Angaben für den Genehmigungsantrag

1. Wofür diese Seite gedacht ist

In den meisten Bundesländern ist im Schulkontext die Schule datenschutzrechtlich verantwortlich, nicht die einzelne Lehrkraft — und die Verarbeitung von Schülerdaten auf privaten Geräten oder in externen Diensten braucht die Genehmigung der Schulleitung.

In Niedersachsen regelt das der Runderlass des Kultusministeriums zur Verarbeitung personenbezogener Daten auf privaten IT-Systemen von Lehrkräften: Die Schule, vertreten durch die Schulleitung, ist Verantwortlicher (Nr. 1.2); die Lehrkraft benötigt die schriftliche Genehmigung (Nr. 2.1); die Nutzung von Anwendungen mit externer Speicherung ist zulässig, wenn zuvor ein Auftragsverarbeitungsvertrag geschlossen wurde (Nr. 1.1).

Der Antrag muss IT-System, Software und Sicherheitsmaßnahmen beschreiben. Ihr Gerät kennen nur Sie — die beiden anderen Punkte stehen hier, zum Ausdrucken und Beilegen. Prüfen Sie bitte, welche Regelung für Ihr Bundesland gilt; diese Seite ersetzt keine Rechtsauskunft.

2. Angaben zur Software

• Bezeichnung: Lernkurve — App zur Noten- und Unterrichtsverwaltung für Lehrkräfte.
• Anbieter: siehe Impressum dieser Website.
• Betriebsform: App für Smartphone, Tablet und Computer sowie als Web-Anwendung; Daten werden zwischen den Geräten der Lehrkraft über unsere Server synchronisiert.
• Serverstandort: Deutschland (Konten und Inhalte). Zwei weitere Server für Entwicklung und Betriebsüberwachung stehen in der EU. Keine Übermittlung in Drittländer.
• Offline-Betrieb: Die App funktioniert ohne Internetverbindung vollständig weiter und gleicht später ab.

3. Verarbeitete Daten

Betroffene Personen: Schülerinnen und Schüler der unterrichtenden Lehrkraft.

Datenarten: Namen, Noten und Bewertungen, Anwesenheiten, unterrichtsbezogene Notizen, Sitzordnung, Stunden- und Ferienplan. Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen.

Zweck: Vor- und Nachbereitung des Unterrichts sowie Leistungsdokumentation durch die Lehrkraft.

4. Sicherheitsmaßnahmen

Der entscheidende Punkt zuerst: Wir können die Inhalte nicht lesen. Namen, Noten, Anwesenheiten und Notizen werden auf dem Gerät der Lehrkraft ver- und entschlüsselt; auf unseren Servern liegt ausschließlich Chiffrat, und wir besitzen keinen Schlüssel dafür. Wer unsere Server oder unsere Sicherungen vollständig erbeutet, erhält damit keine Schülerdaten.

• Verschlüsselung der Inhalte:AES-256-GCM. Der Schlüssel wird aus dem Passwort auf dem Gerät abgeleitet (Argon2id, 64 MiB Speicher, 3 Durchläufe). Das Passwort selbst erreicht unsere Server nie.
• Transport: durchgehend TLS.
• Zugang: Jedes angemeldete Gerät ist einzeln widerrufbar; „auf allen Geräten abmelden“ und jede Passwortänderung beenden alle Sitzungen sofort. Zugriffstoken laufen nach sieben Tagen ab.
• Geräteschutz (optional): Sperre per PIN (mindestens sechs Ziffern) oder Biometrie; der Datenschlüssel liegt dann nur verschlüsselt auf dem Gerät. Nach zu vielen Fehlversuchen wird das lokale Schlüsselmaterial gelöscht.
• Sicherungen: täglich, verschlüsselt, getrennt aufbewahrt, nach 30 Tagen gelöscht. Der Wiederherstellungsweg ist erprobt.
• Löschung: Die Aufbewahrungsdauer abgeschlossener Schuljahre ist einstellbar (3 bis 10 Jahre oder „nie“, Voreinstellung 3 Jahre in Deutschland, 6 Jahre in Österreich/Schweiz), wahlweise mit automatischer Löschung nach Vorankündigung. Das Konto kann jederzeit vollständig gelöscht werden.
• Datensparsamkeit im Betrieb: Server-Protokolle werden nach 14 Tagen gelöscht, die IP-Adresse wird darin schon beim Schreiben gekürzt. Kein Tracking, keine Werbe-Cookies, keine Analysedienste, keine Inhalte von fremden Servern.
• Datenmitnahme: Vollständiger Export aller Daten in lesbarer Form ist jederzeit möglich.

Kehrseite der Verschlüsselung, die zur Vollständigkeit gehört: Gehen Passwort und Wiederherstellungsphrase verloren, sind die Inhalte unwiederbringlich. Auch wir können sie dann nicht herstellen.

5. Auftragsverarbeitung

Für die Nutzung durch eine Schule ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwischen der Schule als Verantwortlicher und uns erforderlich. Der Vertragstext liegt fertig vor: Vertrag zur Auftragsverarbeitung. Der Abschluss ist in Textform per E-Mail möglich (Art. 28 Abs. 9 DSGVO lässt das elektronische Format ausdrücklich zu); eine unterschriftsfertige Ausfertigung senden wir auf Wunsch.

Unterauftragsverarbeiterist ausschließlich der Hosting-Anbieter STRATO (Serverbetrieb); mit ihm besteht eine Vereinbarung zur Auftragsverarbeitung. Der Zahlungsdienstleister Mollie B.V. (EU) verarbeitet Zahlungsdaten eigenverantwortlich und erhält keine Schülerdaten.

6. Was wir nicht behaupten

Eine externe Zertifizierung oder ein unabhängiges Krypto-Audit liegt nicht vor. Die oben beschriebenen Maßnahmen sind umgesetzt und werden durch automatisierte Prüfungen vor jeder Auslieferung abgesichert; geprüft haben wir sie bislang selbst. Ein externes Audit ist vorgesehen.

Wir halten das für die ehrlichere Angabe als ein Schweigen an dieser Stelle — eine Schulleitung soll wissen, worauf sie sich verlässt.