Vertrag zur Auftragsverarbeitung (AVV)

Zwischen

Präambel

Diese Vereinbarung regelt die Verpflichtungen der Vertragsparteien nach Art. 28 Abs. 3 DSGVO und ergänzt insoweit das Nutzungsverhältnis zwischen dem Auftraggeber und dem Auftragnehmer (im Folgenden „Auftrag“). Sie findet Anwendung auf alle Verarbeitungen personenbezogener Daten, die mit dem Auftrag in Zusammenhang stehen und bei denen der Auftragnehmer oder durch ihn beauftragte Dritte personenbezogene Daten für den Auftraggeber verarbeiten.

1. Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

1.1 Art, Zweck und Gegenstand der Verarbeitung, die Dauer, die Art der verarbeiteten personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1 und Anlage 2 zu dieser Vereinbarung.

1.2 Die vereinbarten Leistungen werden ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht. Jede Verlagerung der Leistungen oder von Teilarbeiten dazu in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Ausgenommen hiervon ist allein der in Anlage 4 ausdrücklich benannte und mit Unterzeichnung genehmigte Fall der Softwareentwicklung und Wartung; ein Zugriff auf Schülerdaten findet dabei im laufenden Betrieb nicht statt.

1.3 Die Dauer dieser Vereinbarung entspricht der Nutzungsdauer des Kontos bzw. der Lizenz.

2. Rechte und Pflichten des Auftragnehmers

2.1 Der Auftragnehmer verarbeitet Daten von betroffenen Personen ausschließlich im Rahmen der getroffenen Vereinbarungen und der dokumentierten Weisungen des Auftraggebers sowie entsprechend den datenschutzrechtlichen Regelungen, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten verpflichtet ist. In letzterem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Der Auftragnehmer verwendet die zur Verarbeitung überlassenen Daten für keine anderen Zwecke, insbesondere nicht für eigene Zwecke, und erstellt keine Kopien, die nicht in dieser Vereinbarung geregelt sind. Erfolgen Weisungen zunächst mündlich, sind sie unverzüglich in Textform zu bestätigen.

2.2 Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Ist die Rechtmäßigkeit einer Weisung zweifelhaft, ist der Auftragnehmer berechtigt, deren Durchführung auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

2.3 Der Auftragnehmer gestaltet seine innerbetriebliche Organisation so, dass sie den Anforderungen des Datenschutzes gerecht wird, und trifft geeignete technische und organisatorische Maßnahmen zum Schutz der Daten des Auftraggebers (Art. 32 Abs. 1 DSGVO). Die getroffenen Maßnahmen ergeben sich aus Anlage 3. Änderungen sind nur zulässig, wenn das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dem Auftraggeber mitgeteilt.

2.4 Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte (Art. 28 Abs. 3 lit. e DSGVO) sowie bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, etwa bei Datenschutz-Folgenabschätzungen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Praktisch stehen dafür ein Selbstbedienungs-Datenexport (Art. 15/20) und eine Selbstlöschung (Art. 17) im Konto zur Verfügung; eine Muster-Datenschutz-Folgenabschätzung ist im Trust Center abrufbar.

2.5 Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung befassten Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten, und dass diese Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung des Auftrags fort.

2.6 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten des Auftraggebers bekannt werden, und trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die betroffenen Personen.

2.7 Ansprechpartner für Weisungen und Datenschutzfragen beim Auftragnehmer ist der Geschäftsführer, erreichbar unter datenschutz@schulspace.de. Ein Wechsel wird dem Auftraggeber unverzüglich angezeigt. Ein Datenschutzbeauftragter ist nach § 38 BDSG derzeit nicht zu benennen.

2.8 Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung der vertragsgegenständlichen Daten ein, wenn der Auftraggeber dies anweist und die Weisung vom Weisungsrahmen umfasst ist, es sei denn, sie widerspricht gesetzlichen Aufbewahrungspflichten.

2.9 Nach Auftragsende sind Daten, Datenträger sowie sonstige Materialien auf Verlangen und nach Wahl des Auftraggebers entweder zurückzugeben oder zu löschen, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Pflicht zur weiteren Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die in Anlage 2 genannten automatischen Löschfristen laufen unabhängig davon und ersetzen dieses Wahlrecht nicht.

2.10 Im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person wegen Schadensersatzansprüchen nach Art. 82 DSGVO unterstützt der Auftragnehmer den Auftraggeber im Rahmen seiner Möglichkeiten bei der Abwehr der Ansprüche.

3. Rechte und Pflichten des Auftraggebers

3.1 Der Auftraggeber ist für die Einhaltung der datenschutzrechtlichen Bestimmungen verantwortlich, insbesondere für die Beurteilung der Rechtmäßigkeit der Verarbeitung nach Art. 6 Abs. 1 DSGVO, die Datenübermittlung an den Auftragnehmer sowie die Wahrung der Rechte betroffener Personen nach Art. 12 bis 22 DSGVO („Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO).

3.2 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Bestimmungen feststellt.

3.3 Im Falle einer Inanspruchnahme des Auftragnehmers durch eine betroffene Person nach Art. 82 DSGVO unterstützt der Auftraggeber den Auftragnehmer im Rahmen seiner Möglichkeiten bei der Abwehr der Ansprüche.

3.4 Der Auftraggeber benennt dem Auftragnehmer weisungsberechtigte Personen sowie gegebenenfalls seinen Datenschutzbeauftragten. Ein Wechsel ist unverzüglich anzuzeigen.

3.5 Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung besteht auch nach Beendigung der Vereinbarung fort. Die Befugnisse der Aufsichtsbehörden, insbesondere nach Art. 58 Abs. 1 DSGVO, bleiben unberührt.

4. Anfragen betroffener Personen

Macht eine betroffene Person ihre Rechte nach Art. 15 ff. DSGVO gegenüber dem Auftragnehmer geltend, verweist dieser die betroffene Person an den Auftraggeber, sofern eine Zuordnung auf Basis der Angaben der betroffenen Person möglich ist. Im Übrigen unterstützt der Auftragnehmer den Auftraggeber gemäß Nr. 2.4 dieser Vereinbarung.

5. Kontrollrechte des Auftraggebers

5.1 Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Als Nachweise stehen dauerhaft öffentlich zur Verfügung: das Verzeichnis der technischen und organisatorischen Maßnahmen, das Löschkonzept, die vollständige Liste der Subunternehmer sowie eine Muster-Datenschutz-Folgenabschätzung (schulspace.de/datenschutz).

5.2 Sofern einschlägig, informiert der Auftragnehmer den Auftraggeber unverzüglich über den Ausschluss von genehmigten Verhaltensregeln nach Art. 41 Abs. 4 DSGVO und den Widerruf einer Zertifizierung nach Art. 42 Abs. 7 DSGVO.

5.3 Der Auftraggeber ist berechtigt, sich vor Beginn und während der Verarbeitung von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen sowie der in dieser Vereinbarung festgelegten Verpflichtungen zu überzeugen. Die Vorlage von Nachweisen nach Nr. 5.1 schließt dies nicht aus.

5.4 Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer werden nach vorheriger Anmeldung unter Berücksichtigung einer angemessenen Vorlauffrist zu den üblichen Geschäftszeiten durchgeführt. Der Auftragnehmer kann die Inspektion von der Unterzeichnung einer Verschwiegenheitserklärung abhängig machen, wenn dabei Kenntnis von Daten erlangt werden kann, die er im Auftrag eines anderen Verantwortlichen verarbeitet. Der Auftraggeber stellt sicher, dass ein von ihm beauftragter Prüfer nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht.

6. Subunternehmer (weitere Auftragsverarbeiter)

6.1 Ein Subunternehmerverhältnis liegt vor, wenn der Auftragnehmer weitere Auftragnehmer mit der ganzen oder einer Teilleistung der vereinbarten Leistung beauftragt. Der Auftragnehmer trägt bei der Auswahl dafür Sorge, dass diese hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Nicht als Subunternehmerverhältnis gelten Nebenleistungen wie Telekommunikation, Wartung und Benutzerservice ohne Zugriff auf personenbezogene Daten, Reinigung und Prüfung.

6.2 Der Vertrag mit dem Subunternehmer wird in Text- oder elektronischer Form abgefasst (Art. 28 Abs. 4 und Abs. 9 DSGVO). Dem Subunternehmer werden dieselben datenschutzrechtlichen Pflichten aus dieser Vereinbarung wirksam auferlegt. Insbesondere ist der Auftraggeber berechtigt, im Bedarfsfall angemessene Überprüfungen und Inspektionen – auch vor Ort – bei Subunternehmern durchzuführen oder durchführen zu lassen.

6.3 Der Auftragnehmer haftet gegenüber dem Auftraggeber dafür, dass der Subunternehmer den ihm auferlegten Datenschutzpflichten nachkommt.

6.4 Die bei Vertragsbeginn bestehenden Subunternehmer sind in Anlage 4 aufgeführt. Sie gelten mit Unterzeichnung als von Beginn des Auftrags an genehmigt.

6.5 Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 DSGVO in Anspruch zu nehmen. Der Auftragnehmer informiert den Auftraggeber frühzeitig über beabsichtigte Hinzuziehungen oder Ersetzungen. Der Auftraggeber kann hiergegen innerhalb eines Monats nach Zugang der Information in Textform Einspruch erheben. Kann keine einvernehmliche Lösung erzielt werden, erfolgt eine Einschränkung oder Beendigung der Auftragsverarbeitung. Die Information erfolgt per E-Mail an die im Konto hinterlegte Adresse sowie durch Aktualisierung der öffentlichen Subunternehmerliste mit Datum.

6.6 Eine Beauftragung von Subunternehmern in Drittstaaten darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und der Auftraggeber vorab zustimmt. Der in Anlage 4 benannte Fall der Softwareentwicklung und Wartung ist mit Unterzeichnung genehmigt.

7. Haftung und Schadensersatz

Die Vertragsparteien haften entsprechend den einschlägigen gesetzlichen Bestimmungen bzw. gegenüber betroffenen Personen gemäß Art. 82 DSGVO.

8. Schlussbestimmungen

8.1 Diese Vereinbarung beginnt mit der Nutzung von Schulspace durch den Auftraggeber und endet mit der Beendigung des Nutzungsverhältnisses bzw. der Löschung des Kontos. Sie kann vom Auftraggeber jederzeit durch Löschung des Kontos beendet werden; eine gesonderte Kündigungsfrist besteht nicht. Nr. 2.9 (Löschung oder Rückgabe) bleibt unberührt.

8.2 Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn dessen Daten durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, und weist alle Beteiligten darauf hin, dass das Eigentum an den Daten ausschließlich beim Auftraggeber liegt.

8.3 Änderungen und Ergänzungen dieser Vereinbarung bedürfen einer Vereinbarung in Text- oder elektronischer Form mit ausdrücklichem Hinweis darauf, dass es sich um eine Änderung bzw. Ergänzung handelt.

8.4 Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt. Die Parteien vereinbaren in diesem Fall einvernehmlich eine Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt. Gleiches gilt für Regelungslücken.

---

Die folgenden Anlagen sind Bestandteil dieser Vereinbarung (Nr. 1.1, 2.3 und 6.4).

Anlage 1 – Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist die Bereitstellung der Plattform Schulspace durch den Auftragnehmer, insbesondere:

• das Hosting von digitalen Lerninhalten (HTML-Webseiten) und Mediendaten auf Servern des Auftragnehmers,
• die Verarbeitung personenbezogener Daten von Schülerinnen und Schülern im Rahmen der Leistungsnachweis-Funktion (Assessments),
• der Betrieb interaktiver Unterrichtswerkzeuge (Live-Quiz, Kartenabfrage, Meinungsbild, Pinnwand/Medien-Board, Klassentafel mit Klassenlisten), an denen Schülerinnen und Schüler anonym bzw. mit einer selbst gewählten Kennung teilnehmen,
• der Betrieb des Workshop-/Klassenzimmer-Modus mit temporären, pseudonymen Schüler-Zugängen (Platznummer + PIN),
• der Betrieb der Lernstand-Funktion (Bearbeitungs-Nachweis in Lerninhalten) mit pseudonymen Schüler-Zugängen (Platznummer + PIN),
• der Betrieb eines vom Auftraggeber selbst angelegten Schul-Chatbots, optional mit KI-gestütztem Fallback.

Die Dauer entspricht der Nutzungsdauer des Accounts.

Anlage 2 – Art der Daten, betroffene Personen und Speicherdauer

Verarbeitet werden:

• Technische Verbindungsdaten: IP-Adressen und Logfiles der Webseitenbesucher.
• Inhaltsdaten: HTML-Dateien und Mediendaten, die der Auftraggeber hochlädt.
• Schülerdaten (Assessment-Funktion): Kennung bzw. ggf. Klarname, Klasse, Antworten auf Prüfungsfragen, Bearbeitungsdauer sowie Verhaltensdaten (Fokus-Protokoll: Zeitstempel von Fensterwechseln während der Prüfung). Das System empfiehlt die Verwendung einer Kennung statt des Klarnamens; technisch lässt sich die Eingabe eines Klarnamens jedoch nicht ausschließen.
• Schülerdaten (Live-Quiz-Funktion): der von der Schülerin bzw. dem Schüler beim Beitritt eingegebene Anzeigename (Kennung/Spitzname, frei wählbar), gegebene Antworten, erreichte Punktzahl und Antwortzeiten.
• Schülerbeiträge (Kartenabfrage, Meinungsbild, Pinnwand): anonym eingereichte Text-/Wortkarten-Beiträge und Abstimmungswerte ohne Namens- und IP-Zuordnung; bei der Pinnwand (Medien-Board) zusätzlich ein frei wählbarer Anzeigename je Karte. Bei der Meinungsbild-Vorlage „Peer-Feedback“ sowie in Klassenlisten der Klassentafel können vom Auftraggeber selbst angelegte Personen-/Kürzellisten verarbeitet werden (Empfehlung: Pseudonyme statt Klarnamen).
• Schülerdaten (Workshop-/Klassenzimmer-Modus): technische Platznummer, optionales Pseudonym-Kürzel, PIN-Prüfwert (gehasht), die von den Schülerinnen und Schülern selbst erstellten Inhalte sowie im Klassenzimmer-Modus der Vermerk, welche verteilten Materialien geöffnet wurden (nur Zeitpunkt des ersten Öffnens).
• Schülerdaten (Lernstand-Funktion): technische Platznummer, optionales Pseudonym-Kürzel, PIN-Prüfwert (gehasht) sowie je von der Lehrkraft markierter Stelle der Bearbeitungsstatus (Zeitpunkte des Erreichens, Zähler, ggf. eine im Inhalt angezeigte Punktzahl); Textfeld-Inhalte nur, wenn die Lehrkraft die Speicherung für den Auftrag aktiviert hat (Standard: nur Status „ausgefüllt“). Die Zuordnung der Platznummern zu einzelnen Schülerinnen und Schülern verbleibt beim Auftraggeber (Zugangsblatt).

Betroffene Personen: Lehrkräfte (Kontoinhaber), Schülerinnen und Schüler (Teilnehmer an Leistungsnachweisen, interaktiven Unterrichtswerkzeugen und Workshops) sowie Nutzerinnen und Nutzer eines öffentlichen Schul-Chatbots.

Speicherdauer:

• Assessment-Abgaben: werden automatisch 14 Tage nach Eingang gelöscht. Assessment-Konfigurationen (Fragen und Einstellungen, ohne Schülerantworten) bleiben bis zur Accountlöschung gespeichert.
• Live-Quiz-Daten: Anzeigenamen, Antworten und Punktstände einer Live-Quiz-Session werden automatisch 14 Tage nach der Session gelöscht; eine frühere Löschung ist der Lehrkraft jederzeit möglich. Die Quiz-Definition (Fragen und Einstellungen, ohne Schülerdaten) bleibt bis zur Accountlöschung gespeichert.
• Kartenabfragen, Meinungsbilder, Klassentafeln und Klassenlisten: werden gelöscht, wenn die Lehrkraft sie löscht, das Konto gelöscht wird oder sie länger als 2 Jahre nicht mehr genutzt wurden (automatische Inaktivitätslöschung). Pinnwand-Boards (Medien-Boards) bleiben bis zur Löschung durch die Lehrkraft bzw. Kontolöschung gespeichert.
• Workshop-Daten: alle Zugänge, PIN-Prüfwerte, Schüler-Inhalte und Öffnungs-Vermerke eines Workshops werden mit Ablauf des von der Lehrkraft festgelegten Zeitraums automatisch und unwiderruflich gelöscht.
• Lernstand-Daten: alle Plätze, PIN-Prüfwerte und Bearbeitungsdaten eines Lernstand-Auftrags werden mit Ablauf der von der Lehrkraft festgelegten Laufzeit (Standard 30, höchstens 90 Tage) automatisch und unwiderruflich gelöscht; eine frühere Löschung ist der Lehrkraft jederzeit möglich.

Anlage 3 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Serverstandort: Deutschland (Hetzner Online GmbH, Nürnberg/Falkenstein).
• Verschlüsselung: SSL/TLS bei Übertragung.
• Zugriffskontrolle: Passwortgeschützte Accounts, optionale Zwei-Faktor-Authentifizierung (2FA-Geheimnisse verschlüsselt gespeichert); Schülerdaten sind nur für die jeweilige Lehrkraft einsehbar. Hiervon ausgenommen ist ein anlassbezogener Zugriff des Auftragnehmers zur Missbrauchs- und Jugendschutz-Moderation (z. B. auf Meldung hin) sowie zur technischen Fehlerbehebung, jeweils beschränkt auf das Erforderliche und protokolliert; ein anlassloses Mitlesen findet nicht statt. Workshop-PINs werden nur als Prüfwert (HMAC) gespeichert.
• Anwendungssicherheit: Strenge Content-Security-Policy, CSRF-Schutz, Rate-Limiting; von Nutzern hochgeladene Inhalte werden auf einer separaten, isolierten Domain ausgeliefert.
• Datenschutz-Filter: Automatisierte Prüfung hochgeladener Inhalte auf unerlaubte Drittanbieter-Tracker.
• Automatische Löschung: Abgaben aus der Leistungsnachweis-Funktion sowie Schülerdaten aus Live-Quiz-Sessions (Anzeigenamen, Antworten, Punkte) werden serverseitig automatisch nach 14 Tagen gelöscht; abgelaufene Workshops samt Schüler-Zugängen und -Inhalten bei Ablauf; länger als 2 Jahre ungenutzte Kartenabfragen, Meinungsbilder, Klassentafeln und Klassenlisten per Inaktivitätslöschung.
• Server-seitiges Scoring: Die Auswertung der Antworten erfolgt ausschließlich auf dem Server; Lösungen werden nicht an den Client übertragen.

Anlage 4 – Genehmigte Subunternehmer (weitere Auftragsverarbeiter)

Der Auftraggeber stimmt der Beauftragung folgender Unterauftragnehmer zu:

• Hetzner Online GmbH
  Industriestr. 25, 91710 Gunzenhausen, Deutschland
  Bereitstellung der Server-Infrastruktur.
• INWX GmbH
  Prinzessinnenstr. 30, 10969 Berlin, Deutschland
  Betrieb des E-Mail-Postfachs, über das Ergebnisbenachrichtigungen per E-Mail an die Lehrkraft versendet werden, sofern diese Funktion aktiviert ist. Die E-Mail enthält Name, Klasse und Prüfungsergebnis der Schülerin bzw. des Schülers. Der Versand erfolgt nur, wenn die Lehrkraft die Benachrichtigungs-Option ausdrücklich aktiviert hat.
• Open Hippo GmbH
  Werner-von-Siemens-Str. 6, 86159 Augsburg, Deutschland
  Betrieb von KI-Funktionen in einem Rechenzentrum in Deutschland. An Open Hippo werden übermittelt:
  • beim KI-Generator für Leistungskontrollen und Live-Quizze: die von der Lehrkraft eingegebenen Angaben (Thema, Fach, Zielgruppe, Schulart sowie optional ein selbst eingegebener Lehrtext als Grundlage);
  • beim KI-Dokumentenimport des Schul-Chatbots: die vom Auftraggeber hochgeladenen Dokumentinhalte (PDF) zur spaltentreuen Texterkennung (OCR), sofern diese Funktion aktiviert ist.

  Die Verarbeitung findet ausschließlich in Deutschland statt; eine Übermittlung in ein Drittland findet nicht statt. Die Eingaben werden nicht zum Training von KI-Modellen verwendet. Datenschutzinformationen: https://openhippo.io

• Mistral AI SAS
  15 rue des Halles, 75001 Paris, Frankreich (EU)
  Betrieb von KI-Funktionen innerhalb der Europäischen Union. An Mistral werden übermittelt:
  • beim KI-Assistenten (Support-Chatbot): die freiwillig eingegebenen Chat-Nachrichten der Lehrkraft sowie ein anonymer Seitenkontext (Abo-Tier, aktive Seite);
  • beim Schul-Chatbot mit KI-Fallback: die frei eingegebene Frage der jeweiligen Nutzerin bzw. des Nutzers sowie – bei Nutzung des KI-Dokumentenimports – die vom Auftraggeber hochgeladenen Dokumentinhalte zur Strukturierung in Chatbot-Einträge;
  • beim Prompt-Feedback im Vibe-Coding-Selbstlernkurs: der von der Lehrkraft zur Bewertung eingegebene Übungs-Prompt.

  Die Verarbeitung findet innerhalb der EU (Frankreich) statt; eine Übermittlung in ein Drittland findet nicht statt. Mistral verwendet die Eingaben nicht zum Training von KI-Modellen. Datenschutzinformationen: https://mistral.ai/terms

• Amazon Web Services EMEA SARL
  38 Avenue John F. Kennedy, L-1855 Luxemburg
  Automatischer Ausfall-Ersatz (Fallback): Fällt einer der vorstehenden KI-Dienste (Open Hippo, Mistral) vorübergehend aus, werden die jeweiligen Eingaben ersatzweise über Amazon Bedrock verarbeitet, damit die Funktion nicht ausfällt. Betroffen sein können:
  • beim KI-Assistenten (Support-Chatbot): die freiwillig eingegebenen Chat-Nachrichten der Lehrkraft sowie ein anonymer Seitenkontext (Abo-Tier, aktive Seite);
  • beim KI-Generator für Leistungskontrollen und Live-Quizze: die von der Lehrkraft eingegebenen Angaben (Thema, Fach, Zielgruppe, Schulart sowie optional ein selbst eingegebener Lehrtext als Grundlage);
  • beim Schul-Chatbot mit KI-Fallback „Claude“: die frei eingegebene Frage der jeweiligen Nutzerin bzw. des Nutzers sowie – bei Nutzung des KI-Dokumentenimports – die vom Auftraggeber hochgeladenen Dokumentinhalte (PDF/DOCX/XLSX) zur Erstellung von Chatbot-Einträgen.

  Es werden dabei keine Klarnamen, E-Mail-Adressen oder Nutzer-IDs aus dem Account und keine Schülerdaten aus der Leistungsnachweis- oder Live-Quiz-Funktion übermittelt. Bei einem öffentlich zugänglichen Schul-Chatbot mit KI-Fallback kann der frei eingegebene Fragetext einer Nutzerin bzw. eines Nutzers (z. B. einer Schülerin oder eines Schülers) personenbezogene Angaben enthalten, sofern diese selbst eingegeben werden. Die Eingaben werden nicht zum Training von KI-Modellen verwendet.

  Die Verarbeitung findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt (EU-Inferenzprofil: Frankfurt, Irland, Paris, Stockholm, Mailand, Spanien). Eine Übermittlung in ein Drittland findet nicht statt. Datenschutzinformationen: https://aws.amazon.com/de/compliance/gdpr-center/

Diese Ausfertigung entspricht Fassung 3 des Schulspace-AV-Vertrags, gültig ab 18.08.2026. Die jeweils aktuelle Fassung ist unter schulspace.de/av-vertrag abrufbar.