Lernstand-App „LernRadar“: Prognosen, Standortdaten und ein Löschverlangen

1. Datenminimierung und Zweckbindung (Art. 5 Abs. 1 lit. b und c DSGVO): GPS-Standort und Geräte-ID sind für eine Lernstandserhebung nicht erforderlich. Der Standort ist besonders heikel, weil er Aufenthaltsorte außerhalb der Schule verrät; die Geräte-ID erlaubt eine Wiedererkennung über die Schule hinaus. Beides ist zu streichen, nicht nur zu anonymisieren.

2. Rechtsgrundlage und Einwilligung Minderjähriger (Art. 6, Art. 8 DSGVO): Die Schule verarbeitet im Rahmen ihres Bildungsauftrags – dafür braucht es eine Rechtsgrundlage im Landesrecht. Für freiwillige Zusatzfunktionen (Prognose, Standort) wäre eine Einwilligung nötig; in Deutschland gilt die Altersgrenze von 16 Jahren, darunter müssen Erziehungsberechtigte einwilligen. Eine pauschale Einwilligung beim ersten Login deckt das nicht.

3. Übermittlung in die USA (Art. 44 ff. DSGVO): EduCloud Inc. ist Auftragsverarbeiter (Art. 28), es fehlt ein Auftragsverarbeitungsvertrag. Für den Drittlandtransfer braucht es eine tragfähige Grundlage (Angemessenheitsbeschluss bzw. Standardvertragsklauseln) plus eine Prüfung, ob die Daten dort sicher sind. Der Zugriff der 12 Lehrkräfte auf alle Klassen ist zusätzlich ein Berechtigungsproblem.

4. Speicherdauer (Art. 5 Abs. 1 lit. e DSGVO): Fünf Jahre „pauschal“ sind ohne Zweck nicht begründbar. Löschfristen gehören pro Datenkategorie festgelegt – Aufgabenbearbeitungen kürzer als Zeugnisdaten, Standortdaten sofort.

5. Transparenz und Betroffenenrechte (Art. 13/14, 15, 17 DSGVO): Über das Prognosemodul wird nicht informiert; Auskunft und Löschung müssen binnen eines Monats beantwortet werden (Art. 12 Abs. 3). Auch ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30) ist zu führen.

Rechtlich: Es handelt sich um Profiling (Art. 4 Nr. 4 DSGVO). Art. 22 greift nur bei einer ausschließlich automatisierten Entscheidung mit rechtlicher Wirkung oder erheblicher Beeinträchtigung. Hier entscheiden Lehrkräfte im Gespräch – die Markierung ist ein Input, keine Entscheidung. Art. 22 ist damit nicht unmittelbar einschlägig, was das Modul aber nicht rechtfertigt: Es braucht eine Rechtsgrundlage, Transparenz (Art. 13/14) und eine Dokumentation der Funktionsweise.

Ethisch schwerwiegender als die Rechtsfrage:

1. Labeling: Eine Markierung „hohes Risiko“ verändert die Erwartungen der Lehrkraft und kann zur selbsterfüllenden Prophezeiung werden. Die Prognose beeinflusst das Verhalten – und damit das Ergebnis, das sie vorhersagen sollte.
2. Keine Kenntnis der Betroffenen: Eltern und Lernende erfahren nichts. Das verletzt nicht nur Transparenzpflichten, sondern nimmt die Möglichkeit, sich zu wehren.
3. Datenqualität und Diskriminierung: Ein Modell, das auf Bearbeitungszeit und Geräte-ID trainiert, misst womöglich die Ausstattung zu Hause statt die Leistungsfähigkeit. Systematische Verzerrungen sind bei kleinen Datenmengen (640 Lernende) kaum nachweisbar.
4. Verhältnismäßigkeit: Der Nutzen (frühe Förderung) ist real, aber es gibt mildere Mittel – etwa aggregierte Rückmeldung auf Klassenebene ohne Personenbezug.

Empfehlungen: (a) Information der Betroffenen vorab, (b) menschliche Letztentscheidung explizit dokumentieren und schulen, (c) Evaluation der Trefferquote vor dem Einsatz, (d) Alternativ Variante mit klassenbezogenen Kennzahlen prüfen, (e) bei Beibehaltung: Datenschutz-Folgenabschätzung (Art. 35) und Beteiligung der Datenschutzbeauftragten. Kurz: Das Modul ist nicht automatisch verboten, aber in der beschriebenen Form weder transparent noch ausreichend belegt.

1. Identität und Berechtigung prüfen: Bei minderjährigen Kindern ist zu klären, ob der Vater sorgeberechtigt ist. Das ist keine Formalie – Auskunft an die falsche Person wäre selbst ein Datenschutzverstoß.

2. Auskunft zusammenstellen (Art. 15 DSGVO): Strukturierte Übersicht aller zur Tochter gespeicherten Daten: Zwecke, Kategorien, Empfänger (inkl. EduCloud Inc.), Speicherdauer, Herkunft. Dazu eine Kopie der personenbezogenen Daten. Achtung: Rechte Dritter (Lehrkräfte, Mitschüler) dürfen nicht mitgeliefert werden.

3. Löschung prüfen (Art. 17 DSGVO): Löschen, was ohne Rechtsgrundlage oder nach Zweckerreichung gespeichert ist – insbesondere GPS-Daten, Geräte-ID und die Risikomarkierung. Grenzen: Daten, für die Aufbewahrungspflichten oder die ordnungsgemäße Dokumentation von Zeugnissen gelten, bleiben bestehen; das ist zu begründen, nicht nur zu behaupten. Daten in Backups werden mit dem nächsten Zyklus gelöscht.

4. Frist und Form: Antwort innerhalb eines Monats nach Eingang (Art. 12 Abs. 3), bei Komplexität um bis zu zwei weitere Monate verlängerbar – mit Zwischennachricht. Schriftlich, nachvollziehbar, in verständlicher Sprache.

5. Technische Durchsetzung: Der Anbieter muss die Löschung tatsächlich vollziehen; dafür braucht es den Auftragsverarbeitungsvertrag und eine bestätigte Löschroutine. Ohne diese Bestätigung ist die Antwort unvollständig.

6. Nachbereitung: Vorfall intern dokumentieren, Datenschutzbeauftragte einbinden. Wenn die Prognosedaten ohne Rechtsgrundlage verarbeitet wurden, ist das ein meldepflichtiger Sachverhalt (Art. 33) – die Frist von 72 Stunden gilt ab Kenntnis.

Kernpunkt: Auskunft und Löschung sind keine Kulanz, sondern Pflichten mit Frist. Wer sie als Störung behandelt, verschärft das Problem – der Vater kann sich an die Aufsichtsbehörde wenden.