Datenschutzkonzept

1. Geltungsbereich

Dieses Datenschutzkonzept gilt ausschliesslich fuer edfy scovox unter edfy.app/scovox, das Scovox Admin-Dashboard, den schulbezogenen Scovox-Chat, Quellenverwaltung, Website-Crawling, Datei-Uploads, Downloads, RAG-Indexierung, Chatprotokolle und Qualitaetsfeedback.

Andere edfy-Produkte wie Namigo, Checklisten, Lernwerk, Lehrwerk oder globale edfy-Kontofunktionen sind nicht Teil dieses Konzepts, soweit sie nicht ausdruecklich als Scovox-Funktion bezeichnet sind.

2. Rollen und Verantwortlichkeiten

• Schule oder Schultraeger: Verantwortliche Stelle fuer Zwecke, Inhalte, Rechtsgrundlage, betroffene Personengruppen, Rollenfreigaben und Informationspflichten der schulischen Scovox-Instanz.
• edfy: Betreiber und technischer Dienstleister. Bei schulischer Nutzung verarbeitet edfy schulbezogene Scovox-Daten grundsaetzlich im Auftrag der verantwortlichen Schule bzw. des Schultraegers. Fuer eigene Betriebs-, Sicherheits-, Vertrags- und Supportprozesse kann edfy eigener Verantwortlicher sein.
• Scovox-Admin der Schule: Pflegt Quellen, Rollen, Downloads, Schulprofil, Datenschutzklassifizierung und Loeschfristen innerhalb der lizenzierten Schulinstanz.
• Nutzerinnen und Nutzer: Stellen Fragen im freigegebenen Chat und erhalten nur Inhalte, die fuer ihre Rolle freigegeben sind.
• edfy Produktbetrieb: Betreibt Lizenzen, technische Konfiguration, Sicherheit, Wartung und Missbrauchsschutz, ohne schulische Inhalte eigenverantwortlich fachlich freizugeben.

3. Auftragsverarbeitung

Vor produktiver Nutzung einer Scovox-Schulinstanz muss ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwischen der verantwortlichen Stelle und edfy abgeschlossen sein, sofern edfy personenbezogene Daten im Auftrag verarbeitet.

Der Scovox-spezifische Muster-AVV mit TOM-Anlage ist unter /scovox/avv abrufbar.

• Gegenstand: Betrieb einer schulbezogenen KI-Auskunfts- und Wissensbasis.
• Dauer: Laufzeit der Scovox-Lizenz zuzueglich geregelter Rueckgabe- und Loeschphase.
• Art der Verarbeitung: Speicherung, Indexierung, Rollenpruefung, RAG-Kontextabruf, Chatantwort, Protokollierung, Backup, Support und Loeschung.
• Kategorien betroffener Personen: Lehrkraefte, Schuelerinnen und Schueler, Eltern, Sorgeberechtigte, Verwaltungsmitarbeitende, externe Interessierte, soweit Inhalte oder Chattexte diese betreffen. Fragen und Antworten werden in Scovox-Protokollen standardmaessig minimiert gespeichert.
• Unterauftragsverarbeiter: Hosting, E-Mail, KI-API und technische Dienstleister muessen dokumentiert und vertraglich abgesichert sein.
• Register: Scovox dokumentiert Anbieter, Zweck, Datenarten, Verarbeitungsort, Transfergrundlage, Schutzmassnahmen, AVV-Status und TOM-Status.
• Weisungen: edfy verarbeitet schulische Inhalte nur nach dokumentierter Weisung, technischer Konfiguration oder gesetzlicher Pflicht.
• Weisungsregister: Scovox dokumentiert konkrete Weisungen der verantwortlichen Stelle mit Art, Status, Inhalt, erteilender Person und Zeitpunkten.
• Verarbeitungstaetigkeiten: Scovox dokumentiert je Schulinstanz Zweck, Rechtsgrundlage, Datenkategorien, betroffene Personen, Empfaenger, Speicherfrist und Schutzmassnahmen.
• Dokumentfreigaben: AVV-, TOM-, Datenschutzkonzept-, Datenschutzhinweis- und DSFA-Versionen werden mit Freigabeperson, Zeitpunkt und Grundlage dokumentiert.

4. Zwecke und Nicht-Zwecke

Zweck von Scovox ist die rollenbasierte Bereitstellung freigegebener schulischer Informationen und Dokumente ueber eine KI-gestuetzte Chatoberflaeche.

• Erlaubt: Auskuenfte zu Organisation, Terminen, Formularen, Prozessen, Downloads, oeffentlichen Webseiteninformationen und schulintern freigegebenem Wissen.
• Nicht erlaubt: Benotung, Leistungsbewertung, Profilbildung, Verhaltensueberwachung, Disziplinarentscheidungen, automatisierte Entscheidungen, Diagnostik, Beratung zu Einzelfaellen mit sensiblen Daten oder psychologische Bewertung.
• Scovox darf keine Entscheidungen ueber Menschen treffen. Antworten sind Auskunftsinhalte und muessen mit Quellen nachvollziehbar bleiben.

5. Datenarten

• Schulstammdaten: Schulcode, Schulname, Bot-Name, Begruessung, Gastzugang, Verantwortliche Stelle, Datenschutzkontakt, Rechtsgrundlage, AVV-Status, DSFA-Status.
• Rollen- und Zugriffsdaten: E-Mail, Name, Rolle, Status, Berechtigungen, Notizen.
• Wissensbasis: manuelle Texte, Dateien, Webseiteninhalte, Dokumententexte, Downloads, Quellenverweise, Rollenfreigaben, Datenschutzklassifizierung.
• RAG-Daten: Wissensabschnitte, Embeddings, Hashes, Indexstatus, Quellen- und Chunk-IDs.
• Chatdaten: Frage, Antwort, Antwortmodus, Antwortstatus, verwendete Quellen, verwendete Downloads, Feedback und technische Metadaten ohne IP-Adresse und ohne User-Agent im Scovox-Chatlog.
• Audit- und Sicherheitsdaten: Admin-Aktionen, Login- und Sicherheitsereignisse, produktbezogene Systemereignisse.

6. Rechtsgrundlagen

Die konkrete Rechtsgrundlage wird je Schule durch die verantwortliche Stelle dokumentiert. Je nach Traegerschaft und Einsatz koennen insbesondere Art. 6 Abs. 1 lit. c, lit. e, lit. b oder lit. f DSGVO einschlaegig sein. Fuer besondere Kategorien personenbezogener Daten ist zusaetzlich Art. 9 DSGVO zu pruefen.

Die Scovox-Konsole erzwingt vor Produktivstatus die Dokumentation von Rechtsgrundlage, Verantwortlicher Stelle, AVV-Status, DSFA-Entscheidung, DSFA-Risikostufe, DSFA-Begruendung, pruefender Stelle, mindestens einer aktiven Verarbeitungstaetigkeit sowie der angenommenen aktuellen AVV- und TOM-Version.

7. RAG- und KI-Kontrollen

• Scovox nutzt Retrieval-Augmented Generation: Erst werden freigegebene Quellen gesucht, dann wird die Antwort mit Quellenkontext generiert.
• Antworten ohne ausreichende Quellenbasis sollen nicht frei erfunden werden.
• Scovox speichert Chat- und Feedbacktexte standardmaessig nicht als Rohtext, sondern als Hash, Laenge und technische Protokollwerte fuer Support und Nachvollziehbarkeit.
• Jede Quelle wird mit Rolle, Bereich, Datenschutzklasse und Freigabe gespeichert.
• Aktive Quellen erfordern eine dokumentierte Bestaetigung der schulischen Inhaltsverantwortung, Rechtsgrundlage, Rollenfreigabe, verantwortlichen Stelle und Pruefgrundlage.
• Sensible Inhalte duerfen nicht fuer Gaeste, Schueler oder Eltern freigegeben werden.
• Gastfreigaben erfordern eine ausdrueckliche Bestaetigung der oeffentlichen Eignung.
• KI-API-Schluessel fuer Scovox sind getrennt von anderen edfy-Produkten zu fuehren.
• Produktive Scovox-Inhalte duerfen nicht zum Training fremder KI-Modelle verwendet werden, soweit dies vertraglich oder technisch steuerbar ist.

8. Technische und organisatorische Massnahmen

• Zugriffskontrolle: rollenbasierte Admin- und Chatfreigaben, deaktivierbare Rollen, kein freier Admin-Zugang.
• Trennung: Scovox-Daten, Scovox-API-Key und Scovox-Routen sind produktbezogen getrennt von anderen edfy-Bereichen zu behandeln.
• Datenminimierung: Pflicht zur Datenschutzklassifizierung vor Speicherung neuer Quellen; keine Speicherung von IP-Adresse und User-Agent im Chatlog.
• Integritaet: Quellenbezug, Indexstatus, RAG-Status und Reindex-Pruefung im Dashboard.
• Verfuegbarkeit: Hostingbetrieb, Datenbank, Backups und Dienstueberwachung durch edfy.
• Loeschbarkeit: konfigurierbare Retention-Policy je Schule, manuelle Quellenarchivierung, manuelle Anwendung der Fristen und automatisierte Retention-Routine.
• Missbrauchsschutz: Rate Limits fuer Chat, Feedback und Crawls; Begrenzung von Eingabelaengen; SSRF-Schutz beim Website-Crawler.
• Transport- und Websicherheit: HTTPS, Sicherheitsheader und no-store fuer Scovox-Dashboard und Datenschutzdokumente.

9. Loesch- und Aufbewahrungskonzept

• Chatlogs: je Schule konfigurierbar, Standard 30 Tage.
• Feedback: je Schule konfigurierbar, Standard 90 Tage.
• Crawl-Jobs: je Schule konfigurierbar, Standard 30 Tage nach Abschluss, Fehler oder Abbruch.
• Archivierte Quellen: je Schule konfigurierbar, Standard 90 Tage.
• Datenschutzprotokoll: je Schule konfigurierbar, Standard 365 Tage.
• Downloads zu geloeschten archivierten Quellen werden auch physisch aus dem Scovox-Storage entfernt.
• Die automatische Retention-Routine laeuft taeglich serverseitig. Manuelle Loeschlaeufe sind fuer Admins ueber geschuetzte Endpunkte moeglich.

10. Datenschutz-Folgenabschaetzung

Vor produktiver Nutzung muss die verantwortliche Stelle dokumentieren, ob eine DSFA erforderlich ist. Bei schulischem KI-Einsatz ist die Schwelle sorgfaeltig zu pruefen, insbesondere wenn personenbezogene oder sensible Inhalte, Minderjaehrige, interne Konferenzinformationen oder grosse Wissensbestaende verarbeitet werden.

• Beschreibung der Verarbeitung: Quellen, Rollen, Nutzergruppen, Chat, RAG, KI-API, Speicherfristen.
• Notwendigkeit und Verhaeltnismaessigkeit: Zweck, Datenminimierung, Alternativen, Rollenbegrenzung.
• Risiken: falsche Antworten, Offenlegung interner Inhalte, unzulaessige personenbezogene Daten, Prompt-Injection, Crawler-Fehlkonfiguration, unberechtigte Gastfreigabe.
• Massnahmen: Datenschutzklassifizierung, Rollenfreigaben, Quellenbelege, sensible Daten nur mit Freigabe, Retention, Audit, Schulung der Admins.
• Ergebnis: nicht erforderlich, erforderlich oder abgeschlossen; Status, Risikostufe, Begruendung, pruefende Stelle und Abschlussdatum werden im Scovox-Schulprofil gespeichert.
• Nachweisakte: Scovox dokumentiert strukturierte DSFA- oder Schwellwertpruefungen mit Verarbeitungbeschreibung, Notwendigkeit, Verhaeltnismaessigkeit, Risiken, Massnahmen, Restrisiko, pruefender Stelle und Wiedervorlage.

11. Betroffenenrechte und Supportprozess

• Betroffene wenden sich primaer an die verantwortliche Schule oder den Schultraeger.
• edfy unterstuetzt die verantwortliche Stelle bei Auskunft, Berichtigung, Loeschung, Einschraenkung, Export und Widerspruch, soweit Daten in Scovox verarbeitet werden.
• Produktbezogene Auskunfts- und Loeschanfragen werden in einem Scovox-Vorgangsregister mit Anfrageart, Status, Frist, Eingang und betroffenem Account dokumentiert.
• Bei falschen oder personenbezogen unzulaessigen Quellen muessen Admins die Quelle deaktivieren, korrigieren, archivieren oder loeschen.
• Bei Datenschutzvorfaellen sind Ursache, Umfang, betroffene Personen, Massnahmen und Meldepflichten unverzueglich zu pruefen.

12. Datenschutzvorfaelle

Scovox fuehrt fuer jede Schule ein Datenschutzvorfallregister. Dort werden Art des Vorfalls, Schweregrad, Status, Kurzbeschreibung, betroffene Daten, Massnahmen, meldende Person und Entdeckungszeitpunkt dokumentiert.

• Hohe und kritische Vorfaelle muessen unverzueglich bewertet werden.
• Die verantwortliche Stelle entscheidet ueber Meldung an Aufsichtsbehoerde und betroffene Personen.
• edfy unterstuetzt durch technische Informationen, Auditdaten und getroffene Massnahmen.
• Der Status dokumentiert, ob ein Vorfall offen, in Pruefung, nicht meldepflichtig, meldepflichtig, gemeldet oder geschlossen ist.

13. Produktivfreigabe

• Verantwortliche Stelle eingetragen.
• Datenschutzkontakt eingetragen.
• Rechtsgrundlage dokumentiert.
• AVV unterzeichnet.
• Unterauftragsverarbeiter, Drittlandtransfer und Schutzmassnahmen dokumentiert.
• Mindestens eine aktuelle Weisung fuer Produktivfreigabe, Quellenbetrieb oder Support dokumentiert.
• DSFA-Status, Risikostufe, Begruendung und pruefende Stelle dokumentiert.
• Loeschfristen festgelegt.
• Rollen eingerichtet und deaktivierte Rollen geprueft.
• Alle Quellen datenschutzklassifiziert.
• Gastzugang nur aktiviert, wenn oeffentliche Eignung der Inhalte geprueft wurde.
• Datenschutzhinweise der Schule verlinkt und als freigegebene Dokumentversion dokumentiert.

14. Referenzrahmen

• DSGVO, insbesondere Art. 5, 6, 9, 12 bis 22, 25, 28, 30, 32, 33, 35.
• DSK Orientierungshilfe Kuenstliche Intelligenz und Datenschutz, Mai 2024.
• DSK Orientierungshilfe zu datenschutzrechtlichen Besonderheiten generativer KI-Systeme mit RAG-Methode, Oktober 2025.
• EDPB Opinion 28/2024 zu KI-Modellen und DSGVO.