Modul 2 — Sicher entscheiden: Recht, Daten und Verantwortung

Stand: 1. September 2026. Dieses Modul ist Orientierung, keine Rechtsberatung. Für den konkreten Einsatz entscheiden die zuständige Schule bzw. der Schulträger, die schulischen Vorgaben und die zuständige Datenschutzstelle.

Lernziel: Sie können einen Einsatzfall nicht nur mit einem Schlagwort, sondern mit einem dokumentierten Daten-, Anbieter-, Risiko- und Transparenzcheck bewerten.

1. Drei Ebenen sauber trennen

Eine Nutzung kann didaktisch sinnvoll und trotzdem nicht freigegeben sein. Sie kann datenschutzrechtlich vertretbar und trotzdem unfair sein. Prüfen Sie deshalb getrennt:

Schulische Zuständigkeit: Wer ist verantwortlich und welche Freigaben, Dienstvereinbarungen oder Landesvorgaben gelten?
Datenschutz: Gibt es einen klaren Zweck, eine tragfähige Rechtsgrundlage, Datenminimierung, passende Verträge und Schutzmaßnahmen?
KI-spezifische Pflichten und professionelle Verantwortung: Welche Rolle spielt das System, welche Menschen sind betroffen und welche Transparenz/Kontrolle ist nötig?

Ein grünes Häkchen auf einer Anbieterseite beantwortet diese Fragen nicht.

2. Die robuste Sofortregel

Keine personenbezogenen Daten von Lernenden in ein privates, nicht schulisch freigegebenes Verbraucher-Konto eingeben.

Dazu gehören nicht nur Namen. Auch Kombinationen aus Schule, Klasse, Leistung, Förderbedarf, Verhalten, Gesundheitsangaben, Stimme, Bild oder einem unveränderten Schülertext können eine Person erkennbar machen. Pseudonyme sind nicht automatisch anonym.

Für personenbezogene Daten braucht es eine von der verantwortlichen Stelle geprüfte Umgebung und einen konkreten Zweck. Prüfen Sie Anbieterbedingungen aktuell; Funktionen, Datenstandorte und Trainingseinstellungen ändern sich. Pauschale Aussagen über eine gesamte Produktfamilie altern schnell.

3. Der Sieben-Punkte-Werkzeugcheck

Prüffeld	Belastbare Frage	Beleg
Verantwortung & Zweck	Wer setzt das Werkzeug wofür ein und wer gibt es frei?	dokumentierte Zuständigkeit/Freigabe
Datenminimierung	Welche Daten sind wirklich nötig; geht es ohne Personenbezug?	Datenfluss oder Testfall
Rollen & Vertrag	Wer ist Verantwortlicher/Auftragsverarbeiter; ist ein AVV nach Art. 28 nötig und vorhanden?	Vertrag, Leistungsbeschreibung
Unterauftragnehmer & Transfers	Wer verarbeitet wo; welche Drittlandtransfers bestehen?	aktuelle Subprozessoren-/Transferangaben
Weiterverwendung	Werden Eingaben/Ausgaben gespeichert, ausgewertet oder für Modelle genutzt; welche Steuerung gilt?	verbindliche Produkt-/Vertragsangabe
Sicherheit, Fristen, Löschung	Wie sind Zugriff, Aufbewahrung, Export und Löschung geregelt?	technische und organisatorische Maßnahmen
Transparenz & Rechte	Was erfahren Betroffene; wie werden Auskunft, Berichtigung, Widerspruch oder Löschung umgesetzt?	Information und Prozess

EU-Hosting allein genügt nicht. Ebenso wenig genügt die Kombination „EU + kein Training + AVV”, wenn Zweck, Freigabe, Unterauftragnehmer, Löschung oder Betroffenenrechte ungeklärt sind.

4. EU-KI-Verordnung: Was jetzt wirklich gilt

Artikel 4 — KI-Kompetenz

Pflichten zu KI-Kompetenz gelten seit 2. Februar 2025. Nach den 2026 in Kraft getretenen Änderungen bleibt für Anbieter und Betreiber entscheidend, angemessene Maßnahmen im jeweiligen Kontext zu treffen. Maßstab sind unter anderem Vorwissen, Erfahrung, Ausbildung, Einsatzkontext und betroffene Personen.

Wichtig für Schulleitungen: Die Verordnung schreibt kein bestimmtes persönliches Zertifikat und keine pauschale Stundenzahl vor. Dieser Kurs kann ein dokumentierter Baustein sein; er erfüllt die organisatorische Verantwortung nicht automatisch. Dazu gehören auch rollenbezogene Regeln, sichere Werkzeuge, Zuständigkeiten und fortlaufende Aktualisierung.

Hochrisiko im Bildungsbereich

Bestimmte Systeme in Bildung und Berufsbildung können nach Anhang III hochriskant sein — etwa bei Zugang/Aufnahme, Bewertung von Lernergebnissen, Zuordnung zu Bildungsniveaus oder Überwachung verbotenen Verhaltens in Prüfungen. Die einschlägigen Anhang-III-Pflichten wurden durch das 2026 in Kraft getretene Vereinfachungspaket auf 2. Dezember 2027 verschoben.

Eine menschliche Person am Ende macht ein System nicht automatisch „nicht hochriskant”. Entscheidend sind Zweck, tatsächliche Funktion, Bedeutung der Ausgabe und die gesetzlichen Kriterien. Bei solchen Vorhaben: nicht improvisieren, sondern früh zuständige Stellen und fachkundige Rechts-/Datenschutzprüfung einbinden.

Artikel 50 — Transparenz

Artikel 50 gilt seit 2. August 2026, enthält aber keine pauschale Pflicht, jedes KI-unterstützt erstellte Arbeitsblatt zu kennzeichnen. Er regelt konkrete Fälle, darunter die Information bei direkter Interaktion mit bestimmten KI-Systemen sowie Kennzeichnungspflichten für bestimmte synthetische/manipulierte Inhalte und bestimmte Texte von öffentlichem Interesse.

Unabhängig von der gesetzlichen Mindestpflicht ist pädagogische Transparenz oft sinnvoll: Lernende sollten Werkzeug, Zweck, Grenzen, Datensicht der Lehrkraft und einen gleichwertigen Ausweichweg verstehen.

5. Die Ampel für den Alltag

Grün — typischerweise risikoärmer: Sie erstellen mit erfundenen Angaben Varianten eines Arbeitsauftrags und prüfen das Ergebnis fachlich.

Gelb — erst klären: Lernende sollen ein Konto nutzen; Texte werden gespeichert; Leistungsdaten fließen ein; das Werkzeug gibt individuelle Empfehlungen; Freigabe, Vertrag oder Löschung sind unklar.

Rot — nicht in Eigenregie: sensible Daten in ein privates Konto, automatische Note/Diagnose/Sanktion, verdeckte Überwachung, Veröffentlichung ungeprüfter Aussagen oder Einsatz entgegen schulischer Vorgaben.

Wenn ein Fall gelb ist, dokumentieren Sie nicht nur „Datenschutz fragen”, sondern wer welche offene Frage bis wann mit welchem Beleg beantwortet.

6. AIS.chat und andere schulische Angebote

Das frühere Angebot „telli” heißt seit Mai 2026 AIS.chat. Ein schulbezogener Zugang kann gegenüber privaten Konten Vorteile haben. Trotzdem bleibt dieselbe Prüfung nötig: konkrete Konfiguration, Verantwortlichkeit, Datenfluss, Vertrag, Freigabe und Einsatzkontext. Der Produktname ersetzt keine Einzelfallentscheidung.