Datenschutz und IT-Recht für Hochschulen, Universitäten und Bildungseinrichtungen

Microsoft 365, Cloud-Dienste und Datenübermittlungen in die USA

Die Datenschutzkonferenz kam 2022 zu dem Ergebnis, dass sich ein datenschutzkonformer Einsatz von Microsoft 365 auf Grundlage der damaligen Vertragsunterlagen nicht nachweisen lässt. Seitdem haben das EU-US Data Privacy Framework und die EU Data Boundary von Microsoft einiges verändert. Die Grundfragen sind geblieben: Welche Diagnosedaten fließen ab? Wer kann auf Inhalte zugreifen, auch auf Grundlage US-amerikanischen Rechts? Und hält die dokumentierte Abwägung stand, wenn die Aufsichtsbehörde nachfragt?

Viele Hochschulen nutzen Microsoft 365 und vergleichbare Dienste mit restriktiven Einstellungen, einer Datenschutz-Folgenabschätzung und einem Beschluss der Hochschulleitung. Das kann vertretbar sein, wenn Konfiguration, Verträge und Risikobewertung zusammenpassen und laufend überprüft werden. Dieselben Fragen stellen sich bei Videokonferenzsystemen, Umfragetools, Plagiatssoftware und KI-Assistenten.

Mehr dazu: IT-Recht an Hochschulen →

Lernplattformen, Campus-Management und Online-Prüfungen

Moodle, ILIAS und Campus-Management-Systeme bündeln Daten zu Zehntausenden Personen. Das macht sie zu attraktiven Angriffszielen. Im Frühjahr 2026 wurden bei einem Angriff auf die Lernplattform einer deutschen Universität die Profile von mehr als 40.000 Nutzenden kompromittiert. Rechtlich geht es neben der Technik um Rollen- und Berechtigungskonzepte, Löschfristen, Auftragsverarbeitung bei extern gehosteten Systemen und eine verständliche Information der Studierenden.

Bei Online-Prüfungen kommen prüfungsrechtliche Fragen hinzu. Kamera- und Bildschirmüberwachung braucht eine tragfähige Rechtsgrundlage, in der Regel in der Prüfungsordnung, und muss verhältnismäßig sein. Fehler an dieser Stelle bleiben kein reines Datenschutzproblem. Sie können Prüfungsentscheidungen angreifbar machen.

Beschäftigtendatenschutz und Personalrat

Mit Urteil vom 30. März 2023 (C-34/21) hat der Europäische Gerichtshof die Anforderungen an nationale Regeln zum Beschäftigtendatenschutz präzisiert. Der Fall stammte aus dem hessischen Schulbereich und betraf den Livestream von Unterricht. Vorschriften, die lediglich allgemeine Vorgaben der DSGVO wiederholen, sind danach keine wirksamen Sonderregeln. Für Hochschulen und andere öffentliche Arbeitgeber heißt das: Die Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten muss sorgfältiger begründet werden als früher.

Hinzu kommt die Mitbestimmung. Software, die geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen, erfordert in aller Regel die Beteiligung des Personalrats. Viele Einführungsprojekte verzögern sich genau an diesem Punkt.

IT-Sicherheit, Cyberangriffe und Datenpannen

Hochschulen betreiben offene Netze mit vielen Nutzergruppen, eigenen Servern in Instituten und zahlreichen von außen erreichbaren Diensten. Eine Längsschnittstudie an 92 deutschen Universitäten zählte 2023 rund 8.400 ausnutzbare Schwachstellen, 2024 bereits mehr als 26.000. Auch 2025 blieb das Niveau mit rund 25.200 hoch. Cyberangriffe haben in den vergangenen Jahren zahlreiche Hochschulen für Tage oder Wochen lahmgelegt.

Kommt es zu einem Vorfall, laufen die Fristen sofort. Meldepflichtige Datenschutzverletzungen sind innerhalb von 72 Stunden an die Aufsichtsbehörde zu melden. Bei hohem Risiko müssen auch die Betroffenen benachrichtigt werden. Parallel geht es um Beweissicherung, Kommunikation, Ansprüche gegen IT-Dienstleister und später um Schadensersatzforderungen.

Zur NIS2-Richtlinie herrscht an vielen Hochschulen Unsicherheit. Als Bildungseinrichtungen fallen Hochschulen grundsätzlich nicht unter das NIS2-Umsetzungsgesetz. Eine Betroffenheit kann sich aber über wirtschaftlich ausgerichtete Forschung, etwa Auftragsforschung, oder über IT-Dienstleistungen für Dritte ergeben. Klarheit schafft eine dokumentierte Betroffenheitsprüfung.

IT-Verträge, Softwarelizenzen und Website

Hochschulen beschaffen Software, Cloud-Dienste und IT-Leistungen in großem Umfang. Rechtlich entscheidend sind Auftragsverarbeitungsverträge, Haftungsregeln, Service Levels, Ausstiegsklauseln und die Lizenzbedingungen. Wer bei Bildungslizenzen nicht genau hinsieht, riskiert Nachforderungen.

Auch der eigene Webauftritt ist ein Dauerthema. Cookies und Tracking erfordern nach § 25 TDDDG in der Regel eine Einwilligung. Öffentliche Stellen müssen ihre Websites außerdem barrierefrei gestalten.

Weiterbildungsangebote und Fernunterricht

Kostenpflichtige Online-Weiterbildungen können unter das Fernunterrichtsschutzgesetz fallen, wenn Wissen vermittelt wird, Lehrende und Lernende räumlich getrennt sind und der Lernerfolg überwacht wird. Der BGH legt das weit aus und wendet das Gesetz auch auf Verträge mit Unternehmen an. Ohne Zulassung drohen nichtige Verträge und Rückforderungen. Ein Referentenentwurf sieht inzwischen die Aufhebung des Gesetzes vor, bis dahin gilt es unverändert.

Mehr dazu: FernUSG an Hochschulen →

Gegen Behörden und öffentliche Stellen werden in Deutschland nach Bundes- und Landesrecht in aller Regel keine DSGVO-Bußgelder verhängt. Ausnahmen bestehen meist dort, wo eine öffentliche Stelle am Wettbewerb teilnimmt. Pauschale Hinweise auf Millionenbußgelder gehen an der Rechtslage staatlicher Hochschulen deshalb vorbei.

Folgenlos bleiben Verstöße trotzdem nicht. Die Aufsichtsbehörde kann verwarnen, Anweisungen erteilen und eine Verarbeitung beschränken oder untersagen. Die Untersagung einer Lernplattform mitten im Semester wiegt schwerer als manches Bußgeld. Hinzu kommen Schadensersatzansprüche nach Art. 82 DSGVO, die sich auch gegen öffentliche Stellen richten können. Nach der Rechtsprechung von EuGH und BGH kann bereits der Verlust der Kontrolle über die eigenen Daten einen immateriellen Schaden begründen. Bei einem Vorfall mit Tausenden Betroffenen summiert sich das schnell. Für Beschäftigte, die Daten missbräuchlich verwenden, drohen außerdem dienst- und strafrechtliche Folgen.

Für private Hochschulen und Bildungsträger gilt die Ausnahme nicht. Dort greift der volle Bußgeldrahmen der DSGVO.

Staatliche Hochschulen verarbeiten Daten überwiegend zur Erfüllung öffentlicher Aufgaben. Die DSGVO lässt dafür in Art. 6 Abs. 1 lit. e und Abs. 3 spezielles Landesrecht zu. In Niedersachsen ist das z. B. vor allem § 17 des Niedersächsischen Hochschulgesetzes (NHG), ergänzt durch das Niedersächsische Datenschutzgesetz (NDSG). Andere Länder regeln die Datenverarbeitung ihrer Hochschulen in ihren Hochschulgesetzen teils ähnlich.

§ 17 NHG erlaubt die Verarbeitung der Daten, die für Einschreibung, Lehrveranstaltungen, Prüfungen und die Nutzung von Hochschuleinrichtungen erforderlich sind. Die Vorschrift wurde mehrfach geändert und erfasst inzwischen ausdrücklich auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie die Kontaktpflege mit ehemaligen Mitgliedern. Einzelheiten, einschließlich Löschpflichten und Anonymisierung zum frühestmöglichen Zeitpunkt, muss die Hochschule in Ordnungen festlegen.

Daraus folgt ein häufig übersehener Schwachpunkt. Fehlt die Ordnung oder ist sie veraltet, fehlt der Verarbeitung die tragfähige Grundlage. Neue Systeme, neue Studienformate und neue Datenkategorien kommen oft schneller als die Anpassung der Ordnung.

Wo es in der Praxis hakt

Prüfungsdaten und Auskunftsrecht

Klausuren, Gutachten und Anmerkungen der Prüfenden sind personenbezogene Daten. Das hat der Europäische Gerichtshof bereits 2017 klargestellt. Studierende können deshalb nach Art. 15 DSGVO Auskunft und eine Kopie verlangen. Dieser Anspruch tritt neben die prüfungsrechtliche Akteneinsicht und kann weiter reichen. Die Antwortfrist beträgt grundsätzlich einen Monat. Viele Hochschulen haben dafür keinen geregelten Ablauf, und Fristversäumnisse sind vermeidbar.

Forschungsdaten

Forschung braucht Daten, oft sensible. Art. 89 DSGVO und das Landesrecht privilegieren die wissenschaftliche Forschung, knüpfen das aber an Bedingungen: Pseudonymisierung, Zweckbindung und ein klares Verhältnis zwischen Einwilligung und gesetzlicher Grundlage. Wo die Forschungsfreiheit ihre Grenze an den Rechten der Studienteilnehmenden findet, muss im Einzelfall bestimmt werden. In Verbundprojekten kommt die Frage hinzu, wer allein und wer gemeinsam verantwortlich ist, und ob Partner als Auftragsverarbeiter tätig werden.

Beschäftigtendatenschutz

Für Professorinnen und Professoren, wissenschaftliche Mitarbeitende, studentische Hilfskräfte und Verwaltung gelten neben der DSGVO das Beamten-, Tarif- und Personalvertretungsrecht. Seit dem Urteil des EuGH vom 30. März 2023 (C-34/21) ist fraglich, ob allgemein gefasste Landesvorschriften zum Beschäftigtendatenschutz als eigenständige Rechtsgrundlage genügen. Wer sich allein auf eine Generalklausel stützt, sollte die Begründung überprüfen.

Digitale Werkzeuge

Lernplattformen, Videokonferenzen, Cloud-Dienste und Kollaborationsplattformen verarbeiten laufend Daten von Studierenden und Beschäftigten. Typische Baustellen sind Auftragsverarbeitung, Übermittlungen in Drittländer und datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO.

Mehr dazu: IT-Recht an Hochschulen →

Hochschulen digitalisieren unter strengeren Bedingungen als Unternehmen. Beschaffung, Betrieb und Auslagerung von IT müssen datenschutzkonform, vergaberechtskonform und sicherheitsrechtlich belastbar sein. Wir begleiten Hochschulen und ihre Einrichtungen von der Vertragsgestaltung bis zur Auseinandersetzung mit dem Anbieter.

Cloud-Dienste und Microsoft 365

Der Einsatz großer US-Cloud-Suiten im Bildungsbereich ist seit Jahren umstritten. Die Datenschutzkonferenz hat wiederholt Bedenken formuliert, vor allem zu Transparenz, Auftragsverarbeitung und Drittlandübermittlungen. Für Hochschulen heißt das: Der Standardvertrag des Anbieters reicht selten aus. Entscheidend sind die konkrete Konfiguration, die tatsächlichen Datenflüsse und eine dokumentierte Abwägung. Wir prüfen Verträge und Voreinstellungen so, dass sie einer Nachfrage der Aufsichtsbehörde standhalten.

Seit dem 12. September 2025 gelten außerdem die Regeln des EU Data Act zum Wechsel zwischen Cloud-Anbietern. Anbieter müssen den Wechsel ermöglichen und dürfen ihn nicht durch vertragliche oder technische Hürden blockieren. Das ist ein Hebel gegen Abhängigkeiten, den Hochschulen bei neuen Verträgen und Verlängerungen nutzen sollten.

IT-Sicherheit und NIS2

Cyberangriffe auf Hochschulen sind Realität, mit tagelangen Ausfällen ganzer Verwaltungen als Folge. Unabhängig von jeder Spezialregelung verlangt Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau.

Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, und zwar ohne Übergangsfrist. Für Hochschulen lohnt hier ein genauer Blick statt Panik. Als Bildungseinrichtungen fallen Hochschulen grundsätzlich nicht direkt unter NIS2. Bund und Länder haben sich darauf verständigt, die Option, Bildungseinrichtungen einzubeziehen, grundsätzlich nicht zu nutzen.

Erledigt ist das Thema damit nicht. Maßgeblich sind die tatsächlich ausgeübten Tätigkeiten. Auftragsforschung, Drittmittelprojekte mit Verwertungsbezug oder IT-Dienstleistungen für Dritte können eine Betroffenheit auslösen, wenn sie mehr als nur untergeordnet sind. Hinzu kommen verbundene Einrichtungen wie Universitätskliniken im Sektor Gesundheit oder kommerzielle Ausgründungen. Wer pauschal Betroffenheit behauptet oder pauschal verneint, liegt in beide Richtungen falsch. Die eigentliche Frage ist die Betroffenheitsprüfung. Wir führen sie nachvollziehbar durch, bevor Sie in Strukturen investieren, die Sie womöglich nicht brauchen.

Weitere Felder, die wir abdecken

SaaS-Verträge

Cloud-Dienste und Software-as-a-Service sind aus dem Hochschulalltag nicht mehr wegzudenken, von der Lernplattform bis zur Verwaltungssoftware. Über Kosten und Handlungsspielraum entscheidet oft das Kleingedruckte. Zu prüfen sind unter anderem Verfügbarkeit und Service Level, Haftung, Laufzeit und Preisanpassung, einseitige Änderungsrechte des Anbieters sowie der Datenzugriff beim Vertragsende. Hinzu kommt die Auftragsverarbeitung, wenn personenbezogene Daten im Spiel sind. Akademische Tarife sind zudem häufig auf nichtkommerzielle Lehre und Forschung beschränkt. Wird derselbe Dienst in Auftragsforschung oder entgeltlicher Weiterbildung genutzt, kann eine andere Lizenz erforderlich sein.

Barrierefreiheit

Als öffentliche Stellen müssen Hochschulen Websites, Apps und Lernplattformen barrierefrei gestalten, eine Erklärung zur Barrierefreiheit veröffentlichen und einen Rückmeldeweg anbieten. Nutzerinnen und Nutzer können Mängel melden und ein Durchsetzungsverfahren anstoßen.

Website und Tracking

Einwilligungsmanagement für Cookies und Tracking nach § 25 TDDDG, eingebundene Inhalte externer Anbieter, korrekte Datenschutzhinweise. Das klingt banal. Fehler sind aber von außen leicht erkennbar.

Was wir für Sie tun

• Prüfung und Verhandlung von IT-Verträgen
• NIS2-Betroffenheitsprüfung
• Prüfung von Websites, Lernplattformen und Apps auf Rechtskonformität

Künstliche Intelligenz begegnet Hochschulen in vier Feldern. In der Verwaltung, etwa bei der Auswertung von Studienverläufen oder im Personalbereich. In Lehre und Studium, wo Lehrende und Studierende Sprachmodelle und Bildgeneratoren nutzen. In der Forschung, bei Datenanalyse und Modellierung. Und bei der Entwicklung eigener KI-Systeme. Jedes dieser Felder hat ein eigenes rechtliches Profil, und die Pflichten nach der KI-Verordnung unterscheiden sich erheblich.

Der Rechtsrahmen nach dem Digital Omnibus

Die KI-Verordnung ist seit August 2024 in Kraft und wird schrittweise anwendbar. Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital Omnibus on AI, hat der europäische Gesetzgeber Fristen und einzelne Pflichten geändert. Die Verordnung ist am 27. Juli 2026 in Kraft getreten. Viele Informationsangebote geben noch die alte Rechtslage wieder.

Für Hochschulen ergibt sich folgender Stand: Seit dem 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken und Art. 4 zur KI-Kompetenz. Die Pflicht, KI-Kompetenz sicherzustellen, wurde durch den Omnibus zu einer Pflicht abgeschwächt, sie zu fördern. Seit dem 2. August 2026 ist die Verordnung grundsätzlich anwendbar, einschließlich der Transparenzpflichten, wobei für ältere Systeme teilweise eine Übergangsfrist bis zum 2. Dezember 2026 gilt. Die Pflichten für Hochrisiko-KI nach Anhang III gelten ab dem 2. Dezember 2027. Im Bildungsbereich betrifft das vor allem Systeme für Zulassungsentscheidungen, die Bewertung von Lernergebnissen und die Überwachung bei Prüfungen.

Hochrisiko-KI im Bildungsbereich

Anhang III Nr. 3 der KI-VO stuft KI-Systeme als hochriskant ein, die über Zugang oder Zulassung entscheiden, Lernergebnisse bewerten, das angemessene Bildungsniveau bestimmen oder Prüflinge während Prüfungen auf verbotenes Verhalten überwachen. Automatisierte Vorauswahl im Zulassungsverfahren, KI-gestützte Bewertung und Aufsichtssoftware bei Online-Klausuren gehören genau hierher.

Hochschulen, die solche Systeme einsetzen, treffen als Betreiberinnen umfangreiche Pflichten, unter anderem zur Verwendung gemäß der Betriebsanleitung, zur menschlichen Aufsicht, zur Protokollierung und zur Information der Betroffenen. Als öffentliche Stellen müssen sie zusätzlich eine Grundrechte-Folgenabschätzung nach Art. 27 KI-VO durchführen, bevor ein solches System in Betrieb geht. Entwickelt eine Hochschule ein solches System selbst und setzt es unter eigenem Namen ein, können sie außerdem Anbieterpflichten treffen.

Die Verschiebung auf Dezember 2027 verschafft Zeit, aber keinen Aufschub ohne Handlungsbedarf. Beschaffungen, die heute beginnen, laufen oft über diesen Stichtag hinaus. Verträge mit Anbietern sollten deshalb schon jetzt Dokumentation, Mitwirkungspflichten und die Anpassung an die Hochrisiko-Anforderungen regeln.

Verbotene Emotionserkennung

Art. 5 Abs. 1 lit. f KI-VO verbietet KI-Systeme, die Emotionen von Personen in Bildungseinrichtungen ableiten. Ausgenommen sind nur medizinische und sicherheitsbezogene Zwecke. Das Verbot gilt seit dem 2. Februar 2025. Es betrifft insbesondere Proctoring-Werkzeuge, die aus Mimik, Stimme oder Blickbewegungen auf den emotionalen Zustand von Prüflingen schließen. Solche Funktionen stecken oft unbenannt in Standardsoftware. Wer sie nicht kennt, setzt sie womöglich unbemerkt ein.

Verstöße gegen die Verbote unterliegen dem schärfsten Sanktionsrahmen der Verordnung. Ob und in welchem Umfang Geldbußen gegen öffentliche Stellen verhängt werden können, legt allerdings jeder Mitgliedstaat selbst fest. Das praktische Risiko für staatliche Hochschulen liegt deshalb vor allem in der Untersagung eines Systems mitten im Prüfungsbetrieb und in der Angreifbarkeit der damit getroffenen Prüfungsentscheidungen.

Wo die Rechtslage noch offen ist

Einiges ist ungeklärt, und vorschnelle Festlegungen schaffen Angriffsflächen. Offen ist etwa, ob schon die Bewertung folgenloser Übungsaufgaben als Hochrisiko-Leistungsbewertung zählt oder nur die benotete Prüfung. Ungeklärt ist auch, wie KI-gestützte Plagiats- und Erkennungssoftware externer Anbieter einzuordnen ist. Und wer generative KI hochschul- oder landesweit bereitstellt, muss klären, ob die Hochschule dabei Anbieterin oder Betreiberin ist. Wir beraten auf dem jeweils aktuellen Stand und benennen Unsicherheiten offen.

KI in Prüfungen: klare Regeln für die Hochschule

Zur Einordnung vorab: Die KI-VO adressiert Anbieter und Betreiber, also die Hochschule. Studierende, die KI für ihr Studium nutzen, sind keine Betreiber. Ob ihr KI-Einsatz in einer Prüfung zulässig ist, richtet sich nach dem Prüfungsrecht der Hochschule.

Genau dort ist die Lage uneinheitlich. Eine Auswertung der KI-Richtlinien von 64 deutschen Hochschulen mit Stand Juni 2026 ergab, dass keine von ihnen generative KI vollständig verbietet. 53 erlauben den Einsatz unter Auflagen, bei elf ist die Regelung uneinheitlich. Fast alle verlangen eine Kennzeichnung der KI-Nutzung, aber weniger als die Hälfte stellt dafür eine Vorlage bereit.

Prüfungsordnungen, Modulbeschreibungen und Eigenständigkeitserklärungen sollten eindeutig festlegen, welche KI-Nutzung erlaubt ist und wie sie zu kennzeichnen ist. Das Verfahren bei Verdachtsfällen muss rechtsstaatlich sauber sein, mit Anhörung, nachvollziehbarer Dokumentation und einer Beweisführung, die über ein Detektorergebnis hinausgeht. Klare Regeln schützen dabei nicht nur vor Täuschung. Sie verringern auch das Risiko, dass Prüfungsentscheidungen später aufgehoben werden.

Was wir für Sie tun

• Bestandsaufnahme und Einordnung eingesetzter KI-Systeme nach der KI-VO
• Prüfung auf Hochrisiko- und Verbotstatbestände, insbesondere bei Proctoring- und Bewertungssoftware
• Grundrechte-Folgenabschätzung nach Art. 27 KI-VO
• KI-Leitlinien, Prüfungsordnungen und Eigenständigkeitserklärungen
• Anpassung von Prüfungsformaten und Verfahren bei Täuschungsverdacht

Hochschulen bauen ihre kostenpflichtige Weiterbildung aus. Berufsbegleitende Zertifikatskurse, Kontaktstudien, weiterbildende Masterprogramme, Sprach- und Onlineangebote. Viele dieser Formate können unter das Fernunterrichtsschutzgesetz (FernUSG) fallen. Fehlt dann die Zulassung, sind die Verträge nichtig, und bereits gezahlte Gebühren können zurückgefordert werden.

Gleichzeitig plant der Bund, das Gesetz aufzuheben. Hochschulen müssen deshalb zwei Fragen beantworten: Sind unsere Angebote betroffen? Und wie sichern wir die Zeit bis zur Neuregelung ab? Beides klären wir mit Ihnen.

Wann greift das FernUSG?

Das Gesetz erfasst ein Angebot, wenn vier Voraussetzungen zusammenkommen. Es besteht ein privatrechtlicher Vertrag, das Angebot ist entgeltlich, Lehrende und Lernende sind überwiegend räumlich getrennt, und der Lernerfolg wird überwacht. Maßgeblich ist dabei der Vertragsinhalt, nicht die tatsächliche Durchführung.

Die entscheidende Weiche für Hochschulen

Anders als bei kommerziellen Anbietern hängt bei Hochschulen alles an einer Vorfrage: Beruht das Angebot auf einem privatrechtlichen Vertrag oder auf einem öffentlich-rechtlichen Studienverhältnis?

Diese Abgrenzung ist der Kern jeder Beratung. Sie entscheidet darüber, ob überhaupt eine Zulassungspflicht besteht, und sie lässt sich über die Gestaltung des Angebots und der Trägerstruktur häufig aktiv steuern.

Was auf dem Spiel steht

Fehlt bei einem zulassungspflichtigen Fernlehrgang die Zulassung der Staatlichen Zentralstelle für Fernunterricht (ZFU), ist der Vertrag nach § 7 Abs. 1 FernUSG nichtig. Teilnehmende können gezahlte Gebühren zurückverlangen, und ausgestellte Zertifikate verlieren ihre vertragliche Grundlage. Hinzu kommt der Bußgeldtatbestand des § 21 FernUSG. Dass die Vorschriften auch gegenüber Hochschulen durchgesetzt werden, zeigt ein Fall, in dem das Angebot von Bachelor-Fernstudiengängen ohne Zulassung als Ordnungswidrigkeit gewertet wurde.

Seit dem Leiturteil des Bundesgerichtshofs vom 12. Juni 2025 (III ZR 109/24) und mehreren Folgeentscheidungen bis Februar 2026 steht fest, dass das FernUSG auch gegenüber Unternehmern gilt. Die Nichtigkeitsfolge trifft damit auch Verträge mit gewerblichen Teilnehmenden.

Geplante Abschaffung: Was sich ändert und was bis dahin gilt

Der Nationale Normenkontrollrat hatte im November 2025 die Abschaffung des FernUSG empfohlen. Inzwischen liegt ein Referentenentwurf des zuständigen Bundesministeriums mit Bearbeitungsstand 17. August 2026 vor. Er sieht vor, das Gesetz vollständig aufzuheben. Die Zulassungspflicht soll zum 1. Juli 2027 entfallen. An ihre Stelle tritt eine Bescheinigung, die nur auf Antrag erteilt wird und nur dort eine Rolle spielt, wo andere Vorschriften einen solchen Nachweis verlangen. Bereits erteilte Zulassungen sollen fortgelten. Endgültig außer Kraft treten soll das Gesetz zum 30. Juni 2028.

Ein Referentenentwurf ist aber noch kein Gesetz. Inhalt und Zeitplan können sich im Gesetzgebungsverfahren ändern. Bis zum Inkrafttreten gilt das FernUSG mit allen Rechtsfolgen weiter. Nach Einschätzung mehrerer Kanzleien würde die Neuregelung nur für Verträge gelten, die ab dem 1. Juli 2027 geschlossen werden, und ohne Zulassung geschlossene Altverträge nicht heilen. Das sollte im Einzelfall genau geprüft werden.

Für Hochschulen ergeben sich daraus konkrete Abwägungen. Lohnt sich ein Zulassungsantrag für ein neues Angebot noch, wenn die Pflicht voraussichtlich Mitte 2027 entfällt? Lässt sich ein Angebot bis dahin so gestalten, dass es gar nicht erst unter das Gesetz fällt? Und wie werden laufende Verträge und mögliche Rückforderungen abgesichert? Diese Fragen lassen sich nur mit Blick auf das konkrete Angebot beantworten.

Was wir für Sie tun

• Prüfung, ob Ihre Weiterbildungs- und Fernangebote unter das FernUSG fallen
• Abgrenzung zwischen öffentlich-rechtlichem Studienverhältnis und privatrechtlichem Vertrag
• Abwägung und gegebenenfalls Begleitung eines Zulassungsverfahrens bei der ZFU
• Prüfung und Anpassung von Teilnahmeverträgen
• Abwehr von Rückforderungen und Nichtigkeitseinwänden

Die beschriebenen Probleme hängen nicht am Begriff Hochschule. Sie entstehen überall dort, wo viele Menschen betroffen sind, sensible Daten anfallen, die IT dezentral gewachsen ist und Budgets knapp sind. Rechtlich entscheidend ist vor allem, ob eine Einrichtung öffentlich oder privat organisiert ist.

Öffentliche Einrichtungen wie Studierendenwerke, Schulen und Schulträger, kommunale Volkshochschulen, Landesinstitute und öffentlich getragene Forschungseinrichtungen unterliegen in der Regel dem Landesdatenschutzrecht. Für sie stellen sich weitgehend dieselben Fragen zu Cloud-Diensten, Beschäftigtendatenschutz, IT-Sicherheit und KI wie für Hochschulen. Meist gilt auch für sie die Ausnahme von Bußgeldern.

Private Einrichtungen wie private Hochschulen, Bildungsträger, Weiterbildungsanbieter, Stiftungen, Vereine, außeruniversitäre Forschungsinstitute in privater Rechtsform und Unternehmen mit eigener Akademie unterliegen dem Bundesdatenschutzgesetz und dem vollen Bußgeldrahmen der DSGVO. Die Hochrisiko-Regeln der KI-Verordnung für Zulassung, Bewertung und Prüfungsaufsicht gelten in der allgemeinen und beruflichen Bildung unabhängig von der Trägerschaft. Private Bildungsanbieter sind zudem besonders häufig vom Fernunterrichtsschutzgesetz betroffen.

Die Zuordnung ist nicht immer eindeutig. Private Gesellschaften in öffentlicher Hand oder mit übertragenen hoheitlichen Aufgaben können datenschutzrechtlich als öffentliche Stellen gelten. Wir klären deshalb zuerst, welcher Rechtsrahmen für Ihre Einrichtung gilt, und beraten auf dieser Grundlage.