Zweck: Alle KI-Funktionen – Aufgaben, Quizze, Arbeitsblätter, Unterrichtsplanung, Lernbot-Text, Bildauswertung „Pixtral“ sowie die Risikoeinschätzung und Zusammenfassung beim Kindeswohl-Hinweis. Vorrangiger Anbieter.

Ort/Jurisdiktion: Frankreich, EU. Kein US-CLOUD-Act.

Vertrag: DPA; kostenpflichtiger Plan – damit ist der Ausschluss der Nutzung für Modelltraining vertraglich geregelt und hängt nicht an einer Kontoeinstellung.

AVV/DPA beim Anbieter → · unterschriebene Kopie ablegen.

Zweck: Dieselben KI-Funktionen, falls Mistral nicht erreichbar ist. Dort laufen ebenfalls Modelle von Mistral, jedoch auf Scaleways Infrastruktur und unter Scaleways Vertrag – zwei rechtlich getrennte europäische Auftragsverarbeiter, gleiche Modellqualität, doppelte Ausfallsicherheit.

Ort/Jurisdiktion: Paris (fr-par), Frankreich, EU. Kein US-CLOUD-Act.

Vertrag: derselbe Scaleway-AVV wie für den Datei-Speicher; er umfasst die Generative APIs (Stand 08/2026). Kostenpflichtig, kein Modelltraining.

AVV beim Anbieter →

Zweck: Objektspeicher (S3) für Pinnwände, Lautlesezeit, Nachrichten-Anhänge, Abbildungen in Arbeitsblättern und die täglichen Datensicherungen. Privater Bucket, Zugriff nur über kurzlebige signierte Adressen.

Ort/Jurisdiktion: Paris (fr-par), Frankreich, EU. Kein US-CLOUD-Act.

Aufbewahrung der Sicherungen: gestaffelt – letzte 7 Tage vollständig, danach Wochen-, dann Monatssicherungen, längstens 6 Monate.

AVV beim Anbieter →

Zweck: PostgreSQL-Datenbank – Lehrkraft-, Schüler-, Leistungsdaten und Lernbot-Verlauf. Der einzige Ort, an dem personenbezogene Daten dauerhaft ruhen.

Ort/Jurisdiktion: Server Frankfurt (AWS eu-central-1), Unternehmen USA – US-CLOUD-Act möglich. Absicherung: SCC + Transfer-Folgenabschätzung.

Migration: erster Schritt weg von US-Anbietern, weil hier die Daten ruhen. Ziel: Scaleway Managed Database (Frankreich).

DPA des Anbieters →

Zweck: Betrieb der Anwendung. Verarbeitet Daten nur flüchtig im Arbeitsspeicher und speichert selbst nichts dauerhaft – deshalb der zweite und nicht der erste Schritt der Migration.

Ort/Jurisdiktion: Server Frankfurt, Unternehmen USA – SCC + Transfer-Folgenabschätzung.

DPA des Anbieters →

Zweck: Transaktions-E-Mails – Passwort-Zurücksetzung, Zwei-Faktor-Code, Terminbestätigungen. Übermittelt wird die E-Mail-Adresse.

Ort/Jurisdiktion: Deutschland, EU. Kein US-CLOUD-Act.

Betriebsregel: RESEND_API_KEY darf in der Produktion nicht gesetzt sein – sonst greift ein US-Versandweg vor SMTP.

AVV anfordern →

Zweck: Text-zu-Sprache für die Vorlese-Funktion. Übermittelt wird ausschließlich der Buch-/Kapiteltext, serverseitig vom EU-Server aus – ohne Nutzer-IP, ohne personenbezogene Daten. Nur bei tatsächlicher Nutzung.

Offene Restfrage – ehrlich benannt: Es besteht keine Vertragsbeziehung, weil der Zugriff auf einem nicht offiziell angebotenen Endpunkt beruht; ein AVV ist dafür nicht erhältlich. Zwei saubere Wege: die eingebaute Geräte-Stimme des Browsers benutzen, oder die Schule übernimmt das Restrisiko schriftlich.

Abschaltbar: ohne das Paket edge-tts meldet der Server „keine Server-Stimmen“ und es bleiben nur die Geräte-Stimmen – dann ist Microsoft aus dem Datenfluss vollständig heraus.

Zweck: Zählt Aufrufe der öffentlichen Informationsseiten. Kein Cookie, keine Kennung, kein Profil, keine seitenübergreifende Wiedererkennung; die IP wird nicht gespeichert.

Die Grenze, die diesen Eintrag harmlos macht: Hinter der Anmeldung wird nicht gemessen – nicht im Cockpit, in den Klassen, in Pinnwänden oder Spielen. Es entsteht damit kein Nutzungsverlauf je Lehrkraft (§ 72 Abs. 3 Nr. 2 LPVG NRW) und keine Erfassung von Schülerdaten. Ein automatisierter Test hält das fest.

Ort/Jurisdiktion: USA – SCC + Transfer-Folgenabschätzung.

Google (EU/USA, SCC bzw. EU-US Data Privacy Framework): Anmeldung „Mit Google“; außerdem die Vorschau eines von der Lehrkraft selbst eingefügten YouTube-Videos im Modus ohne Cookies.

IServ (Deutschland/EU) und der Moodle-Server der Schule (LTI 1.3): Schul-Login. Übertragen werden Vorname, Nachname und E-Mail-Adresse über einen verschlüsselten Kanal.

Keiner dieser Dienste wird ohne Nutzung angesprochen – wer sich mit Passwort anmeldet, erzeugt hier keinen Datenfluss.

Zweck: Zustellung von Push-Benachrichtigungen. Übermittelt wird die Zustell-Kennung des Geräts, keine Inhalte, keine Namen, keine Schülerdaten.

Derzeit nicht aktiv. Vor der ersten Zustellung sind Transfer-Folgenabschätzung und die Anlage zum AVV fortzuschreiben.

Löschung der Kennung: beim Abmelden sofort, bei Kontolöschung sofort, sonst nach 180 Tagen ohne Lebenszeichen.

UptimeRobot (USA): prüft die Erreichbarkeit über einen eigens dafür eingerichteten Endpunkt, der nur einen technischen Status zurückgibt. Keine Nutzer- oder Schülerdaten.

jsDelivr (weltweites Auslieferungsnetz): liefert die Bibliothek zur Formeldarstellung an den Browser. Übertragen wird nur die technisch notwendige IP-Adresse; kein Profil, keine Kennung.

Beide sind keine Unterauftragsverarbeiter im Sinne des Art. 28 Abs. 4 DSGVO. Im AVV stehen sie der Vollständigkeit halber in § 6.4.