Datenschutzerklärung

Stand: 25. Oktober 2026

1. Verantwortlicher

FeedMeBack, privates Testprojekt
E-Mail:

Einen Datenschutzbeauftragten haben wir nicht benannt. Bitte wenden Sie sich mit allen Fragen zum Datenschutz an die genannte Adresse.

2. Das Wichtigste in Kürze

• Kein Tracking, keine Analyse-Werkzeuge, keine Werbung, keine externen Schriften oder Skripte.
• Nur technisch notwendige Cookies, darum gibt es kein Cookie-Banner.
• Server bei Hetzner Online GmbH in Finnland, ohne zwischengeschaltetes Netzwerk (kein CDN).
• Schülerinnen und Schüler brauchen kein Konto und schreiben unter einem Pseudonym. Es gibt keine Noten.
• Texte werden nicht zum Training von KI-Modellen verwendet.
• Testbetrieb: Bitte nur ausgedachte Texte eingeben, keine echten Schülertexte, keine Namen, keine Fotos von Personen.

3. Wer wofür verantwortlich ist

Wir sind Verantwortliche für diese Website, für die Konten der Lehrkräfte und für die Abrechnung. Dafür gilt diese Erklärung.

Nutzt eine Lehrkraft FeedMeBack mit ihrer Klasse, ist die Schule für die Daten der Schülerinnen und Schüler verantwortlich. Wir verarbeiten diese Daten nur in ihrem Auftrag und nach ihrer Weisung (Auftragsverarbeitung nach Art. 28 DSGVO). Informationen dazu gibt die Schule; Fragen und Anträge richten Sie bitte an sie. Was dabei technisch geschieht, beschreibt Abschnitt 8.

4. Aufruf der Website und Server

Die Website und die App laufen auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in einem Rechenzentrum in Finnland. Hetzner ist für uns als Auftragsverarbeiter tätig.

• Beim Aufruf verarbeitet der Server technisch nötige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Kennung. Die IP-Adresse wird im Klartext nur im Arbeitsspeicher verarbeitet und nicht gespeichert.
• Zum Schutz vor Missbrauch (zum Beispiel zu vielen Anmeldeversuchen) speichern wir einen mit einem geheimen Schlüssel berechneten Prüfwert der IP-Adresse zusammen mit einem Zähler. Dieser Eintrag wird nach 24 Stunden gelöscht; in Datensicherungen bleibt er bis zu deren Ablauf (30 Tage).
• Zugriffs- und Fehlerprotokolle enthalten keine IP-Adresse und keine Inhalte, nur technische Kennungen und Fehlercodes. Wir bewahren sie nur so lange auf, wie es für Betrieb und Fehlersuche nötig ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die sichere und stabile Auslieferung der Website.

5. Cookies und Speicher im Browser

Wir setzen nur Cookies, die für den Dienst nötig sind oder die Sie mit einer Einstellung selbst auslösen:

• __Host-session: hält Lehrkräfte angemeldet. Höchstens 7 Tage; die Sitzung endet auf dem Server schon nach 12 Stunden ohne Aktivität.
• __Host-p_…: Teilnahme einer Schülerin oder eines Schülers an einer Aufgabe. Wird beim Schließen des Browsers oder beim Abmelden gelöscht.
• __Host-k: Anmeldung mit einer Klassenkarte auf diesem Gerät. Höchstens 60 Tage oder bis zum Abmelden.
• rc und rcodes: zeigen einen Wiederaufnahmecode oder Wiederherstellungscodes einmal an. Höchstens 10 Minuten, beim ersten Lesen gelöscht.
• lang: die gewählte Sprache (Deutsch oder Englisch). 1 Jahr, nur wenn Sie die Sprache umstellen.
• theme: dunkle Darstellung. 1 Jahr, nur wenn Sie sie einschalten.

Außerdem merkt sich der Browser einzelne Anzeigeeinstellungen im lokalen Speicher, etwa ob die Startanimation in diesem Tab schon lief oder ob ein Hilfefenster offen war. Diese Werte bleiben auf Ihrem Gerät und werden nicht an uns übertragen.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von Ihnen gewünschten Dienst) und Art. 6 Abs. 1 lit. b und f DSGVO. Cookies zu Werbe- oder Analysezwecken gibt es nicht.

6. Konto für Lehrkräfte

• Daten: E-Mail-Adresse, Passwort (nur als Hash), auf Wunsch Anzeigename, Schulname und Angaben zu Ihrem Unterricht (Bundesland, Schularten, Fächer), Schlüssel für die Zwei-Faktor-Anmeldung (verschlüsselt), Zähler zur Nutzung (Zahl der Feedbacks, Kontingent).
• Zweck: Konto, Anmeldung, Kontosicherheit, Freikontingent und Lizenz, Vorschläge für passende Vorlagen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung), für die Kontosicherheit zusätzlich Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: bis Sie Ihr Konto löschen. Mit dem Konto werden alle Ihre Aufgaben mit allen Schülerdaten gelöscht. Ein Protokolleintrag über die Löschung enthält nur eine technische Kennung, keine E-Mail-Adresse.

Für ein Konto ist eine E-Mail-Adresse nötig. Ohne sie können wir kein Konto anlegen. Alle anderen Angaben sind freiwillig.

7. KI-Verarbeitung

Für das Feedback, das Vereinfachen und Übersetzen, die Abschrift von Fotos und den Assistenten für Lehrkräfte schicken wir die nötigen Inhalte an einen KI-Anbieter: den Text, die Kriterien und Materialien der Aufgabe, gegebenenfalls ein Bild. Pseudonyme und Kontodaten gehen nicht mit; erkennbare Namen und andere persönliche Angaben im Text entfernen wir vorher, so weit das automatisch möglich ist. Die Inhalte werden nicht zum Training von KI-Modellen verwendet. Rechtsgrundlage für Inhalte von Lehrkräften: Art. 6 Abs. 1 lit. b DSGVO; für Schülerdaten handeln wir im Auftrag der Schule.

Testbetrieb: KI-Anbieter ist derzeit Anthropic, PBC, San Francisco, USA. Die Inhalte werden dafür in die USA übermittelt. Deshalb bitte nur ausgedachte Texte eingeben, keine echten Schülertexte. Für echte Schülertexte wird auf eine KI-Verarbeitung in der EU umgestellt.

8. Daten von Schülerinnen und Schülern (im Auftrag der Schule)

• Schülerinnen und Schüler treten einer Aufgabe mit einem Code bei und schreiben unter einem Pseudonym. Sie brauchen kein Konto.
• Verarbeitet werden ihre Texte und Entwürfe, freiwillig hochgeladene Fotos oder Dateien (ohne Metadaten und verschlüsselt gespeichert), das KI-Feedback und Kommentare der Lehrkraft.
• Zur Erzeugung des Feedbacks gehen Texte und Bilder an den KI-Anbieter aus Abschnitt 7, nie Pseudonyme oder Kontodaten.
• Alle Daten einer Aufgabe werden am 15. September nach dem Ende des Schuljahres gelöscht, in dem die Aufgabe endet; die Lehrkraft kann früher löschen. Aus Datensicherungen verschwinden sie spätestens 35 Tage später.
• FeedMeBack vergibt keine Noten. Das Feedback ist ein Hinweis zum Überarbeiten; alle Entscheidungen trifft die Lehrkraft.

9. Bezahlung und Rechnungen

Wenn Sie eine Lizenz online kaufen, leiten wir Sie zu unserem Zahlungsdienstleister weiter: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Ihre Zahlungsdaten geben Sie nur dort ein; wir sehen keine vollständigen Kartendaten. Wir erhalten von Stripe den Zahlungsstatus und Rechnungsbezüge. Stripe gehört zu einem Konzern mit Sitz in den USA; eine Verarbeitung in den USA ist möglich. Für solche Übermittlungen stützt sich Stripe nach eigenen Angaben auf das EU-US Data Privacy Framework und auf Standardvertragsklauseln der EU-Kommission. Für einzelne Zwecke wie die Betrugsvorbeugung ist Stripe selbst verantwortlich und informiert darüber in der eigenen Datenschutzerklärung.

• Wir speichern, was für Vertrag und Rechnung nötig ist: E-Mail-Adresse, Tarif, Zeitraum, Betrag, Rechnungsangaben und die Zeitpunkte Ihrer Zustimmungen.
• Schulen können eine Kollegium-Lizenz auf Rechnung kaufen; dann ist kein Zahlungsdienstleister beteiligt.
• Rechnungen bewahren wir 8 Jahre ab Ende des Ausstellungsjahres auf, weil das Steuerrecht es verlangt (§ 147 AO), auch wenn Sie Ihr Konto löschen.
• Kündigungen und Widerrufe speichern wir als Nachweis bis zum Ende des dritten Jahres nach Eingang.
• Anfragen von Schulen ohne Auftrag löschen wir nach einem Jahr, nicht bezahlte Bestellungen nach 7 Tagen.
• Abrechnungsdaten haben nie etwas mit Schülerdaten zu tun.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten).

10. E-Mail

Wenn Sie uns schreiben, verarbeiten wir Ihre Nachricht und Ihre Adresse, um zu antworten (Art. 6 Abs. 1 lit. b oder f DSGVO), und löschen sie, wenn die Sache erledigt ist und keine Aufbewahrungspflicht besteht. Ein Dienst für den automatischen Versand von E-Mails ist noch nicht im Einsatz. Einen Newsletter gibt es nicht.

11. Empfänger

• Hetzner Online GmbH, Deutschland (Server und Datensicherung)
• Anthropic, PBC, USA (KI im Testbetrieb)
• Stripe Payments Europe, Limited, Irland (Bezahlung)
• der Anbieter unseres E-Mail-Postfachs, wenn Sie uns schreiben
• Behörden, wenn wir gesetzlich dazu verpflichtet sind

12. Ihre Rechte

Sie haben das Recht auf

• Auskunft über Ihre Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, außer wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Schreiben Sie dazu an die im Impressum genannte Adresse. Ihr Konto können Sie auch selbst löschen.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

13. Keine automatisierten Entscheidungen

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile. Das KI-Feedback ist ein Hinweis zum Überarbeiten, keine Bewertung und keine Note.

14. Änderungen

Wir passen diese Erklärung an, wenn sich Datenflüsse oder Anbieter ändern. Es gilt die Fassung mit dem Stand oben auf dieser Seite.