Die meisten allgemeinen KI-Tools sind nicht automatisch FERPA-konform. Bevor ein KI-Anbieter auf Schülerdaten zugreift, benötigt Ihr Schulbezirk eine unterzeichnete Datenverarbeitungsvereinbarung – und nicht alle Datenverarbeitungsvereinbarungen sind gleich formuliert.

Diese Checkliste führt IT-Leiter, Datenschutzbeauftragte und Bezirksverwalter durch jede einzelne Klausel, die wichtig ist: was nach Bundesrecht vorgeschrieben ist, was bewährte Vorgehensweisen sind und auf welche Warnsignale man achten sollte.

Was ist enthalten?

9 Abschnitte. Jede einzelne Klausel, die zählt.

Parteien und Geltungsbereich
Es bestätigt, dass der Anbieter als Datenverarbeiter benannt ist, gibt genau an, welche Schülerdaten er verarbeiten wird, und definiert, was gemäß FERPA als Bildungsdatensatz gilt. Unklare Formulierungen genügen nicht.

Zulässige Datennutzung
Der wichtigste Abschnitt speziell für KI-Tools. Er umfasst Verbote des Verkaufs von Schülerdaten, der Erstellung von Werbeprofilen und – eine Klausel, die in den meisten allgemeinen Datenschutzgesetzen fehlt – die Verwendung von Schülerdaten zum Trainieren von KI-Modellen ohne ausdrückliche Zustimmung des Schulbezirks.

Datensicherheit
Anforderungen an die Verschlüsselung, Zugriffskontrollen, Fristen für die Meldung von Datenschutzverletzungen und Zertifizierungen durch Dritte. Bewährt hat sich ein 72-Stunden-Fenster für die Meldung von Datenschutzverletzungen; alles Unklare oder Unbegrenzte ist verdächtig.

Datenaufbewahrung und -löschung
Definiert maximale Aufbewahrungsfristen, schreibt die Löschung nach Vertragsende vor (maximal 30–60 Tage) und – entscheidend für KI-Tools – regelt, ob auch aus Schülerdaten generierte KI-Ergebnisse der Löschung unterliegen.

Unterauftragnehmer und Dritte
KI-Tools laufen häufig auf den Servern großer Cloud- und KI-Infrastrukturanbieter. Dieser Abschnitt fordert die vollständige Offenlegung aller Unterauftragnehmer, gleichwertige Datenschutzmaßnahmen entlang der gesamten Kette sowie die Benachrichtigung der zuständigen Behörden, bevor neue Unterauftragnehmer hinzugefügt werden.

COPPA-Konformität
Erforderlich für jedes Tool, das mit Schülern unter 13 Jahren verwendet wird. Umfasst die Formulierungen zur Schulgenehmigung, die Datenminimierung und die Beschränkungen der öffentlichen Verfügbarkeit.

Einhaltung der staatlichen Datenschutzgesetze
Bundesrecht bildet die Untergrenze, nicht die Obergrenze. Dieser Abschnitt behandelt länderspezifische Anforderungen – darunter CA SOPIPA, TX HB 4 und NY Ed Law 2-d – und zeigt auf, wo viele Datenschutzvereinbarungen (DPAs) unzureichend sind.

Prüfung und Rechenschaftspflicht
Prüfungsrechte, Transparenzberichterstattung, Cyberhaftpflichtversicherung und Konsequenzen bei Nichteinhaltung, die über die Kündigung hinausgehen.

KI-spezifische Klauseln
Dieser Abschnitt fehlt in den meisten älteren Datenschutzgesetzen. Er behandelt die Interaktion von KI/ML-Modellen mit Schülerdaten, Verbote des Modelltrainings, den Umgang mit KI-generierten Ergebnissen und die Offenlegung von Unterauftragnehmern für die KI-Anbieter, die das Produkt betreiben.

Wenn ein Verkäufer nicht unterschreibt, ist das Ihre Antwort.

Ein Anbieter, der die geforderten Kriterien nicht erfüllt, ist ein Anbieter, dem Sie Schülerdaten nicht anvertrauen können. Diese Checkliste dient dazu, dies schnell festzustellen – bevor ein Tool auch nur in einem Klassenzimmer zum Einsatz kommt.

Laden Sie die Checkliste für KI-Anbieter zum Datenschutzbeauftragten herunter

Gehen Sie es durch, bevor Sie einen Vertrag mit einem Anbieter von KI-Tools unterzeichnen.