Verzeichnis der Verarbeitungstätigkeiten

Stand: 23. August 2026

Pflicht nach Artikel 30 DSGVO. Wird nicht veröffentlicht, muss aber vorliegen und der Datenschutzbehörde auf Verlangen vorgelegt werden können.

Entwurf. Die gelb markierten Stellen müssen noch ausgefüllt werden. Vor der Veröffentlichung sollte eine Person mit juristischer Zulassung darüberschauen — dieser Text ersetzt keine Rechtsberatung.

1. Benutzerkonten und Anmeldung

Zweck: Zugang zur Plattform, Zuordnung der erzeugten Inhalte.

Betroffene: Lehrkräfte, Schulleitungen, Workshop-Teilnehmende.

Datenarten: E-Mail-Adresse, Name, verschlüsseltes Passwort, Zeitpunkt der Anmeldung.

Rechtsgrundlage: Artikel 6 Absatz 1 lit. b DSGVO (Vertragserfüllung).

Löschfrist: mit Löschung des Kontos.

Empfänger: Supabase Inc. (Frankfurt).

2. Unterrichtsprofil

Zweck: Materialien auf Schulart, Schulstufe und Fach zuschneiden.

Betroffene: Lehrkräfte.

Datenarten: Land, Bundesland, Schulart, Trägerschaft, Fächer, Klassenbezeichnungen, Schulstufen, Stundendauer, optional Briefkopf der Schule.

Rechtsgrundlage: Artikel 6 Absatz 1 lit. b DSGVO.

Löschfrist: mit Löschung des Kontos.

3. Gespräche mit den Fachexperten

Zweck: fachliche Unterstützung, Fortsetzen früherer Gespräche.

Betroffene: Lehrkräfte; mittelbar Schülerinnen und Schüler, soweit die Lehrkraft Angaben einträgt.

Datenarten: Freitext der Lehrkraft und Antworten des Systems.

Rechtsgrundlage: Artikel 6 Absatz 1 lit. b DSGVO.

Löschfrist: ein Jahr ab letzter Änderung, automatisch; jederzeit manuell löschbar.

Empfänger: Supabase Inc. (Frankfurt), Google (USA) zur Verarbeitung der Anfrage.

Besonderheit: Es können unbeabsichtigt besondere Kategorien nach Artikel 9 DSGVO eingetragen werden. Gegenmaßnahme: ausdrücklicher Hinweis in der Oberfläche, kurze Löschfrist, Löschmöglichkeit ohne Papierkorb.

4. Erzeugte Materialien

Zweck: Ablage und Wiederverwendung von Arbeitsblättern, Präsentationen, Infografiken.

Datenarten: Titel, Inhalt, Bilder, Zuordnung zu Klasse und Fach.

Rechtsgrundlage: Artikel 6 Absatz 1 lit. b DSGVO.

Löschfrist: bis zur Löschung durch die Nutzerin oder den Nutzer.

Empfänger: Supabase Inc. (Frankfurt); zur Erzeugung Google, OpenAI, Black Forest Labs.

5. Guthaben und Abrechnung

Zweck: Abrechnung der Nutzung, Nachweis gegenüber der Finanzverwaltung.

Datenarten: Zeitpunkt, Werkzeug, verbrauchte Menge, Betrag; bei Aufladung die Zahlungskennung von Stripe.

Rechtsgrundlage: Artikel 6 Absatz 1 lit. b und lit. c DSGVO (rechtliche Verpflichtung).

Löschfrist: sieben Jahre nach § 132 Bundesabgabenordnung.

Empfänger: Stripe Payments Europe Ltd. (Irland).

6. Technische Sicherheit

Zweck: Abwehr von Missbrauch, Fehlersuche.

Datenarten: gekürzte IP-Adresse für die Ratenbegrenzung, Fehlerprotokolle.

Rechtsgrundlage: Artikel 6 Absatz 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

Löschfrist: 30 Tage.

Technische und organisatorische Maßnahmen

Übertragung ausschließlich verschlüsselt (HTTPS/TLS).

Verschlüsselung der Datenbank im Ruhezustand durch den Betreiber.

Zeilenbezogene Zugriffsregeln in der Datenbank: jede Person sieht nur die eigenen Daten.

Passwörter werden nur als Streuwert gespeichert, nie im Klartext.

Speicherung und Ausführung ausschließlich in Rechenzentren innerhalb der EU.

Getrennte Zugangsdaten für Verwaltung und Betrieb; Verwaltungsbereiche nur für Berechtigte.