Datenschutz & Arbeiten
Darf ich Arbeiten von Lernenden oder Studierenden in ChatGPT hochladen?
Geltungsbereich: EU-Rahmen · Deutschland · Österreich · Schweiz
01Die Grundregel
Die normale schulische Befugnis, Schülerdaten zu verarbeiten, ist keine Befugnis, diese Daten an einen beliebigen externen KI-Anbieter zu übermitteln. Das BMB ordnet schulische Datenverarbeitungen den gesetzlichen Schulaufgaben zu. Entsprechend den Zuständigkeiten am Standort muss geklärt sein, wer datenschutzrechtlich verantwortlich ist und welche Vorgaben Lehrkräfte binden. Für private Clouddienste im IT-gestützten Unterricht nennt das BMB unter anderem eine Auftragsverarbeitervereinbarung für die Auftragsverarbeitung, geeignete rechtliche, technische und organisatorische Maßnahmen, eine Datenschutz-Folgenabschätzung und die Prüfung internationaler Datentransfers.
02Konkrete Eingabefälle
Die folgende Einstufung gilt für den praxisnahen Fall: eine Lehrkraft verwendet selbständig einen gewöhnlichen Consumer-Chatbot, der nicht von der Schule datenschutzrechtlich freigegeben wurde.
| Eingabe | Personenbezug | Bewertung |
|---|---|---|
| Name einer Schülerin oder eines Schülers | eindeutig personenbezogen | problematisch. Für „Formuliere Feedback für Anna H.“ gibt es keinerlei Notwendigkeit, den Namen zu übertragen. |
| „5B“ als bloße Klassenangabe | allein noch nicht individualisierend | nicht eindeutig. „Übungen für eine 5. Klasse“ ist etwas anderes als „die Arbeit des einzigen Schülers aus der 5B, der …“. |
| Note einer bestimmten Person | zuordenbare Leistungsinformation | problematisch. Abstrahieren: „Entwirf Förderung für jemanden auf Niveau …“. |
| Vollständige Arbeit mit Namen | personenbezogen, oft mit weiteren Angaben | problematisch. Nicht in einen Consumer-Dienst. |
| Vollständiger Aufsatz ohne Namen | sehr häufig weiterhin personenbezogen | problematisch. Namenslöschung ist gerade bei autobiografischen Texten keine Anonymisierung. |
| Individuelle Fehleranalyse („Schüler A verwechselt seit Monaten …“) | zuordenbar, enthält Leistungsprofil | problematisch. Das Fehlermuster abstrahieren, nicht die Person beschreiben. |
| Förderbedarf, Diagnose, Gesundheitsangaben | Art. 9 DSGVO möglich | problematisch, bei Gesundheitsbezug besonders deutlich. Neben Art. 6 braucht es eine Ausnahme nach Art. 9 Abs. 2. |
| Stark abstrahierter Textausschnitt | kein Personenbezug, wenn Reidentifizierung ausgeschlossen ist | gut vertretbar. Zwei künstlich konstruierte Fehlersätze statt der ganzen Arbeit. |
03Warum die Korrekturbefugnis nicht genügt
Ein möglicher Denkfehler lautet: Weil ich die Arbeit korrigieren darf, darf ich sie auch an ein KI-System schicken. Das folgt nicht. Die Übermittlung an einen externen Dienst ist selbst eine Verarbeitung beziehungsweise Offenlegung. Art. 5 DSGVO verlangt Zweckbindung und Datenminimierung, Art. 6 eine Rechtsgrundlage, und wenn der Anbieter im Auftrag der Schule verarbeitet, verlangt Art. 28 einen verbindlichen Auftragsverarbeitungsvertrag.
04Consumer-Konto ist nicht Schulkonto
Die aktuellen Produktbedingungen der großen Anbieter zeigen, warum die Unterscheidung zwischen privatem und institutionellem Konto entscheidend ist. OpenAI erfasst Prompts und hochgeladene Dateien als „User Content“; nach den Consumer-Bedingungen können Inhalte mit Opt-out zur Modellverbesserung verwendet werden. Google unterscheidet ausdrücklich zwischen einem von der Bildungseinrichtung kontrollierten Workspace-for-Education-Konto und einem persönlichen Consumer-Konto; für Education-Konten werden Gemini-Chats laut Google nicht zur Verbesserung generativer Modelle verwendet. Anthropic verwendet Consumer-Chats bei entsprechender Einstellung zur Modellverbesserung.
05Besonderheit Hochschule: Seminar-, Bachelor- und Masterarbeiten
An Universitäten und Fachhochschulen treten neben den Datenschutz zusätzliche rechtliche Hürden:
- Geheimhaltungsverträge & Sperrvermerke: Viele Abschlussarbeiten entstehen in Kooperation mit Unternehmen oder Forschungseinrichtungen und enthalten vertrauliche Betriebsdaten oder patentrelevante Forschungsergebnisse. Der Upload in externe LLMs verletzt regelmäßig Vertraulichkeitsvereinbarungen.
- Urheberrecht der Studierenden: Auch Studierende besitzen das Urheberrecht an ihren Texten. Werden Arbeiten ohne Zustimmung in Dienste geladen, deren Nutzungsbedingungen die Weiterverwendung für Modelltraining vorsehen, berührt dies das Verwertungsrecht der Verfasser.
- Prüfungsrecht: Prüfungsgutachten und Zwischenbewertungen sind Teil des Prüfungsverfahrens und dürfen nicht über ungesicherte Drittsysteme abgewickelt werden.
06Regionale Rechtslage in DACH
DeutschlandDSGVO, Landes- & Institutionsrecht
- Gemeinsamer Rahmen: Für identifizierbare Arbeiten gelten insbesondere Zweckbindung, Rechtsgrundlage, Datenminimierung, Sicherheit und die Klärung der Anbieterrolle nach der DSGVO. Ein Vertrag nach Art. 28 ist erforderlich, wenn der Anbieter als Auftragsverarbeiter tätig wird.
- Lokale Ebene: Öffentliche Schulen und Hochschulen müssen zusätzlich das einschlägige Landesrecht und institutionelle Vorgaben beachten. Deshalb kann aus einer allgemeinen DACH-Antwort keine Freigabe für einen privaten Consumer-Account abgeleitet werden.
ÖsterreichSchUG, DSG, UG 2002 & BMB
- Schulbereich: Die Verarbeitung von Daten Lernender stützt sich auf das Schulunterrichtsgesetz, Schulorganisationsrecht und das österreichische DSG. Das BMB stellt klar, dass Clouddienste im Unterricht einer standortbezogenen Klärung von Zweck, Rechtsgrundlage, Auftragsverarbeitung (Art. 28 DSGVO) und ggf. einer Datenschutz-Folgenabschätzung bedürfen.
- Hochschulen: Das Universitätsgesetz 2002 bindet Prüfungsorgane an Amtsverschwiegenheit und datenschutzrechtliche Vorgaben; Noten- und Feedbackerstellung über private Konsumentenkonten bei externen Clouddiensten ist unzulässig.
SchweizrevDSG, Kantone & Educa
- Öffentliche Bildungsinstitutionen: Unterstehen den kantonalen Datenschutzgesetzen (KDSG). Der EDÖB und kantonale Beauftragte stufen Texte von Lernenden als Personendaten ein, wenn Rückschlüsse auf die Verfasser möglich sind.
- Orientierung: Educa empfiehlt, vor einer Übermittlung Rechtsgrundlage, Zweck, Verhältnismäßigkeit, Anbieterrolle und Schutzmaßnahmen institutionell zu prüfen und personenbezogene Daten möglichst zu vermeiden. Für öffentliche Einrichtungen ist das jeweilige kantonale Recht entscheidend.
07Der Workflow, der funktioniert
Statt zu fragen, wie eine Arbeit sicher in das Modell gelangt, hilft zunächst die fachliche Frage: Welche Aufgabe soll das Modell lösen – und braucht es dafür überhaupt Daten einer realen Person? Für viele Aufgaben genügt eine abstrahierte Beschreibung des fachlichen Problems.
Quellen und Einordnung
- Datenschutz-Grundverordnung (EU) 2016/679Rechtsquelle: insbesondere Art. 4, 5, 6, 7, 8, 9, 22, 28, 32, 35 und Kapitel V.
- BMB: Datenschutz in SchulenOffizielle Information: Verantwortlichkeit, Rechtsgrundlagen und Anforderungen an private Clouddienste im IT-gestützten Unterricht, AVV-Vorlage.
- OpenAI – Europe Privacy PolicyAnbieterinformation, Stand 24. August 2026: Prompts und hochgeladene Dateien sind User Content; für Business-Angebote gelten die jeweiligen Kundenverträge.
- OpenAI – Europe Terms of UseAnbieterbedingungen, Stand 16. Jänner 2026: Mindestalter 13 bzw. nationale Mindestgrenze; unter 18 ist die Erlaubnis eines Erziehungsberechtigten nötig. Consumer-Inhalte können mit Opt-out zur Modellverbesserung verwendet werden.
- Google for Education – Privacy & Security FAQAnbieterinformation: Gemini und NotebookLM sind Core Services; Chats in Workspace-for-Education-Konten werden nicht von Menschen geprüft und nicht zur Verbesserung generativer Modelle verwendet.
- Anthropic – Datenspeicherung und ModelltrainingAnbieterinformation: Consumer-Chats werden nur bei entsprechender Nutzereinstellung zur Modellverbesserung verwendet.
- Datenschutzbehörde: Künstliche Intelligenz und DatenschutzOffizielle Information der Datenschutzbehörde: DSGVO und KI-Verordnung gelten nebeneinander.
- Educa: Künstliche Intelligenz aus DatenschutzsichtFachagentur Educa: Schweizer Orientierungsrahmen zur Abgrenzung von Bundes-DSG und kantonalem Datenschutzrecht im Bildungswesen.
Hinweis. Diese Seite bietet allgemeine Orientierung anhand öffentlich zugänglicher Quellen. Sie ist keine Rechtsberatung, kein Erlass und keine Auskunft einer Behörde. Für einen konkreten Fall kann eine Abklärung mit der zuständigen Stelle nötig sein. Redaktioneller Stand: 12. September 2026.