Datenschutzerklärung

Escolio-Testversion · Stand: 17. Oktober 2026

1. Verantwortlicher und Kontakt

Verantwortlich für die hier beschriebene Verarbeitung ist Alexander Auer, Hauptstraße 26/F4, 2351 Wiener Neudorf, Österreich. Du erreichst mich unter [email protected] oder [email protected].

Diese Erklärung beschreibt die Website escolio.net, die Kontoverwaltung und die Schüleranwendung student.escolio.net. Die interne Administration dient der Verwaltung und Absicherung dieser Angebote.

2. Website und technischer Betrieb

Beim Aufruf werden technische Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse sowie Browser- und Geräteinformationen, soweit dein Browser diese übermittelt. Sie werden für die Auslieferung der Website, Fehlerbehebung und den Schutz vor Missbrauch benötigt. Hosting, Anwendungsbetrieb, Datenbank und Dateispeicher stellt Cloudflare bereit.

Rechtsgrundlage für die allgemeine technische Bereitstellung und Absicherung ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in einem verfügbaren und sicheren Angebot. Soweit die Verarbeitung unmittelbar für die von dir angeforderte Kontonutzung erforderlich ist, erfolgt sie nach Art. 6 Abs. 1 lit. b DSGVO.

Vor Veröffentlichung prüfen: Welche technischen Protokolle werden für Homepage, Student, Admin und E-Mail-Routing tatsächlich gespeichert, mit welchen Feldern und Fristen? „Web Analytics deaktiviert“ beantwortet diese Frage nicht.

3. Konto und Anmeldung

Für dein Konto werden E-Mail-Adresse, Vor- und Nachname, eine interne Kontokennung, der Erstellungszeitpunkt und technische Anmeldedaten verarbeitet. Passwörter werden als kryptografische Prüfwerte gespeichert, nicht als Klartext. Ein freiwilliges Profilbild wird deinem Konto zugeordnet; du kannst es ersetzen oder zurücksetzen.

Für Registrierung, Wiederherstellung des Zugangs und sicherheitsrelevante Vorgänge können E-Mails und zeitlich begrenzte Sicherheitscodes verwendet werden. Dabei fallen Empfängeradresse, Nachrichteninhalt und Zustellinformationen an. Technische Begrenzungen von Anmeldeversuchen dienen dem Schutz deines Kontos. Kontobereitstellung und angeforderte Zugangswiederherstellung beruhen auf Art. 6 Abs. 1 lit. b DSGVO, zusätzliche Missbrauchsabwehr auf Art. 6 Abs. 1 lit. f DSGVO.

4. Deine Inhalte und Einstellungen

Escolio speichert die von dir eingegebenen oder hochgeladenen Stundenpläne, Fächer, Lehrer- und Raumangaben, Stundeninhalte, Zettel, Aufgaben, Prüfungen, Lernblätter, Dateien und deren Verknüpfungen. Hinzu kommen Einstellungen, Erinnerungsmarkierungen, Dateinamen, Dateitypen, Größen und Änderungszeitpunkte. Diese Daten ermöglichen die von dir genutzten Organisationsfunktionen und die Nutzung auf mehreren Geräten.

Rechtsgrundlage für deine zur Nutzung erforderlichen Daten ist Art. 6 Abs. 1 lit. b DSGVO. Angaben über andere Personen sind davon nicht pauschal umfasst; ihre Verarbeitung benötigt eine eigenständige Grundlage. Trage nur für deine Schulorganisation erforderliche Angaben ein und vermeide insbesondere Gesundheitsinformationen oder andere besonders sensible Angaben über andere Personen.

Du kannst Inhalte bearbeiten, löschen und über die Exportfunktion sichern. Ein Zurücksetzen der App-Daten ist nicht dasselbe wie die Löschung deines Benutzerkontos. Für eine Kontolöschung kannst du dich an die oben genannte Kontaktadresse wenden.

5. Öffentliche Stundenpläne von WebUntis

Wenn du beim Setup eine Schule suchst und einen digitalen Klassenstundenplan auswählst, sendet Escolio den Suchtext und die erforderlichen Schul-, Klassen- und Zeitraumangaben an WebUntis. Die Abrufe erfolgen serverseitig ohne dein WebUntis-Passwort. Deine Mitschriften, Dateien und Aufgaben werden dabei nicht an WebUntis übermittelt.

Quelle der importierten Angaben sind die von der jeweiligen Schule über WebUntis anonym bereitgestellten Stundenplandaten. Escolio übernimmt Fächer, Unterrichtszeiten, angezeigte Lehrer- und Raumangaben sowie Vertretungs- und Entfallinformationen. Die Quellen können personenbezogene Daten von Lehrern enthalten; auch Kürzel können eine Person identifizierbar machen.

Die Bereitstellung der von dir gewünschten Importfunktion stützt sich hinsichtlich deiner Daten auf Art. 6 Abs. 1 lit. b DSGVO. Für erforderliche Angaben über Lehrer kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht: Interesse an der Organisation der vom Nutzer besuchten Unterrichtsstunden. Diese Grundlage setzt eine nachvollziehbare Interessenabwägung voraus.

Bei einer beim Synchronisieren erkannten Sperre wird der weitere Import abgebrochen. Importierte Lehrer-, Raum- und Statusangaben der betroffenen Verbindung werden beim synchronisierenden Konto entfernt. Eigene Inhalte und selbst gesetzte Änderungen bleiben erhalten; für bestehende Verknüpfungen kann ein neutraler Stundenanker mit Datum und Uhrzeit bestehen bleiben. Eine entzogene Freigabe wird nicht ohne erneuten Abruf erkannt. Bei bloßen Verbindungsfehlern bleiben vorhandene Stunden erhalten.

Betroffene Lehrer können sich unter der oben genannten Adresse über ihre Daten informieren und ihre Rechte geltend machen. Die Daten stammen gegebenenfalls aus öffentlich zugänglichen Quellen; Öffentlichkeit allein ersetzt keine Rechtsgrundlage.

Vor öffentlicher Freischaltung: Interessenabwägung und die Erfüllung der Informationspflichten nach Art. 14 DSGVO für betroffene Lehrer konkret dokumentieren. Eine Datenschutzerklärung auf der Website allein ersetzt nicht automatisch eine erforderliche individuelle Information. Die grundsätzliche Zustimmung zu einer Zusammenarbeit mit Untis ist keine dokumentierte Klärung aller Rechte.

6. E-Mail-Kontakt und Dienstleister

Wenn du uns kontaktierst, verarbeiten wir deine Absenderadresse, deinen Namen, soweit angegeben, sowie Nachricht, Anhänge und den Bearbeitungsverlauf. Vertragsbezogene Anfragen beruhen auf Art. 6 Abs. 1 lit. b DSGVO, sonstige Anfragen auf dem berechtigten Interesse an ihrer Bearbeitung nach Art. 6 Abs. 1 lit. f DSGVO.

Dienstleister	Zweck und betroffene Daten
Cloudflare, Inc., USA	Hosting, technischer Schutz, D1-Datenbank und R2-Dateispeicher. Cloudflare verarbeitet hierzu Verbindungsdaten und die in Escolio gespeicherten Daten. E-Mails an [email protected] werden über Cloudflare Email Routing an das betreute Postfach weitergeleitet; dazu werden Nachrichten und Zustellangaben verarbeitet.
Resend / Plus Five Five, Inc., USA	Versand von Sicherheitscodes und anderen funktionalen Systemmails. Verarbeitet werden insbesondere Empfängeradresse, Nachrichteninhalt und Zustellinformationen.
Google Workspace	Empfang, Speicherung und Bearbeitung der weitergeleiteten Kontakt-E-Mails im bestehenden Workspace-Postfach. Verarbeitet werden Nachrichten, Absender- und Empfängerangaben, Anhänge und technische E-Mail-Daten.

Auftragsverarbeiter dürfen die ihnen anvertrauten Daten nur im Rahmen der vereinbarten Aufgaben und datenschutzrechtlichen Vorgaben verarbeiten. Informationen zu ihren Unterauftragnehmern und Schutzmaßnahmen findest du in den unten verlinkten Anbieterunterlagen.

Google-Vertragspartner und Vertragskette anhand des vorhandenen Workspace-/Wix-Vertrags ergänzen. Wix ist nach den bisherigen Angaben Domainverwalter bzw. gegebenenfalls Wiederverkäufer; allein daraus folgt keine Verarbeitung von Escolio-Inhalten durch Wix.

7. Verarbeitung außerhalb des EWR

Eine ausschließlich auf die EU beschränkte Verarbeitung wird nicht zugesagt. Die derzeit konfigurierte Region für D1 und R2 ist „Eastern Europe“; für D1 ist keine verbindliche EU-Jurisdiktion eingestellt. Weltweite technische Verarbeitung oder Zugriffe durch Dienstleister können daneben stattfinden. Resend speichert nach seinen veröffentlichten Angaben Daten in den USA, auch bei einer europäischen Versandregion. Bei Google Workspace können internationale Verarbeitungen und Unterauftragnehmer beteiligt sein.

Für erforderliche Drittlandübermittlungen sind die einschlägigen Garantien zu prüfen und zu dokumentieren. Die veröffentlichten Cloudflare-, Resend- und Google-Verträge sehen insbesondere EU-Standardvertragsklauseln vor. Ein Angemessenheitsbeschluss kann zusätzlich greifen, soweit Empfänger und Verarbeitung tatsächlich davon erfasst sind. Informationen über die konkret verwendeten Garantien und eine Kopie kannst du beim Verantwortlichen anfordern.

Vor Freigabe die für die tatsächlich verwendeten Konten geltenden Auftragsverarbeitungsverträge und Übermittlungsgrundlagen ablegen. Öffentliche Musterverträge wurden geprüft; sie belegen allein noch nicht die konkrete Vertragskette.

8. Speicherdauer und Löschung

Kontodaten und eigene Inhalte werden für die laufende Kontonutzung benötigt. Bei Löschung einzelner Inhalte oder des Kontos sind gegebenenfalls verbleibende Dateikopien, Sicherungen und konkret erforderliche Nachweise getrennt zu berücksichtigen. Erforderliche gesetzliche Aufbewahrung oder die Sicherung konkreter Rechtsansprüche kann einer sofortigen vollständigen Löschung entgegenstehen; davon betroffene Daten dürfen nicht unbegrenzt für andere Zwecke weitergenutzt werden.

Daten	Geprüfter technischer Stand
Anmeldesitzung	Gültigkeit bis zu sieben Tage. Abgelaufene Sitzungsdatensätze werden im geprüften Student-Code bei weiteren Authentifizierungsanfragen bereinigt; Gültigkeitsende und physische Löschung sind nicht gleichzusetzen.
Missbrauchsschutz	Anmeldebegrenzungen im Student-Code laufen nach spätestens 30 Minuten ab. Die physische Bereinigung erfolgt bei späteren Authentifizierungsanfragen. Andere Rate-Limits und Admin-Protokolle sind separat zu prüfen.
WebUntis-Zwischenspeicher	Schulsuchergebnisse eine Stunde, Klassenlisten 15 Minuten, Wochenantworten fünf Minuten gültig. Bereinigung bei App-Zugriffen sowie durch den eingerichteten stündlichen Cleanup-Worker. Im regulären Betrieb erfolgt die Löschung spätestens beim nächsten erfolgreichen stündlichen Lauf nach Ablauf. Dies betrifft den Cache, nicht sämtliche bereits importierten Stunden oder die Schulzuordnung.
Resend-E-Mails und Versandprotokolle	Laut Anbieter 30 Tage bei Free, Pro und Scale; Sicherungen zusätzlich sieben Tage. Ein abweichender Enterprise-Vertrag wäre gesondert zu berücksichtigen.
D1-Sicherungen	Im verwendeten Workers-Paid-Tarif ermöglicht Time Travel die Wiederherstellung von Datenbankständen der letzten 30 Tage. Die Löschung in der aktiven Datenbank beseitigt diese Wiederherstellungsmöglichkeit nicht sofort.

Noch festzulegen und technisch bzw. organisatorisch umzusetzen: Fristen für abgeschlossene Supportanfragen, Admin-Auditdaten, technische Logs und abgebrochene Dateiimporte sowie ein verlässlich abgeschlossener Kontolöschprozess. Der Untis-Cleanup-Worker erledigt diese Aufgaben nicht. Keine pauschale „Alles nach 30 Tagen gelöscht“-Aussage verwenden.

9. Cookies und Browser-Speicher

Escolio verwendet technische Speicherfunktionen für Anmeldung und Betrieb. Das Cookie __Host-escolio_session hält die Anmeldung bis zu sieben Tage aufrecht. Der Startschutz der Student-App speichert bei Ladeproblemen einen Zeitstempel unter escolio-start-retry:… im Session Storage, um wiederholte automatische Neuladungen zu vermeiden. Dieser Speicher gehört zur jeweiligen Browsersitzung. Die Zehn-Minuten-Prüfung des Startschutzes ist keine eigene Löschfrist.

Für technisch unbedingt erforderliche Speicherungen gilt die Ausnahme des § 165 Abs. 3 TKG 2021. Zusätzliche, nicht erforderliche Speicherungen oder Analysedienste müssten gesondert geprüft und gegebenenfalls vor ihrer Aktivierung von einer Einwilligung abhängig gemacht werden.

Für das Student-Projekt wurde deaktiviertes Cloudflare Web Analytics bestätigt. Dies ist kein Nachweis für sämtliche Projekte. Zusätzlich werden technisch notwendige Cookies für die Kontoübergabe (maximal zwei Minuten) und die interne Admin-Anmeldung (maximal 30 Minuten) eingesetzt. Der einmalige serverseitige Übergabecode gilt eine Minute. Die tatsächliche Cloudflare-Protokollierung und mögliche zusätzliche Konfigurationen sind noch zu prüfen. Der UI-Baustein enthält außerdem ein bedingt gesetztes sidebar_state-Cookie mit sieben Tagen Laufzeit.

10. Deine Rechte

Unter den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Gegen Verarbeitungen auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation Widerspruch erheben. Eine erteilte Einwilligung kannst du für die Zukunft widerrufen. Zur Bearbeitung kann eine angemessene Identitätsprüfung erforderlich sein.

Du kannst dich bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, [email protected].

11. Erforderliche Angaben und weitere Funktionen

Ohne die für Anmeldung und Kontobetrieb erforderlichen Angaben kann kein persönliches Konto bereitgestellt werden. Ein Profilbild und die Nutzung des digitalen Stundenplanimports sind freiwillig; alternativ steht ein manuell angelegter Stundenplan zur Verfügung.

Der geprüfte Student-Code enthält eine optionale KI-Schnittstelle, die nur mit gesonderter Anbindung verwendbar ist. Im vorgelegten Produktions-Screenshot war eine solche Anbindung nicht eingerichtet. Vor einer Aktivierung müssen Anbieter, übermittelte Inhalte und Rechtsgrundlage ergänzend beschrieben werden. Ein Zahlungsdienst ist in dieser Testversionsfassung nicht beschrieben; vor Einführung kostenpflichtiger Abos muss diese Erklärung entsprechend aktualisiert werden.