Datenschutzerklärung

1. Verantwortlicher

2. Welche Daten verarbeiten wir?

• Accountdaten (E-Mail, Name, Schulzuordnung, Passwort-Hash)
• Nutzungsdaten (erstellte Klassen, Planungen, Materialien, KI-Anfragen, Zeitstempel)
• Schüler: Pflichtfeld ist ein pseudonymisiertes Kürzel (z.B. „S3“). Optional kann die Lehrkraft zusätzlich Klarname und Geburtsdatum für die interne Klassenführung speichern. Diese Klarnamen werden vor Aufrufen an KI-Dienste durch das Kürzel ersetzt — dazu unten Abschnitt 7.
• Eingaben von Kindern und Eltern: Antworten aus Exit-Tickets und interaktiven Arbeitsblättern (unter dem Kürzel), Gesprächsanfragen der Eltern und die E-Mail-Adresse eines Eltern-Kontos — im Einzelnen in Abschnitt 8.
• Zahlungsdaten (über Stripe — wir selbst speichern keine Kartendaten)
• Technische Daten (IP-Adresse, Browser, Cookies zur Session)

3. Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), lit. c (rechtliche Verpflichtungen, z.B. Aufbewahrung von Rechnungen), lit. f (berechtigte Interessen — z.B. Betrieb, Betrugsprävention).

4. Hosting und Server-Logfiles

Diese Website wird auf Webspace der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (Amtsgericht Berlin-Charlottenburg, HRB 270570 B) gehostet. Mit dem Hosting-Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Beim Aufruf dieser Website werden automatisch technisch notwendige Daten in Server-Logfiles verarbeitet: IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Datei, übertragene Datenmenge, Referrer-URL, Browsertyp und -version sowie das verwendete Betriebssystem.

Zweck: Auslieferung der Website, Gewährleistung eines sicheren und störungsfreien Betriebs sowie Erkennung und Abwehr von Angriffen und missbräuchlicher Nutzung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem sicheren, stabilen und störungsfreien Betrieb dieser Website.

Speicherdauer: Die Logfiles werden vom Hoster verwaltet. Nach dessen Angaben werden die enthaltenen IP-Adressen spätestens nach sieben Tagen anonymisiert; die Logfiles stehen längstens sechs Wochen zur Verfügung.

5. Empfänger der Daten

• STRATO GmbH — Webhosting und Mailversand (siehe Abschnitt 4)
• Supabase Pte. Ltd. (Singapur) — Datenbank & Auth, Verarbeitung nach Angaben des Anbieters in der EU-Region (siehe Abschnitt 6)
• Anthropic, OpenAI, Google — KI-Providerzugriffe (siehe Abschnitt 7)
• Stripe Payments Europe, Limited (Irland) — Zahlungsabwicklung
• Plus Five Five, Inc. („Resend“) — Mailversand, 2261 Market Street #5039, San Francisco, CA 94114, USA

Mit unseren Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO, soweit sie in unserem Auftrag verarbeiten. Ausdrücklich vereinbart und dokumentiert ist das für die STRATO GmbH (Vereinbarung zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO, Fassung 3.6) und für die Plus Five Five, Inc. („Resend“, gegengezeichnete Datenverarbeitungsvereinbarung). Für Supabase, Anthropic, OpenAI und Google prüfen und dokumentieren wir die vertragliche Grundlage für den Einsatz in genau diesem Produkt derzeit.

Stripe ist nicht durchgehend Auftragsverarbeiter. Nach den Vertragsbedingungen des Anbieters verarbeitet Stripe einen Teil der Zahlungsdaten als eigener Verantwortlicher — insbesondere zur Betrugserkennung, zur Erfüllung eigener aufsichts- und geldwäscherechtlicher Pflichten und zur Weiterentwicklung der eigenen Dienste. Insoweit nennen wir Stripe als Empfänger nach Art. 13 Abs. 1 lit. e DSGVO; für diesen Teil besteht kein Auftragsverarbeitungsvertrag, weil Art. 28 DSGVO ihn dort nicht vorsieht.

Die Verarbeitung durch Resend erfolgt für unsere Absenderdomain in der Region Irland (Europäische Union); diese Verarbeitungsregion ist im Konto des Anbieters so eingestellt.

6. Übermittlung in Drittländer

Ein Teil der in Abschnitt 5 genannten Dienste hat seinen Sitz in den Vereinigten Staaten oder kann dort verarbeiten: Anthropic, OpenAI, Google und Plus Five Five, Inc. („Resend“). Die USA sind ein Drittland im Sinne des Kapitels V DSGVO; eine Übermittlung dorthin ist bei diesen Diensten nicht ausgeschlossen.

Hosting und Server-Logfiles (Abschnitt 4). Der mit dem Hoster geschlossene Auftragsverarbeitungsvertrag (Fassung 3.6, Ziffer 4.3) sieht die Verarbeitung in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum vor. Eine Übermittlung in ein Drittland behält er für den Fall vor, dass sie zur Erbringung der Leistung erforderlich ist, und verpflichtet den Hoster dafür auf die Voraussetzungen der Art. 44 ff. DSGVO. Der Vertrag verweist in Ziffer 10.2 außerdem auf eine Liste der vom Hoster eingesetzten weiteren Auftragsverarbeiter; diese Liste liegt uns nicht vor und ist beim Anbieter angefordert.

Datenbank- und Authentifizierungsdienste (Supabase). Unser Vertragspartner ist die Supabase Pte. Ltd. mit Sitz in Singapur; die Verarbeitung erfolgt nach Angaben des Anbieters auf Servern in der Region EU (Frankfurt). Singapur ist ein Drittland, für das kein Angemessenheitsbeschluss der EU-Kommission besteht; das unten genannte EU-U.S. Data Privacy Framework gilt für diesen Empfänger nicht. Ein administrativer Zugriff aus einem Drittland ist nicht ausgeschlossen; wir prüfen und dokumentieren die Absicherung derzeit.

Empfänger der Zahlungsdaten ist die Stripe Payments Europe, Limited mit Sitz in Irland. Soweit der Anbieter Daten innerhalb seiner Unternehmensgruppe in die Vereinigten Staaten weitergibt, richtet sich das für den Teil, in dem er als eigener Verantwortlicher handelt, nach seinen eigenen Datenschutzhinweisen.

Übermittlungsinstrument: Maßgeblich sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021). Für Plus Five Five, Inc. sind sie im Vertrag ausdrücklich vereinbart. Für die übrigen genannten Dienste prüfen und dokumentieren wir die Absicherung für den Einsatz in genau diesem Produkt derzeit.

Soweit ein in den Vereinigten Staaten ansässiger Anbieter zusätzlich nach dem EU-U.S. Data Privacy Framework zertifiziert ist, tritt diese Zertifizierung hinzu. Wir stützen die Übermittlung nicht allein auf den Angemessenheitsbeschluss der EU-Kommission, weil ein solcher Beschluss ohne Übergangsfrist entfallen kann.

Eine Kopie der Garantien — insbesondere der Standardvertragsklauseln — können Sie bei der in Abschnitt 1 genannten Stelle anfordern.

7. Schülerdaten & KI-Nutzung (besondere Hinweise)

Pseudonymisierung ist Pflicht: jeder Schüler-Datensatz hat ein Kürzel, das in allen automatisierten Abläufen (Lernstand, Beobachtungen, Planungen, Arbeitsblätter) verwendet wird.

Klarnamen-Speicherung ist optional: die Lehrkraft kann Vorname, Nachname und Geburtsdatum eines Schülers zur internen Klassenführung hinterlegen. Rechtsgrundlage: Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem jeweils einschlägigen Landes-Schulgesetz bzw. einer Weisung der Schulleitung.

Klarnamen werden vor KI-Aufrufen ersetzt: vor jedem Aufruf eines KI-Dienstes (Anthropic, OpenAI, Google) — einschließlich der Bildgenerierung — läuft der Prompt im Browser der Lehrkraft durch einen Pseudonymisierungs-Filter, der gespeicherte Klarnamen durch das Kürzel ersetzt. Namen mit weniger als drei Buchstaben ersetzt dieser Filter bewusst nicht, weil er sonst auch harmlose Wortteile im Text treffen würde. Zusätzlich ist der Anwendungs-Code so konstruiert, dass Prompts standardmäßig nur Kürzel enthalten („Defense-in-Depth“).

Bei den Text-Anfragen läuft auf unseren Servern eine zweite, davon unabhängige Filterstufe: sie kennt keine Namen, entfernt aber vor der Weitergabe an den Anbieter allgemeine Kennzeichen wie E-Mail-Adressen, Telefonnummern, IBAN und lange Ziffernfolgen. Bei der Bildgenerierung wirkt der Filter im Browser der Lehrkraft. Geburtsdaten werden von der Anwendung nicht in KI-Prompts verwendet.

Die Zugangsschlüssel zu den KI-Diensten liegen serverseitig und werden nicht an den Browser ausgegeben: die Schlüssel des Betreibers als Geheimnisse der Server-Funktionen, ein von der Lehrkraft optional selbst hinterlegter eigener Schlüssel im verschlüsselten Schlüsseltresor der Datenbank.

Reichweite dieser Pseudonymisierung: Der Filter kennt ausschließlich die gespeicherten Klarnamen der Schüler. Er läuft über jeden Prompt — auch über frei formulierte oder diktierte Eingaben der Lehrkraft und über die Prompts der Bildgenerierung. Angaben zur Lehrkraft selbst, etwa aus ihrem Konto, kennt er nicht; sie werden nicht ersetzt und können, soweit sie Teil eines Prompts sind, an die genannten KI-Dienste übermittelt werden (dazu Abschnitt 6). Seine Grenze liegt bei den kurzen Namen: schreibt die Lehrkraft einen Schülernamen mit weniger als drei Buchstaben in einen frei formulierten Text, bleibt er stehen.

Auf Wunsch der Lehrkraft können die Klarnamen jederzeit aus der Datenbank entfernt werden (Leeren der Felder im Schüler-Dialog oder Löschen des Schülers). Der bisherige Zustand — reine Pseudonym-Verwaltung ohne Klarnamen — bleibt jederzeit erreichbar.

8. Funktionen, bei denen Kinder und Eltern selbst etwas eingeben

Wer ist wofür verantwortlich? Für alle Daten von Schülerinnen, Schülern und deren Eltern ist die Schule bzw. die Lehrkraft Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Wir verarbeiten diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO — Grundlage ist die Auftragsverarbeitungsvereinbarung. Zweck und Rechtsgrundlage der eigentlichen Verarbeitung bestimmt die Schule (in der Regel Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem Landes-Schulgesetz). Die Angaben hier beschreiben, was unsere Software dabei technisch verarbeitet.

8.1 Exit-Tickets und interaktive Arbeitsblätter

Zweck: Die Lehrkraft startet am Ende einer Stunde eine kurze Abfrage (bis zu drei Fragen) oder ein Arbeitsblatt in drei Niveaustufen. Die Kinder öffnen dazu einen Link oder scannen einen QR-Code und beantworten die Fragen am Gerät. Ergebnis ist eine Rückmeldung an die Lehrkraft über den Lernstand der Klasse.

Kein Konto, nur ein Kürzel: Die Kinder melden sich nicht an. Auf der Antwortseite erscheint ausschließlich die Liste der Kürzel der Klasse (z.B. „S3“); das Kind tippt auf sein eigenes. Klarnamen und Geburtsdaten werden auf dieser Seite nie angezeigt und nie übertragen.

Verarbeitete Daten: Kürzel des Kindes, die gewählten Antworten (bei Arbeitsblättern zusätzlich kurze frei eingegebene Texte), der Zeitpunkt der Abgabe, die Zuordnung zur Klasse und zur Stunde sowie — bei Arbeitsblättern — die von der Lehrkraft vergebene Niveaugruppe. Es werden keine IP-Adressen, keine Gerätekennungen und keine Standortdaten zu den Antworten gespeichert.

Der Link ist kurzlebig und gilt für die ganze Klasse: Er läuft bei Exit-Tickets nach 2 Stunden, bei Arbeitsblättern nach 4 Stundenautomatisch ab und kann von der Lehrkraft jederzeit vorher geschlossen werden. Danach ist über den Link nichts mehr einsehbar. Weil der Link kein persönliches Passwort ist, kann jede Person, die ihn kennt, innerhalb dieser Zeit für ein Kürzel der Klasse antworten — er gehört deshalb in die Stunde und nicht in offene Verteiler.

Empfänger: Die Antworten sehen die Lehrkraft der Klasse, ein gegebenenfalls berechtigtes Klassen-Team und — falls die Schule das Teilen von Klassen freigeschaltet hat — die dafür berechtigten Lehrkräfte derselben Schule. Technisch gespeichert werden sie bei unserem Datenbank-Anbieter (Abschnitt 5). An KI-Dienste gehen die Antworten der Kinder nicht. Die KI erzeugt nur die Fragen im Voraus — aus Stundentitel, Lernzielen, Fach und Klassenstufe, ohne Kürzel und ohne Bezug zu einem einzelnen Kind. Der QR-Code wird im Browser der Lehrkraft berechnet, es wird kein externer QR-Dienst aufgerufen.

Was danach passiert: Aus den Antworten schlägt die Software eine Lernstands-Stufe vor. Übernommen wird nichts automatisch — die Lehrkraft prüft jeden Vorschlag und bestätigt ihn einzeln. Eine Bewertung oder Note entsteht daraus nicht.

Speicherdauer: Der Zugang endet mit dem Ablauf des Links (2 bzw. 4 Stunden); die Lehrkraft kann den Durchlauf auch vorher beenden. Die abgegebenen Antworten bleiben danach für die Lehrkraft einsehbar, bis das Kind, die Klasse oder der Account gelöscht wird — dann werden sie mitgelöscht. Eine feste automatische Löschfrist für die Antworten besteht derzeit nicht, und die Oberfläche hat bislang keinen eigenen Knopf, um einzelne Antworten zu löschen. Löschwünsche richten Sie an die Schule; sie weist uns als Verantwortliche an, und wir setzen das um.

8.2 Eltern-Zugang und Gesprächsanfrage

Zweck: Eltern sollen den Lernstand ihres Kindes sehen und der Lehrkraft ein Gespräch vorschlagen können, ohne Papier und ohne Telefonkette.

Zwei Wege, die die Lehrkraft wählt: entweder ein reiner Ansichtslink, der nach 7 Tagen abläuft, oder eine Einladung per E-Mail zu einem eigenen Eltern-Konto. Die Einladung verfällt nach 14 Tagen und wird nur wirksam, wenn die annehmende E-Mail-Adresse mit der eingeladenen übereinstimmt.

Verarbeitete Daten: beim Ansichtslink der zufällige Link-Schlüssel, das Kürzel des Kindes und der Zeitpunkt der letzten Nutzung; beim Konto zusätzlich die E-Mail-Adresse des Elternteils und die Verknüpfung zum Kind. Sichtbar sind für Eltern das Kürzel des Kindes, die Lernziele mit Stufe sowie gegebenenfalls die Notiz der Lehrkraft dazu — kein Klarname.

Rückkanal: Eltern können eine Gesprächsanfrage mit einer kurzen Nachricht (bis 500 Zeichen) und Wunschzeiten (bis 300 Zeichen) senden. Die Lehrkraft schlägt einen Termin vor, die Eltern bestätigen ihn. Empfänger ist ausschließlich die Lehrkraft der Klasse. Je Kind ist immer nur eine offene Anfrage möglich.

Speicherdauer: Links und Einladungen verfallen nach der genannten Frist. Gesprächsanfragen und die Verknüpfung des Eltern-Kontos bleiben bestehen, bis das Kind, die Klasse oder der Account gelöscht wird. Für die Weitergabe eines Eltern-Zugangs und für dessen Rücknahme ist die Schule verantwortlich; sie kann uns anweisen, eine Verknüpfung oder eine offene Einladung zu entfernen.

8.3 Fortschrittsanzeigen für die Lehrkraft

Die Lehrkraft sieht auf ihrer Startseite, wie viel Zeit ihr die erstellten Dokumente voraussichtlich gespart haben. Diese Anzeige wird im Browser aus den eigenen Dokumenten der Lehrkraft berechnet. Es entsteht dabei kein neuer Datensatz: kein Nutzungsprotokoll, keine Auswertung von Verhalten und kein Bezug zu einem Kind. Sie ist nur für die Lehrkraft selbst sichtbar, kann von ihr im Profil abgeschaltet und von der Schule für alle Mitglieder deaktiviert werden.

8.4 Rechte von Kindern und Eltern

Es gelten dieselben Rechte wie in Abschnitt 9 — Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit und Beschwerde bei der Aufsichtsbehörde. Ansprechpartner ist hier aber die Schule, nicht wir: Sie entscheidet über diese Daten. Erreicht uns eine solche Anfrage direkt, leiten wir sie an die Schule weiter und unterstützen sie bei der Beantwortung; von uns aus löschen oder herausgeben dürfen wir diese Daten nicht.

9. Deine Rechte

• Auskunft (Art. 15 DSGVO) — im Produkt unter Profil → Daten-Export
• Berichtigung (Art. 16), Löschung (Art. 17)
• Einschränkung (Art. 18), Widerspruch (Art. 21), Datenübertragbarkeit (Art. 20)
• Beschwerde bei der zuständigen Aufsichtsbehörde

10. Speicherdauer

Account- und Nutzungsdaten für die Dauer des Vertragsverhältnisses. Rechnungen 10 Jahre (§ 147 AO). Nach Löschung des Accounts werden alle mit dem Account verknüpften Daten gelöscht oder vollständig anonymisiert.

Für die Funktionen aus Abschnitt 8 gelten zusätzlich eigene Fristen: die Zugangs-Links der Kinder und der Eltern laufen von selbst ab (2 bzw. 4 Stunden, 7 bzw. 14 Tage). Die dabei abgegebenen Antworten und Anfragen werden mit dem Kind, der Klasse oder dem Account gelöscht.

11. Verzeichnis der Verarbeitungstätigkeiten

Das vollständige Verzeichnis aller Verarbeitungen nach Art. 30 DSGVO ist öffentlich einsehbar unter: Verzeichnis der Verarbeitungstätigkeiten.

12. Kontakt Datenschutzbeauftragter

datenschutz@unterrichtsplanung.ai