eine Beeinträchtigung könnte schwerwiegende oder langfristige Folgen haben, etwa Diskriminierung, Stigmatisierung, erhebliche Eingriffe in die Privatsphäre oder gravierende Nachteile für die weitere schulische und persönliche Entwicklung.

Hinweis: Einen vergleichbaren Ansatz verfolgt auch das österreichische Bundesministerium für Bildung in seiner Handreichung zur Einteilung personenbezogener Daten in Schutzbedarfsklassen. Das dort verwendete Modell unterscheidet zwischen keinem, geringem, hohem und sehr hohem Schutzbedarf und orientiert sich ebenfalls an den möglichen physischen, materiellen und immateriellen Folgen für die betroffenen Personen. Abweichend davon geht das hier verwendete vierstufige Modell bei personenbezogenen Daten, die im schulischen Zusammenhang verarbeitet werden, grundsätzlich von zumindest einem geringen beziehungsweise normalen Schutzbedarf aus. Auch einfache Organisations- oder technische Daten sind damit nicht als völlig schutzbedürfnisfrei eingeordnet, da sie einer Person zugeordnet, mit weiteren Angaben verknüpft oder in einem anderen Verarbeitungskontext aussagekräftiger werden können. Auch das Schutzstufenkonzept des Landesbeauftragten für den Datenschutz Niedersachsen (von 2018) verfolgt einen vergleichbaren risikoorientierten Ansatz. Es unterscheidet sogar fünf Schutzstufen (A bis E) und orientiert sich ebenfalls am möglichen Schadenspotenzial für die betroffenen Personen.

Personenbezogene Daten nach der VO-DV I

Die folgende Tabelle ordnet wesentliche in der VO-DV I aufgeführte personenbezogene Daten und Datenkategorien den zuvor beschriebenen Schutzbedarfsstufen zu. Dabei werden zusammengehörige Einzelangaben teilweise zu übergeordneten Kategorien zusammengefasst. Die Zuordnung stellt keine verbindliche rechtliche Klassifizierung dar. Der konkrete Schutzbedarf kann insbesondere vom Inhalt, vom Umfang, von der Verknüpfung mit weiteren Daten und vom jeweiligen Verarbeitungskontext abhängen.

Daten bzw. Datenkategorie Beispiele nach der VO-DV I Schutzbedarf Begründung
Name und Vorname Name, Geburtsname, Vorname Stufe 1 – normal Allgemeine Identifikationsdaten, deren Bekanntwerden für sich genommen regelmäßig nur begrenzte Nachteile verursacht.
Interne Identifikationsnummern Schülernummer, Nummer des Gesamtschülerverzeichnisses Stufe 2 – erhöht Eindeutige Zuordnung innerhalb schulischer Systeme; ein Missbrauch kann die Verknüpfung weiterer Schuldaten erleichtern.
Geburtsangaben Geburtsdatum, Geburtsort, Geburtsland, Jahr des Zuzugs Stufe 2 – erhöht Erleichtern in Verbindung mit weiteren Angaben die eindeutige Identifizierung und können Rückschlüsse auf Herkunft und Biografie ermöglichen.
Geschlecht Angabe des Geschlechts Stufe 2 – erhöht Personenbezogenes Merkmal, das abhängig vom Kontext mit Diskriminierungs- oder Bloßstellungsrisiken verbunden sein kann.
Private Kontaktdaten Wohnanschrift, Postanschrift, private E-Mail-Adresse, Telefon- und Faxnummer Stufe 2 – erhöht Ermöglichen eine unmittelbare Kontaktaufnahme und können bei unberechtigter Offenlegung für Belästigungen oder Täuschungsversuche genutzt werden.
Schulische Kontaktdaten Schulische E-Mail-Adresse Stufe 2 – erhöht Ermöglichen eine gezielte Kontaktaufnahme und können für Phishing, Identitätstäuschung oder die Zuordnung zu einer Schule genutzt werden.
Staatsangehörigkeit Eine oder mehrere Staatsangehörigkeiten Stufe 2 – erhöht Kann Rückschlüsse auf Herkunft und aufenthaltsbezogene Verhältnisse ermöglichen und mit Diskriminierungsrisiken verbunden sein.
Migrationsbezogene Angaben Migrantenstatus, Anzahl der im Ausland geborenen Elternteile, Geburtsland der Eltern, Jahr des Zuzugs Stufe 3 – hoch Erlauben vertiefte Rückschlüsse auf die familiäre und biografische Herkunft und können zu Diskriminierung oder Stigmatisierung führen.
Sprachbezogene Angaben Herkunftssprache, in der Familie gesprochene Sprache Stufe 3 – hoch Können Rückschlüsse auf Herkunft, familiäre Verhältnisse und Unterstützungsbedarfe ermöglichen.
Religionszugehörigkeit Konfession, Angabe der Konfession auf dem Zeugnis Stufe 4 – sehr hoch Die religiöse Überzeugung gehört zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO.
Wirtschaftliche und soziale Verhältnisse BAföG-Bezug, Beginn, Ende und Umfang der Förderung Stufe 3 – hoch Ermöglichen Rückschlüsse auf die wirtschaftliche Situation der Schülerin oder des Schülers und der Familie.
Foto Schülerfoto Stufe 3 – hoch Ermöglicht die unmittelbare visuelle Identifizierung und kann unerlaubt verbreitet, verändert oder für Täuschungen verwendet werden.
Notfallkontakte Name und Erreichbarkeit einer wichtigen Person oder Institution Stufe 2 – erhöht Enthalten personenbezogene Daten weiterer Personen und können familiäre oder betreuungsbezogene Beziehungen offenlegen.
Notfallinformationen Art des Notfalls, Stichwort oder Kurzinformation Stufe 4 – sehr hoch Können Gesundheitsdaten oder andere besonders sensible Angaben enthalten, deren Offenlegung erhebliche Nachteile verursachen kann.
Daten der Eltern, Sorgeberechtigten und Verpflichteten Name, Status, Staatsangehörigkeit, Anschrift und weitere Erreichbarkeitsdaten Stufe 2 – erhöht Ermöglichen die Identifizierung und Kontaktaufnahme und geben Aufschluss über familiäre oder rechtliche Beziehungen.
Familiäre und rechtliche Verhältnisse Elternstatus, Vormundschaft, Pflege- oder Betreuungsverhältnisse Stufe 3 – hoch Können sensible Informationen über die familiäre Lebenssituation und rechtliche Verantwortungsverhältnisse offenlegen.
Grundlegende Schullaufbahndaten Datum und Art der Einschulung oder Aufnahme, besuchte Schule, Klasse, Jahrgang Stufe 1 – normal Dienen überwiegend der schulischen Organisation und lassen für sich genommen regelmäßig nur begrenzte Rückschlüsse zu.
Erweiterte Schullaufbahndaten Bisherige Bildungsgänge, Ausbildungsstätten, Schulwechsel, Klassenwiederholungen und deren Gründe Stufe 3 – hoch Ermöglichen eine weitergehende Bewertung der Bildungsbiografie und können Schwierigkeiten oder Brüche im schulischen Werdegang offenlegen.
Bildungsgang und Unterrichtsorganisation Bildungsgang, Klasse, Jahrgangsstufe, Kurse, Unterrichtsfächer und Kurswahlen Stufe 1 – normal Überwiegend organisatorische Angaben; in Kombination können sie jedoch Rückschlüsse auf die schulische Laufbahn ermöglichen.
Schul- und Ausbildungsabschlüsse Abschlüsse, Qualifikationen, Latinum, Graecum und vergleichbare Nachweise Stufe 2 – erhöht Beschreiben den individuellen Bildungsstand und können für schulische oder berufliche Auswahlentscheidungen relevant sein.
Ausbildungs- und Praktikumsdaten Ausbildungsberuf, Ausbildungsbetrieb, Praktikumsbetrieb, Ausbildungsjahr Stufe 2 – erhöht Geben Aufschluss über die berufliche Orientierung und ermöglichen eine Zuordnung zu externen Einrichtungen.
Fehlzeiten und Verspätungen Schulversäumnisse, entschuldigte und unentschuldigte Fehlzeiten, Verspätungen Stufe 3 – hoch Ermöglichen Rückschlüsse auf das Teilnahmeverhalten; bei Angabe von Gründen können zusätzlich gesundheitliche oder familiäre Umstände sichtbar werden.
Unterrichtsbefreiungen und Ausschlüsse Befreiung von Unterricht oder Schulveranstaltungen, Ausschluss von der Teilnahme Stufe 3 – hoch Können Rückschlüsse auf gesundheitliche, religiöse, familiäre oder disziplinarische Gründe ermöglichen.
Einzelne Leistungsdaten Einzelnoten, Ergebnisse einzelner Leistungsnachweise Stufe 2 – erhöht Betreffen die individuelle schulische Leistung, ergeben isoliert jedoch noch kein umfassendes Leistungsprofil.
Zusammengefasste Leistungsdaten Notenlisten, Zeugnisse, Prüfungsergebnisse, Leistungsübersichten Stufe 3 – hoch Ermöglichen eine umfassendere Bewertung des Leistungsstandes und können für weitere Bildungsentscheidungen maßgeblich sein.
Leistungsnachweise und Arbeitsergebnisse Klassenarbeiten, Prüfungsarbeiten, sonstige schriftliche oder digital erstellte Leistungsnachweise Stufe 3 – hoch Dokumentieren individuelle Kenntnisse, Fähigkeiten, Fehler und Lernentwicklungen und können persönliche Inhalte enthalten.
Arbeits- und Sozialverhalten Bewertungen und Aufzeichnungen zum Arbeitsverhalten, Sozialverhalten und zur Mitarbeit Stufe 3 – hoch Enthalten wertende Aussagen über Verhalten und Persönlichkeit und können die schulische Wahrnehmung einer Person langfristig beeinflussen.
Förderempfehlungen und Fördermaßnahmen Förderempfehlungen, Förderpläne, individuelle Lern- und Entwicklungsziele Stufe 3 – hoch Geben vertiefte Einblicke in Lernschwierigkeiten, Fähigkeiten, Entwicklungsstände und Unterstützungsbedarfe.
Sonderpädagogischer Förderbedarf Förderschwerpunkt, Feststellungen und Angaben zur sonderpädagogischen Förderung Stufe 4 – sehr hoch Kann Gesundheits- und Entwicklungsdaten enthalten und ist mit erheblichen Risiken der Stigmatisierung oder Benachteiligung verbunden.
Gesundheitliche Beeinträchtigungen und Behinderungen Körperliche oder gesundheitliche Beeinträchtigungen, Behinderungen, besondere Betreuungsbedarfe Stufe 4 – sehr hoch Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO.
Medizinische und sonderpädagogische Gutachten Schulärztliche, schulpsychologische oder sonderpädagogische Stellungnahmen und Gutachten Stufe 4 – sehr hoch Können detaillierte Gesundheits-, Entwicklungs- und Persönlichkeitsdaten enthalten.
Sprachstands- und Lernstandsdaten Sprachstandsfeststellungen, Lernstandsberichte, Lernausgangslagen Stufe 3 – hoch Ermöglichen eine differenzierte Einschätzung individueller Fähigkeiten, Defizite und Förderbedarfe.
Ordnungs- und Erziehungsmaßnahmen Erzieherische Einwirkungen, Ordnungsmaßnahmen und damit verbundene Vorgänge Stufe 3 – hoch Enthalten Angaben zu Konflikten oder Pflichtverletzungen und können zu Stigmatisierung und erheblichen schulischen Nachteilen führen.
Besondere Vorkommnisse Dokumentierte Vorfälle, Gefährdungen oder besondere Anforderungen an Aufsicht und Schutz Stufe 4 – sehr hoch Können Angaben zu Gesundheit, Gewalt, Konflikten, familiären Situationen oder anderen besonders sensiblen Umständen enthalten.
Klassen- und Kursbücher Unterrichtsinhalte, Anwesenheit, Fehlzeiten, Verspätungen und besondere Eintragungen Stufe 3 – hoch Führen zahlreiche organisatorische und verhaltensbezogene Angaben zusammen und ermöglichen eine Rekonstruktion des Schulalltags.
Prüfungsakten und Zeugnisunterlagen Prüfungsarbeiten, Niederschriften, Bewertungsunterlagen, Zeugnislisten und Zeugnisdurchschriften Stufe 3 – hoch Enthalten gebündelte Leistungs- und Bewertungsdaten mit Bedeutung für den weiteren Bildungsweg.
Mitwirkung und schulisches Engagement Mandate in Mitwirkungsgremien, Teilnahme an Wettbewerben oder besonderen schulischen Aktivitäten Stufe 2 – erhöht Geben Aufschluss über Interessen, Engagement und schulische Funktionen; abhängig vom Gegenstand können auch persönliche Überzeugungen erkennbar werden.
Schultagebuch für Kinder aus Familien beruflich Reisender Schülerpersonalbogen, Schulbesuche, Lernstandsberichte, Lernausgangslage und individuelle Lernpläne Stufe 3 – hoch Führt umfangreiche Angaben zur familiär bedingten Mobilität, zur Schullaufbahn und zur individuellen Lernentwicklung zusammen.

Hinweis: Entscheidend ist nicht allein die Bezeichnung einer Datenart. Mehrere für sich genommen weniger sensible Angaben können durch ihre Zusammenführung einen deutlich höheren Schutzbedarf erhalten. Ebenso kann eine Datenkategorie unterschiedliche Inhalte umfassen. Notfallinformationen, Unterrichtsbefreiungen oder besondere Vorkommnisse können beispielsweise Gesundheitsdaten oder andere besonders sensible Angaben enthalten und sind dann entsprechend höher einzustufen.

Personenbezogene Daten bei der Nutzung digitaler Endgeräte, Plattformen und Anwendungen

Bei der Nutzung digitaler Endgeräte, schulischer Netzwerke, Arbeits- und Kommunikationsplattformen, Lehr- und Lernplattformen, Apps und sonstiger IT-Anwendungen werden sehr unterschiedliche personenbezogene Daten verarbeitet. Für die Schutzbedarfsbewertung ist es hilfreich, zwischen solchen Daten zu unterscheiden, die unmittelbar mit der Person, ihren Inhalten und ihrem Handeln verbunden sind, und solchen Daten, die zunächst vor allem beim technischen Betrieb der Systeme entstehen.

Die erste Gruppe ist für die datenschutzrechtliche Bewertung regelmäßig von besonderer Bedeutung. Hierzu gehören insbesondere Zugangs- und Kontodaten, Kommunikationsinhalte, Lernprodukte, Nutzungsverläufe, Leistungsdaten sowie Foto-, Audio- und Videodaten. Bei der Bewertung der schulischen Nutzung von iPads und iCloud in Bremen spielten beispielsweise Unterrichts-, Kalender-, Kontakt-, Browser-, Foto- und Audiodaten eine zentrale Rolle.

Nutzer-, Inhalts-, Zugangs- und Verhaltensdaten

Daten bzw. Datenkategorie Typische Beispiele Schutzbedarf Begründung
Benutzer- und Kontodaten Benutzername, Anzeigename, interne Nutzer-ID, schulische E-Mail-Adresse, Klassen-, Kurs- und Organisationszugehörigkeit Stufe 2 – erhöht Ermöglichen die eindeutige Zuordnung einer Person zu Benutzerkonten, Aktivitäten, Inhalten und schulischen Gruppen.
Authentifizierungsdaten Passwörter, PINs, Wiederherstellungscodes und Sicherheitsschlüssel Stufe 4 – sehr hoch Eine Offenlegung kann unmittelbar zur Übernahme des Benutzerkontos und zum Zugriff auf weitere personenbezogene Daten führen.
Sitzungs- und Zugriffsdaten Session-Cookies, Zugriffstoken, Refresh-Token und Anmeldeschlüssel Stufe 4 – sehr hoch Können einen unmittelbaren Zugriff auf Benutzerkonten und gespeicherte Inhalte ermöglichen, ohne dass das eigentliche Passwort bekannt ist.
Rollen und Berechtigungen Rolle als Schülerin oder Schüler, Kursmitgliedschaften, Gruppenrechte sowie Freigabe- und Bearbeitungsrechte Stufe 2 – erhöht Geben Aufschluss über schulische Zugehörigkeiten und bestimmen, auf welche Inhalte und Funktionen eine Person zugreifen kann.
Kontakt- und Adressbuchdaten Namen, E-Mail-Adressen, Telefonnummern, Verteiler und Gruppenmitgliedschaften Stufe 3 – hoch Führen personenbezogene Daten mehrerer Personen zusammen und machen soziale sowie organisatorische Beziehungen sichtbar.
Kalender- und Termindaten Unterrichtstermine, Abgabefristen, Besprechungen, Erinnerungen und persönliche Kalendereinträge Stufe 2 – erhöht Geben Aufschluss über schulische Abläufe, Anwesenheit und gegebenenfalls persönliche Planungen. Bei umfangreichen oder privaten Kalendereinträgen kann der Schutzbedarf höher ausfallen.
Browser- und Webnutzungsdaten Aufgerufene Webseiten, Browserverlauf, Suchbegriffe, Downloads und Lesezeichen Stufe 3 – hoch Können Interessen, Lernschwerpunkte, persönliche Fragestellungen sowie unter Umständen gesundheitliche, religiöse oder politische Bezüge offenlegen.
Suchanfragen Suchbegriffe in Lernplattformen, Bibliotheken, Apps, Browsern oder KI-Systemen Stufe 3 – hoch Können Rückschlüsse auf Interessen, Verständnisprobleme, Lernschwierigkeiten und sensible persönliche Fragestellungen ermöglichen.
Aktivitäts- und Nutzungsdaten Anmeldezeiten, Nutzungsdauer, Seitenaufrufe, Downloads, Uploads, Änderungen, Freigaben und Löschungen Stufe 3 – hoch Ermöglichen die Rekonstruktion des Nutzungs-, Lern- und Arbeitsverhaltens sowie der Zusammenarbeit mit anderen Personen.
Bearbeitungsdaten Beginn und Ende einer Aufgabe, Bearbeitungsdauer, Unterbrechungen sowie Anzahl der Bearbeitungsversuche Stufe 3 – hoch Können Rückschlüsse auf Arbeitstempo, Ausdauer, Unsicherheiten, Konzentration und Leistungsfähigkeit zulassen.
Versions- und Änderungshistorien Frühere Fassungen, einzelne Änderungen, Bearbeitungszeitpunkte und beteiligte Personen Stufe 3 – hoch Machen den gesamten Entstehungsprozess eines Dokumentes einschließlich verworfener Inhalte nachvollziehbar.
Datei- und Dokumenteninhalte Textdokumente, Tabellen, Präsentationen, PDFs, Arbeitsblätter und sonstige Dateien Stufe 3 – hoch Dokumentieren Arbeitsergebnisse, Lernstände und häufig auch personenbezogene oder persönliche Inhalte. Der Schutzbedarf richtet sich wesentlich nach dem konkreten Inhalt.
Schriftliche Lern- und Arbeitsergebnisse Hausaufgaben, Aufsätze, Berichte, Protokolle, Projektarbeiten und Präsentationen Stufe 3 – hoch Dokumentieren individuelle Kenntnisse, Fähigkeiten und Fehler und können zugleich persönliche Ansichten oder Erfahrungen enthalten.
Digitale Notizen und Entwürfe Handschriftliche oder getippte Notizen, Markierungen, Skizzen und unveröffentlichte Entwürfe Stufe 3 – hoch Können persönliche Gedanken, Ideen und noch nicht zur Veröffentlichung bestimmte Inhalte enthalten.
Gestalterische und technische Lernprodukte Zeichnungen, Collagen, Modelle, Webseiten, Programme und Quellcode Stufe 2 – erhöht Der Personenbezug ergibt sich vor allem aus der Urheberschaft und der Verwendung als schulische Leistung; je nach Inhalt kann der Schutzbedarf höher sein.
Automatisch gespeicherte Lernstände Abgeschlossene Lektionen, erreichte Kompetenzstufen, richtige und falsche Antworten sowie Fortschrittsanzeigen Stufe 3 – hoch Ermöglichen eine differenzierte Einschätzung individueller Kenntnisse, Defizite und Lernentwicklungen und bilden häufig die Grundlage weiterer Auswertungen.
Kompetenz- und Leistungsprofile Kompetenzstufen, Stärken-Schwächen-Profile, Fähigkeitsmodelle und automatisch erzeugte Leistungsübersichten Stufe 4 – sehr hoch Verdichten zahlreiche Einzelinformationen zu einem umfassenden Leistungs- und Entwicklungsprofil und können Grundlage weitreichender pädagogischer Entscheidungen sein.
Adaptive Lernpfade und Empfehlungen Automatisch zugewiesene Aufgaben, Schwierigkeitsgrade, Förderhinweise und Leistungsprognosen Stufe 4 – sehr hoch Beruhen regelmäßig auf einer fortlaufenden Analyse des Lern- und Leistungsverhaltens und ermöglichen eine weitgehende Profilbildung.
Learning-Analytics-Daten Zusammenführung von Nutzungsdaten, Lernständen, Bearbeitungszeiten, Fehlerquoten und Leistungsdaten Stufe 4 – sehr hoch Ermöglichen eine umfassende Analyse des Lern-, Arbeits- und Nutzungsverhaltens und führen regelmäßig zu detaillierten Persönlichkeits- oder Leistungsprofilen.
Lerntagebücher und Reflexionen Selbsteinschätzungen, persönliche Lernberichte, Reflexionsaufgaben und Portfolios Stufe 4 – sehr hoch Können persönliche Gedanken, Gefühle, Schwierigkeiten sowie Angaben zur familiären oder gesundheitlichen Situation enthalten.
Fotos Porträtfotos, Gruppenbilder, Unterrichts- und Projektaufnahmen Stufe 3 – hoch Ermöglichen die unmittelbare Identifizierung und können zusätzlich soziale Beziehungen, Aufenthaltsorte oder das persönliche Umfeld offenlegen.
Audioaufnahmen Sprachaufnahmen, Podcasts, Interviews und mündliche Leistungsbeiträge Stufe 4 – sehr hoch Enthalten Stimme, Inhalt und Ausdrucksweise und ermöglichen eine besonders persönliche Wahrnehmung der betroffenen Person.
Videoaufnahmen Referate, Lernvideos, Rollenspiele und Unterrichtsaufzeichnungen Stufe 4 – sehr hoch Verbinden Bild, Stimme, Verhalten und gegebenenfalls das schulische oder private Umfeld und erlauben eine besonders umfassende Bewertung.
Kommunikationsdaten Chatnachrichten, Forenbeiträge, Kommentare, Whiteboard- und Pinnwandbeiträge Stufe 3 – hoch Enthalten persönliche Äußerungen, Meinungen, soziale Interaktionen sowie häufig Angaben zum Lern- und Arbeitsverhalten.
Vertrauliche Direktkommunikation Private Nachrichten zwischen einzelnen Schülerinnen und Schülern oder mit Lehrkräften Stufe 4 – sehr hoch Kann persönliche, familiäre, gesundheitliche oder konfliktbezogene Inhalte enthalten und unterliegt einer besonderen Vertraulichkeit.
Feedback und Bewertungen Korrekturen, Kommentare, Peer-Feedback, Punktzahlen, Noten und Bewertungsraster Stufe 3 – hoch Enthalten individuelle Leistungs- und Verhaltensbewertungen und können die schulische Entwicklung nachhaltig beeinflussen.
Rankings und Fortschrittsanzeigen Bestenlisten, digitale Abzeichen, Punktestände und Fortschrittsbalken Stufe 3 – hoch Machen Leistungen und Verhaltensbewertungen sichtbar und können Leistungsdruck oder Stigmatisierung fördern.
Cloud-Speicherinhalte Dokumente, Notizen, Kalender, Kontakte, Fotos, Audiodateien, Videos sowie App-Daten Stufe 3 – hoch Führen unterschiedliche personenbezogene Inhalte an einem Ort zusammen. Der konkrete Schutzbedarf richtet sich nach den gespeicherten Inhalten und kann bei besonders sensiblen Daten bis zur Stufe 4 reichen.
Geräte- und Cloud-Backups Sicherungen von Dokumenten, Nachrichten, Fotos, Einstellungen, App-Daten und sonstigen Inhalten Stufe 4 – sehr hoch Enthalten regelmäßig umfangreiche und unterschiedlichste personenbezogene Daten und ermöglichen eine weitgehende Rekonstruktion der Nutzung eines Endgeräts oder Benutzerkontos.
Videokonferenzdaten Teilnahmezeiten, Kamerabild, Mikrofon, Chat, Bildschirmfreigaben sowie Angaben zum verwendeten Gerät Stufe 4 – sehr hoch Verbinden Anwesenheits-, Kommunikations-, Bild-, Ton- und gegebenenfalls Umgebungsdaten in einer Verarbeitungssituation.
Bildschirmfreigaben und Bildschirmaufzeichnungen Freigabe oder Aufzeichnung des gesamten Bildschirms oder einzelner Anwendungen Stufe 4 – sehr hoch Können eine Vielzahl persönlicher, schulischer und privater Inhalte gleichzeitig sichtbar und dauerhaft auswertbar machen.
KI-Eingaben Prompts, hochgeladene Dokumente, Bilder, Sprachaufnahmen und sonstige Eingaben Stufe 3 – hoch Können Lernstände, Arbeitsergebnisse, persönliche Fragestellungen und – je nach Nutzung – auch besonders sensible personenbezogene Daten enthalten.
KI-Ausgaben und KI-Nutzungsverläufe Generierte Texte, Bilder, Bewertungen, Empfehlungen, Chatverläufe und Prompt-Historien Stufe 4 – sehr hoch Ermöglichen über längere Zeiträume umfassende Einblicke in Interessen, Lernverhalten, Denkprozesse und persönliche Fragestellungen und können Grundlage einer Profilbildung sein.

Hinweis: Die Zuordnung stellt eine fachliche Orientierung dar und erhebt keinen Anspruch auf Allgemeingültigkeit. Der tatsächliche Schutzbedarf hängt stets vom konkreten Inhalt der Daten, ihrem Umfang, ihrer Verknüpfung mit weiteren Informationen sowie vom jeweiligen Verarbeitungskontext ab. So können beispielsweise Dokumente, Chatnachrichten oder KI-Eingaben je nach Inhalt lediglich organisatorische Angaben enthalten oder Gesundheitsdaten, Informationen über einen sonderpädagogischen Förderbedarf, religiöse Überzeugungen oder andere besonders sensible personenbezogene Daten umfassen. Ebenso kann die Zusammenführung zahlreicher für sich genommen weniger sensibler Nutzungs-, Kommunikations- und Inhaltsdaten die Erstellung umfangreicher Leistungs-, Verhaltens- oder Persönlichkeitsprofile ermöglichen und damit zu einem deutlich höheren Schutzbedarf führen.

Technische Betriebs-, Geräte- und Diagnosedaten

Daten bzw. Datenkategorie Typische Beispiele Schutzbedarf Begründung
IP-Adressen Öffentliche und interne IP-Adressen bei Anmeldung und Nutzung Stufe 2 – erhöht Ermöglichen die Zuordnung von Nutzungsvorgängen zu Anschlüssen, Geräten und Zeitpunkten und können gemeinsam mit weiteren Daten zur Identifizierung einer Person beitragen.
Gerätekennungen Device-ID, Seriennummer, Installations-ID, Hardwarekennung Stufe 2 – erhöht Ermöglichen die dauerhafte Wiedererkennung eines Endgerätes und die Verknüpfung verschiedener Nutzungsvorgänge.
Netzwerkkennungen MAC-Adresse, Hostname, WLAN-Zuordnung, Netzwerksegment Stufe 2 – erhöht Ermöglichen die Identifikation eines Gerätes innerhalb des Schulnetzwerks und gegebenenfalls die Zuordnung zu bestimmten Standorten.
Geräte- und Systeminformationen Gerätetyp, Modell, Betriebssystem, Version, Browser, Spracheinstellungen Stufe 1 – normal Technische Angaben mit regelmäßig geringem Personenbezug; in Kombination mit weiteren Merkmalen kann jedoch ein eindeutiger Geräte-Fingerabdruck entstehen.
Gerätekonfiguration Installierte Apps, Konfigurationsprofile, Zertifikate und Systemeinstellungen Stufe 2 – erhöht Kann Rückschlüsse auf Nutzung, Ausstattung und Einsatzbereiche des Gerätes ermöglichen.
Sicherheits- und Compliance-Daten Verschlüsselungsstatus, Sperrcode, Geräteschutz, Root-/Jailbreak-Status, Sicherheitsrichtlinien Stufe 2 – erhöht Dienen der Absicherung der IT-Systeme, können aber zugleich Sicherheitslücken oder den technischen Zustand eines Endgerätes offenlegen.
Anmelde- und Sicherheitsprotokolle Erfolgreiche und fehlgeschlagene Anmeldungen, Abmeldungen, Authentifizierungsereignisse und Sicherheitswarnungen Stufe 2 – erhöht Ermöglichen die Nachvollziehbarkeit von Zugriffen und können bei längerer Speicherung Nutzungs- und Anwesenheitsmuster erkennen lassen.
System- und Serverprotokolle Logdateien, Zugriffsprotokolle, Audit-Logs und Administrationsprotokolle Stufe 3 – hoch Führen regelmäßig Benutzerkennungen, Zeitpunkte, IP-Adressen und konkrete Nutzungshandlungen zusammen und ermöglichen eine umfassende Rekonstruktion von Vorgängen.
Fehler- und Diagnosedaten Absturzberichte, Fehlermeldungen, Debug-Informationen und Diagnosedaten Stufe 2 – erhöht Können technische Kennungen, Benutzerinformationen oder Ausschnitte aus bearbeiteten Dokumenten enthalten.
Telemetriedaten Nutzungsstatistiken, Leistungsdaten, Gerätezustand und Systemereignisse Stufe 2 – erhöht Dienen der technischen Optimierung. Bei personenbezogener Erfassung oder langfristiger Speicherung können daraus Nutzungsprofile entstehen.
Datei-Metadaten Dateiname, Dateigröße, Dateiformat, Erstellungs- und Änderungszeitpunkt, Autor Stufe 2 – erhöht Ermöglichen die Zuordnung von Dateien zu Personen und geben Aufschluss über Bearbeitungsabläufe und Arbeitsprozesse.
Synchronisationsdaten Zeitpunkt und Status des Abgleichs zwischen Geräten, Apps und Cloud-Diensten Stufe 2 – erhöht Erlauben Rückschlüsse auf verwendete Geräte, Anwendungen und Nutzungszeitpunkte.
Mobile-Device-Management-Daten (MDM) Gerätezuordnung, verwaltete Apps, Compliance-Status, Fernsperrung und Fernlöschung Stufe 3 – hoch Ermöglichen eine weitreichende technische Kontrolle des Endgerätes und verbinden diese regelmäßig mit einer bestimmten Person, sofern Geräte personenbezogen genutzt werden oder BYOD.
Inventar- und Ausleihdaten Gerätenummer, Ausleihzeitraum, Rückgabe, Schadensvermerke und Gerätezuordnung Stufe 2 – erhöht Dokumentieren die Nutzung schulischer Endgeräte und können Verantwortlichkeiten sowie Nutzungszeiträume nachvollziehbar machen.
Druck- und Kopierprotokolle Benutzerkennung, Druckzeitpunkt, Drucker, Seitenzahl, Dateiname Stufe 2 – erhöht Ermöglichen Rückschlüsse auf Arbeitsvorgänge und können über Dateinamen oder Druckzeitpunkte zusätzliche personenbezogene Informationen offenlegen.
Netzwerk- und WLAN-Protokolle Anmeldung an Access Points, Verbindungsdauer, Datenvolumen, Netzwerkwechsel Stufe 3 – hoch Ermöglichen bei personenbezogener Zuordnung die Rekonstruktion von Aufenthaltsorten, Bewegungen und Nutzungsgewohnheiten innerhalb des Schulnetzwerks.
Technische Standortdaten Zuordnung zu WLAN-Access-Points, Bluetooth-Beacons oder sonstigen technischen Standortinformationen Stufe 3 – hoch Erlauben Rückschlüsse auf Aufenthaltsorte; bei kontinuierlicher Erfassung können Bewegungsprofile entstehen.
Support- und Wartungsdaten Support-Tickets, Fernwartungsprotokolle, Fehlerbeschreibungen, Screenshots und Kommunikationsverläufe Stufe 3 – hoch Können neben technischen Angaben auch personenbezogene Inhalte, Dokumente oder Bildschirmansichten enthalten.

Hinweis: Technische Betriebs-, Geräte- und Diagnosedaten weisen für sich genommen häufig einen geringeren Schutzbedarf auf als Inhalts-, Kommunikations- oder Leistungsdaten. Sie ermöglichen jedoch regelmäßig die Zuordnung von Geräten zu bestimmten Personen sowie die Nachvollziehbarkeit von Nutzungs- und Verwaltungsvorgängen. Werden solche Daten über längere Zeiträume gespeichert oder mit Inhalts-, Kommunikations- oder Verhaltensdaten verknüpft, kann ihr Schutzbedarf erheblich steigen. Insbesondere umfangreiche Protokoll- und Telemetriedaten können die Erstellung detaillierter Nutzungs-, Bewegungs- oder Verhaltensprofile ermöglichen und erfordern daher eine sorgfältige datenschutzrechtliche Bewertung.

Stand 07/2026

Veröffentlicht am

Skribi und Leon – Nutzung pseudonymisierter Daten durch die betreuende Professur

Lesezeit: 11 Minuten

Das Land NRW stellt seinen Schulen zwei über den Browser genutzte Plattformen zur Verfügung, welche diese kostenlos nutzen können. Es handelt sich dabei um LeOn, eine Plattform zur Leseförderung, und Skribi, eine Plattform zur Schreibförderung. Beide Plattformen wurden von einem Team an der TU Chemnitz erarbeitet, finanziell gefördert im Rahmen des „Masterplan Grundschule“ vom Ministerium für Schule und Bildung Nordrhein-Westfalen.1Siehe https://www.tu-chemnitz.de/zlb/professuren/fd_deutsch/projekte/fachoffensive/. Mittlerweile sind die Projektentwickler nicht mehr an der TU Chemnitz, sondern an der Universität Hamburg. Die technische Umsetzung erfolgt für beide Plattformen aber weiterhin durch die Berliner Softwarefirma Outermedia.

Soweit so gut. Schaut man sich die Datenschutzerklärungen zu beiden Plattformen2Datenschutzerklärung Skribi, Datenschutzerklärung LeOn an, die sich an die Nutzer bzw. Erziehungsberechtigten und Lehrkräfte richten, dann fällt dort eine Passage auf, die in beiden Datenschutzerklärungen identisch ist. Es geht um die Nutzung von pseudonymisierten Daten der Nutzer, also von Schülerinnen und Schülern sowie den Lehrkräften.

Nutzung pseudonymisierter Nutzungsdaten
Der Verantwortliche überträgt pseudonymisierte Nutzungsdaten an die Professur Fachdidaktik Deutsch am Zentrum für Lehrerbildung der TU Chemnitz. Dabei werden alle identifizierenden Daten (z.B. Namen) entfernt, sodass die Professur Fachdidaktik Deutsch am Zentrum für Lehrerbildung der TU Chemnitz nicht auf einzelne Personen zurückschließen kann. Diese Nutzungsdaten zu Nutzungsdauer, Bearbeitungszeit einzelner Aufgaben und ähnliche Daten nutzt die Professur Fachdidaktik Deutsch am Zentrum für Lehrerbildung der TU Chemnitz für die quantitative und qualitative Analyse des Nutzungsverhaltens von Lehrkräften und Schülern zum Zwecke der wissenschaftlichen Auswertung der Daten.

Rechtsgrundlage für die Pseudonymisierung ist das berechtigte Interesse der Professur Fachdidaktik Deutsch am Zentrum für Lehrerbildung der TU Chemnitz nach Art. 6 (1) f) DSGVO an der Analyse der Nutzung von LeOn zum Zwecke der Forschung und Verbesserung. Da die Professur Fachdidaktik Deutsch am Zentrum für Lehrerbildung der TU Chemnitz aus den Daten keine Rückschlüsse auf einzelne Personen ziehen kann, ist ein der Übertragung pseudonymisierter personenbezogener Daten entgegenstehendes Interesse nicht erkennbar.

Eine identische Passage findet sich übrigens auch in der Datenschutzerklärung zu divomath, mit dem Unterschied, dass hier die TU Dortmund anstelle der TU Chemnitz eingetragen ist. Auch bei divomath ist Outermedia der Auftragsverarbeiter.

Aus datenschutzrechtlicher Sicht ist diese Passage bezüglich der dort beschriebenen Übermittlung von personenbezogenen Daten und die dafür benannte Rechtsgrundlage sehr ungewöhnlich.

Im Vertrag zur Auftragsverarbeitung zu LeOn3Man kann ziemlich sicher davon ausgehen, dass der Vertrag zur Auftragsverarbeitung für die beiden anderen Plattformen divomath und skribi identisch sein wird. findet sich unter den Verarbeitungszwecken neben anderen auch die unten zitierten Zwecke:

Zweck(e), für den/die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden:

– […]

– Verarbeitung pseudonymisierter Nutzerdaten durch die zum Zwecke der wissenschaftlichen Auswertung sowie Qualitätsverbesserung und Weiterentwicklung der Software, unter anderem mittels maschinellem Lernen,

Demnach lässt der Verantwortliche (die Schule) pseudonymisierte Nutzerdaten zu drei verschiedenen Zwecken verarbeiten:

  • wissenschaftliche Auswertung
  • Qualitätsverbesserung
  • Weiterentwicklung der Software

Es fällt zunächst auf, dass die Formulierung des ersten Satzes grammatikalisch unvollständig ist, da die Angabe fehlt, durch wen die Verarbeitung erfolgt. Hier hatte man vermutlich eine Leerstelle gelassen, in welche dann nach der Logik der anderen Angaben zur Verarbeitung der pseudonymisierten Nutzerdaten die TU Chemnitz hätte eingetragen werden müssen. Wesentlich bedeutsamer ist bei dieser Zweckangabe jedoch die Frage, für wen die wissenschaftliche Auswertung erfolgt? Sie müsste streng genommen für die Schule selbst erfolgen. Gleiches gälte für die Qualitätsverbesserung, und auch die Weiterentwicklung der Software dürfte im Sinne eines Vertrags zur Auftragsverarbeitung nur für die Schule selbst erfolgen. Hier geht es aber bei allen drei Verarbeitungszwecken eindeutig nicht um die Schule selbst, sondern einmal um die Technische Universität, welche die Nutzungsdaten wissenschaftlich auswerten möchte, und zum anderen um die Verbesserung der Qualität und die Weiterentwicklung der Plattform, offensichtlich auch durch die Technische Universität, jedoch nicht nur für die Schule, von welcher die Nutzungsdaten kommen, sondern für alle Schulen, welche die Plattform nutzen.

Werden die Daten nicht ausschließlich für die Zwecke des Verantwortlichen verarbeitet, dann entspricht das keiner Auftragsverarbeitung mehr. Das wäre dann eher eine Übermittlung von personenbezogenen Daten, wie auch in der Datenschutzerklärung mit “überträgt” beschrieben. Damit aber passt solch ein Passus auf gar keinen Fall zu den Zwecken einer Auftragsverarbeitung.

Ergänzend sollte erwähnt werden, dass die Technische Universität Chemnitz nicht in der Liste der Unterauftragsverarbeiter als solcher aufgeführt ist. Es gibt auch keinen separaten Vertrag zur Auftragsverarbeitung mit der Technischen Universität.

Es findet sich auch noch ein Hinweis im Verfahrensverzeichnis zu LeOn. Dort heißt es unter:

Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offen gelegt worden sind oder noch werden
(Art. 30 Abs. 1 S. 2 lit. d)

☐ extern
● Professur Fachdidaktik Deutsch am Zentrum für Lehrerbildung der TU Chemnitz (in pseudonymisierter Form)
○ Verarbeitung dort auf der Rechtsgrundlage von DS-GVO Art. 6 Abs. 1 lit. f:

Mit dieser Angabe im Verfahrensverzeichnis sollte wohl die beabsichtigte rechtliche Konstruktion, dass die TU Chemnitz die pseudonymisierten Daten auf der Rechtsgrundlage des berechtigten Interesses verarbeitet, abgebildet werden. Normalerweise wird an der Stelle als Rechtsgrundlage immer angegeben, auf welcher Rechtsgrundlage der Verantwortliche selbst die Verarbeitung durchführt. Das eingefügte “dort” ist mehr als ungewöhnlich.

Es lässt streng genommen zwei Lesarten zu. Könnte es bedeuten, dass der Verantwortliche die Nutzungsdaten in pseudonymisierter Form dort, bei der TU Chemnitz, auf der Rechtsgrundlage seines berechtigten Interesses verarbeiten lässt? Alternativ kann es auch so gelesen werden, dass es zu den Aussagen im Vertrag zur Auftragsverarbeitung und der Datenschutzerklärung passt, nämlich dass die Rechtsgrundlage für die Verarbeitung durch die TU Chemnitz (als Verantwortlicher) das berechtigte Interesse ist.

Was meint Pseudonymisierung hier eigentlich und was sind Nutzungsdaten?

Nutzungsdaten meint im Allgemeinen Daten, welche Aufschluss über das Nutzungsverhalten geben, bei Schülern also bearbeitete Aufgaben und Aufgabentypen, Dauer der Bearbeitung einzelner Aufgaben, Abbrüche der Bearbeitung, Häufigkeit des Aufrufs einer Aufgabe, Erfolg oder Misserfolg einer Bearbeitung und Ähnliches. Bei Lehrkräften geht es um die Auswahl von Aufgaben, die Abgabe von Feedback usw. Bei beiden Gruppen geht es um die Nutzung von Funktionen generell, also welche Funktionen wurden genutzt bzw. nicht genutzt?

Nutzungsdaten werden in Plattformen nutzerbezogen verarbeitet, also bezogen auf eine einzelne, in vielen Fällen identifizierbare Person. Einige Nutzungsdaten sind für Nutzer direkt oder indirekt sichtbar über Funktionen wie “Bearbeitete Aufgaben” oder “Zur Verfügung gestellte Aufgaben”. Die meisten Nutzungsdaten bleiben unsichtbar, können aber von Entwicklern und Betreibern genutzt werden, von letzteren im Rahmen von Supportanfragen.

Pseudonymisierung bedeutet eine Trennung der Nutzungsdaten von der Zuordnung von identifizierbaren Nutzern, die so erfolgt, dass ohne Hinzuziehung von weiteren Daten keine Re-Identifikation der Nutzer möglich ist. Die Pseudonymisierung kann dabei auf den kompletten Datensatz eines einzelnen Nutzers bezogen sein oder aber auf die Nutzungsdaten eines bestimmten Typs, etwa die Bearbeitungsdauer einer bestimmten Aufgabe, über alle Nutzer hinweg.

Rechtsgrundlage für die Übermittlung von Daten

Der Verantwortliche – hier die Schule bzw. die Schulleitung – übermittelt (überträgt) pseudonymisierte Nutzungsdaten an die Entwickler der Plattform (TU Chemnitz), welche diese wissenschaftlich auswerten.

Eine Rechtsgrundlage für die Übermittlung wird nicht genannt.

Es wird lediglich angegeben, dass für diese Übermittlung von pseudonymisierten personenbezogenen Daten kein entgegenstehendes Interesse erkennbar wäre, da die TU Chemnitz aus den pseudonymisierten Daten keine Rückschlüsse auf einzelne Personen ziehen könne.

Rechtsgrundlage für die Pseudonymisierung

Die Pseudonymisierung der Nutzungsdaten erfolgt auf der Rechtsgrundlage des berechtigten Interesses der inhaltlichen Entwickler der Plattform (TU Chemnitz).

Das ist insofern interessant, als die Pseudonymisierung der Daten nicht auf einer Rechtsgrundlage erfolgt, durch welche der Verantwortliche diese legitimiert. Stattdessen gibt der Empfänger eine Rechtsgrundlage für die Pseudonymisierung an.

“Verarbeitung dort auf der Rechtsgrundlage von DS-GVO Art. 6 Abs. 1 lit. f”

Eine solche Angabe würde aber nur Sinn machen, wenn der Empfänger die Pseudonymisierung in eigener Verantwortung vornimmt und damit dann quasi als Verantwortlicher agiert. Da der Entwickler nicht identisch mit dem Auftragsverarbeiter (Outermedia) is, hat er keinen direkten Zugriff auf Daten in der Plattform, kann also auch keine Pseudonymisierung durchführen oder veranlassen.

Es sollte noch erwähnt werden, dass Art. 6 Abs. 1 lit. f DS-GVO als Rechtsgrundlage für eine Verarbeitung von personenbezogenen Daten für Schulen nicht möglich ist, da Art. 6 hier eine Einschränkung vornimmt.4“Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.”

Wer ist wofür verantwortlich?

Wenn der Verantwortliche pseudonymisierte Nutzungsdaten an die Entwickler der Plattform übermittelt, würde das bedeuten, dass die Pseudonymisierung in rechtlicher Zuständigkeit des Verantwortlichen erfolgt. Pseudonymisiert der Verantwortliche die Daten nicht, kann er sie nicht pseudonymisiert übermitteln. Das macht auch insofern Sinn, als nur der Verantwortliche über die Verarbeitung von personenbezogenen Daten entscheiden kann, nicht aber ein Auftragsverarbeiter.

Man findet bei anderen Plattformen immer wieder Aussagen, dass Auftragsverarbeiter anonymisierte Daten oder aggregierte anonymisierte Daten für eigene Zwecke nutzen.

In diesem Fall heißt es aber ausdrücklich, dass die Pseudonymisierung auf der Rechtsgrundlage des berechtigten Interesses der Stelle erfolgt, welche die Daten erhält. Das alles ist in sich widersprüchlich.

Was sagt das Schulgesetz zum Thema Übermittlung?

Es gibt in § 120 Abs. 7 SchulG NRW eine Passage (Satz 3), auf welche man sich hier offensichtlich beruft, wenn man sich am Wortlaut der Datenschutzerklärung orientiert.

“Die Übermittlung von Daten der Schülerinnen und Schüler und der Eltern an Personen oder Stellen außerhalb des öffentlichen Bereichs ist nur zulässig, wenn ein nachgewiesenes rechtliches Interesse an der Bekanntgabe der Daten besteht und schutzwürdige Belange der betroffenen Person nicht beeinträchtigt werden oder wenn die betroffene Person im Einzelfall eingewilligt hat.”

Eine Technische Universität ist eine öffentliche Stelle. Zu ihren Aufgaben gehören neben Lehre und Studium u.a. auch die Gewinnung wissenschaftlicher Erkenntnisse. Satz 3 legitimiert Übermittlungen von personenbezogenen Daten aber nur für Stellen außerhalb des öffentlichen Bereichs, also eben nicht für öffentliche Stellen als Empfänger einer Übermittlung.

Geht man von der TU als öffentliche Stelle aus, käme eventuell auch Satz 2 in Frage:

“Die Übermittlung an andere öffentliche Stellen ist zulässig, wenn sie zur Erfüllung einer gesetzlichen Auskunfts- oder Meldepflicht erforderlich ist, ein Gesetz sie erlaubt oder die betroffene Person im Einzelfall eingewilligt hat.”

Dem Verfasser des Beitrags ist kein Gesetz bekannt, welches in Frage käme, eine Übermittlung von pseudonymisierten Nutzungsdaten durch eine Schule in NRW an eine Technische Universität in einem anderen Bundesland zu legitimieren.

Würde man argumentieren, dass die Forschungsgruppe der Technischen Universität hier nicht als öffentliche Stelle agiert und die Übermittlung durch Satz 3 legitimiert wäre, dann würde sich die Frage stellen, welches nachgewiesene rechtliche Interesse die Technische Universität haben könnte, diese Daten zu erhalten. Ob die schutzwürdigen Belange der betroffenen Personen, also der Schülerinnen und Schüler und Lehrkräfte, tatsächlich nicht beeinträchtigt werden, hängt davon ab, wie pseudonymisiert wird und ob der Empfänger eine Möglichkeit hat, an weitere Daten zu gelangen, welche eine Re-Identifikation ermöglichen könnten oder nicht. Ob der Empfänger ein interest an einer Re-Identifikation hat oder nicht, wie in diesem Fall sicherlich anzunehmen, spielt dabei aus rechtlicher Sicht keine Rolle.

Berechtigtes Interesse Schulgesetz vs. DS-GVO

Das berechtigte Interesse im Schulgesetz § 120 Abs. 7 Satz 3 ist nicht gleichzusetzen mit dem berechtigten Interesse von Art. 6 Abs. 1 lit. f DS-GVO. Im Schulgesetz wurde die Möglichkeit geschaffen, personenbezogene Daten aus der Schule an Stellen außerhalb des öffentlichen Bereichs zu übermitteln, wenn es dafür keine Rechtsgrundlage aus dem Schulgesetz, einer Verordnung oder einem anderen Gesetz gibt, die andere Stelle aber ein berechtigtes Interesse an der Übermittlung hat. Die entsprechende Passage bezüglich des nachgewiesenen rechtlichen Interesses wurde in das Schulgesetz aufgenommen, um etwa in Fällen von Versicherungsschäden eine Meldung der Verursacher an die zuständige Versicherung zu ermöglichen, da diese ein berechtigtes Interesse hat, diese Daten zu erfahren, um die Schadensregulierung abwickeln zu können. Das berechtigte Interesse in der DS-GVO stellt eine Rechtsgrundlage dar, welche Verantwortlichen die Verarbeitung von personenbezogenen Daten erlaubt, wenn keine andere Rechtsgrundlage als Legitimierung in Frage kommt. Andere Rechtsgrundlagen könnten beispielsweise die Einwilligung, die Vertragserfüllung, die Ausübung einer Aufgabe im öffentlichen Interesse und die Wahrnehmung hoheitlicher Aufgaben sein. In der Regel nutzen Verantwortliche diese Möglichkeit, wenn sie Daten für eigene Zwecke verarbeiten wollen und dafür eine Einwilligung nutzen könnten, dies aber nicht tun, um dem Risiko der Nicht-Einwilligung aus dem Weg zu gehen.

Fazit – rechtliche Bewertung

Arbeitsgruppen an der TU Chemnitz (jetzt Universität Hamburg) und TU Dortmund entwickeln gefördert vom Land NRW insgesamt drei Plattformen zur Förderung der Lese-, Schreib- und Rechenfertigkeiten von Schülerinnen und Schülern. Sie begleiten die Plattformen auch nach dem Rollout weiterhin wissenschaftlich, arbeiten an der Verbesserung der Qualität und entwickeln die Software inhaltlich und funktional weiter. Bei Skribi etwa möchte man für eine Feedback-Funktion zukünftig KI integrieren. Damit das alles möglich ist, müssen die Arbeitsgruppen wissen, wie ihre Plattformen genutzt werden. Aufschluss über die Nutzung können sie aus den individuellen Nutzungsdaten der einzelnen Nutzer – Lehrkräften wie Schülern – erhalten. Vereinfacht gesagt können sie daraus schließen, was funktioniert, was gut angenommen wird oder nicht und wo es Probleme gibt. Bei der wissenschaftlichen Auswertung können anhand der Nutzungsdaten Hypothesen überprüft werden, etwa bezüglich der Wirksamkeit bestimmter Methoden, die in den Plattformen umgesetzt wurden.

Es ist also klar, dass beide Arbeitsgruppen ein Interesse daran haben, die Nutzungsdaten zu erhalten und auswerten zu können. Von der Anlage des Ganzen von NRW finanziell geförderten Projektes her dürften die wissenschaftliche Auswertung, Verbesserung der Qualität und Weiterentwicklung der Plattformen integraler Bestandteil sein. Das Land hat keine fertigen Plattformen “eingekauft”, sondern die Weiterentwicklung und Qualitätsverbesserung dazu.

Dass die beiden universitären Arbeitsgruppen nur die inhaltliche Entwicklung betreiben, nicht aber die technische, ist noch eine kleine Besonderheit in diesem Fall.

Das Problem dürfte nun darin bestanden haben, die Übermittlung der pseudonymisierten Nutzungsdaten rechtlich abzusichern. Auch wenn die DS-GVO vorsieht, dass der Verantwortliche, also hier die Schulen, den Vertrag zur Auftragsverarbeitung vorgibt, so ist die Praxis eine andere. Verträge zur Auftragsverarbeitung werden in der Regel von den Auftragsverarbeitern vorgegeben und von den Verantwortlichen identisch oder mit verhandelten Anpassungen angenommen. Der Verfasser dieses Vertrags zur Auftragsverarbeitung sollte der technische Dienstleister, Outermedia, gewesen sein. Die Passagen zur Übermittlung der pseudonymisierten Nutzungsdaten dürften auf Wunsch der TU Chemnitz integriert und später für die TU Dortmund für divomath übernommen worden sein. Ob das Ministerium für Schule und Bildung (MSB) die Verträge zur Auftragsverarbeitung rechtlich geprüft hat, ist nicht bekannt.

Die Wahrscheinlichkeit ist groß, dass man sich bei der datenschutzrechtlichen Ausgestaltung der Übermittlung der pseudonymisierten Nutzungsdaten an dem weiter oben zitierten Satz 3 aus § 120 Abs. 7 SchulG NRW orientiert hat, und so zu dem Schluss gekommen ist:

  • die Schule übermittelt uns pseudonymisierte Daten
  • Wir haben ein berechtigtes Interesse an der Übermittlung

Beim Blick für mögliche Rechtsgrundlagen in der DS-GVO sah man Art. 6 Abs. 1 lit. f mit dem berechtigten Interesse – gleicher Wortlaut, also passt es. Und so war eine Rechtsgrundlage in der DS-GVO gefunden, die entsprechend angeführt wurde. Einen weiteren Vorteil könnte man noch darin gesehen haben, dass Betroffene einer Verarbeitung auf der Grundlage des berechtigten Interesses schwer widersprechen können.

Handelt es sich nun tatsächlich um eine Übermittlung an die TU oder ist es doch eher eine Auftragsverarbeitung durch die TU? Eine Auftragsverarbeitung kann es nicht sein, denn dann dürfte der Auftragnehmer die Daten nicht zu eigenen Zwecken verarbeiten. Es kann aber auch keine Übermittlung sein, denn für eine Übermittlung zu Forschungszwecken fehlt der Schule eine spezifische Rechtsgrundlage. So wie man die Verarbeitung von pseudonymisierten Nutzungsdaten durch die beiden Arbeitsgruppen versucht hat zu legitimieren, funktioniert es nicht. In der Folge erfolgt diese Verarbeitung momentan streng genommen außerhalb geltenden Rechts, sprich rechtswidrig. Die Verantwortlichkeit dafür liegt nominell bei der Schule.

Gibt es im Schulgesetz alternative Rechtsgrundlagen?

Es gibt im Schulgesetz noch § 120 Abs. 4:

“Andere wissenschaftliche Untersuchungen, Tests und Befragungen sind nur zulässig, wenn dadurch die Bildungs- und Erziehungsarbeit sowie schutzwürdige Belange einzelner Personen nicht beeinträchtigt werden und die Anonymität der betroffenen Personen gewahrt bleibt. Die Entscheidung trifft die Schulleiterin oder der Schulleiter. Die Teilnahme der betroffenen Personen ist freiwillig.”

Die wissenschaftliche Auswertung der Nutzungsdaten könnte man sicherlich als “wissenschaftliche Untersuchung” fassen. Durch eine Pseudonymisierung werden für die Arbeitsgruppen der technischen Universitäten die Nutzungsdaten quasi anonymisiert. Ein Rückschluss auf identifizierbare Personen sollte damit nicht mehr möglich sein, selbst wenn es sich um komplette Datensätze einzelner Personen handelt, die man auswertet. Aber es gibt hier zwei Probleme. Zum einen muss die Schulleitung eine Möglichkeit haben, aktiv über die Teilnahme zu entscheiden und damit die wissenschaftliche Auswertung der Daten unterbinden zu können. Und wenn die Schulleitung zustimmt, dann müsste es für alle betroffenen Personen, also Schülerinnen und Schüler sowie Lehrkräfte möglich sein, der Teilnahme nicht zuzustimmen. Dies würde jedoch voraussetzen, dass es technisch möglich wäre, die Nutzungsdaten einzelner Personen von der Übermittlung auszunehmen.

Wissenschaftliche Auswertung ist in diesem Fall nur die eine Seite der Medaille. Da ist ja auch noch die inhaltliche und funktionale Weiterentwicklung der Plattformen sowie die Verbesserung der Qualität des Angebots. Das würde sich durch diesen Absatz 4 sicherlich nicht rechtlich abdecken lassen. Ob mit oder ohne Zustimmung der Schulleitung und der betroffenen Personen.

Was bedeutet das nun für die Praxis?

Schlussendlich kann es nur eine Lösung geben: Die Verarbeitung der pseudonymisierten Nutzungsdaten muss auf eine saubere Rechtsgrundlage gestellt werden. Und das dürfte die Einwilligung sein auf der Grundlage von § 120 Abs. 7 Satz 2 SchulG NRW in Verbindung mit Art. 6 Abs. 1 lit. a DS-GVO. Es müsste also für Schulen möglich sein, dass diese zunächst entscheiden, ob sie einer wissenschaftlichen Auswertung und Verwendung der Nutzungsdaten zur inhaltlichen und funktionalen Weiterentwicklung sowie Verbesserung der Qualität zustimmen oder nicht. Und danach müssten Betroffene ihrerseits auch zustimmen bzw. ablehnen können. Um dies umzusetzen, wäre in den Plattformen eine technische Anpassung nötig, welche die Umsetzung von Zustimmung oder Nichtzustimmung der Schulleitung sowie Einwilligung und Nicht-Einwilligung der Betroffenen zuließe.

Müssen Schulleitungen sich nun Gedanken machen, dass sie eine formell rechtswidrige Verarbeitung von personenbezogenen Daten ihrer Schule zulassen? Auch wenn Aufsichtsbehörden und Gerichte es sehr genau nehmen mit dem Wortlaut und gewählten Rechtsgrundlagen für Verarbeitungen von personenbezogenen Daten, so brauchen Schulen nicht zu fürchten, dass sie hier zur Rechenschaft gezogen werden. Selbst wenn nun eine betroffene Person, die sich mit Datenschutz auskennt, diese Unstimmigkeit in der Dokumentation erkennt oder diesen Beitrag liest und die Sache bei der Aufsichtsbehörde zur Beschwerde vorlegt oder gar vor einem Verwaltungsgericht Klage einreichen würde, so hätte dies keine rechtlichen Folgen für die Schule, da diese sich auf die vom Land bereitgestellte Plattform und die in diesem Zusammenhang bereitgestellte rechtliche Dokumentation verlässt und entsprechend argumentieren würde. Die Aufsichtsbehörde würde sich deshalb vermutlich ohnehin direkt an das Ministerium für Schule und Bildung wenden. Im unwahrscheinlichen Falle einer Klage vor einem Verwaltungsgericht wäre die Bezirksregierung beziehungsweise das Land die Beklagte und müsste Stellung nehmen.

Da es hier wirklich nur um eine unsaubere rechtliche Ausgestaltung der datenschutzrechtlichen Dokumente geht, können Schulen alle drei Plattformen unbesorgt weiter nutzen. Es kommt hinzu, dass man ziemlich sicher davon ausgehen kann, dass in den Arbeitsgruppen der technischen Universitäten keinerlei Interesse daran besteht, die pseudonymisierten Nutzungsdaten zu re-identifizieren oder für andere Zwecke als die genannten zu nutzen. Es wäre schön, wenn das Land von sich aus eine Nachbesserung in Auftrag geben würde, bevor irgendjemand auf Ideen kommt.

Eine Option wäre hier sicherlich eine Anpassung des Schulrechts um eine Regelung zur „Begleitforschung bei vom Land bereitgestellten digitalen Lehrmitteln“. Ein Problem hierbei ist jedoch, dass derartige Gesetzgebungsprozesse ziemlich lange dauern. Man kann in der Regel von einem Jahr Mindestlaufzeit ausgehen – vom Entwurf über die Mitbestimmung bis zur finalen Verabschiedung im Parlament. Das wäre für eine Behebung der aktuell bestehenden Mängel eine ziemlich lange Zeit.

Veröffentlicht am

Auskunftsrecht und die Monatsfrist

Lesezeit: 8 Minuten

Die DS-GVO sichert Betroffenen mit Art. 15 das Recht zu, von Verantwortlichen jederzeit eine Bestätigung darüber zu verlangen, ob diese ihre Daten verarbeiten. Ist dies der Fall, steht den Betroffenen eine detaillierte Auskunft über die Verarbeitung ihrer personenbezogenen Daten sowie die Ausfertigung einer Datenkopie zu. Wie die Erfahrung vieler Schulen und auch Berichte in der Fachpresse zeigen, machen Betroffene zunehmend von diesem Recht Gebrauch.

Hintergrund des Auskunftsrechts ist es, Betroffenen eine Möglichkeit zu geben, ihr Recht auf informationelle Selbstbestimmung auszuüben. Können Betroffene sich einen Überblick über die Verarbeitung ihrer Daten verschaffen, dann haben sie in der Folge nicht nur die Möglichkeit die Rechtmäßigkeit der Verarbeitung zu überprüfen, sondern auch, von weiteren Betroffenenrechten Gebrauch zu machen – etwa eine Löschung, Berichtigung oder Einschränkung der Verarbeitung zu beantragen, einer Verarbeitung zu widersprechen, eine Einwilligung ganz oder in Teilen zu widerrufen oder sich bei einer Aufsichtsbehörde zu beschweren.

Machen Betroffene von ihrem Recht auf Auskunft Gebrauch, dann, so zeigt die Erfahrung ebenfalls, geht es im schulischen Alltag sehr oft weniger um das eigentliche Recht auf informationelle Selbstbestimmung. Häufig steht das Auskunftsbegehren im Kontext von tiefergehenden Auseinandersetzungen mit den Verantwortlichen, die völlig andere Hintergründe haben. Dies ändert aber nichts an der Tatsache, dass Verantwortliche dem Auskunftsbegehren nachkommen müssen.

Für Schulen ist die Beantwortung von Auskunftsersuchen keinesfalls eine Routineaufgabe. In der Regel müssen mehrere Personen eingebunden werden, um alle Bereiche der schulischen Datenverarbeitung lückenlos zu erfassen. Aus Unkenntnis der rechtlichen Vorgaben werden dabei häufig Fehler bei der Beantwortung gemacht.

Werden Anfragen in der Ferienzeit oder kurz davor gestellt, ist es für Schulen personell und organisatorisch kaum möglich, diese zeitnah und in vollem Umfang zu bearbeiten. Betroffene, die Auskunftsanfragen nutzen, um Schulen als Revanche für ein nach ihrem Empfinden erlittenes Unrecht unter Druck zu setzen, legen häufig besonderen Wert auf die strikte Einhaltung von Fristen. Manche setzen sogar eigenmächtig kürzere Fristen, wie dem Verfasser bekannte Fälle zeigen.

Ist das Verhältnis zwischen den Betroffenen und der Schule ohnehin schon angespannt, eskaliert die Situation durch eine solche Auskunftsanfrage schnell. Betroffene suchen dann häufig Unterstützung bei der zuständigen Aufsichtsbehörde. Diese fordert die Schule in der Folge zu einer Stellungnahme auf – insbesondere dazu, warum gesetzliche Fristen versäumt wurden und/oder warum die erteilte Auskunft unvollständig ist.

Und damit kommen wir zu den Fristen, um die es in diesem Beitrag gehen soll. Sehr häufig liest man, dass die Auskunftsanfrage innerhalb einer Monatsfrist beantwortet werden muss, beantwortet im Sinne von Auskunft erteilen gemäß Art. 15 DS-GVO.

Bei der LDI NRW geht man, wie einem Schreiben an eine Schule zu entnehmen ist, davon aus, dass Verantwortliche

“personelle und organisatorische Maßnahmen [ergreifen], die eine zügige Bearbeitung entsprechender Anträge ermöglichen, und [es ermöglichen, dass] Auskunftsansprüche betroffener Personen innerhalb der in Art. 12 Abs. 3 DS-GVO genannten Frist erfüllt werden.”

Auch auf der von der intersoft consulting betriebenen Website dsgvo-gesetz.de findet sich unter
Themen > Auskunftsrecht der betroffenen Person eine inhaltlich ähnliche Formulierung:

“Auskunftserteilungen müssen nach Art. 12 Abs. 3 DSGVO unverzüglich erfolgen, spätestens aber innerhalb eines Monats. Nur in begründeten Ausnahmefällen darf die Monatsfrist überschritten werden.”

Demnach müssen Verantwortliche innerhalb einer Frist von einem Monat eine Auskunftsanfrage nicht nur beantworten, sondern auch erfüllen, indem die angefragte Auskunft vollständig erteilt wird. Der oder die Betroffene erhält dabei alle Informationen gemäß Artikel 15 Abs. 1 DS-GVO sowie die dazugehörige Datenkopie.

Vergleichbare Aussagen zum Auskunftsrecht finden sich an sehr vielen anderen Stellen. Auch in den führenden Kommentaren zu Art. 12 Abs. 3 DS-GVO. In einem der Standardwerke grenzt man das Recht auf Auskunft (sowie das Recht auf Datenübertragbarkeit) bezüglich der Fristenumsetzung sogar ausdrücklich von den übrigen Betroffenenrechten ab:

“Bei den Auskunftsansprüchen der betroffenen Person aus Art. 15 und bei dem Recht auf Datenübertragbarkeit aus Art. 20 besteht die Positivantwort darin, dass der Verantwortliche der betroffenen Person die begehrten Informationen mitteilt bzw. Daten herausgibt. Bei den anderen Betroffenenrechten muss der Verantwortliche die betroffene Person darüber informieren, welche Maßnahmen er auf ihren Antrag hin ergriffen hat.”1Kühling/Buchner/Bäcker, 4. Aufl. 2024, DS-GVO Art. 12 Rn. 32, beck-online

Eine „Positivantwort“ meint in diesem Kontext, dass tatsächlich Daten zur betroffenen Person vorliegen und dem Auskunftsersuchen folglich inhaltlich nachgekommen werden muss. Der Kommentar verschärft diese Pflicht im nächsten Textabschnitt sogar noch weiter:

“Die Pflicht zur unverzüglichen Positivantwort impliziert, dass der Verantwortliche das Betroffenenrecht selbst gleichfalls unverzüglich zu erfüllen hat.”2Kühling/Buchner/Bäcker, 4. Aufl. 2024, DS-GVO Art. 12 Rn. 33, beck-online

Schaut man direkt in den angeführten Art. 12 Abs. 3 DS-GVO, dann findet sich dort besagte Monatsfrist mit der Möglichkeit, diese unter bestimmten Bedingungen zu verlängern. Art. 12 bezieht sich allgemein auf die Modalitäten für die Ausübung der Rechte der betroffenen Person. Es geht an dieser Stelle also nicht exklusiv um das Recht auf Auskunft, sondern um alle Betroffenenrechte. Für die Umsetzung der Rechte aus den Artikeln 15 bis 22 setzt die DS-GVO den Verantwortlichen eine feste zeitliche Frist und bildet damit eine einheitliche Klammer für alle Betroffenenrechte, egal ob Auskunft, Löschung oder Berichtigung.

“Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.”

Man findet innerhalb der in der Praxis regelmäßig referenzierten Vorgabe von Art. 12 Abs. 3 DS-GVO bei genauem Hinsehen keinen expliziten Hinweis darauf, dass innerhalb dieser Frist der Antrag der betroffenen Person bereits vollständig umgesetzt und final erfüllt sein muss. Die Vorgabe beschränkt sich laut Wortlaut auf eine reine Information über die ergriffenen Maßnahmen.

Im konkreten Fall eines Auskunftsersuchens könnte dies beispielsweise die Information an die betroffene Person sein, dass die entsprechenden Lehrkräfte oder Abteilungen mit der Zusammenstellung der Übersicht gemäß Art. 15 Abs. 1 DS-GVO beauftragt, die Vorbereitung der Datenkopie in die Wege geleitet sowie etwaige externe Auftragsverarbeiter (wie z. B. die Betreiber von Schulplattformen) für die Bereitstellung von Datenexporten kontaktiert wurden.

Das Auskunftsrecht beschäftigt nicht nur die Schulen und im Falle von Beschwerden auch die Aufsichtsbehörden. Es sorgt vielmehr auch für eine stetig wachsende Zahl von Verfahren vor den Gerichten, wobei das Auskunftsrecht, dies sei nebenbei bemerkt, auch hier von den betroffenen Personen häufig zweckentfremdet eingesetzt wird.

Anders als Aufsichtsbehörden haben Gerichte in Streitfällen das letzte Wort. Während in der Vergangenheit Gerichte bezüglich der zeitlichen Umsetzung des Auskunftsrechts überwiegend die Rechtsauffassung der Aufsichtsbehörden und Fachkommentare vertraten, gibt es mittlerweile auch Gerichte, welche näher am Wortlaut der DS-GVO entscheiden. Exemplarisch sollen hierzu ein Gerichtsurteil und ein Beschluss zum Auskunftsrecht wiedergegeben werden.

Das Verwaltungsgericht Osnabrück setzt sich in seinem Urteil vom 13.01.2026 – 7 A 6/24 detailliert mit der Frage der Fristen auseinander. Wie die Entscheidung deutlich macht, bricht das Gericht hier mit der oben beschriebenen Praxis der Aufsichtsbehörden. In der Urteilsbegründung heißt es:

“Nach Art. 12 Abs. 3 DS-GVO stellt der Verantwortliche (hier: die Beklagte) der betroffenen Person (hier: dem Kläger) Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.”

Damit wird der Wortlaut des Gesetzestextes von Art. 12 Abs. 3 DS-GVO unmittelbar wiedergegeben. Die Frist beginnt laut Urteilsbegründung mit dem Eingang des Antrags des Betroffenen beim Verantwortlichen. Muss der Verantwortliche erst die Identität des Betroffenen feststellen, beginnt die Frist, sobald diese zweifelsfrei festgestellt ist.

Lässt sich der Betroffene anwaltlich vertreten, was im Fall des Auskunftsrechts auch bei Schulen vorkommt, wie dem Verfasser bekannte Fälle belegen, dann beginnt die Frist, sobald die Originalvollmacht vorliegt, sofern der Verantwortliche eine solche verlangt.

Eine vergleichbare Auffassung vertritt auch das Verwaltungsgericht Düsseldorf in seinem Beschluss vom 5.9.2025 (29 K 6375/25). Die einmonatige Frist in Art. 12 Abs. 3 Satz 1 DS‑GVO betrifft nach Auffassung der Richter ausschließlich die Mitteilung über den Stand bzw. die ergriffenen Maßnahmen auf Antrag, nicht jedoch die tatsächliche Erfüllung der in den Art. 15 bis 22 DS‑GVO geregelten Rechte oder Ansprüche der betroffenen Person. Hierbei beruft es sich auf eine Reihe aktueller DS-GVO-Kommentare. 3Siehe auch https://beck-online.beck.de/Bcid/Y-300-Z-ZD-B-2026-S-116-N-1 (Link hinter Bezahlschranke)4 Hinweis: In früheren Auflagen einzelner der genannten DS‑GVO‑Kommentarwerke wird die vom Arbeitsgericht Duisburg vertretene Auffassung wiedergegeben Wortwörtlich heißt es so im Urteil:

“Gemäß Art. 12 Abs. 3 Satz 1 DSGVO stellt der Verantwortliche der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Die Frist in Art. 12 Abs. 3 Satz 1 DSGVO bezieht sich lediglich auf die Statusmeldung über die auf Antrag ergriffenen Maßnahmen. Nicht normiert ist dadurch eine Frist zur Erfüllung der in Art. 15-22 DSGVO verankerten Rechte bzw. Ansprüche der betroffenen Person.“

Wie kommt es zu den beiden unterschiedlichen Auslegungen?

Die Antwort liegt in der unterschiedlichen Herangehensweise an den Gesetzestext. Bei der Interpretation von Gesetzen nutzen Juristen verschiedene Auslegungsmethoden. Sie betrachten den reinen Wortlaut, den Sinn und Zweck einer Regelung, den geschichtlichen Hintergrund oder den systematischen Aufbau des Gesetzes. Der Unterschied in den Ergebnissen entsteht dadurch, welche dieser Methoden stärker gewichtet wird.

Die LDI NRW wie auch andere Aufsichtsbehörden und der oben zitierte Fachkommentar gewichten vor allem den Sinn und Zweck (die sogenannte teleologische Auslegung) am höchsten: Für sie steht der effektive und zügige Schutz der Betroffenen im Vordergrund. Wenn eine betroffene Person monatelang auf ihre Daten warten müsste, würde das Recht auf Auskunft in der Praxis entwertet. Daher argumentiert der Verfasser des oben zitierten Fachkommentars mit dem „Beantwortungs- und Beschleunigungsgebot“, welches sich aus der Zusammenschau von Art. 12 Abs. 3 und Abs. 4 DS-GVO ergibt. Ein Antrag darf demnach weder liegengelassen noch das Verfahren künstlich verzögert werden.

Die Verwaltungsgerichte hingegen legen in ihren aktuellen Entscheidungen das Hauptgewicht auf den exakten Wortlaut und die Systematik des Gesetzes. Die Grenze jeder richterlichen Interpretation ist im Rechtsstaat der geschriebene Text. Und der Text von Art. 12 Abs. 3 DS-GVO spricht nun einmal explizit von der Unterrichtung über die „ergriffenen Maßnahmen“ und nicht von der finalen „Erfüllung“. Die Gerichte trennen daher strikt zwischen der verfahrensrechtlichen Pflicht (der Statusmeldung innerhalb eines Monats) und der materiellen Pflicht (der tatsächlichen Herausgabe der Datenkopie), für die das Gesetz an dieser Stelle keine starre Frist nennt.

Fazit und Handlungsempfehlungen für Schulleitungen

Was bedeutet das nun für die schulische Praxis, wenn eine Auskunftsanfrage kurz vor den Ferien eingeht, man sich vielleicht mitten in der heißen Phase der Zeugniserstellung befindet und die Zeit ohnehin knapp ist?

Die Schule sollte den Eingang der Anfrage in jedem Fall unmittelbar, spätestens jedoch innerhalb der gesetzlichen Monatsfrist, schriftlich bestätigen. In diesem Schreiben gilt es,5vorausgesetzt, es bestehen keine Zweifel bezüglich der Identität des Betroffenen und es soll auch keine Negativauskunft erteilt werden. der betroffenen Person zumindest erste Informationen über die bereits ergriffenen oder konkret geplanten Maßnahmen zur Erfüllung der Auskunft zukommen zu lassen.

Sollte es der Schule in dieser Zeit gar nicht möglich sein, bereits konkrete Maßnahmen zu benennen, etwa weil Schlüsselpersonen mit dem nötigen Spezialwissen (wie das Sekretariat, IT-Koordinatoren oder Lehrkräfte, die schulische Plattformen administrieren) in den Ferien schlichtweg nicht erreichbar sind, kann und sollte direkt innerhalb des ersten Monats formell eine begründete Fristverlängerung mitgeteilt werden. Im schulischen Kontext lässt sich hierbei sehr gut mit der Komplexität der Datenzusammenführung über verschiedene Systeme hinweg (z.B. Schulverwaltung, Lernplattformen, Arbeits- und Kommunikationsplattform, Geräteverwaltung, …) argumentieren. Damit demonstriert die Schule ein datenschutzkonformes sowie strukturiertes Vorgehen und agiert rechtlich auf der sicheren Seite.

Auch wenn die jüngere Rechtsprechung der Verwaltungsgerichte Osnabrück und Düsseldorf den Schulen bei kurzfristigen und komplexen Anfragen eine spürbare organisatorische Entlastung bringt, bleibt die Praxis im datenschutzrechtlichen Alltag von gegensätzlichen Erwartungen geprägt. Während die Gerichte, vor denen Auskunftsverfahren meist erst bei maximaler Eskalation landen, dazu tendieren, die Monatsfrist als reine „Statusmeldung“ zu interpretieren, fordern die Aufsichtsbehörden, die von Betroffenen in der ersten Eskalationsstufe angerufen werden, in ihren Schreiben weiterhin die vollständige Datenherausgabe innerhalb eines Monats.

Um in verfahrenen Konfliktsituationen die typische Eskalationsspirale zu bremsen und der Aufsichtsbehörde im Falle einer Beschwerde keine Angriffsfläche zu bieten, empfiehlt sich für Schulleitungen im Alltag die Berücksichtigung der folgenden Punkte:

  • Voraussetzungen prüfen: Es besteht das Recht, bei Vertretung durch Anwälte unverzüglich die Originalvollmacht einzufordern und bei begründeten Zweifeln oder falls die Person die Schule vor langer Zeit verlassen hat, Identitätsnachweise anzufordern. Solange diese Dokumente nicht vorliegen, beginnt die gesetzliche Monatsfrist überhaupt erst gar nicht zu laufen. Die Schule gewinnt so völlig legal wertvolle Zeit, noch bevor die rechtliche Uhr tickt.
  • Zwischenbescheid inhaltlich füllen: Wenn das oben beschriebene Schreiben aufgesetzt wird, sollten darin transparent die ersten (geplanten) Schritte aufgelistet werden. Sinnvoll ist beispielsweise die Nennung der notwendigen Abfrage bei den Lehrkräften nach Notenlisten, das Einholen von Datenexporten digitaler Lernplattformen oder die Kontaktaufnahme mit externen Auftragsverarbeitern. Je konkreter die “ergriffenen Maßnahmen” benannt werden, desto eher entspricht das Schreiben den Anforderungen von Art. 12 Abs. 3 DS-GVO. Wichtig: In jedem Schreiben im Kontext eines Auskunftverfahrens muss seitens der Schule zwingend auf die Möglichkeit hingewiesen werden, Beschwerde bei der zuständigen Datenschutzbehörde des jeweiligen Bundeslandes einzulegen.
  • Die Bearbeitung nicht grundlos aufschieben: Die durch den Zwischenbescheid oder die Fristverlängerung gewonnene Zeit ist kein Freibrief für Untätigkeit. Die DS-GVO verlangt grundsätzlich eine unverzügliche Bearbeitung. Die Atempause sollte daher genutzt werden, um nach der Rückkehr der Schlüsselpersonen eine fehlerfreie, gründliche und vollständige Zusammenstellung der Auskunft sowie der Datenkopie vorzubereiten.

Die Praxis zeigt, wer von vornherein zeitnah und transparent kommuniziert und Zwischenbescheide sachgerecht einsetzt, hält sich in arbeitsintensiven Phasen wie der Zeugniserstellung den Rücken frei und gewinnt den nötigen zeitlichen Puffer, um das Auskunftsverfahren danach rechtssicher und ohne Hektik zu erledigen. In vielen Fällen sollte es so auch möglich sein, Beschwerden durch die Betroffenen bei der Aufsichtsbehörde zu vermeiden, denn auch deren Bearbeitung kostet eine Schule Zeit. Auch wenn die beiden Gerichtsdokumente derzeit noch eher eine Minderheitsmeinung repräsentieren, bieten sie eine wichtige Absicherung. Sollten Schulen durch eine unspezifizierte und umfangreiche Auskunftsanfrage – oder Forderungen weit über Art. 15 hinaus – trotz guter Vorarbeit arg unter Druck geraten, kann man sich auf die Aussagen dieser Gerichte berufen, um sich zu entlasten. Sie entbinden Schulen zwar nicht von ihrer Pflicht zur fortlaufend zügigen Bearbeitung der Auskunft, sie nehmen jedoch spürbaren Druck aus der organisatorischen Umsetzung im Schulbetrieb.

Weiterlesen

Unter dem Schlagwort Art. 15 finden sich auf dieser Website vertiefende Informationen samt Musterschreiben zum gesamten Auskunftsverfahren.

Veröffentlicht am

Protokolle von Lehrerkonferenzen per KI erstellen

Lesezeit: 11 Minuten

Lehrerkonferenzen1siehe § 68 SchulG NRW zählen zu den schulischen Mitwirkungsgremien und müssen als solche gem. § 63 SchulG NRW Niederschriften über ihre Sitzungen anfertigen.

“Über jede Sitzung ist eine Niederschrift zu fertigen, die mindestens den Wortlaut der Beschlüsse und die Stimmenmehrheit enthält, mit der sie gefasst sind.“

KI-Plattformen können schon seit einiger Zeit Audioaufnahmen transkribieren und den dabei entstehenden Text verarbeiten. Warum sollte man dann das ungeliebte Protokollieren von langen Lehrerkonferenzen nicht einfach an eine KI auszulagern?

Die Idee erscheint auf den ersten Blick naheliegend. Gleichzeitig wirft sie eine Reihe rechtlicher Fragen auf. Dazu gehören insbesondere die Zulässigkeit von Audioaufnahmen schulischer Konferenzen, die Verarbeitung personenbezogener Daten durch KI-Systeme, die Vertraulichkeit von Beratungen sowie die Frage, welche technischen Lösungen überhaupt eingesetzt werden dürfen.

Anfragen in dieser Art erreichten den Verfasser des Beitrags bereits mehrfach. Entsprechend überrascht es nicht, dass diese Idee auch schon über das im November 2025 eingerichtete Portal Bürokratieabbau für Schulen herangetragen wurde. Unter den von den Fachabteilungen gesichteten Vorschlägen schaffte es einer, Transkription von Konferenzen (Wisper OpenAI), in die finale Auswahl von 300 Vorschlägen. Der Vorschlag lautet:

“Zur Transkription z. B. von Konferenzen sollte eine datenschutzkonforme KI-Lösung zur automatischen Protokollerstellung bereitgestellt werden (z. B. vergleichbar zu Wisper/OpenAI).”

Die Antwort auf der Portalseite lautet:

“Die Möglichkeiten zur Unterstützung von Schulen bei der Erstellung von Protokollen werden aktuell geprüft. Dies umfasst auch den Einsatz von KI. Dabei werden nicht nur rein technische Aspekte, sondern auch der Datenschutz und der Schutzbedarf einbezogen. Nicht jedes verfügbare System wird für jede Art von Konferenz geeignet sein. Vor einem Abschluss der Prüfung können keine Empfehlungen zu konkreten Produkten gemacht werden.
Eine flächendeckende Umsetzung durch die Schulträger in absehbarer Zeit ist angesichts der vielfältigen digitalen Herausforderungen, denen sich die Kommunen stellen müssen, unrealistisch.”

Der Vorschlag ging über Lehrerkonferenzen hinaus. Das Ministerium sagt eine Prüfung des Vorschlags zu, gibt aber gleichzeitig zu bedenken, dass neben den technischen auch rechtliche Aspekte zu berücksichtigen sind und die Art des genutzten Systems von der Art der Konferenzen abhängig sein wird. Diesbezüglich möchte man prüfen, um dann konkrete Vorschläge zu geegneten KI-Plattformen machen zu können. Man geht davon aus, dass von Seiten der Schulträger nicht zu erwarten ist, dass diese flächendeckend entsprechende Anwendungen bereitstellen werden.

Warum nicht einfach AIS.chat nutzen?

Diese Aussage wurde vor dem Hintergrund abgegeben, dass in diesem Zeitraum auch die Landeslösung AIS.chat (ehemals telli) ausgerollt wurde, bzw. dass die Ausrollung bevorstand. AIS.chat kommt für die Transkription und Verarbeitung von Audioaufnahmen von Konferenz aus verschiedenen Gründen nicht in Frage. Die KI-Landes-Lösung ist eine pädagogische Plattform, in welcher die Verarbeitung von personenbezogenen Daten zumindest aktuell nicht zulässig ist. Außerdem verfügt die Plattform bisher über keine Funktion zur Transkription von Audio.

Datenschutzrechtliche Einordnung

Um eine Einordnung vorzunehmen, ist zunächst zu klären, um welche Kategorien von Personen und personenbezogenen Daten es bei den wichtigsten schulischen Konferenzen überhaupt geht. Die Bedeutung dieser Unterscheidung liegt darin, dass sich je nach Konferenzart sowohl der Kreis der Betroffenen als auch die Sensibilität der verarbeiteten Daten erheblich unterscheiden können.

Um welche Kategorien von Personen geht es eigentlich bei diesem Thema?

Die Kategorien von Personen, welche von der Transkription einer Konferenz betroffen sein können, hängt maßgeblich von der Art der Konferenz ab.

Bei Lehrerkonferenzen geht es in der Regel um die Lehrkräfte selbst, Lehramtsanwärter, Lehrkräfte in Ausbildung, die Schulleitung und je nach Schule um weitere schulische Mitarbeiter wie Schulsozialpädagogen. Mitunter nehmen auch Praktikantinnen und Praktikanten an Lehrerkonferenzen teil. Alle genannten Personen treten als Teilnehmer mit möglichen Redebeiträgen auf und können auch selbst Gegenstand von Beiträgen sein.

Bei Klassenkonferenzen sind Lehrkräfte und Schüler betroffen und je nach Situation Mitglieder der Schulleitung. Außerdem gehören zu den Mitgliedern einer Klassenkonferenz der oder die Vorsitzende der Klassenpflegschaft sowie in Abhängigkeit von der Schulstufe die Klassensprecherin oder der Klassensprecher sowie deren Stellvertretungen.

Bei Teilkonferenzen Ordnungsmaßnahmen geht es um Lehrkräfte, Schüler, Eltern, Mitglieder der Schulleitung und gegebenenfalls auch Schulsozialpädagogen.

Welche Kategorien von Daten wären betroffen von einer Transkription?

In einer Lehrerkonferenz sind – sofern es um personenbezogene Daten geht – in der Regel vor allem organisatorische Daten betroffen, um Aufgaben von Lehrkräften oder um Berichte über Tätigkeiten. Es können dabei aber auch Gesundheitsdaten betroffen sein, etwa wenn dem Kollegium mitgeteilt wird, dass eine Lehrkraft für längere Zeit krankheitsbedingt ausfällt. In Lehrerkonferenzen wird oft auch zu Geburtstagen und Jubiläen gratuliert oder zur Geburt von Kindern. Es werden außerdem Wahlen durchgeführt. Daneben werden Themen, welche die Schule betreffen, diskutiert, wobei auch sehr persönliche Meinungen geäußert werden können.

Bei Klassenkonferenzen geht es um Noten, Versetzungen, Rückstufungen, Beschlüsse über den Förderstatus, soziales Verhalten, Regelverstöße, die körperliche und psychische Gesundheit, die Familiensituation und mehr.

Während bei Lehrerkonferenzen gelegentlich auch die sogenannten besondere Kategorien von Daten gem. Art. 9 DS-GVO Gegenstand sein können, ist diese Kategorie von Daten in Klassenkonferenzen sehr häufig vertreten. Bei Teilkonferenzen Ordnungsmaßnahmen sind sie die Regel.

Gibt es eine Rechtsgrundlage für die Aufnahme von Redebeiträgen in Konferenzen?

Die überwiegende Mehrzahl der Verarbeitungen von personenbezogenen Daten zur Erfüllung des Bildungs- und Erziehungsauftrags stützt sich in der Schule auf die sogenannten Generalklauseln § 120 Abs. 1 Satz 1 und § 121 Abs. 1 Satz 1 des Schulgesetzes NRW. Hierauf könnte man grundsätzlich auch die Aufzeichnung von Redebeiträgen in Konferenzen stützen, wenn der Gesetzgeber mit § 120 Abs. 6 und § 121 Abs. 1 Satz 3 SchulG NRW für Bild- und Tonaufzeichnungen nicht spezielle Regelungen geschaffen hätte.

“Bild- und Tonaufzeichnungen des Unterrichts oder sonstiger verbindlicher Schulveranstaltungen bedürfen der Einwilligung der betroffenen Personen. Die Einwilligung muss freiwillig erteilt werden. Den betroffenen Personen dürfen keine Nachteile entstehen, wenn sie eine Einwilligung nicht erteilen.”

“Bild- und Tonaufzeichnungen des Unterrichts oder sonstiger verbindlicher Schulveranstaltungen bedürfen der Einwilligung der betroffenen Personen.“

Bild- und Tonaufnahmen werden dabei ausdrücklich von der freiwilligen Einwilligung der betroffenen Personen abhängig gemacht. Gerade bei verbindlichen schulischen Konferenzen stellt sich damit die Frage, ob eine solche Freiwilligkeit in jedem Fall tatsächlich gegeben ist.

Zwar enthält das Schulgesetz NRW mit § 120 Abs. 5 Satz 2 bzw. § 121 Abs. 1 Satz 2 eine spezielle Regelung zur Verarbeitung von Bild- und Tondaten im Rahmen von Videokonferenzsystemen, doch diese Vorschrift dient der Durchführung digitaler Besprechungen und der Übertragung von Bild- und Tonsignalen. Eine Rechtsgrundlage für die dauerhafte Aufzeichnung von Redebeiträgen oder deren anschließende Transkription lässt sich daraus nicht ableiten.

Die Einwilligung als Alternative?

Tonaufzeichnungen von verpflichtenden schulischen Veranstaltungen wie Konferenzen setzen nach § 120 Abs. 6 bzw. § 121 Abs. 1 Satz 3 SchulG NRW eine Einwilligung der betroffenen Personen voraus, die freiwillig erteilt werden muss.

Bei verpflichtenden schulischen Veranstaltungen wird die Freiwilligkeit einer Einwilligung allerdings häufig kritisch gesehen. Aufsichtsbehörden weisen regelmäßig darauf hin, dass in Situationen mit Abhängigkeitsverhältnissen oder faktischem Gruppendruck Zweifel an einer tatsächlich freien Entscheidung bestehen können.

Gleichwohl erscheint es nicht ausgeschlossen, dass alle Teilnehmenden einer Konferenz freiwillig in eine Aufzeichnung einwilligen möchten, etwa weil sie sich hiervon eine erhebliche Arbeitserleichterung bei der Erstellung von Protokollen versprechen. Denkbar wäre beispielsweise eine anonyme Vorab-Abfrage, bei der keine Rückschlüsse auf einzelne Personen möglich sind, die eine Einwilligung nicht erteilen möchten.

Selbst wenn sich auf diesem Weg eine einheitliche Zustimmung aller Beteiligten ergeben sollte, bliebe im Einzelfall zu prüfen, ob die Voraussetzungen einer freiwilligen Einwilligung tatsächlich erfüllt sind.

Voraussetzung wäre darüber hinaus, dass alle Betroffenen vorab umfassend informiert werden. Hierzu gehört insbesondere die Information, dass sämtliche durch das Mikrofon erfassten Äußerungen aufgezeichnet werden können und dass diese Daten anschließend durch eine konkret benannte KI-Plattform transkribiert und weiterverarbeitet werden.

Datenminimierung und Zweckbindung

Gemäß § 63 Abs. 4 Satz 4 SchulG NRW gilt für Protokolle von Konferenzen:

“Über jede Sitzung ist eine Niederschrift zu fertigen, die mindestens den Wortlaut der Beschlüsse und die Stimmenmehrheit enthält, mit der sie gefasst sind.“

Mit dieser Vorgabe beschreibt das Schulgesetz den Kerninhalt einer Niederschrift. Weitere Inhalte sind damit nicht grundsätzlich ausgeschlossen, etwa die Wiedergabe einzelner Wortmeldungen, um den Weg zu einer Entscheidung nachvollziehbar zu dokumentieren.

Eine vollständige Audioaufzeichnung einer Konferenz geht jedoch deutlich über das hinaus, was typischerweise Gegenstand einer Niederschrift ist. Sie erfasst sämtliche Wortbeiträge, spontane Äußerungen, Nebensätze, Meinungen und Zwischenrufe. Je nach Empfindlichkeit des Mikrofons können darüber hinaus auch Gespräche zwischen einzelnen Teilnehmern aufgezeichnet werden, die nicht an die Konferenz gerichtet sind und keinen Bezug zu den Beratungsgegenständen haben.

Damit werden regelmäßig deutlich mehr personenbezogene Daten verarbeitet, als für die Erstellung einer Niederschrift erforderlich sind. Dies wirft insbesondere Fragen im Hinblick auf die Grundsätze der Datenminimierung und Zweckbindung gemäß Art. 5 Abs. 1 lit. b und c DS-GVO auf.

Besondere Kategorien personenbezogener Daten

Je nach Art der Konferenz können dort auch Informationen Gegenstand der Beratung sein, die zu den besonderen Kategorien personenbezogener Daten gemäß Art. 9 DS-GVO zählen. Hierzu gehören insbesondere Gesundheitsdaten, aber auch andere Daten, deren Verarbeitung nach der DS-GVO einem besonderen Schutz unterliegt.

Gerade in Klassenkonferenzen oder Teilkonferenzen für Ordnungsmaßnahmen kann es erforderlich sein, sehr sensible Informationen zu besprechen, um eine sachgerechte Entscheidung treffen zu können. Dazu können beispielsweise Angaben zum körperlichen oder psychischen Gesundheitszustand, zu sonderpädagogischen Unterstützungsbedarfen oder zu familiären Belastungssituationen gehören.

Während solche Informationen regelmäßig nur insoweit in einer Niederschrift erscheinen, wie dies für die Dokumentation eines Beschlusses erforderlich ist, würde eine Audioaufzeichnung mit anschließender Transkription sämtliche diesbezüglichen Äußerungen erfassen und verarbeiten. Dies erhöht den Umfang der Verarbeitung erheblich und betrifft zugleich Daten, für die die DS-GVO einen besonderen Schutz vorsieht.

Wenn es um Kinder und Jugendliche geht

Bei Konferenzen, in denen Schülerinnen und Schüler Gegenstand der Beratungen sind, kommt ein weiterer Aspekt hinzu. Die DS-GVO misst personenbezogenen Daten von Kindern und Jugendlichen einen besonderen Schutz bei.2Siehe z.B. Erwägungsgrund 38

Gerade in Klassenkonferenzen und Teilkonferenzen für Ordnungsmaßnahmen werden häufig sehr persönliche Informationen über Schülerinnen und Schüler besprochen, die für die Entscheidungsfindung erforderlich sein können, aber regelmäßig nicht vollständig in einer Niederschrift dokumentiert werden. Eine Audioaufzeichnung mit anschließender Transkription würde hingegen sämtliche diesbezüglichen Äußerungen erfassen und verarbeiten.

Eine Frage der Technologie?

KI-Transkriptionen lassen sich auf verschiedenen Wegen erstellen. Der wohl praktikabelste Weg wäre eine Aufzeichnung der Konferenz durch ein spezialisiertes zentral positioniertes Raum-Mikrofon, welches in der Lage ist, die Beiträge aller Teilnehmer sauber zu erfassen. Anschließend würde die Aufzeichnung beispielsweise in Form einer MP3 Datei an die KI zur Audiotranskription übergeben.

Es kommen nun zwei Optionen bezüglich der Auswahl einer geeigneten KI-Anwendung in Frage, eine Online-Lösung oder eine lokale Lösung.

Online-Lösungen

Eine speziell für Schulen angebotene Transkriptionslösung finde sich im Tool-Bereich von fobizz. Der Anbieter betont, dass sein Angebot DS-GVO konform nutzbar ist, auch das Tool zur automatischen Spracherkennung (Automatic Speech Recognition, ASR). Gleichzeitig untersagt die Nutzungsordnung der Plattform die Verwendung personenbezogener Daten, setzt Sicherheitsfilter ein und weist Nutzer an verschiedenen Stellen auf diesen Umstand hin. Beim Transkriptions-Tool heißt es:

  • Teile niemals sensible oder persönliche Informationen mit einer KI-Anwendung
  • Verwende keine Inhalte mit persönlichen Daten deiner Schüler*innen

Bereits aus diesem Grund kommt das Transkriptions-Tool von fobizz für die Erstellung von Konferenzprotokollen nicht in Betracht, da es in diesen regelmäßig um die personenbezogene Daten von Lehrkräften, Schülerinnen und Schülern, Eltern oder weiteren Beteiligten geht. Eine Nutzung entgegen den Vorgaben des Anbieters wäre daher ausgeschlossen.

Anders stellt sich die Situation bei allgemeinen KI-Plattformen dar, die die Verarbeitung personenbezogener Daten nicht grundsätzlich ausschließen und entsprechende Funktionen zur Transkription von Audiodateien bereitstellen. Viele dieser Anbieter stammen jedoch aus den USA oder unterliegen als US-Unternehmen amerikanischem Recht. Selbst wenn die Verarbeitung in Rechenzentren innerhalb der EU erfolgt, ergeben sich daraus zusätzliche datenschutzrechtliche Fragestellungen, etwa hinsichtlich möglicher Zugriffe auf Daten durch Behörden außerhalb der Europäischen Union. Der Einsatz solcher Dienste ist daher aus datenschutzrechtlicher Sicht besonders sorgfältig zu prüfen.

Aber es gibt auch andere Lösungen, etwa Anbieter direkt aus der EU wie das französische Mistral oder in der EU betriebene Open Source KI-Anwendungen. Das von OpenAI, dem US-Konzern hinter ChatGPT, entwickelte Whisper AI ist das bekannteste Beispiel für eine Open Source Lösung zur Transkription von Audio Dateien. Das Modell kann von unterschiedlichen Anbietern betrieben und entsprechend auch von einem Anbieter innerhalb der Europäischen Union bereitgestellt werden. Eine datenschutzkonforme Nutzung einer solchen Lösung wäre grundsätzlich denkbar, wenn der jeweilige Anbieter beziehungsweise Betreiber auch die weiteren Anforderungen der DS-GVO erfüllt. Hierzu gehören insbesondere ein Vertrag zur Auftragsverarbeitung, geeignete technische und organisatorische Maßnahmen sowie die vertragliche Zusicherung, dass die verarbeiteten Inhalte nicht zum Training von KI-Modellen verwendet werden.

Lokale Lösungen

Aus datenschutzrechtlicher Sicht besonders interessant sind lokale Lösungen, bei denen die Verarbeitung vollständig auf schulischen Endgeräten oder Servern erfolgt. Mit Whisper AI und vergleichbaren Modellen3z. B. Parakeet, Breeze ASR, Canary, GigaAM, SenseVoice oder Cohere, die sich auf leistungsfähigen Notebooks und Rechnern betreiben lassen, kann die Verarbeitung von Audiodateien vollständig innerhalb der technischen Infrastruktur der Schule beziehungsweise des Schulträgers erfolgen.

Eine Übermittlung der Audiodateien oder der daraus erzeugten Transkripte an externe KI-Anbieter wäre in diesem Fall nicht erforderlich. Dadurch lassen sich zahlreiche datenschutzrechtliche Risiken vermeiden, die mit cloudbasierten Lösungen verbunden sind.

KI-Transkription

Erfolgt die Erstellung eines Protokolls auf dem beschriebenen Weg, hängt dessen Qualität im Wesentlichen von zwei Faktoren ab. Der erste Faktor ist die Qualität der Audioaufzeichnung und die Fähigkeit des eingesetzten KI-Modells, die gesprochenen Inhalte korrekt zu transkribieren.

Anders als ein menschlicher Protokollführer kann ein KI-Modell nicht nachfragen, wenn es einen Redebeitrag akustisch nicht eindeutig versteht. Stattdessen versucht es, unklare oder nur teilweise erkannte Wörter anhand des sprachlichen Kontextes zu rekonstruieren. Liefert eine Aufnahme aufgrund von geringer Lautstärke, undeutlicher Aussprache, hoher Sprechgeschwindigkeit oder Hintergrundgeräuschen kein eindeutiges Signal, kann dies dazu führen, dass Wörter oder ganze Aussagen fehlerhaft transkribiert werden. Je sensibler die Inhalte, desto problematischer werden Transkriptionsfehler. Ein „versetzt“ statt „nicht versetzt“ oder „empfohlen“ statt „nicht empfohlen“ oder ein falscher Name, falscher Förderbedarf oder falsche Abstimmungsergebnisse wären rechtlich problematisch und folgenbehaftet.

Der zweite Faktor ist die Umsetzung der wortgetreuen Transkription in ein Protokoll. Dabei müssen Diskussionsverläufe zusammengefasst, wichtige Beiträge gegebenenfalls auszugsweise wiedergegeben, Anträge korrekt erfasst und Abstimmungsergebnisse dokumentiert werden. Diese Überführung einer Transkription in ein Protokoll muss inhaltlich zutreffend erfolgen. Auch moderne KI-Systeme können dabei Fehler machen, etwa indem sie Aussagen verkürzt wiedergeben, Zusammenhänge missverstehen, Schwerpunkte falsch setzen oder wichtige Einschränkungen übersehen.

Ein weiterer Faktor sollte nicht übersehen werden. KI-Anwendungen können zwar Audio transkribieren, doch nicht alle verfügen über die Fähigkeit zur Sprechertrennung (Speaker Diarization4Speaker Diarization bezeichnet die Aufteilung einer Audiodatei in einzelnen Sprechern zugeordnete Segmente. Die Unterscheidung erfolgt anhand charakteristischer Merkmale der jeweiligen Stimme. Moderne Verfahren nutzen hierfür häufig neuronale Netze und Deep-Learning-Methoden. Siehe Wikipedia). Verfügt eine Anwendung über diese Fähigkeit, kann sie Gesprächsverläufe häufig einzelnen Sprechern zuordnen und damit rekonstruieren, wer wann gesprochen hat. Sie weiß deshalb jedoch noch nicht, welche konkrete Person sich hinter einem Sprecher verbirgt. Redebeiträge, Anträge, Änderungsanträge, vorgebrachte Bedenken und ähnlich können daher nicht ohne Weiteres zuverlässig einer bestimmten Person zugeordnet werden.

Whisper selbst beherrscht keine Speaker Diarization. Die Funktion kann jedoch durch zusätzliche Module ergänzt werden. Um einzelne Sprecher tatsächlich identifizieren zu können, wären darüber hinaus weitere Informationen erforderlich, die dem System von außen bereitgestellt werden müssten.5Siehe z.B. Falcon Speaker Diarization for any ASR, including Whisper. Die Google Cloud Speech-to-Text Plattform beherrscht Speaker Diarization selbst

Zu berücksichtigen ist ferner, dass die Identifizierung einzelner Sprecher zur Verbesserung der Protokollqualität regelmäßig zusätzliche personenbezogene Daten erfordert und damit den Umfang der Verarbeitung sowie die Anforderungen an eine datenschutzkonforme Verarbeitung erweitert. Werden Sprecher anhand ihrer Stimme identifiziert, kann dies zudem eine Verarbeitung biometrischer Daten darstellen.

Einordnung mit Blick auf die KI-Verordnung

Der Schwerpunkt dieses Beitrags lag bislang auf der datenschutzrechtlichen Bewertung der Erstellung von Konferenzprotokollen auf Grundlage von KI-Transkriptionen. Da hierbei ein KI-System zur Verarbeitung von Daten eingesetzt wird, ist ergänzend auch eine Einordnung nach den Vorgaben der KI-Verordnung (KI-VO) erforderlich.

Schulen werden bei der Nutzung einer KI-Anwendung zur Anfertigung von Protokollen aus Transkriptionen von Audiodaten regelmäßig als Betreiber im Sinne der KI-Verordnung anzusehen sein, unabhängig davon, ob es sich um ein durch einen Dienstleister bereitgestelltes System oder um eine lokal betriebene Lösung handelt. Damit treffen sie die für Betreiber vorgesehenen Pflichten der KI-Verordnung. Dazu gehört insbesondere der Aufbau einer ausreichenden KI-Kompetenz hinsichtlich der beabsichtigten Nutzung des Systems. Nutzer müssen verstehen, wie das eingesetzte KI-System funktioniert, welche Grenzen es hat und welche Fehler auftreten können.

Der Einsatz von KI-Systemen muss zudem transparent erfolgen. Die Beteiligten sollten daher darüber informiert werden, dass ihre Redebeiträge nicht nur aufgezeichnet, sondern anschließend auch mittels eines KI-Systems transkribiert und für die Erstellung eines Protokolls verarbeitet werden. Diese Transparenzanforderungen überschneiden sich, soweit sie die Teilnehmer einer Konferenz betreffen, weitgehend mit den Informationspflichten aus Art. 13 DS-GVO gegenüber den von der Verarbeitung betroffenen Personen.

Von besonderer Bedeutung ist darüber hinaus die menschliche Aufsicht über das KI-System. Die Ergebnisse eines KI-Systems dürfen aus den zuvor beschriebenen Gründen nicht ungeprüft übernommen werden. Die Erstellung eines Konferenzprotokolls aus einer KI-gestützten Audiotranskription erfordert daher weiterhin eine sorgfältige menschliche Kontrolle, insbesondere wenn Beschlüsse, Abstimmungsergebnisse oder personenbezogene Aussagen betroffen sind. Verantwortliche müssen in der Lage sein, diese Kontrolle tatsächlich auszuüben und gegebenenfalls nachzuweisen.

Ob für innerhalb der Schule verbreitete Konferenzprotokolle darüber hinaus Kennzeichnungspflichten nach Art. 50 Abs. 4 KI-VO bestehen, erscheint dagegen zweifelhaft und dürfte von den Umständen des Einzelfalls abhängen.

Fazit

Wie die vorangegangenen Betrachtungen hoffentlich zeigen konnten, ist die Frage nach der Zulässigkeit der Erstellung von Konferenzprotokollen mittels KI deutlich komplexer, als es auf den ersten Blick erscheinen mag.

Die datenschutzrechtlichen Herausforderungen beginnen dabei nicht erst bei der Auswahl einer geeigneten KI-Plattform. Bereits die Anfertigung einer Audioaufzeichnung von Konferenzen wirft erhebliche rechtliche Fragen auf. Aktuell besteht im Schulrecht NRW keine ausdrückliche Rechtsgrundlage, die Schulen die Aufzeichnung von Konferenzen zum Zweck der Erstellung von Protokollen erlauben würde. Ein Rückgriff auf Einwilligungen der Konferenzteilnehmer erscheint angesichts der verpflichtenden Teilnahme an Konferenzen zumindest problematisch, da die erforderliche Freiwilligkeit regelmäßig in Frage stehen dürfte.

Hinzu kommt, dass Konferenzen häufig personenbezogene Daten und je nach Konferenzart auch besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DS-GVO zum Gegenstand haben. Eine vollständige Audioaufzeichnung und deren Transkription erfassen regelmäßig deutlich mehr Informationen, als später in einem Protokoll dokumentiert werden müssen.

Auch aus technischer Sicht sind KI-gestützte Transkriptionen nicht fehlerfrei. Die Qualität hängt von der Audioaufnahme, dem eingesetzten Modell sowie gegebenenfalls von zusätzlichen Verfahren zur Sprecheridentifikation ab. Fehler bei der Transkription, der Zuordnung von Redebeiträgen oder der anschließenden Erstellung eines Protokolls können insbesondere bei sensiblen Inhalten erhebliche Folgen haben.

Sollte der Gesetzgeber künftig die rechtlichen Voraussetzungen für eine KI-gestützte Protokollerstellung schaffen, wären darüber hinaus hohe Anforderungen an die eingesetzten Systeme zu stellen. Hierzu gehören insbesondere die Zulässigkeit der Verarbeitung personenbezogener Daten, geeignete vertragliche und technische Schutzmaßnahmen, ein Ausschluss der Nutzung zu Trainingszwecken sowie eine datenschutzkonforme Verarbeitung innerhalb des europäischen Rechtsrahmens.

Unabhängig von der technischen Lösung bleibt festzuhalten, dass eine menschliche Kontrolle der Transkripte und der daraus erstellten Protokolle unverzichtbar ist.

Weiterlesen

Mit einem vergleichbaren Thema hat sich übrigens die Aufsichtsbehörde Baden Württemberg befasst. In der Schrift “Datenschutz-Leitfaden für KI-Transkription von Gemeinderatssitzungen in Baden-Württemberg” schaut man wie in diesem Beitrag auf die verschiedenen datenschutzrechtlichen Aspekte. Man kommt dort zu dem Schluss, dass die Sprecherunterscheidung („Diarization“) keine Verarbeitung biometrischer Daten im Sinne von Art. 9 DS-GVO darstellt, solange dieses ausschließlich temporär innerhalb der Sitzung erfolgt, ohne dauerhafte Profilbildung und ohne Zuordnung zu konkreten Personen.

Zum Einsatz von KI-Transkriptionssystemen bei Gemeinderatssitzungen kommt der Leitfaden zu dem Schluss:

“Der Einsatz von KI-Transkriptionssystemen zur Fertigung der Niederschrift in Gemeinderatssitzungen ist unter klaren rechtlichen und technischen Rahmenbedingungen zulässig:

  • unter strikter Beachtung der Rollen der Beteiligten und
  • bei konsequenter technischer Absicherung.

Die zentrale Voraussetzung ist eine normative Verankerung im Ortsrecht sowie eine risikoadäquate Umsetzung.”

Viele der in der Schrift dargestellten datenschutzrechtlichen Überlegungen lassen sich auch auf schulische Konferenzen übertragen. Zugleich zeigt der Leitfaden, dass für die Zulässigkeit KI-gestützter Protokollierung eine ausdrückliche rechtliche Grundlage von zentraler Bedeutung ist. Gerade an einer solchen Grundlage fehlt es nach der in diesem Beitrag vorgenommenen Betrachtung derzeit im Schulrecht NRW.

Stand 06/2026

Veröffentlicht am

Smartglasses in der Schule

Lesezeit: 8 Minuten

Smartglasses, die Hightech Brillen, sind kein neues Thema, denn es gibt sie schon seit Jahren. Was mit Google Glass 2014 begann, hat sich stark weiterentwickelt und ist spätestens mit der Markteinführung der Ray-Ban Meta Display-Brille im Herbst 2025 alltagstauglich geworden. Die unter Eigenmarke und in Kooperation mit Ray Ban und Oakly angebotenen Modelle gehen in ihren Funktionen über die ersten Smartglasses deutlich hinaus und integrieren, wie der Name deutlich macht, auch KI-Funktionen. Anders als die ersten Smartglasses, sind moderne Vertreter der Gerätekategorie von “normalen” Brillen optisch kaum noch zu unterscheiden. Allen gemein ist, dass sie Rahmen und Bügel haben, die eher denen von Sonnen- und Sportbrillen – wie u.a. denen von Ray Ban und Oakly – entsprechen. Meta, der Mutterkonzern von Facebook, Instagram und WhatsApp bietet seine Smartglasses im Mai 2026 als AI Glasses mit Preisen ab 247 € an. Das ist eine Preisklasse, die auch für Schülerinnen und Schüler erschwinglich ist und spätestens damit werden Smartglasses auch für Schulen relevant.

Was man sehr vereinfacht zu den Funktionen von Smartglasses wissen sollte, ist, dass sie meist mit Kameras ausgestattet sind, die Bilder und Videos aufnehmen können. Außerdem verfügen sie über Mikrofone, die nicht nur Sprachbefehle des Trägers erfassen, sondern auch Umgebungsgeräusche wie Gespräche. Ergänzt werden diese Funktionen durch kleine Lautsprecher, über die Antworten eines verbundenen Assistenten ausgegeben werden können. Einige Modelle besitzen zusätzlich eine Anzeige, die Informationen direkt ins Sichtfeld einblendet. Aufnahmen können häufig über eine begleitende Smartphone-App nachträglich übertragen und synchronisiert werden. Viele Smartglasses sind dauerhaft mit dem Smartphone gekoppelt und können so auch außerhalb eines gemeinsamen WLANs online Funktionen nutzen.

Smartglasses im Schulalltag

Bisher ging es in Schulen bei der von Schülerinnen und Schülern mitgebrachten Technik vor allem um Smartphones, Smartwatches und kleine In-Ear Kopfhörer und deren Potential für eine missbräuchliche Nutzung. Thema waren dabei unerlaubte Aufnahmen anderer Personen oder von nicht-öffentlichen Dokumenten, heimliche Mitschnitte von Gesprächen und Unterricht und die Nutzung zum Betrug in Prüfungssituationen. Ein weiteres Thema waren die sogenannten Kinderuhren (mit Abhörfunktion), die es Eltern erlaubten, im Unterricht mitzuhören. Für alle dieses Technologien gibt es mittlerweile Regelungen an allen Schulen. Smartphones müssen ausgeschaltet in der Schultasche bleiben und Smartwatches dürfen bei Prüfungen genauso wenig mitgeführt werden wie die kleinen unauffälligen Kopfhörer. Kinderuhren mit Abhörfunktion sind in Schulen grundsätzlich verboten.

Den Autor des Beitrages erreichten jetzt erste Anfragen zum Thema Smartglasses und dabei ging es erstaunlicherweise nicht nur um deren Nutzung durch Schülerinnen und Schüler, sondern auch um die Nutzung durch Lehrkräfte und sogar die durch Eltern. Dürfen Lehrkräfte in der Schule Smartglasses tragen? Was, wenn die Schulleitung in einem Elterngespräch den Verdacht hat, Eltern zeichnen des Gespräch mit Smartglasses auf?

Smartglasses als rechtliches Problem in den Medien

In den Medien sind Smartglasses bereits seit einiger Zeit als rechtliches Problem ein Thema, wie etwa der Beitrag Smart Glasses Datenschutz: Risiken von KI-Brillen im Überblick auf Datenschutz-Ticker zeigt.  Das Portal Futurezone aus Österreich beschreibt im Beitrag Schummeln 2.0: Wie Schüler ihre Lehrer mit KI austricksen wie Smartglasses und andere Technologien mit KI in Schulen als heimliche Hilfe in Prüfungen genutzt werden. Andere Fachbeiträge setzen sich mit Smartglasses sowohl im Kontext von Datenschutz, der Geheimhaltung in der Arbeitswelt als auch im Umfeld universitärer Bildung und der Prüfungssicherheit auseinander.

Das Thema Smartglasses beschäftigt auch Behörden. Im US-Bundesstaat Texas ermittelt, wie der Fachjurist Dr. Thomas Schwenke auf LinkedIn mit Bezug auf einen US Beitrag berichtet, der Generalstaatsanwalt gegen Meta wegen der mit KI-Funktion ausgestatteten Ray-Ban Meta-Smartglasses und es geht dabei um den Datenschutz. Meta wird vorgeworfen, gegen geltendes Recht zu verstoßen, da die AI Glasses sowohl die Privatsphäre der Nutzer seiner AI Glasses als auch die von unbeteiligten Dritten verletzen. Die Leuchtdiode, welche aktive Aufnahmen anzeigen soll, lasse sich leicht überdecken, bemängelt die US Behörde. Meta wird zudem vorgeworfen, dass die AI Glasses im vom Nutzer aktivierbaren Dauerbetrieb („always enabled“) ihre Leuchtdiode nicht einschalten und fortlaufend Videodaten als Trainingsdaten an die Meta-KI übermitteln. Bemängelt wird im Zusammenhang mit den AI Glasses außerdem, dass bei Videodaten, die zur Verschlagwortung für das KI-Training an einen Unterauftragnehmer in Kenia übermittelt werden, die automatische Gesichtsverpixelung unzuverlässig funktioniere. Zudem soll es wiederholt vorgekommen sein, dass Mitarbeitende Zugriff auf Videoinhalte mit intimen Aufnahmen erhalten haben. Gegenstand der Ermittlungen ist auch eine von Meta geplante und laut New York Times intern als “Name Tag” bezeichnete Gesichtserkennungsfunktion, welche es Meta erlaubt, die individuelle Gesichtsgeometrie ahnungsloser Personen durch die unauffällige Kamera in den AI Glasses zu sammeln.1Laut einem Bericht auf Wired vom 08.06.2026 soll Meta die Funktion aus der neuesten Version der Software entfernt haben.

Dass Smartglasses auch für Schulen rechtliche wie auch pädagogische Herausforderungen mit sich bringen, beleuchtet Christoph Hipp im Medienzeit-Elternblog am 19. Mai 2026  in einem Gastbeitrag mit dem Titel “Smartglasses: Sechs Risiken, die noch kaum jemand auf dem Schirm hat“. Der Autor weist zu Beginn darauf hin, dass viele Schulen das Thema Smartphones im schulischen Alltag mittlerweile umfassend geregelt haben, sie aber beim Thema Smartglasses wie so oft hinterherhinken.

“Die Geräte sind im Massenmarkt angekommen, erschwinglich und unauffällig. Das Bewusstsein dafür, was sie können und was sie ermöglichen, hinkt weit hinterher.”

Laut dem Autoren gibt es bereits erste Schulen, die Smartglasses ausschließen, doch den meisten Schulen wäre das Thema nicht als solches bewusst. Das größte Problem für ihn ist die Unsichtbarkeit der Geräte. Für Dritte sei das Auslösen einer Aufnahme oftmals nicht erkennbar, egal ob der Träger kurz an den Bügel der Brille fasse oder nahezu lautlos den Sprachbefehl zur Aufnahme gebe. Aufnahmen könnten später leicht über das zugehörige App am Smartphone geteilt oder sonst wie verbreitet werden. Die Aufnahme-LED “an” könne durch einfaches Überkleben aber auch durch andere Lösungen überlistet werden. Zudem hänge die Erkennbarkeit der aktiven LED stark vom Umgebungslicht ab und sei bei Gegenlicht oder hellem Sonnenlicht kaum gegeben. Er rät deshalb zu einem grundsätzlichen Misstrauen. Mit Verweis auf Sicherheitsprobleme in Unternehmen – die dort entstehen, weil Smartglasses, anders als andere digitale Aufnahmegeräte, oft nicht als Sicherheitsrisiko erkannt werden – lenkt der Autor den Blick auf Schulen. Dort könnten “Prüfungen, Gespräche, Konflikte oder vertrauliche Situationen […] dokumentiert werden, ohne dass es jemand bemerkt.” Er fordert deshalb, Smartglasses wegen ihrer Aufnahmefunktionen ausdrücklich mit in das schulische Regelwerk aufzunehmen. Datenschutzrechtliche Risiken sieht Christoph Hipp vor allem in der Anbindung von Smartglasses an ein Anbieterkonto, durch das Aufnahmen auf Server desselben Anbieters übertragen werden. Aufgrund der Unauffälligkeit der Aufnahmen, die bei Tonaufnahmen über die integrierten Mikrofone oft einen Radius von mehreren Metern hätten, könnten Betroffene ihre Rechte kaum wahrnehmen. Für ihn bedeutet das eine Sensibilisierung von Schülerinnen und Schülern bezüglich des Rechtes am eigenen Bild. Das gelte auch für die Aufnahmefunktion von Smartglasses, die aus der Ich-Perspektive aufzeichnen. Im letzten Punkt zur Erklärung von Smartglasses geht der Autor auf die Gesichtserkennungsfunktionen ein, die selbst dann möglich sind, wenn sie nicht direkt in die Smartglasses integriert sind, sondern über eine Verknüpfung mit anderen Anwendungen.

Für Christoph Hipp ist klar, was das Thema Smartglasses im Schulalltag bedeutet. Sie müssen in die Schulordnung aufgenommen werden und zwar bereits jetzt, denn

“Smartglasses werden zunehmend verbreitet sein. Umso wichtiger ist es, jetzt klare Regeln zu schaffen. Nicht aus Ablehnung gegenüber Technologie, sondern um geschützte Räume zu erhalten.”

Wie sollten Schulen mit dem Thema Smartglasses umgehen?

Der rechtliche Hintergrund

Während man sich an den Universitäten und Hochschulen schon seit einiger Zeit mit Smartglasses im Kontext von Täuschungsversuchen bei Prüfungen befasst, sind Smartglasses für Schulen eine neue Herausforderung, vor allem, weil sie auf den ersten Blick nicht als solche bzw. als Aufnahmegeräte erkennbar sind. Die rechtlichen Fragen, die sich aus ihrer Nutzung im Schulkontext ergeben, sind dem Grunde nach nicht neu. Wie bei heimlichen Aufnahmen mit Smartphoes geht es in erster Linie um den Schutz der Vertraulichkeit des Wortes, das Recht auf informationelle Selbstbestimmung und das Recht am eigenen Bild. Da die Nutzung von Smartglasses nicht nur die Rechte anderer Personen berührt, sondern auch Täuschungsversuche in Prüfungssituationen erleichtern kann, stellt sich zudem die Frage nach der rechtlichen Handhabe in Prüfungen.

Die Vertraulichkeit des Wortes (§ 201 StGB (Verletzung der Vertraulichkeit des Wortes)) schützt nichtöffentlich gesprochene Äußerungen vor unbefugter Aufnahme oder Weitergabe. Sie gilt im Unterricht ebenso wie bei Besprechungen, Konferenzen und Beratungsgesprächen.

Das Recht auf informationelle Selbstbestimmung (als spezifische Ausprägung des allgemeinen Persönlichkeitsrechts – abgeleitet aus dem Grundgesetz in Verbindung mit der DSGVO und der Europäischen Menschenrechtskonvention), das gegenüber der Schule beispielsweise bei der Anfertigung und Veröffentlichung von Fotos gilt, besteht auch gegenüber Mitschülerinnen und Mitschülern. Auch Lehrkräfte und Schulleitungen können sich gegenüber anderen Personen, etwa Eltern, auf dieses Recht berufen. Die Anfertigung und Weitergabe von Aufnahmen ohne Rechtsgrundlage oder wirksame Einwilligung kann dieses Recht verletzen.

Unabhängig davon schützt das Recht am eigenen Bild (§ 22 Kunsturherrechtsgesetz) vor der unbefugten Anfertigung und Verbreitung erkennbarer Bildaufnahmen von Personen. Auch hier sind Aufnahmen ohne Einwilligung oder Rechtsgrundlage regelmäßig problematisch.

Das Thema Täuschungshandlungen beziehungsweise Täuschungsversuche ist unter anderem in den allgemeinen Prüfungs- und Ausbildungsordnungen der jeweiligen Bildungsgänge geregelt.

Aufklärung und Sensibilisierung

Im Rahmen ihres Bildungs- und Erziehungsauftrags vermitteln Schulen auch Medienkompetenz. Diese hat sich im Laufe der Jahre erweitert, zuletzt um KI-Kompetenz (AI Literacy). Datenschutz gehört schon lange dazu, wie u.a. auch im Medienkompetenzrahmen NRW unter 1.4 Datenschutz und Informationssicherheit und 4.4. Rechtliche Grundlagen (Rechtliche Grundlagen des Persönlichkeitsrechts […] überprüfen, beachten und bewerten) festgeschrieben. Smartglasses, ihre Funktionen und Möglichkeiten sollten im Rahmen der Vermittlung von Medienkompetenz gemeinsam mit den Risiken besprochen werden, die sich aus ihrer Nutzung ergeben können.

Nutzungsordnung

Schulen verfügen in der Regel als Bestandteil ihrer Schulordnung auch über eine Mediennutzungsordnung, in der der Umgang mit der digitalen Ausstattung der Schule sowie die Nutzung des Internets geregelt sind. Das Thema Smartphones ist dort häufig in einer eigenen Handyordnung verankert, die in der Regel auch Smartwatches einbezieht. Siehe dazu auch “Nutzung von Handys und Smartwatches in der Schule” (MSB NRW). Schulen sollten sich daher möglichst zeitnah auch mit Smartglasses befassen, hierfür geeignete Regelungen entwickeln und diese über die schulischen Mitbestimmungsgremien verabschieden. Wie Regelungen zu Smartphones und Smartwatches sind auch Regelungen zu Smartglasses als Teil der Schulordnung auszugestalten und müssen verhältnismäßig sowie pädagogisch begründet sein. Dabei ist zu berücksichtigen, dass Smartglasses unauffällig getragen werden können und dadurch besondere Risiken für den Schutz der Persönlichkeitsrechte, der Vertraulichkeit des Wortes und des Rechts am eigenen Bild entstehen.“

Eine mögliche Formulierung für eine restriktive, pädagogisch begründete Handhabung des Themas könnte etwa sein2Hinweis: Es handelt sich um einen Vorschlag des Verfassers des Beitrags, der nicht juristisch geprüft wurde.:

Smartglasses sowie vergleichbare tragbare Geräte mit Aufnahme-, Übertragungs- oder Assistenzfunktionen sind auf dem Schulgelände, in schulischen Veranstaltungen und bei sonstigen schulischen Tätigkeiten grundsätzlich verboten, da ihre Nutzung für andere Personen nicht oder nur schwer erkennbar ist und besondere Risiken für die Persönlichkeitsrechte, die Vertraulichkeit des Wortes und das Recht am eigenen Bild mit sich bringt. Sie dürfen nur nach vorheriger ausdrücklicher Genehmigung der Schulleitung im Einzelfall verwendet werden. Jegliche Anfertigung, Speicherung, Übertragung oder Weitergabe von Bild-, Ton- oder Videoaufnahmen ist ohne gesonderte Einwilligung der betroffenen Personen untersagt. Zuwiderhandlungen können schulordnungsrechtliche Maßnahmen sowie gegebenenfalls weitergehende rechtliche Schritte durch betroffene Personen nach sich ziehen.

Prüfungen

Smartglasses eignen sich sehr gut, um zu schummeln, vor allem wenn sie über ein Display verfügen und Lösungen direkt anzeigen können. Aber selbst wenn sie Lösungen oder Hilfen nur über die Lautsprecher geben, verschaffen sie Prüflingen verbotene Vorteile. In Prüfungssituationen sollten Smartglasses deshalb identisch zu anderen digitalen Endgeräten reglementiert werden, beispielsweise indem sie, sofern sie in die Schule mitgebracht wurden, ausgeschaltet in die Box gelegt werden, in welcher auch Smartphones gesammelt werden/ausgeschaltet in der Schultasche vor der Tafel deponiert werden.

Elterngespräche

Haben Lehrkräfte oder Schulleitungen in einem Elterngespräch die Vermutung, dass Eltern Smartglasses tragen und das Gespräch möglicherweise aufzeichnen, so können sie letztlich nur auf die geltende Rechtslage aufmerksam machen, etwa wie folgt:

“Wir wissen, dass einige Eltern im Alltag Smartglasses nutzen. Uns ist wichtig, dass wir Elterngespräche offen und vertrauensvoll führen können. Deshalb möchten wir Sie darauf hinweisen, dass Bild- und Tonaufnahmen ohne vorherige Einwilligung der betroffenen Personen oder ohne sonstige rechtliche Grundlage unzulässig sind und im Falle einer rechtswidrigen Aufnahme rechtliche Folgen haben können, insbesondere im Hinblick auf die Verletzung der Vertraulichkeit des Wortes gemäß § 201 StGB.”

Anlassbezogen könnte eine Schulleitung das Thema auch in einem Elternschreiben aufgreifen.

Lehrerkollegien

Für viele Lehrkräfte werden Smartglasses Neuland sein. Deshalb ist es wichtig, sie für das Thema zu sensibilisieren, damit sie die Geräte erkennen und wissen, wie sie damit umgehen. Zudem müssen sie in die Lage versetzt werden, ihre Schülerinnen und Schüler entsprechend zu informieren und zu sensibilisieren. Zugleich sollte experimentierfreudigen Lehrkräften deutlich sein, dass sie ihre Smartglasses in der Schule grundsätzlich nicht nutzen dürfen, außer gegebenenfalls zu Demonstrationszwecken und dann nur ohne Aufnahmen von Schülerinnen und Schülern, weder in Bild noch in Ton.

Smartglasses als assistive Technologie

Es ist zu erwarten, dass in absehbarer Zeit auch Anbieter assistiver Technologien spezialisierte Smartglasses für Schülerinnen und Schüler auf den Markt bringen werden. Inwieweit deren Einsatz im Unterricht für Schülerinnen und Schüler mit Beeinträchtigungen möglich ist, wird davon abhängen, wie die Geräte konkret funktionieren, welche Daten erfasst werden und wo sowie zu welchem Zweck diese verarbeitet werden. Auch Meta bewirbt seine AI Glasses als assistive Technologie. Für den schulischen Einsatz dürften diese Brillen in Deutschland jedoch angesichts der mit ihrem Funktionsumfang verbundenen datenschutzrechtlichen Risiken in der Regel nicht geeignet sein.

Hintergrundinformationen zu Smartglasses

Ein guter Beitrag von ARD team recherche befasst sich im Beitrag Heimlich gefilmt: Warum Du jetzt nirgends mehr sicher bist | Doku ausführlich mit der Technologie und den Problemen, die für Menschen, die heimlich gefilmt werden, daraus entstehen können. Auch wenn es hier nicht um Smartglasses in der Schule geht, erhält man einen guten Eindruck von der Technologie und ihren Risiken.

Stand 06/2026

Veröffentlicht am

Dokumente sicher schwärzen

Lesezeit: 4 Minuten

Auch für Schulen ist die Schwärzung von digitalen und analogen Dokumenten ein Thema, und zwar dann, wenn es um die Ausfertigung von Kopien von personenbezogenen Daten im Rahmen der Beantwortung von Auskunftsersuchen gem. Art. 15 DS-GVO geht und wenn Betroffene von ihrem Recht auf Akteneinsicht gem. § 120 Abs. 9 SchulG NRW in Verbindung mit § 3 Abs. 4 Satz 1 VO-DV I Gebrauch machen. Schwärzungen sind immer dann erforderlich, wenn in den für Betroffene auszufertigenden Kopien auch Daten von Dritten erfasst sind oder Informationen, die der Vertraulichkeit unterliegen und deshalb nicht gegenüber den Betroffenen offengelegt werden dürfen.

Wie ein sehr bekannter Fall aus den USA zeigt, bei welchem Millionen Dokumente mit Schwärzungen zum Schutz von Opfern und weiteren Personen veröffentlicht wurden, können beim Schwärzen Fehler gemacht werden, die dazu führen, dass geschwärzte Wörter oder Passagen doch ausgelesen werden können.

Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) stellt mit der Kurz-Information Nr. 66 einen maßgeblichen Leitfaden für das rechtssichere Schwärzen von Dokumenten bereit. Nachfolgend werden diese Anforderungen in eine für den Schulalltag adaptierte Form übertragen, um ihre Bedeutung für den schulischen Alltag verständlicher zu machen. Das Schwärzen von Dokumenten, egal ob analog oder digital, ist eine technisch-organisatorische Maßnahme gemäß Art. 32 Abs. 1 DS-GVO. Der Beitrag der Aufsichtsbehörde verdeutlicht dabei, dass unsachgemäße Methoden fatale Folgen haben können: Er beschreibt vier Risikoszenarien, durch die vertrauliche Inhalte trotz Schwärzung lesbar bleiben und die im Ernstfall meldepflichtige Datenschutzpannen nach Art. 33 DS-GVO auslösen. Die ersten drei dieser Szenarien betreffen spezifisch digitale Dokumente, während das vierte die Risiken bei Papierdokumenten adressiert. Abschließend bietet die Kurz-Information praxisorientierte Empfehlungen für eine technisch korrekte und irreversible Schwärzung.

Risikoszenarien bei digitalen Dokumenten

  1. Schein-Schwärzung (Kosmetische Überlagerung): Bei digitalen Dokumenten werden schwarze Balken oft nur als Grafik über den Text gelegt. Der ursprüngliche Inhalt bleibt darunter vollständig erhalten und lässt sich durch Kopieren oder Suchen weiterhin auslesen.
  2. Versteckte Ebenen: Oft werden nur sichtbare Bereiche geschwärzt, während verborgene Ebenen wie Kommentarfelder, Formularinformationen oder hinterlegte OCR-Textebenen (Texterkennung) unangetastet bleiben und den vertraulichen Inhalt preisgeben.
  3. Unvollständige Bearbeitung: Zu schwärzende Informationen werden in Anlagen, Kopf- oder Fußzeilen sowie in Metadaten oder Dateinamen übersehen. Zudem droht bei mehreren Dokumenten oder Dateiversionen die Gefahr, dass identische Daten an anderer Stelle versehentlich sichtbar bleiben.

Risikoszenarien bei analogen Dokumenten

  • Bei Papierdokumenten entstehen Risiken durch nicht ausreichend deckende Schwärzungen, sodass Text durch dünnes Papier hindurchschimmert oder durch für eine Schwärzung ungeeignete Stifte lesbar bleibt. Zudem können falsch zugeordnete Begleitdokumente trotz geschwärztem Hauptinhalt vertrauliche Daten offenlegen.

Empfehlungen für digitale Dokumente (angepasst auf Schule)

  • Risikoorientiert schwärzen: Trifft im Kontext Auskunft oder Akteneinsicht in Schulen eher nicht zu.
  • Arbeitskopie statt Original: Schwärzungen werden nie an der Originaldatei vorgenommen, sondern immer an einer Kopie davon, denn die Originaldatei unterliegt natürlich den Aufbewahrungspflichten und deswegen dürfen darin keine Daten gelöscht werden.
  • Keine Bastellösungen: Es sollten keine Funktionen wie zum Beispiel in Word markieren mit einem schwarzen statt gelben digitalen Edding genutzt werden. Auch das Abdecken mit schwarzen Rechtecken ist kein geeigneter Weg, weder in einer Textverarbeitung noch in einem Bildbearbeitungsprogramm.
  • Nur vertrauenswürdige Schwärzungssoftware: Schwärzungen sollten immer mit speziell dafür vorgesehenen Funktionen in dafür freigegebenen Programmen erfolgen. Auf Windows-Rechnern kann dieses zum Beispiel mit dem Adobe Acrobat erfolgen und auf macOS mit der Vorschau.
  • Keine Online-Tools ohne Klarheit: Die zahlreichen meist kostenlos nutzbaren Online-Editoren im Internet können in der Regel für solche Aufgaben nicht genutzt werden, da dadurch die Dateien mit vertraulichen Inhalten in Plattformen landen, welche nicht unter Kontrolle der Schule stehen.
  • Metadaten prüfen und bereinigen: Oftmals enthalten Dateien Metadaten, welche Aufschluss über den Bearbeiter oder über Versionen beinhalten. Genauso können Dokumente mit Schlagworten versehen sein. Diese müssen vor einer Weitergabe unbedingt entfernt werden, sofern sie Rückschlüsse auf Personen oder für die Bearbeitung der Auskunftsanfrage nicht erforderlich sind.
  • Verborgene Inhalte entfernen: Mitunter enthalten Dokumente verborgene Inhalte, etwa Kommentare oder sogenannte OCR-Ebenen. Diese müssen ebenfalls entfernt werden, um geschwärzte Stellen tatsächlich unlesbar zu halten. Eine OCR-Ebene entsteht beispielsweise, wenn ein Dokument eingescannt wurde und durch die Texterkennung gelaufen ist.
  • Neutrale Dateinamen wählen: Je nach Name der Datei kann es erforderlich sein, diesen zu ändern. Das ist dann der Fall, wenn der Dateiname Informationen enthält, welche nicht in der Auskunft auftauchen dürfen.
  • Keine ungeschwärzten Parallelversionen: Trifft auf Schulen im Fall von Schwärzungen für eine Auskunft eher nicht zu.

Empfehlungen für analoge Dokumente (angepasst auf Schule)

  • Arbeitskopie statt Original: Schwärzungen werden nie am Originaldokument vorgenommen, sondern immer an einer Kopie davon, denn das Originaldokument unterliegt natürlich den Aufbewahrungspflichten und deswegen darf es nicht verändert werden.
  • Bearbeitete Kopie kopieren: Schwärzungen sollten an der Kopie durch Überkleben oder Ausschneiden vorgenommen werden. Anschließend wird nochmal eine Endkopie erstellt. Muss die Auskunft elektronisch erteilt werden, wird die Kopie in digitalem Format erstellt.
  • Sicher schwärzen: Schwärzungen an Papierdokumenten müssen so sicher sein, dass sie auch nicht mit technischen Hilfsmitteln etwa durch Scannen oder Gegenlicht oder Kontrastverstärkung wieder lesbar gemacht werden können.

Endkontrolle

Nach der Schwärzung, egal ob digital oder analog, sollte es eine abschließende Kontrolle geben. Jedes Dokument sollte vor der Herausgabe daraufhin kontrolliert werden, ob es tatsächlich unmöglich ist, die geschwärzten Inhalte wieder zu rekonstruieren. Idealerweise übernimmt diese Kontrolle eine weitere Person, da diese mit einem anderen Blick an die Dokumente herangehen wird, als die Person, welche die Schwärzungen vorgenommen hat.

Organisation mittels Konzept

Die Aufsichtsbehörde empfiehlt anschließend die Erstellung eines internen Konzepts, welches regelt, wie Dokumente vor der Aktenauskunft oder Akteneinsicht geprüft und geschwärzt werden. Festgelegt werden sollte dabei:

  • wer die zu schwärzenden Inhalte festlegt,
  • wer die Schwärzungen technisch umsetzt und
  • wer abschließend die Umsetzung kontrolliert.

Das Konzept zum Schwärzen von digitalen und analogen Dokumenten sollte Bestandteil des Löschkonzepts der Schule sein.

Der abschließende Ausblick der Aufsichtsbehörde auf den Einsatz von KI bei der Schwärzung von Dokumenten muss für Schulen vorerst ein Ausblick bleiben. Aktuell verfügen Schulen nicht über KI-Plattformen, in welchen die Verarbeitung personenbezogener Daten, weder mit normalem Schutzbedarf noch mit erhöhtem Schutzbedarf wie in Schülerakten regelmäßig der Fall, datenschutzkonform möglich oder erlaubt ist. Genau dies wäre jedoch zwingend erforderlich, sollte eine KI eigenständig entscheiden, welche Informationen in Dokumenten für eine Auskunft oder Akteneinsicht geschwärzt werden müssen. Sollten in Zukunft KI-gestützte Verfahren zur Schwärzung von digitalen oder analogen Unterlagen zugelassen sein, so würde die datenschutzrechtliche Verantwortung immer bei der Schulleitung liegen. Da die automatisierte Verarbeitung solcher hochsensiblen Daten derzeit an den rechtlichen und technischen Sicherheitsanforderungen scheitert, bleibt die manuelle Bearbeitung durch verantwortliches Personal auf Grundlage des schuleigenen Konzepts der einzige zulässige und sichere Weg.

Stand 05/2026

Veröffentlicht am

Digitale Endgeräte ausmustern – an den Schulträger zurückgeben

Lesezeit: 4 Minuten

Digitale Endgeräte wie iPads, Laptops und PC erreichen irgendwann ihr End of Life (EOL) oder versagen aufgrund technischer Probleme den Dienst, so dass sie für den Schulalltag – ob als Lehrer-Dienstgerät, Verwaltungsarbeitsplatz oder als Schülergerät – nicht mehr zu gebrauchen sind. Da alle diese Geräte Eigentum des Schulträgers sind, gehen sie in der Regel an diesen zurück, damit dieser sie entweder einer anderweitigen Verwertung zuführt oder sie professionell entsorgt. Egal, wie mit den Geräten nach Ablauf ihrer Nutzungszeit in der Schule verfahren wird – sei es, dass der Schulträger sie weiterverkauft oder entsorgt – falls personenbezogene Daten auf den Geräten verarbeitet wurden, muss sichergestellt sein, dass diese Daten nicht mehr verfügbar sind. Sie müssen unwiederbringlich gelöscht oder zerstört werden. Eine Frage, welche Schulen dabei beschäftigt ist die nach den Verantwortlichkeiten.

Wer ist verantwortlich, dass personenbezogene Daten auf ausgemusterten oder defekten Geräten sicher gelöscht oder zerstört werden?

Die rechtlichen Zuständigkeiten

Die Rolle des Schulträgers

Schulen selbst können digitale Endgeräte weder eigenständig verkaufen noch verschenken, auch wenn sie einer Schule beispielsweise vom Förderverein geschenkt wurden. Nominell sind sie immer Eigentum des Schulträgers. Dieser ist gemäß § 79 SchulG NRW für die Ausstattung zuständig und damit auch für die Abwicklung einer Entsorgung oder Weiterverwertung.

Die Rolle der Schulleitung

Die Schulleitung ist für die Verarbeitung der personenbezogenen Daten an der Schule zuständig. Ihre Verantwortlichkeit im Sinne der DS-GVO und des Schulgesetzes beginnt mit der Erhebung von Daten und dem Empfang von Daten von Dritten, etwa abgebenden Schulen, und endet mit der Löschung bzw. Vernichtung dieser Daten nach Ablauf der Aufbewahrungsfristen gemäß § 9 VO-DV I und § 9 VO-DV II.

Gibt eine Schule digitale Endgeräte, auf welchen personenbezogene Daten verarbeitet wurden, an den Schulträger zurück – egal in welchem Zustand die Geräte sich befinden, endet die Verantwortlichkeit für die Verarbeitung dieser Daten, wozu auch das Löschen und Vernichten selbst zählen, erst mit dem Augenblick, wenn es die Daten nicht mehr gibt.

Vertrag zur Auftragsverarbeitung

Schulen schließen mit Dienstleistern, welche personenbezogene Daten der Schule verarbeiten oder potentiell Zugriff darauf haben, einen Vertrag zur Auftragsverarbeitung. Ein solcher Vertrag wird auch mit dem Schulträger geschlossen. In einem solchen Vertrag mit dem Schulträger geht es in der Regel um seine Unterstützung bei der Administration der schulischen IT und Support Leistungen, um die Schulsekretärin, die eine Mitarbeiterin des Schulträgers ist, und auch um die Löschung und Vernichtung von Daten auf digitalen Endgeräten und Datenträgern wie auch von analogen Akten. Auch die Bereitstellung von Kopierern, die auf internen Speichern getätigte Kopien festhalten, wird in solchen Verträgen geregelt. Setzt der Schulträger seinerseits Dienstleister ein, schließt er mit diesen einen Vertrag zur Auftragsverarbeitung, der dann wiederum ein Unterauftrag im Vertrag zur Auftragsverarbeitung zwischen Schule und Schulträger ist.

In einem Vertrag zur Auftragsverarbeitung ist die Schulleitung Verantwortlicher und der Schulträger (mit möglichen Unterauftragsverarbeitern) der Auftragsverarbeiter und damit verpflichtet, die vertraglichen Bedingungen des Vertrags einzuhalten und umzusetzen. Dazu gehören auch Löschung und Vernichtung von Daten wie sie sich aus dem Datenschutzrecht und den schuldatenschutzrechtlichen Regelungen ergeben, denen die Schule unterliegt. Im Vertrag zur Auftragsverarbeitung wäre das Thema Löschen und Vernichten von Daten in den meisten Fällen in einer Anlage festgehalten und spezifiziert.

Die Verantwortung der Schulleitung

Die Schulleitung ist so rein rechtlich betrachtet verantwortlich, dass der Schulträger die Vorgaben, wie im Vertrag zur Auftragsverarbeitung festgelegt, umsetzt. Sie wäre sogar gehalten, dieses im Zweifelsfall zu kontrollieren. In der Praxis wird dieses nicht erfolgen, da Schulleitungen nur wenig bis gar keinen Einfluss auf das Handeln ihres Schulträgers haben.

Die Verantwortung des Schulträgers

Der Schulträger sollte sicherstellen, dass die Löschung bzw. Vernichtung von Daten nach anerkannten Standards erfolgt und dass, sofern Dienstleister eingesetzt werden, auch von diesen diese Standards eingehalten werden. Außerdem sollte er Löschungen und Vernichtungen von Daten dokumentieren. Auch gerichtlich ist diese Verantwortung gut dokumentiert, etwa an einem Fall des BGH, bei dem es um die Verantwortung des Verantwortlichen für die Löschung von Daten nach Beendigung einen Vertrags zur Auftragsverarbeitung ging1Siehe z.B. https://alro-recht.de/2025/11/27/bgh-verantwortlicher-muss-nach-beendigung-eines-auftragsverarbeitungsvertrages-sicherstellen-dass-personenbezogene-daten-tatsaechlich-geloescht-oder-zurueckgegeben-werden-sofern-kein-recht-zur-fort/

Was, wenn doch mal Geräte mit nicht gelöschten Daten irgendwo auftauchen?

Was wäre, wenn ein Endgerät auf einem Flohmarkt auftaucht und noch Daten enthält oder ein Käufer eines für den Wiederverkauf aufbereiteten Endgerätes dort noch gespeicherte Daten aus der Schule vorfindet? Wer trägt dann die Verantwortung?

Wie oben beschrieben würde die Schulleitung als Verantwortlicher im Streitfall nominell die Verantwortung tragen. Da eine Schulleitung aber auf den Schulträger angewiesen ist und sich auf ihn verlassen muss, würde ein Gericht in einem solchen Fall ziemlich sicher den Schulträger haftbar machen, wenn es um etwaige Schadensersatzansprüche von Betroffenen geht, und nicht die Schulleitung.

Fazit

Schulen und Schulträger sollten einen Vertrag zur Auftragsverarbeitung abschließen und dabei auch das Thema Löschung und Vernichtung von Daten berücksichtigen. Streng genommen müssen sie diesen Vertrag abschließen, da das schulische Datenschutzrecht keine Verarbeitung von personenbezogenen Daten durch Dritte ohne einen Vertrag zur Auftragsverarbeitung zulässt.

Formulierungsvorschlag für einen Zusatz im Vertrag zur Auftragsverarbeitung

In recht einfacher Form könnte man das Thema im Vertrag zur Auftragsverarbeitung selbst wie folgt festhalten.

Löschung und Vernichtung von Daten auf digitalen Endgeräten und Speichermedien
Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten, die auf digitalen Endgeräten oder Speichermedien im Verantwortungsbereich der Schule verarbeitet oder gespeichert wurden, bei Rückgabe, Austausch, Weitergabe oder Außerbetriebnahme der Geräte sachgerecht zu löschen oder – sofern eine Löschung technisch nicht mehr möglich oder wirtschaftlich nicht sinnvoll ist – die betroffenen Datenträger fachgerecht zu vernichten.

Dies gilt insbesondere für:

    • schulische digitale Endgeräte (z. B. Tablets, iPads, Laptops, Desktop-Computer),
    • interne oder externe Speichermedien (z. B. Festplatten, SSDs, USB-Speicher, Speicherkarten),
    • sonstige Datenträger mit möglicher Speicherung personenbezogener Daten.

Bei funktionsfähigen Geräten erfolgt vor einer erneuten Nutzung, Weitergabe oder Rückgabe eine vollständige und irreversible Löschung der gespeicherten Daten unter Verwendung geeigneter technischer Verfahren.

Bei defekten oder nicht mehr nutzbaren Geräten oder Datenträgern erfolgt eine physische Vernichtung oder ein technisch gleichwertiges Verfahren zur sicheren Datenvernichtung, sodass eine Wiederherstellung der gespeicherten personenbezogenen Daten ausgeschlossen ist.

Der Auftragsverarbeiter stellt sicher, dass:

    • geeignete organisatorische Verfahren zur Durchführung dieser Maßnahmen bestehen,
    • die Durchführung dokumentiert wird,
    • nur hierzu befugtes Personal eingesetzt wird.

Auf Verlangen weist der Auftragsverarbeiter dem Verantwortlichen die Durchführung der Löschung oder Vernichtung in geeigneter Weise nach.

Die Verpflichtungen gelten auch für durch den Auftragsverarbeiter eingesetzte Unterauftragnehmer.

In einem Zusatz zu einem Vertrag zur Auftragsverarbeitung könnte man diesen Punkt auch deutlich ausführlicher regeln.

Weiterlesen unter:

Stand 03/2026

Veröffentlicht am

Rechtsgrundlage der Nutzung von ais.chat (ehem. telli – KI Chat)

Lesezeit: 3 Minuten

ais.chat, die im Auftrag der Länder entwickelte KI Plattform, steht Schulen in NRW seit geraumer Zeit zur Verfügung. Schulleitungen erhielten in einem gestaffelten Rollout spezielle Administrations-Zugänge, über welche sie ihre Lehrkräfte als Nutzer in die Plattform einpflegen können. Lehrkräfte selbst können ais.chat dann ihren Schülern im Unterricht über Links und QR Codes zur Nutzung zur Verfügung stellen.

Vor dem Beginn des Rollouts gab es eine Informationsveranstaltung für Schulleitungen1Link zur Videoaufzeichnung: https://player.vimeo.com/video/1145629909?h=a8c8beea9a&amp, bei welcher ais.chat in seinen Funktionen sowie der Administration vorgestellt und Fragen beantwortet wurden. Im Video wurde auch erklärt, dass es für die Einführung der Plattform weder einen Schulkonferenzbeschluss noch eine Einwilligung der Lehrkräfte braucht.

Nicht jeder wird alle Informationen zu ais.chat kennen und deshalb besteht vermutlich an einigen Stellen ein Klärungsbedarf, was bei der Nutzung der Plattform in rechtlicher Hinsicht zu beachten ist.

⚖️ Was ist die rechtliche Grundlage für die Nutzung von ais.chat?

Wie Logineo NRW wird ais.chat Schulen direkt durch das Land bzw. das Ministerium für Schule und Bildung (MSB) bereitgestellt. Anders jedoch als bei Logineo NRW setzt die Nutzung von ais.chat durch Lehrkräfte sowie Schülerinnen und Schüler keine Einwilligung voraus. Auch ais.chat ist mitbestimmt durch die Hauptpersonalräte, die hier aber – anders als bei Logineo NRW – nicht auf einer freiwilligen Nutzung durch Lehrkräfte und andere Nutzer bestanden.

Durch diesen kleinen aber entscheidenden Unterschied erfolgt die Verarbeitung der personenbezogenen Daten von Lehrkräften wie auch Schülerinnen und Schülern bei der Nutzung von ais.chat auf der Grundlage der Generalklauseln von § 121 Satz 1 repektive § 120 Satz 1 SchulG NRW in Verbindung mit Art. 6 Abs. 1 lit. e DS-GVO. Dies wird so auch in der Datenschutzerklärung zu telli angeführt:

“4. Rechtsgrundlage
Art. 6 Abs. 1 lit. e DSGVO i. V. m. den jeweiligen Schulgesetzen (Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse – staatlicher Bildungs- und Erziehungsauftrag)

Eine Einwilligung ist hierfür nicht erforderlich.“

🏫 Was bedeutet das in der Praxis?

Schulleitungen schalten ais.chat im Vidis Portal frei und zeichnen dabei den Vertrag zur Auftragsverarbeitung. Anschließend pflegen sie ihre Lehrkräfte im System ein, um ihnen Nutzerzugänge zur Verfügung stellen zu können.

Die Nutzung von ais.chat durch Lehrkräfte wie auch Schülerinnen und Schüler erfolgt danach ohne Einwilligung.

Lehrkräfte wie auch Schülerinnen und Schüler sind zur Nutzung von ais.chat verpflichtet, auch ohne Beschluss der Schulkonferenz. Voraussetzung dafür ist aber immer, dass:

  • die Nutzung zur Erfüllung des Bildungs- und Erziehungsauftrages der Schule erforderlich ist und
  • sie über ein von der Schule oder dem Schulträger zur Verfügung gestelltes Endgerät möglich ist.

Eine Nutzung über private Endgeräte ist immer freiwillig.

Hinweis: … zur Nutzung von ais.chat verpflichtet … bedeutet hier keine generelle Verpflichtung im Sinne von, das Land NRW schreibt Schulen die Nutzung von ais.chat vor. Für Schulen ist die Nutzung von ais.chat optional. Es steht ihnen frei, auch die KI-Plattformen anderer Anbieter zu nutzen, sofern diese die dafür erforderlichen Voraussetzungen erfüllen. Eine Verpflichtung bezüglich der Nutzung von ais.chat greift für Lehrkräfte in dem Moment, in welchem beispielsweise eine Fachschaft sich im Rahmen einer Unterrichtsreihe einigt, dass dabei mit einem in ais.chat bereitgestellten Lernszenario gearbeitet wird, oder die Schule ais.chat im Medienkonzept festschreibt. Entsprechend sind dann auch Schülerinnen und Schüler zur Nutzung von ais.chat verpflichtet.

Welche datenschutzrechtlichen Vorgaben müssen Schulen bei der Nutzung von ais.chat einhalten?

Auch wenn die Nutzung von ais.chat keine Einwilligung erfordert, so bedarf es jedoch einer Information über die Datenverarbeitung gem. Art. 13 DS-GVO, denn eine Verarbeitung von personenbezogenen oder -beziehbaren Daten findet – auch wenn Schüler und Lehrkräfte gegenüber den KI-Modellen in ais.chat anonym bleiben – in den meisten Fällen statt.

Wie jeder Verarbeitungsvorgang in einer Schule muss die Verarbeitung von personenbezogenen Daten bei der Nutzung von ais.chat in das Verzeichnis der Verarbeitungstätigkeiten der Schule aufgenommen werden.

Auch wenn der Zugang zu ais.chat DS-GVO konform ist, alle genutzten KI-Modelle in der EU betrieben und keine Eingaben von Nutzern (Prompts) zu Trainingszwecken genutzt werden, sind persönliche Inhalte in Prompts nicht erlaubt. Das gilt für Lehrkräfte wie auch Schülerinnen und Schüler. Auf der Informationsseite Zugang zu ais.chat heißt es entsprechend:

“Für eine Nutzung für Schulverwaltungsaufgaben, die eine Eingabe von personenbezogenen Daten beinhaltet, ist „ais.chat“ nicht geeignet, da in das System über den Prompt keine personenbezogenen Daten eingegeben werden dürfen.“

Personenbezogene Daten (Lehrkräfte)

Lehrkräfte sind in ais.chat mit ihrer dienstlichen E-Mail, Vor- und Nachnamen sowie einer elfstelligen Lehrer-ID angelegt. Verknüpft fallen Daten an, wenn sie mit einer KI chatten, Assistenten anlegen oder Lernszenarien bereitstellen.

Personenbezogene Daten (Schüler)

Beim Zugriff mit personalisierten schulischen Endgeräten und vor allem bei Nutzung von privaten Endgeräten werden technische Daten verarbeitet, die theoretisch eine Zuordnung ermöglichen könnten.

Gibt es weitere rechtliche Vorgaben?

Ja, die gibt es. Es geht um die Vorgaben der KI-Verordnung. Diese verlangt von Schulen als sogenannten Betreibern von KI-Systemen Maßnahmen, mit denen sichergestellt wird, dass die Nutzenden eines KI-Systems “über ein ausreichendes Maß an KI‑Kompetenz verfügen“2Siehe Art. 4 KI-VO.

Gegenüber Schülerinnen und Schülern ist die Schule zur Transparenz verpflichtet. Sie müssen darüber informiert werden, dass sie mit einem KI-System interagieren. So darf z.B. bei der Nutzung eines Dialogpartners nicht der Eindruck entstehen, man kommuniziere mit einem echten Menschen.

📋 Nutzungsordnung

Es empfiehlt sich für Schulen, bestehende Nutzungsordnungen für IT-Räume und digitale Medien um einen von den Mitwirkungsgremien der Schule beschlossenen Zusatz zur KI-Nutzung zu ergänzen. In diesem sollten die Do’s and Don’ts festgehalten werden, etwa:

  • das Verbot der Eingabe von privaten Details oder Daten Dritter,
  • das Verbot missbräuchlicher Prompts,
  • die Pflicht zur Kennzeichnung KI-erstellter Inhalte,
  • …
Veröffentlicht am

Dienst iPad End of Life?

Lesezeit: 8 Minuten

Seit der Ausstattungsinitiative des Landes NRW im Juli 2020 sind iPads als Dienstgeräte für Lehrkräfte weit verbreitet.1Siehe auch https://www.news4teachers.de/2020/06/nrw-investiert-100-millionen-euro-fuer-200-000-lehrer-rechner-also-500-euro-pro-geraet/ Diese Zuwendung des Landes, welche Schulträger bei der Digitalisierung ihrer Schulen durch die Ausstattung der Lehrkräfte mit digitalen dienstlichen Endgeräten unterstützen sollten, war eine einmalige und begrenzte Aktion, die weder Mittel für Ersatz von defekten Geräten noch für die Ausstattung von Lehrkräften vorsah, welche nach der ursprünglichen Ausstattung neu an eine Schule kamen. Eine Nachfolge der Ausstattungsinitiative ist bisher nicht genauso wenig in Aussicht wie eine dauerhafte gesetzliche Regelung der Zuständigkeiten bei der Ausstattung von Lehrkräften mit dienstlichen Endgeräten. Das wird jetzt zunehmend zum  Problem, denn die seit 2020 Mit einer Zweckbindungsfrist von vier Jahren beschafften Geräte kommen in die Jahre. Unabhängig von der Ausstattungsinitiative des Landes hatten einzelne Schulträger bereits in den Jahren zuvor Lehrkräfte mit iPads ausgestattet, teils zur Nutzung als Dienstgerät, manchmal aber auch nur als Anzeigegerät in Kombination mit einer digitalen Tafel oder einem Projektor.

In diesem Beitrag soll es um die Frage gehen, wie zu verfahren ist, wenn ein Gerät, hier ein dienstlich genutztes iPad, sein End of Life (EOL) erreicht. EOL meint hier das Ende des Supports mit Funktions- und vor allem Sicherheitsupdates für das Gerät durch den Hersteller, Apple.

Für Schulen und Schulträger stellt sich die Frage, wie geht man mit der Situation um, was ist zu tun, wenn ein iPad EOL erreicht hat und wer ist hier eigentlich verantwortlich?

Informationen zum EOL von Apple Produkten

Für jede Generation von Geräten sichert Apple Support für mehrere Jahre zu, macht dabei aber keine verbindlichen Angaben, für wie viele Jahre der Support erfolgen wird. Nach dem Support Ende, welches erfahrungsgemäß bei 5+ Jahren liegt2Siehe hierzu https://techjunkies.blog/digital-life/support-ende-ipad-ipados-updates/, empfängt das Gerät keine regelmäßigen Updates mehr, weder Updates des Betriebssystems, iPad OS, noch Sicherheitsupdates. Bei besonders kritischen Sicherheitslücken erhalten iPads aber auch nach Überschreiten von 6 Jahren gelegentlich doch noch entsprechende Sicherheitsupdates.

Wie lange unterstützt Apple seine Geräte tatsächlich?

Wie oben bereits angedeutet, gibt es von Apple keine auf eine bestimmte Jahreszahl festgelegte Aussagen zur Dauer Supports bei iPads. In einem Dokument zur Langlebigkeit als Design Merkmal von Apple Geräten von Juni 2024 heißt es:

“Apple hat eine nachweisbare Erfolgsbilanz bei der Bereitstellung weit verbreiteter und langlebiger Betriebssysteme, die weit über den historischen Branchenstandard hinausgehen, sowie Funktionsupdates für Betriebssysteme, die bis zu 6 Jahre nach der ursprünglichen Veröffentlichung der jeweiligen Geräte herauskamen. […]

Doch selbst wenn ein Apple-Produkt nicht mehr auf das neueste Betriebssystem von Apple aktualisiert werden kann, bemühen wir uns, wichtige Sicherheitsupdates für unsere Kund:innen bereitzustellen.”

Als Beispiel für ein Sicherheitsupdate wird ein Update von März 2024 für ein im Jahr 2015 eingeführtes Gerät mit iOS 15 und damit rund 9 Jahre altes Gerät angeführt. Apple wirbt mit der Langlebigkeit seiner digitalen Endgeräte, macht aber keine auf eine feste Jahreszahl festgelegte für alle Geräte geltende verbindliche Aussage dazu, wie lange Funktions- und Sicherheitsupdates bereitgestellt werden. Über die Faktoren, welche bei Apple darüber entscheiden, wie lange ein Gerät regelmäßige Updates erhält und wann ein Gerät über diesen Zeitraum hinaus Sicherheitsupdates erhält, kann nur spekuliert werden. Die Verkaufszahlen eines Gerätemodells und die Anzahl der noch in Gebrauch befindlichen Vertreter dieses Modells dürften eine wesentliche Rolle spielen. Im iPad Benutzer Handbuch gibt Apple eine Übersicht, welche iPad Modelle von der aktuellen Version iPadOS 26 unterstützt werden. Dazu gehören laut Wikipedia beispielsweise das

  • Pad (8. Generation) (Home-Button) – Verkauf ab September 2020
  • iPad (9. Generation) (Home-Button) – Verkauf ab September 2021
  • iPad (10. Generation) – Verkauf ab Oktober 2022

Das iPad (7. Generation) (Home-Button) – Verkauf ab September 2019 wird von iPadOS 26 nicht mehr unterstützt und hat am 26. Januar 2026 zeitgleich mit neueren Geräten ein Update auf die Version 18.7.4 erhalten, mit welchem Fehler behoben und Sicherheitslücken geschlossen wurden3Siehe hierzu https://support.apple.com/de-de/1001003. Ob es in Zukunft ein erneutes Sicherheitsupdate für iPads der 7. Generation geben wird,bleibt offen. Der aktuelle Stand der Sicherheitsupdates ist dokumentiert unter Apple Security Releases.

Screenshot der Apple Seite zu den Sicherheitsupdates
Screenshot von der Apple Seite zu den Sicherheitsupdates 01.02.2026

Rechtliche Aspekte

Bei der Betrachtung des EOL Problems sind in rechtlicher Hinsicht zwei Fragen relevant.

  • Welche Voraussetzungen müssen iPads als Dienstgeräte erfüllen, um darauf personenbezogene Daten zum Zweck der Aufgabenerfüllung verarbeiten zu können?
  • Wer ist zuständig für die Einhaltung der Vorgaben und die technische und organisatorische Umsetzung?

Rechtliche Vorgaben

Welche Voraussetzungen dienstliche digitale Geräte erfüllen müssen, damit auf ihnen personenbezogene Daten verarbeitet werden dürfen, regelt § 2 Abs. 1 VO-DV I.

“(1) Die automatisierte Verarbeitung der personenbezogenen Daten ist zulässig auf dienstlichen digitalen Geräten und in Netzwerken, wenn jeweils über die Konfiguration die Vertraulichkeit, Integrität und Verfügbarkeit gemäß Artikel 32 in Verbindung mit Artikel 5 der Datenschutz-Grundverordnung gewährleistet sind.”

Eine entsprechende Formulierung findet sich auch in den FAQ zur Förderrichtlinie:

“Bei der Einbindung der Geräte muss deren Nutzungszweck in der Schule berücksichtigt werden und welche Informationen zukünftig mit ihnen verarbeitet werden sollen. Abgeleitet daraus ergeben sich spezifische Anforderungen für die Einhaltung der Informationssicherheit (Vertraulichkeit, Integrität und Verfügbarkeit).“

Damit ist klar, welche Voraussetzungen ein dienstlich genutztes iPad erfüllen muss, wenn darauf personenbezogene Daten verarbeitet werden sollen. Vertraulichkeit, Integrität und Verfügbarkeit müssen gewährleistet sein. Sicherheitslücken im Betriebssystem eines iPads können dazu führen, dass eine oder mehrere dieser Voraussetzungen nicht mehr gewährleistet sind.

  • Vertraulichkeit bedeutet dabei, das iPad muss so sicher sein, dass nur berechtigte Personen auf die verarbeiteten personenbezogenen Daten Zugriff haben.
  • Integrität bedeutet, die Schutzmechanismen des iPads müssen gewährleisten, dass keine unbefugten Personen personenbezogene Daten, die auf dem Gerät verarbeitet werden, verändern können.
  • Verfügbarkeit heißt, dass Daten auf einem Gerät sicher gespeichert und bei Bedarf zuverlässig zugänglich sind, ohne dass sie durch Fehler oder unbefugte Eingriffe verloren gehen.

Zuständigkeiten

Für eine Vertraulichkeit, Integrität und Verfügbarkeit gewährleistende Konfiguration ist der Schulträger zuständig. Die Förderrichtlinie legt ihm  in der Richtlinie unter 1.1 entsprechende Pflichten auf.

“Ziel ist es, Schulträger bei der Digitalisierung ihrer Schulen durch Ausstattung der Lehrkräfte mit digitalen dienstlichen Endgeräten sowie Schulen bei der rechtssicheren Arbeit mit personenbezogenen Daten nach den Vorgaben der §§ 120 bis 122 des Schulgesetzes NRW und der Verordnung für die zur Verarbeitung zugelassenen Daten von Schülerinnen, Schülern und Eltern (VO-DV I) und der Verordnung über die zur Verarbeitung zugelassenen Daten der Lehrerinnen und Lehrer (VO-VD II) zu unterstützen.”

Gemäß den Aussagen in den FAQ (siehe oben) leiten sich aus den Rechtsvorgaben der Richtlinie “spezifische Anforderungen für die Einhaltung der Informationssicherheit (Vertraulichkeit, Integrität und Verfügbarkeit)” ab. D.h. mit anderen Worten, der Schulträger ist verpflichtet, dafür zu sorgen, dass diese Anforderungen von den iPads eingehalten werden.

Laut den FAQ zur Förderrichtlinie ist der Schulträger auch Eigentümer der Geräte: “Die Geräte werden den Lehrerinnen und Lehrer unentgeltlich für die Dauer der dienstlichen Aufgabenerledigung zur Verfügung gestellt (Nr. 4.1. RiLi Lehrerendgeräte). Die Verteilung der Endgeräte obliegt der Verantwortung des
 Schulträgers. Eigentümer der Geräte bleibt der Schulträger.” Er kann damit nach Ablauf der Zweckbindungsfrist von 4 Jahren, die gemäß der Förderrichtlinie mit der Lieferung an den Schulträger beginnt4Die FAQ machen hier eine andere Aussage und rechnen ab “Bekanntgabe des Förderbescheides”. . und laut FAQ “spätestens am 31.07.2025” endet, frei über die Geräte verfügen.

Die Schulleitung ist ebenfalls in der Verantwortung.

In § 1 Abs. 1 VO-DV I heißt es entsprechend:

“Für die Schule stellt die Schulleiterin oder der Schulleiter, für die Schulaufsichtsbehörde die Leiterin oder der Leiter der Behörde durch technische oder organisatorische Maßnahmen sicher, dass der Schutz der verarbeiteten Daten gemäß Artikel 32 in Verbindung mit Artikel 5 der [DS-GVO] gewährleistet ist und die Löschungsbestimmungen eingehalten werden.”

In Verbindung mit § 2 Abs. 1 VO-DV I bedeutet dieses: sobald die die dort definierten Vorraussetzungen – die “Einhaltung der Informationssicherheit (Vertraulichkeit, Integrität und Verfügbarkeit)” – nicht mehr gegeben sind, dürfen auf einem dienstlichen iPad keine personenbezogenen Daten mehr verarbeitet werden. Die Schulleitung als Verantwortlicher im Sinne der DS-GVO kann dann nicht mehr den Schutz der Verarbeitung gewährleisten und darf eine Verarbeitung auf dem betroffenen Gerät nicht weiter zulassen.

Wann ist der kritische Punkt erreicht?

Da es von Apples Seite keine konkreten Aussagen zur Support Dauer für einzelne Generationen von iPads gibt, kann letztlich nur anhand der von Apple veröffentlichten Updates entschieden werden. Erscheinen für iPads neue Updates und die in der Schule als Dienstgeräte genutzten Geräte erhalten es nicht, ist zu prüfen, ob es für die Geräte relevant ist. Es geht hier primär um die Sicherheitsupdates und sekundär um Updates zur Fehlerbehebung.

Die Übersicht über die Sicherheitsupdates ist die erste Anlaufstelle, da die Sicherheitsupdates entscheidend sind für die Einhaltung der Informationssicherheit. Wie oben bereits beschrieben, hat beispielsweise das iPad der 7. Generation im Januar 2026 ein Sicherheitsupdate erhalten wie auch neuere Geräte. Damit ist es vorerst in der sicheren Zone bis das nächste Sicherheitsupdate erscheint.

Erscheint ein neues Sicherheitsupdate und berücksichtigt das Dienst iPad nicht, ist der kritische Punkt mit großer Wahrscheinlichkeit erreicht. Es wäre zwar theoretisch möglich, dass das Dienst iPad dieses Update nicht braucht, da es ausschließlich Sicherheitsupdates betrifft, welche in Verbindung mit einer neueren iPadOS Version oder neuerer Hardware auftreten. Ein Beispiel wäre ein Sicherheitsupdate, welches einen KI-Prozessor des iPad (Neural Engine) betrifft, den es aber in älteren Modellen noch nicht gibt. Schulen werden allerdings kaum in der Lage sein, eigenständig zu beurteilen, ob ein iPad ein bestimmtes Update benötigt oder nicht, weiterhin die Sicherheit der Verarbeitung von personenbezogenen Daten zu gewährleisten.

Der kritische Punkt kann auch erreicht werden, wenn es für das betroffene iPad-Modell zwar ein Sicherheitsupdate gibt, das Gerät dieses jedoch mangels Speicherplatz nicht installieren kann. Das ist häufig der Fall bei Geräten mit sehr geringem Speicherplatz, wie etwa den Geräten mit 32 Gigabyte.

Welche Optionen sind verfügbar?

Wie geht man nun mit der Situation um, wenn die in der Schule genutzten Dienst iPads das zuletzt veröffentlichte Sicherheitsupdate nicht mehr erhalten haben oder nicht mehr installieren können?

Bei Sicherheitsupdates geht es primär um Sicherheitsrisiken, welche sich aus einer Nutzung des Internets und von Online gebundenen Diensten und Apps ergeben können. Nur sehr wenige Sicherheitsupdates betreffen die Sicherheit des Gerätes im Offline Bereich (z.B. Sicherheit des Touch ID-Fingerabdrucksensors). Man könnte also pragmatisch gedacht, iPads auch ohne Sicherheitsupdates weiter nutzen, wenn sie im Flugmodus genutzt werden und keinerlei Online Verbindung mehr aufbauen können, aus denen Risiken entstehen könnten. Diese Möglichkeit würde spätestens dann enden, wenn ein das Gerätemodell betreffendes Sicherheitsupdate veröffentlicht wird, welches die Offline Sicherheit der Geräte betrifft. Das Problem hierbei ist, dass ein Lehrer iPad ohne Internetzugang kaum brauchbar ist.

Solange Lehrkräfte über das Dienst iPad keine personenbezogenen Daten verarbeiten und es nur im Unterricht nutzen, um Inhalte auf einem Anzeigegerät anzuzeigen, ist das unproblematisch, da in diesem Fall § 2 Abs. 1 VO-DV I nicht greift. 

Exkurs Schülergeräte

Schüler iPads sind dann unproblematisch, wenn es sich um unpersonalisierte Koffergeräte handelt. Dezidierte Vorgaben wie § 2 Abs. 1 VO-DV I  für Lehrer Geräte gibt es hier nicht. Trotzdem wäre eine Nutzung, aus welcher durch ungepatchte Sicherheitslücken Risiken entstehen können, auch bei Schülerinnen und Schülern nicht vertretbar. Dies wäre je nach Nutzung der Fall, vor allem wenn es sich um personalisierte iPads handelt, die an Schülerinnen und Schüler entliehen sind.


Handlungsmöglichkeiten

  • Die Schulleitung erteilt den Lehrkräften wieder die Genehmigung zur Verarbeitung von personenbezogenen Daten auf privaten Endgeräten. Das Genehmigungsformular ist das alte von 2018. Es stimmt allerdings an einigen Stellen nicht mehr. Die Auf der dritten Seite unter “3. Art der verarbeiteten Daten und Dokumente” aufgeführten personenbezogenen Daten gemäß Anlage 3 VO-DV I, welche verarbeitet werden dürfen, haben sich erweitert. Man orientiert sich also nicht am Genehmigungsformular, sondern an der Anlage 3 der VO–DV I. Mit dieser Genehmigung überbrückt man die Zeit, bis neue Geräte bereitgestellt werden. Bis dahin dürften noch einige viele Monate ins Land gehen. Geld für die Beschaffung von Geräten wird es vermutlich frühestens 2026 geben.
  • Die zweite Option wäre, dass der Schulträger auf eigene Kosten Geräte beschafft. Das kommt in diesem Fall jedoch nicht infrage. (Man kann argumentieren, soviel man will, dass der Dienstherr, das Land, für die Ausstattung mit Geräten zuständig ist, doch damit setzt man das Land nicht unter Druck und es ändert nichts. Das Spiel wurde vor den Geräten aus der Ausstattungsinitiative über Jahre erfolglos gespielt. Die Rechtslage der finanziellen Zuständigkeiten ist aktuell nicht geklärt, wie auch im Jahr 2018, als ein Gutachten von 2018 sehr deutlich auf die fehlenden gesetzlichen Regelungen hinwies.5Wer nicht das ganze Dokument lesen will, schaut direkt auf Seite 52, wo es eine Zusammenfassung der Ergebnisse gibt.
  • Es gibt noch eine dritte Option. Hat man noch gut funktionierende, zum Ende des Förderzeitraums beschaffte, jüngere iPads für Schülerinnen und Schüler, so besteht die Möglichkeit einige davon zu Lehrergeräten zu machen. Das ist möglich, da die Zweckbindung bei diesen Geräten gemäß der Förderrichtlinie ebenfalls nach vier Jahren erlischt, die Geräte in das Eigentum des Schulträgers übergehen und dieser darüber verfügen kann, wie er für richtig hält. Es soll auch Geräte geben, die lange gelagert wurden, bevor sie zum Einsatz kamen, bzw. Geräte, die selten durch Schülerinnen und Schüler genutzt wurden.

Weitere Punkte

Kann man Geräte nach dem EOL nicht doch noch weiter nutzen?

Man kann iPads auch nach dem Ende der Support-Updates durchaus weiter nutzen, wenn sie noch funktionieren, nur sollte man sie eben nicht mehr zur Verarbeitung von personenbezogenen Daten nutzen, zumindest nicht, wenn sie weiterhin mit Internetzugang genutzt werden. Deaktiviert man den Zugriff auf das Internet und verarbeitet weiter personenbezogene Daten auf den Geräten, muss allerdings sichergestellt sein, dass die Verfügbarkeit der Daten gewährleistet ist. Dafür müssten die auf den Geräten verarbeiteten Daten regelmäßig über einen USB-Stick oder eine externe Festplatte, welche man mit einem passenden Adapter mit dem iPad verbindet, gesichert werden.

Und was, wenn Sicherheitsupdates für die dienstliche Nutzung keine Relevanz haben?

iPads sind grundsätzlich sehr sicher, auch wenn sie nicht alle Updates erhalten haben. Viele Sicherheitsupdates betreffen sehr eingegrenzte und spezielle Risiken, die im Kontext einer Nutzung als dienstliches iPad zur Verarbeitung von personenbezogenen Daten eher nicht relevant sind. Solange das iPad nicht ein Update benötigt, welches ein sehr breites Risiko adressiert, welches auch für die dienstliche Verarbeitung von personenbezogenen Daten ein Risiko darstellen würde, sind mögliche Risiken für die verarbeiteten Daten extrem gering und man könnte eine weitere Nutzung des Gerätes vertreten. Das würde jedoch bedeuten, dass man die veröffentlichten Updates und die beschriebenen Sicherheitslücken, welche sie adressieren, sehr genau verfolgen und analysieren muss, um von Update zu Update zu entscheiden, ob eine weitere Nutzung der Geräte vertretbar ist. Die entscheidende Frage ist hier dann jedoch, wer übernimmt die Beurteilung der Updates und vor allem, wer trägt dabei die Verantwortung?

Kann man die Sicherheit nicht durch Einschränkungen über das MDM verbessern?

Die Sicherheit verbessern kann man durch bestimmte Einschränkungen, die dann in der Regel auch die Funktionalität einschränken, ganz sicher. Aber wer trägt die Verantwortung, dass das auch alles ausreicht, die Sicherheit zu gewährleisten?

Wie sieht es mit Laptops aus?

Da je Lehrkraft lediglich maximal 500 Euro zur Verfügung standen, wurden überwiegend günstigere Laptops besorgt, die mit dem Windows Betriebssystem ausgestattet waren. Im Juli 2020 waren derartige Computer noch mit Windows 10 ausgestattet. Windows 11 stand ab Oktober 2021 zur Verfügung, konnte jedoch nur auf Geräten installiert werden, welche die Hardware-Voraussetzungen mit sich brachten. Der kostenlose Support für Windows 10 endete am 14. Oktober 2025. Microsoft hat mittlerweile angekündigt, den kostenlosen Support bis zum 14. Oktober 2026 zu verlängern. Bis dahin sind kostenfreie Updates für Geräte mit Windows 10 über das ESU-Programm verfügbar.6Siehe auch https://www.verbraucherzentrale.de/wissen/digitale-welt/apps-und-software/support-fuer-windows-10-endet-das-muessen-sie-wissen-105980 ESU steht für Extended-Security-Updates. Die beschriebene Option steht in dieser Form allerdings nicht für Dienstgeräte mit einer Education-Lizenz zur Verfügung. Schulträger können die Extended-Security-Updates jedoch für eine sehr geringe Gebühr erwerben.7siehe z.B. https://www.cotec.de/microsoft-windows-10-extended-security-per-device-700257-0107768 Gemäß der Förderrichtlinie sind Schulträger nicht verpflichtet, diese Kosten zu tragen, zumal die Zweckbindung der Geräte ohnehin abgelaufen ist.

Windows Laptops mit Windows 10, die als Dienstgeräte genutzt werden, und seit Mitte Oktober letzten Jahres 2025 keine Updates mehr erhalten, können demnach genau wie iPads, deren EOL erreicht ist, nicht mehr oder nur noch mit großen Einschränkungen zur Verarbeitung von personenbezogenen Daten genutzt werden.

Das sagt das MSB

Das Ministerium für Schule und Bildung (MSB) wurde im Rahmen einer kleinen Anfrage der FDP Fraktion im Landtag NRW mit der Frage zum Zustand der Lehrerendgeräte befragt: “Wie ist der technische Zustand der Lehrkräfte-Endgeräte an Schulen in NRW und wie plant die Landesregierung deren Modernisierung?” Am 21.01.2026 stand die Landesregierung Rede und Antwort (siehe Drucksache 18/17488). In der Anfrage möchte die Fraktion Informationen zum Zustand der Geräte haben, dazu wie viele Geräte überhaupt noch im Einsatz sind und wie es mit dem Austausch der Geräte aussieht? Das MSB gibt sich in seiner Antwort bedeckt. Auch wenn die Zweckbindungsfrist der Geräte nun abgelaufen ist, so das MSB, könnten viele Geräte weiterhin eingesetzt werden. Man arbeite an der Umsetzung des Digitalpaktes 2.0. Damit ist man an den Schulen so schlau wie bisher.

Weiterlesen

Stand 03/2026

Veröffentlicht am

Microsoft Copilot in MS365 Edu – Datenschutzfragen

Lesezeit: 8 Minuten

Aufsichtsbehörden sehen Microsoft 365 weiterhin kritisch und gehen davon aus, dass eine datenschutzgerechte Nutzung den Abschluss einer Zusatzvereinbarung in Anlehnung an die von sieben Aufsichtsbehörden erarbeitete Handreichung erfordert. An vielen Schulen wird Microsoft 365 seit Jahren genutzt und Schulen halten daran fest, auch wenn es im Bildungsbereich bisher noch keine Zusatzvereinbarung gibt. Copilot ist mittlerweile ein Bestandteil von Microsoft 365 und steht dort in Abhängigkeit von der Lizenz des Tenants mit unterschiedlichem Funktionsumfang zur Verfügung. An vielen Schulen fragt man sich, ob es möglich ist Copilot im Unterricht einzusetzen, um so Extrakosten für Lizenzen bei Anbietern wie fobizz, SchulKI, Paddy, FellowFish und ähnlich zu vermeiden?

Der Beitrag erklärt die Unterschiede zwischen Copilot-Versionen, ordnet rechtliche Vorgaben ein und zeigt anhand von Beispielen aus Deutschland und Nachbarländern, wie Behörden und andere Player reagieren. Am Ende wird aufgezeigt, wie der aktuelle Stand im Bildungsbereich einzuschätzen ist und welche Leitplanken Schulen derzeit beim Einsatz von Copilot berücksichtigen sollten.

Grundsätzliches

Es gibt diverse Copilot Funktionen von Microsoft und es gelten unterschiedliche Datenschutzbedingungen.

Copilot innerhalb von Microsoft 365 und Consumer Version

Zu unterscheiden ist innerhalb von Microsoft 365

  • Copilot Chat – https://m365.cloud.microsoft/chat/ – verfügbar für Schüler und Lehrkräfte
  • Copilot als Bestandteil von Word, Excel, PowerPoint, Outlook, Teams, OneNote – verfügbar als kostenpflichtiges Add-on, jedoch nur für Lehrkräfte in den entsprechenden A3 und A5 Lizenzen

Außerhalb von Microsoft 365 gibt es noch Copilot über Browser und Apps

  • Copilot Apps – mobile Apps für iOS und Android: „Microsoft Copilot“.

Microsoft beschreibt die Unterschiede in der Benennung der Copilot-Versionen wie folgt:

“Seit Januar 2025 haben die Erfahrungen für die Copilot Arbeit und den persönlichen Gebrauch nicht mehr den gleichen Namen:

  • Microsoft 365 Copilot Chat (im Web verankert) und Microsoft 365 Copilot (basiert auf Web- und Arbeitsdaten) sind für Arbeit und Bildung vorgesehen.
  • Microsoft Copilot ist für den persönlichen Gebrauch”

Altersfreigaben/ – beschränkungen

Microsoft hat im Mai 2025 offiziell bekanntgegeben, dass Copilot Chat in Microsoft 365 Education für Schülerinnen und Schüler ab 13 Jahren verfügbar ist.

Die Consumer-Version von Copilot für den privaten, nicht-schulischen Gebrauch ist dagegen erst ab 18 Jahren nutzbar und in einigen EU-Ländern bereits früher. Da Deutschland keine eigene Regelung zur Einwilligungsfähigkeit nach Art. 8 DS-GVO getroffen hat, gilt hier ein Mindestalter von 16 Jahren für die wirksame Einwilligung. Unterhalb dieser Grenze ist die Nutzung nur mit Einwilligung der Sorgeberechtigten rechtmäßig. Der Einsatz der Consumer-Version im schulischen Kontext ist datenschutzrechtlich ausgeschlossen.“

Webzugriff in Copilot

Microsoft  sagt:

“Wenn Sie die Richtlinie Websuche in Copilot zulassen nicht konfigurieren, ist die Websuche für Benutzer sowohl in Microsoft 365 Copilot als auch im Chat standardmäßig verfügbar, es sei denn, Sie legen die Richtlinie Verwendung zusätzlicher optionaler verbundener Umgebungen in Office zulassen auf Deaktiviert fest. Das Deaktivieren optionaler verbundener Erfahrungen schränkt jedoch Microsoft 365 Copilot Chat, Microsoft 365 Copilot und mehrere Benutzeroberflächen in Microsoft 365 ein.”

Das bedeutet: sobald Copilot über die Web-Schnittstelle mit Bing kommuniziert, verlässt der Datenfluss diesen geschützten Raum. Microsoft selbst weist in seiner Dokumentation darauf hin, dass für Web-Suchanfragen andere Bedingungen gelten können und diese z.B. nicht von der EU Data Boundary abgedeckt sind. Da unklar ist, welche Daten Microsoft in diesem Zusammenhang verarbeitet, werden die Zusagen für den Edu-Bereich damit vermutlich unterlaufen. Schulen sollten, wenn Copilot für Schülerinnen und Schüler zur Verfügung gestellt wird, den Webzugriff mandantenweit deaktivieren.

Wie ist die Verbindung von Microsoft Copilot zu OpenAI ChatGPT?

Microsoft besitzt große Anteile von OpenAI und hat dadurch Zugriff auf die LLM von OpenAI, aber die OpenAI-Modelle laufen innerhalb von Microsofts Azure-Infrastruktur. Das bedeutet, es handelt sich um eigene Instanzen des KI-Systems. Nutzerdaten bzw. -eingaben werden nicht für Trainingszwecke genutzt. Es gibt zwischen den von Microsoft betriebenen OpenAI-Modellen und den von OpenAI selbst betriebenen ChatGPT Modellen keine technische Verbindung und auch keinen Austausch von Daten.

  • Copilot läuft über Azure OpenAI Service, abgesichert durch Microsofts Verträge und EU-Data-Boundary.
  • ChatGPT ist der direkte OpenAI-Dienst, ohne die Microsoft-Schutzschicht – deshalb für Schulen/Behörden datenschutzrechtlich nicht nutzbar (ohne zwischengeschaltete API durch Anbieter wie fobizz, SchulKI, Paddy, FellowFish, …).

Zugriff auf Daten

Copilot Chat arbeitet nur mit den Prompts, die der Nutzer direkt eingibt (z. B. Fragen, hochgeladene Dateien).

Das Copilot Add-on kann innerhalb der Microsoft 365 auf alle Dokumente zugreifen, die ein Nutzer erstellt hat oder auf die er Zugriff hat/ die für ihn freigegeben sind. Copilot Chat hat keinen Zugriff auf OneDrive/SharePoint/Graph-Daten. Nur das Add-on nutzt die Microsoft Graph-Integration. Copilot sieht nur das, was auch der Nutzer sehen darf (Berechtigungen werden nicht umgangen). 

Datenschutz

Für Copilot außerhalb von Microsoft 365 gelten die Datenschutzstandards für Privatnutzer. Diese sind mit den datenschutzrechtlichen Vorgaben für Schulen nicht vereinbar. Das bedeutet, Versionen außerhalb von Microsoft 365 können im Unterricht auf gar keinen Fall mit Schülerinnen und Schülern genutzt werden. Die Nutzung ist vergleichbar einer direkten Nutzung von ChatGPT, Gemini, Claude und DeepSeek.

CoPilot Chat ist zwar vergleichbar einer direkten Nutzung von KI-Plattformen wie den zuvor genannten, doch es gibt wichtige Unterschiede.

  • Copilot Chat in Microsoft 365 Edu unterliegt den gleichen Datenschutzstandards, wie sie für die anderen in der Plattform enthaltenen Dienste (Word, Excel, PowerPoint, Teams, OneNote, …) gilt, da Copilot Chat ein Core-Service ist, ein eigenständiger Dienst und damit nicht zu den problematischen optionalen verbundenen Erfahrungen zählt.
  • Als Core-Service gilt für Copilot Chat der Enterprise-Datenschutz und es fällt unter die EU Data Boundary. Letzteres ist wichtig, da Microsoft  so zusichert, dass sämtliche Daten ausschließlich innerhalb der EU verarbeitet werden.

Innerhalb des Nutzerkontos können Nutzer ihren Copilot Aktivitätsverlauf löschen.1Die Einstellung findet sich unter:  https://myaccount.microsoft.com/settingsandprivacy/privacy Die Löschung betrifft Microsoft Copilot Chat und auch die Aktionen von über Add-on verfügbaren Copilot Funktionen in Word, Excel, … Mit Copilot erstellte und bearbeitete Inhalte werden nicht gelöscht.

Was man noch wissen sollte

Berlin

In Berlin stellte zum Schuljahr 2024/25 allen Lehrkräften Copilot zur Verfügung:

“Als eines der ersten Bundesländer bietet Berlin seinen Lehrkräften jetzt ein datenschutzkonformes KI-Tool an. Mit Copilot, dem KI-Assistenten von Microsoft, wird alles digitaler, einfacher und kreativer. Die Anwendung nutzt ausschließlich öffentliche Webdaten und schützt dabei die Privatsphäre. Es unterstützt Pädagoginnen und Pädagogen im Unterrichtsalltag bei einer Vielzahl von Aufgaben:

➡️ schnell im Netz recherchieren

➡️ Unterrichtsmaterialien mit Bildern erstellen

➡️ Routineaufgaben, wie Terminplanung und Dokumentenerstellung, automatisieren

„Mit Copilot ermöglichen wir an unseren Schulen Unterricht auf der Höhe der Zeit. Um alle Pädagoginnen und Pädagogen auf diesem Weg mitzunehmen, haben wir zum neuen Schuljahr eine Fortbildungsreihe zum Umgang mit KI an unseren Schulen gestartet.”2Quelle: https://www.linkedin.com/posts/senbjf_copilot-ki-k%C3%BCnstlicheintelligenz-activity-7254427341001560065-7324/?originalSubdomain=de

Von der Berliner Aufsichtsbehörde wurde das kritisch gesehen, da sie nicht vorab beteiligt worden war.

Die Berliner Senatsverwaltung hatte Copilot Chat in Edge zur Verfügung gestellt und gibt dazu an:

    • …. dass “durch die Einführung von Microsoft Copilot in Edge im  Unternehmensdatenschutz keine weiteren personenbezogenen Daten verarbeitet werden als diejenigen durch die Einführung der MEG [mobilen Endgeräte], …”
    • “Von den Nutzenden dürfen keine personenbezogenen Daten in Microsoft Copilot eingegeben werden.
    • Die Kl darf auch nicht für Bewertungen oder die Kontrolle von Prüfungen eingesetzt werden.”
    • “Datenschutzfilter: Es kommen Filter zum Einsatz, die verhindern, dass sensible persönliche Informationen verarbeitet werden. Zum Beispiel ist es nicht möglich, persönliche Informationen anzugeben oder abzufragen.”3Quelle: https://fragdenstaat.de/anfrage/einfuehrung-von-microsoft-copilot-in-schulen/956810/anhang/319764-name-antwort_geschwaerzt.pdf

Niedersachsen

In Niedersachsen hatte man in enger Abstimmung mit der Aufsichtsbehörde eine Zusatzvereinbarung mit Microsoft getroffen, welche es öffentlichen Stellen (gemeint ist hier Verwaltungen) erlaubt Microsoft Teams zu nutzen. In diesem Kontext testet die Landesverwaltung seit März 2025 in mehreren Ressorts Copilot.4Quelle: https://www.it.niedersachsen.de/startseite/it_news/aktuelles/ki-assistent-fur-die-verwaltung-it-niedersachsen-testet-microsoft-365-copilot-chat-240173.html

Schweiz Kanton Zürich

Der Kanton Zürich hat darauf reagiert, dass Lehrkräften nun Copilot als Basisdienst zur Verfügung steht und nicht mehr zentral deaktivierbar ist. Nach einer internen datenschutzrechtlichen Prüfung entschied, dass Copilot von den Lehrpersonen genutzt werden darf. Die Schule trägt dabei jedoch die Verantwortung für die korrekte Nutzung von Copilot durch die Lehrpersonen. Schulen werden Hinweise gegeben, welche Regeln bei der Nutzung zu beachten sind, auch mit Blick auf Datenschutz.5Quelle: https://help.mba.zh.ch/images/Projekt_GenKI/Merkblatt_zu_Microsoft_Copilot.pdf

Niederlande

Die Niederlande sind bekannt für ihre Vorreiterrolle in Sachen Datenschutz. Sie konnten in der Vergangenheit erfolgreich durch Datenschutz-Folgenabschätzungen Mängel in großen Plattformen wie Microsoft 365 und Google Workspace for Education nachweisen und dann jedoch durch Verhandlungen mit den großen Anbietern Veränderungen erwirken, welche in Folge eine datenschutzfreundliche Nutzung der Plattformen durch Behörden und Schulen ermöglichte. Die zentralen Akteure im niederländischen Bildungssektor, SURF und SIVON, raten derzeit dringend von der Nutzung von Microsoft 365 CoPilot ab. Wie in vergangenen Fällen hatte SURF6Quelle: https://www.surf.nl/nieuws/advies-gebruik-microsoft-365-copilot-vooralsnog-niet-vanwege-privacyrisicos hier Privacy Company im Januar 2024 mit einer Datenschutz-Folgenabschätzung (DSFA/ DPIA)7Quelle: https://www.surf.nl/files/2024-12/20241218-dpia-microsoft-365-copilot.pdf beauftragt und dann im Dezember 2024 nach Veröffentlichung der Untersuchungsergebnisse dazu geraten, Microsoft 365 Copilot wegen Datenschutzrisiken vorerst nicht zu verwenden. In Bezug auf Datenschutz kritisierte man u.a. fehlende Transparenz und auch das Risiko falscher Daten.

Man sollte beachten, dass sich seit der DSFA in den Niederlanden Anfang 2024 eine Menge getan hat, was Microsoft Copilot angeht. Microsoft hat an vielen Stellen nachgebessert, technisch wie auch in Bezug auf die Dokumentation und vertragliche Anpassungen.8Siehe hierzu die von Raphael Koellner dokumentierten Updates: https://www.rakoellner.de/?s=copilot Ob die in der DSFA festgestellten Mängel weiterhin Bestand haben oder von Microsoft erfolgreich beseitigt wurden, dazu gibt es von Seiten von SURF bisher keine Informationen.

Ergänzung zur niederländischen DSFA – September 2025

Privacy Company hat seine Datenschutz-Folgenabschätzung (DPIA) aktualisiert9Stand 15.09.2025 und konnte dabei nachweisen, dass Microsoft Maßnahmen ergriffen, um vier der zuvor identifizierten hohen Datenschutzrisiken zu minimieren. Allerdings konnte Microsoft damit diese vier hohen Risiken noch nicht vollständig beseitigen. Beachtet werden sollte, dass es hier nicht um Copilot Chat, sondern das kostenpflichtige Add-on von Copilot geht, welches dann auch in Word, Excel, PowerPoint und Outlook zur Verfügung steht. Zwei der zuvor ermittelten hohen Risiken (rot) wurden zu mittelschweren Risiken herabgestuft. Es geht bei diesen Risiken um die Verarbeitung von inkorrekten und unvollständig verarbeiteten personenbezogenen Daten in Antworten von Copilot und eine unangemessen lange Speicherfrist von 18 Monaten für pseudonymisierte Metadaten, erforderliche Dienstdaten und Telemetriedaten. Die Bewertung bleibt vorläufig; eine Neubewertung ist nach einem weiteren halben Jahr angekündigt – abhängig davon, ob Microsoft die angekündigten Verbesserungen wirklich umsetzt. Privacy Company empfiehlt Schulen, Copilot grundsätzlich nur sehr restriktiv und für genau definierte Aufgaben zu nutzen, bei denen keine inakzeptablen Datenschutzrisiken entstehen. Vor dem Einsatz sind verschiedene Schutzmaßnahmen und technische Einstellungen verpflichtend vorzunehmen, z. B. KI-Nutzungsordnung, datenschutzfreundliche Standardeinstellungen und Sperrung des Bing-Zugriffs.

Ergänzung zu Copilot Chat Erweiterung – Oktober 2025

Wie Raphael Koellner bereits am 16.09.2025 meldet, ist Copilot Chat jetzt auch in Office Produkten (Word, Excel, PowerPoint, OneNote, Outlook) verfügbar, ohne dass dafür extra eine zusätzliche Lizenz erworben werden muss. Die Neuerungen beschreibt Koellner wie folgt:

“Microsoft hat Copilot Chat und intelligente Agenten in die Microsoft 365 Apps wie Word, Excel, PowerPoint, Outlook und OneNote integriert. Damit entsteht eine einheitliche Chat-Erfahrung direkt in den Anwendungen, die Millionen täglich nutzen. Copilot Chat erkennt den Kontext der geöffneten Datei und liefert passende Antworten – ohne zusätzlichen Upload oder App-Wechsel.”

Mit Blick auf IT und Sicherheit erläutert Koellner, dass Administratoren die neu verfügbaren Funktionen durch das Copilot Control System (CCS) verwalten und absichern können. Microsoft sichert für die neu verfügbaren Funktionen, Datenschutz nach Enterprise-Commercial-Standard zu, Urheberrecht sowie die vertraglichen Regelungen in DPA (Data Protection Addendum), PT (Product Terms) und SLA (Service Level Agreement). Copilot Chat ist weiterhin ein Core-Service. Auf Nachfrage zur Abgrenzung von Copilot Chat zu Copilot in Microsoft 365 schreibt er auf LinkedIn “Es ändert sich in dem Punkt, dass mit dem Zugriff auf das Office Dokument und auch der Funktion “/” nun doch Graph Zugriff auf Dokumente besteht, wie beim Copilot for Microsoft 365. Es gibt keine klare Trennung mehr zwischen Copilot Chat und Copilot for Microsoft 365. Technisch wird Chat immer mehr zu Copilot for Microsoft 365.”10https://www.linkedin.com/posts/raphael-k%C3%B6llner_microsoft-copilot-chat-willkommen-in-den-activity-7373591245996081152–Wd2/ Welche Auswirkungen diese Veränderungen auf die datenschutzrechtliche Bewertung von Copilot Chat haben werden, ist aktuell schwierig abzuschätzen. Schulen dürften auf der sichereren Seite sein, wenn sie Copilot Chat auf seine Basis Funktionen einschränken.

Hinweise zur Administration von Copilot Chat in Microsoft 365 Education Tenants finden sich unter https://learn.microsoft.com/de-de/copilot/manage

Wo stehen wir aktuell

Es ergibt sich aus dem, was öffentlich dokumentiert ist, kein einheitliches Bild.

  • Festzuhalten ist, dass die derzeit offiziell bekannten schulischen Einsatzbereiche von Copilot auf Lehrkräfte beschränkt sind und nur für Tätigkeiten gestattet sind, die keine personenbezogenen Daten enthalten. Eine Nutzung durch Schulministerien/ Bildungsverwaltungen oder Aufsichtsbehörden sanktionierte Nutzung durch Schülerinnen und Schüler ist nicht bekannt.
  • Werden KI-Anwendungen durch Bundesländer über Landeslizenzen bereitgestellt, dann geht es bisher immer um über API vermittelte Angebote wie fobizz, SchulKI, Paddy, FellowFish und Ähnliche, jedoch nicht um direkt genutzte Plattformen (auch wenn das bei einer EU KI wie Mixtral durchaus denkbar wäre mit Blick auf Datenschutz).
  • Microsoft selbst lässt eine Nutzung von Copilot in Microsoft 365 Education ab 13 Jahren zu verweist jedoch auf die rechtlichen Vorgaben im jeweiligen EU Land.
  • Wenn Schulen Copilot Chat für ihre Schülerinnen und Schüler freigeben, sollte der Webzugriff von Copilot Chat zentral deaktiviert werden, um mit der Nutzung innerhalb der Datenschutzbestimmungen/ -zusagen für den Bildungsbereich zu bleiben.
  • Die Nutzung von Copilot Chat in Microsoft 365 ist immer auch im Kontext der insgesamt von den Aufsichtsbehörden als problematisch eingeschätzten Nutzung von Microsoft 365 zu sehen. Es bewegt sich hier in verschiedenen Bundesländern etwas, indem Zusatzvereinbarungen mit Microsoft abgeschlossen werden, die sich an der Handreichung der sieben Aufsichtsbehörden orientieren. In Hessen ist man von Seiten der Aufsichtsbehörde bemüht, hier auch zu einer entsprechenden Regelung für den Bildungsbereich zu kommen.
  • Man kann davon ausgehen, dass bei Zustandekommen einer Zusatzvereinbarung mit Microsoft für den Bildungsbereich in einem Bundesland, andere Bundesländer folgen werden. Copilot wäre dann ziemlich sicher mit der genannten Einschränkung auch für Schüler verfügbar.
  • Schulen, die aktuell Microsoft 365 nutzen, können davon ausgehen, dass sich die datenschutzrechtliche Lage für sie nicht ändert, wenn sie im Unterricht Copilot Chat mit zentral deaktiviertem Webzugriff für Copilot Chat einsetzen und sich an die Altersfreigabe halten.
  • Bezüglich dessen, was im Unterricht möglich ist, kann man mit Copilot Chat alles machen, was ein LLM ohne den Webzugriff kann. Inhaltlich ist Copilot Chat dabei jedoch immer nur auf dem Stand der letzten Trainingsdaten des aktuell bereitgestellten Modells. Es gelten die gleichen Regeln wie bei jeder KI-Plattform bezüglich der Verwendung von personenbezogenen oder -beziehbaren Daten in Prompts. Diese sollten vermieden werden, um mögliche Risiken auszuschließen. Es empfiehlt sich eine KI Nutzungsordnung zu erstellen und durch die schulischen Mitbestimmungsgremien verabschieden zu lassen sowie mögliche Risiken, welche aus der Nutzung einer KI-Plattform entstehen können, im Rahmen der Medienbildung zu thematisieren.

 

 Stand Oktober 2025

Stolz präsentiert von WordPress