Datenschutz bei KI-Prognosen: Wie better bites DSGVO-Konformität für Studierendenwerke sicherstellt

Bevor ein Studierendenwerk neue Software einführt, steht meist eine Frage im Mittelpunkt, die mit Speiseplanung wenig zu tun hat: Wie steht es um den Datenschutz? Als öffentlicher Träger ist ein Studierendenwerk gegenüber Gremien, Aufsichtsbehörden und letztlich den Studierenden selbst rechenschaftspflichtig. Jede neue Cloud-Lösung durchläuft deshalb eine sorgfältige Prüfung, bevor sie überhaupt in die engere Auswahl kommt.

Für better bites war klar, dass Datenschutz kein nachgelagertes Thema sein darf, sondern von Beginn an mitgedacht werden muss. Wie das konkret aussieht und worauf IT- und Datenschutzbeauftragte bei einer KI-gestützten Gästeprognose achten sollten, zeigt dieser Beitrag.

Warum Datenschutz bei Software für Studierendenwerke besonders streng geprüft wird

Studierendenwerke sind Anstalten oder Körperschaften des öffentlichen Rechts. Sie unterliegen damit strengeren Maßstäben als rein privatwirtschaftliche Unternehmen, sowohl beim Vergaberecht als auch beim Datenschutz. Datenschutzbeauftragte prüfen nicht nur, ob eine Software die DSGVO formal erfüllt, sondern auch, wie transparent ein Anbieter seine Prozesse offenlegt.

Diese Sorgfalt ist nachvollziehbar. Ein Studierendenwerk verwaltet öffentliche Mittel und trägt Verantwortung für tausende Studierende und Beschäftigte. Wird eine Software eingeführt, die später datenschutzrechtliche Lücken aufweist, fällt das nicht nur auf den Softwareanbieter zurück, sondern auch auf die Einrichtung selbst. Genau deshalb lohnt es sich für Anbieter wie better bites, Datenschutzfragen von Anfang an offen zu beantworten, statt sie erst im Vertragsprozess zu klären.

Welche Daten better bites tatsächlich verarbeitet, und welche nicht

Ein häufiges Missverständnis ist, KI-Gästeprognosen würden personenbezogene Daten einzelner Gäste auswerten. Tatsächlich basiert die Prognose von better bites auf aggregierten, nicht personenbezogenen Kennzahlen: historische Ausgabezahlen je Gericht und Speiselinie, Wochentag, Semesterstatus, Wetterdaten und ähnliche strukturelle Faktoren. Es werden keine Bezahldaten einzelner Studierender oder individuelles Essverhalten nachverfolgt.

Diese Datenminimierung ist kein Zufall, sondern folgt dem Grundsatz der DSGVO, nur so viele Daten zu verarbeiten, wie für den jeweiligen Zweck tatsächlich notwendig sind. Für eine präzise Bedarfsplanung reichen aggregierte Mengenangaben vollkommen aus, eine Verknüpfung mit einzelnen Personen wäre weder erforderlich noch gewünscht. Wie diese Daten beim Start der Zusammenarbeit sicher übermittelt werden, haben wir bereits im Beitrag Vier Schritte zu mehr Präzision: So funktioniert das Onboarding bei better bites beschrieben.

DSGVO-Konformität in der Praxis: Auftragsverarbeitung, Serverstandort und Löschkonzepte

Vertrauen entsteht nicht durch ein Häkchen im Vertrag, sondern durch nachvollziehbare Antworten auf die Fragen, die jeder Datenschutzbeauftragte stellt.

In der Praxis heißt DSGVO-Konformität vor allem, klare Antworten auf konkrete Fragen zu liefern: Wo werden die Daten gespeichert, wer hat Zugriff, wie lange werden sie aufbewahrt und wann werden sie gelöscht? better bites arbeitet mit einem Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, speichert Daten auf Servern innerhalb der Europäischen Union und legt fest, nach welcher Frist historische Rohdaten gelöscht oder anonymisiert werden.

Ebenso wichtig ist technische und organisatorische Sicherheit im Alltag: verschlüsselte Datenübertragung, rollenbasierte Zugriffsrechte innerhalb des Teams und regelmäßige Überprüfung der eingesetzten Systeme. Diese Maßnahmen werden in einem Verzeichnis der Verarbeitungstätigkeiten dokumentiert, das Studierendenwerke im Rahmen ihrer eigenen Prüfung anfordern können.

Datenschutz als fester Bestandteil des Auswahlprozesses

Für IT- und Datenschutzbeauftragte empfiehlt es sich, Datenschutzfragen nicht erst am Ende, sondern bereits zu Beginn eines Auswahlprozesses zu klären. Konkret lohnt sich der Blick auf drei Punkte: Welche Datenkategorien werden überhaupt erhoben? Liegt ein gültiger Auftragsverarbeitungsvertrag vor? Und wo genau befinden sich die Server, auf denen die Daten liegen?

Anbieter, die auf diese Fragen offen und ohne Umwege antworten, erleichtern nicht nur den Vergabeprozess, sondern schaffen auch die Grundlage für eine langfristige, vertrauensvolle Zusammenarbeit. better bites stellt sich diesen Fragen bewusst früh im Gespräch mit interessierten Studierendenwerken, damit Datenschutz kein Hindernis, sondern ein selbstverständlicher Teil der Einführung ist.

Gute Gästeprognosen und guter Datenschutz schließen sich nicht aus, sie gehören zusammen. better bites freut sich, Studierendenwerken dabei zu zeigen, wie beides gleichzeitig funktioniert. 💚