Dein Lernbereich wird geladen
App wird gestartet …
Dein Lernbereich wird geladen
App wird gestartet …
Diese Seite ist eine Prüfhilfe, kein Siegel. Sie führt an einer Stelle zusammen, wer welche Daten verarbeitet, wo sie liegen, was der KI-Anbieter davon behält und wo unsere Zusagen aufhören. Ein eigener Abschnitt nennt ausdrücklich das, was wir nicht versprechen.
Datenbank Frankfurt · Dateispeicher Belgien · Europäischer KI-Anbieter (Mistral, Paris) · Auftragsverarbeitung Fassung 2.4 mit offengelegten Restrisiken
Damit Sie wissen, worauf Sie sich berufen können und worauf nicht.
Sie ist eine Zusammenfassung für die Prüfung vor einer Entscheidung: Schulleitung, Datenschutzbeauftragte, Schulträger. Sie ist kein Rechtstext, sie trägt keine eigene Fassung und sie ersetzt nichts. Verbindlich sind die Datenschutzerklärung und der Vertrag zur Auftragsverarbeitung in seiner jeweils angenommenen Fassung. Weicht diese Seite von einem der beiden ab, gelten die beiden.
Sie enthält außerdem keine Bewertung. Ob die hier beschriebene Verarbeitung für Ihre Einrichtung zulässig ist, entscheiden Sie und Ihre Rechtsberatung, gegebenenfalls in einer Datenschutz-Folgenabschätzung. Was wir dafür liefern können, sind Fundstellen: welcher Weg über welchen Endpunkt läuft, welche Frist wo gilt und welche Punkte offen sind. Die offenen Punkte stehen nicht in einem internen Papier, sondern als Anlage 4 im Vertrag selbst.
Die Rollen nach Art. 28 DSGVO und die Unterauftragsverarbeiter, die Daten Ihrer Einrichtung berühren.
| Partei | Rolle | Was sie berührt |
|---|---|---|
| Ihre Einrichtung | Verantwortliche | Entscheidet über Zwecke und Rechtsgrundlage, klärt die Information der Sorgeberechtigten und eine etwaige Einwilligung. Diese Rolle können wir Ihnen nicht abnehmen. |
| AM Creative Tech UG (haftungsbeschränkt), Dresden | Auftragsverarbeiter | Betreiberin von Quanta, vertreten durch den Geschäftsführer Amos Matzke, Herweghstr. 8, 01157 Dresden, HRB 47813 Amtsgericht Dresden. Verarbeitet weisungsgebunden nach Art. 28 DSGVO. |
| Google Ireland Limited und Google LLC (Firebase) | Unterauftragsverarbeiter | Kern-Infrastruktur: Hosting, Datenbank, Dateispeicher, Authentifizierung, Serverless-Ausführung. Betroffen sind alle Daten. Grundlage: Google Cloud und Firebase DPA, Standardvertragsklauseln, EU-US Data Privacy Framework. |
| Mistral AI SAS, 15 rue des Halles, 75001 Paris (RCS Paris 952 418 325) | Unterauftragsverarbeiter, KI-Verarbeiter | Textweg, Dateiweg und Tonweg. Übermittelt werden Prompts, hochgeladene Dokumente und Fotos sowie Audioaufnahmen. Zusätzliche Kontostammdaten werden nicht automatisch beigefügt; Nutzerinhalte können personenbezogene Angaben enthalten. Grundlage: Auftragsverarbeitungsvertrag des Anbieters vom 27.07.2026 mit Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914. |
| Stripe, Inc. und Stripe Payments Europe, Ltd. | Unterauftragsverarbeiter | Zahlungsabwicklung kostenpflichtiger Tarife. Keine Schülerdaten, nur Besitzer- und Abrechnungsdaten. |
| Resend (Plus Five Five, Inc.) | Unterauftragsverarbeiter | Versand transaktionaler Konto- und Sicherheits-E-Mails, ausschließlich an Staff. An Lernende werden keine E-Mails versendet. |
| Upstash, Inc. | Unterauftragsverarbeiter | Verteiltes Rate-Limiting und Missbrauchsschutz, EU-Rechenzentrum Frankfurt. Berührt wird die Nutzer-ID als Schlüssel, längstens 60 Sekunden. |
| Telegram FZ-LLC | Unterauftragsverarbeiter | Technische Benachrichtigung des Betreibers über Betriebskennzahlen und Störungen. Keine personenbezogenen Daten Ihrer Einrichtung. Für diesen Dienst liegt kein Auftragsverarbeitungsvertrag vor; der Punkt ist als Restrisiko offengelegt. |
Der KI-Anbieter ist die Mistral AI SAS mit Sitz in Paris, kurz: ein europäischer KI-Anbieter (Mistral, Paris). Eingesetzt werden ein Modell der Familie mistral-large für die Erzeugung, ein Modell der Familie mistral-medium für die automatische Prüfung erzeugter Inhalte, ein Modell der Familie mistral-small für die Klassifikation, mistral-ocr-latest für die Dokumentenauslesung und voxtral-mini-latest für die Transkription.
Reichweitenmessung und Anzeigenmessung betreffen ausschließlich den öffentlichen Webauftritt und stehen deshalb nicht in der Tabelle. Im angemeldeten Schulbereich kommen sie nicht zum Einsatz; im Rahmen der Auftragsverarbeitung werden über sie keine Daten Ihrer Einrichtung verarbeitet.
Speicherung und KI-Verarbeitung sind zwei verschiedene Fragen. Deshalb stehen sie hier getrennt.
Lerninhalte, Aufgaben, Tests, Ergebnisse und Datenbank-Backups liegen in Firestore beziehungsweise dessen Backups in europe-west3 (Frankfurt am Main). Hochgeladene Dateien und Abgaben liegen in Firebase Storage in europe-west1 (Belgien). Die Serverless-Funktionen laufen in europe-west1, das Hosting der Anwendung in europe-west4. Firebase Authentication verarbeitet die Kontodaten in den USA.
Datenbank und Dateispeicher liegen damit in unterschiedlichen EU-Regionen. Das heißt nicht, dass jede Verarbeitung in der EU stattfindet. Für die KI-Funktionen gehen Daten an den KI-Anbieter, und dort trennen sich drei Wege:
api.eu.mistral.ai. Nach der Dokumentation des Anbieters, geprüft am 2. Oktober 2026, findet die Inferenz für diesen Endpunkt in der EU oder EFTA statt. Kontroll- und Verwaltungsdaten können außerhalb dieser Regionen verarbeitet werden. Eine darüber hinausgehende Zusage in seinem Auftragsverarbeitungsvertrag besteht nicht.api.mistral.ai, für den er keinen bestimmten Verarbeitungsort zusagt. Die dafür nötigen Schnittstellen bietet er auf regionalen Endpunkten nicht an.Die Übermittlung stützt sich in allen drei Fällen auf den Auftragsverarbeitungsvertrag des Anbieters einschließlich der dort einbezogenen Standardvertragsklauseln. Die Speicherregionen der Datenbank und Dateien sind nachprüfbar; sie sind keine Zusage, dass jede Verarbeitung ausschließlich in der EU stattfindet.
Nachprüfbar ist die Aufteilung nicht nur im Vertrag, sondern im Betrieb: Der KI-Anbieter wird über einen Schalter in der Betriebskonfiguration bestimmt. Fehlt er oder ist er vertippt, bricht der Start in der Produktion mit einer Fehlermeldung ab, statt still auf einen anderen Anbieter zurückzufallen. Jeder Serverstart protokolliert Anbieter und Text-Endpunkt. Und ein automatischer Test liest die in der Datenschutzerklärung und im Vertrag genannten Hostnamen aus und vergleicht sie mit dem Endpunkt, den der Code tatsächlich verwendet; weichen sie ab, schlägt er fehl.
Hier liegt der Punkt, an dem die meisten Anbieterversprechen ungenau werden. Deshalb steht daneben, wofür die Zusage nicht gilt.
Für unsere Organisation ist beim Anbieter die Option „Zero Data Retention" aktiviert. Der Anbieter hat schriftlich mitgeteilt, wie weit sie reicht (Support-Ticket #32861566, Antwort vom 21. August 2026): Sie gilt für seine zustandslosen Schnittstellen und deckt damit die Chat-Schnittstelle, die Dokumentenauslesung (mistral-ocr-latest) und die Audiotranskription (Voxtral).
Für die zustandsbehafteten Funktionen gilt sie ausdrücklich nicht: Datei-Schnittstelle, Stapelverarbeitung, Agents, Conversations und Libraries müssen Daten ablegen, um zu funktionieren. Für unseren Dateiweg heißt das: Zero Data Retention ist dort keine Zusage, die wir Ihnen weitergeben könnten.
Der Vertrag hat diese Auskunft nachvollzogen. Anlage 4 Nr. 3 der Fassung 2.4 nennt die Aktivierung mit Datum und Aktenzeichen, führt die drei zustandslosen Schnittstellen auf, für die sie gilt, und die zustandsbehafteten, für die sie nicht gilt. Die Aktivierung ist eine Einstellung des Anbieters und keine pauschale Vertragszusage für alle Schnittstellen. Die Reichweite und die gesonderten Löschverfahren stehen in § 7 Abs. 6 und 8. Eine allgemeine 30-Tage-Frist für sämtliche KI-Daten wird daraus nicht abgeleitet. Für die Datei-Schnittstelle hat der Anbieter keine automatische Löschfrist veröffentlicht; schriftlich zugesagt ist, dass hochgeladene Dateien bleiben, bis wir sie löschen, und nach der Löschung aus seinen Systemen entfernt sind.
Also löschen wir selbst, und zwar zweifach. Erstens ruft jeder Verarbeitungslauf die Löschung der übertragenen Datei in einem finally-Block auf, also auch dann, wenn der Lauf mit einem Fehler endet. Zweitens geht alle 30 Minuten ein Aufräumlauf über die Dateiliste des Anbieters und löscht nach, was ein abgebrochener Vorgang zurückgelassen hat; er fasst nur Dateien mit dem Zweck der Dokumentenauslesung an und erst ab einem Mindestalter von 60 Minuten, damit er keinem laufenden Vorgang die Grundlage entzieht. Für die Stapelverarbeitung großer Dokumente gibt es einen eigenen Pfad mit acht Tagen, weil deren Auftrags- und Ergebnisdateien länger gebraucht werden.
Ein Training mit den übermittelten Inhalten schließt der Anbieter für die bezahlte Programmierschnittstelle schriftlich aus; zusätzlich ist der entsprechende Widerspruch in seiner Verwaltungsoberfläche gesetzt. Wir übermitteln kein Feedback an den Anbieter und nutzen keine als „Labs" oder „Preview" gekennzeichneten Modelle, weil die Trainings-Zusage für diese beiden Fälle ausdrücklich nicht gilt.
Neun dieser elf Punkte stehen als Anlage 4 im Vertrag, weil sie Vertragsinhalt sind und nicht internes Arbeitsmaterial; die beiden übrigen sind unten als solche gekennzeichnet. Sie gehören alle in Ihre Risikobewertung.
Der Textweg läuft über den EU-Endpunkt des Anbieters; das beruht auf seiner Dokumentation, nicht auf einer Klausel in seinem Auftragsverarbeitungsvertrag. Für Dateiweg und Tonweg verwenden wir derzeit den Standard-Endpunkt ohne Zusage eines bestimmten Verarbeitungsortes.
Ausgaben der KI, insbesondere die Antwortoptionen von Multiple-Choice-Aufgaben, sind maschinell erzeugt und können fachlich falsch sein. Die Quellenbindung begrenzt das — ohne passende Quelle entsteht keine Karte und keine Frage — und für die Prüfung erzeugter Inhalte läuft ein eigenes Modell mit. Eine Garantie ist beides nicht: die fachliche Durchsicht vor dem Einsatz im Unterricht bleibt bei der Lehrkraft.
Quanta ist ein Solo-Betrieb ohne eigene Zertifizierung. Der Nachweis stützt sich auf Selbstauskunft und auf die Zertifikate der Unterauftragsverarbeiter. Wer ein Testat als Voraussetzung braucht, bekommt es hier nicht.
Der KI-Verarbeiter gibt im genutzten Tarif keine Verfügbarkeitszusage ab, und wir geben deshalb auch keine weiter. Über 90 Tage beobachtet lag die Verfügbarkeit seiner Programmierschnittstelle bei rund 99,2 Prozent. Fällt sie aus, bleiben die übrigen Funktionen der Plattform nutzbar.
Für Abgaben, Ergebnisse und Noten gibt es keinen automatischen Ablauf, und inaktive Schülerkonten löschen wir nicht von allein. Wann Konten und Inhalte ausgeschiedener Lernender verschwinden, gehört in Ihr eigenes Löschkonzept.
Native Backups bleiben 7 Tage bestehen. Export-Backups werden ab 30 Tagen automatisch gelöscht und bleiben danach 7 Tage technisch wiederherstellbar. Gelöschte Dateien haben ebenfalls 7 Tage Soft Delete. Lebenszyklus-Löschung erfolgt asynchron; die Einstellungen garantieren keinen exakten physischen Löschzeitpunkt. Eine Einzellöschung aus Datenbank-Backups ist technisch nicht vorgesehen.
Teile des Löschpfads arbeiten nach dem Prinzip des besten Bemühens, teils mit stiller Fehlerbehandlung. Das kann die Genauigkeit einschränken, mit der sich der Umfang einer Schutzverletzung beziffern lässt. Ausgenommen ist die Datei-Löschung beim KI-Verarbeiter: ein misslungener Löschaufruf wird dort ausdrücklich protokolliert.
Der Anbieter verpflichtet uns vertraglich auf eine wirksame Einwilligung der Erziehungsberechtigten, gibt aber keine eigene Zusage zum besonderen Schutz minderjähriger Endnutzer ab. Er bestätigt schriftlich, dass wir als Kunde der Programmierschnittstelle Verantwortliche bleiben, einschließlich der Rechtsgrundlage.
Eine Anhebung der Ratenbegrenzungen hat der KI-Anbieter auf Anfrage nicht gewährt; die Grenzen steigen mit dem Tarif. Für den Betrieb ganzer Klassen planen wir das mit Ihnen ein, statt es zu verschweigen. Dieser Punkt steht nicht in Anlage 4, sondern in der schriftlichen Auskunft des Anbieters vom 21. August 2026.
Auftragsverarbeiter ist eine Unternehmergesellschaft (haftungsbeschränkt); die Haftung ist auf das Gesellschaftsvermögen beschränkt, und der Vertrag sagt keinen Versicherungsschutz zu. Beides gehört in Ihre Auswahlentscheidung nach Art. 28 Abs. 1 DSGVO.
Diese Seite vergleicht nicht und bewertet keinen Wettbewerber. Was andere zusagen, steht in deren Unterlagen und ist dort zu prüfen, nicht hier. Auch dieser Punkt steht nicht in Anlage 4; er ist eine Selbstbeschränkung dieser Seite.
Wer eine Verarbeitung außerhalb der EU vollständig ausschließen muss, sollte den Dateiweg und den Tonweg im Unterricht nicht einsetzen. Die übrigen Funktionen der Plattform bleiben davon unberührt.
Anlage 4 zählt dreizehn Punkte. Die vier, die oben nicht noch einmal auftauchen, stehen an anderer Stelle dieser Seite: die fehlende veröffentlichte Löschfrist der Datei-Schnittstelle und der Stand der Option „Zero Data Retention" im Abschnitt „Was der KI-Anbieter speichert", die ungleichen Widerspruchsfristen in der Kette unter „Was Sie von uns bekommen" und die Telegram-Benachrichtigung in der Tabelle „Wer verarbeitet was". Ausgelassen ist keiner.
Die Tabelle ist Vertragsinhalt, nicht Absichtserklärung. Wo keine Frist läuft, steht das auch so.
| Datenart | Frist | Mechanismus |
|---|---|---|
| Konto samt Inhalten und Speicher-Objekten | mit der Kontolöschung | Kaskadierende Löschung einschließlich des Authentifizierungskontos; gelöschte Dateien bleiben 7 Tage technisch wiederherstellbar |
| Schul-Lerninhalte: Abgaben, Ergebnisse, Noten, geteilte Themen, Aufgaben, Termine | kein automatischer Ablauf | Bestehen bis zur Löschung durch Sie, bis zur Kontolöschung oder bis zur Löschung der Einrichtung |
| Chat zwischen Lehrkraft und Lernenden | längstens 180 Tage | Täglicher Löschlauf um 03:00 Uhr Europe/Berlin |
| Protokoll der KI-Nutzung (Konto-ID, Modell, Verbrauch) | 180 Tage | Ablaufmarke in der Datenbank, zusätzlich Bereinigung bei Kontolöschung |
| Native Firestore-Backups | 7 Tage | Tägliche Sicherung in europe-west3 |
| Firestore-Export-Backups | 30 Tage, danach 7 Tage Soft Delete | Täglicher Export in europe-west3; Lebenszyklus-Löschung erfolgt asynchron |
| Ein- und Ausgaben erfasster zustandsloser KI-Anfragen | nur für die Verarbeitung erforderlich | Aktivierte Anbieter-Einstellung; Dateien und Stapelverarbeitung ausgenommen |
| Dateien auf der Datei-Schnittstelle des KI-Verarbeiters | unmittelbar nach der Verarbeitung | Löschaufruf im finally-Block jedes Verarbeitungslaufs, zusätzlich ein Aufräumlauf alle 30 Minuten über die Dateiliste des Anbieters |
Nach Ende der Verarbeitung löschen wir nach Ihrer Wahl alle personenbezogenen Daten oder geben sie zurück und löschen die Kopien. Ihre Wahl teilen Sie binnen 30 Tagen nach Vertragsende in Textform mit; treffen Sie keine, löschen wir nach Ablauf dieser Frist.
Unterlagen, Riegel und Fristen, an denen sich prüfen lässt, ob wir uns daran halten.
Auftragsverarbeitung nach Art. 28 DSGVO, Fassung 2.4 vom 16. Oktober 2026. Anlage 1 ist die Verarbeitungsübersicht mit Ort und Löschung je Datenart, Anlage 2 die technischen und organisatorischen Maßnahmen, Anlage 3 die Unterauftragsverarbeiter, Anlage 4 die 13 offengelegten Restrisiken. Den Nachweis führen wir vorrangig durch Bereitstellung des Vertrags samt Anlagen; Sie können ihn vor der Entscheidung lesen.
Der Besitzer-Zugang bekommt den Vertragstext beim ersten Login im Volltext angezeigt und muss ihn annehmen. Die Annahme wird serverseitig geprüft und protokolliert, mit Zeitpunkt, Vertragsversion und bestätigendem Konto. Bis dahin bleiben die datenschutzsensiblen Funktionen gesperrt, etwa die Einsicht der Lehrkraft in Lernstände und der Eltern-Export. Die Prüfung ist so gebaut, dass sie im Zweifel sperrt: fehlt das Merkmal, passt die Version nicht oder lässt sich der Stand nicht lesen, bleibt zu.
Änderungen zeigen wir in Textform an; Sie können ihnen binnen 14 Tagen aus datenschutzrechtlichen Gründen widersprechen. Offengelegt ist dabei die Schieflage in der Kette: gegenüber dem KI-Verarbeiter haben wir für dessen eigene Unter-Unterauftragsverarbeiter nur 10 Tage, ein Widerspruch von Ihnen kann also zu spät kommen. Die Rechtsfolge steht im Vertrag.
Anfragen zu Betroffenenrechten bestätigen wir binnen 3 Werktagen und beantworten sie binnen 14 Tagen ab Eingang. Eine uns bekannt gewordene Verletzung des Schutzes personenbezogener Daten melden wir unverzüglich, spätestens binnen 48 Stunden. Eine Selbstauskunft in Textform liefern wir binnen 14 Tagen; eine Vor-Ort-Prüfung ist mit 14 Tagen Vorankündigung möglich, einmal je Kalenderjahr.
Auskunft und Datenübertragbarkeit über den maschinenlesbaren Datenexport in der Anwendung, Berichtigung über die Bearbeitungsfunktionen, Löschung einzelner Lernender über die Kontolöschung, die zugehörige Datenbestände, Speicher-Objekte und KI-Nutzungsprotokolle kaskadierend entfernt.
Für die Information der Sorgeberechtigten stellen wir eine Vorlage bereit. Sie ist eine unverbindliche Hilfestellung und ersetzt Ihre rechtliche Prüfung nicht.
Anfragen zu Betroffenenrechten und zur Auftragsverarbeitung richten Sie in Textform an amos@am-creativetech.com. Wendet sich eine betroffene Person unmittelbar an uns, leiten wir das Anliegen an Sie weiter und beantworten es nicht selbst, sofern Sie nichts anderes anweisen.
Schreiben Sie kurz, welche Unterlagen Ihre Prüfung braucht: den Vertrag samt Anlagen, die Verarbeitungsübersicht, die Liste der Unterauftragsverarbeiter oder die Muster-Elterninformation. Im Erstgespräch gehen wir die offenen Punkte aus Anlage 4 durch, statt sie zu überblättern.