Datenschutzhinweise

1. Verantwortlicher und Kontakt

Für alle Fragen und Anliegen zum Datenschutz kannst du den oben genannten Kontakt nutzen.

2. Kurz gesagt

• PolyBits verarbeitet die Daten, die für dein Konto, deinen Lernfortschritt und die Sicherheit des Dienstes nötig sind.
• Es gibt keine Werbung, keinen Verkauf von Daten und kein Marketing- oder Verhaltens-Tracking. Die Anwendung lädt keine Skripte, Schriften oder Analysedienste von Dritten – alles wird vom PolyBits-Server ausgeliefert.
• Lernanalysen dienen ausschließlich der Verbesserung der Lerninhalte; Exporte verwenden einen pseudonymen Lernenden-Schlüssel statt Namen oder E-Mail-Adressen.
• Du kannst deine Daten jederzeit herunterladen und die Löschung deines Kontos beantragen – auf deiner Profilseite.

3. Hosting und Server-Protokolle

Wenn du PolyBits aufrufst, verarbeitet der Webserver technische Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge und Browserkennung (User-Agent). Das ist nötig, um die Seiten auszuliefern und Angriffe zu erkennen und abzuwehren. Das Zugriffsprotokoll des Reverse-Proxys wird rotiert und nach höchstens 7 Tagen gelöscht.

Öffentlicher Einstieg und Einladungspasswort: Die Startseite und das Einladungsformular verarbeiten dieselben technischen Verbindungsdaten. Das eingegebene Einladungspasswort wird mit einem gespeicherten Einweg-Hash verglichen und weder gespeichert noch protokolliert. Um Rateversuche zu bremsen, werden Versuche je IP-Adresse 15 Minuten lang im Arbeitsspeicher des Servers gezählt – nicht in der Datenbank. Nach einer richtigen Eingabe erhält dein Browser für die Adresse der Lernanwendung das Cookie polybits_gate (HttpOnly). Es enthält nur einen Ablaufzeitpunkt und eine technische Signatur, keine personenbezogenen Daten, und läuft nach 24 Stunden ab.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionierenden Dienst).

4. Registrierung, Freigabe und dein Konto

Für die Registrierung gibst du einen Benutzernamen, eine E-Mail-Adresse und ein Passwort an. Optional kannst du im Profil Vor- und Nachnamen ergänzen und die Sprache wählen. Das Passwort wird nie gespeichert – nur ein gesalzener Einweg-Hash (Argon2id).

Jedes neue Konto wartet auf die Freigabe durch einen Superadministrator. Gespeichert werden der Kontostatus (wartend, aktiv, abgelehnt, gesperrt), die Rolle und ein Verlauf der Freigabeentscheidungen mit entscheidender Person, Zeitpunkt und optionaler Notiz.

Zweck: Bereitstellung des Lernangebots, für das du dich registriert hast, und die Entscheidung, wer am begrenzten Pilotbetrieb teilnimmt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Ohne Benutzername, E-Mail-Adresse und Passwort kann kein Konto angelegt werden; eine sonstige Pflicht zur Angabe von Daten besteht nicht.

Prüfpunkt für den Betreiber: Art. 6 Abs. 1 lit. b als Grundlage des Nutzungsverhältnisses eines kostenlosen Piloten bestätigen (Alternative: Einwilligung, lit. a).

5. Anmeldung, Sitzungen und Speicher im Browser

Bei der Anmeldung wird ein für den Dienst unbedingt erforderliches Cookie gesetzt (plastx_session, HttpOnly). Auf dem Server speichern wir einen Hash davon zusammen mit Erstellungs- und letztem Nutzungszeitpunkt, IP-Adresse und Browserkennung. Eine Sitzung endet mit der Abmeldung oder nach 14 Tagen ohne Nutzung; abgelaufene Sitzungen werden automatisch gelöscht.

Im lokalen Speicher des Browsers liegen Oberflächeneinstellungen (etwa Sprache und Filter) nur auf deinem Gerät; sie werden an niemanden übertragen.

Wenn du PolyBits auf deinem Gerät installierst („PolyBits installieren“), speichern Browser oder Betriebssystem Namen und Symbol der App. PolyBits nutzt keinen Service Worker und legt keine Offline-Kopie von Seiten oder deinen Daten an; die installierte App lädt alles wie die Website vom Server.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderliche Speicherung für einen gewünschten Dienst) und Art. 6 Abs. 1 lit. b DSGVO. Ein Einwilligungsbanner gibt es nicht, weil PolyBits darüber hinaus keine Cookies oder Speicher nutzt – abgesehen vom in Abschnitt 3 beschriebenen Einladungs-Cookie.

6. Lernfortschritt, Antworten und Kompetenzen

Während du lernst, speichert PolyBits deine Lektionsdurchläufe und Trainingslager-Einheiten, jede Antwort (die Antwort selbst, ob sie richtig war, erster oder zweiter Versuch, Zeitpunkt und Sprache), die daraus abgeleiteten Erfahrungspunkte, Sterne, Serientage und Erfolge sowie deinen Kompetenzstand.

Zweck: Anzeige deines Fortschritts, Freischalten von Pfaden und Lektionen und Auswahl von Übungsfragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Challenger Board (freiwillig): Du erscheinst nur in der Rangliste, wenn du das wählst – im Dialog vor dem Absenden der Registrierung oder später im Profil. Ohne diese Wahl wirst du nicht angezeigt. Teilnehmende werden anderen freigegebenen Lernenden mit Benutzername, XP, Serie und Zahl der abgeschlossenen Lektionen angezeigt. Du kannst das Board im Profil jederzeit verlassen; dein Fortschritt bleibt unberührt. Rechtsgrundlage für das Board: Art. 6 Abs. 1 lit. a DSGVO (deine jederzeit widerrufliche Einwilligung).

Prüfpunkt für den Betreiber: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) als Grundlage des freiwilligen Challenger Boards bestätigen.

7. Meldungen zu Fragen

Wenn du eine Frage meldest, speichern wir die Frage, die Kategorie, deinen optionalen Kommentar, den Zeitpunkt und dein Konto. Superadministratoren sehen, wer eine Frage gemeldet hat, um Rückfragen stellen zu können; Fachadministratoren sehen den Inhalt der Meldung ohne deine Identität.

Zweck: Korrektur von Lerninhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an korrekten Inhalten).

8. Lernanalysen

Superadministratoren sehen zusammengefasste Statistiken dazu, wie Fragen abschneiden (etwa den Anteil richtiger Erstantworten), um unklare oder fehlerhafte Fragen zu finden. Die Statistiken werden aus den oben beschriebenen Lerndaten berechnet – ein gesondertes Tracking gibt es nicht.

Exporte für vertiefte Auswertungen ersetzen deine Identität durch einen zufälligen Lernenden-Schlüssel. Das ist Pseudonymisierung, keine Anonymisierung: Der Betreiber könnte den Schlüssel über die Datenbank deinem Konto zuordnen; die Exporte bleiben daher personenbezogene Daten und werden entsprechend sorgfältig behandelt.

Die Analysen dienen ausschließlich der Verbesserung der Lerninhalte – nicht der Werbung, nicht kommerzieller Profilbildung und nicht Entscheidungen über dich. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung der Lerninhalte). Du kannst jederzeit widersprechen (siehe Abschnitt „Deine Rechte“).

Prüfpunkt für den Betreiber: Berechtigtes Interesse als Grundlage der Inhaltsanalysen bestätigen und die Interessenabwägung dokumentieren.

9. Sicherheitsprotokolle

PolyBits führt ein Prüfprotokoll sicherheitsrelevanter Ereignisse: Anmeldungen und fehlgeschlagene Anmeldeversuche (mit dem eingegebenen Bezeichner und der IP-Adresse), Passwortänderungen und -zurücksetzungen sowie administrative Entscheidungen (Freigaben, Rollenänderungen, Inhaltsentscheidungen). Einträge zu fehlgeschlagenen Anmeldungen und gespeicherte IP-Adressen werden nach 90 Tagen automatisch gelöscht. Einträge zu administrativen Entscheidungen werden zur Nachvollziehbarkeit für die Dauer des Pilotbetriebs aufbewahrt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes, Nachvollziehbarkeit administrativer Entscheidungen).

Prüfpunkt für den Betreiber: Aufbewahrung der Einträge zu administrativen Entscheidungen bestätigen (Vorschlag: Dauer des Pilotbetriebs, danach Überprüfung).

10. Passwort-Wiederherstellung

Wenn du dein Passwort vergessen hast, kannst du eine Anfrage stellen. Sie wird nur gespeichert, wenn sie zu einem Konto passt – zusammen mit Zeitpunkt, Anzahl der Anfragen, Sprache und IP-Adresse. Ein Superadministrator prüft die Anfrage und stellt einen Einmal-Link aus, der 24 Stunden gültig ist; gespeichert wird nur ein Hash des Links. Abgeschlossene Anfragen werden nach der Aufbewahrungsfrist der Sicherheitsprotokolle gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Empfänger

Deine Daten werden nicht verkauft und nicht für Werbung weitergegeben. Innerhalb von PolyBits sehen Lernende nur das Challenger Board (mit den Teilnehmenden, die dort erscheinen möchten), Fachadministratoren sehen Frageinhalte und anonyme Meldungsinhalte, Superadministratoren sehen Konto- und Moderationsdaten wie oben beschrieben.

Dienstleister verarbeiten Daten im Auftrag des Betreibers auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO): der Hosting-Anbieter. Sie dürfen die Daten nur zur Erbringung ihrer Leistung nutzen. Eine Übermittlung in Länder außerhalb der EU/des EWR ist nicht vorgesehen.

Prüfpunkt für den Betreiber: Auftragsverarbeitungsvertrag mit dem Hosting-Anbieter (und ggf. dem E-Mail-Dienstleister) abschließen und bestätigen, dass keine Drittlandübermittlung stattfindet.

Speicherdauer

Konto und Profil

Solange das Konto besteht. Auf Löschantrag wird das Konto anonymisiert.

Lerndaten (Durchläufe, Antworten, Erfolge)

Solange das Konto besteht; nach der Anonymisierung bleiben sie ohne Bezug zu dir für zusammengefasste Statistiken erhalten.

Sitzungen

Bis zur Abmeldung oder 14 Tage ohne Nutzung.

Einladungs-Cookie (auf deinem Gerät)

24 Stunden.

Fehlgeschlagene Anmeldungen, IP-Adressen in Sicherheitsprotokollen

90 Tage.

Einträge zu administrativen Entscheidungen

Für die Dauer des Pilotbetriebs.

Anfragen zur Passwort-Wiederherstellung

Offene Anfragen bis zur Bearbeitung; abgeschlossene 90 Tage.

Zugriffsprotokoll des Reverse-Proxys

7 Tage.

Abgelehnte Registrierungen

Bis zur Anonymisierung durch einen Superadministrator; eine feste Frist ist noch festzulegen.

Datenbanksicherungen

Verschlüsselt; sie werden nach der eingestellten Aufbewahrungsdauer überschrieben (Vorschlag: 30 Tage), danach sind gelöschte Daten auch aus den Sicherungen entfernt.

Prüfpunkt für den Betreiber: Frist für abgelehnte Registrierungen und Aufbewahrungsdauer der Sicherungen festlegen; Tabelle entsprechend anpassen.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und auf Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).

In PolyBits kannst du auf deiner Profilseite alle zu deinem Konto gespeicherten Daten als Datei herunterladen, deine Profildaten berichtigen und die Löschung deines Kontos beantragen. Für alles andere nutze den Kontakt aus Abschnitt 1.

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem EU-Mitgliedstaat deines Aufenthaltsorts oder Arbeitsplatzes.