Datenschutzerklärung
1. Verantwortlicher für die Webseite
Hübner/Eßer GbR, vertreten durch die Gesellschafter Elias Eßer und Sean Hübner, Süchtelner Straße 33, 47877 Willich-Anrath, kontakt@school-up.de, Telefon +49 157 89160932 (Art. 13 Abs. 1 lit. a DSGVO).
Eine/n Datenschutzbeauftragte/n haben wir derzeit nicht benannt. Fragen zum Datenschutz richten Sie bitte an kontakt@school-up.de.
2. Aufruf der Webseite
Beim Aufruf überträgt Ihr Browser technisch notwendig Ihre IP-Adresse und übliche Angaben (angefragte Adresse, Browserkennung). Wir verarbeiten sie nur, um die Seite auszuliefern, und speichern sie nicht: Der Webserver führt kein Zugriffsprotokoll. IP-Adressen werden nur für die Dauer der Verbindung verarbeitet (technisch notwendig). Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
Hosting: netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe (Rechenzentrum in Deutschland), als Auftragsverarbeiter (Art. 28 DSGVO).
Schriften werden vom eigenen Server geladen; keine Verbindung zu Google Fonts oder anderen Dritten. Kein Analysedienst, kein Pixel, keine Werbung.
Zum Schutz vor Überlastung zählt der Webserver Anfragen je IP-Adresse für höchstens eine Minute im Arbeitsspeicher; gespeichert wird dabei nichts (Art. 6 Abs. 1 lit. f DSGVO).
3. Cookies und Speicher im Browser
Die Webseite school-up.de setzt keine Cookies und legt nichts im Browser ab. Die App verwendet ausschließlich Speicher, die für den ausdrücklich gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig:
| Name | Art | Inhalt und Zweck | Dauer |
|---|---|---|---|
su_sitzung | Cookie (HttpOnly, Secure, SameSite=Lax, Pfad /) | Anmeldung: bei Anmeldung mit Passwort: Moodle-Zugangsschlüssel (Token), Moodle-Nutzerkennung und Anzeigename; bei Anmeldung über Moodle: Moodle-Nutzerkennung und die von Moodle bestätigten Kurse, je Kurs auch, ob die Person im Kurs lehrend ist (von Moodle signiert bestätigt); außerdem die Kennungen der Kurse, die Moodle zuletzt als Kurse der Person genannt hat, mit Ablaufzeit (gültig höchstens 5 Minuten, danach fragt SchoolUP Moodle erneut); bei einem Demo-Zugang für interessierte Schulen: die Kennung des Zugangs und die Kurse der Testschule von SchoolUP – jeweils verschlüsselt mit AES-256-GCM, auf dem Server nicht gespeichert | 8 Stunden oder bis zum Abmelden |
su_aktivierung | Cookie (HttpOnly, Secure, SameSite=Lax, Pfad /) | Aktivierung: trägt die Einwilligung von der Aktivierungsseite bis zur Anmeldung des Moodle-Kontos; versiegelt (AES-256-GCM): Schule, Gruppe (Eltern), Fassung der Einwilligung, Ablauf – keine Personendaten | bis zur Anmeldung, höchstens 2 Stunden |
su_verlauf_v3_<Kurs-ID> | localStorage im Browser | Gesprächsverlauf eines Kurses (Fragen, Antworten, Fundstellen, auf Wunsch übersetzte Antworten), höchstens 40 Nachrichten – damit das Gespräch beim nächsten Öffnen weitergeht; ausschließlich auf dem Gerät | bis durch „Verlauf löschen" in der App, automatisch beim Abmelden, oder durch Löschen der Browserdaten |
su_verlauf_v3_frueher_<Kurs-ID> | localStorage im Browser | frühere Gespräche eines Kurses, die mit „Neues Gespräch" abgelegt wurden (Anfang der ersten Frage als Titel, Datum, Nachrichten wie im Verlauf); höchstens 10 Gespräche mit je höchstens 40 Nachrichten – damit ein früheres Gespräch wieder geöffnet werden kann; ausschließlich auf dem Gerät | bis „Frühere Gespräche löschen" im Chat, „Verlauf löschen" in der App, automatisch beim Abmelden, oder durch Löschen der Browserdaten |
su_sprache_v1 | localStorage im Browser | die selbst gewählte Sprache für Übersetzungen und ob jede Antwort gleich übersetzt werden soll – damit der Knopf unter einer Antwort in die gewählte Sprache übersetzt; ausschließlich auf dem Gerät. Die Sprache geht nur mit einer Übersetzung an SchoolUP und Mistral AI; weder SchoolUP noch Mistral AI speichern sie. | bis Ändern unter „Einstellungen“, „Verlauf löschen“, automatisch beim Abmelden, oder durch Löschen der Browserdaten |
su_darstellung_v1 | localStorage im Browser | ob die App hell oder dunkel erscheint (nur gesetzt, wenn die Person nicht „Wie mein Gerät“ gewählt hat) – Darstellung; enthält nichts über die Person und bleibt deshalb auch nach dem Abmelden | bis Ändern unter „Einstellungen“ oder durch Löschen der Browserdaten |
su_lernen_v1_<Kurs-ID> | localStorage im Browser | Lernmodus eines Kurses: Stand je Thema (0–100), die laufende Sitzung (Aufgaben, Punkte, Serie), Kennungen schon bekannter Aufgabenpakete (höchstens 300) und ein Rückblick auf die letzten 30 Sitzungen – damit eine Lernsitzung unterbrochen und fortgesetzt werden kann und man den eigenen Stand sieht; ausschließlich auf dem Gerät, niemand sonst sieht ihn | bis „Verlauf löschen", automatisch beim Abmelden, oder durch Löschen der Browserdaten |
su_karten_v2_<Kurs-ID> | localStorage im Browser | Karteikarten-Stapel eines Kurses: aus dem Chat übernommene oder selbst geschriebene Karten (Titel, Vorder- und Rückseiten) und je Karte der Wiederholungsplan (nächste Fälligkeit, Abstand, Leichtigkeit, Zahl der Wiederholungen und der Fehler) sowie je Stapel, wie viele neue Karten heute begonnen wurden; höchstens 100 Stapel je Kurs und 2.000 Karten je Stapel – damit Karteikarten in wachsenden Abständen wiederholt werden können (wie in Anki); ausschließlich auf dem Gerät. Selbst geschriebene Karten und der Wiederholungsplan gehen nie an SchoolUP. Als Datei gesichert (oder für Anki exportiert) wird nur, wenn die Person es auslöst; die Datei bleibt bei ihr. | bis Löschen in der App, „Verlauf löschen", automatisch beim Abmelden, oder durch Löschen der Browserdaten. Stapel im früheren Format (su_karten_v1_…) werden beim ersten Öffnen übernommen und dann entfernt. |
su_klausur_v1_gesehen_<Kurs-ID> | localStorage im Browser | Welche Probeklausuren dieses Gerät im Kurs schon kennt: zufällige Kennung aus dem Klausurpool und eine Kurzfassung der Aufgaben (Titel und Anfang der Teilaufgaben); höchstens 40, keine Antworten – damit keine Klausur zweimal oder in ähnlicher Form wiederkommt, auch wenn sie in der App gelöscht wurde; wird nur mit der Anfrage einer neuen Klausur an den Server geschickt und dort nicht gespeichert | bis „Verlauf löschen", automatisch beim Abmelden, oder durch Löschen der Browserdaten |
su_klausur_v1_<Kurs-ID> | localStorage im Browser | Probeklausuren eines Kurses: Bogen, versiegelter Erwartungshorizont (nur vom Server lesbar), eigene Antworten, aus Fotos gelesener Text und Rückmeldung; höchstens 10 je Kurs – damit eine Probeklausur über mehrere Tage bearbeitet und die Rückmeldung wieder angesehen werden kann; ausschließlich auf dem Gerät | bis durch Löschen in der App, „Verlauf löschen", automatisch beim Abmelden, oder durch Löschen der Browserdaten |
su_konto_v1 | localStorage im Browser | ein Fingerabdruck des angemeldeten Kontos (22 Zeichen, vom Server aus Schule und Moodle-Kennung mit einem geheimen Schlüssel berechnet; daraus lässt sich die Kennung nicht zurückrechnen) – auf geteilten Geräten: meldet sich ein anderes Konto an, löscht die App zuerst alles, was das vorige Konto auf dem Gerät gespeichert hat; ausschließlich auf dem Gerät | bis automatisch beim Abmelden, oder durch Löschen der Browserdaten |
Die Verwaltung von SchoolUP (verwaltung.school-up.de) nutzen nur Mitarbeitende von SchoolUP. Dort setzen wir zwei unbedingt erforderliche Cookies (HttpOnly, Secure, SameSite=Strict, nur auf der Adresse der Verwaltung) (§ 25 Abs. 2 Nr. 2 TDDDG): su_verwaltung – Anmeldung in der Verwaltung (verschlüsselt: Kennung und Name des Admins), 8 Stunden oder bis zum Abmelden; su_verwaltung_hf – Einmal-Herausforderung der Passkey-Anmeldung (verschlüsselt), 5 Minuten. Im Browser (localStorage) merkt sich die Verwaltung je Admin nur, wann die Liste der Anfragen zuletzt angesehen wurde, damit neue markiert werden.
4. Vertrag mit Schulen
Für Verträge mit Schulen verarbeiten wir als Verantwortlicher: Name, E-Mail und Telefon der Ansprechperson der Schule; Anschrift der Schule und Name der Schulleitung (für den Vertrag); Vertragspartner, Lizenz, Laufzeit, Unterschriftsdatum; wann wir den Aktivierungslink an die Schule geschickt und sie über geänderte Unterlagen informiert haben (Art. 6 Abs. 1 lit. b DSGVO; für Ansprechpersonen, die nicht selbst Vertragspartner sind: Art. 6 Abs. 1 lit. f DSGVO). Die Angaben liegen verschlüsselt in unserem Schulverzeichnis und werden täglich gesichert.
Wir löschen sie nach Ende des Vertrags, sobald mögliche Ansprüche aus dem Vertrag verjährt sind (in der Regel drei Jahre zum Jahresende, §§ 195, 199 BGB); Rechnungen und Buchungsbelege bewahren wir so lange auf, wie es das Steuerrecht vorschreibt (§ 147 AO).
5. Schulwähler und Anfrage einer Schule
Der Schulwähler lädt die Liste der teilnehmenden Schulen; dabei werden keine personenbezogenen Daten übertragen.
Schreiben Sie uns eine E-Mail, verarbeiten wir sie, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Unser Postfach betreibt Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (E-Mail-Postfach kontakt@school-up.de (Microsoft 365 / Exchange Online)). Auftragsverarbeitung nach dem Datenschutznachtrag für Microsoft-Produkte und -Dienste (Microsoft Products and Services Data Protection Addendum, Art. 28 DSGVO). Eine Übermittlung an die Microsoft Corporation in den USA ist nicht ausgeschlossen; sie stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem Microsoft zertifiziert ist, sowie auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
E-Mail-Anfragen ohne Vertragsschluss löschen wir 6 Monate nach der letzten Nachricht.
Presseartikel, Rechtsdokumente und unsere Profile bei Instagram und LinkedIn sind verlinkt, nicht eingebettet; Daten fließen erst beim Anklicken an die jeweilige Seite.
6. Formular „Schule anfragen“
Die Anfrage beantworten und einen Vertrag mit der Schule anbahnen. Dafür verarbeiten wir als Verantwortlicher: Schule und Ort; Name, Rolle und E-Mail-Adresse der anfragenden Person; Lernplattform der Schule; Nachricht (freiwillig, höchstens 1.000 Zeichen); Zeitpunkt des Eingangs; unser Stand der Anfrage (neu, im Gespräch, Pilot geplant, abgesagt), ein Datum zur Wiedervorlage und unsere interne Notiz zum Gespräch. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Ansprechpersonen, die nicht selbst Vertragspartner werden: Art. 6 Abs. 1 lit. f DSGVO.
Verschlüsselt (AES-256-GCM) im Schulverzeichnis von SchoolUP auf unserem Server bei netcup in Deutschland. Im Betriebsprotokoll steht nur, dass eine Anfrage einging, ohne Inhalt. Frühere Fassungen des Verzeichnisses (die letzten 60) und seine Sicherungen (auf dem Server 7 Tage, beim Betreiber die letzten 30) enthalten die Anfrage, bis sie durch neuere ersetzt sind. Zum Schutz vor Missbrauch zählt die App Anfragen je IP-Adresse höchstens eine Stunde im Arbeitsspeicher (höchstens 5 je Stunde).
Löschung: 6 Monate nach Eingang, wenn kein Vertrag zustande kommt. Legen wir die Schule an, gehen Name und E-Mail-Adresse als Ansprechperson in die Vertragsunterlagen über und die Anfrage wird gelöscht.
7. Demo-Zugang für Schulen
Interessierten Schulen schicken wir auf Wunsch einen Demo-Link (höchstens 30 Tage gültig). Damit lässt sich die App ohne Moodle-Konto in unserer Testschule ausprobieren. Wir legen dazu in unserem verschlüsselten Schulverzeichnis an, für wen der Link ist und bis wann er gilt; gelöscht wird das 30 Tage nach dem letzten Tag. Die Sitzung liegt wie jede Anmeldung verschlüsselt im Cookie su_sitzung (höchstens 8 Stunden, längstens bis zum letzten Tag des Links). Fragen gehen für die Antwort an Mistral AI (EU-Endpunkt), ohne Namen und Kennungen; SchoolUP speichert und protokolliert sie nicht, der Gesprächsverlauf bleibt auf dem Gerät. Zum Schutz vor Missbrauch zählt die App Aufrufe je IP-Adresse höchstens eine Minute im Arbeitsspeicher (10 je Minute). Bitte keine Daten über Schülerinnen und Schüler eingeben. Rechtsgrundlage ist die Anbahnung eines Vertrags mit Ihrer Schule (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse, SchoolUP vorzuführen (Art. 6 Abs. 1 lit. f DSGVO).
Die Antworten erzeugt ein Sprachmodell von Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich, als unser Auftragsverarbeiter (Art. 28 DSGVO). Für SchoolUP ist bei Mistral AI „Zero Data Retention“ eingeschaltet (seit 27.10.2026): Mistral speichert und protokolliert Ein- und Ausgaben nicht über die Erzeugung der Antwort hinaus (ohne diese Einstellung wären es bis zu 30 Tage zur Missbrauchserkennung); für das Training von Modellen werden sie nicht genutzt. Mistral erfährt dabei keine Namen und keine Kennungen der Personen.
8. Hilfe-Chat auf der Webseite
Der Hilfe-Chat auf der Webseite beantwortet Fragen zu SchoolUP. Die Frage und bis zu 6 vorherige Nachrichten des Chats gehen dafür an Mistral AI (EU-Endpunkt); SchoolUP speichert und protokolliert sie nicht. Der Verlauf liegt nur im geöffneten Browserfenster (nicht gespeichert, auch nicht im Browser) und ist beim Neuladen weg. Frühere Antworten schickt der Browser mit einem Siegel von SchoolUP zurück; ohne gültiges Siegel werden sie nicht verwendet. Zum Schutz vor Missbrauch wird die IP-Adresse als Zähler im Arbeitsspeicher gehalten: höchstens eine Minute (6 Fragen je Minute) und als Tageszähler höchstens 24 Stunden (40 Fragen je Tag). Bitte keine personenbezogenen Daten eingeben. Rechtsgrundlage ist unser berechtigtes Interesse, Fragen zu SchoolUP schnell zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).
Die Antworten erzeugt ein Sprachmodell von Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich, als unser Auftragsverarbeiter (Art. 28 DSGVO). Für SchoolUP ist bei Mistral AI „Zero Data Retention“ eingeschaltet (seit 27.10.2026): Mistral speichert und protokolliert Ein- und Ausgaben nicht über die Erzeugung der Antwort hinaus (ohne diese Einstellung wären es bis zu 30 Tage zur Missbrauchserkennung); für das Training von Modellen werden sie nicht genutzt. Mistral erfährt dabei keine Namen und keine Kennungen der Personen. Es antwortet nur aus unseren eigenen Unterlagen und kann sich irren; maßgeblich sind die verlinkten Dokumente (Art. 50 Abs. 1 KI-VO).
9. Die SchoolUP-App
Für die Verarbeitung in der App ist Ihre Schule verantwortlich (Art. 4 Nr. 7 DSGVO); SchoolUP ist ihr Auftragsverarbeiter (Art. 28 DSGVO). Was genau verarbeitet wird, steht in der Datenschutzinformation für Schülerinnen und Schüler, die Ihre Schule ausgibt, und auf der Seite „Wie SchoolUP arbeitet".
Kurz: Die Anmeldung läuft über das Moodle der Schule – entweder aus dem Kurs heraus (dann erhält SchoolUP nur eine Nutzerkennung, den Kurs und ob die Person dort lehrt) oder mit Moodle-Passwort, das nur an das Moodle der Schule geht. Fragen werden für die Antwort an Mistral AI SAS (EU-Endpunkt) übermittelt, ohne Namen und Kennungen, und bei SchoolUP nicht gespeichert. Für SchoolUP ist bei Mistral AI „Zero Data Retention“ eingeschaltet (seit 27.10.2026): Mistral speichert und protokolliert Ein- und Ausgaben nicht über die Erzeugung der Antwort hinaus (ohne diese Einstellung wären es bis zu 30 Tage zur Missbrauchserkennung); für das Training von Modellen werden sie nicht genutzt. Mistral erfährt dabei keine Namen und keine Kennungen der Personen. Der Gesprächsverlauf liegt nur auf dem Gerät.
App für iPhone und iPad: Die App im App Store ist eine eigene iPhone- und iPad-App. Sie spricht mit demselben Server wie die Web-App unter app.school-up.de und verarbeitet nichts anderes als im Browser, ohne Analyse oder Werbung. Gespräche, Probeklausuren, Karteikarten und Lernstand speichert sie wie der Browser nur auf dem Gerät. Die Kamera nutzt sie nur nach Freigabe für Fotos einer Aufgabe und den Gerätewechsel, die Fotomediathek nur für ein ausgewähltes Foto. Für das Herunterladen aus dem App Store ist Apple Distribution International Ltd., Irland, selbst verantwortlich; SchoolUP erhält dabei keine Daten über Personen.
10. Widerspruchsrecht
11. Ihre Rechte
Sie haben gegenüber dem jeweils Verantwortlichen das Recht auf:
- Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO), soweit die Verarbeitung auf Einwilligung oder Vertrag beruht
- Widerspruch gegen die Verarbeitung aus Gründen der besonderen Situation, soweit sie auf berechtigtem Interesse beruht (Art. 21 Abs. 1 DSGVO)
- Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), zum Beispiel bei: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf
Bei der App wenden Sie sich am besten an Ihre Schule; Anfragen an uns leiten wir an die Schule weiter.