Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO – zwischen der Schule/Lehrkraft (Verantwortlicher) und SchlauStart (Auftragsverarbeiter)

⬇︎ Als PDF speichern (Druckansicht)

§ 1 Vertragsparteien

Verantwortlicher (Schule/Lehrkraft):

Auftragsverarbeiter (Anbieter von SchlauStart):

Der Auftragsverarbeiter ist ein Einzelunternehmen; Vertragspartner ist damit unmittelbar die vorstehend genannte natürliche Person, die persönlich und unbeschränkt haftet. „SchlauStart" ist die Geschäftsbezeichnung, keine eigene Rechtsperson. Wird der Betrieb künftig in eine Gesellschaft eingebracht, tritt diese nur mit ausdrücklicher Zustimmung des Verantwortlichen in diesen Vertrag ein (§ 9).

§ 2 Gegenstand und Dauer des Auftrags

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Nutzung der Lernplattform SchlauStart. Der Vertrag gilt für die Dauer der Nutzung der Plattform und endet mit Beendigung des Nutzungsverhältnisses.

§ 3 Art, Zweck und Umfang der Verarbeitung

Die nachstehende Aufstellung ist abschließend. Sie folgt dem Verzeichnis von Verarbeitungstätigkeiten des Auftragsverarbeiters (Art. 30 Abs. 2 DSGVO) und wird bei jeder Erweiterung des Funktionsumfangs fortgeschrieben.

Eine gezielte Erhebung oder Abfrage besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen und nicht gestattet – mit einer Ausnahme, die die Schule selbst verantwortet: Bildungsgang und Förderschwerpunkt nach der AO-SF (Funktion „Lernstand & Textzeugnis“), hinterlegt aus einer festen Auswahl ohne Freitext – für den Pflichtsatz des Zeugnisses und damit die Lehrkräfte des Kindes wissen, dass es nach seinen eigenen Zielen beschrieben wird; Einzelheiten regelt Abschnitt 7 der Datenschutzerklärung. Soweit Kinder im optionalen Lernassistenten von sich aus belastende Gefühle äußern, erfolgt die Verarbeitung ausschließlich zum Schutz des Kindeswohls (Hinweis an die zuständige Lehrkraft, Art. 9 Abs. 2 lit. c DSGVO) – Einzelheiten regelt Abschnitt 7a der Datenschutzerklärung.

§ 4 Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Die übermittelten Inhalte werden insbesondere nicht zum Training eigener oder fremder KI-Modelle verwendet, nicht zu Werbezwecken ausgewertet und nicht an Dritte verkauft.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, teilt er dies dem Verantwortlichen unverzüglich mit; er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

Eine Übermittlung in ein Drittland erfolgt nur, soweit sie in § 6 ausdrücklich vorgesehen ist, und nur auf Grundlage eines zulässigen Transfermechanismus (Standardvertragsklauseln bzw. Angemessenheitsbeschluss). Der Auftragsverarbeiter hält für jeden dieser Dienste eine dokumentierte Transfer-Folgenabschätzung vor und legt sie auf Anforderung vor.

Weisungsberechtigte und weisungsempfangende Personen. Weisungen erteilt für den Verantwortlichen die Schulleitung oder eine von ihr benannte Person. Weisungen werden in Textform erteilt; mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Beide Seiten benennen die zuständigen Personen bei Vertragsschluss:

§ 5 Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO

Der Auftragsverarbeiter gewährleistet folgende Maßnahmen:

• Vertraulichkeit: Zugriffsschutz durch Passwort-Authentifizierung; Passwörter werden ausschließlich gehasht gespeichert (kein Klartext). Optional zusätzlich Zwei-Faktor-Authentifizierung (TOTP-Authenticator oder Passkey/WebAuthn).
• Schutz vor Anmelde-Missbrauch: temporäre Sperrung nach mehrfach fehlgeschlagenen Anmeldeversuchen (Brute-Force-Schutz, pro IP und E-Mail-Adresse).
• Geräte- und Sitzungsverwaltung: angemeldete Geräte sind einsehbar und einzeln abmeldbar; eine Passwortänderung invalidiert alle übrigen Sitzungen.
• Zugangsbeschränkung: Registrierung ausschließlich mit einem gültigen Einladungscode oder über das Schul-Login (SSO) einer bereits hinterlegten Schul-Domäne; eine freie Selbstregistrierung ist nicht möglich. Schülerlisten sind klassen- und lehrkraftbezogen getrennt.
• Verschlüsselung: Übertragung ausschließlich über TLS/HTTPS (HSTS erzwungen). Datenbank, Datei-Speicher und Datensicherungen werden bei den eingesetzten Anbietern verschlüsselt im Ruhezustand gespeichert; die Anbieter sichern dies vertraglich zu und weisen es über ihre Zertifizierungen nach.
• Pseudonymisierung und Namensschutz bei KI-Aufrufen: Auswertungen und Berichte zu einzelnen Kindern werden vor der Übermittlung namensbereinigt (ein für alle Kinder identischer Platzhalter); Klassen- und Gruppenauswertungen übermitteln ausschließlich Prozentwerte. Vor der Erzeugung von Unterrichtsmaterial blockiert eine serverseitige Prüfung Eingaben mit mutmaßlichen Namenslisten. Der Auftragsverarbeiter fügt einem KI-Aufruf von sich aus keine Stammdaten aus dem Datenbestand der Schule hinzu. Die abschließende Darstellung einschließlich der Sonderfälle Lernassistent und Klassenlisten-Scan steht in der Fußnote zu § 6.2. Die genannten Eigenschaften sind durch automatisierte Regressionstests abgesichert, die bei jeder Programmänderung ausgeführt werden; der Testbericht wird auf Anforderung vorgelegt.
• EU-Bindung der KI-Verarbeitung: Es sind ausschließlich KI-Anbieter mit Sitz und Verarbeitungsort in der EU eingebunden (§ 6.2); ein Anbieter außerhalb der EU ist nicht angebunden. Frei formulierte Beiträge von Kindern verlassen die EU auch bei Ausfall eines Anbieters nicht.
• Integrität: Manipulationsschutz bei Belohnungs-Freischaltungen durch signierte Token (HMAC).
• Verfügbarkeit: Betrieb über professionelle Hosting-Dienstleister. Tägliche automatisierte Datenbank-Backups in einen privaten EU-Speicher (Scaleway, Frankreich); die Wiederherstellbarkeit wird durch dokumentierte Restore-Tests nachgewiesen.
• Datenminimierung: Empfehlung zur Nutzung von Pseudonymen; IP-Adressen werden nicht im Klartext gespeichert.
• Löschkonzept: Für Schülerdaten gilt eine Aufbewahrungsfrist von einem Jahr ab dem Anlegen. Nach Ablauf wird nicht automatisch gelöscht – über die weitere Erforderlichkeit entscheidet der Verantwortliche (Art. 28 Abs. 3 lit. g DSGVO). Der Auftragsverarbeiter erinnert die Lehrkraft 30, 7 und 0 Tage vor Ablauf über drei Wege (Postfach, E-Mail, Hinweis im Klassenbuch); sie entscheidet zwischen Löschen und dokumentierter Verlängerung. Erfolgt keine Reaktion, werden die Daten 90 Tage nach Fristablauf gesperrt – serverseitig weder ausgeliefert noch beschreibbar, durch die Lehrkraft jederzeit wieder freizugeben. Die manuelle Löschfunktion „Schuljahr beenden“ steht jederzeit zur Verfügung; wird gelöscht, geschieht dies vollständig über alle beteiligten Tabellen. Pinnwände und hochgeladene Dateien werden bei Löschung zunächst in einen Papierkorb verschoben und können endgültig entfernt werden. Bei Löschung eines Lehrkraft-Kontos werden auch die zu diesem Konto geführten Ereignis- und Support-Protokolleinträge entfernt (Art. 17 DSGVO). Davon zu unterscheiden sind nachweisrelevante Dokumente der digitalen Personalakte (z. B. der signierte Einwilligungsnachweis): Sie unterliegen während ihrer Aufbewahrungsfrist einer Löschsperre und bleiben auch nach der Kontolöschung innerhalb dieser Frist erhalten – der Einwilligungsnachweis dabei ohne E-Mail-Adresse, also anonymisiert.
• Privater Datei-Speicher: Auf Pinnwänden hochgeladene Dateien liegen ausschließlich in einem privaten, nicht öffentlich zugänglichen Speicher bei einem EU-Anbieter (Scaleway, Frankreich). In der Datenbank wird nur ein interner Verweis gespeichert; der Zugriff erfolgt über kurzlebige, jeweils neu signierte Links.
• Sitzungssicherheit: Anmeldesitzungen laufen spätestens nach 30 Tagen ab.
• Protokollierung: Datenschutz- und sicherheitsrelevante Vorgänge werden mit Zeitstempel in einem Audit-Log dokumentiert (Anmeldungen, Löschungen, Verzeichnis-Abrufe, dokumentierte Zustimmungen, Fristverlängerungen). Inhalte von Schülerinnen und Schülern werden darin nicht gespeichert; die IP-Adresse wird nicht im Klartext abgelegt. Die Einträge werden mit der Löschung des zugehörigen Kontos entfernt.
• Rollenbasierter Zugriff (geringste Rechte): Der Verwaltungszugriff ist rollenbasiert abgestuft. Neben dem verantwortlichen Betreiber (Super-Administrator) können einzelne Personen als Administratoren mit ausschließlich einzeln freigegebenen Verwaltungsbereichen benannt werden; die Freigaben werden protokolliert.
• Nachweis & Zugriffsprotokoll der E-Akte: Aufrufe und Downloads von Verwaltungsdokumenten (digitale Personalakte) werden protokolliert (Art. 5 Abs. 2 DSGVO); nachweisrelevante Dokumente unterliegen während der Aufbewahrungsfrist einer Löschsperre. Einwilligungsnachweise werden automatisch erzeugt und per Prüfsumme (SHA-256) gegen nachträgliche Veränderung abgesichert.
• Rolle „Schul-Admin" (Schul-Schülerverzeichnis): Auf Weisung des Verantwortlichen kann eine von der Schule benannte Person als Schul-Admin eingerichtet werden. Sie erhält ausschließlich Zugriff auf die Verwaltungsdaten des Schülerverzeichnisses ihrer eigenen Schule (Name, Klasse, Anmelde-PIN, Anzahl/Namen der führenden Lehrkräfte) – lesend und pflegend (Anlegen, Korrigieren, Klassen-/PIN-Verwaltung, CSV-Import; der Import ergänzt und aktualisiert nur, er löscht nie). Pädagogische Daten (Klassenbuch, Berichte, Förderdaten der Lehrkräfte einschließlich Lernständen, Lernbot, Hausaufgaben- und Quiz-Inhalte, einzelne Bewertungen) sind für diese Rolle serverseitig gesperrt. Den Bildungsgang und den Förderschwerpunkt nach der AO-SF (feste Auswahl ohne Freitext) pflegt die Schule selbst – über den Schul-Admin oder die Klassenleitung der Stammklasse; jeder Abruf und jede Änderung durch den Schul-Admin wird protokolliert, ohne den Wert selbst. Ausgenommen ist sonst allein die Zeugnisnote: für die Zeugniskonferenz sieht der Schul-Admin je Kind und Fach die Endnote sowie die zum Stichtag festgehaltene Zeugnisliste (§ 120 SchulG NRW i. V. m. VO-DV I). Nicht sichtbar sind die einzelnen Bewertungen, aus denen sie entsteht. Getrennte Teilgruppen werden auf Ebene der Verzeichnis-Kinder zusammengeführt; nur eine Überschneidung desselben Kindes wird als Konflikt gemeldet. Festgehaltene Zeugnisnoten werden mit dem Kind gelöscht und nicht archiviert; schlägt diese Löschung fehl, wird der gesamte Verwaltungsweg zurückgerollt. Jeder dieser Abrufe wird protokolliert. Ernennung und Entzug erfolgen ausschließlich durch den Auftragsverarbeiter auf Weisung der Schule und werden ebenso wie jeder Verzeichnis-Abruf protokolliert. Die Rolle umfasst zusätzlich eine Bestandsübersicht der eigenen Schule (Anzahlen je Klasse; Lehrkräfte mit der Anzahl – nicht den Namen – der von ihnen geführten Kinder), das Verbinden bereits in Lehrkraft-Listen vorhandener Kinder mit dem Verzeichnis (übernommen werden ausschließlich Name und Klasse; pädagogische Daten bleiben bei der jeweiligen Lehrkraft und werden nicht übermittelt) sowie das Erzeugen und Entfernen von Einladungscodes für Lehrkräfte der eigenen Schule (höchstens fünf gleichzeitig, ohne personenbezogenen Inhalt). Die Herkunft jedes Codes (Schule oder Auftragsverarbeiter) wird gespeichert und ist im Nachweis auswertbar. Ferner kann der Schul-Admin den Abgang eines Kindes mit einer Frist (7 bis 180 Tage, Voreinstellung 30) melden; nach Fristablauf werden die Lerndaten dieses Kindes bei allen Lehrkräften der Schule automatisiert gelöscht (Art. 17 DSGVO). Die betroffenen Lehrkräfte werden bei der Meldung und sieben Tage vor Fristablauf unterrichtet, damit sie ihre Auswertungen zuvor exportieren können; die Meldung ist bis zum Stichtag widerruflich. Der Auftragsverarbeiter legt hierbei keine Sicherungs- oder Archivkopie an. Dokumente mit eigener gesetzlicher Aufbewahrungsfrist (Förderempfehlungen, Fehlzeiten- und Verwaltungsbriefe) bleiben unberührt und unterliegen weiterhin ihrer jeweiligen Frist. Hinsichtlich der Beschäftigtendaten ist die Rolle ausdrücklich begrenzt: Der Schul-Admin erhält zu Lehrkräften seiner Schule nur Konto-Tatsachen (Name, dienstliche E-Mail, Rolle, Registrierungs- und letztes Anmeldedatum, Anzahl geführter Verzeichnis-Kinder und Klassen) sowie den tagesaktuellen Kontingentstand. Auswertungen je Person – Nutzungsverlauf, Token, Kosten, Geräte, Leistungs- oder Wirksamkeitskennzahlen – werden für diese Rolle technisch nicht bereitgestellt (§ 72 Abs. 3 Nr. 2 LPVG NRW, VO-DV II). Nutzungs- und Kostenangaben erhält die Schule nur als personenbezugsfreie Gesamtsumme und erst ab drei Konten.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der nachstehenden Unterauftragsverarbeiter zu. Die Liste ist abschließend. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen vor der Hinzuziehung eines weiteren oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform; der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem Grund widersprechen (Art. 28 Abs. 2 DSGVO).

6.1 Betrieb der Plattform

6.2 KI-Dienste

Grundsatz: Die KI-Funktionen werden über Mistral AI SAS (Frankreich) und die Generative APIs von Scaleway (Paris) erbracht. Ein automatischer Wechsel auf einen ausdrücklichen US-API-Endpunkt findet nicht statt. Die jeweils aktuellen DPA- und Unterauftragsverarbeiter-Nachweise sowie der gesonderte Mistral-Trainings-Opt-out werden dokumentiert und regelmäßig geprüft.

* Umgang mit Namen von Schülerinnen und Schülern. Der Auftragsverarbeiter fügt einem KI-Aufruf von sich aus keine Stammdaten aus dem Datenbestand der Schule hinzu – weder Namen noch Klassenlisten, Noten oder Quiz-Ergebnisse. Im Einzelnen gilt: (a) Auswertungen und Berichte zu einzelnen Kindern (Kompetenz-Analyse, Schülerbericht) werden vor der Übermittlung namensbereinigt; an ihrer Stelle steht ein für alle Kinder identischer Platzhalter, der erst in der Anzeige für die Lehrkraft wieder ersetzt wird. (b) Klassen- und Gruppenauswertungen übermitteln ausschließlich zusammengefasste Werte ohne Personenbezug: die Klassenbezeichnung, die Anzahl der Abgaben, den Durchschnitt, die Notenverteilung und die Einzelergebnisse als Prozentzahl ohne Zuordnung zu einer Person. (c) Bei der Erstellung von Unterrichtsmaterial werden ausschließlich die von der Lehrkraft eingegebenen fachlichen Texte übermittelt; eine serverseitige Prüfung blockiert Eingaben mit mutmaßlichen Namenslisten bereits vor dem Aufruf. (d) Beim optionalen Lernassistenten wird der vom Kind selbst getippte Text übermittelt, wie er eingegeben wurde – eine Namensbereinigung ist hier technisch nicht möglich, ohne die Frage des Kindes zu verfälschen. Der Assistent fragt daher niemals nach Nachname, Adresse oder Kontaktdaten und weist das Kind vor der ersten Nutzung ausdrücklich darauf hin, keine solchen Angaben einzugeben; nennt ein Kind von sich aus seinen Vornamen, wird dieser als Teil des Gesprächstextes mitübertragen. (e) Beim optionalen Klassenlisten-Scan übermittelt die Lehrkraft bewusst ein Foto einer Namensliste zur Texterkennung; ausgegeben werden ausschließlich Vornamen mit abgekürztem Nachnamen, das Foto wird nicht gespeichert. Für den direkten Mistral-Zugang aktiviert und dokumentiert der Auftragsverarbeiter den gesonderten Trainings-Opt-out für Mistral Studio/API; ein kostenpflichtiger Zugang allein ersetzt diesen Nachweis nicht. Die Schule stellt für die freiwillige Nutzung des Lernassistenten durch Minderjährige die erforderliche Information und – soweit erforderlich – eine rechtlich ausreichende Zustimmung der Erziehungsberechtigten sicher. Die Einhaltung von (a) bis (c) ist durch automatisierte Regressionstests abgesichert, die bei jeder Programmänderung ausgeführt werden; der Testbericht wird auf Anforderung vorgelegt.

6.3 Weitere Empfänger, nur bei Nutzung der jeweiligen Funktion

6.4 Technische Dienste ohne Verarbeitung personenbezogener Daten

Der Vollständigkeit halber werden auch diejenigen externen Dienste benannt, die zwar eingebunden sind, dabei aber keine personenbezogenen Daten des Verantwortlichen verarbeiten. Sie sind keine Unterauftragsverarbeiter im Sinne des Art. 28 Abs. 4 DSGVO.

** An den Text-zu-Sprache-Dienst wird ausschließlich der vorzulesende Buch-/Kapiteltext übermittelt – serverseitig vom EU-Server aus, ohne Nutzer-IP und ohne personenbezogene Daten. Der Aufruf erfolgt nur, wenn die Vorlese-Funktion der Lautlesezeit tatsächlich benutzt wird.

§ 7 Pflichten des Auftragsverarbeiters

• Vertraulichkeit (Art. 28 Abs. 3 lit. b): Alle zur Verarbeitung befugten Personen sind auf Vertraulichkeit verpflichtet; die Verpflichtung wirkt über das Ende ihrer Tätigkeit hinaus. Der Zugriff ist rollenbasiert auf das für die jeweilige Aufgabe Erforderliche beschränkt.
• Betroffenenrechte (Art. 12–22): Unterstützung des Verantwortlichen bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit; Anfragen betroffener Personen werden nicht selbst beantwortet, sondern unverzüglich an den Verantwortlichen weitergeleitet.
• Datenschutzverletzungen (Art. 33 Abs. 2): Meldung an den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den zur Meldung an die Aufsichtsbehörde erforderlichen Angaben.
• Unterstützung bei der Datenschutz-Folgenabschätzung (Art. 35, 36): Der Auftragsverarbeiter stellt eine vorausgefüllte DSFA-Vorlage sowie eine Architektur- und Datenflussdarstellung bereit.
• Nachweis und Kontrolle (Art. 28 Abs. 3 lit. h): Der Verantwortliche kann die Einhaltung dieses Vertrages überprüfen. Der Nachweis erfolgt vorrangig durch Vorlage der Dokumentation (technische und organisatorische Maßnahmen, Verzeichnis der Verarbeitungstätigkeiten, Unterauftragsverarbeiter-Register, Transfer-Folgenabschätzungen, Berichte der automatisierten Datenschutz-Regressionstests). Darüber hinaus sind Vor-Ort-Prüfungen nach angemessener Vorankündigung während der üblichen Geschäftszeiten zulässig.
• Behördliche Herausgabeverlangen: Erhält der Auftragsverarbeiter von einer Behörde – auch eines Drittlandes – ein Verlangen auf Herausgabe personenbezogener Daten des Verantwortlichen, unterrichtet er den Verantwortlichen unverzüglich, sofern ihm dies rechtlich nicht untersagt ist; in diesem Fall wirkt er auf eine Aufhebung des Verbots hin. Er gibt keine Daten heraus, bevor er nicht geprüft hat, ob eine völkerrechtliche Übereinkunft im Sinne des Art. 48 DSGVO besteht, und beschränkt eine unvermeidbare Herausgabe auf das rechtlich zwingend Erforderliche. Dieselbe Pflicht gibt er seinen Unterauftragsverarbeitern auf. Über die Anzahl solcher Verlangen berichtet er auf Anfrage.
• Ansprechstelle Datenschutz: datenschutz@schlaustart.app. Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist derzeit nicht benannt. Die Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG wird fachkundig erneut geprüft; die Prüfung umfasst ausdrücklich auch § 38 Abs. 1 Satz 2 BDSG. Eine abschließende Aussage zur Nichtbenennung ist bis dahin nicht Bestandteil dieses Vertrages.
• Keine Verarbeitung außerhalb des Auftrags: insbesondere kein Training von KI-Modellen, keine Auswertung zu Werbe- oder Vermarktungszwecken und keine Weitergabe an Dritte.
• Beschäftigtendaten – klare Grenze (§ 72 Abs. 3 Nr. 2 LPVG NRW): Der Auftragsverarbeiter stellt dem Verantwortlichen keinerlei Auswertung über einzelne Lehrkräfte bereit – weder Nutzungsverläufe noch Verbrauchs-, Kosten-, Geräte-, Leistungs- oder Wirksamkeitskennzahlen; das gilt für jede Rolle innerhalb der Schule einschließlich des Schul-Admins und ist serverseitig umgesetzt (§ 5). Nutzungs- und Kostenangaben erhält die Schule ausschließlich als personenbezugsfreie Gesamtsumme und erst ab drei Konten. Eine Bewertung oder ein Vergleich von Lehrkräften findet nicht statt und wird nicht ermöglicht.
  Beim Auftragsverarbeiter selbst fallen betriebsnotwendige Nutzungsdaten je Konto an (Tageskontingente, verbrauchte KI-Einheiten, Anmeldezeitpunkte, Support-Vorgänge). Sie werden ausschließlich zu den Zwecken Missbrauchs- und Kostenkontrolle, technischer Support und Abrechnung verarbeitet, sind nur dem Betreiber zugänglich, werden nicht an den Verantwortlichen oder Dritte übermittelt und nicht zur Verhaltens- oder Leistungsbewertung ausgewertet. Der Verantwortliche kann jederzeit Auskunft über den Umfang dieser Daten verlangen.

§ 8 Löschung und Rückgabe

Nach Beendigung des Auftrags werden die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, und zwar innerhalb von 30 Tagen nach Vertragsende, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Verantwortliche kann die Daten vorher jederzeit selbst exportieren (vollständiger Klassen-Export als JSON, PDF und Excel). Die Löschung wird auf Anforderung schriftlich bestätigt.

Datensicherungen. Gelöschte Daten können in bereits erstellten Sicherungen noch enthalten sein. Diese werden gestaffelt vorgehalten – die Sicherungen der letzten 7 Tage vollständig, danach je eine Wochen- und anschließend je eine Monatssicherung – und längstens 6 Monate aufbewahrt; danach werden sie automatisch gelöscht. Ein einzelner Datensatz wird aus bestehenden Sicherungen nicht herausgelöst; auf Sicherungen wird ausschließlich im Wiederherstellungsfall zugegriffen. Wird eine Sicherung eingespielt, werden zwischenzeitlich verlangte Löschungen unverzüglich erneut vollzogen.

Fristen während der Vertragslaufzeit. Unabhängig von der Beendigung greifen die Fristen des Löschkonzepts (Abschnitt 8 der Datenschutzerklärung). Für Schülerdaten gilt: Nach Ablauf der Jahresfrist wird nicht automatisch gelöscht; der Auftragsverarbeiter erinnert die Lehrkraft dreifach und sperrt die Daten nach einer Karenzzeit von 90 Tagen, wenn keine Entscheidung getroffen wird (§ 5, Löschkonzept). Die Entscheidung über die Löschung bleibt beim Verantwortlichen (Art. 28 Abs. 3 lit. g DSGVO). Technisch erzwungen und ohne Zutun des Verantwortlichen laufen dagegen die Fristen für Lernassistent-Gespräche (7 Tage sichtbar, danach Papierkorb, nach weiteren 30 Tagen endgültig), für kurzlebige Klassen-Mitteilungen, für Arbeitsblätter im Papierkorb (7 Tage), für Einträge der E-Mail-Warteschlange (90 Tage) und für Zustell-Kennungen der Store-Apps (180 Tage).

Meldet die Schule den Abgang eines Kindes, werden dessen Lerndaten nach Ablauf der von ihr gesetzten Frist bei allen Lehrkräften der Schule automatisiert gelöscht; eine Sicherungs- oder Archivkopie legt der Auftragsverarbeiter dabei nicht an. Dokumente mit eigener gesetzlicher Aufbewahrungsfrist (Förderempfehlungen, Fehlzeiten- und Verwaltungsbriefe) bleiben davon unberührt und unterliegen weiterhin ihrer jeweiligen Frist.

§ 9 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Haftung. Die Haftung richtet sich nach den gesetzlichen Bestimmungen; Art. 82 DSGVO bleibt unberührt.

Rangfolge. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen oder der Datenschutzerklärung gehen die Regelungen dieses Vertrages vor. Änderungen und Ergänzungen bedürfen der Textform.

Vertragsübernahme. Wird der Betrieb künftig in eine Gesellschaft eingebracht oder auf einen Dritten übertragen, tritt dieser nur mit ausdrücklicher Zustimmung des Verantwortlichen in diesen Vertrag ein. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen vorher in Textform; verweigert der Verantwortliche die Zustimmung, kann er den Vertrag zum Zeitpunkt der Übertragung kündigen, und § 8 gilt entsprechend.

Anlagen. Bestandteil dieses Vertrages sind: die technischen und organisatorischen Maßnahmen (§ 5 sowie die ausführliche Fassung als gesonderte Anlage), die Aufstellung der Unterauftragsverarbeiter (§ 6) und das Verzeichnis von Verarbeitungstätigkeiten des Auftragsverarbeiters (Art. 30 Abs. 2 DSGVO).

Stand: 19. September 2026 · Dokumentversion: 2.7 · Paketstand: 3.41 (2026-09) (§ 3: „Lernstand & Textzeugnis“ ist keine Pilotfunktion mehr; der Bildungsgang dient auch dem Hinweis an die Lehrkräfte des Kindes. Zuvor 2.6: § 3: Zweck um die Dokumentation von Lernständen und den Textteil des Zeugnisses (Pilot, ohne KI) ergänzt. Zuvor 2.5: § 3: Bildungsgang und Förderschwerpunkt als einzige ausdrücklich vorgesehene Angabe nahe Art. 9 DSGVO; § 5: Rolle Schul-Admin – Bildungsgang und Förderschwerpunkt nach der AO-SF (Pilot) werden von der Schule gepflegt; Förderdaten der Lehrkräfte einschließlich Lernständen bleiben gesperrt. Zuvor 2.4: § 7: Die bisherige abschließende Aussage zur Nichtbenennung einer Datenschutzbeauftragten oder eines Datenschutzbeauftragten ist bis zur fachkundigen Prüfung einschließlich § 38 Abs. 1 Satz 2 BDSG zurückgenommen. Zuvor 2.3: § 3/§ 5: Zeugnis-Endnoten, getrennte Teilgruppen, kindbezogene Konfliktprüfung und transaktionssichere Löschung präzisiert. Zuvor 2.1: § 1 Rechtsform berichtigt: Auftragsverarbeiter ist Murat Basoglu als Einzelunternehmer, handelnd unter der Geschäftsbezeichnung „SchlauStart" – eine UG besteht nicht; § 6.2 Fußnote: die KI-Kette enthält ausschließlich die beiden europäischen Anbieter, ein Anbieter außerhalb der EU ist nicht eingebunden. Zuvor 2.0: vertretungsberechtigte Person eingetragen. Zuvor 1.9: § 3 Lernprofil des Lernassistenten inhaltlich aufgeführt und als Profilbildung nach Art. 4 Nr. 4 DSGVO benannt; § 4 weisungsberechtigte und weisungsempfangende Personen; § 5 Verschlüsselung im Ruhezustand, Zugang auch über Schul-Login, Löschkonzept an den tatsächlichen Ablauf angeglichen (Erinnerung und Sperrung statt automatischer Löschung), Protokollierung mit Aufbewahrung; § 6.2 Mistral AI als vorrangiger Anbieter und Scaleway als zweiter EU-Weg, Fußnote zum Umgang mit Namen abschließend gefasst; neu § 6.4 technische Dienste ohne Personenbezug (UptimeRobot, jsDelivr); § 7 Unterrichtungspflicht bei behördlichen Herausgabeverlangen, Grenze bei Beschäftigtendaten präzisiert; § 8 Aufbewahrung der Datensicherungen (längstens 6 Monate) und Unterscheidung zwischen technisch erzwungenen und vom Verantwortlichen zu entscheidenden Fristen; § 9 Haftung, Rangfolge und Anlagen. Zuvor 1.8: § 6.2 gilt unmittelbar mit Inkrafttreten dieses Vertrages; der frühere Abschnitt zum Erprobungsbetrieb ist entfallen, weil dieser Vertrag ausschließlich das Verhältnis zur vertragschließenden Schule regelt. Zuvor 1.7: § 1 Anschrift und Datenschutz-Ansprechstelle; § 3 Datenkategorien nach dem Verzeichnis der Verarbeitungstätigkeiten neu gefasst; § 4 Verbot der Modelltraining-Nutzung, Hinweispflicht bei rechtswidriger Weisung, Drittland-Klausel; § 5 Pseudonymisierung vor KI-Aufrufen und EU-Bindung; § 6 neu gegliedert – KI-Dienste ausschließlich in der EU (Scaleway Generative APIs, Mistral), ergänzt um STRATO, Cloudflare und Push-Zustellung, mit Vier-Wochen-Frist und Widerspruchsrecht bei Anbieterwechsel; § 7 Vertraulichkeitsverpflichtung, 24-Stunden-Meldefrist, Kontrollrecht und Ansprechstelle; § 8 Löschfrist von 30 Tagen)