Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Verarbeitung personenbezogener Daten in diesem Portal im Sinne der Datenschutz-Grundverordnung ist:

[Name – noch einzutragen]
[Anschrift – noch einzutragen]
[E-Mail-Adresse – noch einzutragen]

Eine Datenschutzbeauftragte ist nicht bestellt; die Voraussetzungen dafür liegen bei diesem Angebot nicht vor.

2. Nutzung im Unterricht

Wird das Portal im Rahmen des Unterrichts eingesetzt und legt eine Lehrkraft Zugänge für ihre Klasse an, ist in der Regel die Schule für die Verarbeitung verantwortlich. Der Betreiber handelt dann in ihrem Auftrag. Dafür ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich, der gesondert geschlossen wird.

Für Zugänge, die sich Einzelne selbst beantragen, ist der Betreiber unmittelbar verantwortlich.

3. Welche Daten verarbeitet werden

Beim Beantragen eines Zugangs – nur, wenn er selbst beantragt und nicht von einer Lehrkraft angelegt wird:

• Anmeldename und Anzeigename
• E-Mail-Adresse, ausschließlich für die Freischaltung und das Zurücksetzen des Passworts
• eine freiwillige Angabe zu Schule, Klasse oder Kurs
• das Passwort, gespeichert ausschließlich als nicht umkehrbarer Hash (scrypt)

Von einer Lehrkraft angelegte Zugänge enthalten nur Anmeldename, Anzeigename und Passwort-Hash. Eine E-Mail-Adresse wird dabei bewusst nicht erhoben.

Beim Benutzen des Portals:

• die Wahl des Profilbildes – Initialen oder eine der gezeichneten Figuren
• Zeitpunkte von Erstellung, Freischaltung und letzter Anmeldung
• offene Anmeldungen: ein Hash des Sitzungsschlüssels und dessen Ablaufzeitpunkt
• der Lernfortschritt: welche Aufgabe wann bearbeitet und wie sie selbst eingeschätzt wurde (richtig gelöst, richtiger Ansatz mit Fehler, falscher Ansatz)
• Nachrichten zwischen Lehrkraft und Schülerin oder Schüler, sofern diese Funktion genutzt wird
• ein Protokoll über Freischaltung, Ablehnung und Sperrung von Zugängen

Profilbilder als Datei gibt es nicht. Es können weder Fotos noch andere Bilder hochgeladen werden. Zur Auswahl stehen die eigenen Initialen und eine feste Zahl gezeichneter Figuren.

4. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO – Konto, Anmeldung und Lernfortschritt sind zur Erfüllung des Nutzungsverhältnisses erforderlich; ohne sie ließe sich das Portal nicht anbieten.
• Art. 6 Abs. 1 lit. f DSGVO – das Protokoll über Freischaltungen und Sperrungen sowie die Sitzungsverwaltung dienen dem berechtigten Interesse an einem nachvollziehbaren und sicheren Betrieb.
• Art. 6 Abs. 1 lit. a und Art. 8 DSGVO – richtet sich das Angebot unmittelbar an Kinder unter 16 Jahren, ist die Einwilligung der Sorgeberechtigten erforderlich. Bei der Nutzung im Unterricht tritt an deren Stelle die Rechtsgrundlage der Schule.

5. Wer die Daten bekommt

Die Daten werden nicht verkauft, nicht für Werbung genutzt und nicht an Dritte weitergegeben. Zugriff haben:

• die eigene Lehrkraft, soweit ein Zugang zu ihrer Lizenz gehört – sie sieht Namen, Profilbild und Lernfortschritt ihrer Klasse
• der Betreiber, soweit für den Betrieb erforderlich
• der Anbieter des Servers als Auftragsverarbeiter nach Art. 28 DSGVO: Hostinger International Ltd., Zypern

Eine Übermittlung in Länder außerhalb der Europäischen Union findet nicht statt.

6. Cookies, Zählwerkzeuge, externe Inhalte

Das Portal setzt ein einziges Cookie. Es enthält den Sitzungsschlüssel, ist technisch notwendig, damit die Anmeldung über mehrere Seiten hinweg bestehen bleibt, und läuft spätestens nach 30 Tagen ab. Beim Abmelden wird es gelöscht.

Es findet keine Reichweitenmessung statt, es sind keine Werkzeuge zur Analyse eingebunden, und es werden keine Inhalte von fremden Servern nachgeladen – Schriften, Bilder und Formelsatz liegen auf demselben Server wie das Portal.

7. Serverprotokolle

Beim Abruf des Portals verarbeitet der Server die technisch erforderlichen Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge und Browserkennung. Sie dienen dem sicheren Betrieb und der Abwehr von Angriffen, werden nicht mit dem Konto zusammengeführt und nach spätestens sieben Tagen gelöscht.

8. Wie lange die Daten bleiben

• Konto und Lernfortschritt – solange der Zugang besteht. Nach dem Ende der Lizenz oder dem Sperren des Zugangs bleiben sie 90 Tage erhalten, damit ein versehentlich beendeter Zugang wiederhergestellt werden kann, und werden danach gelöscht.
• Abgelehnte Anträge – 30 Tage, dann gelöscht.
• Sitzungen – höchstens 30 Tage, beim Abmelden sofort.
• Nachrichten – bis zum Ende des Zugangs, danach zusammen mit dem Konto.
• Protokoll über Freischaltungen – 12 Monate.

Eine frühere Löschung ist auf Verlangen jederzeit möglich.

9. Deine Rechte

Nach der Datenschutz-Grundverordnung bestehen folgende Rechte:

• Auskunft über die gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Übertragung der Daten in einem gängigen Format (Art. 20)
• Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21)
• Widerruf einer erteilten Einwilligung für die Zukunft (Art. 7 Abs. 3)

Dafür genügt eine Nachricht an [E-Mail-Adresse – noch einzutragen]. Bei Zugängen, die von einer Schule angelegt wurden, ist zunächst die Schule die richtige Ansprechpartnerin.

Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, in der Regel der des eigenen Bundeslandes (Art. 77 DSGVO).

10. Sicherheit

Die Verbindung zum Portal ist verschlüsselt. Passwörter werden nie im Klartext gespeichert, sondern ausschließlich als Hash nach dem speicherharten Verfahren scrypt. Vom Sitzungsschlüssel liegt ebenfalls nur ein Hash in der Datenbank – wer sie läse, könnte sich damit nicht anmelden. Zugänge lassen sich jederzeit sperren; laufende Anmeldungen enden dann sofort.

11. Änderungen

Diese Erklärung wird angepasst, wenn sich am Portal etwas ändert, das die Verarbeitung betrifft. Der Stand oben zeigt die jeweils geltende Fassung.