Was ist die DSGVO und wann findet sie auf eine internationale Online-Schule Anwendung?

Bei WeStudy sollte die Vorbereitung auf eine Zielgruppe aus der EU mit einer Datenübersicht (Data Map), der Festlegung von Rechtsgrundlagen sowie der Etablierung von Prozessen zur Bearbeitung von Nutzeranfragen beginnen.

Die bloße Registrierung eines Schülers aus Europa liefert für sich genommen noch keine allgemeingültige Antwort in Bezug auf die DSGVO.

Die DSGVO (Datenschutz-Grundverordnung) ist das zentrale Rechtsinstrument der Europäischen Union zum Schutz personenbezogener Daten und der Privatsphäre von Einzelpersonen.

Zu den relevanten Faktoren zählen der Niederlassungsort, die gezielte Ausrichtung von Diensten auf Personen in der EU sowie die Überwachung deren Verhaltens. Wenn eine Schule eine europäische Version ihrer Website betreibt, die entsprechende Währung akzeptiert, in bestimmten Ländern wirbt oder gezielt Nutzer aus diesen Regionen anspricht, sollte sie die räumliche Anwendbarkeit der Verordnung juristisch prüfen lassen.

Die DSGVO basiert auf den Grundsätzen der Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Sicherheit. Es geht um weit mehr als nur um ein Cookie-Banner. Eine Schule sollte genau wissen, welche Daten über ihre CRM-Systeme, Lernplattformen (LMS), Zahlungsdienste, Videoplattformen, Analysetools und E-Mail-Systeme verarbeitet werden.

Rollen und Rechtsgrundlagen

Bestimmen Sie, in welchen Fällen die Schule als „Verantwortlicher“ agiert und in welchen Fällen ein Dienstleister als „Auftragsverarbeiter“ tätig wird. Überprüfen Sie Dienstleistungsverträge, Regelungen für internationale Datentransfers sowie den Standort der technischen Infrastruktur.

Für jeden Verarbeitungszweck ist eine geeignete Rechtsgrundlage erforderlich: die Erfüllung eines Vertrags, berechtigte Interessen, eine rechtliche Verpflichtung oder eine Einwilligung. Nutzen Sie nicht pauschal für alles eine Einwilligung.

Stellen Sie den Nutzern klare Informationen zur Datenverarbeitung bereit. Richten Sie zudem spezifische Verfahren für Anfragen zu Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie Datenübertragbarkeit ein. Eine Reaktion sollte nicht davon abhängen, ob sich ein Mitarbeiter daran erinnert, welche fünf Dienste das Profil speichern.

Datenschutz als Prozess

Führen Sie Verzeichnisse von Verarbeitungstätigkeiten, eine Zugriffsmatrix, Löschfristen sowie Bewertungen von Anbietern ein. Bei Szenarien mit hohem Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein. Achten Sie besonders auf Profiling, Proctoring (Überwachung bei Prüfungen), Biometrie sowie Entscheidungen, die eine Person erheblich beeinträchtigen.

Die DSGVO verlangt nicht, dass Dokumente nur um ihrer selbst willen gesammelt werden. Ihr Grundgedanke ist vielmehr, dass die Schule die Risiken versteht und ihre Entscheidungen begründen kann.

Offizielle Quelle:

EU-Verordnung 2016/679 (DSGVO)](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng).

Wie man vermeidet, die DSGVO als „Gesetz für die ganze Welt“ zu betrachten

Die DSGVO ist EU-Recht und kein universelles, weltweit geltendes Regelwerk. Ihre Grundsätze eignen sich jedoch hervorragend als hoher interner Standard.

Erstellen Sie für jedes neue Land einen rechtlichen Überblick: territoriale Anwendbarkeit, lokale Vertretung sowie Regelungen zu Cookies, Marketing, Daten von Kindern und grenzüberschreitenden Datenübermittlungen. Die Ukraine, das Vereinigte Königreich, Kanada, die Vereinigten Staaten und andere Märkte verfügen über eigene Rechtsordnungen, die nicht einfach mechanisch durch die DSGVO ersetzt werden sollten.

Beispiel für die Bewertung eines internationalen Markteintritts

Eine Schule übersetzt ihre Website ins Deutsche, legt Preise in Euro fest und richtet ihre Werbung an Personen mit Wohnsitz in Deutschland. Dies sind deutlich stärkere Indizien für eine gezielte Ausrichtung auf die EU als ein zufälliger Kauf durch eine Person, die sich nur vorübergehend in Europa aufhält. Das Team sollte seine Einschätzung zur territorialen Anwendbarkeit dokumentieren, die Rollen der Anbieter festlegen und die Mechanismen für Datenübermittlungen prüfen.

Beschränken Sie die Prüfung nicht nur auf die Registrierungsseite. Cookies, Werbe-Pixel, Aufzeichnungen des Nutzerverhaltens, Support-Chats sowie Videokonferenzen können ebenfalls personenbezogene Daten verarbeiten. Ein Banner, das lediglich eine „Akzeptieren“-Schaltfläche bietet, begründet nicht die Rechtmäßigkeit des gesamten Vorgangs.

Ein Umsetzungsplan ohne unnötige Bürokratie

Beginnen Sie mit einer Datenübersicht und einer Liste der Dienstleister. Legen Sie anschließend die Rechtsgrundlagen fest, erstellen Sie verständliche Datenschutzhinweise und richten Sie ein Verfahren für Nutzeranfragen ein. Legen Sie zudem Löschfristen sowie Regeln für den Umgang mit Sicherheitsvorfällen fest und schulen Sie Ihr Team.

Prüfen Sie gesondert Analysen, die Minderjährige einbeziehen, sowie automatisierte Profilbildung und Bewertungsprozesse. Wenn das Ergebnis eines Systems Auswirkungen auf Zulassungen, Zertifizierungen oder den Zugang zu bestimmten Möglichkeiten hat, sind ein höheres Maß an Transparenz und eine menschliche Überprüfung erforderlich. Die Dokumentation sollte die tatsächliche Praxis widerspiegeln und nicht ein idealisiertes Wunschbild.

Anzeichen für die Einsatzbereitschaft im EU-Raum

Vor dem Marktstart sollte das Team in der Lage sein:

- zu erläutern, warum die DSGVO Anwendung findet oder eben nicht;

- den Verantwortlichen sowie die wichtigsten Auftragsverarbeiter zu benennen;

- ein Verzeichnis der Verarbeitungszwecke und Rechtsgrundlagen vorzulegen;

- die Daten eines einzelnen Nutzers über alle Dienste hinweg zu lokalisieren;

- eine Nutzeranfrage innerhalb der vorgeschriebenen Frist zu bearbeiten;

- Datenübermittlungen außerhalb des relevanten Gebiets zu rechtfertigen;

- einen Sicherheitsvorfall an die zuständige Person zu melden.

Betrachten Sie diese Liste nicht als Nachweis für eine vollständige Rechtskonformität. Ob beispielsweise ein Vertreter oder ein Datenschutzbeauftragter benannt werden muss oder eine Datenschutz-Folgenabschätzung erforderlich ist, hängt von den jeweiligen Umständen ab. Überprüfen Sie Ihre Einschätzung erneut, falls Änderungen an Analysetools, Zahlungsdiensten, Zielmärkten für Werbung oder KI-Modellen vorgenommen werden – denn die ursprüngliche Bewertung könnte den tatsächlichen Prozess möglicherweise nicht mehr korrekt abbilden.

Nächster Schritt

Erstellen Sie eine einseitige Übersicht für den Markteintritt in die EU: Zielmärkte, Sprachen, Werbekanäle, Dienstleister, Datenarten und internationale Datenübermittlungen. Übergeben Sie diese – zusammen mit einer konkreten grafischen Darstellung der Dienste (statt nur des Textes der Datenschutzerklärung) – an einen Berater. Integrieren Sie die getroffenen Entscheidungen in einen operativen Plan, in dem auch die jeweils verantwortlichen Personen festgelegt sind – so stellen Sie sicher, dass die DSGVO nicht zu einem isolierten juristischen Projekt wird.

Legen Sie für die Zeit nach dem Start einen Termin für eine erneute Überprüfung fest – zu einem Zeitpunkt, an dem bereits konkrete Informationen über die Zielgruppe, die Anbieter und die eingesetzten Werbetechnologien vorliegen. Überprüfen Sie Ihre ursprünglichen Annahmen in der Praxis, anstatt unbegrenzt an ihnen festzuhalten.

Überprüfen Sie vor einem internationalen Start die Einstellungen in WeStudy sowie Ihre eigenen Formulare, E-Mail-Systeme und Integrationen – betrachten Sie dabei den gesamten Prozess als eine zusammenhängende Datenverarbeitungskette.

Diese Unterlagen dienen lediglich zu Informationszwecken und ersetzen keine individuelle Rechtsberatung.