Datenschutzerklärung

Cloud-Plattform (CubiCloud) und Schüler-Editor (Cubi)

Entwurf — noch nicht rechtsverbindlich. Dieser Text ist ein interner Entwurf und wurde noch nicht von Datenschutz-Expert:innen geprüft. Bis zum Abschluss dieser Prüfung ersetzt diese Seite keine rechtsverbindliche Datenschutzerklärung. Die Angaben zum Verantwortlichen (Abschnitt 2) sind eine Pflichtangabe vor Veröffentlichung und aktuell nur als Platzhalter vorhanden. Die weiteren offenen Punkte für die Prüfung sind gesondert dokumentiert (siehe Abschnitt „Offene Punkte für die Expertenprüfung“ unten).

1. Geltungsbereich

Diese Erklärung beschreibt die Datenverarbeitung der IT4Kids-Cloud-Plattform (Lehrkräfte-App unter teacher.it-for-kids.org, Schüler-Editor „Cubi“ unter cubi.it-for-kids.org bzw. der Entwicklungsdomain) sowie der zugehörigen Server-Infrastruktur.

Sie deckt außerdem die Kurzlink- und Download-Weiterleitung ab, die technisch auf den eigenständigen Domains i4k.org und deren Subdomains (z. B. für Kurzlinks zu Materialien) läuft — ein eigener Domainbereich, aber Teil derselben Plattforminfrastruktur (siehe Abschnitt 6).

Sie deckt nicht die Marketing-Website unter it-for-kids.org ab. Für diese gilt weiterhin die dortige Datenschutzerklärung (it-for-kids.org/datenschutz, Stand 04/2022). Die beiden Erklärungen ergänzen sich; sie überschneiden sich bewusst nicht.

2. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist [Platzhalter: Name der verantwortlichen juristischen Person/des Trägers — PFLICHTANGABE vor Veröffentlichung]. Name, vollständige Anschrift, Vertretungsberechtigte und Kontakt-E-Mail-Adresse des Verantwortlichen werden vor Veröffentlichung dieser Erklärung ergänzt und von den Datenschutz-Expert:innen bestätigt — [Platzhalter: Anschrift, Vertretungsberechtigte, E-Mail-Adresse des Verantwortlichen — PFLICHTANGABE vor Veröffentlichung].

Für Anfragen zum Datenschutz nutzen Sie bis dahin bitte die auf der Website genannte Kontaktadresse.

3. Lehrkräfte-Konten und Anmeldung

Was verarbeitet wird

Eine Lehrkraft meldet sich passwortlos per Magic-Link an: Sie gibt ihre E-Mail-Adresse ein, erhält einen Anmelde-Link per E-Mail und wird durch dessen Aufruf angemeldet. Es wird kein Passwort gespeichert oder abgefragt. Gespeichert werden E-Mail-Adresse, Name und Zeitpunkt der Kontoerstellung/-anmeldung (Nutzerkonto der Authentifizierungs-Komponente „Better Auth“) sowie ein Lehrkraft-Profil mit dem von der Lehrkraft angegebenen Namen. Zu jeder Sitzung werden zusätzlich die IP-Adresse und der User-Agent (Browser-/Geräte-Kennung) gespeichert, von denen aus die Anmeldung erfolgte — das ist ein Standardfeld der Authentifizierungs-Komponente und dient der Erkennung von Missbrauch sowie der Absicherung der Sitzung.

Der Versand des Anmelde-Links per E-Mail erfolgt über einen SMTP-Dienstleister ([Platzhalter: konkreter E-Mail-Versand-Dienstleister — wird mit dem Betrieb vor Veröffentlichung bestätigt]).

Session-Cookie

Nach erfolgreicher Anmeldung wird ein Session-Cookie gesetzt (Namenspräfix i4k-auth), das die Lehrkraft für die Dauer der Sitzung angemeldet hält. Das Cookie ist technisch notwendig für den Betrieb der Plattform (ohne es ist keine Anmeldung möglich), httpOnly (per JavaScript nicht auslesbar), Secure (nur über verschlüsselte Verbindungen) und SameSite=Lax gesetzt. Es ist 7 Tage gültig und wird bei Aktivität verlängert.

Das Cookie wird für die gemeinsame Domain .it-for-kids.org gesetzt (geteilte Cookie-Domain), nicht nur für die Cloud-Anwendung selbst. Diese Freigabe gilt erst, nachdem jeder betroffene Host unter it-for-kids.org in einer eigenen, dokumentierten Prüfung eingeordnet wurde — entweder als Erstanbieter (eigene Infrastruktur oder von IT4Kids betriebene Drittanbieter-Dienste wie E-Mail- oder Formular-Plattformen) oder als stillgelegt (Domain nicht mehr aktiv). Praktisch tatsächlich genutzt wird das Cookie heute von der Cloud-Anwendung selbst (teacher.it-for-kids.org) und der IT4Kids-Selfservice-Anwendung (selfservice.it-for-kids.org); wegen der domainweiten Freigabe könnte es technisch aber von jedem geprüften Host unter it-for-kids.org gelesen werden.

Rechtsgrundlage

Kontoführung und Anmeldung: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags zwischen Lehrkraft/Schule und Verantwortlichem). Das Session-Cookie selbst ist als technisch notwendiges Cookie ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO) — es dient ausschließlich der Bereitstellung des angeforderten Dienstes (angemeldeter Zustand) und keinem Tracking.

4. Schülerdaten

Für Schülerinnen und Schüler wird als einzige personenbezogene Angabe ein Name gespeichert — vergeben durch die unterrichtende Lehrkraft, nicht durch das Kind selbst eingegeben. Es werden keine E-Mail-Adressen, Geburtsdaten oder sonstige Kontaktdaten von Kindern erhoben. Darüber hinaus werden nicht-identifizierende Nutzungsdaten zum Unterrichtsbetrieb gespeichert: die Kurszugehörigkeit, ob das Konto aktiv ist, der Fortschritt in Lernpfaden (welche Level abgeschlossen wurden) und Spielstände einzelner Level (Level-Saves).

Diese Daten werden ausschließlich zum Zweck des Unterrichts verarbeitet: damit eine Lehrkraft den Lernstand ihrer Klasse einsehen und Level-Fortschritt fortsetzen kann.

Offener Punkt für die Expertenprüfung: Die Konstellation Schule/Lehrkraft ↔ Plattformbetreiber bei der Verarbeitung von Schülerdaten (gemeinsame Verantwortlichkeit nach Art. 26 DSGVO oder Auftragsverarbeitung nach Art. 28 DSGVO) ist noch nicht abschließend rechtlich bewertet und wird der Expertenprüfung vorgelegt. Die Rechtsgrundlage der Verarbeitung selbst dürfte regelmäßig Art. 6 Abs. 1 lit. e oder f DSGVO (schulischer Auftrag bzw. berechtigtes Interesse am Unterrichtsbetrieb) i. V. m. den landesrechtlichen Vorgaben zur Verarbeitung von Schülerdaten sein — auch dies ist Teil der Prüfung.

5. Hosting und Infrastruktur

Die Plattform wird bei Fly.io betrieben, mit Serverstandort Frankfurt am Main (Deutschland/EU). Die Datenbank (PostgreSQL) läuft ebenfalls in dieser Region. Hochgeladene Dateien und Level-Inhalte werden in einem S3-kompatiblen Objektspeicher abgelegt. Mit allen eingesetzten Hosting-Dienstleistern bestehen bzw. werden Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen.

Wie bei praktisch jeder Webanwendung fallen beim Betrieb serverseitige Verbindungsdaten an (IP-Adresse, User-Agent, Zeitpunkt der Anfrage). Diese Daten werden zum Zweck des Betriebs und der Absicherung der Plattform verarbeitet (z. B. Fehlersuche, Erkennung von Angriffen/Missbrauch), nicht zu Analysezwecken.

6. Serverseitige Analyse-Ereignisse (Simple Analytics)

Der Server sendet Nutzungs-Ereignisse an Simple Analytics, einen europäischen Analyse-Dienst, in zwei technisch getrennten, unabhängig voneinander schaltbaren Strömen („Buckets“):

Bucket A — Kurzlink- und Download-Statistik: Aufrufe der Kurzlink-Weiterleitung (Domains i4k.org / *.i4k.org, siehe Abschnitt 1) und Datei-Downloads erzeugen ein Ereignis, das dem festen Hostnamen it-for-kids.org zugeordnet wird — unabhängig vom tatsächlich aufgerufenen Host. Dieses Ereignis enthält den vollständigen User-Agent der aufrufenden Person und, falls vom Browser gesendet, den vollständigen Referrer (die zuvor besuchte Seite). Es enthält keinen Namen, keine Schüler-ID und keinen Zugangscode — wegen User-Agent und Referrer ist es aber nicht in jedem Fall ein vollständig anonymes Ereignis im engeren Sinn.
Bucket B — Kurs-/Unterrichts-Ereignisse: eigene, unabhängig geschaltete Ereignisse auf einer separaten Analyse-Site (cloud.it-for-kids.org). Hier ist die Kurs-ID (eine zufällige, nicht erratbare Kennung) technisch die einzig zulässige, feinste Dimension — ein Zulassungsfilter im Code weist jedes Ereignis zurück, das einen Namen, eine Schüler-/Zugangscode-Kennung oder einen Raumcode enthalten würde. Dieser Strom sendet weder User-Agent noch Referrer und ist anonym im engeren Sinn.

Rechtsgrundlage: Für Bucket B ist wegen fehlenden Personenbezugs (keine Cookie, keine Wiedererkennung, feinste Dimension die Kurs-ID) keine Einwilligung erforderlich; soweit dennoch ein Personenbezug unterstellt würde, wäre die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Weiterentwicklung des Angebots). Für Bucket A ist diese Einschätzung wegen User-Agent und Referrer weniger eindeutig und Teil der Expertenprüfung (Abschnitt „Offene Punkte für die Expertenprüfung“ unten).

7. Editor-Client-Tracking (Drittanbieter-Skript im Browser)

Der Schüler-Editor „Cubi“ bindet zusätzlich, unabhängig von Abschnitt 6, ein Skript des Analyse-Anbieters Simple Analytics direkt im Browser ein und löst darüber aktiv Ereignisse aus. Anders als die serverseitigen Ereignisse aus Abschnitt 6 läuft dieses Skript im Browser des Kindes selbst, nicht auf unserer Server-Infrastruktur.

Die IP-Adresse des Kindes erreicht Simple Analytics direkt — der Browser verbindet sich selbst mit dem Anbieter, ohne dass unsere eigene Infrastruktur dazwischen liegt.
Im Browser wird lokal (localStorage, nicht als Cookie) eine zufällig erzeugte Sitzungs-ID gespeichert, um zusammengehörige Ereignisse einander zuzuordnen.
Die übertragenen Ereignisse enthalten pro Level Verhaltensdaten: welches Level bzw. welche Level-Instanz aktiv war, Nutzungsstatistiken und Zeitdauern (Level- und Sitzungsdauer, Inaktivitätszeit) — einander zugeordnet über die Sitzungs-ID.
Es wird kein Name, keine E-Mail-Adresse und kein Zugangscode übertragen; die Sitzungs-ID ist jedoch eine pseudonyme Kennung, über die sich das Verhalten einer einzelnen Sitzung nachvollziehen lässt.

Offener Punkt für die Expertenprüfung (zentral): Dies ist ein Drittanbieter-Skript im Browser eines Kindes, das pseudonymisierte Nutzungsdaten direkt an einen externen Anbieter sendet, bevor unsere eigene Infrastruktur beteiligt ist. Das wirft insbesondere die Frage der Einwilligungspflicht nach § 25 TDDDG (Zugriff auf Endgeräte-Informationen — hier: das Setzen/Auslesen von localStorage durch ein aktives Skript) sowie die datenschutzrechtliche Einordnung der direkten IP-Übertragung an den Anbieter auf. Diese Frage ist hier ausdrücklich nicht vorab beantwortet, sondern wird der Expertenprüfung vorgelegt, bevor der Entwurfsstatus dieser Erklärung entfällt.

8. Speicherdauer

Konto-, Kurs- und Schülerdaten bleiben grundsätzlich gespeichert, bis eine Lehrkraft oder Administration sie manuell löscht. Zusätzlich besteht eine automatisierte Löschregel für Schülerdaten:

Ein deaktivierter (entfernter) Schüler wird endgültig gelöscht, sobald die Entfernung länger als 12 Monate zurückliegt.
Alle Schüler eines Kurses werden endgültig gelöscht, wenn in diesem Kurs seit 24 Monaten weder Unterrichtstätigkeit noch gespeicherte Level-Ergebnisse, Levelabschlüsse, ein Beitritt noch eine Entfernung oder Reaktivierung stattgefunden haben. Der Kurs selbst (Name, Einstellungen) bleibt dabei bestehen.

Beide Zeiträume (12 bzw. 24 Monate) sind vorläufige Werte — Expertencheck aussteht. Sie sind als konfigurierbare Voreinstellung umgesetzt, aber noch nicht rechtlich geprüft; siehe den Entwurfs-Hinweis oben. Die Löschung erfolgt nicht automatisch im laufenden Betrieb, sondern über ein separates Werkzeug, das eine Administratorin oder ein Administrator manuell bzw. nach eigenem Zeitplan startet (kein automatischer Echtzeit-Trigger bei jeder Aktion) und das standardmäßig nur als Probelauf läuft, bis es ausdrücklich mit einer zusätzlichen Bestätigung zum tatsächlichen Löschen aufgerufen wird. Entfernungen aus der Zeit vor Einführung dieser Regel werden ab dem Einführungsdatum gerechnet. Diese Erklärung wird aktualisiert, sobald die Werte final festgelegt sind.

Zusätzlich gilt: Auch nach einer manuellen Löschung bleiben gelöschte Daten für eine begrenzte Zeit in Sicherungskopien der Datenbank und des Objektspeichers enthalten (siehe das interne Backup-/Restore-Runbook). Eine Löschung wirkt sich deshalb mit Verzögerung auf sämtliche Kopien der Daten aus, nicht sofort auf jede Sicherungskopie.

9. Ihre Rechte (Betroffenenrechte)

Nach der DSGVO haben betroffene Personen (Lehrkräfte sowie, vertreten durch die Schule/Erziehungsberechtigte, Schülerinnen und Schüler) insbesondere folgende Rechte:

Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung dieser Rechte wenden Sie sich an die in Abschnitt 2 genannte Kontaktadresse des Verantwortlichen. Diese Kontaktadresse ist dort aktuell nur als Platzhalter vorhanden und muss vor Veröffentlichung dieser Erklärung ergänzt werden (Pflichtangabe, siehe Entwurfs-Hinweis oben) — bis dahin nutzen Sie bitte die auf der Website genannte Kontaktadresse.

10. Änderungen dieser Erklärung

Diese Erklärung wird bei wesentlichen Änderungen der Datenverarbeitung angepasst. Der Entwurfsstatus (siehe Hinweis oben) entfällt, sobald die Expertenprüfung abgeschlossen ist.

Offene Punkte für die Expertenprüfung

Eine vollständige Liste der Lücken der bisherigen Website-Erklärung, die diese Seite schließen soll, sowie der offenen Fragen an die Expert:innen liegt als separates Handoff-Dokument vor (docs/DATENSCHUTZ_HANDOFF.md im Cloud-Repository).