Datenschutz-Folgenabschätzung (DSFA)

gemäß Art. 35 DSGVO – für den Einsatz der Lernplattform SchlauStart an Schulen

Hinweis zur Verwendung: Verantwortlicher für die Datenverarbeitung im Unterricht ist die Schule. Diese DSFA-Dokumentation wird vom Anbieter gemäß Art. 28 Abs. 3 lit. f DSGVO als Unterstützung bereitgestellt. Die Schule kann sie übernehmen, ergänzen (schulspezifische Angaben in § 8) und durch ihre Schulleitung sowie den behördlichen Datenschutzbeauftragten prüfen und freigeben lassen. Dieses Dokument ersetzt keine Rechtsberatung.

§ 1 Anlass und Erforderlichkeit der DSFA

Eine DSFA ist durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Für SchlauStart sprechen folgende Kriterien für die Durchführung:

Betroffene sind Kinder (schutzbedürftige Personengruppe, Erwägungsgrund 38 DSGVO).
Einsatz innovativer Technologie: KI-gestützte Aufgabenerstellung und ein KI-Lernassistent (Chatbot) für Schülerinnen und Schüler.
Möglicher Bezug zu besonderen Datenkategorien (Art. 9 DSGVO): Der Lernassistent erkennt, wenn Kinder von sich aus belastende Gefühle oder Krisen äußern, und informiert die zuständige Lehrkraft (Kindeswohl-Schutzfunktion).

Die Kombination dieser Kriterien (vgl. auch die Muss-Liste der DSK) führt dazu, dass diese DSFA vorsorglich durchgeführt wird.

§ 2 Systematische Beschreibung der Verarbeitung (Art. 35 Abs. 7 lit. a)

2.1 Zweck

SchlauStart ist eine Lernplattform, mit der Lehrkräfte Lern-Quizze und Unterrichtsmaterial erstellen und mit ihren Klassen nutzen. Optionale Werkzeuge: Digitale Pinnwand, Digitale Tafel, Gruppentische, Reflexion/Exit-Ticket sowie ein kindersicherer KI-Lernassistent.

2.2 Beteiligte und Rollen

Rolle	Stelle
Verantwortlicher	Schule / Lehrkraft (Schulgesetz NRW, VO-DV I)
Auftragsverarbeiter	SchlauStart UG (haftungsbeschränkt) i. G. – Anschrift in Bearbeitung – AVV liegt vor
Unterauftragsverarbeiter	Render (Hosting, Frankfurt), Neon (Datenbank, Frankfurt), Scaleway (Datei-Speicher, Paris), Google/Gemini, Mistral AI (EU), Groq, Cerebras (KI-Dienste), Google OAuth / IServ / Moodle-LTI (Login) – vollständige Liste im AVV § 6

2.3 Datenkategorien und Betroffene

Betroffene	Daten	Besonderheit
Lehrkräfte	Name, E-Mail, Passwort (Hash), Nutzungsdaten	–
Schülerinnen/Schüler	Vorname/Pseudonym, Klasse, Quiz-Ergebnisse, ggf. Gruppen-Bewertungen, Reflexions-Selbsteinschätzungen	Kinder; Pseudonym-Empfehlung
Kinder (Lernassistent)	Anonymes Geräte-Token, Chat-Inhalte, pädagogisches Lernprofil	Kein Login; Inhalte können von Kindern freiwillig geäußerte Belastungen enthalten (Art.-9-Nähe)

2.4 Datenflüsse zu KI-Diensten

Aufgabenerstellung (Lehrkraft): Nur fachliche Texte der Lehrkraft. Eine serverseitige Klassenlisten-Erkennung blockiert Material mit mutmaßlichen Schülernamen/Kontaktdaten VOR dem KI-Aufruf (Bestätigungspflicht bei Verdacht).
Lernassistent (Kind): Chat-Texte gehen vorrangig an Mistral AI (EU/Frankreich). Nur bei Ausfall: Gemini/Groq. Foto-Auswertung über Gemini. Es werden keine Namens-, Klassen- oder Ergebnisdaten mitgesendet.
Krisenfall: Bei erkannter akuter Krise wird keine KI für die Antwort verwendet; das Kind erhält eine feste Schutzantwort (Hinweis auf Vertrauenspersonen, „Nummer gegen Kummer“ 116 111). Die kurze Zusammenfassung für die Lehrkraft wird ausschließlich in der EU (Mistral) erstellt.

2.5 Speicherung und Löschung

Speicherung ausschließlich in der EU (Frankfurt/Paris). Schülerdaten werden spätestens ein Jahr nach Anlegen automatisch gelöscht; manuelle Löschung („Schuljahr beenden“) jederzeit möglich. Details: Datenschutzerklärung § 8.

§ 3 Notwendigkeit und Verhältnismäßigkeit (Art. 35 Abs. 7 lit. b)

Zweckbindung: Verarbeitung ausschließlich für Unterrichtszwecke; keine Werbung, kein Verkauf von Daten, kein Tracking.
Datenminimierung: Lernassistent ohne Login (anonymes Token); Pseudonym-Empfehlung für Schülerlisten; nur der Vorname darf im Chat erfragt werden; KI-Aufrufe ohne Identifikationsdaten.
Mildere Mittel geprüft: Ein Verzicht auf die Krisen-Erkennung wurde geprüft und verworfen: Das Schutzinteresse des Kindes (Art. 6 Abs. 1 lit. d, Art. 9 Abs. 2 lit. c DSGVO) überwiegt; die Funktion ist datensparsam gestaltet (nur Hinweis + kurze sachliche Zusammenfassung an die zuständige Lehrkraft, kein automatischer Voll-Zugriff auf den Verlauf).
Keine automatisierte Entscheidung i. S. d. Art. 22 DSGVO: Der Krisen-Hinweis führt zu keiner rechtlichen Folge; die Bewertung und Reaktion liegt vollständig bei der Lehrkraft (Human in the Loop).

§ 4 Risikoanalyse (Art. 35 Abs. 7 lit. c)

Risiko	Eintritts- wahrsch.	Schwere	Maßnahmen (Auswahl)	Restrisiko
Unbefugter Zugriff auf Chat-Verläufe von Kindern	gering	hoch	Kryptografisch zufällige Geräte-Token (Mindestlänge serverseitig erzwungen), klassen-/lehrkraftbezogene Trennung, TLS, Session-Schutz	gering
Schülernamen gelangen in KI-Dienste	gering	mittel–hoch	Serverseitige Klassenlisten-Erkennung mit Blockierung vor jedem KI-Aufruf; vertragliches Verbot; Schulung/Hinweise an Lehrkräfte	gering
Fehleinschätzung der Krisen-Erkennung (falsch negativ)	mittel	hoch	Zweistufig: deterministische Stichwortliste + semantische KI-Prüfung (kann nur verschärfen, nie abschwächen); feste Schutzantwort mit 116 111 auch bei Systemfehlern	mittel → wird durch pädagogische Begleitung der Schule aufgefangen
Fehleinschätzung (falsch positiv, unnötiger Lehrkraft-Hinweis)	mittel	gering	Datensparsame Meldung (nur Hinweis + kurze Zusammenfassung, keine Diagnose); Bewertung durch die Lehrkraft	gering
Drittlandtransfer (USA) bei KI-Ausweichdiensten	gering	mittel	EU-first-Architektur (Mistral primär für Kinder-Chats); US-Dienste nur als Fallback und ohne Identifikationsdaten; SCC / EU-US DPF	gering
Datenverlust	gering	mittel	Managed-DB mit Point-in-Time-Restore (Neon), zusätzliche pg_dump-Sicherungen inkl. getestetem Restore	gering
Vertraulichkeitsbruch beim Kindeswohl-Hinweis	gering	mittel	Hinweis nur an die zuständige Lehrkraft; Audit-Log; keine Weitergabe an Dritte	gering

§ 5 Abhilfemaßnahmen / TOMs (Art. 35 Abs. 7 lit. d)

Die technischen und organisatorischen Maßnahmen sind im AVV § 5 dokumentiert. Hervorzuheben: TLS-Verschlüsselung, Passwort-Hashing, signierte Token (HMAC-SHA256), Klassenlisten-Erkennung vor KI-Aufrufen, kindersichere System-Prompts mit Jailbreak-Resistenz, deterministische Krisen-Schutzantwort ohne KI, EU-Verarbeitung sensibler Zusammenfassungen, Audit-Log, automatische Löschfristen, Fehler-Monitoring und Backup-Konzept mit Restore-Test.

Ergänzend (Konto- & Verwaltungsebene): rollenbasierter Verwaltungszugriff nach dem Prinzip der geringsten Rechte (Super-Administrator mit vollem Zugriff; benannte Administratoren nur mit einzeln freigegebenen Bereichen), Protokollierung von Aufrufen und Downloads der digitalen Personalakte (E-Akte), Löschsperre für nachweisrelevante Dokumente während der Aufbewahrungsfrist sowie automatisch erzeugte, per Prüfsumme (SHA-256) signierte Einwilligungsnachweise (Art. 7 Abs. 1 DSGVO).

Ergänzend (interne Aufgabenbearbeitung / Ticket-System): Der Zugriff auf gemeldete Support- und Fehlermeldungen ist von den Administrator-Rechten entkoppelt und wird über eigene, einzeln freigebbare Ticket-Funktionen gesteuert (eigene Tickets bearbeiten · verteilen/zuweisen · internen Verlauf einsehen). Freigaben erfolgen je Person oder als Abteilungs-Standard, wobei die individuelle Einstellung Vorrang hat. Lehrkräfte ohne Team-Zugehörigkeit haben keinen Zugriff. Jede Bearbeitung wird mit Person und Zeitpunkt protokolliert. Wirkung: Mitarbeitende können Meldungen bearbeiten, ohne einen Verwaltungszugang zu erhalten – der Kreis der Personen mit Zugriff auf Verwaltungsdaten wird dadurch kleiner statt größer (Art. 32 DSGVO).

§ 6 Ergebnis

Nach Umsetzung der beschriebenen Maßnahmen verbleibt kein hohes Restrisiko für die Rechte und Freiheiten der Betroffenen. Eine Vorabkonsultation der Aufsichtsbehörde (Art. 36 DSGVO) ist nach dieser Einschätzung nicht erforderlich. Diese Einschätzung ist durch den behördlichen Datenschutzbeauftragten der Schule zu bestätigen.

§ 7 Überprüfung

Diese DSFA wird überprüft und ggf. aktualisiert: (a) jährlich, (b) bei wesentlichen Änderungen der Plattform (neue KI-Dienste, neue Datenkategorien, neue Unterauftragsverarbeiter), (c) bei relevanten Sicherheitsvorfällen.

§ 8 Schulspezifische Angaben und Freigabe

[VON DER SCHULE AUSZUFÜLLEN: Name der Schule, geplanter Einsatzumfang (Klassen/Fächer), Einbindung des behördlichen Datenschutzbeauftragten, ggf. ergänzende schulische Maßnahmen]

Ort, Datum – Schulleitung

Ort, Datum – Behördl. Datenschutzbeauftragte/r

Ort, Datum – Anbieter (SchlauStart)

Stand: 3. August 2026 · Dokumentversion: 1.2 (DSFA) – Auftragsverarbeiter auf die SchlauStart UG (haftungsbeschränkt) i. G. umgestellt; zuvor 1.1, ergänzt: rollenbasierter Verwaltungszugriff, E-Akte-Protokollierung, signierte Einwilligungsnachweise