Datenschutzerklärung

1. Verantwortlicher und Rollen beim Schuleinsatz

Verantwortlicher im Sinne der DSGVO:

Selami Selvi
Schulenburger Landstraße 288
30419 Hannover
Deutschland

Telefon: +49 151 29490387
E-Mail: [email protected]

Für Website, App-Konten, Abrechnung und den eigenen technischen Betrieb handeln wir als Verantwortlicher. Bei einer vereinbarten Verarbeitung von Schülerdaten im Auftrag einer Schule handeln wir nach deren dokumentierten Weisungen als Auftragsverarbeiter. Verantwortlich für Zweck, Rechtsgrundlage und schulische Nutzung bleibt die Schule bzw. der Schulträger. Einzelheiten regelt der gesonderte Auftragsverarbeitungsvertrag.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht benannt, da die gesetzlichen Voraussetzungen hierfür nach unserer Einschätzung nicht vorliegen.

3. Geltungsbereich

Diese Datenschutzerklärung gilt für:

• die Website von Korektly
• die iOS-App Korektly

4. Datenverarbeitung bei Nutzung der Website

Beim Aufruf der Website werden technisch erforderliche Verbindungsdaten verarbeitet (z. B. IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browser-Informationen).

Für die Sprachauswahl speichern wir die gewählte Sprache im lokalen Speicher Ihres Browsers (Local Storage).

Auf der Website setzen wir keine Marketing-, Tracking- oder Profiling-Tools ein. Die Website lädt zudem keine Schriftarten oder vergleichbare Inhalte von externen Font-Diensten nach.

5. Datenverarbeitung bei Nutzung der App

5.1 Lokale Daten auf dem Gerät

Projekte, Originalbilder und Original-PDFs, manuelle Bewertungen und Einstellungen werden lokal auf Ihrem Endgerät gespeichert. Für eine KI-Analyse werden die ausgewählten Inhalte vorübergehend an unser Backend und die KI-Dienste übermittelt. Ihre lokalen Dateien können außerdem Bestandteil von Gerätesicherungen sein, die Sie über Apple oder andere Dienste verwalten. Von Ihnen exportierte oder geteilte Kopien liegen außerhalb unserer Kontrolle.

5.2 Konto und Backend-Funktionen

Bei Anmeldung über die App verarbeiten wir Kontodaten (z. B. E-Mail-Adresse, Anzeigename, Authentifizierungsanbieter, Login-Zeitpunkte) sowie technische Nutzungs-, Credits-, Kauf- und Statusdaten einschließlich des Berechtigungsstatus für Schülerkorrekturen für die Bereitstellung der Funktionen.

In Firestore speichern wir Projektmetadaten, Auftragsstatus und KI-Ergebnisse als Text/JSON. Dazu können Aufgaben und Musterlösungen, erkannte Schülerantworten, Feedback, Punkte und Notenvorschläge gehören. Auch ohne Originaldatei können diese Inhalte personenbezogen sein. Bei Fehlern können im bisherigen Backend zusätzlich Ausschnitte einer KI-Antwort gespeichert werden.

5.3 KI-Funktionen

Wenn Sie KI-Funktionen aktiv auslösen, werden die von Ihnen ausgewählten Inhalte (z. B. Bilder, PDFs, Aufgaben-/Lösungstexte) sowie je nach Vorgang Lehrernotizen, Retry-Hinweise und Projektkontext wie Projektname oder Klassenstufe zur Verarbeitung an unseren angebundenen KI-Dienst übermittelt.

Das lokale Anlegen und Bearbeiten von Korrekturen und Noten ist von der KI-Verarbeitung getrennt. Das Hochladen echter Schülerarbeiten und deren KI-gestützte Korrektur sind standardmäßig gesperrt. Eine Freischaltung erfolgt erst, nachdem mit der für die Verarbeitung verantwortlichen Schule bzw. dem Schulträger ein gesonderter Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen wurde. Die Zustimmung eines einzelnen App-Nutzers zu AGB oder Datenschutzerklärung ersetzt diesen Vertrag nicht. Der Erwerb eines Abos oder Top-ups ändert an dieser Zugangsvoraussetzung nichts.

Die KI-Verarbeitung erfolgt derzeit über OpenRouter. Nach unserem aktuellen technischen Setup wird hierbei Google Gemini als Modellanbieter genutzt.

Für die Modellinferenz ist auf unserem OpenRouter-Konto Zero Data Retention (ZDR) aktiviert. Dadurch werden nur Endpunkte verwendet, die OpenRouter nach den Angaben der Anbieter als ohne Speicherung und Training mit Anfrageinhalten einstuft. Die zusätzliche Speicherung von Eingaben und Ausgaben im OpenRouter-Workspace sowie deren Weiterleitung an externe Monitoring-Dienste sind deaktiviert. ZDR betrifft die Inferenz; eigene Firestore-Ergebnisse, Konto- und Abrechnungsdaten, technische Metadaten und kurzfristige, für die Verarbeitung erforderliche Puffer sind davon zu unterscheiden.

Die Originalbilder und Original-PDFs werden in unserem Backend nicht dauerhaft als Dateien abgelegt; wir verwenden hierfür weder eine Firebase-Storage-Dateiablage noch die Files API von OpenRouter. Die Übermittlung ist für die jeweilige KI-Analyse erforderlich. Die daraus erzeugten Ergebnisse werden getrennt davon in Firestore gespeichert. ZDR bedeutet daher nicht, dass sämtliche Daten des KI-Vorgangs bei Korektly ungespeichert bleiben.

Übermitteln Sie nur die für die Aufgabe notwendigen Seiten und Angaben. Entfernen oder schwärzen Sie Namen, Kontaktdaten, Schülernummern und andere nicht benötigte Identifikatoren vor der Übermittlung, auch in Dateinamen, Projekttiteln und Notizen. Schwärzungen müssen in der übermittelten Datei wirksam sein. Ein Kürzel macht eine zuordenbare Schülerarbeit nicht automatisch anonym. Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten sowie weitere nach den Dienstleisterbedingungen ausgeschlossene sensible Angaben dürfen über die derzeitige KI-Anbindung nicht übermittelt werden. Für die Verarbeitung fremder personenbezogener Daten benötigen Sie eine entsprechende Berechtigung und Rechtsgrundlage.

5.4 App-Analyse

Die App verwendet Analysefunktionen zur Messung von Betrieb, Stabilität und Nutzung der App (z. B. App-Start-Ereignisse) nur, wenn Sie hierfür in der App ausdrücklich eingewilligt haben.

6. Zwecke und Rechtsgrundlagen

Die folgenden Rechtsgrundlagen beziehen sich auf Verarbeitungen in unserer eigenen Verantwortung. Für Schülerdaten, die wir im Auftrag verarbeiten, bestimmt die verantwortliche Schule die Rechtsgrundlage; der AVV regelt unsere Verarbeitung nach Weisung und schafft selbst keine schulische Rechtsgrundlage.

Wir verarbeiten personenbezogene Daten insbesondere für folgende Zwecke:

• Bereitstellung der Website und App-Funktionen
• Authentifizierung, Kontoverwaltung sowie Verwaltung von Credits, Käufen und Abos
• Ausführung von KI-Funktionen auf Nutzeranfrage
• Optionale App-Analyse bei erteilter Einwilligung
• Sicherer und stabiler Betrieb, Missbrauchsvermeidung und Fehleranalyse

Rechtsgrundlagen sind insbesondere:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/Nutzungsverhältnis)
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, insbesondere für optionale App-Analyse und soweit wir Einwilligungen gesondert einholen)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen am sicheren, stabilen und wirtschaftlichen Betrieb)

7. Empfänger und Kategorien von Empfängern

Personenbezogene Daten werden nur an Dienstleister übermittelt, soweit dies für den Betrieb erforderlich ist, insbesondere in den Bereichen:

• Hosting, Authentifizierung und Datenbankbetrieb
• KI-Verarbeitung
• Kauf-, Abo- und Berechtigungsverwaltung
• Analyse und technische Betriebsüberwachung
• interne Kontoverwaltung und Support per E-Mail

Derzeit eingesetzte Empfänger/Anbieter (Auszug):

• Cloudflare (Website-Hosting und Sicherheitsdienste; insbesondere technische Verbindungsdaten wie IP-Adresse und aufgerufene Seite)
• Google Firebase / Google Cloud (Authentifizierung, Firestore/Datenbank, Cloud Functions, App-Sicherheit, optionale App-Analyse)
• OpenRouter (KI-Gateway)
• Google / Google Gemini (aktueller Modellanbieter für KI-Verarbeitung)
• RevenueCat (Nutzerkennung, Kauf- und Aboinformationen sowie technische Geräte-/Appdaten für Kauf- und Berechtigungsverwaltung; keine Schülerarbeitsinhalte)
• Apple (App Store / In-App-Käufe, Sign in with Apple)
• Google (Sign in with Google; Gmail für interne Registrierungsmitteilungen und E-Mail-Kommunikation, insbesondere mit Name, E-Mail-Adresse und technischen Kontodaten)

Für eine Auftragsverarbeitung gelten die Vorgaben des Art. 28 DSGVO. Die Verarbeitung über OpenRouter richtet sich nach dessen Data Processing Agreement. Die beim Schuleinsatz eingesetzten Unterauftragsverarbeiter und ihre Aufgaben werden im AVV aufgeführt.

8. Drittlandübermittlung

Ein Teil unserer Dienstleister verarbeitet Daten ganz oder teilweise außerhalb der EU/des EWR, insbesondere in den USA oder unter Nutzung entsprechender Konzerninfrastrukturen.

Dies kann insbesondere Cloudflare, Google Firebase / Google Cloud, OpenRouter, Google als Modellanbieter, RevenueCat sowie Apple oder Google bei Anmelde- oder Kaufvorgängen betreffen.

Soweit eine Drittlandübermittlung erfolgt, geschieht dies nur bei Vorliegen der gesetzlichen Voraussetzungen (Art. 44 ff. DSGVO), z. B. auf Basis eines Angemessenheitsbeschlusses (etwa EU-U.S. Data Privacy Framework, soweit anwendbar) oder geeigneter Garantien wie Standardvertragsklauseln.

Ab App-Version 1.02.5 (Build 44) werden neue KI-Aufträge über Backend-Funktionen in Frankfurt (europe-west3) und OpenRouters EU-Endpunkt verarbeitet. Die dabei erzeugten KI-Status- und Ergebnisdaten werden in der EU-Datenbank in Frankfurt gespeichert. Die EU-Datenbank ist auch für Konto-, Guthaben- und Kaufzuordnungen das führende Datenbankziel. Frühere App-Versionen rufen während des Übergangs weiterhin Backend-Funktionen in us-central1 (USA) mit globalem KI-Routing auf; deren Status- und Ergebnisdaten werden für diese Versionen zusätzlich in der bisherigen US-Datenbank bereitgestellt. Konto-, Anmelde-, Kauf- und technische Metadaten können weiterhin außerhalb der EU verarbeitet werden. Bereits vorhandene Datenbestände und Migrationssicherungen in den USA bleiben während des abgesicherten Übergangs erhalten. Die EU-Verarbeitung neuer KI-Inhalte ist deshalb versionsbezogen und keine Zusage einer ausschließlich europäischen Verarbeitung sämtlicher App-Daten.

9. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

• lokale App-Daten: bis zur Löschung durch Sie oder Deinstallation der App
• Konto-, Kauf-, Abo- und Backend-Daten: grundsätzlich für die Dauer des Kontos bzw. bis zur Löschung
• Projektmetadaten und KI-Status-/Ergebnisdaten: bis zur Löschung der jeweiligen Cloud-Daten oder des Kontos; nach einem vereinbarten Schuleinsatz gelten zusätzlich die Löschvorgaben des AVV
• technische Cloud-Functions-Protokolle: regulär 30 Tage; bestimmte vorgeschriebene Google-Cloud-Auditprotokolle 400 Tage. Die Auftragsprotokolle enthalten insbesondere Kennungen, Status, Fehler und Verbrauchsmetadaten
• Wiederherstellungshistorie der bisherigen Firestore-Datenbank: bis zu sieben Tage; gesonderte private Migrationssicherungen werden für die Überprüfung und Absicherung der Umstellung aufbewahrt. Sie werden nicht bei jeder einzelnen Kontolöschung automatisch überschrieben; Löschanfragen werden bei einer Wiederherstellung berücksichtigt
• hochgeladene Bilder/PDFs: keine vorgesehene dauerhafte Dateiablage auf unseren eigenen Servern
• optionale App-Analyse-Daten: nach Maßgabe Ihrer Einwilligung sowie der jeweiligen Anbieter-Aufbewahrung
• Website-Serverprotokolle: zeitlich begrenzt nach betrieblichen Sicherheitskriterien
• Sprachauswahl im Browser (Local Storage): bis zur Löschung im Browser
• Kontolöschung entfernt die aktiven Cloud-Kontodaten und zugehörigen Unterdaten. Lokale Projekte, Gerätesicherungen und bereits exportierte Dateien müssen Sie separat verwalten; die zuvor genannten Sicherungs- und Protokollfristen sind davon zu unterscheiden

10. Ihre Rechte

Sie haben nach den gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an: [email protected]

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen Datenschutzrecht verstößt.

12. Keine automatisierte Entscheidung im Einzelfall

Korektly trifft keine abschließenden schulischen Bewertungsentscheidungen. KI-Ergebnisse sind Vorschläge; die verantwortliche Lehrkraft muss Aufgabenverständnis, erkannte Antworten, Punkte und Noten vor einer Verwendung prüfen und gegebenenfalls korrigieren.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn dies aufgrund geänderter Datenverarbeitung oder rechtlicher Vorgaben erforderlich wird.

Stand: 6. Oktober 2026