Welche Datenschutzanforderungen gelten beim LMS-Hosting?

Beim LMS-Hosting gelten dieselben Datenschutzanforderungen wie bei jeder anderen Verarbeitung personenbezogener Daten: Die Datenschutz-Grundverordnung (DSGVO) ist vollumfänglich anwendbar. Das bedeutet, dass Unternehmen, die eine Lernplattform betreiben, unter anderem eine Rechtsgrundlage für die Datenverarbeitung benötigen, technische und organisatorische Maßnahmen umsetzen müssen und in der Regel einen Auftragsverarbeitungsvertrag mit ihrem Hosting-Anbieter abschließen müssen. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um LMS-Hosting-Datenschutz und helfen Ihnen, Ihre Lernplattform rechtssicher aufzustellen.

Welche personenbezogenen Daten verarbeitet ein LMS?

Ein Lernmanagementsystem verarbeitet eine Vielzahl personenbezogener Daten: Stammdaten wie Name und E-Mail-Adresse, Lerndaten wie Kursfortschritte, Testergebnisse und Abschlüsse sowie technische Daten wie IP-Adressen, Login-Zeiten und Geräteinformationen. All diese Daten fallen unter den Schutzbereich der DSGVO und müssen entsprechend behandelt werden.

Besonders sensibel sind Lerndaten, weil sie Rückschlüsse auf Kenntnisstand, Lernverhalten und unter Umständen auch auf gesundheitliche oder persönliche Eigenschaften von Mitarbeitenden zulassen. Im betrieblichen Kontext kommen häufig noch Daten zur Abteilungszugehörigkeit, zu Vorgesetzten oder zu Pflichtschulungen hinzu. Wer ein Lernmanagementsystem betreibt, sollte daher von Anfang an ein Verzeichnis der Verarbeitungstätigkeiten führen, das alle Datenkategorien, Zwecke und Speicherfristen dokumentiert.

Welche DSGVO-Pflichten gelten für LMS-Betreiber?

LMS-Betreiber sind im Sinne der DSGVO in der Regel Verantwortliche für die Datenverarbeitung. Das verpflichtet sie dazu, eine gültige Rechtsgrundlage nachzuweisen, Betroffene transparent zu informieren, technische und organisatorische Maßnahmen (TOMs) zu implementieren und Anfragen von Betroffenen auf Auskunft, Löschung oder Berichtigung fristgerecht zu beantworten.

Konkret bedeutet das für den Betrieb einer Lernplattform:

• Eine Datenschutzerklärung, die speziell auf das LMS zugeschnitten ist und alle verarbeiteten Datenkategorien nennt
• Ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 DSGVO
• Die Umsetzung von Datensparsamkeit: Nur Daten erheben, die für den Lernbetrieb tatsächlich notwendig sind
• Klare Löschkonzepte für abgeschlossene Kurse oder ausgeschiedene Mitarbeitende
• Technische Maßnahmen wie verschlüsselte Übertragung (HTTPS), starke Passwortrichtlinien und rollenbasierte Zugriffsrechte

Im betrieblichen Umfeld ist häufig auch der Betriebsrat zu beteiligen, wenn das LMS zur Leistungs- oder Verhaltenskontrolle genutzt werden könnte. Das ist ein Aspekt, den viele Unternehmen zunächst unterschätzen.

Was ist der Unterschied zwischen Hosting in Deutschland und in der EU?

Der entscheidende Unterschied liegt im anwendbaren Recht und im Schutzniveau: Hosting in Deutschland unterliegt nicht nur der DSGVO, sondern auch dem deutschen Bundesdatenschutzgesetz (BDSG), das in einigen Bereichen strengere Anforderungen stellt. Außerdem sind deutsche Anbieter nicht dem US-amerikanischen CLOUD Act unterworfen, was bei US-Anbietern mit EU-Servern ein rechtliches Restrisiko darstellt.

Hosting innerhalb der EU ist grundsätzlich DSGVO-konform, solange der Anbieter seinen Sitz in der EU hat und keine Daten in Drittländer ohne angemessenes Schutzniveau überträgt. Problematisch wird es, wenn ein Anbieter zwar Server in der EU betreibt, aber einer US-amerikanischen Konzernmutter angehört. In diesem Fall können US-Behörden unter bestimmten Umständen Zugriff auf die Daten verlangen, was mit der DSGVO kollidieren kann.

Für viele deutsche Unternehmen und Behörden ist Hosting in Deutschland mit einem deutschen Anbieter deshalb die sicherste Wahl, weil damit Rechtssicherheit, Datensouveränität und Transparenz am besten gewährleistet sind. Informieren Sie sich über die verschiedenen Anwendungsfälle für E-Learning, um die passende Hosting-Lösung für Ihre Situation zu finden.

Wann ist ein Auftragsverarbeitungsvertrag beim LMS-Hosting Pflicht?

Ein Auftragsverarbeitungsvertrag (AVV) ist immer dann Pflicht, wenn ein externer Dienstleister im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet. Beim LMS-Hosting ist das fast immer der Fall: Der Hosting-Anbieter speichert und verarbeitet die Daten Ihrer Lernenden, handelt dabei aber nach Ihren Weisungen. Damit ist die Auftragsverarbeitung nach Art. 28 DSGVO gegeben.

Ein AVV muss schriftlich oder in einem gleichwertigen elektronischen Format geschlossen werden und folgende Punkte regeln:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Kategorien der betroffenen Personen und der personenbezogenen Daten
• Pflichten und Rechte des Verantwortlichen
• Technische und organisatorische Maßnahmen des Auftragsverarbeiters
• Regelungen zu Unterauftragsverarbeitern

Wer ohne AVV mit einem Hosting-Anbieter zusammenarbeitet, riskiert Bußgelder und haftet für Datenschutzverstöße des Anbieters. Fordern Sie daher vor Vertragsabschluss immer einen unterzeichnungsfähigen AVV an und prüfen Sie, ob er alle gesetzlich vorgeschriebenen Inhalte enthält.

Wie lässt sich ein LMS datenschutzkonform konfigurieren?

Ein LMS datenschutzkonform zu konfigurieren bedeutet, die technischen Einstellungen so vorzunehmen, dass nur notwendige Daten erhoben werden, Zugriffsrechte klar geregelt sind und Daten nach Ablauf der Aufbewahrungsfristen automatisch gelöscht werden. Das ist nicht nur eine rechtliche Pflicht, sondern auch ein Qualitätsmerkmal einer gut administrierten Lernplattform.

Benutzerrechte und Rollen sauber trennen

Jede Person im System sollte nur die Rechte haben, die sie für ihre Aufgabe benötigt. Trainer sehen nur die Daten ihrer eigenen Kursteilnehmenden, Administratoren haben keinen unnötigen Zugriff auf Lernergebnisse, und Lernende können ihre eigenen Daten einsehen und bei Bedarf korrigieren lassen. Eine klare Rollenhierarchie reduziert das Risiko interner Datenpannen erheblich.

Datenerhebung auf das Notwendige beschränken

Viele LMS-Systeme bieten umfangreiche Tracking-Funktionen, die weit über das hinausgehen, was für den Lernerfolg erforderlich ist. Deaktivieren Sie Funktionen, die Sie nicht aktiv nutzen, etwa detaillierte Aktivitätsprotokolle oder standortbezogene Daten. Prüfen Sie auch, ob Plugins oder Integrationen Dritter Daten an externe Server übertragen, und schalten Sie diese ab, wenn sie nicht DSGVO-konform sind.

Welche Fragen sollte man einem LMS-Hosting-Anbieter stellen?

Bevor Sie sich für einen Hosting-Anbieter entscheiden, sollten Sie konkrete Fragen stellen, die Ihnen Aufschluss über das tatsächliche Datenschutzniveau geben. Antworten wie „Wir sind DSGVO-konform“ sind keine ausreichende Auskunft. Verlangen Sie stattdessen konkrete Nachweise und vertragliche Zusicherungen.

Diese Fragen sollten Sie unbedingt stellen:

1. Wo befinden sich die Server? Achten Sie auf den genauen Standort und darauf, ob der Anbieter einer nicht europäischen Konzernmutter angehört.
2. Bieten Sie einen AVV an? Und enthält dieser alle nach Art. 28 DSGVO erforderlichen Inhalte?
3. Welche Unterauftragsverarbeiter setzen Sie ein? Jeder externe Dienst, der Zugriff auf Ihre Daten erhält, muss im AVV aufgeführt sein.
4. Welche technischen und organisatorischen Maßnahmen haben Sie implementiert? Fragen Sie nach Verschlüsselung, Zugriffskontrollen, Backup-Konzepten und Zertifizierungen.
5. Wie gehen Sie mit Datenpannen um? Der Anbieter muss Sie im Falle eines Datenschutzvorfalls unverzüglich informieren, damit Sie Ihre Meldepflicht gegenüber der Aufsichtsbehörde einhalten können.
6. Unterstützen Sie bei der Umsetzung von Betroffenenanfragen? Zum Beispiel bei der Löschung oder dem Export von Nutzerdaten.

Ein seriöser Anbieter beantwortet diese Fragen offen und stellt Ihnen entsprechende Dokumentation zur Verfügung. Zögern Sie nicht, bei unklaren Antworten nachzuhaken oder einen Datenschutzbeauftragten hinzuzuziehen. Guter Support und Beratung durch den Anbieter sind hier ein wichtiges Qualitätsmerkmal.

So unterstützt lern.link Sie beim datenschutzkonformen LMS-Hosting

Als Moodle Premium Certified Partner mit Sitz in Deutschland bieten wir Ihnen eine Lernplattform, die von Grund auf auf Datenschutz ausgelegt ist. Unsere Lösung erfüllt alle Anforderungen der DSGVO und geht in vielen Punkten darüber hinaus:

• Hosting ausschließlich auf deutschen Servern, ohne Zugriffsmöglichkeiten durch nicht europäische Konzerne
• Unterzeichnungsfertiger AVV inklusive, der alle gesetzlichen Anforderungen nach Art. 28 DSGVO erfüllt
• Datenschutzkonforme KI-Funktionen für automatische Inhaltserstellung und Übersetzungen in bis zu 140 Sprachen, verarbeitet auf deutschen Servern
• Rollenbasierte Zugriffsrechte und technische Maßnahmen, die Datensparsamkeit und Sicherheit von Anfang an gewährleisten
• Persönliche Beratung zur datenschutzkonformen Konfiguration Ihrer Lernplattform

Wir begleiten Sie von der ersten Anfrage bis zum laufenden Betrieb und stehen Ihnen bei allen Fragen rund um Datenschutz im E-Learning zur Seite. Erfahren Sie mehr über unsere Services oder nehmen Sie direkt Kontakt auf und lassen Sie uns gemeinsam eine Lernplattform aufbauen, die Ihre Lernenden schützt und Ihre Compliance-Anforderungen erfüllt.