Datenschutz bei KI in Kita und Schule: Was erlaubt ist und was nicht

Diese Seite ersetzt keine Rechtsberatung. Sie ordnet die Praxis: Welche Daten dürfen in KI-Werkzeuge, welche nicht, und worauf kommt es im Alltag wirklich an.

Die zentrale Unterscheidung

Nicht die KI ist das Problem, sondern die Daten, die du hineingibst. Deshalb hilft eine einfache Zweiteilung:

Ohne Personenbezug — unkritisch:

• allgemeine Texte, Vorlagen und Formulierungen,
• Ideen und Strukturen,
• öffentlich zugängliche Informationen,
• Aufgabenstellungen ohne Namen.

Mit Personenbezug — problematisch bis unzulässig:

• Namen von Kindern, Eltern, Beschäftigten,
• Geburtsdaten, Adressen, Kontaktdaten,
• Diagnosen, Förderbedarf, Gesundheitsdaten,
• Beobachtungen und Elterngesprächsinhalte,
• Fotos und Audio mit erkennbaren Personen.

Die zweite Kategorie enthält besondere personenbezogene Daten. Sie in einen Dienst zu geben, für den kein Auftragsverarbeitungsvertrag besteht, ist regelmäßig unzulässig.

Die drei Fragen, die du dir stellen musst

1. Ist ein Personenbezug enthalten? Wenn ja: Kannst du ihn entfernen? „Ein Kind der Gruppe“ statt eines Namens löst viele Fälle.

2. Gibt es einen AV-Vertrag? Lässt du personenbezogene Daten verarbeiten, brauchst du einen Vertrag zur Auftragsverarbeitung. Ohne ihn ist die Nutzung nicht zulässig.

3. Wo liegen die Daten? Ein Serverstandort in der EU erleichtert die Bewertung deutlich. Liegt der Server außerhalb der EU, braucht es zusätzliche Garantien — und für Kinder- und Gesundheitsdaten wird es schnell zu heikel.

Was in der Praxis oft übersehen wird

• Das Training mit Eingaben. Manche Dienste verwenden Eingaben zur Verbesserung der Modelle. Das ist ein weiterer Verarbeitungszweck und muss geklärt sein.
• Browser-Erweiterungen. Sie sehen oft mehr als die eigentliche Website.
• Private Konten für dienstliche Zwecke. Wer beruflich schreibt, sollte ein eindeutig zugeordnetes Konto nutzen.
• Automatische Verlaufsfunktionen. Was gespeichert wird, muss auch geschützt werden.
• Screenshots und Kopien. Ein Screenshot eines Berichts mit Namen ist genauso ein Datentransfer wie ein Text.

Ein pragmatischer Rahmen für euer Team

1. Datenampel einführen. Grün: ohne Personenbezug. Gelb: anonymisierbar. Rot: personenbezogen — keine KI.
2. Werkzeugliste festlegen. Nur geprüfte Werkzeuge nutzen, nicht jedes neue aus dem Netz.
3. Träger einbinden. Datenschutzbeauftragte oder Datenschutzbeauftragter prüft die Liste.
4. Regeln sichtbar machen. Ein Aushang im Teamzimmer wirkt besser als eine E-Mail.
5. Regelmäßig prüfen. Funktionsumfang und Bedingungen ändern sich.

Wenn du unsicher bist

Drei Dinge, die immer gehen:

• Anonymisieren. Gib so wenig Kontext wie möglich, so viel wie nötig.
• Kopieren statt eingeben. Nutze die KI lokal zum Formulieren und trage die Daten erst im geschützten System ein.
• Fragen. Datenschutzbeauftragte, Träger und Schulaufsicht sind genau dafür da. Eine kurze Nachfrage ist billiger als ein Vorfall.

Fazit

KI ist im pädagogischen Alltag datenschutzrechtlich nutzbar — aber nur für die Aufgaben, die ohne personenbezogene Daten auskommen. Diese Aufteilung deckt praktisch alle sinnvollen Einsätze ab: Elternbriefe, Ideen, Vorlagen, Formulierungen, Übersetzungen von Organisationstexten. Was darüber hinaus geht, braucht eine Rechtsgrundlage und einen Vertrag.

Passende Tools

fobizz ansehen schulKI ansehen ChatGPT ansehen Claude ansehen Le Chat ansehen Microsoft Copilot ansehen