Diesen Text schließt Ihre Schule mit der MatheZeit UG (haftungsbeschränkt), bevor Ergebnisse der Kinder gespeichert werden. Abgeschlossen wird er online über die Einladung, die eine Lehrkraft im Dashboard an die Schulleitung schickt. Einen abgeschlossenen Vertrag prüfen Sie unter Echtheit prüfen. Fragen: info@mathezeit.de
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag
gemäß Art. 28 DSGVO
zwischen
[Name der Schule]
[Straße Hausnummer]
[PLZ Ort]
vertreten durch die Schulleitung
— nachfolgend „Verantwortliche" —
und
MatheZeit UG (haftungsbeschränkt)
Kallehoe 27
24988 Oeversee
Amtsgericht Flensburg, HRB 18391 FL
vertreten durch den Geschäftsführer Mats Lorenzen
— nachfolgend „Auftragsverarbeiterin" —
— gemeinsam „Parteien" —
Vorbemerkung
Die Verantwortliche setzt die von der Auftragsverarbeiterin betriebene Lernplattform MatheZeit im Mathematikunterricht ein. Dabei verarbeitet die Auftragsverarbeiterin personenbezogene Daten von Schülerinnen und Schülern sowie von Lehrkräften der Verantwortlichen. Dieser Vertrag regelt die Rechte und Pflichten der Parteien nach Art. 28 Abs. 3 DSGVO.
Die Rollenverteilung ist eindeutig: Die Schule entscheidet über Zwecke und Mittel der Verarbeitung und ist Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Die Auftragsverarbeiterin verarbeitet ausschließlich weisungsgebunden und verfolgt keine eigenen Zwecke.
§ 1 Gegenstand, Umfang und Dauer
(1) Gegenstand. Die Auftragsverarbeiterin stellt der Verantwortlichen die Lernplattform MatheZeit zur Verfügung und betreibt sie. Die Plattform umfasst:
a) einen Übungsbereich mit adaptiven Rechenaufgaben,
b) interaktive Lerneinheiten,
c) einen auswahlbasierten Lernassistenten, der bei Fehlern Rückfragen stellt,
d) ein Dashboard für Lehrkräfte zur Anzeige von Lernständen und zur Klassenverwaltung,
e) auf Wunsch der Lehrkraft eine Ende-zu-Ende-verschlüsselte Zuordnung von Zugangscodes zu Namen, die ausschließlich auf dem Gerät der Lehrkraft entschlüsselt wird.
f) Werkzeuge für den Unterricht: eine Ansicht dessen, woran ein Kind während einer von der Lehrkraft gestarteten Stunde arbeitet, und eine Funktion zur Meldung fehlerhafter Aufgaben.
(2) Umfang. Der Umfang der Verarbeitung ergibt sich abschließend aus § 2 und aus Anlage 2. Eine darüber hinausgehende Verarbeitung findet nicht statt.
(3) Verarbeitungsort. Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt. Die eingesetzten Verarbeitungsorte sind in Anlage 2 einzeln benannt. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung der Verantwortlichen in Textform und ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
(4) Dauer. Der Vertrag beginnt mit seinem Abschluss und läuft für die Dauer der Nutzungsvereinbarung. Beide Parteien können ihn mit einer Frist von vier Wochen zum Ende eines Schulhalbjahres kündigen. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt; ein wichtiger Grund liegt für die Verantwortliche insbesondere bei einem schwerwiegenden Verstoß gegen datenschutzrechtliche Bestimmungen vor.
§ 2 Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen
(1) Zweck. Die Verarbeitung dient ausschließlich der Erbringung der in § 1 Abs. 1 genannten Leistungen. Im Einzelnen:
a) Bereitstellung der Lernfunktionen. Aufgabenstellung, Prüfung der Antworten, Anpassung der Schwierigkeit an den bisherigen Bearbeitungsverlauf und Ausgabe von Hilfestellungen.
b) Lernstandserhebung. Zusammenfassung und Darstellung der Bearbeitungsergebnisse für die zuständige Lehrkraft, damit diese Förderbedarf erkennen kann.
c) Qualitätssicherung. Auswertung anonymisierter Bearbeitungsdaten zur Verbesserung des Aufgabenmaterials. Eine Zuordnung zu einzelnen Personen ist dabei ausgeschlossen.
d) Vergleichswerte. Bildung anonymer Vergleichswerte je Bundesland aus zusammengefassten Klassenwerten, mit denen die Lehrkraft den Stand ihrer Klasse in den Kompetenzbereichen einordnen kann (Anlage 6). Werte einzelner Kinder oder einzelner Klassen anderer Schulen sind daraus nicht erkennbar.
Eine Verarbeitung zu eigenen Zwecken der Auftragsverarbeiterin, insbesondere zu Werbe-, Analyse- oder Profilbildungszwecken außerhalb der Plattform, findet nicht statt. Die Daten werden nicht mit Daten aus anderen Quellen zusammengeführt.
(2) Betroffene Personen.
a) Schülerinnen und Schüler der Verantwortlichen, in der Regel im Alter von sechs bis vierzehn Jahren,
b) Lehrkräfte der Verantwortlichen.
(3) Datenkategorien Schülerinnen und Schüler.
Die Identifikation erfolgt ausschließlich über einen achtstelligen, nicht fortlaufend vergebenen Zugangscode. Namen von Schülerinnen und Schülern werden im System der Auftragsverarbeiterin nicht im Klartext gespeichert.
| Kategorie | Beschreibung | Personenbezug |
|---|---|---|
| Zugangscode | Achtstelliger Code, von der Lehrkraft vergeben | pseudonym |
| Klassenzuordnung | Zuordnung des Codes zur Klasse der Lehrkraft | pseudonym |
| Aufgabenbearbeitungen | Aufgabentyp, Schwierigkeitsstufe, gegebene Antwort, korrekte Antwort, Ergebnis | pseudonym |
| Abbild der Aufgabenfläche | Aufbau der Aufgabenseite zum Zeitpunkt einer Antwort, damit die Lehrkraft den Lösungsweg nachvollziehen kann; kein Bild und keine Aufzeichnung von Bewegungen oder Eingaben außerhalb der Aufgabe | pseudonym |
| Lösungsversuche | Anzahl der Versuche je Aufgabe | pseudonym |
| Sitzungszusammenfassung | Anzahl bearbeiteter Aufgaben, Lösungsquote | pseudonym |
| Kennzahlen je Aufgabentyp | Lösungsquote und durchschnittliche Versuchszahl zur Steuerung der Schwierigkeit | pseudonym |
| Fehlermuster | Kennzeichnung, welchem bekannten Fehlermuster eine falsche Antwort entspricht; Grundlage der klassenbezogenen Auswertung nach Abs. 6 lit. f | pseudonym |
| Duell-Ergebnisse | Teilnahme, Punkte und Platzierung in einem Duell zwischen Kindern; die Mitspielenden sehen nur ein Pseudonym (Tiername) | pseudonym |
| IP-Adresse | ausschließlich gekürzt oder als Hashwert gespeichert, nie vollständig | nicht rückführbar |
Nicht erhoben werden: Namen, E-Mail-Adressen, Anschriften, Fotos von Personen, Tonaufnahmen, biometrische Daten, Standortdaten, Gerätekennungen einschließlich Werbe-IDs, sowie besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO.
(4) Datenkategorien Lehrkräfte.
| Kategorie | Beschreibung |
|---|---|
| E-Mail-Adresse | Anmeldung und Kommunikation |
| Name | Anzeige im Dashboard |
| Passwort | ausschließlich als Argon2id-Hashwert gespeichert; das Klartextpasswort wird nicht gespeichert |
| Schulzuordnung | Name und Ort der Schule |
| Angelegte Klassen | Klassenbezeichnung, Jahrgangsstufe, zugehörige Zugangscodes |
| Einmal-PIN | sechsstelliger Anmeldecode, ausschließlich als Hashwert gespeichert, zwanzig Minuten gültig |
| Sitzungskennung | Kennung zur Aufrechterhaltung der Anmeldung |
| Freigabeprotokoll | Fassung und Zeitpunkt der Bestätigung, mit der die Lehrkraft die Einordnung nach Abs. 6 lit. b für eine Klasse eingeschaltet hat |
| Verschlüsselte Namenszuordnung | ausschließlich als verschlüsselter Datensatz, siehe Abs. 8 |
(5) Pseudonymisierung der Schüleridentität.
Schülerinnen und Schüler werden zu keinem Zeitpunkt mit ihrem Namen im System erfasst. Die Zuordnung des Zugangscodes zu einer Person obliegt allein der Lehrkraft. Sie kann auf Papier geführt oder in verschlüsselter Form nach Abs. 8 verwaltet werden.
Im System liegen keine Klarnamen im Klartext vor. Führt eine Lehrkraft die Zuordnung digital nach Abs. 8, liegt sie ausschließlich verschlüsselt vor.
(6) Auswertung für die Lehrkraft.
Die Lehrkraft sieht ausschließlich die Lernstände der Kinder ihrer eigenen Klassen: bearbeitete Aufgaben, Anteil richtiger Lösungen, gegebene Antworten und die daraus berechneten Kennwerte. Anmeldezeiten, Nutzungszeiten und Bearbeitungsdauern einzelner Kinder werden nicht angezeigt, weder als Verlauf noch als Zeitangabe. Während einer laufenden Stunde sieht die Lehrkraft lediglich, woran ein Kind gerade arbeitet (lit. c). Zeitpunkte werden ausschließlich maschinell für die Zuordnung zu einer Unterrichtsstunde verwendet.
a) Ansicht einer Bearbeitung. Zu jeder Antwort wird der Aufbau der Aufgabenseite gespeichert, kein Bild. Die Lehrkraft kann damit nachvollziehen, wie das Kind die Aufgabe gelöst hat. Das Abbild umfasst nur die Aufgabenfläche und wird mit den übrigen Lerndaten gelöscht.
b) Einordnung des Lernstands. Die Lehrkraft kann je Klasse eine Einordnung der Lernstände aktivieren. Diese ordnet jedes Kind anhand fester fachlicher Prozentgrenzen einem Erwartungsband zu. Das ist Profiling im Sinne des Art. 4 Nr. 4 DSGVO. Es dient der Erkennung von Förderbedarf, nicht der Bewertung der Person. Es gelten folgende verbindliche Maßgaben:
Die Funktion ist standardmäßig deaktiviert. Sie wird je Klasse bewusst aktiviert und ist jederzeit abschaltbar. Die Freischaltung setzt voraus, dass die Lehrkraft eine didaktische Einführung durchlaufen und bestätigt hat, dass die Auswertung der Förderung und nicht der Benotung dient; Einführung und Freigabe werden mit Fassungsnummer und Zeitpunkt protokolliert. Einzelne Kinder können von der Einordnung ausgenommen werden. Bewertet werden ausschließlich fachliche Kennwerte; Anmelde- und Nutzungszeiten fließen nicht ein. Die Zuordnung erfolgt an festen Grenzen und nicht an einer Rangfolge; eine Rangfolge der Kinder wird weder gebildet noch angezeigt. Die Einordnung unterbleibt, solange die Datengrundlage nicht ausreicht, damit einzelne Kinder nicht isoliert werden. Sie ist ausschließlich für die Lehrkraft der eigenen Klasse sichtbar; Kinder sehen ausschließlich ihren eigenen Lernstand. Ändert sich die zugrunde liegende Logik inhaltlich, wird die Fassungsnummer erhöht und die Bestätigung erneut eingeholt.
Die Prozentgrenzen, die Berechnung der Kennwerte und die Mindestdatenbasis sind in Anlage 6 vollständig dokumentiert.
c) Ansicht während einer Unterrichtsstunde. Während einer von der Lehrkraft gestarteten Stunde kann sie sich ansehen, woran ein einzelnes Kind ihrer Klasse gerade arbeitet, um ihm gezielt zu helfen. Die MatheZeit-Seite des Kindes wird dafür im Browser der Lehrkraft nachgezeichnet: Übermittelt werden ausschließlich Änderungen am Aufbau dieser Seite. Es wird kein Bildschirmvideo übertragen; andere Programme, Fenster und Tabs, Mausbewegungen, Kamera und Mikrofon werden nicht erfasst. Solange die Lehrkraft zuschaut, wird dem Kind ein Hinweis angezeigt. Das Nachzeichnen beginnt erst, wenn die Lehrkraft die Ansicht öffnet, und endet mit dem Schließen. Es wird nichts gespeichert.
d) Keine automatisierte Entscheidung. Aus der Auswertung folgen keine automatischen Konsequenzen für das Kind. Jede pädagogische Entscheidung trifft die Lehrkraft. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt.
e) Keine Zusammenführung. Die Auswertung erfolgt ausschließlich innerhalb der Plattform. Eine Zusammenführung mit Daten aus anderen Quellen findet nicht statt.
f) Klassenbezogene Hinweise auf Fehlvorstellungen. Einmal wöchentlich wird für jede Klasse geprüft, ob sich in den Fehlermustern eine systematische Fehlvorstellung zeigt. Die Lehrkraft erhält ausschließlich ein Ergebnis für die gesamte Klasse, etwa welche Fehlvorstellung wie wahrscheinlich verbreitet ist. Welche Kinder betroffen sind, wird weder angezeigt noch gespeichert. Ein Hinweis erscheint nur, wenn er auf mindestens drei Kindern beruht. Die Anzahl betroffener Kinder wird nicht angegeben; in Klassen mit weniger als zehn Kindern unterbleibt der Hinweis.
(7) Lernassistent.
Die Plattform enthält einen Lernassistenten, der Schülerinnen und Schülern bei Fehlern Rückfragen stellt. Er arbeitet auswahlbasiert: Kinder antworten durch Auswahl vorgegebener Antwortmöglichkeiten, nicht durch freie Texteingabe.
a) Ein Teil der Rückfragen wird aus lokal hinterlegten Regeln erzeugt, ohne dass Daten das Gerät verlassen.
b) Reichen die Regeln nicht aus, wird eine Anfrage an ein Sprachmodell gestellt. Übermittelt werden ausschließlich: Aufgabentyp, Aufgabentext, korrekte Antwort, gegebene Antwort, bisheriger Verlauf der Rückfragen, bereits gegebene Hinweise, Darstellungsdaten der Aufgabe, die ausschließlich die Aufgabe selbst wiedergeben, und die Oberflächensprache.
c) Nicht übermittelt werden: Zugangscode, Name, Klasse, Schulzuordnung, Kennungen jeder Art sowie freier Text der Schülerin oder des Schülers.
d) Die Anfrage wird über einen Server der Auftragsverarbeiterin an den in Anlage 2 benannten Modellanbieter weitergeleitet. Die Modellverarbeitung findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt; der Aufruf erfolgt über die Region eu-central-1 (Frankfurt am Main). Das Gerät des Kindes steht zu keinem Zeitpunkt in direkter Verbindung mit dem Modellanbieter; dieser erhält weder die IP-Adresse des Kindes noch eine andere Kennung seines Geräts.
e) Die Anfragen werden vom Modellanbieter weder gespeichert noch zum Training verwendet.
f) Bei der Auftragsverarbeiterin wird je Anfrage ein Protokolleintrag erzeugt, der ausschließlich einen Hashwert der IP-Adresse, Zeitpunkt, Aufgabentyp und Nutzlastgröße enthält, jedoch keine Inhalte.
Die Einzelheiten des Datenflusses sind im KI-Steckbrief (Anlage 4) dargestellt.
(8) Optionale Namensverschlüsselung.
Lehrkräfte, die die Zuordnung von Zugangscodes zu Namen digital führen möchten, können ein PIN-geschütztes Verfahren nutzen. Dafür gilt:
a) Die Lehrkraft vergibt eine PIN. Aus ihr wird mittels PBKDF2 ein Schlüssel abgeleitet.
b) Die Zuordnungstabelle wird mit AES-256 verschlüsselt.
c) Der verschlüsselte Datensatz kann als Sicherung auf dem Server abgelegt werden. Der Server speichert ausschließlich den verschlüsselten Datensatz.
d) Die PIN verlässt das Gerät der Lehrkraft nicht und wird nicht übermittelt.
e) Die Entschlüsselung erfolgt ausschließlich auf dem Gerät der Lehrkraft. Die Auftragsverarbeiterin kennt die PIN nicht, speichert sie nicht und greift auf den verschlüsselten Datensatz nicht zu.
f) Gegen systematisches Durchprobieren der PIN besteht ein serverseitiges Ratenlimit.
g) Die Nutzung ist freiwillig.
(9) Keine Einwilligungsabfragen gegenüber Kindern. Die Plattform stellt Schülerinnen und Schülern zu keinem Zweck eine Einwilligungsabfrage. Sie enthält keine Werbung, keine Verlinkung auf werbeführende Seiten, keine kostenpflichtigen Zusatzangebote und keine Aufforderung zum Erwerb von Leistungen.
(10) Keine Kommunikationsfunktionen zwischen Nutzenden. Die Plattform enthält keinen Chat, keine Nachrichtenfunktion und keine Kommentarfunktion zwischen Nutzerinnen und Nutzern.
§ 3 Pflichten der Auftragsverarbeiterin
(1) Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen, einschließlich der Übermittlung in Drittländer, es sei denn, sie ist nach Unions- oder mitgliedstaatlichem Recht zu einer anderen Verarbeitung verpflichtet. In diesem Fall teilt sie der Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht aus Gründen eines wichtigen öffentlichen Interesses verbietet.
(2) Die Auftragsverarbeiterin verwendet die überlassenen Daten zu keinem anderen Zweck. Kopien werden nur angefertigt, soweit sie für die ordnungsgemäße Datenverarbeitung erforderlich sind, insbesondere als Sicherungskopien.
(3) Die Auftragsverarbeiterin stellt sicher, dass die mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind und über die für sie geltenden Datenschutzbestimmungen unterrichtet wurden. Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.
(4) Die Auftragsverarbeiterin setzt die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen um und erhält sie aufrecht.
(5) Die Auftragsverarbeiterin überprüft ihre Prozesse sowie die technischen und organisatorischen Maßnahmen regelmäßig, mindestens jährlich, und dokumentiert das Ergebnis.
(6) Die Auftragsverarbeiterin unterstützt die Verantwortliche bei der Erfüllung ihrer Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Sicherstellung eines angemessenen Schutzniveaus, bei der Meldung von Datenschutzverletzungen, bei der Benachrichtigung betroffener Personen und bei der Durchführung einer Datenschutz-Folgenabschätzung. Eine von der Auftragsverarbeiterin erstellte Folgenabschätzung für die Plattform wird der Verantwortlichen auf Anforderung zur Verfügung gestellt.
(7) Die Auftragsverarbeiterin unterstützt die Verantwortliche mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO. Die Einzelheiten zu Auskunft und Datenkopie regelt § 10.
(8) Die Auftragsverarbeiterin führt ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es der Verantwortlichen auf Anforderung zur Verfügung.
(9) Die Auftragsverarbeiterin unterrichtet die Verantwortliche unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen.
(10) Ansprechpartner für den Datenschutz bei der Auftragsverarbeiterin:
Mats Lorenzen, Geschäftsführer
info@mathezeit.de · +49 160 92015631
Ein Datenschutzbeauftragter ist derzeit nicht benannt. Wird einer benannt, teilt die Auftragsverarbeiterin der Verantwortlichen Namen und Kontaktdaten unverzüglich in Textform mit.
§ 4 Weisungen
(1) Die Verarbeitung erfolgt ausschließlich im Rahmen dieses Vertrages und nach Weisung der Verantwortlichen. Weisungen ergehen schriftlich oder in dokumentierter elektronischer Form. Mündliche Weisungen werden unverzüglich in dieser Form bestätigt.
(2) Weisungsberechtigte Personen der Verantwortlichen sind in Anlage 3 benannt. Änderungen sind unverzüglich mitzuteilen.
(3) Weisungsempfänger bei der Auftragsverarbeiterin:
Mats Lorenzen, Geschäftsführer
MatheZeit UG (haftungsbeschränkt), Kallehoe 27, 24988 Oeversee
info@mathezeit.de · +49 160 92015631
(4) Hält die Auftragsverarbeiterin eine Weisung für datenschutzrechtlich unzulässig, teilt sie dies der Verantwortlichen unverzüglich mit. Sie darf die Ausführung aussetzen, bis die Weisung bestätigt oder geändert wird.
§ 5 Kontrollrechte
(1) Die Verantwortliche hat das Recht, sich von der Einhaltung dieses Vertrages zu überzeugen, durch eigene Prüfungen oder durch beauftragte Prüfer. Prüfungen sind mit angemessener Frist anzukündigen und so durchzuführen, dass der Geschäftsbetrieb nicht unangemessen beeinträchtigt wird.
(2) Die Auftragsverarbeiterin erteilt die dafür erforderlichen Auskünfte und weist die Umsetzung der technischen und organisatorischen Maßnahmen nach.
(3) Der Nachweis von Maßnahmen, die nicht nur diesen Auftrag betreffen, kann geführt werden durch die Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO, eine Zertifizierung nach Art. 42 DSGVO, aktuelle Testate oder Berichte unabhängiger Stellen, oder einen Prüfbericht aus einem Verfahren zur Aufnahme in ein Landes- oder Bundesangebot.
(4) Die Auftragsverarbeiterin räumt der Verantwortlichen und den von ihr beauftragten Prüfern dieselben Prüfbefugnisse ein wie einem im Rahmen der Aufnahme in ein Landesangebot beauftragten Prüfdienstleister.
§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten
(1) Die Auftragsverarbeiterin unterrichtet die Verantwortliche unverzüglich, spätestens innerhalb von vierundzwanzig Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO, damit die Verantwortliche ihre Meldefrist nach Art. 33 DSGVO einhalten kann.
(2) Die Meldung enthält mindestens eine Beschreibung der Art der Verletzung, soweit möglich die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, eine Beschreibung der wahrscheinlichen Folgen sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen.
(3) Die Auftragsverarbeiterin ergreift unverzüglich Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen und stimmt diese mit der Verantwortlichen ab.
(4) Die Auftragsverarbeiterin unterrichtet die Verantwortliche außerdem unverzüglich über Störungen, die die Verfügbarkeit oder Integrität der Daten erheblich beeinträchtigen.
§ 7 Unterauftragsverarbeiter
(1) Die Auftragsverarbeiterin darf weitere Auftragsverarbeiter nur mit vorheriger Genehmigung der Verantwortlichen einsetzen. Die Verantwortliche genehmigt hiermit den Einsatz der in Anlage 2 benannten Unterauftragsverarbeiter.
(2) Vor der Hinzuziehung weiterer oder dem Austausch benannter Unterauftragsverarbeiter unterrichtet die Auftragsverarbeiterin die Verantwortliche mit einer Frist von vier Wochen in Textform. Die Verantwortliche kann innerhalb von zwei Wochen aus datenschutzrechtlichem Grund widersprechen. Widerspricht sie, ist die Auftragsverarbeiterin berechtigt, den Vertrag zum Ende des laufenden Schulhalbjahres zu kündigen.
(3) Die Auftragsverarbeiterin verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die den Pflichten dieses Vertrages entsprechen. Die Kontrolle der Unterauftragsverarbeiter erfolgt durch Vorlage ihrer Zertifizierungen und Prüfberichte, etwa nach ISO/IEC 27001 oder BSI C5, die die Auftragsverarbeiterin der Verantwortlichen auf Anforderung bereitstellt.
(4) Eine weitere Auslagerung durch einen Unterauftragsverarbeiter bedarf der Zustimmung der Auftragsverarbeiterin; für die Unterrichtung der Verantwortlichen und ihr Widerspruchsrecht gilt Abs. 2 entsprechend. Die Pflichten dieser Vereinbarung sind auch in der weiteren Kette aufzuerlegen.
(5) Nebenleistungen ohne unmittelbaren Bezug zur Hauptleistung, etwa Telekommunikations- oder Postdienstleistungen, gelten nicht als Unterauftragsverarbeitung.
(6) Die Einbindung fremder Dienste, Inhalte, Programmbibliotheken oder Schriftarten, die nicht in einem Auftragsverarbeitungsverhältnis zur Auftragsverarbeiterin stehen, findet nicht statt.
§ 8 Technische und organisatorische Maßnahmen
(1) Die in Anlage 1 beschriebenen Maßnahmen sind verbindlich. Sie stellen die Sicherheit der Verarbeitung nach Art. 32 DSGVO her.
(2) Die Maßnahmen unterliegen der technischen Weiterentwicklung. Die Auftragsverarbeiterin darf sie durch gleichwertige Maßnahmen ersetzen. Das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und der Verantwortlichen mitgeteilt.
(3) Genügen die Maßnahmen den Anforderungen der Verantwortlichen nicht, teilt die Auftragsverarbeiterin dies unverzüglich mit.
§ 9 Berichtigung, Einschränkung, Löschung
(1) Die Auftragsverarbeiterin berichtigt, löscht oder schränkt die im Auftrag verarbeiteten Daten nur nach dokumentierter Weisung der Verantwortlichen ein. Wendet sich eine betroffene Person unmittelbar an die Auftragsverarbeiterin, leitet diese das Ersuchen unverzüglich an die Verantwortliche weiter.
(2) Löschung durch die Lehrkraft. Zugangscodes und die zugehörigen Lerndaten werden über die Klassenverwaltung gelöscht. Die Lehrkraft löscht Daten, sobald sie für den Unterricht nicht mehr benötigt werden. Wird eine Klasse innerhalb der Schule weitergeführt, auch bei einem Wechsel der Lehrkraft, können die pseudonymen Codes und Lerndaten übernommen werden; die verschlüsselte Namenszuordnung wird dabei nicht übertragen. Spätestens beim Verlassen der Schule sind die Daten zu löschen.
(3) Löschung nach Zeitablauf. Unabhängig von Abs. 2 löscht die Auftragsverarbeiterin personenbezogene Daten spätestens achtzehn Monate nach dem letzten Nutzungsvorgang des betreffenden Zugangs. Diese Frist gilt zusätzlich und unabhängig von jeder anderen Aufbewahrungsregel.
(4) Aufbewahrungsfristen im Einzelnen. Die Fristen sind in Anlage 5 abschließend festgelegt.
(5) Protokollierung. Jeder Löschlauf wird protokolliert. Das Protokoll enthält Zeitpunkt, betroffene Datenkategorien und Anzahl der gelöschten Datensätze, jedoch keine personenbezogenen Inhalte. Es wird der Verantwortlichen auf Anforderung vorgelegt.
(6) Änderungen im Datenbestand, insbesondere Zu- und Abgänge von Schülerinnen und Schülern, nimmt die Verantwortliche eigenständig über die Verwaltungsfunktionen der Plattform vor.
§ 10 Auskunft und Datenkopie
(1) Eine Funktion, mit der Lehrkräfte Daten einzelner Kinder aus der Plattform herunterladen, besteht bewusst nicht. Damit wird verhindert, dass Lerndaten von Kindern außerhalb der Plattform weitergegeben oder zusammengeführt werden.
(2) Benötigt die Verantwortliche die zu einem Zugangscode gespeicherten Daten, um einen Antrag auf Auskunft nach Art. 15 DSGVO oder, soweit anwendbar, auf Datenübertragbarkeit nach Art. 20 DSGVO zu erfüllen, stellt die Auftragsverarbeiterin sie auf deren dokumentierte Weisung innerhalb von zwei Wochen in einem strukturierten, gängigen und maschinenlesbaren Format bereit. Die Übergabe erfolgt ausschließlich an die Schulleitung oder eine in Anlage 3 benannte Person.
(3) Wendet sich eine betroffene Person unmittelbar an die Auftragsverarbeiterin, leitet diese das Ersuchen unverzüglich an die Verantwortliche weiter.
§ 11 Pflichten nach Beendigung
(1) Nach Beendigung des Vertrages gibt die Auftragsverarbeiterin sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Wahl der Verantwortlichen zurück oder löscht sie datenschutzgerecht. Die Löschung wird der Verantwortlichen in Textform bestätigt.
(2) Die Löschung der Daten von Schülerinnen und Schülern erfolgt spätestens sechzig Tage nach Beendigung, die Löschung der Daten von Lehrkräften spätestens dreißig Tage nach Beendigung. Sicherungskopien werden spätestens mit Ablauf des jeweiligen Sicherungszyklus überschrieben; der Zyklus ist in Anlage 1 angegeben.
(3) Unterlagen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, bewahrt die Auftragsverarbeiterin nach den jeweils geltenden Aufbewahrungsfristen über das Vertragsende hinaus auf.
§ 12 Haftung
Für die Haftung gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO.
§ 13 Schlussbestimmungen
(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
(2) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem Zweck möglichst nahekommt.
(3) Bei Widersprüchen zwischen diesem Vertrag und den Anlagen geht dieser Vertrag vor. Bei Widersprüchen zwischen diesem Vertrag und der Nutzungsvereinbarung gehen die Regelungen dieses Vertrages vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.
(4) Es gilt deutsches Recht. Gerichtsstand ist der Sitz der Verantwortlichen.
(5) Der Vertrag kann in Schriftform oder in einem elektronischen Format nach Art. 28 Abs. 9 DSGVO geschlossen werden.
Anlagen
Anlage 1 Technische und organisatorische Maßnahmen
Anlage 2 Unterauftragsverarbeiter und Verarbeitungsorte
Anlage 3 Weisungsberechtigte Personen der Verantwortlichen
Anlage 4 Steckbrief des Lernassistenten
Anlage 5 Aufbewahrungs- und Löschfristen
Anlage 6 Einordnung der Lernstände: Berechnung, Grenzen, Mindestdatenbasis
Abschluss. Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO, § 13 Abs. 5). Name und Funktion der für die Verantwortliche handelnden Person, Zeitpunkt, Fassung und Prüfsumme dieses Textes werden beim Abschluss festgehalten und der Verantwortlichen per E-Mail übermittelt. Für die Auftragsverarbeiterin: Mats Lorenzen, Geschäftsführer.
Anlage 3 Weisungsberechtigte Personen der Verantwortlichen
Weisungsberechtigt ist die Person, die diesen Vertrag für die Verantwortliche abschließt. Weitere Personen und Änderungen teilt die Verantwortliche in Textform an info@mathezeit.de mit.
Anlage 1 zum Auftragsverarbeitungsvertrag
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
MatheZeit UG (haftungsbeschränkt) · Stand 08.09.2026
Die folgenden Maßnahmen beschreiben den tatsächlich umgesetzten Zustand.
1 Vertraulichkeit
1.1 Zutritt zu den Verarbeitungsanlagen
| Maßnahme | Umsetzung |
|---|---|
| Rechenzentren | Die Verarbeitung findet ausschließlich in Rechenzentren der in Anlage 2 benannten Anbieter statt. Eigene Serverräume werden nicht betrieben. |
| Zutrittskontrolle | Elektronische Zutrittskontrolle, Videoüberwachung und durchgehende personelle Besetzung nach den Sicherheitskonzepten der Betreiber. Die entsprechenden Nachweise der Betreiber liegen vor und werden auf Anforderung vorgelegt. |
| Zutritt Betriebsfremder | Nur in Begleitung von Personal des Rechenzentrumsbetreibers. |
| Arbeitsplätze | Administrative Zugriffe erfolgen von verschlüsselten Endgeräten mit Bildschirmsperre und Festplattenverschlüsselung. |
1.2 Zugang zu den Systemen
| Maßnahme | Umsetzung |
|---|---|
| Serverzugang | Ausschließlich über SSH mit Schlüsselpaaren. Die Anmeldung mit Passwort ist deaktiviert. |
| Berechtigter Personenkreis | Der administrative Zugang ist auf namentlich benannte Personen beschränkt. Der Kreis wird dokumentiert und bei Veränderungen unverzüglich angepasst. |
| Netzwerkabschottung | Serverseitige Firewall mit restriktivem Regelwerk. Nur die für den Betrieb erforderlichen Dienste sind von außen erreichbar. |
| Angriffserkennung | Fail2ban erkennt und sperrt wiederholte fehlgeschlagene Anmeldeversuche automatisch. |
| Schutz vor Erraten von Zugangscodes | Ratenbegrenzung auf den Anmeldeendpunkten: zwei Anfragen je Sekunde je Quelladresse, Antwortstatus 429 bei Überschreitung. Wirksam auf /api/code/, /api/lernsystem/verify und /k/. |
| Schutz der Namensverschlüsselung | Serverseitige Begrenzung der Entschlüsselungsversuche mit temporärer Sperre. |
1.3 Zugriff auf die Daten
| Maßnahme | Umsetzung |
|---|---|
| Rollenmodell | Schülerinnen und Schüler sehen ausschließlich ihre eigenen Aufgaben und Ergebnisse. Lehrkräfte sehen ausschließlich die Lernstände ihrer eigenen Klassen. Administrative Zugänge sind auf den benannten Personenkreis beschränkt. |
| Durchsetzung der Trennung | Sämtliche Datenbankabfragen zu Lernständen filtern verbindlich nach der Kennung der angemeldeten Lehrkraft. Ein Zugriff auf klassenfremde Daten ist über die Anwendungsschnittstelle nicht möglich. |
| Sitzungsverwaltung | Anmeldung über Sitzungskennung mit begrenzter Gültigkeit. Ungültige Sitzungen werden serverseitig erkannt und führen zur automatischen Abmeldung. |
| Protokollierung administrativer Zugriffe | Schreibende Eingriffe über administrative Zugänge werden mit Zeitpunkt, handelnder Person, Aktion und Ergebnis protokolliert. Das Protokoll wird zwölf Monate aufbewahrt. |
1.4 Pseudonymisierung
| Maßnahme | Umsetzung |
|---|---|
| Identifikation ohne Klarnamen | Schülerinnen und Schüler werden ausschließlich über einen achtstelligen, nicht fortlaufend vergebenen Zugangscode identifiziert. Namen werden im System nicht im Klartext gespeichert. |
| Trennung der Zuordnung | Die Zuordnung von Code zu Person liegt bei der Lehrkraft. Wird sie digital geführt, liegt sie auf dem Server ausschließlich verschlüsselt vor; die PIN kennt die Auftragsverarbeiterin nicht. |
| Verkürzung von Verkehrsdaten | IP-Adressen werden nie vollständig gespeichert: in Serverprotokollen auf die ersten drei Blöcke gekürzt, in der Anwendung ausschließlich als Hashwert. |
| Protokolle des Lernassistenten | Die Protokolleinträge enthalten ausschließlich einen Hashwert der IP-Adresse sowie Zeitpunkt, Aufgabentyp und Nutzlastgröße, keine Inhalte. |
1.5 Verschlüsselung
| Maßnahme | Umsetzung |
|---|---|
| Übertragung | Sämtliche Verbindungen zwischen Endgerät und Server erfolgen über TLS. Unverschlüsselte Aufrufe werden umgeleitet. |
| Passwörter der Lehrkräfte | Argon2id mit den Parametern Speicherkosten 19456, Zeitkosten 2, Parallelität 1. Klartextpasswörter werden nicht gespeichert. Für Bestandsdaten besteht eine Rückfallebene auf scrypt; betroffene Datensätze werden bei der nächsten Anmeldung auf Argon2id umgestellt. |
| Anmelde-PINs | Sechsstellige Einmal-PIN, ausschließlich als SHA-256-Hashwert gespeichert, Gültigkeit zwanzig Minuten, Versuchszähler, Ratenbegrenzung von sechs Anforderungen je Stunde und Quelladresse. |
| Optionale Namenszuordnung | AES-256 mit aus einer PIN abgeleitetem Schlüssel (PBKDF2). Der Server speichert ausschließlich den verschlüsselten Datensatz und kennt die PIN nicht. Die Auftragsverarbeiterin greift auf den Datensatz nicht zu. |
1.6 Schutz der Auswertung für Lehrkräfte
| Maßnahme | Umsetzung |
|---|---|
| Bindung an die eigene Klasse | Bei jedem Zugriff auf Lernstände prüft der Server, ob die Klasse zur angemeldeten Lehrkraft gehört. Die Prüfung liegt an einer zentralen Stelle und nicht in den einzelnen Abfragen. |
| Einordnung standardmäßig aus | Die vergleichende Einordnung ist je Klasse abgeschaltet und muss von der Lehrkraft aktiv eingeschaltet werden. Sie ist jederzeit abschaltbar. |
| Nachweis der Einführung | Die Freischaltung setzt eine bestätigte didaktische Einführung voraus. Bestätigung und Freigabe werden je Lehrkraft und je Klasse mit Fassungsnummer und Zeitpunkt gespeichert. Ändert sich die Logik inhaltlich, wird die Fassungsnummer erhöht und erneut bestätigt. |
| Ausnahme einzelner Kinder | Beim Einschalten können einzelne Kinder von der Einordnung ausgenommen werden; sie erscheinen in keiner Verteilungsdarstellung. |
| Feste Schwellen statt Rangfolge | Die Zuordnung zu einem Erwartungsband erfolgt an festen Prozentgrenzen. Eine Rangfolge der Kinder wird weder gebildet noch gespeichert noch angezeigt. Die Verteilungsdarstellung zeigt die Kinder ohne Zugangscode. Welchem Band ein einzelnes Kind zugeordnet ist, zeigt ausschließlich eine Liste der ganzen Klasse, die nach Zugangscode geordnet ist und nicht nach Ergebnis umsortiert werden kann. |
| Mindestdatenbasis | Ohne ausreichende Grundlage unterbleibt die Einordnung. Gruppen unter zwei Kindern werden in der Verteilungsdarstellung nicht ausgewiesen, damit sich einzelne Kinder nicht aus einer Verteilung herauslesen lassen. |
| Keine Speicherung der Einordnung | Die Einordnung wird nicht gespeichert, sondern bei jedem Aufruf aus den Lerndaten neu berechnet. |
| Keine Anzeige für Kinder | Kinder sehen ausschließlich ihren eigenen Lernstand, weder den anderer Kinder noch ihre eigene Einordnung im Verhältnis zur Klasse. |
| Erkennbarkeit der Live-Ansicht | Während einer Unterrichtsstunde wird die MatheZeit-Seite des Kindes im Browser der Lehrkraft nachgezeichnet; übermittelt werden nur Änderungen am Seitenaufbau, kein Bildschirmvideo und keine Mausbewegungen. Dem Kind wird ein Hinweis angezeigt, solange die Lehrkraft zuschaut. Das Nachzeichnen beginnt erst, wenn die Lehrkraft die Ansicht öffnet, und endet mit dem Schließen. Es wird nichts gespeichert. |
1.7 Trennung
| Maßnahme | Umsetzung |
|---|---|
| Mandantentrennung | Datentrennung zwischen Lehrkräften und Klassen auf Anwendungsebene, durchgesetzt in jeder Abfrage. |
| Umgebungstrennung | Produktiv- und Testumgebung sind getrennt. Für Prüfzwecke werden eigene Testzugänge ohne echte Personendaten bereitgestellt. |
| Zweckbindung | Die Daten werden nicht mit Daten aus anderen Quellen zusammengeführt. |
1.8 Datenminimierung
| Maßnahme | Umsetzung |
|---|---|
| Keine Klarnamen | Im System liegen keine Namen von Schülerinnen und Schülern im Klartext. |
| Keine Verkehrs- und Gerätedaten | IP-Adressen nur gekürzt oder als Hashwert, keine Gerätekennungen, keine Werbe-IDs, keine Standortdaten. |
| Keine Zeitprofile für Lehrkräfte | Anmeldezeiten, Nutzungszeiten und Bearbeitungsdauern einzelner Kinder werden der Lehrkraft nicht angezeigt. Zeitpunkte werden ausschließlich maschinell für die Zuordnung zu einer Unterrichtsstunde verwendet. |
| Kein Verhalten außerhalb der Aufgabe | In die Auswertung fließen ausschließlich fachliche Ergebnisse ein. Nutzungshäufigkeit, Tempo und verwendetes Gerät bleiben unberücksichtigt. |
| Begrenzung der Rohdaten | Bearbeitungsdaten werden auf die für die Auswertung erforderlichen Felder begrenzt. Vollständige Rohprotokolle einzelner Interaktionsschritte werden nicht dauerhaft vorgehalten. |
| Datensparsame Schnittstellen | An den Lernassistenten werden nur die für die Rückfrage erforderlichen Felder übergeben; eine Kennung des Kindes ist nicht darunter. |
2 Integrität
2.1 Weitergabe
| Maßnahme | Umsetzung |
|---|---|
| Empfängerkreis | Eine Weitergabe personenbezogener Daten erfolgt ausschließlich an die in Anlage 2 benannten Unterauftragsverarbeiter. |
| Keine Werbe- oder Analysedienste | Es werden keine verhaltensbasierten Analysewerkzeuge, keine Werbenetzwerke und keine Tracker eingesetzt. |
| Keine fremden Einbindungen | Programmbibliotheken, Schriftarten und sonstige Inhalte werden entweder selbst ausgeliefert oder von einem Anbieter bezogen, mit dem ein Auftragsverarbeitungsvertrag besteht. |
| Verschlüsselter Transport | Auch die Verbindungen zwischen den eigenen Servern und den Unterauftragsverarbeitern erfolgen über TLS. |
2.2 Eingabe
| Maßnahme | Umsetzung |
|---|---|
| Serverseitige Prüfung | Alle Eingaben an der Anwendungsschnittstelle werden serverseitig validiert. Datenbankzugriffe erfolgen ausschließlich über parametrisierte Abfragen. |
| Ausgabefilterung | Nutzergenerierte Inhalte werden vor der Ausgabe entschärft, um Skripteinschleusung zu verhindern. |
| Protokollierung | Zugriffe auf die Anwendungsschnittstelle werden in Serverprotokollen mit gekürzter IP-Adresse erfasst und nach vierzehn Tagen gelöscht. Administrative Eingriffe werden zusätzlich nach Nr. 1.3 protokolliert. |
| Berechtigungsprüfung | Datenänderungen sind nur berechtigten Personen möglich: Lehrkräften für die eigenen Klassen, Administratoren im festgelegten Aufgabenbereich. |
2.3 Auftragskontrolle
| Maßnahme | Umsetzung |
|---|---|
| Weisungsbindung | Die Verarbeitung erfolgt ausschließlich nach dokumentierter Weisung der Verantwortlichen. |
| Verfahrensdokumentation | Die Verarbeitungstätigkeiten sind in einem Verzeichnis nach Art. 30 Abs. 2 DSGVO dokumentiert. |
| Vertragskette | Unterauftragsverarbeiter sind auf entsprechende Pflichten verpflichtet. |
3 Verfügbarkeit und Belastbarkeit
| Maßnahme | Umsetzung |
|---|---|
| Datensicherung | Stündliche automatische Sicherung der Datenbank und der Konfigurationsdaten. Die Sicherungen werden in einen getrennten Objektspeicher desselben Anbieters innerhalb Deutschlands übertragen. |
| Aufbewahrung der Sicherungen | Sicherungen werden dreißig Tage vorgehalten und danach überschrieben. Nach einer Löschung im Produktivsystem sind die betroffenen Daten damit spätestens nach dreißig Tagen auch aus den Sicherungen entfernt. |
| Wiederherstellung | Die Wiederherstellung aus der Sicherung wird mindestens jährlich erprobt und das Ergebnis dokumentiert. |
| Dienstüberwachung | Prozessüberwachung mit automatischem Neustart bei Ausfall. Ein Ersatzprozess übernimmt Anfragen während eines Neustarts, sodass Aktualisierungen ohne Unterbrechung möglich sind. |
| Nachvollziehbare Auslieferung | Änderungen am Server werden versioniert ausgeliefert und sind rücknehmbar. |
| Infrastruktur | Unterbrechungsfreie Stromversorgung, Brandschutz und redundante Netzanbindung nach den Konzepten der Rechenzentrumsbetreiber. |
4 Verfahren zur Überprüfung, Bewertung und Evaluierung
| Maßnahme | Umsetzung |
|---|---|
| Regelmäßige Überprüfung | Die technischen und organisatorischen Maßnahmen werden mindestens jährlich überprüft und das Ergebnis dokumentiert. |
| Aktualisierung der Software | Sicherheitsaktualisierungen der eingesetzten Komponenten werden regelmäßig eingespielt. |
| Schwachstellenmanagement | Der Bestand an Fremdbibliotheken wird in Anwendung und Serverdiensten regelmäßig und zusätzlich vor jeder Auslieferung auf bekannte Schwachstellen geprüft. Befunde werden nach Schweregrad eingestuft: kritische und hohe Befunde in Komponenten, die zur Laufzeit Daten verarbeiten, werden vorrangig behoben; Befunde in reinen Entwicklungswerkzeugen werden erfasst und im nächsten Wartungsfenster behoben. Der jeweilige Stand wird dokumentiert und der Verantwortlichen auf Anforderung vorgelegt. |
| Trennung von Laufzeit und Werkzeugen | Entwicklungswerkzeuge sind nicht Bestandteil der ausgelieferten Serverdienste. Eine Schwachstelle in der Werkzeugkette wirkt sich damit nicht auf die Verarbeitung personenbezogener Daten aus. |
| Datenschutz durch Voreinstellung | Es werden keine personenbezogenen Daten von Kindern erhoben. Die digitale Namenszuordnung ist nicht voreingestellt, sondern muss von der Lehrkraft aktiv eingerichtet werden. |
| Datenschutz durch Technikgestaltung | Der Lernassistent ist auswahlbasiert aufgebaut. Es besteht keine Eingabemöglichkeit für freien Text, über die personenbezogene Angaben an ein Sprachmodell gelangen könnten. |
| Löschung | Löschläufe nach den in Anlage 5 festgelegten Fristen zu festen Terminen, mindestens monatlich, mit Protokoll je Lauf. |
| Umgang mit Sicherheitsvorfällen | Dokumentiertes Verfahren mit Unterrichtung der Verantwortlichen innerhalb von vierundzwanzig Stunden. |
| Barrierefreiheit | Die Oberflächen werden fortlaufend an den Anforderungen der WCAG 2.1 Stufe AA ausgerichtet. Automatisierte Prüfungen sind Teil der Auslieferung. |
5 Besondere Maßnahmen zum Schutz von Kindern
Die Plattform richtet sich an Kinder im Alter von sechs bis vierzehn Jahren. Über die allgemeinen Anforderungen hinaus gilt:
| Maßnahme | Umsetzung |
|---|---|
| Keine Registrierung durch Kinder | Zugänge werden ausschließlich von Lehrkräften angelegt. Kinder geben zu keinem Zeitpunkt personenbezogene Angaben ein. |
| Keine Einwilligungsabfragen | Kindern wird zu keinem Zweck eine Einwilligungsabfrage vorgelegt. |
| Keine Werbung, keine Käufe | Die Plattform enthält keine Werbung, keine gesponserten Inhalte, keine kostenpflichtigen Zusatzangebote und keine Aufforderung zum Erwerb von Leistungen. |
| Keine Verlinkung nach außen | Aus dem Schülerbereich wird nicht auf externe Seiten oder auf Anwendungsverzeichnisse verlinkt. |
| Keine Kommunikation zwischen Nutzenden | Es gibt keinen Chat, keine Nachrichten- und keine Kommentarfunktion. |
| Keine Tracker | Es werden keine verhaltensbasierten Analysewerkzeuge eingesetzt. |
| Keine Rangfolgen für Kinder | Kindern werden keine Bestenlisten, Perzentile oder Vergleiche mit anderen Kindern angezeigt. Einzige Ausnahme ist das Ergebnis eines Duells, an dem das Kind selbst teilgenommen hat; es zeigt nur die Teilnehmenden dieses Duells mit einem Pseudonym (Tiername), weder mit Namen noch mit Zugangscode. |
| Lehrkraft als Zugangsregelung | Die Lehrkraft steuert über Klassenberechtigungen, welche Bereiche der Plattform verfügbar sind. |
| Erkennbarkeit der Einsichtnahme | Für Kinder ist erkennbar, dass ihre Lehrkraft die Lernergebnisse einsehen kann. |
Anlage 2 zum Auftragsverarbeitungsvertrag
Unterauftragsverarbeiter und Verarbeitungsorte
MatheZeit UG (haftungsbeschränkt) · Stand 23.09.2026
Die Verantwortliche genehmigt mit Abschluss des Auftragsverarbeitungsvertrages den Einsatz der nachfolgend benannten Unterauftragsverarbeiter. Die Liste ist abschließend. Änderungen richten sich nach § 7 des Vertrages.
A Unterauftragsverarbeiter
A.1 Betrieb der Plattform
| Anbieter | Hetzner Online GmbH |
|---|---|
| Anschrift | Industriestraße 25, 91710 Gunzenhausen |
| Leistung | Bereitstellung von Cloud-Servern. Auf dieser Infrastruktur betreibt die Auftragsverarbeiterin eigenständig die Anwendungsschnittstelle, die Datenbank, den Webserver und die Lerneinheiten. |
| Verarbeitete Daten | Sämtliche in § 2 des Vertrages genannten Datenkategorien |
| Verarbeitungsort | Nürnberg, Deutschland |
| Drittlandbezug | keiner |
| Grundlage | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO |
A.2 Datensicherung
| Anbieter | Hetzner Online GmbH, Objektspeicher |
|---|---|
| Anschrift | Industriestraße 25, 91710 Gunzenhausen |
| Leistung | Aufbewahrung der stündlichen Sicherungen von Datenbank und Konfiguration |
| Verarbeitete Daten | Sämtliche in § 2 des Vertrages genannten Datenkategorien, in gesicherter Form |
| Verarbeitungsort | Nürnberg, Deutschland |
| Drittlandbezug | keiner |
| Grundlage | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO |
A.3 Vermittlungsserver des Lernassistenten
| Anbieter | OVH GmbH |
|---|---|
| Anschrift | St.-Johanner-Straße 41–43, 66111 Saarbrücken |
| Leistung | Bereitstellung von Serverinfrastruktur. Auf dieser Infrastruktur betreibt die Auftragsverarbeiterin eigenständig den Vermittlungsdienst sowie ein selbst betriebenes Sprachmodell. Der Vermittlungsdienst leitet Anfragen des Lernassistenten an das Sprachmodell weiterleitet. |
| Verarbeitete Daten | Aufgabentyp, Aufgabentext, korrekte Antwort, gegebene Antwort, Verlauf der Rückfragen. Keine personenbezogenen Daten von Schülerinnen und Schülern. Protokolleinträge enthalten ausschließlich Hashwerte. |
| Verarbeitungsort | Frankfurt am Main, Deutschland |
| Drittlandbezug | keiner |
| Grundlage | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO |
A.4 Sprachmodell des Lernassistenten
| Anbieter | Amazon Web Services EMEA SARL |
|---|---|
| Anschrift | 38 Avenue John F. Kennedy, L-1855 Luxemburg |
| Leistung | Bereitstellung von Sprachmodellen der Anbieter Anthropic (Claude) und Mistral AI über den Dienst Amazon Bedrock. Die Modellanbieter erhalten keinen Zugriff auf die Anfragen. |
| Verarbeitete Daten | Aufgabentyp, Aufgabentext, korrekte Antwort, gegebene Antwort, Verlauf der Rückfragen, Hinweise, Darstellungsdaten der Aufgabe, Oberflächensprache. Keine personenbezogenen Daten. |
| Verarbeitungsort | Rechenzentren innerhalb der Europäischen Union (EU-Inferenzprofil); Aufruf über die Region eu-central-1, Frankfurt am Main |
| Drittlandbezug | keiner. Der Dienst wird ausschließlich in der europäischen Region aufgerufen. Die Rückfallebene der Modellzuordnung ist ebenfalls auf die europäische Region festgelegt, sodass ein Ausfall der Konfiguration nicht zu einem Wechsel des Verarbeitungslandes führen kann. |
| Verwendung zu Trainingszwecken | ausgeschlossen |
| Grundlage | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (AWS GDPR Data Processing Addendum) |
A.5 Versand von Anmeldenachrichten
| Anbieter | IONOS SE |
|---|---|
| Anschrift | Elgendorfer Straße 57, 56410 Montabaur |
| Leistung | Versand der Einmal-PIN zur Anmeldung sowie betrieblicher Benachrichtigungen an Lehrkräfte |
| Verarbeitete Daten | E-Mail-Adresse und Name der Lehrkraft, Inhalt der Nachricht. Keine Daten von Schülerinnen und Schülern. |
| Verarbeitungsort | Deutschland |
| Drittlandbezug | keiner |
| Grundlage | Auftragsverarbeitungsvertrag nach Art. 28 DSGVO |
B Keine Unterauftragsverarbeitung
Folgende Beziehungen begründen keine Unterauftragsverarbeitung im Sinne des § 7 des Vertrages, werden aber der Vollständigkeit halber genannt:
| Beziehung | Einordnung |
|---|---|
| Telekommunikations- und Postdienstleistungen | Nebenleistung ohne Bezug zur Hauptleistung |
| Anbindung an eine Landeslernplattform über LTI | Der Aufruf erfolgt durch die Landeslernplattform. Verantwortliche Stelle ist die Schule beziehungsweise das Land. |
| Anbindung an einen Identitätsvermittler für die Anmeldung | Gesonderte Auftragsverarbeitung nach den Vorgaben des jeweiligen Vermittlungsdienstes |
C Zusicherungen
(1) Über die in Abschnitt A benannten Empfänger hinaus werden personenbezogene Daten nicht an Dritte übermittelt.
(2) Eine Übermittlung personenbezogener Daten in ein Drittland findet nicht statt.
(3) Personenbezogene Daten von Schülerinnen und Schülern werden ausschließlich innerhalb Deutschlands verarbeitet.
(4) Die Auftragsverarbeiterin setzt keine Programmbibliotheken, Schriftarten, Karten- oder Analysedienste ein, die im Endgerät der Nutzerin oder des Nutzers eine Verbindung zu einem Anbieter herstellen, mit dem kein Auftragsverarbeitungsverhältnis besteht.
(5) Die Auftragsverarbeiterin überprüft diese Anlage mindestens halbjährlich sowie anlassbezogen bei jeder Änderung der eingesetzten Dienste.
Anlage 4 zum Auftragsverarbeitungsvertrag
Steckbrief des Lernassistenten
MatheZeit UG (haftungsbeschränkt) · Stand 08.09.2026
Dieser Steckbrief beschreibt Zweck, Aufbau, Datenfluss und rechtliche Einordnung des Lernassistenten. Er dient der Transparenzpflicht nach Art. 13 und 14 DSGVO, der Nachweispflicht nach Art. 5 Abs. 2 DSGVO und der Kennzeichnungspflicht nach Art. 50 der Verordnung (EU) 2024/1689 über künstliche Intelligenz.
1 Zweck und Funktionsweise
(1) Zweck. Der Lernassistent unterstützt Schülerinnen und Schüler, wenn eine Aufgabe falsch gelöst wurde. Er nennt nicht die richtige Antwort, sondern stellt eine Rückfrage, die zum nächsten Denkschritt führt.
(2) Auslösung. Der Assistent meldet sich nach einer falschen Antwort oder wenn das Kind ihn aufruft. In einzelnen Lernbereichen bietet er zusätzlich von sich aus Hilfe an, wenn die Antworten der laufenden Sitzung auf eine Fehlvorstellung hindeuten. Das geschieht nur zwischen zwei Aufgaben und als Angebot, das das Kind ablehnen kann; nach zweimaliger Ablehnung unterbleibt es für den Rest der Lerneinheit. Grundlage sind ausschließlich die Antworten dieser Sitzung. Sie werden nur auf dem Gerät ausgewertet und nicht gespeichert. Verhalten außerhalb der Aufgaben wird weder beobachtet noch protokolliert.
(3) Auswahlbasierte Bedienung. Kinder antworten dem Assistenten ausschließlich durch Auswahl vorgegebener Antwortmöglichkeiten. Es gibt keine Eingabe freien Textes und keine Sprachaufnahme. Diese Gestaltung ist der Grund dafür, dass keine personenbezogenen Angaben an ein Sprachmodell gelangen können.
(4) Zweistufiger Aufbau.
Stufe 1, lokal. Für eine Reihe wiederkehrender Fehlermuster liegen Regeln und vorformulierte Rückfragen im Programm vor. Greift eine Regel, wird die Rückfrage ohne jede Serveranfrage erzeugt. Es verlassen keine Daten das Gerät.
Stufe 2, Sprachmodell. Greift keine Regel, wird eine Anfrage an ein Sprachmodell gestellt. Die Anfrage läuft über einen Vermittlungsdienst der Auftragsverarbeiterin.
(5) Begrenzung. Die Anzahl der Modellanfragen je Aufgabe ist begrenzt. Nach Erreichen der Grenze werden ausschließlich lokale Rückfragen ausgegeben, es sei denn, das Kind bittet über die vorgegebene Auswahl ausdrücklich um weitere Hilfe zu dieser Aufgabe.
(6) Keine Bewertung. Die Ausgaben des Assistenten fließen nicht in eine Note, nicht in eine Empfehlung und nicht in eine Zugangsentscheidung ein.
2 Eingesetzte Systeme
| Vermittlungsdienst | Eigenbetrieb der Auftragsverarbeiterin, Standort Frankfurt am Main. Anfragen erreichen ihn nur über den Plattform-Server der Auftragsverarbeiterin in Nürnberg, nie direkt vom Endgerät. |
|---|---|
| Modellanbieter | Amazon Web Services, Dienst Amazon Bedrock, mit Sprachmodellen von Anthropic (Claude) und Mistral AI; alternativ ein von der Auftragsverarbeiterin selbst betriebenes Sprachmodell auf dem Vermittlungsdienst |
| Region | Aufruf über eu-central-1, Frankfurt am Main; Verarbeitung innerhalb der Europäischen Union (EU-Inferenzprofil) |
| Training mit den Anfragen | ausgeschlossen |
| Feinabstimmung eigener Modelle | findet nicht statt |
| Rückfallebene | Fällt das vorgesehene Modell aus, wird ein anderes der genannten Modelle innerhalb der Europäischen Union verwendet; steht keines zur Verfügung, gibt der Assistent ausschließlich lokale Rückfragen aus. Ein Wechsel in ein Drittland ist ausgeschlossen. |
Die Modellzuordnung ist in einer Konfigurationsdatei auf dem Vermittlungsdienst hinterlegt und für jede Funktion einzeln festgelegt.
3 Datenfluss
```
Endgerät des Kindes
│ Anfrage, nur wenn keine lokale Regel greift
▼
Plattform-Server der MatheZeit UG · Nürnberg · prüft die Anfrage und leitet sie weiter
│ Anfrage
▼
Vermittlungsdienst der MatheZeit UG · Frankfurt am Main
│ Anfrage
▼
Amazon Bedrock (EU-Inferenzprofil) oder selbst betriebenes Modell · innerhalb der EU
│ Antwort
▼
Vermittlungsdienst der MatheZeit UG · Frankfurt am Main
│ Antwort
▼
Plattform-Server der MatheZeit UG · Nürnberg
│ Antwort
▼
Endgerät des Kindes · Rückfrage erscheint
```
(1) Übermittelt werden:
| Feld | Inhalt |
|---|---|
| Aufgabentyp | technische Bezeichnung der Aufgabenart |
| Aufgabentext | Wortlaut der gestellten Aufgabe |
| korrekte Antwort | Lösung der Aufgabe |
| gegebene Antwort | die vom Kind gewählte Antwort |
| Verlauf | bisherige Rückfragen und ausgewählte Antwortmöglichkeiten dieser Sitzung |
| Hinweise | bereits ausgegebene Hilfestellungen |
| Darstellungsdaten | Angaben zur Darstellung der Aufgabe; sie geben ausschließlich die Aufgabe selbst wieder |
| Sprache | eingestellte Oberflächensprache |
(2) Nicht übermittelt werden:
Zugangscode, Name, Klasse, Schulzuordnung, E-Mail-Adresse, IP-Adresse, Gerätekennung, Kennungen jeder Art sowie freier Text der Schülerin oder des Schülers.
(3) Protokollierung. Der Vermittlungsdienst schreibt je Anfrage einen Eintrag mit Zeitpunkt, Aufgabentyp, verwendetem Modell, Nutzlastgröße sowie einem Hashwert der IP-Adresse. Inhalte werden nicht protokolliert. Die Aufbewahrung richtet sich nach Anlage 5.
(4) Nachweis. Die Behauptung, es würden keine personenbezogenen Daten übermittelt, ist am Quellcode und am Protokoll des Vermittlungsdienstes überprüfbar. Ein Testzugang wird auf Anforderung bereitgestellt.
4 Datenschutzrechtliche Einordnung
(1) Kein Personenbezug im Modellpfad. Die an das Sprachmodell übermittelten Angaben enthalten keine Kennung, über die ein Bezug zu einer Person hergestellt werden könnte. Eine Aufgabe mit falscher Antwort ist ohne Kennung keiner Person zuzuordnen.
(2) Kein Drittlandtransfer. Der Vermittlungsdienst steht in Deutschland, die Modellverarbeitung findet innerhalb der Europäischen Union statt. Ein Transfer in ein Drittland findet im Pfad des Lernassistenten nicht statt.
(3) Keine automatisierte Entscheidung im Einzelfall. Art. 22 DSGVO ist nicht einschlägig. Der Assistent trifft keine Entscheidung, sondern stellt eine Rückfrage. Es entsteht keine rechtliche Wirkung und keine erhebliche Beeinträchtigung. Die pädagogische Bewertung liegt vollständig bei der Lehrkraft.
(4) Keine Profilbildung außerhalb der Plattform. Die Daten werden nicht mit Daten aus anderen Quellen zusammengeführt.
5 Einordnung nach der KI-Verordnung
(1) Rolle. Die MatheZeit UG ist Anbieterin eines KI-Systems im Sinne des Art. 3 Nr. 3 der Verordnung (EU) 2024/1689, soweit sie den Lernassistenten in Verkehr bringt, und Betreiberin, soweit sie ihn selbst betreibt.
(2) Transparenzpflicht nach Art. 50. Für Nutzerinnen und Nutzer ist erkennbar, dass sie mit einem KI-System interagieren. Die Kennzeichnung erfolgt in der Oberfläche sowie in den Datenschutzhinweisen für Kinder in altersgerechter Sprache. Diese Pflicht gilt seit dem 02.08.2026 und ist umgesetzt.
(3) Einordnung als Hochrisikosystem. Anhang III Nummer 3 der Verordnung erfasst KI-Systeme in der allgemeinen und beruflichen Bildung, unter anderem solche, die zur Bewertung von Lernergebnissen bestimmt sind, auch wenn diese Ergebnisse zur Steuerung des Lernprozesses verwendet werden.
Der Lernassistent bewertet keine Lernergebnisse. Er erzeugt eine Rückfrage zu einer bereits als falsch erkannten Antwort. Die Feststellung, ob eine Antwort richtig ist, trifft ein deterministischer Vergleich mit der hinterlegten Lösung, nicht das Sprachmodell.
Die Anpassung der Aufgabenschwierigkeit und die Einordnung der Lernstände nach Anlage 6 erfolgen über feste Rechenregeln auf Grundlage gezählter Lösungen und Versuche sowie eines Abgleichs falscher Antworten mit bekannten Fehlermustern. Sämtliche Regeln und Schwellenwerte sind von Menschen festgelegt. Die Ausgaben des Sprachmodells fließen in diese Rechnungen nicht ein. Die Regeln der Einordnung sind in Anlage 6 vollständig beschrieben. Sie beruhen nicht auf maschinellem Lernen und nicht auf einem inferierenden System und sind damit keine KI-Systeme im Sinne des Art. 3 Nr. 1 der Verordnung.
Ergänzend greift Art. 6 Abs. 3 der Verordnung: Ein in Anhang III genanntes System gilt nicht als hochriskant, wenn es eine eng begrenzte Verfahrensaufgabe erfüllt oder eine vorbereitende Aufgabe wahrnimmt und die menschliche Bewertung nicht ersetzt. Der Assistent erfüllt beide Merkmale.
(4) Ergebnis der Selbsteinstufung. Der Lernassistent ist ein KI-System mit begrenztem Risiko und Transparenzpflicht nach Art. 50, kein Hochrisikosystem nach Anhang III.
(4a) Klassenbezogene Auswertung von Fehlvorstellungen. Für die wöchentliche Auswertung nach § 2 Abs. 6 lit. f des Vertrages gilt gesondert:
a) Soweit das eingesetzte Verfahren aus Daten lernt oder Schlussfolgerungen zieht, ist es ein KI-System im Sinne des Art. 3 Nr. 1 der Verordnung. Es fällt dem Grunde nach unter Anhang III Nummer 3, weil es Lernergebnisse auswertet.
b) Es gilt dennoch nicht als hochriskant, weil es nach Art. 6 Abs. 3 lit. d eine vorbereitende Aufgabe erfüllt: Es liefert der Lehrkraft eine Grundlage für ihre eigene pädagogische Einschätzung und ersetzt diese nicht. Aus dem Hinweis folgt keine Entscheidung über ein Kind.
c) Es bildet kein Profil einzelner Personen. Das Ergebnis bezieht sich ausschließlich auf die Klasse als Ganzes und beruht auf mindestens drei Kindern; die Anzahl betroffener Kinder wird nicht angegeben, in Klassen mit weniger als zehn Kindern unterbleibt der Hinweis. Ein Ergebnis für ein einzelnes Kind wird weder ausgegeben noch gespeichert; Zwischenergebnisse je Kind werden nach der Auswertung verworfen.
d) Die Einstufung ist nach Art. 6 Abs. 4 dokumentiert. Eine Registrierung nach Art. 49 Abs. 2 erfolgt, sobald die Verordnung sie verlangt.
(5) Vorbehalt. Diese Einstufung ist eine dokumentierte Selbsteinstufung. Die Pflichten für Hochrisikosysteme nach Anhang III gelten nach der geänderten Übergangsregelung ab dem 02.12.2027. Bis dahin ist die Einstufung erneut zu prüfen, sobald der Assistent Funktionen erhält, die Lernergebnisse bewerten, oder sobald Leitlinien der Kommission zu Anhang III Nummer 3 in endgültiger Fassung vorliegen. Der Prüfvermerk wird fortgeschrieben.
(6) Änderungen. Eine wesentliche Änderung des Assistenten, insbesondere die Einführung freier Texteingabe, ein Wechsel des Modellanbieters oder eine Verlagerung der Verarbeitungsregion, macht eine erneute Prüfung nach diesem Abschnitt und eine Mitteilung an die Verantwortliche erforderlich.
6 Grenzen und bekannte Schwächen
(1) Sprachmodelle können sachlich falsche Rückfragen erzeugen. Der Assistent ist deshalb so aufgebaut, dass er nur Rückfragen stellt und keine Lösungen nennt. Eine falsche Rückfragerichtung führt zu einem Umweg, nicht zu einer falsch gelernten Regel.
(2) Die Qualität der Rückfragen wird stichprobenartig redaktionell überprüft. Auffällige Verläufe können von der Auftragsverarbeiterin ohne Personenbezug ausgewertet werden.
(3) Der Assistent ersetzt keine Lehrkraft. Er ist auf die Situation unmittelbar nach einer falschen Antwort begrenzt.
Anlage 5 zum Auftragsverarbeitungsvertrag
Aufbewahrungs- und Löschfristen
MatheZeit UG (haftungsbeschränkt) · Stand 08.09.2026
1 Grundsätze
(1) Personenbezogene Daten werden nur so lange gespeichert, wie es für die in § 2 des Vertrages genannten Zwecke erforderlich ist.
(2) Es gelten zwei Löschauslöser nebeneinander. Maßgeblich ist derjenige, der zuerst eintritt:
a) die Löschung durch die Lehrkraft oder auf Weisung der Verantwortlichen,
b) der Ablauf von achtzehn Monaten seit dem letzten Nutzungsvorgang des betreffenden Zugangs.
(3) Die Frist nach Absatz 2 lit. b beginnt mit jeder Nutzung des Zugangs neu. Solange ein Zugang genutzt wird, auch in einer fortgeführten Klasse, wird er nicht gelöscht. Wird er achtzehn Monate lang nicht genutzt, wird er in jedem Fall gelöscht, unabhängig von jeder anderen Regelung.
(4) Jeder Löschlauf wird protokolliert. Das Protokoll enthält Zeitpunkt, Auslöser, betroffene Datenkategorien und die Anzahl gelöschter Datensätze, jedoch keine personenbezogenen Inhalte. Es wird der Verantwortlichen auf Anforderung vorgelegt.
2 Fristen im Einzelnen
2.1 Daten von Schülerinnen und Schülern
| Datenkategorie | Aufbewahrung | Auslöser und Verfahren |
|---|---|---|
| Zugangscode und Klassenzuordnung | bis zur Löschung durch die Lehrkraft, längstens achtzehn Monate nach dem letzten Nutzungsvorgang | Löschung durch die Lehrkraft in der Klassenverwaltung oder durch den Löschlauf |
| Aufgabenbearbeitungen und Lerndaten | wie Zugangscode | Vollständige Löschung. Alternativ Anonymisierung durch Entfernung des Zugangscodes, wenn die Verantwortliche die weitere Nutzung zur Qualitätssicherung zugelassen hat. |
| Kennzahlen zur Steuerung der Schwierigkeit | wie Zugangscode | Löschung gemeinsam mit dem Zugangscode |
| Abbild der Aufgabenfläche je Antwort | wie Zugangscode | Löschung gemeinsam mit der zugehörigen Aufgabenbearbeitung |
| Fehlermuster | wie Zugangscode | Löschung gemeinsam mit dem Zugangscode |
| Duell-Ergebnisse | wie Zugangscode | Löschung gemeinsam mit dem Zugangscode |
| Verschlüsselte Namenszuordnung | bis zur Löschung durch die Lehrkraft | Löschung durch die Lehrkraft. Wird nicht auf eine übernehmende Lehrkraft übertragen. |
| Protokolleinträge des Lernassistenten | zwölf Monate | Automatische Löschung. Die Einträge enthalten keine Inhalte, sondern ausschließlich Hashwerte und Kennzahlen. |
Fortführung einer Klasse. Klassen können über das Schuljahr hinaus weitergeführt werden, auch bei einem Wechsel der Lehrkraft innerhalb derselben Schule. Übertragen werden dabei ausschließlich die pseudonymen Daten; die verschlüsselte Namenszuordnung wird nicht übertragen. Die Frist nach Ziffer 1 Abs. 2 lit. b bleibt davon unberührt.
Verlassen der Schule. Spätestens wenn eine Schülerin oder ein Schüler die Schule verlässt, sind sämtliche zugehörigen Daten zu löschen.
2.2 Daten von Lehrkräften
| Datenkategorie | Aufbewahrung | Auslöser und Verfahren |
|---|---|---|
| Konto mit E-Mail-Adresse, Name und Schulzuordnung | bis zur Löschung des Kontos, längstens achtzehn Monate nach der letzten Anmeldung | Löschung auf Anforderung der Lehrkraft, auf Weisung der Verantwortlichen oder durch den Löschlauf nach Fristablauf |
| Passwort-Hashwert | mit dem Konto | Löschung gemeinsam mit dem Konto |
| Einmal-PIN zur Anmeldung | zwanzig Minuten | Automatischer Verfall, anschließend Entfernung des Datensatzes |
| Sitzungskennungen | bis zum Ablauf der Sitzung | Automatischer Verfall |
| Angelegte Klassen | mit dem Konto, vorbehaltlich der Übernahme durch eine andere Lehrkraft | Löschung gemeinsam mit dem Konto |
| Freigabeprotokoll der Einordnung | mit dem Konto | Löschung gemeinsam mit dem Konto |
Vorherige Ankündigung. Vor der Löschung eines Kontos nach Fristablauf wird die Lehrkraft an die hinterlegte E-Mail-Adresse erinnert, mit einer Frist von vier Wochen.
2.3 Betriebs- und Nachweisdaten
| Datenkategorie | Aufbewahrung | Verfahren |
|---|---|---|
| Sicherungen der Datenbank | dreißig Tage | Automatisches Überschreiben. Nach einer Löschung im Produktivsystem sind die Daten spätestens nach dreißig Tagen auch aus den Sicherungen entfernt. |
| Serverprotokolle mit gekürzten IP-Adressen | vierzehn Tage | Automatische Rotation |
| Protokoll administrativer Eingriffe | zwölf Monate | Automatische Löschung |
| Protokolle der Löschläufe | drei Jahre | Aufbewahrung als Nachweis nach Art. 5 Abs. 2 DSGVO. Enthält keine personenbezogenen Inhalte. |
| Nachweisunterlagen zur Auftragsverarbeitung | nach den gesetzlichen Aufbewahrungsfristen | Aufbewahrung über das Vertragsende hinaus |
2.4 Nach Beendigung des Vertrages
| Betroffene Daten | Frist |
|---|---|
| Sämtliche Daten von Schülerinnen und Schülern | spätestens sechzig Tage nach Beendigung |
| Sämtliche Daten von Lehrkräften | spätestens dreißig Tage nach Beendigung |
| Sicherungen | mit dem Ablauf des laufenden Sicherungszyklus, spätestens dreißig Tage nach der Löschung im Produktivsystem |
Die vollständige Löschung wird der Verantwortlichen in Textform bestätigt.
3 Durchführung der Löschläufe
(1) Termine. Löschläufe finden zu festen Terminen statt, mindestens monatlich.
(2) Ermittlung des letzten Nutzungsvorgangs. Für jeden Zugangscode wird der jüngste Zeitpunkt einer Aufgabenbearbeitung oder einer Anmeldung ermittelt. Liegt dieser Zeitpunkt mehr als achtzehn Monate zurück, werden der Zugangscode und sämtliche zugehörigen Daten gelöscht.
(3) Reihenfolge. Abhängige Datensätze werden vor dem Zugangscode gelöscht, damit keine verwaisten Einträge zurückbleiben. Die Löschung erfolgt in einer Transaktion je Zugangscode.
(4) Protokoll. Je Lauf wird ein Eintrag mit Zeitpunkt, Auslöser, Anzahl geprüfter und gelöschter Zugänge sowie Anzahl gelöschter Datensätze je Kategorie geschrieben. Bei einem Abbruch wird der Fehler protokolliert und der Lauf beim nächsten Termin wiederholt.
(5) Überwachung. Findet ein Lauf nicht statt oder bricht er ab, wird dies als Vorfall behandelt und der Lauf unverzüglich nachgeholt.
Anlage 6 zum Auftragsverarbeitungsvertrag
Einordnung der Lernstände: Berechnung, Grenzen, Mindestdatenbasis
Stand: 23. September 2026 · Fassung: 2026-09
Dieses Dokument beschreibt, wie die Einordnung in der Ergebnisse-Ansicht zustande kommt. Es richtet sich an Lehrkräfte, die damit arbeiten, und an Datenschutzbeauftragte, die sie prüfen. Es ist zugleich die Erläuterung nach Art. 13/14 DSGVO und Erwägungsgrund 60, auf die sich Ziffer 4.4 der Datenschutzerklärung bezieht.
Wer die Einordnung für eine Klasse einschaltet, bekommt diesen Text vorher zu lesen.
Kurz gesagt
Es gibt zwei Einordnungen, und sie funktionieren unterschiedlich:
| Was eingeordnet wird | Woran gemessen | |
|---|---|---|
| Kinder | der Lernstand eines Kindes | an festen Prozentgrenzen |
| Kompetenzbereiche | der Stand der Klasse in einem Bereich | an einem landesweiten Vergleichswert |
Kinder werden nicht miteinander verglichen. Ob ein Kind als „über Erwartung" erscheint, hängt allein von seinen eigenen Ergebnissen ab, nicht davon, wie die anderen abgeschnitten haben. Es gibt keine Rangfolge und keine Quote.
1. Der Wert eines Kindes
Betrachtet werden die letzten 90 Tage.
Aus der Knobelbox: der Anteil der Aufgaben, die beim ersten Versuch richtig gelöst wurden, geteilt durch alle bearbeiteten Aufgaben.
Aus den MatheZeiten: zuerst der Durchschnitt je Level, dann der Durchschnitt über die Level. So zählt ein Level, an dem ein Kind lange gearbeitet hat, nicht stärker als eines, das es einmal bearbeitet hat.
Zusammengeführt: Liegen beide Werte vor, ist das Ergebnis ihr Mittelwert. Liegt nur einer vor, gilt dieser.
Es entsteht ein Prozentwert zwischen 0 und 100.
2. Die vier Bänder
| Band | ab |
|---|---|
| über Erwartung | 81 % |
| in Erwartung | 64 % |
| unter Erwartung | 44 % |
| weit unter Erwartung | darunter |
Diese Grenzen sind fest. Sie verschieben sich nicht mit der Klasse, dem Jahrgang oder dem Zeitpunkt. Zwei Kinder mit demselben Prozentwert stehen im selben Band, unabhängig davon, in welcher Klasse sie sind.
Die Grenzen sind fachlich gesetzt und nicht statistisch abgeleitet. Wer sie ändert, ändert sie an einer einzigen Stelle im Code und in diesem Dokument.
3. Wann keine Einordnung stattfindet
Ohne ausreichende Grundlage wird nicht eingeordnet, sondern „wenig Daten" angezeigt.
- Ein Kind ohne bearbeitete Aufgaben in den letzten 90 Tagen erhält keinen Wert.
- Eine Gruppe mit weniger als zwei Kindern wird nicht dargestellt, damit sich einzelne Kinder nicht aus einer Verteilung herauslesen lassen.
- Ein Kompetenzbereich ohne Vergleichswert bleibt neutral ("Nebel").
4. Die Kompetenzbereiche der Klasse
Für die fünf inhaltsbezogenen Kompetenzbereiche wird zusätzlich ein Klassenwert gebildet und einem landesweiten Vergleichswert gegenübergestellt. Dieser Vergleichswert stammt aus den zusammengefassten Werten aller teilnehmenden Klassen im jeweiligen Bundesland, rollierend über 90 Tage, und ist je Aufgabentyp gebildet.
Daraus ergibt sich eine Einstufung von „deutlich unter" bis „deutlich über".
Diese Einordnung betrifft die Klasse als Ganzes, nicht einzelne Kinder. Der landesweite Vergleichswert wird aus zusammengefassten Werten gebildet; einzelne Kinder sind daraus nicht erkennbar.
5. Was nicht einfließt
Ausdrücklich nicht berücksichtigt werden:
- Anmeldezeiten — wann ein Kind übt, spielt keine Rolle
- Bearbeitungsdauern und Tempo — wer langsam und richtig rechnet, wird nicht schlechter eingeordnet
- Das verwendete Gerät
- Nutzungshäufigkeit — wer selten übt, bekommt keinen schlechteren Wert, sondern gegebenenfalls gar keinen
- Verhalten außerhalb der Aufgabenbearbeitung
Es fließen ausschließlich fachliche Ergebnisse ein: gelöste Aufgaben, Erstversuchsquote, Punktwerte in MatheZeiten.
6. Wozu die Einordnung dient — und wozu nicht
Sie dient dazu, Förderbedarf zu erkennen und Aufgaben gezielt bereitzustellen.
Sie ist kein Notenersatz und keine Leistungsbewertung. Aus ihr folgen keine automatischen Konsequenzen für ein Kind: Es wird nichts freigeschaltet, gesperrt oder zugewiesen. Jede pädagogische Entscheidung trifft die Lehrkraft.
Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.
7. Wer was sieht
Die Einordnung ist ausschließlich für die Lehrkraft der jeweiligen Klasse sichtbar. Der Server prüft bei jedem Zugriff, ob die Klasse zur angemeldeten Lehrkraft gehört.
Kinder sehen ausschließlich ihren eigenen Lernstand, nie den anderer Kinder und nie ihre eigene Einordnung im Verhältnis zur Klasse.
8. Kinder ausnehmen
Beim Einschalten der Einordnung kann die Lehrkraft einzelne Kinder ausnehmen. Für sie findet keine Einordnung statt, und sie erscheinen nicht in den Verteilungsdarstellungen. Ihre eigenen Lernstände bleiben für die Lehrkraft sichtbar.
9. Speicherdauer
Die zugrundeliegenden Lerndaten werden nach den Fristen der Anlage 5 gelöscht, spätestens achtzehn Monate nach der letzten Nutzung. Die Einordnung selbst wird nicht gespeichert; sie wird bei jedem Aufruf aus den Lerndaten der letzten 90 Tage neu berechnet.
Für Datenschutzbeauftragte
Rechtsgrundlage: Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit den schul- und datenschutzrechtlichen Vorschriften des jeweiligen Landes.
Einordnung als Profiling: Die Zuordnung eines Kindes zu einem Erwartungsband ist als Profiling im Sinne des Art. 4 Nr. 4 DSGVO einzuordnen. Sie misst jedes Kind ausschließlich an festen fachlichen Grenzen und nicht an anderen Kindern. Die Einordnung ist standardmäßig abgeschaltet, setzt eine bestätigte Einführung voraus, lässt die Ausnahme einzelner Kinder zu und führt zu keiner Entscheidung über ein Kind. Eine Rangfolge einzelner Kinder, weder mit Namen noch mit Zugangscode, gibt es grundsätzlich nicht, unabhängig davon, ob die Einordnung eingeschaltet ist. Die Verteilungsdarstellung zeigt lediglich, wie sich die Klasse auf die Bänder verteilt; kein Punkt lässt sich einem Kind zuordnen. Die Verarbeitung erfolgt auf pseudonymer Grundlage. Führt eine Lehrkraft die Namenszuordnung digital, liegt diese ausschließlich verschlüsselt vor; die PIN kennt die Auftragsverarbeiterin nicht.
Kriteriumsbezug statt Normbezug auf Kinderebene: Die Bänder sind absolute Schwellen. Ein Kind wird nicht an seiner Klasse, seinem Jahrgang oder einer Kohorte gemessen. Damit entfällt der Effekt, dass die Einstufung eines Kindes sich ändert, weil andere Kinder besser oder schlechter werden.
Normbezug auf Klassenebene: Der landesweite Vergleichswert für die Kompetenzbereiche wird aus zusammengefassten Klassenwerten gebildet. Er ordnet Klassen ein, nicht Kinder.
Änderungen an diesem Dokument ziehen eine neue Fassungsnummer nach sich. Lehrkräfte bestätigen die Fassung, mit der sie die Einordnung eingeschaltet haben; nach einer inhaltlichen Änderung ist eine erneute Bestätigung fällig.
Sichere Seite von mathezeit.de · Fragen? info@mathezeit.de