Information nach Art. 13 DSGVO
Dieses Selbstlernangebot ist bewusst datensparsam gebaut: Dein Fortschritt hängt an einer internen Konto-Nummer, nicht an deinem Namen, und die Kursleitung sieht nur Zahlen. Diese Seite erklärt, was der Server tatsächlich speichert.
André Bodendiek
Henns Kamp 5, 27327 Martfeld
Kontakt: andre.bodendiek@jbg-schule.de
Die Mikro-Fortbildung KI ist ein privates, nicht-kommerzielles Angebot. Eine Schule, ein Schulträger oder die Landesschulbehörde sind nicht Verantwortliche im Sinne der DSGVO. Ein Datenschutzbeauftragter ist für dieses Angebot nicht bestellt; wende dich mit allen Fragen direkt an den Verantwortlichen.
Das Angebot dient der freiwilligen Fortbildung von Lehrkräften. Verarbeitet werden ausschließlich Daten von Lehrkräften – keine Daten von Schülerinnen und Schülern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Die Verarbeitung ist erforderlich, um dir das Angebot bereitzustellen, das du mit deiner Registrierung nutzt (Konto, Fortschritt, gesicherte Prompts, KI-Coach, Nachfragen). Für den technischen Betrieb und die Abwehr von Missbrauch (Anmeldesperre, Server-Protokolle) ist es Art. 6 Abs. 1 lit. f DSGVO – das berechtigte Interesse an einem sicheren Betrieb.
Die Teilnahme ist freiwillig. Aus einer Nichtteilnahme entstehen keine Nachteile.
Eigenes Material, das du in Übungen einfügst, und die Ergebnisse von Probeläufen in den Modulen
bleiben im lokalen Speicher (localStorage) deines Browsers. Die PrĂĽfung deiner Prompts
auf Bausteine und Kriterien läuft auf deinem Gerät. Eine Kopie deines Kursstands liegt ebenfalls im
Browser, damit bei einer kurzen Verbindungsstörung nichts verloren geht.
Du meldest dich mit deiner dienstlichen Mailadresse und einem selbst gewählten Passwort an. Festgelegt wird das Passwort mit einem Einmal-Code, den du per Mail bekommst (Selbstregistrierung, „Passwort vergessen?“ oder ein Konto, das die Kursleitung mit deiner Adresse anlegt). Auf dem Server wird dazu ein Konto angelegt mit: einer zufälligen internen Kennung, einer nicht umkehrbaren Prüfsumme deiner Mailadresse (HMAC-SHA256 mit geheimem Schlüssel), einer kryptografischen Prüfsumme deines Passworts (scrypt mit Salz, nicht das Passwort selbst), solange noch offen einer ebensolchen Prüfsumme des Einmal-Codes (bei Codes per Mail samt Ablaufzeit), dem Tag der Anlage, dem Tag der ersten Anmeldung und dem Monat der letzten Nutzung. Bei Konten, die die Kursleitung anlegt, zusätzlich der von ihr vergebene Name oder das Kürzel.
Deine Mailadresse und dein Passwort werden nicht gespeichert. Bei der Anmeldung bildet der Server aus der Adresse die Prüfsumme und vergleicht das Passwort mit dessen Prüfsumme; beides wird nicht protokolliert. Beim Versand eines Codes wird die Adresse nur im Moment des Versands benutzt. Ein Code zum Zurücksetzen des Passworts gilt eine Stunde, einer zum erstmaligen Festlegen 24 Stunden. Wird ein Passwort zurückgesetzt, geht eine kurze Bestätigung an die dabei eingegebene Adresse – auch sie wird dafür nicht gespeichert. Dafür wird der Mailserver genutzt, der in den Servereinstellungen hinterlegt ist. Nach zehn Fehlversuchen innerhalb einer Viertelstunde ist die Anmeldung für diese Adresse und diesen Anschluss fünf Minuten gesperrt; das wird nur im Arbeitsspeicher gezählt.
Mit dem Konto verknüpft sind dein Kursfortschritt je Modul (in Modul 1 samt deiner Notiz für den Praxis-Austausch), deine gesicherten Prompts („Meine Prompts“) und deine KI-Coach-Aufgaben. So kannst du auf jedem Gerät weitermachen. Die Kursleitung sieht davon nichts: Im Adminbereich erscheinen nur Gesamtzahlen (Konten, eingelöst, aktiv in den letzten sieben Tagen) und für die von ihr selbst angelegten Konten, ob sie schon eingelöst wurden und ein Passwort festgelegt ist. Eine Verhaltens- oder Leistungskontrolle findet nicht statt; es werden keine Anmeldezeitpunkte protokolliert.
Für die Zahl der aktiven Konten werden sieben Tage lang gesalzene, gekürzte Prüfsummen der Konto-Kennungen vorgehalten. Wer unmittelbaren Zugriff auf die Serverdateien hat, könnte diese mit Aufwand einzelnen Konten zuordnen – das Verfahren ist also pseudonym, nicht anonym.
Zur Anmeldung wird ein technisch notwendiges Cookie gesetzt (mfki_zugang,
HttpOnly, SameSite=Lax, bei HTTPS Secure, Laufzeit 180 Tage).
Es enthält die interne Konto-Kennung, ein Ablaufdatum und eine Signatur – keinen Namen, kein Passwort
und keine Mailadresse. Wer das Passwort ändert oder neu festlegt, meldet damit alle anderen Geräte ab. „Abmelden“ löscht es sofort.
Unter „Mein Konto“ kannst du außerdem jederzeit alle anderen Geräte auf einmal abmelden.
Selbst verwalten unter „Mein Konto“. Dort kannst du deine gespeicherten Daten als Datei herunterladen (Auskunft und Mitnahme, Art. 15 und 20 DSGVO) und dein Konto selbst löschen. Zum Löschen gibst du deine Dienstadresse und dein Passwort ein; beides wird nur verglichen. Gelöscht werden sofort und endgültig das Konto, der Fortschritt, deine gesicherten Prompts, deine KI-Coach-Aufgaben und deine Nachfragen. An die eingegebene Adresse geht eine letzte Bestätigungsmail; gespeichert wird sie dafür nicht.
Nachfragen an die Kursleitung. Unter „Mein Konto“ kannst du der Kursleitung Fragen stellen. Gespeichert werden Kategorie, Text, Datum und eine aus deiner Konto-Kennung abgeleitete Prüfsumme, damit die Antwort in dein Konto zurückfindet. Die Kursleitung sieht Kategorie, Text und Datum – nicht, von wem die Frage kommt. Vor dem Speichern prüft derselbe Datenschutz-Wächter wie im KI-Coach den Text auf Namen, Adressen und ähnliche Angaben und bietet an, sie durch Platzhalter zu ersetzen. Bitte schreib trotzdem nichts hinein, woran man dich oder andere erkennt, wenn du anonym bleiben möchtest. Beantwortete Nachfragen werden nach zwölf Monaten gelöscht; du kannst deine Nachfragen jederzeit selbst löschen.
Um das Angebot zu verbessern, zählt der Server Ereignisse: wie oft ein Modul begonnen und abgeschlossen wird, wie oft Wissensfragen richtig beantwortet werden, welche Prompt-Bausteine am häufigsten fehlen und wie oft Schritte übersprungen werden.
Gespeichert werden ausschließlich Zählerstände. Keine Texte, keine Namen, keine IP-Adressen, keine Zeitstempel je Person und keine Kennungen. Ein Rückschluss auf einzelne Personen ist ausgeschlossen; es handelt sich damit nicht um personenbezogene Daten.
In einigen Ăśbungen kannst du deinen Prompt ausdrĂĽcklich ausfĂĽhren oder eine RĂĽckmeldung zu deinem Ergebnis anfordern. Nur bei diesem Klick wird der von dir eingegebene Text an einen externen Dienst ĂĽbermittelt.
Der Kurs weist an jeder Eingabestelle darauf hin, dass personenbezogene Daten von Schülerinnen und Schülern – Namen, Förderbedarfe, Diagnosen, Schülerarbeiten – dort nicht eingegeben werden dürfen, und prüft die Eingaben zusätzlich automatisch auf entsprechende Begriffe. Die Verantwortung für das, was eingegeben wird, liegt bei der eingebenden Lehrkraft.
Ist auf dem Server kein Schlüssel für das Sprachmodell hinterlegt, entfällt dieser Abschnitt vollständig: Dann verlässt kein eingegebener Text den Browser, und der Kurs funktioniert unverändert – die Prompt-Prüfung läuft ohnehin auf deinem Gerät.
Im KI-Coach werden deine Prompts und das optionale Material als Versionen auf dem Server gespeichert, damit du nachschärfen und Vorher/Nachher vergleichen kannst. Mit persönlichem Konto hängen sie an einer aus deiner Konto-Kennung abgeleiteten Nummer (auf jedem Gerät verfügbar), sonst an einem eigenen Cookie mit einer Zufallskennung. „Coach fragen“ und „Probelauf“ übermitteln die gespeicherte Version an den oben genannten Dienst.
Vor jedem Absenden prüft ein Datenschutz-Wächter – im Browser und noch einmal auf dem Server – auf Namen, E-Mail-Adressen, Telefonnummern, IBAN, Adressen, Geburtsdaten und sensible Stichwörter. Treffer werden markiert und lassen sich per Klick durch Platzhalter wie [Schüler A] ersetzen. Ohne Ersetzen oder bewusste Bestätigung „ist fiktiv“ wird nichts gespeichert und nichts übermittelt.
Die Kursleitung sieht ausschließlich zusammengefasste Zahlen, nie einzelne Prompts oder Sitzungen. Prompts werden nicht veröffentlicht, nicht geteilt und nicht anderen Teilnehmenden gezeigt.
Das Angebot wird betrieben auf einem Server der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, mit Standort in Deutschland. Es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. [Vor der Freigabe bestätigen.]
Beim Aufruf der Seiten fallen technisch bedingte Server-Protokolle an (aufgerufene Adresse, Zeitpunkt, IP-Adresse). Sie dienen ausschließlich dem sicheren Betrieb und werden nach [Aufbewahrungsdauer der Logs ergänzen, üblich: 7 Tagen] gelöscht. IP-Adressen werden von der Anwendung selbst weder gespeichert noch ausgewertet; sie dienen dort nur der kurzzeitigen Begrenzung der Anfragezahl im Arbeitsspeicher.
Es werden keine externen Schriften, Skripte, Karten, Videos oder Analysedienste geladen. Alle Bestandteile der Seite liegen auf dem eigenen Server; beim bloĂźen Aufruf entsteht keine Verbindung zu Dritten. Es findet kein Tracking statt, und es werden keine Werbe- oder Analyse-Cookies gesetzt.
Dir stehen gegenĂĽber dem Verantwortlichen folgende Rechte zu:
Wende dich dafür an den oben genannten Verantwortlichen. Vieles kannst du auch selbst unter „Mein Konto“ erledigen: Daten herunterladen oder das Konto samt allen Daten löschen.
Unabhängig davon steht dir ein Beschwerderecht bei einer Aufsichtsbehörde zu, etwa bei der Landesbeauftragten für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.
Stand: [Datum der Freigabe eintragen]