Betreiber und technischer Anbieter dieser Anwendung ist:
Tobias Lebender
Grüne Lohe 9, 85356 Freising
E-Mail: service@zeugniszauberer.de
Im datenschutzrechtlichen Sinne ist die jeweils nutzende Schule Verantwortliche (Art. 4 Nr. 7 DSGVO) für die im Rahmen der Zeugniserstellung verarbeiteten Schülerdaten. Der Betreiber (Tobias Lebender) handelt insoweit ausschließlich als Auftragsverarbeiter (Art. 28 DSGVO) und stellt lediglich die technische Infrastruktur zur Verfügung. Die Schule lädt die von ihr verschlüsselten Schülerdaten eigenverantwortlich auf den bereitgestellten Server. Zwischen der jeweiligen Schule und dem Betreiber besteht eine Auftragsverarbeitungsvereinbarung (AVV) gemäß Art. 28 DSGVO.
Für Anfragen zur Ausübung von Betroffenenrechten (siehe Punkt 9) wenden Sie sich bitte direkt an die jeweilige Schule als datenschutzrechtlich Verantwortliche.
Der "Zeugnis-Zauberer" ist ein Hilfswerkzeug zur Erstellung von Zeugnistextbausteinen für Lehrkräfte. Die Anwendung wird auf Servern des Hosting-Anbieters IONOS (Deutschland/EU) betrieben.
Diese Anwendung wird bei der Firma IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, gehostet. Die Server befinden sich ausnahmslos in Deutschland (EU). Mit IONOS besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Weitere Informationen: siehe Datenschutzerklärung von IONOS (ionos.de/terms-gtc/datenschutzerklaerung).
Beim Aufruf der Anwendung verarbeitet der Webserver technisch notwendige Verbindungsdaten (Server-Logfiles, z. B. gekürzte/anonymisierte IP-Adresse, Datum und Uhrzeit des Zugriffs, verwendeter Browser, Betriebssystem). Dies ist technisch erforderlich, um die Auslieferung der Webseite sowie die IT-Sicherheit und Systemstabilität zu gewährleisten. Die Server-Logfiles werden nur so lange gespeichert, wie es für die Gewährleistung der IT-Sicherheit erforderlich ist, und anschließend automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren Bereitstellung und IT-Sicherheit der Anwendung).
Der Zugriff auf die Anwendung ist durch Zugangsdaten geschützt. Bei erfolgreicher Anmeldung wird ein rein technisch notwendiges Session-Cookie gesetzt, das ausschließlich dazu dient, den angemeldeten Zustand während der Nutzung aufrechtzuerhalten. Dieses Cookie verfällt automatisch beim Schließen des Browsers bzw. nach Ablauf der Sitzung. Es werden keine Tracking-Cookies, keine Analyse-Tools (z. B. Google Analytics) und keine Dienste von Drittanbietern zur Verhaltensverfolgung eingesetzt.
Der Zugang ist zusätzlich zeitlich befristet (Lizenzlaufzeit von einem Schuljahr) und wird nach Ablauf automatisch gesperrt.
5.1 Art der Daten
Im Rahmen der Nutzung verarbeitet die jeweilige Schule Vor- und Nachnamen von Schülerinnen und Schülern
sowie unterrichtsbezogene Beurteilungsmerkmale (z. B. zu Verhalten, Mitarbeit, Leistungen), die zur
Formulierung von Zeugnistexten erforderlich sind. Es werden keine besonderen Kategorien personenbezogener
Daten nach Art. 9 DSGVO verarbeitet.
5.2 Verschlüsselung und Speicherung (Zero-Knowledge)
Die Schülerdaten (Vor- und Nachnamen) werden direkt auf dem Endgerät der Schule (lokal im Browser der
Lehrkraft) mittels AES-256 clientseitig verschlüsselt, bevor sie an den Server übertragen werden. Auf dem
Server werden ausschließlich unlesbare Chiffrate (verschlüsselte Datenblöcke) gespeichert. Der Betreiber
besitzt keinen Entschlüsselungsschlüssel und hat zu keinem Zeitpunkt Zugriff auf die unverschlüsselten
Schülerdaten.
5.3 Rechtsgrundlage
Die Rechtsgrundlage für die Verarbeitung der Schülerdaten richtet sich nach den schulrechtlichen
Vorschriften, auf die sich die jeweilige Schule als Verantwortliche stützt (i. d. R. Art. 6 Abs. 1 lit. e
DSGVO i. V. m. den einschlägigen schulrechtlichen Vorschriften des jeweiligen Bundeslandes zur
Zeugniserstellung). Der Betreiber verarbeitet die Daten ausschließlich weisungsgebunden im Auftrag der
Schule (Art. 28 DSGVO).
Zur KI-gestützten Generierung von Textbausteinen nutzt die Anwendung die kostenpflichtige API-Schnittstelle (Pay-Tier) des Anbieters Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich (Serverstandort EU/Frankreich). Mit dem Anbieter besteht eine DPA (Auftragsverarbeitungsvereinbarung), die garantiert, dass Daten weder gespeichert noch zum Training von KI-Modellen verwendet werden.
Schutzmechanismus (Pseudonymisierung): Vor der Übermittlung an die KI werden Klarnamen direkt im Browser automatisch durch neutrale Platzhalter (z. B. "NAMERF1", "NAMERM1") ersetzt. An die KI-Schnittstelle werden ausschließlich die unvollständigen Stichpunkte und Platzhalter übermittelt. Die Rückübersetzung in Klarnamen erfolgt erst wieder lokal im Browser des Nutzers.
Es werden keine weiteren Tracking- oder Analyse-Tools (z. B. Google Analytics o. Ä.) eingesetzt.
Eine Weitergabe unverschlüsselter personenbezogener Schülerdaten an Dritte findet nicht statt. Technisch bedingte Verarbeitungen durch Unterauftragsverarbeiter (IONOS für Hosting, Mistral AI für pseudonymisierte KI-Anfragen) erfolgen ausschließlich im Rahmen strenger Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO.
Schülerdaten werden nach Ende der Nutzung bzw. Löschung durch die Schule auf dem Server entfernt. Nach Beendigung des Vertragsverhältnisses mit der Schule werden nicht gelöschte Datenblöcke spätestens nach 30 Tagen dauerhaft gelöscht. Automatisierte Backups werden ereignisbasiert bei Datenaktualisierung durch die Schule erstellt; es werden jeweils die letzten 5 Backup-Stände vorgehalten, ältere Stände werden dabei automatisch überschrieben.
Schülerinnen und Schüler bzw. deren Erziehungsberechtigte haben gegenüber der jeweils verantwortlichen Schule Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch (Art. 21 DSGVO). Zudem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (für Bayern: Bayerisches Landesamt für Datenschutzaufsicht, BayLDA).
Da der Betreiber aufgrund der E2E-Verschlüsselung (Zero-Knowledge) keinen Zugriff auf Klarnamen hat und Daten nicht einzelnen Personen zuordnen kann, sind entsprechende Anträge direkt an die Leitung der jeweiligen Schule zu richten.
Sämtliche Datenübertragungen zwischen dem Endgerät des Nutzers und dem Server erfolgen ausschließlich über eine verschlüsselte HTTPS-Verbindung (TLS 1.3). Die Inhaltsdaten werden vor der Übertragung lokal mittels AES-256 verschlüsselt.
Diese Datenschutzerklärung wird bei technischen Anpassungen oder rechtlichen Änderungen aktualisiert. Es gilt die jeweils auf der Webseite abrufbare Fassung.