Unsere Unterauftragsverarbeiter
Zuletzt aktualisiert: 7. Juli 2026
Grundsätze
Die Klausuren der Schülerinnen und Schüler werden bereits beim Import automatisch geschwärzt (Entfernung der Namen und direkten Identifikatoren); die geschwärzte Version wird für den Großteil der Verarbeitung durch die KI-Modelle verwendet, und die Übermittlung der Originalversion ist auf das erforderliche Minimum beschränkt (insbesondere für die Erkennung der zu schwärzenden Elemente).
Kein Training und begrenzte Aufbewahrung: alle Anbieter von KI-Modellen verpflichten sich vertraglich, die übermittelten Inhalte nicht zum Training ihrer Modelle zu verwenden. Sie dürfen sie für einen begrenzten Zeitraum (je nach Anbieter 30 bis 55 Tage) ausschließlich zu Sicherheits- und Missbrauchserkennungszwecken aufbewahren und löschen sie anschließend; dieser Zeitraum kann für als missbräuchlich gemeldete Inhalte verlängert werden.
Die dauerhafte Speicherung der Daten (Datenbank, Dateien) erfolgt in der Europäischen Union / im EWR.
Jeder außerhalb der EU niedergelassene Unterauftragsverarbeiter unterliegt einem DPA nach Art. 28 und einem gültigen Übermittlungsmechanismus (Zertifizierung nach dem EU-U.S. Data Privacy Framework und/oder Standardvertragsklauseln).
Infrastruktur-Unterauftragsverarbeiter
Anbieter | Rolle | Unternehmen (Land) | Speicherort der Daten | Betroffene Daten | Garantien |
|---|---|---|---|---|---|
Backblaze, Inc. | Dateispeicherung (Klausuren, gescannte Seiten) | USA | Region eu-central-003 (Amsterdam, Niederlande) | Klausuren der Schüler, Aufgabenstellungen | DPA + DPF-Zertifizierung + SCCs |
PlanetScale, Inc. | Datenbank | USA | AWS eu-central-1 (Frankfurt, Deutschland - EU), einschließlich Backups | Transkriptionen, Noten, Konten | DPA + SCCs |
Vercel, Inc. | Anwendungs-Hosting und Serverfunktionen | USA | EU-Compute (Paris/Frankfurt); Betriebslogs | Daten, die während der Verarbeitung durchgeleitet werden | DPA + DPF-Zertifizierung |
Trigger.dev (API Hero Ltd) | Orchestrierung der Hintergrundverarbeitung | Vereinigtes Königreich | Cloud-Worker; Payloads auf Identifikatoren beschränkt | Inhalte, die im Verarbeitungsspeicher durchgeleitet werden | DPA + Angemessenheitsbeschluss EU-Vereinigtes Königreich |
Stripe, Inc. | Zahlungsabwicklung | USA | EU/USA | Abrechnungsdaten der Lehrkräfte (niemals Schülerdaten) | DPA + DPF-Zertifizierung |
PostHog, Inc. | Produkt-Nutzungsanalyse | USA | EU-Cloud (eu.posthog.com, Frankfurt) | Produktereignisse (ohne Schülerdaten) | DPA + EU-Hosting |
Hetzner Online GmbH | Proxy für die Bildskalierung | Deutschland | Nürnberg (nbg1) | Seitenbilder bei der Übertragung | DPA (keine Übermittlung außerhalb der EU) |
Cloudflare, Inc. | Proxy für Sprachtranskription (kommende Funktion) | USA | Weltweites Cloudflare-Netzwerk | Diktataudio der Lehrkraft bei der Übertragung (niemals Schülerdaten) | DPA + DPF-Zertifizierung + SCCs |
Pipedrive OÜ | Verwaltung der Kundenbeziehungen (CRM) | Estland | AWS EU (Frankfurt/Dublin) | Geschäftskontakte und Interessenten (niemals Schülerdaten) | DPA + DPF-Beitritt für seine US-Unterauftragsverarbeiter |
Brevo SAS | Versand von Newslettern | Frankreich | EU | E-Mail-Adressen der registrierten Nutzer | DPA (keine Übermittlung außerhalb der EU) |
Intercom, Inc. | Kundensupport und Messaging | USA | USA | Support-Konversationen mit den Nutzern | DPA + DPF-Zertifizierung |
Anbieter von KI-Modellen
Die übermittelten Inhalte unterliegen einer automatischen Schwärzung - die Übermittlung der ungeschwärzten Version ist auf das erforderliche Minimum beschränkt (insbesondere für die Erkennung der zu schwärzenden Elemente). Jeder Anbieter verpflichtet sich vertraglich, die Inhalte nicht zum Training seiner Modelle zu verwenden; diese Verpflichtung gilt für alle Inhalte, geschwärzt oder nicht. Die Aufbewahrung ist auf die Missbrauchserkennung beschränkt (je nach Anbieter 30 bis 55 Tage, verlängerbar für gemeldete Inhalte), anschließend werden die Inhalte gelöscht.
Anbieter | Rolle | Unternehmen (Land) | Garantien |
|---|---|---|---|
Mistral AI | Sprachmodelle | Frankreich | DPA + standardmäßiges EU-Hosting + kein Training (kostenpflichtige API); Aufbewahrung auf 30 Tage begrenzt (Missbrauchserkennung) |
Anthropic, PBC (Claude) | Sprachmodelle | USA | DPA (einschließlich SCCs) + kein Training; Aufbewahrung auf 30 Tage begrenzt (Missbrauchserkennung, bei Meldung verlängert) |
OpenAI, L.L.C. | Sprachmodelle | USA | DPA (SCCs) + kein Training; Aufbewahrung auf 30 Tage begrenzt (Missbrauchserkennung) |
Google LLC (Gemini) | Sprachmodelle | USA | DPA + DPF-Zertifizierung + kein Training (kostenpflichtiges Angebot); Aufbewahrung auf 55 Tage begrenzt (Missbrauchserkennung) |
OpenRouter, Inc. | Routing zu offenen Modellen für bestimmte technische Verarbeitungen | USA | Beschränkung auf „Zero Retention“-Endpunkte |