Datenschutzhinweise der Apps

Diese Hinweise gelten für die Lehrer-App (PrüfrTeacher, macOS und iPadOS) und die Schüler-App (PrüfrStudent). Sie beschreiben, wie die Apps grundsätzlich mit Daten umgehen. Die konkrete Verarbeitung an Ihrer Schule regeln die Datenschutzinformationen der Schule.

1. Wer verantwortlich ist

Verantwortlich für die Verarbeitung ist die Schule, die Prüfr einsetzt. Sie betreibt den Prüfr-Server und entscheidet, wofür die Daten verwendet werden. Der Entwickler, Malte Brede, ist nur im Rahmen eines Vertrags zur Auftragsverarbeitung mit der Schule tätig, etwa für Wartung und Updates.

Zwei Angebote betreibe ich, Malte Brede, selbst und bin dafür selbst verantwortlich: das öffentliche Schulverzeichnis, das die Lehrer-App abruft (Abschnitt 2), und den Demo- und Testserver (Abschnitt 8). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Beim Schulverzeichnis liegt das berechtigte Interesse darin, dass die Lehrer-App den Server der Schule ohne manuelle Eingabe findet. Hosting und Ihre Rechte beschreibt die Datenschutzerklärung der Website.

Fragen zu Ihren Daten und Anträge auf Auskunft, Berichtigung oder Löschung richten Sie bitte an Ihre Schule bzw. deren Datenschutzbeauftragte oder Datenschutzbeauftragten.

2. Wo die Daten liegen

• Zentral auf dem Prüfr-Server der Schule. Konten, Klassen, Klassenarbeiten, Antworten und Korrekturen tauschen die Apps im Schulbetrieb nur mit diesem Server aus. Ausnahmen sind der Abruf des Schulverzeichnisses durch die Lehrer-App (unten) und der Demo- und Testserver des Entwicklers (Abschnitt 8), den Sie nur ausdrücklich zum Ausprobieren wählen.
• Vorübergehend auf den Geräten: Die Schüler-App speichert Antworten lokal, bis der Server sie bestätigt hat und die Lehrkraft die Arbeit beendet hat. Danach werden sie auf dem iPad gelöscht. Lässt sich der Speicher der App nicht öffnen und wird sie am Gerät ausdrücklich zurückgesetzt, legt sie die bisherigen Daten auf dem iPad beiseite, statt sie zu löschen, damit keine Antworten verloren gehen. Ebenso beiseitegelegt werden Aufgaben und Antworten eines Prüfungstermins, der sich auf dem iPad technisch nicht mehr regulär abschließen lässt – weil der Schulserver die Anmeldung nicht mehr kennt oder weil seit dem Laden der Prüfung mindestens 8 Stunden vergangen sind – und den die Schülerin oder der Schüler deshalb nach einer ausdrücklichen Warnung außerhalb des Prüfungsmodus auf dem iPad beendet; übertragen wird dabei nichts. Beiseitegelegte Daten löscht die App beim ersten Start nach Ablauf von 30 Tagen. Die Lehrer-App hält eine lokale Arbeitskopie der Klassenlisten, Klassenarbeiten und Korrekturen der angemeldeten Lehrkraft und gleicht sie mit dem Server der Schule ab, damit bei einem Gerätewechsel nichts verloren geht.
• Die Apps nutzen keine Cloud-Speicher. Klassen-, Prüfungs- oder Schülerdaten aus dem Schulbetrieb erhält der Entwickler über die Apps nicht. Klassenlisten, Antworten und Korrekturen schließen die Apps von Gerätesicherungen aus (iCloud-Backup, Sicherung über den Finder, auf dem Mac auch Time Machine). Aufgaben und Entwürfe der Lehrkraft bleiben in der Sicherung, damit sie bei einem Geräteverlust nicht verloren gehen. Nach einem Geräteverlust lassen sich die ausgenommenen Daten nur über den Server der Schule wiederherstellen, auch auf dem Mac.

Schulverzeichnis (nur Lehrer-App)

Die Lehrer-App findet den Server Ihrer Schule über ein öffentliches, digital signiertes Verzeichnis, das E-Mail-Domains den Schulservern zuordnet. Sie lädt es bei der Anmeldung (auch mit Passkey) und beim Zurücksetzen des Passworts von pruefr-app.de und prüft die Signatur. Ist Ihre Schule bereits in der gespeicherten oder der mit der App ausgelieferten Fassung eingetragen, läuft der Abruf im Hintergrund und hält die Anmeldung nicht auf.

Übertragen werden dabei weder Ihre E-Mail-Adresse noch Namen oder andere Inhalte; die Zuordnung zu Ihrer Domain geschieht auf dem Gerät. Technisch erhält der Webserver für die Verbindung Ihre IP-Adresse und die Verbindungsangaben, die das Betriebssystem mitsendet, etwa die Kennung von App und Systemversion. Zugriffsprotokolle werden nicht gespeichert. Wer die Serveradresse von Hand einträgt, löst keinen Abruf aus. Die Schüler-App ruft das Verzeichnis nicht ab.

3. Welche Daten verarbeitet werden

Lehrkräfte

• Name und dienstliche E-Mail-Adresse für das Benutzerkonto
• Passwort – auf dem Server nur als nicht umkehrbarer Hash gespeichert
• Schlüssel der Zwei-Faktor-Anmeldung (TOTP) – auf dem Server der Schule verschlüsselt gespeichert, damit er den sechsstelligen Code bei der Anmeldung prüfen kann. Der Schlüssel liegt außerdem in der Passwörter-App oder Authenticator-App, in der die Lehrkraft ihn einrichtet. Er wird gelöscht, wenn die Administration die Zwei-Faktor-Anmeldung zurücksetzt oder das Konto gelöscht wird (Abschnitt 7); das Zurücksetzen wird im Protokoll des Servers vermerkt.
• Passkeys (freiwillig) – richtet eine Lehrkraft einen Passkey ein, speichert der Server der Schule dessen öffentlichen Schlüssel, eine technische Kennung, den Gerätenamen als Bezeichnung (z. B. „iPad“), das Datum der Einrichtung und der letzten Anmeldung. Der geheime Schlüssel verlässt das Gerät bzw. den iCloud-Schlüsselbund der Lehrkraft nie; Gesichts- oder Fingerabdruckdaten erhält Prüfr nicht, die Bestätigung mit Face ID oder Touch ID findet allein auf dem Gerät statt. Damit ein Passkey für pruefr-app.de gilt, prüft das Betriebssystem über Apple die Zuordnung der App zu dieser Domain (Associated Domains); Daten der Lehrkraft gehen dabei nicht an Prüfr. Die Lehrkraft kann Passkeys in den Einstellungen entfernen; sie werden außerdem gelöscht, wenn die Administration die Anmeldeverfahren zurücksetzt oder das Konto gelöscht wird.
• erstellte Aufgaben, Klassenarbeiten, Klassenlisten und Korrekturentscheidungen
• Protokolleinträge zu sicherheitsrelevanten Vorgängen mit der internen Kennung des Kontos (Abschnitt 7)

Schülerinnen und Schüler

• Name, bei der Anmeldung zur Klassenarbeit eingegeben
• Antworten einschließlich Zeichnungen sowie der Zeitpunkt der Abgabe
• Korrekturvorschläge, Punkte, Kommentare und Bewertungen der Lehrkraft
• aus der Klassenliste der Lehrkraft: Name, gegebenenfalls Schulzweig und – falls die Schule die Rückgabe per E-Mail nutzt – die E-Mail-Adresse
• pseudonymisierte Protokolleinträge zu Anmeldung, Abgabe, Ablauf der Prüfung und KI-Korrektur (Abschnitt 7)

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, werden nicht verarbeitet. Wird einzelnen Schülerinnen und Schülern mehr Zeit gewährt, speichert Prüfr dazu keine Gründe.

4. Korrekturvorschläge mit KI

Für offene Antworten kann der Prüfr-Server Korrekturvorschläge bei einem selbst betriebenen KI-Server anfordern, über eine verschlüsselte Verbindung. Je nach Aufgabe werden übertragen:

• der Aufgabentext und gegebenenfalls das Material der Aufgabe, etwa ein Text, auf den sich ein Aufsatz bezieht,
• der Erwartungshorizont und die Feinjustierungs-Hinweise der Lehrkraft,
• der Antworttext so, wie er geschrieben wurde, bei Aufsätzen mit Teilaufgaben auch die Texte aller Teilaufgaben,
• bei Zeichnungsaufgaben die Zeichnung als Bild, zusammen mit Hintergrund- und Musterbild der Aufgabe,
• für die Rechtschreib-, Zeichensetzungs- und Grammatikprüfung: der Antworttext allein, ohne Aufgabe und Erwartungshorizont. Das Modell gibt ihn korrigiert zurück; welche Stellen sich geändert haben, ermittelt der Prüfr-Server selbst. Nicht eindeutige Änderungen gehen mit ihrem Satz noch einmal zur Einordnung an den KI-Server.

Der Name wird nicht als eigenes Feld übertragen. Im Antworttext ersetzt der Prüfr-Server vor der Übertragung die Namen aus Teilnehmerliste, Klasse und Lehrkraft sowie E-Mail-Adressen, Telefonnummern, Links und Postanschriften durch Platzhalter (etwa „[Name 1]“) und setzt sie erst beim Speichern des Ergebnisses wieder ein. Ein Name, der auch in der Aufgabe, im Material, im Erwartungshorizont oder in einem Hinweis der Lehrkraft steht, bleibt stehen (etwa eine Romanfigur). Die Texte der Lehrkraft, Zeichnungen sowie Namen und Angaben, die Prüfr nicht kennt, werden so übertragen, wie sie dastehen. Lehrkräfte schreiben deshalb bitte keine personenbezogenen Angaben in Material, Erwartungshorizont und Feinjustierungs-Hinweise.

Der KI-Server verarbeitet die Inhalte nur, um den Vorschlag zu berechnen; Anfrageinhalte werden dort nicht protokolliert oder gespeichert. Schülerantworten werden nicht zu Trainingszwecken verwendet. Externe KI-Anbieter oder Cloud-Dienste werden nicht genutzt.

Ein Vorschlag ist keine Bewertung. Die Lehrkraft prüft jedes Ergebnis und gibt es ausdrücklich frei. Ihre Entscheidungen werden auf dem Server der Schule nachvollziehbar protokolliert (Abschnitt 7).

5. E-Mail-Versand

Nutzt die Schule den Versand von Korrekturen per E-Mail, verschickt der Prüfr-Server die freigegebene Korrektur über den von der Schule eingerichteten Mailserver. Versendet wird nur an die Adresse, die für die Schülerin bzw. den Schüler aktuell in der Klasse auf dem Prüfr-Server steht; standardmäßig sind nur Adressen mit der Domain der Schule zugelassen. Die E-Mail enthält die Korrektur als PDF sowie Name und E-Mail-Adresse der Lehrkraft für Rückfragen.

Nach dem Versand speichert der Server einen Versandvermerk: Klassenarbeit, Versuch, eine interne Schülerkennung, eine Prüfsumme des freigegebenen Bewertungsstands, Zeitpunkt und versendende Lehrkraft. Empfängeradresse und Inhalt der E-Mail werden nicht gespeichert. So sieht die Lehrkraft, welche Korrekturen schon versandt sind. Der Vermerk wird mit der Klassenarbeit gelöscht.

6. Kein Tracking

Die Apps enthalten keine Werbung und keine Analyse-, Tracking- oder Absturzmelde-Werkzeuge von Drittanbietern. Apple kann abhängig von den Einstellungen des Geräts eigene Diagnosedaten erheben; darauf haben die Apps keinen Einfluss.

7. Speicherdauer

Klassenarbeiten mit Antworten, Korrekturen und Bewertungen werden archiviert – von der Lehrkraft oder automatisch zum Schuljahresende (Stichtag der Schule) – und ein Jahr nach dem Ende des Schuljahres, in dem sie archiviert wurden, vom Prüfr-Server automatisch gelöscht. Für Klassenarbeiten besteht in Niedersachsen keine Aufbewahrungspflicht; die Jahresfrist deckt die Frist ab, in der ein Zeugnis angefochten werden kann.

Klassenlisten löscht der Prüfr-Server automatisch zum Schuljahresende (Stichtag der Schule). Löscht eine Lehrkraft eine Klasse oder schließt sie einen Kurs ab, wird die Klassenliste sofort auf dem Server und auf ihren Geräten gelöscht; auf dem Server bleibt nur ein Vermerk ohne personenbezogene Daten, damit die Klasse nicht von einem anderen Gerät zurückkommt.

Protokolle

Getrennt von den übrigen Daten führt der Prüfr-Server eine Protokolldatenbank. Schülerinnen und Schüler erscheinen darin nur unter einem Pseudonym, das aus Name und Klassenarbeit berechnet wird; der Name selbst steht nicht darin. Pseudonymisierte Daten bleiben personenbezogen: Mit dem Schlüssel des Servers und der Teilnehmerliste lässt sich ein Pseudonym einer Person zuordnen. Protokolliert werden:

• Anmelde- und Ablaufereignisse einer Prüfung: Anmeldung zum Termin, Freigabe oder Ablehnung durch die Lehrkraft, Abmeldung, Eingang jeder Antwort, Beginn, Ende oder Abbruch eines Versuchs und das Beenden eines Termins, mit Zeitpunkten und technischen Kennungen, ohne Antwortinhalte,
• das pädagogische Protokoll der KI-Korrektur: Bewertet die Lehrkraft einen KI-Vorschlag, werden die vorgeschlagenen Punkte, der Kommentartext der KI, Modell, Version der Anweisung, Rechenzeit, Konfidenz und die Punkte der Lehrkraft gespeichert. Der Kommentartext der KI kann Formulierungen aus der Antwort wiedergeben,
• sicherheitsrelevante Vorgänge bei Lehrkräften (Einrichten und Zurücksetzen der Zwei-Faktor-Anmeldung, Hinzufügen und Entfernen von Passkeys, Löschen einer Klasse, Löschen des eigenen Kontos) mit der internen Kennung des Kontos,
• technische Fehler (Statuscode, aufgerufene Funktion, Fehlerbeschreibung) ohne Antwortinhalte.

Alle Protokolleinträge werden ein Jahr nach ihrer Entstehung gelöscht; der Server prüft das täglich. Wird eine Klassenarbeit gelöscht, löscht er die zugehörigen Protokolleinträge und Pseudonyme schon vorher.

Konto löschen

Lehrkräfte können ihr Konto in der Lehrer-App in den Einstellungen selbst löschen. Dafür sind das Passwort und der aktuelle Code der Zwei-Faktor-Anmeldung erforderlich. Gelöscht werden das Konto mit allen Anmeldedaten (Passwort-Hash, Schlüssel der Zwei-Faktor-Anmeldung, Passkeys, Anmeldesitzungen), die Klassen der Lehrkraft samt den Löschvermerken gelöschter Klassen, Aufgabenbilder, die in keiner erhaltenen Klassenarbeit mehr vorkommen, und alle Prüfr-Daten dieses Kontos auf dem Gerät, auf dem sie die Löschung ausführt. Auf weiteren Geräten, auf denen sie angemeldet ist, bleiben Prüfr-Daten gespeichert, bis sie dort die App löscht.

Die Klassenarbeiten bleiben als Unterlagen der Schule auf dem Server erhalten, mit Aufgabentexten, Aufgabenbildern, Antworten, Korrekturen, Freigaben und Versandvermerken, aber ohne Bezug zur Lehrkraft. Eine aufbewahrte Klassenarbeit ohne ihre Bewertung würde den Zweck der Aufbewahrung (Nachvollziehbarkeit der Zeugnisnote) nicht erfüllen. Niemand kann sie danach über Prüfr öffnen; sie werden mit der oben genannten Frist gelöscht. Pseudonymisierte Protokolleinträge werden ebenfalls erst mit ihrer Frist gelöscht. Solange ein Prüfungstermin der Lehrkraft läuft oder Abgaben einsammelt, ist die Löschung nicht möglich; noch nicht gestartete Termine beendet sie, wartende Anmeldungen werden dabei abgelehnt. Der letzte Administrator der Schule kann sein Konto nicht löschen. Außerdem kann die Administration der Schule Konten löschen.

8. Demo- und Testserver

Zum Ausprobieren der Apps, für eigene Tests und für die Prüfung der Apps durch Apple betreibe ich einen eigenen Prüfr-Server unter test.pruefr-app.de. Er ist nicht für echte Klassenarbeiten bestimmt. Für diesen Server bin ich, Malte Brede, verantwortlich; die Kontaktdaten stehen im Impressum.

• Die Schüler-App verbindet sich nur dann mit dem Testserver, wenn auf einem Gerät ohne Einrichtung durch die Schule ausdrücklich „Demo ausprobieren“ gewählt wird. Sie zeigt dann durchgehend den Hinweis „Demo“. Die Lehrer-App nutzt ihn nur mit einem Demo- oder Testkonto.
• Bitte geben Sie dort keine echten Namen oder Daten ein, sondern erfundene.
• Verarbeitet werden nur die Angaben, die in der Demo eingegeben werden: Name und E-Mail-Adresse der Testkonten (Passwörter nur als Hash), eingegebene Namen, Antworten, Zeichnungen und Korrekturen sowie die Protokolleinträge nach Abschnitt 7.
• Der Testserver wird jede Nacht um 6 Uhr auf einen festen Demostand zurückgesetzt. Läuft dann noch eine Demo-Prüfung, wird sie vorher regulär beendet. Zurückgesetzt werden die Fachdaten: Konten, Klassen, Klassenarbeiten, eingegebene Namen, Antworten, Korrekturen, Bilder und Zeichnungen.
• Nicht zurückgesetzt wird die getrennte Protokolldatenbank. Die pseudonymisierten Einträge aus Abschnitt 7 – Anmelde-, Abgabe- und Ablaufereignisse, das pädagogische Protokoll mit KI-Vorschlag, Punkten und Entscheidung der Lehrkraft sowie das Systemprotokoll – bleiben dort, bis ihre Frist von einem Jahr abgelaufen ist. Die Liste der Pseudonyme selbst (ohne Namen) wird im Demobetrieb derzeit nicht automatisch geleert.
• Der Server steht bei der Hetzner Online GmbH in Deutschland (siehe Datenschutzerklärung der Website, Abschnitt 3). Ihre IP-Adresse wird nur für die Verbindung und kurzzeitig im Arbeitsspeicher verarbeitet, um übermäßig viele Anfragen abzuwehren. Zugriffsprotokolle werden nicht gespeichert.
• Korrekturvorschläge berechnet ein KI-Server des Entwicklers in Deutschland. Übertragen werden die Inhalte aus Abschnitt 4 – Aufgabe, gegebenenfalls Material, Erwartungshorizont und Hinweise, der Antworttext so, wie er geschrieben wurde, und bei Zeichnungsaufgaben die Zeichnung –, ohne eigenes Namensfeld, durch einen verschlüsselten Tunnel. Kommt keine direkte Verbindung zustande, laufen die verschlüsselten Pakete über einen eigenen Vermittlungsserver auf dem Server bei der Hetzner Online GmbH in Deutschland, der die Inhalte nicht lesen kann. Der KI-Server verarbeitet die Inhalte nur, um den Vorschlag zu berechnen; Anfrageinhalte werden dort nicht protokolliert oder gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt darin, die Apps vorzuführen, zu testen und prüfen zu lassen. Ihre Rechte entsprechen Abschnitt 6 der Datenschutzerklärung der Website.

9. Kontakt zum Entwickler

Malte Brede, E-Mail: info@pruefr-app.de. Weitere Angaben im Impressum.

Stand: 25. Oktober 2026