← Zurück zur Startseite

Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Stand: 30. August 2026

⇓ Als PDF herunterladen

Dieses Verzeichnis ist als Muster für die Schule als Verantwortliche (Art. 30 Abs. 1 DSGVO) ausgestaltet und schulindividuell zu vervollständigen (Angaben zu Verantwortlicher, behördlicher Datenschutzbeauftragter, tatsächlich aktivierten Kursen). Der Auftragsverarbeiter SchoolUP führt daneben ein eigenes Verzeichnis nach Art. 30 Abs. 2 DSGVO.

Angaben zur/zum Verantwortlichen

Übersicht der Verarbeitungstätigkeiten

VerarbeitungstätigkeitZweckRechtsgrundlageKategorien betroffener PersonenDatenkategorienEmpfängerDrittlandLöschfristTOM-Verweis
(a) Authentifizierung / Zugang Sichere Anmeldung berechtigter nutzende Personen über Moodle (LogineoNRW); Aufbau autorisierter Sitzungen Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); bei unter 16-Jährigen zusätzlich Art. 8 DSGVO (Einwilligung/Zustimmung der Erziehungsberechtigten) Schülerinnen und Schüler, Lehrkräfte Moodle-Benutzername, Klarname; AES-256-GCM-verschlüsselter Moodle-Webservice-Token, der im signierten Sitzungsmerkmal auf dem Endgerät liegt und bei jedem Login erneuert wird; JWT-Sitzung im localStorage; Moodle-Passwort wird nicht gespeichert SchoolUP (Auftragsverarbeiter); STRATO AG (Hosting); das Moodle der Schule (Prüfung der Zugangsdaten) Nein Token: kein Vorhalten über die Sitzung hinaus, bei jeder Anmeldung erneuert, mit dem Widerruf wirkungslos, weil bei jeder Anfrage geprüft wird, ob die Einwilligung noch gilt; Identitätsdaten bis Widerruf bzw. Vertragsende, danach nach Maßgabe des Nachweisdatensatzes (c) TOM, insb. Verschlüsselung, Zugriffs-/Trennungskontrolle
(b) Kursmaterial-OCR / verlinkte Webseiten / Themenerzeugung Texterkennung der Kursmaterialien, Abruf und Auswertung der im Kurs verlinkten Webseiten sowie Erzeugung von Lernthemen. Ausgelöst wird der Vorgang durch die Freigabe eines Kurses, durch ein erneutes Aufbereiten desselben Kurses und dadurch, dass eine Person den Kurs öffnet und dabei neues oder geändertes Material vorgefunden wird. Die Frage an den Tutor selbst löst ihn nicht aus. Abgerufen werden ausschließlich die Adressen, die im Kurs selbst als Link stehen; weiterführenden Links wird nicht gefolgt, und Video- sowie Übungsplattformen sind vom Abruf ausgenommen. Der Abruf enthält keine personenbezogenen Daten der Betroffenen; er trägt die Programmkennung SchoolUP-Ingest mit Verweis auf die Rechtstexte. Der maschinenlesbare Nutzungsvorbehalt nach § 44b Abs. 3 UrhG wird ausgewertet (robots.txt vor dem Abruf, X-Robots-Tag, noai/noindex und tdm-reservation nach dem Abruf und vor jeder Verwertung); liegt er vor, wird nichts gespeichert. Seit dem 16.08.2026 wird derselbe Vorgang zusätzlich dadurch ausgelöst, dass eine Person mit Zugriff auf den Kurs ihn im Schulportal oder, seit dem 29.08.2026, in der App öffnet: dann wird geprüft, ob im Kurs seither Material hinzugekommen oder geändert worden ist, und im Fundfall wird es wie bei der Freigabe eingelesen (Nachlese). Verwendet wird dafür ausschließlich der Moodle-Zugriffstoken der laufenden Sitzung dieser Person; es gibt dafür keinen gespeicherten Zugang und kein Dienstkonto. Geprüft wird nur, was diese Person selbst sehen darf, und höchstens einmal je Kurs und Stunde; eine Lehrkraft kann dieselbe Prüfung für ihren Kurs selbst auslösen, dann ohne diese Stundengrenze. Der KI-Tutor-Chat ist gesondert unter (f) erfasst Art. 6 Abs. 1 lit. e DSGVO i. V. m. § 120 SchulG NRW (Erfüllung des Bildungsauftrags), soweit personenbezogene Daten in Materialien oder auf verlinkten Seiten enthalten sind; im Übrigen kursbezogen ohne Personenbezug; ergänzend Einwilligung (lit. a) für die Nutzung durch Schülerinnen und Schüler. Für den Abruf fremder Webseiten außerdem § 44b UrhG (Text und Data Mining) sowie §§ 51, 60a UrhG für die Wiedergabe mit Quellenangabe im Unterricht. Ggf. in Materialien genannte Personen (Lehrkräfte, Schülerinnen und Schüler); ggf. auf verlinkten Webseiten genannte Personen (z. B. Autorinnen und Autoren); freigebende Person mit Kurs-Bearbeitungsrecht (Kursauswahl); seit dem 16.08.2026 zusätzlich jede Person mit Zugriff auf den Kurs (Schülerin, Schüler oder Lehrkraft), die ihn öffnet und dadurch die Nachlese auslöst Aus Materialien (PDF/Bilder/DOCX/PPTX) extrahierter Text, Dateiname, SHA-256-Hash (Deduplizierung), Lernthemen, Vektor-Einbettungen (Embeddings), Layout-Angaben (Fundstellen-Positionen) und einzelne ausgeschnittene Abbildungen (für die Diagramm-Erklärung des KI-Tutors); vom Kurs verlinkte Webadresse und der daraus gewonnene Text (höchstens 20.000 Zeichen je Seite); Kursauswahl der freigebenden Person; je Kurs außerdem der Zeitpunkt der letzten Nachlese, ohne jeden Personenbezug (Tabelle ai_nachlese) SchoolUP; Mistral AI SAS (OCR, Einbettung, Themenerzeugung); STRATO AG (Hosting); das Moodle der Schule (Quelle der Materialien und der Links). Die betreibende Stelle einer verlinkten Webseite erfährt beim Abruf die IP-Adresse des SchoolUP-Servers und die Programmkennung, keine Daten der Betroffenen; sie ist deshalb keine Empfängerin personenbezogener Daten Nein (Mistral AI: Frankreich/EU) Keine Frist, sondern anlassbezogene Löschung: sobald die Schule den Kurs abmeldet bzw. bei Vertragsende. Die Löschung führt der Auftragsverarbeiter auf Anforderung der Schule aus, mit einer Funktion, die Material, Einbettungen, Themen sowie die personenbezogenen Lerndaten dieses Kurses in einem Zug entfernt; der Rückzug der Freigabe im Leitungsportal beendet den Zugriff sofort, löst diese Löschung aber nicht von allein aus; der Zeitpunkt der letzten Nachlese wird dabei mit entfernt TOM, insb. Verschlüsselung, Trennung, Auftragskontrolle (Mistral), Abrufgrenzen und SSRF-Schutz beim Web-Abruf (Nr. 2.1a)
(c) Einwilligungsverwaltung Einholung, Verwaltung und Nachweis von Einwilligungen; Erfüllung der Rechenschafts- und Nachweispflicht Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO (Nachweispflicht); Grundverarbeitung beruht auf Art. 6 Abs. 1 lit. a (ggf. Art. 8) DSGVO Schülerinnen und Schüler (überwiegend minderjährig), Erziehungsberechtigte, Lehrkräfte Art der Einwilligung (Nutzung/Kurs-Freigabe), Benutzername, Klarname, Geburtsdatum und das daraus abgeleitete Merkmal „unter 16“; bei unter 16-Jährigen der Name der erziehungsberechtigten Person und deren Erklärung, sorgeberechtigt zu sein; bei einer Kurs-Freigabe die Kursauswahl (nur mit Bearbeitungsrecht, unabhängig von lernende Person/Lehrkraft); je Akt eine digitale Unterschrift (Bild, AES-256-GCM-verschlüsselt; gezeichnet oder als eingetippter Name vom Server gesetzt, mit Vermerk des Weges) oder handschriftlich (Ausdruck); bei unter 16-Jährigen zusätzlich die eigene Unterschrift der minderjährigen Person; die Bestätigung der Einwilligung samt Kenntnisnahme der Datenschutzerklärung (eine gesonderte Zustimmung zu den Nutzungsbedingungen wird im Formular nicht erhoben); Version und Wortlaut des Einwilligungstexts; Prüfstatus, Prüfvermerk und Name der entscheidenden Person mit Zeitstempeln. Eine IP-Adresse der Einreichung und ein Wohnsitz werden nicht erhoben SchoolUP; STRATO AG (Hosting) Nein Unterschriften, Geburtsdatum und Name der erziehungsberechtigten Person beim Widerruf durch die betroffene Person sofort gelöscht (bei Rücknahme der Bestätigung durch die Schulleitung bleiben sie als Nachweis nach Art. 7 Abs. 1 DSGVO stehen); der verbleibende Nachweisdatensatz bis zum Ablauf des dritten Kalenderjahres nach Widerruf bzw. Vertragsende (Regelverjährung), dann Löschung. Diese Löschung führt ein täglicher Löschlauf automatisch aus und protokolliert sie personenfrei je Schule TOM, insb. Verschlüsselung, Zugriffs-/Eingabekontrolle
(d) Schulleitungs-Review / Verwaltung Prüfung/Freigabe und Verwaltung von Einwilligungen und Zugängen; Widerruf/Sperrung durch die Schulleitung Art. 6 Abs. 1 lit. e DSGVO i. V. m. § 120 SchulG NRW (schulische Organisations- und Aufsichtsaufgabe); für das Konto Art. 6 Abs. 1 lit. b/f DSGVO Schulleitung; mittelbar Schülerinnen und Schüler, Lehrkräfte Schulleitungs-Passwort als scrypt-Hash (nicht umkehrbar); Prüfentscheidungen mit Zeitstempel und optionalem Prüfvermerk SchoolUP; STRATO AG (Hosting) Nein Konto bis Vertragsende, dann Löschung; Prüfentscheidungen nach Maßgabe des Löschkonzepts TOM, insb. scrypt, Zugriffskontrolle, Multi-Tenancy-Trennung
(e) Server-Logs / Betriebssicherheit Gewährleistung von IT-Sicherheit, Betriebs- und Missbrauchskontrolle, Fehleranalyse Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, störungsfreiem Betrieb) Alle nutzende Personen des Dienstes IP-Adresse, Zeitstempel, aufgerufener Pfad (kurzzeitig). Daneben Betriebskennzahlen je Schule, Kurs und Tag (Art des Vorgangs und Anzahl) sowie der Verbrauch an Modell-Token je Schule und Kurs, beides ohne Kennung einer Person SchoolUP; STRATO AG (Hosting) Nein Protokolle rollierend nach Umfang: je Dienst höchstens fünf Dateien à 10 MB, danach wird die älteste verworfen (in der Praxis wenige Tage). Die Grenze ist der Umfang, nicht eine Zahl von Tagen; der tägliche Löschlauf fasst die Protokolle nicht an. Betriebskennzahlen und Token-Verbrauch sind ohne Personenbezug und deshalb ohne Frist TOM, insb. Rate-Limiting, Reverse Proxy, Zugriffskontrolle
(f) KI-Tutor-Chat Beantwortung frei formulierter Lernfragen der Schülerinnen und Schüler durch einen sokratischen KI-Tutor auf Grundlage der Kursmaterialien (mit Quellenangaben); optional unter Einbezug einer von der lernende Person zur Frage mitgeschickten Datei oder eines Fotos, die Datei wird gelesen und nicht gespeichert, der erkannte Text ist Teil des Chatverlaufs auf dem Endgerät und liegt zusätzlich höchstens 30 Minuten im Arbeitsspeicher des Servers, damit Rückfragen zu demselben Blatt möglich sind. Vorgeschaltet ist eine Schutzprüfung: jede Nachricht wird vor der Antwort daraufhin geprüft, ob sie nach einer akuten Notlage der schreibenden Person klingt (Selbstgefährdung, Selbstverletzung, Gewalt gegen sie). Der erste Schritt ist ein reiner Textabgleich ohne Netzverbindung; nur bei mehrdeutigen, meist fachlichen Formulierungen geht die Nachricht zusätzlich als Ja-Nein-Klassifikation an Mistral AI. Einzige Folge ist die Anzeige von Anlaufstellen für die betroffene Person. Es wird nichts gespeichert und niemand benachrichtigt, insbesondere weder Lehrkräfte noch Schulleitung noch Erziehungsberechtigte Art. 6 Abs. 1 lit. a, bei unter 16-Jährigen i. V. m. Art. 8 DSGVO (Einwilligung; freiwilliges Zusatzangebot); ergänzend Art. 6 Abs. 1 lit. e i. V. m. § 120 SchulG NRW. Für die vorgeschaltete Schutzprüfung zusätzlich Art. 9 Abs. 2 lit. c DSGVO (Schutz lebenswichtiger Interessen), soweit dabei eine Gesundheitsangabe berührt wird Schülerinnen und Schüler (überwiegend minderjährig); ggf. in Materialien genannte Personen Frei formulierte Chat-Eingaben (Fragen/Nachrichten) der Schülerinnen und Schüler und die erzeugten Antworten; zur Beantwortung herangezogene Material-Auszüge; die letzten Gesprächsschritte und, bei erteilter Einwilligung, die Lern-Notizen dieses Kurses. An Mistral AI geht keine Kennung der Person: weder Name noch Benutzername, Geburtsdatum oder Unterschrift. Der Gesprächsverlauf wird nicht beim Auftragsverarbeiter gespeichert, er verbleibt auf dem Endgerät der lernende Person SchoolUP; Mistral AI SAS (Chat-Inferenz); STRATO AG (Hosting) Nein (Mistral AI: Frankreich/EU) Der Gesprächsverlauf wird beim Auftragsverarbeiter nicht gespeichert; er liegt auf dem Endgerät der lernende Person (App bzw. localStorage des Browsers) und ist dort jederzeit löschbar. Beim Auftragsverarbeiter entsteht keine Kopie und damit keine Frist. Keine Nutzung zu Trainingszwecken (vertraglich mit Mistral AI ausgeschlossen) TOM, insb. TLS, Rate-Limiting/Tageslimit, Auftragskontrolle (Mistral)
(g) Selbst-Üben (ohne personenbezogene Speicherung) Übungen zum Selbstlernen mit sofortiger Rückmeldung. Es entsteht kein personenbezogener Datenbestand, weil weder das Ergebnis noch das Thema noch die Übungsform noch der Zeitpunkt je Person gespeichert werden. Gezählt wird ausschließlich personenfrei, dass in einem Kurs an einem Tag eine Übung dieser Art gemacht wurde; diese Zählung trägt keine Kennung einer Person Für die Rückmeldung selbst: keine gesonderte Grundlage nötig, weil keine Speicherung erfolgt; die Verarbeitung der Eingabe während der Übung läuft unter (f). Für die personenfreie Zählung: Art. 6 Abs. 1 lit. f DSGVO (Betriebsführung), ohne Personenbezug Schülerinnen und Schüler (überwiegend minderjährig), soweit überhaupt betroffen Keine. Bis zum 13. August 2026 standen hier: je Übung Lernthema, Ergebnis (richtig/teilweise/falsch), Übungsform und Zeitpunkt, verknüpft mit der pseudonymen Schul-Kennung, dazu der daraus abgeleitete Lernstand je Thema (Punkte, getragene Übungsformen, gleitender Stärkewert, Wiederholungsfach, nächste Fälligkeit) und ein Abgabeschlüssel je Meldung. Alle drei Tabellen sind am 14. August 2026 abgeschafft und werden beim nächsten Start der Anwendung gelöscht, einschließlich des Altbestands. Die personenfreie Zählung trägt Schulnummer, Kurs, Tag und Art der Übung SchoolUP; STRATO AG (Hosting) Nein Entfällt, weil nichts Personenbezogenes gespeichert wird. Die beiden Löschregeln, die bis zum 13. August 2026 für diese Zeile galten (zwölf Monate Nichtnutzung), sind aus dem Löschlauf gestrichen; die Tabellen, auf die sie zeigten, gibt es nicht mehr. Für die personenfreie Zählung besteht keine Frist und ist keine nötig TOM, insb. TLS, Mandantentrennung je Schule
(i) Lern-Notizen des KI-Tutors Anknüpfen an frühere Lerngespräche, damit Ansprache, Tiefe und Beispiele zur lernenden Person passen. Keine Bewertung, kein Scoring, keine Entscheidung über die Person; keine Auswertung durch Lehrkräfte oder Schulleitung. Automatisierte Auswertung des Lernverhaltens im Sinne von Art. 4 Nr. 4 DSGVO; Art. 22 DSGVO ist mangels Entscheidung nicht einschlägig Art. 6 Abs. 1 lit. a, bei unter 16-Jährigen i. V. m. Art. 8 DSGVO (Einwilligung; freiwilliges Zusatzangebot) Schülerinnen und Schüler (überwiegend minderjährig) Je Kurs höchstens 40 kurze Stichpunkte, die der KI-Tutor aus den Gesprächen ableitet: aktuelles Thema, Hürden, Sicheres, bevorzugter Erklärstil, genanntes Lernziel (z. B. ein Klausurtermin); verknüpft mit der pseudonymen Schul-Kennung. Ausgeschlossen: Namen, Kontaktdaten, Noten sowie Daten nach Art. 9 DSGVO (System- und Filtervorgabe) SchoolUP; Mistral AI SAS (Erzeugung der Notizen); STRATO AG (Hosting) Nein (Mistral AI: Frankreich/EU) Serverseitig gespeichert, im Ruhezustand AES-256-GCM-verschlüsselt. Frist: zwölf Monate ohne Nutzung, taggenau gerechnet ab dem Zeitpunkt, zu dem eine einzelne Notiz zuletzt geschrieben oder erneuert wurde; der tägliche Löschlauf vollzieht diese Frist und protokolliert sie je Schule und Tag. Die Frist gilt seit dem 14. August 2026; bis zum 13. August 2026 sagten dieses Verzeichnis und das Löschkonzept für diese Daten keine Frist zu, und der Lauf ließ sie deshalb stehen. Daneben unverändert die Löschung an Ereignissen: in App und Lern-Portal einsehbar und einzeln oder vollständig löschbar; Verdrängung der ältesten Notiz oberhalb von 40; bei Widerruf der Einwilligung über alle Kurse hinweg; bei Rücknahme der Bestätigung durch die Schulleitung; bei Abmeldung des Kurses bzw. Vertragsende TOM, insb. TLS, Zugriffs- und Trennungskontrolle, Auftragskontrolle (Mistral), Filter gegen personenbezogene Inhalte
(h) Themen & Kalender Anzeige der Themen und Termine der freigegebenen Kurse zur Orientierung der Schülerinnen und Schüler im Lernstoff Art. 6 Abs. 1 lit. a, bei unter 16-Jährigen i. V. m. Art. 8 DSGVO (Einwilligung); ergänzend Art. 6 Abs. 1 lit. e i. V. m. § 120 SchulG NRW Schülerinnen und Schüler (überwiegend minderjährig) Lernthemen je Kurs, kursbezogen und ohne Personenbezug. Die Abgabetermine eines Kurses werden bei jedem Aufruf frisch aus dem Moodle der Schule gelesen und nicht vorgehalten. Selbst angelegte Kalender-Einträge verbleiben auf dem Endgerät der lernenden Person und werden nicht an den Auftragsverarbeiter übertragen. Nennt eine lernende Person dem Tutor einen Klausurtermin, wird er als Lern-Notiz geführt und unterliegt (i) SchoolUP; STRATO AG (Hosting) Nein Lernthemen: zusammen mit dem Kursmaterial, siehe (b). Kalender-Einträge: beim Auftragsverarbeiter entsteht keine Kopie und damit keine Frist TOM, insb. TLS, Zugriffskontrolle
(j) Abgegebene Übungsklausur Eine zu den Kursthemen erzeugte Übungsklausur bearbeiten und abgeben, um eine begründete Rückmeldung dazu zu erhalten. Keine Note, keine Punktzahl über die Zeit, kein gespeicherter Leistungswert, keine Weitergabe an Lehrkräfte oder Schulleitung, auch nicht anonymisiert zusammengefasst. Damit liegt keine Bewertung von Lernergebnissen im Sinne von Anhang III Nr. 3 lit. b KI-VO vor, sondern eine formative Rückmeldung an die lernende Person selbst Art. 6 Abs. 1 lit. a, bei unter 16-Jährigen i. V. m. Art. 8 DSGVO (Einwilligung; freiwilliges Zusatzangebot) Schülerinnen und Schüler (überwiegend minderjährig) Die abgegebene Datei (Foto, PDF oder Office-Dokument der eigenen Bearbeitung, ersatzweise eingetippter Text), ihr ausgelesener Text und die erzeugte Rückmeldung (erreichte Bewertungseinheiten je Teilaufgabe, benannte Fehlerart, nächster Schritt). Die Datei kann Handschrift der lernenden Person enthalten. Ausgeschlossen: eine Note, ein Notenpunktwert, ein Prozentwert der Leistung sowie jede Fortschreibung über die einzelne Abgabe hinaus (Server-seitig durchgesetzt) SchoolUP; Mistral AI SAS (Texterkennung und Korrektur gegen den Erwartungshorizont); STRATO AG (Hosting und Objektspeicher, ausschließlich Chiffrat) Nein (Mistral AI: Frankreich/EU; Objektspeicher: Deutschland) Die Datei liegt vor der Übertragung AES-256-GCM-verschlüsselt im Objektspeicher; der Schlüssel bleibt auf dem Server des Auftragsverarbeiters. Frist: bis zur Löschung durch die lernende Person. Das Löschen entfernt zuerst die Datei und danach die Zeile; ein täglicher Abgleichlauf entfernt Dateien, zu denen keine Zeile mehr existiert, und zählt sie. Anlassbezogen entfallen sie außerdem bei Widerruf der Einwilligung, bei Rücknahme der Materialfreigabe des Kurses durch die Lehrkraft und bei Vertragsende TOM, insb. TLS, Verschlüsselung vor der Übertragung, Zugriffs- und Trennungskontrolle, Auftragskontrolle (Mistral, STRATO)

Hinweis zu den Empfängern. Die STRATO AG ist eine Konzerngesellschaft der IONOS SE; die IP-Adressbereiche des Rechenzentrums sind auf die IONOS SE registriert. Wer die Adresse des Servers nachschlägt, findet deshalb diesen Namen und nicht den Vertragspartner. Vertragspartnerin für das Hosting und für den Objektspeicher ist die STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin. Mistral AI SAS hat ihren Sitz in 15 Rue des Halles, 75001 Paris, Frankreich. Weitere Empfänger gibt es nicht: es findet kein Tracking statt, es werden keine Analyse-, Werbe-, Karten-, Schriftarten- oder Auslieferungsdienste Dritter eingebunden, es besteht keine Anbindung an einen Versanddienst für E-Mail oder Push-Nachrichten, und es wird kein Dienst zur Fehlerübermittlung eingesetzt.

Hinweis zur Spalte „Drittlandübermittlung“. „Nein“ bezieht sich auf Übermittlungen, die SchoolUP selbst veranlasst: Server, Datenbank und Objektspeicher stehen in Deutschland, und die KI-Verarbeitung wird ausschließlich über den EU-Regionalendpunkt api.eu.mistral.ai aufgerufen. Mistral AI SAS erklärt dazu öffentlich, die Daten lägen voreingestellt in der Europäischen Union und könnten je nach genutzter Funktion vorübergehend außerhalb der EU verarbeitet werden; für diesen Fall sagt Mistral AI zu, dass die Verträge mit den beteiligten Dienstleistern geeignete Garantien nach Art. 46 DSGVO enthalten und die Unterauftragsverarbeiter einer Sicherheitsprüfung unterzogen werden. Die Erklärung steht öffentlich unter Wo speichert Mistral die Daten?, die jeweils gültige Liste der Unterauftragsverarbeiter im Trust Center von Mistral AI.

Hinweis zur Durchsetzung der Löschfristen. Die Fristen dieses Verzeichnisses werden von einem täglichen Löschlauf durchgesetzt, der einmal je Nacht um 03:15 UTC läuft. Er führt seit dem 14. August 2026 zwei Regeln aus: die widerrufenen Einwilligungen nach Ablauf der Nachweisfrist, und die Lern-Notizen des KI-Tutors nach zwölf Monaten ohne Nutzung (i). Die zweite ist am 14. August 2026 hinzugekommen; bis dahin sagte kein Rechtsdokument für die Lern-Notizen eine Frist zu, und der Lauf ließ sie deshalb stehen. Zwei weitere Regeln (Übungszahlen je Kurs und Lernstand je Thema, jeweils nach zwölf Monaten Nichtnutzung) sind am selben Tag ersatzlos gestrichen, weil es die Tabellen nicht mehr gibt, auf die sie zeigten; siehe (g). Er führt ausschließlich Fristen aus, für die ein Rechtsdokument eine Fundstelle nennt. Er nimmt höchstens 500 Zeilen je Lauf und bricht vollständig ab, wenn eine Regel mehr als ein Viertel des Bestands ihrer Tabelle träfe. Jeder Lauf schreibt ein Löschprotokoll je Schule und Tag, das keine Kennung einer Person enthält; die Schule kann es anfordern. Die anlassbezogenen Löschungen (Abmeldung eines Kurses, Vertragsende) führt der Auftragsverarbeiter auf Anforderung der Schule aus und bestätigt sie. Näheres im Löschkonzept.

Hinweis zur Rechtsgrundlage: Da der KI-Tutor ein freiwilliges Zusatzangebot ist, stützt sich die Verarbeitung der Schülerinnen und Schülerdaten vorrangig auf die Einwilligung (Art. 6 Abs. 1 lit. a, bei unter 16-Jährigen i. V. m. Art. 8 DSGVO). Die Altersgrenze von 16 Jahren ist die Zahl des Art. 8 Abs. 1 DSGVO; Deutschland hat die Öffnungsklausel für eine niedrigere Grenze nicht genutzt. Die Schule hat als öffentliche Stelle vor Produktivbetrieb zu prüfen, ob und inwieweit § 120 SchulG NRW und die VO-DV I einschlägig sind, und die Rechtsgrundlagen in diesem Verzeichnis abschließend festzulegen.

Hinweis zur KI-Verordnung. Der KI-Tutor ist ein KI-System im Sinne der Verordnung (EU) 2024/1689. SchoolUP ist sein Anbieter, die Schule seine Betreiberin. Er ist nach der Einordnung vom 14. August 2026 kein Hochrisiko-KI-System: keine der vier Zweckbestimmungen des Anhangs III Nr. 3 (Zugang, Bewertung von Lernergebnissen, Bestimmung des Bildungsniveaus, Überwachung von Prüfungen) ist erfüllt. Bis zum 13. August 2026 lautete die Einordnung anders; tragend war der gespeicherte Lernstand, den es nach (g) nicht mehr gibt. Die vollständige Prüfung samt Gegenposition, den fünf Bedingungen, unter denen die Einordnung gilt, und den verbleibenden Pflichten aus Art. 4 und Art. 50 KI-VO steht in Abschnitt B9 der Datenschutz-Folgenabschätzung.