Datenschutzrichtlinie

Stand: September 2026 · Version 1.0

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:
Sallaberger GmbH
Kleinsteingrub 13, 4731 Prambachkirchen, Österreich
Firmenbuch: FN 383066 h, Landesgericht Wels · UID: ATU67371747
Geschäftsführer: Dipl.-Ing. (FH) Franz Sallaberger
E-Mail: franz@sallaberger.cc

Ein:e Datenschutzbeauftragte:r ist gesetzlich nicht verpflichtend und derzeit nicht bestellt.

2. Welche Daten wir verarbeiten

Lehrkräfte (CoolTeacher)

• Stammdaten: Vor-/Nachname, Schule, E-Mail-Adresse
• Passwort – ausschließlich als kryptografischer Hash gespeichert (nie im Klartext)
• Optional: Profilbild
• Von Ihnen hochgeladene Unterrichts-Skripte (PDF/DOCX/PPTX) und der daraus ausgelesene Text
• Erstellte Fragen, Tests und deren Ergebnisse/Auswertungen

Schüler:innen (CoolStudent)

• Bei Konto: frei wählbarer Anzeigename (ein echter Name ist nicht erforderlich), E-Mail, Passwort (nur als Hash), gewählter Avatar
• Bei login-losen Tests: der beim Start eingegebene Name sowie die abgegebenen Antworten und das Ergebnis
• Übungs- und Testverlauf (Punkte, Fortschritt, Gamification-Stände)

Eltern / Erziehungsberechtigte (CoolStudent)

• Elternkonto: Anzeigename, E-Mail-Adresse, Passwort (nur als Hash)
• Verknüpfung zu einem oder mehreren Kind-Konten (inkl. Zeitpunkt der Verknüpfung)
• Lesender Zugriff auf den Übungs-Fortschritt des verknüpften Kindes (keine benoteten Test-Ergebnisse)
• Kennzeichnung, welcher Elternteil je Kind der zahlende ist (technische Vorbereitung einer künftigen kostenpflichtigen Nutzung – derzeit findet keine Abrechnung statt)

Technische Daten

• Server-Protokolle (z. B. IP-Adresse, Zeitpunkt, aufgerufene Seite) zur Bereitstellung und Absicherung
• Sitzungs-Cookies (siehe Abschnitt Cookies)

3. Zwecke und Rechtsgrundlagen (Art. 6 DSGVO)

• Bereitstellung der Plattform, Konten und Test-/Übungsfunktion – zur Vertragserfüllung (Art. 6 Abs. 1 lit. b).
• Sicherheit, Missbrauchs-/Schummelerkennung, Protokolle sowie die Beschränkung auf eine aktive Sitzung je Konto – berechtigtes Interesse (Art. 6 Abs. 1 lit. f).
• Bei echten Tests: rechnerischer Ähnlichkeitsvergleich der abgegebenen Antworten innerhalb eines Durchgangs (gleiche falsche Antworten werden stärker gewichtet) als Hinweis auf mögliches Abschreiben – nur als Indiz für die Lehrkraft, keine automatische Sanktion – berechtigtes Interesse (Art. 6 Abs. 1 lit. f).
• KI-gestützte Fragengenerierung und Bewertungsvorschläge – zur Vertragserfüllung (Art. 6 Abs. 1 lit. b), da Kernfunktion der Plattform.
• Einwilligung, wo erforderlich (z. B. Zustimmung bei der Registrierung) – Art. 6 Abs. 1 lit. a.

4. KI-gestützte Verarbeitung (wichtig)

Zur automatischen Text-Extraktion aus hochgeladenen Skripten und zur Generierung/Prüfung von Fragen übermitteln wir die betreffenden Skript-Inhalte und Aufgabentexte an unseren KI-Dienstleister OpenAI (OpenAI, L.L.C., USA) als Auftragsverarbeiter. Dabei findet eine Übermittlung in die USA (Drittland) statt. Grundlage sind ein Auftragsverarbeitungsvertrag sowie geeignete Garantien (Standardvertragsklauseln der EU-Kommission (SCC) gemäß OpenAI-Auftragsverarbeitungsvertrag – Status bestätigen). Bitte laden Sie keine personenbezogenen Daten Dritter in Skripte hoch, die nicht für die Fragenerstellung nötig sind.

Bei den Fragetypen Kurzantwort und Offene Frage übermitteln wir zusätzlich die Freitext-Antworten der Schüler:innen (samt Fragestellung und Musterlösung) an OpenAI, um der Lehrkraft einen Bewertungsvorschlag zu erstellen. Die endgültige Benotung trifft immer die Lehrkraft.

5. Empfänger / Auftragsverarbeiter

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist:

• Konten (Lehrkräfte, Schüler:innen, Eltern) samt zugehöriger Inhalte: bis zur Löschung durch die Nutzer:innen; inaktive Konten werden nach 24 Monaten ohne Anmeldung gelöscht.
• Hochgeladene Skripte, erzeugte Fragen, Tests und Ergebnisse: bis zur Löschung durch die Lehrkraft bzw. mit dem zugehörigen Konto.
• Login-lose Test-Teilnahmen (eingegebener Name + Antworten): bis zur Löschung des Durchgangs durch die Lehrkraft, längstens 12 Monate.
• Server-Protokolle: 14 Tage.
• Passwort-Reset-Token: 2 Stunden; E-Mail-Bestätigungs-Token: bis zur Bestätigung.

Gesetzliche Aufbewahrungspflichten (z. B. steuer-/handelsrechtlich ab einem kostenpflichtigen Angebot) bleiben unberührt.

7. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies: das Sitzungs-Cookie für die Anmeldung (getrennt für den Lehrer- und den Schüler-/Elternbereich, HttpOnly), ggf. ein Cookie für den Beta-Zugang sowie – während eines login-losen Tests – ein kurzlebiges Fortsetzungs-Cookie, damit ein begonnener Test nach einem Neuladen fortgesetzt werden kann. Es findet kein Tracking und keine Werbe-/Analyse-Cookies statt.

8. Minderjährige

CoolStudent richtet sich auch an Schüler:innen. Für die Einwilligung in Online-Dienste gilt in Österreich das vollendete 14. Lebensjahr (§ 4 Abs. 4 DSG); bei jüngeren Kindern ist die Zustimmung der Erziehungsberechtigten erforderlich.

Für den Elternzugang gilt: Erziehungsberechtigte können ein eigenes Elternkonto anlegen und damit den Übungs-Fortschritt ihres Kindes einsehen. Die Verknüpfung entsteht entweder, indem das Elternteil selbst ein Kind-Konto anlegt, oder indem das Kind in seinem Profil einen Verknüpfungscode erzeugt, den das Elternteil einlöst. Die Verknüpfung ist jederzeit widerrufbar – vom Kind im eigenen Profil und vom Elternteil im Elternkonto. Elternteile sehen ausschließlich den Übungs-Fortschritt der mit ihnen verknüpften Kinder, keine anonym im Klassenverband abgelegten benoteten Tests.

9. Automatisierte Bewertung

Fragen können durch die KI erzeugt und Antworten automatisiert ausgewertet werden. Die pädagogische Kontrolle liegt bei der Lehrkraft: KI-Fragen erscheinen zunächst als Entwurf und werden von der Lehrkraft geprüft/freigegeben, die finale Notengebung obliegt der Lehrkraft. Eine ausschließlich automatisierte Einzelentscheidung mit rechtlicher Wirkung i. S. d. Art. 22 DSGVO findet dadurch nicht statt.

10. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen. Wenden Sie sich dazu an die oben genannte Kontaktadresse.

Konto löschen: Die Löschung Ihres Kontos samt zugehöriger Daten können Sie jederzeit über das Formular Konto löschen beantragen.

Zudem haben Sie ein Beschwerderecht bei der Aufsichtsbehörde: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.