Datenschutzerklärung für Schulen

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und weiterer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

• Florian Zager
• Ravensbergstraße 7b
• 14558 Nuthetal
• Deutschland
• E-Mail: support@getmemora.ai

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte können Sie sich jederzeit unter der oben genannten E-Mail-Adresse an uns wenden. Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt; datenschutzrechtliche Anfragen werden unmittelbar vom Verantwortlichen bearbeitet.

2. Überblick und Geltungsbereich

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten im Rahmen der Nutzung von Memora im schulischen Kontext (nachfolgend „Dienst“). Personenbezogene Daten sind alle Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Memora ist darauf ausgelegt, datensparsam zu arbeiten: Wir erheben nur die Daten, die für den Betrieb des Dienstes und die individuelle Lernförderung erforderlich sind. Diese Erklärung gilt für die Nutzung von Memora durch Schulen, Lehrkräfte sowie Schüler:innen über unsere Website und unsere Anwendungen.

3. Rolle der Schule und Auftragsverarbeitung

Setzt eine Schule Memora im Unterricht ein, ist in der Regel die Schule bzw. ihr Schulträger der datenschutzrechtlich Verantwortliche für die Verarbeitung der Daten der Schüler:innen. Memora verarbeitet diese Daten in diesem Fall als Auftragsverarbeiter ausschließlich nach Weisung der Schule.

Hierfür schließen wir mit der jeweiligen Schule bzw. dem Schulträger einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Dieser Vertrag regelt insbesondere Gegenstand und Dauer der Verarbeitung, die getroffenen technischen und organisatorischen Maßnahmen sowie die Rechte und Pflichten beider Parteien. Den Abschluss eines solchen Vertrags unterstützen wir kostenfrei.

Die Schule entscheidet in diesem Fall insbesondere darüber, welche Schüler:innen, Lehrkräfte, Klassen und Lerngruppen angelegt werden, welche Lerninhalte genutzt werden und welche Auswertungen Lehrkräfte im Unterricht einsehen dürfen. Wir unterstützen die Schule bei der Erfüllung ihrer Informationspflichten, bei Auskunfts- und Löschanfragen sowie bei der Umsetzung von Weisungen.

Soweit Nutzer:innen Memora unabhängig von einer Schule privat nutzen, ist der oben genannte Verantwortliche für die Verarbeitung der personenbezogenen Daten zuständig.

4. Rechtsgrundlagen der Verarbeitung

Die konkrete Rechtsgrundlage hängt davon ab, ob Memora im Auftrag einer Schule oder für eigene Zwecke handelt. Für den Schuleinsatz gilt insbesondere folgende Zuordnung:

Soweit eine Schule für die Verarbeitung eine Einwilligung der Erziehungsberechtigten einholt oder eine gesetzliche Grundlage ihres Bildungsauftrags nutzt, erfolgt dies in Verantwortung der Schule. Wir verarbeiten Daten von Kindern im Schuleinsatz nur nach Weisung der Schule und nur in dem Umfang, der für den Dienst erforderlich ist.

5. Welche Daten wir verarbeiten

Je nach Nutzung des Dienstes verarbeiten wir die folgenden Kategorien personenbezogener Daten:

Stamm- und Registrierungsdaten

• Name oder Pseudonym/Anzeigename der Nutzer:in
• E-Mail-Adresse (sofern für die Anmeldung erforderlich)
• Schule, Klasse bzw. Lerngruppe und Rolle (Schüler:in oder Lehrkraft)
• Zugangs- und Anmeldedaten in verschlüsselter Form

Lern- und Nutzungsdaten

• Bearbeitete Aufgaben, Antworten und Lernergebnisse
• Lernfortschritt, Lernstand und Auswertungen zur individuellen Förderung
• erstellte oder hochgeladene Lerninhalte (z. B. Karteikarten, Dokumente)
• Interaktionen mit dem KI-Lernassistenten

Technische Daten und Server-Logs

• IP-Adresse (gekürzt bzw. nur für den Verbindungsaufbau)
• Datum und Uhrzeit des Zugriffs
• verwendeter Browser, Betriebssystem und Gerätetyp
• technische Fehler- und Sicherheitsprotokolle

Kommunikationsdaten

• Inhalte von Support-Anfragen und Nachrichten an uns
• Kontaktdaten, die Sie uns bei einer Anfrage freiwillig mitteilen

Quelle der Daten

• Nutzer:innen geben bestimmte Daten selbst ein, zum Beispiel Antworten, Lerninhalte oder Support-Nachrichten.
• Schulen oder Lehrkräfte können Stammdaten bereitstellen oder importieren, insbesondere Namen, Klasse bzw. Lerngruppe, Rolle und optional E-Mail-Adressen.
• Technische Daten entstehen automatisch bei der Nutzung des Dienstes.

6. Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich zu den folgenden Zwecken:

• Bereitstellung, Betrieb und Verbesserung des Dienstes
• Erkennung des individuellen Lernstands und Auswahl passender Aufgaben
• Darstellung des Lernfortschritts für Schüler:innen und Lehrkräfte
• Verwaltung von Konten, Klassen und Lerngruppen
• Gewährleistung der Sicherheit, Stabilität und Fehlerfreiheit des Dienstes
• Bearbeitung von Support- und Kontaktanfragen
• Erfüllung rechtlicher Verpflichtungen

7. Erforderlichkeit der Bereitstellung

Die Bereitstellung bestimmter Daten ist für die Nutzung von Memora im Schuleinsatz erforderlich. Ohne Konto-, Klassen- bzw. Lerngruppen- und technische Zugangsdaten können wir den Dienst nicht oder nur eingeschränkt bereitstellen. Lern- und Antwortdaten sind erforderlich, damit Memora den Lernstand anzeigen und passende Aufgaben vorschlagen kann.

Darüber hinausgehende Angaben, etwa freiwillige Inhalte in Support-Anfragen oder optional bereitgestellte E-Mail-Adressen, sind nur erforderlich, wenn die jeweilige Funktion genutzt werden soll. Soweit die Schule Daten bereitstellt, informiert sie Schüler:innen und Erziehungsberechtigte über die Folgen einer Nichtbereitstellung im Rahmen ihrer eigenen datenschutzrechtlichen Verantwortung.

8. KI, Profiling und automatisierte Entscheidungen

Personenbezogene Daten von Schüler:innen und Lehrkräften – insbesondere Lern-, Nutzungs- und Eingabedaten – werden ausschließlich dazu verwendet, das Lernen der jeweiligen Nutzer:innen zu unterstützen.

Wir verwenden diese Daten zu keinem Zeitpunkt für das Training, die Weiterentwicklung oder das Fine-Tuning von KI- oder Machine-Learning-Modellen. Auch eingesetzte externe KI-Dienstleister sind vertraglich verpflichtet, übermittelte Inhalte nicht zum Training ihrer Modelle zu nutzen. Es findet kein Verkauf personenbezogener Daten und keine Weitergabe zu Werbezwecken statt.

Memora analysiert Lernfortschritte, Antworten und Interaktionen, um Lernstände sichtbar zu machen und passende Aufgaben oder Erklärungen vorzuschlagen. Diese Auswertungen dienen der Lernunterstützung und ersetzen keine pädagogische Bewertung durch Lehrkräfte oder Schulen.

Memora trifft keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die rechtliche Wirkung entfalten oder Schüler:innen in vergleichbarer Weise erheblich beeinträchtigen. Insbesondere vergibt Memora keine offiziellen Noten, entscheidet nicht über Versetzung, Zulassung, Disziplinarmaßnahmen oder schulische Leistungsbewertungen. Solche Entscheidungen verbleiben bei der Schule und den zuständigen Lehrkräften.

9. Empfänger und Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein, die personenbezogene Daten ausschließlich in unserem Auftrag und nach unseren Weisungen verarbeiten. Mit diesen Dienstleistern bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Wir nutzen folgende Kategorien von Empfängern:

Schulen erhalten auf Anfrage eine aktuelle Übersicht der eingesetzten Unterauftragsverarbeiter im Rahmen des Auftragsverarbeitungsvertrags. Änderungen an Unterauftragsverarbeitern werden Schulen entsprechend den Regelungen des Auftragsverarbeitungsvertrags mitgeteilt; dort ist auch geregelt, ob und wie Schulen Einwände erheben können.

Innerhalb der Schule können berechtigte Lehrkräfte und Administrator:innen Lernfortschritte, Klassen- bzw. Lerngruppenzuordnungen und relevante Nutzungsdaten einsehen, soweit dies für Unterricht, Betreuung und Administration erforderlich ist. Eine Weitergabe Ihrer Daten an Dritte zu anderen als den genannten Zwecken erfolgt nicht, es sei denn, wir sind gesetzlich dazu verpflichtet oder Sie haben ausdrücklich eingewilligt.

10. Hosting in der EU und Drittlandübermittlung

Die Speicherung der Konto- und Lerndaten (Datenbank und Backend-Hosting bei Supabase und netcup) erfolgt auf Servern innerhalb der Europäischen Union. Auch die Auswertung der Nutzung über PostHog erfolgt über die EU-Cloud. Diese Daten unterliegen damit dem Schutzniveau der DSGVO.

Einzelne von uns eingesetzte Dienstleister sind Unternehmen mit Sitz in den USA (insbesondere Cloudflare, Google, PostHog und Supabase) bzw. können im Einzelfall personenbezogene Daten in einem Drittland verarbeiten. Für diese Übermittlungen stellen wir ein angemessenes Datenschutzniveau sicher – insbesondere durch die Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 DSGVO, soweit anwendbar durch eine Zertifizierung nach dem EU-U.S. Data Privacy Framework und ergänzende Schutzmaßnahmen wie Verschlüsselung, Zugriffsbeschränkungen und Datenminimierung.

Eine Kopie oder Zusammenfassung der jeweils einschlägigen Garantien können Schulen und betroffene Personen über die oben genannte Kontaktadresse anfragen, soweit dadurch keine Geschäftsgeheimnisse oder Rechte Dritter beeinträchtigt werden.

11. Cookies und Reichweitenmessung

Wir verwenden Cookies und vergleichbare Technologien, soweit sie für den Betrieb des Dienstes technisch erforderlich sind (z. B. zur Aufrechterhaltung Ihrer Anmeldung). Diese Verarbeitung ist erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen.

Für eine datenschutzfreundliche Reichweitenmessung werten wir die Nutzung in aggregierter bzw. pseudonymisierter Form aus, um den Dienst zu verbessern. Soweit hierfür nicht erforderliche Cookies oder Analyse-Werkzeuge zum Einsatz kommen, geschieht dies nur auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder wie es gesetzliche Aufbewahrungsfristen vorsehen.

• Konto- und Lerndaten werden für die Dauer der Nutzung des Dienstes gespeichert.
• Nach Löschung des Kontos, Beendigung des Schuleinsatzes oder entsprechender Weisung der Schule werden Konto- und Lerndaten innerhalb von 30 Tagen gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Backups werden regelmäßig überschrieben oder gelöscht; personenbezogene Daten in Backups werden spätestens nach 30 Tagen entfernt, soweit keine Wiederherstellung aus Sicherheitsgründen erforderlich ist.
• Server- und Sicherheitslogs werden grundsätzlich nach 30 Tagen gelöscht, sofern sie nicht im Einzelfall zur Untersuchung eines Sicherheitsvorfalls oder zur Rechtsverteidigung länger benötigt werden.
• Support- und Kontakt-E-Mails werden spätestens 3 Jahre nach Abschluss der Anfrage gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweisinteressen eine längere Speicherung erfordern.
• Pseudonymisierte Analyseereignisse in PostHog werden grundsätzlich für 12 Monate gespeichert und anschließend gelöscht oder weiter anonymisiert.
• Im Rahmen der Auftragsverarbeitung werden Daten nach Weisung der Schule und gemäß dem Auftragsverarbeitungsvertrag gelöscht oder zurückgegeben.

13. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um Ihre Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen. Dazu gehören insbesondere:

• verschlüsselte Datenübertragung über aktuelle Verfahren (TLS/SSL)
• verschlüsselte Speicherung sensibler Daten wie Zugangsdaten
• Zugriffsbeschränkungen nach dem Prinzip der geringsten Rechte
• regelmäßige Überprüfung und Aktualisierung unserer Sicherheitsmaßnahmen

14. Daten von Kindern und Jugendlichen

Memora richtet sich auch an minderjährige Schüler:innen. Der Schutz ihrer Daten hat für uns besondere Priorität. Die Verarbeitung der Daten Minderjähriger erfolgt nur, wenn eine gültige Einwilligung der Erziehungsberechtigten vorliegt oder die Schule als Verantwortliche im Rahmen ihres gesetzlichen Bildungsauftrags handelt.

Wir erheben von Kindern keine über das Erforderliche hinausgehenden Daten und nutzen ihre Daten nicht für Werbung oder das Training von KI-Modellen. Erziehungsberechtigte können die Rechte ihrer Kinder jederzeit über die unten genannten Kontaktwege ausüben.

Kurz erklärt für Schüler:innen

• Memora merkt sich, welche Aufgaben du bearbeitest und wo du noch Hilfe brauchst, damit du passendere Erklärungen und Übungen bekommst.
• Deine Schule oder deine Lehrkraft kann sehen, wie du mit Memora lernst, wenn das für den Unterricht nötig ist.
• Wir verkaufen deine Daten nicht, nutzen sie nicht für Werbung und trainieren damit keine KI-Modelle.
• Memora entscheidet nicht automatisch über deine Noten oder andere wichtige Schulentscheidungen.
• Wenn du oder deine Eltern Fragen habt oder Daten löschen lassen möchtet, könnt ihr euch an eure Schule oder an uns wenden.

15. Ihre Rechte als betroffene Person

Sie haben in Bezug auf die Sie betreffenden personenbezogenen Daten die folgenden Rechte:

• Recht auf Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Werden Daten im Auftrag einer Schule verarbeitet, richten Sie Ihre Anfragen bitte zunächst an die Schule als Verantwortliche; wir unterstützen die Schule bei der Erfüllung Ihrer Rechte. Sie können sich zusätzlich jederzeit über die oben genannte Kontaktadresse an uns wenden.

16. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt. Sie können sich hierzu an die für Ihren Wohnsitz oder Ihren Aufenthaltsort zuständige Aufsichtsbehörde wenden.

Für den oben genannten Verantwortlichen ist insbesondere die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow, poststelle@lda.brandenburg.de, zuständig.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unseres Dienstes umzusetzen. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Fassung. Das oben genannte Datum gibt den Stand der aktuellen Version an.

18. Kontakt

Bei Fragen zum Datenschutz, zur Verarbeitung Ihrer personenbezogenen Daten oder zur Ausübung Ihrer Rechte erreichen Sie uns unter:

• E-Mail: support@getmemora.ai