Datenschutzhinweise für den Plattform-Verbund „InfoLabs“
Entwurf: Diese Hinweise beschreiben die Verarbeitung so, wie Portal und Plattformen technisch arbeiten. Die Angaben in [eckigen Klammern] und die Rechtsgrundlage müssen von der Schule (Schulleitung, Datenschutzbeauftragte bzw. Datenschutzbeauftragter) ergänzt bzw. bestätigt werden.
1. Verantwortliche Stelle
[Name der Schule], [Anschrift], vertreten durch die Schulleitung [Name].
Datenschutzbeauftragte bzw. Datenschutzbeauftragter der Schule: [Name, E-Mail].
Ansprechpartner für den Verbund: [Administrator, dienstliche E-Mail]; für einen Kurs die Lehrkraft des Kurses.
2. Was ist InfoLabs?
InfoLabs ist das Portal eines Verbunds von Lernplattformen für den Informatikunterricht der Oberstufe. Das Portal verwaltet die Konten, Kurse und Freischaltungen und meldet Nutzerinnen und Nutzer bei den Plattformen an (z. B. Algo Quest). Jede Plattform ist eine eigene Anwendung mit eigener Datenbank; dort liegen die Aufgaben und der Lernstand. Diese Erklärung gilt für den ganzen Verbund. Die Plattformen ergänzen auf ihrer Seite „Datenschutz“ nur ihre Besonderheiten (z. B. welche Lernstände sie speichern) und verweisen hierher.
3. Zweck
Schülerinnen und Schüler üben mit automatisch geprüften Aufgaben; die Lehrkraft sieht den Lernstand ihres Kurses, um den Unterricht zu planen. Die Ergebnisse fließen nicht in die Notengebung ein [von der Schule zu bestätigen].
4. Welche Daten verarbeitet das Portal?
- Schülerinnen und Schüler: ein selbst gewählter Name (2–30 Zeichen; Empfehlung: Vorname + Initial, ein Spitzname ist ebenso möglich), ein zufällig erzeugter persönlicher Code, die Kurse, denen das Konto angehört, sowie Zeitpunkte (Beitritt, letzte Aktivität, erste und letzte Anmeldung je Plattform). Keine E-Mail-Adresse, kein Passwort, kein Geburtsdatum, kein vollständiger Name.
- Lehrkräfte: Name, dienstliche E-Mail-Adresse, Schule, eine optionale Nachricht zur Registrierung, ein Passwort (nur als scrypt-Hash gespeichert), die freigeschalteten Plattformen sowie die eigenen Kurse und Mitlehrkraft-Rollen.
- Kurse: Name, Kurscode, Ablaufdatum, Lehrkräfte, Mitglieder und die freigeschalteten Plattformen.
- Technisch: ein Sitzungs-Cookie (signiert, httpOnly, SameSite=Lax, über HTTPS „secure“) – bei Schülerinnen und Schülern 30 Tage, bei Lehrkräften 8 Stunden. Zur Begrenzung von Anmeldeversuchen wird die IP-Adresse kurzzeitig im Arbeitsspeicher gezählt (höchstens 60 Minuten) und nicht gespeichert. Keine Tracking- oder Werbe-Cookies, keine externen Schriftarten, Skripte oder CDNs; Suchmaschinen werden an der Indexierung gehindert.
5. Was erfährt eine Plattform?
Bei der Anmeldung über das Portal (Single Sign-on) erhält die Plattform ein kurzlebiges, signiertes Anmeldetoken mit: einer pseudonymen Kennung (z. B. „s:1042“), der Rolle, dem gewählten Namen und den Kursen, die diese Plattform nutzen (Kennung, Name, Rolle im Kurs). Persönliche Codes, Passwörter und E-Mail-Adressen von Schülerinnen und Schülern werden nie weitergegeben. Plattformen untereinander tauschen keine Daten aus.
Das Portal fragt bei den Plattformen nur Kennzahlen für die Lehrkraft eines Kurses ab (z. B. Punkte, Zahl gelöster Aufgaben, zuletzt aktiv) – keine Antworten, Lösungen oder Freitexte.
6. Sichtbarkeit
- Lehrkräfte sehen nur ihre eigenen Kurse bzw. Kurse, in denen sie Mitlehrkraft sind, mit Namen und persönlichen Codes der Mitglieder.
- Was andere Kursmitglieder auf einer Plattform sehen (z. B. ein Scoreboard), regelt die Plattform; die Lehrkraft schaltet es dort ein oder aus.
- Der Administrator hat technischen Zugriff auf alle Daten des Portals; er gibt keine Daten an Dritte weiter.
7. Rechtsgrundlage
[Von der Schule festzulegen, z. B. Art. 6 Abs. 1 lit. e DSGVO i. V. m. § 31 NSchG (Verarbeitung im Rahmen des Bildungsauftrags) oder Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.]
8. Speicherort, Speicherdauer und Löschung
Portal und Plattformen laufen auf einem Server von [Hoster, Standort in der EU]; alle Verbindungen sind mit HTTPS verschlüsselt.
- Jeder Kurs hat ein Ablaufdatum (Standard: 31. Juli des Schuljahres, höchstens 24 Monate im Voraus, von der Lehrkraft verlängerbar). Danach werden der Kurs und alle Schülerkonten, die keinem weiteren Kurs angehören, automatisch gelöscht – im Portal und auf allen Plattformen.
- Die Lehrkraft kann jederzeit Schülerinnen und Schüler aus dem Kurs entfernen oder den Kurs löschen. Ein Schülerkonto ohne weiteren Kurs wird dabei mit seinem Lernstand auf allen Plattformen gelöscht.
- Wird ein Lehrkraft-Konto gelöscht, werden auch seine Kurse gelöscht (wie oben).
- Löschungen gibt das Portal sofort an die betroffenen Plattformen weiter; ist eine Plattform kurzzeitig nicht erreichbar, wird der Auftrag automatisch wiederholt.
- Sicherungskopien: [z. B. keine / Aufbewahrung höchstens … Tage].
9. Rechte der Betroffenen
Betroffene haben das Recht auf Auskunft, Berichtigung (z. B. Umbenennen durch die Lehrkraft), Löschung, Einschränkung der Verarbeitung und Widerspruch sowie das Recht auf Beschwerde bei der Aufsichtsbehörde: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover. Ansprechpartner ist die Lehrkraft des Kurses bzw. die oder der Datenschutzbeauftragte der Schule.
Stand: Oktober 2026 · gilt für das Portal und alle Plattformen des Verbunds