Stand: Oktober 2026 (Version 2026-10) · gemäß Art. 28 DSGVO
📌 Dieser AVV gilt automatisch mit Abschluss einer Schullizenz und regelt die datenschutzrechtliche Zusammenarbeit zwischen der Schule (Verantwortliche) und QRENA (Auftragsverarbeiter). Einzelne Lehrkräfte ohne Schullizenz können diesen AVV ebenfalls auf Anfrage abschließen: info@qrena.de
Gegenstand dieses AVV ist die Bereitstellung der webbasierten Lernplattform QRENA durch den Auftragsverarbeiter zur Durchführung digitaler, differenzierter Lerneinheiten durch die Verantwortliche. Der Auftragsverarbeiter verarbeitet dabei personenbezogene Daten im Auftrag und nach Weisung der Verantwortlichen.
Dieser AVV tritt mit Abschluss des Schullizenzverhältnisses in Kraft und gilt für die gesamte Laufzeit des Lizenzvertrages. Er endet mit dem Ende des Lizenzvertrages; die Pflichten zur Löschung (§ 9.2) und zur Vertraulichkeit gelten darüber hinaus fort.
Der Auftragsverarbeiter betreibt eine webbasierte Lernplattform für differenzierten, interaktiven Unterricht. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zum Zweck der Bereitstellung und des Betriebs dieser Plattform für die Verantwortliche. Art der Verarbeitung: Erheben, Speichern, Anzeigen, Übermitteln an die jeweilige Lehrkraft, Auswerten im Rahmen der von der Lehrkraft aufgerufenen Funktionen (z. B. Fortschrittsübersicht, Export) und Löschen.
Grundsatz der Zweckbindung: Personenbezogene Daten werden ausschließlich zur Erbringung des vertraglich vereinbarten QRENA-Dienstes verarbeitet. Eine Nutzung für Werbung, Profiling, das Training von KI-Modellen oder sonstige eigene Zwecke des Auftragsverarbeiters findet nicht statt.
| Datenkategorie | Beschreibung |
|---|---|
| Pseudonyme Kennungen der Teilnehmenden | Rallye-Modus: frei gewählte Teamnamen und optionale Spitznamen der Teammitglieder. SOL-Modus: Schülernummer und eine von der Lehrkraft vergebene Bezeichnung (Synonym) in der Klassenliste. Klarnamen sind für die Nutzung nicht erforderlich. |
| Nutzungs- und Leistungsdaten | Punktestände, gelöste Aufgaben, eingereichte Antworten (Text), Hilferufe und Tipps an Mitschülerinnen und Mitschüler, Bewertungen und Rückmeldungen der Lehrkraft |
| SOL-Lernpfad- und Fortschrittsdaten | Fortschritt je Station, Fehlversuche, eingereichte Antworten, gewählte Niveaustufe und deren Wechsel, Selbsteinschätzungen nach Checkpoints, Lerntagebuch-Einträge (Freitext). Nur bei Nutzung des SOL-Modus. |
| Foto-Antworten der Teilnehmenden | Von Schülerinnen und Schülern selbst aufgenommene Bilder ihrer Arbeitsergebnisse (z. B. Heftseite, Skizze, Versuchsaufbau), eingereicht als Antwort auf eine Aufgabe. Speicherdauer im SOL-Modus 30, 90 oder 180 Tage nach Festlegung durch die Verantwortliche; im Rallye-Modus mit der Session (§ 9.2). |
| Lehrkraft-Accountdaten | E-Mail-Adresse (Pflicht), Name und Schule (optional), Passwort (nur als Hash beim Authentifizierungsdienst), Tarif und Laufzeit des Zugangs, Zeitpunkte der Zustimmung zu Nutzungsbedingungen und AVV; bei Käufen Zahlungsreferenzen (keine Kartendaten) |
| Technische Daten | Anonyme Gerätekennungen (User-IDs) der Teilnehmenden, IP-Adressen und Browserangaben, die beim Aufruf der Plattform und bei der Anmeldung technisch anfallen |
Nicht vorgesehen und nicht erforderlich: Klarnamen von Schülerinnen und Schülern, Geburtsdaten, Anschriften, biometrische Daten, Gesundheitsdaten, Noten oder sonstige besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Die Plattform fragt diese Daten nicht ab. Freitextfelder (Teamnamen, Antworten, Lerntagebuch) und Fotos können sie dennoch enthalten, wenn sie eingegeben werden; § 6 regelt, wie die Verantwortliche dem vorbeugt.
Hinweis zu Foto-Antworten: Die Plattform erhebt mit dieser Funktion keine Bilder von Personen; vorgesehen sind ausschließlich Aufnahmen von Arbeitsergebnissen. Der Auftragsverarbeiter wertet die Bildinhalte weder aus noch analysiert er sie automatisiert. Da die Aufnahme durch die Teilnehmenden selbst erfolgt, kann ein Bild dennoch unbeabsichtigt personenbezogene Inhalte enthalten (z. B. einen Namen auf dem Heftrand). Die Verantwortliche stellt im Rahmen ihrer Aufsichtspflicht sicher, dass die Funktion bestimmungsgemäß genutzt wird; sie kann sämtliche Fotos und Daten eines Kindes oder einer Klasse jederzeit über die Plattform löschen (§ 5.5). Einzelne Bilder lassen sich nicht gezielt löschen; sie laufen nach der gewählten Frist ab.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an Drittländer, sofern er nicht durch Unionsrecht oder das Recht der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er der Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Als Weisung gelten dieser AVV und die Nutzung der Funktionen der Plattform durch die Lehrkräfte der Verantwortlichen. Weitere Weisungen können per E-Mail an info@qrena.de erteilt werden. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er die Verantwortliche unverzüglich.
Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in § 7 zusammengefasst und in der Beschreibung der technischen und organisatorischen Maßnahmen (qrena.de/tom) im Einzelnen dargestellt. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
Die Verantwortliche erteilt mit Abschluss dieses AVV ihre allgemeine Genehmigung für den Einsatz der in § 8 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert die Verantwortliche rechtzeitig vorher per E-Mail über beabsichtigte Änderungen bezüglich der Hinzuziehung neuer oder der Ersetzung bisheriger Unterauftragsverarbeiter. Die Verantwortliche kann solchen Änderungen widersprechen. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die den in diesem AVV festgelegten im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO); bei Anbietern, die ausschließlich standardisierte Bedingungen anbieten, geschieht dies durch deren Datenverarbeitungsbedingungen.
Der Auftragsverarbeiter unterstützt die Verantwortliche nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung ihrer Pflichten gegenüber betroffenen Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an die Verantwortliche weiter. Anfragen der Verantwortlichen können an info@qrena.de gerichtet werden.
Für Löschverlangen nach Art. 17 DSGVO stellt die Plattform der Verantwortlichen unmittelbar nutzbare Funktionen bereit, die keiner Anfrage bedürfen: das Entfernen einer einzelnen Schülerin oder eines einzelnen Schülers, das Zurücksetzen des Fortschritts einer Klasse und das vollständige Löschen einer Klasse. Jede dieser Funktionen löscht neben den Datenbankeinträgen auch die zugehörigen Foto-Antworten. Lernstände und Lerntagebuch einer Klasse kann die Lehrkraft außerdem als Datei exportieren.
Der Auftragsverarbeiter meldet der Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist, per E-Mail an die ihm bekannte Kontaktadresse. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die noch nicht vorliegen, werden ohne unangemessene Verzögerung nachgereicht. Der Auftragsverarbeiter unterstützt die Verantwortliche bei der Erfüllung ihrer Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.
Der Auftragsverarbeiter unterstützt die Verantwortliche unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO). Er stellt dazu insbesondere die Beschreibung der Verarbeitung, die technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter und eine Hilfestellung zur Schwellwertprüfung bereit (qrena.de/schultraeger) und beantwortet Rückfragen.
Der Auftragsverarbeiter stellt der Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch die Verantwortliche oder einen von ihr beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei. Überprüfungen werden mit angemessener Frist angekündigt und erfolgen in der Regel durch Vorlage von Unterlagen und Auskünften; eine Prüfung vor Ort findet nach Absprache während üblicher Geschäftszeiten statt. Für die Rechenzentren der Unterauftragsverarbeiter, zu denen der Auftragsverarbeiter selbst keinen Zutritt hat, erfolgt der Nachweis über deren Zertifizierungen und Prüfberichte. Hält der Auftragsverarbeiter eine Weisung im Zusammenhang mit einer Überprüfung für rechtswidrig, informiert er die Verantwortliche unverzüglich.
Datenbank, Dateien und Serverfunktionen der Plattform werden in Rechenzentren in der Europäischen Union betrieben (§ 8). Übermittlungen in Drittländer finden nur in dem in § 8 genannten Umfang und auf Grundlage der dort genannten Garantien (Art. 44 ff. DSGVO) statt.
Nach Beendigung des Lizenzvertrages löscht der Auftragsverarbeiter nach Wahl der Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht eine Verpflichtung zur Speicherung nach Unionsrecht oder dem Recht der Mitgliedstaaten besteht. Einzelheiten und Fristen regelt § 9.2. Zur Rückgabe stehen die Exportfunktionen der Plattform zur Verfügung.
Die vollständige Beschreibung steht unter qrena.de/tom.
| Bereich | Umsetzung |
|---|---|
| Übertragung | Verschlüsselt über HTTPS (TLS); HTTP Strict Transport Security ist gesetzt |
| Speicherung | Rechenzentren von Google in der EU: Datenbank Multi-Region eur3 (Belgien, Niederlande), Dateien europe-west3 (Frankfurt), Serverfunktionen europe-west1 (Belgien). Ruhende Daten werden vom Anbieter verschlüsselt gespeichert. |
| Zugriffskontrolle | Serverseitige Sicherheitsregeln für Datenbank und Dateien: Lehrkräfte können nur ihre eigenen Sessions auflisten, ändern und löschen; Klassen und Lernstände sieht nur die zuständige Lehrkraft. Ein Schülergerät kann Einsendungen und Lernstände anderer Kinder nicht lesen; Teamnamen, Punkte, Hilferufe und Tipps einer Stunde sind für die Geräte dieser Stunde sichtbar. Jede Regeländerung durchläuft vor der Veröffentlichung eine automatisierte Testreihe. |
| Authentifizierung | Lehrkräfte: E-Mail und Passwort (mindestens 12 Zeichen, serverseitig erzwungen), E-Mail-Bestätigung. Schülerinnen und Schüler: anonyme Anmeldung ohne Benutzerkonto. Eine Zwei-Faktor-Anmeldung wird derzeit nicht angeboten. |
| Verfügbarkeit | Tägliche Sicherung der Datenbank und Wiederherstellung auf einen beliebigen Zeitpunkt, jeweils 7 Tage; Löschschutz für die Datenbank; gelöschte Dateien 7 Tage wiederherstellbar |
| Löschung | Automatische Löschläufe für Sessions und Foto-Antworten; Löschfunktionen für Lehrkräfte; Einzelheiten im Löschkonzept (qrena.de/loeschkonzept) |
| Organisation | Administrativer Zugriff ausschließlich durch den Betreiber; Entwicklung und Tests in einer getrennten Testumgebung mit eigener Datenbank |
Mit Abschluss dieses AVV genehmigt die Verantwortliche den Einsatz folgender Unterauftragsverarbeiter:
| Anbieter | Leistung und Daten | Ort der Verarbeitung | Garantie bei Drittlandbezug |
|---|---|---|---|
| Google Cloud EMEA Limited 70 Sir John Rogerson's Quay, Dublin 2, Irland |
Datenbank (Cloud Firestore), Dateispeicher (Cloud Storage), Serverfunktionen (Cloud Functions), Auslieferung der Website (Firebase Hosting); alle Datenkategorien nach § 3 | EU: Datenbank eur3 (Belgien, Niederlande), Dateien Frankfurt, Funktionen Belgien; Website-Auslieferung über ein weltweites Netz | Für etwaige Zugriffe aus den USA: EU-US Data Privacy Framework und Standardvertragsklauseln (nach Angabe des Anbieters) |
| Google LLC 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA |
Anmeldung (Firebase Authentication): E-Mail-Adresse und Passwort-Hash der Lehrkraft, anonyme Gerätekennungen, IP-Adressen und Browserangaben zur Missbrauchsabwehr; Erzeugen der Links zur Adressbestätigung (versendet über IONOS) und Versand der E-Mail zum Zurücksetzen des Passworts; Auslieferung der Firebase-Programmbibliothek | USA | EU-US Data Privacy Framework; Standardvertragsklauseln |
| IONOS SE Elgendorfer Str. 57, 56410 Montabaur |
Versand von E-Mails an Lehrkräfte (Bestätigung der Adresse, Willkommen, Hinweise zum Zugang) und von Betriebsmeldungen an den Betreiber (Neuregistrierungen mit E-Mail-Adresse, Name, Schule und Tarif; Konto-Kennung, Kauf- und Session-Angaben); keine Daten von Schülerinnen und Schülern | Deutschland | nicht erforderlich |
| Anthropic, PBC 548 Market St, PMB 90375, San Francisco, CA 94104, USA |
KI-Aufgabengenerator (Pro-Zugang; im kostenlosen Tarif zwei Test-Durchläufe): Eingaben der Lehrkraft (Fach, Klassenstufe, Schulform, Bundesland, Aufgabenprofil, Thema, gewünschte Aufgabentypen und Anzahl, ggf. Beispielaufgabe sowie Name und Text hochgeladener Quellen). Keine Daten von Schülerinnen und Schülern. | USA | Standardvertragsklauseln (Bestandteil der Geschäftsbedingungen des Anbieters) |
Weitere Empfänger ohne Zugriff auf Unterrichtsdaten: Programmbibliotheken liefert QRENA seit Oktober 2026 selbst aus; öffentliche Content-Delivery-Netze werden dafür nicht mehr verwendet. Eingebettete YouTube-Videos werden über youtube-nocookie.com geladen, sobald die Aufgabe angezeigt wird. Zahlungen der Lehrkraft wickelt Stripe Payments Europe Ltd. (Dublin, Irland) ab; Stripe erhält keine Daten von Schülerinnen und Schülern.
Hinweis: Änderungen an dieser Liste werden der Verantwortlichen rechtzeitig vorher mitgeteilt (§ 5.4). Die jeweils aktuelle Fassung steht unter qrena.de/unterauftragsverarbeiter. Im Fall eines berechtigten Widerspruchs, dem der Auftragsverarbeiter nicht abhelfen kann, hat die Verantwortliche das Recht zur außerordentlichen Kündigung des Lizenzvertrages.
Dieser AVV tritt mit Abschluss des Schullizenzverhältnisses in Kraft und endet mit dessen Beendigung.
Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Erfüllungsort und Gerichtsstand ist Herborn, soweit gesetzlich zulässig.
Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, unwirksame Bestimmungen durch wirksame Regelungen zu ersetzen, die dem Zweck der unwirksamen Bestimmung möglichst nahekommen.
Im Verhältnis zu den allgemeinen Nutzungsbedingungen und zum Lizenzvertrag hat dieser AVV in datenschutzrechtlichen Fragen Vorrang.
Für alle Anfragen im Zusammenhang mit diesem AVV:
Dominic Schmitt · info@qrena.de
🎉 Vertrauen durch Transparenz
Dieser AVV ist öffentlich einsehbar und wird bei wesentlichen Änderungen aktualisiert. Bei Fragen stehen wir gerne zur Verfügung.
Stand: Oktober 2026 (Version 2026-10)
Dieser AVV wurde nach bestem Wissen und Gewissen erstellt. Er ersetzt keine individuelle Rechtsberatung. Bei rechtlichen Unsicherheiten empfehlen wir die Konsultation eines auf Datenschutzrecht spezialisierten Rechtsanwalts oder des schulischen Datenschutzbeauftragten.