Datenschutzerklärung

Verantwortlicher

Diese Angaben hat die Einrichtung noch nicht hinterlegt.

Datenschutzbeauftragte

Eine Datenschutzbeauftragte ist hier nicht benannt.

Welche Daten verarbeitet werden

Schülerinnen und Schüler melden sich ohne Benutzerkonto an einer Lernumgebung an und wählen dafür ein Pseudonym. Pseudonym und ein zufälliger Sitzungsschlüssel werden im Browser lokal gespeichert (localStorage) und bei jeder Anfrage über einen eigenen Header an den Server übertragen — nicht als Cookie. Zusätzlich hält der Browser eine noch nicht abgegebene Zeichnung aus einem Zeichenflächen-Block und noch nicht abgeschickte Karten einer Kartenabfrage bis zum Schließen des Tabs vor, damit ein versehentliches Neuladen sie nicht vernichtet. Die Karten-Entwürfe werden nach dem Abschicken aus dem Browser gelöscht; Zeichnung und Entwürfe werden beim Wechsel des Pseudonyms gelöscht. Das Löschen von Cookies entfernt diese Angaben deshalb nicht; dafür müssen im Browser die lokal gespeicherten Website-Daten gelöscht werden. Ein Pseudonym ist ein personenbezogenes Datum: wer in der Klasse sitzt, kann es in aller Regel zuordnen. Rechtsgrundlage ist die Aufgabenerfüllung im schulischen Auftrag.

Was eingereicht wird — geschriebene Texte, hochgeladene Dateien, Zeichnungen, abgeschickte Karten einer Kartenabfrage, Ergebnisse interaktiver H5P-Inhalte — wird der jeweiligen Sitzung zugeordnet gespeichert und ist für die Lehrkraft einsehbar. Hochgeladene Dateien liegen außerhalb des Web-Verzeichnisses und werden nur über einen geschützten Endpunkt ausgeliefert. Bei einer Kartenabfrage sieht die Lehrkraft, wer welche Karte geschrieben hat, nur solange die Einstellung „Karten zuordenbar“ eingeschaltet ist; die Zuordnung zur Sitzung bleibt dafür gespeichert und gilt auch für bereits abgeschickte Karten. Die Wand einer Kartenabfrage zeigt die Karten der Klasse ohne Namen: gleiche und von der Lehrkraft aufeinandergelegte Karten als Stapel, ab zwei Personen mit deren Anzahl, in Farbspalten und in Gruppen, die die Lehrkraft benennt. Die Lehrkraft sieht diese Wand jederzeit, ausgeblendete Karten markiert; die Präsentationsansicht für den Beamer zeigt sie in jeder Phase, sobald die Lehrkraft sie öffnet, auch während noch gesammelt wird; die Mitschüler*innen sehen sie, sobald die Lehrkraft die Karten freigibt. Karten, die die Lehrkraft ausgeblendet hat, erscheinen weder in der Präsentationsansicht noch bei den Mitschüler*innen; gelöscht sind sie damit nicht.

Für die didaktische Auswertung zählt die Anwendung mit, wie oft bestimmte Ereignisse eintreten: Seitenaufrufe und Seitenwechsel, Klicks auf Blöcke, das Starten von Medien, Downloads, das Freischalten geschützter Seiten, das Öffnen von Aufklapptexten und Zusatzfenstern, das Vergrößern von Bildern, erfolgreiche Abgaben sowie das Erreichen von einem Viertel, der Hälfte, drei Vierteln und des Endes einer Seite. Gespeichert wird ausschließlich ein Zähler je Lernumgebung, Ereignis, Seite, Herkunftsseite und Block — ohne Zeitstempel und ohne jede Verbindung zu einer Sitzung oder einem Pseudonym. Eine Zuordnung zu einer Person ist damit strukturell ausgeschlossen und nicht nur untersagt. Auswertungen werden der Lehrkraft zudem erst ab fünf Teilnehmenden angezeigt.

Interaktive H5P-Inhalte können einen Bearbeitungsstand speichern, damit eine Aufgabe nach einem Seitenwechsel fortgesetzt werden kann. Dieser Stand hängt an der Sitzung und wird mit ihr gelöscht.

Gruppeneinteilung und Zufallsziehung während des Unterrichts halten fest, welche Sitzung welcher Gruppe zugeteilt wurde und wer bereits gezogen wurde, jeweils mit Zeitstempel des Vorgangs. Diese Angaben hängen an der Sitzung und werden mit ihr gelöscht.

Lehrkräfte und Administrationen haben ein Benutzerkonto mit Name, E-Mail-Adresse und Passwort-Hash; optional ein Profilbild und die Merkmale einer Zwei-Faktor-Authentifizierung. Ein vergessenes Passwort lässt sich über einen befristeten, per E-Mail zugestellten Link zurücksetzen; dafür wird die E-Mail-Adresse zusammen mit einem Rücksetz-Token gespeichert, bis der Link benutzt oder durch einen neu angeforderten ersetzt wird. Zugriffe einer Betreiber-Administration auf ein Konto sind nur befristet und protokolliert möglich. Zu Mediendateien, Medienordnern, Sammlungen, Vorlagen, öffentlichen Seiten und interaktiven H5P-Inhalten wird festgehalten, welches Konto sie angelegt hat. Wird ein Konto gelöscht, werden seine Mediendateien und Medienordner mit gelöscht — auch solche, die für das Kollegium freigegeben waren; Dateien und Ordner anderer Konten, die in einem freigegebenen Ordner des gelöschten Kontos lagen, bleiben erhalten und rücken eine Ebene nach oben. Eine einzelne Mediendatei oder ein einzelner Medienordner kann außerdem, zusätzlich zu einer Freigabe für das gesamte Kollegium, gezielt für eine einzelne Kollegin oder einen einzelnen Kollegen freigegeben werden; gespeichert wird dafür, welches Konto die Freigabe erhalten hat. Bei einem Medienordner gilt eine solche Freigabe für dessen gesamten Inhalt einschließlich aller Unterordner, und wer den Ordner auf diese Weise sehen darf, darf auch Dateien hineinlegen. Ein solcher Eintrag wird gelöscht, sobald die Datei oder der Ordner selbst oder das Konto der Empfängerin oder des Empfängers gelöscht wird. Eine Lehrkraft kann eine eigene Sammlung, öffentliche Seite oder Vorlage für eine einzelne Kollegin oder einen einzelnen Kollegen oder für alle Konten der Einrichtung freigeben; gespeichert wird, welches Konto (oder, bei einer Freigabe für alle, kein bestimmtes Konto) die Freigabe erhalten hat, ob nur zum Ansehen oder auch zum Bearbeiten, und ob davon eine eigene Kopie erstellt werden darf. Eine Freigabe wird gelöscht, sobald die Sammlung, Seite oder Vorlage selbst oder das Konto der Empfängerin oder des Empfängers gelöscht wird. Sammlungen, Vorlagen und Lernumgebungen lassen sich mit Schlagworten versehen; gespeichert werden die selbst angelegten Schlagworte eines Kontos und welches Konto welchem Eintrag welches Schlagwort zugeordnet hat. Diese Zuordnungen sieht nur das Konto, das sie vorgenommen hat; die Administration sieht bei den Schlagworten der Schulliste lediglich, wie oft sie vergeben sind. Zuordnungen werden mit dem Eintrag, dem Schlagwort oder dem Konto gelöscht, eigene Schlagworte mit dem Konto. Wird eine Freigabe oder eine Einladung zum Mitsteuern zurückgezogen, bleibt die Zuordnung gespeichert und gilt wieder, sobald der Eintrag erneut freigegeben bzw. die Kollegin oder der Kollege erneut eingeladen wird. Wird die Veröffentlichung einer öffentlichen Seite zurückgezogen, wird gespeichert, welches Konto das wann getan hat — auch dann, wenn es eine Administration der Einrichtung war, die dazu keine Freigabe benötigt; die Besitzerin oder der Besitzer der Seite sowie alle, für die die Seite freigegeben ist, sehen diese Angabe, bis die Seite erneut veröffentlicht wird. Ebenso wird gespeichert, welche Lehrkraft eine Lernumgebung (Durchführung) angelegt hat und welche Kolleginnen und Kollegen sie zum Mitsteuern eingeladen hat; diese Einträge werden mit der Durchführung bzw. dem Konto der Empfängerin oder des Empfängers gelöscht. Wird das Konto der Lehrkraft gelöscht, die eine Durchführung angelegt hat, wird die Durchführung selbst mit allen Teilnahmen und Einreichungen gelöscht — auch dann, wenn sie auf einer Sammlung läuft, die einer anderen Person gehört. Statt einzelne Einladungen von Hand zu verschicken, kann eine Administration der Einrichtung oder die Betreiber-Administration auch einen Beitrittslink erzeugen, über den sich innerhalb einer festgelegten Frist bis zu einer festgelegten Höchstzahl von Personen selbst einladen können — etwa für eine Fortbildung. Zu einem solchen Link werden die Bezeichnung, die Gültigkeitsdauer, die Höchstzahl, die bisherige Zahl der Nutzungen, ein zufälliger Zugangsschlüssel und die Angabe gespeichert, wer den Link erzeugt hat; ein widerrufener Link wird nicht gelöscht, sondern bleibt als widerrufen erkennbar. Wer den Link benutzt, gibt nur eine E-Mail-Adresse an und erhält dieselbe Einladung wie bei einer persönlich verschickten Einladung — ein Konto entsteht erst, wenn diese Adresse bestätigt wurde. Die daraus entstandenen Einladungen und Konten bleiben dem Link zugeordnet, damit eine Administration einen versehentlich weitergegebenen Link widerrufen und die darüber angelegten Konten gemeinsam wieder löschen kann. Während eine Lehrkraft eine Sammlung, Seite oder Vorlage im Editor geöffnet hat, wird festgehalten, welches Konto gerade welche Seite und welchen Block bearbeitet, damit Mitbearbeiterinnen und Mitbearbeiter derselben Sammlung sehen, wer wo arbeitet, und ein gerade bearbeiteter Block nicht gleichzeitig von zwei Personen geändert wird. Dieser Eintrag ist nur für die Personen sichtbar, die dieselbe Sammlung bearbeiten dürfen, gilt fünfzehn Sekunden nach der letzten Aktivität als beendet und wird beim nächsten Abgleich gelöscht.

Der Server protokolliert technische Zugriffsdaten einschließlich IP-Adresse, um Angriffe abzuwehren und Störungen einzugrenzen.

Wird aus der Anwendung heraus eine Rückmeldung an den Betreiber gesendet, werden Name, E-Mail-Adresse und Rolle der absendenden Person sowie der Bereich der Anwendung und der aufgerufene Bildschirm, von dem aus gemeldet wurde, und technische Angaben zum verwendeten Browser mit übertragen, damit eine Rückfrage möglich ist und sich der Fehler nachvollziehen lässt. Diese Angaben verlassen die Einrichtung und erreichen den Betreiber der Installation. Das Formular weist darauf vor dem Absenden hin.

Eingebettete Videos laden erst, wenn sie ausdrücklich angeklickt werden; bis dahin wird nur ein lokal gespeichertes Vorschaubild angezeigt und es besteht keine Verbindung zum Anbieter. Verwendet werden youtube-nocookie.com und, mit der Do-Not-Track-Einstellung dnt=1, player.vimeo.com. Daneben lässt sich ein allgemeiner Einbettungsblock für eine beliebige externe Webanwendung einsetzen — etwa ein Whiteboard, ein geteiltes Dokument oder eine Lernanwendung. Welcher Anbieter das ist, wählt die Lehrkraft beim Einrichten des Blocks frei; wie beim Video lädt auch dieser Block erst nach einem ausdrücklichen Klick, vorher besteht keine Verbindung zum gewählten Anbieter. Bilder aus externen Quellen werden beim Einfügen auf den eigenen Server geholt und von dort ausgeliefert.

Cookies

Die Anwendung setzt auf jeder Seite, die sie ausliefert — auch in der Ansicht für Schülerinnen und Schüler — ein Cookie für die Sitzung des Servers (technischer Name je nach Installation, im Standard „content-kit-plus-session") sowie ein Cookie zum Schutz vor Fälschung von Formularanfragen („XSRF-TOKEN"). Diese Cookies dienen ausschließlich dem technischen Betrieb, enthalten außer einer zufälligen Kennung keine personenbezogenen Daten und bedürfen deshalb nach § 25 Abs. 2 Nr. 2 TTDSG keiner Einwilligung. Meldet sich eine Lehrkraft oder eine Administration an — die Ansicht für Schülerinnen und Schüler kennt keine Anmeldung —, können auf eigenen Wunsch weitere Cookies hinzukommen: Wird beim Bestätigen des zweiten Faktors „Diesem Gerät 30 Tage vertrauen" angehakt, setzt die Anwendung ein Cookie, das dieses Gerät 30 Tage lang von der erneuten Abfrage des zweiten Faktors befreit; anders als die zuvor genannten technischen Cookies ist sein Inhalt kein bloßer Zufallswert ohne Aussagekraft, sondern wirkt faktisch als befristetes Anmeldemerkmal für dieses Gerät. Wird beim Anmelden „Angemeldet bleiben" angehakt, setzt zusätzlich Laravel sein eigenes Cookie (Namensmuster „remember_web_…"), das die Konto-Kennung und ein Anmeldetoken enthält und in der Grundeinstellung bis zu 400 Tage gilt. Diese Cookies sind streng von dem oben beschriebenen Pseudonym zu unterscheiden: Das Pseudonym liegt nicht in einem Cookie, das Löschen von Cookies entfernt es deshalb nicht.

Wie lange die Daten bleiben

Sitzungen, Pseudonyme, Abgaben und hochgeladene Dateien einer Lernumgebung werden automatisch 30 Tage nach dem Beenden der Lernumgebung gelöscht. Die Frist beginnt erst mit diesem Beenden — eine unbeendete Lernumgebung läuft in keine Frist. Die anonymen Zähler bleiben davon unberührt, weil sie keiner Person zugeordnet werden können. Wie lange Server-Protokolle aufbewahrt werden, richtet sich nach der Konfiguration der jeweiligen Installation und wird vom Betreiber festgelegt; die Anwendung selbst löscht sie nicht. Einladungslinks verfallen nach sieben Tagen. Ein Beitrittslink verfällt nach der Frist, die beim Anlegen gewählt wurde, längstens nach sieben Tagen; der Eintrag zum Link selbst — Bezeichnung, Nutzungszahl und wer ihn erzeugt hat — bleibt darüber hinaus bestehen, damit nachvollziehbar bleibt, woher die darüber angelegten Konten stammen, und wird erst mit der Einrichtung gelöscht.

Empfänger

Die Anwendung wird für die Einrichtung betrieben. Der Betreiber verarbeitet die Daten weisungsgebunden im Auftrag; die Einzelheiten regelt ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. In der Ansicht für Schülerinnen und Schüler entsteht eine Verbindung in ein Drittland nur, wenn eine Lehrkraft einen eingebetteten Inhalt in eine Lernumgebung aufgenommen hat und dieser ausdrücklich angeklickt wird: Erst in diesem Moment erreicht die IP-Adresse des Geräts den jeweiligen Anbieter — bei einem Video YouTube bzw. Vimeo mit Sitz in den USA, beim allgemeinen Einbettungsblock die von der Lehrkraft frei gewählte externe Anwendung. Welche das im Einzelfall ist und wo dieser Anbieter sitzt, richtet sich nach der Auswahl der Lehrkraft und ist hier nicht abschließend aufzählbar; genau deshalb lädt kein eingebetteter Inhalt von allein (siehe „Eingebettete Inhalte"). Für die Mediensuche der Lehrkräfte im Editor gilt das nicht: Tippt eine Lehrkraft dort einen Suchbegriff in die Bildersuche (Pixabay) oder die Videosuche (YouTube), ruft der Server der Anwendung damit die Pixabay-API bzw. die YouTube Data API von Google ab — noch bevor irgendetwas angeklickt wird. Die Vorschaubilder der Trefferliste lädt anschließend nicht der Server, sondern unmittelbar der Browser der Lehrkraft von den Servern des jeweiligen Anbieters (cdn.pixabay.com bzw., bei YouTube, i.ytimg.com — Google LLC mit Sitz in den USA); dabei erfährt der Anbieter die IP-Adresse des Lehrkraft-Geräts, ohne dass ein Klick nötig wäre. Übernimmt die Lehrkraft einen Treffer in die Mediathek, wird die Datei einmalig heruntergeladen und ab dann ausschließlich vom eigenen Server ausgeliefert; danach besteht keine laufende Verbindung zum Anbieter mehr. Betroffen ist ausschließlich diese Mediensuche im Editor — die Ansicht für Schülerinnen und Schüler ruft Pixabay und YouTube zu keinem Zeitpunkt auf.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Wenden Sie sich dafür an die oben genannte verantwortliche Stelle. Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.

Zuständige Aufsichtsbehörde

Eine zuständige Aufsichtsbehörde ist hier nicht benannt.