Datenschutzerklärung – Lernolotl Creator

1. Verantwortlicher

Paul Rawe · Hildebrandstr. 34a · 45770 Marl · E-Mail: rawe.p@freenet.de
Weitere Angaben: Impressum (gilt auch für den Lernolotl Creator).

Eine Datenschutzbeauftragte bzw. einen Datenschutzbeauftragten gibt es nicht; dazu besteht keine Pflicht. Bei Fragen zum Datenschutz schreib einfach an die E-Mail-Adresse oben.

2. Überblick

Der Lernolotl Creator erstellt Arbeitsblätter mit Lösungen aus festen Regeln und geprüften Daten. Für die Nutzung brauchst du ein Konto. Wir verarbeiten nur, was für das Konto, das Seiten-Guthaben und die Sicherheit des Dienstes nötig ist. Deine Arbeitsblätter, Texte und eigenen Bilder speichern wir nicht dauerhaft.

Rechtsgrundlagen sind vor allem Art. 6 Abs. 1 lit. b DSGVO (Vertrag: Bereitstellung des Creators und deines Kontos), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: sicherer, stabiler Betrieb, Schutz vor Missbrauch, Verbesserung des Dienstes) und – wo angegeben – Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Für ein Konto ist deine E-Mail-Adresse nötig; ohne sie kannst du den Creator nicht nutzen. Alle anderen Angaben (z. B. Rückmeldungen, Fragebogen) sind freiwillig. Eine automatisierte Entscheidung im Einzelfall oder ein Profiling (Art. 22 DSGVO) findet nicht statt. Daten werden nicht in Länder außerhalb der EU bzw. des Europäischen Wirtschaftsraums übermittelt – außer beim Bezahlen an Paddle im Vereinigten Königreich (Abschnitt 5).

3. Server (Hosting)

Der Creator läuft auf einem Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, in einem Rechenzentrum in Deutschland. Dort liegen das Programm und die Datenbank mit den Konten. netcup verarbeitet die Daten nur in unserem Auftrag. Mit netcup besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf jeder Seite wird technisch die IP-Adresse deines Geräts übertragen, damit die Antwort ankommt. Der Webserver schreibt keine Zugriffsprotokolle mit IP-Adressen. Für den Schutz vor dem Durchprobieren von Zugangscodes und vor massenhaften Meldungen zählt der Server Versuche je IP-Adresse nur im Arbeitsspeicher (höchstens eine Stunde, beim Neustart weg); die IP-Adresse wird dabei nicht in der Datenbank gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).

Die verschlüsselte Verbindung (HTTPS) stellt der Webserver Caddy her; das Zertifikat kommt von Let’s Encrypt. Dabei werden keine Daten über dich an Let’s Encrypt übertragen.

4. Anmeldung

4.1 Anmelden per E-Mail-Code oder Passkey (Hanko)

Für die Anmeldung nutzen wir Hanko (Hanko GmbH, Kiel). Du gibst deine E-Mail-Adresse ein und bekommst einen Code per E-Mail; auf Wunsch kannst du einen Passkey anlegen (Anmeldung per Fingerabdruck, Gesichtserkennung oder Geräte-PIN – diese biometrischen Daten verlassen dein Gerät nie). Passwörter gibt es nicht.

Hanko verarbeitet dafür: E-Mail-Adresse, Anmeldecodes, Zeitpunkt der Anmeldung, ggf. den öffentlichen Teil deines Passkeys, technische Daten der Anmeldung (technisch bedingt die IP-Adresse bei der Verbindung). Das Speichern von IP-Adresse und Browser-Kennung zu deiner Sitzung haben wir bei Hanko ausgeschaltet. Die Anmeldemaske wird von unserem Server geladen (kein fremdes Skript-Netzwerk); dein Browser spricht dabei direkt mit dem Hanko-Dienst. Nach der Anmeldung setzt Hanko im Browser das Cookie hanko (Sitzung, siehe Abschnitt 9). Wir erhalten von Hanko nur deine E-Mail-Adresse, ob sie bestätigt ist, und eine Nutzernummer. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Hanko speichert die Daten ausschließlich in Rechenzentren in Deutschland und verarbeitet sie nur im Europäischen Wirtschaftsraum. Hanko setzt dafür Unterauftragnehmer ein: Amazon Web Services EMEA SARL (Luxemburg; Verarbeitung in Deutschland, auch für den Versand der Code-E-Mails), Hetzner Online GmbH (Gunzenhausen) und adesso as a service GmbH (Dortmund, technischer Betrieb). Mit Hanko besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

4.2 Anmelden mit Zugangscode (persönliche Einladung)

Persönlich Eingeladene können sich auch mit E-Mail-Adresse und einem Zugangscode (LOLO-XXXX-XXXX) anmelden. Wir speichern dafür: E-Mail-Adresse, ggf. Name und eine Notiz zur Einladung, den Code nur als nicht umkehrbaren Prüfwert (Hash), die Zahl der Fehlversuche, ob der Zugang gesperrt ist, Zeitpunkt der letzten Anmeldung und die Sitzung (Cookie lernolotl_sitzung, 30 Tage). Nach 5 falschen Codes wird der Zugang zum Schutz gesperrt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Meldest du dich auf beiden Wegen mit derselben E-Mail-Adresse an, ist es dasselbe Konto.

5. Konto, offizielle Testphase und Seiten-Guthaben

Zu deinem Konto speichern wir: E-Mail-Adresse, eine eigene Kontonummer, die Nutzernummer beim Anmeldedienst, Rolle (z. B. Lehrkraft), Beginn und Ende der Testphase, ob der Fragebogen die Testphase schon verlängert hat, dein Seiten-Guthaben mit Gutschriften und Abbuchungen und eine Liste deiner erstellten Blätter (Datum, Creator, Titel, Seitenzahl). Außerdem, welcher Fassung der Nutzungsbedingungen du wann zugestimmt hast.

Das brauchen wir, damit dein Guthaben stimmt, du deinen Verlauf im Kundenbereich siehst und Missbrauch (z. B. massenhaftes Erstellen zum Weiterverkauf) erkannt werden kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Missbrauchsbremse Art. 6 Abs. 1 lit. f DSGVO.

Bezahlen (Paddle)

Kostenpflichtige Tarife (buchbar voraussichtlich ab Ende Januar 2027) verkauft Paddle.com Market Ltd (London, Vereinigtes Königreich) als Händler (Merchant of Record). Paddle verarbeitet Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsdaten und Land in eigener Verantwortung (Datenschutzerklärung von Paddle). Wir erhalten nur, was wir für dein Guthaben brauchen: Kundennummer, gekaufter Tarif, Zahlungsstatus. Kartennummern sehen wir nie. Erst wenn du im Kundenbereich auf „kaufen“ klickst, lädt dein Browser das Bestellfenster von Paddle (cdn.paddle.com); vorher wird nichts an Paddle übertragen. Damit Paddle den Kauf deinem Konto zuordnen kann, übergeben wir beim Öffnen des Bestellfensters deine E-Mail-Adresse und deine Kontonummer. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO, gültig bis 27.12.2031). Mehr: Datenschutzerklärung von Paddle.

Kündigen („Verträge hier kündigen“)

Kündigst du über den Knopf „Verträge hier kündigen“, speichern wir deinen Namen, die E-Mail-Adresse für die Bestätigung, ggf. die E-Mail-Adresse deines Kontos, den Vertrag, die Art der Kündigung (bei einer außerordentlichen auch den Grund), den gewünschten Zeitpunkt und den Eingang mit Datum und Uhrzeit. Damit kündigen wir dein Abo bei Paddle, schicken dir die Bestätigung per E-Mail und können die Kündigung später nachweisen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht, § 312k BGB) und lit. b DSGVO.

6. Erstellte Arbeitsblätter

Ein Arbeitsblatt entsteht auf unserem Server aus deinen Einstellungen. Die fertige PDF liegt eine Stunde zum Herunterladen bereit und wird dann automatisch gelöscht. Texte aus Freifeldern und eigene Bilder werden nur für das Erstellen verwendet und nicht dauerhaft gespeichert. Sachunterricht-Einheiten und „Meine Einstellungen“ liegen nur in deinem Browser (bzw. eingebettet in deiner PDF).

7. Rückmeldungen, Fehlermeldungen und Fragebogen

Wenn du uns eine Rückmeldung, eine Fehlermeldung oder den Fragebogen schickst, speichern wir den Inhalt, den Zeitpunkt, bei Fehlermeldungen die Einstellung des Blatts (damit wir den Fehler nachbauen können) und – wenn du angemeldet bist – die Verbindung zu deinem Konto. Fehler und Wünsche kannst du auch ohne Anmeldung melden. Die Verbindung zur E-Mail-Adresse wird nach 180 Tagen automatisch entfernt; der Inhalt bleibt dann ohne Personenbezug für die Verbesserung des Creators. Gelöschte Meldungen liegen 30 Tage im Papierkorb und werden dann endgültig gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Fehler beheben, Creator verbessern), beim Fragebogen zur Verlängerung der Testphase Art. 6 Abs. 1 lit. b DSGVO.

Bei einer schweren Fehlermeldung bekommt Paul eine kurze Benachrichtigung aufs Handy (Dienst ntfy) bzw. per E-Mail – nur „Neue kritische Fehlermeldung“ und das Fach, ohne Inhalt und ohne E-Mail-Adresse. Den Inhalt sieht er nur auf unserem Server.

Kontakt per E-Mail

Schreibst du uns eine E-Mail, verarbeiten wir deine E-Mail-Adresse, ggf. deinen Namen und den Inhalt, um dir zu antworten. Das Postfach liegt bei einem E-Mail-Anbieter in Deutschland (freenet). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um dein Konto geht, sonst Art. 6 Abs. 1 lit. f DSGVO (Anfragen beantworten). Speicherdauer: siehe Abschnitt 13.

8. Technisch nötige Daten und Auslastung

Der Server misst, wie lange Vorschau und PDF dauern, und wie viele Konten gerade aktiv sind (Zahl, ohne Namen), damit er rechtzeitig vergrößert werden kann. Fehler im Programm werden mit Uhrzeit und technischer Fehlermeldung protokolliert, ohne IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

9. Cookies und Speicher im Browser

Wir setzen nur, was technisch nötig ist oder was du selbst als Funktion nutzt (§ 25 Abs. 2 Nr. 2 TDDDG). Deshalb gibt es im Creator keinen Einwilligungs-Banner.

10. Besucherzählung (GoatCounter)

Nur auf den öffentlichen Seiten (Startseite, „Was dich erwartet“, Beispiel-Galerie, Gratis-Blätter) zählen wir Besuche mit GoatCounter (goatcounter.com, betrieben von Martin Tournoij, Irland; Server bei der Hetzner Online GmbH in Deutschland und Finnland). GoatCounter setzt keine Cookies und legt nichts in deinem Browser ab. Übertragen werden die aufgerufene Seite, die verweisende Seite, Browser-Kennung, Bildschirmgröße und das aus der IP-Adresse ermittelte Land. Um mehrere Aufrufe als einen Besuch zu zählen, bildet GoatCounter aus IP-Adresse und Browser-Kennung höchstens 8 Stunden lang einen Wert im Arbeitsspeicher; die IP-Adresse selbst wird nicht gespeichert. Daraus entsteht eine Zählung ohne Personenbezug („wie oft wurde welche Seite besucht“). Daten werden nicht an Dritte weitergegeben. In den Creatorn, im Kundenbereich und auf der Anmeldeseite gibt es keine Besucherzählung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Reichweite messen, Seiten verbessern). Du kannst widersprechen (Abschnitt 14), z. B. indem du einen Inhaltsblocker nutzt; der Zähler wird dann nicht geladen. Mehr: Datenschutz von GoatCounter.

11. Was es nicht gibt

Keine Werbung, keine Werbe- oder Analyse-Tracker (kein Google Analytics, keine Social-Media-Pixel), keine fremden Schriften, keine KI-Dienste, keine Weitergabe an Datenhändler. Die Arbeitsblätter entstehen ohne KI aus geprüften Regeln.

12. Keine Daten von Kindern

Bitte gib keine Daten von Schülerinnen und Schülern ein – keine Namen in Titel, Freifelder oder Rückmeldungen. Die Blätter haben ein leeres Namensfeld zum Ausfüllen auf Papier. Der Creator richtet sich an Erwachsene (Lehrkräfte, Therapeutinnen und Therapeuten, Eltern).

13. Speicherdauer

• Konto: bis du es löschst (Kundenbereich → „Konto löschen“). Danach sind E-Mail-Adresse und Anmeldung sofort weg; Buchungen bleiben ohne Personenbezug als Zahl für die Statistik.
• Erstellte PDFs: eine Stunde.
• Rückmeldungen: Verbindung zur E-Mail-Adresse nach 180 Tagen entfernt; Papierkorb nach 30 Tagen endgültig gelöscht.
• Zähler gegen Missbrauch je IP-Adresse: nur im Arbeitsspeicher, höchstens eine Stunde.
• Sicherungskopien der Datenbank: höchstens 30 Tage, danach werden sie gelöscht.
• Kündigungen: 3 Jahre nach Ende des Jahres, in dem sie eingegangen sind (Nachweis, gesetzliche Verjährungsfrist), dann gelöscht.
• E-Mails an uns: bis die Anfrage erledigt ist, danach höchstens 6 Monate; länger nur, wenn das Gesetz es verlangt (z. B. Aufbewahrungsfristen bei Rechnungen).

14. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen aus berechtigtem Interesse (Art. 21). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3). Eine Datenauskunft und das Löschen deines Kontos findest du direkt im Kundenbereich; sonst genügt eine E-Mail an rawe.p@freenet.de.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du dem jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Wir verarbeiten die Daten dann nicht mehr, außer wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine E-Mail an rawe.p@freenet.de genügt.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der für uns zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

15. Änderungen

Wenn sich der Creator ändert (z. B. mit dem Start der Bezahlung), passen wir diese Erklärung an. Es gilt die Fassung, die hier veröffentlicht ist.

Stand: 1. November 2026