Datenschutz bei examundo.
Alle Unterlagen für Ihre Schule.
Diese Seite fasst zusammen, wo die Daten liegen, was besonders geschützt ist, wie die KI-Funktionen arbeiten und wer nach der DSGVO wofür verantwortlich ist. Verbindlich sind die Datenschutzerklärung und der Auftragsverarbeitungsvertrag, beide sind unten verlinkt.
Stand: Oktober 2026
Das Wichtigste auf einen Blick.
Die Abschnitte darunter führen jeden Punkt aus.
Server in Deutschland
Betrieb auf Servern der Hetzner Online GmbH in Rechenzentren in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.
Namen Ende zu Ende verschlüsselt
Die Namen der Schülerinnen und Schüler werden im Browser der Lehrkraft verschlüsselt. Auf dem Server liegen nur ein Pseudonym und der verschlüsselte Name.
Keine Registrierung
Schülerinnen und Schüler registrieren kein eigenes Konto und brauchen keine E-Mail-Adresse. Der Zugang läuft über Codes der Lehrkraft.
KI-Verarbeitung in der EU
Die KI-Modelle laufen in Rechenzentren in der EU. Übermittelte Inhalte werden weder aufbewahrt noch zum Training verwendet, und die Schule kann die KI abschalten.
Die Schule bleibt verantwortlich
examundo ist Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet nach dokumentierten Weisungen.
Feste Löschfristen
Server-Logfiles werden nach sieben Tagen gelöscht, Integritätsdaten nach zwölf Monaten. Klassenarbeiten löschen Lehrkräfte jederzeit selbst.
Server in Deutschland, eine verschlüsselte Kopie daneben.
examundo läuft auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in Rechenzentren in Deutschland. Der Rechenzentrumsbetreiber verantwortet die physische Sicherheit und die Zutrittskontrolle, examundo hat keinen physischen Zugang zur Hardware.
Daten und Dateien
Klassenarbeiten, Aufgaben und Bewertungen ebenso wie Anhänge, Bilder und Aufnahmen liegen auf den Servern in Deutschland und werden laufend auf mehrere Server gespiegelt, sodass der Ausfall eines Servers den Betrieb nicht unterbricht. Ein externer Speicherdienst wird nicht genutzt. Datenbanken und interne Dienste sind aus dem Internet nicht erreichbar.
Sicherungen
Alle Daten werden täglich gesichert. Eine vor der Übertragung verschlüsselte Kopie liegt auf einem getrennten Speicher der Hetzner Online GmbH in Deutschland; der Schlüssel liegt nicht beim Speicheranbieter. Kein Sicherungsstand wird länger als 90 Tage aufbewahrt, und die Wiederherstellung aus den Sicherungen wird regelmäßig automatisiert getestet.
Die Namen der Klasse verlassen den Browser nur verschlüsselt.
Jeder Name wird im Browser der Lehrkraft nach dem aktuellen Stand der Technik verschlüsselt, bevor er den Server erreicht. Der Schlüssel wird aus einem Passwort der Lehrkraft abgeleitet und verlässt den Browser nicht. Auf dem Server liegen nur Pseudonym und verschlüsselter Name. examundo kann diese Namen nicht lesen. Die Verfahren im Einzelnen beschreibt Anlage 2 des Auftragsverarbeitungsvertrages.
Namen nur verschlüsselt
Die Anwendung übermittelt Namen ausschließlich verschlüsselt. Gehen Passwort und Wiederherstellungsschlüssel verloren: examundo kann Ende-zu-Ende-verschlüsselte Inhalte nicht wiederherstellen.
Wofür die Ende-zu-Ende-Verschlüsselung gilt
Die Ende-zu-Ende-Verschlüsselung gilt für die Namen. Antworten, Abgaben und Bewertungen sind nicht Ende zu Ende verschlüsselt, da sie für die Bewertung verarbeitet werden müssen. Sie werden verschlüsselt übertragen, pseudonymisiert gespeichert und für die Leistungserbringung verarbeitet. Angaben, die eine Person in einer Antwort, einer Abgabe oder einer Aufnahme selbst macht, fallen nicht unter die Verschlüsselung der Namen.
Schülerinnen und Schüler melden sich mit einem Code an.
Eine Registrierung oder eine E-Mail-Adresse brauchen sie nicht. Ein Code gilt für eine Sitzung, eine erneute Anmeldung gibt die Lehrkraft frei. Die Zahl der Anmeldeversuche und Speichervorgänge ist begrenzt.
Die Klassenarbeit
Die Anmeldung mit dem Zugangscode gilt nur für diese eine Klassenarbeit und endet mit ihr.
Das Schülerportal
Im Schülerportal melden sich Schülerinnen und Schüler unter einem Pseudonym an, mit Kennung und Zugangscode von der Lehrkraft. Der Zugang gilt über die einzelne Klassenarbeit hinaus. Eigene Ergebnisse erscheinen dort, sobald die Lehrkraft sie freigibt.
Der Hinweis vor der Klassenarbeit
Vor Beginn bestätigen Schülerinnen und Schüler mit einem Auswahlkästchen, die Hinweise zur Kenntnis genommen zu haben: Antworten werden für die Bewertung gespeichert, ein Wechsel des Fensters wird festgehalten. Zeitpunkt und IP-Adresse dienen als Nachweis der Teilnahme. Rechtsgrundlage ist der Bildungsauftrag der Schule; ob das Landesrecht zusätzlich eine Einwilligung der Erziehungsberechtigten verlangt, prüft die Schule.
Übermittelt werden Aufgabe, Kriterien und Antwort, keine Stammdaten.
KI unterstützt Lehrkräfte beim Erstellen von Aufgaben und bei der Bewertung abgegebener Leistungen und gibt Schülerinnen und Schülern auf eigene Anforderung Rückmeldungen zum Weiterlernen. Übermittelt werden nur die Inhalte, die der jeweilige Vorgang benötigt.
Wohin die Anfragen gehen
Die Anfragen gehen an den Dienstleister Requesty, der sie in der EU-Region an Modelle weitergibt, die Amazon Web Services über Amazon Bedrock und für einzelne Funktionen Microsoft über Azure betreiben, jeweils in Rechenzentren in der EU, ohne Aufbewahrung der Inhalte (Zero Data Retention).
Was übermittelt wird
Übermittelt werden Vorgaben der Lehrkraft wie Aufgabenstellung, Erwartungshorizont und Bewertungskriterien, didaktische Angaben wie Fach und Klassenstufe sowie die Antwort oder der Text, um die es geht. Stammdaten wie Namen, E-Mail-Adressen, Klassen- und Schulbezeichnungen und interne Kennungen übermittelt examundo nicht. Enthält ein Inhalt selbst solche Angaben, etwa ein Name auf einem fotografierten Arbeitsblatt, wird er nur für den jeweiligen Vorgang verarbeitet. Beim Einlesen von Papier läuft die Zuordnung über den QR-Code auf dem jeweiligen Ausdruck; ein Deckblatt geht nicht an ein Modell.
Kein Training mit Schuldaten
Die KI-Verarbeitung ist so eingerichtet, dass übermittelte Inhalte weder aufbewahrt noch zum Training von Modellen verwendet werden: genutzt werden Modelle in der EU-Region, bei denen das zugesichert ist. Fällt ein Modell aus, weicht examundo nicht auf einen anderen Anbieter aus. examundo protokolliert zu jeder Anfrage Metadaten wie Umfang, Kosten und Dauer, keine Inhalte, auch nicht im Fehlerfall.
Hilfestellung, keine Entscheidung
Die Bewertung durch die KI erzeugt Vorschläge, die die Lehrkraft bestätigt oder ändert. Es findet keine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt.
Abschaltbar auf zwei Ebenen
Die KI lässt sich für die gesamte Schule und für eine einzelne Klassenarbeit abschalten. Beide Einstellungen wirken zusammen, eine einzelne Klassenarbeit kann die Entscheidung der Schule nicht aufheben. Die Einstellung der Schule bindet ihre Mitglieder auch für Klassenarbeiten in deren persönlichem Arbeitsbereich, weil eine neue Klassenarbeit standardmäßig dort angelegt wird. Geprüft wird an der Stelle, an der die Anfrage das System verlässt. Untersagt die Schule die Nutzung, entfallen die Übermittlungen an Requesty, Amazon Web Services und Microsoft vollständig; die übrigen Funktionen laufen weiter. Jede Änderung der KI-Einstellung der Schule wird protokolliert.
Übermittlung in Drittländer
Die KI-Verarbeitung läuft in Rechenzentren in der EU und erfolgt ohne Aufbewahrung der Inhalte (Zero Data Retention). Für Requesty im Vereinigten Königreich gilt der Angemessenheitsbeschluss der Europäischen Kommission. Requesty verarbeitet die Anfragen in Frankfurt am Main, Amazon Web Services und Microsoft betreiben die Modelle in Rechenzentren in der EU; für die Muttergesellschaften in den Vereinigten Staaten gelten die Standardvertragsklauseln der Europäischen Kommission und das EU-US Data Privacy Framework.
Die Unterauftragsverarbeiter und ihre Garantien.
Die vollständige Liste mit Daten und Garantien ist Anlage 3 des Auftragsverarbeitungsvertrages und steht unter examundo.com/unterauftragsverarbeiter. Die bei Vertragsschluss dort aufgeführten Unterauftragsverarbeiter sind mit dem Vertrag genehmigt. Über einen neuen oder gewechselten Unterauftragsverarbeiter informieren wir mindestens 30 Tage vorher in Textform; die Schule kann aus einem wichtigen datenschutzrechtlichen Grund widersprechen.
| Dienstleister | Leistung | Ort und Grundlage |
|---|---|---|
| Hetzner Online GmbH | Serverbetrieb und Sicherungsspeicher | Deutschland. Keine Übermittlung in ein Drittland. |
| Requesty Ltd | Vermittlung der Anfragen an die KI-Modelle | Frankfurt am Main, Deutschland (EU-Endpunkt), ohne Aufbewahrung der Inhalte (Zero Data Retention), keine Nutzung zum Training. Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich (Art. 45 DSGVO); Vertrag zur Auftragsverarbeitung. |
| Amazon Web Services EMEA SARL | Betrieb der KI-Modelle über Amazon Bedrock | Rechenzentren in der EU. Muttergesellschaft in den Vereinigten Staaten: Standardvertragsklauseln der Europäischen Kommission und EU-US Data Privacy Framework. |
| Microsoft Ireland Operations Limited | Betrieb von KI-Modellen über Microsoft Azure | Rechenzentren in der EU. Muttergesellschaft in den Vereinigten Staaten: Standardvertragsklauseln der Europäischen Kommission und EU-US Data Privacy Framework. |
| Lettermint B.V. | Versand von E-Mails an Lehrkräfte | Europäische Union. Keine Übermittlung in ein Drittland. |
| Apple Inc. | Zustellung von Benachrichtigungen an die examundo-App auf iPhone und iPad (Apple Push Notification Service), nur wenn auf dem Gerät Benachrichtigungen erlaubt sind | Server von Apple, auch in den Vereinigten Staaten. Standardvertragsklauseln der Europäischen Kommission. |
Die Speicherung der Daten und der Betrieb der Anwendung erfolgen auf Servern in Deutschland. Anschriften und die Daten, die jeder Dienstleister erhält, stehen unter examundo.com/unterauftragsverarbeiter. Die Zahlung kostenpflichtiger Konten wickelt Mollie B.V. (Amsterdam, Niederlande) ab; Schülerdaten erhält Mollie nicht.
Löschfristen für jede Datenart.
Was Lehrkräfte löschen, liegt 28 Tage im Papierkorb und ist danach endgültig gelöscht, Kopien in Sicherungen sind spätestens 90 Tage nach dem Löschen überschrieben. Alles Übrige folgt diesen Fristen.
| Daten | Frist |
|---|---|
| Server-Logfiles | Täglich rotiert, spätestens nach sieben Tagen gelöscht oder anonymisiert. |
| Kennzahlen der KI-Anbindung | Nach sechs Monaten gelöscht. |
| Integritätsdaten des Täuschungsschutzes | Nach zwölf Monaten gelöscht. |
| Zwischenstufen eingelesener Klassenarbeiten auf Papier | Entzerrte Seiten und die Ausschnitte der einzelnen Aufgaben: 30 Tage nach der Rückgabe der Ergebnisse gelöscht, spätestens 90 Tage nach dem Scan. Der hochgeladene Stapel bleibt als Beleg, solange die Lehrkraft ihn behält. |
| Ergebnisdateien von Exporten | PDF und Datenexport: nach sieben Tagen gelöscht, der Auftragseintrag nach 90 Tagen. |
| Protokoll der sicherheits- und bewertungsrelevanten Vorgänge | Für die Dauer des Kontos. IP-Adressen im Protokoll werden nach zwölf Monaten entfernt. |
| Klassenarbeiten, Klassen und Bewertungen | Für die Laufzeit des Vertrages. Lehrkräfte löschen einzelne Klassenarbeiten jederzeit selbst, einschließlich der zugehörigen Abgaben, Bewertungen und Dateien; ebenso lassen sich Klassen und einzelne Schülerzuordnungen entfernen. |
| Konto | Lehrkräfte löschen es selbst im Profil unter Daten, nach erneuter Eingabe des Passworts und Bestätigung der eigenen E-Mail-Adresse. Vorher lassen sich die eigenen Daten als Archiv herunterladen. Rechnungen bleiben aufgrund der steuerrechtlichen Aufbewahrungspflichten erhalten, vom Konto abgekoppelt. |
| Nach Vertragsende | Löschung oder Rückgabe nach Wahl der Schule innerhalb von 30 Tagen nach Ablauf der Mitteilungsfrist, spätestens also 60 Tage nach Vertragsende; nach einer Rückgabe werden die verbliebenen Daten ebenfalls gelöscht. Kopien in Sicherungen werden spätestens 90 Tage nach der Löschung überschrieben; wird vorher eine Sicherung eingespielt, werden die darin enthaltenen, bereits gelöschten Daten erneut gelöscht. Während der Laufzeit und bis zum Ablauf dieser Frist kann die Schule ihre Daten jederzeit selbst exportieren. |
| Rechnungen und Zahlungsbelege | Für die handels- und steuerrechtlichen Aufbewahrungsfristen (acht Jahre gemäß § 147 Abs. 3 AO und § 14b Abs. 1 UStG), auch wenn das Konto zwischenzeitlich gelöscht wurde. |
Art. 32 DSGVO, zusammengefasst.
Die Maßnahmen sind in Anlage 2 des Auftragsverarbeitungsvertrages ausführlich beschrieben und gelten für alle Verarbeitungen.
Zugang zu Systemen
- Passwörter speichert examundo ausschließlich als kryptografischen Prüfwert, der sich nicht zurückrechnen lässt, niemals im Klartext. examundo prüft die Passwortstärke und lehnt zu schwache Passwörter ab.
- Zwei-Faktor-Authentifizierung mit zeitbasierten Einmalkennwörtern aus einer Authentifizierungs-App steht zur Verfügung. Der Schlüssel dafür ist verschlüsselt gespeichert, Wiederherstellungscodes nur als Prüfwert, und jeder Code ist einmal verwendbar.
- Sitzungen sind gegen Auslesen und Übernahme geschützt: Skripte im Browser können sie nicht lesen, fremde Websites nicht mitbenutzen, und übertragen werden sie nur über verschlüsselte Verbindungen. Eine Passwortänderung beendet alle bestehenden Sitzungen der betroffenen Lehrkraft sofort.
- Die Zahl der Anfragen pro Zeitraum begrenzt examundo bei Anmeldung, Zwei-Faktor-Prüfung und Passwort-Zurücksetzung sowie bei Anmeldung, Speichern und Abgabe in einer Klassenarbeit.
- Administrativer Zugang zu den Servern ist nur mit kryptografischem Schlüssel möglich, die Anmeldung mit Passwort ist abgeschaltet. Zugang haben nur die für den Betrieb zuständigen Personen. Die Verwaltungsoberfläche ist mehrfach abgesichert und nur von wenigen freigegebenen Stellen aus erreichbar.
Zugriff und Trennung
- Rollen innerhalb einer Schule sind Eigentümer:in, Manager:in und Mitglied. examundo prüft die Rechte bei jeder Anfrage.
- Mandanten sind getrennt. Jede Anfrage auf eine fremde Ressource wird abgewiesen, ohne deren Existenz preiszugeben. Die Trennung ist durch automatisierte Tests abgedeckt, die bei jeder Änderung laufen.
- Support-Zugriff auf ein Lehrkraftkonto ist ausschließlich über die Verwaltungsoberfläche möglich und wird mit handelnder Person und Zeitpunkt protokolliert. Die Lehrkraft sieht jeden solchen Zugriff in ihrem eigenen Protokoll.
- Datenbanken und interne Dienste sind aus dem Internet nicht erreichbar. Eine Firewall lässt nur zu, was ausdrücklich freigegeben ist.
Integrität der Übertragung und Eingabe
- Verbindungen sind immer verschlüsselt. Zertifikate werden automatisch ausgestellt und erneuert, unverschlüsselte Aufrufe leitet examundo auf verschlüsselte um. Browser werden angewiesen, examundo ein Jahr lang nur verschlüsselt aufzurufen.
- Hochgeladene Dateien prüft examundo anhand ihres tatsächlichen Inhalts, nicht anhand der Angaben des Browsers. Nicht passende Dateien werden abgewiesen, für alle Dateitypen gelten Größenbeschränkungen.
- Ausgelieferte Dateien liefert examundo so aus, dass ein Browser sie nicht als Programm ausführt. Alles außer Bildern, Audio und PDF wird als Download ausgeliefert und nicht im Browser dargestellt.
- Audio- und Bildmaterial von Lehrkräften wird nicht öffentlich verlinkt, sondern nur nach Anmeldung an berechtigte Teilnehmerinnen und Teilnehmer ausgeliefert. Wiedergaben werden protokolliert.
- Sicherheits- und bewertungsrelevante Vorgänge werden mit handelnder Person, Zeitpunkt, Aktion, betroffenem Objekt, Vorher- und Nachher-Wert sowie IP-Adresse festgehalten. Erfasst sind unter anderem Anmeldung, Passwortänderung, jede Änderung einer Bewertung, Freigaben sowie Änderungen an Team und Rollen. Jede Lehrkraft sieht die Einträge zu ihrem eigenen Konto. Braucht die Schule Einträge aus ihrem Bereich, etwa zur Aufklärung eines Vorfalls, stellt examundo sie ihr in Textform bereit. IP-Adressen im Protokoll werden nach zwölf Monaten entfernt.
Verfügbarkeit und Belastbarkeit
- Gespiegelt werden die Daten auf mehrere Server, sodass der Ausfall eines Servers den Betrieb nicht unterbricht.
- Gesichert werden alle Daten täglich, verschlüsselt und höchstens 90 Tage lang, wie oben beschrieben. Die Wiederherstellung wird regelmäßig automatisiert getestet.
- Sicherheitsaktualisierungen spielt examundo zeitnah ein und prüft jede Änderung vor der Veröffentlichung automatisch. Auffällige Zugriffe werden gesperrt.
Verantwortlich ist die Schule, examundo verarbeitet in ihrem Auftrag.
Weisungen
Für die Daten der Schülerinnen und Schüler ist die Schule Verantwortliche im Sinne der DSGVO. examundo verarbeitet nach dokumentierten Weisungen. Die Bedienung der Software durch die Lehrkräfte gilt als Weisung, darüber hinausgehende Weisungen erteilen die weisungsberechtigten Personen der Schule in Textform an privacy@examundo.com.
Der Vertrag
Grundlage ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, der als Anlage 1 Bestandteil der AGB ist und mit deren Annahme geschlossen wird. Schulen und Schulträger, die eine unterzeichnete Fassung wünschen, erhalten sie über privacy@examundo.com. Eine Verarbeitung zu eigenen Zwecken, insbesondere zu Werbezwecken, zur Erstellung von Profilen oder zum Training von Modellen der künstlichen Intelligenz, findet nicht statt.
Meldung und Nachweis
Eine Verletzung des Schutzes personenbezogener Daten meldet examundo der Schule unverzüglich nach Bekanntwerden, in Textform an die im Vertrag benannte Kontaktstelle. Die Einhaltung der Pflichten weist examundo auf Anfrage nach, insbesondere durch die Beschreibung der technischen und organisatorischen Maßnahmen; reichen diese Nachweise nicht aus, kann die Schule vor Ort prüfen oder prüfen lassen. Anträge betroffener Personen, die unmittelbar bei examundo eingehen, werden an die Schule weitergeleitet und nicht selbst beantwortet.
Der Anbieter
Verantwortlicher für den eigenen Betrieb, etwa das Lehrkraftkonto, die Abrechnung und die Website, ist die seventynine ventures UG (haftungsbeschränkt), Fuhrmannsgasse 7, 79108 Freiburg im Breisgau. Ansprechstelle für den Datenschutz ist privacy@examundo.com. Zuständige Aufsichtsbehörde ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.
Die Unterlagen zum Herunterladen.
Das Datenschutz-Infoblatt in einfacher Sprache, der Auftragsverarbeitungsvertrag und das Verzeichnis der Verarbeitungstätigkeiten stehen als PDF bereit.
Datenschutz-Infoblatt für Schulen
Eine Seite in einfachen Worten, für Schulleitung, Kollegium, Datenschutzbeauftragte und Eltern.
Auftragsverarbeitungsvertrag
Der Vertrag nach Art. 28 DSGVO mit den technischen und organisatorischen Maßnahmen in Anlage 2.
Verzeichnis der Verarbeitungstätigkeiten
Was examundo im Auftrag der Schule verarbeitet, mit Zwecken, Empfängern und Fristen.
Fragen zum Datenschutz?
Wir antworten in Textform.
Fragen der Datenschutzbeauftragten, Auskunfts- und Löschersuchen sowie Anfragen zum Auftragsverarbeitungsvertrag an privacy@examundo.com, alles Übrige an hello@examundo.com. Verbindlich sind die Datenschutzerklärung und der Auftragsverarbeitungsvertrag.