Zum Inhalt springen
diaCompas

Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für diese Website ist:

Sebastian Korth
Karl-Speidel-Str. 18
88239 Wangen im Allgäu
E-Mail: sebastian.korth@posteo.de

Hinweis zur Rollenverteilung: Im pädagogischen Pilotbetrieb (geschützter Bereich, siehe Ziffer 5) ist die jeweilige Schule die verantwortliche Stelle; der Betreiber dieser Anwendung handelt insoweit als Auftragsverarbeiter.

2. Geltungsbereich

Diese Erklärung gilt für den öffentlichen Bereich dieser Website (die Startseite mit Anmeldung und alle frei zugänglichen Seiten wie Impressum, Datenschutz und Barrierefreiheit). Für die Nutzung des geschützten Anwendungsbereichs nach der Anmeldung gilt ergänzend Ziffer 5.

3. Aufruf der Website (Server-Logdaten)

Beim Aufruf dieser Website werden durch den Server automatisch technisch notwendige Verbindungsdaten verarbeitet, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, die angeforderte Ressource, HTTP-Statuscode, übertragene Datenmenge sowie Browser-/Betriebssystemangaben (User-Agent).

Zweck der Verarbeitung ist die technische Auslieferung der Seite sowie die Gewährleistung der Stabilität und Sicherheit (Abwehr und Aufklärung von Angriffen). Rechtsgrundlage ist das berechtigte Interesse an einem sicheren und funktionsfähigen Webangebot (Art. 6 Abs. 1 lit. f DSGVO). Die Logdaten werden nur so lange gespeichert, wie es für diese Zwecke erforderlich ist, und anschließend gelöscht.

4. Keine Cookies zu Analyse-/Marketingzwecken, kein Tracking

Der öffentliche Bereich dieser Website verwendet keine Analyse- oder Marketing-Cookies, kein Tracking und keine externen Dienste, Schriftarten oder Content-Delivery-Netzwerke. Es werden keine personenbezogenen Profile gebildet. Lediglich für die Anmeldung wird ein technisch notwendiges Sitzungs-Cookie gesetzt (siehe Ziffer 5).

5. Anmeldung und geschützter Anwendungsbereich

Für die Anmeldung und die Nutzung des geschützten Bereichs wird ein technisch notwendiges Sitzungs-Cookie gesetzt (httpOnly, sameSite=strict). Es dient ausschließlich der Aufrechterhaltung der angemeldeten Sitzung und enthält keine Tracking-Informationen. Ohne dieses Cookie ist eine Anmeldung technisch nicht möglich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung einer von Ihnen angeforderten Funktion).

Im geschützten Bereich werden im Rahmen des pädagogischen Pilotbetriebs Schülerarbeiten den Kompetenzen des Bildungsplans zugeordnet. Diese Verarbeitung erfolgt im Auftrag der jeweiligen Schule (verantwortliche Stelle). Jede Arbeit wird unter einem Code verarbeitet, nicht unter dem Namen (auf dem Blatt steht der Code): Klarnamen und die Texte der Arbeiten werden ausschließlich verschlüsselt auf dem Server in Deutschland gespeichert (die gedruckten Login-Karten tragen Name und Code); die Namensliste wird an keinen anderen Dienst weitergegeben, und vor jedem Text-Aufruf an die KI werden die Namen der Lerngruppe im Text maskiert (Pseudonymisierung, Art. 32 Abs. 1 lit. a DSGVO). Das System vergibt keine Noten und wird nicht für Zeugnisse, Versetzungs-, Kurs- oder Laufbahnentscheidungen, förmliche Förderpläne oder Entscheidungen über einen Nachteilsausgleich verwendet; jede pädagogische Entscheidung trifft die Lehrkraft.

Rechtsgrundlage der schulischen Verarbeitung ist Art. 6 Abs. 1 lit. e, Abs. 3 DSGVO in Verbindung mit § 115b des Schulgesetzes für Baden-Württemberg und §§ 4 und 6 der Digitalunterrichtsverordnung (Einsatz digitaler Lehr- und Lernformen zur Förderung des individuellen Lernwegs). Eine Einwilligung ist dafür nicht vorgesehen. Die Schule informiert Schülerinnen, Schüler und Erziehungsberechtigte vor Beginn gesondert nach Art. 13 DSGVO; der Verarbeitung kann gegenüber der Schule jederzeit widersprochen werden (Art. 21 DSGVO).

Nach der europäischen KI-Verordnung (Verordnung (EU) 2024/1689, Anhang III Nr. 3 lit. b) können Programme, die Lernergebnisse einordnen, auch ohne Noten zu den KI-Systemen mit hohem Risiko zählen. Die Schule behandelt diaCompas so. Die Pflichten für solche Systeme gelten ab dem 2. Dezember 2027; nach den wichtigsten davon, soweit sie die Schule als Betreiberin treffen, richtet sie sich schon im Pilot: Aufsicht durch die Lehrkraft, die jede Einordnung ändern kann, Protokollierung jedes Aufrufs der KI, Datenschutz-Folgenabschätzung. Schon jetzt gelten die Kennzeichnung der Texte der KI (Art. 50) und die Einführung der Lehrkräfte (Art. 4).

Zur Sicherheit des Zugangs (Art. 32 DSGVO) gehört zu dieser Verarbeitung ein Anmeldeprotokoll: Bei jeder Anmeldung werden Zeitpunkt, Konto (bei Schülerinnen und Schülern der Code), Rolle und Ergebnis (erfolgreich, fehlgeschlagen oder gesperrt) vermerkt, ebenso jede Änderung des eigenen Passworts – ohne IP-Adresse, ohne Passwort und bei einem unbekannten Konto ohne den eingegebenen Anmeldenamen. Das Protokoll ist nur der technischen Administration zugänglich und wird nicht personenbezogen ausgewertet.

Der Pilotbetrieb mit Daten von Schülerinnen und Schülern beginnt erst nach Abschluss des Auftragsverarbeitungsvertrags zwischen Schule und Betreiber, nach der Beratung durch die behördliche Datenschutzbeauftragte für Schulen und nach der Beteiligung des Örtlichen Personalrats. Bis dahin enthält die Anwendung ausschließlich Platzhalter und Testdaten.

6. Auftragsverarbeiter und Hosting

Zur Bereitstellung des Dienstes werden die folgenden Auftragsverarbeiter eingesetzt. Gespeichert und verarbeitet wird ausschließlich in Rechenzentren in der EU. Einer der Dienste (Amazon Web Services) gehört zu einem US-amerikanischen Konzern; das ist unten ausdrücklich benannt. Ihr Gerät verbindet sich nur mit unserem Projektserver in Deutschland: Texterkennung und Sprachmodell erreicht allein der Server, und diese Website bindet keine Tracker oder Inhalte anderer Anbieter ein.

  • Hosting: Hetzner Online GmbH (Rechenzentren in Deutschland). Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor.
  • Texterkennung: Mistral AI (Verarbeitung in der EU/Frankreich) — eingesetzt für die Erkennung eingereichter Arbeiten im geschützten Bereich. Übermittelt wird nur das Bild der Arbeit mit dem Code. Es gilt das Auftragsverarbeitungs-Addendum des Anbieters; keine Nutzung zum Training.
  • Datenbank: Der Kompetenzgraph liegt auf unserem Projektserver bei Hetzner in Deutschland (selbst betriebene Datenbanksoftware Neo4j Community) und ist nur auf diesem Server erreichbar; ein weiterer Dienstleister ist nicht beteiligt. Gespeichert werden Codes, Kompetenz-Einordnungen (ob ein Beleg vorliegt, nicht das Zitat), Selbsteinschätzungen und Antworten der Kinder zu ihren Arbeiten (feste Antworten, kein Freitext), Datumsangaben und Protokolle der KI-Aufrufe ohne Inhalt — keine Namen, nicht die Texte der Arbeiten, keine Belegzitate, keine Fotos. Die Rückmeldungen, Hinweise und notierten Fehler der KI zu einer Arbeit liegen wie die Texte der Arbeiten verschlüsselt auf dem Server.
  • KI-gestützte Zuordnung: Das Sprachmodell Claude Sonnet, im Pilotbetrieb genutzt über den Dienst Amazon Bedrock von Amazon Web Services EMEA SARL (Luxemburg) mit dem EU-Inferenzprofil: Verarbeitung ausschließlich in AWS-Regionen innerhalb der EU; Eingaben und Ausgaben werden vom Dienst nicht gespeichert und nicht zum Training verwendet; der Hersteller des Modells hat keinen Zugriff auf sie. Übermittelt werden ausschließlich der namensmaskierte Text, die Aufgabenstellung und die Kompetenzrubriken — keine Namensliste, kein Foto, keine Stammdaten. Es gilt der Datenverarbeitungszusatz des Anbieters (Art. 28 DSGVO), dessen Partei neben der Luxemburger Gesellschaft auch Amazon Web Services, Inc. ist. Das Modell bezieht der Betreiber über AWS Marketplace vom Hersteller Anthropic; abgerechnet wird es von Amazon Web Services, Inc. Der Hersteller erhält dabei nur Nutzungs- und Kontodaten des Betreibers, keine Inhalte.

7. Verschlüsselung

Diese Website wird ausschließlich über eine verschlüsselte Verbindung (TLS/HTTPS) ausgeliefert. Eingegebene Daten werden dadurch bei der Übertragung gegen Mitlesen geschützt.

8. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorsehen. Server-Logdaten werden kurzfristig zu Sicherheitszwecken vorgehalten und danach gelöscht. Sitzungsdaten werden mit dem Ende der Sitzung verworfen.

Im geschützten Bereich gilt: Fotos eingereichter Arbeiten werden nicht gespeichert, sondern nur während der Verarbeitung im Arbeitsspeicher gehalten. Texte und Kompetenz-Einordnungen werden nach dem Ende des jeweiligen Pilotzeitraums gelöscht, binnen zwei Wochen nach Aufforderung durch die Schule und spätestens rund drei Wochen nach dem Pilotende, sofern die Schule keine Fortführung beschließt; nach einem Widerspruch innerhalb einer Woche. Verschlüsselte Sicherungen der Datenbank werden nach 14 Tagen überschrieben, Sicherungen der Serverdaten bei Updates nach höchstens 14 Tagen gelöscht, die täglichen Sicherungen des gesamten Servers beim Hosting-Anbieter nach sieben Tagen. Gelöschte Daten sind damit spätestens drei Wochen nach der Löschung auch aus allen Sicherungen verschwunden. Protokolle der KI-Aufrufe (ohne Inhalte) werden nach sechs Monaten gelöscht, ebenso das Anmeldeprotokoll; nach der Löschung der Daten eines Kindes verlieren seine Einträge in beiden Protokollen den Code.

9. Ihre Rechte

Sie haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. e oder lit. f DSGVO beruhen (Art. 21). Zur Ausübung Ihrer Rechte genügt eine Nachricht an die unter Ziffer 1 genannte Adresse. Für Verarbeitungen im geschützten Bereich (Ziffer 5) wenden Sie sich bitte an die Schule als verantwortliche Stelle; ein Widerspruch ist dort formlos möglich.

10. Beschwerderecht bei der Aufsichtsbehörde

Ihnen steht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart

11. Aktualität

Diese Datenschutzerklärung wird angepasst, sobald sich die Verarbeitung, die eingesetzten Dienste oder die Rechtslage ändern. Stand: 10. November 2026.

← Zurück zur Startseite