Datenschutzerklärung und Impressum - Kando

1. Anbieter und Verantwortlicher für den Kando-Dienst

David Herder
E-Mail: info@kandoapp.de

Für die Verwaltung von Lehrkraft-Konten, die technische Bereitstellung, Sicherheit, Support- und Feedbackanfragen ist der Kando-Betreiber im hier beschriebenen Umfang verantwortlich.

2. Verantwortlichkeit im Schulbetrieb

Für die Verarbeitung von Schüler-, Leistungs- und Förderdaten im Unterricht ist regelmäßig die einsetzende Schule beziehungsweise der zuständige Schulträger verantwortlich. Kando verarbeitet serverseitige Schülerdaten im schulischen Produktivbetrieb nach den Vorgaben der verantwortlichen Stelle. Vor dem Produktivbetrieb ist die erforderliche Vereinbarung zur Auftragsverarbeitung abzuschließen.

3. Zwecke und Datenarten

Lehrkraft-Konto

• Bereitstellung, Anmeldung, E-Mail-Verifikation, Wiederherstellung, Passkey-Verwaltung, Kontosperrung und Kontolöschung.
• E-Mail-Adresse in serverseitig verschlüsselter Form, gehashter Name, Anzeigename, Zustimmungszeitpunkt, Sitzungs- und Sicherheitsdaten.
• Aufgaben, Tests, Lerngruppen, Schülercodes, Ergebnisse, Signaturdaten und Einstellungen zur geräteübergreifenden Synchronisierung.

Tests, Ergebnisse und Übungsbereich

• Vorname, Schülernummer beziehungsweise pseudonymer Identifier und Lerngruppe.
• Ausgewähltes Niveau, Antworten, Bewertungen, Punkte, Prozentwerte, Noten oder Status ohne Benotung sowie Rückmeldungen.
• Gegebenenfalls individuelle Ausgleichs- oder Förderoptionen wie Zeitverlängerung, erweiterte Rechtschreibtoleranz, größere Eingabefelder, Vorlesen oder zieldifferente Aufgabenstellungen; diese können einen besonderen Schutzbedarf haben.
• Technische Prüfungsereignisse wie Start, Abgabe, Sichtbarkeits- oder Fokuswechsel, Verbindungsstatus und Gerätebindung.
• Übungsfreigaben, Karteikarten-, Schreib-, Multiple-Choice- und True/False-Übungen. Eine lokale Fehlerhistorie wird pro Schülercode getrennt auf dem Schülergerät gespeichert.

Gemeinsamer Aufgabenpool und Bibliothek

• Aufgaben, Tests, Tags, Kontextsätze, Quellenangaben und Tatoeba-Lizenzhinweise, die eine Lehrkraft ausdrücklich veröffentlicht.
• Technische Konto-ID zur Zuordnung, Bearbeitung, Löschung, Forks, Versionierung und Dublettenprüfung.

Veröffentlichte Pool-Inhalte sind für andere angemeldete Lehrkräfte sichtbar und werden nicht wie die private Konto-Synchronisierung verschlüsselt gespeichert. In Pool-Inhalten dürfen keine personenbezogenen Daten von Schülerinnen und Schülern oder anderen Dritten veröffentlicht werden.

Support, Feedback, Betrieb und Administration

• E-Mail-Adresse und Anzeigename bei Konto-, Verifikations-, Recovery-, Willkommens- und Feedbacknachrichten.
• Freiwillig eingegebene Inhalte eines Verbesserungsvorschlags.
• Betreiberfunktionen wie Lehrkräfte verwalten, Konten sperren oder anonymisieren/löschen, Schulen verwalten, Testkonto erneuern und Auditdaten exportieren.
• IP-Adresse, Zeitpunkt, aufgerufene Serveradresse, Geräte- beziehungsweise Browserinformationen und technische Fehlerdaten, soweit diese beim sicheren Betrieb des Webservers anfallen.

4. Rechtsgrundlagen

Die Bereitstellung eines Lehrkraft-Kontos und der zugehörigen Funktionen erfolgt grundsätzlich zur Durchführung des Nutzungsverhältnisses nach Art. 6 Abs. 1 lit. b DSGVO. Sicherheitsmaßnahmen und die Abwehr missbräuchlicher Zugriffe können auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden.

Für schulische Test-, Bewertungs-, Übungs- und Ergebnisdaten bestimmt die verantwortliche Schule die konkrete Rechtsgrundlage. Regelmäßig kommt Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem jeweils anwendbaren Schulrecht in Betracht. Kando speichert keine Diagnosebezeichnung als Pflichtangabe. Wenn individuelle Ausgleichs- oder Förderoptionen im konkreten Schulbetrieb Rückschlüsse auf Gesundheit, Behinderung oder Förderbedarf erlauben, ist zusätzlich eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO beziehungsweise dem einschlägigen Landesrecht zu prüfen.

5. Verschlüsselung, Schülercodes und Zugriffsschutz

Private Kontoinhalte werden auf dem Endgerät mit AES-256-GCM verschlüsselt und ausschließlich verschlüsselt auf dem Kando-Server gespeichert. Der Server speichert keinen unverschlüsselten Kontoschlüssel. Der Kontoschlüssel wird lokal mit dem Passwort geschützt. Für die Wiederherstellung nach einem vergessenen Passwort wird zusätzlich ein separater Wiederherstellungsschlüssel verschlüsselt unter dem Server-Masterschlüssel verwahrt und nur im Rahmen eines zeitlich begrenzten, einmalig verwendbaren E-Mail-Reset-Vorgangs bereitgestellt. Passkeys können freiwillig als zusätzlicher Zugriffsschutz eingerichtet werden.

Lerngruppen mit Namen, Nummern sowie individuellen Ausgleichs- oder Förderoptionen gehören zu diesen verschlüsselten Kontoeinstellungen. Bei der Testverteilung wird nicht die offen lesbare Klassenliste an Schülergeräte übertragen. Jeder Identitätsdatensatz wird einzeln verschlüsselt und kann nur mit dem persönlichen zufälligen Schülercode des jeweiligen Kindes geöffnet werden.

Der QR-Code wird ausschließlich innerhalb von Kando erstellt. Er enthält einen HTTPS-Link zu test.kandoapp.de mit einer zufälligen Sitzungskennung und dem nur auf dem Endgerät verwendeten Testschlüssel, aber keinen Schülernamen und keine Testantworten. Kando bindet dafür keinen externen QR-, Kurzlink-, Analyse- oder Trackingdienst ein.

Der Soft Exam Mode kann technische Ereignisse erfassen, um Unterbrechungen eines laufenden Tests nachvollziehbar zu machen. Er erfasst keine Kamera- oder Mikrofonaufnahmen und liest keine Inhalte anderer Apps aus. Auffälligkeiten sind Hinweise und dürfen nicht ohne menschliche Prüfung automatisch zu Sanktionen führen.

6. Automatische Bewertung und Übungsbereich

Kando unterstützt Lehrkräfte mit regelbasierter automatischer Korrektur. Lehrkräfte können die Bewertung prüfen und manuell ändern. Die Berechnung von Punkten, Prozentwerten und Noten erfolgt auf dem Lehrkraftgerät; der Testserver berechnet keine Noten.

Übungspakete dienen der Wiederholung und enthalten keine eigenständige schulische Benotung. Fehler aus Übungen werden lokal pro Schülercode getrennt gespeichert, damit bei gemeinsam genutzten Geräten nicht die Fehler anderer Schülerinnen oder Schüler angezeigt werden. Diese lokalen Übungsdaten können durch Löschen der Browser- beziehungsweise App-Daten entfernt werden.

7. Empfänger und Dienstleister

• berechtigte Lehrkräfte und die zuständige schulische Administration,
• andere angemeldete Lehrkräfte ausschließlich bei ausdrücklich veröffentlichten oder schulintern freigegebenen Ressourcen,
• Strato AG als Hosting- und E-Mail-Dienstleister,
• weitere Empfänger nur bei gesetzlicher Verpflichtung oder dokumentierter Beauftragung.

Der Server wird nach derzeitigem Betriebsstand in Deutschland gehostet. Eine Drittlandübermittlung durch Kando ist nicht vorgesehen. Angaben der eingesetzten Dienstleister und Unterauftragsverarbeiter sind ergänzend vertraglich zu prüfen.

8. Speicherdauer, Löschung und Backups

• Temporäre Testsession einschließlich verschlüsselter Abgaben und Prüfungsereignisse: Löschung beim Schließen durch die Lehrkraft, spätestens nach 24 Stunden.
• Recovery-Token: Gültigkeit eine Stunde.
• Serverseitige Lehrkraft-Sitzung: technisch höchstens 90 Tage; die WebApp sperrt den Lehrkraftbereich nach 15 Minuten Inaktivität.
• Kontodaten, Aufgaben, Tests und Einstellungen: bis zur Löschung durch die Lehrkraft beziehungsweise bis zum Ende des Nutzungsverhältnisses.
• Schülerergebnisse im Lehrkraftkonto und auf verbundenen Geräten: nach der von der verantwortlichen Schule festgelegten Aufbewahrungsfrist. Kando kann ein Löschdatum berechnen, erinnern und bei ausdrücklicher Aktivierung fällige Ergebnisse automatisch löschen.
• CSV-, JSON-, PDF- und AirDrop-Exporte außerhalb von Kando: nach dem Lösch- und Aufbewahrungskonzept der verantwortlichen Schule. Kando kann externe Kopien technisch nicht automatisch löschen.
• Backups: Für den Produktivbetrieb ist ein wöchentliches verschlüsseltes Backup vorgesehen. Das Backup wird mit einer separaten Passphrase verschlüsselt, standardmäßig unter /var/backups/kando abgelegt und kann optional auf ein externes Ziel in einem deutschen Rechenzentrum übertragen werden. Restore-Tests erfolgen gegen eine getrennte Testdatenbank.

9. Lokale Speicherung und Exporte

WebApp und App speichern Daten zusätzlich lokal auf dem verwendeten Gerät. Löschungen von Ergebnissen werden bei angemeldetem Lehrkraftkonto geräteübergreifend synchronisiert. Bis zur erfolgreichen Synchronisierung kann eine lokale Kopie auf einem vorübergehend nicht verbundenen Gerät fortbestehen.

CSV-, JSON- und PDF-Exporte können personenbezogene Schülerdaten enthalten und müssen auf schulisch freigegebenen Geräten und Speicherorten geschützt sowie dort eigenständig fristgerecht gelöscht werden. Schulen sollten Exporte nicht auf privaten Geräten, privaten Cloudspeichern oder unverschlüsselten USB-Sticks speichern.

10. Tatoeba-Beispielsätze und externe Dienste

Kando kann Lehrkräften Beispielsätze aus der Tatoeba-Datenbank vorschlagen. Der dafür verwendete Satzkorpus wird auf dem Kando-Server gespeichert und durchsucht. Bei der Suche werden keine Vokabeln, Kontodaten oder Schülerdaten an Tatoeba oder andere Drittanbieter übertragen.

Die verwendeten Sätze sind unter Creative Commons Attribution 2.0 France (CC BY 2.0 FR) lizenziert. Kando speichert und zeigt deshalb den Tatoeba-Benutzernamen der erstellenden Person, die Satz-ID, die Lizenz und eine Kennzeichnung nachträglicher Änderungen. Lizenztext: creativecommons.org/licenses/by/2.0/fr/

Kando setzt derzeit keine Werbe-, Analyse- oder Trackingdienste ein. Technisch notwendige lokale Speicherbereiche dienen der App-Funktion, Anmeldung und Synchronisierung.

11. Betroffenenrechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann mit Wirkung für die Zukunft widerrufen werden, sofern eine Verarbeitung auf Einwilligung beruht.

Bei Schülerdaten ist die Schule beziehungsweise der Schulträger die erste Anlaufstelle. Für Kontodaten und den Kando-Dienst kann die Anfrage an info@kandoapp.de gerichtet werden.

12. Datenschutzbeauftragter und Aufsichtsbehörde

Datenschutzbeauftragter: derzeit nicht benannt; Datenschutzanfragen bitte an info@kandoapp.de richten.

Zuständige Aufsichtsbehörde für Nordrhein-Westfalen: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Postfach 20 04 44, 40102 Düsseldorf, E-Mail: poststelle@ldi.nrw.de, Website: www.ldi.nrw.de.