Das Team der Rechtsinformationsstelle ORCA.nrw unterstützt Lehrende aus Nordrhein-Westfalen bei rechtlichen Fragen. Im Format „Fall des Monats“ stellt es regelmäßig einen besonderen Sachverhalt vor, der sich aus einer zu bearbeitenden Anfrage oder aus aktueller Rechtsprechung ergibt.

Sachverhalt

Im Hochschulalltag sind zahlreiche Situationen denkbar, in denen ein urheberrechtlich geschütztes Werk im Sinne von § 2 Abs. 2 UrhG in ein neues Medium übernommen werden soll. Man denke etwa an wissenschaftliche Beiträge von Forschenden oder die Lernmaterialien von Lehrenden. Im Regelfall erfordern solche Dokumente eine Quellenangabe (vgl. §§ 13, 63 UrhG). Demgegenüber steht das Datenschutzrecht, welches den Schutz persönlichen Daten bezwecken will (vgl. § 1 Abs. 1 DSGVO). Im Folgenden wird ein Überblick über diese Konfliktlage gegeben.

Rechtliche Bewertung

Zunächst wird die urheberrechtliche Verpflichtung zur Quellangabe beleuchtet (1.). Dieser wird sodann das Datenschutzrecht gegenübergestellt, um dessen Verhältnis zum Urheberrecht aufzuzeigen (2.).

1. Urheberrecht:

Gemäß § 11 UrhG dient das Urheberrecht dem Urheber nicht nur zur Sicherung einer angemessenen Vergütung (S. 2), sondern schützt auch seine geistigen und persönlichen Beziehungen zum Werk (S. 1). Letztere bezeichnen das Urheberpersönlichkeitsrecht, welches in den §§ 12-14 UrhG festgeschrieben ist. Im Rahmen dessen gewährt § 13 UrhG dem Urheber das Recht auf Anerkennung seiner Urheberschaft (S. 1) und ein Bestimmungsrecht über seine Urheberbezeichnung (S. 2). Hieraus folgt, dass der Urheber bei der Nutzung seines Werkes grundsätzlich genannt werden muss. Wird ein fremdes Werk nun für eigene Zwecke genutzt, sind zwei Nutzungsformen zu unterscheiden.

a) Vertragliches Nutzungsrecht

Hat der Urheber dem Nutzer ein vertragliches Nutzungsrecht im Sinne von § 31 Abs. 1 S. 1 UrhG (sog. Lizenz) eingeräumt, richtet sich die Urheberbezeichnung nach der Vereinbarung. Auch eine formfreie (vgl. §§ 145 ff. BGB) oder konkludente (vgl. §§ 133, 157 BGB) Vereinbarung ist möglich. So kommt die Nutzungsvereinbarung bei den CC-Lizenzen zum Beispiel durch den Nutzungshinweis des Urhebers auf dem Werk und der Nutzung des Werkes durch den Nutzer zustande. Bei den CC-Lizenzen kennzeichnet das Merkmal BY, dass eine Namensnennung zu erfolgen hat. Geht aus dem Nutzungsvertrag keine Regelung zu einer Quellenangabe hervor, sollte diese mit Blick auf § 13 UrhG im Zweifel erfolgen.

b) Gesetzliche Nutzungsrechte

Daneben sieht das Gesetz in den §§ 44a-63a UrhG eine Fülle an Beschränkungen des Urheberrechts vor, die den Nutzer auch ohne eine Lizenz zur Nutzung eines Werkes berechtigen (sog. Schranken). Für diese Fälle regelt § 63 UrhG detailliert die Voraussetzungen für eine Quellenangabe: Die Pflicht dazu gilt bei körperlichen Werknutzungen (Abs. 1 S. 1) sowie unkörperlichen Werknutzungen (Abs. 2 S. 1) nicht für alle Schranken, sondern umfasst nur die jeweils genannte Aufzählung. Bei ganzen Sprachwerken oder Musikwerken ist gemäß Abs. 1 S. 2 neben dem Urheber auch der Verlag anzugeben, bei Zeitungsartikeln auch die Zeitung (Abs. 3 S. 1) und bei Rundfunkkommentaren auch das Sendeunternehmen (Abs. 3 S. 3). Bei öffentlichen Wiedergaben ist die Verkehrssitte – was im Allgemeinen als üblich angesehen wird – maßgeblich (Abs. 2 S. 1) und der Urheber nicht zwingend anzugeben (Abs. 2 S. 2).

2. Datenschutzrecht

Das Datenschutzrecht ist gemäß Art. 2 Abs. 1 DSGVO für die Verarbeitung von personenbezogenen Daten relevant. Unter diese fallen gemäß Art. 4 Nr. 1 DSGVO auch der Name oder eine andere Bezeichnung für eine betroffene Person. Eine Quellenangabe ist deshalb nur unter den Voraussetzungen von Art. 6 Abs. 1 DSGVO rechtmäßig. Dies hängt maßgeblich davon ab, ob die Quellenangabe auf einem vertraglichen oder einem gesetzlichen Nutzungsrecht beruht.

a) Vertragliches Nutzungsrecht

Hat der Urheber dem Nutzer eine Lizenz als vertragliches Nutzungsrecht eingeräumt (1. a)), liegt in dem Nutzungsvertrag regelmäßig eine datenschutzrechtliche Einwilligung (vgl. Art. 7 DSGVO). Gemäß Art. 6 Abs. 1 a) DSGVO ist eine Datenverarbeitung rechtmäßig, wenn die betroffene Person ihre Einwilligung erteilt hat. So macht der Urheber bei einer CC BY-Lizenz gerade deutlich, dass eine Namensnennung durch den Nutzer erfolgen soll und willigt insoweit ein. Lässt der Nutzungsvertrag keine Regelung über eine Quellenangabe erkennen, liegt mangels Nachweisbarkeit im Zweifel auch keine Einwilligung vor (vgl. Art. 7 Abs. 1 DSGVO). Ähnlich verhält es sich mit dem Erfordernis zur Vertragserfüllung gemäß Art. 6 Abs. 1 b) DSGVO. Lässt der Nutzungsvertrag keine Regelung über eine Quellenangabe erkennen, ist diese aus Sicht des Datenschutzes auch nicht zur Vertragserfüllung erforderlich. Somit stellt sich die Frage, wie die Urhebernennung sonst datenschutzrechtlich zu legitimieren ist. Denn § 13 S. 1 UrhG gewährt dem Urheber ein Recht auf Anerkennung seiner Urheberschaft. Die Norm begründet aber keine unmittelbare rechtliche Verpflichtung des Nutzers, sodass Art. 6 Abs. 1 c) DSGVO als Erlaubnistatbestand in diesem Fall nicht in Betracht kommen dürfte. Gleichwohl ist § 13 S. 1 UrhG als Argument zugunsten des Nutzers anzuführen, um ein berechtigtes Interesse gemäß Art. 6 Abs. 1 f) DSGVO an der Quellenangabe zu begründen. Ein solches erfordert aber eine umfassende Interessenabwägung im Einzelfall, die stets das entsprechende Risiko einer abweichenden Beurteilung durch ein Gericht in sich trägt.

b) Gesetzliches Nutzungsrecht

Beruht die Quellenangabe auf einem gesetzlichen Nutzungsrecht (1. b)), fehlt regelmäßig ein Nutzungsvertrag. Dann kommen weder eine Einwilligung noch die Vertragserfüllung als Erlaubnistatbestände in Betracht (2. a)). Bei den von § 63 UrhG umfassten Schranken unterliegt die Quellenangabe allerdings der entsprechenden rechtlichen Verpflichtung gemäß Art. 6 Abs. 1 c) DSGVO als Erlaubnistatbestand. Bei den Schranken, die von § 63 UrhG nicht umfasst sind wie beispielsweise § 51a UrhG (Karikatur, Parodie und Pastiche), besteht diese rechtliche Verpflichtung gemäß § 63 UrhG nicht. Im Umkehrschluss ist eine Quellenangabe in diesen Fällen nicht erforderlich, sodass mangels Datenverarbeitung kein weiterer Konflikt mit dem Datenschutzrecht entsteht.

Fazit

Wird die Quellenangabe in einem Nutzungsvertrag geregelt, ist die Urhebernennung regelmäßig nach Art. 6 Abs. 1 a) DSGVO (Einwilligung) und Art. 6 Abs. 1 b) DSGVO (Vertragserfüllung) legitimiert. Lässt der Nutzungsvertrag keine Regelung zur Quellenangabe erkennen, spricht § 13 S. 1 UrhG dennoch für ein berechtigtes Interesse an der Quellenangabe gemäß Art. 6 Abs. 1 f) DSGVO. Liegt nur ein gesetzliches Nutzungsrecht vor, begründet § 63 UrhG für die erfassten Schranken eine rechtliche Verpflichtung nach Art. 6 Abs. 1 c) DSGVO. Daneben sollten Hochschulen stets auch Art. 6 Abs. 1 e) DSGVO berücksichtigen, da sie grundsätzlich im öffentlichen Interesse tätig sind (vgl. § 3 HG NRW).

Das Team der Rechtsinformationsstelle ORCA.nrw unterstützt Lehrende aus Nordrhein-Westfalen bei rechtlichen Fragen. Im Format „Fall des Monats“ stellt es regelmäßig einen besonderen Sachverhalt vor, der sich aus einer zu bearbeitenden Anfrage oder aus aktueller Rechtsprechung ergibt.

Ausgangspunkt

Eine Hochschule in Nordrhein-Westfalen steht vor der Entscheidung, zentrale Lehr- und Lerndaten künftig entweder auf eigenen Systemen im Hochschulrechenzentrum zu verarbeiten oder auf einen extern betriebenen Cloud-Dienst mit Serverstandort in der Europäischen Union umzustellen. Die Verantwortlichen fragen sich nun, welche Lösung aus datenschutzrechtlicher Sicht am sinnvollsten ist.

Rechtliche Bewertung

Damit gewinnt eine technische Beschaffungsfrage an datenschutzrechtlicher Relevanz. Denn die Wahl der Infrastruktur bestimmt, wie Verantwortung, Kontrolle, Sicherheit und Nachweisführung nach der DSGVO praktisch organisiert werden.

1. Grundlagen und Bewertungsmaßstab

Der sachliche Anwendungsbereich der DSGVO ist eröffnet, sobald personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO verarbeitet werden. Im Hochschulkontext umfasst dies beispielsweise Stammdaten, wie Nutzungs- und Interaktionsdaten aus Lernplattformen, Login-Zeitpunkte, Bearbeitungsverhalten, Prüfungsleistungen, Bewertungsdaten sowie audiovisuelle Beiträge in digitalen Lehrformaten. Zentral ist zudem die zutreffende Rollenbestimmung. Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO regelmäßig die Hochschule, weil sie Zwecke und wesentliche Mittel der Verarbeitung festlegt. Diese Verantwortlichkeit erstreckt sich auch auf die Auswahl und Ausgestaltung der technischen Infrastruktur. Werden externe IT-Dienstleister eingebunden, liegt in der Regel eine Auftragsverarbeitung (Art. 4 Nr. 8, Art. 28 DSGVO) vor. Dann ist die Hochschule weiterhin für die Rechtmäßigkeit verantwortlich, während der Dienstleister weisungsgebunden tätig wird. Art. 28 Abs. 3 DSGVO verlangt hierfür eine vertragliche Grundlage mit klarer Weisungsbindung, Offenlegung von Unterauftragsverhältnissen, Sicherstellung angemessener technischer und organisatorischer Maßnahmen sowie verbindlichen Lösch- und Rückgaberegelungen. Die rechtliche Tragfähigkeit einer Cloud-Lösung hängt daher davon ab, ob die geplante Steuerungs- und Kontrollstruktur tatsächlich durchgesetzt werden kann.

Die Zulässigkeit der Verarbeitung selbst richtet sich nach Art. 6 DSGVO. Im Hochschulkontext ist häufig die Wahrnehmung einer Aufgabe im öffentlichen Interesse einschlägig, konkretisiert durch landeshochschulrechtliche Bestimmungen. Für fakultative Zusatzangebote kann eine Einwilligung oder, soweit zulässig, eine Interessenabwägung in Betracht kommen. Unabhängig von der gewählten Rechtsgrundlage sind Zweckbindung, Transparenz, Datenminimierung und Speicherbegrenzung strikt einzuhalten.

2. Lokale Server und Cloud-Dienste im Vergleich

Die datenschutzrechtliche Bewertung lokaler und cloudbasierter Infrastrukturen orientiert sich an denselben Maßstäben. Unterschiede ergeben sich nicht aus dem Speicherort als solchem, sondern aus der praktischen Ausgestaltung von Kontrolle, Sicherheit und Nachweisführung.

a) Lokale Server

Serverlösungen bieten den Vorteil unmittelbarer organisatorischer und physischer Kontrolle. Zugriffskreise können intern definiert und Administrationsrechte klar zugewiesen werden. Externe Zugriffsmöglichkeiten bestehen grundsätzlich nicht, sofern keine Fernwartungs- oder Outsourcing-Strukturen eingerichtet sind. Diese Datenhoheit ist jedoch nur dann ein realer Vorteil, wenn die Hochschule dauerhaft ein dem Stand der Technik entsprechendes Sicherheitsniveau gewährleisten kann. Art. 32 DSGVO verlangt ein risikoadäquates Schutzkonzept, das Vertraulichkeit, Integrität und Verfügbarkeit sichert. Ohne ausreichende personelle und finanzielle Ressourcen kann der vermeintliche Kontrollvorteil faktisch ins Leere laufen.

b) Cloud-Dienste

Cloud-Dienste bieten demgegenüber funktionale Vorteile, etwa durch hohe Skalierbarkeit und standardisierte Sicherheitsupdates. Verantwortlich bleibt gleichwohl die Hochschule. Sie muss die Auslagerung so ausgestalten und dokumentieren, dass Zugriffsberechtigungen, Unterauftragnehmerketten, Protokollierung, Löschkonzepte sowie Backup- und Rückgabemechanismen nachvollziehbar beherrscht werden. Ein EU-Rechenzentrum ist dabei ein wichtiges Element, ersetzt aber nicht die Prüfung, ob der Anbieter oder Subunternehmer aus Drittstaaten heraus auf Daten zugreifen kann oder Daten dorthin offengelegt werden. Falls ja, sind die Vorgaben der Art. 44 ff. DSGVO einzuhalten und gegebenenfalls Zusatzmaßnahmen zu prüfen.

Fazit

Wer Daten verarbeitet, muss sie rechtlich beherrschen können. Datenschutzrechtlich ist weder die lokale Speicherung noch die Nutzung cloudbasierter Dienste per se vorzugswürdig. Maßgeblich ist, ob die Hochschule ihre Verantwortlichkeit strukturell wahrnimmt, die Grundsätze des Art. 5 DSGVO umsetzt und die Einhaltung gemäß Art. 24 Abs. 1 DSGVO dokumentieren kann. Lokale Lösungen stärken die unmittelbare Datenhoheit, verlangen jedoch dauerhafte technische und organisatorische Leistungsfähigkeit. Cloud-Lösungen können gleichwertig datenschutzkonform sein, wenn Weisungsbindung, Sicherheitsniveau, Transparenz, Unterauftragnehmerkontrolle und Drittlandrisiken rechtssicher ausgestaltet und überprüfbar sind. Die infrastrukturelle Entscheidung ist somit keine rein technische Wahl, sondern eine Frage der institutionellen Steuerungsfähigkeit.

Das Team der Rechtsinformationsstelle ORCA.nrw unterstützt Lehrende aus Nordrhein-Westfalen bei rechtlichen Fragen. Im Format „Fall des Monats“ stellt es regelmäßig einen besonderen Sachverhalt vor, der sich aus einer zu bearbeitenden Anfrage oder aus aktueller Rechtsprechung ergibt.

Ausgangspunkt

Eine Dozentin an einer Hochschule in Nordrhein-Westfalen möchte ihren Unterricht moderner gestalten und einen KI-Chatbot bauen. Sie nutzt dazu eine KI-Anwendung, in dessen Wissensspeicher sie Lernunterlagen wie Vorlesungsskripte, Foliensätze, Übungsaufgaben und Auszüge aus Fachbüchern einspeist. Die Studierenden sollen den Chatbot als individuelle Arbeitshilfe in Anspruch nehmen, in dem sie Fragen zu den Lehrinhalten stellen können. Ausgehend von dem Wissensspeicher beantwortet der Chatbot die Fragen. Die Dozentin überlegt nun: Darf ich das? Dürfen die Studierenden die KI nutzen? Und wer ist verantwortlich, wenn der Chatbot etwas Falsches ausgibt?

Rechtliche Bewertung

Auch im Hochschulalltag hat das Phänomen KI bereits in vielen Facetten Einzug erhalten. Die oben genannte Ausgangssituation dürfte dabei einer der typischen Anwendungsfälle von KI in einer Hochschule sein, der den Lehrenden Entlastung und den Studierenden ein individuelles Lernen ermöglichen soll. So attraktiv diese Form der KI-Unterstützung auch sein mag, birgt sie vom Einspeisen der Lernunterlagen durch die Lehrperson (1.) über die Nutzung des Chatbots der Studierenden (2.) bis hin zur Ausgabe des Ergebnisses durch den Chatbot (3.) auch einige rechtliche Fallstricke.

1. Einspeisen der Lernunterlagen in den Wissensspeicher der KI

Das Einspeisen der Lernunterlagen in den Wissensspeicher einer KI-Anwendung ist insbesondere aus urheberrechtlicher (a)) und datenschutzrechtlicher bzw. persönlichkeitsrechtlicher Perspektive (b)) relevant. Im Hintergrund ist dafür auch bedeutsam, welche KI-Anwendung genutzt wird und wie diese in der Hochschule implementiert ist (c)).

a) Urheberrecht

Lernunterlagen wie Vorlesungsskripte, Foliensätze, Übungsaufgaben und Buchauszüge sind regelmäßig urheberrechtlich geschützt. Der rechtliche Maßstab ist § 2 Abs. 2 UrhG, nach dem ein Werk eine persönliche geistige Schöpfung erfordert. Der urheberrechtliche Schutz besteht dann für 70 Jahre bis nach dem Tod des Urhebers (vgl. § 64 UrhG). Selbst erstellte Lernunterlagen sind grundsätzlich bedenkenlos nutzbar, da das Urheberrecht dem Schöpfer zukommt (vgl. § 7 UrhG). Bei verlegten Unterlagen sollte die Vertragslage geprüft werden, welche Nutzungsrechte auf den Verlag übertragen worden sind (vgl. §§ 31 ff. UrhG). Bei fremden Werken hängt die Rechtmäßigkeit der Nutzung davon ab, ob ein urheberrechtlicher Erlaubnistatbestand (sog. Schranke) erfüllt ist. Denn das Einspeisen der Lernunterlagen in den Wissensspeicher ist eine Vervielfältigung gemäß § 16 Abs. 2 UrhG, die allein dem Urheber obliegt (vgl. § 15 Abs. 1 Nr. 1 UrhG).

Einerseits kommt als Schranke das Text und Data Mining gemäß § 44b UrhG in Betracht, dessen Reichweite noch unklar ist. Gemäß § 44b Abs. 1 UrhG ist Text und Data Mining die automatisierte Analyse von einzelnen oder mehreren digitalen oder digitalisierten Werken, um daraus Informationen insbesondere über Muster, Trends und Korrelationen zu gewinnen. Wesenskern dessen ist also die digital-automatisierte Analyse von Werken zur Mustererkennung. Die Einspeisung von Werken in den Wissensspeicher einer bereits arbeitsfähigen KI ist davon in aller Regel nicht erfasst, da es hier an einer zielgerichteten Weiterentwicklung der KI-Anwendung im Wege der Mustererkennung fehlt. Unabhängig davon sind die Grenzen von § 44b UrhG bislang auch noch nicht höchstrichterlich geklärt worden. Das LG München I sieht in einem aktuellen Urteil die Grenzen des Erlaubten jedenfalls dann überschritten, wenn der Output sich mit den in den Trainingsdaten der KI hinterlegten Werken erkennbar deckt (sog. Memorierung). Zieht man diesen Maßstab auch für den Wissensspeicher heran, sollten Vorkehrungen getroffen werden, dass von dem KI-Chatbot nicht größere Werkteile sehr ähnlich oder identisch wiedergegeben werden. Zu beachten ist allerdings, dass das zitierte Urteil noch nicht rechtskräftig ist und ein Fortgang des Rechtsstreites in der höheren Instanz oder auch eine Vorlage an den EuGH erwartet wird.

Andererseits könnte die Schranke gemäß § 60a UrhG einschlägig sein, die urheberrechtliche Nutzungshandlungen im Bereich Unterricht und Lehre privilegiert. Demnach dürfen zur Veranschaulichung des Unterrichts und der Lehre an Bildungseinrichtungen zu nicht kommerziellen Zwecken bis zu 15 Prozent eines veröffentlichten Werkes vervielfältigt, verbreitet, öffentlich zugänglich gemacht und in sonstiger Weise öffentlich wiedergegeben werden. Die institutionellen Rahmenvoraussetzungen sollten bei Veranstaltungen der curricularen Hochschulbildung in aller Regel erfüllt sein. Grundsätzlich ist der zulässige Umfang aber auf 15 Prozent eines Werkes begrenzt, der in den Wissensspeicher eingebracht werden darf. Abbildungen, einzelne Beiträge aus derselben Fachzeitschrift oder wissenschaftlichen Zeitschrift, sonstige Werke geringen Umfangs und vergriffene Werke dürfen gemäß § 60a Abs. 2 UrhG dagegen vollständig genutzt werden.

b) Datenschutzrecht und Persönlichkeitsrecht

Soweit die Lernunterlagen personenbezogene Daten enthalten, sind bei der Einspeisung in den Wissensspeicher auch die datenschutzrechtlichen Vorgaben nach der DSGVO und ergänzend dem BDSG zu beachten. Auch das allgemeine Persönlichkeitsrecht ist zu wahren.

Personenbezogene Daten sind gemäß Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Die Verarbeitung dieser Daten ist nur gemäß Art. 6 Abs. 1 DSGVO rechtmäßig, sofern keine sensiblen Daten betroffen sind. Bei personenbezogenen Daten in verlegten Lernunterlagen – wie z. B. das Foto einer Person in einem Lehrbuch – wird man die Rechtmäßigkeit zur Weiterverarbeitung aus einer konkludenten Einwilligung der jeweiligen Person (lit. a)) oder zumindest aus einem berechtigten Interesse als berechtigter Nutzer des Mediums herleiten können (lit. f)). Bei eigenen nicht verlegten Lernunterlagen ist die Einholung einer Einwilligung der jeweiligen Personen zu empfehlen. Gleiches gilt insbesondere auch dann, wenn Daten der Studierenden in den Arbeitsspeicher eingespeist werden sollen. Die Verarbeitung sensibler Daten (bzgl. beispielsweise politischer/religiöser Überzeugungen, sexueller Orientierung) ist gemäß Art. 9 Abs. 1 DSGVO grundsätzlich verboten und nur unter den Voraussetzungen gemäß Art. 9 Abs. 2-4 DSGVO erlaubt. Als stets rechtmäßige Alternative kommt eine Anonymisierung der personenbezogenen Daten in Betracht, sodass kein Rückschluss mehr auf die Identität der jeweiligen Person möglich ist (vgl. Erwägungsgrund 26 zur DSGVO). Die Einspeisung von personenbezogenen Daten in eine KI-Anwendung sollte daher entweder anonymisiert oder mit Einwilligung der jeweiligen Personen vorgenommen werden. Bei der Einwilligung von Studierenden sollte die Freiwilligkeit sichergestellt werden ohne sachfremde Kopplungseffekte für eine Prüfung oder das Studium insgesamt.

Eng verbunden mit dem Datenschutzrecht ist das allgemeine Persönlichkeitsrecht, welches aus der Menschenwürde gemäß Art. 1 Abs. 1 GG und der allgemeinen Handlungsfreiheit gemäß Art. 2 Abs. 1 GG abgeleitet wird. Während das Datenschutzrecht nur die Informationen über eine natürliche Person schützt, gewährleistet das allgemeine Persönlichkeitsrecht die freie Entfaltung der Persönlichkeit. Zudem ist der Schutzbereich nicht nur auf natürliche Personen beschränkt, sodass auch juristische Personen wie Unternehmen oder Vereine erfasst sind (vgl. Art. 19 Abs. 3 GG). Demnach sollten keine Inhalte in die KI-Anwendung eingespeist werden, die sich auf die Ehre sowie die Privat- und Intimsphäre einer natürlichen Person oder innerbetriebliche Angelegenheiten einer juristischen Person auswirken können.

c) Nutzungsbedingungen der Anbieter und hochschulinterne Regelungen

Die Rechtmäßigkeit der Einspeisung von Lernunterlagen hängt nicht nur von den staatlichen Gesetzen ab. Zum einen unterliegen KI-Anwendungen regelmäßig von den Anbietern intendierten Nutzungsbedingungen, die bei dem Gebrauch beachtet werden sollten. Gewöhnlich sind solche Nutzungsbedingungen über die Website des jeweiligen Anbieters abrufbar. Andererseits treffen gegenwärtig immer mehr Hochschulen interne Regelungen zum Umgang mit KI, um den bislang noch undurchsichtigen Anforderungen der europäischen KI-Verordnung gerecht zu werden.

Diese Regelwerke können als unverbindliche Leitfäden oder auch als verbindliche Hochschulsatzung ausgestaltet sein. Insbesondere, wenn eine Hochschule auch selbst KI-Anwendungen nutzt und dadurch zur Anbieterin oder Betreiberin von KI-Systemen wird, sind interne Regularien zu erwarten. Dabei ist es grundsätzlich empfehlenswert für die Lehrperson, auf die KI-Anwendung der Hochschule für den Chatbot zurückzugreifen. Soll eine hochschulexterne KI-Anwendung genutzt werden, sind neben dem Binnenrecht der Hochschule auch die Nutzungsbedingungen des Anbieters sowie die staatlichen Gesetze zu achten. Hierbei sollte im Sinne des Datenschutzrechtes insbesondere die Redlichkeit des gewünschten Anbieters sichergestellt (vgl. Art. 26 ff. DSGVO) und den Anbieter- bzw. Betreiberpflichten der KI-Verordnung Rechnung getragen werden.

2. Nutzung des Chatbots durch Studierende

Auch bei der Nutzung des Chatbots durch die Studierenden sind aus rechtlicher Perspektive einige Dinge zu berücksichtigen. So stellt sich zunächst die Frage der KI-Kompetenz der Studierenden (a)). Ausgehend davon ist erörterungsbedürftig, wer die Verantwortung trägt, wenn die KI-Anwendung durch die Studierenden missbraucht wird und dadurch Rechte von Dritten verletzt werden (b)).

a) KI-Kompetenz der Studierenden

Gemäß Art. 4 KI-VO haben Anbieter und Betreiber die KI-Kompetenz ihres Personals und auch anderer bestimmter Personen durch Schulungsmaßnahmen sicherzustellen. Verwendet eine an der Hochschule beruflich tätige Lehrperson eine KI-Anwendung für ihre Lehre, hängt es von der Verantwortlichkeit im Einzelfall ab, ob die Hochschule oder die Lehrperson als Betreiberin zu qualifizieren ist (vgl. Art. 3 Nr. 4 KI-VO). Selbst wenn die Lehrperson keine Betreiberin ist, hat sie gemäß ihrer Dienstpflicht die Betreiberpflichten der Hochschule durchzusetzen.

Demnach hat sie nach dem Wortlaut von Art. 4 KI-VO jedenfalls die KI-Kompetenz ihres Personals sicherzustellen. Ob dies auch für Studierende gilt, hängt vom Einzelfall ab. Grundsätzlich gilt die Kompetenzpflicht auch für andere Personen, die in dem Auftrag der Lehrperson mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Entscheidend ist damit, ob die Nutzung des KI-Chatbots im Auftrag der Lehrperson erfolgt oder nicht. Bei einer Nutzungsverpflichtung ist dies der Fall, sodass auch den Studierenden Schulungsmaßnahmen zukommen müssen. Beruht die Nutzung des KI-Chatbots auf freiwilliger Basis, ist die Sache weniger klar. Mangels einschlägiger Rechtsprechung ist aber auch in diesem Fall die Durchführung von Schulungsmaßnahmen zu empfehlen.

Die Art und Weise dieser Schulungsmaßnahmen ist im Gesetz nicht weiter konkretisiert, soll aber nach besten Kräften stattfinden. Mindestens sollte eine präzise Information über die Funktionsweise, den Nutzen und die Risiken von KI im Allgemeinen und auch der konkret genutzten KI-Anwendung erfolgen. Besser dürfte noch ein Selbsttest sein, den die Studierenden vor der ersten Nutzung machen. In jedem Fall sollte zu etwaigen Beweiszwecken eine Dokumentation der Schulungsmaßnahme erfolgen.

b) Verantwortlichkeit bei Missbrauch

Zumindest durchdacht werden sollte im Vorfeld die Situation, dass der KI-Chatbot von den Studierenden zu lehrfremden Zwecken missbraucht wird. In diesem Zusammenhang stellt sich die Frage, wer für etwaige Schäden und Rechtsverletzungen haftet.

Grundsätzlich gilt im deutschen Zivilrecht, dass eine Haftung auf Schadensersatz stets ein Verschulden des Schädigers voraussetzt (vgl. § 823 Abs. 1 BGB). Andernfalls kann nur die Beseitigung und künftige Unterlassung einer Rechtsverletzung verlangt werden (vgl. § 1004 Abs. 1 BGB). Für ein Verschulden ist gemäß § 276 Abs. 1 UrhG stets Vorsatz oder Fahrlässigkeit erforderlich. Wird der KI-Chatbot durch Studierende missbraucht, sind in erster Linie die eigenverantwortlich handelnden Studierenden für etwaige Schäden haftbar. Bei der Lehrperson wäre dies nachgelagert nur der Fall, wenn ihr beispielweise wegen mangelnder Schulungsmaßnahmen ein fahrlässiges Handeln nachzuweisen wäre. Durch sorgfältige Schulungsmaßnahmen kann die Lehrperson das Haftungsrisiko eingrenzen.

3. Verantwortlichkeit für fehlerhafte Ausgaben

Schließlich stellt sich noch die Frage, wer bei einer Fehlfunktion des KI-Chatbots bei der Ausgabe die Verantwortung trägt. Man stelle sich hierbei vor, Studierende nutzen den KI-Chatbot zur Prüfungsvorbereitung oder in einer Prüfung und erzielen aufgrund fehlerhafter Ausgaben ein schlechtes Prüfungsergebnis. Diese Fragestellung ist in erster Linie eine des Prüfungsrechts (a)). Nachrangig ist aber auch eine zivilrechtliche Haftung denkbar, etwa wenn das schlechte Prüfungsergebnis Studierenden eine schon in Aussicht stehende Arbeitsstelle kostet oder sich das Studium und die damit verbundenen Kosten um ein weiteres Semester verlängern (b)).

a) Prüfungsrechtliche Verantwortlichkeit

Die Rechtsgrundlage einer Prüfung ist die jeweilige Prüfungsordnung, die von der Hochschule nach den internen Regularien erlassen wird. Der Rechtsrahmen für Prüfungsordnungen ist in NRW § 64 HG. Ziel dessen ist die Gewährleistung eines Prüfungsverfahrens, das rechtsstaatlichen Grundsätzen in Sachen Transparenz, Fairness und Chancengleichheit gerecht wird. Ausgehend davon muss im Einzelfall überlegt werden, wie dieses Ziel zu erreichen ist. Ein Anhaltspunkt dafür ist die Abgrenzung der Verantwortungsbereiche von der Hochschule (Lehrperson) und den Prüflingen (Studierende).

Setzt eine Lehrperson im Rahmen einer Lehrveranstaltung technische Hilfsmittel ein, ist die Lehrperson für die technische Funktionsfähigkeit dieser Hilfsmittel verantwortlich. Denn im Gegensatz zu den Studierenden hat sie die Entscheidungshoheit über die Hilfsmittel. Dieser Grundsatz gilt auch für einen KI-Chatbot, den die Lehrperson als Hilfsmittel auswählt. Der primäre Nutzen dieses Hilfsmittels erfordert allerdings die Bedienung durch die Studierenden. Die korrekte Bedienung des Hilfsmittels liegt wiederum im Verantwortungsbereich der Studierenden. Ein KI-Chatbot ist allerdings eine technisch komplexe Anwendung, die selbst bei korrekter Bedienung auch falsche Ergebnisse ausgeben kann. Der Einsatz von KI erweist sich somit als Gratwanderung zwischen den Verantwortungsbereichen, die nur aufgrund der Gesamtumstände des Einzelfalls zu lösen ist.

Die Lehrperson kann ihrer Verantwortung für die Wahl des Hilfsmittels dadurch nachkommen, indem sie die Studierenden für Halluzinationen von KI-Anwendungen sensibilisiert und für einen entsprechend kritischen Umgang wirbt. Zudem kann sie die Funktionsfähigkeit des KI-Chatbots selbst überwachen. Zeigt sich eine Fehlfunktion, sollte die Lehrperson der Ursache unmittelbar auf den Grund gehen und die Studierenden darüber informieren. Ein gewisses Restrisiko einer Halluzination wird durch solche Präventivmaßnahmen aber nicht auszuschließen sein. Demnach sollte schon aus Gründen der Transparenz im Vorfeld des Einsatzes eines KI-Chatbots geklärt sein, wie mit Ausgabefehlern im Hinblick auf Prüfungsleistungen umgegangen wird. Bestenfalls wird ein solches Szenario über die Prüfungsordnung abgedeckt. Ist dies nicht der Fall, kann die Lehrperson für ihre Prüfungen entsprechende Bearbeiterhinweise geben.

b) Allgemeine zivilrechtliche Verantwortlichkeit

Für die allgemeine zivilrechtliche Haftung gelten auch im Falle einer fehlerhaften Ausgabe die bereits genannten Grundsätze (2. b)). Eine Haftung auf Schadensersatz setzt stets ein Verschulden des Schädigers in Form von Vorsatz oder Fahrlässigkeit voraus. Pflegt die Lehrperson einen sorgfältigen und transparenten Umgang sowohl hinsichtlich der Prüfung als auch des KI-Chatbots, wird man ihr kein Verschulden zur Last legen können. Folglich haftet sie dann auch nicht auf Schadensersatz.

Fazit

Der Einsatz eines KI-Chatbots birgt vom Einspeisen der Lernunterlagen durch die Lehrperson (1.), über die Nutzung des Chatbots der Studierenden (2.) bis hin zur Ausgabe des Ergebnisses durch den Chatbot (3.) rechtliche Risiken. Bei der Einspeisung der Lernunterlagen in den Wissensspeicher sind insbesondere das Urheberrecht, das Datenschutzrecht sowie das allgemeine Persönlichkeitsrecht zu achten. Abseits der staatlichen Gesetze sollten auch die Nutzungsbedingungen der KI-Anbieter sowie interne Regularien der Hochschule berücksichtigt werden. Bei der Nutzung des KI-Chatbots durch Studierende sollte deren KI-Kompetenz sichergestellt werden, was zugleich auch einer Haftung der Lehrperson im Falle des Missbrauchs vorbeugt. Soll der KI-Chatbot auch zur Prüfungsvorbereitung oder in Prüfungen genutzt werden können, sollten Vorkehrungen für fehlerhafte Ausgaben getroffen werden. Hier gelten insbesondere die allgemeinen Grundsätze eines rechtsstaatlichen Prüfungsverfahrens.