Technische und organisatorische Maßnahmen

Stand: Oktober 2026 · nach Art. 32 DSGVO · Anlage zu § 7 des Auftragsverarbeitungsvertrags

1. Vertraulichkeit

1.1 Zutrittskontrolle

• Daten werden ausschließlich in Rechenzentren von Google gespeichert; der Betreiber hat keinen physischen Zugang zu Servern. Nachweise zur physischen Sicherheit: Zertifizierungen und Prüfberichte von Google (nach Angabe von Google u. a. ISO/IEC 27001, 27017, 27018 und SOC 2).

1.2 Zugangskontrolle

• Lehrkräfte: Anmeldung mit E-Mail-Adresse und Passwort. Das Passwort muss mindestens 12 Zeichen lang sein; das wird serverseitig vom Anmeldedienst erzwungen, nicht nur im Browser geprüft. Sessions können erst nach Bestätigung der E-Mail-Adresse angelegt werden.
• Schülerinnen und Schüler: keine Benutzerkonten. Das Gerät meldet sich anonym an und erhält eine zufällige Kennung; der Zugang zu einer Stunde erfolgt über QR-Code oder PIN.
• Verwaltung: Zugang zu den Verwaltungskonsolen von Google Cloud und Firebase hat ausschließlich der Betreiber.
• Nicht umgesetzt: Eine Zwei-Faktor-Anmeldung für Lehrkräfte wird derzeit nicht angeboten.

1.3 Zugriffskontrolle

Alle Lese- und Schreibzugriffe auf Datenbank und Dateien werden serverseitig durch Sicherheitsregeln geprüft. Die Regeln sind die maßgebliche Schutzschicht; die App selbst wird nicht als Schutz vorausgesetzt.

• Eine Lehrkraft kann nur ihre eigenen Sessions auflisten, ändern und löschen und nur ihre eigenen Klassen, Lerneinheiten und Lernstände lesen und ändern. Ein einzelnes Session-Dokument ist für angemeldete Geräte lesbar, die seine Kennung kennen; Punktestand und Anzeigezustand einer Stunde sind für Tafel und Scoreboard auch ohne Anmeldung abrufbar.
• Ein Schülergerät kann Einsendungen und Lernstände anderer Kinder nicht lesen. Teamnamen, Punkte, Hilferufe, Tipps und Hilfe-Statistiken einer Stunde sind für die Geräte dieser Stunde sichtbar, weil das gegenseitige Helfen darauf beruht. Anlegen und ändern darf ein Gerät nur Datensätze des eigenen Teams; Ausnahmen sind fest begrenzte Zähler (Tipp-Zähler eines Hilferufs, Hilfe-Zähler des helfenden Teams, jeweils +1) und Fehlermeldungen. Welche Felder gesetzt werden dürfen, ist je Vorgang festgelegt.
• Die Adresse einer Foto-Antwort enthält ein nicht erratbares Zugriffstoken; wer sie kennt, kann das Bild ohne Anmeldung abrufen. Gespeichert wird sie nur bei der Einsendung des Kindes, die andere Schülergeräte nicht lesen können.
• Schülergeräte lesen nie die Klassenverwaltung. Für eine SOL-Stunde wird eine Kopie der Schülerliste (Nummer und Synonym) in die Stunde übernommen, damit sich jedes Kind auswählen kann; diese Liste ist für die Geräte der Stunde sichtbar.
• In einer SOL-Stunde kann ein Gerät nur Nummern aus der Klassenliste dieser Stunde belegen. Wählt es eine andere Nummer, gibt es die vorherige frei. Kommt ein Kind mit einem anderen Gerät nicht mehr in die Stunde, kann die Lehrkraft die Nummer im SOL-Radar freigeben; der Lernstand bleibt erhalten. Eine strengere Bindung (höchstens eine Nummer je Gerät, serverseitig erzwungen) ist vorbereitet und wird nach Abschluss einer Messung aktiviert.
• Lernstände im SOL-Modus sind an das Gerät gebunden, das sie angelegt hat. Damit ein Kind im Unterricht das Gerät wechseln kann, darf nach 45 Minuten ohne Aktivität ein anderes Gerät den Lernstand übernehmen. Eine Verschärfung, die die Übernahme zusätzlich an die jeweils laufende Stunde bindet, ist vorbereitet und wird nach Abschluss einer Messung aktiviert.
• Foto-Antworten können nicht überschrieben und vom Schülergerät nicht gelöscht werden; Verzeichnisse lassen sich nicht auflisten.
• Aufgabenmedien der Lehrkraft (Bilder, Audio, PDF) sind über ihre Adresse ohne Anmeldung abrufbar, damit sie an der Tafel angezeigt werden können. Sie sollen keine personenbezogenen Daten enthalten.
• Jede Änderung der Sicherheitsregeln durchläuft in der Testumgebung eine automatisierte Testreihe (derzeit 135 Fälle, u. a. „Kind liest Einsendung eines anderen Kindes“); schlägt ein Fall fehl, wird sie technisch nicht veröffentlicht. In die Produktion gehen nur Regeln, die mit dem geprüften Stand übereinstimmen.

1.4 Trennungskontrolle

• Logische Trennung der Daten verschiedener Lehrkräfte über Eigentümerfelder, die die Sicherheitsregeln bei jedem Zugriff prüfen.
• Entwicklung und Tests finden in einem getrennten Projekt mit eigener Datenbank statt; Produktivdaten werden dafür nicht verwendet.

1.5 Pseudonymisierung und Datensparsamkeit

• Für die Teilnahme sind keine Klarnamen erforderlich: Rallye mit frei gewählten Teamnamen und optionalen Spitznamen, SOL mit Schülernummer und einer von der Lehrkraft vergebenen Bezeichnung.
• Die Plattform erhebt keine Geburtsdaten, Anschriften, E-Mail-Adressen oder Noten von Schülerinnen und Schülern.
• Es werden keine Analyse- oder Werbedienste eingesetzt.
• Der KI-Aufgabengenerator erhält ausschließlich Eingaben der Lehrkraft, keine Schülerdaten und keine Account-Kennung.

1.6 Verschlüsselung

• Übertragung ausschließlich über HTTPS (TLS). HTTP Strict Transport Security ist mit einem Jahr Gültigkeit, für Subdomains und zur Aufnahme in Browser-Vorladelisten gesetzt.
• Ruhende Daten speichert Google verschlüsselt. Eine zusätzliche Verschlüsselung durch QRENA selbst findet nicht statt.
• Passwörter verarbeitet ausschließlich der Anmeldedienst von Google; QRENA hat keinen Zugriff auf Passwörter im Klartext.

2. Integrität

2.1 Weitergabekontrolle

• Daten verlassen die Plattform nur an die in der Liste der Unterauftragsverarbeiter genannten Empfänger.
• Exporte (z. B. Ergebnisbericht, SOL-Protokoll) erstellt ausschließlich die Lehrkraft für ihre eigenen Daten.
• Sicherheitsrelevante HTTP-Header sind gesetzt (u. a. Schutz vor Einbettung in fremde Seiten, Content-Security-Policy, Beschränkung des Kamerazugriffs auf die eigene Seite).

2.2 Eingabekontrolle

• Datensätze tragen die Kennung des schreibenden Geräts bzw. Accounts; die Sicherheitsregeln prüfen diese Kennung, wo sie für den Schutz anderer Datensätze maßgeblich ist. Zeitstempel setzt überwiegend das Gerät selbst.
• Löschläufe und Account-Löschungen werden protokolliert. Server-Protokolle werden 30 Tage aufbewahrt.
• Nicht umgesetzt: Eine vollständige Protokollierung einzelner Lesezugriffe findet nicht statt.

3. Verfügbarkeit und Belastbarkeit

• Datenbank in einer Multi-Region (Belgien, Niederlande) mit Replikation durch Google.
• Tägliche Sicherung der Datenbank sowie Wiederherstellung auf einen beliebigen Zeitpunkt, jeweils für 7 Tage; Löschschutz für die Datenbank. Gelöschte Dateien bleiben 7 Tage wiederherstellbar.
• Bei instabilem WLAN werden Schreibvorgänge auf dem Gerät zwischengespeichert und nachgesendet; in Safari (iPad) nur, solange die Seite geöffnet bleibt.

4. Löschung

Automatische Löschläufe für Rallye-Sessions und Foto-Antworten sowie Löschfunktionen für Lehrkräfte. Alle Fristen, Auslöser und bekannten Lücken stehen im Löschkonzept.

5. Verfahren zur regelmäßigen Überprüfung

• Automatisierte Prüfungen vor jeder Veröffentlichung: Testreihe der Sicherheitsregeln, Syntaxprüfung aller Programmdateien, Vollständigkeit der Pflichtdateien.
• Änderungen werden zuerst in der getrennten Testumgebung veröffentlicht und geprüft.
• Im Herbst 2026 wurde ein Sicherheits- und Rechts-Review der gesamten Plattform durchgeführt; die Befunde werden in einer fortlaufenden Liste abgearbeitet.

6. Auftragskontrolle und Organisation

• Unterauftragsverarbeiter nur nach der veröffentlichten Liste und deren Datenverarbeitungsbedingungen.
• Der Betreiber ist zur Vertraulichkeit verpflichtet. Weitere Personen haben keinen Zugriff auf personenbezogene Daten.
• Datenschutzverletzungen meldet QRENA der verantwortlichen Schule unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden (§ 5.6 AVV). Für den Ablauf besteht ein festgelegtes internes Verfahren.

Stand: Oktober 2026
Dieses Dokument beschreibt den Stand der Plattform nach bestem Wissen. Es ersetzt keine Rechtsberatung. Bei Fragen: info@qrena.de