Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO):

E.L. Lernkartei-Erfassungsdienste e.U.
Laudongasse 5/1/2
1080 Wien
Österreich
FN 670623 k, Handelsgericht Wien

E-Mail: hi@classcheck.net

2. Datenschutz auf einen Blick

ClassCheck ist eine Beurteilungsplattform für Lehrkräfte. Datenschutz hat für uns höchste Priorität — insbesondere da wir mit Daten von Minderjährigen arbeiten. Die wichtigsten Punkte:

• Schülernamen: Nach dem ersten Öffnen eines Fachs werden die Namen in Ihrem Browser verschlüsselt (Ende-zu-Ende, AES-256). Bis dahin speichert der Server sie mit AES-256 und kann sie lesen. Noten und Notizen liegen bis zu dieser Umstellung serverseitig verschlüsselt vor.
• Serverstandort EU: Alle Daten werden auf Servern in Deutschland (Hetzner Online GmbH) gespeichert.
• Keine Tracker: Wir verwenden keine Analyse-Tools, keine Werbe-Cookies und kein Tracking von Drittanbietern.
• Minimale Datenerhebung: Wir erheben nur die Daten, die für den Betrieb der Plattform notwendig sind.
• Volle Kontrolle: Sie können Ihre Daten jederzeit exportieren oder Ihr Konto vollständig löschen.

3. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. b — Vertragserfüllung: Verarbeitung von Kontodaten (E-Mail, Name, Passwort) zur Bereitstellung des ClassCheck-Dienstes, Kontoverwaltung und Authentifizierung.
• Art. 6 Abs. 1 lit. f — Berechtigtes Interesse: Technische Protokollierung (anonymisierte IP-Adressen, Zeitstempel) zur Gewährleistung der Sicherheit, Missbrauchsverhinderung und Fehlerbehebung. Unser berechtigtes Interesse liegt im sicheren Betrieb der Plattform.
• Art. 6 Abs. 1 lit. a — Einwilligung: Soweit Sie eine Einwilligung erteilt haben (z.B. bei optionalen Funktionen). Eine erteilte Einwilligung kann jederzeit widerrufen werden (siehe Abschnitt 15).
• Art. 6 Abs. 1 lit. c — Rechtliche Verpflichtung: Soweit gesetzliche Aufbewahrungspflichten bestehen (z.B. steuerrechtliche Aufbewahrung von Rechnungsdaten).

Hinweis zur Verarbeitung von Schülerdaten: Schülerdaten werden von ClassCheck als Auftragsverarbeiter im Auftrag der Lehrkraft bzw. Schule verarbeitet. Die Rechtsgrundlage für die Verarbeitung durch die Schule ergibt sich typischerweise aus schulrechtlichen Bestimmungen (Art. 6 Abs. 1 lit. e DSGVO i.V.m. den jeweiligen Landesschulgesetzen). Näheres regelt unser Auftragsverarbeitungsvertrag (AVV).

4. Welche Daten wir erheben

4.1 Kontodaten

• E-Mail-Adresse: Zur Registrierung, Anmeldung und Kommunikation (Verifizierung, Passwort-Zurücksetzung). Rechtsgrundlage: Vertragserfüllung.
• Name: Zur Personalisierung des Kontos. Rechtsgrundlage: Vertragserfüllung.
• Passwort: Verschlüsselt gespeichert (Bcrypt-Hash). Wird niemals im Klartext gespeichert.

4.2 Schüler- und Beurteilungsdaten

• Schülernamen: bis zum ersten Öffnen eines Fachs serverseitig mit AES-256, danach im Browser Ende-zu-Ende verschlüsselt
• Beurteilungen/Noten: bis zu dieser Umstellung serverseitig verschlüsselt, danach mit demselben Klassenschlüssel
• Notizen: bis zu dieser Umstellung serverseitig verschlüsselt, danach mit demselben Klassenschlüssel

Vor dem ersten Öffnen kann der Betreiber die Namen lesen. Danach kann er die im Browser verschlüsselten Namen nicht im Klartext lesen.

4.3 Zahlungsdaten

• Zahlungsinformationen: Kreditkarten- und Bankdaten werden ausschließlich von unserem Zahlungsdienstleister Stripe verarbeitet und nie auf unseren Servern gespeichert. Wir erhalten von Stripe lediglich die Bestätigung einer erfolgreichen Zahlung, den Zahlungsbetrag und eine Transaktions-ID.

4.4 Technische Daten

• IP-Adresse: Wird in Audit-Logs anonymisiert gespeichert (letztes Oktett entfernt). Rechtsgrundlage: Berechtigtes Interesse an Sicherheit.
• Browser-Typ und -Version: Für Kompatibilität und Fehlerbehebung.
• Zeitstempel: Von Zugriffen und Aktionen.

4.5 Sprachpräferenz

• Bevorzugte Sprache: Wird im Benutzerprofil und als Cookie gespeichert. Bei Erstbesuch wird die Sprache anhand Ihrer IP-Adresse (GeoIP) und der Browser-Einstellung (Accept-Language-Header) ermittelt. Die GeoIP-Abfrage erfolgt ausschließlich transient im Arbeitsspeicher; Ihre IP-Adresse wird dabei nicht gespeichert oder protokolliert (siehe Abschnitt 10).
• Hinweis zu Änderungen: Welche Meldung zu Änderungen Sie geschlossen haben, speichern wir als Kennung in Ihrem Konto, damit der Hinweis nicht auf jedem Gerät erneut erscheint. Schülerdaten sind das nicht.
  Changelog notice: If you dismiss a notice about changes, we store that entry’s identifier on your account so it does not appear again on every device. This is not student data.

5. Verschlüsselung der Schülernamen

Neue Konten erhalten bei der Registrierung einen Schlüssel. Schülernamen werden nach dem ersten Öffnen eines Fachs in Ihrem Browser verschlüsselt. Bis dahin speichert der Server die Namen mit AES-256 und kann sie lesen. Das Passwort dafür ist Ihr Login-Passwort, kein zweites Klassenpasswort.

• Nach dieser Umstellung kann der Betreiber die Schülernamen nicht im Klartext lesen
• Noten und Notizen werden bei der Umstellung mit demselben Klassenschlüssel gespeichert
• Nur Sie und von Ihnen eingeladene Lehrkräfte mit Schlüssel können die Namen entschlüsseln
• Bei Verlust des Login-Passworts stellt der Wiederherstellungssatz aus 12 Wörtern den Schlüssel wieder her. Der Betreiber hat diesen Satz nicht

Technische Umsetzung: Wir verwenden AES-256-GCM-Verschlüsselung mit Schlüsseln, die von Ihrem Passwort mittels PBKDF2 (100.000 Iterationen) und einem zufälligen Salt abgeleitet werden.

6. Zweck der Datenverarbeitung

Wir verarbeiten Ihre Daten für folgende Zwecke:

• Bereitstellung des Dienstes: Betrieb der ClassCheck-Plattform, Speicherung und Anzeige Ihrer Beurteilungsdaten (Vertragserfüllung)
• Kontoverwaltung: Registrierung, Anmeldung, Zwei-Faktor-Authentifizierung, Passwort-Zurücksetzung (Vertragserfüllung)
• E-Mail-Kommunikation: Verifizierung, Passwort-Zurücksetzung, Test-Ablauf-Erinnerungen, Einladungen zu geteilten Klassen (Vertragserfüllung)
• Zahlungsabwicklung: Verarbeitung von Lizenz-Zahlungen über Stripe (Vertragserfüllung)
• Sicherheit: Schutz vor unbefugtem Zugriff, Brute-Force-Angriffen, Missbrauch (Berechtigtes Interesse)
• Fehlerbehebung: Technische Protokollierung zur Diagnose und Behebung von Problemen (Berechtigtes Interesse)

7. Hosting und Infrastruktur

Unsere Plattform wird auf einem dedizierten Server bei Hetzner Online GmbH in Deutschland gehostet.

Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen
Deutschland
Datenschutzerklärung von Hetzner

Sämtliche Daten (Datenbank, Dateien, Backups) werden ausschließlich auf Servern in Deutschland gespeichert. Hetzner ist ein deutscher Anbieter und unterliegt vollständig der DSGVO. Die Datenverarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.

8. Zahlungsabwicklung (Stripe)

Für die Abwicklung von Zahlungen nutzen wir den Zahlungsdienstleister Stripe.

Stripe Payments Europe, Ltd.
1 Grand Canal Street Lower, Grand Canal Dock
Dublin, D02 H210, Irland
Datenschutzerklärung von Stripe

Wenn Sie eine Zahlung tätigen, werden Ihre Zahlungsdaten (Kreditkartendaten, IBAN) direkt an Stripe übermittelt und dort verarbeitet. Wir haben keinen Zugriff auf Ihre vollständigen Zahlungsdaten. Die Verarbeitung erfolgt auf Grundlage der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Stripe verarbeitet Daten teilweise in den USA. Die Übermittlung erfolgt auf Basis von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und dem EU-US Data Privacy Framework. Weitere Informationen finden Sie in Abschnitt 17.

9. E-Mail-Versand

Für den Versand von E-Mails (Kontoverifizierung, Passwort-Zurücksetzung, Benachrichtigungen) nutzen wir den SMTP-Dienst von Hetzner Online GmbH.

Die E-Mails werden über Server in Deutschland versendet. Es werden nur die für den jeweiligen Zweck notwendigen Daten übermittelt (E-Mail-Adresse, Name, Inhalt der Nachricht). Die Verarbeitung erfolgt auf Grundlage der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Wir versenden keine Marketing- oder Werbe-E-Mails.

10. Spracherkennung

Bei Ihrem ersten Besuch auf ClassCheck wird Ihre bevorzugte Sprache anhand Ihrer IP-Adresse (GeoIP) und des Accept-Language-Headers Ihres Browsers ermittelt. Die GeoIP-Abfrage erfolgt ausschließlich transient im Arbeitsspeicher — Ihre IP-Adresse wird dabei nicht gespeichert, protokolliert oder an Dritte übermittelt. Es werden keine Besucherstatistiken nach Land erhoben.

Die erkannte Sprache wird als Cookie (lang) gespeichert und kann jederzeit über den Sprachwechsler auf der Seite geändert werden. Nach Registrierung wird die Sprachpräferenz in Ihrem Benutzerprofil gespeichert.

11. Cookies, LocalStorage und Service Worker

ClassCheck verwendet ausschließlich technisch notwendige Cookies und lokale Speicherung:

Cookies

Lokale Speicherung (LocalStorage)

Arbeitsspeicher (Memory)

Der entsperrte Schlüssel für die Schülernamen wird im Arbeitsspeicher des Browsers gehalten. Der verschlüsselte private Schlüssel liegt auf dem Server und ist ohne Login-Passwort oder Wiederherstellungsphrase nicht lesbar. Der entsperrte Schlüssel wird beim Schließen des Browser-Tabs nicht weiterverwendet.

Service Worker

ClassCheck verwendet einen Service Worker für Offline-Funktionalität. Dieser speichert statische Ressourcen (CSS, JavaScript, Bilder) im Browser-Cache, um die Plattform auch bei kurzzeitigen Verbindungsproblemen nutzbar zu halten. Es werden keine personenbezogenen Daten im Service-Worker-Cache gespeichert.

Wir verwenden keine Tracking-Cookies, Analyse-Cookies oder Cookies von Drittanbietern.

Weitere Details finden Sie in unserer Cookie-Richtlinie.

12. Protokollierung und Audit-Log

ClassCheck führt ein Audit-Log über sicherheitsrelevante Aktionen (z.B. Anmeldungen, Passwort-Änderungen, Kontolöschungen). Dies dient der Sicherheit und Nachvollziehbarkeit.

• IP-Anonymisierung: IP-Adressen werden vor der Speicherung anonymisiert (das letzte Oktett wird durch „0" ersetzt, z.B. 192.168.1.0).
• Aufbewahrungsfrist: Audit-Log-Einträge werden automatisch nach 12 Monaten gelöscht.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der Sicherheit der Plattform).

Server-Protokolle (Access-/Error-Logs) werden maximal 30 Tage aufbewahrt und dann automatisch gelöscht.

13. Zusammenarbeit und Datenweitergabe

ClassCheck ermöglicht es Lehrkräften, Klassen mit anderen Lehrkräften zu teilen (Kollaborationsfunktion). Dabei gelten folgende Regeln:

• Die Einladung erfolgt per E-Mail durch die Klassen-Eigentümerin bzw. den Klassen-Eigentümer.
• Eingeladene Kollaborateure erhalten Zugriff auf die verschlüsselten Daten der jeweiligen Klasse.
• Der Zugriff kann jederzeit durch die Eigentümerin bzw. den Eigentümer der Klasse widerrufen werden.

Keine Weitergabe an Dritte: Personenbezogene Daten werden nicht an Dritte verkauft, gehandelt oder weitergegeben — mit Ausnahme der in dieser Datenschutzerklärung genannten Auftragsverarbeiter (Hetzner, Stripe).

14. Datenspeicherung und Löschung

Aufbewahrungsfristen

Kontolöschung

Sie können Ihr Konto jederzeit in den Kontoeinstellungen löschen. Bei Kontolöschung werden alle Ihre Daten (einschließlich aller Klassen, Schüler und Beurteilungen) unwiderruflich gelöscht. Auch alle aktiven Sitzungen werden beendet.

Inaktive Konten

Nach Ablauf der Testphase oder der Lizenz bleibt das Konto bestehen. Anmeldung, Ansicht und Export (PDF, Excel, JSON) bleiben möglich. Änderungen sind gesperrt, bis eine Jahreslizenz (15 €/Jahr) oder eine Schullizenz aktiv ist. Eine automatische Löschung nach der Testphase findet nicht statt. Sie können das Konto selbst löschen.

Datenexport

Vor der Löschung können Sie über die Kontoeinstellungen einen Export aller Ihrer Daten im JSON-Format anfordern. Die exportierten Daten werden entschlüsselt bereitgestellt.

15. Ihre Rechte

Gemäß DSGVO haben Sie folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre gespeicherten Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können fehlerhafte Daten korrigieren lassen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Recht auf Datenportabilität (Art. 20 DSGVO): Sie können Ihre Daten in einem gängigen, maschinenlesbaren Format exportieren (JSON-Export in den Kontoeinstellungen).
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen, soweit diese auf berechtigtem Interesse beruht.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.
• Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (siehe Abschnitt 19).

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an hi@classcheck.net. Wir werden Ihre Anfrage innerhalb von 30 Tagen beantworten.

16. Besondere Hinweise für Schulen und Minderjährige

ClassCheck verarbeitet Daten von Schülerinnen und Schülern, die in der Regel minderjährig sind. Folgende besondere Regelungen gelten:

• Verantwortlichkeit: Die Schule bzw. Lehrkraft ist datenschutzrechtlich Verantwortlicher für die Verarbeitung der Schülerdaten. ClassCheck handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO. Ein entsprechender Auftragsverarbeitungsvertrag (AVV) steht zur Verfügung.
• Keine Schüler-Accounts: Schülerinnen und Schüler erstellen keine eigenen Konten bei ClassCheck. Ihre Daten werden ausschließlich von der Lehrkraft eingegeben und verwaltet.
• Schülernamen: Nach dem ersten Öffnen eines Fachs werden die Namen im Browser verschlüsselt. Davor kann der Betreiber sie lesen. Danach nicht im Klartext.
• Schulische Nutzung: Bei schulischer Nutzung ist die Schule als Institution der Verantwortliche und sollte die Nutzung von ClassCheck in ihrem Verarbeitungsverzeichnis und ggf. in ihrer Datenschutz-Folgenabschätzung (DSFA) dokumentieren.
• Information der Eltern: Die Schule ist dafür verantwortlich, Eltern bzw. Erziehungsberechtigte über die Nutzung von ClassCheck zu informieren.

17. Datenübermittlung in Drittländer

Grundsätzlich werden alle Daten auf Servern in Deutschland (EU) gespeichert und verarbeitet. Eine Übermittlung in Drittländer erfolgt nur in folgendem Fall:

• Stripe (Zahlungsabwicklung): Bei Zahlungsvorgängen werden Zahlungsdaten an Stripe übermittelt. Stripe Payments Europe, Ltd. hat seinen Sitz in Irland (EU), jedoch kann Stripe, Inc. (USA) als Unterauftragsverarbeiter Daten in den USA verarbeiten. Die Übermittlung erfolgt auf Basis von:
  • EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
  • EU-US Data Privacy Framework (Angemessenheitsbeschluss gemäß Art. 45 DSGVO)

Es findet keine sonstige Datenübermittlung in Drittländer statt.

18. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt. Alle Beurteilungsentscheidungen werden ausschließlich von den Lehrkräften getroffen.

19. Aufsichtsbehörde

Die zuständige Datenschutz-Aufsichtsbehörde ist:

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien
Österreich

Telefon: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
Website: www.dsb.gv.at

Sie haben das Recht, sich jederzeit mit einer Beschwerde an die Aufsichtsbehörde zu wenden (Art. 77 DSGVO).

20. Änderungen der Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite. Das Datum der letzten Aktualisierung ist oben angegeben.

Bei wesentlichen Änderungen, die Ihre Rechte betreffen, werden wir Sie nach Möglichkeit per E-Mail informieren.

21. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

E.L. Lernkartei-Erfassungsdienste e.U.
E-Mail: hi@classcheck.net

Für Schulen und Bildungseinrichtungen steht unser Auftragsverarbeitungsvertrag (AVV) zum Download bereit.