Warum Bildungsanbieter ihre Verarbeitungszwecke im e-Learning dokumentieren müssen – Art. 30 DSGVO einfach erklärt
Art. 30 DSGVO verpflichtet alle Verantwortlichen und Auftragsverarbeiter dazu, ein Verzeichnis über ihre Verarbeitungstätigkeiten zu führen. Dieses Verzeichnis ist keine reine Formalität, sondern ein zentrales Steuerungsinstrument für den Datenschutz. Es muss jederzeit vorzeigbar sein – z. B. bei Anfragen von Aufsichtsbehörden.
Für Bildungsanbieter, die mit AI-Tutoren arbeiten oder digitale Lernplattformen wie Moodle nutzen, ist das besonders relevant: Denn Lernverhalten, Feedback, Testergebnisse oder Nutzeranalysen gelten als personenbezogene Daten – und deren Verarbeitungszweck muss transparent dokumentiert werden.
Welche Angaben müssen dokumentiert werden?
Das Verzeichnis der Verarbeitungstätigkeiten muss laut DSGVO u. a. folgende Angaben enthalten:
Name und Kontaktdaten des Verantwortlichen und ggf. des Datenschutzbeauftragten
Zwecke der Verarbeitung (z. B. Lernfortschrittsmessung, Feedbackgenerierung durch den AI-Tutor)
Kategorien betroffener Personen (z. B. Teilnehmende, Dozent:innen)
Kategorien personenbezogener Daten (z. B. Testergebnisse, Verweildauer, Kompetenzprofile)
Empfänger der Daten (z. B. Lernplattform-Hoster, externe Dienstleister)
Übermittlung an Drittländer (z. B. bei Cloud-Diensten mit Sitz in den USA)
Löschfristen für jede Datenkategorie
Technische und organisatorische Maßnahmen (TOMs) zum Schutz der Daten (gemäß Art. 32 DSGVO)
💡 Tipp:
Auch Auftragsverarbeiter, also z. B. Anbieter von KI-basierten Lernsystemen, müssen ein eigenes Verzeichnis führen – z. B. über alle Tätigkeiten, die sie im Auftrag der Akademie durchführen.
Gilt das auch für kleine Akademien?
Ja – auch wenn Art. 30 DSGVO für Unternehmen unter 250 Mitarbeitenden Ausnahmen vorsieht, greifen diese im Bildungsbereich oft nicht. Die Ausnahme entfällt, wenn:
die Verarbeitung nicht nur gelegentlich erfolgt (z. B. bei regelmäßiger Lernanalyse),
besondere Datenkategorien nach Art. 9 DSGVO betroffen sind (z. B. Gesundheitsdaten bei Inklusion),
oder wenn ein erhöhtes Risiko für die Betroffenen besteht (z. B. Profilbildung der Lernenden durch einen AI-Tutor).
Fazit: Sobald KI-gestützte Tools wie AI-Tutoren Profiling betreiben, ist ein Verzeichnis in der Regel Pflicht – unabhängig von der Betriebsgröße.
Warum gerade AI-Tutoren besondere Sorgfalt erfordern
AI-Tutoren wie der von Alphabees ermöglichen personalisierte Lernbegleitung und automatisierte Auswertung von Nutzerverhalten und Lernfortschritt. Das bedeutet:
Profilbildung, auch bekannt als Profiling gemäß Art. 4 Nr. 4 DSGVO
Verarbeitung sensibler Informationen wie Leistungsdaten, Interessen, ggf. Förderbedarf
Mögliche Nutzung von Cloud-Diensten (z. B. zur Modellverarbeitung oder Analyse)
All das muss im Verzeichnis der Verarbeitungstätigkeiten konkret dokumentiert werden. Es reicht nicht aus, allgemein "AI-Tool zur Lernunterstützung" zu schreiben – die genauen Verarbeitungszwecke müssen transparent benannt sein.
Checkliste für ein Verzeichnis nach Art. 30 DSGVO
✔ Alle eingesetzten Systeme (z. B. Moodle, AI-Tutor, LMS, Plugins) erfassen
✔ Für jedes System: Zweck der Datenverarbeitung definieren
✔ Kategorien der gespeicherten Daten und der betroffenen Personen angeben
✔ Empfänger und ggf. Drittlandübermittlungen dokumentieren
✔ Löschkonzepte prüfen und Fristen dokumentieren
✔ Technische Schutzmaßnahmen (z. B. Pseudonymisierung, Zugriffskontrollen) festhalten
✔ Auf Anfrage der Datenschutzaufsicht vorzeigen können (idealerweise digital gepflegt)
💡 Tipp:
Der Alphabees AI-Tutor lässt sich so konfigurieren, dass Verarbeitungszwecke klar dokumentierbar sind und nur auf datenschutzkonforme Quellen zugreift – kein Zugriff auf fremde Daten, keine unerlaubte Analyse.
Fazit: Transparenz ist Pflicht – erst recht bei KI
Mit dem Einsatz von AI-Tutoren im e-Learning geht Verantwortung einher. Wer personenbezogene Daten verarbeitet, muss laut Art. 30 DSGVO glasklar darlegen können, was verarbeitet wird – und warum.
Nur mit einem sauber geführten Verzeichnis erfüllen Bildungsanbieter die DSGVO-Anforderungen.