Data Processing Agreement (DPA)
If your school or university analyses texts written by pupils or students with PlagiatGPT, your institution is the controller and PlagiatGPT the processor (Art. 28 GDPR). Here you find the data processing agreement (German: AVV) with its annexes (TOMs - technical and organisational measures, sub-processors, school guidance) plus the requirements of your German federal state. The documents themselves are provided in German - the language of the underlying state law.
Pick your federal state from the list or directly on the map. You will then get the applicable legal basis, the competent supervisory authority and your information sheet to download.
Map data: Federal Agency for Cartography and Geodesy (dl-de/by-2-0)
Select a federal state on the map
Baden-Württemberg
This state's supervisory authority is particularly critical of US services in schools. PlagiatGPT offers a school mode for this: email/password login only, bot protection without Cloudflare - payment is by invoice or via the EU provider Mollie (Netherlands); PayPal is not available in school mode. No third-country transfer at all (DPA § 7 (4)).
- Legal basis (state school law)
- § 115 SchG BW i. V. m. Art. 6 Abs. 1 lit. e DSGVO
- Implementing regulation
- VwV Datenschutz an öffentlichen Schulen
- Competent supervisory authority
- Landesbeauftragter für den Datenschutz und die Informationsfreiheit (LfDI) Baden-Württemberg
- Typical framework conditions in this state
- Das Kultusministerium stellt mit dem LfDI abgestimmte Muster-Verfahrensverzeichnisse und einen Muster-AV-Vertrag bereit; neue Verfahren laufen über den behördlichen Datenschutzbeauftragten der Schule und das Verfahrensverzeichnis. Für KI-Anwendungen gilt zusätzlich die LfDI-Arbeitshilfe „ONKIDA“ sowie seit 02.02.2025 Art. 4 KI-VO (KI-Kompetenz der Nutzenden).
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Bayern
- Legal basis (state school law)
- Art. 85 Abs. 1 BayEUG
- Implementing regulation
- § 46 BaySchO mit Anlage 2 (Katalog der Verarbeitungsverfahren)
- Competent supervisory authority
- Bayerischer Landesbeauftragter für den Datenschutz (BayLfD); Schulen in freier Trägerschaft: BayLDA
- Typical framework conditions in this state
- Bayern arbeitet mit einem Katalogsystem: Der Einsatz muss sich einem in Anlage 2 BaySchO zugelassenen Verarbeitungsverfahren zuordnen lassen - die Zuordnung dokumentieren schulischer Datenschutzbeauftragter und Schulleitung. Zusätzliche Auftragsverarbeiter neben der staatlichen IT (AKDB) sind nach Nr. 7 der KMS-Datenschutz-Bekanntmachung ausdrücklich zulässig.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Berlin
- Legal basis (state school law)
- § 64 Abs. 1 SchulG Bln
- Implementing regulation
- Schuldatenverordnung (SchuldatenV)
- Competent supervisory authority
- Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI)
- Typical framework conditions in this state
- PlagiatGPT hat seinen Sitz in Berlin - Betreiber und Berliner Schulen unterliegen derselben Aufsichtsbehörde (BlnBDI), was Rückfragen und Abstimmungen verkürzt. Die Senatsverwaltung für Bildung gibt zentrale Hinweise zum Einsatz digitaler Werkzeuge heraus.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Brandenburg
- Legal basis (state school law)
- § 65 Abs. 1 BbgSchulG
- Implementing regulation
- Datenschutzverordnung Schulwesen (DSV)
- Competent supervisory authority
- Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht (LDA) Brandenburg
- Typical framework conditions in this state
- Das MBJS stellt eine DSGVO-Handreichung mit Musterformularen (inkl. AVV-Muster) bereit; unser AVV deckt die dort geforderten Art.-28-Pflichtinhalte (Weisungsbindung, TOMs - technische und organisatorische Maßnahmen, Unterauftragsverarbeiter, Löschkonzept) ab.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Bremen
- Legal basis (state school law)
- Bremisches Schuldatenschutzgesetz (BremSchulDSG) i. V. m. BremSchulG
- Implementing regulation
- BremSchulDSG (eigenes Spezialgesetz)
- Competent supervisory authority
- Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) Bremen
- Typical framework conditions in this state
- Bremen hat eine zentralisierte Schulverwaltung (Senatorin für Kinder und Bildung): Die Freigabe neuer digitaler Werkzeuge läuft praktisch über die Behörde, nicht über die Einzelschule - vor dem Einsatz dort anfragen.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Hamburg
- Legal basis (state school law)
- § 98 Abs. 1 HmbSG (§§ 98–100 HmbSG)
- Implementing regulation
- Schul-Datenschutzverordnung (Schul-DSVO)
- Competent supervisory authority
- Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit (HmbBfDI)
- Typical framework conditions in this state
- Die Behörde für Schule und Berufsbildung (BSB) pflegt Listen geprüfter digitaler Werkzeuge; für nicht gelistete Dienste entscheidet die Schule mit ihrem Datenschutzbeauftragten auf Basis von AVV und TOMs (technische und organisatorische Maßnahmen, Anlagen 1–2 des Schulpakets).
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Hessen
This state's supervisory authority is particularly critical of US services in schools. PlagiatGPT offers a school mode for this: email/password login only, bot protection without Cloudflare - payment is by invoice or via the EU provider Mollie (Netherlands); PayPal is not available in school mode. No third-country transfer at all (DPA § 7 (4)).
- Legal basis (state school law)
- § 83 HSchG
- Implementing regulation
- Verordnung über die Verarbeitung personenbezogener Daten in Schulen (SchDSV)
- Competent supervisory authority
- Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI)
- Typical framework conditions in this state
- Der HBDI prüft den Schulbereich aktiv und gilt als streng bei Diensten mit US-Bezug - der EU-only Schul-Modus sollte hier von Anfang an vereinbart werden. Auf eine saubere Aufnahme in das Verzeichnis der Verarbeitungstätigkeiten achten.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Mecklenburg-Vorpommern
- Legal basis (state school law)
- §§ 70–72 SchulG M-V
- Implementing regulation
- Schul-Datenschutzverordnung M-V (SchulDSVO M-V)
- Competent supervisory authority
- Landesbeauftragter für Datenschutz und Informationsfreiheit (LfDI) Mecklenburg-Vorpommern
- Typical framework conditions in this state
- Nach § 70 Abs. 2 SchulG M-V trägt die Schulleitung ausdrücklich die Pflicht, Lehrkräfte und Personal über Datenschutzanforderungen zu informieren - die Lehrkräfte-Kurzeinweisung aus der Schulpaket-Checkliste erfüllt genau diesen Schritt.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Niedersachsen
- Legal basis (state school law)
- § 31 NSchG (Neufassung zum 01.01.2020)
- Implementing regulation
- - (zentrale Verarbeitungsnorm direkt im NSchG)
- Competent supervisory authority
- Landesbeauftragte für den Datenschutz (LfD) Niedersachsen
- Typical framework conditions in this state
- Niedersachsen stellt über datenschutz.nibis.de eine eigene Handreichung „Datenverarbeitung im Auftrag“ mit einem Anforderungskatalog an Auftragsverarbeiter bereit - AVV und TOM-Anlage (technische und organisatorische Maßnahmen) des Schulpakets sind auf diesen Katalog gemappt.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Nordrhein-Westfalen
- Legal basis (state school law)
- §§ 120–122 SchulG NRW (digitale Lehr- und Lernmittel: § 120 Abs. 5)
- Implementing regulation
- VO-DV I (Schüler-/Elterndaten) und VO-DV II (Lehrkräfte)
- Competent supervisory authority
- Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI) NRW
- Typical framework conditions in this state
- Die VO-DV I enthält einen abschließenden Katalog zugelassener Schülerdaten samt Lösch- und Aufbewahrungsfristen: Der Einsatz ist als digitales Lehr-/Lernmittel nach § 120 Abs. 5 SchulG NRW einzuordnen - beim empfohlenen pseudonymisierten Betrieb (keine Klarnamen im Text oder Titel) ist diese Zuordnung unkritisch. Leitfaden: LDI-Schrift „Unterricht und Datenschutz“ (10/2022).
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Rheinland-Pfalz
- Legal basis (state school law)
- § 67 Abs. 1 SchulG RLP
- Implementing regulation
- Schulordnungen; LfDI-FAQ „Datenschutz in der Schule“
- Competent supervisory authority
- Landesbeauftragter für den Datenschutz und die Informationsfreiheit (LfDI) Rheinland-Pfalz
- Typical framework conditions in this state
- Der LfDI RLP führt ein ausführliches Schul-FAQ; mit dem Schulcampus RLP existiert eine Landesplattform mit vorbildlicher Datenschutzdokumentation - Schulen erwarten von externen Diensten vergleichbare Transparenz, die das Schulpaket (AVV + TOMs - technische und organisatorische Maßnahmen + Unterauftragsverarbeiter) liefert.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Saarland
- Legal basis (state school law)
- § 20b Abs. 1 SchoG i. V. m. Art. 6 Abs. 1 lit. e DSGVO
- Implementing regulation
- Datenschutzverordnung-Schule (DSchVO-Schule)
- Competent supervisory authority
- Unabhängiges Datenschutzzentrum (UDZ) Saarland
- Typical framework conditions in this state
- Freigaben werden im Saarland häufig über das Ministerium für Bildung und Kultur koordiniert (Referenzniveau: „Online-Schule Saarland“); das UDZ publiziert die maßgebliche Schul-Guidance.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Sachsen
- Legal basis (state school law)
- § 60b SächsSchulG
- Implementing regulation
- VwV Schuldatenschutz (+ SächsDSDG)
- Competent supervisory authority
- Sächsische Datenschutz- und Transparenzbeauftragte (SDTB)
- Typical framework conditions in this state
- Die VwV Schuldatenschutz regelt die Verarbeitung an öffentlichen Schulen im Detail; der Einsatz wird mit dem schulischen Datenschutzbeauftragten anhand von AVV und TOM-Anlage (technische und organisatorische Maßnahmen) dokumentiert.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Sachsen-Anhalt
- Legal basis (state school law)
- § 84a SchulG LSA (Abs. 3: Erforderlichkeitsprinzip)
- Implementing regulation
- - (Norm + Erlasse des Landesschulamts)
- Competent supervisory authority
- Landesbeauftragter für den Datenschutz (LfD) Sachsen-Anhalt
- Typical framework conditions in this state
- Der LfD Sachsen-Anhalt prüft Schulen aktiv (vgl. Tätigkeitsberichte): Die Erforderlichkeit des Einsatzes sollte ausdrücklich dokumentiert werden - Zweck ist die Prüfung der Eigenständigkeit von Schülerarbeiten als Teil des Bewertungsauftrags.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Schleswig-Holstein
This state's supervisory authority is particularly critical of US services in schools. PlagiatGPT offers a school mode for this: email/password login only, bot protection without Cloudflare - payment is by invoice or via the EU provider Mollie (Netherlands); PayPal is not available in school mode. No third-country transfer at all (DPA § 7 (4)).
- Legal basis (state school law)
- §§ 30–32 SchulG SH
- Implementing regulation
- Schul-Datenschutzverordnung (SchulDSVO)
- Competent supervisory authority
- Unabhängiges Landeszentrum für Datenschutz (ULD) Schleswig-Holstein
- Typical framework conditions in this state
- Das ULD ist im Schulbereich besonders aktiv (eigenes Praxishandbuch Schuldatenschutz) und historisch besonders kritisch gegenüber Nicht-EU-Diensten - den EU-only Schul-Modus von Anfang an vereinbaren. Praktischer Ansprechpartner der Schulen ist die IQSH-Medienberatung.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Thüringen
- Legal basis (state school law)
- § 57 Abs. 1 ThürSchulG
- Implementing regulation
- Thüringer Schuldatenschutzverordnung (ThürSchulDSVO)
- Competent supervisory authority
- Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI)
- Typical framework conditions in this state
- Standardweg über den schulischen Datenschutzbeauftragten und das Schulamt; der TLfDI stellt Schul-Guidance bereit. Es gilt das Erforderlichkeitsprinzip des § 57 Abs. 1 ThürSchulG.
Your documents
How it works: download the school package, complete and sign section 3 (the DPA), send it to [email protected] - you will receive the countersigned copy back.
Applies in every federal state
- Conclude the DPA before first use (school package, section 3).
- Involve the school's data protection officer (DPA + TOMs as review basis).
- Document the legal basis - regularly Art. 6(1)(e) GDPR in conjunction with the state school act, not consent.
- Add the tool to the record of processing activities (Art. 30 GDPR).
- Check whether a DPIA is needed (Art. 35 GDPR) - the school package provides the required input.
- Upload texts pseudonymised (initials instead of full names) - strongly recommended.
- Never use results as the sole basis for exam or disciplinary decisions.
- This guidance does not replace review by your data protection officer.
Why PlagiatGPT for schools?
- Hosting and AI analysis exclusively on our own servers in Germany - no third-party AI APIs.
- Stored texts AES-256-encrypted; your texts are never used for model training.
- Full deletion control; with history disabled, nothing is stored permanently.
- EU-only school mode for institutions whose supervisory authority rejects US services.