Warum DSGVO-Konformität bei Lernplattformen kritisch ist
Wenn eine Schule oder Hochschule eine Lernplattform einführt, verarbeitet sie automatisch personenbezogene Daten von Schüler:innen oder Studierenden — Name, E-Mail, Lernfortschritt, manchmal Klausur-Ergebnisse. Das ist kein theoretisches Risiko: jede Datenverarbeitung ohne saubere rechtliche Grundlage kann mit Bußgeldern bis 4 % des Jahresumsatzes oder 20 Millionen Euro sanktioniert werden (Art. 83 DSGVO).
Bei Schulen kommt erschwerend hinzu: Lernende sind oft minderjährig, was strengere Anforderungen auslöst. Eltern haben einen rechtlichen Anspruch auf Information darüber, welche Daten ihrer Kinder wo verarbeitet werden — und können bei Fehlverhalten Beschwerde bei der Datenschutz-Aufsichtsbehörde einreichen.
Eine Lernplattform mit dokumentiertem Datenschutz entlastet Schulträger und Hochschulen, weil die rechtliche Last auf einer dokumentierten, transparenten Basis steht. Eine nicht-konforme Plattform schiebt das Risiko an die Schule zurück — was viele IT-Verantwortliche nachvollziehbar nicht riskieren wollen.
Was bedeutet DSGVO-konform konkret?
„DSGVO-konform" ist kein Zertifikat das man bekommt, sondern eine Sammlung praktischer Maßnahmen. Eine DSGVO-konforme Lernplattform erfüllt typischerweise:
1. Auftragsverarbeitungs-Vertrag (AV) gemäß Art. 28 DSGVO
Die Schule (Verantwortlicher) und die Lernplattform (Auftragsverarbeiter) schließen einen schriftlichen Vertrag, der genau regelt was mit den Daten passiert, wer Zugriff hat, wie lange gespeichert wird, wann gelöscht wird. Ohne AV-Vertrag ist die Datenweitergabe an die Plattform rechtswidrig.
2. EU-Hosting (oder vergleichbare Garantien)
Idealerweise stehen die Server in einem EU-Land (Deutschland, Niederlande, Irland). Wenn US-Anbieter genutzt werden müssen, sind Standardvertragsklauseln (SCC) gemäß EU-Beschluss 2021/914 nötig — plus zusätzliche technische Schutzmaßnahmen (Verschlüsselung). Das ist der Schrems-II-Standard seit 2020.
3. Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO)
Die Plattform darf nur die Daten erheben, die für den Lernzweck wirklich gebraucht werden. Keine Tracking-Cookies für Werbung, keine Datensammlung „für später vielleicht nützlich".
4. Betroffenenrechte (Art. 15-21 DSGVO)
Lernende und Erziehungsberechtigte müssen ihre Daten einsehen (Auskunft), korrigieren, löschen und exportieren können. Die Plattform muss diese Anfragen innerhalb 30 Tagen bearbeiten.
5. Sicherheits-Maßnahmen (Art. 32 DSGVO)
Verschlüsselte Übertragung (HTTPS), verschlüsselte Speicherung sensibler Daten, regelmäßige Sicherheitsprüfungen, dokumentierte Zugriffskontrolle.
Checkliste: Was deine Schule oder Hochschule prüfen sollte
Bevor eine Schule eine Lernplattform einführt, sollten diese Punkte mit dem Anbieter geklärt sein:
| Anforderung | Was prüfen? |
|---|---|
| AV-Vertrag | Liegt ein vorgefertigter AV-Vertrag-Text vor? Auf Anfrage erhältlich? |
| Server-Standort | Wo physisch stehen die Server? (Deutschland, EU, USA?) |
| Auftragsverarbeiter-Liste | Welche Drittanbieter werden eingesetzt? (Auth, Zahlung, KI, CDN, Analytics) |
| Cookie-Setup | Welche Cookies werden gesetzt? Werbung-Cookies? |
| Logging & Speicherdauer | Wie lange werden welche Daten gespeichert? Wann automatisch gelöscht? |
| Datenexport | Können Lernende ihre Daten als JSON oder CSV exportieren? |
| Account-Löschung | Wie lange dauert es, einen Account und alle Daten zu löschen? |
| Minderjährige | Hat der Anbieter spezielle Regeln für Lernende unter 16 Jahren? |
| Sicherheits-Maßnahmen | HTTPS-Pflicht, Passwort-Policy, 2FA optional, Bot-Schutz? |
| DSFA | Hat der Anbieter eine Datenschutz-Folgenabschätzung-Vorlage? |
Wenn der Anbieter bei mehreren Punkten ausweicht oder vage Antworten gibt, ist das ein Warnsignal. Seriöse Anbieter haben fertige AV-Vertrags-Texte und transparente Auftragsverarbeiter-Listen.
Wie Klugfunke die DSGVO-Anforderungen angeht
Konkrete Maßnahmen die in der Klugfunke umgesetzt sind:
Anwendungshosting in Deutschland (Frankfurt am Main)
Anwendung, Datenbank (MongoDB) und Anmeldedienst betreiben wir selbst auf einem bei Hostinger gemieteten Server in Frankfurt am Main (Deutschland). Datensicherungen werden verschlüsselt und nach 30 Tagen gelöscht. Externe Dienstleister setzen wir nur für einzelne Funktionen ein (siehe Datenschutzerklärung).
AV-Vertrag standardisiert verfügbar
Schulen, Hochschulen und Unternehmen erhalten auf Anfrage einen vorgefertigten AV-Vertrag gemäß Art. 28 DSGVO mit allen üblichen Klauseln. Der Vertrag wird per Mail an ja@braingaininformatik.com angefragt.
Auftragsverarbeiter offen dokumentiert
In der Datenschutzerklärung sind die eingesetzten Dienstleister aufgeführt. Auftragsverarbeiter mit Vertrag: Hostinger (Server-Hosting), Hetzner Online (E-Mail-Versand) und Google (Gemini) für die KI-Funktionen, die nur mit Einwilligung genutzt werden. Stripe (Zahlungen) ist eigener Verantwortlicher. Weitere KI-Anbieter (z. B. Anthropic, OpenAI) sind technisch gesperrt, solange kein Vertrag zur Auftragsverarbeitung besteht.
Werbefrei mit minimalen Cookies
Keine Werbe-Tracker, keine Re-Targeting-Cookies, keine Google Analytics. Nur technisch notwendige Cookies (Login-Session, CSRF-Token, Theme-Auswahl) — alle in der Datenschutzerklärung dokumentiert.
Datenexport jederzeit (Art. 20 DSGVO)
Lernende können ihre Daten (Karteikarten, Notizen, Lernfortschritt) jederzeit als JSON-Datei aus dem Profil exportieren und ihr Konto in den Einstellungen löschen. Die automatische Löschung aller Daten mit Schonfrist innerhalb von 30 Tagen ist geplant und befindet sich in Einführung.
Verschlüsselte Übertragung
HTTPS-Pflicht für alle Verbindungen (HSTS-Header); Passwörter speichert unser eigener Anmeldedienst nur als Argon2id-Hash mit zusätzlichem Server-Schlüssel; Mehrfaktor-Anmeldung (Authenticator-App oder Passkey) ist möglich und für Verwaltungskonten Pflicht.
Lernende unter 16 Jahren
Die AGB sehen vor: Lernende unter 16 Jahren benötigen Einwilligung der Erziehungsberechtigten. Bei Schul-Lizenzen wird das über den Schulvertrag konsolidiert geregelt.
Klugfunke vs. US-Konkurrenz — DSGVO-relevante Unterschiede
Die meisten Lernplattformen am Markt sind US-amerikanisch. Das ist nicht automatisch ein Problem — aber DSGVO-mäßig relevante Unterschiede gibt es:
| Aspekt | Klugfunke | US-Anbieter (typisch) |
|---|---|---|
| Hosting-Standort | Anwendung in Deutschland, Datenbank in der EU-Region Frankfurt | USA (oft mit EU-Endpoint) |
| AV-Vertrag | Auf Anfrage standardisiert | Oft nur in englischer Sprache |
| Sub-Auftragsverarbeiter | Hostinger (Server), Hetzner (E-Mail), Google (Gemini, nur mit Einwilligung); Datenbank und Anmeldung selbst betrieben; Stripe als eigener Verantwortlicher | Oft 20+ undokumentierte Drittanbieter |
| Werbefinanziert | Nein, werbefrei | Häufig im Free-Tier mit Werbung & Tracking |
| Modelltraining auf Nutzerdaten | Kein Training durch Klugfunke; Gemini-API laut Google-Bedingungen ohne Training mit API-Eingaben | Häufig in den ToS erlaubt |
| Datenexport | Standardmäßig (JSON) | Variiert stark |
| Sprache des Datenschutzes | Deutsch | Oft nur Englisch oder Maschinenübersetzung |
Das heißt nicht, dass US-Anbieter generell schlechter sind — viele haben in den letzten Jahren ihre DSGVO-Praxis stark verbessert. Aber für Schulen und Hochschulen, die einen einfachen, dokumentierten Compliance-Pfad wollen, ist eine deutsche Lösung mit einem deutschsprachigen Anbieter unkomplizierter.
Der AV-Vertrag — was drin steht
Der Auftragsverarbeitungs-Vertrag (AV-Vertrag) gemäß Art. 28 DSGVO ist der zentrale rechtliche Anker. Folgende Punkte sind typisch enthalten:
- Gegenstand der Verarbeitung — was wird verarbeitet (Lerndaten, Klausur-Ergebnisse etc.)
- Art und Zweck der Verarbeitung — Bereitstellung der Lernplattform
- Datenkategorien — welche personenbezogenen Daten konkret
- Personenkategorien — Schüler:innen, Lehrkräfte
- Pflichten des Auftragsverarbeiters — Vertraulichkeit, Sicherheit, Mitwirkung bei Betroffenenanfragen
- Sub-Auftragsverarbeiter-Regelung — wer kann mit welchen Bedingungen weitere Drittanbieter einbinden
- Pflicht zur Mitteilung von Datenpannen — innerhalb 24 Stunden
- Rückgabe und Löschung der Daten bei Vertragsende
- Auditrecht der Schule — Prüfung der Maßnahmen
Bei Klugfunke liegt der AV-Vertrag standardisiert vor und wird bei Vertragsabschluss mit der Schul- oder Hochschul-Lizenz mit-unterschrieben. Bei Bedarf können einzelne Klauseln verhandelt werden.
Häufige Fragen.
Schnelle Antworten auf die wichtigsten Folgefragen.
Welche AV-Vertrag-Vorlage nutzt Klugfunke?
Klugfunke nutzt einen standardisierten AV-Vertrag gemäß Art. 28 DSGVO, basierend auf den GDD-Vorlagen (Gesellschaft für Datenschutz und Datensicherheit). Auf Anfrage erhältst du den Vertragstext per Mail zur Prüfung. Einzelne Klauseln können bei Bedarf verhandelt werden — bei Schulen und Hochschulen ist das oft Standard.
Werden Lernende-Daten zum KI-Training genutzt?
Nein. Wir selbst trainieren keine KI-Modelle mit Daten von Lernenden. Die KI der Plattform ist Google (Gemini, kostenpflichtige API); laut den vertraglichen Bedingungen von Google werden API-Eingaben nicht zum Training der Modelle verwendet. Optionale Anbieter (Anthropic, OpenAI) werden nur genutzt, soweit vom Betreiber freigegeben, konfiguriert und mit Einwilligung; es gelten deren Bedingungen. Ohne Einwilligung sind die KI-Funktionen gesperrt.
Wie funktioniert die DSGVO-Auskunft (Art. 15) bei Klugfunke?
Lernende oder Erziehungsberechtigte können per Mail an ja@braingaininformatik.com Auskunft über alle gespeicherten Daten anfordern. Wir antworten innerhalb 30 Tagen mit einem JSON-Export sowie einer textuellen Auflistung welche Daten an welche Auftragsverarbeiter weitergegeben wurden. Dieser Service ist kostenlos.
Was passiert mit den Daten, wenn die Schule den Vertrag kündigt?
Bei Vertragsende werden alle personenbezogenen Daten innerhalb 30 Tagen gelöscht oder zurückgegeben (Schule wählt). Vor der Löschung erhält die Schule einen vollständigen Daten-Export im JSON-Format mit allen Lernfortschritten. Rechnungs-Daten werden gemäß § 147 AO 10 Jahre aufbewahrt — getrennt von den eigentlichen Lerndaten.
Ist Klugfunke für Schulen mit minderjährigen Schüler:innen geeignet?
Ja. Die AGB sehen eine Mindestaltersgrenze von 16 Jahren für selbstständige Account-Erstellung vor. Für Schul-Lizenzen mit jüngeren Schüler:innen wird die elterliche Einwilligung über den Schulvertrag mit-konsolidiert. Die Schule fungiert als datenschutzrechtlich Verantwortliche, Klugfunke als Auftragsverarbeiter.
Welche Bußgeld-Risiken gibt es bei der Einführung einer Lernplattform?
Das lässt sich nicht pauschal beantworten. Als Verantwortliche müssen Schule oder Hochschule die DSGVO-Anforderungen selbst erfüllen — etwa AV-Vertrag, dokumentierte Datenverarbeitung und Information der Eltern. Ob und in welcher Höhe ein Bußgeld verhängt wird, entscheidet die zuständige Aufsichtsbehörde im Einzelfall. Bei Fragen zum AV-Vertrag und zur Auftragsverarbeiter-Liste sprich uns an.
AV-Vertrag und Auftragsverarbeiter-Liste anfordern.
Auf Anfrage erhältst du den AV-Vertrag und die Auftragsverarbeiter-Liste — für Schulen ab 25 Lernende mit DigitalPakt-Eignung. Kostenlose Erstberatung per Mail.