ChatGPT unter 13 Jahren: Wann ist die Nutzung erlaubt?

8 DSGVO hingegen verlangt für die Einwilligung Minderjähriger in die Verarbeitung personenbezogener Daten bei Onlinediensten in Deutschland die Schwelle von 16 Jahren. Diese Differenz ist keine Randnotiz, sondern der Kern eines normativen Konflikts, der jede Schulleitung, jede Lehrkraft und jeden Schulträger betrifft, die generative KI im Unterricht einsetzen wollen. Die Frage nach der Erlaubnis lässt sich nicht mit einem Blick in die Nutzungsbedingungen beantworten, sondern verlangt eine mehrschichtige Prüfung: Vertragsrecht des Anbieters, europäisches Datenschutzrecht und das jeweilige Landesrecht der Schule greifen ineinander, und wer eine dieser Schichten übersieht, gefährdet die informationelle Selbstbestimmung der betroffenen Kinder.

Die Differenz zwischen 13 und 16 Jahren ist keine Randnotiz — sie entscheidet, ob ein Verstoß vorliegt.

Die zwei Altersschwellen und ihre normativen Konsequenzen

Die Normativität des Themas entsteht aus der Überlagerung dreier Rechtsschichten. Jede setzt eine andere Schwelle, jede schützt ein anderes Gut, und keine ist ohne die andere vollständig zu verstehen. Der Bedarf ist empirisch unterfüttert: Die JIM-Studie weist für 2025/2026 eine Nutzungsrate unter Jugendlichen zwischen 12 und 19 Jahren von 84 Prozent aus. Damit ist die Frage nicht akademisch, sondern betrifft die Schule in der Breite.

An erster Stelle stehen die Nutzungsbedingungen von OpenAI. Sie formulieren einen Vertrag: Die Erstellung eigener Benutzerkonten für Kinder unter 13 Jahren ist grundsätzlich ausgeschlossen, Jugendliche zwischen 13 und 17 Jahren dürfen ChatGPT nur mit ausdrücklicher Einwilligung ihrer Eltern oder Erziehungsberechtigten nutzen. Diese Hürden sind vertraglich gesetzt, nicht staatlich erzwungen; sie spiegeln primär die AGB-Logik eines US-Anbieters, der sich gegen Risiken aus dem Children's Online Privacy Protection Act absichert.

An zweiter Stelle steht die Datenschutz-Grundverordnung. Art. 8 DSGVO erlaubt die Einwilligung Minderjähriger in die Verarbeitung personenbezogener Daten bei Onlinediensten in Deutschland erst ab 16 Jahren, sofern keine elterliche Zustimmung vorliegt. Diese Schwelle ist nicht verhandelbar, sie gilt unmittelbar, und sie schützt — anders als die ToS — ein Grundrecht, nämlich die informationelle Selbstbestimmung.

An dritter Stelle steht das Schulrecht, das in der Bundesrepublik Sache der Länder bleibt. Verbindliche, bundesweit einheitliche Regelungen für den Einsatz generativer KI in Grundschulen existieren nicht; Orientierung bieten Handreichungen aus dem Umfeld des Schulministeriums NRW, der Kultusministerkonferenz sowie Angebote wie Klicksafe. Infolgedessen müssen Schulen die Schnittmenge aus Anbieter-ToS, DSGVO und Landesrecht eigenständig bestimmen.

Was die OpenAI-Bedingungen konkret festschreiben

Die Bedingungen sind eindeutig, soweit sie das eigene Konto betreffen. Kinder unter 13 Jahren ist die selbstständige Registrierung verwehrt; Minderjährige zwischen 13 und 17 Jahren benötigen die dokumentierte Einwilligung der Personensorgeberechtigten. Diese Hürden greifen unabhängig davon, ob die Nutzung im privaten oder schulischen Kontext erfolgt.

Für die schulische Praxis weist OpenAI einen schmalen, klar abgegrenzten Korridor auf. So schreibt OpenAI vor, dass die tatsächliche Interaktion mit ChatGPT durch eine erwachsene Person — regelmäßig die Lehrkraft — stellvertretend durchgeführt werden muss, wenn Kinder unter 13 Jahren involviert sind. Die Lehrkraft loggt sich mit dem eigenen Konto ein, die Anfragen werden im Plenum vorgetragen, die Antworten gemeinsam besprochen. Solange keine personenbezogenen Daten der Schülerinnen und Schüler in das System eingegeben werden, bleibt die Demonstration im rechtlichen Rahmen.

Verboten ist hingegen, Kindern unter 13 Jahren eigene Login-Daten zur Verfügung zu stellen, Schul-E-Mail-Adressen als Identifikatoren zu nutzen oder die Kinder individuelle Aufgaben mit ChatGPT bearbeiten zu lassen. Dies wäre nicht nur ein Verstoß gegen die ToS, sondern — wegen der damit verbundenen Verarbeitung personenbezogener Daten — zugleich ein Verstoß gegen Art. 8 DSGVO.

Der europäische Rahmen: Art. 8 DSGVO als Sperrgitter

Die DSGVO kennt keine Ausnahme für pädagogisch wertvolle Anwendungen. Art. 8 zielt darauf ab, Minderjährige davor zu schützen, dass ihre Daten ohne hinreichende Reife oder elterliche Kontrolle in kommerziellen Datenräumen zirkulieren. In Deutschland hat der Gesetzgeber die in der DSGVO vorgesehene Spanne von 13 bis 16 Jahren am oberen Ende ausgeschöpft; andere Mitgliedstaaten liegen bei 13 oder 14 Jahren. Diese nationale Differenzierung ist Ausdruck des in Art. 8 angelegten Spielraums, ändert aber nichts daran, dass die Schwelle für die hier betrachtete Konstellation bei 16 Jahren liegt.

Kritisch zu betrachten ist die Blackbox-Eigenschaft der Modelle. Niemand kann zuverlässig erklären, warum ein Sprachmodell eine bestimmte Antwort generiert; die Trainingsdaten sind intransparent, die Gewichtungen proprietär. In Verbindung mit einem Minderjährigen, der die Antwort noch nicht einzuordnen vermag, entsteht ein strukturelles Machtgefälle, das die informationelle Selbstbestimmung aushöhlt, bevor das Kind begriffen hat, dass sie überhaupt zur Disposition steht.

Drei Szenarien in der Schulpraxis

Die zulässige Nutzung entscheidet sich an der konkreten Konstellation. Drei Grundfälle decken das Spektrum schulischer Praxis ab; ihre Unterschiede sind keine Spitzfindigkeit, sondern entscheiden über die datenschutzrechtliche Bewertung.

Das dritte Szenario verdient besondere Aufmerksamkeit. Anbieter wie fobizz oder SchulKI kapseln die KI-Modelle hinter einer eigenen Schnittstelle; die Schülerinnen und Schüler interagieren nicht direkt mit OpenAI, sondern mit der Schul-Plattform. Diese Plattformen leiten Anfragen anonymisiert über eine API weiter, ohne dass Nutzerdaten zu Trainingszwecken an OpenAI übermittelt werden. Infolgedessen entfällt der Konflikt mit Art. 8 DSGVO für die Eingabeseite, sofern die Schule ihrerseits die Voraussetzungen der Auftragsverarbeitung gemäß Art. 28 DSGVO erfüllt.

Pflichten der Schulseite

Eine Drittanbieter-Plattform entlastet die Schule nicht — sie verlagert die Verantwortung lediglich an eine andere Stelle.

Wer KI hinter der Schul-API einbindet, bleibt Verantwortlicher im Sinne der DSGVO und trägt die Pflicht zur Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO, sofern ein hohes Risiko für die Rechte der Betroffenen besteht. Bei der Verarbeitung von Daten Minderjähriger ist dieses hohe Risiko regelmäßig zu bejahen. Drei Pflichten stehen im Zentrum:

1. Vertrag zur Auftragsverarbeitung mit dem Plattformanbieter gemäß Art. 28 DSGVO; ohne diesen Vertrag ist die Einbindung rechtswidrig.

2. Transparenz gegenüber Eltern und Schülerinnen und Schülern — die betroffenen Familien müssen wissen, welches System eingesetzt wird, welche Daten verarbeitet werden und wie lange.

3. Technisch-organisatorische Maßnahmen zur Minimierung der Datenverarbeitung, einschließlich deaktivierter Trainingsdatenfreigabe und möglichst kurzer Speicherfristen.

Hingegen ist der bloße Verweis auf eine Schul-Plattform ohne dokumentierten Vertrag und ohne dokumentierte Folgenabschätzung nicht ausreichend. Schulaufsicht und Datenschutzbehörden prüfen zunehmend, ob die formalen Voraussetzungen auch erfüllt sind.

Dialektik: Teilhabe versus informationelle Selbstbestimmung

Die kritische Abwägung verlangt, beide Seiten scharf zu benennen.

Das Argument für den Einsatz wiegt schwer. Kinder, die keinen Zugang zu KI-Werkzeugen erhalten, werden in einer Welt voller KI-Systeme allein gelassen; Medienkompetenz lässt sich nicht durch Verbote erwerben, sondern durch reflektierten Umgang. Wer Kindern generative KI vorenthält, erzeugt ein Ungleichgewicht, das privilegierte Familien außerhalb der Schule ausgleichen. Zudem können KI-gestützte Lernmaterialien für Kinder mit Lernschwierigkeiten oder Sprachbarrieren einen erheblichen Mehrwert bieten.

Das Argument gegen den Einsatz wiegt schwerer. Die informationelle Selbstbestimmung Minderjähriger ist kein Komfort, sondern ein Grundrecht. Dieses Grundrecht wird nicht dadurch aufgehoben, dass ein Lernvorteil winkt. Die Blackbox der Sprachmodelle verträgt sich nicht mit dem Erziehungsauftrag der Schule, der auf nachvollziehbare, kritisierbare Wissensvermittlung zielt. Zudem entstehen über die Plattform-Abhängigkeit neue Haftungsfragen, die weder Schulrecht noch DSGVO abschließend beantworten. Obgleich die Vorteile plausibel erscheinen, neutralisieren sie die strukturellen Risiken nicht.

Die Position, die sich aus dieser Abwägung ergibt, ist nicht das Verbot, sondern die Konditionalisierung. KI-Einsatz ist zulässig, wenn er drei Bedingungen erfüllt: erstens die Anonymisierung der Eingaben, zweitens die informationelle Selbstbestimmung der betroffenen Kinder, drittens die schulinterne Begleitung durch eine pädagogisch verantwortliche Person. Wer eine dieser Bedingungen verletzt, handelt rechtswidrig — unabhängig davon, wie groß der pädagogische Nutzen wäre.

Systemischer Befund: Defizite und Forderungen

Die gegenwärtige Lage ist weder für Schulleitungen noch für Anbieter noch für Aufsichtsbehörden befriedigend. Drei strukturelle Defizite kumulieren.

Erstens: Die Altersschwellen sind nicht harmonisiert. 13 Jahre bei OpenAI, 16 Jahre in der DSGVO — eine europäische Regelung, die den Einsatz generativer KI in Bildungseinrichtungen abschließend adressiert, liegt nicht vor. Die KI-Verordnung der Europäischen Union schreibt zwar Transparenz- und Risikomanagement-Pflichten für Anbieter vor, überlässt die pädagogische Hoheit jedoch den Mitgliedstaaten.

Zweitens: Die Schul-Plattformen, die derzeit den praktikabelsten Weg bieten, sind weder einheitlich zertifiziert noch flächendeckend verfügbar. Schulen in strukturschwachen Regionen haben oft nicht die Mittel, solche Anbindungen zu beschaffen oder datenschutzrechtlich zu prüfen. Infolgedessen entsteht ein Flickwerk, in dem die Datenpraxis vom Engagement der Einzelschule abhängt.

Drittens: Die Verantwortungskette ist unklar. Die Lehrkraft trägt die pädagogische, die Schulleitung die organisatorische, der Schulträger die datenschutzrechtliche Verantwortung. Obgleich die DSGVO klare Pflichten formuliert, fehlt es an einer konkreten Zuständigkeitsregelung, die mit der Dynamik der KI-Entwicklung Schritt hält.

Position

Die Nutzung von ChatGPT durch Kinder unter 13 Jahren ist nicht pauschal verboten, aber an enge Voraussetzungen gebunden. Wer ein eigenes Konto durch die Kinder anlegen lässt, handelt rechtswidrig. Wer KI-gestützte Lernangebote in der Schule verfügbar machen will, muss den Weg über Drittanbieter-Plattformen mit anonymer API-Anbindung wählen, eine Datenschutz-Folgenabschätzung durchführen und die informationelle Selbstbestimmung der betroffenen Kinder wahren. Die Lehrkraft darf ChatGPT im Plenum demonstrieren, sofern kein Schülerdatum eingegeben wird.

Die normative Lücke zwischen US-amerikanischer Vertragspraxis und europäischem Grundrechtsschutz ist kein Argument gegen den KI-Einsatz, sondern ein Argument für seine Regulierung. Die Schule darf nicht der Ort sein, an dem sich globale Datenpraxis und lokale Schutzstandards ungeordnet begegnen. Aufgabe der Bildungspolitik ist es, Leitplanken zu setzen, die den Einsatz ermöglichen, ohne die informationelle Selbstbestimmung preiszugeben. Bis dahin gilt: Im Zweifel gegen die Anwendung, niemals gegen das Kind.