Compliance & DSGVO

Compliance-Status
Automatisch generiert am 12.05.2026 um 03:07 Uhr · Monatlicher Compliance-Check (Template-basiert) · Audit-Log
DSGVO-Compliance-Checkliste
Rechtsgrundlage
Thema
Status
Wo / Was fehlt
Art. 5 DSGVO
Datenklassifizierung
OK
Datenklassifizierung — 4 Klassen dokumentiert
Art. 13/14
Informationspflichten
Offen
Erstellen: Eltern-Info-Brief (Art. 13) — Vorlage vorhanden, noch nicht versandt
Art. 25 DSGVO
Privacy by Design
Offen
Datenschutz-Folgenabschätzung fehlt — im Kapitel Compliance anlegen
Art. 28 DSGVO
Auftragsverarbeitung
Teilweise
AVV-Vorlage vorhanden — mit netcup + Anthropic abschließen
Art. 30 DSGVO
Verarbeitungsverzeichnis
Teilweise
VVT-Eintrag Schulfunk — Vorlage vorhanden, vervollständigen
Art. 32 DSGVO
TOMs
Teilweise
Datenklassifizierung definiert Maßnahmen — technische Umsetzung prüfen
Art. 37 DSGVO
Datenschutzbeauftragter
OK
Kein DSB erforderlich (Startup <20 MA, keine großmaßstäbige Verarbeitung). Datenschutz-Aufgaben: Philipp Wolters (Gründer). GF kann nicht formaler DSB sein (Interessenkonflikt Art. 38 Abs. 6).
Legende
OK Umgesetzt
Teilweise In Bearbeitung
Offen Handlungsbedarf
Hinweis Klärungsbedarf
Wird monatlich am 1. des Monats automatisch aktualisiert (n8n). · Audit-Log ansehen

Audit-Log
Datum
Aktion
Methode
Status
12.05.2026
Monatliches Compliance-Monitoring
Template (ohne KI)
Abgeschlossen

Datenklassifizierung
Datenklassifizierung Empennage
Letzte Aktualisierung: 2026-05-12 | Verantwortlich: Philipp Wolters (DSB)
Klasse 1 — Öffentlich
Keine Einschränkungen, öffentlich zugänglich.
Beispiele: Website-Inhalte, Produktbeschreibungen, Pressemitteilungen
Maßnahme
Status
Kein besonderer Schutz erforderlich
✓ Umgesetzt
Versionskontrolle
✓ Umgesetzt
Markierung als Öffentlich
⚠ Offen
Klasse 2 — Intern
Nur für Mitarbeitende und autorisierte Partner.
Beispiele: Betriebliche Prozesse, Kostendaten, interne Kommunikation
Maßnahme
Status
Zugriffskontrolle (Login)
✓ Umgesetzt
Verschlüsselung in Transit (HTTPS)
✓ Umgesetzt
Markierung als Intern
⚠ Offen
Löschfrist definiert
⚠ Offen
Klasse 3 — Vertraulich (personenbezogen)
DSGVO-relevante personenbezogene Daten.
Beispiele: Schülernamen, Elterndaten, Lehrerdaten, Kommunikationsinhalte
Maßnahme
Status
Verschlüsselung at-rest + in-transit
✓ Umgesetzt
Zugriffs- und Änderungsprotokoll
⚠ Offen
Löschkonzept + Aufbewahrungsfristen
⚠ Offen
Auftragsverarbeitungsvertrag (AVV)
⚠ Offen
Verarbeitungsverzeichnis (VVT)
⚠ Offen
Datenschutz-Folgenabschätzung (DSFA)
⚠ Offen
Klasse 4 — Streng vertraulich
Besondere Kategorien (Art. 9 DSGVO) und Zugangsdaten.
Beispiele: API-Keys, Passwort-Hashes, Vertragsdaten
Maßnahme
Status
Secrets-Manager aktiv
✓ Umgesetzt
Keine Klartextspeicherung
✓ Umgesetzt
Zugriff auf Minimum beschränkt
✓ Umgesetzt
Separates Audit-Log
⚠ Offen
Regelmäßige Credential-Rotation
⚠ Offen

Governance-Dokumente Übersicht
Welche Governance-Dokumente brauchen wir — und was ist schon vorhanden? Priorisierung: DSGVO-Pflichtdokumente zuerst, dann Sicherheit, dann Betrieb.
Dokument
Status
Wo / Was fehlt
DSGVO / Datenschutz
Datenklassifizierung
Vorhanden
Datenklassifizierung
Verarbeitungsverzeichnis (VVT)
Entwurf
VVT-Eintrag Schulfunk — vervollständigen
AVV (Auftragsverarbeitung)
Entwurf
AVV-Vorlage — mit netcup + Anthropic abschließen
Eltern-Info (Art. 13 DSGVO)
Entwurf
Eltern-Info-Brief — Vorlage vorhanden, noch nicht versandt
Datenschutz-Folgenabschätzung (DPIA)
Fehlt
Pflicht bei Verarbeitung von Schülerdaten — anlegen
Datenschutzerklärung (Website)
Fehlt
Für schulfunk.app und empennage.de erstellen
Informationssicherheit
Informationssicherheitsrichtlinie (ISR)
Fehlt
Übergeordnetes Dokument — Schutzziele, Scope, Verantwortlichkeiten
Security Governance
Fehlt
Rollen, Eskalation, Incident-Klassifikation
Passwortrichtlinie
Fehlt
Mindestanforderungen, MFA-Pflicht, Rotation
Zugangskontrollkonzept
Fehlt
Wer darf was — Rollen, Rechte, Onboarding/Offboarding
Netzwerkkonzept
Fehlt
Infrastruktur-Übersicht, Segmentierung, Firewall-Regeln
Backup-Konzept
Fehlt
Backup-Strategie für VPS, BookStack, n8n
Incident Response Plan
Fehlt
Was tun bei Datenpanne — Meldefrist 72h (Art. 33 DSGVO)
Betrieb & Organisation
Dokumentenrichtlinie
Fehlt
Wie werden Dokumente in BookStack erstellt, versioniert, archiviert
Change Management
Fehlt
Wie werden Änderungen an Produkt/Infra freigegeben
Business Continuity / Notfallplan
Fehlt
Was passiert bei Serverausfall, Krankheit des Gründers
IT-Rollen & Verantwortlichkeiten
Vorhanden
IT-Rollen — aktuell
Compliance-Status
Vorhanden
Compliance-Status — monatlich aktualisiert
Prioritäten
DPIA (Datenschutz-Folgenabschätzung) — vor Produktivbetrieb mit Schülerdaten Pflicht
Incident Response Plan — 72h-Meldefrist bei Datenpanne ist knapp
Datenschutzerklärung — vor Launch auf schulfunk.app
Backup-Konzept — VPS-Daten aktuell ungesichert
Dokumentenrichtlinie — wie BookStack genutzt wird, für CIO-Demos relevant
Stand: Mai 2026 · wird manuell gepflegt.

Regulatorischer Rahmen (Gesetze & Normen)
Welche Gesetze, Normen und Regelwerke treffen auf Empennage GmbH / Schulfunk zu? Stand: Mai 2026. Kein Rechtsrat — bei Unsicherheiten Anwalt konsultieren.
Regelwerk
Status
Bedeutung für Schulfunk
Datenschutz & Privatsphäre
DSGVO (EU 2016/679)
Trifft zu
Kerngesetz. Verarbeitung von Schüler-, Eltern- und Lehrerdaten. Gilt ab erstem Nutzer.
BDSG (Bundesdatenschutzgesetz)
Trifft zu
Deutsche Ausführung der DSGVO. Gilt parallel.
TTDSG (Telekommunikation-Telemedien)
Trifft zu
Gilt für Online-Dienste, Cookies, App-Tracking. Relevant ab Launch schulfunk.app.
Datenschutzrecht NRW (DSG NRW)
Trifft zu
OGS Monte Bonn liegt in NRW. Schulen unterliegen DSG NRW + Schulgesetz NRW § 120.
KI & Digitale Dienste
EU AI Act (VO 2024/1689)
Achtung
Hochrisiko-KI! Annex III klassifiziert KI-Systeme in Bildungseinrichtungen als Hochrisiko. Betrifft Schulfunk sobald KI-Features für Schüler eingesetzt werden. Anforderungen: Konformitätsbewertung, Transparenz, menschliche Aufsicht, Logging.
EU Digital Services Act (DSA)
Beobachten
Ab 17 Mio. Nutzern/Monat in der EU als 'Very Large Platform'. Jetzt nicht relevant, aber Grundanforderungen (Meldepflicht illegaler Inhalte) gelten bereits.
EU Data Act (2023/2854)
Beobachten
Regelt Datenzugang und -portabilität. Relevant wenn Schulen ihre Daten aus Schulfunk exportieren wollen.
Informationssicherheit
NIS2 (EU 2022/2555 / NIS2UmsuCG)
Nicht jetzt
Gilt ab 50 MA oder €10M Umsatz für 'wichtige Einrichtungen'. Bildungssektor nicht direkt gelistet. Jetzt nicht verpflichtend — aber öffentliche Auftraggeber fordern NIS2-Konformität oft vertraglich.
BSI IT-Grundschutz
Beobachten
Nicht gesetzlich verpflichtend für Privatunternehmen, aber de-facto Standard für öffentliche Auftraggeber. Schulen und Kommunen erwarten BSI-Konformität von IT-Dienstleistern. Relevant für Vertrieb.
ISO/IEC 27001
Beobachten
Internationale Norm für ISMS. Nicht verpflichtend, aber Zertifizierung erhöht Vertrauen bei Schulträgern und Kommunen erheblich. Aufbau auf BSI Grundschutz möglich.
KRITIS (BSI-Gesetz §8a)
Nicht jetzt
Gilt erst ab sehr hohen Schwellenwerten (z.B. 500.000 betroffene Personen). Nicht relevant.
Medien & Urheberrecht
Jugendmedienschutz-Staatsvertrag (JMStV)
Trifft zu
Relevant! Schulfunk produziert Medieninhalte für/mit Minderjährigen. Jugendschutzbeauftragter ggf. nötig ab bestimmter Reichweite. Inhalte müssen altersgerecht sein.
Urheberrechtsgesetz (UrhG)
Trifft zu
Schüler erstellen Audioinhalte (Urheber!). Einwilligungen der Eltern nötig. Musiknutzung in Beiträgen (GEMA). Klären wer die Rechte an Sendungen hält.
Rundfunkrecht / MStV
Beobachten
Medienstaatsvertrag könnte greifen wenn Schulfunk als 'Rundfunk' eingestuft wird (Linearität, Breitenwirkung). Bisher eher nicht — aber prüfen lassen.
Sonstige
GoBD (Grundsätze ordnungsmäßiger Buchführung)
Trifft zu
Gilt für alle deutschen Unternehmen. Buchführung, Aufbewahrungspflichten.
Schulgesetz NRW (§ 120 SchulG NRW)
Trifft zu
Regelt Datenverarbeitung durch Schulen und ihre Dienstleister. Schulfunk als Auftragsverarbeiter muss konform sein.
Barrierefreiheitsstärkungsgesetz (BFSG)
Beobachten
Ab Juni 2025 für digitale Produkte. Öffentliche Schulen erwarten barrierefreie Software. Betrifft schulfunk.app.
Die wichtigsten Sofortmaßnahmen
EU AI Act: Sobald KI-Features für Schüler → Hochrisiko-Konformität prüfen. Kein AI-Feature ohne menschliche Aufsicht und Logging.
JMStV: Eltern-Einwilligung für Medienproduktion mit Minderjährigen dokumentieren.
UrhG: Klären wer Rechte an Schüler-Produktionen hält. Eltern-Einwilligung + Nutzungsrechte.
DSG NRW / SchulG NRW § 120: AVV mit OGS Monte Bonn abschließen bevor Pilotstart.
TTDSG: Cookie-Banner und Datenschutzerklärung vor Launch schulfunk.app.
Strategische Hinweise
BSI Grundschutz ist kein Gesetz, aber Kommunen und Schulträger fragen danach. Frühzeitig aufbauen = Vertriebsvorteil.
NIS2 trifft Empennage heute nicht direkt — aber Schulen als öffentliche Stellen unterliegen ggf. NIS2 und fordern Konformität von Dienstleistern vertraglich.
EU AI Act Hochrisiko ist der größte strategische Einfluss: KI in Bildung = hochreguliert. Das kann USP sein ("wir sind compliant") oder Bremse.
Stand: Mai 2026 · Quellen: DSGVO, NIS2UmsuCG, EU AI Act, JMStV, SchulG NRW. Kein Rechtsrat.

Informationssicherheitsrichtlinie (IS-Policy)
Dieses Dokument ist die oberste Richtlinie der Informationssicherheits- und Datenschutz-Governance der Empennage GmbH. 
Alle nachgeordneten Richtlinien, Konzepte und Verfahren leiten sich hieraus ab.
1. Geltungsbereich
Diese Richtlinie gilt für:
Organisation: Empennage GmbH und alle zukünftigen Mitarbeitenden, Auftragnehmer und Dienstleister
Produkte: Schulfunk (schulfunk.app) und alle weiteren Empennage-Produkte
Systeme: Alle IT-Systeme, Cloud-Dienste und Infrastruktur (netcup VPS, Hetzner, SaaS-Dienste)
Daten: Alle verarbeiteten personenbezogenen und geschäftlichen Daten
2. Schutzziele
Ziel
Definition
Bedeutung für Schulfunk
Vertraulichkeit
Daten nur für Befugte zugänglich
Schüler-, Eltern- und Lehrerdaten dürfen nicht unbefugt eingesehen werden
Integrität
Daten korrekt und unverändert
Sendungsinhalte und Nutzerprofile dürfen nicht manipuliert werden
Verfügbarkeit
Systeme zugänglich wenn gebraucht
Schulfunk-Plattform muss während Schulzeiten erreichbar sein
Transparenz
Verarbeitung nachvollziehbar
Schulen und Eltern müssen verstehen was mit Daten passiert
3. Rechtlicher Rahmen
Die Informationssicherheits-Governance von Empennage orientiert sich an folgenden Regelwerken 
(vollständige Übersicht: Regulatorischer Rahmen):
Regelwerk
Relevanz
DSGVO / BDSG / TTDSG
Verpflichtend — Datenschutz-Grundlage
DSG NRW / SchulG NRW § 120
Verpflichtend — für Pilotbetrieb in NRW
EU AI Act (Hochrisiko Bildung)
Verpflichtend — sobald KI-Features für Schüler
JMStV / UrhG
Verpflichtend — Medienproduktion mit Minderjährigen
BSI IT-Grundschutz
Angestrebt — für Vertrauen bei öffentlichen Auftraggebern
ISO/IEC 27001
Langfristiges Ziel — ab erster Ausschreibung relevant
4. Verantwortlichkeiten
Rolle
Person
Aufgaben
Geschäftsführung / CIO
Philipp Wolters
Gesamtverantwortung, Budgets, strategische Entscheidungen, Unterzeichnung dieser Richtlinie
Datenschutz (ohne formalen DSB-Titel)
Philipp Wolters
VVT, AVV, DPIA, Einwilligungen, Meldepflichten. Kein formaler DSB nötig (<20 MA, Art. 37 DSGVO)
Security Officer
Philipp Wolters
Technische Schutzmaßnahmen, Incident Response, Schwachstellenmanagement
Compliance-Monitoring
n8n-Agent (automatisiert)
Monatlicher Compliance-Report in BookStack — siehe Compliance-Status
Vollständige Rollenübersicht: IT-Rollen
5. Grundsätze
Privacy by Design: Datenschutz wird von Anfang an in Produkte und Prozesse eingebaut, nicht nachträglich ergänzt.
Minimalprinzip: Es werden nur die Daten erhoben, die für den jeweiligen Zweck zwingend erforderlich sind.
Menschliche Aufsicht bei KI: Kein KI-System trifft autonom Entscheidungen über Minderjährige. Jede KI-Funktion erfordert menschliche Kontrollmöglichkeit (EU AI Act).
Need-to-know: Zugriff auf Daten nur für Personen/Systeme die ihn für ihre Aufgabe benötigen.
Dokumentationspflicht: Alle Verarbeitungstätigkeiten, Sicherheitsvorfälle und Änderungen werden dokumentiert.
Kontinuierliche Verbesserung: Monatliches Monitoring, jährliche Überprüfung dieser Richtlinie.
6. Nachgeordnete Dokumente
Dokument
Zweck
Status
Regulatorischer Rahmen
Welche Gesetze und Normen gelten
✅ Vorhanden
Datenklassifizierung
Kategorisierung und Schutzmaßnahmen nach Datensensitivität
✅ Vorhanden
Verarbeitungsverzeichnis (VVT)
Art. 30 DSGVO — alle Verarbeitungstätigkeiten
🔶 Entwurf
AVV
Art. 28 DSGVO — Verträge mit Auftragsverarbeitern
🔶 Entwurf
Eltern-Info (Art. 13)
Informationspflicht gegenüber Erziehungsberechtigten
🔶 Entwurf
Governance-Dokumente Übersicht
Alle noch fehlenden Dokumente mit Priorität
✅ Vorhanden
Datenschutz-Folgenabschätzung (DPIA)
Art. 35 DSGVO — Pflicht vor Schülerdaten-Verarbeitung
⚠️ Fehlt
Incident Response Plan
Vorgehen bei Datenpannen — 72h-Meldefrist
⚠️ Fehlt
Security Governance
Zugangskontrolle, Passwortrichtlinie, Netzwerkkonzept
⚠️ Fehlt
Backup-Konzept
Datensicherung VPS und Dienste
⚠️ Fehlt
Dokumentenrichtlinie
Wie Dokumente in BookStack erstellt und gepflegt werden
⚠️ Fehlt
7. Verpflichtung der Geschäftsführung
Ich, Philipp Wolters, Geschäftsführer der Empennage GmbH, verpflichte mich zur Umsetzung und 
kontinuierlichen Verbesserung dieser Informationssicherheits- und Datenschutz-Governance. 
Informationssicherheit und Datenschutz sind strategische Unternehmensziele und Grundlage des 
Vertrauens unserer Kunden — insbesondere der Schulen und Erziehungsberechtigten.
Datum:
12. Mai 2026
Version:
1.0
Nächste Überprüfung:
Mai 2027 (jährlich)
Unterzeichnet:
Philipp Wolters, Geschäftsführer