Datenschutzerklärung

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Andreea Negru, Dürckheimstraße 13, 4232 Hagenberg, Österreich.

Fragen zum Datenschutz: info@lehrerzimmer.eu

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Artikel 37 DSGVO liegen nach derzeitiger Einschätzung nicht vor.

Für dein Konto, deine Inhalte und die Abrechnung sind wir verantwortlich. Für Daten von Schülerinnen und Schülern, die du über die Klassen-Funktionen verarbeitest, bist du bzw. deine Schule verantwortlich; wir verarbeiten sie dann nur in deinem Auftrag (siehe unten).

Kontodaten: E-Mail-Adresse, Name, Passwort (nur als Streuwert gespeichert, nie im Klartext), Zeitpunkt der Registrierung und der Zustimmung zu den Nutzungsbedingungen. Grundlage: Vertragserfüllung (Artikel 6 Absatz 1 lit. b DSGVO).

Bei der Registrierung stimmst du den Nutzungsbedingungen zu und nimmst diese Datenschutzerklärung zur Kenntnis. Eine Einwilligung in die Datenverarbeitung ist dafür nicht nötig; wo wir eine Einwilligung brauchen, fragen wir gesondert.

Anmeldeversuche: Wir protokollieren, mit welcher E-Mail-Adresse wann eine Anmeldung versucht wurde und ob sie gelang, um Angriffe auf Konten zu erkennen. Diese Einträge werden nach 90 Tagen gelöscht. Grundlage: unser berechtigtes Interesse an sicheren Konten (Artikel 6 Absatz 1 lit. f DSGVO).

Nutzungsprotokoll: Solange du angemeldet bist, halten wir fest, welche Seite der Plattform wann geöffnet war — nur den Seitenpfad, ohne Inhalte, ohne IP-Adresse und ohne Standort —, dazu wie bisher jeden KI-Auftrag mit Werkzeug und Verbrauch und was du erstellt hast. Damit rechnen wir dein Guthaben ab, helfen dir bei Fragen, erkennen Missbrauch und ungewöhnlich hohen Verbrauch und sehen, welche Werkzeuge gebraucht werden. Nur die Betreiberin sieht diese Angaben; sie gehen an niemanden sonst. Seitenaufrufe werden nach 90 Tagen gelöscht. Grundlage: Vertragserfüllung für die Abrechnung (Artikel 6 Absatz 1 lit. b DSGVO), im Übrigen unser berechtigtes Interesse an Betrieb, Sicherheit und Verbesserung der Plattform (lit. f). Du kannst dem jederzeit widersprechen (Artikel 21 DSGVO).

Profildaten: Schulart, Bundesland, Trägerschaft, Fächer, Klassenbezeichnungen und Schulstufen, übliche Stundendauer. Diese Angaben machst du im Fragebogen; sie steuern, wie die Materialien formuliert werden. Grundlage: Artikel 6 Absatz 1 lit. b DSGVO.

Was du schreibst, hochlädst oder erzeugen lässt — Materialien, Kurse, Klassen, Gespräche mit Nora und den Expert:innen, hochgeladene Dokumente und Fotos, Diktate —, speichern wir in deinem Konto. Grundlage: Artikel 6 Absatz 1 lit. b DSGVO.

Diese Inhalte bleiben gespeichert, solange dein Konto besteht — bis du sie selbst löschst oder dein Konto löschst. Eine automatische Löschung nach einer festen Frist gibt es dafür nicht.

Damit die KI arbeiten kann, wird der Inhalt deiner jeweiligen Anfrage an den zuständigen KI-Anbieter übermittelt (Liste unten): Texte, Materialien, Gespräche, das Lesen hochgeladener Dokumente und die Abschrift von Diktaten an Google (Gemini), der Bau interaktiver Lernwerkzeuge an Anthropic und für Probe-Bauten an Opper, Bilder an OpenAI oder Black Forest Labs, die Sprachausgabe eines erzeugten Textes an ElevenLabs. Wir nutzen bezahlte Zugänge; nach den Verträgen werden die Eingaben dort nicht zum Training der Modelle verwendet.

Bitte gib in Gespräche und Aufträge keine Namen, Geburtsdaten, Diagnosen oder Beurteilungen einzelner Kinder ein. Gesundheitsdaten und sonderpädagogischer Förderbedarf sind besondere Kategorien nach Artikel 9 DSGVO und gehören nicht in ein KI-Werkzeug. Brauchst du für einen Förderplan Angaben, verwende ein Kürzel und lass alles weg, was nicht nötig ist.

Nora und alle Expert:innen auf der Plattform — auch „Ada“, die bei rechtlichen Fragen hilft — sind erfundene Figuren. Hinter ihnen steht ein KI-Modell, kein Mensch; sie sind in der Plattform als „KI-Assistentin“ gekennzeichnet. Mehr dazu im Hinweis zu KI-Inhalten.

Nutzungsdaten: welches Werkzeug du wann benutzt hast und wie viele Credits das gekostet hat. Das brauchen wir für die Abrechnung. Grundlage: Artikel 6 Absatz 1 lit. b DSGVO.

Wenn du Guthaben auflädst oder ein Abo abschließt, leiten wir dich zur Bezahlseite von Stripe (Stripe Payments Europe Ltd., Irland) weiter. Stripe verarbeitet die Zahlungsdaten in eigener Verantwortung und setzt dort eigene, für Zahlung und Betrugsschutz nötige Keksdateien. Wir sehen und speichern keine Kartennummern, sondern nur die Stripe-Kundennummer, Abo-Status, Beträge und Rechnungen. Auf unseren eigenen Seiten laden wir keine Stripe-Skripte.

Rechnungen und Buchungsbelege bewahren wir sieben Jahre auf, weil § 132 Bundesabgabenordnung das verlangt (Artikel 6 Absatz 1 lit. c DSGVO) — auch nach einer Kontolöschung, dann beschränkt auf das, was für die Buchhaltung nötig ist.

Im Verwaltungsbereich sieht die Betreiberin zu jedem Konto: Kontodaten, Abo, Guthaben, Nutzungsverlauf und den Umsatz je Kundin oder Kunde. Zweck: Unterstützung bei Fragen, Abrechnung, Schutz vor Missbrauch und Nachweis bei Streitigkeiten. Grundlage: Artikel 6 Absatz 1 lit. b und f DSGVO. Die Kundenakte besteht, solange das Konto besteht; danach bleibt nur, was gesetzliche Aufbewahrungsfristen verlangen.

Dienst-Mails, die zum Vertrag gehören — Bestätigung der Registrierung, Passwort zurücksetzen, Zahlungen, Änderungen der Bedingungen —, bekommst du immer. Grundlage: Artikel 6 Absatz 1 lit. b DSGVO.

„Post von Nora“ — Tipps zum Einstieg (etwa am 2., 7. und 14. Tag nach der Registrierung) und die Sonntagsmail mit Vorschlägen für deine Woche — schicken wir nur, wenn du bei der Registrierung oder später in den Einstellungen das Kästchen dafür angekreuzt hast. Grundlage: deine Einwilligung (Artikel 6 Absatz 1 lit. a DSGVO, § 174 TKG 2021). Du kannst sie jederzeit widerrufen: über den Link in jeder Mail oder in den Einstellungen. Der Widerruf gilt ab diesem Moment.

Diese Mails entstehen aus deinen Angaben in der Plattform (etwa Klassenbezeichnung, Schulstufe, Fächer, Jahresplan, Guthaben) — nie mit Namen von Schülerinnen und Schülern. Wir speichern, welche Mail wann an wen ging, damit keine doppelt kommt; dieses Protokoll löschen wir mit dem Konto.

Versand über Brevo (Sendinblue SAS, Frankreich).

Zum Abo (und in den ersten vier Wochen nach der Anmeldung) gehört das Wochenpaket: Jeden Samstag stellt die Plattform aus deinen Angaben (Klassenbezeichnung, Schulstufe, Fächer, Stundenplan, Jahresplan) drei Unterlagen für die kommende Woche zusammen. Das geschieht nach festen Regeln im Code, ohne KI und ohne Namen von Schülerinnen und Schülern. Grundlage: Artikel 6 Absatz 1 lit. b DSGVO.

Wir speichern je Woche, was im Paket lag, ob du es geöffnet hast, deine Daumen-Bewertungen und deine Wunschliste (Lieblingsfächer, eine freiwillige Rückmeldung an uns, abbestellt ja/nein). Damit verbessern wir die Pakete und pausieren sie, wenn zwei hintereinander ungeöffnet bleiben. Gelöscht wird das mit dem Konto. Abbestellen kannst du jederzeit auf der Seite „Wochenpaket“.

Mit der Klassenmappe, Quiz, Wissensspiel, Live-Umfragen und der Tafel kannst du mit deiner Klasse arbeiten. Dabei gilt: Kein Kind braucht ein Konto, keine KI verarbeitet Schülerdaten, und die Plattform beurteilt oder benotet niemanden. Antworten werden nur nach festen Regeln abgeglichen.

Namen der Kinder trägst du nur auf deinem eigenen Gerät ein; sie bleiben im Speicher deines Browsers und werden nie an unseren Server geschickt.

Auf dem Server speichern wir je Kind: die Katalognummer, einen zufälligen persönlichen Zugangsschlüssel (Karte oder QR-Code) und einen 4- bis 6-stelligen Code, diesen nur als Streuwert. Dazu die Antworten auf Arbeitsblätter (Freitext) und den Status „erledigt“, verknüpft mit der Nummer.

Optional Fotos von Arbeitsblättern auf Papier: Sie liegen in einem nicht öffentlichen Speicher, sind nur über kurzlebige Links abrufbar, und Ortsangaben und andere Metadaten (EXIF) entfernt schon der Browser vor dem Hochladen.

Quiz: Spitzname, Antworten und Punktzahl. Wissensspiel: Spitzname und Punktzahl. Live-Umfragen: die Antworten mit einer zufälligen Gerätekennung, damit niemand doppelt abstimmt. Tafel: Striche, Texte und Bilder, wenn Kinder auf einer Tafel mitarbeiten.

Wer verantwortlich ist: Setzt du diese Funktionen für deine Schule ein, ist die Schule datenschutzrechtlich verantwortlich; nutzt du sie privat für deinen Unterricht, bist du es selbst. Wir sind in beiden Fällen Auftragsverarbeiterin und schließen dafür einen Auftragsverarbeitungsvertrag — mit der Schule oder mit dir. Das Muster findest du unter „Rechtliches“. Kinder unter 14 Jahren willigen nicht selbst ein; die Verarbeitung stützt sich auf den Bildungsauftrag der Schule bzw. die Verantwortung der Lehrkraft. Kläre den Einsatz mit deiner Schulleitung ab.

Löschung: automatisch nach den Fristen unten, und jederzeit früher durch dich.

In Workshops können Teilnehmende Aufgaben in einer Kursmappe abgeben: unter einem selbst gewählten Kurznamen oder Gruppennamen (kein vollständiger Name nötig) mit einer Datei (Bild, Video, Ton, PDF oder Präsentation). Die Datei liegt in einem nicht öffentlichen Speicher und ist nur für die Kursleitung sichtbar. Sie wird 90 Tage nach dem Abgabeschluss der Mappe gelöscht, ohne Abgabeschluss 90 Tage nach dem Hochladen. Grundlage: Durchführung des Workshops (Artikel 6 Absatz 1 lit. b bzw. f DSGVO).

Vor Workshops für Organisationen schickt die Betreiberin manchmal einen Fragebogen an die Teilnehmenden. Name und E-Mail-Adresse sind dabei freiwillig. Die Antworten wertet Google Gemini aus — ohne Namen —, damit der Workshop zum Bedarf passt. Die Daten werden spätestens zwölf Monate nach dem Workshop gelöscht. Grundlage: unser berechtigtes Interesse und das der beauftragenden Organisation an einem passenden Workshop (Artikel 6 Absatz 1 lit. f DSGVO).

Zum Schutz vor Missbrauch begrenzen wir, wie oft eine Anfrage in kurzer Zeit kommen darf. Dafür speichern wir die IP-Adresse nicht im Klartext, sondern nur als Streuwert mit einem geheimen Schlüssel; diese Einträge werden nach zwei Tagen gelöscht.

Tritt ein technischer Fehler auf, protokollieren wir ihn (Seite, Fehlermeldung, Zeitpunkt). E-Mail-Adressen werden darin unkenntlich gemacht. Einträge werden 90 Tage nach Behebung gelöscht.

Grundlage: unser berechtigtes Interesse an einem sicheren und funktionierenden Betrieb (Artikel 6 Absatz 1 lit. f DSGVO).

Sicherungskopien der Datenbank bewahrt die Betreiberin verschlüsselt auf. Gelöschte Daten können darin noch enthalten sein, bis die Sicherung im regulären Ablauf überschrieben wird; sie werden nicht weiterverwendet.

Datenbank und Dateien liegen in einem Rechenzentrum in Frankfurt am Main; die Server-Funktionen laufen ebenfalls in Frankfurt. Die Muttergesellschaften dieser Dienstleister sitzen in den USA.

Für die KI-Verarbeitung gehen Inhalte an die unten genannten Anbieter. Google nutzen wir, wenn so eingerichtet, über ein Rechenzentrum in der EU (Niederlande); Black Forest Labs und Opper verarbeiten in der EU. Anthropic, OpenAI und ElevenLabs verarbeiten (auch) in den USA.

Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Artikel 45 DSGVO), soweit der Empfänger danach zertifiziert ist, sonst auf EU-Standardvertragsklauseln (Artikel 46 Absatz 2 lit. c DSGVO). Welche Grundlage je Anbieter gilt, steht in der Liste unten.

Bildarchive (Pexels, Pixabay, Wikimedia Commons, Openverse) erhalten bei der Bildsuche nur den Suchbegriff, keine Angaben zu dir.

Kontodaten, Profil, Materialien, Kurse, Klassen und Gespräche: solange das Konto besteht, bis du sie selbst löschst oder dein Konto löschst.

Rechnungen und Buchungsbelege: sieben Jahre (§ 132 Bundesabgabenordnung).

Antworten und Fotos aus der Klassenmappe: 13 Monate nach der Abgabe.

Abgaben in der Kursmappe: 90 Tage nach dem Abgabeschluss, sonst nach dem Hochladen.

Antworten in Live-Umfragen und Quiz-Teilnahmen: 30 Tage.

Punktestände im Wissensspiel: 90 Tage.

Striche auf nicht gespeicherten Tafeln: 30 Tage nach der letzten Änderung.

Bedarfs-Radar: spätestens zwölf Monate nach dem Workshop.

Einträge zur Missbrauchsabwehr (IP-Streuwerte): zwei Tage. Anmeldeversuche: 90 Tage. Fehlerprotokolle: 90 Tage nach Behebung. Nutzungsprotokoll (welche Seite wann offen war): 90 Tage.

Die automatischen Löschungen laufen täglich. Alles, was du selbst angelegt hast, kannst du jederzeit früher löschen.

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten (Artikel 22 DSGVO), und wir erstellen keine Profile für Werbung. Über Schülerinnen und Schüler entscheidet die Plattform nichts.

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Artikel 15 bis 21 DSGVO). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Konto löschen: per Knopf in den Einstellungen oder per E-Mail an uns. Dabei werden alle deine Inhalte und gespeicherten Dateien gelöscht; nur die gesetzlich aufzubewahrenden Abrechnungsdaten bleiben, auf das Nötigste beschränkt.

Deine Daten herunterladen: per Knopf „Meine Daten herunterladen“ in den Einstellungen oder per E-Mail an uns.

Für alle anderen Anliegen schreib an info@lehrerzimmer.eu. Wir antworten innerhalb eines Monats.

Du kannst dich außerdem bei der Österreichischen Datenschutzbehörde beschweren (Barichgasse 40–42, 1030 Wien, dsb.gv.at) oder bei der Aufsichtsbehörde des Landes, in dem du lebst.

Wir setzen nur, was die Plattform zum Funktionieren braucht. Keksdateien: für die Anmeldung (Supabase, Name beginnt mit „sb-“, solange du angemeldet bist), für die gewählte Sprache („aiguide.locale“, zwölf Monate), für eine kurze Zugangsprüfung („lz-tuer“, zehn Minuten) und für deine Cookie-Wahl („lz_einwilligung“, zwölf Monate).

Im lokalen Speicher deines Browsers liegen außerdem: Darstellungs-Einstellungen (Textgröße, Dunkelmodus) und die Sprache; die Namenslisten deiner Klassen („klasse.namen.…“, „zufall.listen“, „tafel.namen“), die nur auf deinem Gerät bleiben; auf Schülergeräten die Zugangsdaten zur Klasse („lz.kind“) und die zufällige Gerätekennung für Live-Umfragen („lz.live.geraet“); und Entwürfe aus verschiedenen Editoren, damit nichts verloren geht.

Dafür ist keine Einwilligung nötig (§ 165 Absatz 3 TKG 2021). Grundlage ist die Vertragserfüllung und unser berechtigtes Interesse an einer funktionierenden Plattform (Artikel 6 Absatz 1 lit. b und f DSGVO). Du kannst den Speicher jederzeit in deinem Browser leeren.

Beim ersten Besuch fragt dich ein Hinweis-Fenster, ob du zusätzlich externe Medien erlauben möchtest. „Nur notwendige“ und „Alle akzeptieren“ sind gleichwertig; nichts ist vorausgewählt. Im Keks „lz_einwilligung“ speichern wir nur, was du gewählt hast, wann, und die Fassung des Hinweises — keine Kennung von dir. Nach zwölf Monaten oder wenn sich an den Diensten etwas ändert, fragen wir neu.

Du kannst deine Wahl jederzeit ändern oder widerrufen: über „Cookie-Einstellungen“ unten auf der Startseite, auf diesen Rechtsseiten und in der Plattform unter „Einstellungen“.

Es findet keine Reichweitenmessung und kein Verfolgen über Seiten hinweg statt. Es sind keine Dienste von Facebook, Google Analytics oder vergleichbaren Anbietern eingebunden. Das Nutzungsprotokoll im angemeldeten Bereich (siehe „Konto und Anmeldung“) braucht keinen Keks und bleibt bei uns.

In Präsentationen, Kursen, Arbeitsblättern und Klassenmappen können Videos von YouTube (Google Ireland Ltd., Irland, und Google LLC, USA) und Vimeo (Vimeo.com, Inc., USA) eingebettet sein, ebenso Präsentationen von Gamma (Gamma Tech, Inc., USA) oder die Office-Ansicht von Microsoft (Microsoft Ireland Operations Ltd.). Andere eingebettete fremde Seiten behandeln wir genauso.

Solche Inhalte laden wir erst, wenn du zustimmst: für ein einzelnes Video mit „Video laden“ im Platzhalter, für alle mit „Externe Medien“ in den Cookie-Einstellungen. Vorher besteht keine Verbindung zum Anbieter. Danach erhält der Anbieter unter anderem deine IP-Adresse, Angaben zu deinem Browser und die Seite, auf der der Inhalt steht, und er kann eigene Keksdateien setzen. YouTube binden wir im erweiterten Datenschutzmodus (youtube-nocookie.com) ein.

Die Anbieter verarbeiten diese Daten in eigener Verantwortung, teilweise auch in den USA. Grundlage ist deine Einwilligung (Artikel 6 Absatz 1 lit. a DSGVO, § 165 Absatz 3 TKG 2021). Für die Übermittlung in die USA gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, sonst ebenfalls deine ausdrückliche Einwilligung (Artikel 49 Absatz 1 lit. a DSGVO).

Präsentationen und Arbeitsblätter verwenden Schriften aus Google Fonts. Sie kommen über unseren eigenen Server (lehrerzimmer.eu): Dein Browser verbindet sich dabei nicht mit Google. Dasselbe gilt für Vorschaubilder von Videos und für Fotos aus freien Bildarchiven auf Folien.

Manche erzeugten Seiten — interaktive Werkzeuge, Diagramme, Landkarten — laden Programmbibliotheken, Schriften oder Hintergrundmuster von öffentlichen Verteilnetzen (cdnjs.cloudflare.com, cdn.jsdelivr.net, unpkg.com, transparenttextures.com). Dabei sieht der jeweilige Betreiber deine IP-Adresse und Browserangaben; Inhalte oder Keksdateien von uns werden nicht übertragen. Grundlage ist unser berechtigtes Interesse an funktionierenden Unterrichtswerkzeugen (Artikel 6 Absatz 1 lit. f DSGVO).

Fügst du einer Klassenmappe einen Link hinzu, zeigen wir das Vorschaubild der verlinkten Seite. Es wird beim Ansehen von der verlinkten Seite geladen.

Nur an die folgenden Dienstleister und nur, soweit es für den Betrieb nötig ist. Mit allen Auftragsverarbeitern bestehen Verträge nach Artikel 28 DSGVO. Eine Weitergabe zu Werbezwecken findet nicht statt; wir verkaufen keine Daten.