nach Art. 28 DSGVO · Fassung 3 · Stand Oktober 2026
Verantwortliche (im Folgenden „du“): die Lehrkraft bzw. die Schule, die Goldfeder nutzt. Deine Angaben ergeben sich aus deiner Bestätigung beim ersten Start (Name, E-Mail, Zeitpunkt).
Auftragsverarbeiterin (im Folgenden „Goldfeder“):
Theresa Detter
c/o RA Matutis, Fürstenstraße 6, A-5400 Hallein, Österreich
office@zaubergiraffe.com · UID ATU82371826
Gegenstand: Bereitstellung der Anwendung Goldfeder zur Dokumentation im Schulalltag sowie zur Unterstützung bei der Korrektur von Schülerarbeiten.
Zweck: Ausschließlich die Erbringung dieser Leistung für dich. Eine Nutzung der Daten zu eigenen Zwecken von Goldfeder findet nicht statt.
Art der Verarbeitung: Erheben, Speichern (verschlüsselt), Ordnen, Anzeigen, Exportieren, Übermitteln an die unter Punkt 6 genannten Unterauftragsverarbeiter, Löschen.
Dauer: Für die Dauer deiner Nutzung. Der Vertrag endet, wenn du die Nutzung beendest oder dein Konto löschen lässt.
| Betroffene | Datenarten |
|---|---|
| Schülerinnen und Schüler | Vorname oder Kürzel, Klassenzugehörigkeit, Beobachtungen und Notizen, Bewertungen und Noten, Anwesenheiten, Fotos von Arbeiten und Werkstücken (ohne abgebildete Personen) |
| Lehrkraft (du) | Name, E-Mail-Adresse, Anmeldedaten, Guthabenstand und dessen Verlauf, Zeitpunkt der Vertragsbestätigung |
| Weitere | Namen in Konferenzprotokollen oder Notizen, soweit du solche erfasst |
Besondere Kategorien nach Art. 9 DSGVO (Gesundheit, Herkunft, Religion, Diagnosen) sind nicht Gegenstand dieses Vertrages. Du hast dich in der Nutzungsvereinbarung verpflichtet, solche Daten nicht einzugeben. Goldfeder ist für den Umgang mit solchen Daten nicht ausgelegt.
Goldfeder verarbeitet die Daten ausschließlich auf deine dokumentierte Weisung. Als Weisung gelten die Nutzung der Funktionen der Anwendung sowie dieser Vertrag.
Hält Goldfeder eine Weisung für datenschutzrechtlich unzulässig, wird dich Goldfeder unverzüglich darauf hinweisen und darf die Ausführung bis zur Klärung aussetzen (Art. 28 Abs. 3 letzter Satz DSGVO).
Goldfeder wird von Theresa Detter allein betrieben. Weitere zur Verarbeitung befugte Personen gibt es derzeit nicht. Sollten künftig Personen hinzukommen, werden sie zuvor schriftlich zur Vertraulichkeit verpflichtet und in ihre Datenschutzpflichten eingewiesen (Art. 28 Abs. 3 lit. b DSGVO).
Du stimmst dem Einsatz der folgenden Unterauftragsverarbeiter zu. Mit allen bestehen Verträge nach Art. 28 DSGVO einschließlich EU-Standardvertragsklauseln, soweit Daten die EU verlassen.
| Dienstleister | Leistung | Ort der Verarbeitung |
|---|---|---|
| Netlify Netlify Inc., USA |
Betrieb der Anwendung (Auslieferung der App, Serverfunktionen). Es wird dort keine Dokumentation gespeichert. | Serverfunktionen: Frankfurt, Deutschland (eingestellte Region). Abgesichert über die Zertifizierung nach dem EU-US Data Privacy Framework und ergänzend über Standardvertragsklauseln. |
| Anthropic Anthropic PBC, USA |
KI-Auswertung bei Korrektur, Arbeitsblättern, Schularbeiten und Unterrichtsideen sowie beim Ausformulieren von Beobachtungen. Dabei werden Namen aus der Klassenliste vorher auf dem Gerät durch Platzhalter ersetzt. | USA, abgesichert über Standardvertragsklauseln. Inhalte werden nicht zum Training verwendet; eine kurzzeitige Speicherung bei Anthropic zur Missbrauchsabwehr nach dessen Bedingungen ist möglich. |
| Resend Plus Five Five Inc., USA |
Versand der Anmelde- und Bestätigungs-E-Mails | USA, abgesichert über Standardvertragsklauseln und Zertifizierung nach dem EU-US Data Privacy Framework |
| Supabase Supabase Inc., Hosting in der EU |
Zählen der genutzten KI-Anfragen je Konto und Monat (Verwaltung des Kontingents), verschlüsselte Sicherung deiner Dokumentation sowie die Sammlung deiner Arbeitsblätter aus der Arbeitsblatt-Werkstatt | Frankfurt, Deutschland. Deine Dokumentation liegt dort ausschließlich verschlüsselt. Die Arbeitsblätter aus der Werkstatt liegen unverschlüsselt, damit sie auf jedem deiner Geräte wieder aufgehen – sie enthalten Unterrichtsmaterial und keine Daten von Kindern. |
| fal.ai Features and Labels, Inc., USA |
Erzeugen von Bildern für die Arbeitsblatt-Werkstatt (Modell „Flux“) | USA, abgesichert über Standardvertragsklauseln. Übermittelt wird nur deine Bildbeschreibung – und, wenn du eines auswählst, das von dir hochgeladene Referenzbild. Lade dort keine Fotos von Kindern hoch. |
| OpenAI OpenAI, L.L.C., USA |
Erzeugen von Bildern für die Arbeitsblatt-Werkstatt (Modell „gpt-image-1“, vor allem für Ausmalbilder) | USA, abgesichert über Standardvertragsklauseln. Übermittelt wird nur deine Bildbeschreibung – und, wenn du eines auswählst, das von dir hochgeladene Referenzbild. Über die Programmierschnittstelle werden Inhalte nicht zum Training verwendet. Lade dort keine Fotos von Kindern hoch. |
| Push-Dienste der Gerätehersteller Apple Inc. (iPhone/iPad), Google LLC (Android/Chrome), Mozilla (Firefox) |
Zustellung der Erinnerung ans Gruppenbuch als Mitteilung aufs Gerät – nur, wenn die Lehrkraft sie einschaltet. Übertragen wird ausschließlich ein fester Satz („Für heute fehlt noch ein Eintrag“), verschlüsselt nach dem Web-Push-Standard; keine Klassen-, Kinder- oder Unterrichtsdaten. | USA (Standardvertragsklauseln bzw. Data Privacy Framework); die Zuordnung zum Gerät kennt nur der jeweilige Hersteller. |
Über den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters wirst du mindestens 14 Tage vorher per E-Mail informiert. Du kannst innerhalb dieser Frist widersprechen; in diesem Fall kannst du den Vertrag beenden und deine Daten exportieren.
Nicht Unterauftragsverarbeiter: Digistore24 tritt beim Kauf von Guthaben als eigener Verkäufer auf und ist für die Zahlungsdaten selbst verantwortlich.
Die Maßnahmen im Einzelnen sind in Anlage 1 beschrieben. Goldfeder verpflichtet sich, das dort beschriebene Schutzniveau während der Vertragsdauer aufrechtzuerhalten. Verbesserungen sind zulässig; Verschlechterungen werden dir vorab mitgeteilt.
Goldfeder unterstützt dich mit geeigneten Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen (Art. 28 Abs. 3 lit. e DSGVO).
Praktisch stehen dir dafür in der Anwendung zur Verfügung: die Anzeige aller zu einem Kind gespeicherten Einträge (Sprechtag-Mappe), der vollständige Datei-Export (Sicherung) sowie das Löschen einzelner Einträge, einzelner Kinder oder des gesamten Kontos.
Wird Goldfeder eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert Goldfeder dich unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die von dir hinterlegte Adresse – mit Beschreibung des Vorfalls, der betroffenen Datenarten, der voraussichtlichen Folgen und der ergriffenen Maßnahmen.
Die Meldung an die Datenschutzbehörde nach Art. 33 DSGVO obliegt dir als Verantwortlicher. Goldfeder unterstützt dich dabei mit allen verfügbaren Informationen (Art. 28 Abs. 3 lit. f DSGVO).
Goldfeder unterstützt dich auf Anfrage bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei einer vorherigen Konsultation nach Art. 36 DSGVO, insbesondere durch Auskunft über die Verarbeitungsvorgänge und die getroffenen Schutzmaßnahmen.
Nach Beendigung der Nutzung löscht Goldfeder die in der Cloud-Sicherung gespeicherten Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch erhältst du die Daten vorher als Datei-Export zurück.
Die auf deinem Gerät gespeicherten Daten liegen in deinem Verfügungsbereich; ihre Löschung nimmst du selbst vor.
Goldfeder stellt dir auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages erforderlich sind, und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO). Überprüfungen erfolgen nach angemessener Vorankündigung und ohne unverhältnismäßige Störung des Betriebs. Nachweise der Unterauftragsverarbeiter werden dir auf Anfrage weitergeleitet.
Es gilt österreichisches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam. Änderungen bedürfen der Textform; die jeweils gültige Fassung ist in der Anwendung abrufbar. Bei wesentlichen Änderungen wirst du vorab informiert und um erneute Bestätigung gebeten.