Verantwortliche Stelle und Kontakt

grAider wird von der grAider GmbH i.G., vertreten durch Geschäftsführer Friedrich Wolf, Georg-Wrba-Straße 86, 01069 Dresden, Deutschland, betrieben. Datenschutzkontakt: contact@graider.de.

Bei schulischen Bewertungen ist die Schule oder sonstige zuständige Stelle verantwortlich; grAider verarbeitet Daten auf ihre Weisung im Rahmen eines Auftragsverarbeitungsvertrags (AVV). Die verantwortliche Stelle bestimmt die Rechtsgrundlage, informiert Schülerinnen, Schüler und Erziehungsberechtigte und legt die Aufbewahrungsfristen für schulische Unterlagen fest. Für den eigenen Websitebetrieb sowie erforderliche Vertragskontakt- und Rechnungsdaten ist grAider gesondert verantwortlich.

Daten und Zwecke

Wir verarbeiten Konto- und Schulangaben, hochgeladene Prüfungsunterlagen, Seitenbilder, erkannten Text, Schülerkennzeichen, Bewertungsraster, Punkte- und Feedbackentwürfe, Änderungen durch Lehrkräfte, Hilfeverläufe und Supportanfragen. Technische Daten umfassen IP-Adressen, Sitzungskennungen, Nutzungs- und Kostennachweise, Zustellberichte und Fehlerdaten. Diese Daten dienen der Kontoverwaltung, Dokumentenverarbeitung, Vorkorrektur, Prüfung durch Lehrkräfte, Unterstützung, Abrechnung und Sicherheit des Dienstes. Schülerdaten werden in der Regel von Lehrkräften oder Schulen bereitgestellt.

KI-Ergebnisse sind Entwürfe: Lehrkräfte prüfen, bearbeiten und genehmigen die endgültigen Bewertungen. Für Schulen verarbeitete Daten werden weder für Werbung noch für eine über die vereinbarte Vorkorrektur hinausgehende Profilbildung oder für das Training oder die Verbesserung eigener oder fremder allgemeiner KI-Modelle genutzt.

Entfernen Sie vor dem Upload unnötige personenbezogene Angaben und sensible Daten; nutzen Sie nach Möglichkeit schulisch verwaltete Pseudonyme. Eine automatische Entfernung vor der KI-Verarbeitung wird nicht zugesagt. Melden Sie versehentlich hochgeladene sensible Daten der Schule und löschen Sie sie unverzüglich; kontaktieren Sie uns, wenn weitere Löschmaßnahmen erforderlich sind. Befugte technische Mitarbeitende dürfen betroffene Inhalte und Fehlerdaten einsehen, soweit dies zur Bearbeitung von Supportanfragen oder Störungen erforderlich ist.

Rechtsgrundlagen

Soweit grAider selbst verantwortlich ist, stützen wir uns auf Art. 6 Abs. 1 lit. b DSGVO für erforderliche vertragliche Leistungen und Kommunikation, auf Art. 6 Abs. 1 lit. f für unser berechtigtes Interesse an einem sicheren und zuverlässigen Websitebetrieb sowie auf Art. 6 Abs. 1 lit. c für gesetzliche Pflichten. Schulische Daten werden nach Art. 28 DSGVO auf Weisung der verantwortlichen Stelle verarbeitet; der AVV ersetzt nicht die Rechtsgrundlage der Schule.

Anbieter und Verarbeitungsorte

Hetzner Online GmbH betreibt Anwendung, Datenbank, Dateiablage und Sicherungskopien in Deutschland. Requesty Ltd (Vereinigtes Königreich) stellt das KI-Gateway für Prüfungsverarbeitung und Hilfeanfragen bereit, mit Speicherung in Deutschland, Verarbeitung im EWR und ausschließlich EU-Modellbereitstellungen. Der AVV nennt Amazon Web Services EMEA SARL (Infrastruktur in Frankfurt), Google LLC (Vertex AI) und Microsofts Dienst Azure AI als nachgelagerte Anbieter.

Google Cloud EMEA Limited stellt Google Workspace für Konto-E-Mails, Einladungen, Korrespondenz und Zustellberichte bereit. Verarbeitet werden Namen, E-Mail-Adressen, Schulzuordnungen, Kontolinks, Nachrichteninhalte und Zustellinformationen. Business Starter enthält keine EU-Datenregionszusage: E-Mail-Verarbeitung und Zugriffe können weltweit erfolgen, auch in den USA. Automatische E-Mails enthalten keine Prüfungsunterlagen oder Bewertungen; senden Sie bitte keine Schülerarbeiten oder unnötigen sensiblen Daten per E-Mail.

Functional Software, Inc. (Sentry, USA) übernimmt Fehler- und Stabilitätsmonitoring. Ereignisdaten und zugehörige Sicherungen werden in Frankfurt gespeichert; einzelne Konto-, Organisations- und Integrationsmetadaten werden in den USA verarbeitet. Ereignisse können Geräte-, Sitzungs- und pseudonyme Nutzerkennungen, Fehlertexte sowie maskierte, fehlerbasierte Bildschirmwiedergaben enthalten. Texte und Eingaben in Bildschirmwiedergaben werden maskiert und Medien blockiert. Fehlertexte können dennoch Ausschnitte verarbeiteter Inhalte enthalten.

Drittlandübermittlungen

EU-basierte Vorkorrektur bedeutet nicht, dass sämtliche Dienstdaten in der EU verbleiben. Für Übermittlungen oder Fernzugriffe außerhalb der EU/des EWR verlangt der AVV einen Angemessenheitsbeschluss oder geeignete Garantien, einschließlich anwendbarer EU-Standardvertragsklauseln und erforderlicher ergänzender Maßnahmen. Der Requesty-AVV bezieht diese Klauseln ein; Googles Cloud Data Processing Addendum sieht anwendbare Klauseln oder einen anwendbaren alternativen Mechanismus vor. Bei Sentry gilt das EU-US Data Privacy Framework, soweit wirksam und anwendbar, andernfalls gelten die anwendbaren Klauseln und erforderlichen ergänzenden Schutzmaßnahmen. Informationen zu den Garantien oder eine Kopie erhalten Sie auf Anfrage.

Aufbewahrung und Löschung

Die folgenden Fristen entsprechen dem AVV v2.6 vom 23. Oktober 2026. Schulische Bewertungsdaten werden für die freigegebene Nutzung bis zur Löschung durch Schule oder Lehrkraft oder bis zu einer früheren vereinbarten Frist aufbewahrt. Bei Nutzungsende wird die Löschung unverzüglich veranlasst, mit vorheriger Rückgabe, wenn die Schule dies bis dahin verlangt. Frühere Weisungen bleiben möglich. Gesetzlich aufzubewahrende Unterlagen werden bis zum Fristablauf auf den erforderlichen Umfang und die zulässigen Zwecke beschränkt.

Sicherungskopien des Betreibers laufen spätestens 30 Kalendertage nach Erstellung aus, wiederherstellbare Dateiversionen spätestens 30 Tage nach ihrer Ablösung. Gelöschte Daten dienen währenddessen ausschließlich der Wiederherstellung nach Störungs- oder Sicherheitsfällen; Löschweisungen werden vor Wiederaufnahme der regulären Verarbeitung erneut umgesetzt.

Lokale Betriebsprotokolle, Fehlertexte in Anwendungsdatensätzen und E-Mail-Versanddiagnosen sind binnen 31 Kalendertagen nach Erstellung zu löschen oder zu anonymisieren. Für die Untersuchung eines konkreten Sicherheitsvorfalls erforderliche Aufzeichnungen dürfen zugriffsbeschränkt bis zum Abschluss der Untersuchung, höchstens zwölf Monate, aufbewahrt werden, sofern keine gesetzliche Pflicht eine längere Frist verlangt. Erforderliche Nutzungs- und Abrechnungsdaten können nach Löschung einer Prüfung erhalten bleiben; nicht mehr erforderliche Personenbezüge sind zu löschen oder zu anonymisieren.

Hilfeverläufe bleiben bis zur Kontolöschung erhalten, sofern keine frühere Löschung angewiesen wird. Sonstige Supportdaten und E-Mails werden unverzüglich gelöscht, sobald sie für Bearbeitung und Nachverfolgung nicht mehr benötigt werden. Bei Google Workspace umfasst die unwiederherstellbare Löschung auch vom Betreiber wiederherstellbare Postfachkopien; Googles Restkopien laufen spätestens 180 Kalendertage nach dieser Löschanweisung aus. Nur bei Beendigung des zugrunde liegenden Workspace-Vertrags kann eine Wiederherstellungsfrist von bis zu 30 Tagen vorausgehen. Diese Fristen erlauben keine weitere aktive Nutzung.

Sentry-Ereignisse werden höchstens 90 Kalendertage ab Erfassung aufbewahrt, zugehörige Sicherungen höchstens 90 Tage ab Erstellung. Eine früher erforderliche Löschung erfolgt gezielt. Restkopien dienen ausschließlich der gesicherten Wiederherstellung. Diese anbieterspezifischen Fristen verlängern nicht die Aufbewahrung in der grAider-Datenbank, in Dateien oder lokalen Protokollen.

Der AVV verlangt organisationsweite Zero Data Retention bei Requesty: Ein- und Ausgaben werden dort nicht dauerhaft gespeichert. Er nennt sechs Jahre für minimale Abrechnungsmetadaten und bei deaktivierter Protokollierung bis zu sieben Tage für Löschung und Sicherungsauslauf nach Vertragsende, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Dies erlaubt keine Aufbewahrung von Prüfungsinhalten für Abrechnung oder Training.

Cookies und Sicherheit

Wir verwenden notwendige Cookies für Sitzungen, CSRF-Schutz, Nachrichten und Spracheinstellungen, aber keine Werbe- oder websiteübergreifenden Tracking-Cookies. Der Zugriff auf Bewertungsdaten und Dateien erfordert Authentifizierung und Berechtigung. Zum Betriebsmonitoring gehört die oben beschriebene Sentry-Verarbeitung. Webzugriffsprotokolle verwenden maskierte IP-Adressen und feste Routenkategorien statt vollständiger URLs oder Anfrageinhalte; Maskierung bedeutet keine Anonymität.

Ihre Rechte

Unter den Voraussetzungen der DSGVO haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Kontakt: contact@graider.de. Anfragen zu Daten in schulischer Verantwortlichkeit werden an die zuständige Stelle weitergeleitet oder mit ihr bearbeitet. Sie können sich bei einer Aufsichtsbehörde beschweren, auch an Ihrem Wohn- oder Arbeitsort. Für uns zuständig ist die Sächsische Datenschutz- und Transparenzbeauftragte, Devrientstraße 5, 01067 Dresden, Deutschland (www.datenschutz.sachsen.de).