Datenschutz

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung von SchulMessenger (Web-App, iOS- und Android-App) sowie dieser Website.

1. Verantwortlichkeit – wer ist wofür zuständig?

Wer datenschutzrechtlich verantwortlich ist, hängt vom Einsatzszenario ab:

• Einsatz an einer Schule (über Schullizenz oder über ein Landesportal/VIDIS): Hier ist die jeweilige Schule bzw. ihr Schulträger die verantwortliche Stelle im Sinne der DSGVO. Die SchulMessenger UG verarbeitet die Daten der Schülerinnen und Schüler, Lehrkräfte und Erziehungsberechtigten ausschließlich im Auftrag und nach Weisung der Schule auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).
• Diese Website sowie der Vertrag mit der Schule/dem Träger: Hierfür ist die SchulMessenger UG selbst verantwortlich.

Für Auskünfte zu Daten, die im schulischen Einsatz verarbeitet werden, wenden Sie sich bitte zunächst an Ihre Schule als verantwortliche Stelle. Wir unterstützen die Schule bei der Erfüllung Ihrer Rechte.

2. Ansprechpartner für Datenschutz

Ein Datenschutzbeauftragter ist gesetzlich derzeit nicht zu benennen. Für Fragen zum Datenschutz steht Ihnen folgender Ansprechpartner zur Verfügung:

3. Wie SchulMessenger betrieben wird (zwei Modelle)

SchulMessenger nutzt das offene Matrix-Protokoll. Die Übertragung zwischen App und Server ist durchgehend verschlüsselt (TLS). Eine Ende-zu-Ende-Verschlüsselung setzen wir bewusst nicht ein: Schulen müssen ihrer Aufsichtspflicht nachkommen und Inhalte moderieren können, und bei einem Wechsel der Instanz bleibt der Verlauf so erhalten. Die Betreiberin der jeweiligen Instanz kann Inhalte technisch einsehen; im schulischen Einsatz ist das durch den Auftragsverarbeitungsvertrag geregelt. Wo die Nachrichten gespeichert werden, hängt vom gewählten Modell ab:

• Modell A – Schule mit eigener Infrastruktur (z. B. IServ): Die App ist reiner Client. Nachrichten und Inhalte werden auf den Servern der Schule verarbeitet; die SchulMessenger UG betreibt hierfür keinen eigenen Server.
• Modell B – von SchulMessenger betriebener Server: Für Schulen/Träger ohne eigene Infrastruktur betreibt die SchulMessenger UG die Server (Matrix/Synapse, Anmeldung, Push) auf Infrastruktur der Hetzner Online GmbH, Rechenzentrum Nürnberg (Deutschland/EU). In diesem Fall ist die SchulMessenger UG Auftragsverarbeiterin der Schule.

4. Verarbeitete Daten, Zwecke und Rechtsgrundlagen

4.1 Anmeldung über Landesportal/VIDIS oder Schulkonto

Bei der Anmeldung über ein Landesportal/VIDIS (OpenID Connect) bzw. ein Schulkonto werden – datensparsam – folgende Daten übermittelt und verarbeitet:

Daten	Zweck
Pseudonym (eindeutige Kennung)	Anmeldung, dauerhafter Chatzugang
Rolle (Lehrkraft / Schüler:in / Erziehungsberechtigte:r)	rollengerechte Berechtigungen
Schulnummer	Zuordnung zur richtigen Schule/Lizenz
Name/Vorname (Lehrkräfte) bzw. Akronym (Schüler:innen)	Anzeige des Gesprächspartners
Gruppen-/Klassendaten	automatische Bereitstellung von Kurs-/Klassenräumen

Rechtsgrundlage: Im schulischen Einsatz erfolgt die Verarbeitung durch die Schule zur Wahrnehmung ihrer Aufgaben (Art. 6 Abs. 1 lit. e DSGVO i. V. m. dem jeweiligen Landesschulrecht); die SchulMessenger UG handelt als Auftragsverarbeiterin (Art. 28 DSGVO). Eine Einwilligung von Schülerinnen und Schülern wird nicht eingeholt.

4.2 Kommunikation (Nachrichten und Medien)

Nachrichten, Dateianhänge und zugehörige Metadaten (Zeitstempel, Raum-/Thread-Zuordnung, Zustell-/Lesestatus) werden zur Bereitstellung der Messenger-Funktion verarbeitet. Die Übertragung erfolgt verschlüsselt (TLS); gespeichert werden die Inhalte auf dem Server der jeweiligen Instanz. Eine Ende-zu-Ende-Verschlüsselung setzen wir bewusst nicht ein (siehe Abschnitt 3) — die Betreiberin der Instanz kann Inhalte technisch einsehen. Eine inhaltliche Auswertung findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. e bzw. lit. b DSGVO (im AV-Verhältnis).

4.3 Push-Benachrichtigungen (optional)

Zur Zustellung von Benachrichtigungen werden Push-Token verarbeitet. Bei der App-Variante kommen die Push-Dienste von Apple (APNS, iOS) bzw. Google (FCM, Android) zum Einsatz. An diese Dienste werden ausschließlich technische Zustellinformationen übermittelt – keine Nachrichteninhalte.

4.4 Standortfunktion (optional)

Sofern aktiviert, kann ein Standort in einem Chat geteilt werden; zur Kartendarstellung werden Apple- bzw. Google-Kartendienste genutzt. Die Funktion ist optional und kann deaktiviert werden; für Schülerinnen und Schüler ist sie standardmäßig deaktiviert.

5. Empfänger / Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Auftragsverarbeiter ein (AVV nach Art. 28 DSGVO):

Dienstleister	Zweck	Standort
Hetzner Online GmbH	Hosting der Server (Modell B), Push-Gateway	Deutschland (EU)
Apple Inc.	Push iOS (APNS) – nur bei iOS-Nutzung	EU/USA
Google LLC	Push Android (FCM) – nur bei Android-Nutzung	EU/USA
Apple Inc. / Google LLC	Kartendienst – nur bei aktiver Standortfunktion	EU/USA

Drittlandübermittlung: Der Regelbetrieb (Hetzner) findet in Deutschland statt. Für die optionalen Push- und Kartendienste von Apple/Google kann eine Übermittlung in die USA erfolgen. Diese stützt sich auf die EU-Standardvertragsklauseln (Art. 46 DSGVO) nebst ergänzenden Maßnahmen; übermittelt werden nur die dafür technisch erforderlichen Daten.

6. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Wesentliche Fristen:

• Nachrichten/Medien: nach Vorgabe der Schule (verantwortliche Stelle)
• Sitzungsdaten: bis zum Logout/Sitzungsablauf
• Schulverzeichnis-/Lizenzabgleich: 30 Tage
• Push-Token: bis Abmeldung/Deinstallation; Gateway-Logs 30 Tage
• Server-/Zugriffslogs (inkl. IP): max. 7 Tage, nur zu Sicherheitszwecken
• Vertrags-/Abrechnungsdaten: gesetzliche Aufbewahrungsfristen

Einzelheiten regelt unser Löschkonzept.

7. Diese Website

7.1 Server-Log-Files

Beim Aufruf der Website werden automatisch Daten in Log-Files gespeichert (IP-Adresse, Datum/Uhrzeit, abgerufene Datei, Referrer-URL, Browser/Betriebssystem). Sie dienen ausschließlich dem sicheren Betrieb und der Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO) und werden nach 30 Tagen gelöscht.

7.2 Cookies und Tracking

Die Website verwendet keine Cookies, Tracking-Tools oder Analysedienste. Schriftarten werden von unserem eigenen Server ausgeliefert, es werden keine Inhalte von Drittanbietern nachgeladen — Ihre IP-Adresse erreicht damit keinen Dritten. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist daher nicht erforderlich; die in der Web-App eingesetzten Anmelde-Cookies sind nach § 25 Abs. 2 Nr. 2 TDDDG technisch notwendig. In der Web-App werden nur technisch notwendige Cookies (Anmeldung/Session) sowie technisch notwendiger lokaler Speicher (Sitzungs-Token, Verschlüsselungsschlüssel, Sync-Status, Einstellungen) genutzt. Es findet kein Tracking, kein Profiling und keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt.

7.3 Angebotsanfrage über das Formular

Wenn Sie das Formular „Schullizenz anfordern" nutzen, verarbeiten wir die dort eingegebenen Angaben: Schule mit Anschrift, Ansprechpartner (Anrede, Vor- und Nachname, E-Mail, optional Telefon), auf Wunsch eine abweichende Organisations- oder Rechnungsadresse, Schülerzahl, Angaben zur Server-Infrastruktur sowie Ihren Kommentar.

Zweck ist die Bearbeitung Ihrer Anfrage und die Erstellung eines Angebots. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags), bei Anfragen aus Einrichtungen zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung geschäftlicher Anfragen). Die Angaben sind freiwillig; ohne die als Pflichtfeld gekennzeichneten Angaben können wir kein Angebot erstellen.

Die Anfrage geht an unser Postfach angebote@schulmessenger.de und wird in unserem Kundensystem gespeichert. Für Angebots- und Rechnungserstellung setzen wir Lexware (Haufe-Lexware GmbH & Co. KG, Freiburg im Breisgau) als Auftragsverarbeiter ein. Eine Übermittlung in Drittländer findet dabei nicht statt.

Wir speichern die Anfrage, bis sie erledigt ist. Kommt ein Vertrag zustande, gelten die handels- und steuerrechtlichen Aufbewahrungsfristen (sechs bzw. zehn Jahre, §§ 257 HGB, 147 AO). Im Übrigen können Sie der Speicherung jederzeit widersprechen.

8. App-Berechtigungen

• Internet: Kommunikation mit dem Server
• Kamera/Mikrofon: Bilder/Sprachnachrichten (optional)
• Standort: Standort teilen (optional)
• Benachrichtigungen: Push-Hinweise (optional)

Berechtigungen werden nur bei Bedarf angefragt und können jederzeit widerrufen werden.

9. Werbung und kostenpflichtige Angebote

SchulMessenger ist im schulischen Einsatz werbefrei und enthält für Nutzerinnen und Nutzer keine kostenpflichtigen Zusatzangebote oder In-App-Käufe. Die Lizenzierung erfolgt institutionell über die Schule bzw. den Träger.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen.

Im schulischen Einsatz richten Sie diese Rechte bitte an Ihre Schule als verantwortliche Stelle; wir unterstützen die Schule bei der Bearbeitung. In allen übrigen Fällen wenden Sie sich an die oben genannten Kontakte.

11. Mindestalter

Die Nutzung im schulischen Kontext erfolgt im Verantwortungsbereich der Schule und der Erziehungsberechtigten.

12. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert.

Stand: 7. September 2026