DSGVO-konforme KI fürs Klassenzimmer: 7 Kriterien für die Tool-Wahl

Der Markt für KI-Tools an Schulen ist unübersichtlich, von etablierten Plattformen wie fobizz über die Länder-Lösung telli (AIS.chat) bis zu Einzel-Apps. "DSGVO-konform" steht überall, heißt aber nicht überall dasselbe. Dieser Artikel gibt dir 7 konkrete Kriterien an die Hand, mit denen du jedes Tool selbst prüfen kannst, statt dem Werbe-Versprechen zu vertrauen.

Warum "DSGVO-konform" nicht reicht

Als Lehrkraft bist du für die Daten deiner Schüler:innen verantwortlich, und du verarbeitest sie im Auftrag deiner Schule. Ein Tool, das diese Daten an einen KI-Anbieter weitergibt, muss deshalb mehr leisten als ein grünes Häkchen auf der Website. Entscheidend ist, wohin die Daten fließen, welche Daten das sind und welche Verträge dahinterstehen. Die folgenden sieben Fragen decken das ab.

Die 7 Kriterien

1. Wo stehen die Server?

Verarbeitung und Speicherung sollten in der EU stattfinden. Tools, die direkt über frei zugängliche US-Consumer-Dienste laufen, sind für personenbezogene Schülerdaten problematisch. Frag konkret nach dem Verarbeitungsort, nicht nur nach dem Firmensitz.

2. Gibt es einen Auftragsverarbeitungs-Vertrag (AVV)?

Nach Art. 28 DSGVO brauchst du mit jedem Anbieter, der Daten in deinem Auftrag verarbeitet, einen AVV. Seriöse Schul-Tools stellen ihn bereit. Fehlt er, ist der Einsatz mit echten Daten heikel.

3. Werden Eingaben zum Training verwendet?

Werden deine Eingaben genutzt, um die KI-Modelle zu trainieren? Die Antwort muss nein sein, sonst landen Inhalte langfristig im Modell.

4. Werden Klarnamen überhaupt übertragen?

Das stärkste Kriterium: Bekommt der KI-Anbieter echte Schülernamen zu sehen, oder werden sie vorher durch Pseudonyme ersetzt? Ein Tool, das Namen vor der Anfrage pseudonymisiert, reduziert das Risiko drastisch, weil schlicht keine identifizierenden Daten den Anbieter erreichen.

5. Wie ist die Sub-Auftragsverarbeiter-Kette?

Welche weiteren Dienstleister hängen dahinter (Hosting, KI-Anbieter, Fehler-Tracking)? Eine transparente Liste mit Ländern und Transfermechanismen gehört in die Datenschutzerklärung.

6. Lässt sich alles wieder löschen?

Du musst deine Daten und das Konto vollständig löschen können, inklusive der Frist, nach der Backups gelöscht sind. Steht das nirgends, frag nach.

7. Triffst du die Entscheidungen, oder die KI?

Gerade bei Noten: Die KI darf vorschlagen, aber nicht eigenständig benoten. Achte darauf, dass jede relevante Aktion eine Bestätigung durch dich verlangt, das ist nicht nur datenschutz-, sondern auch schulrechtlich wichtig.

Schnell-Checkliste

Fazit

"DSGVO-konform" ist kein Siegel, sondern eine Reihe von Eigenschaften, die du überprüfen kannst. Wenn ein Tool bei diesen sieben Punkten saubere Antworten liefert, vor allem bei Pseudonymisierung und EU-Verarbeitung, bist du auf der sicheren Seite. Wenn es ausweicht, ist Vorsicht angebracht, gerade weil es um die Daten von Kindern geht.