Datenschutz-Prüfhilfe für Schulen: Belege statt Siegel
Diese Seite ist eine Prüfhilfe, kein Siegel. Sie führt an einer Stelle zusammen, wer welche Daten verarbeitet, wo sie liegen, was der KI-Anbieter davon behält und wo unsere Zusagen aufhören. Ein eigener Abschnitt nennt ausdrücklich das, was wir nicht versprechen.
Speicherort Frankfurt (europe-west3) · Europäischer KI-Anbieter (Mistral, Paris) · Auftragsverarbeitung Fassung 2.1 mit offengelegten Restrisiken
Was diese Seite ist, und was sie nicht ist
Damit Sie wissen, worauf Sie sich berufen können und worauf nicht.
Sie ist eine Zusammenfassung für die Prüfung vor einer Entscheidung: Schulleitung, Datenschutzbeauftragte, Schulträger. Sie ist kein Rechtstext, sie trägt keine eigene Fassung und sie ersetzt nichts. Verbindlich sind die Datenschutzerklärung und der Vertrag zur Auftragsverarbeitung in seiner jeweils angenommenen Fassung. Weicht diese Seite von einem der beiden ab, gelten die beiden.
Sie enthält außerdem keine Bewertung. Ob die hier beschriebene Verarbeitung für Ihre Einrichtung zulässig ist, entscheiden Sie und Ihre Rechtsberatung, gegebenenfalls in einer Datenschutz-Folgenabschätzung. Was wir dafür liefern können, sind Fundstellen: welcher Weg über welchen Endpunkt läuft, welche Frist wo gilt und welche Punkte offen sind. Die offenen Punkte stehen nicht in einem internen Papier, sondern als Anlage 4 im Vertrag selbst.
Wer verarbeitet was
Die Rollen nach Art. 28 DSGVO und die Unterauftragsverarbeiter, die Daten Ihrer Einrichtung berühren.
| Partei | Rolle | Was sie berührt |
|---|---|---|
| Ihre Einrichtung | Verantwortliche | Entscheidet über Zwecke und Rechtsgrundlage, klärt die Information der Sorgeberechtigten und eine etwaige Einwilligung. Diese Rolle können wir Ihnen nicht abnehmen. |
| AM Creative Tech UG (haftungsbeschränkt), Dresden | Auftragsverarbeiter | Betreiberin von Quanta, vertreten durch den Geschäftsführer Amos Matzke, Herweghstr. 8, 01157 Dresden, HRB 47813 Amtsgericht Dresden. Verarbeitet weisungsgebunden nach Art. 28 DSGVO. |
| Google Ireland Limited und Google LLC (Firebase) | Unterauftragsverarbeiter | Kern-Infrastruktur: Hosting, Datenbank, Dateispeicher, Authentifizierung, Serverless-Ausführung. Betroffen sind alle Daten. Grundlage: Google Cloud und Firebase DPA, Standardvertragsklauseln, EU-US Data Privacy Framework. |
| Mistral AI SAS, 15 rue des Halles, 75001 Paris (RCS Paris 952 418 325) | Unterauftragsverarbeiter, KI-Verarbeiter | Textweg, Dateiweg und Tonweg. Übermittelt werden Prompts, hochgeladene Dokumente und Fotos sowie Audioaufnahmen, keine Kontodaten. Grundlage: Auftragsverarbeitungsvertrag des Anbieters vom 27.07.2026 mit Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914. |
| Stripe, Inc. und Stripe Payments Europe, Ltd. | Unterauftragsverarbeiter | Zahlungsabwicklung kostenpflichtiger Tarife. Keine Schülerdaten, nur Besitzer- und Abrechnungsdaten. |
| Resend (Plus Five Five, Inc.) | Unterauftragsverarbeiter | Versand transaktionaler Konto- und Sicherheits-E-Mails, ausschließlich an Staff. An Lernende werden keine E-Mails versendet. |
| Upstash, Inc. | Unterauftragsverarbeiter | Verteiltes Rate-Limiting und Missbrauchsschutz, EU-Rechenzentrum Frankfurt. Berührt wird die Nutzer-ID als Schlüssel, längstens 60 Sekunden. |
| Telegram FZ-LLC | Unterauftragsverarbeiter | Technische Benachrichtigung des Betreibers über Betriebskennzahlen und Störungen. Keine personenbezogenen Daten Ihrer Einrichtung. Für diesen Dienst liegt kein Auftragsverarbeitungsvertrag vor; der Punkt ist als Restrisiko offengelegt. |
Der KI-Anbieter ist die Mistral AI SAS mit Sitz in Paris, kurz: ein europäischer KI-Anbieter (Mistral, Paris). Eingesetzt werden ein Modell der Familie mistral-large für die Erzeugung, ein Modell der Familie mistral-medium für die automatische Prüfung erzeugter Inhalte, ein Modell der Familie mistral-small für die Klassifikation, mistral-ocr-latest für die Dokumentenauslesung und voxtral-mini-latest für die Transkription.
Reichweitenmessung und Anzeigenmessung betreffen ausschließlich den öffentlichen Webauftritt und stehen deshalb nicht in der Tabelle. Im angemeldeten Schulbereich kommen sie nicht zum Einsatz; im Rahmen der Auftragsverarbeitung werden über sie keine Daten Ihrer Einrichtung verarbeitet.
Wo die Daten liegen
Speicherung und KI-Verarbeitung sind zwei verschiedene Fragen. Deshalb stehen sie hier getrennt.
Konten, Lerninhalte, Aufgaben, Tests, Ergebnisse, hochgeladene Abgaben und die Datenbank-Backups liegen in der Region europe-west3, also Frankfurt am Main. Die Serverless-Funktionen laufen in europe-west1, das Hosting der Anwendung in europe-west4.
Das heißt: Ihre Bestände werden in Frankfurt gespeichert. Das heißt nicht, dass jede Verarbeitung in der EU stattfindet. Für die KI-Funktionen gehen Daten an den KI-Anbieter, und dort trennen sich drei Wege:
- Textweg (Karten- und Multiple-Choice-Generierung, automatische Prüfung, Lern-Tutor, Prüfungssimulation, Formelumwandlung): über den EU-Endpunkt des Anbieters,
api.eu.mistral.ai. Nach der Dokumentation des Anbieters, Stand 18. August 2026, findet die Verarbeitung von Anfragen an diesen Endpunkt in der Europäischen Union statt. Eine darüber hinausgehende Zusage in seinem Auftragsverarbeitungsvertrag besteht nicht. - Dateiweg (Auslesen hochgeladener PDF-Dokumente und Fotos ohne Textlayer, bildlesender Zweitschritt, Stapelverarbeitung umfangreicher Dokumente): über den Standard-Endpunkt des Anbieters,
api.mistral.ai, für den er keinen bestimmten Verarbeitungsort zusagt. Die dafür nötigen Schnittstellen bietet er auf regionalen Endpunkten nicht an. - Tonweg (Transkription von Diktaten): ebenfalls über den Standard-Endpunkt, ohne Ortszusage. Es entsteht dabei keine Dateiablage beim Anbieter.
Die Übermittlung stützt sich in allen drei Fällen auf den Auftragsverarbeitungsvertrag des Anbieters einschließlich der dort einbezogenen Standardvertragsklauseln. Aus genau diesem Grund schreiben wir „gespeichert in Frankfurt" und nicht pauschal „verarbeitet in der EU": das eine ist belegbar, das andere wäre für zwei der drei Wege unwahr.
Nachprüfbar ist die Aufteilung nicht nur im Vertrag, sondern im Betrieb: Der KI-Anbieter wird über einen Schalter in der Betriebskonfiguration bestimmt. Fehlt er oder ist er vertippt, bricht der Start in der Produktion mit einer Fehlermeldung ab, statt still auf einen anderen Anbieter zurückzufallen. Jeder Serverstart protokolliert Anbieter und Text-Endpunkt. Und ein automatischer Test liest die in der Datenschutzerklärung und im Vertrag genannten Hostnamen aus und vergleicht sie mit dem Endpunkt, den der Code tatsächlich verwendet; weichen sie ab, schlägt er fehl.
Was der KI-Anbieter speichert
Hier liegt der Punkt, an dem die meisten Anbieterversprechen ungenau werden. Deshalb steht daneben, wofür die Zusage nicht gilt.
Für unsere Organisation ist beim Anbieter die Option „Zero Data Retention" aktiviert. Der Anbieter hat schriftlich mitgeteilt, wie weit sie reicht (Support-Ticket #32861566, Antwort vom 21. August 2026): Sie gilt für seine zustandslosen Schnittstellen und deckt damit die Chat-Schnittstelle, die Dokumentenauslesung (mistral-ocr-latest) und die Audiotranskription (Voxtral).
Für die zustandsbehafteten Funktionen gilt sie ausdrücklich nicht: Datei-Schnittstelle, Stapelverarbeitung, Agents, Conversations und Libraries müssen Daten ablegen, um zu funktionieren. Für unseren Dateiweg heißt das: Zero Data Retention ist dort keine Zusage, die wir Ihnen weitergeben könnten.
Der Vertrag hat diese Auskunft nachvollzogen. Anlage 4 Nr. 3 der Fassung 2.1 nennt die Aktivierung mit Datum und Aktenzeichen, führt die drei zustandslosen Schnittstellen auf, für die sie gilt, und die zustandsbehafteten, für die sie nicht gilt. Die Aufbewahrung von 30 rollierenden Tagen für Ein- und Ausgaben beim KI-Verarbeiter bleibt trotzdem im Vertrag stehen, und zwar als Obergrenze: Die Aktivierung ist eine Einstellung des Anbieters und keine Klausel seines Auftragsverarbeitungsvertrags, er kann sie einseitig zurücknehmen. Zusichern können wir Ihnen deshalb weiterhin nur die Frist; die günstigere Lage ist der Ist-Zustand, den wir offenlegen, und keine Zusage, auf die Sie sich vertraglich berufen könnten. Für die Datei-Schnittstelle hat der Anbieter keine automatische Löschfrist veröffentlicht; schriftlich zugesagt ist, dass hochgeladene Dateien bleiben, bis wir sie löschen, und nach der Löschung aus seinen Systemen entfernt sind.
Also löschen wir selbst, und zwar zweifach. Erstens ruft jeder Verarbeitungslauf die Löschung der übertragenen Datei in einem finally-Block auf, also auch dann, wenn der Lauf mit einem Fehler endet. Zweitens geht alle 30 Minuten ein Aufräumlauf über die Dateiliste des Anbieters und löscht nach, was ein abgebrochener Vorgang zurückgelassen hat; er fasst nur Dateien mit dem Zweck der Dokumentenauslesung an und erst ab einem Mindestalter von 60 Minuten, damit er keinem laufenden Vorgang die Grundlage entzieht. Für die Stapelverarbeitung großer Dokumente gibt es einen eigenen Pfad mit acht Tagen, weil deren Auftrags- und Ergebnisdateien länger gebraucht werden.
Ein Training mit den übermittelten Inhalten schließt der Anbieter für die bezahlte Programmierschnittstelle schriftlich aus; zusätzlich ist der entsprechende Widerspruch in seiner Verwaltungsoberfläche gesetzt. Wir übermitteln kein Feedback an den Anbieter und nutzen keine als „Labs" oder „Preview" gekennzeichneten Modelle, weil die Trainings-Zusage für diese beiden Fälle ausdrücklich nicht gilt.
Was wir nicht versprechen
Neun dieser elf Punkte stehen als Anlage 4 im Vertrag, weil sie Vertragsinhalt sind und nicht internes Arbeitsmaterial; die beiden übrigen sind unten als solche gekennzeichnet. Sie gehören alle in Ihre Risikobewertung.
Keine pauschale Ortszusage
Der Textweg läuft über den EU-Endpunkt des Anbieters; das beruht auf seiner Dokumentation, nicht auf einer Klausel in seinem Auftragsverarbeitungsvertrag. Für Dateiweg und Tonweg gibt es keinen solchen Endpunkt und damit keine Zusage eines Verarbeitungsortes.
Keine Richtigkeitsgarantie für erzeugte Inhalte
Ausgaben der KI, insbesondere die Antwortoptionen von Multiple-Choice-Aufgaben, sind maschinell erzeugt und können fachlich falsch sein. Die Quellenbindung begrenzt das — ohne passende Quelle entsteht keine Karte und keine Frage — und für die Prüfung erzeugter Inhalte läuft ein eigenes Modell mit. Eine Garantie ist beides nicht: die fachliche Durchsicht vor dem Einsatz im Unterricht bleibt bei der Lehrkraft.
Kein Siegel, kein externes Testat
Quanta ist ein Solo-Betrieb ohne eigene Zertifizierung. Der Nachweis stützt sich auf Selbstauskunft und auf die Zertifikate der Unterauftragsverarbeiter. Wer ein Testat als Voraussetzung braucht, bekommt es hier nicht.
Keine Verfügbarkeitszusage für die KI-Funktionen
Der KI-Verarbeiter gibt im genutzten Tarif keine Verfügbarkeitszusage ab, und wir geben deshalb auch keine weiter. Über 90 Tage beobachtet lag die Verfügbarkeit seiner Programmierschnittstelle bei rund 99,2 Prozent. Fällt sie aus, bleiben die übrigen Funktionen der Plattform nutzbar.
Keine Löschung ohne Ihr Zutun
Für Abgaben, Ergebnisse und Noten gibt es keinen automatischen Ablauf, und inaktive Schülerkonten löschen wir nicht von allein. Wann Konten und Inhalte ausgeschiedener Lernender verschwinden, gehört in Ihr eigenes Löschkonzept.
Löschung wirkt in Backups verzögert
Eine Löschung greift in den Datenbank-Backups erst mit deren regulärem Ablauf nach 30 Tagen. Eine sofortige Einzellöschung aus einem Backup ist technisch nicht vorgesehen.
Löschpfad nicht lückenlos protokolliert
Teile des Löschpfads arbeiten nach dem Prinzip des besten Bemühens, teils mit stiller Fehlerbehandlung. Das kann die Genauigkeit einschränken, mit der sich der Umfang einer Schutzverletzung beziffern lässt. Ausgenommen ist die Datei-Löschung beim KI-Verarbeiter: ein misslungener Löschaufruf wird dort ausdrücklich protokolliert.
Keine Zusage des KI-Anbieters zu Minderjährigen
Der Anbieter verpflichtet uns vertraglich auf eine wirksame Einwilligung der Erziehungsberechtigten, gibt aber keine eigene Zusage zum besonderen Schutz minderjähriger Endnutzer ab. Er bestätigt schriftlich, dass wir als Kunde der Programmierschnittstelle Verantwortliche bleiben, einschließlich der Rechtsgrundlage.
Keine zugesicherte Durchsatzerhöhung
Eine Anhebung der Ratenbegrenzungen hat der KI-Anbieter auf Anfrage nicht gewährt; die Grenzen steigen mit dem Tarif. Für den Betrieb ganzer Klassen planen wir das mit Ihnen ein, statt es zu verschweigen. Dieser Punkt steht nicht in Anlage 4, sondern in der schriftlichen Auskunft des Anbieters vom 21. August 2026.
Beschränkte Haftungsmasse
Auftragsverarbeiter ist eine Unternehmergesellschaft (haftungsbeschränkt); die Haftung ist auf das Gesellschaftsvermögen beschränkt, und der Vertrag sagt keinen Versicherungsschutz zu. Beides gehört in Ihre Auswahlentscheidung nach Art. 28 Abs. 1 DSGVO.
Keine Aussage über andere Anbieter
Diese Seite vergleicht nicht und bewertet keinen Wettbewerber. Was andere zusagen, steht in deren Unterlagen und ist dort zu prüfen, nicht hier. Auch dieser Punkt steht nicht in Anlage 4; er ist eine Selbstbeschränkung dieser Seite.
Wer eine Verarbeitung außerhalb der EU vollständig ausschließen muss, sollte den Dateiweg und den Tonweg im Unterricht nicht einsetzen. Die übrigen Funktionen der Plattform bleiben davon unberührt.
Anlage 4 zählt dreizehn Punkte. Die vier, die oben nicht noch einmal auftauchen, stehen an anderer Stelle dieser Seite: die fehlende veröffentlichte Löschfrist der Datei-Schnittstelle und der Stand der Option „Zero Data Retention" im Abschnitt „Was der KI-Anbieter speichert", die ungleichen Widerspruchsfristen in der Kette unter „Was Sie von uns bekommen" und die Telegram-Benachrichtigung in der Tabelle „Wer verarbeitet was". Ausgelassen ist keiner.
Welche Frist wo gilt
Die Tabelle ist Vertragsinhalt, nicht Absichtserklärung. Wo keine Frist läuft, steht das auch so.
| Datenart | Frist | Mechanismus |
|---|---|---|
| Konto samt Inhalten und Speicher-Objekten | mit der Kontolöschung | Kaskadierende Löschung, anschließend Löschung des Authentifizierungskontos |
| Schul-Lerninhalte: Abgaben, Ergebnisse, Noten, geteilte Themen, Aufgaben, Termine | kein automatischer Ablauf | Bestehen bis zur Löschung durch Sie, bis zur Kontolöschung oder bis zur Löschung der Einrichtung |
| Chat zwischen Lehrkraft und Lernenden | längstens 180 Tage | Täglicher Löschlauf um 03:00 Uhr Europe/Berlin |
| Protokoll der KI-Nutzung (Konto-ID, Modell, Verbrauch) | 180 Tage | Ablaufmarke in der Datenbank, zusätzlich Bereinigung bei Kontolöschung |
| Datenbank-Backups | 30 Tage | Täglicher Lauf, Lebenszyklus-Regel in der Region europe-west3 |
| Ein- und Ausgaben beim KI-Verarbeiter (Text, Datei, Ton) | 30 rollierende Tage | Vertraglich festgehaltene Obergrenze zur Missbrauchserkennung beim Anbieter |
| Dateien auf der Datei-Schnittstelle des KI-Verarbeiters | unmittelbar nach der Verarbeitung | Löschaufruf im finally-Block jedes Verarbeitungslaufs, zusätzlich ein Aufräumlauf alle 30 Minuten über die Dateiliste des Anbieters |
Nach Ende der Verarbeitung löschen wir nach Ihrer Wahl alle personenbezogenen Daten oder geben sie zurück und löschen die Kopien. Ihre Wahl teilen Sie binnen 30 Tagen nach Vertragsende in Textform mit; treffen Sie keine, löschen wir nach Ablauf dieser Frist.
Was Sie von uns bekommen
Unterlagen, Riegel und Fristen, an denen sich prüfen lässt, ob wir uns daran halten.
Der Vertrag samt Anlagen
Auftragsverarbeitung nach Art. 28 DSGVO, Fassung 2.1 vom 2. September 2026. Anlage 1 ist die Verarbeitungsübersicht mit Ort und Löschung je Datenart, Anlage 2 die technischen und organisatorischen Maßnahmen, Anlage 3 die Unterauftragsverarbeiter, Anlage 4 die 13 offengelegten Restrisiken. Den Nachweis führen wir vorrangig durch Bereitstellung des Vertrags samt Anlagen; Sie können ihn vor der Entscheidung lesen.
Annahme mit Riegel, nicht mit Häkchen im Kleingedruckten
Der Besitzer-Zugang bekommt den Vertragstext beim ersten Login im Volltext angezeigt und muss ihn annehmen. Die Annahme wird serverseitig geprüft und protokolliert, mit Zeitpunkt, Vertragsversion und bestätigendem Konto. Bis dahin bleiben die datenschutzsensiblen Funktionen gesperrt, etwa die Einsicht der Lehrkraft in Lernstände und der Eltern-Export. Die Prüfung ist so gebaut, dass sie im Zweifel sperrt: fehlt das Merkmal, passt die Version nicht oder lässt sich der Stand nicht lesen, bleibt zu.
Änderungen an der Unterauftragsverarbeiter-Liste
Änderungen zeigen wir in Textform an; Sie können ihnen binnen 14 Tagen aus datenschutzrechtlichen Gründen widersprechen. Offengelegt ist dabei die Schieflage in der Kette: gegenüber dem KI-Verarbeiter haben wir für dessen eigene Unter-Unterauftragsverarbeiter nur 10 Tage, ein Widerspruch von Ihnen kann also zu spät kommen. Die Rechtsfolge steht im Vertrag.
Fristen, an denen Sie uns messen können
Anfragen zu Betroffenenrechten bestätigen wir binnen 3 Werktagen und beantworten sie binnen 14 Tagen ab Eingang. Eine uns bekannt gewordene Verletzung des Schutzes personenbezogener Daten melden wir unverzüglich, spätestens binnen 48 Stunden. Eine Selbstauskunft in Textform liefern wir binnen 14 Tagen; eine Vor-Ort-Prüfung ist mit 14 Tagen Vorankündigung möglich, einmal je Kalenderjahr.
Werkzeuge für die Betroffenenrechte
Auskunft und Datenübertragbarkeit über den maschinenlesbaren Datenexport in der Anwendung, Berichtigung über die Bearbeitungsfunktionen, Löschung einzelner Lernender über die Kontolöschung, die zugehörige Datenbestände, Speicher-Objekte und KI-Nutzungsprotokolle kaskadierend entfernt.
Muster-Elterninformation
Für die Information der Sorgeberechtigten stellen wir eine Vorlage bereit. Sie ist eine unverbindliche Hilfestellung und ersetzt Ihre rechtliche Prüfung nicht.
Anfragen zu Betroffenenrechten und zur Auftragsverarbeitung richten Sie in Textform an amos@am-creativetech.com. Wendet sich eine betroffene Person unmittelbar an uns, leiten wir das Anliegen an Sie weiter und beantworten es nicht selbst, sofern Sie nichts anderes anweisen.
Weiterlesen
- Datenschutzerklärung als verbindlicher Rechtstext, versioniert und zustimmungsgebunden.
- Lernplattform für Schulen mit Klassen, Aufgaben, Tests und Zugängen ohne private E-Mail-Adresse.
- Quanta für Einrichtungen als Überblick über Schulen, Nachhilfeschulen und Hochschulen.
Prüfen Sie es mit uns durch, bevor Sie sich entscheiden.
Schreiben Sie kurz, welche Unterlagen Ihre Prüfung braucht: den Vertrag samt Anlagen, die Verarbeitungsübersicht, die Liste der Unterauftragsverarbeiter oder die Muster-Elterninformation. Im Erstgespräch gehen wir die offenen Punkte aus Anlage 4 durch, statt sie zu überblättern.