CALTRIX

Ratgeber

LMS DSGVO-konform auswählen: die entscheidenden Kriterien

Eine Lernplattform verarbeitet zwangsläufig Beschäftigtendaten: Lernstände, Pflichtschulungs-Status, Testergebnisse. Die LMS-Auswahl ist damit auch eine Datenschutz-Entscheidung. Diese Checkliste zeigt, worauf IT-Leitung, Datenschutzbeauftragte und Betriebsrat achten sollten.

1. Datenstandort und Auftragsverarbeitung

Die Grundfragen zuerst: Wo liegen die Daten physisch? Gibt es eine Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 DSGVO samt dokumentierten technischen und organisatorischen Maßnahmen (TOMs)? Welche Unterauftragsverarbeiter sind beteiligt und sitzen sie in Drittländern? Ein Anbieter mit Hosting in Deutschland und kurzer, transparenter Subprozessoren-Liste erspart die Diskussion um Drittlandtransfers von vornherein.

2. Datensparsamkeit und Leistungskontrolle

Lernplattformen können sehr detailliert protokollieren, wer wann wie schnell was gelernt hat. DSGVO-konform ist, was dem Zweck dient: Nachweise für Pflichtschulungen ja, heimliche Verhaltens- und Leistungskontrolle nein. Prüft, welche Auswertungen das System Führungskräften anbietet und ob sich Sichtbarkeiten rollenbasiert einschränken lassen. Bezieht zudem den Betriebsrat früh ein, denn Lernplattformen sind regelmäßig mitbestimmungspflichtig (§ 87 BetrVG).

3. Zugriffskontrolle und Sicherheit

4. Löschkonzept und Exit-Fähigkeit

Was passiert mit den Daten ausgeschiedener Mitarbeitender und was geschieht bei Vertragsende mit dem gesamten Bestand? Verlangt ein klares Löschkonzept und einen vollständigen Datenexport in offenen Formaten. Ein Anbieter, der Export und bestätigte Löschung vertraglich zusagt, nimmt euch das Lock-in-Risiko und die Rechenschafts-Diskussion ab.

5. Nachweise, die dem Audit standhalten

DSGVO-Konformität heißt auch: Das System muss eure eigene Rechenschaftspflicht unterstützen. Dazu gehören dokumentierte Pflichtschulungen mit Wiederholungslogik, Zertifikate und manipulationssichere, exportierbare Nachweise. Andernfalls verwaltet ihr die Compliance neben der Plattform doch wieder in Excel.

Checkliste für die Anbieterauswahl

  1. Hosting-Standort und vollständige Subprozessoren-Liste benannt?
  2. AVV und TOMs ohne Nachfragen verfügbar?
  3. 2FA, SSO (OIDC/SAML) und rollenbasierte Rechte vorhanden?
  4. Auswertungen rollenbasiert einschränkbar (Stichwort Leistungskontrolle/Betriebsrat)?
  5. Audit-Log und signierte Nachweise für Pflichtschulungen?
  6. Löschkonzept, Datenexport und bestätigte Löschung bei Vertragsende zugesagt?
  7. On-Premises-Option, falls eure Regulatorik Cloud ausschließt?

Wie Caltrix diese Kriterien erfüllt

Caltrix ist kein klassisches LMS. Eine Kursplattform setzt eine Lernabteilung voraus, die Fachleute zu Autoren macht und die Redaktion führt. Caltrix setzt keine voraus: Es organisiert die Weitergabe zwischen Menschen. Wissen weitergeben statt nur aufschreiben: Caltrix macht verbindlich, wer wem was bis wann beibringt, für Unternehmen ohne eigene Lernabteilung, in denen die Führungskräfte die Wissensvermittlung neben dem Tagesgeschäft allein stemmen müssen. Die Checkliste gilt trotzdem, denn auch dabei entstehen Beschäftigtendaten: Fortschritt, Nachweise und die Sicht darauf, wer was kann.

Caltrix wird DSGVO-konform in einem deutschen Rechenzentrum betrieben, mit AVV, TOMs und eigener Datenbank je Mandant. 2FA, SSO (OIDC und SAML ab Level Entwicklung), rollenbasierte Scopes und Audit-Log sind Plattformfunktionen; Pflichtschulungen erzeugen auditierbare, signierte Nachweise. Bei Vertragsende gibt es den vollständigen Export (CSV und JSON) und die gesicherte Löschung mit Bestätigung; für regulierte Umgebungen ist im Level Compliance der Betrieb auf euren eigenen Servern möglich. Alle Details stehen auf der Compliance-Seite, die Level auf der Preisseite.

Wo eine Kompetenz nur an einer Person hängt, ist das jederzeit sichtbar, nicht erst beim Austritt. Ob in dieser Sicht Namen stehen oder nur die Zahl der Personen, legt ihr im Mandanten fest, etwa gemeinsam mit dem Betriebsrat.

Und die KI: KI, ohne dass eure Inhalte das Haus verlassen. Entwürfe aus vorhandenem Material, etwa eine Checkliste aus Protokollen, erstellt eure eigene KI, angebunden über euren eigenen Zugang. Dazu schlägt sie Quizfragen vor und ordnet Inhalte Kompetenzen zu. Jeder Vorschlag geht durch eine menschliche Freigabe. Eine Caltrix-KI gibt es nicht und Menschen bewertet die KI nicht.

Die Checkliste gegen Caltrix prüfen?

In einer Live-Demo beantworten wir die Fragen eurer IT-, Datenschutz- und Betriebsrats-Verantwortlichen direkt am System.

Demo anfragen →

Häufige Fragen

Ist ein LMS mitbestimmungspflichtig?
Regelmäßig ja: Lernplattformen können Verhalten und Leistung Beschäftigter auswerten und fallen damit unter §87 BetrVG. Der Betriebsrat sollte früh eingebunden und Sichtbarkeiten sollten rollenbasiert eingeschränkt werden.
Worauf kommt es beim Datenstandort an?
Hosting in Deutschland oder der EU mit kurzer, transparenter Subprozessoren-Liste vermeidet Diskussionen um Drittlandtransfers. Dazu gehören eine AVV nach Art. 28 DSGVO und dokumentierte TOMs.
Sind keelearning, reteach oder Moodle DSGVO-konform und wie unterscheidet sich Caltrix?
keelearning und reteach hosten in Deutschland und werben aktiv mit DSGVO-Konformität, sind jedoch Lernplattformen ohne integrierte Module für Events oder Mentoring. Moodle ist datenschutzfreundlich konzipiert (Privacy by Design). Die DSGVO-Compliance liegt jedoch in der Verantwortung des Betreibers, einschließlich Hosting, Wartung und laufender Administration. Caltrix ist keine Kursplattform, sondern macht verbindlich, wer wem was bis wann beibringt. Betrieben wird es DSGVO-konform in Deutschland, inklusive AVV, TOMs, signierten Nachweis-Bundles und Audit-Logs, ohne dass ihr Hosting oder Wartung selbst übernehmen müsst. Im Level Compliance ist auch der Betrieb auf euren eigenen Servern möglich.