Auftragsverarbeitung und TOMs – Kurzüberblick für Schulen

1. Rollen

• Verantwortliche Stelle: die Schule – für personenbezogene Daten der Lehrkräfte und, soweit genutzt, der Schülerinnen und Schüler.
• Auftragsverarbeiter: Studinino – Tom Thaler (Anbieter von AI Teacher), Ensdorf, Deutschland.
• Die Schule entscheidet über Zwecke und Mittel der Schulnutzung. AI Teacher verarbeitet Daten nur zur Vertragserfüllung.

2. Welche Daten

• Lehrkräfte: Name, dienstliche E-Mail, Konto- und Nutzungsdaten, erstellte Unterrichtsmaterialien.
• Schülerinnen und Schüler: optional anonyme Zugänge ohne E-Mail-Adresse und ohne eigenes Abo.
• An die KI gehen nur fachliche Nutzereingaben (Thema, Klasse, Aufgabenstellung, Lösungen) – keine Identitätsdaten.
• Nicht vorgesehen: Namen, E-Mail-Adressen oder Klassenlisten von Schülerinnen und Schülern an die KI. Kontodaten verlassen die Plattform nicht.

3. Hosting und KI (Schulbetrieb)

• Webanwendung, Datenbank und Dateien werden bei Hetzner in Deutschland betrieben.
• Text-KI (Material erstellen, Erklärungen, Lernpläne, differenzieren, vorkorrigieren) über Google Vertex AI in der EU-Multi-Region (eu).
• Personenbezogene Stammdaten (Namen, E-Mails, Konten) werden nicht an die KI übermittelt.
• Im API-Betrieb kein Training bzw. keine Modellverbesserung mit Ihren Inhalten.
• Erklärvideos und KI-Bilder entstehen aus bereits erzeugten fachlichen Inhalten. Identitätsdaten werden dafür nicht übermittelt. Ein Video wird erst nach einem bewussten Klick bei YouTube geladen.

4. Unterauftragsverarbeiter

• Google Cloud (Vertex AI): Text-KI in der EU-Multi-Region (eu); Bildgenerierung am globalen Endpoint, weil das Bildmodell dort bereitgestellt wird; keine Identitätsdaten; API-Betrieb ohne Training.
• Hetzner Online GmbH: Betrieb der Webapp, Datenbank und Dateispeicherung in Deutschland (Nürnberg / Falkenstein).
• YouTube Data API: Vorschläge passender Erklärvideos allein aus bereits erzeugten fachlichen Inhalten; keine Identitätsdaten. Videoabruf erst nach Klick.
• Mit Google Cloud bestehen Vereinbarungen zur Auftragsverarbeitung einschließlich geeigneter Garantien (Standardvertragsklauseln).

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zugangskontrolle: persönliche Konten, verschlüsselte Passwörter, optional OAuth.
• Weitergabekontrolle: TLS-Transport; keine Identitätsdaten an die KI.
• Trennungskontrolle: schul- und kursbezogene Zuordnung der Inhalte.
• Verfügbarkeit: Hosting in Deutschland inklusive Datensicherung.
• Datenschutzfreundliche Voreinstellung: anonyme Schülerzugänge möglich.
• Auftragskontrolle: Unterauftragsverarbeiter Hetzner (Hosting, Deutschland) und Google Cloud (Vertex, EU-Multi-Region).

6. Vollständiger AVV

Den schriftlichen AVV nach Art. 28 DSGVO inklusive TOM-Anlage und Unterauftragsverarbeiterliste stellen wir Schulen auf Anfrage zur Unterzeichnung bereit. Bitte wenden Sie sich an info@ai-teacher.de.