FERPA und COPPA bei KI-Tools: Prüfliste für die Klassen K bis 8

Kein KI-Tool ist für sich genommen „FERPA-konform“, denn FERPA verpflichtet Schulen, nicht Anbieter. Eine Schule kann ein Tool aber über die Ausnahme für Schulbedienstete (School Official Exception) nach FERPA nutzen, mit einer schriftlichen Vereinbarung, die die Schule in direkter Kontrolle über die Schülerdaten hält. Für Schüler unter 13 kommt mit COPPA eine zweite Prüfung hinzu: Der Anbieter darf sich nur dann auf die Einwilligung der Schule stützen, wenn die Daten ausschließlich für den Bildungszweck der Schule verwendet werden. Diese Checkliste übersetzt beide Gesetze in Fragen, die Sie jedem KI-Anbieter stellen können.

Dies ist eine praktische Orientierungshilfe, keine Rechtsberatung. Das letzte Wort haben die Rechtsberatung und die Datenschutzbeauftragten Ihres Schulbezirks.

Warum KI-Tools einen genaueren Blick brauchen als andere Bildungstechnologie

Die meisten Bildungs-Apps erfassen, was Schüler anklicken. KI-Tools erfassen, was Schüler sagen: frei formulierte Fragen, Geschichten, Sorgen, manchmal ihren Namen oder ihre Schule, unbemerkt eingetippt. Dadurch werden drei Fragen wichtiger als sonst:

• Werden die Eingaben der Schüler zum Training der Modelle des Anbieters genutzt?
• Wer kann die Gespräche lesen, und wie lange?
• Kann ein Kind das Schulkonto umgehen und die Verbraucherversion nutzen?

Die Leitlinien des US-Bildungsministeriums vom Juli 2025 zur Verwendung von Bundesmitteln für KI nennen „datenschützend“ als einen der Grundsätze für verantwortungsvolle Nutzung und erwarten, dass KI-Systeme das Bundesdatenschutzrecht einhalten, einschließlich FERPA (U.S. Department of Education, Juli 2025).

Was ein KI-Tool FERPA-konform macht

FERPA schützt Bildungsunterlagen von Schulen, die Mittel des US-Bildungsministeriums erhalten. Normalerweise braucht die Weitergabe personenbezogener Daten aus diesen Unterlagen die Einwilligung der Eltern. Der übliche Weg für Bildungstechnologie ist die School Official Exception (34 CFR 99.31): Ein Anbieter kann als Schulbediensteter behandelt werden, wenn er:

1. Eine Leistung erbringt, für die die Schule sonst eigenes Personal einsetzen würde.
2. Hinsichtlich Nutzung und Pflege der Unterlagen unter der direkten Kontrolle der Schule steht.
3. Die Daten nur für den genehmigten Zweck nutzt und nicht weitergibt.
4. Die Kriterien der jährlichen FERPA-Mitteilung der Schule für ein berechtigtes Bildungsinteresse erfüllt.

An der „direkten Kontrolle“ scheitern KI-Tools am häufigsten. Wenn die Bedingungen des Anbieters es ihm erlauben, die Datennutzung zu ändern, Daten unbegrenzt zu speichern oder Allzweckmodelle damit zu trainieren, hat die Schule keine Kontrolle. Das Student Privacy Policy Office des Ministeriums veröffentlicht Leitlinien zum Schutz der Privatsphäre von Schülern bei Online-Bildungsdiensten und eine Checkliste für Mustervertragsbedingungen, die Sie bei der Vertragsprüfung griffbereit haben sollten.

COPPA in zwei Minuten

COPPA gilt für Betreiber von Online-Diensten, die personenbezogene Daten von Kindern unter 13 erheben. Schulen sind nicht der Betreiber, spielen aber eine Rolle. Die COPPA-FAQ der FTC (Abschnitt N) sagen:

• Eine Schule kann anstelle der Eltern einwilligen, aber „die Befugnis der Schule, für die Eltern einzuwilligen, ist auf den Bildungskontext beschränkt“.
• Ein Betreiber kann sich nur dann auf die Einwilligung der Schule stützen, wenn die Daten zur Nutzung und zum Nutzen der Schule erhoben werden und „für keinen anderen kommerziellen Zweck“. Nutzt der Anbieter Schülerdaten für eigene Zwecke, muss er die Einwilligung direkt bei den Eltern einholen.
• Als bewährte Praxis sollte die Schule oder der Schulbezirk, nicht eine einzelne Lehrkraft, entscheiden, ob die Datenpraktiken eines Dienstes akzeptabel sind.
• Schulen sollten Eltern mitteilen, welche Dienste sie freigegeben haben.

Die geänderte COPPA-Regel, veröffentlicht im April 2025, trat am 23. Juni 2025 in Kraft; die meisten Pflichten mussten bis zum 22. April 2026 umgesetzt werden (Federal Register). Bemerkenswert: Die FTC hat ihre vorgeschlagenen Bestimmungen zu Bildungstechnologie und schulischer Einwilligung nicht verabschiedet und erklärt, COPPA in Schulen weiterhin nach ihren bestehenden Leitlinien durchzusetzen. Für Anbieter gelten unter anderem eine gesonderte Einwilligung der Eltern, bevor Kinderdaten an Dritte weitergegeben werden, etwa für personalisierte Werbung, und Grenzen für die Speicherung von Kinderdaten über das vernünftigerweise Nötige hinaus.

Die Prüf-Checkliste

Schicken Sie diese Fragen an den Anbieter und bewahren Sie die schriftlichen Antworten beim Vertrag auf.

Erhobene Daten

• Welche personenbezogenen Daten erhebt das Tool von Schülern? Lassen Sie sich jedes Feld auflisten.
• Können sich Schüler ohne E-Mail-Adresse oder andere direkte Kennung anmelden?
• Speichert das Tool den vollständigen Text der Schülergespräche? Wie lange?
• Wenn Klassenlisten importiert werden: Welche Felder werden übernommen, und können wir sie einschränken?

Verwendung der Daten

• Werden Schülerdaten, einschließlich Gesprächen, zum Training oder zur Verbesserung von KI-Modellen genutzt? (Die akzeptable Antwort ist Nein, es sei denn, die Schule hat ausdrücklich zugestimmt.)
• Werden Schülerdaten für Werbung, Profilbildung oder andere Zwecke als den vereinbarten Dienst verwendet?
• Werden Schülerdaten jemals verkauft?
• Welche Unterauftragsverarbeiter, einschließlich Anbieter von KI-Modellen, erhalten Schülerdaten, und zu welchen Bedingungen?

Kontrolle durch die Schule

• Unterschreiben Sie unsere Vereinbarung zur Datenverarbeitung bzw. zum Datenschutz?
• Kann die Schule die Daten eines Schülers auf Anfrage einsehen und löschen?
• Kann der Anbieter seine Datenschutzbedingungen ohne Benachrichtigung ändern?
• Was passiert mit den Schülerdaten, wenn der Vertrag endet?

Sicherheit im Unterricht

• Können Lehrkräfte die Gespräche ihrer Schüler mit dem Tool sehen?
• Ist das Tool für das Alter unserer Schüler gestaltet, oder ist es ein Allzweck-Tool mit einem Mindestalter, das über dem einiger Schüler liegt?
• Gibt es in der Schüleransicht Werbung, Upselling oder externe Links?

Datensicherheit

• Werden Daten bei der Übertragung und im Ruhezustand verschlüsselt?
• Innerhalb welcher Frist benachrichtigen Sie die Schule bei einer Datenpanne?
• Haben Sie ein unabhängiges Sicherheitsaudit wie SOC 2, oder arbeiten Sie darauf hin?

Kommunikation mit Eltern

• Stellt der Anbieter einen verständlichen Hinweis bereit, den wir an Familien weitergeben können?
• Haben wir das Tool in unsere Liste der freigegebenen Dienste für Eltern aufgenommen?

Ein Anbieter, der diese Fragen nicht schriftlich beantworten kann, ist nicht bereit für Ihre Schüler, wie gut die Demo auch sein mag. Viele Bundesstaaten haben zusätzlich zu FERPA und COPPA eigene Gesetze zum Schülerdatenschutz. Prüfen Sie also die Anforderungen Ihres Bundesstaats und eventuelle landesweite Datenschutzvereinbarungen, die Ihr Bezirk bereits nutzt.

Häufige Fallstricke

Von einer Lehrkraft weggeklickte Nutzungsbedingungen. Dass eine einzelne Lehrkraft die Bedingungen eines kostenlosen Tools akzeptiert, ist die häufigste Lücke. Die bewährte Praxis der FTC ist eine Entscheidung der Schule oder des Bezirks. Leiten Sie neue KI-Tools also über die Stelle, die für Datenschutzvereinbarungen zuständig ist.

Lehrkräfte-Tools, in die Schülerdaten kopiert werden. Ein allgemeiner KI-Assistent, der für die Unterrichtsplanung freigegeben ist, ist nicht automatisch für Schülerunterlagen freigegeben. Identifizierbare Schülerarbeiten hineinzukopieren, ist eine andere Nutzung. Unsere KI-Prompts für Lehrkräfte sind so geschrieben, dass genau das vermieden wird.

„FERPA-zertifiziert“-Siegel. Es gibt keine offizielle FERPA-Zertifizierung. Behandeln Sie solche Siegel als Marketing und lesen Sie den Vertrag.

Verbraucher-Chatbots im Unterricht. Allzweck-Chatbots legen in ihren Bedingungen Mindestalter fest und sind nicht für kleine Kinder gestaltet. Eine ausführliche Diskussion finden Sie unter ChatGPT in der Schule.

Wie Askie for Schools die Checkliste beantwortet

Askie for Schools ist darauf ausgelegt, die von der Schule erteilte Einwilligung nach FERPA und COPPA zu unterstützen, ebenso UK GDPR und DSGVO. In der Praxis:

• Anmeldung: Lehrkräfte legen Schüler an, und jeder bekommt einen privaten Zugangscode, sodass Schüler keine E-Mail-Adresse brauchen.
• Kontrolle durch die Schule: Ihre Schule bleibt Verantwortliche für die Daten, Schülerdaten sind nach Lehrkraft getrennt, und unsere Vereinbarung zur Auftragsverarbeitung ist auf Anfrage erhältlich.
• Datennutzung: keine Werbung und kein Verkauf von Schülerdaten.
• Einsicht für Lehrkräfte: Lehrkräfte und Administratoren können Gesprächsverläufe und Nutzungsberichte einsehen.
• Altersgerecht: für Kinder von 4 bis 15 Jahren gebaut, mit Antworten, die an das Alter jedes Schülers angepasst sind.
• Sicherheit: Unser SOC-2-Audit läuft, und wir sagen das offen, bis es abgeschlossen ist.

Schicken Sie uns den Rest der Checkliste an askie@kidsai.app. Mit Askie for Schools können Sie kostenlos mit bis zu 20 Schülern starten.

Häufig gestellte Fragen

Ist ChatGPT FERPA-konform?

Kein Verbraucher-Tool ist für sich allein FERPA-konform, weil die FERPA-Pflichten bei der Schule liegen. Eine Schule kann ein Tool nach FERPA nur nutzen, wenn sie eine Vereinbarung hat, die Schülerdaten unter ihrer direkten Kontrolle hält. Prüfen Sie, ob Ihr Bezirk eine solche Vereinbarung hat, bevor Schülerdaten eingegeben werden.

Brauchen wir die Einwilligung der Eltern, um KI-Tools mit Kindern unter 13 zu nutzen?

Nicht immer. Nach den Leitlinien der FTC kann eine Schule für die Eltern einwilligen, wenn das Tool nur zu Bildungszwecken genutzt wird und der Anbieter die Daten für keinen anderen kommerziellen Zweck verwendet. Viele Bezirke informieren die Eltern trotzdem, und manche verlangen eine aktive Zustimmung. Ein Elternbrief zu KI hilft in beiden Fällen.

Haben die COPPA-Änderungen von 2025 die Regeln für Schulen verändert?

Die FTC hat ihre vorgeschlagenen schulspezifischen Änderungen nicht verabschiedet, die Einwilligung durch die Schule funktioniert also weiterhin nach den bestehenden FTC-Leitlinien. Für Anbieter gelten aber neue Pflichten, unter anderem zur Weitergabe an Dritte und zur Speicherdauer.

Wer sollte KI-Tools in einem Schulbezirk prüfen?

Die Person oder das Team, das für Datenschutzvereinbarungen zuständig ist, meist zusammen mit der IT-Leitung und einer Fachleitung für den Lehrplan. Für ein Pilotprojekt siehe Wie Schulen KI in einem Pilotprojekt testen können.