SchoolPrep
Datenschutzerklärung
1. Verantwortlicher
YOURLEAF, Inh. Saskia von der Pütten
Zur Zugbrücke 2, 26203 Wardenburg
Telefon: 04407-9136812
E-Mail: info@yourleaf.de
2. Erhobene Daten
Nutzerkonten: Bei der Registrierung erheben wir Benutzername, Anzeigename sowie optionale Angaben zur Schule. Passwörter werden ausschließlich als bcrypt-Hash gespeichert.
Server-Logs: Bei jedem Zugriff werden Browsertyp, Betriebssystem, Referrer-URL, IP-Adresse und Zeitstempel erfasst. Diese Daten werden ausschließlich zur Fehleranalyse und Sicherheit verwendet und nach spätestens 7 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem und stabilem Betrieb).
Inhalte und KI-Generierung: Die von Ihnen eingegebenen Unterrichtsthemen und -parameter werden zur Generierung von Unterrichtsmaterialien an KI-Dienste übermittelt. Eingaben enthalten in der Regel keine personenbezogenen Daten (Fach, Klasse, Thema). Generierte Inhalte werden ausschließlich auf unseren Servern gespeichert und nicht an Dritte weitergegeben.
Feedback-Formular: Bei Nutzung des Feedback-Formulars werden Ihre Nachricht sowie optional Name und E-Mail-Adresse erhoben und per E-Mail an YOURLEAF übermittelt. Eine Speicherung auf unseren Servern erfolgt nicht.
Geteilte Einheiten: Über Share-Links freigegebene Unterrichtseinheiten sind ohne Anmeldung abrufbar. Der Zugriff auf solche Links wird nicht personenbezogen protokolliert.
Zahlungsdaten: Zahlungen werden über Stripe verarbeitet. Wir speichern keine vollständigen Kartendaten. Stripe verarbeitet Zahlungsdaten gemäß PCI-DSS-Standard. Weitere Informationen: stripe.com/de/privacy
Fehler-Logging: Beim Auftreten technischer Fehler werden Fehlermeldung, Zeitstempel und – sofern eingeloggt – die interne Nutzer-ID in einer Datenbanktabelle gespeichert. Dies dient ausschließlich der Fehlerdiagnose und dem technischen Support. Die Logs werden nach 7 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an stabilem Betrieb).
Datensparsamkeit: Wir erheben ausschließlich Daten, die für den Betrieb des Dienstes technisch erforderlich sind. Eine E-Mail-Adresse ist zur Registrierung nicht notwendig. Schülerinnen und Schüler benötigen keinen Account.
3. Cookies und lokaler Browserspeicher
SchoolPrep verwendet ausschließlich technisch notwendige Speichereinträge. Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt. Alle Einträge dienen ausschließlich dem Betrieb der Anwendung.
Dauerhafter lokaler Speicher (localStorage)
| Schlüssel | Zweck | Speicherdauer | Personenbezug |
|---|---|---|---|
sp_token | JWT-Authentifizierungstoken zur Sitzungsverwaltung nach dem Login | 30 Tage | Ja (enthält Nutzer-ID) |
sp_device_token | Geräteerkennungs-Token zur Wiederkennung eines bereits vertrauenswürdigen Browsers (Geräteverwaltung). Der Token ist ein zufällig generierter, gehashter Wert ohne Inhaltsbezug; er wird serverseitig gegen einen SHA-256-Hash abgeglichen. Ermöglicht automatisches Login ohne erneute Geräteverifikation. Verwaltung und Widerruf im Profil unter „Geräteverwaltung" möglich. | Dauerhaft bis Löschung oder Widerruf | Ja (gerätezugeordnet, ermöglicht Wiedererkennung) |
sp_theme | Darstellungspräferenz (Hell-/Dunkelmodus) | Dauerhaft bis Löschung | Nein |
sp_cookie_accepted | Speichert die Bestätigung des Cookie-Hinweises | Dauerhaft bis Löschung | Nein |
sp_feintuning_tooltip_dismissed | Speichert, dass ein Bedienungshinweis weggeklickt wurde | Dauerhaft bis Löschung | Nein |
quiz_[token] | Anonymer Zwischenstand eines laufenden Quiz (kein Personenbezug, nur Antwortfortschritt) | Bis zum Abschluss des Quiz | Nein |
Sitzungsspeicher (sessionStorage) — wird beim Schließen des Tabs automatisch gelöscht
| Schlüssel | Zweck | Personenbezug |
|---|---|---|
sp_onboarding | Onboarding-Status für neue Nutzer innerhalb der Sitzung | Nein |
sp_school_banner_dismissed | Hinweis-Banner in der aktuellen Sitzung weggeklickt | Nein |
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für sp_token und sp_device_token; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an nutzerfreundlichem Betrieb) für alle übrigen Einträge. Der sp_device_token wird ausschließlich zur Authentifizierungsvereinfachung verarbeitet und kann jederzeit im Nutzerprofil unter „Geräteverwaltung" widerrufen werden (Art. 7 Abs. 3 DSGVO).
4. Hosting und Drittanbieter
Infrastruktur (EU)
Hetzner Online GmbH (Gunzenhausen, Deutschland): Hosting der Serverinfrastruktur. Kein Drittlandtransfer. Auftragsverarbeitungsvertrag abgeschlossen.
Cloudflare, Inc. (USA): CDN, DDoS-Schutz und Web-Application-Firewall. Cloudflare ist unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert. IP-Adressen von Seitenbesuchern werden im Rahmen der Proxy-Funktion verarbeitet und nach kurzer Zeit anonymisiert. SCCs gemäß Art. 46 DSGVO.
Cloudflare Web Analytics: Wir nutzen Cloudflare Web Analytics zur anonymen Erfassung von Seitenaufrufen und Besuchszahlen. Dieses Analyse-Tool setzt keine Cookies, erstellt kein Nutzer-Profil und verarbeitet keine personenbezogenen Daten. Es werden ausschließlich aggregierte, nicht personenbezogene Statistiken (Seitenaufrufe, Besuchszahlen) übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an anonymer Nutzungsanalyse zur Produktverbesserung). Weitere Informationen: cloudflare.com/web-analytics
KI-Modelle zur Inhaltsgenerierung
Wichtiger Hinweis: Bei der KI-gestützten Generierung von Unterrichtsmaterialien werden ausschließlich pädagogische Inhalte übermittelt (Fach, Klasse, Thema, Aufgabenstruktur). Personenbezogene Daten von Lehrkräften oder Schülerinnen und Schülern sind in diesen Anfragen nicht enthalten. Die KI-Anbieter sehen lediglich die IP-Adresse unseres Servers sowie die Prompt-Inhalte ohne Personenbezug.
Ollama.com (USA): Primär eingesetzter Cloud-Dienst für KI-Modelle. Ollama bietet Zugang zu einer Vielzahl von Sprachmodellen (u.a. Gemini, Llama und weitere), wir haben freie Modellwahl. Übermittlung ausschließlich nicht-personenbezogener Prompt-Inhalte (Fach, Klasse, Thema). Absicherung durch Standardvertragsklauseln gemäß Art. 46 DSGVO. Vertraglich untersagt: Verwendung von Anfragen für Modelltraining.
OpenRouter (USA): Ergänzender Router-Dienst für den Zugang zu weiteren KI-Modellen. Übermittlung ausschließlich nicht-personenbezogener Prompt-Inhalte. Absicherung durch Standardvertragsklauseln gemäß Art. 46 DSGVO.
Zahlungsabwicklung
Stripe, Inc. (San Francisco, USA): Zahlungsabwicklung für kostenpflichtige Abonnements. Stripe ist unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert und erfüllt PCI-DSS Level 1. Vertragspartner für EU-Nutzer: Stripe Payments Europe, Ltd. (Irland). SCCs gemäß Art. 46 DSGVO. Weitere Informationen: stripe.com/de/privacy
5. Verantwortlicher und Datenschutzbeauftragte
Verantwortlicher im Sinne der DSGVO:
YOURLEAF, Inh. Kai von der Pütten
Zur Zugbrücke 2, 26203 Wardenburg
E-Mail: info@yourleaf.de
Datenschutzbeauftragte:
Saskia von der Pütten (intern)
E-Mail: datenschutz@yourleaf.de
6. Rechtsgrundlagen der Verarbeitung
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Registrierung und Accountverwaltung | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| KI-Generierung von Unterrichtsmaterialien | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Zahlungsabwicklung (Stripe) | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Server-Logs und Fehler-Logging | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Sicherheit und Stabilität) |
| Technisch notwendige Browserspeicher (sp_token, sp_theme etc.) | Art. 6 Abs. 1 lit. b/f DSGVO; § 25 Abs. 2 TDDDG |
| Cloudflare Web Analytics (anonyme Seitenaufrufstatistik, keine Cookies) | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: anonyme Nutzungsanalyse) |
| Feedback-Formular | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Produktverbesserung) |
7. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Den Datenexport können Sie direkt in Ihrem Profil unter „Meine Daten herunterladen" abrufen.
Wenden Sie sich dazu an: datenschutz@yourleaf.de
Beschwerderecht bei der zuständigen Aufsichtsbehörde:
Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
lfd.niedersachsen.de
8. Datenlöschung
Ihr Nutzerkonto und alle zugehörigen Unterrichtseinheiten können Sie jederzeit über Ihr Profil löschen. Server-Logs und Fehler-Logs werden automatisch nach 7 Tagen gelöscht. Backups werden nach 30 Tagen überschrieben.