Die Druckversion wird nicht mehr unterstützt und kann Darstellungsfehler aufweisen. Bitte aktualisiere deine Browser-Lesezeichen und verwende stattdessen die Standard-Druckfunktion des Browsers.

aiMOOC

Datenschutz – KI, Profiling und automatisierte Entscheidungen Klasse 12

QR-Code

Datenschutz – KI, Profiling und automatisierte Entscheidungen: Klasse 12

Einleitung

Kurzbeschreibung: Du untersuchst Datenschutzfragen beim Einsatz von KI, Profiling und automatisierter Auswertung. Im Mittelpunkt stehen drei technische Wege: externe Cloud-KI, schulisch kontrollierte Systeme und lokal betriebene KI.

Leitfrage: Wo fließen Daten hin – und wer behält die Kontrolle?

Datenschutz beginnt nicht erst bei einem Datenleck. Entscheidend ist schon vorher: Welche personenbezogenen Daten werden verarbeitet, wofür, wie lange, durch wen und mit welcher Rechtsgrundlage?

Bei KI kommt eine weitere Frage hinzu: Entstehen aus Eingaben neue Bewertungen, Wahrscheinlichkeiten oder Profile über Menschen?

Lernziele

Nach diesem Kurs kannst Du:

Personenbezogene Daten, Profiling und automatisierte Entscheidungen unterscheiden.
Datenflüsse bei Cloud-KI, schulisch kontrollierter KI und lokaler KI vergleichen.
Datenschutzrisiken anhand von Zweck, Rechtsgrundlage, Speicherung, Empfängern und Kontrolle beurteilen.
erklären, warum lokale Verarbeitung Risiken deutlich reduzieren kann, aber nicht automatisch DSGVO-konform ist.
einen schulischen KI-Einsatz auf Transparenz, Datenminimierung, menschliche Kontrolle und mögliche Folgenabschätzungen prüfen.

Grundbegriffe

Begriff	Kurz erklärt	Beispiel Schule
Personenbezogene Daten	Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen.	Name, Nutzerkennung, Stimme, Foto, IP-Adresse, Leistungsdaten oder ein eindeutig zuordenbarer Prompt.
Profiling	Automatisierte Verarbeitung personenbezogener Daten, um persönliche Aspekte zu bewerten oder vorherzusagen.	Ein Lernsystem schätzt aus bisherigen Aufgaben die Wahrscheinlichkeit, dass eine Schülerin eine Kompetenz erreicht.
Automatisierte Entscheidung	Eine Entscheidung wird technisch ohne echte menschliche Entscheidung getroffen.	Ein System weist automatisch einen Förderkurs zu.
KI-Ausgabe	Ein Ergebnis kann selbst neue personenbezogene Daten erzeugen.	„Hohe Wahrscheinlichkeit für Prüfungsangst“ wäre eine neue Bewertung über eine Person.

Wichtig: Profiling und automatisierte Entscheidung sind nicht dasselbe. Profiling kann stattfinden, ohne dass schon eine Entscheidung fällt. Eine automatisierte Entscheidung kann wiederum auf Profiling beruhen.

Profiling nach der DSGVO

Art. 4 Nr. 4 DSGVO beschreibt Profiling als automatisierte Verarbeitung personenbezogener Daten, bei der persönliche Aspekte bewertet werden. Dazu können etwa Leistung, Interessen, Zuverlässigkeit, Verhalten oder Aufenthaltsort gehören.

Ein KI-System, das nur einen anonymen Text zusammenfasst, erstellt deshalb nicht automatisch ein Profil. Ein System, das dagegen dauerhaft individuelle Leistungsdaten auswertet und daraus Prognosen über eine bestimmte Person ableitet, kann Profiling durchführen.

Automatisierte Entscheidungen nach Art. 22 DSGVO

Art. 22 DSGVO schützt Menschen besonders, wenn eine Entscheidung:

ausschließlich automatisiert getroffen wird und
rechtliche Wirkung entfaltet oder eine Person ähnlich erheblich beeinträchtigt.

Beispiele können Kreditentscheidungen, Bewerbungsentscheidungen oder schulische Entscheidungen mit erheblicher Wirkung sein.

Ein Mensch im Prozess genügt nicht nur auf dem Papier. Wenn eine Lehrkraft oder Sachbearbeitung einen KI-Vorschlag praktisch immer ungeprüft übernimmt, fehlt echte menschliche Entscheidungsmacht.

Fall SCHUFA: Wann wird ein Score selbst zur Entscheidung?

Der EuGH entschied 2023 in der Rechtssache C-634/21: Ein Scoring kann selbst als automatisierte Entscheidung im Sinne der DSGVO gelten, wenn das Ergebnis für die spätere Entscheidung eines Unternehmens eine maßgebliche Rolle spielt.

Für KI-Systeme bedeutet das: Nicht nur der letzte Klick „Genehmigen“ oder „Ablehnen“ zählt. Auch ein vorgelagertes KI-Rating kann rechtlich entscheidend werden, wenn Menschen sich faktisch daran orientieren.

Drei technische Modelle im Vergleich

Merkmal	Externe Cloud-KI	Schulisch kontrolliertes System	Lokale KI
Typischer Datenfluss	Browser oder App → externer KI-Anbieter → dessen Infrastruktur	Schulgerät → schulische Plattform oder Gateway → ggf. vertraglich eingebundener KI-Dienst	Schulgerät oder Schulserver → lokales Modell
Prompt-Inhalte	Verlassen regelmäßig die schulische Umgebung.	Können technisch gefiltert, pseudonymisiert oder nur begrenzt weitergegeben werden.	Bleiben bei echter Offline- oder On-Premise-Verarbeitung lokal.
Metadaten	Anbieter kann je nach Dienst z. B. Konto-, Geräte-, Zeit- oder Netzwerkdaten erhalten.	Direkte Nutzermetadaten können durch schulische Vermittlung reduziert werden.	Bei echter Offline-Nutzung entstehen keine externen Übermittlungen für die Inferenz.
Speicherung	Nach Regeln und Verträgen des externen Dienstes.	Speicherfristen können schulisch bzw. vertraglich enger festgelegt werden.	Schule bestimmt lokale Speicherung und Löschung.
Training mit Eingaben	Hängt von Dienst, Vertrag und Einstellungen ab.	Kann technisch oder vertraglich ausgeschlossen werden.	Kein externes Training; lokales Nachtraining muss trotzdem datenschutzrechtlich geprüft werden.
Drittstaatentransfer	Je nach Anbieter und Verarbeitung möglich.	Hängt von Hosting, Auftragsverarbeitung und Unterauftragnehmern ab.	Bei vollständig lokaler Verarbeitung typischerweise kein externer Datentransfer.
Kontrolle	Eher gering	Mittel bis hoch	Hoch
Datenschutzrisiko durch externe Offenlegung	Eher hoch	Reduziert	Deutlich reduziert

Merksatz: Je weniger personenbezogene Daten die schulische Umgebung verlassen, desto kleiner wird typischerweise das Risiko unkontrollierter Weitergabe.

Externe Cloud-KI

Eine direkt genutzte Cloud-KI verarbeitet Eingaben auf fremder Infrastruktur. Neben dem eigentlichen Prompt können technische Nutzungsdaten anfallen. Bei sensiblen schulischen Inhalten steigt das Risiko besonders.

Datenschutzfreundlicher Ansatz: Keine echten Namen, Gesundheitsdaten, Notenlisten, Fotos, Stimmen oder identifizierbaren Schülerarbeiten in nicht freigegebene Systeme eingeben.

Schulisch kontrollierte Systeme

Ein schulisch kontrolliertes System kann Konten verwalten, Protokolle begrenzen, Eingaben filtern, Speicherfristen festlegen und Verträge zur Auftragsverarbeitung nutzen.

Aber: Hinter einer schulischen Oberfläche kann trotzdem ein externes Cloud-Modell arbeiten. Dann muss geprüft werden, welche Inhalte den externen Dienst tatsächlich erreichen.

Lokale KI

Bei lokaler KI läuft das Modell auf einem schulischen Rechner, Server oder Endgerät. Bei echter Offline-Verarbeitung müssen Prompts und Ausgaben nicht an einen Modellanbieter übertragen werden.

Das reduziert vor allem:

externe Datenübermittlungen,
Abhängigkeit von fremden Speicherregeln,
Weitergabe von Metadaten,
Risiken durch Drittanbieter und Drittstaatentransfers.

Lokal bedeutet nicht automatisch DSGVO-konform

Auch eine lokale KI kann rechtswidrig eingesetzt werden.

Prüffrage	Warum sie auch lokal bleibt
Gibt es einen klaren Zweck?	Daten dürfen nicht „einfach vorsorglich“ gesammelt werden.
Gibt es eine Rechtsgrundlage?	Lokale Speicherung ersetzt keine rechtliche Erlaubnis.
Werden nur notwendige Daten genutzt?	Datenminimierung gilt unabhängig vom Serverstandort.
Wie lange werden Daten gespeichert?	Auch lokale Logs und Chatverläufe brauchen Löschregeln.
Wer darf zugreifen?	Rollen, Rechte und technische Sicherung bleiben erforderlich.
Können Betroffene ihre Rechte ausüben?	Auskunft, Berichtigung oder Löschung müssen praktisch möglich sein.
Entsteht Profiling?	Auch ein lokales System kann Lern-, Verhaltens- oder Leistungsprofile erzeugen.
Trifft die KI erhebliche Entscheidungen?	Art. 22 DSGVO hängt von der Entscheidungswirkung ab, nicht vom Standort des Servers.
Ist eine DSFA nötig?	Bei voraussichtlich hohem Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein.

Kernaussage: Lokale Verarbeitung ist ein starker technischer Datenschutzbaustein. Sie ist aber nur ein Teil der rechtlichen Gesamtprüfung.

Datenschutzprinzipien für KI

Prinzip	Leitfrage
Rechtmäßigkeit	Darf die Schule diese Daten für diesen Zweck verarbeiten?
Zweckbindung	Wurde der Zweck vor der Verarbeitung festgelegt?
Datenminimierung	Braucht die KI wirklich alle eingegebenen Informationen?
Transparenz	Wissen Betroffene, was verarbeitet wird und welche Folgen entstehen?
Richtigkeit	Können falsche KI-Aussagen über Personen berichtigt werden?
Speicherbegrenzung	Wann werden Prompt, Profil und Protokoll gelöscht?
Integrität und Vertraulichkeit	Sind Zugriff, Übertragung und Speicherung angemessen geschützt?
Rechenschaftspflicht	Kann die Schule ihre Entscheidungen und Schutzmaßnahmen dokumentieren?

Privacy by Design

Datenschutzfreundliche Systeme versuchen Risiken technisch bereits vor der Nutzung zu reduzieren. Beispiele sind lokale Verarbeitung, kurze Speicherfristen, Pseudonyme, deaktivierte Trainingsnutzung, getrennte Rollen und ein möglichst kleiner Datenumfang.

Die Datenschutzkonferenz bewertet technisch geschlossene Systeme aus Datenschutzsicht grundsätzlich als vorzugswürdig. Das ersetzt aber nicht die Prüfung von Rechtsgrundlage, Transparenz und Betroffenenrechten.

Schule als besonderer Kontext

Schülerinnen und Schüler befinden sich in einem institutionellen Abhängigkeitsverhältnis. Deshalb ist eine angeblich „freiwillige“ Einwilligung nicht in jeder Situation eine geeignete Grundlage.

Besonders kritisch sind:

KI-gestützte Benotung,
dauerhafte Leistungs- oder Verhaltensprofile,
Verarbeitung besonderer Kategorien personenbezogener Daten,
Gesicht-, Stimm- oder Emotionserkennung,
automatisierte Entscheidungen mit erheblicher Wirkung.

Drei kurze Schulbeispiele

Fall	Bewertung
A: Öffentlicher Chatbot	Eine Schülerin lädt eine Hausarbeit mit Name und Angaben zu einer Erkrankung hoch. Hohe Datenschutzrisiken durch personenbezogene und besonders sensible Daten sowie externe Übermittlung.
B: Schulplattform mit Gateway	Pseudonyme Konten, kurze Speicherfrist, kein Training mit Eingaben und vertraglich geregelter Dienst. Risiko deutlich reduziert, aber Rechtsgrundlage, Datenfluss und Auftragsverarbeitung bleiben zu prüfen.
C: Lokale Bewertungs-KI	Das Modell läuft offline, vergibt aber automatisch eine Zeugnisnote. Kaum externes Übermittlungsrisiko, trotzdem erhebliche Probleme bei automatisierter Entscheidung und schulrechtlicher Zulässigkeit.

Entscheidend: Datenschutzrisiko und Datenfluss sind zwei verschiedene Ebenen. Ein System kann technisch abgeschottet und trotzdem für einen bestimmten Zweck unzulässig sein.

KI-Verordnung und Schule: Stand 07.10.2026

Die europäische KI-Verordnung ergänzt die DSGVO, ersetzt sie aber nicht.

Nach der konsolidierten Fassung der KI-Verordnung gelten viele Regelungen seit dem 2. August 2026. Für Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 und Anhang III ist der aktuelle Anwendungsbeginn auf den 2. Dezember 2027 gelegt.

In Anhang III werden für Bildung unter anderem KI-Systeme genannt, die für Zugang oder Zulassung, die Bewertung von Lernergebnissen, die Bestimmung eines Bildungsniveaus oder die Überwachung verbotenen Verhaltens bei Prüfungen bestimmt sind.

Für Klasse 12 ist deshalb besonders wichtig: Eine KI, die nur beim Formulieren hilft, ist rechtlich anders zu bewerten als ein System, das Leistungen bewertet oder Bildungsentscheidungen beeinflusst.

Prüfschema: Ist ein KI-Einsatz datenschutzfreundlich?

Schritt	Frage
1 Zweck	Was soll die KI konkret tun?
2 Daten	Welche personenbezogenen Daten sind wirklich nötig?
3 Datenfluss	Wohin gehen Prompt, Dateien, Metadaten und Ausgaben?
4 Beteiligte	Wer ist verantwortlich, wer verarbeitet im Auftrag, wer erhält Daten?
5 Speicherung	Wo und wie lange werden Daten gespeichert?
6 Training	Werden Eingaben oder Ausgaben zum Training genutzt?
7 Rechtsgrundlage	Welche Rechtsgrundlage trägt jeden Verarbeitungsschritt?
8 Betroffenenrechte	Sind Information, Auskunft, Berichtigung und Löschung umsetzbar?
9 Entscheidung	Beeinflusst die KI eine Person erheblich oder entscheidet sie faktisch selbst?
10 Risiko	Ist wegen eines voraussichtlich hohen Risikos eine DSFA erforderlich?

Medien und Medienrechte

Die folgenden Wikimedia-Commons-Dateien wurden vor Einbau auf Existenz und Lizenz geprüft.

Medium	Lizenz / Status	Nachweis
	Amtliche EU-Veröffentlichung; auf Commons als Public-Domain bzw. EU-Wiederverwendung mit Attribution ausgewiesen	Commons-Dateiseite
	CC BY-SA 3.0 / GFDL	Commons-Dateiseite
	CC BY-SA 3.0	Commons-Dateiseite
	CC0	Commons-Dateiseite
	CC BY-SA 2.0	Commons-Dateiseite
	Public Domain wegen einfacher geometrischer Form	Commons-Dateiseite

Die YouTube-Videos werden ausschließlich über den offiziellen eingebetteten Player verwendet. Es wird keine freie Lizenz der Videos behauptet. Die Rechte verbleiben bei den jeweiligen Rechteinhabern. YouTube erlaubt das Einbetten über den bereitgestellten Player nach seinen Nutzungsbedingungen.

Fachliche Quellen und Rechtsstand

Stand der Prüfung: 07.10.2026

Datenschutz-Grundverordnung auf EUR-Lex: insbesondere Art. 4, 5, 6, 9, 12–15, 22, 25, 28, 32, 35 und Kapitel V.
Europäischer Datenschutzausschuss: Automatisierte Entscheidungsfindung und Profiling: Leitlinie zu Art. 22 DSGVO.
Datenschutzkonferenz: Künstliche Intelligenz und Datenschutz, Version 1.0: Auswahl, Implementierung und Nutzung von KI-Anwendungen.
EDSA Stellungnahme 28/2024: Datenschutzaspekte bei der Verarbeitung personenbezogener Daten im Zusammenhang mit KI-Modellen.
EuGH C-634/21, SCHUFA Scoring: maßgebliche Rolle eines Scores bei einer späteren Entscheidung.
LfDI Baden-Württemberg: Rechtsgrundlagen im Datenschutz beim Einsatz von KI, Version 2.0: mit schulbezogenen Hinweisen.
KI-Verordnung auf EUR-Lex: konsolidierte Fassung mit Anwendungsfristen und Anhang III.
Europäische Kommission: AI Act: aktueller Überblick zu Anwendung und Fristen.
Europäische Kommission: Leitlinien für den ethischen Einsatz von KI und Daten in Lehren und Lernen: schulischer und pädagogischer Kontext.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Was beschreibt Profiling im Sinne der DSGVO am besten? (Automatisierte Verarbeitung personenbezogener Daten zur Bewertung persönlicher Aspekte) (!Jede Nutzung eines Computers im Unterricht) (!Nur das Speichern eines Namens) (!Jede anonyme Statistik)

Wann ist Art. 22 DSGVO besonders relevant? (Bei einer ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung) (!Bei jeder Rechtschreibkorrektur) (!Nur bei vollständig anonymen Daten) (!Nur wenn ein Computer offline ist)

Welche Variante reduziert externe Datenübermittlungen am stärksten? (Eine echte lokale Offline-KI auf einem schulischen Gerät) (!Ein öffentliches Cloud-Chatkonto) (!Eine Suchmaschine mit Nutzerkonto) (!Ein soziales Netzwerk mit KI-Assistent)

Warum ist lokale KI nicht automatisch DSGVO-konform? (Auch lokal bleiben Zweck Rechtsgrundlage Datenminimierung und Betroffenenrechte zu prüfen) (!Weil lokale Rechner niemals verschlüsselt werden können) (!Weil die DSGVO nur für Cloud-Dienste gilt) (!Weil lokale KI grundsätzlich verboten ist)

Was kann bei einem schulisch kontrollierten Gateway trotzdem passieren? (Prompt-Inhalte können an einen vertraglich eingebundenen externen KI-Dienst weitergegeben werden) (!Alle Daten werden automatisch anonym) (!Die DSGVO gilt nicht mehr) (!Es entstehen niemals Protokolldaten)

Was bedeutet Datenminimierung? (Nur die für den Zweck notwendigen personenbezogenen Daten verarbeiten) (!Alle verfügbaren Daten möglichst lange speichern) (!Daten nur in kleine Dateien aufteilen) (!Personenbezogene Daten immer öffentlich machen)

Was kennzeichnet echte menschliche Kontrolle bei einer KI-Entscheidung? (Der Mensch prüft den Vorschlag eigenständig und kann begründet anders entscheiden) (!Der Mensch klickt jeden KI-Vorschlag ohne Prüfung durch) (!Der Mensch sieht nur das Endergebnis nach der Entscheidung) (!Die KI bestätigt ihre eigene Entscheidung)

Welche Aussage trifft den EuGH-Fall SCHUFA Scoring? (Ein Score kann selbst als automatisierte Entscheidung gelten wenn er eine maßgebliche Rolle für die spätere Entscheidung spielt) (!Ein Score ist niemals datenschutzrechtlich relevant) (!Nur staatliche Stellen dürfen Profiling betreiben) (!Art 22 gilt nur für Gesichtserkennung)

Welche Datenart verlangt regelmäßig besondere Vorsicht? (Gesundheitsdaten) (!Eine anonyme Zufallszahl) (!Der Titel eines Schulbuchs) (!Eine allgemeine Wetterangabe)

Welcher schulische KI-Einsatz ist in der KI-Verordnung als möglicher Hochrisiko-Anwendungsfall aufgeführt? (Ein System zur Bewertung von Lernergebnissen) (!Ein Taschenrechner ohne KI) (!Ein Beamer zur Anzeige einer Folie) (!Ein Texteditor ohne Personenbezug)

Memory

Profiling	Bewertung persönlicher Aspekte
Datenminimierung	Nur notwendige Daten verarbeiten
Lokale KI	Inferenz auf eigenem Gerät oder Server
Cloud-KI	Verarbeitung bei externem Anbieter
Auftragsverarbeitung	Verarbeitung nach Weisung des Verantwortlichen
DSFA	Prüfung voraussichtlich hoher Risiken
Art 22 DSGVO	Schutz vor erheblich wirkender vollautomatisierter Entscheidung
Privacy by Design	Datenschutz durch Technikgestaltung

Drag and Drop

Ordne die richtigen Begriffe zu.	Thema
Externe Cloud-KI	Prompts verlassen typischerweise die schulische Umgebung
Schulisch kontrolliertes System	Datenflüsse werden durch technische und vertragliche Regeln begrenzt
Lokale KI	Inferenz kann vollständig auf eigener Infrastruktur stattfinden
Profiling	Persönliche Aspekte werden automatisiert bewertet oder vorhergesagt
Menschliche Kontrolle	Ein Mensch prüft eigenständig und kann vom KI-Vorschlag abweichen

...

Kreuzworträtsel

Profiling	Wie heißt die automatisierte Bewertung persönlicher Aspekte?
Transparenz	Welches Prinzip verlangt nachvollziehbare Informationen über eine Datenverarbeitung?
Cloud	Wie heißt eine externe Rechenumgebung im Internet mit einem englischen Wort?
Datenminimierung	Welches Prinzip fordert möglichst wenige notwendige personenbezogene Daten?
Pseudonymisierung	Wie heißt das Ersetzen direkt identifizierender Merkmale durch Kennungen?
Risikoanalyse	Welche Prüfung untersucht mögliche Gefahren einer Verarbeitung systematisch?

LearningApps

Lückentext

Bei

werden personenbezogene Daten automatisiert genutzt, um persönliche Aspekte zu bewerten. Eine ausschließlich automatisierte Entscheidung mit erheblicher Wirkung fällt in den besonderen Schutzbereich von

. Bei externer Cloud-KI verlassen Eingaben häufig die eigene

. Ein schulisch kontrolliertes Gateway kann direkte Nutzermetadaten und Datenflüsse stärker

. Bei echter lokaler KI kann die Inferenz ohne Übermittlung an einen externen

stattfinden. Trotzdem braucht auch lokale Verarbeitung eine passende

. Der Grundsatz der

verlangt, nur notwendige personenbezogene Daten zu verarbeiten. Bei voraussichtlich hohem Risiko kann eine

erforderlich sein.

Offene Aufgaben

Leicht

Datenfluss-Skizze: Zeichne für eine Cloud-KI den Weg von Prompt, Antwort und möglichen Metadaten vom Schulgerät bis zum Anbieter.
Datensparsame Prompts: Überarbeite fünf Beispielprompts so, dass unnötige Namen, Orte und persönliche Merkmale entfernt werden.
Profiling erkennen: Sammle drei schulische Beispiele und entscheide jeweils begründet, ob Profiling vorliegt.
Lokal oder Cloud: Fotografiere oder skizziere zwei technische Setups und markiere, wo personenbezogene Daten die schulische Umgebung verlassen könnten.

Standard

Systemvergleich: Bewerte eine externe Cloud-KI, ein schulisch kontrolliertes Gateway und eine lokale KI mit einem selbst entwickelten Kriterienraster.
Datenschutzinformation: Entwirf eine kurze, verständliche Information für Schülerinnen und Schüler zu einem fiktiven schulischen KI-System.
Human in the Loop: Entwickle einen Ablauf, in dem eine KI eine Empfehlung erstellt, ein Mensch aber tatsächlich eigenständig entscheidet.
Mediencheck: Prüfe ein KI-Erklärvideo auf Quelle, Aktualität, Rechte und fachliche Genauigkeit und dokumentiere Dein Ergebnis.

Schwer

Datenschutz-Folgenabschätzung: Erstelle für ein fiktives KI-System zur Lernstandsdiagnose eine vereinfachte Risikoanalyse mit Schutzmaßnahmen.
Architekturentwurf: Plane eine datensparsame schulische KI-Architektur und begründe, welche Komponenten lokal und welche extern betrieben werden.
Fallanalyse Art 22: Übertrage die Kernaussage des EuGH-Falls SCHUFA Scoring auf ein schulisches Bewertungssystem und diskutiere Grenzen der Vergleichbarkeit.
Debatte KI-Bewertung: Produziere ein kurzes Video oder Podcastgespräch zur Frage, ob KI Leistungsbewertungen vorbereiten darf, und trenne technische von rechtlichen Argumenten.

Lernkontrolle

Transferfall Cloud: Eine Schule möchte einen öffentlichen KI-Chatbot für individuelle Lernberatung nutzen. Entwickle drei Änderungen, die den Datenfluss datenschutzfreundlicher machen, und begründe ihre Wirkung.
Transferfall Lokal: Ein vollständig lokales System speichert fünf Jahre lang individuelle Lernprofile. Erkläre, warum der fehlende Cloud-Transfer allein das Problem nicht löst.
Entscheidungskette: Eine KI erzeugt einen Risikoscore und eine Lehrkraft übernimmt ihn fast immer. Prüfe, welche Bedeutung echte menschliche Kontrolle in diesem Ablauf hat.
Systemwahl: Entscheide für eine sensible Schülerberatung zwischen externer Cloud-KI, schulischem Gateway und lokaler KI. Begründe Deine Wahl anhand von mindestens vier Datenschutzkriterien.
Zweckänderung: Lernstands-Daten sollen später zum Training eines neuen Modells genutzt werden. Erkläre, warum der ursprüngliche Erhebungszweck nicht automatisch diese neue Verarbeitung abdeckt.
Rechtsrahmen: Zeige an einem selbst gewählten Schulbeispiel, wie DSGVO und KI-Verordnung nebeneinander wirken können, ohne dieselben Fragen zu regeln.

Lernnachweis

Für einen überzeugenden Lernnachweis solltest Du zeigen, dass Du:

Profiling von einer automatisierten Entscheidung unterscheiden kannst.
Art. 22 DSGVO auf einen konkreten Fall anwenden kannst.
Datenflüsse zwischen Gerät, Schulplattform, externem Anbieter und lokalem Server nachvollziehbar darstellen kannst.
Speicherorte, Speicherfristen, Training und Metadaten in Deine Bewertung einbeziehst.
erklären kannst, warum lokale Verarbeitung das Risiko externer Offenlegung reduziert.
zugleich begründen kannst, warum lokal betriebene KI nicht automatisch rechtmäßig ist.
technische Schutzmaßnahmen und rechtliche Anforderungen voneinander unterscheiden kannst.
Quellen nach Aktualität, Institution und Medienrechten bewerten kannst.