← Zurück zur Startseite

Löschkonzept

Stand: 28. August 2026

⇓ Als PDF herunterladen

Dieses Löschkonzept legt Löschregeln, Fristen, Auslöser, Umsetzung und Verantwortlichkeiten je Datenart fest. Grundsatz: Personenbezogene Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungs- oder Nachweispflicht mehr besteht (Art. 5 Abs. 1 lit. c und e, Art. 17 DSGVO). Die vorgeschlagenen Fristen sind verteidigbar begründet und von der Schule als Verantwortlicher zu bestätigen.

1. Auslöser für Löschungen

2. Löschregeln je Datenart

DatenartAuslöserFristUmsetzungVerantwortlich
Moodle-Webservice-Token (AES-256-GCM verschlüsselt, im signierten Sitzungsmerkmal auf dem Gerät, nicht in unserer Datenbank) Login (Neuerzeugung), Logout, Ablauf der Sitzung, Widerruf Sofort, kein Vorhalten über die Sitzung hinaus. Bei jeder Anmeldung wird ein neuer Token erzeugt und der alte damit wertlos. Beim Widerruf verliert er mit der Sperrung des Zugangs jede Wirkung; auf dem Gerät löschen kann ihn nur die Person selbst, durch Abmelden Automatisch (Neuerzeugung und Ablauf), auf Nutzeraktion (Abmelden) SchoolUP (technisch), nutzende Person (Gerät)
JWT-Sitzung (localStorage, clientseitig) Logout, Ablauf, Widerruf/Sperrung (Session-Gate) Mit Ablauf/Invalidierung; clientseitige Löschung durch nutzende Person möglich Automatisch (Ablauf) / clientseitig SchoolUP (Invalidierung), nutzende Person (lokal)
Identitäts-/Anmeldedaten (Moodle-Benutzername, Klarname) Widerruf, Schul-/Vertragsende Sperrung sofort bei Widerruf; Löschung mit Vertragsende bzw. nach Ablauf der Nachweisfrist (siehe Einwilligungsnachweis) Automatisch/halbautomatisch SchoolUP (technisch), Schulleitung (Auslösung)
Digitale Unterschrift (Bild, AES-256-GCM; gezeichnet oder als eingetippter Name vom Server gesetzt, mit Vermerk des Weges) / handschriftlicher Ausdruck Widerruf durch die betroffene Person; Schul-/Vertragsende Beim Widerruf durch die betroffene Person sofort gelöscht, bei unter 16-Jährigen beide Unterschriften. Nimmt die Schulleitung eine Bestätigung zurück, bleibt die Unterschrift als Nachweis nach Art. 7 Abs. 1 DSGVO stehen (Abschnitt 3.2). Ohne Widerruf bis Vertragsende. Handschriftliche Ausdrucke: Vernichtung durch die Schule Automatisch (digital) / manuell (Papier) SchoolUP (digital), Schule (Papier)
Einwilligungs-Nachweisdatensatz (Art der Einwilligung, Moodle-Benutzername, Klarname, das Merkmal „unter 16 ja/nein“, die Erklärung der Sorgeberechtigung, bei einer Kurs-Freigabe die Kursauswahl, die Bestätigung der Einwilligung, Fassung und Wortlaut des Einwilligungstexts, Zeitpunkt der Einreichung, Prüfstand der Schulleitung mit Zeitpunkt, Vermerk und Namen der entscheidenden Person), ohne Unterschrift, ohne Geburtsdatum, ohne Namen der erziehungsberechtigten Person. Eine Einreichungs-IP und ein Wohnsitz werden nicht erhoben Widerruf, Schul-/Vertragsende Aufbewahrung zu Nachweiszwecken bis zum Ablauf des dritten Kalenderjahres nach Widerruf bzw. Vertragsende (Anlehnung an §§ 195, 199 BGB), dann Löschung Automatisch. Der tägliche Löschlauf entfernt jede widerrufene Einwilligung, deren Frist abgelaufen ist (Abschnitt 4) SchoolUP (technisch), Schulleitung (fachliche Freigabe)
Kursmaterial-OCR (extrahierter Text, Dateiname, SHA-256-Hash, Vektor-Einbettungen, Lernthemen, ausgeschnittene Abbildungen) sowie Text der im Kurs verlinkten Webseiten (mit Webadresse); im Chat mitgeschickte Dateien werden NICHT gespeichert (siehe eigene Zeile unten) Rückzug der Kurs-Freigabe (durch die Lehrkraft oder die Schulleitung), Schul-/Vertragsende Löschung, sobald die Schule den Kurs abmeldet; spätestens bei Vertragsende. Für diese Daten gilt keine Frist, sondern der Anlass Mit dem Rückzug, im selben Zug. Material, Einbettungen, Einlese-Protokolle, Themen, die Lern-Notizen dieses Kurses, die Übungsklausuren samt Dateien und das Klausur-Stilprofil werden gelöscht, sobald die Freigabe fällt, ob die Lehrkraft sie selbst zurückzieht oder die Schulleitung sie zurücknimmt. Bis zum 28. August 2026 geschah das nur auf Anforderung Schulleitung (Auslösung), SchoolUP (Ausführung)
Datei oder Foto, das eine lernende Person zu einer Chatfrage mitschickt Ende der Verarbeitung dieser einen Frage; Zeitablauf Die Datei selbst wird nie gespeichert. Der daraus erkannte Text bleibt höchstens 30 Minuten im Arbeitsspeicher des Servers, damit Rückfragen zu demselben Blatt möglich sind, und wird in keine Datenbank geschrieben. Er überlebt keinen Neustart Automatisch (Zeitablauf im Arbeitsspeicher) SchoolUP (technisch)
KI-Tutor-Gesprächsverlauf (Fragen/Antworten): nur auf dem Gerät, nicht bei uns gespeichert Löschung in der App; Abmelden; Löschen der App bzw. der Browserdaten Sofort mit der Löschung auf dem Gerät. Bei uns entsteht keine Kopie, es gibt daher nichts zu befristen Auf Nutzeraktion (auf dem Gerät) lernende Person (Gerät)
Ergebnisse aus dem Selbst-Üben und aus dem Klausur-Check (entfallen seit dem 14. August 2026) Entfällt: es entsteht kein Datenbestand Es wird nichts gespeichert, also gibt es nichts zu löschen und nichts zu befristen. Die Rückmeldung „richtig, teilweise richtig, falsch“ samt Erklärung steht auf dem Bildschirm der lernenden Person und ist mit dem Verlassen der Übung vorbei.

Bis zum 13. August 2026 lagen hier drei Tabellen: die Übungszahlen je Kurs, der Lernstand je Thema (Punkte, Formen, Stärke, Wiederholungsfach, Fälligkeit) und die Abgabeschlüssel, mit denen eine doppelte Meldung erkannt wurde. Alle drei sind am 14. August 2026 abgeschafft. Sie werden nicht mehr beschrieben und beim nächsten Start der Anwendung gelöscht, einschließlich des Altbestands. Die beiden Löschregeln, die für sie galten, sind aus dem Löschlauf gestrichen; er hätte sonst jede Nacht auf Tabellen gezeigt, die es nicht gibt		 Entfällt SchoolUP (technisch, einmalig bei der Auslieferung)
Lern-Notizen des KI-Tutors („Was ich mir gemerkt habe“; je Kurs höchstens 40 Stichpunkte, pseudonym, im Ruhezustand AES-256-GCM-verschlüsselt) Zwölf Monate ohne Nutzung; Löschen in App oder Lern-Portal (einzeln oder alle); Verdrängung der ältesten Notiz oberhalb von 40; Widerruf; Rücknahme der Bestätigung durch die Schulleitung; Rückzug der Kurs-Freigabe; Vertragsende Frist: zwölf Monate ohne Nutzung, taggenau gerechnet. Jede einzelne Notiz wird gelöscht, sobald sie zwölf Monate lang nicht mehr geschrieben oder erneuert worden ist; schreibt der Tutor dieselbe Sache erneut auf, beginnt die Frist für sie neu. Wer den KI-Tutor zwölf Monate lang nicht benutzt, hat danach kein Gedächtnis mehr. Diese Frist vollzieht der tägliche Löschlauf ohne Zutun eines Menschen und protokolliert sie (Abschnitt 4). Sie gilt seit dem 14. August 2026; bis zum 13. August 2026 sagte dieses Konzept für die Lern-Notizen keine Frist zu, und der Löschlauf ließ sie deshalb stehen.

Daneben, unverändert, die Löschung an Ereignissen, und zwar an diesen fünf: jederzeit einzeln oder vollständig durch die betroffene Person selbst; automatisch, sobald eine 41. Notiz entsteht (die älteste fällt); beim Widerruf der Einwilligung über sämtliche Kurse hinweg; wenn die Schulleitung eine Bestätigung zurücknimmt; beim Rückzug der Kurs-Freigabe bzw. bei Vertragsende. Die Frist tritt neben diese fünf Auslöser und ersetzt keinen von ihnen		 Automatisch (täglicher Löschlauf); auf Nutzeraktion; automatisch bei Widerruf, Rücknahme, Verdrängung und beim Rückzug einer Kurs-Freigabe lernende Person (App und Lern-Portal), SchoolUP (technisch)
Lernthemen eines Kurses (aus dem Material gewonnen, kursbezogen, ohne Personenbezug) Rückzug der Kurs-Freigabe; Schul-/Vertragsende Löschung zusammen mit dem Kursmaterial, siehe die Zeile „Kursmaterial-OCR“ Mit dem Rückzug, im selben Zug wie das Kursmaterial Schulleitung (Auslösung), SchoolUP (Ausführung)
Selbst angelegte Kalender-Einträge (Titel, Art, Fälligkeit, Notiz, zugeordneter Kurs): nur auf dem Gerät, nicht bei uns gespeichert Löschen des Eintrags in der App; Löschen der App bzw. der Browserdaten Sofort mit der Löschung auf dem Gerät. Bei uns entsteht keine Kopie, es gibt daher nichts zu befristen. Die Abgabetermine aus dem Kurs werden bei jedem Aufruf frisch aus dem Moodle der Schule gelesen und nicht vorgehalten Auf Nutzeraktion (auf dem Gerät) lernende Person (Gerät)
Genannter Klausurtermin (z. B. „Klausur am 12.09. über Integrale“) wie Lern-Notizen Er wird als Lern-Notiz geführt und teilt deren Löschregeln, einschließlich der Frist von zwölf Monaten ohne Nutzung; von der Verdrängung oberhalb von 40 ist er ausgenommen, damit ein Termin nicht durch Alltagsnotizen verdrängt wird Auf Nutzeraktion / automatisch (Widerruf, Rücknahme) lernende Person (App und Lern-Portal), SchoolUP (technisch)
Schulleitungskonto (Benutzername, scrypt-Hash), Blacklist Schul-/Vertragsende Löschung mit Vertragsende Manuell/halbautomatisch SchoolUP (technisch), Schulleitung (Bestätigung)
Server-Logs (IP, Zeit, Pfad) Zeitablauf durch Rotation Rollierend nach Umfang: je Dienst höchstens fünf Dateien à 10 MB, danach wird die älteste verworfen. In der Praxis entspricht das wenigen Tagen. Eine Frist in Tagen gibt es nicht, die Grenze ist der Umfang; der tägliche Löschlauf fasst die Protokolle nicht an Automatisch (Rotation des Container-Protokolls, deploy/docker-compose.yml) SchoolUP (technisch)
Nachweis von Widerruf und Rücknahme (Status, Zeitpunkt der Entscheidung, Vermerk, Name der entscheidenden Person) Ablauf der Nachweisfrist Diese Angaben stehen in derselben Zeile wie der Einwilligungsnachweis und teilen dessen Frist. Ein gesondertes Ereignisprotokoll zu Widerruf und Sperrung wird nicht geführt Automatisch, im selben Löschlauf wie der Einwilligungsnachweis SchoolUP (technisch)
Betriebskennzahlen (Zahl der Fragen, Übungen und Löschungen je Schule und Tag) Zweckfortfall Tagesweise zusammengefasst und ohne Personenbezug: sie enthalten Schule, Kurs, Art und Anzahl, aber keine Kennung einer Person. Eine Frist ist deshalb nicht erforderlich. Aus diesen Zahlen besteht auch das Löschprotokoll Nicht erforderlich (kein Personenbezug) SchoolUP (technisch)
Verschlüsselte Sicherungen der Einwilligungs-Datenbank Rotation der Sicherungen Aktive Löschung wirkt sofort im Produktivsystem. Gesichert wird täglich um 03:30 UTC sowie zusätzlich von Hand vor jedem Eingriff am laufenden System; die Sicherungen sind mit AES-256 verschlüsselt und werden nach 30 Tagen rollierend verworfen. Eine gelöschte Zeile verschwindet damit spätestens 30 Tage nach der Löschung auch aus der letzten Sicherung. Die Sicherungen liegen auf demselben gemieteten Server Automatisch (Zeitgeber des Betriebssystems), zusätzlich manuell SchoolUP (technisch)
Abgegebene Übungsklausur: die Datei im Objektspeicher (verschlüsselt), ihr ausgelesener Text und die Rückmeldung in der Datenbank Löschung durch die lernende Person; Widerruf der Einwilligung; Rücknahme der Materialfreigabe des Kurses; Vertragsende Sofort auf Anforderung, sonst unbefristetes Vorhalten für die lernende Person selbst (sie soll ihre Klausur am nächsten Tag wiederfinden) Die Löschung geht zuerst an den Objektspeicher und danach an die Datenbank. Andersherum bliebe eine Datei zurück, von der keine Zeile mehr weiß. Ein täglicher Abgleichlauf listet den Klausurbereich jedes Mandanten, entfernt Dateien ohne zugehörige Zeile und zählt sie; die Zahl gehört null zu sein Nutzende Person (Auslösung), SchoolUP (Vollzug und Abgleichlauf)

3. Umsetzung des Widerrufs, der Rücknahme und des Rückzugs einer Kurs-Freigabe

3.1 Widerruf durch die betroffene Person

Widerruft eine Person ihre Nutzungseinwilligung in der App oder im Lern-Portal, geschieht Folgendes sofort und in einem Zug: der Datensatz wird auf den Status „widerrufen“ gesetzt und mit dem Zeitpunkt versehen, die digitale Unterschrift (bei unter 16-Jährigen beide Unterschriften), das Geburtsdatum und der Name der erziehungsberechtigten Person werden gelöscht, sämtliche Lern-Notizen des KI-Tutors werden über alle Kurse gelöscht, und der Zugang zum Tutor ist gesperrt. Ein Lernstand ist dabei nicht mehr zu löschen: seit dem 14. August 2026 entsteht aus dem Üben kein personenbezogener Bestand mehr (Abschnitt 2). Die Sperrung wirkt bei der nächsten Anfrage, nicht erst mit Ablauf der Sitzung.

3.2 Rücknahme einer Bestätigung durch die Schulleitung

Nimmt die Schulleitung eine bereits erteilte Bestätigung zurück, fällt dieselbe Rechtsgrundlage weg wie beim Widerruf durch die Person selbst. Deshalb werden auch hier die Lern-Notizen über alle Kurse sofort gelöscht und der Zugang endet.

Die Unterschrift bleibt in diesem Fall bestehen, und das ist Absicht: sie belegt, dass eingewilligt war, solange verarbeitet wurde (Art. 7 Abs. 1 DSGVO). Die Schule löscht mit ihrer eigenen Entscheidung nicht ihren eigenen Nachweis. Die Zeile trägt dann den Status „abgelehnt“, nicht „widerrufen“; die Nachweisfrist des Abschnitts 2 knüpft an den Widerruf durch die Person an. Will die Schule den Nachweis darüber hinaus löschen lassen, ist das eine Weisung nach dem Auftragsverarbeitungsvertrag.

3.3 Rückzug einer Kurs-Freigabe

Der Widerruf der Nutzungseinwilligung berührt eine Kurs-Freigabe nicht: das sind zwei getrennt erteilte Einwilligungen, und eine Lehrkraft, die ihre eigene Nutzung beendet, soll damit nicht ihrer Klasse den Tutor abschalten. Eine Kurs-Freigabe wird gesondert zurückgezogen, auf drei Wegen: die Lehrkraft selbst im Portal für Lehrkräfte, kursweise; die Lehrkraft, indem sie beim erneuten Einreichen das Häkchen eines Kurses wegnimmt; oder die Schulleitung, indem sie die Freigabe im Leitungsportal zurücknimmt.

Mit dem Rückzug endet der Zugriff auf diesen Kurs sofort, und die zu diesem Kurs gespeicherten Daten werden im selben Zug gelöscht: das eingelesene Material mit seinen Einbettungen, die Einlese-Protokolle, die destillierten Themen, die Lern-Notizen aller Lernenden dieses Kurses, die Übungsklausuren samt der abgegebenen Dateien im Objektspeicher und das Klausur-Stilprofil der Lehrkraft. Es braucht dafür keine Anforderung und keinen Menschen mehr.

Bis zum 28. August 2026 war das anders, und dieses Konzept sagte es auch so: der Rückzug beendete nur den Zugriff, die Löschung lief auf Anforderung. Das war aus zwei Gründen zu wenig. Erstens gab es den wichtigsten Weg gar nicht: eine Lehrkraft konnte ihre eigene Freigabe nicht zurückziehen, sie musste die Schulleitung bitten, ihre Einwilligung abzulehnen. Zweitens blieb Material, dessen Grundlage weggefallen war, so lange liegen, bis jemand daran dachte. Beides ist behoben.

Welche Tabellen zu einem Kurs gehören, wird dabei bei der Datenbank erfragt und nicht in einer Liste gepflegt, dieselbe Bauart wie beim Vertragsende (Abschnitt 3.4) und aus demselben Grund. Der Lauf zählt vor dem Löschen, was er entfernt, und die Dateien im Objektspeicher gehen vor den Datenbankzeilen, damit keine Datei zurückbleibt, von der niemand mehr weiß, dass es sie gibt.

Was stehen bleibt, ist der Nachweis: in der Einwilligung steht weiterhin, welcher Kurs wann freigegeben und wann zurückgezogen wurde. Art. 7 Abs. 1 DSGVO verlangt den Beleg, dass eingewilligt war, solange verarbeitet wurde.

3.4 Ende des Vertrages

Endet die Nutzung durch die Schule, wird ihr Bestand vollständig entfernt, und zwar in einem Zug: das eingelesene Kursmaterial mit seinen Einbettungen und destillierten Themen, die Lern-Notizen aller Lernenden, die Übungsklausuren samt der abgegebenen Dateien im Objektspeicher, die Nutzungszahlen und der Verbrauchsnachweis, dazu die Schule selbst mit Schulleitungszugängen und Einwilligungen.

Welche Tabellen dazugehören, wird dabei bei der Datenbank erfragt und nicht in einer Liste gepflegt. Eine gepflegte Liste war der Grund, warum die Löschung bis zum 25. August 2026 unvollständig war: sie kannte fünf von elf Stellen. Der Lauf zählt vor dem Löschen, was er entfernt, und meldet, was nicht ging; dieser Bericht ist der Nachweis.

Die Wahl zwischen Löschen und Rückgabe. Der Auftragsverarbeitungsvertrag lässt der Schule beides. Auf Anforderung stellen wir vor der Löschung eine Rückgabedatei bereit: die vollständige Einwilligungsakte mit Namen, Geburtsdaten, Namen der erziehungsberechtigten Personen, gewählten Kursen, Fassung und vollem Wortlaut des Einwilligungstexts, dem Prüfvermerk der Schulleitung samt Namen und Zeitpunkt und beiden Unterschriftsbildern im Klartext. Sie ist der Nachweis nach Art. 7 Abs. 1 DSGVO, den die Schule für den Zeitraum ihrer Verarbeitung führen muss. Danach ist nichts mehr da, was sich zurückgeben ließe.

Was die Rückgabe bewusst nicht enthält, und warum. Übungsklausuren, abgegebene Bearbeitungen samt Rückmeldung und die Lern-Notizen des Tutors gehen nicht an die Schule. Sie sind personenbezogene Daten, für die die Schule verantwortlich ist, und trotzdem bleiben sie draußen: das Produkt sagt der lernenden Person an jeder Abgabe zu, dass niemand außer ihr sie sieht, auch keine Lehrkraft. Diese Zusage endet nicht mit dem Vertrag, und sie am Vertragsende auszuhändigen wäre ihr Bruch zu dem Zeitpunkt, an dem die betroffene Person am wenigsten damit rechnet. Die Person selbst verliert dabei nichts: „Meine Daten“ gibt ihr jederzeit eine eigene Kopie, im Lern-Portal und in der App. Mit dem Vertragsende werden diese Bestände gelöscht. Das eingelesene Kursmaterial geht ebenfalls nicht mit: es stammt aus dem Moodle der Schule und liegt dort unverändert. Die Rückgabedatei nennt jede dieser Auslassungen mit ihrer Begründung, damit niemand eine Entscheidung für eine Lücke hält.

3.5 Was der Widerruf nicht erreicht

Der Moodle-Zugriffstoken liegt nicht bei uns, sondern verschlüsselt im Sitzungsmerkmal auf deinem Gerät. Wir können ihn dort nicht löschen; mit der Sperrung des Zugangs verliert er jede Wirkung, und er läuft mit der Sitzung ab. Ebenso liegt der Gesprächsverlauf auf dem Gerät und wird dort von der Person selbst gelöscht.

Der verbleibende Nachweisdatensatz (dass eine Einwilligung bestand, in welchem Wortlaut, und dass sie widerrufen wurde) dient ausschließlich der Rechenschaftspflicht (Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO). Seine Löschung nach Ablauf der Nachweisfrist führt der tägliche Löschlauf aus.

4. Der tägliche Löschlauf

Fristen, die niemand durchsetzt, sind keine Fristen. SchoolUP führt deshalb einen täglichen Löschlauf, der die Fristen dieses Konzepts ohne Zutun eines Menschen vollzieht. Er läuft einmal je Nacht um 03:15 UTC, also in Deutschland zwischen vier und halb fünf Uhr morgens.

Was er löscht, und ausschließlich das:

Das sind zwei Regeln, und die zweite ist seit dem 14. August 2026 dabei. Bis zum 13. August 2026 führte der Lauf nur die erste aus. Für die Lern-Notizen sagte dieses Konzept damals keine Frist zu, sondern ausschließlich Löschung an Ereignissen; der Lauf zählte sie deshalb, ließ sie aber stehen. Mit der Entscheidung vom 14. August 2026 gilt für sie zusätzlich die Frist von zwölf Monaten, und weil sie hier steht, vollzieht der Lauf sie. Ebenfalls bis zum 13. August 2026 standen daneben zwei weitere Regeln, die Übungszahlen je Kurs und der Lernstand je Thema. Beide sind ersatzlos gestrichen, weil es die Tabellen nicht mehr gibt, auf die sie zeigten (Abschnitt 2). Ein Löschkonzept, das mehr Regeln nennt, als der Lauf ausführt, ist genauso falsch wie eines, das zu wenige nennt. Deshalb stehen beide Änderungen hier und nicht nur im Quelltext.

Die Reihenfolge, in der eine Frist entsteht, ist Teil dieses Konzepts. Der Lauf führt eine Regel nur aus, wenn dieses Konzept sie mit einer Fundstelle nennt. Eine neue Frist wird deshalb zuerst hier aufgenommen und erst danach im System scharf gestellt, nie umgekehrt. Eine Prüfung im Quelltext hält beide Seiten aneinander: sie liest dieses Dokument und vergleicht es mit den Regeln des Laufs.

Was er ausdrücklich nicht anfasst: Kursmaterial, Lernthemen, Server-Protokolle und Sicherungen. Für sie gilt kein Zeitablauf, sondern ein Anlass oder eine Rotation (Abschnitt 2). Ein Lauf, der mehr löscht als zugesagt, ist genau der Vorfall, den er verhindern soll; was er wegen fehlender Fundstelle stehen lässt, vermerkt er jeden Tag in seinem Protokoll.

Die Sicherungen gegen einen Lauf, der zu viel nimmt: Er zählt zuerst und löscht erst, wenn die Menge feststeht. Er nimmt höchstens 500 Zeilen je Lauf. Und er bricht ab, wenn eine einzelne Regel ab zehn fälligen Zeilen mehr als ein Viertel des Bestands ihrer Tabelle träfe. Greift eine der beiden Grenzen, löscht er in diesem Lauf gar nichts und vermerkt den Abbruchgrund. Ein halber Löschlauf ist schwerer zu erklären als gar keiner.

Das Löschprotokoll. Jeder Lauf schreibt seine Spur in die Datenbank, nicht nur in ein Container-Protokoll, das einen Neustart nicht überlebt. Festgehalten werden je Schule und Tag: in welchem Zustand gelaufen wurde, wie viele Zeilen je Datenart wirklich gelöscht wurden, wie viele fällig gewesen wären und wie viele bewusst stehen gelassen wurden. Die Spur enthält keine Kennung einer Person, keinen Kurs und keinen Text, sondern Schule, Datenart, Anzahl und Tag. Sie lässt sich nicht über die normale Schnittstelle des Dienstes fälschen. Die Schule kann sie jederzeit anfordern; damit ist die Frage „zeigen Sie mir Ihr Löschprotokoll“ auch Monate später beantwortbar.

Der Lauf läuft genau einmal je Tag, auch wenn der Dienst mehrfach neu startet oder in mehreren Instanzen läuft: der erste Lauf des Tages beansprucht den Tag in der Datenbank, jeder weitere findet ihn vergeben. Diese Entscheidung trifft die Datenbank und nicht eine Annahme über die Zahl der Instanzen.

5. Betroffenenrechte und Export

Auskunfts-, Export- und Löschanträge richten betroffene Personen an die Schule als Verantwortliche. SchoolUP stellt der Schule die Daten der betroffenen Person auf Anforderung innerhalb von zwei Wochen als Datei bereit, sodass die Schule die Monatsfrist des Art. 12 Abs. 3 DSGVO einhalten kann (Unterstützungspflicht nach Art. 28 Abs. 3 lit. e DSGVO).

Was jede Person ohne Antrag selbst tun kann:

6. Dokumentation und Verantwortlichkeiten