DSGVO-Konformität bei Hochschulplattformen wird häufig auf einen Punkt reduziert: Serverstandort Deutschland. Das ist notwendig – aber nicht ausreichend. Eine Hochschule, die Canvas mit EU-Servern betreibt, ist nicht automatisch DSGVO-konform. Und eine Hochschule, die Lernaktivitätsdaten für ein Frühwarnsystem nutzt, ohne die Verarbeitungsgrundlage zu dokumentieren, verstößt gegen die DSGVO – unabhängig davon, wo die Server stehen.
Dieser Artikel beschreibt vollständig, welche Datenverarbeitungen in Lernplattformen datenschutzrechtlich relevant sind, wann eine Datenschutz-Folgenabschätzung verpflichtend ist, was der US Cloud Act für konkrete Plattformentscheidungen bedeutet, welche Mindestinhalte ein AVV haben muss – und wie eine Hochschule ihren Datenschutzbeauftragten strukturiert einbindet.
Welche Datenverarbeitungen in Lernplattformen DSGVO-relevant sind
im Kontext von Hochschullernplattformen umfassen weit mehr als Name und E-Mail-Adresse. Sie schließen alle Daten ein, die einer natürlichen Person zugeordnet werden können – einschließlich Nutzungsverhalten, Lernfortschrittsdaten, Kommunikationsinhalte, Prüfungsdaten und biometrische Daten (z.B. bei Proctoring). Jede dieser Verarbeitungen braucht eine eigene Rechtsgrundlage.
| Datentyp | Beispiele | Risikostufe | Häufig übersehen? |
|---|---|---|---|
| Identifikationsdaten | Name, Matrikelnummer, E-Mail | Standard | Nein |
| Lernaktivitätsdaten | Login-Zeiten, Seitenaufrufe, Verweildauer in Modulen, Klickverhalten | Erhöht | Häufig |
| Prüfungsdaten | Noten, Prüfungsversuche, Zeitstempel, Prüfungsinhalt | Hoch | Nein |
| Kommunikationsdaten | Nachrichten zwischen Lehrenden und Studierenden, Foren-Beiträge | Erhöht | Häufig |
| Verhaltensmuster / Profile | Frühwarnsystem-Scores, aggregierte Aktivitätsprofile | Hoch – besondere Prüfpflicht | Sehr häufig |
| Biometrische Daten | Gesichtserkennung bei Proctoring, Tippverhalten-Analyse | Sehr hoch – Art. 9 DSGVO | Teilweise |
| Gerätedaten | IP-Adressen, Browser-Fingerprints, Gerätetyp | Standard bis erhöht | Häufig |
Rechtsgrundlagen: Worauf Hochschulen die Verarbeitung stützen
Jede Verarbeitungstätigkeit braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für Hochschulen kommen in der Praxis vor allem drei in Betracht:
Art. 6 Abs. 1b: Vertragserfüllung
Die Verarbeitung ist zur Erfüllung des Studienvertrags (Einschreibe- und Prüfungsordnung) erforderlich. Das deckt: Identifikationsdaten, Prüfungsdaten, Notenerfassung. Es deckt nicht: Verhaltensprofile, Frühwarnsysteme, Marketing-Analytics.
Art. 6 Abs. 1e: Aufgabe im öffentlichen Interesse
Für staatliche Hochschulen die wichtigste Rechtsgrundlage für Bildungs- und Forschungsaufgaben. Erlaubt breite Verarbeitung, erfordert aber eine spezifische gesetzliche Grundlage im Landeshochschulgesetz oder Hochschuldatenschutzrecht des jeweiligen Bundeslandes.
Art. 6 Abs. 1a: Einwilligung
Für Verarbeitungen, die über den Studienvertrag hinausgehen – z.B. freiwillige Nutzung von Zusatz-Apps, Proctoring, Marketing-Kommunikation. Wichtig: Einwilligung muss freiwillig sein – was im Studienkontext problematisch sein kann, wenn die Einwilligung de facto Voraussetzung für Prüfungen ist.
Das Datenschutzrecht für staatliche Hochschulen ist in Deutschland nicht einheitlich – es existiert für jedes Bundesland eine eigene Regelung im Landeshochschulgesetz oder im Landesdatenschutzgesetz. Private Hochschulen unterliegen dem allgemeinen DSGVO-Regime ohne hochschulspezifische Sonderregelungen. Datenschutzbeauftragte sollten die jeweils aktuelle Fassung des einschlägigen Landesrechts kennen.
Datenschutz-Folgenabschätzung: Wann sie verpflichtend ist
Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist verpflichtend, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Für Hochschulen gilt das in folgenden Szenarien zwingend:
- Jede Form von Proctoring (Kamera, Mikrofon, Verhaltensanalyse) – systematische Überwachung einer schutzwürdigen Gruppe (Studierende)
- KI-basierte Frühwarnsysteme, die Verhaltensprofile erstellen und Vorhersagen über Studienverhalten treffen
- Biometrische Verarbeitung zur Identifizierung von Personen (Gesichtserkennung für Prüfungsidentifikation)
- Umfangreiches Tracking von Lernaktivitäten zu Zwecken, die über die Leistungsdokumentation hinausgehen
Hochschulen führen eine DSFA für Proctoring durch, nicht aber für KI-Frühwarnsysteme – obwohl diese strukturell dasselbe Risikomuster aufweisen: systematische Verhaltensüberwachung einer vulnerablen Gruppe mit Profiling-Funktion. Die Landesdatenschutzbehörden haben hier zuletzt genauer hingeschaut.
Auftragsverarbeitungsvertrag: Was ein AVV mit Plattformanbietern enthalten muss
Wer eine externe Lernplattform betreibt, ist Auftragsverarbeiter im Sinne der DSGVO. Die Hochschule ist Verantwortlicher. Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist verpflichtend – ohne ihn ist jede Verarbeitung rechtswidrig.
Mindestinhalte eines rechtssicheren AVV für Bildungsplattformen
- Gegenstand und Dauer der Verarbeitung präzise beschrieben
- Art der Daten und Kategorien der Betroffenen vollständig aufgeführt (inkl. Lernaktivitätsdaten)
- Weisungsgebundenheit des Auftragsverarbeiters: Plattformanbieter darf Daten nur nach Weisung der Hochschule verarbeiten
- Technische und organisatorische Maßnahmen (TOM) als Anlage – mit konkreten Verschlüsselungsstandards, Zugriffskontrollen, Backup-Konzept
- Unterauftragsverarbeiter: Liste aller Sub-Dienstleister (CDN, Cloud-Infrastruktur, Support-Tools) mit Serverstandorten
- Löschfristen für alle Datenkategorien nach Vertragsende
- Prüfungsrecht der Hochschule (Audit-Recht)
- Meldepflicht bei Datenpannen (spätestens 24 Stunden an die Hochschule, damit diese die 72-Stunden-Frist gegenüber der Behörde einhalten kann)
US Cloud Act: Was er für Canvas, Blackboard und Microsoft Teams bedeutet
Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) ermächtigt US-amerikanische Behörden, von US-Unternehmen die Herausgabe von Daten zu verlangen – unabhängig davon, wo diese Daten gespeichert sind. Das betrifft auch EU-Server von US-Unternehmen.
Canvas (Instructure), Blackboard (Anthology) und Microsoft Teams sind US-amerikanische Unternehmen. Auch wenn sie europäische Rechenzentren betreiben, können US-Behörden auf Datenzugriff bestehen – ohne dass dies durch EU-DSGVO verhindert werden kann. Der EuGH hat den Privacy Shield aus diesem Grund 2020 für ungültig erklärt (Schrems II). Der Nachfolger Data Privacy Framework (2023) mildert das Risiko, beseitigt es aber nicht vollständig.
Was das praktisch bedeutet
Für Hochschulen gibt es drei Reaktionsmöglichkeiten auf das Cloud-Act-Risiko: Wechsel zu europäischen Anbietern ohne US-Muttergesellschaft (vollständige Risikominimierung), konsequente Verschlüsselung mit Schlüsseln, die nicht beim Anbieter liegen (technische Risikominimierung), oder dokumentierte Risikoakzeptanz mit Abwägungsdokumentation (nur für risikoarme Verarbeitungen). Für Prüfungsdaten und biometrische Daten ist Risikoakzeptanz rechtlich nicht vertretbar.
Deutsche und europäische Alternativen
Anbieter ohne US-Muttergesellschaft und mit Serverstandort in Deutschland unterliegen nicht dem Cloud Act. FuxamOne ist Made in Germany: alle Daten werden ausschließlich auf deutschen Servern verarbeitet, ohne US-Eigentümerstruktur, mit vollständigem AVV.
Besondere Anforderungen bei minderjährigen Studierenden
An Berufsschulen und dualen Hochschulen sind Teile der Lernenden minderjährig. Für sie gelten erhöhte Anforderungen: Art. 8 DSGVO regelt die Einwilligung für Dienste der Informationsgesellschaft bei Kindern (unter 16 Jahren in Deutschland), für die die Einwilligung der Eltern erforderlich ist. Für die normale Unterrichts- und Prüfungsverwaltung (Art. 6 Abs. 1b/e) ist keine gesonderte Einwilligung nötig – aber die Transparenzpflichten müssen in einer altersgerechten Sprache erfüllt sein.
Kommunikationstools und Videokonferenz: DSGVO-Risiken
Microsoft Teams, Zoom und Google Meet sind in vielen Hochschulen als pandemiebedingtes Provisorium eingeführt worden und geblieben. Alle drei stammen von US-amerikanischen Unternehmen mit Cloud-Act-Risiko. Hochschulen, die diese Tools für datenschutzrechtlich sensible Kommunikation (Prüfungsgespräche, Beratungsgespräche) nutzen, sollten eine dokumentierte Risikoabwägung haben.
Alternativen mit europäischer Basis: BigBlueButton (Open Source, selbst hostbar), Jitsi (Open Source), Whereby (norwegisch). Für alle gilt: die Hosting-Entscheidung ist datenschutzrechtlich relevanter als die Tool-Wahl selbst.
Anbieterprüfung: Was Hochschulen vor der Plattformentscheidung prüfen müssen
Vor jeder Plattformentscheidung sollte ein strukturierter Datenschutz-Check durchgeführt werden. Dieser Fragenkatalog erfasst die wichtigsten Risikodimensionen:
- Ist der Anbieter ein US-Unternehmen oder hat er eine US-Muttergesellschaft? (Cloud-Act-Risiko)
- Wo sind die Server? (EU-Serverstandort ist notwendig, aber nicht hinreichend)
- Liegt ein vollständiger AVV nach Art. 28 DSGVO vor – mit Unterauftragsverarbeiterliste?
- Gibt es eine aktuelle Datenschutz-Folgenabschätzung für Verarbeitungen mit hohem Risiko?
- Werden Lernaktivitätsdaten für eigene Zwecke des Anbieters genutzt (Produkt-Analytics, KI-Training)?
- Gibt es ein vollständiges Löschkonzept nach Vertragsende?
- Ist der Datenschutzbeauftragte des Anbieters erreichbar und reagiert er auf Anfragen?
- Gibt es eine BITV-Erklärung für Barrierefreiheit (wenn öffentliche Hochschule)?
Häufig gestellte Fragen
Nein. EU-Serverstandort ist notwendig, aber nicht ausreichend. Entscheidend ist auch die Eigentümerstruktur des Anbieters (US-Unternehmen unterliegen dem Cloud Act unabhängig vom Serverstandort), die vollständige AVV-Dokumentation, die Zweckbindung der Verarbeitung und die Unterauftragsverarbeiterkette.
Eine DSFA ist verpflichtend bei Proctoring, KI-basierten Frühwarnsystemen, biometrischer Identifikation und umfangreichem Verhaltens-Tracking. Für Standard-Lernplattformen ohne diese Funktionen ist sie empfohlen, aber nicht verpflichtend.
Ja, mit einer dokumentierten Rechtsgrundlage (Art. 6 DSGVO), Transparenzinformation gegenüber Studierenden und ohne automatisierte Einzelentscheidungen (Art. 22 DSGVO). Die Benachrichtigung an Lehrende ist zulässig; automatische Maßnahmen ohne menschliche Überprüfung sind es nicht.
Drei Schritte: Datenschutzbeauftragten einschalten und formale Risikoabwägung dokumentieren, Anbieter auf Vertragsergänzung (AVV, TOM) drängen, und gleichzeitig DSGVO-konforme Alternativen evaluieren. Die Weiternutzung ohne Risikodokumentation ist haftungsrelevant.
Fazit
DSGVO-Konformität bei Hochschulen ist kein Checkbox-Thema – sie ist eine kontinuierliche Prüfpflicht für jede Verarbeitungstätigkeit. Serverstandort, AVV und Einwilligung sind Minimalanforderungen, keine Garantien. Hochschulen, die heute eine Plattformentscheidung treffen, sollten dabei nicht nur fragen, was das System kann – sondern was es mit den Daten ihrer Studierenden macht.
FuxamOne ist als datenschutzkonformes System konzipiert: Server ausschließlich in Deutschland, keine US-Eigentümerstruktur, vollständiger AVV nach Art. 28 DSGVO, End-to-End-Verschlüsselung und transparente Unterauftragsverarbeiterliste.