Leuchtturm AkademieZur App

ENTWURF – zur Prüfung durch eine Fachperson (Datenschutz/Recht). Stand: 16.10.2026. Nicht veröffentlichen, bevor Tobias und Miriam freigegeben haben und die Prüfung erfolgt ist. Platzhalter in eckigen Klammern [ ] müssen vor Veröffentlichung gefüllt oder gestrichen werden.

Datenschutzerklärung für den Werkzeugkoffer (team.leuchtturmakademie.de)

Diese Erklärung gilt für die Web-App „Werkzeugkoffer“ unter https://team.leuchtturmakademie.de. Für unsere Website www.leuchtturmakademie.de gilt die dortige Datenschutzerklärung: https://www.leuchtturmakademie.de/privacy-policy/

Kurz zusammengefasst

Verantwortliche

Verantwortlich für die Verarbeitung Ihrer Konto- und Teamdaten ist:

Miriam Steimer – MutigMacher (Einzelunternehmen), Leuchtturm Akademie [Firmierung für die App prüfen] Radolfzeller Str. 121 78467 Konstanz Deutschland E-Mail: m.steimer@leuchtturmakademie.de Telefon: [Telefonnummer ergänzen]

(Angaben laut Impressum, https://www.leuchtturmakademie.de/impressum/, abgerufen am 16.10.2026.)

Datenschutzbeauftragte/r: [Prüfen, ob eine Benennungspflicht besteht (Art. 37 DSGVO, § 38 BDSG). Falls nein: Abschnitt streichen oder „Wir haben keine/n Datenschutzbeauftragte/n benannt, weil keine Pflicht besteht.“]

Wer wofür verantwortlich ist

In der App gibt es zwei Arten von Daten, und dafür sind unterschiedliche Stellen verantwortlich:

  1. Konto- und Teamdaten (Name, E-Mail-Adresse, Anmeldung, Teams, Rollen, Einladungen, Sicherheitsdaten): Hier sind wir, die Leuchtturm Akademie, Verantwortliche im Sinne der DSGVO.
  2. Inhalte der Dokumente (was Sie in die Leitfäden für Elterngespräche, Teamvereinbarungen und den Gruppenrat schreiben): Hier ist die Einrichtung bzw. ihr Träger verantwortlich, für die das Team arbeitet. Wir verarbeiten diese Inhalte nur in deren Auftrag nach Art. 28 DSGVO (Auftragsverarbeitung). Wir nutzen sie nicht für eigene Zwecke und sehen sie nicht ein.

Wenn Sie als Elternteil oder als betroffene Person Fragen zu Angaben in einem Dokument haben, wenden Sie sich bitte an die Einrichtung bzw. deren Träger. Wenn Sie sich an uns wenden, leiten wir Ihre Anfrage an die zuständige Einrichtung weiter, soweit wir sie zuordnen können.

Konto und Anmeldung

Welche Daten: Name, E-Mail-Adresse, ob die E-Mail-Adresse bestätigt ist, Zeitpunkte von Anlage und Änderung. Wenn Sie ein Passwort nutzen: das Passwort nur in verschlüsselter Form (als sogenannter Hash; wir können Ihr Passwort nicht lesen).

Wie Sie sich anmelden:

Für Anmeldelinks, E-Mail-Bestätigung und Passwort-Zurücksetzen speichern wir kurzlebige Einmal-Codes.

Zweck: Ihnen ein Konto bereitstellen und Sie sicher anmelden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag über die App). [Prüfen: Ist die Nutzung kostenlos oder Teil eines Vertrags mit der Einrichtung? Ggf. anpassen.]

Sitzung und Sicherheit

Welche Daten: Wenn Sie angemeldet sind, speichern wir eine Sitzung mit einem zufälligen Sitzungscode, dem Ablaufdatum (30 Tage), Ihrer IP-Adresse, der Kennung Ihres Browsers (User-Agent) und dem Team, das Sie gerade geöffnet haben.

Zum Schutz vor Missbrauch (z. B. massenhafte Anmeldeversuche) zählen wir Anfragen je IP-Adresse und Funktion für kurze Zeit (Rate Limiting).

Zweck: Sicherheit der App, Erkennen und Abwehren von Missbrauch, Nachvollziehen von Anmeldungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere Betrieb der App und der Schutz der Konten und Teamdaten.

Teams Rollen und Einladungen

Jede Person mit bestätigtem Konto kann ein Team anlegen und ist dann Teamleitung. Im Team gibt es drei Rollen:

Welche Daten: Teamname, wer in welchem Team mit welcher Rolle ist. Bei Einladungen: E-Mail-Adresse der eingeladenen Person, vorgesehene Rolle, Status, Ablaufdatum (7 Tage) und wer eingeladen hat.

Wenn Sie eingeladen wurden: Ihre E-Mail-Adresse hat uns ein Teammitglied gegeben, damit wir Ihnen die Einladung schicken. Nehmen Sie die Einladung nicht an, löschen wir sie 30 Tage nach Ablauf.

Zweck: Zusammenarbeit im Team, Zugriffsrechte steuern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Mitglieder. Für Einladungen an Personen, die noch kein Konto haben: Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, dass Teams ihre Kolleginnen und Kollegen einfach einladen können.

Dokumente im Team

In den Leitfäden bereiten Sie Elterngespräche, Teamvereinbarungen (Regeln und Konsequenzen) und den Gruppenrat vor. Diese Inhalte speichern wir je Team, zusammen mit „angelegt von“, „zuletzt geändert von“ und Zeitpunkten.

Was die Leuchtturm Akademie sieht

Für Betreuung und Weiterentwicklung der App sehen wir nur Kennzahlen je Team: Teamname, Zahl der Mitglieder, Zahl der Dokumente, Zeitpunkt der letzten Aktivität und die E-Mail-Adresse der Teamleitung. Inhalte von Dokumenten sehen wir nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, die App zu betreuen, Teams bei Fragen zu unterstützen und zu verstehen, welche Leitfäden genutzt werden. [Prüfen: ob die E-Mail der Teamleitung auch für Hinweise zu Fortbildungen genutzt werden soll. Wenn ja, eigene Rechtsgrundlage und Hinweis nötig; Werbung nur mit Einwilligung bzw. nach § 7 Abs. 3 UWG.]

E-Mails aus der App

Die App verschickt nur E-Mails, die für die Nutzung nötig sind: Anmeldelinks, Bestätigung der E-Mail-Adresse, Passwort zurücksetzen, Einladungen und den Hinweis vor Löschung eines inaktiven Kontos. Absender ist „Leuchtturm Akademie“ m.steimer@leuchtturmakademie.de. Wir verschicken keine Newsletter über die App.

Für den Versand nutzen wir Brevo (Sendinblue GmbH, Köhlstraße 27, 50827 Köln) über deren Schnittstelle für Transaktions-E-Mails. An Brevo übermittelt werden: Ihre E-Mail-Adresse, der Betreff und der Inhalt der E-Mail. Der Inhalt enthält den jeweiligen Anmelde-, Bestätigungs-, Passwort- oder Einladungslink; Einladungen enthalten außerdem den Teamnamen und den Namen der einladenden Person. Inhalte von Dokumenten werden nie per E-Mail verschickt.

Brevo speichert seine Daten nach eigener Angabe auf Servern in der EU (eigene Server bei OVH in Frankreich und Deutschland, Google Cloud in Belgien; Quelle: https://help.brevo.com/hc/en-us/articles/360001005510-Data-storage-location, abgerufen 16.10.2026). Brevo protokolliert, wann eine E-Mail versendet und zugestellt wurde. Diese Protokolle löschen wir nach [Frist, mindestens 1 Monat] automatisch (Einstellung „Retention rules“ in Brevo). Den Inhalt der E-Mails lässt Brevo nicht als Vorschau speichern [Einstellung „Never store previews“ prüfen].

Brevo misst standardmäßig, ob eine E-Mail geöffnet und ob ein Link angeklickt wurde. Dafür wird ein Zählpixel eingefügt und Links werden über einen Brevo-Server umgeleitet. Wir haben diese Messung für Transaktions-E-Mails anonymisiert, sodass sie keiner Person zugeordnet wird [nach Umsetzung in Brevo bestätigen]. [Prüfen: Ob Brevo die Messung für unser Konto ganz abschaltet (laut Brevo-Forum nur auf Anfrage); Text danach anpassen.] Wir werten diese Daten nicht aus.

Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung. [Laut bestehendem Entwurf zur Website-Datenschutzerklärung, bitte bestätigen.] Datenschutzerklärung von Brevo: https://www.brevo.com/de/legal/privacypolicy/

Rechtsgrundlage: wie beim jeweiligen Zweck (Konto: Art. 6 Abs. 1 lit. b DSGVO; Einladung: Art. 6 Abs. 1 lit. f DSGVO).

Cookies und Speicher im Browser

Wir setzen nur Cookies, die für die Anmeldung technisch nötig sind:

Beide Cookies sind als „Secure“ (nur über verschlüsselte Verbindung) und „HttpOnly“ (für Skripte nicht lesbar) gesetzt.

Während der Anmeldung über eine Einladung legen wir den Einladungscode kurz im Sitzungsspeicher Ihres Browsers (sessionStorage) ab. Er verschwindet, wenn Sie den Tab schließen.

Für diese Speicherungen brauchen wir keine Einwilligung, weil sie unbedingt erforderlich sind, damit die App funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG). Die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b und f DSGVO.

Kein Tracking: Die App nutzt keine Analyse-, Werbe- oder Tracking-Dienste und bindet keine Inhalte von Drittanbietern ein. Schriften und Programmbibliotheken liefern wir selbst aus. (Zur Messung von Öffnungen und Klicks in E-Mails durch Brevo siehe „E-Mails aus der App“.)

Fehlerprotokolle

Damit wir Fehler finden und beheben können, schreibt die App technische Protokolle (Cloudflare Workers Logs). Darin können stehen: Zeitpunkt, aufgerufene Adresse, Browserkennung und Fehlermeldungen. E-Mail-Adressen und Inhalte von Dokumenten schreiben wir nicht in Protokolle.

Cloudflare bewahrt diese Protokolle 3 Tage auf (Tarif Workers Free; Quelle: https://developers.cloudflare.com/workers/observability/logs/workers-logs/, abgerufen 16.10.2026). Bei einem Wechsel auf den Tarif Workers Paid wären es 7 Tage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und fehlerfreier Betrieb).

Dienstleister

Wir betreiben die App bei Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Vertragspartner laut Cloudflare Self-Serve Subscription Agreement, Abschnitt 20, https://www.cloudflare.com/terms/), im Tarif Workers Free. Wir nutzen:

Für den E-Mail-Versand nutzen wir Brevo (Sendinblue GmbH, Köln; siehe „E-Mails aus der App“).

Cloudflare arbeitet für uns als Auftragsverarbeiter auf Grundlage des Cloudflare Data Processing Addendum (https://www.cloudflare.com/cloudflare-customer-dpa/), das Bestandteil der Vertragsbedingungen ist. Cloudflare setzt eigene Unterauftragsverarbeiter ein (Liste: https://www.cloudflare.com/gdpr/subprocessors/cloudflare-services/).

Übermittlung in die USA: Cloudflare, Inc. sitzt in den USA. Auch wenn die Datenbank in der EU liegt, kann Cloudflare (z. B. für Support oder den Betrieb des Netzwerks) Daten außerhalb der EU verarbeiten. Cloudflare ist nach eigener Angabe unter dem EU-US Data Privacy Framework zertifiziert (https://www.cloudflare.com/privacypolicy/, Abschnitt 7). Die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO); ergänzend sieht das Cloudflare-DPA EU-Standardvertragsklauseln vor. [Vor Veröffentlichung Zertifizierung auf https://www.dataprivacyframework.gov/list prüfen.]

Speicherdauer und Löschung

Sicherungskopien: Cloudflare hält für die Datenbank automatisch eine Wiederherstellungsmöglichkeit (Time Travel) vor, mit der sich der Stand der letzten 7 Tage wiederherstellen lässt (Tarif Workers Free); die Funktion ist immer aktiv (Quelle: https://developers.cloudflare.com/d1/reference/time-travel/). Gelöschte Daten können daher bis zu 7 Tage in dieser Sicherung enthalten sein. Bei einem Wechsel auf Workers Paid wären es 30 Tage. Wir nutzen sie nur, um nach einem technischen Fehler wiederherzustellen.

Ihre Daten herunterladen

Sie können in der App jederzeit Ihre Daten herunterladen: Ihr Profil, Ihre Mitgliedschaften und die Dokumente, die Sie angelegt haben, als JSON-Datei.

Ihre Rechte

Sie haben das Recht auf

Schreiben Sie uns dafür an m.steimer@leuchtturmakademie.de. Vieles können Sie auch direkt in der App erledigen (Name ändern, Daten herunterladen, Konto löschen).

Betreffen Ihre Fragen Inhalte von Dokumenten (z. B. als Elternteil), ist die Einrichtung bzw. ihr Träger zuständig. Wir unterstützen sie dabei.

Pflicht zur Angabe

Sie müssen uns keine Daten geben. Ohne E-Mail-Adresse können Sie die App aber nicht nutzen. Ihren Namen brauchen wir, damit Ihr Team Sie erkennt. [Prüfen: Ist der Name ein Pflichtfeld?]

Keine automatisierten Entscheidungen

Wir treffen keine automatisierten Entscheidungen und erstellen keine Profile im Sinne von Art. 22 DSGVO.

Änderungen

Wenn sich die App oder die Rechtslage ändert, passen wir diese Erklärung an. Die aktuelle Fassung steht immer unter [URL der Seite in der App, z. B. https://team.leuchtturmakademie.de/datenschutz].

Stand: [Datum der Veröffentlichung]