Compliance und DSGVO

Datenschutz-Unterlagen für Schulen und Aufsichtsbehörden

Hier bündeln wir die Datenschutz- und Compliance-Unterlagen für Schulen, ihre Datenschutzbeauftragten und Aufsichtsbehörden. SchoolUP verarbeitet Schul- und Schülerdaten im Auftrag der Schule (Auftragsverarbeitung nach Art. 28 DSGVO); die Schule ist datenschutzrechtlich verantwortlich. Die folgenden Dokumente unterstützen die Schule dabei, ihren Pflichten nachzukommen, und decken den tatsächlichen technischen Stand von SchoolUP ab.

Wie SchoolUP arbeitet erklärt denselben Sachverhalt ohne Vertragssprache, mit Ablaufbildern: woher der Tutor sein Wissen nimmt, was wohin geht, was gespeichert wird und wo es an Grenzen stößt. Für alle, die es genau wissen wollen, bevor sie etwas unterschreiben.

Dokumente

• Wie SchoolUP arbeitet
  Die Erklärung in normaler Sprache, mit Ablaufbildern. Kein Vertrag, keine Unterschrift; die verbindlichen Fassungen stehen darunter.
• Schulvertrag (Nutzungsvertrag) PDF
  Der Hauptvertrag zwischen der Schule beziehungsweise ihrem Träger und SchoolUP: was bereitgestellt wird, wer wofür einsteht, was er kostet und wie er endet. Hier fängt eine Schule an. Der Auftragsverarbeitungsvertrag ist seine Anlage 1 und ohne ihn nicht wirksam.
• Auftragsverarbeitungsvertrag (AVV) · Art. 28 DSGVO PDF
  Anlage 1 zum Schulvertrag, zwischen Schule (Verantwortliche) und SchoolUP (Auftragsverarbeiter): Gegenstand, Weisungsrecht, Vertraulichkeit, Unterauftragsverarbeiter (STRATO, Mistral), Betroffenenrechte, Meldepflichten, Audit, Löschung, Haftung.
• Verzeichnis von Verarbeitungstätigkeiten (VVT) · Art. 30 DSGVO PDF
  Übersicht aller Verarbeitungstätigkeiten mit Zweck, Rechtsgrundlage, betroffenen Personen, Datenkategorien, Empfängern, Drittland und Löschfristen.
• Technisch-organisatorische Maßnahmen (TOM) · Art. 32 DSGVO PDF
  Die tatsächlich umgesetzten Sicherheitsmaßnahmen, gegliedert nach den Gewährleistungszielen des Standard-Datenschutzmodells; geplante Maßnahmen sind ehrlich als solche gekennzeichnet.
• Löschkonzept PDF
  Löschregeln, Fristen und Auslöser je Datenart, von der sofortigen Token-Löschung bei Widerruf bis zur 3-Jahres-Frist für Einwilligungsnachweise und der Rotation der Server-Protokolle nach Umfang.
• Datenschutz-Folgenabschätzung · Art. 35 DSGVO PDF
  Teil A ist die Schwellwertanalyse: begründete Prüfung, ob eine DSFA nötig ist. Ergebnis: ja, wegen Minderjähriger und KI. Teil B ist die Folgenabschätzung selbst, nach dem Aufbau des Art. 35 Abs. 7: Beschreibung der Verarbeitung mit Datenflüssen und Fristen, Notwendigkeit und Verhältnismäßigkeit, zwölf bewertete Risiken vor und nach den Maßnahmen, Bewertung des Restrisikos und die Felder, die die Schule ergänzt und zeichnet. Die offenen Punkte stehen mit Datum drin, statt zu fehlen.
• Erklärung zur Barrierefreiheit · § 12b BGG PDF
  Geprüfter Stand gegen EN 301 549 und WCAG 2.1 AA, mit gemessenen Zahlen, mit Mängelliste und mit dem Hinweis auf die Schlichtungsstelle. Eine Schule kann ihre eigene Erklärung darauf stützen, statt zu raten. Selbstbewertung, keine Prüfung durch eine unabhängige Stelle, und das steht an jeder Stelle dabei.

Kurz zusammengefasst

• Rollen: Schule = Verantwortliche, SchoolUP = Auftragsverarbeiter, STRATO & Mistral AI = Unterauftragsverarbeiter.
• Ort der Verarbeitung: ausschließlich EU (Server/Datenbank in Deutschland bei STRATO, KI bei Mistral AI in Frankreich). Keine Drittlandübermittlung.
• Verschlüsselung: TLS im Transport; AES-256-GCM für Moodle-Token und Unterschriften; scrypt-Hashes für Passwörter.
• Kein Tracking, keine Werbe-Cookies, kein Datenverkauf, keine automatisierte Entscheidung (Art. 22). Seit dem 14. August 2026 auch: kein gespeicherter Lernstand. Ergebnisse von Übungen werden nicht gespeichert, und der Dienst ist nach der Einordnung in Abschnitt B9 der Folgenabschätzung kein Hochrisiko-KI-System nach Anhang III Nr. 3 der KI-Verordnung.
• Selbstauskunft ohne Antrag: Jede Person sieht unter „Meine Daten“, was über sie gespeichert ist, samt dem Wortlaut, in den sie eingewilligt hat, und kann es als Datei sichern (Art. 15, Art. 20).

Für die allgemeinverständliche Fassung siehe unsere Datenschutzerklärung. Fragen? kontakt@school-up.de.