DSGVO-konforme Lernplattform: Datenschutz im LMS richtig umsetzen

Eine Lernplattform weiß viel über Ihre Mitarbeiter: wer welche Schulung wann abgeschlossen hat, wie gut ein Test ausgefallen ist und wer eine Pflichtunterweisung noch offen hat. Das sind personenbezogene Daten, und sie berühren das Arbeitsverhältnis direkt. Wer ein LMS einführt oder entwickeln lässt, sollte den Datenschutz deshalb nicht erst kurz vor dem Start klären. Dieser Artikel zeigt, worauf es bei einer DSGVO-konformen Lernplattform ankommt.

Hinweis: Der Artikel beschreibt die technische und organisatorische Umsetzung und ersetzt keine Rechtsberatung. Stimmen Sie Ihr Vorhaben mit Ihrem Datenschutzbeauftragten ab.

• Stammdaten: Name, E-Mail, Abteilung, Standort, Rolle
• Lerndaten: begonnene und abgeschlossene Kurse, Fortschritt, Bearbeitungszeiten
• Ergebnisse: Testergebnisse, Zertifikate, Ablaufdaten von Nachweisen
• Nutzungsdaten: Anmeldungen, IP-Adressen, technische Protokolle
• Kommunikation: Kommentare, Fragen an Trainer, Forenbeiträge

Besonders Ergebnisse und Nutzungsdaten sind heikel, weil sie Rückschlüsse auf Leistung und Verhalten zulassen.

Für Pflichtschulungen wie Arbeitsschutz- oder Datenschutzunterweisungen ergibt sich die Verarbeitung meist aus gesetzlichen Pflichten des Arbeitgebers oder aus dem Arbeitsverhältnis. Bei freiwilligen Weiterbildungen ist die Lage weniger eindeutig. Eine Einwilligung ist im Arbeitsverhältnis nur wirksam, wenn sie wirklich freiwillig ist. Legen Sie deshalb für jede Art von Kurs fest, zu welchem Zweck welche Daten erhoben werden, und halten Sie das im Verzeichnis der Verarbeitungstätigkeiten fest.

Eine Lernplattform ist in der Regel eine technische Einrichtung, mit der sich Leistung und Verhalten von Beschäftigten auswerten lassen. Nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz hat der Betriebsrat dabei ein Mitbestimmungsrecht. In der Praxis wird eine Betriebsvereinbarung geschlossen, die regelt, wer welche Auswertungen sehen darf und wofür sie nicht verwendet werden, zum Beispiel nicht für Leistungsbeurteilungen.

Wer den Betriebsrat schon bei den Anforderungen einbindet, spart später Umbauten. Viele Punkte aus der Betriebsvereinbarung lassen sich direkt technisch umsetzen, etwa über Rollen und Rechte.

Viele bekannte Lernplattformen werden als Software as a Service von Anbietern außerhalb der EU betrieben. Dann kommen Fragen zur Datenübermittlung in Drittländer hinzu. Für die USA gibt es zwar seit 2023 wieder einen Angemessenheitsbeschluss für zertifizierte Unternehmen, trotzdem verlangen viele Datenschutzbeauftragte und Betriebsräte einen Betrieb in Deutschland oder der EU.

Mit jedem Dienstleister, der personenbezogene Daten verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung. Das gilt für den Betreiber der Plattform ebenso wie für Dienste, die im Hintergrund eingebunden sind, etwa für E-Mail-Versand, Videohosting oder KI-Funktionen. Die Lernplattformen, die wir entwickeln, betreiben wir auf Servern in Deutschland.

Moderne Lernstandards können sehr detailliert aufzeichnen, was ein Lernender tut. Mit xAPI lässt sich theoretisch jeder Klick, jede Antwort und jede Verweildauer speichern. Technisch ist das reizvoll, datenschutzrechtlich aber oft zu viel. Legen Sie fest, welche Ereignisse wirklich gebraucht werden, und speichern Sie den Rest nicht oder nur zusammengefasst. Das gilt auch für den Learning Record Store, in dem xAPI-Daten abgelegt werden.

Wie die Standards funktionieren, erklärt unser Artikel SCORM und xAPI einfach erklärt.

KI kann Lernpfade personalisieren, Fragen beantworten oder Inhalte zusammenfassen. Sobald ein KI-System aber Lernergebnisse bewertet oder darüber mitentscheidet, wer Zugang zu einer Weiterbildung bekommt, kann es nach dem EU AI Act als Hochrisiko-System gelten. Dann gelten strengere Pflichten für Dokumentation, Transparenz und menschliche Aufsicht. Klären Sie deshalb früh, welche Rolle KI in Ihrer Plattform spielen soll. Mehr dazu in unserem Artikel über Schatten-IT durch KI, EU AI Act und DSGVO.

• Verzeichnis der Verarbeitungstätigkeiten für die Lernplattform angelegt
• Rechtsgrundlage je Kursart geklärt
• Betriebsrat eingebunden, Betriebsvereinbarung abgestimmt
• Hosting-Standort und Verträge zur Auftragsverarbeitung geprüft
• Rollen- und Rechtekonzept festgelegt
• Löschfristen für Lerndaten und Nachweise definiert
• Umfang des Trackings bewusst begrenzt
• Rolle von KI-Funktionen geklärt
• Datenschutzhinweise für die Lernenden erstellt

Wie Sie Anforderungen, Ablauf und Budget einer eigenen Plattform planen, zeigt unser Leitfaden E-Learning-Plattform für Unternehmen erstellen. Allgemeine Grundlagen zum Datenschutz in Softwareprojekten finden Sie im Artikel DSGVO in der Softwareentwicklung.