Schachtraining ohne private Schülerdaten: pseudonyme Zugänge

Wer mit einer Gruppe Kinder oder Jugendlicher digital Schach trainieren will, landet früher oder später bei einer unbequemen Frage: Was weiß der Anbieter danach eigentlich über meine Schülerinnen und Schüler? Bei vielen Werkzeugen lautet die ehrliche Antwort: mehr, als für das Training nötig wäre. Name, E-Mail-Adresse, Geburtsdatum, Profilbild, Spielzeiten, manchmal der Wohnort über die IP-Adresse.

Dieser Artikel dreht die Frage um. Statt zu prüfen, ob ein Werkzeug die Daten der Kinder irgendwie rechtfertigen kann, fragen wir: Welche Daten braucht Schachtraining überhaupt? Die Antwort ist überraschend kurz, und aus ihr ergibt sich ein Modell, das in Schule und Verein gut funktioniert: pseudonyme Zugänge. Wie man sie aufsetzt, wo sie unbemerkt wieder aufbrechen und welche Fragen ihr jedem Anbieter stellen solltet, steht unten.

Vorweg: Das hier ist keine Rechtsberatung. Was eure Schule einsetzen darf, entscheiden die Vorgaben eures Bundeslandes und eure Datenschutzbeauftragte. Der Artikel hilft euch, mit den richtigen Fragen dorthin zu gehen und mit einer Lösung, die die Prüfung möglichst klein macht.

Was Schachtraining wirklich an Daten braucht

Geht einmal gedanklich durch, was ein Trainingswerkzeug tun muss. Es muss eine Person wiedererkennen, damit ihre Partien und ihr Fortschritt zusammenbleiben. Es muss Partien speichern, damit man sie analysieren kann. Und es muss einen Zugang absichern, damit niemand fremde Partien sieht.

Für alle drei Aufgaben genügt eine Kennung plus Passwort. Der Name des Kindes trägt zum Training nichts bei. Eine Engine bewertet einen Springerzug nicht anders, weil er von Lena aus der 6b kommt. Auch ein Coaching, das nach dem Denken hinter einem Zug fragt, braucht den Namen nicht, sondern die Partie und die Antwort auf die Frage, was man sich bei dem Zug gedacht hat.

Daraus folgt ein einfacher Grundsatz, den die DSGVO in Artikel 5 als Datenminimierung festschreibt: Verarbeitet werden soll nur, was für den Zweck notwendig ist. Für Schachtraining heißt das konkret:

• Nötig: eine Kennung, ein Passwort, die gespielten oder importierten Partien, der Trainingsverlauf.
• Nicht nötig: Klarname, E-Mail-Adresse des Kindes, Geburtsdatum, Klasse, Foto, Telefonnummer.

Alles aus der zweiten Liste, das ein Werkzeug trotzdem verlangt, ist ein Prüfpunkt, den ihr euch hättet sparen können.

Pseudonym ist nicht anonym

Ein Missverständnis begegnet einem in diesem Feld ständig: Zugänge ohne Klarnamen seien anonym und damit datenschutzrechtlich egal. Das stimmt nicht, und wer es glaubt, baut genau die Lücke, die er vermeiden wollte.

Pseudonymisierung bedeutet nach Artikel 4 DSGVO, dass Daten ohne zusätzliche Information keiner bestimmten Person mehr zugeordnet werden können, und dass diese Zusatzinformation getrennt aufbewahrt wird. Der Kern ist also nicht, dass die Zuordnung verschwindet. Sie liegt nur woanders. Bei Schulzugängen ist diese Zusatzinformation die Liste, auf der steht, welches Kind welchen Nutzernamen hat.

Für euch als Schule oder Verein, die die Zuordnungsliste in der Hand haben, bleiben die Daten deshalb personenbezogen; die Pflichten aus der DSGVO entfallen nicht. Praktisch ist der Unterschied aber erheblich: Beim Anbieter liegen nur Kennungen und Partien, die Zuordnung zu echten Menschen liegt bei euch. Ein Datenleck beim Anbieter würde Partien von ag-gym7 offenlegen, nicht die von einem namentlich bekannten Kind. Das ist der eigentliche Gewinn, und er hängt vollständig davon ab, wie sorgfältig ihr mit der Zuordnungsliste umgeht.

So setzt ihr pseudonyme Zugänge sauber auf

Das Namensschema: neutral und ohne Rückschluss

Ein Nutzername wie lena.m2014 ist kein Pseudonym, sondern ein schlecht versteckter Klarname mit Geburtsjahr. Gute Kennungen bestehen aus einem Kürzel für Schule oder Verein plus einer laufenden Nummer, etwa ag-gym1 bis ag-gym25. Die Nummer sollte nicht der Reihenfolge im Klassenbuch folgen, sonst lässt sich die Zuordnung mit einer Klassenliste rekonstruieren. Mischt die Liste einmal durch, bevor ihr Nummern vergebt.

Die Zuordnungsliste: das einzige wirklich sensible Dokument

Die Liste "Nummer 7 ist Lena" ist das Dokument, das aus pseudonymen Daten wieder persönliche macht. Sie gehört nicht in eine geteilte Cloud-Tabelle, nicht in einen Messenger und nicht in den Anhang einer E-Mail an den Anbieter. Bewährt hat sich: eine Datei oder ein Ausdruck bei der verantwortlichen Lehrkraft beziehungsweise im Verein bei der Trainerin, mit einer Vertretungsregel für den Krankheitsfall. Der Anbieter braucht diese Liste nie zu sehen.

Die Passwortübergabe: persönlich statt per Mail

Passwörter bekommen die Kinder am besten auf einem Zettel in der ersten Stunde, einzeln ausgeschnitten, nicht als Liste an der Tafel. Wer Passwörter unverschlüsselt per Mail weitergibt, legt eine zweite Kopie der sensiblen Information in Postfächer, die niemand mehr kontrolliert. Für vergessene Passwörter braucht es einen Weg über die Lehrkraft, nicht über eine E-Mail-Adresse des Kindes, die es im pseudonymen Modell ja gar nicht gibt.

Das Ende mitdenken

Jede Zusammenarbeit endet irgendwann, spätestens wenn ein Jahrgang die Schule verlässt. Klärt vorab, was dann mit Zugängen und Partien passiert und in welcher Frist. Erst mit einer Löschzusage ist das Modell rund.

Wo Pseudonymität unbemerkt wieder aufbricht

Die meisten Lecks entstehen nicht beim Anbieter, sondern im Alltag. Vier Stellen sind typisch.

Partiedateien tragen Namen. Das Standardformat für Schachpartien, PGN, hat im Kopf feste Felder für Weiß, Schwarz, Turnier, Ort und Datum. Wer eine Vereinspartie aus einem Turnierprogramm exportiert und hochlädt, lädt die vollen Namen beider Spieler mit hoch, auch den des Gegners, der mit eurem Training gar nichts zu tun hat. Ersetzt die Namen vor dem Hochladen durch die Kennung oder durch "Weiß" und "Schwarz". Für die Analyse ist der Name irrelevant, die Züge bleiben dieselben.

Partieformulare auf Fotos. Ein fotografiertes Partieformular zeigt oft Namen, Verein und Turnierbezeichnung in der Kopfzeile. Schneidet den Kopf ab oder deckt ihn ab, bevor das Foto irgendwo landet.

Verknüpfte Online-Konten. Viele Werkzeuge können Partien von Online-Plattformen importieren. Heißt das Online-Konto des Kindes wie das Kind selbst, ist die Pseudonymität mit einem Import aufgehoben. Wer Online-Partien einbinden will, sollte vorher prüfen, ob dort ein neutraler Name verwendet wird.

Freitext. Wo Kinder schreiben können, schreiben sie auch "Ich bin der Max aus der 5c". Das lässt sich technisch kaum verhindern, wohl aber in der ersten Stunde ansprechen: Im Trainingswerkzeug schreibt niemand seinen Namen, seinen Wohnort oder seine Schule. Das ist zugleich eine gute Medienkompetenz-Lektion.

Im Vereinsschach kommt eine Besonderheit hinzu: Turnierergebnisse und Wertungszahlen sind dort oft ohnehin öffentlich, weil Ranglisten mit Namen veröffentlicht werden. Das ist kein Argument, beim Training nachlässig zu werden. Eine öffentliche Wertungszahl verrät wenig. Ein Trainingsverlauf mit allen Fehlern eines Zwölfjährigen ist etwas anderes.

Fragen, die ihr jedem Anbieter stellen solltet

Bevor ihr euch für ein Werkzeug entscheidet, lohnt eine kurze Liste. Sie passt für jedes Produkt, auch für unseres.

1. Welche Daten der Kinder werden mindestens verlangt? Ideal: keine außer Kennung und Passwort.
2. Wer legt die Zugänge an? Wenn sich Kinder selbst registrieren müssen, wandern ihre eigenen Angaben zum Anbieter, ob ihr wollt oder nicht.
3. Wo liegen die Daten, und welche Dienstleister sind beteiligt? Ein Serverstandort in der EU ist ein Pluspunkt, aber fragt nach dem gesamten Weg. Viele Dienste nutzen für Hosting oder KI Anbieter mit Sitz in den USA, dann sind die Absicherung über Standardvertragsklauseln oder das EU-US Data Privacy Framework ein Thema für eure Prüfung.
4. Gibt es Tracking, Werbung oder Kaufaufforderungen in den Kinderkonten? Analyse-Werkzeuge und Upgrade-Banner haben in einem Schulkonto nichts verloren.
5. Bekommen die Kinder Mails? Newsletter und Erinnerungsmails setzen eine Adresse voraus, und die soll es im besten Fall gar nicht geben.
6. Was passiert am Ende? Löschung in welcher Frist, auf welchem Weg, mit welcher Bestätigung.
7. Gibt es einen Vertrag zur Auftragsverarbeitung? Wo der Anbieter Daten im Auftrag der Schule verarbeitet, sieht Artikel 28 DSGVO einen solchen Vertrag vor. Ob und in welcher Form er nötig ist, klärt eure Datenschutzbeauftragte.

Wer auf die ersten sechs Fragen klare Antworten bekommt, hat die siebte meist schnell erledigt. Wer schon bei der ersten ausweichende Antworten bekommt, kann sich den Rest sparen.

Wie Rookion das umsetzt, und was noch fehlt

Weil wir die Liste oben selbst ernst nehmen, hier unsere Antworten, ohne Beschönigung.

Schul- und Vereinszugänge bei Rookion bestehen nur aus einem kurzen Nutzernamen nach dem Schema Kürzel plus Nummer und einem Passwort. Die Zugänge legen wir an, die Kinder registrieren sich nicht selbst und geben weder Namen noch E-Mail-Adresse an. Von der Schule oder dem Verein kennen wir nur die erwachsene Kontaktperson; die Zuordnungsliste bleibt bei euch. Die Konten bekommen keine Werbemails, für Schulkonten läuft keine Analyse-Messung, und Kauf- oder Upgrade-Aufforderungen werden ihnen nicht angezeigt. Datenbank und Login liegen in der EU (Frankfurt), das KI-Coaching läuft über einen EU-Endpunkt von Google Vertex AI. Hosting und der KI-Anbieter selbst haben einen USA-Bezug, abgesichert über Standardvertragsklauseln und das EU-US Data Privacy Framework. Das gehört in eure Prüfung, und wir sagen es lieber hier als im Kleingedruckten. Endet die Zusammenarbeit, lassen sich die Zugänge samt Partien und Trainingsverlauf über dieselbe Löschkette entfernen, die auch eine normale Kontolöschung nutzt.

Was noch fehlt: Eine Oberfläche, über die Lehrkräfte Zugänge selbst anlegen oder Passwörter zurücksetzen, gibt es noch nicht. Beides läuft derzeit über uns. Wer das für seine AG oder seinen Verein ausprobieren möchte, schreibt an info@rookion.de; dann klären wir Kontingent und Ablauf.

Wie sich ein digitales Werkzeug sinnvoll in eine AG-Stunde einfügt, also welche Gruppe wann am Bildschirm arbeitet und wann am Brett, haben wir im Artikel über die digitale Schach-AG beschrieben. Und was mit den Partien passieren sollte, wenn sie einmal da sind, steht in der Anleitung zur Partieanalyse.

Kurz zusammengefasst

Schachtraining braucht keine privaten Daten von Kindern. Eine Kennung, ein Passwort und die Partien reichen, um Fortschritt sichtbar zu machen und an echten Fehlern zu arbeiten. Pseudonyme Zugänge setzen genau das um, schützen aber nur so gut, wie die Zuordnungsliste geschützt ist und wie konsequent Namen aus Partiedateien, Fotos und Freitext herausbleiben.

Fangt deshalb nicht mit der Frage an, ob ein Werkzeug datenschutzkonform genug ist. Fangt mit der Frage an, welche Daten es gar nicht erst bekommen muss. Je kürzer diese Liste wird, desto kürzer wird auch das Gespräch mit eurer Datenschutzbeauftragten.