Für Schulen

Eigenerklärung

Für Schulleitungen und Datenschutzbeauftragte der Bildungsdirektionen.

Diese Erklärung beantwortet die Fragen, die üblicherweise gestellt werden, bevor eine Schule einen Clouddienst einsetzt. Sie ist als Anlage zum Auftragsverarbeitungsvertrag gedacht, gemeinsam mit der Beschreibung der technischen und organisatorischen Maßnahmen.

1. Wer wir sind

Anbieterin: Nadine Forstenlechner, KLASSE gedacht
Kastnergasse 16, 1170 Wien, Österreich
kontakt@klassegedacht.at
Rechtsform: Einzelunternehmen, keine Beschäftigten
Sitz: Österreich. Keine Konzernstruktur, keine Beteiligungen, keine Muttergesellschaft im Ausland
Datenschutzbeauftragte: Nicht bestellt. Nach Art. 37 DSGVO nicht erforderlich, weil weder eine Behörde noch eine umfangreiche regelmäßige Überwachung noch eine Kerntätigkeit in besonderen Datenkategorien vorliegt. Ansprechpartnerin in Datenschutzfragen ist die Inhaberin.

2. Was die Anwendung ist, und was sie nicht ist

KLASSE gedacht ist ein Werkzeug für die persönliche pädagogische Dokumentation einer Lehrperson: Beobachtungen zur Mitarbeit, Groblernziele, Aufgaben und Noten im Verlauf eines Schuljahres.

Die Anwendung ersetzt weder das Klassenbuch noch die Zeugniserstellung noch eine von der Schule vorgeschriebene Dokumentation.

Sie ist damit dem Bereich zuzuordnen, den die Rahmenbedingungen des Bildungsministeriums für den Einsatz privater Clouddienste als Unterrichtsdokumentation beschreiben und in dem Clouddienste ausdrücklich zulässig sind. Das dort genannte Beispiel Notenheft entspricht der Funktion dieser Anwendung. Schülerverwaltung, Stammdaten, Zeugniserstellung und Klassenbuch, die dem Verwaltungsbereich zugeordnet sind, werden nicht unterstützt.

Die Anwendung trifft keine Bewertungsentscheidungen. Sie berechnet keine Noten und gibt keine vor. Eine automatisierte Entscheidungsfindung im Sinn des Art. 22 DSGVO findet nicht statt.

Schüler:innen erhalten keinen Zugang. Erziehungsberechtigte erhalten keinen Zugang. Es gibt keine Kommunikationsfunktion.

3. Welche Daten verarbeitet werden

Von der Lehrperson: E-Mail-Adresse, ein aus dem Passwort abgeleiteter Prüfwert, Zeitstempel.

Von Schüler:innen: Vornamen oder Kürzel, Zuordnung zu Klasse und Fach, Beobachtungen, Kompetenzen, Noten und freie Notizen der Lehrperson.

Alle Angaben zu Schüler:innen sind ausschließlich verschlüsselt gespeichert. Näheres in Abschnitt 5.

In freien Notizfeldern können Angaben stehen, die besondere Kategorien nach Art. 9 DSGVO berühren, etwa ein Hinweis auf eine krankheitsbedingte Abwesenheit. Die Anwendung fordert solche Angaben nicht an. Lesbar sind sie für uns in keinem Fall.

Rechtsgrundlage. Die Verarbeitung stützt sich auf die schulrechtlichen Aufgaben der Schule, insbesondere die Leistungsbeurteilung und ihre Dokumentation. Eine Einwilligung der Erziehungsberechtigten wird nicht eingeholt: Sie könnte verweigert werden, die Leistungen wären aber dennoch zu beurteilen und zu dokumentieren. Welche Bestimmung im Einzelnen herangezogen wird, benennt die Schule als Verantwortliche.

4. Wo die Daten liegen

Dienstleister	Aufgabe	Ort
Supabase	Datenbank, Anmeldung. Speichert die verschlüsselten Inhalte	Frankfurt am Main
Hostinger	Website, App-Auslieferung, E-Mail. Keine Schülerdaten	EU
Stripe	Zahlungen. Keine Schülerdaten	Irland

Eine Übermittlung von Schülerdaten in ein Drittland findet nicht statt. Soweit Dienstleister Konzerngesellschaften außerhalb der EU einsetzen, geschieht dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission. Wegen der Verschlüsselung wären Inhalte auch in einem solchen Fall nicht lesbar.

Weitere Unterauftragsverarbeiter gibt es nicht. Ein Wechsel wird mindestens einen Monat vorher mitgeteilt, mit Widerspruchsrecht.

5. Wie die Daten geschützt sind

Ausführlich in der Beschreibung der technischen und organisatorischen Maßnahmen. Das Wesentliche in vier Sätzen:

Alle Inhalte werden auf dem Gerät der Lehrperson verschlüsselt (AES-256-GCM), bevor sie übertragen werden.
Der Schlüssel entsteht aus dem Passwort (PBKDF2-SHA256, 600.000 Runden) und verlässt das Gerät nicht. Die Anbieterin besitzt ihn nicht.
Auch die Kennung eines Datensatzes ist unumkehrbar verrechnet. Auf dem Server ist nicht erkennbar, zu welcher Klasse, Schüler:in oder Woche ein Eintrag gehört.
Folge: Die Anbieterin kann die Inhalte weder einsehen noch herausgeben noch wiederherstellen. Ein unbefugter Zugriff auf die Datenbank ergäbe unlesbare Zeichenfolgen.

6. Werbung, Auswertung, künstliche Intelligenz

Keine Werbung in der Anwendung und auf der Website
Kein Tracking, keine Statistikdienste, keine Zählpixel, keine fremden Schriften
Keine Weitergabe und kein Verkauf von Daten
Keine Verwendung von Schülerdaten zu eigenen Zwecken, insbesondere nicht zum Trainieren von Software
Keine künstliche Intelligenz verarbeitet Inhalte. Das wäre technisch auch nicht möglich, weil sie verschlüsselt sind
Keine Cookies zu Analysezwecken, deshalb kein Cookie-Banner

7. Rechte der Betroffenen

Auskunft, Berichtigung und Löschung kann die Lehrperson in der Anwendung unmittelbar selbst vornehmen, weil nur sie die Inhalte lesen kann. Ein vollständiger Export als Datei ist eingebaut.

Wenden sich betroffene Personen an uns, leiten wir das an die Schule weiter und antworten nicht selbst.

8. Löschung

Nach Löschung eines Kontos bleiben die Daten 30 Tage gesperrt erhalten, damit ein Versehen heilbar bleibt, und werden danach endgültig entfernt. Rechnungsdaten werden nach § 132 Bundesabgabenordnung sieben Jahre aufbewahrt; sie enthalten keine Schülerdaten.

9. Datenschutzverletzungen

Jeder Verdacht wird der Schule unverzüglich gemeldet, mit Beschreibung, Zeitpunkt und Maßnahmen. Dabei ist zu prüfen, ob eine Verständigung der Betroffenen nach Art. 34 Abs. 3 lit. a DSGVO entfällt, weil die Daten verschlüsselt und für Unbefugte unverständlich sind.

10. Was wir nicht behaupten

Zur Vollständigkeit gehört, was diese Maßnahmen nicht leisten:

Das Gerät der Lehrperson schützen wir nicht. Bildschirmsperre und Gerätepasswort bleiben ihre Aufgabe.
Eine bestimmte Verfügbarkeit in Prozent sagen wir nicht zu.
Ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, beurteilt die Schule als Verantwortliche. Wir stellen dafür alle technischen Angaben bereit.
Diese Erklärung ist keine Zertifizierung und keine Genehmigung durch eine Behörde.

Rückfragen an kontakt@klassegedacht.at

Fassung 2026-08-29