Stand: August 2026
📌 Kurz & Knapp: QRENA löscht abgeschlossene Session-Daten automatisch nach 24 Stunden, nicht gestartete oder nicht beendete Sessions nach maximal 7 Tagen. Ausnahme SOL-Modus: Damit Kinder über Wochen an derselben Lerneinheit weiterarbeiten können, bleiben dort Lernstände bis zur Löschung durch die Lehrkraft gespeichert; Fotos von Schülerarbeiten 30, 90 oder 180 Tage – die Lehrkraft legt das fest (Einzelheiten unter 4.3). Teilnehmende nutzen Pseudonyme (z.B. Teamname/Spitzname) – bitte keine Klarnamen eingeben. Wir nutzen Firebase (Google) für sichere Datenspeicherung in der EU. Keine Fremdwerbung, keine Tracking-Cookies, keine Weitergabe zu Werbe- oder Profiling-Zwecken. Gelegentlich informieren wir dich per E-Mail über wesentliche Änderungen an der App – dem kannst du jederzeit widersprechen.
Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Dominic Schmitt
Hainstück 11
35745 Herborn
Deutschland
E-Mail: info@qrena.de
Wir erheben und verwenden personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist.
🔒 Datensparsamkeit: QRENA ist bewusst datensparsam konzipiert. Abgeschlossene Sessions werden nach 24 Stunden automatisch gelöscht, nicht gestartete oder nicht beendete Sessions nach maximal 7 Tagen. Im SOL-Modus bleiben Lernstände bewusst darüber hinaus erhalten (siehe 4.3). Teilnehmende nutzen frei wählbare Pseudonyme (Teamnamen, Spitznamen) – keine Klarnamen erforderlich.
Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Rechtsgrundlagen:
Wir verwenden ausschließlich technisch notwendige Cookies bzw. Speichertechniken (z.B. LocalStorage, IndexedDB), die erforderlich sind, um den ausdrücklich gewünschten Dienst bereitzustellen (Login/Session, Offline-Funktionen).
Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein. Eine Einwilligung für Cookies ist daher nicht erforderlich (§ 25 TDDDG).
Lehrkräfte können sich mit E-Mail und Passwort registrieren, um Sessions zu erstellen und zu verwalten.
| Datenart | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| E-Mail-Adresse | Authentifizierung, Account-Verwaltung, Informationen über wesentliche Änderungen an der App | Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für Produkt- und Service-Informationen zusätzlich Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Widerspruch jederzeit möglich) | Bis zur Löschung des Accounts |
| Passwort (gehasht) | Sicherer Zugang zum Account | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Bis zur Löschung des Accounts |
| Name (optional) | Personalisierung | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Bis zur Löschung des Accounts |
| User-ID (UID) | Interne Zuordnung von Sessions/Aufgaben | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Bis zur Löschung des Accounts |
Lehrkräfte können Rallye-Sessions erstellen. Dabei werden folgende Daten gespeichert:
Automatische Löschung: Abgeschlossene Sessions werden nach 24 Stunden automatisch gelöscht (inkl. aller Teilnehmer-Daten, Punktestände, Logs). Nicht gestartete oder nicht beendete Sessions werden nach 7 Tagen gelöscht. SOL-Lernstände sind hiervon ausgenommen (siehe 4.3).
Teilnehmende (Schüler) spielen pseudonym ohne Account-Erstellung. Sie loggen sich anonym ein und wählen frei einen Teamnamen und optional Mitgliedernamen.
Die folgende Übersicht gilt für den Rallye-Modus – die gamifizierte Übungsstunde, bei der Teams QR-Codes scannen und Punkte sammeln. Für den SOL-Modus (selbstorganisiertes Lernen über mehrere Wochen) gelten abweichende, längere Speicherdauern; diese sind gesondert unter 4.3 beschrieben.
⚠️ Wichtig: Teilnehmende sollten keine Klarnamen verwenden. Teamnamen und Spitznamen sind frei wählbar und pseudonym.
| Datenart | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Teamname (pseudonym) | Identifikation im Spiel, Scoreboard | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Mit der Session: 24 Stunden nach deren Abschluss, spätestens 7 Tage (Auto-Löschung) |
| Mitgliedernamen (optional, pseudonym) | Team-Darstellung | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Mit der Session: 24 Stunden nach deren Abschluss, spätestens 7 Tage (Auto-Löschung) |
| Anonyme User-ID (UID) | Technische Zuordnung, Session-Verwaltung | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Mit der Session: 24 Stunden nach deren Abschluss, spätestens 7 Tage (Auto-Löschung) |
| Punktestände, gelöste Aufgaben | Spielmechanik, Live-Scoreboard | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Mit der Session: 24 Stunden nach deren Abschluss, spätestens 7 Tage (Auto-Löschung) |
| Antworten (bei manueller Bewertung) | Aufgabenbewertung durch Lehrkraft | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Mit der Session: 24 Stunden nach deren Abschluss, spätestens 7 Tage (Auto-Löschung) |
| Foto-Antworten (optional, vom Kind selbst aufgenommen) | Aufgabenbewertung durch die Lehrkraft | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Mit der Session: 24 Stunden nach deren Abschluss, spätestens 7 Tage (Auto-Löschung). Eine zusätzliche Sicherung entfernt Dateien spätestens 30 Tage nach dem Hochladen, falls die zugehörige Session vorher gelöscht wurde |
Teilnehmende werden über Firebase Anonymous Authentication eingeloggt:
Der SOL-Modus begleitet eine Lerneinheit über mehrere Wochen. Damit ein Kind in der nächsten Stunde dort weiterarbeiten kann, wo es aufgehört hat, werden die Lernstände über das Ende der einzelnen Unterrichtsstunde hinaus gespeichert – anders als im Rallye-Modus, wo alle Daten mit der Session gelöscht werden. Das ist der Zweck der Methode und zugleich der wesentliche Unterschied für den Datenschutz.
Auch hier nehmen Schülerinnen und Schüler ohne Account und ohne E-Mail-Adresse teil. Die Lehrkraft legt vorab eine Klassenliste an; QRENA vergibt dafür automatisch Kürzel (z. B. „01", „02"), die die Lehrkraft durch eigene Bezeichnungen ersetzen kann. Auch hier gilt der Hinweis aus 4.1: bitte keine Klarnamen verwenden. Die Zuordnung zwischen Kürzel und Kind kennt ausschließlich die Lehrkraft.
| Datenart | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Kürzel / Deckname der Schülerliste | Zuordnung des Lernfortschritts über mehrere Stunden | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Bis zur Löschung durch die Lehrkraft |
| Lernfortschritt: erledigte Stationen, Anzahl der Versuche, gewählte Niveaustufe und deren Wechsel | Fortsetzen in der Folgestunde, Lernbegleitung durch die Lehrkraft | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Bis zur Löschung durch die Lehrkraft |
| Eingesendete Antworttexte an Checkpoints | Bewertung und Rückmeldung durch die Lehrkraft | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Bis zur Löschung durch die Lehrkraft |
| Fotos von Schülerarbeiten (optional, vom Kind selbst aufgenommen) | Nachweis der Bearbeitung, Grundlage für das Gespräch mit der Lehrkraft | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | 30, 90 oder 180 Tage – von der Lehrkraft je Lerneinheit festgelegt (Voreinstellung: 90 Tage), danach automatische Löschung |
| Selbsteinschätzung nach Checkpoints („Lerntagebuch") | Reflexionsgespräch zwischen Lehrkraft und Kind | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Bis zur Löschung durch die Lehrkraft |
📸 Zu den Fotos – was das Kind vorher erfährt: Bevor ein Kind zum ersten Mal ein Foto sendet, erscheint ein Hinweis, den es bestätigen muss. Darin steht ausdrücklich, dass das Foto auf EU-Servern gespeichert wird und wie viele Tage die Lehrkraft es ansehen kann – mit der konkreten, für diese Lerneinheit eingestellten Zahl. Ein Kind soll nicht glauben, sein Foto verschwinde nach der Bewertung, wenn es tatsächlich noch Wochen sichtbar ist.
Die einmal zugesagte Frist wird niemals nachträglich verlängert. Jedes Foto trägt seine eigene Frist ab dem Zeitpunkt des Hochladens bei sich. Ändert die Lehrkraft die Einstellung später, gilt die neue Frist nur für Fotos, die danach hinzukommen.
Weil SOL-Daten nicht automatisch mit der Stunde verschwinden, hat die Lehrkraft im Klassen-Manager mehrere Möglichkeiten, sie gezielt zu löschen. Alle drei entfernen zusätzlich die zugehörigen Fotodateien vom Server – nicht nur die Einträge in der Datenbank:
Löscht eine Lehrkraft ihren gesamten Account (Kapitel 9), werden ebenfalls alle Klassen, Lernstände und Fotodateien entfernt. Jeder dieser Löschvorgänge wird technisch protokolliert, damit sich später belegen lässt, dass und wann gelöscht wurde.
Unabhängig davon läuft täglich ein automatischer Vorgang, der alle Fotos entfernt, deren Frist abgelaufen ist – auch dann, wenn niemand aktiv gelöscht hat.
QRENA nutzt Firebase, eine Plattform der Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA), für folgende Dienste:
Alle Daten werden in der EU-Region (europe-west1, Belgien) gespeichert. Es erfolgt keine routinemäßige Übertragung in die USA.
Google/Firebase fungiert als Auftragsverarbeiter nach Art. 28 DSGVO. Es besteht ein Auftragsverarbeitungsvertrag (AVV) mit Google, der die datenschutzrechtlichen Vorgaben einhält.
📌 Schullizenzkunden (AVV QRENA ↔ Schule): Für Schullizenzkunden wird ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwischen der Schule (als Verantwortliche) und QRENA (als Auftragsverarbeiter) abgeschlossen. Der AVV ist abrufbar unter qrena.de/avv und wird mit Vertragsabschluss einer Schullizenz verbindlich. Einzelne Lehrkräfte ohne Schullizenz können den AVV ebenfalls auf Anfrage abschließen (info@qrena.de).
QRENA setzt folgende Drittanbieter als Unterauftragsverarbeiter ein. Alle Anbieter sind vertraglich zur datenschutzkonformen Verarbeitung verpflichtet:
| Anbieter | Zweck | Sitz | Rechtsgrundlage Drittlandübertragung |
|---|---|---|---|
| Google LLC / Firebase | Hosting, Datenbank, Auth, Cloud Functions | USA (Daten in EU, Belgien) | EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| Stripe, Inc. | Zahlungsabwicklung (nur Pro-Nutzer) | USA | EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| Anthropic, PBC | KI-Aufgabengenerator (nur Pro-Nutzer) | USA | EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| YouTube (Google LLC) | Eingebettete Videos (nur bei aktiver Nutzung) | USA | EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
Änderungen an der Liste der Unterauftragsverarbeiter werden in dieser Datenschutzerklärung bekannt gegeben.
🗑️ Automatische Löschung: Abgeschlossene Session-Daten (Teamnamen, Punktestände, Antworten, Events) werden nach 24 Stunden gelöscht. Sessions, die nicht ordnungsgemäß beendet wurden – weil sie nie gestartet oder nach der Stunde nicht geschlossen wurden – werden spätestens nach 7 Tagen gelöscht.
Ausgenommen sind die Daten des SOL-Modus, die bewusst über die einzelne Stunde hinaus bestehen bleiben – siehe 4.3.
| Datenart | Speicherdauer |
|---|---|
| Abgeschlossene Session-Daten (Teams, Punkte, Aufgaben) | 24 Stunden (automatische Löschung) |
| Nicht gestartete oder nicht beendete Session-Daten | 7 Tage (automatische Löschung) |
| Aufgabenmedien der Lehrkraft (Bilder, Audio, PDFs in Aufgaben) | Dauerhaft, solange die Aufgabe besteht – sie gehören zur vorbereiteten Aufgabe, nicht zur einzelnen Stunde. Sie werden mit dem Account gelöscht (Kapitel 9) |
| Foto-Antworten im Rallye-Modus | Mit der Session: 24 Stunden nach deren Abschluss, spätestens 7 Tage. Eine zusätzliche Sicherung entfernt Dateien, die dabei nicht erfasst wurden (z. B. weil die zugehörige Session bereits gelöscht war), spätestens nach 30 Tagen |
| Foto-Antworten im SOL-Modus | 30, 90 oder 180 Tage – von der Lehrkraft festgelegt (siehe 4.3) |
| SOL-Lernstände (Klassenlisten, Fortschritt, Lerntagebuch) | Bis zur Löschung durch die Lehrkraft (siehe 4.4) |
| Lehrkraft-Accounts (E-Mail, Name) | Bis zur manuellen Löschung durch Nutzer |
| Technische Protokolle der automatischen Löschläufe (Anzahl und Zeitpunkt gelöschter Einträge) | Derzeit unbefristet – ohne Personenbezug |
| Nachweisprotokolle über durchgeführte Löschungen (Kürzel des betroffenen Kindes, Klasse, Zeitpunkt, auslösendes Konto) | Derzeit unbefristet – dient dem Nachweis, dass und wann einem Löschverlangen entsprochen wurde |
Eine Cloud Function läuft täglich um 3:00 Uhr (Europe/Berlin) und löscht abgeschlossene Sessions, die älter als 24 Stunden sind, sowie nicht gestartete oder nicht beendete Sessions, die älter als 7 Tage sind. Dies umfasst:
Ein zweiter täglicher Vorgang prüft alle gespeicherten Foto-Antworten und löscht diejenigen, deren Frist abgelaufen ist. Er erfasst insbesondere die Fotos aus dem SOL-Modus, die absichtlich länger als die Session bestehen bleiben (siehe 4.3).
Nicht von diesen Vorgängen erfasst sind die Aufgabenmedien der Lehrkraft – Bilder, Audiodateien und PDFs, die sie in ihre Aufgaben eingebunden hat. Sie gehören zur vorbereiteten Aufgabe und nicht zur einzelnen Unterrichtsstunde; ein automatisches Löschen würde vorbereiteten Unterricht zerstören. Diese Dateien werden gelöscht, wenn die Lehrkraft ihren Account löscht.
Lehrkräfte können YouTube-Videos in Aufgaben einbetten. Dabei werden Videos im Privacy-Enhanced Mode (youtube-nocookie.com) eingebunden.
Wichtig: Beim Abspielen eines eingebetteten Videos können Daten an YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) übertragen werden. Dies erfolgt erst bei aktiver Nutzung durch den Teilnehmenden (kein automatisches Laden beim Seitenaufruf).
Weitere Informationen: Google Datenschutzerklärung
Pro-Nutzer können den integrierten KI-Aufgabengenerator nutzen. Dabei werden die von der Lehrkraft eingegebenen Angaben (Fach, Klassenstufe, Schulform, Thema) an die KI-Schnittstelle von Anthropic, PBC (548 Market St, PMB 90375, San Francisco, CA 94104, USA) übermittelt, um passende Aufgaben zu generieren.
Verarbeitete Daten: Fach, Klassenstufe, Schulform, Thema sowie ggf. eine optionale Beispielaufgabe. Es werden keine personenbezogenen Schülerdaten an Anthropic übermittelt.
Zweck: Automatische Generierung von Lernaufgaben zur Unterstützung der Unterrichtsvorbereitung.
Speicherdauer bei Anthropic: Anthropic speichert API-Anfragen und -Antworten für maximal 30 Tage, danach erfolgt automatische Löschung. Eine Nutzung der Daten für Modelltraining oder Weitergabe an Dritte ist vertraglich ausgeschlossen (User Feedback und Development Partner Program sind deaktiviert).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Anthropic ist als Auftragsverarbeiter gemäß Art. 28 DSGVO tätig. Die Datenübertragung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die in Anthropics Commercial Terms of Service integriert sind.
Transparenzpflicht nach EU AI Act: Gemäß Art. 50 Abs. 1 EU AI Act informiert QRENA transparent darüber, wenn Lerninhalte mithilfe von KI generiert wurden. KI-generierte Aufgaben werden im System intern markiert und sind für die Lehrkraft als KI-generiert erkennbar.
Hinweis: KI-generierte Inhalte sollten von der Lehrkraft vor der Verwendung auf fachliche Korrektheit geprüft werden. QRENA übernimmt keine Haftung für inhaltliche Fehler in KI-generierten Aufgaben.
Weitere Informationen: Anthropic Datenschutzerklärung
Sie haben folgende Rechte:
Kontakt für Betroffenenrechte: info@qrena.de
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO).
Zuständige Aufsichtsbehörde in Hessen:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Postfach 3163
65021 Wiesbaden
Telefon: +49 611 1408-0
E-Mail: poststelle@datenschutz.hessen.de
Web: https://datenschutz.hessen.de
Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:
Die Lehrkraft (Spielleiter) ist verantwortlich für:
⚠️ Wichtig: Da Teilnehmende pseudonymisierte Daten (Teamnamen, Spitznamen) nutzen und keine dauerhaften Accounts erstellen, ist in der Regel keine separate Einwilligung der Erziehungsberechtigten erforderlich. Dennoch sollten Lehrkräfte die Nutzung im Rahmen ihrer pädagogischen Verantwortung transparent kommunizieren und schulische Datenschutzvorgaben beachten.
📌 Dieser Abschnitt gilt für Schulen und Schulträger, die QRENA im Rahmen einer Schullizenz einsetzen.
Bei Einsatz von QRENA im Rahmen einer Schullizenz gilt folgende datenschutzrechtliche Rollenverteilung:
| Partei | Rolle nach DSGVO | Verantwortung |
|---|---|---|
| Schule / Schulträger | Verantwortliche (Art. 4 Nr. 7 DSGVO) | Rechtmäßigkeit der Verarbeitung, Information von Schülerinnen, Schülern und ggf. Erziehungsberechtigten |
| QRENA (Dominic Schmitt) | Auftragsverarbeiter (Art. 28 DSGVO) | Betrieb der technischen Plattform gemäß Weisungen der Schule und Vorgaben des AVV |
Mit Abschluss einer Schullizenz tritt der AVV nach Art. 28 DSGVO in Kraft. Er regelt verbindlich:
Der vollständige AVV ist abrufbar unter: qrena.de/avv
| Anbieter | Zweck | Sitz / Serverstandort |
|---|---|---|
| Google Cloud EMEA Limited | Firebase: Hosting, Authentication, Firestore, Storage, Cloud Functions | 70 Sir John Rogerson's Quay, Dublin 2, Irland / EU-Region Belgien (europe-west1) |
| Stripe Payments Europe Ltd | Zahlungsabwicklung (ausschließlich Lehrkraft-/Schulrechnungsdaten; keine Schülerdaten) | 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland |
| Maßnahme | Umsetzung |
|---|---|
| Transportverschlüsselung | TLS 1.3 (HTTPS), erzwungen auf allen Endpunkten |
| Zugriffskontrolle (Datenbank) | Firebase Security Rules: rollenbasierte Lese- und Schreibrechte |
| Serverstandort | EU-Region europe-west1 (Belgien) – keine routinemäßige Übertragung außerhalb der EU |
| Automatische Datenlöschung | Session-Daten (Teams, Punkte, Antworten) nach 24 h; nicht gestartete Sessions nach 7 Tagen via Cloud Function |
| Zugangskontrolle (Nutzer) | Passwortgeschützter Lehrkraft-Account; Firebase Authentication |
| Pseudonymisierung | Schülerinnen und Schüler nehmen ausschließlich mit frei gewählten Teamnamen teil – kein Klarname, keine E-Mail-Adresse erforderlich |
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen. Die aktuelle Version ist stets auf dieser Seite abrufbar.
Stand: August 2026
Hinweis: Diese Datenschutzerklärung wurde nach bestem Wissen und Gewissen erstellt. Sie ersetzt jedoch keine individuelle Rechtsberatung. Bei Fragen wenden Sie sich bitte an info@qrena.de.