KI im Unterricht und DSGVO: was Lehrkräfte wissen müssen
„Darf ich das überhaupt?" Diese Frage kommt fast immer, sobald eine Lehrkraft ein KI-Werkzeug im Unterricht ausprobieren will. Die ehrliche Antwort ist unbequem kurz: Es hängt fast vollständig an einer einzigen Sache – daran, wohin die Daten Ihrer Schülerinnen und Schüler fließen. Klärt man diese Frage, klärt sich der größte Teil des Datenschutzes von selbst.
Das eigentliche Problem sitzt im Hintergrund
Viele bekannte KI-Dienste verarbeiten Eingaben auf Servern außerhalb der EU, oft in den USA. Solange Sie damit allgemeine Texte erzeugen, ist das Ihre Sache. Heikel wird es in dem Moment, in dem personenbezogene Daten von Kindern ins Spiel kommen – ein Name, eine geschriebene Geschichte, ein Lernstand, der einer realen Person zuzuordnen ist. Dann verlässt etwas den Klassenraum, das ihn nicht ohne Weiteres verlassen darf. Die DSGVO fragt an dieser Stelle nicht „Ist die KI gut?", sondern: Wo werden die Daten verarbeitet, und wer könnte darauf zugreifen?
Die wichtigste Frage ist nie, wie gut die KI ist – sondern wo die Daten landen.
Serverstandort schlägt fast jedes Feature
Ein Dienst, dessen Server ausschließlich in Deutschland oder der EU stehen und der keine Daten in Drittländer überträgt, ist deutlich einfacher rechtskonform einzusetzen als der beeindruckendste Anbieter mit Rechenzentren in Übersee. Achten Sie deshalb zuerst auf eine klare, nachprüfbare Aussage zum Serverstandort – und darauf, dass keine Inhalte an US-Anbieter weitergereicht oder zum Training fremder Modelle verwendet werden. Ein Werkzeug, das hier schwammig bleibt, ist im Schulkontext ein Risiko.
Der Vertrag, den niemand gern liest
Sobald Sie als Lehrkraft oder Ihre Schule personenbezogene Daten Dritter – Ihrer Schüler – verarbeiten lassen, verlangt Artikel 28 der DSGVO einen Vertrag zur Auftragsverarbeitung, kurz AVV. Das klingt nach Bürokratie, ist aber im Kern eine schriftliche Zusicherung des Anbieters, was er mit den Daten tut und vor allem, was nicht. Seriöse Dienste stellen diesen Vertrag fertig vorbereitet bereit; Sie müssen ihn nicht selbst aufsetzen. Fehlt ein AVV ganz, ist das ein Warnsignal.
Am sichersten sind Daten, die gar nicht erst entstehen
Der eleganteste Datenschutz ist Datensparsamkeit. Je weniger personenbezogene Daten ein Werkzeug überhaupt erhebt, desto kleiner die Angriffsfläche. Ideal ist ein Schüler-Zugang über einen Klassencode oder QR-Code – ganz ohne E-Mail-Adressen und ohne Klarnamen. Wo keine Profile entstehen, kann auch nichts Sensibles verloren gehen. Das ist nicht nur juristisch bequem, sondern schlicht der bessere Umgang mit Kinderdaten.
Der AI Act bringt Transparenz, keine Panik
Mit dem europäischen KI-Gesetz kommt vor allem eine Pflicht hinzu, die ohnehin gute Praxis ist: Lernende sollen wissen, dass Inhalte mit KI erstellt wurden. Dazu gehört das Prinzip, das im Englischen Human in the Loop heißt – die pädagogische Fachkraft prüft, was die KI ausgibt, bevor es im Unterricht landet. KI bleibt damit Co-Pilot, nicht Autopilot. Diese Einordnung ist keine Belastung, sondern genau die Rolle, die ohnehin nur Sie ausfüllen können.
Worauf es am Ende ankommt
Wenn Sie ein KI-Werkzeug prüfen, reichen im Grunde wenige Fragen: Stehen die Server in Deutschland oder der EU, und bleibt es dabei? Gibt es einen vorbereiteten AVV? Können sich Schüler ohne E-Mail anmelden? Werden die Eingaben verschlüsselt übertragen und nicht zum Training verwendet? Und behalten Sie als Lehrkraft die inhaltliche Kontrolle? Wer hier durchweg überzeugend antwortet, ist auf der sicheren Seite – unabhängig davon, wie groß der Anbieter ist.
Wie FaWi das umsetzt
FaWi wurde von Anfang an für den deutschen Schulkontext gebaut: Server ausschließlich in Deutschland, ein vorbereiteter AV-Vertrag, Schüler-Login per Klassencode statt E-Mail, verschlüsselte Übertragung und keine Weitergabe an Dritte. Eingaben werden nicht dauerhaft zum Training verwendet, Inhalte didaktisch geprüft – und die Kontrolle bleibt bei Ihnen.