← Zurück

Klassenstudio

Datenschutzerklärung

Stand: 2026-09-20

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung ist:
Tim Seferagic, BSc (Einzelunternehmen, Marke PearTech)
Rudolf Jungmair-Gasse 2, 4840 Vöcklabruck, Österreich
Telefon: +43 681 81501184
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Art. 37 DSGVO liegen nicht vor. Anfragen zum Datenschutz beantwortet der Inhaber selbst.

1a. Wer ist wofür verantwortlich?

Klassenstudio verarbeitet zwei Arten von Daten, und die Rollen sind dabei unterschiedlich:

  • Deine eigenen Daten. Konto, Anmeldung, Zahlung, Support: Dafür sind wir Verantwortliche im Sinne des Art. 4 Z 7 DSGVO. Was wir damit tun, steht in dieser Erklärung.
  • Die Daten deiner Schüler:innen. Namen, Noten, Einschätzungen, Planungen: Dafür bist du Verantwortliche. Wir verarbeiten sie ausschließlich in deinem Auftrag und nach deinen Weisungen. Es gilt der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, der Anlage zu den AGB ist.

Schließt deine Schule den Vertrag auf Ebene der Schule (freiwillige Schul-Freigabe), tritt die Schulleitung an deine Stelle als Verantwortliche.

Teilst du dir eine Klasse mit einer Kolleg:in (Zusatzplatz nach AGB § 5.4), seid ihr für diese Klasse gemeinsam Verantwortliche nach Art. 26 DSGVO — wir bleiben für euch beide Auftragsverarbeiter. Habt ihr dagegen je eine eigene Klasse (Lehrer-Buddy, AGB § 5.3), ist jede von euch allein für ihre eigene Klasse verantwortlich; eure Konten sind vollständig getrennt.

2. Erhebung beim Aufrufen der Website

Beim Aufrufen unserer Marketing-Seite werden durch den auf Ihrem Endgerät zum Einsatz kommenden Browser automatisch Informationen an unsere Hosting-Infrastruktur (Cloudflare Pages, EU-Edge) gesendet und temporär in Logfiles gespeichert:

  • IP-Adresse (anonymisiert nach 24 Stunden)
  • Datum und Uhrzeit des Zugriffs
  • Name und URL der abgerufenen Datei
  • Referrer-URL
  • Browser, Betriebssystem, Access-Provider

Rechtsgrundlage: berechtigte Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO.
Zweck: Verbindungsaufbau, Stabilität, Sicherheit. Keine Personenbezüge, keine Profile.

3. Daten beim Konto-Anlegen und Nutzen

Wenn du ein Klassenstudio-Konto anlegst, erheben wir folgende Daten:

  • E-Mail-Adresse (zur Authentifizierung per Magic-Link)
  • Optional: Name, Schulstufe

Während der Nutzung speicherst du selbst Daten zu Klassen, Schüler:innen (Name, optional Geburtsdatum, Wohnort und Notfallkontakt), Fächern, Noten, Aufgaben, Terminen und Kompetenzrastern. Diese Daten verwalten wir ausschließlich in deinem Auftrag; sichtbar sind sie nur dir und den von dir eingeladenen Kolleg:innen.

Rechtsgrundlage für deine Konto-Daten: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Für die Daten deiner Schüler:innen benennen wir bewusst keine eigene Rechtsgrundlage: Wir sind dafür nicht Verantwortliche, sondern dein Auftragsverarbeiter (siehe Punkt 1a). Die Rechtsgrundlage bestimmst du als Verantwortliche, in der Regel österreichisches Schulrecht.

4. Speicherort und Auftragsverarbeiter

  • Supabase Inc.. Datenbank, Anmeldung und Dateiablage. Server stehen in Frankfurt. Auftragsverarbeitungsvertrag abgeschlossen.
  • Cloudflare Inc.. Betrieb und Auslieferung der Anwendungen. Ausgeliefert wird von Standorten weltweit, für dich praktisch immer aus Wien oder Frankfurt. Auftragsverarbeitungsvertrag abgeschlossen.
  • netcup GmbH. Mail-Versand (SMTP) für Willkommens-, Einladungs- und System-Mails sowie E-Mail-Hosting. Verarbeitet werden E-Mail-Adresse und Mail-Inhalt; Server-Standort Deutschland (Nürnberg). AV-Vertrag: in Abschluss.
  • Stripe Payments Europe, Ltd.. Abwicklung der Bezahlung und der Jahresrechnungen. Verarbeitet werden Name, E-Mail-Adresse, Rechnungs- und Zahlungsdaten; Vertragspartner sitzt in Irland, Stripe, Inc. in den USA ist Unterauftragsverarbeiter (Standardvertragsklauseln, EU-US Data Privacy Framework). Kartendaten sehen wir nie. Sie werden ausschließlich bei Stripe eingegeben und gespeichert.
  • Google Ireland Ltd. (Google Analytics 4). Messung, über welchen Weg Besucherinnen zu Klassenstudio finden und ob daraus ein Kauf wird — nur, wenn du im Banner ausdrücklich „Ja" gewählt hast. Die Messung läuft auf klassenstudio.at und seit 20.09.2026 auch in der App, damit ein Besuch, der auf der Website beginnt und in der App endet, nicht als zwei zählt. Nicht gemessen werden das Verwaltungs-Backend und der Schul-Bereich. Verarbeitet werden gekürzte IP-Adresse, Gerät, Browser, besuchte Seiten und eine Kennung im Cookie _ga. Google verarbeitet diese Daten auch für eigene Zwecke; deshalb fragen wir getrennt und nicht zusammen mit der Reichweitenmessung. Google ist dabei eigenständig verantwortlich und misst nicht bloß in unserem Auftrag. Google LLC (USA) kann die Daten erhalten (Standardvertragsklauseln, EU-U.S. Data Privacy Framework). Werbe-Personalisierung und Remarketing sind abgeschaltet und bleiben es. Keine Namen von Kindern und keine Klassendaten werden übertragen: Aus jeder Adresse werden die Kennnummern entfernt, bevor sie gemeldet wird, und Seiten, in deren Adresse ein persönlicher Schlüssel steht — Abmeldung, Einladung, Schulfreigabe — werden gar nicht gemessen. Kauft jemand ein Abo, meldet unser Server Betrag und Rechnungsnummer an Google, damit wir sehen, welcher Weg sich lohnt; auch das nur mit deiner Zustimmung.
  • Microsoft Ireland Operations Ltd. (Clarity). Reichweitenmessung auf klassenstudio.at, nur nach deiner Zustimmung und nicht in der App. Verarbeitet werden gekürzte IP-Adresse, Gerät, Browser, besuchte Seiten und eine Aufzeichnung von Klicks, Mausbewegungen und Scrollen; Eingaben in Formularfelder werden ausgeblendet. Microsoft ist dabei eigenständig verantwortlich und verarbeitet die Daten auch für eigene Zwecke — nicht in unserem Auftrag. Deshalb steht der Name im Banner und nicht erst hier. Microsoft Corporation (USA) kann die Daten erhalten (Standardvertragsklauseln, EU-U.S. Data Privacy Framework).
  • Functional Software, Inc. (Sentry). Fehlerberichte, damit Störungen auffallen und behoben werden. Server stehen in Frankfurt. Wer betroffen war, steht nicht drin: E-Mail-Adressen, Namen und Kennnummern von Kindern werden entfernt, bevor ein Bericht das Gerät verlässt. Auftragsverarbeitungsvertrag abgeschlossen.

Verarbeitet ein Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums — etwa bei Backups, Logs oder Support-Zugriffen —, stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) beziehungsweise auf das EU-U.S. Data Privacy Framework (Art. 45 DSGVO).

4a. Was in deinem Browser bleibt

Damit Klassenstudio auch bei schlechtem Schul-WLAN funktioniert, liegt ein kleiner Teil nur auf deinem Gerät und wird nirgendwohin geschickt:

  • Merker für Dinge, die du schon erledigt hast — dass du den AGB zugestimmt hast, dass die Willkommensmail raus ist — und wie du dir die Ansicht eingestellt hast (localStorage)
  • Änderungen an Aufgaben, die du ohne Verbindung gemacht hast und die noch auf die Übertragung warten (IndexedDB). Mehr liegt dort nicht: Klassen und Kinder wurden im Juni 2026 bewusst wieder herausgenommen

Diese Daten verlassen deinen Browser nicht, und jedes Konto hat seinen eigenen Bereich (klassenstudio-<user_id>). Löschst du dein Konto, sind sie ebenfalls weg. Selbst löschen kannst du sie jederzeit in den Einstellungen deines Browsers unter „Website-Daten löschen".

5. Schüler:innen-Daten. Besondere Sorgfalt

Du als Lehrer:in trägst Schüler:innen-Namen, Noten und ggf. weitere Daten ein. Du garantierst dabei, dass du eine rechtliche Grundlage für diese Verarbeitung hast (z.B. durch das österreichische Schulrecht oder durch Einwilligung der Erziehungsberechtigten).

Wir verarbeiten diese Daten ausschließlich in deinem Auftrag. Sie werden niemandem außer dir und deinen explizit eingeladenen Kolleg:innen zugänglich gemacht. Eine Weitergabe an Dritte findet nicht statt.

Klassenstudio hat keine eigenen Felder für Gesundheitsdaten oder andere besondere Datenkategorien (Art. 9 DSGVO). Es gibt aber Freitextfelder — die Notiz zu einem Kind und die Bemerkungen zu Noten, Kompetenzen und Terminen. Bitte trage solche Informationen auch dort nicht ein; wir erinnern dich direkt beim Feld daran.

5a. Bezahlung, Warteliste und Widerruf

Bezahlung: Für die kostenpflichtige Buchung übermitteln wir Name und E-Mail-Adresse an Stripe; Stripe erstellt Rechnung und Beleg. Bei uns bleiben die Kunden-Kennung, der Zahlungsstatus und das Datum, bis zu dem deine Lizenz läuft. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für die Aufbewahrung der Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 132 BAO (sieben Jahre).

Warteliste: Trägst du dich vor dem Start in die Warteliste ein, speichern wir deine E-Mail-Adresse, um dich einmalig über den Start zu informieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), jederzeit widerrufbar per E-Mail an [email protected].

Neuigkeiten zu Klassenstudio: Nutzt du Klassenstudio, schicken wir dir gelegentlich eine E-Mail, wenn es etwas Neues in der App gibt. Dafür verwenden wir deinen Namen und deine E-Mail-Adresse; zusätzlich speichern wir einen zufälligen Schlüssel, mit dem der Abmeldelink in jeder dieser Mails funktioniert, und den Zeitpunkt einer Abmeldung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Direktwerbung für eigene, ähnliche Leistungen) in Verbindung mit § 107 Abs. 3 TKG 2021. Du kannst dem jederzeit widersprechen — über den Abmeldelink am Ende jeder dieser Mails oder per E-Mail an [email protected]. Das betrifft nur diese Neuigkeiten; Rechnungen, den Hinweis vor einer Verlängerung und Antworten auf deine eigenen Anfragen bekommst du weiterhin.

Widerruf: Erklärst du deinen Widerruf über das Widerrufsformular, speichern wir Name, die angegebenen E-Mail-Adressen, eine allfällige Rechnungsnummer, deine Nachricht sowie Datum und Uhrzeit des Eingangs. Wir brauchen das, um dir den Eingang zu bestätigen und den Widerruf nachweisen zu können. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung nach § 13a FAGG) sowie Art. 6 Abs. 1 lit. f DSGVO (Nachweis im Streitfall). Aufbewahrung: drei Jahre ab Eingang.

6. Cookies und Einwilligung

Immer aktiv — technisch notwendig:

  • sb-access-token. Authentifizierung gegen Supabase, ca. 1 Stunde
  • sb-refresh-token. Verlängerung der Session, ca. 30 Tage
  • ks_consent. Merkt sich deine Antwort auf diese Frage, 6 Monate

Für diese unbedingt erforderlichen Cookies ist keine Einwilligung nötig (Art. 6 Abs. 1 lit. f DSGVO, § 165 Abs. 3 TKG 2021).

Nur nach deiner Zustimmung — Statistik:

  • _clck. Microsoft Clarity, wiedererkennende Kennung, 1 Jahr
  • _clsk. Microsoft Clarity, fasst eine Sitzung zusammen, 1 Tag
  • ks_attr. Merkt sich, über welchen Link du hergekommen bist, 90 Tage
  • _ga. Google Analytics, wiedererkennende Kennung, 2 Jahre — nur bei „Ja"

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Ohne sie wird das Skript nicht geladen. Keine Werbe-Cookies.

Warum wir zweimal fragen. Microsoft und Google sind beide eigenständig verantwortlich und verarbeiten die Daten auch für eigene Zwecke — keiner von beiden misst bloß in unserem Auftrag. Das sind zwei verschiedene Empfänger, und deiner Zustimmung zu dem einen soll nicht automatisch die zum anderen folgen. Deshalb nennt der Banner beide, und mit „Nur Microsoft" stimmst du Microsoft zu und lässt Google trotzdem draußen.

Woher du gekommen bist. Mit derselben Zustimmung merken wir uns, über welchen Link du auf unserer Seite gelandet bist — etwa aus einem Beitrag auf Instagram oder aus einer Suche. Legst du danach ein Konto an, wird diese eine Angabe daran gespeichert und bleibt dort; sie hilft uns zu verstehen, wo uns Lehrerinnen finden. Es entsteht dabei kein Profil über dein Verhalten, und weitergegeben wird nichts. Ohne deine Zustimmung wird das Cookie nicht gesetzt, und an einem Konto steht dann nichts. Bestehende Konten sind davon nicht betroffen.

Cloudflare Web Analytics zählt zusätzlich Seitenaufrufe — ohne Cookies und ohne Kennung, daher ohne Einwilligung (Art. 6 Abs. 1 lit. f DSGVO). Aus demselben Grund ohne Einwilligung: eine eigene Tagesstatistik, die nur zählt, wie oft eine Seite über welchen Link aufgerufen wurde. Sie speichert weder deine IP-Adresse noch eine Kennung und lässt sich keiner Person zuordnen (Art. 6 Abs. 1 lit. f DSGVO).

Meinung geändert? Der Widerruf wirkt für die Zukunft (Art. 7 Abs. 3 DSGVO) und löscht auch die Clarity-Cookies:

7. Speicherdauer

  • Account-Daten: solange dein Account besteht
  • Inhalte (Noten, Schüler:innen, …): solange du sie nicht löschst
  • Server-Logs: 24 Stunden
  • Audit-Log (Mutations-Historie): 12 Monate (rolling)
  • Backups: maximal 7 Tage Point-in-Time-Restore
  • Widerrufserklärungen: 3 Jahre ab Eingang
  • Rechnungs- und Zahlungsdaten: 7 Jahre (§ 132 BAO)
  • Warteliste: bis zum Start bzw. bis zu deinem Widerruf

8. Deine Rechte (DSGVO)

Du hast jederzeit Anspruch auf:

  • Auskunft (Art. 15)
  • Berichtigung (Art. 16)
  • Löschung (Art. 17). Self-Service in /einstellungen
  • Einschränkung der Verarbeitung (Art. 18)
  • Datenübertragbarkeit (Art. 20). Export als JSON-Bundle
  • Widerspruch (Art. 21)
  • Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)
  • Beschwerde bei der Österreichischen Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, [email protected]

Schreibe für die Ausübung an [email protected].

9. Änderungen

Wir können diese Erklärung anpassen, wenn sich Datenverarbeitungen oder Rechtslage ändern. Wesentliche Änderungen kündigen wir per E-Mail oder via Banner in der App an.

Impressum
AGB