Datenschutzerklärung

Stand: 04.11.2026

Diese Datenschutzerklärung gilt für die Nutzung der Plattform „Teach!“ (Web-App, Desktop-Apps für Windows und macOS, Mobile Apps für iOS und Android sowie die zugehörige Website teach-app.de).

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:

Tobias Gößel
Lokstedter Damm 7a
22453 Hamburg
Deutschland
Telefon: 0162-9199147
E-Mail: webmaster@teach-app.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen für eine verpflichtende Benennung nicht vorliegen.

2. Worum es in dieser Erklärung geht und wer wofür verantwortlich ist

Teach! richtet sich an Lehrkräfte ab 18 Jahren zur Organisation ihres Unterrichts. Datenschutzrechtlich unterscheiden wir zwei verschiedene Verarbeitungsbereiche:

1. Konto-, Abrechnungs- und Nutzungsdaten von Lehrkräften: Für die Registrierung, Vertragsabwicklung, Sicherheit und optionale Funktionen sind wir datenschutzrechtlich Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO. Diese Erklärung erläutert diese Vorgänge im Detail.
2. Inhalte, die Sie in Teach! eingeben (Schüler-, Noten- und Elterndaten): Für alle von Ihnen im Rahmen des Schulbetriebs eingegebenen Daten von Schülerinnen, Schülern, Erziehungsberechtigten und Kollegium ist die jeweilige Schule bzw. bei eigenverantwortlicher Nutzung die Lehrkraft datenschutzrechtlich Verantwortlicher. Wir verarbeiten diese Daten ausschließlich als Auftragsverarbeiter nach Art. 28 DSGVO auf Ihre dokumentierte Weisung. Betroffene Schüler oder Eltern wenden sich zur Wahrnehmung ihrer Rechte bitte direkt an die zuständige Schule bzw. Lehrkraft.

3. Speichermodi und Dateneinsicht

Bei der Nutzung entscheiden Sie, wie Ihre Unterrichts- und Schülerdaten verarbeitet werden:

• Cloud-Modus: Ihre Daten werden auf unseren Servern gespeichert und in Ihrem Auftrag verarbeitet. Der Anbieter hat administrativ und technisch Zugriff zur Fehlerbehebung oder Erfüllung gesetzlicher Vorgaben.
• Verschlüsselter Modus (Ende-zu-Ende / E2EE): Alle Inhalte werden direkt auf Ihrem Endgerät verschlüsselt, bevor sie an den Server übertragen werden. Der Anbieter verfügt über keinen Entschlüsselungsschlüssel und kann die Inhalte nicht einsehen. Optional können Nutzer von iOS- und Android-Apps die Daten über einen eigenen Cloud-Speicher abgleichen; in diesem Fall werden nur verschlüsselte Datenfragmente bei dem externen Cloud-Anbieter abgelegt. Wir verarbeiten im E2EE-Modus lediglich technische Metadaten (z. B. Speichergröße, Zeitstempel, anonyme Gerätekennungen) zur Funktionssicherung.

4. Überblick über Verarbeitungszwecke, Rechtsgrundlagen und Speicherdauer

Verarbeitung / Zweck	Verarbeitete Daten	Rechtsgrundlage	Speicherdauer
Konto & Registrierung	Name, E-Mail-Adresse, Passwort (nur als Hash), Bundesland/Kanton, Schule (optional), Fächer (optional), Speichermodus	Art. 6 Abs. 1 lit. b DSGVO	Bis zur endgültigen Löschung des Nutzerkontos.
System- & Sicherheits-Mails	E-Mail-Adresse, Name, Statusmitteilungen	Art. 6 Abs. 1 lit. b und lit. f DSGVO	Bis zur Löschung des Kontos.
Anmeldeprotokoll & Kontosicherheit	Zeitpunkt, Ereignisart, IP-Adresse, Gerätetyp, Browserkennung (User-Agent)	Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO	IP-Adresse und User-Agent werden nach 90 Tagen gelöscht; Zeitstempel und Ereignis bleiben bis zur Kontolöschung gespeichert.
Zwei-Faktor-Authentifizierung & Passkeys	TOTP-Secret (verschlüsselt), Recovery-Codes (gehasht), öffentliche Passkey-Schlüssel, Kennung	Art. 6 Abs. 1 lit. b und lit. f DSGVO	Bis zur Deaktivierung der 2FA bzw. Löschung des Schlüssels/Kontos.
Anmelde-Cookie (Web-App)	Kryptografisches Sitzungs-Token (teach_refresh)	§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO	Bis zum Logout, maximal 7 Tage nach der letzten Nutzung.
Teilen-Links für Materialien	Zufälliges Link-Token (als Hash gespeichert), Materialzuordnung, Ablaufdatum	Art. 6 Abs. 1 lit. b DSGVO bzw. AVV	Bis zum Ablauf (maximal 1 Jahr) oder manuellen Widerruf durch die Lehrkraft.
Testzugang	Generierte Testzugangsdaten, pseudonyme Demodaten, Sitzungs-IP	Art. 6 Abs. 1 lit. b und lit. f DSGVO	Endet automatisch nach 7 Tagen; vollständige Löschung innerhalb von 60 Minuten nach Ablauf.
Abrechnung & Zahlung (Plus-Tarif)	Tarifdaten, Rechnungsadresse, Transaktions-ID, Zahlungsreferenz (keine Kreditkartendaten)	Art. 6 Abs. 1 lit. b und lit. c DSGVO	Gesetzliche Aufbewahrungsfristen (insb. 8 Jahre nach Steuer- und Handelsrecht).
Kündigungs- und Widerrufsverwaltung	Name, E-Mail-Adresse, Vertragsdaten, Zeitpunkt, IP-Adresse, Nachweis der Erklärung	Art. 6 Abs. 1 lit. c und lit. f DSGVO, §§ 312k, 356a BGB	3 Jahre ab Ablauf des Jahres, in dem die Erklärung einging.
Bestellnachweis (Web-Abo)	Zustimmung zu den AGB und zum sofortigen Beginn, Wortlaut, Zeitpunkt, IP-Adresse, Browserkennung	Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO	Bis zur Löschung des Kontos; die Fassung der Bestätigung bleibt beim Zahlungsdienstleister am Vorgang gespeichert.
Supportanfragen	Inhalt der Anfrage, E-Mail-Adresse, technische Details	Art. 6 Abs. 1 lit. b und lit. f DSGVO	Bis zur Erledigung, maximal 6 Monate nach Abschluss aufbewahrt.
Newsletter (optional)	E-Mail-Adresse, Name, Double-Opt-In-Protokoll (Zeitstempel, IP-Adresse)	Art. 6 Abs. 1 lit. a DSGVO	Bis zum Widerruf; Nachweisdaten bis zum Ablauf der Verjährungsfristen (3 Jahre).
Nutzungsstatistik (optional)	Aggregierte App-Nutzung, Plattform, App-Version, Feature-Aufrufe (keine Inhalte/Schülerdaten)	Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG	14 Monate; bei Widerruf sofortige Löschung der Zuordnung.
Server-Logfiles	IP-Adresse, Abrufzeitpunkt, aufgerufene URL, Statuscode, Browsertyp	Art. 6 Abs. 1 lit. f DSGVO	7 Tage zur Gefahrenabwehr und Fehlerbehebung.

5. Hosting und Infrastruktur

Die Infrastruktur von Teach! wird auf virtuellen Servern der STRATO AG (Otto-Ostrowski-Straße 7, 10249 Berlin) in zertifizierten Rechenzentren in Deutschland betrieben. Mit der STRATO AG wurde ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen. Sämtliche System- und Benachrichtigungs-E-Mails werden über die Mailserver der STRATO AG versendet.

6. Empfänger und Auftragsverarbeiter

Zur Bereitstellung unserer Dienste setzen wir sorgfältig ausgewählte Dienstleister ein:

• STRATO AG (Deutschland): Hosting, Server-Infrastruktur und E-Mail-Versand.
• Stripe Payments Europe Ltd. (Irland): Sichere Zahlungsabwicklung bei Web-Bestellungen. Zahlungsdaten werden direkt bei Stripe verarbeitet.
• RevenueCat, Inc. (USA): Synchronisation und Validierung von Abonnements, die über den Apple App Store oder Google Play Store abgeschlossen werden. Es werden ausschließlich anonymisierte Nutzer-Kennungen und Belegdaten übertragen.
• Google Ireland Limited (YouTube): Einbindung von YouTube-Videos im Bedarfsfall (nur bei aktiver Einwilligung oder Klick gemäß Ziffer 16).
• Vom Nutzer angebundene Drittanbieter: Bindet der Nutzer eigene Dienste (z. B. WebUntis, E-Mail-Postfächer via CardDAV/IMAP oder eigene Cloud-Speicher) an, erfolgt der Datenaustausch nur im vom Nutzer bestimmten Umfang. Zugangsdaten werden stets verschlüsselt gespeichert.

7. Datenübermittlung in Drittländer

Ihre Kontodaten und alle Schuldaten werden ausschließlich auf Servern in Deutschland verarbeitet. Soweit Dienstleister (wie RevenueCat oder Stripe) Daten in den USA verarbeiten, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (EU-US Data Privacy Framework) bzw. auf Basis von Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO). Schülerdaten sind von Übermittlungen in Drittländer zu keinem Zeitpunkt betroffen.

8. Freiwillige Nutzungsstatistik

Zur Verbesserung der App erfassen wir nur nach ausdrücklicher Einwilligung statistische Nutzungsdaten (z. B. welche Funktionen genutzt werden, Betriebssystem, App-Version). Es werden **weder Schülerdaten noch Unterrichtsinhalte, IP-Adressen oder User-Agents** im Statistiksystem erfasst. Die Einwilligung kann jederzeit in den App-Einstellungen unter Einstellungen › Rechtliches mit Wirkung für die Zukunft widerrufen werden.

9. Newsletter

Ein Newsletter-Versand erfolgt ausschließlich nach vorheriger ausdrücklicher Einwilligung im Double-Opt-In-Verfahren. Zur Dokumentation speichern wir den Zeitpunkt der Anmeldung und Bestätigung sowie die IP-Adresse. Die Abmeldung ist jederzeit über den Abmeldelink in jeder Newsletter-E-Mail oder in den Profileinstellungen möglich.

10. Schlüsselverantwortung im verschlüsselten Modus (E2EE)

Im Modus „Verschlüsselt (E2EE)“ werden die Daten auf Ihrem Endgerät mit Ihrer persönlichen Passphrase bzw. den 24 Wiederherstellungswörtern verschlüsselt. Der Anbieter besitzt keinen Generalschlüssel und kann verlorene Schlüssel nicht wiederherstellen. Gehen Passphrase und Wiederherstellungswörter verloren, können die gespeicherten Daten technisch nicht mehr entschlüsselt werden.

11. Speicherlimit und verarbeitete Dateien

Zur Durchsetzung des tariflichen Speicherlimits berechnet das System die Dateigrößen der hochgeladenen Materialien. Vorschaubilder werden automatisiert aus Ihren Dokumenten erzeugt und bei Löschung des Ursprungsmaterials unverzüglich und unwiderruflich mitgelöscht.

12. Kontolöschung und Aufbewahrungsfristen

1. Nutzer können ihr Konto jederzeit in den Einstellungen löschen. Nach Bestätigung gilt eine 14-tägige Karenzzeit, während derer die Löschung reaktiviert werden kann.
2. Nach Ablauf der Karenzzeit werden persönliche Kontodaten (Name, E-Mail-Adresse) unverzüglich anonymisiert, Anmelde-Tokens entwertet und E2EE-Schlüsselhüllen sofort physisch gelöscht.
3. Unterrichtsinhalte und Materialien im Cloud-Modus werden unwiderruflich nach 30 Tagen gelöscht.
4. In regelmäßigen System-Backups vorhandene Daten werden im Rahmen des regulären Backup-Rotationszyklus nach spätestens 30 Tagen endgültig überschrieben.
5. Steuer- und handelsrechtlich relevante Belege werden gemäß den gesetzlichen Aufbewahrungsfristen archiviert.

13. Datensicherheit (Art. 32 DSGVO)

Wir setzen moderne technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen: Transportverschlüsselung via TLS/HTTPS, Passworthashing nach dem Stand der Technik, Brute-Force-Schutzmaßnahmen, Zwei-Faktor-Authentifizierung (TOTP/Passkeys) und strikte Rechte- und Zugriffstrennung.

14. Schutz von Minderjährigen

Teach! richtet sich ausschließlich an volljährige Lehrkräfte. Schülerinnen und Schüler erhalten keine eigenen Nutzerkonten; personenbezogene Daten von Schülern werden ausschließlich im Rahmen der schulischen Auftragsverarbeitung durch berechtigte Lehrkräfte erfasst.

15. Anmeldeverfahren und Authentifizierung

Die Authentifizierung erfolgt über E-Mail-Adresse und Passwort. Optional können eine Zwei-Faktor-Authentifizierung (TOTP) sowie Passkeys eingerichtet werden. Bei der Nutzung von biometrischen Entsperrverfahren (Face ID, Fingerabdruck) auf Ihrem Smartphone oder Computer verbleiben die biometrischen Daten ausschließlich im gesicherten Speicher Ihres Betriebssystems und erreichen unsere Server zu keinem Zeitpunkt.

16. Cookies, lokaler Speicher und externe Inhalte

Technisch notwendige Cookies und lokaler Speicher: Die Web-App setzt ausschließlich ein notwendiges Authentifizierungs-Cookie (teach_refresh, HttpOnly, Secure, SameSite=Strict). Für die Offline-Nutzung und Funktionsbereitschaft werden Einstellungen und Arbeitsdaten lokal im Browser-Speicher (IndexedDB, LocalStorage) hinterlegt (§ 25 Abs. 2 Nr. 2 TDDDG).

Keine Tracker oder Drittanbieter-Schriften: Wir binden keine Werbe-Tracker, Analyse-Skripte Dritter oder Google Fonts ein. Alle Schriften und Anwendungs-Skripte werden direkt von unserem eigenen Server ausgeliefert.

YouTube-Videos: Werden Videos als Unterrichtsmaterial verlinkt, werden diese standardmäßig im datenschutzfreundlichen Modus (youtube-nocookie.com) und erst nach Ihrer ausdrücklichen Freigabe geladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

17. Ihre Betroffenenrechte

Sie haben im Rahmen der gesetzlichen Vorschriften jederzeit das Recht auf:

• Auskunft über Ihre verarbeiteten personenbezogenen Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem maschinenlesbaren Format (Art. 20 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte wenden Sie sich einfach per E-Mail an webmaster@teach-app.de oder nutzen Sie die Export- und Kontofunktionen in der App.

18. Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Ihre Daten auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen.

19. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für unseren Sitz zuständige Behörde ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Str. 22, 7. OG
20459 Hamburg
Webseite: https://datenschutz-hamburg.de

20. Ergänzende Hinweise zur Website (teach-app.de)

Beim rein informatorischen Besuch unserer Website (teach-app.de) werden durch den Webserver technisch notwendige Zugriffsdaten erhoben (IP-Adresse, Browsertyp, Referrer-URL, Zeitstempel), um die Stabilität und Sicherheit der Website zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO). Diese Logfiles werden nach 7 Tagen automatisch gelöscht. Die Website setzt bei Besucherinnen und Besuchern keine Cookies und bindet keine Inhalte oder Dienste von Drittanbietern ein (keine Analyse-, Marketing- oder Social-Media-Dienste). Lediglich bei der Anmeldung im Redaktionsbereich der Website werden technisch notwendige Cookies gesetzt.

Kontaktformulare und Anfragen per E-Mail

Wenn Sie uns über ein Formular auf teach-app.de (Support-Anfrage, Anfrage für Schulen) oder per E-Mail kontaktieren, verarbeiten wir die von Ihnen angegebenen Daten – Name und E-Mail-Adresse, bei Anfragen für Schulen zusätzlich Name der Schule, Ort und Bundesland, Funktion sowie optional Telefonnummer und ungefähre Anzahl der Lehrkräfte – und den Inhalt Ihrer Nachricht, um Ihre Anfrage zu bearbeiten und zu beantworten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage die Nutzung von Teach! oder den Abschluss eines Vertrags betrifft (zum Beispiel eine Schullizenz oder einen Vertrag zur Auftragsverarbeitung), im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung von Anfragen.

Die Angaben aus den Formularen werden per E-Mail über die Mailserver der STRATO AG (siehe Nr. 5 und 6) an unser Postfach übermittelt; in der Datenbank der Website werden sie nicht gespeichert. Wir löschen Ihre Angaben, sobald die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen (zum Beispiel für Handels- und Geschäftsbriefe nach § 257 HGB und § 147 AO), spätestens jedoch sechs Monate nach Erledigung.