Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO – zwischen der Schule/Lehrkraft (Verantwortlicher) und SchlauStart (Auftragsverarbeiter)

Hinweis zur Verwendung: Dieses Dokument ist die Vorlage für den AV-Vertrag, den eine Schule beim Einsatz von SchlauStart mit dem Anbieter abschließt. Es kann als PDF gedruckt, ausgefüllt und von beiden Seiten unterzeichnet werden.

§ 1 Vertragsparteien

Verantwortlicher (Schule/Lehrkraft):

[DIESE FELDER FÜLLT DIE SCHULE BEIM ABSCHLUSS AUS: Name der Schule, Anschrift, vertreten durch Schulleitung]

Auftragsverarbeiter (Anbieter von SchlauStart):

Murat Başoğlu
Benno-Strauß-Str 2
45145 Essen
E-Mail: schlaustart@gmail.com

§ 2 Gegenstand und Dauer des Auftrags

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Nutzung der Lernplattform SchlauStart. Der Vertrag gilt für die Dauer der Nutzung der Plattform und endet mit Beendigung des Nutzungsverhältnisses.

§ 3 Art, Zweck und Umfang der Verarbeitung

Art der Daten	Vorname/Pseudonym der Schüler, Klassenbezeichnung, Quiz-Ergebnisse (Prozentwerte, Antworten); bei Nutzung des optionalen Lernassistenten zusätzlich die anonymen Chat-Inhalte (freiwillige Lernfragen ohne Anmeldung)
Kategorien betroffener Personen	Schülerinnen und Schüler; ggf. Lehrkräfte
Zweck	Durchführung und Auswertung von Lern-Quizzen im Unterricht; optionale Lernunterstützung durch einen kindersicheren Chat-Assistenten
Art der Verarbeitung	Erheben, Speichern, Anzeigen, Löschen

Eine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen und nicht gestattet.

§ 4 Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

§ 5 Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO

Der Auftragsverarbeiter gewährleistet folgende Maßnahmen:

Vertraulichkeit: Zugriffsschutz durch Passwort-Authentifizierung; Passwörter werden ausschließlich gehasht gespeichert (kein Klartext).
Zugangsbeschränkung: Registrierung nur mit gültigem Einladungscode; Schülerlisten sind klassenbezogen getrennt.
Verschlüsselung: Übertragung ausschließlich über TLS/HTTPS.
Integrität: Manipulationsschutz bei Belohnungs-Freischaltungen durch signierte Token (HMAC).
Verfügbarkeit: Betrieb über professionelle Hosting-Dienstleister mit Backups.
Datenminimierung: Empfehlung zur Nutzung von Pseudonymen; IP-Adressen werden nicht im Klartext gespeichert.
Löschkonzept: automatische Löschung von Schülerdaten nach einem Jahr; manuelle Löschfunktion „Schuljahr beenden“. Bei Kontolöschung werden auch zugehörige Nachweis-/Protokolleinträge entfernt (Art. 17 DSGVO).
Sitzungssicherheit: Anmeldesitzungen laufen spätestens nach 30 Tagen ab.
Protokollierung: datenschutzrelevante Vorgänge werden in einem Audit-Log dokumentiert.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Unterauftragnehmer	Leistung	Standort
Render Services, Inc.	Hosting	Deutschland (Frankfurt)
Neon, Inc.	Datenbank	Deutschland (Frankfurt)
Google LLC (Gemini)	KI-Aufgabenerstellung; Lernassistent nur Bild-Auswertung*	USA (SCC / EU-US DPF)
Mistral AI SAS	KI-Aufgabenerstellung (Ausweich); Lernassistent-Chat (primär, EU)*	Frankreich (EU)
Groq, Inc.	KI-Aufgabenerstellung / Lernassistent (weiterer Ausweichdienst)*	USA (SCC)
IServ GmbH	Schul-Login (SSO), nur bei Nutzung	Deutschland/EU

* An die KI-Dienste werden bei der Aufgabenerstellung keine personenbezogenen Schülerdaten übermittelt, sondern ausschließlich die von der Lehrkraft eingegebenen fachlichen Aufgabentexte. Beim optionalen Lernassistenten werden ausschließlich die anonymen, freiwilligen Lernfragen des Kindes (ohne Namen, Klasse oder Ergebnisse) verarbeitet; reine Text-Anfragen werden vorrangig über Mistral (Frankreich/EU) verarbeitet und verlassen die EU nicht, Gemini wird nur zur Auswertung freiwillig gesendeter Aufgaben-Fotos genutzt, Groq dient nur als weiterer Ausweichdienst. Der Assistent fragt selbst keine privaten Daten ab.

§ 7 Pflichten des Auftragsverarbeiters

Unterstützung des Verantwortlichen bei der Wahrung der Betroffenenrechte (Art. 12–22 DSGVO).
Unverzügliche Meldung von Datenschutzverletzungen (Art. 33 DSGVO).
Unterstützung bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) auf Anfrage.
Bereitstellung von Auskünften zum Nachweis der Einhaltung (Art. 28 Abs. 3 lit. h DSGVO).

§ 8 Löschung und Rückgabe

Nach Beendigung des Auftrags werden die im Auftrag verarbeiteten personenbezogenen Daten auf Wunsch des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§ 9 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Ort, Datum – Verantwortlicher (Schule)

Ort, Datum – Auftragsverarbeiter (SchlauStart)

Stand: 21. Juni 2026