Datenschutzhinweise

1. Verantwortlicher und Kontakt

Matthias Heßler
HfPolBW
Vogesenstraße 22
77933 Lahr / Schwarzwald
Deutschland

E-Mail: hesslerm@hfpol-bw.de
Interne Durchwahl: 2102

Soweit Studipfad im Rahmen einer dienstlichen Organisation oder als Angebot einer öffentlichen Stelle betrieben wird, ist die datenschutzrechtliche Verantwortlichkeit nach der konkreten organisatorischen Einbindung zu bestimmen. In diesem Fall gelten die Zuständigkeiten und Datenschutzkontakte der verantwortlichen öffentlichen Stelle vorrangig.

2. Zwecke und Rechtsgrundlagen

Personenbezogene Daten werden nur für festgelegte und legitime Zwecke verarbeitet und auf das erforderliche Maß beschränkt. Je nach Nutzung kommen insbesondere Art. 6 Abs. 1 lit. b DSGVO für angeforderte Konto- und Plattformfunktionen, Art. 6 Abs. 1 lit. c DSGVO für rechtliche Pflichten und Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Missbrauchsabwehr und stabilen Betrieb in Betracht, soweit diese Rechtsgrundlage im konkreten Einsatz anwendbar ist.

Bei einem Betrieb zur Wahrnehmung öffentlicher Aufgaben kann Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit der einschlägigen gesetzlichen Grundlage maßgeblich sein. Freiwillige Zusatzfunktionen können auf einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO beruhen. Eine Einwilligung wird nur verwendet, wenn sie tatsächlich freiwillig ist und mit Wirkung für die Zukunft widerrufen werden kann.

3. Registrierung, Konten und Rollen

Bei der Selbstregistrierung kann eine persönliche Kennung (USBNK) verwendet werden. Daraus wird eine Hochschuladresse mit der Endung @hfpol-bw.de vorgeschlagen. Alternativ kann freiwillig eine private E-Mail-Adresse angegeben werden. Die gewählte Adresse wird für Kontobestätigung, Zugangsnachrichten und Passwortwiederherstellung verwendet. Nach Bestätigung der Adresse wird der Zugang administrativ geprüft und freigeschaltet. Die Bestätigung eines privaten Postfachs belegt keine Hochschulzugehörigkeit.

E-Mail-Hinweise zu Lernaufträgen sind eine getrennte, freiwillige Zusatzfunktion auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Sie sind standardmäßig ausgeschaltet und können bei der Registrierung oder in den Einstellungen aktiviert und jederzeit mit Wirkung für die Zukunft ausgeschaltet werden. Zur Dokumentation werden die aktuelle Einstellung und bei aktivierter Einstellung der Zeitpunkt der Einwilligung gespeichert. Die Aufgaben bleiben auch ohne E-Mail-Hinweise in der Plattform verfügbar. Nachrichten enthalten einen Hinweis und einen Link zum Auftrag, keine persönlichen Antworten oder Bewertungen. Beim Versand verarbeitet der eingesetzte Maildienst die Empfängeradresse und den Nachrichteninhalt; auch der Mailanbieter des gewählten Postfachs erhält die Nachricht.

Für Konten können insbesondere E-Mail-Adresse, Benutzername, kryptografischer Passwort-Hash, Verifizierungs- und Einladungsdaten, Rollen, Klassenzuordnungen, Konto-Status und technische Sitzungsinformationen verarbeitet werden.

Studipfad unterscheidet derzeit unter anderem Lernende, Lehrkräfte, Lehrkräfte Pro, Admins und Super-Admins. Lehrkraft- und Administrationsrechte werden administrativ vergeben; Rollenänderungen dürfen nur durch hierzu berechtigte Administrationskonten erfolgen.

Für dienstlich angelegte oder eingeladene Zugänge können zusätzlich dienstliche Kennungen, daraus gebildete dienstliche E-Mail-Adressen, Klassenbezug und Einladungsstatus verarbeitet werden. Passwörter werden nicht im Klartext gespeichert und können von Administrationskonten nicht ausgelesen werden.

4. Live-Quiz, Buzzer-Quiz, Arbeitsaufträge und Statistiken

Zuordnungen zu Lerngruppen steuern, welche Lernaufträge im persönlichen Eingang erscheinen. Berechtigte Lehrkräfte verwalten die jeweiligen Gruppen und ihre Aufträge. Persönliche Bearbeitungsmarkierungen werden kontobezogen gespeichert. Abgelaufene oder abgeschlossene Aufträge können als Archiv zum Nachlesen erhalten bleiben. Die zuständige Lehrkraft kann Aufträge ausblenden oder löschen; beim Löschen eines veröffentlichten Baustein-Auftrags werden seine Gruppenzuordnungen und persönlichen Bearbeitungsmarkierungen mit entfernt.

Bei Live-Formaten können Anzeigename oder Nickname, Avatar, Spiel-PIN, Antworten, Punkte, Zeitstempel, Spiel- und Sitzungskennungen sowie technische Wiederverbindungsdaten verarbeitet werden. Beim Buzzer-Quiz können zusätzlich die Reihenfolge gültiger Buzzer-Ereignisse und die durch die Lehrkraft vergebene Richtig-/Falsch-Wertung verarbeitet werden.

Bei Arbeitsaufträgen können Bearbeitungsstand, Antworten, Abgabe- oder Fortschrittsinformationen und Wiederaufnahme-Tokens verarbeitet werden. Für den technischen Betrieb und die Statistik können außerdem Starts, Teilnahmen, Verbindungsabbrüche und Wiederverbindungen erfasst werden.

Diese Daten dienen der Durchführung des jeweiligen Lernangebots, der Anzeige von Ergebnissen, der Fehleranalyse und der technischen Stabilität. Nach aktuellem Funktionsstand findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO statt.

6. H5P, Import und öffentliche Freigaben

H5P-Pakete können importiert, geprüft, gespeichert, bearbeitet und – soweit unterstützt – in Studipfad-Inhalte umgewandelt werden. H5P-Inhalte können außerdem über einen Freigabelink oder QR-Code bereitgestellt werden. Wird eine öffentliche Freigabe aktiviert, kann der betreffende Inhalt ohne Anmeldung über den Freigabelink erreichbar sein; sofern ausdrücklich freigegeben, kann zusätzlich der Download der H5P-Datei ermöglicht werden.

Bibliotheks-, Klassen- und Lernbereichsfreigaben erweitern den Empfängerkreis entsprechend der gewählten Einstellung. Vor jeder Freigabe ist zu prüfen, ob der Inhalt und darin enthaltene Daten für diesen Empfängerkreis bestimmt und zulässig sind.

7. StudiCards und Kameranutzung

Für StudiCards kann die Kamera des Lehrkraftgeräts verwendet werden, um Antwortkarten zu erkennen. Nach aktuellem Funktionsstand wird das Kamerabild im Browser des verwendeten Geräts ausgewertet und nicht als Kamerabild an den Studipfad-Server hochgeladen.

Für die laufende StudiCards-Sitzung können vorbereitete Quizdaten vorübergehend im Sitzungsspeicher des Browsers gehalten werden. Ergebnisse oder Auswertungen können gespeichert werden, soweit die jeweilige Funktion dies ausdrücklich vorsieht.

8. KI-Funktionen und OpenAI

Studipfad bietet optionale KI-Funktionen an, zum Beispiel die Erstellung eines Quiz aus einem Thema, die Auswertung einer PDF zur Quiz- oder Definitionsgenerierung und weitere KI-gestützte Importhilfen. Wird eine solche Funktion aktiv gestartet, werden die dafür eingegebenen Texte, Anweisungen und – bei dateibasierten Funktionen – die ausgewählte Datei an die OpenAI-API übermittelt.

Bei PDF-Importen wird die Datei technisch an die OpenAI-API übertragen. Studipfad fordert die Verarbeitung ohne dauerhafte Antwortspeicherung an und löscht die für die Verarbeitung hochgeladene Datei nach Abschluss wieder über die API. Nach den aktuellen Angaben von OpenAI werden API-Inhalte standardmäßig nicht zum Training der Modelle verwendet; Missbrauchs- und Sicherheitsprotokolle können jedoch grundsätzlich für einen begrenzten Zeitraum, nach derzeitiger Anbieterangabe bis zu 30 Tage, aufbewahrt werden, soweit keine abweichenden Aufbewahrungseinstellungen gelten.

Bitte in KI-Funktionen keine personenbezogenen Daten Dritter, besonders sensiblen Daten, Verschlusssachen oder vertraulichen dienstlichen Informationen eingeben. KI-Ergebnisse können Fehler enthalten und müssen vor einer fachlichen oder dienstlichen Verwendung geprüft werden.

9. Administration, Moderation und Protokollierung

Autorisierte Administratoren können Konten, Rollen, Klassenzuordnungen und Inhalte einsehen, soweit dies für Administration, Support, Sicherheit, Missbrauchsprüfung, Fehlerbehebung oder die Durchsetzung der Nutzungsbedingungen erforderlich ist. Dies kann im Einzelfall auch nicht öffentlich freigegebene Inhalte betreffen.

Administrative Maßnahmen wie Rollenänderungen, Freigaben, Einladungen, Sperren oder Löschungen können protokolliert werden. Protokolle dienen Nachvollziehbarkeit, Sicherheit und Missbrauchsabwehr und sollen nicht für sachfremde Leistungs- oder Verhaltenskontrollen verwendet werden.

10. Technische Verbindungs- und Sicherheitsdaten

Beim Betrieb können IP-Adresse, Zeitstempel, aufgerufene Ressource, Browser- und Geräteinformationen, Sitzungskennungen, Fehlerereignisse sowie sicherheitsrelevante Ereignisse verarbeitet werden. Dies dient insbesondere Transport, Angriffserkennung, Fehleranalyse, Wiederverbindung und Missbrauchsabwehr.

Die Speicherdauer solcher Daten ist auf das für den jeweiligen Sicherheits- und Betriebszweck erforderliche Maß zu begrenzen.

11. Cookies und lokaler Browser-Speicher

Studipfad verwendet nach aktuellem Funktionsstand technisch notwendige Cookies und Browser-Speicher für Anmeldung, dauerhafte Anmeldung, Live-Wiederverbindung, Sprache, Lernstände, Entwürfe, Ansichts- und Audioeinstellungen sowie ausdrücklich angeforderte Funktionen.

Soweit § 25 Abs. 2 TDDDG greift, ist für eine Speicherung oder einen Zugriff keine Einwilligung erforderlich, wenn dies unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Nicht notwendige Analyse-, Marketing- oder Werbetracker sind derzeit nicht aktiviert.

Einzelheiten zu den aktuell verwendeten Speichermechanismen stehen unter Cookies & Browser-Speicher.

12. E-Mail-Versand und Einladungen

E-Mail-Adressen können für Registrierung, Verifikation, Einladungen, Passwort-Reset und sicherheits- oder kontobezogene Mitteilungen verarbeitet werden. Es werden nur die für den jeweiligen Vorgang erforderlichen Informationen versendet.

13. Empfänger, Auftragsverarbeiter und Drittlandübermittlungen

Empfänger können technische Dienstleister für Hosting, Infrastruktur, E-Mail-Versand, Wartung oder Support sein, soweit deren Einbindung für den Betrieb erforderlich ist. Soweit ein Dienstleister als Auftragsverarbeiter tätig wird, sind die Anforderungen des Art. 28 DSGVO zu beachten.

Bei aktiv gestarteten KI-Funktionen ist OpenAI Empfänger der für die jeweilige Funktion übermittelten Eingaben oder Dateien. Soweit Daten in Staaten außerhalb EU/EWR verarbeitet werden, müssen die Voraussetzungen der Art. 44 ff. DSGVO und die jeweils erforderlichen Übermittlungsmechanismen beachtet werden.

Nach aktuellem Stand sind hCaptcha, Sentry und externe Analyse-/Plausible-Dienste in der Studipfad-Produktivkonfiguration nicht aktiviert.

14. Speicherdauer und Löschung

Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck erforderlich sind, das Konto oder die betreffende Freigabe besteht oder gesetzliche Aufbewahrungs-, Nachweis- oder Sicherungspflichten entgegenstehen. Nicht mehr benötigte Konten, Klassen, Freigaben und Inhalte sollen gelöscht oder – soweit sinnvoll und rechtlich zulässig – anonymisiert werden.

Kurzlebige Verifikations-, Einladungs-, Reset- und Wiederaufnahme-Tokens werden nach Ablauf unbrauchbar. Backups können Daten noch für einen begrenzten technischen Sicherungszeitraum enthalten und werden im Rahmen des Sicherungszyklus überschrieben.

15. Rechte betroffener Personen

Nach Maßgabe der DSGVO bestehen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde.

Anfragen können an hesslerm@hfpol-bw.de gerichtet werden. Soweit eine öffentliche Stelle des Landes Baden-Württemberg verantwortlich ist, richtet sich die aufsichtsrechtliche Zuständigkeit nach den gesetzlichen Vorgaben für diese Stelle.

16. Sicherheit der Verarbeitung

Für Studipfad sind risikoorientierte technische und organisatorische Maßnahmen vorgesehen. Dazu zählen insbesondere Transportverschlüsselung, sichere Passwortspeicherung, rollenbasierte Zugriffe, zeitlich begrenzte Tokens, Sicherheitsprotokollierung, regelmäßige Software-Aktualisierung sowie Sicherungs- und Wiederherstellungsverfahren.

Kein Internetdienst kann absolute Sicherheit garantieren. Sicherheitsvorfälle sind nach den gesetzlichen Vorgaben zu bewerten und gegebenenfalls gegenüber Aufsichtsbehörden oder betroffenen Personen zu melden.

17. Minderjährige

Sofern Studipfad von Minderjährigen genutzt wird, sind die besonderen Schutzanforderungen und der konkrete Bildungs- oder Ausbildungszweck zu berücksichtigen. Wird eine Verarbeitung auf Einwilligung gestützt, sind die gesetzlichen Voraussetzungen für Minderjährige gesondert zu prüfen.

18. Änderungen dieser Hinweise

Diese Datenschutzhinweise werden angepasst, wenn sich Funktionen, Speichermechanismen, technische Dienstleister oder rechtliche Rahmenbedingungen wesentlich ändern. Die jeweils aktuelle Fassung ist über Studipfad abrufbar.