Anbieterzusage Phase A

Fassung `AZ-2026-09-v2` · Stand: 14.09.2026 · Einseitige Zusage des Anbieters gegenüber Lehrkräften und Schulen · Grundlage: Betreiberentscheid RE-43 (Register der Rechtsentscheide, rechtsentscheide.md)

Kein Vertrag, kein Anerkenntnis. Dieses Dokument ist eine einseitige Selbstverpflichtung des Anbieters. Es ist kein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, kein Angebot auf Abschluss eines solchen Vertrags und keine Aufforderung, ein solches Angebot abzugeben. Eine Annahme ist nicht vorgesehen; ein Vertrag kommt durch dieses Dokument in keinem Fall zustande. Es ist nicht Bestandteil der Allgemeinen Geschäftsbedingungen des Anbieters.

Mit diesen Zusagen erkennt der Anbieter nicht an, dass er die Inhalte der Bewertungsbögen als Auftragsverarbeiter oder als Verantwortlicher für personenbezogene Daten verarbeitet. Er bestreitet die Auftragsverarbeiter-Eigenschaft ebenso wenig: Die Rollenfrage ist bislang nicht höchstrichterlich geklärt. Die Zusagen gelten unabhängig davon, wie sie ausgeht.

Integritätsregel. Dieses Dokument sagt nichts zu, was der Dienst nicht tatsächlich tut. Ändert sich die Verarbeitung, ist es gemeinsam mit dem Verzeichnis der Verarbeitungstätigkeiten nachzuziehen.

1. Wer sich verpflichtet, und wofür

Anbieter ist Mario Dietrich, Einzelunternehmen, Von-Drove-Straße 6, 50127 Bergheim, info@klausiapp.de, Telefon 02271/993966.

Gegenstand dieser Zusage sind die Inhalte der Bewertungsbögen, die eine Lehrkraft im Dienst „Klausi" anlegt: Aufgaben, Bewertungskriterien und Punkteschemata, die pseudonymen Bezeichnungen der einzelnen Arbeiten samt erreichten Punkten und errechneter Note, Klasse oder Kurs, Fach und Datum, Bemerkungen der Lehrkraft, ihre Anweisungen an die KI-Funktion sowie das von ihr hochgeladene Aufgaben- und Unterrichtsmaterial. Gegenstand sind ferner die bei Klausi geführten Klassen/Kurse (Jahrgangsstufe, Bezeichnung, Schuljahr, Teilnehmernummern mit interner Kennung und Status) und ihre Zuordnung zu Bewertungsbögen.

Der Nutzungsvertrag über den Dienst besteht ausschließlich mit der einzelnen Lehrkraft. Der Anbieter unterhält in dieser Produktphase keine Vertrags- oder Kontobeziehung zu einer Schule und weiß regelmäßig nicht, welcher Schule eine Lehrkraft angehört. Diese Zusage gilt deshalb für jeden Bewertungsbogen jeder Lehrkraft, ohne dass eine Schule etwas veranlassen müsste.

2. Rechtsansicht des Anbieters — als solche gekennzeichnet

Der Dienst erzwingt für jedes Konto ausnahmslos das Kürzelformat „Schüler_<Nummer>" bzw. „Schülerin_<Nummer>"; einen Betriebsmodus mit Klarnamen gibt es nicht. Eine Zuordnung von Kürzel zu Person besteht auf den Servern des Anbieters nicht und ist dort technisch nicht vorgesehen; führt die Lehrkraft Namen zu den Nummern, bleiben diese verschlüsselt auf ihrem Gerät; die Nummern vergibt der Dienst standardmäßig zufällig.

Daraus leitet der Anbieter die Rechtsansicht ab, dass die strukturierten Bogeninhalte im bestimmungsgemäßen Betrieb dieser Phase für ihn keine personenbezogenen Daten sind (EuGH, Urt. v. 04.09.2025, C-413/23 P). Das ist eine Rechtsansicht, keine festgestellte Rechtslage und keine Aussage über die Sicht der Lehrkraft oder der Schule: Für diese sind die Daten personenbezogen, weil dort die Zuordnungsmittel vorliegen.

Diese Zusage steht neben jener Rechtsansicht und ist von ihr unabhängig. Sie soll der Schule und ihrer datenschutzbeauftragten Person ein prüfbares Dokument geben, gleich wie die Rollenfrage beantwortet wird.

3. Die Zusagen im Einzelnen

Inhaltlich orientieren sich die folgenden Zusagen an Art. 28 Abs. 3 lit. a–h DSGVO.

a) Zweckbindung, keine Zweckänderung, keine Drittlandübermittlung. Der Anbieter verarbeitet die Inhalte ausschließlich, um der Lehrkraft die Funktionen des Dienstes bereitzustellen. Eigene Zwecke verfolgt er damit nicht: keine Werbung, keine Profilbildung, keine Weitergabe an Dritte, kein Training von KI-Modellen — dem KI-Anbieter ist das Training vertraglich untersagt. Die Speicherung erfolgt in Deutschland; die KI-Verarbeitung läuft über eine im Code fest hinterlegte Schnittstelle des KI-Anbieters — Anbieter, Modell und Schnittstelle sind Code-Konstanten und zur Laufzeit nicht umschaltbar, einen Fallback auf einen anderen Anbieter gibt es nicht. Nach der Dokumentation des KI-Anbieters wird derzeit ausschließlich in Paris verarbeitet; weitere Standorte innerhalb Europas bleiben dem Anbieter vorbehalten, eine vertragliche Regionsgarantie besteht nicht. Nach dem geprüften Vertragsstand ist eine Übermittlung in ein Drittland nicht vorgesehen; die Grenzen dieser Beleglage — insbesondere der nicht benannte Verarbeitungsort der Missbrauchs-Aufbewahrung — sind unter d) offengelegt.

b) Vertraulichkeit. Der Anbieter ist ein Einzelunternehmen ohne Beschäftigte; Zugriff auf die Systeme hat allein Mario Dietrich, der von Gesetzes wegen zur Vertraulichkeit verpflichtet ist. Wird eine weitere Person mit Zugriff betraut — vorgesehen ist bislang allein eine operative Stellvertretung für Störungs- und Vorfälle —, verpflichtet der Anbieter sie vor dem ersten Zugriff schriftlich zur Vertraulichkeit. Administrative Lesezugriffe auf ein fremdes Konto sind nur anlassbezogen zur Bearbeitung einer Anfrage möglich, werden vor dem Zugriff in einem nachträglich nicht änderbaren Protokoll erfasst (365 Tage, ohne Inhalte) und unterbleiben, wenn die Protokollierung scheitert.

c) Technische und organisatorische Maßnahmen. Es gelten die Maßnahmen, die in technisch-organisatorische-massnahmen.md mit Fundstelle dokumentiert sind — einschließlich der dort ausdrücklich offengelegten Lücken und Restrisiken. Der Anbieter schreibt sie fort; eine Fortschreibung hält das Schutzniveau gleichwertig oder erhöht es.

d) Unterauftragsverhältnisse. Eingesetzt sind: Hetzner Online GmbH (Hosting der Anwendung, Datenbank und Dateispeicher, Betrieb der E-Mail-Postfächer; Deutschland) und Scaleway S.A.S. (Sprachmodell und Versand systembezogener E-Mails; Frankreich). Mit beiden bestehen geprüfte Auftragsverarbeitungsverträge; die Prüfung ist in den Prüfvermerken Hetzner und Scaleway offengelegt, einschließlich der dort benannten Abweichungen — insbesondere nennt der KI-Anbieter für die vorübergehende Aufbewahrung bei erkanntem Missbrauch weder Frist noch Verarbeitungsort. Der Zahlungsdienstleister erhält keine Bogeninhalte. Nimmt der Anbieter einen weiteren Dienst hinzu oder ersetzt er einen bestehenden, führt er diese Zusage vor dem Einsatz nach. Ein Widerspruchsrecht einer Schule besteht mangels Vertrags nicht.

e) Betroffenenrechte — und die Grenze, die dabei gilt. Der Anbieter kann ein Pseudonym keiner Person zuordnen. Er verlangt die Zuordnung nicht, nimmt sie nicht entgegen und begründet mit dieser Zusage keinen Anspruch auf ihre Offenlegung; eine gezielte Recherche zu einer einzelnen Schülerin oder einem einzelnen Schüler auf Anforderung bietet er nicht an und wird er nicht anbieten (Art. 11 DSGVO). Seine Unterstützung erschöpft sich deshalb in Produktfunktionen, die die Lehrkraft ohne Mitwirkung des Anbieters nutzt: dem vollständigen, maschinenlesbaren Export aller von ihr eingegebenen Bewertungsdaten und der Möglichkeit, einzelne Arbeiten, ganze Bewertungsbögen und das Konto jederzeit selbst zu löschen. Wendet sich eine betroffene Person unmittelbar an den Anbieter, verweist er sie an die Lehrkraft bzw. die Schule und beantwortet die Anfrage nicht inhaltlich.

f) Sicherheit und Meldungen. Wird dem Anbieter eine Verletzung des Schutzes personenbezogener Daten bekannt, die Bogeninhalte betrifft, meldet er sie der betroffenen Lehrkraft unverzüglich, spätestens 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen; fehlende Angaben reicht er unverzüglich nach. Entsteht die Verletzung bei einem der unter d) genannten Dienste, beginnt die Frist mit dem Eingang von dessen Meldung. Der Anbieter meldet nicht in fremdem Namen an eine Aufsichtsbehörde. Offen gelegte Grenze: Der Betrieb ist nicht rund um die Uhr überwacht; zwischen einem Ereignis und seiner Erkennung kann bis zu eine Nacht liegen. Der Ablauf steht in incident-response-phase-a.md.

g) Löschung und Herausgabe. Die Lehrkraft löscht Arbeiten und Bewertungsbögen jederzeit selbst; die Löschung des Kontos entfernt alle zugehörigen Inhalte einschließlich der hochgeladenen Dateien. Der Anbieter wendet auf Bögen und Arbeiten keine eigene Altersfrist an — er löscht auf Verlangen und mit dem Konto. In den verschlüsselten Sicherungsbeständen sind gelöschte Daten technisch bedingt noch bis zu rund 70 Tage enthalten; sie werden dort nicht verwendet, sondern nur für den Wiederherstellungsfall vorgehalten. Eine Herausgabe an eine Schule sieht der Anbieter nicht vor; die Herausgabe erfolgt über den Selbst-Export der Lehrkraft (Einzelheiten: loeschkonzept.md).

h) Nachweis und Information. Auf Anfrage in Textform an info@klausiapp.de stellt der Anbieter einer Schule oder ihrer datenschutzbeauftragten Person zur Verfügung: diese Zusage, den Informationsbaustein für Schulen samt seinem Teil C mit den Angaben für die Datenschutz-Folgenabschätzung der Schule, das TOM-Dokument, die dokumentierte Vorabprüfung zur DSFA-Pflicht, die Einstufung nach der KI-Verordnung und die Prüfvermerke zu den unter d) genannten Diensten. Ein Recht auf Überprüfungen vor Ort oder auf Prüfung durch beauftragte Dritte sagt der Anbieter nicht zu — der Betrieb besteht aus einer Person. Er tritt insoweit an die Stelle einer Inspektion durch Auskunft und Offenlegung seiner Dokumentation.

4. Bindung an die Vorgaben der Lehrkraft

Der Anbieter verarbeitet die Inhalte ausschließlich zur Erbringung der Dienstleistung. Was die Lehrkraft im Dienst tut — anlegen, ändern, bewerten, exportieren, drucken, löschen — behandelt er als maßgebliche Vorgabe und führt keine darüber hinausgehende Verarbeitung durch. Einen davon getrennten Weisungskanal gibt es in dieser Produktphase nicht, und der Anbieter richtet keinen ein; insbesondere nimmt er keine Vorgabe entgegen, die ihn zu einer Verarbeitung außerhalb der Produktfunktionen verpflichten würde. Erkennt er, dass eine Vorgabe gegen Datenschutzrecht verstößt, weist er darauf hin und kann ihre Ausführung aussetzen.

Die Bewertungsentscheidung trifft ausnahmslos die Lehrkraft. Die KI-Funktion setzt keine Note fest und schlägt für eine einzelne Arbeit keine Note vor; die im Dienst angezeigte Note folgt rein rechnerisch aus dem Notenschlüssel und den Punkten, die die Lehrkraft vergibt.

5. Wenn eine Schule einen Vertrag verlangt

Verlangt eine Schule einen Vertrag nach Art. 28 DSGVO, schließt der Anbieter ihn in dieser Produktphase nicht ab. Er teilt der Schule mit, dass ein solcher Abschluss eine andere Produktphase mit eigenen Voraussetzungen eröffnet — verifizierte verantwortliche Stelle und Zeichnungsberechtigung, gesondert freigegebene Vertragsfassung, aktualisierte Rechtstexte, landesspezifische Freigaben und eine erneute Bewertung der Pflicht zur Datenschutz-Folgenabschätzung — und dass er dafür kein Datum zusagt. Bis dahin bleibt es bei dieser Zusage. Der Anbieter empfiehlt der Schule ausdrücklich nicht, auf den Vertrag zu verzichten.

6. Was diese Zusage nicht leistet

• Sie ersetzt keinen Vertrag nach Art. 28 DSGVO. Wo Landesrecht einen vorab durch die Schule geschlossenen Vertrag verlangt — so ausdrücklich Niedersachsen (RdErl. d. MK v. 01.01.2020, 15-05410/1-8, Nr. 1.1 S. 4, verlängert bis 31.12.2027) und der Sache nach Baden-Württemberg (VwV Datenschutz an öffentlichen Schulen v. 04.07.2019, Nr. 1.14.2) —, erfüllt diese Zusage den Wortlaut dieser Vorschriften nicht. Ob und unter welchen Voraussetzungen eine Lehrkraft den Dienst einsetzen darf, entscheidet die Schulleitung nach dem Recht ihres Landes; die Genehmigungs- oder Anzeigepflicht trifft die Lehrkraft dienstrechtlich. Eine Übersicht der geprüften Länder steht in landesrecht-matrix.md.
• Sie behauptet keine Risikofreiheit und keine bundesweite datenschutzrechtliche Freigabe.
• Sie gilt erst recht dort, wo Inhalte ausnahmsweise doch personenbezogen sind: Nennt eine Lehrkraft entgegen der Zweckgrenze eine Person in einem Freitext oder lädt sie eine Datei mit identifizierenden Angaben hoch, sind das personenbezogene Daten — unabhängig davon, ob der Dienst die Nennung erkannt und die Lehrkraft sie bestätigt hat. Für sie gelten alle vorstehenden Zusagen ohne Einschränkung. Der Dienst kann solche Eingaben nicht lückenlos erkennen; Bilder und eingescannte Seiten werden nicht auf sichtbare Namen geprüft. Schülerarbeiten, Klassen-/Kurslisten und identifizierende Unterlagen bleiben unzulässige Eingaben.

7. Bindung, Geltung, Änderung

Der Anbieter bindet sich an diese Zusage. Eine Schule kann daraus keine vertraglichen Ansprüche herleiten — Ansprüche entstünden nur aus einem Vertrag, den es hier bewusst nicht gibt. Wirksam ist die Bindung gleichwohl: Eine Abweichung wäre eine irreführende geschäftliche Handlung und eine Verletzung der Pflichten des Anbieters gegenüber der Lehrkraft, und sie wäre gegenüber der Aufsichtsbehörde ein dokumentierter Widerspruch zur eigenen Rechenschaftsdarstellung.

Die Zusage gilt ab ihrer Veröffentlichung und in der jeweils veröffentlichten Fassung. Änderungen wirken nur für die Zukunft, werden datiert und erhalten eine neue Fassungskennung; die früheren Fassungen bleiben nachweisbar. Der Anbieter hält die geltende Fassung öffentlich abrufbar und stellt sie im Konto der Lehrkraft zum Herunterladen bereit; bis zur technischen Bereitstellung ist sie auf Anfrage in Textform erhältlich (Abschnitt 3 Buchst. h).

Bergheim, den 14.09.2026

Mario Dietrich, Einzelunternehmen — Anbieter des Dienstes „Klausi"