Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO – zwischen der Schule/Lehrkraft (Verantwortlicher) und SchlauStart (Auftragsverarbeiter)

⬇︎ Als PDF speichern (Druckansicht)

§ 1 Vertragsparteien

Verantwortlicher (Schule/Lehrkraft):

Auftragsverarbeiter (Anbieter von SchlauStart):

§ 2 Gegenstand und Dauer des Auftrags

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Nutzung der Lernplattform SchlauStart. Der Vertrag gilt für die Dauer der Nutzung der Plattform und endet mit Beendigung des Nutzungsverhältnisses.

§ 3 Art, Zweck und Umfang der Verarbeitung

Eine gezielte Erhebung oder Abfrage besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen und nicht gestattet. Soweit Kinder im optionalen Lernassistenten von sich aus belastende Gefühle äußern, erfolgt die Verarbeitung ausschließlich zum Schutz des Kindeswohls (Hinweis an die zuständige Lehrkraft, Art. 9 Abs. 2 lit. c DSGVO) – Einzelheiten regelt Abschnitt 7a der Datenschutzerklärung.

§ 4 Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

§ 5 Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO

Der Auftragsverarbeiter gewährleistet folgende Maßnahmen:

• Vertraulichkeit: Zugriffsschutz durch Passwort-Authentifizierung; Passwörter werden ausschließlich gehasht gespeichert (kein Klartext). Optional zusätzlich Zwei-Faktor-Authentifizierung (TOTP-Authenticator oder Passkey/WebAuthn).
• Schutz vor Anmelde-Missbrauch: temporäre Sperrung nach mehrfach fehlgeschlagenen Anmeldeversuchen (Brute-Force-Schutz, pro IP und E-Mail-Adresse).
• Geräte- und Sitzungsverwaltung: angemeldete Geräte sind einsehbar und einzeln abmeldbar; eine Passwortänderung invalidiert alle übrigen Sitzungen.
• Zugangsbeschränkung: Registrierung nur mit gültigem Einladungscode; Schülerlisten sind klassenbezogen getrennt.
• Verschlüsselung: Übertragung ausschließlich über TLS/HTTPS.
• Integrität: Manipulationsschutz bei Belohnungs-Freischaltungen durch signierte Token (HMAC).
• Verfügbarkeit: Betrieb über professionelle Hosting-Dienstleister. Tägliche automatisierte Datenbank-Backups in einen privaten EU-Speicher (Scaleway, Frankreich); die Wiederherstellbarkeit wird durch dokumentierte Restore-Tests nachgewiesen.
• Datenminimierung: Empfehlung zur Nutzung von Pseudonymen; IP-Adressen werden nicht im Klartext gespeichert.
• Löschkonzept: automatische Löschung von Schülerdaten nach einem Jahr; manuelle Löschfunktion „Schuljahr beenden“. Pinnwände und hochgeladene Dateien werden bei Löschung zunächst in einen Papierkorb verschoben und können endgültig entfernt werden. Bei Kontolöschung werden auch zugehörige Nachweis-/Protokolleinträge entfernt (Art. 17 DSGVO).
• Privater Datei-Speicher: Auf Pinnwänden hochgeladene Dateien liegen ausschließlich in einem privaten, nicht öffentlich zugänglichen Speicher bei einem EU-Anbieter (Scaleway, Frankreich). In der Datenbank wird nur ein interner Verweis gespeichert; der Zugriff erfolgt über kurzlebige, jeweils neu signierte Links.
• Sitzungssicherheit: Anmeldesitzungen laufen spätestens nach 30 Tagen ab.
• Protokollierung: datenschutzrelevante Vorgänge werden in einem Audit-Log dokumentiert.
• Rollenbasierter Zugriff (geringste Rechte): Der Verwaltungszugriff ist rollenbasiert abgestuft. Neben dem verantwortlichen Betreiber (Super-Administrator) können einzelne Personen als Administratoren mit ausschließlich einzeln freigegebenen Verwaltungsbereichen benannt werden; die Freigaben werden protokolliert.
• Nachweis & Zugriffsprotokoll der E-Akte: Aufrufe und Downloads von Verwaltungsdokumenten (digitale Personalakte) werden protokolliert (Art. 5 Abs. 2 DSGVO); nachweisrelevante Dokumente unterliegen während der Aufbewahrungsfrist einer Löschsperre. Einwilligungsnachweise werden automatisch erzeugt und per Prüfsumme (SHA-256) gegen nachträgliche Veränderung abgesichert.
• Rolle „Schul-Admin" (Schul-Schülerverzeichnis): Auf Weisung des Verantwortlichen kann eine von der Schule benannte Person als Schul-Admin eingerichtet werden. Sie erhält ausschließlich Zugriff auf die Verwaltungsdaten des Schülerverzeichnisses ihrer eigenen Schule (Name, Klasse, Anmelde-PIN, Anzahl/Namen der führenden Lehrkräfte) – lesend und pflegend (Anlegen, Korrigieren, Klassen-/PIN-Verwaltung, CSV-Import; der Import ergänzt und aktualisiert nur, er löscht nie). Pädagogische Daten (Noten, Klassenbuch, Berichte, Förderdaten, Lernbot, Hausaufgaben- und Quiz-Inhalte) sind für diese Rolle serverseitig gesperrt. Ernennung und Entzug erfolgen ausschließlich durch den Auftragsverarbeiter auf Weisung der Schule und werden ebenso wie jeder Verzeichnis-Abruf protokolliert. Die Rolle umfasst zusätzlich eine Bestandsübersicht der eigenen Schule (Anzahlen je Klasse; Lehrkräfte mit der Anzahl – nicht den Namen – der von ihnen geführten Kinder), das Verbinden bereits in Lehrkraft-Listen vorhandener Kinder mit dem Verzeichnis (übernommen werden ausschließlich Name und Klasse; pädagogische Daten bleiben bei der jeweiligen Lehrkraft und werden nicht übermittelt) sowie das Erzeugen und Entfernen von Einladungscodes für Lehrkräfte der eigenen Schule (höchstens fünf gleichzeitig, ohne personenbezogenen Inhalt). Die Herkunft jedes Codes (Schule oder Auftragsverarbeiter) wird gespeichert und ist im Nachweis auswertbar. Ferner kann der Schul-Admin den Abgang eines Kindes mit einer Frist (7 bis 180 Tage, Voreinstellung 30) melden; nach Fristablauf werden die Lerndaten dieses Kindes bei allen Lehrkräften der Schule automatisiert gelöscht (Art. 17 DSGVO). Die betroffenen Lehrkräfte werden bei der Meldung und sieben Tage vor Fristablauf unterrichtet, damit sie ihre Auswertungen zuvor exportieren können; die Meldung ist bis zum Stichtag widerruflich. Der Auftragsverarbeiter legt hierbei keine Sicherungs- oder Archivkopie an. Dokumente mit eigener gesetzlicher Aufbewahrungsfrist (Förderempfehlungen, Fehlzeiten- und Verwaltungsbriefe) bleiben unberührt und unterliegen weiterhin ihrer jeweiligen Frist. Hinsichtlich der Beschäftigtendaten ist die Rolle ausdrücklich begrenzt: Der Schul-Admin erhält zu Lehrkräften seiner Schule nur Konto-Tatsachen (Name, dienstliche E-Mail, Rolle, Registrierungs- und letztes Anmeldedatum, Anzahl geführter Verzeichnis-Kinder und Klassen) sowie den tagesaktuellen Kontingentstand. Auswertungen je Person – Nutzungsverlauf, Token, Kosten, Geräte, Leistungs- oder Wirksamkeitskennzahlen – werden für diese Rolle technisch nicht bereitgestellt (§ 72 Abs. 4 Nr. 17 LPVG NRW, VO-DV II). Nutzungs- und Kostenangaben erhält die Schule nur als personenbezugsfreie Gesamtsumme und erst ab drei Konten.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

* An die KI-Dienste werden keine personenbezogenen Schülerdaten (Namen, Klassenlisten, Ergebnisse) übermittelt. Der Lernassistent verarbeitet Text- und Bildanfragen der Kinder vorrangig in der EU (Mistral/Pixtral, Frankreich). Bilder werden bei EU-Ausfall nur nach ausdrücklicher Zustimmung außerhalb der EU verarbeitet; sozial-emotionale Gespräche bleiben ausschließlich in der EU. Bei Nutzung der "Mit Google anmelden" Funktion wird der Login-Prozess über die sicheren Authentifizierungsserver von Google abgewickelt. Erfolgt der Zugriff über eine Moodle-Integration (LTI 1.3), werden zur sicheren Identifikation lediglich Vorname, Nachname und E-Mail-Adresse über einen verschlüsselten Kanal übertragen und ausschließlich für den reibungslosen Login-Prozess verarbeitet.
** An den Text-zu-Sprache-Dienst wird ausschließlich der vorzulesende Buch-/Kapiteltext übermittelt – serverseitig vom EU-Server aus, ohne Nutzer-IP und ohne personenbezogene Daten. Der Aufruf erfolgt nur, wenn die Vorlese-Funktion der Lautlesezeit tatsächlich benutzt wird.

§ 7 Pflichten des Auftragsverarbeiters

• Unterstützung des Verantwortlichen bei der Wahrung der Betroffenenrechte (Art. 12–22 DSGVO).
• Unverzügliche Meldung von Datenschutzverletzungen (Art. 33 DSGVO).
• Unterstützung bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) auf Anfrage.
• Bereitstellung von Auskünften zum Nachweis der Einhaltung (Art. 28 Abs. 3 lit. h DSGVO).

§ 8 Löschung und Rückgabe

Nach Beendigung des Auftrags werden die im Auftrag verarbeiteten personenbezogenen Daten auf Wunsch des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§ 9 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Stand: 3. August 2026 · Dokumentversion: 1.6 · Paketstand: 2.6 (2026-08) (Auftragsverarbeiter ist die SchlauStart UG (haftungsbeschränkt) i. G.; Anschrift „in Bearbeitung“, bis der Handelsregister-Eintrag vorliegt. Zuvor 1.5, TOM ergänzt: Zwei-Faktor-Authentifizierung, Brute-Force-Schutz, Geräte-/Sitzungsverwaltung, tägliche EU-Backups mit nachgewiesener Wiederherstellbarkeit)