Technische und organisatorische Maßnahmen
Arbeitsstand gemäß Art. 32 DSGVO · myAbiFlow UG (haftungsbeschränkt) · 6. Oktober 2026
Diese Übersicht trennt überprüfte Maßnahmen von noch offenen Nachweisen. Sie ist keine Zertifizierung und bestätigt keine Freigabe für den verbindlichen Schuleinsatz. Die vertragliche TOM-Anlage muss den tatsächlich vereinbarten Schulbetrieb beschreiben.
1. Überprüfter technischer Stand
- Hauptanwendung und Datenbank werden bei Hetzner in Deutschland betrieben. Externe KI-, E-Mail- und Zahlungsdienste sind davon getrennt zu beurteilen.
- Die öffentliche Website verwendet HTTPS. Die geprüfte Firewall lässt von außen Webzugriffe und den administrativen SSH-Zugang zu; Datenbank und Redis sind lokal gebunden.
- Kontopasswörter werden mit individuellem Salt und PBKDF2 gehasht. Anwendungstoken sind signiert und zeitlich begrenzt.
- Die Haupt-API prüft bei persönlich gebundenen Schülertoken zusätzlich, ob das zugehörige Konto noch existiert. Das ersetzt keine Prüfung sämtlicher anderer Dienste.
- Schülerbezogene Konto- und Lerndatenzugriffe werden an die angemeldete Identität gebunden. Bei der freigegebenen Ergebnisdetailansicht wird die Zuordnung zur Person und zum Fach geprüft.
- Neue asynchrone Korrekturaufträge sind ihrem Ersteller zugeordnet. Die Kenntnis einer Auftragskennung allein erlaubt keinen Abruf.
- JSON-Antworten der Haupt-API tragen eine Speicherbeschränkung. Der Service Worker speichert nur erlaubte öffentliche statische Dateien und berücksichtigt entsprechende Cache-Vorgaben.
- Zentrale Analyse- und Werbeskripte sind auf ausgewählte öffentliche Seiten beschränkt. Lern- und Kontobereiche bleiben auch bei gespeicherter Einwilligung ausgeschlossen.
- Schülerkontolöschungen verwenden eine Datenbanktransaktion. Bei Fehlern wird die lokale Transaktion zurückgerollt. Externe Löschvorgänge sind davon getrennt.
- Verschlüsselte Sicherungsdateien sind vorhanden. Die Konfiguration sieht tägliche, wöchentliche und monatliche Rotation vor. Ein aktueller vollständiger Wiederherstellungstest ist damit nicht nachgewiesen.
2. Grenzen der überprüften Maßnahmen
Pseudonyme, Freitextfilter und das Weglassen von Kontonamen ergeben keine sichere Anonymisierung. KI-Anfragen können Texte, Bilder, Sprache, Leistungsdaten und fachliche Schwächen enthalten. Auch eine verschlüsselte Übertragung lässt die Verarbeitung beim empfangenden Dienst zu.
Der technische Teststand erfasst ausgewählte Zugriffs-, Lösch-, Cache- und Trackingabläufe. Er ist kein vollständiger Penetrationstest. Schulübergreifende Trennung, sämtliche Echtzeitsitzungen, administrative Rechte und externe Anbieter benötigen weitere Abnahmeprüfungen.
3. Vor dem verbindlichen Schulbetrieb zu ergänzen
- Schulbezogene Mandanten, dokumentierte Rollen, überprüfte Zuweisung von Lehrkräften und stabile Personenkennungen statt freier Namenszuordnung.
- Widerruf von Sitzungen und Berechtigungen über sämtliche Dienste, minimale Administratorrechte, Mehrfaktor-Authentifizierung und nachvollziehbare privilegierte Zugriffe.
- Ein Schulzugang ohne private E-Mail-Adresse, eigenes Kaufabonnement oder Werbeeinwilligung; geregelte Wiederherstellung und Austrittsprozesse.
- Ein vollständiges Löschkonzept einschließlich Warteschlangen, Sitzungsdaten, Backups, Protokollen, externen Empfängern und Wiederherstellungen.
- Überwachung von Bereinigungsläufen, Wiederherstellungsübungen und dokumentierte Reaktion auf fehlgeschlagene Löschungen.
- Dokumentiertes Sicherheits- und Datenschutzvorfallverfahren mit Verantwortlichkeiten, Kontaktwegen und Fristen.
- Nachweise zur Vertraulichkeitsverpflichtung, Schulung, regelmäßigen Berechtigungsprüfung und zum sicheren Änderungsbetrieb.
4. Anbieter und Verträge
Im Code sind Hetzner, OpenAI, Google Gemini, Hugging Face, Wolfram, Ideogram, Resend und Stripe sowie auf erlaubten öffentlichen Seiten Google-Analyse- und Werbedienste vorgesehen. Pro Dienst sind Zweck, Datenarten, konkrete Vertragspartei, datenschutzrechtliche Rolle, Unterauftragnehmer, Verarbeitungsorte, Speicherfristen, Minderjährigennutzung und Drittlandgrundlage nachzuweisen.
Online bereitgestellte Bedingungen können Vertragsbestandteil sein. Die bloße Existenz einer DPA-Webseite beweist jedoch nicht, welche Fassung und Einstellungen für das konkrete Kundenkonto gelten. Eine vollständig geprüfte Vertragskette liegt diesem Arbeitsstand nicht zugrunde.
5. Datenschutzorganisation und Fortschreibung
Ein Verzeichnis der Verarbeitungstätigkeiten, der schulbezogene AVV, die DSFA und die Zuständigkeit beziehungsweise Benennung eines Datenschutzbeauftragten sind zu vervollständigen. Die Zuständigkeit der schulischen Datenschutzbeauftragten ersetzt nicht die Prüfung der Pflichten des Anbieters.
Freigaben müssen vor dem Schuleinsatz und nach wesentlichen Änderungen an Zwecken, KI-Anbietern, Datenflüssen oder Sicherheitsmaßnahmen erneut geprüft und dokumentiert werden. Verantwortlicher Ansprechpartner beim Anbieter: Daniel Zahnweh, info@myabiflow.de.