gemäß Art. 35 DSGVO – für den Einsatz der Lernplattform SchlauStart an Schulen
⬇︎ Als PDF speichern (Druckansicht)
Hinweis zur Verwendung: Verantwortlicher für die Datenverarbeitung im Unterricht ist die Schule. Diese DSFA-Dokumentation wird vom Anbieter gemäß Art. 28 Abs. 3 lit. f DSGVO als Unterstützung bereitgestellt. Die Schule kann sie übernehmen, ergänzen (schulspezifische Angaben in § 8) und durch ihre Schulleitung sowie den behördlichen Datenschutzbeauftragten prüfen und freigeben lassen. Dieses Dokument ersetzt keine Rechtsberatung.
Eine DSFA ist durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Für SchlauStart sprechen folgende Kriterien für die Durchführung:
Die Kombination dieser Kriterien (vgl. auch die Muss-Liste der DSK) führt dazu, dass diese DSFA vorsorglich durchgeführt wird.
SchlauStart ist eine Lernplattform, mit der Lehrkräfte Lern-Quizze und Unterrichtsmaterial erstellen und mit ihren Klassen nutzen. Optionale Werkzeuge: Digitale Pinnwand, Digitale Tafel, Gruppentische, Reflexion/Exit-Ticket sowie ein kindersicherer KI-Lernassistent.
| Rolle | Stelle |
|---|---|
| Verantwortlicher | Schule bzw. zuständiger Schulträger; Vertretungsbefugnis klären (Schulgesetz NRW, VO-DV I) |
| Auftragsverarbeiter | Eda Cansu Basoglu, Einzelunternehmer, handelnd unter der Geschäftsbezeichnung „SchlauStart", Benno-Strauß-Straße 2, 45145 Essen – AVV-Vorlage bereitgestellt, Vertragsschluss für die konkrete Schule noch erforderlich |
| Unterauftragsverarbeiter | Render (Hosting, Frankfurt), Neon (Datenbank, Frankfurt), Scaleway (Datei-Speicher und Generative APIs, Paris), STRATO (E-Mail-Versand, Berlin); KI-Dienste: Mistral AI SAS (Frankreich) vorrangig und Generative APIs von Scaleway (Paris) als zweiter Weg; Google OAuth / IServ / Moodle-LTI (Login), Microsoft (Vorlese-Funktion), Cloudflare (Reichweitenmessung nur auf öffentlichen Seiten) – vollständige Liste im AVV § 6 |
| Betroffene | Daten | Besonderheit |
|---|---|---|
| Lehrkräfte | Name, E-Mail, Passwort (Hash), Nutzungsdaten; eigene Unterrichtsnotizen, im SchlauHeft auch handschriftlich (Linienzüge ohne Zeit, Druck und Geschwindigkeit, keine Handschrifterkennung) | – |
| Schülerinnen/Schüler | Vorname/Pseudonym, Klasse, Quiz-Ergebnisse, ggf. Gruppen-Bewertungen, Reflexions-Selbsteinschätzungen; im geteilten SchlauHeft eigene Seiten (Linienzüge ohne Zeit, Druck und Geschwindigkeit, keine Handschrifterkennung), die die Lehrkraft der Klasse sieht | Kinder; Pseudonym-Empfehlung |
| Kinder mit sonderpädagogischem Unterstützungsbedarf („Lernstand & Textzeugnis“) | Bildungsgang (zielgleich / zieldifferent Lernen / Geistige Entwicklung) und Förderschwerpunkt(e) nach AO-SF aus fester Liste, mit Gültigkeitszeitraum; kein Freitext, keine Diagnose | Art.-9-nah (Unterstützungsbedarf). Gepflegt von Klassenleitung der Stammklasse und Schul-Admin; keine KI; Löschung mit dem Verzeichnis-Eintrag |
| Kinder, deren Lernstand dokumentiert wird | Stufe je Fach und Fertigkeit mit Datum, bestätigte Halbjahres-Festlegung, Textteil des Zeugnisses | Bei Kindern mit Unterstützungsbedarf mittelbar Art.-9-nah; nur eintragende Lehrkraft und Klassenleitung der Stammklasse; kein Schul-Admin; keine KI; Beobachtungen 450 Tage nach dem letzten Eintrag gelöscht |
| Kinder mit Förderplan („Lernstand & Textzeugnis“) | Förderziele (Fertigkeit, Zielstufe, Termin), Maßnahmen mit Rolle und Umfang, Auswertung, Stärken, Gesprächsdatum, Beteiligte nur als Rolle; verknüpfte Einzelaufgaben (Titel, Frist, erledigt ja/nein – keine Note); für Ziele, die die Lehrkraft freigibt, der Satz für das Kind und seine Selbsteinschätzung (eine von drei festen Antworten, die letzte mit Datum); im Lernstand auch die Bereiche Kognition und Emotionen (beobachtetes Verhalten, keine Diagnose) | Art.-9-nah (Förderung nach AO-SF). Ganzer Plan nur Klassenleitung der Stammklasse und Begleitung; Fachlehrkräfte nur Ziele und Maßnahmen ihres Faches und die überfachlichen; das Kind nur freigegebene Ziele als „Ich kann …“-Satz; kein Schul-Admin, keine externen Träger; keine KI; Löschung 450 Tage nach Ende, Änderung oder Abschluss und mit dem Verzeichnis-Eintrag |
| Kinder (Lernassistent) | Geräte-Token, Chat-Inhalte, pädagogisches Lernprofil (Stärken, Schwierigkeiten, Erklärweise, Tempo, Interessen, grobe Einschätzung von Selbstvertrauen und Motivation – keine Diagnosen), bei unterrichtlicher Nutzung zusätzlich die Zuordnung zu Schülerdatensatz und Lehrkraft | Kein eigenes Konto; bei unterrichtlicher Nutzung dennoch personenbezogen. Inhalte können von Kindern freiwillig geäußerte Belastungen enthalten (Art.-9-Nähe). Das Lernprofil ist eine Profilbildung nach Art. 4 Nr. 4 DSGVO |
Datenbank und Anwendungs-Hosting werden in EU-Regionen betrieben; die Anbieter sind US-Unternehmen, weshalb die einschlägige Transfergrundlage und die erforderliche Bewertung anhand der aktuellen Verträge nachzuweisen sind. Dateien und der zweite KI-Weg liegen bei Scaleway in Paris; der vorrangige KI-Anbieter Mistral AI SAS hat seinen Sitz in Frankreich. Die aktuellen Anbieter- und Unterauftragsverarbeiter-Nachweise werden regelmäßig geprüft. Vorgesehen ist der Wechsel von Datenbank und Hosting zu einem europäischen Anbieter – zuerst die Datenbank, danach das Hosting. Für Schülerdaten gilt eine Aufbewahrungsfrist von einem Jahr ab dem Anlegen. Nach Ablauf wird nicht automatisch gelöscht, weil über die weitere Erforderlichkeit der Verantwortliche entscheidet (Art. 28 Abs. 3 lit. g DSGVO); die Lehrkraft wird dreifach erinnert und entscheidet zwischen Löschen und dokumentierter Verlängerung, andernfalls werden die Daten nach 90 Tagen Karenzzeit gesperrt. Die manuelle Löschung („Schuljahr beenden“) ist jederzeit möglich. Technisch erzwungen laufen dagegen die Fristen des Lernassistenten (7 Tage sichtbar, danach Papierkorb, nach weiteren 30 Tagen endgültig) und der übrigen kurzlebigen Daten. Datensicherungen werden gestaffelt und längstens 6 Monate vorgehalten. Details: Datenschutzerklärung § 8.
Technischer Nachweisstand: Neon beschreibt AES-256 für gespeicherte Daten und TLS ab Version 1.2 für Verbindungen. Für den verwendeten Scaleway-Dateispeicher einschließlich der dort abgelegten Backups bestätigt der Betreiber am 11.10.2026 aktivierte SSE-ONE-Verschlüsselung mit anbieterverwalteten AES-256-Schlüsseln. Das gilt für entsprechend verschlüsselte Objekte; die nachträgliche Aktivierung verschlüsselt Altobjekte nicht rückwirkend. Der Altbestand ist gesondert nachzuweisen. Anbieter können im Rahmen ihrer Leistung entschlüsseln; eine durchgängige Ende-zu-Ende-Verschlüsselung der Anwendung wird nicht behauptet. Nach Betreiberbestätigung vom 11.10.2026 ist die Trainingsnutzung für die verwendete Mistral-Studio/API-Organisation deaktiviert. Dies ist getrennt von Zero Data Retention (ZDR); eine gesonderte ZDR-Freischaltung ist hier nicht nachgewiesen. Die Vereinbarung Schule/Schulträger–SchlauStart und die Verträge SchlauStart–Dienstleister sind getrennte Vertragsstufen (Art. 28 Abs. 3 und 4 DSGVO). Diese Unterlagen sind eine Vertrags- und Prüfvorlage, kein Nachweis eines bereits unterschriebenen Schulvertrags. Die aktuellen Dienstleister-DPA/AVV, ihre Einbeziehung in das Konto, Unterauftragnehmer und einschlägige Transfergrundlagen müssen vor dem vereinbarten personenbezogenen Schuleinsatz dokumentiert sein. Ihre vollständige Aktualitätsprüfung ist am 11.10.2026 noch offen; bereits bestehende Verträge werden damit weder verneint noch als vollständig geprüft bestätigt.
| Risiko | Eintritts- wahrsch. | Schwere | Maßnahmen (Auswahl) | Restrisiko |
|---|---|---|---|---|
| Unbefugter Zugriff auf Chat-Verläufe von Kindern | gering | hoch | Kryptografisch zufällige Geräte-Token (Mindestlänge serverseitig erzwungen), klassen-/lehrkraftbezogene Trennung, TLS, Session-Schutz | gering |
| Schülernamen gelangen in KI-Dienste | gering | mittel–hoch | Serverseitige Klassenlisten-Erkennung mit Blockierung vor der Material-Erzeugung; Namensbereinigung bei Auswertungen und Berichten; keine Beifügung von Stammdaten durch das System; kindgerechter Hinweis vor der ersten Nutzung des Lernassistenten; vertragliches Verbot der Weiterverwendung; Verarbeitung ausschließlich in der EU | gering |
| Pädagogisches Lernprofil wird unzutreffend oder zweckwidrig verwendet | gering | mittel | Nur lernbezogene Stichworte, Diagnosebegriffe ausdrücklich untersagt; keine Adress- oder Kontaktdaten; Erstellung ausschließlich in der EU; einsehbar nur für die zuständige Lehrkraft; keine Note, keine Entscheidung, kein Vergleich zwischen Kindern; Löschung mit dem Gesprächsverlauf und mit dem Kind; Widerspruch (Art. 21 DSGVO) und Abschaltung der Funktion durch die Lehrkraft jederzeit möglich | gering |
| Fehleinschätzung der Krisen-Erkennung (falsch negativ) | mittel | hoch | Zweistufig: deterministische Stichwortliste + semantische KI-Prüfung (kann nur verschärfen, nie abschwächen); feste Schutzantwort mit 116 111 auch bei Systemfehlern | mittel → wird durch pädagogische Begleitung der Schule aufgefangen |
| Fehleinschätzung (falsch positiv, unnötiger Lehrkraft-Hinweis) | mittel | gering | Datensparsame Meldung (nur Hinweis + kurze Zusammenfassung, keine Diagnose); Bewertung durch die Lehrkraft | gering |
| Drittlandtransfer (USA) bei KI-Diensten | sehr gering | mittel | Keine KI-Verarbeitung außerhalb der EU (zwei EU-Anbieter statt Drittland-Fallback); verbleibende US-Berührungen betreffen ausschließlich Infrastruktur mit EU-Region (Render, Neon) sowie Login/Vorlese-/Reichweiten-Funktionen, jeweils SCC | gering |
| Bildungsgang/Förderschwerpunkt wird Unbefugten bekannt oder gelangt in eine KI | gering | hoch | Feste Auswahl ohne Freitext; Setzen nur Klassenleitung der Stammklasse und Schul-Admin, Lesen nur mit eigener Klasse; in Listen und auf Beamer-Ansichten höchstens das neutrale Zeichen 🌱 wie bei jedem Förderbedarf, nie der Bildungsgang selbst; Ereignisprotokoll ohne den Wert; automatisierter Test, dass kein Feld in einen KI-Aufruf gelangt | gering |
| Lernstände werden wie Noten verrechnet oder ohne Beleg zu Zeugnissätzen | gering | mittel | Stufen nur als Wörter, nie als Zahl; kein Durchschnitt, keine Endnote; Sätze nur aus bestätigter Festlegung oder eigenem Text der Lehrkraft; nicht beobachtete Fertigkeiten erzeugen keinen Satz; Themen nur nach Bestätigung | gering |
| Förderplan wird zu weit sichtbar oder enthält Diagnosen | gering | hoch | Rechte je Rolle serverseitig: Fachlehrkräfte erhalten eine gefilterte Fassung ohne Stärken, Ist-Stand und Auswertung; Schul-Admin und externe Träger ausgeschlossen; Beteiligte nur als Rolle, keine Personalkennung; Hinweis „keine Diagnosen, keine Gutachten“ am Freitext; Sätze aus Mustern statt KI; automatisierte Tests für Rechte, Löschwege und KI-Ausschluss | gering |
| Private Einträge der Lehrkraft gelangen über das geteilte SchlauHeft zu den Kindern (Notiz, ältere Seiten, vorbereitete Stunden) | gering | mittel | Was ein Kind erhält, entscheidet eine Serverregel: die Notiz, der Status, die Werkzeuge der Stunde und Videos gehen nie an Kinder; geteilt wird ab dem Tag des Einschaltens, jede Stunde erst ab ihrem Beginn, ausgefallene nie – oder, wenn die Lehrkraft es so wählt, nur einzeln freigegebene Stunden; jede Stunde lässt sich einzeln zurückhalten, einzelne Kästen und Seiten lassen sich verbergen; Aufgaben nur nach der Bedingung von „Meine Aufgaben“ (eine Einzelaufgabe nur beim betreffenden Kind); das Zeichen „Klasse sieht mit“ an der Seite der Lehrkraft; automatisierte Tests jeder dieser Regeln | gering |
| Die Einsicht der Lehrkraft in die eigenen Seiten der Kinder wird als Überwachung empfunden oder zu einer Verhaltensauswertung | gering | mittel | Das Kind wird im Heft darauf hingewiesen, dass die Lehrkraft seine Seiten sieht (wie beim Einsammeln eines Heftes); gespeichert wird nur der Stand der Seite – keine Zeit je Punkt, kein Druck, keine Schreibdauer, keine Wiedergabe; ob ein Kind gerade im Heft ist, wird weder angezeigt noch gespeichert; keine Zahl und keine Auswertung je Kind; nur die Lehrkraft der Klasse, kein Schul-Admin, keine Zählung je Lehrkraft | gering |
| Mitschüler:innen sehen die Förderziele eines Kindes (etwa am geteilten Klassentablet) | gering | mittel | Das Kind sieht nur Ziele, die die Lehrkraft einzeln freigibt, und nur in seiner eigenen, mit dem Anmeldecode geöffneten Sitzung; neutraler Titel „Woran ich arbeite“, kein Wort „Förderplan“, kein Förderschwerpunkt, keine Maßnahmen, keine Auswertung; Selbsteinschätzung nur aus drei festen Antworten, ohne Freitext; „Abmelden“ ständig sichtbar in der Leiste; verknüpfte Einzelaufgaben sieht das Kind ohne Hinweis auf den Förderplan; automatisierte Tests der Kindroute (nur das eigene Kind, nur freigegebene Ziele, nur ein Plan in Kraft) | gering |
| Datenverlust | gering | mittel | Managed-DB mit Point-in-Time-Restore, zusätzliche pg_dump-Sicherungen inkl. getestetem Restore in einen privaten EU-Speicher (Scaleway, Frankreich) | gering |
| Vertraulichkeitsbruch beim Kindeswohl-Hinweis | gering | mittel | Hinweis nur an die zuständige Lehrkraft; Audit-Log; keine Weitergabe an Dritte | gering |
Die technischen und organisatorischen Maßnahmen sind im AVV § 5 dokumentiert. Hervorzuheben: TLS-Verschlüsselung, Passwort-Hashing, signierte Token (HMAC-SHA256), Klassenlisten-Erkennung vor KI-Aufrufen, kindersichere System-Prompts mit begrenzenden Regeln, ohne Garantie gegen jede Umgehung, deterministische Krisen-Schutzantwort ohne KI, EU-Verarbeitung sensibler Zusammenfassungen, Audit-Log, technisch erzwungene Löschfristen für kurzlebige Daten sowie Erinnerung und Sperrung bei Schülerdaten, anbieterbezogene Speicherverschlüsselung mit gesondertem Altbestandsnachweis und ein Backup-Konzept mit nachgewiesenem Restore-Test. Ein Fehler-Monitoring durch Dritte wird bewusst nicht eingesetzt; die Erreichbarkeitsprüfung erfolgt über einen Endpunkt ohne personenbezogene Daten.
Ergänzend (Konto- & Verwaltungsebene): rollenbasierter Verwaltungszugriff nach dem Prinzip der geringsten Rechte (Super-Administrator mit vollem Zugriff; benannte Administratoren nur mit einzeln freigegebenen Bereichen), Protokollierung von Aufrufen und Downloads der digitalen Personalakte (E-Akte), Löschsperre für nachweisrelevante Dokumente während der Aufbewahrungsfrist sowie automatisch erzeugte, per Prüfsumme (SHA-256) signierte Einwilligungsnachweise (Art. 7 Abs. 1 DSGVO).
Ergänzend (interne Aufgabenbearbeitung / Ticket-System): Der Zugriff auf gemeldete Support- und Fehlermeldungen ist von den Administrator-Rechten entkoppelt und wird über eigene, einzeln freigebbare Ticket-Funktionen gesteuert (eigene Tickets bearbeiten · verteilen/zuweisen · internen Verlauf einsehen). Freigaben erfolgen je Person oder als Abteilungs-Standard, wobei die individuelle Einstellung Vorrang hat. Lehrkräfte ohne Team-Zugehörigkeit haben keinen Zugriff. Jede Bearbeitung wird mit Person und Zeitpunkt protokolliert. Wirkung: Mitarbeitende können Meldungen bearbeiten, ohne einen Verwaltungszugang zu erhalten – der Kreis der Personen mit Zugriff auf Verwaltungsdaten wird dadurch kleiner statt größer (Art. 32 DSGVO).
Schulspezifische Bewertung erforderlich: Die Risikozeilen sind eine Arbeitsgrundlage, keine abgeschlossene Feststellung eines niedrigen Restrisikos. Verantwortlicher und Datenschutzbeauftragte prüfen den konkreten Einsatz einschließlich Kinder-Freitext, Profilbildung, Anbieterzugriff und Nachweisen. Verbleibt trotz Maßnahmen ein hohes Risiko, ist Art. 36 DSGVO vor Beginn zu prüfen. Die Freigabe wird in § 8 dokumentiert.
Der Anbieter hat als Auftragsverarbeiter keinen unmittelbaren Zugang zu den betroffenen Personen. Er stellt der Schule hierfür eine Muster-Elterninformation in verständlicher Sprache bereit, die über Zweck, Datenarten, Speicherdauer, KI-Einsatz und Betroffenenrechte informiert und als Grundlage für die Einholung der Standpunkte dient. Die Schule holt den Standpunkt der betroffenen Personen bzw. ihrer Vertreterinnen und Vertreter auf dem für sie vorgesehenen Weg ein – in der Regel über Schulpflegschaft und Schulkonferenz, hinsichtlich der Beschäftigtendaten über den Personalrat (§ 72 Abs. 3 Nr. 2 LPVG NRW). Das Ergebnis wird in § 8 dokumentiert. Wird von einer Einholung abgesehen, ist dies dort zu begründen (Art. 35 Abs. 9 Halbsatz 2 DSGVO).
Diese DSFA wird überprüft und ggf. aktualisiert: (a) jährlich, (b) bei wesentlichen Änderungen der Plattform (neue KI-Dienste, neue Datenkategorien, neue Unterauftragsverarbeiter), (c) bei relevanten Sicherheitsvorfällen.
Ergänzung Sitzplan (10.10.2026): Gespeichert werden Raumgeometrie und Sitzzuordnungen über vorhandene Schüler-IDs je Klasse und Fach. Zugriff nur für die besitzende Lehrkraft; Schülerzugänge und Nur-Lesen-Freigaben sind ausgeschlossen. Risiken sind die Offenlegung am Beamer und fehlerhafte Zuordnungen: Initialen sind die Vorgabe, vollständige Namen erfordern einen geöffneten Vorhang; der Server prüft Klassenbesitz, Sitz-Eindeutigkeit und Klassenmitgliedschaft. Ein Revisionsvergleich verhindert stilles Überschreiben durch ein anderes Gerät. Löschen/Sperren löst die Sitzbezüge. Keine KI-Verarbeitung oder automatische Bewertung.
Stand: 11. Oktober 2026 · Dokumentversion: 1.15 (DSFA) – KI-Kontext, Rechtsgrundlagen und offene schulspezifische Risikobewertung präzisiert. Zuvor 1.14: Sitzplan: Sitzzuordnung und Raumgeometrie, Zugriff der eigenen Lehrkraft und Schutz bei Projektion. Zuvor 1.13: § 4: Im geteilten SchlauHeft kann die Lehrkraft Stunden einzeln freigeben oder zurückhalten; ob ein Kind gerade im Heft ist, wird nicht angezeigt. Zuvor 1.12: § 2.3 und § 4: Das SchlauHeft der Klasse – eigene Seiten der Kinder, die die Lehrkraft sieht; zwei neue Risikozeilen (private Einträge der Lehrkraft gelangen zu Kindern; Einsicht als Überwachung). Zuvor 1.11: § 2.3: Lehrkräfte – handschriftliche Notizen im SchlauHeft als Linienzüge ohne Schreibdynamik, ohne Handschrifterkennung. Zuvor 1.10: § 2.3 und § 4: Förderplan – verknüpfte Einzelaufgaben und die Selbsteinschätzung des Kindes zu freigegebenen Zielen; neue Risikozeile „Mitschüler:innen sehen die Förderziele eines Kindes“. Zuvor 1.9: § 2.3 und § 4: Förderplan nach § 21 Abs. 7 AO-SF mit eigener Risikozeile; der Lernstand kennt die Bereiche Kognition und Emotionen. Zuvor 1.8: § 2.3 und § 4: „Lernstand & Textzeugnis“ für alle Lehrkräfte statt als Pilot; Maßnahmen: Löschung der Beobachtungen 450 Tage nach dem letzten Eintrag, in Listen höchstens das neutrale 🌱. Zuvor 1.7: § 2.3 und § 4: Lernstände und Anhang zum Zeugnis (Pilot) mit eigener Risikozeile. Zuvor 1.6: § 2.3 und § 4: Bildungsgang und Förderschwerpunkt nach AO-SF (Pilot „Lernstand & Textzeugnis“) als Art.-9-nahe Kategorie mit eigener Risikozeile aufgenommen. Zuvor 1.5: § 2.2 Rechtsform berichtigt: Auftragsverarbeiter ist Eda Cansu Basoglu als Einzelunternehmer. Zuvor 1.4: § 1 automatisierte Auswertung persönlicher Aspekte als viertes Kriterium; § 2.2/§ 2.4 Mistral AI als vorrangiger Anbieter, Scaleway Generative APIs als zweiter EU-Weg; § 2.3 Lernprofil inhaltlich beschrieben und die Zuordnung zum Schülerdatensatz offen benannt; § 2.5 Löschkonzept an den tatsächlichen Ablauf angeglichen (Erinnerung und Sperrung statt automatischer Löschung) und Aufbewahrung der Datensicherungen ergänzt; § 4 neue Risikozeile zum Lernprofil, Namensschutz-Zeile präzisiert; § 5 Fehler-Monitoring gestrichen (wird bewusst nicht eingesetzt); neu § 6a Standpunkt der betroffenen Personen (Art. 35 Abs. 9 DSGVO). Zuvor 1.3: Anschrift des Auftragsverarbeiters eingetragen; Unterauftragsverarbeiter (§ 2.2) und KI-Datenflüsse (§ 2.4) an den Schulbetrieb angepasst: KI-Verarbeitung ausschließlich in der EU über Scaleway Generative APIs und Mistral AI, kein Drittland-Ausweich; Risikozeile „Drittlandtransfer" entsprechend neu bewertet. Zuvor 1.2: Auftragsverarbeiter benannt