Ist Kahoot! DSGVO-konform? Was Schulen und Unternehmen prüfen müssen

Kaum ein Tool ist in deutschen Klassenzimmern und Schulungsräumen so verbreitet wie Kahoot! — und kaum eines löst bei Datenschutzbeauftragten so zuverlässig Stirnrunzeln aus. Zeit für eine nüchterne Analyse statt Bauchgefühl: Was gilt datenschutzrechtlich wirklich, und was musst du prüfen, bevor du Kahoot in Schule oder Unternehmen einsetzt?

Transparenz vorab: InsightQuiz, die Plattform hinter diesem Blog, ist ein Wettbewerber von Kahoot. Deshalb bekommst du hier keine Verbotsrhetorik, sondern die Prüfkriterien — dieselben, die ich im Mentimeter-Artikel angelegt habe. Damit kannst du jedes Quiz-Tool bewerten, unseres eingeschlossen.

---

Die Ausgangslage: norwegisches Unternehmen, globale Infrastruktur

Kahoot! ASA sitzt in Oslo. Norwegen ist zwar nicht EU-Mitglied, gehört aber zum Europäischen Wirtschaftsraum — die DSGVO gilt dort vollständig. Auf dem Papier ist Kahoot also ein "europäischer Anbieter" mit AVV-Angebot.

Warum die Diskussion trotzdem nicht endet:

1. Infrastruktur und Subprozessoren: Wie die meisten globalen SaaS-Anbieter nutzt Kahoot Cloud- und Analytics-Dienste, hinter denen teils US-Konzerne stehen. Damit stellt sich die Drittlandtransfer-Frage (Schrems II, EU-U.S. Data Privacy Framework) — und die musst du anhand der aktuellen Subprozessorenliste beantworten, nicht anhand von Blogartikeln aus dem letzten Jahr. Auch die Eigentümerstruktur des Unternehmens kann sich ändern und ist für manche Aufsichtsbehörden ein Prüfpunkt.
2. Zielgruppe Kinder und Jugendliche: In der Schule verarbeitest du Daten Minderjähriger — mit erhöhten Anforderungen an Rechtsgrundlage, Einwilligung und Datensparsamkeit. Mehrere Landesdatenschutzbehörden und Schulträger haben eigene Bewertungen und Vorgaben für den Einsatz von Quiz-Tools veröffentlicht; welche für dich gilt, entscheidet dein Bundesland bzw. Schulträger.
3. Free-Modell: Der kostenlose Einsatz wird über das kommerzielle Gesamtmodell querfinanziert. Prüfe in der Datenschutzerklärung, welche Nutzungs- und Gerätedaten erhoben werden und wofür sie verwendet werden — auf Trainer- wie auf Teilnehmerseite.

---

Die Checkliste für deinen konkreten Fall

Schritt 1: Datenfluss der Teilnehmer prüfen

Das Positive: Bei Kahoot können Teilnehmer klassischerweise per Game-PIN und Nickname beitreten, ohne Account. Entscheidend ist, was die Teilnahme-Seite bzw. App im Hintergrund lädt: Analytics? Werbe-SDKs? Öffne die Teilnehmeransicht mit dem Netzwerk-Tab des Browsers und sieh nach, welche Drittanbieter kontaktiert werden.

Schritt 2: AVV und Subprozessorenliste

Für den schulischen oder betrieblichen Einsatz brauchst du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Prüfe: In welchem Tarif bekommst du ihn? Deckt er den Einsatzzweck ab (Unterricht, Mitarbeiterschulung, Prüfung)? Und: Welche Subprozessoren in welchen Ländern listet der Anbieter aktuell — und akzeptiert dein Datenschutzbeauftragter die dazugehörigen Transfermechanismen?

Schritt 3: Kontext bewerten — Spaßquiz oder Leistungsdaten?

Ein anonymes Auflockerungsquiz im Workshop ist datenschutzrechtlich eine andere Welt als ein benotetes Assessment mit Namenszuordnung:

• Anonymes Live-Quiz: geringes Risiko, wenn keine Klarnamen erzwungen werden und kein Tracking läuft.
• Prüfungen, Zertifikate, Mitarbeiter-Assessments: Hier entstehen Leistungsdaten. Es braucht saubere Rechtsgrundlagen, ggf. Betriebsratsbeteiligung, definierte Löschfristen — und einen Anbieter, dessen Datenhaltung dein DSB ohne Bauchschmerzen abnimmt.

Schritt 4: Deine eigene Dokumentation

Wie bei jedem Tool: Verzeichnis von Verarbeitungstätigkeiten, Teilnehmerinformation nach Art. 13 DSGVO, Löschkonzept. Ohne diesen organisatorischen Teil ist auch das beste Tool nicht "konform eingesetzt".

---

Das ehrliche Fazit

Für das anonyme Spaßquiz lässt sich Kahoot mit der richtigen Konfiguration in vielen Fällen vertretbar einsetzen — sofern deine Schulbehörde bzw. dein Datenschutzbeauftragter nach Prüfung der aktuellen Unterlagen zustimmt.

Für alles, was Richtung Leistungsdaten, Pflichtschulung oder Minderjährige geht, werden die Prüfschritte aufwendig — und genau hier entscheiden sich viele Schulen, Hochschulen und Unternehmen für einen Anbieter, bei dem die Fragen gar nicht erst entstehen: Hosting in Deutschland, keine US-Subprozessoren für Teilnehmerdaten, keine Werbung, anonymer Beitritt.

Wo InsightQuiz steht

InsightQuiz ist für diese strengen Fälle gebaut: Server in Frankfurt, anonyme Teilnahme per PIN, kein Tracking auf Teilnahme-Seiten, AVV inklusive, Zertifikate werden clientseitig im Browser erzeugt. Dazu kommt der didaktische Teil — Wissenslücken-Analyse statt reiner Leaderboard-Show, aber das ist ein eigener Artikel.

Wenn du Alternativen vergleichst: Der direkte Vergleich InsightQuiz vs. Kahoot! stellt Funktionen und Datenschutz-Setup gegenüber.