Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten hier verarbeitet werden, zu welchen Zwecken und welche Rechte Schülerinnen, Schüler und Eltern haben. Flinko ist das Werkzeug, mit dem Philipp Boßlet seine eigene Nachhilfe organisiert — er ist Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Es gibt keinen Dritten, an den sich Eltern wenden müssten: Ansprechpartner ist er selbst.

1. Verantwortlicher

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten im Sinne der DSGVO ist:

Philipp Boßlet
Birkenstraße 26
66450 Bexbach
Deutschland
E-Mail: E-Mail anzeigen

Einen separaten Datenschutzbeauftragten sieht Art. 37 DSGVO hier nicht vor; bei Fragen zum Datenschutz wende dich direkt an die oben genannte E-Mail.

Zur Einordnung: Sollte Flinko später auch anderen Lehrkräften zur Verfügung stehen, ändert sich diese Rollenverteilung — dann gilt eine eigene, neue Erklärung. Für den heutigen Betrieb gilt ausschließlich, was hier steht.

2. Welche Daten Flinko verarbeitet

Flinko verarbeitet folgende Kategorien personenbezogener Daten:

• Account-Daten der Lehrkraft: E-Mail-Adresse, Passwort-Prüfwert (Argon2id — aus ihm lässt sich das Passwort nicht zurückrechnen), Zeitstempel von Anmeldung und letztem Login.
• Abrechnungsdaten: Stripe-Kunden-ID, gewähltes Tarif, Rechnungsstatus. Zahlungsmittel selbst speichert ausschließlich Stripe.
• Schüler-Profile: Vorname und Klassenstufe, die du als Lehrer pflegst. Flinko empfiehlt, keine Nachnamen zu speichern.
• Foto-Uploads: Fotos von Aufgaben und Schüler-Lösungen, die du hochlädst, sowie die daraus erzeugten PDFs. Diese Fotos werden zur Mathe-Aufgaben- und Lösungs-Erkennung an Google Gemini Vision (siehe Auftragsverarbeiter) übermittelt.
• Technische Daten: Server-Logs (IP gekürzt, User-Agent, Zeitpunkt) zur Abwehr von Missbrauch.
• Nutzungs-Logs zur Vertragserfüllung und Kosten-Kontrolle:Anzahl und Kosten der KI-API-Aufrufe pro Konto, Login-Zeitstempel, Paket-Status und Volumen-Verbrauch. Diese Logs erscheinen ausschließlich in der Owner-Sicht des internen Admin-Dashboards. Speicherdauer: 12 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an betrieblicher Kosten-Kontrolle und Missbrauchs-Verhinderung).
• KI-Berater-Chat (nur Plus / Pro):Inhalte deiner Lehrer-Vorbereitungs-Anfragen und der KI-Antworten werden zur Funktionsbereitstellung gespeichert. Schüler-Namen oder personenbezogene Schüler-Daten gehören nicht in den Chat — der KI-Berater dient ausschließlich der mathematischen und didaktischen Vorbereitung. Speicherdauer: 12 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung). Anfragen werden zur Verarbeitung an Google Gemini Flash übermittelt (siehe Auftragsverarbeiter).
• Eltern-Wochenreport (nur Plus / Pro):Die Funktion ruht derzeit — bis zu ihrer Freischaltung findet keine automatische Verarbeitung statt. Nach Freischaltung gilt: Jeden Sonntag entsteht für jeden Schüler mit dokumentierten Stunden ein HTML-Snapshot des Wochenreports, der im Lehrer-Backend als Archiv hinterlegt wird. Versand per E-Mail an die Eltern erfolgt ausschließlich, wenn der Lehrer pro Eltern-Eintrag den Schalter „Sonntag automatisch verschicken“ aktiviert und eine Eltern-Einwilligung vorliegt. Speicherdauer der Snapshots: 12 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung Nachhilfe) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung der Eltern für den automatischen Mail-Versand).

3. Zwecke der Verarbeitung

• Bereitstellung des Mathe-Korrektur-Dienstes (Foto lesen, Lösung erzeugen, PDF setzen).
• Abrechnung und Vertragserfüllung.
• Sicherheit, Missbrauchsabwehr und Server-Betrieb.
• Versand transaktionaler E-Mails (z. B. Passwort-Reset, Eltern-Reports) und optionaler Produkt-Updates.

4. Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung des Dienstes, Abrechnung, KI-gestützte Foto-Analyse).
• Art. 6 Abs. 1 lit. c DSGVO— gesetzliche Pflichten (z. B. Aufbewahrung von Rechnungsdaten).
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Sicherheit, Missbrauchsabwehr sowie an der Verbesserung des Aufgaben-Pools durch anonymisierte Aufgaben-Strukturen.
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung für optionale Produkt-E-Mails.

5. Auftragsverarbeiter

Für den Betrieb kommen die folgenden Dienstleister zum Einsatz. Wo ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO vorliegt, steht es beim jeweiligen Eintrag — und nur dort:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen — Hosting im Rechenzentrum Nürnberg (Deutschland). AVV nach Art. 28 DSGVO abgeschlossen.
• Cloudflare — DNS und Proxy, Frankfurt-Server (EU). AVV nach Art. 28 DSGVO abgeschlossen.
• Brevo (Sendinblue SAS) — Mail-Versand, Paris (Frankreich / EU). Der Auftragsverarbeitungs-Vertrag wird derzeit abgeschlossen.
• Stripe Payments Europe Ltd. — Zahlungsabwicklung, Dublin (Irland / EU). Der Auftragsverarbeitungs-Vertrag wird derzeit abgeschlossen.
• Google LLC (Gemini API) — KI-gestützte Erkennung der Aufgabenfotos, Vereinigte Staaten. Hochgeladene Aufgaben- und Lösungsfotos samt darauf sichtbarer Handschrift werden zur Erkennung an die Gemini API übermittelt. Den Aufruf löst ausschließlich die Lehrkraft aus; kein Schülerzugang spricht mit der KI. Der Schülername wird dabei nicht mitgesendet — im Chat-Kontext steht ein Pseudonym.
  Übermittlung in ein Drittland: Näheres in Abschnitt 5b. Google trainiert im Europäischen Wirtschaftsraum keine Modelle mit diesen Daten. Google protokolliert Anfragen und Antworten allerdings für begrenzte Zeit, um Verstöße gegen die eigenen Nutzungsrichtlinien zu erkennen — die Verarbeitung ist also nicht rein flüchtig. Foto-Originale werden bei Flinko nach 30 Tagen automatisch gelöscht.
  Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Abwägung. Eine Umstellung auf Vertex AI mit EU-Region ist geplant; danach entfällt die Drittlandübermittlung.
• sevdesk GmbH, Hauptstraße 115, 77652 Offenburg — optionale Rechnungs-Integration (Deutschland). sevdesk verarbeitet deine Rechnungs- und Kontaktdaten nur dann, wenn du die Integration aktiv in den Einstellungen verbindest. Die Verbindung kannst du jederzeit trennen. Der Auftragsverarbeitungs-Vertrag wird derzeit abgeschlossen.
• Sentry — Fehler-Monitoring, EU-Region Frankfurt (die eingesetzte Adresse endet aufingest.de.sentry.io; der Speicherort der Organisation steht auf „European Union“). Übertragen werden Fehlermeldungen und technische Angaben zum Aufruf; Zugangs-Token werden vor dem Versand unkenntlich gemacht, Namen und Aufgabeninhalte werden nicht übertragen. Der Auftragsverarbeitungs-Vertrag liegt vor.
• Umami — Reichweitenmessung, betrieben auf dem eigenen Server (analytics.flinko.ai). Keine Cookies, keine personenbezogene Profilbildung; es verlassen keine Daten die eigene Infrastruktur.

5b. Übermittlung in die USA

Ein Teil der Verarbeitung findet außerhalb der Europäischen Union statt: Die Aufgabenfotos gehen zur Erkennung an die Gemini API von Google LLC in den Vereinigten Staaten. Das ist ein Drittland ohne allgemeines EU-Datenschutzniveau.

Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO); Google ist unter diesem Rahmen zertifiziert. Ergänzend gelten die Standardvertragsklauseln nach Art. 46 DSGVO.

Was das praktisch bedeutet: US-Behörden können unter bestimmten Voraussetzungen auf Daten bei US-Anbietern zugreifen. Deshalb gilt hier: Es geht nur das Aufgabenfoto hinaus, kein Name, keine Kontaktdaten, keine Noten. Eine Umstellung auf Vertex AI mit EU-Region ist geplant — danach verlässt für diesen Zweck nichts mehr die EU.

5a. Der Aufgaben-Pool

Flinko führt eine eigene Sammlung von Übungsaufgaben. Diese Aufgaben sind Eigenkreationen; sie entstehen aus Lehrbüchern und Arbeitsblättern, nicht aus Schülerdaten.

Aus den Fotos deiner Aufgaben entsteht kein Pool-Eintrag. Es gibt keine automatische Übernahme: weder aus Aufgabenfotos noch aus Schülerlösungen oder Korrekturen. Ein Widerspruch dagegen ist deshalb nicht nötig.

6. Speicherdauer

• Account-Daten: bis zur Löschung deines Accounts.
• Foto-Uploads (Original-Bilder und erzeugte PDFs): 30 Tage ab Upload in Flinko, danach automatische Löschung aus der Flinko-Infrastruktur. Die Verarbeitung bei Gemini Vision selbst erfolgt flüchtig und ohne dauerhafte Speicherung beim Auftragsverarbeiter.
• Rechnungen und Buchungsbelege: 8 Jahre (§ 147 Abs. 3 AO, § 14b UStG). Die zehnjährige Frist gilt nur für Bücher, Inventare und Abschlüsse.
• Server-Logs: 14 Tage.
• Sicherungskopien: Damit nach einem Ausfall nichts verloren geht, laufen automatische Sicherungen. Sie werden gestaffelt aufbewahrt: wöchentliche Stände sieben Wochen lang, monatliche vier Monate, jährliche zwei Jahre. Eine gelöschte Datei kann deshalb bis zu zwei Jahre in einer Sicherung fortbestehen, bevor auch diese turnusmäßig überschrieben wird. Auf Sicherungen wird ausschließlich im Wiederherstellungsfall zugegriffen.

7. Cookies und vergleichbare Technologien

Flinko setzt ausschließlich technisch notwendige Cookies. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Für die Reichweitenmessung setzt Flinko Umami auf dem eigenen Server ein. Umami arbeitet ohne Cookies und erstellt kein personenbezogenes Profil.

8. Wer die freiwilligen Einwilligungen erteilt

Der Unterricht selbst braucht keine Einwilligung — er steht auf Art. 6 Abs. 1 lit. f DSGVO. Eingewilligt wird nur in das, was darüber hinausgeht: Profilbild, Lernbericht per E-Mail und, falls je erhoben, Gesundheitsangaben.

Wer erklärt, hängt am Alter. Bis 16 erteilen die Erziehungsberechtigten diese Einwilligungen. Ab 16 kann die Schülerin oder der Schüler selbst entscheiden und bekommt dafür einen eigenen Bestätigungs-Link. Zwischen 16 und 18 bleibt daneben auch der Weg über die Erziehungsberechtigten offen; wer von beiden erklärt hat, hält der Beleg fest. Das Geburtsdatum wird genau dafür gespeichert. Flinko stellt für den Eltern-Weg zusätzlich eine Mustervorlage zum Unterschreiben bereit.

Jede Einwilligung ist einzeln, freiwillig und jederzeit widerrufbar. Wer etwas ablehnt, hat im Unterricht keinen Nachteil.

9. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Schreibe dazu kurz an E-Mail anzeigen.

10. Beschwerde bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für Flinko ist das Unabhängige Datenschutzzentrum Saarland (UDSZ), Fritz-Dobisch-Straße 12, 66111 Saarbrücken ([email protected]). Du kannst dich auch an die Aufsichtsbehörde an deinem Wohn- oder Arbeitsort wenden.