LMS und DSGVO: 7 Prüfpunkte für die Auswahl einer Lernplattform

Wer eine Lernplattform einführt, verarbeitet zwangsläufig personenbezogene Daten: Namen, E-Mail-Adressen, Lernfortschritte, Testergebnisse und Zertifikate. Deshalb gehören LMS und DSGVO bei jeder Auswahlentscheidung zusammen.

Gerade im Mittelstand ist die Unsicherheit groß, welche Anforderungen genau gelten und wie sie sich beim Anbieter prüfen lassen. Dieser Beitrag zeigt die sieben wichtigsten Prüfpunkte, erklärt die Rechtslage zu US-Anbietern und liefert eine Checkliste für die Auswahl.

Warum ist Datenschutz bei der LMS-Auswahl so wichtig?

Ein LMS speichert nicht nur Stammdaten wie Name und E-Mail-Adresse. Es dokumentiert auch, wer welche Schulung wann abgeschlossen hat und mit welchem Ergebnis. Diese Daten sind personenbezogen und fallen damit unter die Datenschutz-Grundverordnung.

Wichtig für die Rollenverteilung: Verantwortlich für den Datenschutz bleibt Ihr Unternehmen (Art. 4 Nr. 7 und Art. 24 DSGVO), auch wenn das LMS in der Cloud läuft. Der Anbieter verarbeitet die Daten als Auftragsverarbeiter in Ihrem Auftrag (Art. 28 DSGVO). Sie müssen also prüfen, ob er ausreichende Garantien für den Schutz der Daten bietet.

Weil sich mit Lerndaten grundsätzlich auch Verhalten oder Leistung auswerten lässt, hat ein vorhandener Betriebsrat bei der Einführung ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Mehr dazu im Beitrag LMS und Betriebsrat.

Welche 7 Punkte sollten Sie bei LMS und DSGVO prüfen?

Diese sieben Punkte decken die wichtigsten datenschutzrechtlichen Anforderungen an ein LMS ab:

Was gehört in den Auftragsverarbeitungsvertrag?

Sobald Sie mit dem LMS Mitarbeitende, Kundschaft oder Partner schulen, verarbeitet der Anbieter personenbezogene Daten in Ihrem Auftrag. Deshalb ist ein Auftragsverarbeitungsvertrag (AVV) Pflicht. Art. 28 Abs. 3 DSGVO legt die Mindestinhalte fest, unter anderem:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Art der Daten und Kategorien betroffener Personen
• Weisungsgebundenheit des Anbieters und Vertraulichkeit seiner Beschäftigten
• Technische und organisatorische Maßnahmen (TOM)
• Regeln für Unterauftragsverarbeiter
• Löschung oder Rückgabe der Daten nach Vertragsende

Achten Sie darauf, dass der AVV auf Deutsch vorliegt und Sie Rückfragen mit einer festen Ansprechperson beim Anbieter klären können. Lassen Sie sich außerdem die TOM als Anlage zeigen. Sie beschreiben, wie der Anbieter die Daten schützt, etwa durch Verschlüsselung, Zugriffskontrollen und Backups.

Welche Rolle spielt der Serverstandort?

Moderne LMS laufen als Cloud-Lösung. Die Daten liegen also nicht mehr auf eigenen Servern im Unternehmen, sondern in Rechenzentren des Anbieters oder seiner Hosting-Partner. Viele Anbieter nutzen dafür Amazon Web Services (AWS), Microsoft Azure oder Google Cloud, die alle Rechenzentren in Deutschland und der EU betreiben.

Ein Serverstandort in Deutschland oder der EU ist der einfachste Weg zur DSGVO-Konformität, weil dann kein Drittlandtransfer nach Art. 44 ff. DSGVO stattfindet. Prüfen Sie aber nicht nur das Hauptrechenzentrum. Auch Unterauftragsverarbeiter für Videohosting, E-Mail-Versand oder Support-Tools verarbeiten Daten und gehören in die Prüfung.

Dürfen Unternehmen US-Anbieter mit EU-Servern nutzen?

Grundsätzlich ja, wenn die Voraussetzungen stimmen. Drei Entwicklungen prägen die aktuelle Rechtslage.

OLG Karlsruhe: Vertragliche Zusagen zählen

Das OLG Karlsruhe hat am 7. September 2022 entschieden (Az. 15 Verg 8/22), dass öffentliche Auftraggeber sich auf verbindliche Zusagen eines Bieters verlassen dürfen, Daten ausschließlich in Deutschland zu verarbeiten. Das gilt auch dann, wenn der Hosting-Dienstleister die Tochter eines US-Konzerns ist. Im Fall ging es um eine Software zweier kommunaler Klinikverbünde für das Entlassmanagement. Die Entscheidung ist vergaberechtlich. Sie erklärt US-Anbieter nicht pauschal für DSGVO-konform, zeigt aber, dass klare vertragliche Zusagen Gewicht haben.

EU-US Data Privacy Framework

Seit dem 10. Juli 2023 gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF). US-Unternehmen, die sich darunter zertifiziert haben, dürfen personenbezogene Daten aus der EU ohne zusätzliche Garantien empfangen (Art. 45 DSGVO). Ob ein Unternehmen zertifiziert ist, zeigt die offizielle DPF-Liste. Das Gericht der EU hat den Beschluss am 3. September 2025 bestätigt (Rs. T-553/23, Latombe). Ein Rechtsmittel beim EuGH ist anhängig (Rs. C-703/25 P). Wer auf Nummer sicher gehen will, vereinbart zusätzlich Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die auch bei einem Wegfall des DPF weiter tragen.

CLOUD Act: Restrisiko bei US-Konzernen

Unabhängig vom Serverstandort können US-Behörden nach dem CLOUD Act von US-Konzernen die Herausgabe von Daten verlangen, auch wenn diese in der EU gespeichert sind. Wie schwer das wiegt, hängt von der Art der Daten ab. Schulungsdaten sind in der Regel weniger sensibel als Gesundheits- oder Finanzdaten, das Risiko gehört aber in die Abwägung. Verschlüsselung, Datenminimierung und klare Zusagen des Anbieters zum Umgang mit Behördenanfragen senken es weiter.

Wann erfüllt reteach die Anforderungen und wann sollten Sie weitersuchen?

reteach ist eine modulare Corporate-Learning-Plattform aus Berlin für Unternehmen mit 50 bis 5.000 Mitarbeitenden. Sie verbindet ein Learning Management System, einen Kurskatalog mit über 500 anpassbaren Kursen und Phishing Awareness in einem System, ist DSGVO-konform und ohne IT-Projekt in der Regel innerhalb von 24 Stunden startklar.

Gegen die Prüfpunkte aus diesem Beitrag geprüft:

• Serverstandort LMS: Amazon Web Services, Frankfurt am Main
• Videohosting und CDN: Bunny (BunnyWay d.o.o.), Slowenien, also innerhalb der EU
• Phishing Awareness: Betrieb innerhalb der EU
• Mandantentrennung: Die Daten jeder Akademie sind voneinander isoliert
• Auftragsverarbeitung: AV-Vertrag nach Art. 28 DSGVO, Muster vor Vertragsschluss einsehbar
• Rollen- und Rechtekonzept: Führungskräfte sehen Abschlussquoten, ohne dass Einzelergebnisse offengelegt werden
• Export: Teilnahme- und Compliance-Daten als XLSX oder CSV

Weitersuchen sollten Sie, wenn interne Vorgaben ein On-Premise-Hosting im eigenen Rechenzentrum verlangen, wenn eine Zertifizierung nach BSI IT-Grundschutz Vergabebedingung ist oder wenn personenbezogene Lerndaten Ihr Unternehmensnetz grundsätzlich nicht verlassen dürfen..

Fazit

Ein DSGVO-konformes LMS erkennen Sie an einem vollständigen AVV, dokumentierten TOM, einem Serverstandort in Deutschland oder der EU und einer transparenten Liste der Unterauftragsverarbeiter. Bei US-Anbietern kommt es zusätzlich auf die DPF-Zertifizierung, Standardvertragsklauseln und verbindliche Zusagen zum Datenstandort an.

Die technische DSGVO-Konformität des LMS reicht allein aber nicht aus. Erst zusammen mit regelmäßig geschulten Mitarbeitenden entsteht ein datenschutzkonformer Schulungsbetrieb. Mehr dazu in unseren Beiträgen zur DSGVO-Schulung und zu datenschutzkonformer Weiterbildung.

Sie möchten mehr über Lernplattformen erfahren? Im Beitrag zu Lernplattformen für Unternehmen haben wir alle Formen von Lernplattformen und wichtige Funktionen zusammengefasst.

Checkliste

DSGVO-Konformität ist nur eines der Kriterien, die ein LMS erfüllen sollte. Wir haben deshalb eine Checkliste mit den 15 wichtigsten Anforderungen an ein LMS zusammengestellt. Kostenlos herunterladen und einfach abhaken:

Häufig gestellte Fragen