Caltrix

Ratgeber

LMS DSGVO-konform auswählen: die entscheidenden Kriterien

Eine Lernplattform verarbeitet zwangsläufig Beschäftigtendaten: Lernstände, Pflichtschulungs-Status, Testergebnisse. Die LMS-Auswahl ist damit auch eine Datenschutz-Entscheidung. Diese Checkliste zeigt, worauf IT-Leitung, Datenschutzbeauftragte und Betriebsrat achten sollten.

1. Datenstandort und Auftragsverarbeitung

Die Grundfragen zuerst: Wo liegen die Daten physisch? Gibt es eine Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 DSGVO samt dokumentierten technischen und organisatorischen Maßnahmen (TOMs)? Welche Unterauftragsverarbeiter sind beteiligt, und sitzen sie in Drittländern? Ein Anbieter mit Hosting in Deutschland und kurzer, transparenter Subprozessoren-Liste erspart die Diskussion um Drittlandtransfers von vornherein.

2. Datensparsamkeit und Leistungskontrolle

Lernplattformen können sehr detailliert protokollieren, wer wann wie schnell was gelernt hat. DSGVO-konform ist, was dem Zweck dient: Nachweise für Pflichtschulungen ja, heimliche Verhaltens- und Leistungskontrolle nein. Prüfen Sie, welche Auswertungen das System Führungskräften anbietet und ob sich Sichtbarkeiten rollenbasiert einschränken lassen. Beziehen Sie zudem den Betriebsrat früh ein, denn Lernplattformen sind regelmäßig mitbestimmungspflichtig (§ 87 BetrVG).

3. Zugriffskontrolle und Sicherheit

4. Löschkonzept und Exit-Fähigkeit

Was passiert mit den Daten ausgeschiedener Mitarbeitender, und was geschieht bei Vertragsende mit dem gesamten Bestand? Verlangen Sie ein klares Löschkonzept und einen vollständigen Datenexport in offenen Formaten. Ein Anbieter, der Export und bestätigte Löschung vertraglich zusagt, nimmt Ihnen das Lock-in-Risiko und die Rechenschafts-Diskussion ab.

5. Nachweise, die dem Audit standhalten

DSGVO-Konformität heißt auch: Das System muss Ihre eigene Rechenschaftspflicht unterstützen. Dazu gehören dokumentierte Pflichtschulungen mit Wiederholungslogik, Zertifikate und manipulationssichere, exportierbare Nachweise. Andernfalls verwalten Sie die Compliance neben der Plattform doch wieder in Excel.

Checkliste für die Anbieterauswahl

  1. Hosting-Standort und vollständige Subprozessoren-Liste benannt?
  2. AVV und TOMs ohne Nachfragen verfügbar?
  3. 2FA, SSO (OIDC/SAML) und rollenbasierte Rechte vorhanden?
  4. Auswertungen rollenbasiert einschränkbar (Stichwort Leistungskontrolle/Betriebsrat)?
  5. Audit-Log und signierte Nachweise für Pflichtschulungen?
  6. Löschkonzept, Datenexport und bestätigte Löschung bei Vertragsende zugesagt?
  7. On-Premises-Option, falls Ihre Regulatorik Cloud ausschließt?

Wie Caltrix diese Kriterien erfüllt

Caltrix wird DSGVO-konform in einem deutschen Rechenzentrum betrieben, mit AVV, TOMs und eigener Datenbank je Mandant. 2FA, SSO (OIDC ab Team, SAML ab Business), rollenbasierte Scopes und Audit-Log sind Plattformfunktionen; Pflichtschulungen erzeugen auditierbare, signierte Nachweise. Bei Vertragsende gibt es den vollständigen Export (CSV und JSON) und die gesicherte Löschung mit Bestätigung; für regulierte Umgebungen existiert eine On-Premises-Option. Alle Details stehen auf der Compliance-Seite, die Pakete auf der Preisseite.

Die Checkliste gegen Caltrix prüfen?

In einer Live-Demo beantworten wir die Fragen Ihrer IT-, Datenschutz- und Betriebsrats-Verantwortlichen direkt am System.

Demo anfragen →

Häufige Fragen

Ist ein LMS mitbestimmungspflichtig?
Regelmäßig ja: Lernplattformen können Verhalten und Leistung Beschäftigter auswerten und fallen damit unter §87 BetrVG. Der Betriebsrat sollte früh eingebunden und Sichtbarkeiten sollten rollenbasiert eingeschränkt werden.
Worauf kommt es beim Datenstandort an?
Hosting in Deutschland oder der EU mit kurzer, transparenter Subprozessoren-Liste vermeidet Diskussionen um Drittlandtransfers. Dazu gehören eine AVV nach Art. 28 DSGVO und dokumentierte TOMs.