Datenschutz für Schulen

Alles, was Schulleitung, Datenschutzbeauftragte und Lehrkräfte brauchen, um Lenguvo DSGVO-konform im Unterricht einzusetzen – mit Vertrag zur Auftragsverarbeitung (AVV) und Muster-Elternbrief zum Kopieren.

In drei Schritten startklar

  1. 1. AVV abschließen

    Die Schule ist Verantwortliche, Lenguvo Auftragsverarbeiter (Art. 28 DSGVO). Den Vertrag finden Sieunten. Senden Sie ihn unterschrieben ansupport@lenguvo.com – Sie erhalten ein gegengezeichnetes Exemplar zurück.

  2. 2. Eltern informieren und Einwilligung einholen

    Nutzen Sie denMuster-Elternbrief. Ob eine Einwilligung nötig ist, hängt vom Schulgesetz Ihres Landes ab – im Zweifel einholen.

  3. 3. Datensparsam beitreten lassen

    Schülerinnen und Schüler treten mit dem Klassencode bei und wählen einen Spitznamen – ohne E-Mail-Adresse. Sie erhalten einen 4-stelligen PIN, mit dem sie später wieder hineinkommen.

Empfehlungen für Lehrkräfte

  • Spitznamen statt vollständiger Namen verwenden (z. B. Vorname + Anfangsbuchstabe oder Fantasiename).
  • Kinder unter 16 Jahren nicht mit eigener E-Mail-Adresse registrieren lassen – der Klassencode genügt.
  • Am Schuljahresende Schülerinnen und Schüler aus der Klasse entfernen oder die Klasse löschen.
  • PIN vergessen? In der Schülerübersicht der Klasse auf „Neuer PIN“ klicken.
  • Keine personenbezogenen Inhalte (z. B. Namen von Mitschülern) in Lernsets eintragen.

Welche Schülerdaten verarbeitet werden

  • Spitzname und Klassenzugehörigkeit
  • 4-stelliger Anmelde-PIN (nur als bcrypt-Hash)
  • Lernfortschritt: Übungsergebnisse, Lernstand je Vokabel, XP, Lernserie, Übungsdaten
  • Ergebnisse von Vokabeltests der Lehrkraft
  • Oberflächensprache, Zeitpunkt der letzten Aktivität

Nicht erhoben werden: E-Mail-Adresse, Geburtsdatum, Anschrift, Fotos, Sprachaufnahmen, Standort. Keine Werbung, kein Tracking, keine Weitergabe an Dritte zu eigenen Zwecken. Auf Anfrage der Schule oder der Erziehungsberechtigten löschen wir einzelne Schülerkonten unverzüglich.

Unterauftragsverarbeiter

AnbieterLeistungSchülerdaten?Standort der Daten
MongoDB Inc. (MongoDB Atlas)DatenbankJaFrankfurt am Main (EU)
Railway Corp.AnwendungsserverJa (nur während der Verarbeitung)EU-Rechenzentrum
Plausible Insights OÜCookielose, anonyme SeitenstatistikNein (keine IP-Speicherung, keine Profile)EU
Lettermint B.V.E-Mail-Versand (z. B. Passwort zurücksetzen)Nur bei Konten mit E-Mail-Adresse – Schüler mit Klassencode erhalten keine E-MailsNiederlande (EU)
Mistral AI SASVokabelerkennung aus Fotos/Texten der LehrkraftNeinEU

Mutterunternehmen von MongoDB und Railway sitzen in den USA; Daten werden in der EU gespeichert. Übermittlungen in die USA sind über das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln abgesichert. Der E-Mail-Versand (Lettermint) erfolgt ausschließlich in der EU. Das KI-Sprechtraining (Sprachaufnahmen) ist für Schülerkonten gesperrt.

Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

  • Vertraulichkeit: Zugriff nur nach Anmeldung; Lehrkräfte sehen ausschließlich Schüler ihrer eigenen Klassen; administrativer Datenbankzugriff nur durch den Betreiber mit Zwei-Faktor-Authentifizierung.
  • Verschlüsselung: Übertragung ausschließlich per HTTPS/TLS; Speicherung verschlüsselt (Encryption at Rest); Passwörter und PINs nur als bcrypt-Hash.
  • Schutz vor unbefugtem Zugang: Sperre nach wiederholten falschen PIN-Eingaben; Schülerkonten ohne E-Mail melden sich mit Klassencode, Spitzname und PIN an; Sitzungen laufen automatisch ab.
  • Integrität und Verfügbarkeit: Hosting in zertifizierten Rechenzentren (ISO 27001 / SOC 2), regelmäßige Datensicherungen.
  • Datensparsamkeit und Löschung: Teilnahme ohne E-Mail-Adresse; Löschung einzelner Schülerkonten auf Anfrage; sofortige Löschung bei Kontolöschung; Datenexport (JSON) für Betroffene.
  • Trennung: Keine Nutzung von Schülerdaten zu Werbe-, Profiling- oder KI-Trainingszwecken.

Vertrag zur Auftragsverarbeitung (AVV)

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Verantwortlicher (Auftraggeber):
Schule: ____________________________________
Anschrift: __________________________________
vertreten durch die Schulleitung: ______________________

Auftragsverarbeiter (Auftragnehmer):
Lenguvo, Abraham-Lincoln-Allee 48, 68309 Mannheim, support@lenguvo.com

§ 1 Gegenstand, Dauer, Art und Zweck

Der Auftragnehmer stellt dem Auftraggeber den webbasierten Vokabeltrainer Lenguvo zur Nutzung im Unterricht bereit. Zweck der Verarbeitung ist das Üben von Vokabeln, die Anzeige des Lernfortschritts für Lernende und Lehrkräfte sowie die Durchführung von Vokabeltests. Der Vertrag gilt für die Dauer der Nutzung durch den Auftraggeber und ist mit einer Frist von vier Wochen kündbar.

§ 2 Art der Daten und Kategorien betroffener Personen

Betroffene: Schülerinnen und Schüler sowie Lehrkräfte des Auftraggebers. Daten der Schülerinnen und Schüler: Spitzname, PIN-Hash, Klassenzugehörigkeit, Lernfortschritt, Testergebnisse, Oberflächensprache, Zeitpunkte der Aktivität. Daten der Lehrkräfte: Name, dienstliche E-Mail-Adresse, Passwort-Hash, Schule, erstellte Inhalte. Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet.

§ 3 Weisungsgebundenheit

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, die durch diesen Vertrag und die Nutzung der Funktionen von Lenguvo erteilt wird, sofern er nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist. Eine Verarbeitung zu eigenen Zwecken, insbesondere zu Werbung, Profilbildung oder zum Training von KI-Modellen, findet nicht statt. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.

§ 4 Vertraulichkeit

Alle Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Art. 32 DSGVO geforderten Maßnahmen. Diese sind auf www.lenguvo.com/datenschutz-schulen#tom beschrieben und Bestandteil dieses Vertrags (Anlage 1). Der Auftragnehmer darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

Der Auftraggeber genehmigt die auf www.lenguvo.com/datenschutz-schulen#unterauftragsverarbeiter genannten Unterauftragsverarbeiter (Anlage 2). Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall kündigen. Der Auftragnehmer erlegt Unterauftragsverarbeitern gleichwertige Datenschutzpflichten auf. Daten werden in der EU gespeichert.

§ 7 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen (Art. 15–22 DSGVO), insbesondere durch Export- und Löschfunktionen, sowie bei den Pflichten aus Art. 32–36 DSGVO. Anfragen betroffener Personen, die direkt beim Auftragnehmer eingehen, leitet er an den Auftraggeber weiter.

§ 8 Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.

§ 9 Löschung und Rückgabe

Nach Ende der Nutzung löscht der Auftragnehmer alle Daten des Auftraggebers, soweit keine gesetzliche Aufbewahrungspflicht besteht; auf Wunsch stellt er sie zuvor als Export bereit. Einzelne Schülerkonten löscht der Auftragnehmer auf Weisung des Auftraggebers unverzüglich, spätestens innerhalb von sieben Tagen.

§ 10 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung.

§ 11 Schlussbestimmungen

Es gilt deutsches Recht. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Im Fall von Widersprüchen gehen die Regelungen dieses Vertrags anderen Vereinbarungen vor.

Ort, Datum: ______________________     Ort, Datum: ______________________

________________________________     ________________________________
Schulleitung (Auftraggeber)                Lenguvo (Auftragnehmer)

Anlage 1: Technische und organisatorische Maßnahmen · Anlage 2: Unterauftragsverarbeiter (jeweils Stand dieser Seite)

Muster-Elternbrief mit Einwilligung

Platzhalter in [eckigen Klammern] bitte anpassen.

[Name der Schule] · [Ort], [Datum]

Einwilligung zur Nutzung des Vokabeltrainers „Lenguvo“ in der Klasse [Klasse]

Liebe Eltern und Erziehungsberechtigte,

im [Fach]-Unterricht möchten wir den Online-Vokabeltrainer Lenguvo (www.lenguvo.com) nutzen. Ihr Kind übt damit Vokabeln in Spielen und Tests – im Unterricht und freiwillig zu Hause. Die Lehrkraft sieht den Lernfortschritt und kann gezielt unterstützen.

Welche Daten werden verarbeitet?
Ihr Kind tritt mit einem Klassencode bei und wählt einen Spitznamen (bitte keinen vollständigen Namen). Gespeichert werden der Spitzname, ein 4-stelliger Anmelde-PIN (verschlüsselt), die Klassenzugehörigkeit, Übungsergebnisse und Lernfortschritt sowie Ergebnisse von Vokabeltests. Es wird keine E-Mail-Adresse, kein Geburtsdatum, keine Anschrift und keine Sprachaufnahme erhoben.

Wo und wie lange?
Die Daten werden auf Servern in der EU (Datenbank in Frankfurt am Main) gespeichert. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Es gibt keine Werbung und keine Weitergabe zu Werbezwecken. Die Daten werden auf Ihren Wunsch oder auf Anweisung der Schule gelöscht, spätestens wenn die Schule die Nutzung von Lenguvo beendet.

Freiwilligkeit und Widerruf
Die Einwilligung ist freiwillig. Wenn Sie nicht einwilligen, entstehen Ihrem Kind keine Nachteile; es erhält gleichwertige Übungen auf anderem Weg. Sie können die Einwilligung jederzeit ohne Angabe von Gründen bei der Schule widerrufen; die Daten werden dann gelöscht. Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie ein Beschwerderecht bei der Datenschutz-Aufsichtsbehörde. Verantwortlich ist die Schule; Datenschutzbeauftragte/r der Schule: [Name, Kontakt]. Weitere Informationen: www.lenguvo.com/datenschutz

Mit freundlichen Grüßen

[Name der Lehrkraft]

✂ – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

Name des Kindes: ______________________________   Klasse: ________

☐ Ich bin / Wir sind einverstanden, dass mein/unser Kind Lenguvo wie oben beschrieben im Unterricht nutzt.
☐ Ich bin / Wir sind nicht einverstanden.

______________________    ____________________________________________
Ort, Datum                Unterschrift der/des Erziehungsberechtigten

Ab 14 Jahren empfiehlt es sich, zusätzlich die Unterschrift der Schülerin bzw. des Schülers einzuholen.

Fragen Ihrer Schule oder Ihres/Ihrer Datenschutzbeauftragten beantworten wir gern:support@lenguvo.com. Siehe auch die allgemeineDatenschutzerklärung.

Stand: Oktober 2026