Datenschutz bei der Lernplattform: worauf Anbieter achten müssen
Eine Lernplattform verarbeitet viele personenbezogene Daten. Wer sie einsetzt, trägt dafür die Verantwortung. Dieser Ratgeber zeigt, worauf es beim Datenschutz in der Lernplattform ankommt — vom Vertrag bis zur Löschung.
Welche Daten eine Lernplattform verarbeitet
Schon für die Anmeldung braucht eine Lernplattform Name und E-Mail-Adresse. Hinzu kommen Lernfortschritt, Antworten auf Übungsfragen, Prüfungsergebnisse, Zertifikate und oft auch Nachrichten. Diese Daten zeigen recht genau, was eine Person kann und wo sie Schwierigkeiten hat.
Deshalb gilt die Datenschutz-Grundverordnung in vollem Umfang. Sie als Anbieter der Kurse sind dabei der Verantwortliche. Der Betreiber der Plattform verarbeitet die Daten in Ihrem Auftrag.
Hinweis: Dieser Ratgeber gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.
Der Vertrag zur Auftragsverarbeitung
Wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, verlangt Artikel 28 der Datenschutz-Grundverordnung einen Vertrag zur Auftragsverarbeitung. Darin steht, welche Daten verarbeitet werden, wofür und mit welchen Schutzmaßnahmen.
Fragen Sie den Anbieter Ihrer Lernplattform deshalb vor dem Start nach diesem Vertrag. Ein seriöser Anbieter hat ihn vorbereitet und erklärt Ihnen, wo die Daten liegen und wer darauf zugreifen kann.
Serverstandort und Sicherheit
Für den Datenschutz in der Lernplattform spielt der Serverstandort eine große Rolle. Liegen die Daten in Deutschland oder der EU, entfallen viele Fragen zur Übermittlung in Drittländer. Außerdem sollten regelmäßige Sicherungen, verschlüsselte Verbindungen und eine Anmeldung mit zweitem Faktor für die Verwaltung selbstverständlich sein.
acadivo läuft auf Servern in Deutschland, Sicherungen sind inbegriffen. Für Verwaltungskonten lässt sich eine Anmeldung mit zweitem Faktor einrichten.
Auskunft und Löschung
Teilnehmende haben ein Recht auf Auskunft über ihre Daten und ein Recht auf Löschung. Beides sollte die Plattform ohne Handarbeit unterstützen. Ideal ist ein Export, der alle Daten einer Person als Datei liefert, und eine Löschung, die wirklich alle Spuren entfernt.
In acadivo kann jede Person ihre Daten selbst als Datei abrufen. Die Verwaltung löscht ein Konto auf Wunsch vollständig, einschließlich hochgeladener Dateien. Nachweise, die Sie aus anderen Gründen aufbewahren müssen, sollten Sie vorher gesondert sichern.
Transparenz gegenüber Teilnehmenden
Zum Datenschutz gehört auch, offen zu informieren. Ihre Datenschutzerklärung sollte die Lernplattform nennen und erklären, welche Daten wofür verarbeitet werden. Das gilt ebenso für automatische Mails, etwa Erinnerungen bei längerer Pause.
Verzichten Sie außerdem auf unnötige Daten. Fragen Sie bei der Anmeldung nur, was Sie wirklich brauchen. Was nicht erhoben wird, muss auch nicht geschützt, beauskunftet oder gelöscht werden.
Rollen und Zugriffsrechte
Nicht jeder in Ihrem Team braucht Zugriff auf alle Daten. Eine gute Lernplattform trennt deshalb Rollen: Die Verwaltung legt Teilnehmende an, Dozenten sehen nur ihre zugewiesenen Kurse, und Teilnehmende sehen nur sich selbst. Je enger die Rechte, desto geringer das Risiko.
Prüfen Sie zudem, wer beim Anbieter auf Ihre Daten zugreifen kann, etwa für den Support. Ein seriöser Anbieter greift nur mit Ihrer Freigabe zu und protokolliert diesen Zugriff. Fragen Sie im Zweifel nach, bevor Sie sich entscheiden.
Denken Sie schließlich an ausscheidende Mitarbeitende. Ihre Verwaltungskonten sollten Sie sofort sperren, damit niemand nach dem Austritt noch auf Lernstände und Kontaktdaten zugreift. Eine kurze Liste aller Konten mit Verwaltungsrechten, die Sie einmal im Quartal durchsehen, genügt dafür meist.
Kurz gesagt: Beim Datenschutz in der Lernplattform sind Sie Verantwortlicher. Wichtig sind ein Vertrag zur Auftragsverarbeitung, Server in der EU, sichere Anmeldung, einfache Auskunft und vollständige Löschung sowie eine klare Datenschutzerklärung.
Wie acadivo Daten schützt, beantworten wir gern direkt — schreiben Sie uns über die Seite Kontakt.
Häufige Fragen zum Datenschutz in der Lernplattform
Brauche ich eine Einwilligung der Teilnehmenden?
Meist nicht für die Kursdurchführung selbst, denn sie ist zur Erfüllung des Vertrags nötig. Für zusätzliche Zwecke, etwa Werbung, kann eine Einwilligung erforderlich sein.
Wie lange darf ich Lernstände speichern?
So lange, wie es für den Zweck nötig ist oder gesetzliche Pflichten es verlangen. Legen Sie dafür feste Fristen fest und löschen Sie danach.
Wer ist bei einer Panne verantwortlich?
Sie als Verantwortlicher müssen eine Datenpanne bewerten und gegebenenfalls melden. Der Anbieter muss Sie dabei nach dem Vertrag unterstützen.
Selbst ausprobieren
Legen Sie ein eigenes Testportal mit Musterkursen an. Ohne Zahlungsdaten, ohne Vertrag — nach sieben Tagen endet der Test von selbst.