KI-Datenschutz an Schulen: Vorbereitung gegen Rechtsfehler

Die meisten Datenschutzfehler bei schulischer KI-Nutzung entstehen nicht erst dann, wenn ein Lehrkraftkonto gehackt wird oder eine Beschwerde eingeht. Sie entstehen früher: in dem Moment, in dem ein Tool als „didaktisch hilfreich" gilt und deshalb vorschnell freigeschaltet wird. Ein Klassenprompt mit Namen, ein hochgeladenes Fördergutachten, eine dauerhafte Chat-Historie, ein vermeintlich harmloser KI-Detektor für Hausarbeiten – und aus einer Unterrichtsidee wird eine Verarbeitung personenbezogener Daten mit erheblicher Grundrechtsrelevanz.

Die Anforderungen an KI-Datenschutz an Schulen sind deshalb kein nachgelagerter Verwaltungsakt. Sie entscheiden darüber, ob eine Schule informationelle Selbstbestimmung schützt oder Lernende zu unfreiwilligen Datenspendern eines technischen Systems macht, dessen Datenwege, Trainingslogiken und Subunternehmer oft gerade nicht auf den ersten Blick sichtbar sind. Die DSGVO gilt bereits. Die KI-Verordnung der Europäischen Union verschärft die Lage, insbesondere dort, wo KI Leistungen bewertet, Bildungswege beeinflusst oder Prüfungsverhalten überwacht.

Pädagogischer Nutzen legitimiert keine Datenverarbeitung. Er begründet allenfalls die Pflicht, sie besonders sorgfältig zu rechtfertigen.

Zwei Rechtsregime, eine Verantwortung

Wer rechtssichere KI-Nutzung im Unterricht organisieren will, muss zunächst einen verbreiteten Denkfehler abräumen: Die EU-KI-Verordnung ersetzt die DSGVO nicht. Beide Regelwerke greifen nebeneinander, aber mit unterschiedlichen Fragen.

Die DSGVO fragt nach den personenbezogenen Daten: Welche Daten werden verarbeitet? Zu welchem Zweck? Auf welcher Rechtsgrundlage? Wie lange? Wer erhält Zugriff? Welche Risiken entstehen für die Betroffenen?

Die KI-Verordnung richtet den Blick hingegen auf das System und seine Folgen: Welches Risiko birgt der Einsatz? Ist die Anwendung verboten, hochriskant oder lediglich an allgemeine Transparenz- und Sorgfaltspflichten gebunden? Verfügen die Personen, die das System einsetzen, über ausreichende KI-Kompetenz?

Für Schulen ergibt sich daraus keine doppelte Bürokratie, sondern eine doppelte Begründungspflicht. Ein Werkzeug kann datenschutzrechtlich sauber konfiguriert sein und dennoch als KI-System in einem problematischen Bildungskontext eingesetzt werden. Umgekehrt ist eine didaktisch plausible Anwendung nicht deshalb datenschutzkonform, weil ein Anbieter einen europäischen Serverstandort verspricht.

Die entscheidenden Kategorien lassen sich so unterscheiden:

Die KI-Verordnung verbietet den Einsatz von Emotionserkennung in Bildungseinrichtungen grundsätzlich. Ausnahmen bestehen nur für medizinische oder sicherheitsbezogene Zwecke. Damit ist eine ganze Klasse von Angeboten, die Aufmerksamkeit, Stress, Motivation oder vermeintliche Stimmungslagen aus Kamera-, Sprach- oder Interaktionsdaten ableiten will, nicht bloß ethisch fragwürdig, sondern rechtlich im Kern disqualifiziert.

Ab dem 2. August 2026 sind zudem mehrere schulische Anwendungen als Hochrisiko-Konstellationen einzuordnen: KI zur Zulassung und zum Zugang zu Bildung, zur Bewertung von Lernergebnissen, zur Einstufung des Bildungsniveaus, zur wesentlichen Beeinflussung eines Bildungswegs sowie zur Überwachung oder Erkennung verbotenen Verhaltens bei Prüfungen. Das bedeutet nicht, dass jede schulisch verwendete KI automatisch ein Hochrisiko-System ist. Es bedeutet jedoch, dass Schulen bei diesen Zwecken nicht mit der Leichtfertigkeit eines App-Tests operieren dürfen.

Der erste Filter: Zweck, Daten, Entscheidungsmacht

Bevor ein Tool beschafft, empfohlen oder in eine Lernplattform integriert wird, braucht die Schule eine schriftliche Einsatzbeschreibung. Nicht als Hochglanzpapier für die Schulakte, sondern als belastbare Grenze gegen Funktionsausweitung. Ein System, das zunächst nur Übungsaufgaben erklärt, kann später Nutzungsdaten auswerten, Leistungsprognosen erzeugen oder Lehrkräfte mit Risikoscores versorgen. Genau an dieser Stelle beginnt die Profilbildung.

Die Vorprüfung sollte für jeden konkreten Einsatzfall mindestens fünf Fragen beantworten:

1. Welcher pädagogische Zweck ist präzise benannt?

„Individualisierung" genügt nicht. Geht es um sprachliches Feedback zu anonymisierten Textauszügen, um adaptive Übungsaufgaben oder um die automatisierte Sortierung von Förderbedarfen? Je unbestimmter der Zweck, desto leichter entgrenzt sich die Verarbeitung.

2. Welche Daten fließen tatsächlich in das System?

Nicht nur Namen und E-Mail-Adressen zählen. Auch Freitexte, Fehlermuster, Leistungsstände, Nutzungszeiten, Gesprächsverläufe, hochgeladene Arbeitsblätter und Metadaten können personenbezogen oder reidentifizierbar sein. Pseudonymisierung ist eine Schutzmaßnahme, keine magische Auslöschung des Personenbezugs.

3. Welche Ausgabe erzeugt das System – und mit welcher Wirkung?

Eine KI, die Formulierungsvorschläge liefert, unterscheidet sich normativ von einer KI, die Leistungsniveaus berechnet oder Prüfungsverdacht markiert. Entscheidend ist nicht allein, was der Anbieter auf seiner Startseite verspricht, sondern welche tatsächliche Entscheidungswirkung die Ausgabe im Schulalltag entfaltet.

4. Wer kann auf Eingaben, Protokolle und Auswertungen zugreifen?

Die Antwort muss die Schule, den Anbieter, mögliche Unterauftragnehmer, Administrationskonten und technische Supportwege umfassen. Ein Vertrag mit einem Hauptanbieter sagt wenig, wenn die Verarbeitungskette dahinter im Ungefähren bleibt.

5. Welche weniger eingriffsintensive Alternative wurde geprüft?

Wenn dieselbe Lernaufgabe ohne dauerhaftes Nutzerprofil, ohne Klarnamen oder mit lokaler Verarbeitung erreichbar ist, wird die Rechtfertigung für die datenreichere Variante erheblich schwieriger.

Diese Vorarbeit ist keine pädagogische Bremse. Sie trennt verantwortliche Digitalisierung von der bloßen Verlagerung schulischer Verantwortung in eine Blackbox.

Die Datenschutz-Folgenabschätzung: Kein Formular, sondern ein Belastungstest

Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO wird in Schulen zu oft als Spezialinstrument behandelt, das nur bei spektakulären Überwachungstechnologien greift. Das ist eine riskante Verkürzung. Wenn eine KI-Anwendung voraussichtlich ein hohes Risiko für Rechte und Freiheiten von Schülerinnen und Schülern verursacht, muss die Folgenabschätzung vor Beginn der Verarbeitung erfolgen. Die Datenschutzkonferenz weist ausdrücklich darauf hin, dass dies bei KI-Anwendungen vielfach der Fall sein kann.

Besonders naheliegend ist eine Datenschutz-Folgenabschätzung, wenn mehrere Risikofaktoren zusammenkommen:

• Die Anwendung verarbeitet Daten von Minderjährigen, deren Schutzbedürftigkeit über bloße Altersangaben hinausgeht.
• Das System erstellt Profile aus Lernverhalten, Bearbeitungsdauer, Fehlerquoten oder Interaktionen.
• KI-Ausgaben beeinflussen Förderentscheidungen, Leistungsbewertungen, Übergänge oder Prüfungssituationen.
• Es werden besondere Kategorien personenbezogener Daten verarbeitet oder aus anderen Daten erschlossen, etwa gesundheitliche Hinweise oder sonderpädagogische Informationen.
• Die Funktionsweise bleibt für Schule, Lernende und Eltern weitgehend intransparent.
• Die Datenverarbeitung erfolgt dauerhaft, systematisch oder über eine große Zahl von Betroffenen.

Eine belastbare Datenschutz-Folgenabschätzung arbeitet sich nicht an abstrakten Floskeln ab, sondern beschreibt das konkrete System. Ihr Kern besteht aus vier Teilen:

1. Verarbeitungsvorgang kartieren: Welche Daten gelangen über welche Schnittstellen in das KI-System? Werden sie gespeichert, weitergegeben, für Qualitätssicherung genutzt oder nach einer Sitzung gelöscht?

2. Notwendigkeit und Verhältnismäßigkeit begründen: Weshalb braucht die Schule genau diese Daten? Weshalb reicht keine datensparsamere Konfiguration? Weshalb ist die Funktion pädagogisch erforderlich und nicht bloß bequem?

3. Grundrechtsrisiken bewerten: Denkbar sind Diskriminierung durch Bias, falsche Zuschreibungen, Stigmatisierung, unzulässige Verhaltensüberwachung, Verlust von Vertraulichkeit oder ein faktischer Druck zur Nutzung.

4. Abhilfemaßnahmen verbindlich festlegen: Dazu zählen Rollen- und Berechtigungskonzepte, kurze Löschfristen, Pseudonymisierung, klare Prompt-Regeln, menschliche Kontrolle, Beschwerdewege und regelmäßige Wirksamkeitsprüfungen.

Die Folgenabschätzung darf nicht erst entstehen, wenn die Schule das Tool längst eingeführt hat. Dann ist sie kein Instrument der Prävention mehr, sondern eine nachträgliche Verteidigungsschrift. Gerade bei KI-Systemen ist dieser Unterschied entscheidend, weil voreingestellte Speicherpraktiken und Datenflüsse nachträglich oft nur unvollständig korrigiert werden können.

Eine Datenschutz-Folgenabschätzung ist dann gelungen, wenn sie auch den Verzicht auf ein Tool als legitimes Ergebnis zulässt.

Cloud-KI und Auftragsverarbeitung: Der Vertrag ist notwendig, aber nicht ausreichend

Nutzt eine Schule eine externe KI-Cloudlösung für eigene schulische Zwecke, liegt häufig eine Auftragsverarbeitung vor. Dann ist regelmäßig ein Vertrag nach Art. 28 Abs. 3 DSGVO erforderlich. Der sogenannte AV-Vertrag schafft allerdings keine Rechtsgrundlage. Er verteilt Pflichten zwischen Schule und Anbieter; er beantwortet nicht die vorgelagerte Frage, ob die Schule die Daten überhaupt in dieser Form verarbeiten darf.

Gerade im Bildungsbereich wird diese Unterscheidung gern verwischt. Ein sauber unterzeichneter Vertrag beruhigt Beschaffungsstellen, während Lehrkräfte weiterhin Klassenlisten, Förderdiagnosen oder nicht anonymisierte Schülertexte in ein Modell eingeben. Das ist keine Rechtssicherheit, sondern administrativ geordnete Rechtsunsicherheit.

Bei einem AV-Vertrag für KI im Bildungssektor sollte die Schule nicht nur Standardklauseln abhaken, sondern die folgenden Punkte konkret nachvollziehen können:

• Weisungsgebundenheit: Der Anbieter verarbeitet Daten nur nach dokumentierten Weisungen der Schule und nicht für eigene, davon abweichende Zwecke.
• Training und Produktverbesserung: Eingaben, Ausgaben und Nutzungsdaten dürfen nicht stillschweigend zum Training allgemeiner Modelle oder zur Produktoptimierung verwendet werden. Eine entsprechende Deaktivierung muss technisch tatsächlich wirksam sein.
• Unterauftragsverarbeiter: Die Schule benötigt Transparenz darüber, welche weiteren Dienstleister eingebunden sind und wie Änderungen mitgeteilt werden.
• Löschung und Rückgabe: Nach Ende der Nutzung müssen Daten nachvollziehbar gelöscht oder an die Schule zurückgegeben werden. Vage Formeln über „branchenübliche Aufbewahrung" sind für schulische Daten keine hinreichende Antwort.
• Technische Schutzmaßnahmen: Verschlüsselung, Zugriffskontrollen, Protokollierung und Mandantentrennung müssen nicht nur behauptet, sondern in der Risikobewertung plausibel eingeordnet werden.
• Kontroll- und Informationsrechte: Die Schule muss in der Lage sein, Nachweise einzufordern und Datenschutzverletzungen rechtzeitig zu erfahren.

Die Rechtsgrundlage selbst hängt bei öffentlichen Schulen vom jeweiligen Landesrecht, dem schulischen Auftrag und dem konkreten Eingriff ab. Eine pauschale Einwilligungserklärung für KI-Tools löst dieses Problem nicht. Einwilligung ist nur tragfähig, wenn sie informiert, freiwillig, spezifisch und jederzeit widerrufbar ist. Im schulischen Abhängigkeitsverhältnis ist Freiwilligkeit jedoch kein Automatismus. Wenn Schülerinnen und Schüler bei Nichtnutzung faktisch vom Unterricht ausgeschlossen werden oder schlechtere Lernchancen erhalten, wird eine angeblich freiwillige Einwilligung schnell normativ und rechtlich brüchig.

Leistungsbewertung und KI-Detektoren: Die rote Zone der Schule

Sobald KI nicht mehr bloß unterstützt, sondern bewertet, sortiert, verdächtigt oder prognostiziert, verschiebt sich die Haftungsfrage. Dann betrifft die Anwendung nicht nur Datenschutz, sondern Bildungsgerechtigkeit, Verfahrensfairness und die pädagogische Legitimität schulischer Entscheidungen.

Besonders problematisch sind Systeme, die aus Texten oder Bearbeitungsverhalten ableiten wollen, ob eine Leistung „echt" sei. KI-Detektoren werden häufig als neutrale Kontrollinstanz vermarktet. Das ist bereits begrifflich irreführend. Sie produzieren Wahrscheinlichkeitsurteile auf Basis statistischer Muster; sie lesen keine Urheberschaft aus einem Text heraus. Wer aus einem solchen Ergebnis einen Täuschungsvorwurf ableitet, verwechselt technische Indikation mit Beweis.

Die Schule sollte daher eine harte Trennlinie ziehen:

Eine menschliche Abzeichnung genügt nicht, wenn sie bloß eine maschinelle Empfehlung durchwinkt. Menschliche Aufsicht verlangt tatsächlichen Entscheidungsspielraum, fachliche Kompetenz und die Möglichkeit, dem Systemergebnis begründet zu widersprechen. Die Lehrkraft bleibt verantwortlich; sie wird nicht dadurch entlastet, dass eine Software eine Zahl, eine Ampel oder einen Verdachtswert ausgegeben hat.

Die KI-Verordnung behandelt Anwendungen zur Leistungsbewertung, Einstufung und wesentlichen Beeinflussung von Bildungswegen nicht ohne Grund als Hochrisiko-Bereich. Schule ist kein neutraler Datenraum. Ihre Urteile strukturieren Chancen, Selbstbilder und Übergänge. Ein algorithmischer Bias trifft hier nicht irgendeine Conversion Rate, sondern die Bildungsbiografie eines Kindes.

Datenminimierung entscheidet sich in den Voreinstellungen

Datenschutz wird im Schulalltag selten durch Grundsatzpapiere verletzt. Er wird durch Default-Einstellungen verletzt: aktivierte Trainingsfreigaben, endlose Chat-Historien, zentrale Administrationsprotokolle, Klarnamen als Standard und unklare Löschroutinen. Wer die datenschutzfreundliche Konfiguration dem Anbieter überlässt, hat seine Schutzpflicht faktisch delegiert.

Die Datenschutzkonferenz nennt für KI-Konten zwei besonders klare Leitlinien: Eingaben sollen nicht zu Trainingszwecken verarbeitet werden, und Eingabehistorien sollen auf das für den jeweiligen Lernprozess notwendige Maß begrenzt bleiben. Diese Vorgaben sind kein technisches Detail, sondern Ausgangspunkt jeder Konfiguration. Welche Voreinstellungen eine Schule konkret verlangt, hängt vom Verarbeitungsszenario ab: Eine kurze Übungssitzung mit einem einzelnen Text erfordert andere Voreinstellungen als eine mehrwöchige Lernbegleitung, die Profile aufbaut. Die folgenden Punkte gehören aber zum Mindeststandard:

• Trainingsfreigaben deaktivieren: Eingaben und Ausgaben dürfen nicht ohne ausdrückliche, dokumentierte Zustimmung in das Training allgemeiner Modelle einfließen. Standard ist eine Opt-in-Lösung, nicht eine Opt-out-Funktion, die irgendwo in einem Anbieter-Dashboard versteckt ist.
• Speicherfristen verkürzen: Sessions, die für den Lernprozess nicht dauerhaft benötigt werden, sollten automatisch nach Stunden oder wenigen Tagen gelöscht werden. Dauerhafte Chat-Historien sind nur dort zu rechtfertigen, wo Lernende sie ausdrücklich wünschen und die Lehrkraft sie pädagogisch nutzt.
• Klarnamen durch Pseudonyme ersetzen: Wo immer möglich, sollte die Schule mit Funktionszugängen oder Pseudonymen arbeiten. Klarnamen sind nicht per se verboten, aber als Standardeinstellung sind sie nur selten tatsächlich erforderlich.
• Zugriffe einschränken: Nicht jede Lehrkraft, nicht jede Administration und nicht jeder Support-Mitarbeiter des Anbieters muss alle Daten einsehen können. Rollenkonzepte sind kein IT-Luxus, sondern Ausdruck der Pflicht zur Datenminimierung.
• Löschpfade nachvollziehbar machen: Was wird wann von wem gelöscht? Eine Löschung, die nur auf Anfrage und erst nach Wochen erfolgt, ist keine wirksame Löschung im Sinne der DSGVO.

Eine sinnvolle Konfiguration verlangt überdies, dass die Schule die technischen Einstellungen nicht nur einmal einrichtet, sondern in regelmäßigen Abständen auf ihre Wirksamkeit überprüft. Anbieter ändern Standards, schalten Funktionen scharf oder ergänzen Subunternehmer – wer hier nicht nachhält, läuft Gefahr, eine Konfiguration zu pflegen, die in der Praxis längst nicht mehr gilt.

Informationspflichten gegenüber Eltern und Schülerinnen und Schülern: differenziert nach Land, Alter und Szenario

Die Frage, in welcher Form und in welchem Umfang Eltern sowie Schülerinnen und Schüler über KI-Verarbeitungen informiert werden müssen, lässt sich nicht in einem einzigen Satz beantworten. Sie hängt vom jeweiligen Bundesland, vom Alter der Betroffenen und vom konkreten Verarbeitungsszenario ab. Eine allgemeine Aussage wie „Eltern müssen vorab über jede Auswertung informiert werden" wird der rechtlichen Differenzierung nicht gerecht.

Für öffentliche Schulen bestimmen die Schulgesetze, Schuldatenschutzgesetze und Erlasse der Länder, welche Informationspflichten greifen. In vielen Ländern ist die Datenverarbeitung im schulischen Auftrag durch Rechtsvorschrift legitimiert; eine zusätzliche Einwilligung der Eltern entfällt dann oder ist nur für besondere Verarbeitungen erforderlich. In anderen Ländern oder bei freiwilligen Zusatzangeboten außerhalb des Pflichtunterrichts können Einwilligungen notwendig werden, die dann aber bestimmte Voraussetzungen erfüllen müssen: informiert, freiwillig, spezifisch und jederzeit widerrufbar.

Die DSGVO selbst differenziert ebenfalls: Art. 13 und Art. 14 greifen, wenn Daten direkt bei den Betroffenen oder bei Dritten erhoben werden, lassen aber Ausnahmen zu, etwa wenn die Betroffenen bereits informiert sind oder die Information einen unverhältnismäßigen Aufwand erfordern würde. Bei minderjährigen Schülerinnen und Schülern verlangt Art. 8 DSGVO für eine wirksame Einwilligung in vielen Fällen die Zustimmung der Eltern; gleichzeitig ist die informationelle Selbstbestimmung der Jugendlichen zu beachten, deren Schutzniveau nicht erst mit dem 18. Lebensjahr beginnt.

Praktisch bedeutet das: Eine Schule in Schleswig-Holstein, die ein KI-Tool im Regelunterricht nach den dort geltenden Erlassen einsetzt, hat andere Informations- und Einwilligungspflichten zu beachten als eine Schule in Bayern, die ein freiwilliges Förderangebot außerhalb der Stundentafel organisiert. Auch innerhalb eines Landes machen Schülerinnen und Schüler der Klassenstufe 5 mit einem kurzen Übungstext eine andere Datenschutz-Erfahrung als Oberstufenkurse, die über Wochen mit einem lernbegleitenden System arbeiten. Die pauschale Verteilung gleichlautender Einwilligungserklärungen für alle denkbaren KI-Tools ist deshalb nicht sorgfältig, sondern bequem – und sie schützt weder die Schule noch die Betroffenen.

Transparenz ist keine Frage des Formulars, sondern der Differenzierung: Wer informiert, muss wissen, in welchem rechtlichen Rahmen, gegenüber wem und zu welchem Zweck.

Schulen, die hier sorgfältig arbeiten, dokumentieren je Einsatzszenario, welche Informationen an welche Adressatengruppe gehen, welche Rechtsgrundlage greift und welche Beteiligungsrechte bestehen. Aus dieser Dokumentation ergibt sich dann auch, in welchen Fällen eine Information ausreicht und in welchen Fällen eine Einwilligung erforderlich wird.

Vorbereitung ist mehr als ein Kontrollkästchen

Die Anforderungen an KI-Datenschutz an Schulen lassen sich nicht in einem einmaligen Projekt abarbeiten. Sie verlangen eine dauerhafte Praxis: regelmäßige Überprüfung der eingesetzten Tools, eine ehrliche Auseinandersetzung mit der eigenen Datenkultur, eine klare Sprache gegenüber Eltern und Lernenden und die Bereitschaft, ein Tool auch wieder abzuschalten, wenn es sich nicht rechtfertigen lässt.

Die Schulen, die in den kommenden Jahren rechtssicher mit KI umgehen wollen, werden weniger Zeit mit der Frage verbringen, welches Modell die schönsten Übungsaufgaben generiert, sondern mehr Zeit mit der Frage, welche Datenflüsse sie tatsächlich verantworten können. Das ist kein Rückschritt in die analoge Schule. Es ist die Voraussetzung dafür, dass digitale Schule überhaupt Vertrauen verdient.