Datenschutz

examundo ist für den Einsatz an Schulen und Bildungseinrichtungen konzipiert. Die DSGVO-Konformität ist ein zentrales Designprinzip.

Grundsätze

Datensparsamkeit

• Keine dauerhaften Schüler-Accounts: Schüler loggen sich mit Einmal-Zugangscodes ein. Es werden keine E-Mail-Adressen, Passwörter oder andere dauerhafte Kontodaten erhoben.
• Name ist optional: Der Schülername wird als einfacher String auf dem Zugangscode gespeichert, nicht als separates Datenmodell. Die Lehrkraft kann Codes auch ohne Namenszuordnung erstellen.
• Minimale Datenerhebung: Erhoben werden nur die für die Klausurdurchführung und Bewertung notwendigen Daten (Antworten, Zeitstempel, Integritäts-Ereignisse).

Einwilligung

Vor dem Start der Klausur muss jeder Schüler aktiv zustimmen, dass seine Antworten und sein Name für die Bewertung gespeichert werden. Die Einwilligung wird mit Zeitstempel dokumentiert. Ohne Einwilligung kann die Klausur nicht gestartet werden.

KI-Funktionen und Pseudonymisierung

examundo bietet mehrere KI-gestützte Funktionen: Bewertungsvorschläge, Klausurerstellung und Bildgenerierung. Für alle gilt dasselbe strenge Datenschutzprinzip.

KI-Bewertung

Wenn die Lehrkraft KI-Bewertungsvorschläge nutzt, werden Schülerantworten an einen externen KI-Dienst übermittelt. Dabei gelten strikte Regeln.

KI-Klausurerstellung

Bei der KI-Klausurerstellung wird ausschließlich die von der Lehrkraft verfasste Beschreibung an die KI übermittelt. Es sind keine Schülerdaten beteiligt.

KI-Bildgenerierung

Bei der KI-Bildgenerierung wird ausschließlich die von der Lehrkraft verfasste Bildbeschreibung übermittelt. Die Beschreibung selbst wird nicht gespeichert, nur Metadaten (Token-Anzahl, Latenz).

Was übermittelt wird

• Bei Bewertung: Aufgabenstellung, Erwartungshorizont, Antworttext
• Bei Klausurerstellung: Beschreibung der gewünschten Klausur
• Bei Bildgenerierung: Beschreibung des gewünschten Bildes

Was niemals übermittelt wird

• Namen, Codes, E-Mail-Adressen
• Klasse, Schule, interne IDs
• Andere personenbezogene Daten

Architektonische Absicherung

Die Pseudonymisierung ist architektonisch erzwungen: Das AI-Gateway-Modul ist die einzige Stelle im Code, die KI-Aufrufe durchführt. Es nimmt nur primitive Textdaten entgegen (Strings), keine Domain-Objekte mit Personendaten. Dadurch ist strukturell ausgeschlossen, dass personenbezogene Daten versehentlich an die KI gelangen.

Protokollierung

Das AI-Gateway protokolliert ausschließlich Metadaten:

• Token-Anzahl (Input und Output)
• Kosten
• Latenz
• Vorgeschlagene Punktzahl

Prompt-Inhalte und Antworten werden nicht gespeichert.

Daten-Isolation

Mehrmandantenfähigkeit

Jede Lehrkraft sieht nur ihre eigenen Daten. Alle Datenbankabfragen filtern nach der angemeldeten Lehrkraft. In Team-Arbeitsbereichen sehen Mitglieder die geteilten Ressourcen, aber nicht die Daten anderer Arbeitsbereiche.

Audit-Protokoll

Sicherheitsrelevante Aktionen werden im Audit-Log festgehalten:

• Bewertungsänderungen
• Login und Passwort-Reset
• Fehlgeschlagene Anmeldeversuche mit Zeitpunkt, Konto und Client-IP
• KI-Vorschläge (nur Metadaten)
• Datenexporte

Das eingegebene Passwort wird dabei nie gespeichert, auch nicht verkürzt oder als Prüfsumme. Bei einem Anmeldeversuch auf eine Adresse, zu der es kein Konto gibt, wird auch die Adresse selbst nicht gespeichert: festgehalten werden nur die Domain und eine nicht umkehrbare Kennung, mit der sich wiederholte Versuche auf dieselbe Adresse erkennen lassen. So bleibt ein Angriff nachvollziehbar, ohne dass wir dabei Adressen unbeteiligter Menschen sammeln.

Tägliche Kontrolle

examundo wertet dieses Protokoll jeden Morgen automatisch aus und meldet Auffälligkeiten an die interne Anlaufstelle: gehäufte Fehlanmeldungen, Anmeldungen von einer IP-Adresse, die ein Konto vorher nie benutzt hat, und Zugriffe der Administration. Eine Serie von Anmeldeversuchen auf ein einzelnes Konto sowie jeder administrative Zugriff auf ein Lehrkraftkonto lösen sofort eine Meldung aus, nicht erst am nächsten Morgen. Muss dabei eine Datenpanne gemeldet werden, geht die Meldung an die Meldestelle, die dein Team hinterlegt hat.

Aufbewahrung und Löschung

• Aufbewahrungsfrist: Abgaben werden standardmäßig 12 Monate aufbewahrt.
• Anonymisierung: Nach Ablauf der Frist werden Namen, IP-Adressen und Zugangscodes durch Hashes ersetzt. Aggregatdaten für Statistiken bleiben erhalten.
• Manuelle Löschung: Klausuren und zugehörige Abgaben können jederzeit von der Lehrkraft gelöscht werden.

Hosting

examundo wird als verwalteter SaaS-Dienst auf europäischen Servern betrieben.

Keine Drittanbieter-Ressourcen im Frontend

Alle Schriften (Inter, JetBrains Mono) werden selbst gehostet und direkt von examundo ausgeliefert. Es werden keine Google Fonts (fonts.googleapis.com / fonts.gstatic.com) oder sonstigen externen CDNs eingebunden. Damit fließt beim Laden der Oberfläche keine IP-Adresse an Dritte ab - relevant, weil das Einbetten von Google Fonts nach deutscher Rechtsprechung datenschutzwidrig ist. Nebeneffekt: Die Oberfläche rendert auf jedem Gerät identisch, unabhängig davon, welche Schriften lokal installiert sind.

Impressum und Datenschutzerklärung in der App

Beide Rechtstexte liegen auf der Marketing-Site (examundo.com/impressum und examundo.com/datenschutz) und sind aus jeder App heraus verlinkt, wie es § 5 DDG verlangt:

• Lehrkraft-App: in der Seitenleiste unter der Kontozeile.
• Schülerportal: am Fuß jeder Fläche, auch auf dem Anmeldebildschirm.
• Klausurportal: auf der Startseite mit dem Zugangscode.

In der laufenden Klausur und im Warteraum stehen die Links bewusst nicht. Dort wird unter Prüfungsbedingungen geschrieben; jeder zusätzliche Link wäre Ablenkung und ein möglicher Ausweg aus dem gesperrten Modus. Die Startseite, über die jede Klausur beginnt, deckt die Anforderung ab.