EdTech, E-Learning und Schulplattformen

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 8
• Regulation (EU) 2024/1689 — AI Act, Annex III education
• Directive 2002/58/EC — ePrivacy
• Regulation (EU) 2022/2065 — DSA where content is hosted

Wer muss benennen

Anbieter, die außerhalb der Union ansässig sind und Lernplattformen, Bewertungswerkzeuge oder Software für den Unterricht an Schulen, Universitäten oder Lernenden in der EU anbieten. Schulen sind in der Regel Verantwortliche und der Anbieter ein Auftragsverarbeiter, aber Anbieter, die Daten zur Produktverbesserung oder Werbung verwenden, werden für diese Zwecke zu Verantwortlichen und benötigen ihren eigenen Vertreter.

Schwellen und Ausnahmen

Keine DSGVO-Schwelle. Nach dem AI-Gesetz sind Systeme, die verwendet werden, um den Zugang zur Bildung zu bestimmen, Lernleistungen zu bewerten, Schüler zuzuweisen oder verbotenes Verhalten während Prüfungen zu überwachen, hochriskant gemäß Anhang III, mit Verpflichtungen, die ab dem 2. August 2026 gelten.

Was auf das Etikett gehört

Die Identität des Vertreters in der Datenschutzerklärung und in der vertraglichen Dokumentation, die den Schulen gegeben wird. Wo KI zur Bewertung eingesetzt wird, die Transparenzinformationen, die vom AI-Gesetz gefordert werden, und die Offenlegung gegenüber den Lernenden, dass sie mit einem KI-System interagieren.

Marktplatz-Felder

Öffentliche Beschaffung im Bildungsbereich ist der Bereich, in dem dies in der Praxis durchgesetzt wird: Ministerien und Schulbehörden in mehreren Mitgliedstaaten haben Plattformen aufgrund von Übertragungen, Telemetrie und Werbung blockiert oder eingeschränkt, und Beschaffungsfragebögen fragen jetzt nach dem Vertreter, der Übertragungsanalyse und der KI-Klassifizierung.

Unterlagen, die Sie vorhalten müssen

Artikel 30 Aufzeichnungen, Artikel 28 Verarbeitungstermine mit Schulen, die Artikel 27 Benennung, eine Datenschutz-Folgenabschätzung, die die Daten von Kindern abdeckt, Dokumentation der Übertragungsmechanismen und eine klare Trennung zwischen Daten, die auf Anweisung der Schule verarbeitet werden, und Daten, die für die eigenen Zwecke des Anbieters verwendet werden. Für hochriskante KI: technische Dokumentation, Risikomanagement, Datenverwaltung und die Konformitätsbewertung.

Normen und Prüfungen

Nicht anwendbar auf die Plattform, aber Überwachungssysteme werfen Fragen zur Genauigkeit und Diskriminierung auf, die nachgewiesen werden müssen, und das AI-Gesetz verlangt, dass Genauigkeits-, Robustheits- und Cybersicherheitsniveaus erklärt und getestet werden.

Sprachanforderungen

Datenschutzinformationen in einer Form, die Kinder verstehen können, in der Sprache der Lernenden, was Artikel 12 ausdrücklich für Informationen, die an ein Kind gerichtet sind, verlangt.

Ab wann es gilt

Der Vertreter vor Beginn der Verarbeitung. Verpflichtungen für hochriskante KI ab dem 2. August 2026.

Aufbewahrungsfristen

Lernendendaten nur für den Zeitraum, der mit der Schule vereinbart wurde, mit Löschung bei Beendigung. Die Aufbewahrung von Daten nach Vertragsende zur Produktverbesserung ist ein wiederkehrender Befund.

Was bei Verstößen passiert

Bis zu 20 Millionen € oder 4 % des Umsatzes, und dies ist ein Sektor, in dem die Behörden entschieden gehandelt haben, da die betroffenen Personen Kinder sind und die Zustimmung im Klassenzimmer nicht freiwillig gegeben wird. Die Strafen des AI-Gesetzes gelten zusätzlich für hochriskante Systeme, bis zu 15 Millionen € oder 3 %.

Wer kontrolliert

Datenschutzbehörden, Bildungsministerien als Beschaffungsentscheidungsinstanzen und Marktüberwachungsbehörden des AI-Gesetzes ab 2026.

Wo die Grenze verläuft

Die Linie zwischen Auftragsverarbeiter und Verantwortlichem ist der Bereich, in dem Fälle verloren gehen: Telemetrie, Produktanalysen und jede Werbung machen den Anbieter zu einem Verantwortlichen für diese Zwecke, unabhängig von der Verarbeitungsvereinbarung. Die Überwachung, die das Gesicht, den Raum oder die Tastatureingaben eines Schülers überwacht, ist hochriskante KI und in einigen Designs ein System zur Emotionserkennung, das gemäß Artikel 5 im Bildungsbereich verboten ist.

Häufige Fragen

Die Schule ist der Verantwortliche – brauchen wir trotzdem einen Vertreter?

Wenn Sie personenbezogene Daten von Lernenden in der Union als Auftragsverarbeiter gemäß Artikel 3(2) verarbeiten, benötigen Sie Ihren eigenen Vertreter. Und für jeden Zweck, den Sie selbst bestimmen, sind Sie ein Verantwortlicher.

Ist KI-Überwachung erlaubt?

Die Überwachung während Prüfungen ist hochriskant gemäß Anhang III. Systeme, die Emotionen in Bildungseinrichtungen ableiten, sind gemäß Artikel 5 ausdrücklich verboten, sodass das Design bestimmt, ob es reguliert oder verboten ist.