Jede Maßnahme zur Sicherung akademischer Integrität verarbeitet personenbezogene Daten: die eingereichte Arbeit, Prüfberichte und je nach Verfahren auch Bild-, Ton- oder Verhaltensdaten. Die Frage ist deshalb nicht, ob Hochschulen Prüfungen auf Täuschung und Plagiate kontrollieren dürfen. Entscheidend ist, welche Werkzeuge sie unter welchen Bedingungen einsetzen können. Generative KI macht diese Abwägung dringlicher, denn manche neuen Verfahren greifen deutlich tiefer in die Privatsphäre ein als eine klassische Plagiatsprüfung.

Drei Grundfragen zum Datenschutz bei Prüfwerkzeugen

Gibt es eine tragfähige Rechtsgrundlage? Öffentliche Hochschulen stützen die Verarbeitung von Prüfungsdaten in der Regel auf Art. 6 Abs. 1 lit. e und Abs. 3 DSGVO in Verbindung mit dem jeweiligen Landesrecht und der Prüfungsordnung. Für private Hochschulen kommt eine Vertragsgrundlage nach Art. 6 Abs. 1 lit. b DSGVO nur infrage, soweit die Verarbeitung tatsächlich erforderlich ist. Eine Einwilligung ist im Prüfungsverhältnis wegen des Abhängigkeitsverhältnisses meist problematisch. Eine echte, gleichwertige Alternative ohne Nachteile kann für die Beurteilung entscheidend sein.

Ist das Verfahren verhältnismäßig? Hochschulen müssen das mildeste geeignete Mittel wählen und die Datenerhebung auf das Notwendige begrenzen. Eine KI-gestützte Überwachung, die Bild- oder Tonaufnahmen automatisiert auf Täuschungsverdacht analysiert, ist besonders eingriffsintensiv. Die Datenschutzaufsicht in Nordrhein-Westfalen hält solche Verfahren grundsätzlich für unzulässig, wenn eine spezielle gesetzliche Grundlage fehlt.

Prüft ein Mensch das Ergebnis wirklich? Nach dem SCHUFA-Urteil des EuGH (C-634/21) kann bereits ein automatisiert berechneter Wahrscheinlichkeitswert unter bestimmten Umständen als Entscheidung im Sinne von Art. 22 DSGVO gelten. Entscheidend ist unter anderem, ob er die spätere Entscheidung maßgeblich bestimmt. Wer einen Verdacht bewertet, muss deshalb fachlich in der Lage sein, das Ergebnis eigenständig zu prüfen und davon abzuweichen.

Für alle Werkzeuge gelten außerdem Informationspflichten nach Art. 13 DSGVO. Je nach Verfahren braucht es einen Auftragsverarbeitungsvertrag, klare Speicher- und Löschfristen sowie bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung.

Welche Prüfwerkzeuge sind datenschutzrechtlich vertretbar?

Eigenständigkeitserklärung und mündliche Verteidigung

Diese Instrumente erzeugen vergleichsweise wenig zusätzliche Daten. Die Schwäche der Eigenständigkeitserklärung liegt vielmehr im Beweiswert: Eine Studie an der King's Business School ergab, dass 74 Prozent der Studierenden ihre KI-Nutzung trotz verpflichtender Erklärung nicht angaben (Gonsalves, 2025). Eine mündliche Verteidigung kann die eigene Leistung besser überprüfbar machen, kostet aber Zeit und Betreuungskapazität.

Text-Matching: die klassische Plagiatsprüfung

Der Abgleich einer Arbeit mit vorhandenen Quellen ist ein etabliertes Instrument zur Erkennung von Plagiaten. Wichtig sind ein klarer Verarbeitungszweck und eine passende Rechtsgrundlage. Die Prüfung kann beispielsweise pseudonymisiert erfolgen, etwa mit einer Matrikelnummer statt des Namens. Pseudonymisierte Daten bleiben allerdings personenbezogene Daten. Auch die dauerhafte Aufnahme studentischer Arbeiten in einen einrichtungsübergreifenden Vergleichsbestand benötigt eine eigene rechtliche Prüfung, insbesondere wenn der Anbieter die Daten für eigene Zwecke nutzt.

KI-Textdetektion

KI-Detektoren liefern Wahrscheinlichkeiten, keinen sicheren Nachweis für Täuschung. Art. 22 DSGVO wird besonders relevant, wenn ein Score faktisch über die Einleitung eines Verfahrens oder andere erhebliche Folgen entscheidet und keine echte menschliche Prüfung stattfindet. Die Nutzung sollte transparent geregelt sein. Ein Detektorergebnis darf nicht automatisch zum Täuschungsvorwurf führen. Zusätzlich ist zu prüfen, ob das konkrete System aufgrund seines vorgesehenen Zwecks unter die Hochrisiko-Regeln der KI-Verordnung fällt.

Kamerabasierte Fernaufsicht

Proctoring greift besonders tief in die Privatsphäre ein, weil es das häusliche Umfeld erfassen kann. Gerichte haben während der Pandemie konkrete Verfahren unter den damaligen Umständen beurteilt. Daraus folgt keine pauschale Freigabe für heutige Systeme. Entscheidend sind die Rechtsgrundlage, die Verhältnismäßigkeit, die konkrete Datenerfassung und mögliche Alternativen. Automatisierte biometrische oder verhaltensbasierte Auswertungen müssen besonders kritisch geprüft werden.

Prozessdokumentation

Bei der Prozessdokumentation wird der Entstehungsweg einer Arbeit nachvollziehbar gemacht. Reichen Studierende ihre Arbeitsstände selbst ein, ist der Eingriff in der Regel geringer als bei einer automatischen Erfassung. Wichtig sind eine rechtzeitige Regelung in der Prüfungsordnung, klare Zugriffsrechte und Löschfristen.

Werden Zwischenstände automatisch erfasst, hängt die rechtliche Bewertung von Umfang, Technik und Landesrecht ab. Tastaturprotokolle und Bildschirmaufzeichnungen gehen besonders weit, weil sie auch verworfene Gedanken und nicht relevante Inhalte erfassen können. Zur Prozessdokumentation liegt nach unserem Kenntnisstand bislang weder eine gerichtliche noch eine aufsichtsbehördliche Entscheidung vor.

Die Ansätze im Überblick

Die folgende Tabelle bietet eine grobe Einordnung, keine Rechtsauskunft. Ob ein Verfahren zulässig ist, muss anhand des konkreten Einsatzes und des jeweiligen Landesrechts geprüft werden.

Was die KI-Verordnung ab Dezember 2027 bedeutet

Anhang III Nr. 3 lit. d der KI-Verordnung erfasst KI-Systeme, die dazu bestimmt sind, unerlaubtes Verhalten von Studierenden während Prüfungen zu überwachen oder zu erkennen. Je nach Zweck und konkreter Verwendung können darunter auch KI-gestützte Detektions- und Proctoring-Systeme fallen. Nicht jedes Plagiatsprüfungs- oder Schreibprozesswerkzeug ist automatisch ein Hochrisiko-System.

Nach der Verordnung (EU) 2026/1744 gelten die einschlägigen Hochrisiko-Pflichten für Systeme nach Anhang III ab dem 2. Dezember 2027. Dazu gehören je nach Einsatz menschliche Aufsicht und die Nutzung gemäß Gebrauchsanweisung. Für öffentliche Stellen und private Einrichtungen, die öffentliche Dienste wie Bildung erbringen, kann zusätzlich eine Grundrechte-Folgenabschätzung erforderlich sein. Hochschulen sollten sich deshalb vor der Beschaffung schriftlich erläutern lassen, wie der Anbieter das System rechtlich einordnet und für welchen Zweck es vorgesehen ist.

Was Hochschulen daraus mitnehmen sollten

Kein Werkzeug ist zugleich besonders datensparsam, beweiskräftig und beliebig skalierbar. Eine tragfähige Datenschutzstrategie kombiniert deshalb möglichst milde Verfahren, klare Regeln und eine menschliche Bewertung. Kein automatisiertes Ergebnis sollte für sich allein eine Sanktion begründen. Die rechtliche Prüfung gehört vor die Einführung eines Werkzeugs, nicht erst in den Moment, in dem ein Verdacht entsteht.

---

Unterlagen für Ihre Prüfung

Mentafy verbindet Text-Matching, KI-Analyse und Prozessdokumentation. Für Datenschutzbeauftragte stellen wir ein Informationsblatt bereit, das die Anforderungen und Grenzen unserer Module erläutert. Dazu kommen der Auftragsverarbeitungsvertrag, Angaben für Ihre Datenschutz-Folgenabschätzung und ein Muster für die Prüfungsordnung. Hier finden Sie unsere Werkzeuge im Überblick oder sprechen Sie uns direkt an.