← Sportnote

Datenschutzerklärung

Entwurf. Die mit [PLATZHALTER] markierten Stellen müssen vor dem Start durch eine Rechtsanwältin oder einen Rechtsanwalt ausgefüllt bzw. geprüft werden. Diese Seite ist keine Rechtsberatung.

1. Verantwortlicher und Kontakt

[PLATZHALTER: Name, Anschrift, E-Mail; ggf. Datenschutzbeauftragte:r]

Hinweis: Für die Daten der Schülerinnen und Schüler ist die jeweilige Schule verantwortlich; Sportnote verarbeitet sie in ihrem Auftrag (siehe AVV für Schulen).

2. Welche Daten Sportnote verarbeitet (Fakten aus der App)

Konto der Lehrkraft

• Name, E-Mail-Adresse, gewählte Sprache
• Passwort – nur als scrypt-Hash gespeichert, nie im Klartext
• Zeitpunkt der Registrierung, Zustimmung zu den Nutzungsbedingungen (mit Version), Bestätigung der E-Mail-Adresse, letzte Anmeldung

Daten, die die Lehrkraft einträgt

• Klassen (Name, Schuljahr, Notensystem)
• Schülerinnen und Schüler: Vor- und Nachname, optional Geschlecht, Geburtsjahr bzw. Geburtsdatum
• Testergebnisse, Noten, eigene Notenspalten und -einträge, eigene Tests und Einstellungen
• optional der Text eines Kerncurriculums (eine hochgeladene PDF wird im Browser gelesen; gespeichert wird nur der Text)
• Beobachtungen im Unterricht je Schüler:in und Tag (z. B. „verletzt“, „krank“, „Sportsachen vergessen“, „hilfsbereit“, eigene Arten) und kurze Notizen. „Verletzt“ und „krank“ sowie Notizen dazu sind Gesundheitsdaten (Art. 9 DSGVO); sie sind nur für die Lehrkraft sichtbar und werden mit der Schülerin / dem Schüler, der Klasse oder dem Konto gelöscht.
• optional ein Testblatt (PDF oder Foto) für den KI-Import: Es wird zum Lesen an den KI-Anbieter übermittelt (siehe 4.) und von Sportnote nicht gespeichert; gespeichert wird nur der Test, den die Lehrkraft daraus anlegt. Die App weist darauf hin, keine Dateien mit Namen von Schüler:innen hochzuladen.

Technisch notwendige Daten

• Anmeldung: ein Cookie sid mit einem zufälligen Schlüssel (HttpOnly, SameSite=Lax), gültig 30 Tage; auf dem Server wird nur dessen Hash gespeichert
• Schutz vor Missbrauch: Zähler für fehlgeschlagene Anmeldungen, gespeichert nur als Hash von IP-Adresse bzw. E-Mail, automatisch gelöscht nach 15 Minuten; ein Zähler für die Nutzung des KI-Imports (höchstens 30 Dateien pro Tag), als Hash gespeichert, gelöscht nach 24 Stunden
• Links zum Zurücksetzen des Passworts (1 Stunde gültig) und zum Bestätigen der E-Mail (48 Stunden) – nur als Hash
• [PLATZHALTER: Server-Logdateien des Hosters – Inhalt und Speicherdauer]

Sportnote verwendet keine Analyse- oder Werbe-Cookies, kein Tracking und lädt keine Inhalte von fremden Servern (keine externen Schriften, Skripte oder Karten).

3. Zwecke und Rechtsgrundlagen

[PLATZHALTER: z. B. Art. 6 Abs. 1 lit. b DSGVO für das Konto; für Schülerdaten die Rechtsgrundlage der Schule nach Landesschulrecht]

4. Empfänger und Auftragsverarbeiter

• Datenbank: [PLATZHALTER: z. B. MongoDB Atlas, Region Frankfurt]
• Server: [PLATZHALTER: Hoster, Standort EU]
• E-Mail-Versand: [PLATZHALTER: Anbieter]
• Zahlungen (Web- und Desktop-Version): Stripe Payments Europe, Ltd., Irland – erhält Name, E-Mail-Adresse und die Zahlungsdaten der Lehrkraft; Sportnote selbst speichert keine Zahlungsdaten, nur das Abo (Laufzeit, gültig bis) und eine Kundennummer bei Stripe. [PLATZHALTER: Rolle von Stripe (eigene Verantwortlichkeit / Auftragsverarbeitung), Drittlandübermittlung]
• KI-Import von Testblättern (nur wenn eine Lehrkraft ihn nutzt): Mistral AI SAS, Paris, Frankreich (EU) – Texterkennung (OCR) und Sprachmodell; erhält nur die hochgeladene Datei bzw. den eingefügten Text, für den Jahresplan einer Klasse den Text des Kerncurriculums, die Klassenstufe und die Namen der Tests (keine Schülerdaten) [PLATZHALTER: Vertrag / Auftragsverarbeitung, Speicherdauer bei Mistral AI]. Je nach Einstellung des Betreibers alternativ Anthropic PBC (Claude), USA – dann mit Drittlandübermittlung [PLATZHALTER: Grundlage].

Schulferien und Feiertage: Der Sportnote-Server fragt sie beim OpenHolidays API (openholidaysapi.org) ab und speichert sie zwischen. Übermittelt werden nur das gewählte Bundesland und der Zeitraum – keine personenbezogenen Daten, auch nicht die IP-Adresse der Lehrkraft.

Eine Übermittlung in Drittländer: [PLATZHALTER – mit Mistral AI keine; nur falls der KI-Import auf Anthropic umgestellt wird (USA), siehe oben]

5. Speicherdauer

Die Daten bleiben gespeichert, bis die Lehrkraft sie löscht (einzelne Schüler, Klassen) oder ihr Konto löscht – dann werden alle zugehörigen Daten sofort gelöscht. Sicherungskopien: [PLATZHALTER: z. B. 14 Tage].

6. Rechte der betroffenen Personen

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Beschwerde bei einer Aufsichtsbehörde. In der App: unter Konto können alle Daten als Datei heruntergeladen und das Konto mit allen Daten gelöscht werden. [PLATZHALTER: Kontaktweg, zuständige Aufsichtsbehörde]

7. Sicherheit (Fakten aus der App)

Übertragung nur verschlüsselt (https); Daten jeder Lehrkraft sind von denen anderer getrennt; Begrenzung von Anmeldeversuchen; strenge Sicherheitsrichtlinie im Browser (keine fremden Skripte). [PLATZHALTER: weitere technische und organisatorische Maßnahmen]

Stand: [PLATZHALTER: Datum]