Eine AVV ist ein Vertrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO). Er wird nötig, wenn eine Einrichtung einen Dienstleister einsetzt, der personenbezogene Daten in ihrem Auftrag verarbeitet. Der Vertrag legt fest, dass der Dienstleister die Daten nur nach den Vorgaben der Einrichtung verwendet, sie schützt und nach Vertragsende löscht.

Verantwortlich ist Ihre Einrichtung, also die Schule, Hochschule oder Organisation, die entscheidet, die Anwendungen mit ihren Lehrkräften, Lernenden oder Projektteilnehmenden zu nutzen. Auftragsverarbeiter ist Learning Level Up. Wir betreiben die Anwendungen technisch und verarbeiten die Daten nur, damit Ihre Einrichtung sie nutzen kann.

In aller Regel ja, sobald Sie die Anwendungen im Rahmen Ihrer Einrichtung einsetzen. Schon für die Anmeldung fallen personenbezogene Daten an, etwa E-Mail-Adressen, Zugangsdaten, IP-Adressen und Zeitpunkte der Nutzung. Hinzu kommen die Inhalte, die in den Anwendungen entstehen. Sind Sie unsicher, ob Ihr Einsatz darunter fällt, fragen Sie die bzw. den Datenschutzbeauftragten Ihrer Einrichtung oder schreiben Sie uns.

Pseudonyme Zugänge ohne echte Namen und ohne persönliche E-Mail-Adressen sind sehr zu empfehlen. Sie senken das Risiko und erleichtern Ihrer Datenschutzstelle die Prüfung. Eine AVV ersetzen sie aber nicht, weil technisch weiterhin personenbezogene Daten wie IP-Adressen verarbeitet werden.

Unterschreiben darf nur, wer die Einrichtung rechtlich vertreten darf. Das ist häufig die Schulleitung, an Hochschulen in der Regel die Hochschulleitung (Rektorat, Präsidium, Kanzler:in) oder eine ausdrücklich beauftragte Stelle. Einzelne Lehrkräfte, Lehrende oder Projektmitarbeitende sind dazu meist nicht befugt.

Unser Tipp: Wenden Sie sich zuerst an die bzw. den Datenschutzbeauftragten Ihrer Einrichtung. Dort ist bekannt, wer zuständig ist, und eine AVV nach Art. 28 DSGVO ist für die Datenschutzstelle Routine. Das spart meist viel Zeit.

Die Person oder Stelle, die für Ihre Einrichtung unterschreibt, zum Beispiel „Schulleitung, Frau Muster“ oder „Kanzler der Hochschule, Herr Beispiel“. Steht das noch nicht fest, lassen Sie das Feld offen. Es bleibt dann gelb markiert und kann später ergänzt werden.

Das Datum des Vertrags oder der Bestellung, mit der Ihre Einrichtung die Nutzung der Anwendungen vereinbart hat. Die AVV ergänzt diesen Hauptvertrag. Gibt es noch keinen solchen Vertrag, etwa in einem Forschungsprojekt, lassen Sie das Feld offen und sprechen Sie uns an.

Wählen Sie alle Gruppen aus, die mit den Anwendungen arbeiten oder deren Daten darin vorkommen, zum Beispiel Lehrkräfte und Schüler:innen. Bei den Datenarten sind die üblichen Fälle bereits vorausgewählt. Sprach- oder Audiodaten markieren Sie nur, wenn Sie Funktionen mit Spracheingabe nutzen.

1. Speichern Sie den Vertragstext als PDF oder Word-Datei.
2. Lassen Sie ihn von der vertretungsberechtigten Person unterschreiben.
3. Senden Sie den Scan an stefanpietrusky@learning-levelup.de.
4. Sie erhalten ein gegengezeichnetes Exemplar zurück.

Ein eingescanntes, unterschriebenes PDF genügt. Die DSGVO lässt die elektronische Form ausdrücklich zu (Art. 28 Abs. 9).

Ja. Die Vereinbarung sollte vorliegen, bevor Lernende, Lehrende oder Projektteilnehmende mit echten Zugängen arbeiten. Planen Sie die Abstimmung in Ihrer Einrichtung deshalb frühzeitig ein.

Bewahren Sie das gegengezeichnete Exemplar mindestens für die Dauer der Nutzung auf. Es dient Ihrer Einrichtung als Nachweis, dass die Verarbeitung ordnungsgemäß beauftragt wurde. Ihre Datenschutzstelle trägt die Nutzung außerdem in das Verzeichnis der Verarbeitungstätigkeiten ein.

Viele Einrichtungen arbeiten mit eigenen Mustern. Senden Sie uns Ihr Muster in diesem Fall zu, wir sehen es uns gern an.

• Werden nicht genutzt: Sie verwenden keine Funktionen, die Eingaben an OpenAI senden.
• Mit eigenem API-Key der Einrichtung: Ihre Einrichtung hat ein eigenes Konto bei OpenAI und hinterlegt dessen Key in der Anwendung.
• Mit API-Key von Learning Level Up: Sie nutzen unseren Key. OpenAI wird damit unser Unterauftragsverarbeiter und ist in Anlage 3 der AVV aufgeführt.

Nein. Die Anwendungen laufen auf unseren Servern. Anmeldungen, Inhalte und Eingaben werden deshalb in jedem Fall bei uns verarbeitet, auch wenn die KI-Anfragen über Ihren eigenen Key laufen. Die AVV mit uns ist also immer nötig.

Mit einem eigenen Key kommt sogar ein zweites Vertragsverhältnis hinzu: Ihre Einrichtung schließt dann selbst die Nutzungs- und Datenschutzbedingungen von OpenAI ab und ist dort direkt Vertragspartnerin.

Davon raten wir ab. Jede Person müsste ein eigenes Konto bei OpenAI anlegen und die Kosten selbst tragen. Zudem gelten dann die Bedingungen zwischen der Einzelperson und OpenAI, nicht die Ihrer Einrichtung. Die AVV mit uns würde dadurch ebenfalls nicht entfallen.

Die Nutzungskosten für die KI-Anfragen trägt Ihre Einrichtung. Die Abrechnung regelt der Hauptvertrag. In Projekten bietet es sich an, diese Kosten im Projektbudget einzuplanen.

Einige Funktionen nutzen Sprachmodelle über Ollama Cloud. Mit diesem Dienst besteht kein Vertrag nach Art. 28 DSGVO. In diesen Funktionen dürfen deshalb keine personenbezogenen Daten eingegeben werden, also keine Namen, Kontaktdaten oder Angaben, die Rückschlüsse auf bestimmte Personen erlauben. Ihre Einrichtung weist die Nutzenden darauf hin (§ 12 Abs. 2 der AVV). Fragen Sie uns gern, welche Funktionen Ihrer Anwendungen betroffen sind.

Die Anwendungen laufen beim Hosting-Anbieter Railway in der Rechenzentrumsregion EU West (Amsterdam). Da Railway ein US-Unternehmen ist, sind mögliche Übermittlungen in die USA über Standardvertragsklauseln der EU-Kommission abgesichert. Alle Unterauftragsverarbeiter stehen in Anlage 3 der AVV.

Für jede Einrichtung läuft eine eigene, getrennte Instanz der Anwendung. Auf die Systeme hat ausschließlich der Inhaber von Learning Level Up Zugriff. Hinterlegte API-Keys werden verschlüsselt gespeichert. Die Einzelheiten stehen in Anlage 2 der AVV.

Nutzende können ihre Inhalte jederzeit selbst im Hub der jeweiligen Anwendung löschen. Nach Vertragsende werden alle Daten innerhalb von 30 Tagen gelöscht oder auf Wunsch zurückgegeben. Technische Protokolle des Hosting-Anbieters werden automatisch nach 90 Tagen entfernt.

Nein. Es werden keine Backups der Anwendungsdaten angelegt. Gelöschte Inhalte sind damit vollständig entfernt und lassen sich nicht wiederherstellen. Wichtige Ergebnisse sollten Nutzende deshalb bei Bedarf selbst sichern.

Nein. Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO, zum Beispiel Gesundheitsdaten oder Angaben zur Religion, ist nicht vorgesehen. Weisen Sie die Nutzenden bitte darauf hin.

Dafür ist Ihre Einrichtung als Verantwortliche zuständig (§ 12 Abs. 1 der AVV). Sie informiert die Nutzenden über die Verarbeitung und holt, wo nötig, Einwilligungen ein, etwa bei Teilnehmenden eines Forschungsprojekts. Wir unterstützen Sie gern mit den technischen Angaben.