Datenschutzerklärung des Dienstes lern.one

Diese Datenschutzerklärung (im Folgenden: „Erklärung“) regelt die Grundsätze der Verarbeitung und des Schutzes personenbezogener Daten der Nutzer des Dienstes lern.one (im Folgenden: „Dienst“), erreichbar unter https://lern.one.

Personenbezogene Daten werden im Einklang mit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (im Folgenden: „DSGVO“), dem polnischen Datenschutzgesetz vom 10. Mai 2018 sowie weiteren einschlägigen Vorschriften des polnischen und unionsrechtlichen Rechts verarbeitet.

Großgeschriebene, in dieser Erklärung nicht definierte Begriffe haben die ihnen in den Nutzungsbedingungen des Dienstes zugewiesene Bedeutung.

Verantwortlicher für die Verarbeitung personenbezogener Daten (im Folgenden: „Verantwortlicher“) ist:

Kontakt in Angelegenheiten des Datenschutzes: kontakt@lern.one.

Der Verantwortliche hat keinen Datenschutzbeauftragten (DSB) im Sinne von Art. 37 DSGVO benannt, da er hierzu nach Art. 37 Abs. 1 DSGVO nicht verpflichtet ist. Alle Anfragen sind an die obige E-Mail-Adresse zu richten.

3.1. Bei der Registrierung und im Profil angegebene Daten

• E-Mail-Adresse (zum Anlegen des Kontos erforderlich),
• Passwort (ausschließlich als kryptografischer Hash gespeichert - bcrypt; der Verantwortliche hat keinen Zugriff auf das Passwort im Klartext),
• Vor- und Nachname oder Pseudonym (optional),
• Profilbild / Avatar (optional),
• Biografie / Profilbeschreibung (optional),
• gewählte Rolle im Dienst (Nachhilfelehrer / Schüler).

3.2. Bei der Nutzung des Dienstes erfasste Daten

• Verlauf der Lernaktivität: Sitzungen, gelöste Aufgaben, Ergebnisse,
• Verlauf der Interaktion mit dem KI-Modul: Inhalt der Anfragen, Antworten, übermittelte Bilder (Einzelheiten in §14),
• auf dem interaktiven Whiteboard erstellte Inhalte (Zeichnungen, Notizen, grafische Elemente),
• Bewertungen und Rezensionen zu Lernmaterialien und Nachhilfelehrern,
• Daten zum Abonnement: gewählter Tarif, Zahlungsstatus, Stripe-Kundenkennung (ohne Kartennummern),
• Anmeldeprotokoll: Datum, Uhrzeit, IP-Adresse, Sitzungskennung.

3.3. Technische und diagnostische Daten

• IP-Adresse (auch in anonymisierter Form für Analysezwecke),
• Geräte- und Browser-Kennungen (User Agent),
• Betriebssystem, Typ, Version und Sprache des Browsers,
• verweisende Seite (Referer) und Navigationspfad im Dienst,
• Cookies und ähnliche Technologien - Einzelheiten in der Cookie-Richtlinie,
• Leistungsmetriken (TTFB, LCP, CLS).

3.4. Spezifische Daten für Nachhilfelehrer

• Liste der Schüler: Vornamen, Kontaktdaten (Telefon, E-Mail), Daten der gesetzlichen Vertreter,
• Zeitplan der Nachhilfesitzungen: Daten, Uhrzeiten, Dauer,
• Stundensätze und Finanzbuchführung (Einnahmen, Rechnungen, Zahlungen von Schülern),
• erstellte Lehrpläne, Stundenvorlagen, Hausaufgaben,
• Daten des öffentlichen Profils (Beschreibung, Fächer, Standort).

3.5. Daten aus Integrationen

Bei der Verbindung eines externen Kontos (Google Calendar, Stripe Connect) erheben wir ausschließlich den für das Funktionieren der Integration erforderlichen Umfang: Zugriffstoken (verschlüsselt), Kontokennung, mit dem Dienst verknüpfte E-Mail-Adresse. Die Token werden in der Datenbank verschlüsselt (AES-256-GCM) und gelangen nie in das Client-Bundle.

3.6. Weitergabe von Daten über Links

Ein Nachhilfelehrer kann einen eindeutigen, nicht öffentlichen Link erstellen (z. B. für einen Elternteil/Erziehungsberechtigten eines Schülers oder einen Gast, der einen Termin bucht), der Einblick in einen ausgewählten Datenumfang (Zeitplan, Fortschritt, Unterrichtsverlauf, Board-Inhalte) ermöglicht, ohne dass ein Konto im Dienst erstellt werden muss. Jede Person, die im Besitz des Links ist, hat Zugriff auf die auf diese Weise weitergegebenen Daten - der Administrator haftet nicht für dessen unbefugte Weitergabe an Dritte durch den Nachhilfelehrer oder den Empfänger des Links. Links können eine festgelegte Gültigkeitsdauer haben und können vom Nachhilfelehrer jederzeit widerrufen werden.

Die Angabe der für die Einrichtung und Führung eines Kontos erforderlichen Daten (E-Mail-Adresse, Passwort oder Anmeldung mit Google) sowie der für die Rechnungsstellung erforderlichen Daten ist freiwillig, aber für den Abschluss und die Erfüllung des Vertrags notwendig; ohne sie kann kein Konto angelegt und keine Rechnung ausgestellt werden. Die Angabe weiterer Daten (z. B. Name, Foto, Profilbeschreibung) ist freiwillig. Soweit eine Einwilligung erforderlich ist, ist sie freiwillig und kann jederzeit widerrufen werden.

Der Verantwortliche beauftragt die folgenden Unternehmen (Auftragsverarbeiter und Unterauftragsverarbeiter im Sinne von Art. 28 DSGVO) mit der Verarbeitung personenbezogener Daten, ausschließlich in dem für die Erbringung der Dienste erforderlichen Umfang. Die Liste ist zum Datum der letzten Aktualisierung dieser Erklärung vollständig:

Mit jedem der genannten Unternehmen hat der Verantwortliche einen Auftragsverarbeitungsvertrag (Data Processing Agreement) gemäß Art. 28 DSGVO geschlossen. Über die beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters informiert der Verantwortliche die Nachhilfelehrer (als Verantwortliche für die Schülerdaten) per E-Mail mindestens 14 Tage im Voraus, mit dem in §16 beschriebenen Widerspruchsrecht. Daten können außerdem weitergegeben werden an:

• staatliche Stellen (Polizei, Staatsanwaltschaft, Gerichte, Präsident des UODO) auf Grundlage der geltenden Vorschriften,
• das Buchhaltungsbüro des Verantwortlichen,
• eine Anwaltskanzlei im Fall der Geltendmachung von Ansprüchen.
• Schüler, deren Erziehungsberechtigte und Gäste in dem Umfang, in dem der Nachhilfelehrer sie ihnen selbst zugänglich macht (Schülerportal, Eltern-Links, Buchungen).

Ein Teil der Auftragsverarbeiter des Verantwortlichen hat seinen Sitz außerhalb des EWR (überwiegend in den USA). In solchen Fällen erfolgt die Übermittlung auf Grundlage von:

• Standardvertragsklauseln (Standard Contractual Clauses), die von der Europäischen Kommission genehmigt wurden - Art. 46 Abs. 2 lit. c DSGVO.
• Angemessenheitsbeschlüssen der Europäischen Kommission für die USA (Data Privacy Framework) - in Bezug auf im Rahmen des DPF zertifizierte Stellen.
• Zusätzlichen Schutzmaßnahmen wie Verschlüsselung der Daten bei der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256), Anonymisierung, Pseudonymisierung.

Der Nutzer kann eine Kopie der angewandten Garantien anfordern, indem er an kontakt@lern.one schreibt.

Die folgende Übersicht zeigt, wo sich die einzelnen Datenkategorien physisch befinden. Personenbezogene Daten von Schülern und Nachhilfelehrern werden in der Europäischen Union gespeichert; sie verlassen den EWR nur in den in §6 beschriebenen Fällen (insbesondere Anfragen an den KI-Assistenten und Fehlerprotokolle).

Wichtig: Aus dem Dienst gelöschte Daten können bis zu 30 Tage nach der Löschung in Backups verbleiben. Backups dienen ausschließlich der Wiederherstellung des Dienstes nach einem Ausfall oder Angriff; sie werden weder zur Wiederherstellung einzelner Daten auf Wunsch des Nutzers noch zu einem anderen Zweck verwendet.

9.1. Selbstständiger Export

Ohne Kontakt zum Verantwortlichen kann der Nutzer herunterladen: Rechnungen (PDF), die Abrechnungshistorie eines Schülers (CSV), Whiteboards (PNG, PDF), Dateien aus dem Modul Dateien, Hausaufgabeninhalte und Ergebnisse. Ein Nachhilfelehrer kann außerdem Schülerdaten in dem im Schülerprofil sichtbaren Umfang exportieren.

9.2. Vollständiger Export und Datenübertragbarkeit

Auf Antrag von der dem Konto zugeordneten E-Mail-Adresse erstellt der Verantwortliche innerhalb von 30 Tagen einen vollständigen Export der Kontodaten im JSON-Format (strukturierte Daten) und CSV-Format (Tabellen) samt Dateien. Der Export umfasst auch die vom Nachhilfelehrer eingegebenen Schülerdaten, damit er sie in ein anderes Werkzeug übertragen kann (Art. 20 DSGVO und Art. 28 Abs. 3 lit. g DSGVO).

9.3. Löschung einzelner Daten

Der Nachhilfelehrer löscht oder archiviert Schüler, Whiteboards, Dateien, Gespräche mit dem KI-Assistenten, Freigabelinks, Abrechnungseinträge und Nachrichten (eigene, bis 10 Minuten nach dem Senden) selbstständig. Die Löschung eines Schülers entfernt die damit verbundenen Unterrichtsstunden, Fortschritte, Hausaufgaben und Abrechnungen, mit Ausnahme der Daten auf ausgestellten Rechnungen.

9.4. Löschung des Kontos

Der Antrag auf Kontolöschung wird in den Einstellungen (Nachhilfelehrer) oder per E-Mail an kontakt@lern.one (Schüler, Erziehungsberechtigter, Gast) gestellt. Der Verantwortliche prüft die Identität (der Antrag muss von der E-Mail-Adresse des Kontos stammen) und führt ihn manuell innerhalb von 30 Tagen aus. Die manuelle Prüfung schützt vor versehentlicher oder böswilliger Löschung von Schülerdaten durch Dritte. Aktive Stripe-Abonnements werden gekündigt und das Stripe-Connect-Zahlungskonto vor der Löschung getrennt.

• Unwiderruflich gelöscht: Profil, Schüler, Stundenplan, Fortschritte, Whiteboards, Dateien, Nachrichten, KI-Gespräche, Integrationen, Tokens.
• So lange aufbewahrt, wie das Gesetz es verlangt: ausgestellte Rechnungen und Transaktionsaufzeichnungen (5 Jahre, Art. 86 der polnischen Abgabenordnung), zur Abwehr von Ansprüchen erforderliche Daten (bis zur Verjährung).
• Aufbewahrter Ausführungsnachweis: E-Mail-Adresse und Datum der Ausführung des Antrags (3 Jahre), als Nachweis der Pflichterfüllung.
• Backups: die Daten verschwinden daraus automatisch innerhalb von 30 Tagen nach der Löschung.

Ein Schüler mit eigenem Konto kann mit mehreren Nachhilfelehrern verknüpft sein. Die Löschung des Kontos eines Nachhilfelehrers entfernt nur die von diesem Nachhilfelehrer eingegebenen Schülerdaten; das Konto des Schülers und seine Verknüpfungen mit anderen Nachhilfelehrern bleiben bestehen.

Jeder Person, deren Daten verarbeitet werden, stehen folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO) - Informationen über die verarbeiteten Daten zu erhalten und eine Kopie davon zu bekommen.
• Recht auf Berichtigung (Art. 16 DSGVO) - die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten zu verlangen.
• Recht auf Löschung („Recht auf Vergessenwerden“) (Art. 17 DSGVO) - vorbehaltlich der rechtlichen Verpflichtungen des Verantwortlichen (z. B. Rechnungsdaten).
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO) - die Daten in einem strukturierten, gängigen Format (JSON) zu erhalten und an einen anderen Verantwortlichen zu übermitteln.
• Widerspruchsrecht (Art. 21 DSGVO) - gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 6 Abs. 1 lit. f DSGVO).
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) - soweit die Verarbeitung auf einer Einwilligung beruht. Der Widerruf der Einwilligung berührt nicht die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung.
• Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden (Art. 22 DSGVO) - Einzelheiten in §19.
• Recht auf Beschwerde bei einer Aufsichtsbehörde - Einzelheiten in §21.

Um Ihre Rechte wahrzunehmen, senden Sie eine Nachricht an kontakt@lern.one mit einer Beschreibung des Anliegens und Angaben, die Ihr Konto identifizieren. Wir antworten innerhalb von 30 Tagen nach Eingang des Anliegens (Art. 12 Abs. 3 DSGVO). Die Wahrnehmung der Rechte ist kostenlos, es sei denn, die Anliegen sind offenkundig unbegründet oder exzessiv (Art. 12 Abs. 5 DSGVO).

Der Verantwortliche wendet technische und organisatorische Maßnahmen an, die einen den Risiken und Datenkategorien angemessenen Schutz der verarbeiteten Daten gewährleisten:

• Verschlüsselung der Verbindungen (TLS 1.2+) zwischen Nutzer und Dienst,
• Verschlüsselung sensibler Daten im Ruhezustand (AES-256-GCM für Integrations-Token),
• Passwörter ausschließlich als kryptografische Hashes gespeichert (bcrypt),
• Mehrfaktor-Authentifizierung für die Administrationspanels des Verantwortlichen,
• Zugriffskontrolle nach dem Prinzip der minimalen Rechte (least privilege) und Row Level Security in der Datenbank,
• tägliche Backups der Datenbank und Dateien an einem separaten Ort (Region EU), verschlüsselt, durch eine Löschsperre geschützt, Aufbewahrung 30 Tage,
• Sicherheitsüberwachung, Anomalieerkennung, Schutz vor DDoS-Angriffen,
• regelmäßige Sicherheitsaudits von Code und Infrastruktur,
• Auftragsverarbeitungsverträge mit den Auftragsverarbeitern gemäß Art. 28 DSGVO.
• Anfragelimits und Sperrung von Geräten, die für Missbrauch genutzt werden (Massenregistrierungen, Spam),
• automatische Maskierung personenbezogener Daten (E-Mail, Tokens, Passwörter) in Protokollen und Diagnosewerkzeugen,
• Übersicht aktiver Sitzungen in den Einstellungen mit der Möglichkeit, andere Geräte abzumelden.

Zwei-Faktor-Authentifizierung (2FA)

Die Anmeldung mit Passwort unterstützt derzeit keinen zweiten Faktor (Code aus einer Authenticator-App oder Hardware-Schlüssel). Die Einführung von 2FA ist geplant; über die Verfügbarkeit informieren wir in den Produktaktualisierungen.

Bis dahin empfehlen wir Nachhilfelehrern: die Anmeldung mit einem Google-Konto (ein in Google eingerichteter zweiter Faktor schützt dann auch die Anmeldung beim Dienst), ein einzigartiges, langes Passwort aus einem Passwort-Manager, die regelmäßige Prüfung aktiver Sitzungen in den Einstellungen sowie keine Weitergabe von Whiteboard- und Schülerportal-Links an Unbefugte. Die Verwaltungsoberflächen des Verantwortlichen sind durch Mehrfaktor-Authentifizierung geschützt.

12.1. Umfang und Zweck des Zugriffs. Das Personal des Administrators sieht die von Nutzern erstellten Inhalte (einschließlich Board-Inhalten, Dateien, Nachrichten) nicht routinemäßig ein. Ein Zugriff auf solche Inhalte ist ausschließlich möglich: (a) als Reaktion auf eine Fehlermeldung, eine Bitte um technischen Support oder eine vom Nutzer eingereichte Beschwerde, (b) zur Diagnose und Behebung eines von Überwachungssystemen automatisch gemeldeten technischen Vorfalls, (c) zur Erkennung und Klärung eines vermuteten Verstoßes gegen die Nutzungsbedingungen oder einer Gefährdung der Sicherheit des Dienstes, (d) auf Verlangen befugter staatlicher Behörden.

12.2. Minimierung und Protokollierung des Zugriffs. Zugriff mit erweiterten Rechten (sogenannte Service-Role, die die Standardzugriffskontrollen auf Basis von Row Level Security umgeht) wird ausschließlich ausgewählten Mitgliedern des Personals des Administrators gewährt, ist auf den für den in Punkt 12.1 genannten Zweck erforderlichen Umfang beschränkt und wird jedes Mal zusammen mit dem Grund des Zugriffs in einem internen Ereignisprotokoll erfasst.

12.3. Vertraulichkeit. Personal des Administrators mit Zugriff auf Nutzerinhalte ist zur Vertraulichkeit verpflichtet und darf die erhaltenen Informationen ausschließlich für den Zweck verwenden, für den der Zugriff gewährt wurde. Die Regeln für die Sperrung von Konten im Falle von Missbrauch (Spam, gefälschte Konten, Mehrfachregistrierung) sind in den Nutzungsbedingungen beschrieben.

Der Dienst verwendet Cookies und ähnliche Technologien (Local Storage, Session Storage, IndexedDB) - die detaillierten Grundsätze sind in der gesonderten Cookie-Richtlinie beschrieben. Die Cookie-Richtlinie ergänzt diese Datenschutzerklärung.

Das KI-Assistent-Modul im Dienst nutzt Sprachmodelle, die von Anthropic PBC bereitgestellt werden. Die Nutzung des KI-Moduls hat folgende Konsequenzen für Ihre Daten:

• Der Inhalt Ihrer Anfrage (Prompt) wird zur Generierung der Antwort an die API von Anthropic gesendet. Anthropic verwendet diese Daten nicht zum Trainieren von Modellen (gemäß der API-Richtlinie).
• Anfragen und Antworten werden in unserer Datenbank (Region EU) als Gesprächsverlauf Ihres Kontos gespeichert. Sie können jedes Gespräch jederzeit löschen.
• An die KI übermittelte Bilder (z. B. Fotos von Aufgaben) werden für die Dauer der Antwortgenerierung an Anthropic übergeben. Sie werden über diesen Zweck hinaus nicht verwendet.
• Alle kritischen Parameter (API-Schlüssel, Token) werden ausschließlich serverseitig gespeichert - Ihr Browser hat nie Zugriff darauf.

Geben Sie in den KI-Assistenten keine besonderen Kategorien personenbezogener Daten ein (Art. 9 Abs. 1 DSGVO - Gesundheit, ethnische Herkunft, sexuelle Orientierung, biometrische Daten) und keine dem Berufsgeheimnis unterliegenden Daten.

Ein Nachhilfelehrer, der den Dienst nutzt und Daten seiner Schüler und deren Erziehungsberechtigter erhebt (Name, Kontaktdaten, Stundenplan, Fortschritte, Bewertungen, Notizen, Abrechnung), ist in Bezug auf diese Daten eigenständiger Verantwortlicher. Lern.one handelt dann als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO, dessen Inhalt in §16 dieser Erklärung zusammen mit §13.2 der Nutzungsbedingungen festgelegt ist.

Das bedeutet, dass:

• der Nachhilfelehrer über Zwecke und Mittel der Verarbeitung der Schülerdaten entscheidet,
• der Nachhilfelehrer verpflichtet ist, gegenüber den Schülern die Informationspflichten aus Art. 13-14 DSGVO zu erfüllen,
• der Nachhilfelehrer für die Einholung der erforderlichen Einwilligungen verantwortlich ist (z. B. von gesetzlichen Vertretern minderjähriger Schüler),
• Lern.one verarbeitet Schülerdaten ausschließlich auf dokumentierte Weisung des Nachhilfelehrers (die Nutzung einer Funktion des Dienstes stellt eine solche Weisung dar) und im für die Erbringung der Dienste erforderlichen Umfang,
• Der Nachhilfelehrer entscheidet, welche Daten über einen Schüler erfasst werden. Die in §17 genannten Daten dürfen nicht eingegeben werden.

Dieser Abschnitt bildet zusammen mit §15 und §13.2 der Nutzungsbedingungen den Auftragsverarbeitungsvertrag zwischen dem Nachhilfelehrer (Verantwortlicher) und Lern.one (Auftragsverarbeiter). Der Vertrag kommt mit der Eingabe der ersten Schüler- oder Erziehungsberechtigtendaten in den Dienst zustande und gilt bis zur Löschung des Kontos des Nachhilfelehrers. Auf Wunsch stellen wir seinen Inhalt als gesondertes, unterschriftsreifes Dokument bereit; schreiben Sie dazu einfach an kontakt@lern.one.

16.1. Gegenstand, Art und Zweck der Verarbeitung

Speicherung, Ordnung, Anzeige, Zugänglichmachung für vom Nachhilfelehrer bestimmte Personen (Schüler, Erziehungsberechtigter), Versand von Benachrichtigungen, Abrechnung und Zahlungsabwicklung, Verarbeitung durch den KI-Assistenten auf ausdrückliche Weisung des Nachhilfelehrers sowie Erstellung von Backups, um dem Nachhilfelehrer die Durchführung und Organisation des Nachhilfeunterrichts zu ermöglichen.

16.2. Kategorien betroffener Personen und Daten

Betroffene: Schüler (einschließlich Minderjähriger), deren Eltern und gesetzliche Vertreter, Personen, die einen Termin buchen. Daten: Identifikationsdaten (Name), Kontaktdaten (E-Mail, Telefon), Stundenplan und Anwesenheit, Fortschritte, Bewertungen und Lernnotizen, Whiteboard- und Hausaufgabeninhalte, Nachrichten, Abrechnung (Sätze, Forderungen, Zahlungen), Rechnungsdaten.

16.3. Pflichten von Lern.one

• Verarbeitung der Daten ausschließlich auf dokumentierte Weisung des Nachhilfelehrers, es sei denn, das Gesetz verlangt etwas anderes (worüber wir informieren, soweit das Gesetz es erlaubt),
• Sicherstellung, dass Personal mit Datenzugriff zur Vertraulichkeit verpflichtet ist und der Zugriff nach den Regeln in §12 erfolgt,
• Anwendung der in §11 beschriebenen technischen und organisatorischen Maßnahmen,
• Einsatz der in §5 genannten Unterauftragsverarbeiter; über jede beabsichtigte Änderung informieren wir per E-Mail mindestens 14 Tage im Voraus, und der Nachhilfelehrer kann widersprechen, woraus das Recht folgt, den Vertrag zu kündigen und das Konto vor Inkrafttreten der Änderung zu löschen,
• Unterstützung bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO): der Nachhilfelehrer erfüllt sie mit den Werkzeugen des Dienstes, im Übrigen auf Antrag an kontakt@lern.one,
• Unterstützung bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Verletzungen, Folgenabschätzung) unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen,
• Meldung von Verletzungen des Schutzes personenbezogener Daten seiner Schüler an den Nachhilfelehrer unverzüglich, spätestens 48 Stunden nach Feststellung der Verletzung, zusammen mit den für die Meldung an die Aufsichtsbehörde erforderlichen Informationen,
• Löschung der Daten nach Beendigung der Dienste (Kontolöschung) gemäß §9, sofern das Gesetz keine weitere Aufbewahrung vorschreibt,
• Bereitstellung der zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen und Ermöglichung von Überprüfungen: einmal jährlich, zu einem mindestens 30 Tage im Voraus vereinbarten Termin, ohne Störung des Dienstes, auf Kosten des Nachhilfelehrers; vorrangig in Form der Beantwortung von Fragen und der Übergabe von Dokumentation.

16.4. Pflichten des Nachhilfelehrers

Der Nachhilfelehrer ist verantwortlich für die Rechtmäßigkeit der eingegebenen Daten (Rechtsgrundlage, Informationspflichten gegenüber Schülern und Erziehungsberechtigten, Einwilligungen der Erziehungsberechtigten Minderjähriger), für deren Angemessenheit und dafür, die in §17 genannten Daten nicht einzugeben. Der Nachhilfelehrer schützt sein eigenes Konto (§11) und verwaltet Freigabelinks verantwortungsvoll.

16.5. Übermittlungen außerhalb des EWR

Der Nachhilfelehrer ermächtigt Lern.one, Unterauftragsverarbeiter mit Sitz außerhalb des EWR unter den in §6 beschriebenen Bedingungen einzusetzen (Standardvertragsklauseln, Data Privacy Framework).

Der Dienst dient der Organisation von Nachhilfe: Stundenplan, Materialien, Lernfortschritte und Abrechnung. Er ist nicht für die Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO) oder anderer besonders schutzbedürftiger Daten ausgelegt. In Freitextfeldern (Schülernotizen, Unterrichtsbeschreibungen, Nachrichten, Whiteboard, Hausaufgaben, KI-Assistent, Dateien) bitten wir, Folgendes nicht zu erfassen:

• Gesundheitsdaten: Diagnosen, Behindertenausweise, Gutachten psychologisch-pädagogischer Beratungsstellen (Legasthenie, ADHS, Autismus-Spektrum), Angaben zu Medikamenten, Therapien und psychischem Zustand. Benötigt ein Schüler eine Anpassung, erfassen Sie die Anpassung selbst („mehr Zeit für Aufgaben”, „größere Schrift”, „kürzere Arbeitsblöcke”), nicht deren Ursache;
• rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, sexuelle Orientierung oder Sexualleben, genetische und biometrische Daten;
• PESEL-Nummern, Personalausweis- und Reisepassnummern, Scans von Ausweisdokumenten und Schülerausweisen (für eine Rechnung genügen Name und Anschrift; eine Steuernummer nur bei Unternehmen);
• Angaben zu Verurteilungen, Gerichtsverfahren, Familienkonflikten und Sorgerechtsregelungen, die über die Angabe des Kontakt-Erziehungsberechtigten hinausgehen;
• Finanzdaten von Schülern und Erziehungsberechtigten über Betrag und Status einer Abrechnung hinaus: Kartennummern, Online-Banking-Zugangsdaten, Kontonummern der Erziehungsberechtigten (Zahlungen wickelt Stripe ab, das uns keine Kartennummern übermittelt);
• Passwörter und Zugangsdaten für beliebige Dienste (Schulregister, Prüfungsplattformen, E-Mail);
• Daten Dritter ohne Bezug zum Lernen (Geschwister, Freunde, namentlich genannte Lehrkräfte in bewertenden Kommentaren);
• Beurteilungen des Charakters, Verhaltens oder der Familie eines Schülers in Fortschrittsnotizen. Notizen sollen das Lernen betreffen: was beherrscht wird, was zu wiederholen ist, wie der Plan lautet.

Ausnahmen, die in gesonderten und zusätzlich geschützten Abläufen verarbeitet werden: der zur Erlangung eines Rabatts hochgeladene Studierendenausweis des Nachhilfelehrers (separater privater Bucket, Zugriff nur für prüfendes Personal, Löschung nach der Entscheidung) sowie die Daten der Identitätsprüfung des Nachhilfelehrers bei Stripe Connect (von Stripe als eigenständigem Verantwortlichen verarbeitet, nie in unserer Datenbank gespeichert).

Erfährt der Verantwortliche (z. B. bei der Bearbeitung einer Anfrage), dass sich Daten aus der obigen Liste im Dienst befinden, fordert er den Nachhilfelehrer zur Löschung auf und löscht sie in schwerwiegenden Fällen nach Information des Nachhilfelehrers selbst. Der KI-Assistent ist nicht für die Verarbeitung solcher Daten bestimmt (§14).

Der Dienst richtet sich nicht an Kinder und erlaubt Personen unter 16 Jahren keine eigenständige Registrierung. Minderjährige ab 16 Jahren können mit Zustimmung des gesetzlichen Vertreters ein Konto anlegen. Ein Schülerkonto für eine Person unter 16 Jahren kann nur auf Einladung eines Nachhilfelehrers und mit Zustimmung eines Elternteils oder gesetzlichen Vertreters entstehen; Eltern oder Vertreter können jederzeit Auskunft über die Daten des Kindes und deren Löschung verlangen (kontakt@lern.one).

Gibt ein Nachhilfelehrer Daten eines minderjährigen Schülers in den Dienst ein (z. B. zur Führung eines Unterrichtsnachweises), obliegt es ihm, die Einwilligung des gesetzlichen Vertreters einzuholen und die Informationspflichten zu erfüllen (§15). Der Umfang der Daten über einen minderjährigen Schüler ist auf das Minimum zu beschränken: Vorname, Kontakt des Erziehungsberechtigten, Stundenplan, Lernfortschritte (§17).

Erfahren wir, dass personenbezogene Daten eines Minderjährigen ohne Zustimmung des gesetzlichen Vertreters in den Dienst eingebracht wurden, löschen wir sie unverzüglich.

Der Verantwortliche trifft gegenüber den Nutzern keine ausschließlich auf automatisierter Verarbeitung (einschließlich Profiling) beruhenden Entscheidungen, die rechtliche Wirkung entfalten oder den Nutzer in ähnlicher Weise erheblich beeinträchtigen würden (Art. 22 Abs. 1 DSGVO).

Im Dienst werden Automatisierungselemente eingesetzt, jedoch ausschließlich in folgendem Umfang:

• Generierung von Vorschlägen für Aufgaben und Lernmaterialien, die an den Fortschritt des Schülers angepasst sind,
• automatische Bewertung geschlossener Aufgaben (Multiple Choice, Wahr/Falsch),
• Erkennung von Missbrauch, Betrugsversuchen und Angriffen auf die Infrastruktur.

Keine der vorstehenden Entscheidungen ist endgültig - der Nutzer kann jederzeit eine Überprüfung der Entscheidung durch einen Menschen verlangen.

Bei Feststellung einer Verletzung des Schutzes personenbezogener Daten wird der Verantwortliche:

• die Verletzung ohne unangemessene Verzögerung, spätestens innerhalb von 72 Stunden nach Feststellung, an den Präsidenten des UODO melden (Art. 33 DSGVO),
• die Nutzer ohne unangemessene Verzögerung benachrichtigen, wenn die Verletzung ein hohes Risiko für die Rechte oder Freiheiten natürlicher Personen zur Folge haben kann (Art. 34 DSGVO),
• ein internes Verzeichnis der Verletzungen samt ergriffener Abhilfemaßnahmen führen.

Dem Nutzer steht das Recht zu, bei der Aufsichtsbehörde Beschwerde einzulegen - beim Präsidenten des Amtes für den Schutz personenbezogener Daten:

Vor Einreichung einer Beschwerde empfehlen wir, sich mit dem Verantwortlichen unter kontakt@lern.one in Verbindung zu setzen - die meisten Angelegenheiten lösen wir schnell und direkt.

Werbliche und Marketing-Informationen (Newsletter, Angebote, Aktionen, Informationen zu Tarifen und Preisen, Nachrichten, die zu einem Kauf oder zur Rückkehr in den Dienst anregen) senden wir ausschließlich auf Grundlage einer gesonderten, freiwilligen Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO sowie Art. 10 des polnischen Gesetzes vom 18. Juli 2002 über die Erbringung von Diensten auf elektronischem Wege und die Vorschriften des Gesetzes über die elektronische Kommunikation). Die Einwilligung ist keine Voraussetzung für die Anlage eines Kontos oder die Nutzung des Dienstes.

Die Einwilligung kann bei der Registrierung (nicht vorausgewähltes Kontrollkästchen), während der Kontoeinrichtung und in den Kontoeinstellungen erteilt werden. Wir speichern Datum, Quelle und Wortlaut der Einwilligung, um ihre Erteilung nachweisen zu können (Art. 7 Abs. 1 DSGVO). Die Einwilligung kann jederzeit widerrufen werden: über den Link „Abmelden“ in der Fußzeile jeder Nachricht, in den Kontoeinstellungen oder per Anfrage an kontakt@lern.one. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Transaktionale Mitteilungen (Registrierungsbestätigungen, Rechnungen, Benachrichtigungen über Unterrichtseinheiten) werden auf Grundlage der Vertragserfüllung versandt (Art. 6 Abs. 1 lit. b DSGVO) - sie erfordern keine gesonderte Einwilligung und können ohne Löschung des Kontos nicht abbestellt werden.

Servicenachrichten zum Konto. Unabhängig von der Marketing-Einwilligung können wir Informationsnachrichten senden, die sich auf Ihr Konto und die von Ihnen bereits genutzten Leistungen beziehen, z. B. eine Erinnerung an die unvollständige Kontoeinrichtung, an das nahende Ende einer Testphase oder an Änderungen im Dienst, die Ihr Konto betreffen. Solche Nachrichten enthalten keine Verkaufsangebote und keine Aufforderung zum Kauf eines höheren Tarifs und werden auf Grundlage der Vertragserfüllung versandt (Art. 6 Abs. 1 lit. b DSGVO).

Meldungen, die innerhalb des Dienstes angezeigt werden (z. B. Banner und Infofenster in der App), gehören zur Funktionsweise des Dienstes und sind keine an ein externes E-Mail-Postfach gesendeten Nachrichten.

Der Verantwortliche behält sich das Recht vor, diese Erklärung zu aktualisieren im Fall von: Änderungen von Rechtsvorschriften, Einführung neuer Dienste oder Funktionen, Wechsel von Auftragsverarbeitern oder Datenempfängern, Empfehlungen der Aufsichtsbehörden.

Über wesentliche Änderungen informiert der Verantwortliche die Nutzer per E-Mail oder durch eine Mitteilung im Dienst mit einer Frist von mindestens 14 Tagen. Die weitere Nutzung des Dienstes nach Inkrafttreten der Änderungen bedeutet deren Annahme. Das Datum am Anfang des Dokuments gibt das Datum der letzten Aktualisierung an.