Was wird verarbeitet?

• Ihre Stammdaten (Vor-/Nachname, E-Mail)
• Authentifizierungsdaten (Passwort-Hash, Sitzungs-Token)
• Daten Ihrer eigenen Klassen, Fächer, Schüler/innen, Prüfungen, Noten
• Optional: Microsoft-Teams-Daten (nur bei Ihrer ausdrücklichen Einwilligung)
• Abo- und Rechnungsdaten (Karten-/Bankdaten ausschließlich bei Stripe)

AVV elektronisch abschließen

• Jede Lehrkraft schließt den AVV einzeln ab – auch innerhalb einer Team-Lizenz.
• Abschluss in der Anwendung unter Funktionen → Auftragsverarbeitungsvertrag (Art. 28 Abs. 9 DSGVO, elektronische Textform).
• Versionierung, SHA-256-Hash und PDF-Beleg analog zum Schul-Pfad.
• Soft-Wall-Banner erinnert; nach 30 Tagen greift der Hard-Wall und blockiert die weitere Nutzung bis zur Akzeptanz.

Welche Rechte haben Sie?

Gegenüber Notenheld haben Sie die Rechte aus Art. 15–21 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Für Ihre eigenen Daten richten Sie Anfragen an datenschutz@notenheld.net.

Für Schülerdaten, die Sie verarbeiten, sind Sie Ansprechperson für die Betroffenen und deren Erziehungsberechtigte – Notenheld unterstützt Sie dabei technisch (Export, Löschung).

Was Sie selbst tun sollten

• Halten Sie sich an die schulrechtlichen Vorgaben Ihres Bundeslandes (SchUG, SchOG, LBVO – Verarbeitung von Schülerdaten nur soweit dienstrechtlich erlaubt).
• Geben Sie keine Anmeldedaten weiter.
• Bei schulweitem Einsatz ist eine Schullizenz in der Regel die saubere Lösung – dann ist die Schule Verantwortlicher und die Direktion schließt den AVV ab.

Was wird verarbeitet?

• Stammdaten von Lehrkräften, Schüler/innen und Eltern
• Klassen-, Fach- und Gruppenstrukturen Ihrer Schule
• Leistungs- und Beurteilungsdaten (Punkte, Noten, Anwesenheit, Frühwarnungen)
• Termine, Aufgaben, Klassenbuch- bzw. Journaleinträge
• Schüler-PIN-Login, Eltern-Portal-Zugänge, iCal-Feeds
• Optional: MS-Teams-Synchronisation (nur bei Lehrer-Einwilligung)
• Audit-Logs sicherheitsrelevanter Aktionen

Wie der AVV funktioniert

• Elektronischer Abschluss: Direktion oder Stellvertretung akzeptiert in der Anwendung unter Schulleitung → Auftragsverarbeitungsvertrag (Art. 28 Abs. 9 DSGVO – Textform genügt).
• Versionierung: Jede Änderung am AVV-Text führt zu einer neuen Version – bestehende Akzeptanzen bleiben revisionssicher.
• Integritäts-Hash: Notenheld speichert einen SHA-256-Hash des akzeptierten Textstands; spätere Manipulation am Text ist erkennbar.
• PDF-Beleg: Sofort nach Akzeptanz steht ein PDF zum Download bereit – inkl. Vertragstext, TOMs, Unterauftragsverarbeitern und Hash.
• Erinnerung: Falls noch nicht akzeptiert: Banner für die Schulleitung; nach 30 Tagen wird die Akzeptanz für Direktion und Lehrkräfte verpflichtend.

Was Notenheld verbindlich zusichert

• Weisungsgebundenheit: Verarbeitung ausschließlich nach dokumentierten Weisungen der Schule.
• Vertraulichkeit: Alle befugten Personen sind zur Vertraulichkeit verpflichtet.
• Technische und organisatorische Maßnahmen (TOMs): verschlüsselte Übertragung, Passwort-Hashing, Mandantentrennung, Audit-Logs, verschlüsselte Backups, regelmäßige Sicherheitsupdates – Anlage 1 des AVV.
• Unterauftragsverarbeiter: Verbindliche Liste in Anlage 2 des AVV. Änderungen werden mindestens 30 Tage im Voraus angekündigt; Sie haben Widerspruchsrecht.
• Datenpannen: Meldung an die Schule innerhalb von 48 Stunden (Art. 33 DSGVO).
• Unterstützung: Bei Auskunfts-/Lösch-Anfragen, Datenschutz-Folgenabschätzung und Konsultation der Aufsichtsbehörde (Art. 32–36 DSGVO).
• Löschung/Rückgabe: Innerhalb von 30 Tagen nach Vertragsende; auf Wunsch vorher strukturierter Datenexport.

Welche Rechte hat die Schule?

• Pruef- und Auditrecht (Art. 28 Abs. 3 lit. h DSGVO)
• Widerspruchsrecht gegen neue Unterauftragsverarbeiter
• Recht auf jederzeitigen Datenexport in maschinenlesbarem Format
• Sofortige Beendigung gemäß Hauptvertrag

Wer ist Verantwortlicher?

Die Schule, an der das Kind unterrichtet wird, ist datenschutzrechtlich Verantwortlicher. Notenheld ist Auftragsverarbeiter und arbeitet streng weisungsgebunden im Rahmen eines AVV nach Art. 28 DSGVO.

Welche Daten sehen Sie?

• Schüler/in: Eigene Stammdaten, eigene Noten, eigene Termine und Aufgaben, Lehrer-Kommentare zu eigenen Leistungen.
• Eltern: Daten jener Schüler/innen, mit denen Sie über den Eltern-Claim verknüpft sind. Keine Daten anderer Schüler/innen.

Sicherheit beim Schüler-Login

• Anmeldung über persönlichen Login-Code + PIN (kein E-Mail/Passwort nötig).
• PIN wird verschlüsselt gespeichert.
• Lehrkraft kann den Login-Code neu generieren, falls er kompromittiert wurde.
• Schüler-Zugang ist read-only: Noten oder Beurteilungen können nicht verändert werden.

Welche Rechte haben Sie?

Sie haben sämtliche Rechte aus der DSGVO – insbesondere Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch (Art. 15–21 DSGVO).

Erste Ansprechperson ist die Schule bzw. die/der dortige Datenschutz­beauftragte – nicht Notenheld direkt. Notenheld unterstützt die Schule technisch bei der Beantwortung Ihrer Anfrage.

Eltern-Portal: Verknüpfung mit Schüler/in

• Sie legen ein eigenes Eltern-Konto an (separates Authentifizierungs-Schema).
• Verknüpfung erfolgt über einen einmaligen Eltern-Claim-Token, den Ihr Kind Ihnen weitergibt.
• Sie können die Verknüpfung jederzeit lösen.

Was Notenheld nicht macht

• Keine Werbung oder Werbe-Tracking gegenüber Schüler/innen oder Eltern.
• Keine Weitergabe an Dritte zu Marketing- oder Profiling-Zwecken.
• Keine automatisierten Entscheidungen mit rechtlicher Wirkung – die Lehrperson bleibt in der Beurteilungs-Verantwortung.