KI-Schulungspflicht: Was Unternehmen jetzt wissen müssen

Inhalt 1. Was ist ein multi-tenant LMS?2. Die Anwendungsbereiche3. Synchronisieren von Inhalten4. Mandantenspezifisches Lernen5. Kostenvorteile6. Skalierungspotenziale7. Vertriebsmodelle durch ein multi-tenant LMS8. Checkliste für die Auswahl9. Mehr zum Thema E-Learning Was ist ein multi-tenant LMS? Ein mandantenfähiges LMS (auch multi-tenant LMS genannt) ist eine Lernplattform, die unter einer Hauptebene (Muttersystem) eine größere Zahl von white label workspaces als Mandanten (Tochtersysteme) ausliefert. Die Mandanten verfügen jeweils über ein eigenes Design (gebrandete Online-Akademie), eine eigene Nutzerverwaltung und übernehmen die Inhalte aus dem Muttersystem und zwar auf einer eigenen Domain. Die Anwendungsbereiche Typische Anwendungsszenarien für ein mandantenfähiges LMS sind im Bereich der Bildungsträger zu finden. Stellen Sie sich vor, dass ein Bildungsunternehmen seine Lerninhalte an eine größere Zahl von Kunden (Mandanten) ausliefern will. Diese Lerninhalte sollen jedoch in eigenen Online-Akademien der Kunden abgebildet werden. Ein typisches Beispiel wäre ein Bildungsträger im Gesundheitswesen, der Online-Schulungen für Pflegeeinrichtungen vertreibt. Über das mandantenfähige LMS erhalten dann die jeweiligen Mandanten (z.B. die einzelnen Pflegeeinrichtungen) eine eigene Online-Akademie. Auf dieser werden zum einen die Inhalte des Muttersystems übernommen, zum anderen kann die Pflegeeinrichtung ihre Akademie jedoch selbstständig verwalten. Das bedeutet konkret: Sie können neben den vom Muttersystem eingespielten Kursen eigene Schulungen erstellen, die Mitarbeitenden verwalten, Unterweisungen mit Zertifikaten organisieren und den Lernfortschritt überwachen. Synchronisieren von Inhalten Auslöser für den Einsatz eines mandantenfähiges LMS ist oft die Anforderung, dass Inhalte einer Zentralplattform in mehrere eigenständige LMS Workspaces (Mandanten bzw. Tenants) übertragen werden sollen. Und zwar idealerweise durch eine Synchronisierung und nicht durch einen Kopiervorgang. Denn wenn ein Inhalt im Muttersystem aktualisiert wird, dann muss diese Änderung automatisch auf alle verbundenen LMS Workspaces übertragen werden. Ein manueller Kopiervorgang würde hier nicht ausreichen. Mandantenspezifisches Lernen Wichtig für den Einsatz der dezentralen LMS Workspaces ist die betriebsspezifische Datenstruktur. Hier kommt die eigene Nutzerverwaltung im Mandanten zum Einsatz, die es erlaubt, die betriebsspezifischen Strukturen abzubilden (Unternehmensorganisation, Standorte, Abteilungen usw.). Diese können im Mandanten in Mitarbeitergruppen bzw. Segmenten abgebildet werden. Auf der Ebene der Verwaltung der Teilnehmenden wie der Analyse des Lernfortschritts funktioniert daher jeder LMS Workspace als ein eigenständiges LMS. Kostenvorteile Vergleichbar mit einem Mehrfamilienhaus liegt der Kostenvorteil des mandantenfähigen LMS darin, dass sich mehrere Mieter (Mandanten) die Hülle (Außenwand und Dach) sowie die Infrastruktur (Heizung) teilen. Der Betrieb von 100 oder auch nur 3 Mandanten ist deutlich kostengünstiger als separate LMS-Instanzen. Für den einzelnen Mandanten fallen wenn überhaupt spezifische Kosten nur für die Einrichtung des Designs und das Setup an. Alle weiteren laufenden Kosten (z.B. die Miete bei einer SaaS-Cloudlösung) sind nur anteilige Kosten, die deutlich unter den Betriebskosten einer Stand-Alone Lösung liegen. Skalierungspotenziale Anders als beim Mehrfamilienhaus muss die Anzahl der Mandanten nicht schon in der Planungsphase final definiert werden. Das Einrichten neuer Mandanten ist ein minimaler Aufwand, was die zusätzlichen Kosten je Mandant marginal macht. Dieser Geschwindigkeits- und Kostenvorteil erlaubt den Aufbau eines skalierbaren Geschäftsmodells. Vertriebsmodelle durch ein multi-tenant LMS Im o.g. Beispiel des Bildungsträgers wird deutlich, wie ein Vertriebsmodell auf Basis eines mandantenfähigen LMS einfach gestaltet werden kann. Der Bildungsträger stellt in einem Muttersystem alle Inhalte ein und aktualisiert diese laufend. Möglichweise werden über das Muttersystem direkt Buchungen von Einzelpersonen (z.B. Pflegekräften) oder von kleineren Pflegeteams vorgenommen. Ein Pflegeheim mit 50 Pflegekräften wird dagegen Interesse an einem eigenständigen LMS haben, das die Inhalte des Muttersystems nutzen kann und zusätzliche das Anlegen von eigenen Kursen ermöglicht. Checkliste für die Auswahl eines mandantenfähigen LMS Wenn Sie den Einsatz eines mandantenfähigen LMS in Erwägung ziehen, spielen folgende Kriterien eine Rolle: Must-Have Features eines multi-tenant LMS Synchronisierung der Inhalte aus dem Muttersystem in die Mandanten Möglichkeit eigene Lerninhalte im Mandanten zu erstellen Eigenes Design je Mandant (einfach zu erstellen) Eigene Domain / Subdomain je Mandant Eigener Nutzerverwaltung mit Gruppierungsmöglichkeiten je Mandant Mandantenspezifische Analytics / Berichtswesen Anlegen mandantenspezifischer Zertifikate (Design, Inhalte, Struktur). Optionale Features eines multi-tenant LMS Abrechnungssystem für Mandanten / Inhalte Eigenes Mailingsystem je Mandant Konsolidierte Analytics über alle Mandanten e-Commere Funktionalität je Mandant Mehr zum Thema E-Learning Das Thema e-Learning ist noch neu für Sie? Dann hilft Ihnen unser Leitfaden sicher weiter. Darin haben wir genau beschrieben, wie die Einführung von e-Learning in KMU und Mittelstand funktioniert und welche Stolpersteine Sie vermeiden sollten.

Nachdem man sich für ein LMS (Learning Management System) entschieden hat, um Mitarbeitende digital zu schulen, weiterzubilden oder neue Teammitglieder einzuarbeiten, geht es im nächsten Schritt darum, gute Inhalte bereitzustellen. Dabei ist die große Frage: Lerninhalte selbst erstellen oder extern einkaufen – Make or Buy? Lassen Sie uns gemeinsam einen Blick darauf werfen, was für eine selbstständige Erstellung von Inhalten spricht und wann es sich lohnt, externes Material einzukaufen. Inhalt 1. Ziele von digitalem Lernen2. Make: Digitale Lerninhalte selbst erstellen3. Buy: Digitale Lerninhalte extern einkaufen4. Fazit: Make or Buy?5. Die nächsten Schritte Ziele von digitalem Lernen Zuerst sollte man sich die Frage beantworten, was mit dem digitalen Schulungsangebot erreicht werden soll. Möchte man eine Vielzahl von Mitarbeitenden zu einem allgemeinen Thema wie Office-Anwendungen oder Compliance-Themen schulen oder geht es darum, spezielle Lerninhalte aus dem Arbeitsalltag zu vermitteln oder zu vertiefen? Dabei ist neben dem Faktor Zeit und Geld noch bedeutender, dass die Lerninhalte relevant sind. Sie müssen zum Lernstand sowie Lernverhalten der Mitarbeitenden passen und sich mit den Lernzielen des Unternehmens decken. Dies betrifft sowohl gekaufte Lerninhalte wie auch selbsterstellten Content. Entsprechen digitale Lerninhalte nicht dem Wissen und den Anforderungen der Lernenden, spielt es keine Rolle, ob man Lerninhalte erstellen lässt oder selbst produziert. Daher wollen wir uns nun einmal genauer anschauen, was dabei zu beachten ist und im Einzelfall am besten passt. Make: Digitale Lerninhalte selbst erstellen Einer aktuellen Studie des E-Learning Journals zufolge wird die Mehrheit an digitalen Lerninhalten inhouse, also im Unternehmen direkt von den Mitarbeitenden selbst erstellt. Dabei kommen erprobte LMS (Learning Management Systems) wie reteach zum Einsatz, mit denen man schnell und unkompliziert passende Lerninhalte und -formate erstellen kann. Diese können auf dem Desktop oder Mobilgerät spielend leicht genutzt werden, um eigene Lernwelten zu erstellen, die den Ansprüchen der User gerecht werden. Weitere Vorteile von selbst erstellten Lerninhalten Das komplette Eigentum der E-Learnings liegt beim Unternehmen und kann somit unabhängig von vertraglichen Reglungen genutzt und vertrieben werden Digitale Lerninhalte können individuell und jederzeit an die Bedürfnisse der Mitarbeitenden und Unternehmensziele angepasst werden Bei der Planung bestimmen die Verantwortlichen selbst, welche Formate und Medien genutzt werden Eigene Lerninhalte unterstützen mit dem firmeneigenen Design das Employer Branding und tragen so zu einer nachhaltigen Identifikation mit dem Gelernten sowie dem Unternehmen bei Alle Lerninhalte können jederzeit problemlos aktualisiert und eigenständig bearbeitet und erweitert werden Allerdings sollten wir auch einen Blick auf die Nachteile werfen Das Unternehmen muss über die zeitlichen und finanziellen Ressourcen verfügen, um eigene Lerninhalte mithilfe eines LMS erstellen und updaten zu können Um anspruchsvollen und hilfreichen Content zu erstellen, braucht es didaktische Kenntnisse, digitale Inhalte zu konzipieren und erstellen zu können Dabei handelt es sich um Punkte, die mit einem guten und erschwinglichem LMS nicht so stark ins Gewicht fallen. Moderne Lernplattformen für Unternehmen wie reteach bieten ebenfalls gute Unterstützung darin, digitale Lerninhalte pädagogisch wertvoll aufzubereiten.   Mehr zu den Vorteilen und Nachteilen von e-Learning allgemein sowie Tipps für die Einführung ins e-Learning im Mittelstand finden Sie hier. Im nächsten Schritt wollen wir uns nun genauer anschauen, was für die Nutzung von extern produzierten Lernformaten spricht. Buy: Digitale Lerninhalte extern einkaufen Wie bei den meisten Dingen im Leben gibt es auch in der Welt des E-Learnings vorgefertigte Produkte von der Stange. Es gibt auf dem Markt eine Vielzahl von Anbietern und dort den Überblick zu behalten, ist nicht immer leicht. Es kann sich aber lohnen und was im Entscheidungsprozess zwischen Make or Buy zu beachten ist, zeigen wir jetzt: Vorteile von gekauften digitalen Lerninhalten: Vorab erstellte Online-Schulungen und Kurse einzukaufen, geht in der Regel schneller, als eigene Inhalte zu produzieren und im LMS zu implementieren Ein ansprechendes Design und die Qualität werden vom Anbieter gewährleistet Aber es ist ja bekanntlich nicht alles Gold, was glänzt. Daher wollen wir uns auch näher ansehen, welche negativen Aspekte der Einkauf von digitalen Lerninhalten für Unternehmen mit sich bringt. Die Nachteile von externen Lerninhalten: Lerninhalte können unter Umständen nicht zum Unternehmenskontext passen, da diese ungenügend auf die Mitarbeitenden und das Unternehmen zugeschnitten wurden Es gibt keinen direkten Ansprechpartner, an den man sich wenden kann, wenn es zu Problemen, Rückfragen oder Anmerkungen zum Lernmaterial kommt Eingekaufte Kurse und Schulungen sind zum Teil unflexibel, was individuelle Anforderungen von Mitarbeitenden und Abteilungen betrifft Digitale Lerninhalte können nicht immer zeitnah bearbeitet und aktualisiert werden Die Abstimmung mit externen Dienstleistern kann mitunter sehr zeitintensiv sein, wodurch diese Ressourcen an anderer Stelle fehlen Unser Fazit: Lerninhalte make or buy? Auch wenn die Frage zum Make or Buy von digitalen Lerninhalten es vielleicht suggeriert – es gibt bei der Beantwortung nicht nur schwarz und weiß. Jedes Unternehmen muss für sich selbst entscheiden, was es investieren kann und möchte. Entweder man investiert Zeit, um etwas Eigenes und Individuelles zu erschaffen oder eben finanzielle Mittel, um sich Zeit zu sparen und die Schulungsmaterialien leichter vereinheitlichen zu können. Bei Standardschulungen wie dem Arbeitsschutz oder MS-Office-Anwendungen wie Excel, die idealerweise rasch verfügbar sein müssen, bieten sich in der Regel gekaufte Kurse an. Eigene digitale Lerninhalte bieten vielfältige Vorteile, von denen die Mitarbeitenden nachhaltig profitieren werden. Der geringere Kostenfaktor bietet Möglichkeiten, das eingesparte Geld anderweitig einzuplanen. Durch individuellere Angebote erhöht sich bei der Belegschaft die Identifikation mit dem Unternehmen und man kann selbst entscheiden, auf welchem Weg der Lernerfolg erreicht wird. Dabei können dosiert eingesetzte externe Lerninhalte helfen. Die nächsten Schritte Sie möchten noch mehr über das Thema eLearning im Mittelstand erfahren? Nehmen Sie an unseren einstündigen HR-Webinaren zu digitalem Lernen teil – kostenlos und unverbindlich. Wertvolle Informationen zu digitaler Personalarbeit direkt aus der Praxis. Sie sind neugierig geworden und möchten Ihr eLearning Projekt schnell und einfach starten? Testen Sie die Lernplattform für 14 Tage lang kostenlos und unverbindlich.

Bei der Auswahlentscheidung für ein LMS wird aus gutem Grund auf die Vereinbarkeit mit den Anforderungen des Datenschutzes und der DSGVO geachtet. Gerade deutsche oder europäische Unternehmen aus dem Mittelstand sind oft verunsichert, in welchem Umfang die Anforderungen der DSGVO zu beachten sind. Deutsche Unternehmen bevorzugen in der Regel einen deutschen Anbieter, weil dort der Support auf deutscher Sprache angeboten wird und auch die Anforderungen an den Datenschutz mit einem persönlichen Ansprechpartner geregelt werden können. Inhalt 1. Wichtige Punkte in der Auswahlentscheidung2. Position der Server3. Urteile vom OLG Karlsruhe & EuGH4. Server von US-Unternehmen5. Remote Work & DSGVO6. Fazit7. Checkliste Wichtige Punkte in der Auswahlentscheidung für ein LMS Wenn Sie mit dem LMS ein Schulungsangebot für Mitarbeitende, Kunden, Partner oder andere Personen betreiben, dann werden in jedem Fall persönliche Daten verarbeitet und gespeichert. Hierunter fallen vor allem die E-Mail-Adresse und weitere persönliche Daten der Teilnehmenden. Insofern muss zunächst ein sog. AVV oder ADV (Vertrag über die Auftragsdatenverarbeitung) mit dem jeweiligen Anbieter beziehungsweise Betreiber des LMS abgeschlossen werden. Hier sollten Sie darauf achten, dass Ihnen dieser ADV in deutscher Sprache vorgelegt wird und Sie gegebenenfalls Änderungswünsche mit einem persönlichen Ansprechpartner beim Anbieter erörtern können. Ferner sollten Sie sich beim Anbieter informieren, wie das Datensicherungskonzept aussieht. Dazu gehören Vorkehrungen technischer und organisatorischer Art, die der Anbieter getroffen hat, um die auf seinem Server gespeicherten Daten zu sichern. Ein Teil dieser Maßnahmen ist als sog. TOA Anlage (Technisch Organisatorische Maßnahmen) in der ADV geregelt. Für darüber hinausgehende Maßnahmen sollte Ihnen der Anbieter ein eigenes Sicherheitskonzept vorlegen können. Wichtig ist am Ende, wo die Server stehen Die weitere und oft in den Mittelpunkt gestellte Frage bezieht sich auf den Standort der Server, auf dem die persönlichen Daten der Kunden gespeichert werden. Moderne LMS-Lösungen sind sog. Cloud-Lösungen. Das bedeutet, die Daten werden nicht wie früher als sog. on-premise auf Servern des Kunden gespeichert, sondern in der Cloud. In den letzten Jahren haben sich Cloud-Lösungen durchgesetzt, da diese für den Kunden preiswerter sind, eine kontinuierliche Weiterentwicklung der Software gewährleistet wird und nicht extra abgerechnet wird. Die große Mehrheit der Cloud-Lösungen hostet die Daten nun aber auf Servern von Amazon (AWS) oder Microsoft, da diese Lösung die leistungsfähigsten sind. Alle größeren US-Anbieter betreiben mittlerweile alle Serverfarmen mit Serverstandort in Europa oder Deutschland, um den Anforderungen der DSGVO entsprechen zu können. Dennoch hat ein Urteil des Europäischen Gerichtshof für Verunsicherung gesorgt, das auch als Schrems II bekannt geworden ist. Hier hatte der EuGH entschieden, dass personenbezogene Daten von EU-Bürgern nur an Drittländer übermittelt werden dürfen, wenn sie in diesem Drittland einen im Wesentlichen gleichwertigen Schutz genießen wie in der EU. Für die USA hat der EuGH ein solches angemessenes Schutzniveau verneint, worauf die Europäische Kommission in 2021 die sog. Standardvertragsklauseln erlassen hatte, die seit dem 27.9.2021 für die Datenübermittlung abzuschließen sind. Doch auch hier kam es in der Vergangenheit oft zu Fragen von Datenschutzbeauftragten, ob auch bei Abschluss der Standardvertragsklauseln ein Restrisiko bestehen kann, weil die jeweiligen Behörden in Drittländern wie den USA auf die Daten zugreifen könnten. Urteile vom OLG Karlsruhe & EuGH geben Gewissheit Mittlerweile hat sich allerdings auch unter Datenschutzexperten eine pragmatische Abwägung durchgesetzt, die zuletzt vom OLG Karlsruhe bestätigt worden ist. Das OLG hatte in einer Entscheidung vom 6.9.2022 klargestellt, dass deutsche Behörden bei öffentlichen Aufträgen sehr wohl auf Tochtergesellschaften von US-amerikanischen Cloud-Dienste-Anbietern zurückgreifen. Die Voraussetzung dafür ist, dass diese zusichern, die Daten in Deutschland zu verarbeiten. Nicht nur dieses Urteil kann Unternehmen aktuell die Gewissheit geben, dass eine Speicherung von persönlichen Daten auch über ein LMS auf Servern mit Standort in Deutschland bzw. Europa zulässig ist. Denn hier wurde dies vom OLG für von der öffentlichen Hand betriebenen Krankenhäusern richterlich erlaubt. Und Patientendaten dürften weitaus sensibler sein als im normalen Einsatzszenario eines LMS. Server von US-Unternehmen in Deutschland & Europa Last but not least zeigt ein genauer Blick auf das Urteil des EuGH, dass sich Unternehmen im Kontext eines LMS keine Sorgen machen müssen. Denn die problematischen Normen, die das Privacy-Shield kippten, sind Section 702 FISA und Executive Order 12333 (E.O. 12333). Diese ermächtigen US-Behörden, sogenannte “foreign intelligence” zu erlangen. Darunter versteht man sämtliche Informationen, die die USA im Rahmen ihrer geheimdienstlichen Tätigkeiten für erforderlich oder hilfreich erachten. Wer nun also mit dem LMS keine Aufträge für einen Geheimdienst bearbeitet, sollte sich von den Sorgenfalten der Datenschutzbeauftragten nicht verunsichern lassen. Immerhin werden externe Datenschutzbeauftragte dafür bezahlt, potentielle Risiken aufzuzeigen. Die jeweiligen Lösungen müssen dann im Unternehmen gefunden werden. Somit besteht nun Klarheit, dass von US-Unternehmen in Deutschland oder Europa betriebene Server DSGVO konform sind. Remote Work & DSGVO Remote Work wirft wichtige Fragen im Zusammenhang mit der DSGVO auf. Der Zugriff auf Unternehmensdaten außerhalb des geschützten Netzwerks kann Datenschutzrisiken mit sich bringen. Unternehmen müssen sicherstellen, dass Mitarbeitende, die remote arbeiten, im Bereich Datenschutz angemessen geschult sind. Außerdem müssen sie geeignete Sicherheitsvorkehrungen treffen, um die Einhaltung der DSGVO zu gewährleisten. Dazu gehört, sichere Netzwerke und Geräte zu verwenden, Datenübertragungen zu verschlüsseln und Zugriffskontrollen zu implementieren. Es gibt im remote work jedoch nicht nur Datenschutz zu beachten. Weitere wichtige Compliance-Themen sind Sozialversicherungen, Steuern, Wirksamkeit & Sorgfaltspflicht usw. Wie behalten Sie da am besten den Überblick, vor allem wenn Ihre Mitarbeitenden auch noch in verschiedenen Ländern arbeiten? Mit rhome bringen Sie remote work auf eine neue Stufe, indem Sie Ihre Mitarbeitenden auf der ganzen Welt tracken können und gleichzeitig alle wichtigen Compliance-Anforderungen einhalten. Seien Sie ein moderner und attraktiver Arbeitgeber und bieten Sie Ihrem Team volle örtliche Flexibilität.   Fazit Datenschutzkonforme Weiterbildung ist ein komplexes Thema. Wir haben deshalb noch mehr wertvolle Infos für Sie gesammelt, mit denen Sie teure Fehler im Bereich LMS und DSGVO vermeiden können. Sie sind neugierig geworden und möchten mehr zum Thema Lernplattformen für Unternehmen erfahren? Wir haben im verlinkten Artikel alle Formen von Lernplattformen sowie wichtige Funktionen zusammengefasst und verraten, worauf Sie beim Kauf achten sollten. Checkliste DSGVO-Konformität ist nur eines der Kriterien, die ein LMS erfüllen sollte. Die Auswahl des passenden LMS kann schwierig sein, da es viele verschiedene Anbieter gibt. Wir haben deshalb eine hilfreiche Checkliste mit den 15 wichtigsten Anforderungen für Sie verfasst – kostenlos herunterladen und einfach abhaken: Checkliste jetzt sichern

Datenschutzkonforme Weiterbildung mit einem LMS (Learning Management System) bedeutet vor allem ein: personenbezogene Daten schützen. Immer dann, wenn auf irgendeine Art und Weise personenbezogene Daten verarbeitet werden, kommen Datenschutzgesetze wie die Datenschutzgrundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG) oder auch das Betriebsverfassungsgesetz (BetrVG) zur Anwendung. Zu den personenbezogenen Daten zählen alle Angaben über persönliche oder sachliche Verhältnisse einer Person. Bei der Nutzung eines LMS gehören hierzu z. B. Vor- und Nachname, E-Mail-Adresse, Personalnummer, Organisationseinheit oder die Sprache des Teilnehmenden. Inhalt 1. Ihr LMS: eine Maschine zur Datenverarbeitung2. Transparenz als das A und O3. Altbestände anonymisieren4. Prozesse gehen vor Technik5. Neue Anforderungen an IT-Sicherheit6. Vorsicht bei Trends7. Fazit8. Checkliste Ihr LMS: eine Maschine zur Datenverarbeitung Verfügt Ihr Unternehmen über einen Datenschutzbeauftragten, wird ein datenschutzkonformes Verzeichnis von Verarbeitungstätigkeiten für personenbezogene Daten vermutlich bereits existieren. Dabei bilden Ihre Trainingsaktivitäten im LMS nur eine Rubrik der Verarbeitung personenbezogener Daten z.B. neben Ihrer Mitarbeitenden- oder Kundendatenbank. Hat Ihr Unternehmen keinen Datenschutzbeauftragten, sollten Sie sich intern oder auch extern mit qualifizierten Fachleuten verstärken. So können Sie sich so schnell wie möglich einen Überblick über Ihre Situation verschaffen. Sobald Sie in Ihrem LMS den Namen von auch nur einem Lernenden erfassen, verarbeiten Sie personenbezogene Daten. Diese werden in der datenschutzkonformen Weiterbildung sensitiv gehandhabt. Besondere Vorschriften gelten, wenn Sie auch Daten über minderjährige Azubis in ihrem LMS führen oder falls Sie Spezialinformationen (z.B. besondere Anforderungen bei der Unterbringung für Präsenzveranstaltungen) dokumentieren müssen. In diesem Fall handelt es sich sogar um besonders sensible und schutzwürdige Daten im Sinne der DSGVO, die nur aufgrund besonderer Erlaubnistatbestände überhaupt verarbeitet werden dürfen. Das A und O: Transparenz in der Datenverarbeitung Viele LMS am Markt haben in Hinblick auf das Inkrafttreten der DSGVO neue Features oder Plugins veröffentlicht. Die Mehrheit der LMS-Lösungen für den professionellen Einsatz ist bereits so ausgelegt, dass der Teilnehmende beim ersten Login die Kenntnisnahme von einer Datenschutzerklärung bestätigen muss. Hier müssen Sie die Lernenden transparent über die Verwendung ihrer Daten für den Zweck der Trainingsorganisation informieren. Dazu gehört auch die Aufklärung über ihre Rechte und die Dauer der Speicherung. Eventuell macht es Sinn, einen verantwortlichen Datenschutzbeauftragten zu benennen. Sollte sich herausstellen, dass der aktuelle Text Ihrer Datenschutzerklärung nicht DSGVO-konform ist, muss er angepasst und erneut von den Lernenden bestätigt werden. Nur so kann datenschutzkonforme Weiterbildung sichergestellt werden. Um das Risiko zu vermeiden, dass andere gesetzliche Erlaubnistatbestände eventuell nicht eingreifen, sollte Ihr LMS so ausgelegt sein, dass eine wirksame Einwilligung des Nutzenden in die Datenverarbeitung eingeholt wird. Dem Nutzenden muss jedoch die Möglichkeit offenstehen, diese Einwilligung so einfach zu widerrufen, wie sie erteilt wurde. Willigt ein Nutzer in die Datenverarbeitung nicht ein oder widerruft sie, bedeutet das für die meisten LMS, dass dieser Nutzende Ihre Schulungsdienste nicht mehr in Anspruch nehmen kann. Das kann Sie vor eine Herausforderung stellen. Zum Beispiel dann, wenn es in Ihrem LMS verpflichtende Trainings gibt, die so wichtig sind, dass alle Mitarbeitenden ohne Ausnahme sie absolvieren müssen. Dazu gehören Trainings zur Arbeitssicherheit oder elektronische Sicherheitsunterweisungen für bestimmte Maschinen. Hier ist noch unklar, ob die Datenverarbeitung in einem solchen Fall auch ohne die Einwilligung des Nutzers über einen der Erlaubnistatbestände aus Art. 6 oder 9 EU-DSGVO gerechtfertigt werden kann. Altbestände anonymisieren In der Praxis ist es auch oft der Fall, dass die Lernerdatenbank aus einem Altsystem geerbt wurde oder das System initial aus Lernerlisten im Excel-Format befüllt wurde, bevor es im Unternehmen eine Datenschutzerklärung für das Trainingsgeschäft gab. Bei solchen externen Quellen ist Vorsicht geboten. Wenn die Zielgruppe Ihrer Akademie hauptsächlich aus häufig wechselnden Externen (z.B. Anwendern, Händlern) besteht, dann ist es sicher nicht sinnvoll oder möglich, die „Karteileichen“ für die Bestätigung einer neuen Datenschutzerklärung zu kontaktieren. Eher können Sie Altbestände (z.B. Nutzende ohne Trainingsaktivitäten in den letzten 10 Jahren) bei Bedarf anonymisieren. Diese radikale Maßnahme steht jedoch eigentlich im direkten Zielkonflikt mit dem Sinn und Zweck eines LMS. Ein solches System ist nämlich darauf auslegt, Informationen über Lernende und Lernverhalten dauerhaft auszuwerten und langfristig zu dokumentieren. Hier muss man noch auf entsprechende Rechtsprechung warten, ob solche Maßnahmen tatsächlich auch gefordert werden. Eine Pseudonymisierung kann im Zeitraum bis zum Erreichen der Löschfrist eine gute datenschutzkonforme und dennoch auditsichere Lösung für ältere Datenbankeinträge darstellen. Beispielsweise durch die Aufbewahrung von Lerner- und Trainingsdaten in getrennten Tabellen auf unterschiedlichen Serverbereichen mit einer möglichen Zuordnung über eine eindeutige ID. Prozesse gehen vor Technik In der Praxis ist nicht davon auszugehen, dass LMS-Nutzende häufig von ihrem Recht Gebrauch machen werden und willkürlich ihre Einwilligungserklärung widerrufen. Dennoch sollten Sie sich darüber Gedanken machen, wie Sie mit solchen Anforderungen im Fall der Fälle konkret umgehen wollen. Beantragt ein Teilnehmender die Löschung aller Daten, die sie über ihn gespeichert haben, haben Sie dafür in der Regel gemäß Art. 12 Abs. 3 DSGVO eine bindende Frist von einem Monat. Der Antrag darf auch formlos erfolgen, z.B. telefonisch. Weitere LMS-relevante Features in Hinblick auf die DSGVO wären auch die leichtere Möglichkeit für den Teilnehmenden, ihn/sie betreffende Daten einzusehen und zu berichtigen. Auch die eigenen Daten in einem gängigen Format wie JSON oder XML exportieren zu lassen, um sie bei einem anderen Anbieter einspielen zu lassen, ist sinnvoll. Dadurch könnte der Lernende seine Bildungshistorie viel leichter zu seinem nächsten Arbeitgeber mitnehmen. Hier könnte der Begriff lebenslanges Lernen auch in Kombination mit neuen Technologien wie xAPI/TinCan eine neue Dynamik bekommen. Auch die Themen „Privacy by design“ (Datenschutz durch Technik) und „Privacy by Default“ (datenschutzfreundliche Voreinstellungen) sind nun stärker gesetzlich verankert. Diese Neuerungen sollten sich im LMS durch neue Features und eine Aktualisierung der Oberfläche wiederfinden. Neue Anforderungen an IT-Sicherheit Wenn Sie Ihr LMS on premise hosten, kommen mit der DSGVO und datenschutzkonformer Weiterbildung auch verstärkte Anforderungen an die IT-Sicherheit auf Sie zu. Sie müssen angemessene technische und organisatorische Maßnahmen (TOM) treffen, wie das rechtzeitige Einspielen von Updates und eine ausreichend sichere Verschlüsselung der Datenübertragung, potentiell datenschutzrelevante Critical Incidents beobachten und diese dann ggf. der Aufsichtsbehörde und den Nutzern melden. Wird Ihr LMS als SaaS gehostet, sollte der LMS-Anbieter diese Leistungen für Sie übernehmen. Auch Anbieter mit Sitz außerhalb der EU unterfallen dem Anwendungsbereich der DSGVO, sofern sie ihre Leistungen innerhalb der EU anbieten. Sie müssen daher ein Schutzniveau gewährleisten, das den Anforderungen der DSGVO genügt. Unabhängig davon, ob Ihr LMS gekauft oder gemietet ist, müssen Ihre Administratoren für einen sicheren Umgang mit personenbezogenen Daten verstärkt sensibilisiert werden. Dies fängt bei der tatsächlichen Einhaltung der Passwortrichtlinien und Best Practices beim E-Mail-Versand an, wie z.B. dem Nutzen des BCC-Feldes. Admins müssen mit personenbezogenen Daten in Reports kritisch, sorgfältig und vertraulich umgehen. Möglicherweise müssen Sie auch neue Regeln schaffen, wenn Ihre Mitarbeitenden das LMS im Homeoffice oder auf privaten Geräten nutzen dürfen. Vorsicht bei Trends Falls Ihr Unternehmen auch dem Trend „Learning Analytics“ folgen möchte, muss genau geprüft werden, wie Sie ihr Vorhaben datenschutzkonform gestalten können, da hier das Kriterium der Zweckbindung bei der Datenerhebung nicht immer erfüllt ist. Beim Social Learning sollten Sie durch ein geeignetes Berechtigungskonzept sicherstellen, dass nur die Teilnehmenden sich gegenseitig sehen, die dem auch zugestimmt haben. Wenn Sie sich für die neuen Technologien VR/AR und xAPI interessieren, ist je nach Anwendungsszenario eine Datenschutz-Folgenabschätzung sinnvoll und kann Sie bei der Konformitätsdokumentation im Fall der Fälle vor hohen Strafen bewahren. Fazit Auf der sicheren Seite beim Thema DSGVO sind Sie erst, wenn Sie sich im Detail und ggf. mit der Unterstützung eines fachkundigen Datenschutzbeauftragen darüber Gedanken gemacht haben, wie Sie nicht nur Ihr LMS, sondern auch Ihre Trainingsprozesse datenschutzkonform gestalten können. Hier dürfen sich Unternehmen, insbesondere Mittelständler, nicht nur auf die Technik Ihres LMS verlassen. Das Thema LMS und DSGVO ist sehr komplex. Noch mehr Infos und Hilfestellung gibt es im verlinkten Beitrag. Checkliste DSGVO-Konformität ist nur eines der Kriterien, die ein LMS erfüllen sollte. Die Auswahl des passenden LMS kann schwierig sein, da es viele verschiedene Anbieter gibt. Wir haben deshalb eine hilfreiche Checkliste mit den 15 wichtigsten Anforderungen für Sie verfasst – kostenlos herunterladen und einfach abhaken: Checkliste herunterladen