Im Tätigkeitsbericht für das Jahr 2025 greift die Hamburger Datenschutzaufsicht (HmbBfDI) auch das Thema KI an Schulen auf. Der Beitrag beleuchtet datenschutzrechtliche Herausforderungen und beschreibt grundlegende Anforderungen für den datenschutzkonformen Einsatz von KI-Anwendungen im Schulbereich. Im Schulbereich beobachtet der HmbBfDI eine deutliche Zunahme der Nutzung von KI. Private Anbieter haben digitale Lernplattformen und intelligente Assistenzdienste für die individuelle Förderung von Schülerinnen und Schülern sowie die Entlastung von Lehrkräften entwickelt und bieten diese Lösungen Schulen und Schulträgern an. Allen diesen Systemen ist nach Auffassung des HmbBfDI gemein, dass
„große Mengen personenbezogener Daten, darunter u.U. Leistungsdaten, Verhaltensanalysen und Kommunikationsinhalte„
verarbeiten. Davon ausgehend beschreibt der HmbBfDI eine Reihe zentraler datenschutzrechtlicher Anforderungen (Grundsätze), die beim Einsatz von KI-Systemen in Schulen anzuwenden sind. Welche Anforderungen im Einzelfall zu beachten sind, richtet sich insbesondere nach dem Funktionsumfang des KI-Systems, den verarbeiteten personenbezogenen Daten sowie den daraus resultierenden Risiken für die Rechte und Freiheiten der betroffenen Schülerinnen und Schüler.
- Datenschutz-Folgenabschätzung
Vor dem Einsatz von KI-Systemen sind die Risiken für die Rechte und Freiheiten der Betroffenen zu bewerten. In den meisten Fällen hält der HmbBfDI eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO für erforderlich. - Gesetzliche Rechtsgrundlage
Die Verarbeitung personenbezogener Daten von Schülerinnen und Schülern, Lehrkräften und Eltern sollte auf eine tragfähige gesetzliche Rechtsgrundlage gestützt werden. - Besondere Berücksichtigung Minderjähriger
Aufgrund ihrer besonderen Schutzbedürftigkeit ist der Einsatz von KI gegenüber Minderjährigen besonders sorgfältig zu prüfen. - Transparenz gegenüber Betroffenen
Die Schule muss Schüler, Lehrkräfte und Eltern verständlich über Zwecke, Umfang und Risiken der Datenverarbeitung informieren. - Zweckbindung der Datenverarbeitung
Personenbezogene Daten dürfen nicht ohne Weiteres für andere Zwecke genutzt werden, weder durch die Schule noch die KI-Anbieter. Insbesondere warnt der HmbBfDI vor einer Weiterverarbeitung über den ursprünglichen pädagogischen Zweck hinaus, etwa zur Leistungsüberwachung oder zum Training von KI-Modellen. Letzteres sollte vertraglich ohnehin ausgeschlossen sein. - Datenminimierung
Die Verarbeitung von Daten durch KI-Systeme sollte sich auf die für ihre jeweilige Funktion erforderlichen beschränken. Auf Datensparsamkeit sollte bereits bei der Auswahl und Umsetzung einer Lösung geachtet werden. - Transparenz der eingesetzten KI-Systeme
Schulen sollen möglichst transparente und nachvollziehbare KI-Systeme einsetzen, damit die Datenverarbeitung überprüfbar bleibt und Betroffenenrechte wirksam ausgeübt werden können. Auf eine automatisierte Entscheidungsfindung sollte verzichtet werden, da dieses andere rechtliche Folgen nach sich zieht. Schulen müssten dann in der Lage sein, die oft schwierig nachzuvollziehenden Entscheidungslogiken erklären zu können. - Datensicherheit
Da KI-Systeme oft über Cloud-Dienste bereitgestellt werden oder auf externen Servern laufen, ist es erforderlich, regelmäßig die technischen und organisatorischen Maßnahmen nach Artikel 32 DS-GVO zu überprüfen und Anbieter auszuwählen, die ein hohes Datenschutzniveau gewährleisten.
Im Einsatz von KI-Systemen im Schulbereich sieht der HmbBfDI sowohl Chancen als auch Risiken. Voraussetzung für ihren datenschutzkonformen Einsatz ist die Einhaltung der datenschutzrechtlichen Vorgaben sowie die Berücksichtigung des Datenschutzes bereits bei der Entwicklung und Nutzung der Systeme.
Bewertung
Der Blick des Hamburger Datenschutzbeauftragten auf die KI-Nutzung in Schulen ist sehr allgemein gehalten und geht von daher nicht auf einzelne Anwendungen ein. KI-Anwendungen für die Bildungsbereich gibt es mittlerweile in größerer Zahl und es werden immer mehr. Bei der Mehrzahl der derzeit an Schulen eingesetzten KI-Anwendungen dürfte die Verarbeitung jedoch noch nicht den Umfang erreichen, den der HmbBfDI mit „großen Mengen personenbezogener Daten, darunter u. U. Leistungsdaten, Verhaltensanalysen und Kommunikationsinhalte“ beschreibt. Zumindest sind dem Verfasser dieses Beitrags für NRW und darüber hinaus derzeit keine Schulen bekannt, die KI-Systeme mit einem derart weitreichenden Funktionsumfang einsetzen. Mit der Weiterentwicklung entsprechender Systeme dürfte sich dies jedoch ändern. Voraussetzung wäre allerdings, dass das jeweilige Schulrecht hierfür eine ausreichende Rechtsgrundlage schafft und dem Einsatz keine Vorgaben anderer Rechtsakte – etwa der KI-Verordnung – entgegenstehen. Verhaltensanalysen wären ein solcher Punkt wie auch die Bewertung von Leistungsnachweisen.
Der HmbBfDI spricht mit der Transparenz der eingesetzten KI-Systeme (hier Nr. 7) einen wichtigen Punkt an. Würden KI-Systeme beispielsweise Leistungen bewerten oder Förderbedarfe feststellen und diese Ergebnisse ohne eine maßgebliche menschliche Prüfung Grundlage von Entscheidungen über Schülerinnen und Schüler werden, könnte dies den Anwendungsbereich des Art. 22 DS-GVO eröffnen. Verantwortlichen erlegt die DS-GVO nicht nur die Pflicht auf, Betroffene über automatisierte Entscheidungen zu informieren, sondern auch die Entscheidungslogiken transparent zu machen. Dafür müssen sie jedoch in der Lage sein diese selbst zu verstehen, um sie den Betroffenen nachvollziehbar erläutern zu können. Bei KI-Systemen ist das teilweise selbst für die Entwickler kaum möglich. Es kommt hinzu, dass es für Automatisierte Entscheidungen auch eine ausdrückliche Rechtsgrundlage im Schulgesetz bräuchte.
Ob beim Einsatz von KI-Systemen im Bildungsbereich tatsächlich in den meisten Fällen eine umfassende Datenschutz-Folgenabschätzung (DSFA) erforderlich ist, dürfte so vom HmbBfDI etwas zu allgemein formuliert worden sein. Aktuell ist bei vielen in Schulen eingesetzten KI-Systemen eine Verarbeitung von personenbezogenen Daten nicht zulässig, womit eine DSFA hinfällig ist. Würden bei den vom HmbBfDI erwähnten digitale Lernplattformen und intelligenten Assistenzdienste tatsächlich „große Mengen personenbezogener Daten, darunter u.U. Leistungsdaten, Verhaltensanalysen und Kommunikationsinhalte“ verarbeitet, wäre eine DSFA aber mit großer Wahrscheinlichkeit erforderlich. Bei offiziell von Landesseite bereitgestellten Plattformen könnte eine solche DSFA zentral erstellt und von den einzelnen Schulen angepasst durchgeführt werden, was die Aufgabe für Schulen leistbar machen würde.
Ob beim Einsatz von KI-Systemen im Bildungsbereich tatsächlich in den meisten Fällen eine umfassende Datenschutz-Folgenabschätzung (DSFA) erforderlich ist, erscheint in dieser Allgemeinheit allerdings fraglich. Viele der derzeit an Schulen eingesetzten KI-Systeme dürfen nach den datenschutzrechtlichen Vorgaben gerade nur ohne die Eingabe personenbezogener Daten genutzt werden. Schülerinnen und Schüler sowie Lehrkräfte bleiben gegenüber den angebundenen KI-Modellen grundsätzlich nicht identifizierbar, sofern sie keine personenbezogenen Daten in die Eingaben aufnehmen. Soweit bei der Nutzung schulischer KI-Systeme keine Verarbeitung personenbezogener Daten erfolgt, besteht auch keine Verpflichtung zur Durchführung einer Datenschutz-Folgenabschätzung. Verarbeiten digitale Lernplattformen oder intelligente Assistenzsysteme dagegen – wie vom HmbBfDI beschrieben – große Mengen personenbezogener Daten, etwa Leistungsdaten, Kommunikationsinhalte oder Daten zur Analyse des Lernverhaltens, dürfte eine DSFA in der Regel erforderlich sein. Werden solche Systeme zentral durch ein Land oder einen Schulträger bereitgestellt, könnte die Datenschutz-Folgenabschätzung sinnvollerweise ebenfalls zentral erstellt und den Schulen zur Übernahme oder Anpassung zur Verfügung gestellt werden.
Insgesamt ist der Beitrag eine gute Anregung für Schulen und Schulträger, auch bei der Beschaffung und Nutzung von KI-Plattformen und solchen, welche KI-Funktionen integrieren, genauer hinzusehen. Es gelten die gleichen datenschutzrechtlichen Anforderungen wie bei allen anderen Plattformen mit denen personenbezogene Daten verarbeitet werden. Die KI-Komponente bringt jedoch zusätzliche datenschutzrechtliche Anforderungen mit sich, insbesondere im Hinblick auf Transparenz, Nachvollziehbarkeit, Zweckbindung und die Bewertung der mit dem Einsatz verbundenen Risiken.