Warum die Frage anders liegt als in einem Unternehmen
In einem Unternehmen entscheidet die Geschäftsführung, welches Werkzeug eingesetzt wird, und trägt das Risiko selbst. An einer Schule ist das anders: verarbeitet werden Daten von Minderjährigen, die Schule handelt als öffentliche Stelle, und die betroffenen Personen können der Verarbeitung praktisch nicht ausweichen.
Diese drei Umstände zusammen führen dazu, dass die üblichen Abkürzungen nicht funktionieren. Eine Einwilligung, die im Unternehmen tragfähig wäre, ist im Klassenzimmer heikel — wer nicht einwilligt, müsste eine andere Aufgabe bekommen, und genau daran scheitert die Freiwilligkeit.
Drei Fragen vor jedem Werkzeug
Bevor ein Dienst zum ersten Mal im Unterricht auftaucht, lassen sich die meisten Probleme mit drei Fragen abräumen. Sie ersetzen keine Prüfung durch die zuständige Stelle, aber sie sortieren schnell aus, was ohnehin nicht in Frage kommt.
Der Reihe nach:
- Werden überhaupt personenbezogene Daten verarbeitet? Ein Arbeitsblatt zum Thema Photosynthese enthält keine — eine Rückmeldung zu einem konkreten Schüleraufsatz sehr wohl.
- Gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO? Ohne ihn darf die Schule den Dienst nicht mit personenbezogenen Daten füttern, unabhängig davon, wie gut das Werkzeug ist.
- Wohin fließen die Daten, und was passiert dort mit ihnen? Werden Eingaben zum Training des Modells verwendet, ist die Sache in aller Regel erledigt.
Warum das kostenlose Konto die schwierigste Variante ist
Der naheliegende Weg — eine Lehrkraft legt sich ein kostenloses Konto an und nutzt es im Unterricht — ist datenschutzrechtlich der schwierigste. Bei den kostenfreien Zugängen fehlt regelmäßig der Auftragsverarbeitungsvertrag, und in mehreren Fällen werden Eingaben standardmäßig zur Verbesserung der Modelle ausgewertet.
Hinzu kommt: das Konto läuft auf die Lehrkraft, nicht auf die Schule. Damit verarbeitet formal eine Privatperson Daten von Schülerinnen und Schülern, ohne dass die Schule das steuern oder dokumentieren könnte.
Die geschäftlichen Tarife derselben Anbieter sehen anders aus: sie bieten Auftragsverarbeitungsverträge an und schließen die Verwendung der Eingaben für das Training aus. Das ist kein Detail für die Buchhaltung, sondern der Unterschied zwischen zulässig und nicht zulässig.
Was nicht in den Prompt gehört
Die wirksamste Regel ist zugleich die einfachste, und sie funktioniert unabhängig vom eingesetzten Werkzeug: was für die Aufgabe nicht gebraucht wird, kommt nicht in die Eingabe.
Konkret heißt das:
- Keine Klarnamen. „Ein Schüler der 8. Klasse schreibt …“ leistet dasselbe wie der echte Name.
- Keine Angaben zu Gesundheit, Herkunft, Religion oder Förderbedarf — das sind besondere Kategorien nach Art. 9 DSGVO und stehen unter deutlich strengerem Schutz.
- Keine vollständigen Klassenlisten, Notenübersichten oder Zeugnisse.
- Keine Originaltexte, aus denen sich eine Person eindeutig erkennen lässt, auch ohne Namen.
Für die häufigsten Anwendungsfälle — Arbeitsblätter erstellen, Aufgaben differenzieren, Texte vereinfachen, Stunden planen — braucht es überhaupt keine personenbezogenen Daten. Genau dort lässt sich sofort und unbedenklich anfangen.
Wie man ein Werkzeug konkret prüft
Anbieter ändern ihre Bedingungen, deshalb hilft keine Liste erlaubter Produkte, sondern eine Liste von Fragen, die man selbst beantworten kann. Alle fünf lassen sich in den öffentlich zugänglichen Unterlagen eines Anbieters nachlesen — meist unter „Datenschutz“, „Trust“ oder „DPA“.
Was zu prüfen ist:
- Bietet der Anbieter einen Auftragsverarbeitungsvertrag an, den die Schule abschließen kann — nicht nur eine Datenschutzerklärung für Verbraucher?
- Ist vertraglich ausgeschlossen, dass Eingaben zum Training der Modelle verwendet werden? Bei vielen Anbietern gilt das nur für zahlende Tarife.
- Wo werden die Daten verarbeitet, und auf welcher Grundlage findet eine Übermittlung in Drittländer statt?
- Sind die Unterauftragnehmer benannt? Ein Anbieter, der selbst auf fremder Infrastruktur läuft, muss das offenlegen.
- Wie lange werden Eingaben gespeichert, und lassen sie sich löschen?
Wer bei einer der fünf Fragen keine belastbare Antwort findet, hat die Antwort trotzdem: dann eignet sich das Werkzeug nicht für Daten von Schülerinnen und Schülern. Für Aufgaben ohne Personenbezug kann es weiterhin gute Dienste leisten.
Vier Prompts, die ohne personenbezogene Daten auskommen
Die häufigsten Aufgaben im Schulalltag brauchen keinen einzigen Namen. Die folgenden Formulierungen lassen sich unverändert übernehmen und mit dem eigenen Fach füllen.
Arbeitsblatt erstellen
Erstelle ein Arbeitsblatt für die 7. Klasse Biologie zum Thema Photosynthese. Sechs Aufgaben, steigender Schwierigkeit, mit Lösungsblatt. Sprache altersgerecht, keine Fachbegriffe ohne Erklärung.
Aufgaben differenzieren
Hier ist eine Aufgabe für die 8. Klasse Mathematik: [Aufgabe einfügen]. Erstelle drei Fassungen — eine mit Hilfestellungen, eine unverändert, eine mit einer weiterführenden Zusatzfrage.
Text vereinfachen
Vereinfache den folgenden Sachtext auf das Sprachniveau der 5. Klasse, ohne den fachlichen Inhalt zu verändern. Behalte alle Fachbegriffe bei, erkläre sie aber beim ersten Vorkommen: [Text einfügen].
Elternbrief entwerfen
Entwirf einen Elternbrief zur Ankündigung eines Wandertags. Sachlich, freundlich, höchstens 150 Wörter. Platzhalter für Datum, Uhrzeit, Treffpunkt und Kosten lässt du in eckigen Klammern stehen.
Auffällig an allen vieren: die eigentliche Arbeit steckt in der Anweisung, nicht in den Daten. Wer so arbeitet, umgeht die Datenschutzfrage nicht — sie stellt sich schlicht nicht.
Die Lage in Bayern
Bayerische Schulen unterliegen neben der DSGVO dem Bayerischen Datenschutzgesetz und den schulrechtlichen Vorgaben. Die Aufsicht führt der Bayerische Landesbeauftragte für den Datenschutz — nicht das Landesamt, das für Unternehmen zuständig ist. Für Schulen ist damit eine andere Stelle Ansprechpartner als für die meisten anderen Einrichtungen im Freistaat.
Das Kultusministerium hat zum Einsatz von KI an Schulen Hinweise veröffentlicht und stellt teilweise eigene Zugänge bereit. Vor jeder eigenen Lösung lohnt daher der Blick darauf, was offiziell bereits zur Verfügung steht: was über den Freistaat läuft, ist geprüft und erspart die Einzelfallbewertung an der einzelnen Schule.
Praktisch bedeutet das eine klare Reihenfolge. Zuerst prüfen, ob es einen offiziellen Zugang gibt. Erst wenn nicht, die eigene Lösung dem behördlichen Datenschutzbeauftragten vorlegen — den hat jede Schule, und er ist genau für diesen Fall da. Der Weg über die Schulleitung ist dabei kein Formalismus: sie ist die verantwortliche Stelle im Sinne der DSGVO, nicht die einzelne Lehrkraft.
Diese Einordnung ersetzt keine Rechtsberatung. Verbindlich sind die Auskünfte der Schulleitung, des behördlichen Datenschutzbeauftragten und der Aufsichtsbehörde.
Ein Vorgehen, das trägt
Wer nicht auf eine abschließende Klärung warten will, kommt mit einer Reihenfolge weiter, die vom Unbedenklichen zum Heikleren führt.
- Mit Aufgaben ohne Personenbezug beginnen: Material erstellen, differenzieren, vereinfachen.
- Schriftlich festhalten, welches Werkzeug wofür genutzt wird — eine halbe Seite genügt und ist im Zweifel das, wonach gefragt wird.
- Die Schulleitung einbeziehen, bevor der Einsatz über die eigene Vorbereitung hinausgeht.
- Erst danach über Zugänge sprechen, bei denen Schülerdaten verarbeitet werden — und dann mit Vertrag.
Häufige Fragen
Darf ich ChatGPT im Unterricht überhaupt einsetzen?
Für Aufgaben ohne personenbezogene Daten — Material erstellen, Texte vereinfachen, Aufgaben differenzieren — spricht datenschutzrechtlich nichts dagegen. Sobald Daten von Schülerinnen und Schülern verarbeitet werden, braucht es einen Auftragsverarbeitungsvertrag und die Abstimmung mit der Schulleitung.
Reicht die Einwilligung der Eltern?
In der Regel nicht. Eine Einwilligung muss freiwillig sein, und im Schulkontext ist das schwer darzustellen: wer nicht einwilligt, dürfte an der Aufgabe nicht teilnehmen. Deshalb stützen Schulen die Verarbeitung üblicherweise auf eine andere Grundlage und nicht auf Einwilligungen.
Was ist mit Schülernamen in Prompts?
Sie sind fast nie nötig. „Ein Schüler der 8. Klasse schreibt …“ liefert dasselbe Ergebnis wie der echte Name und verlagert die Frage gar nicht erst.
Wer haftet, wenn etwas schiefgeht?
Verantwortliche Stelle im Sinne der DSGVO ist die Schule, vertreten durch die Schulleitung — nicht die einzelne Lehrkraft. Genau deshalb sollte ein Einsatz, der über die eigene Unterrichtsvorbereitung hinausgeht, dort angemeldet und dokumentiert sein.