Datenschutzerklärung

1. Verantwortlicher

Fragen zum Datenschutz schickst du am besten an [email protected].

2. Überblick

AbiUp ist eine Lernplattform für die Oberstufe. Wenn du dein Konto mit dem Schulportal Hessen (LANIS) verbindest, holen wir deine Kurse, Aufgaben, Materialien, Noten und den Vertretungsplan und zeigen sie übersichtlich an. Dazu kommen Lernzettel, die Schülerinnen und Schüler miteinander teilen, und ein KI-Assistent.

Wir verkaufen keine Daten, zeigen keine Werbung und nutzen deine Inhalte nicht zum Training von KI-Modellen.

3. Hosting und Server-Logs

AbiUp läuft auf einem Server von Contabo GmbH, Aschauer Straße 32a, 81549 München (Serverstandort Deutschland). Datenbank, hochgeladene Dateien und Sicherungskopien liegen ebenfalls auf diesem Server.

Bei jedem Aufruf verarbeitet der Server technisch nötige Daten wie deine IP-Adresse, um die Seite auszuliefern. Zum Schutz vor Missbrauch zählen wir Anfragen pro IP-Adresse oder Konto; diese Zähler verfallen nach höchstens einer Stunde. Die Server-Logs enthalten keine IP-Adressen und keine Browserkennung, sondern Zeitpunkt, aufgerufene Adresse, Statuscode, Dauer und eine zufällige Anfragekennung, bei Fehlern auch deine Konto-ID. Sie bleiben bis zum nächsten Update von AbiUp; vorher überschreiben neue Einträge die ältesten, sobald die Logs eines Dienstes 30 MB erreichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist ein sicherer und stabiler Betrieb.

4. Kontaktformular und E-Mail

Wenn du uns über das Kontaktformular oder per E-Mail schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen (falls angegeben), das Thema, deine Nachricht und, wenn du angemeldet bist, die Zuordnung zu deinem Konto. Wir nutzen diese Daten nur, um dein Anliegen zu bearbeiten und dir zu antworten. Über neue Nachrichten informiert uns eine Push-Benachrichtigung, die nur das Thema enthält. E-Mails an unsere Adressen leitet Cloudflare (USA) an unser Postfach bei Google (USA) weiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um dein Konto geht, sonst Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, Anfragen beantworten zu können. Für Meldungen rechtswidriger Inhalte gilt zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 DSA. Nachrichten aus dem Kontaktformular löschen wir, sobald dein Anliegen erledigt ist, spätestens nach sechs Monaten.

5. Konto und Anmeldung

Für dein Konto speichern wir Benutzernamen, Passwort (nur als Hash), deine Schule, deine Phase (Q1 bis Q4) und Einstellungen. Sicherheitsrelevante Vorgänge wie Anmeldung, Registrierung oder Passwortänderung protokollieren wir, um Missbrauch zu erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag), für das Sicherheitsprotokoll Art. 6 Abs. 1 lit. f DSGVO.

6. Verbindung zum Schulportal

Wenn du AbiUp mit LANIS verbindest, verschlüsselt dein Browser deine Zugangsdaten, bevor er sie an uns schickt. Auf unserem Server liegt nur diese verschlüsselte Fassung; entsperren kann sie dein Gerät, wenn du mit deinem AbiUp-Passwort angemeldet bist. Für eine Synchronisierung schickt dein Gerät die entsperrten Zugangsdaten an unseren Server, der sich damit im Schulportal anmeldet. Lesbar liegen sie dabei nur im Arbeitsspeicher. Die verschlüsselte Fassung löschen wir, wenn du die Verbindung trennst oder dein Konto löschst. Die Sitzung beim Schulportal halten wir kurz offen: höchstens 20 Minuten für die Synchronisierung und bis zu 7 Tage, wenn du den Vertretungsplan-Wächter nutzt.

AbiUp liest Kurse, Einträge, Materialien, Anwesenheit, Noten und den Vertretungsplan. Wenn du eine Hausaufgabe als erledigt markierst, übertragen wir das auch ins Schulportal.

Synchronisierung und Weitergabe an andere Nutzer deiner Schule (Abschnitt 7) beruhen auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du erteilst sie in den Privatsphäre-Einstellungen und kannst sie dort jederzeit widerrufen. Danach rufen wir nichts Neues mehr für dich ab. Bereits geladenes Kursmaterial bleibt für deine Schule erhalten (Abschnitt 15); deine privaten Daten löschen wir mit deinem Konto. Die Verbindung selbst trennst du in den Verbindungen.

7. Kursmaterial und Lehrkräfte

Kursinhalte wie Einträge, Dateien und die Namen der Lehrkräfte sind für alle Kursmitglieder gleich. Damit nicht jede Person alles einzeln laden muss, speichern wir sie einmal pro Schule. Sichtbar sind sie für alle AbiUp-Nutzer deiner Schule, nicht nur für die Mitglieder des jeweiligen Kurses. Auch der KI-Assistent kann sie für Nutzer deiner Schule durchsuchen.

Dabei verarbeiten wir auch Daten von Lehrkräften, die wir nicht bei ihnen selbst erheben (Art. 14 DSGVO): Name, Kürzel, die Kurse, die sie unterrichten, und die Inhalte, die sie im Schulportal veröffentlichen. Diese Daten stammen aus dem Schulportal Hessen. Hat eine Schule es eingerichtet, zeigen wir außerdem die dienstliche E-Mail-Adresse, die wir nach dem Muster der Schule aus dem Namen bilden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist eine übersichtliche Kursansicht für die Schülerinnen und Schüler. Es geht um dienstliche Angaben, die Lehrkräfte ohnehin im Schulportal veröffentlichen, und sie bleiben innerhalb der Schule.

Lehrkräfte können der Verarbeitung widersprechen oder Löschung verlangen; schreib uns dazu an [email protected].

8. Noten und private Schuldaten

Noten, Anwesenheit, eigene Notizen und der Erledigt-Status von Aufgaben gehören nur dir. Andere Nutzer sehen sie nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wenn du dein Konto löschst, werden diese Daten mitgelöscht.

9. Vertretungsplan und Push-Benachrichtigungen

Den Vertretungsplan deiner Schule speichern wir, um Änderungen zu erkennen und dir passende Einträge zu zeigen. Ältere Pläne löschen wir automatisch.

Push-Benachrichtigungen bekommst du nur, wenn du sie aktivierst. Dafür speichern wir die Push-Adresse deines Browsers. Die Nachricht läuft über den Push-Dienst deines Browserherstellers (etwa Google, Mozilla, Apple oder Microsoft). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO; du kannst Push jederzeit in der App oder im Browser abschalten.

10. Lernzettel

Lernzettel, die du hochlädst, sehen alle AbiUp-Nutzer deiner Schule, zusammen mit deinem Benutzernamen. Wir speichern Datei, Titel, Fach und Zeitpunkt. Wenn du einen Lernzettel oder dein Konto löschst, entfernen wir auch die Datei. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Lade bitte nichts hoch, was persönliche Daten anderer enthält, etwa Namen von Mitschülern oder korrigierte Arbeiten mit Noten.

11. KI-Chat, Transkription und Websuche

Wenn du den KI-Assistenten nutzt, senden wir deine Nachricht, den bisherigen Chatverlauf und Inhalte, die du dafür auswählst (etwa Lernzettel, Kursmaterial oder Dateien), an den Dienst OpenRouter (OpenRouter, Inc., USA). OpenRouter leitet die Anfrage an den Anbieter des gewählten Modells weiter: derzeit GLM 5.3 Flash von Z.ai (China) und gpt-oss-120b, ein offenes Modell von OpenAI, das bei wechselnden Rechenanbietern läuft. Sprachnachrichten wandelt Whisper Large v3 Turbo (ebenfalls ein offenes Modell von OpenAI) in Text um. Zum Lesen von PDFs und Bildern kann Mistral AI (Frankreich) zum Einsatz kommen, für die Websuche Exa Labs (USA). Sprachnachrichten werden ebenfalls über OpenRouter in Text umgewandelt.

Chat und Sprachnachrichten: Die Modellanbieter verarbeiten die Daten nur, um die Antwort zu erzeugen. Gespeichert werden sie dort gar nicht. Über OpenRouter lassen wir nur Rechenanbieter zu, die Eingaben und Antworten nicht speichern (Zero Data Retention) und nicht zum Training nutzen. Diese Zusage betrifft die Speicherung, nicht den Ort: Wählst du ein Modell von Z.ai, kann deine Anfrage in China verarbeitet werden. Für China gibt es keinen Beschluss der EU, dass dort ein angemessenes Datenschutzniveau besteht, und Behörden können dort unter Umständen auf Daten zugreifen. Wenn du das nicht möchtest, wähl ein anderes Modell.

Texterkennung und Websuche: Hier gilt diese Zusage nicht. Mistral AI und Exa speichern Daten nach ihren eigenen Regeln; Exa darf Suchanfragen laut seiner Datenschutzerklärung auch nutzen, um seine Dienste zu verbessern. An Exa geht nur die Suchanfrage, die der Assistent formuliert, nicht dein Chat. Schalte die Websuche deshalb nur ein, wenn du sie brauchst.

Deine Chats speichern wir nicht dauerhaft auf unserem Server, sondern auf deinem Gerät. Damit eine laufende Antwort einen Verbindungsabbruch übersteht, halten wir sie verschlüsselt bis zu 24 Stunden zwischen. Mehr dazu im KI-Hinweis.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Gib bitte keine sensiblen Daten über dich oder andere in den Chat ein.

12. Nutzungsanalyse und Fehlerberichte

Nutzungsanalyse mit PostHog

Nur wenn du zustimmst, messen wir mit PostHog, welche Funktionen genutzt werden. Beim KI-Assistenten erfassen wir dann auch Modell, Dauer, Tokenanzahl und Kosten einer Antwort, aber keine Chatinhalte. Die Daten ordnen wir deiner Konto-ID zu, nicht deinem Namen. Standortdaten aus der IP-Adresse werten wir nicht aus. PostHog verarbeitet die Daten in der Region EU (Frankfurt am Main) und löscht sie nach einem Jahr. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit in den Privatsphäre-Einstellungen widerrufen.

Fehlerberichte mit Sentry

Wenn in der App oder auf dem Server ein Fehler auftritt, senden wir einen Bericht an Sentry (Functional Software, Inc.), Region EU (Deutschland). Er enthält Fehlermeldung, Browser, Gerätetyp und die betroffene Seite ohne persönliche Parameter. Für einen kleinen Teil der Anfragen erfassen wir außerdem, wie lange einzelne Schritte auf dem Server dauern. Sentry speichert dafür nichts auf deinem Gerät und löscht die Berichte nach 30 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist eine funktionierende App.

13. Speicherung auf deinem Gerät

AbiUp legt nur Daten auf deinem Gerät ab, die für die App unbedingt nötig sind (§ 25 Abs. 2 Nr. 2 TDDDG). Die einzige Ausnahme ist die Nutzungsanalyse; sie speichert erst etwas, wenn du zugestimmt hast.

Wenn du dein Konto löschst, entfernt AbiUp diese Daten von dem Gerät, auf dem du die Löschung ausführst. Auf anderen Geräten kannst du sie über die Browsereinstellungen löschen.

14. Empfänger und Drittländer

Wir setzen Dienstleister ein, die Daten in unserem Auftrag verarbeiten (Art. 28 DSGVO): Hosting, Datenbank, Dateispeicher, E-Mail, Fehlerberichte, Nutzungsanalyse und die KI-Dienste aus Abschnitt 11. Manche sitzen in den USA. Übermittlungen dorthin stützen wir auf das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, sonst auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Modelle von Z.ai können Anfragen in China verarbeiten (Abschnitt 11).

Daten von dir an Behörden geben wir nur heraus, wenn wir gesetzlich dazu verpflichtet sind.

15. Speicherdauer

• Konto, Noten, private Daten und Lernzettel: bis du dein Konto löschst.
• Kursmaterial deiner Schule: solange es Nutzer dieser Schule gibt; Lehrkräfte können vorher Löschung verlangen.
• Verlauf der Synchronisierungen und Aufgaben im Hintergrund: 14 Tage.
• Sicherheitsprotokoll (Anmeldungen, Passwortänderungen und Ähnliches): solange es nötig ist, um Missbrauch aufzuklären. Löschst du dein Konto, verlieren die Einträge die Verbindung zu deinem Konto.
• Fehlerberichte: 30 Tagen nach dem Fehler.
• Nutzungsanalyse: einem Jahr nach der Erfassung, oder früher, wenn du die Einwilligung widerrufst.
• Server-Logs: bis zum nächsten Update von AbiUp; vorher überschreiben neue Einträge die ältesten, sobald die Logs eines Dienstes 30 MB erreichen.
• Nachrichten aus dem Kontaktformular und E-Mails an uns: bis dein Anliegen erledigt ist, höchstens sechs Monate.
• Sicherungskopien: höchstens sechs Monate (tägliche Sicherungen 14 Tage, wöchentliche 8 Wochen, monatliche 6 Monate). Gelöschte Daten verschwinden aus den Sicherungen, sobald diese turnusmäßig überschrieben werden.
• Anmeldung (Cookie session): 30 Tage nach der letzten Nutzung.

Dein Konto löschst du selbst unter Sicherheit.

16. Deine Rechte

Du hast gegenüber uns das Recht auf

• Auskunft über deine Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) und
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Schreib uns dafür an [email protected].

17. Beschwerde bei der Aufsichtsbehörde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

18. Minderjährige

AbiUp richtet sich an Schülerinnen und Schüler ab 16 Jahren. Bist du jünger als 16, dürfen wir Funktionen, die auf einer Einwilligung beruhen, etwa die Nutzungsanalyse, nur mit Zustimmung deiner Eltern nutzen (Art. 8 DSGVO). Sprich im Zweifel mit ihnen, bevor du zustimmst.

19. Änderungen

Wenn sich AbiUp ändert, passen wir diese Erklärung an. Das Datum oben zeigt die aktuelle Fassung. Über wesentliche Änderungen informieren wir dich in der App.