Datenschutz-
erklärung für die Plattform „Gradbook"

Verantwortlicher für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

E-Mail: team@hoodify.de

Wir sind Verantwortliche, nicht Auftragsverarbeiter der Schule: Wir entscheiden über Zweck und Mittel der Verarbeitung, und der Nutzungsvertrag kommt unmittelbar mit dir zustande. Wirkt deine Schule aktiv mit — etwa indem sie Listen bereitstellt oder die Nutzung organisiert — kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO bestehen; den wesentlichen Inhalt einer solchen Vereinbarung stellen wir dann bereit.

Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst — Name, E-Mail-Adresse, Fotos, aber auch die Inhalte, die du einträgst.

Die Übertragung erfolgt verschlüsselt (HTTPS/TLS). Ein vollständiger Schutz von Daten vor dem Zugriff Dritter ist im Internet gleichwohl nicht möglich.

Bist du unter 16, dürfen wir deine Daten nach Art. 8 DSGVO nur verarbeiten, wenn deine Erziehungsberechtigten einwilligen. Bist du 16 oder 17, brauchen wir ihre Zustimmung zum Nutzungsvertrag (§§ 107, 108 BGB).

Deshalb fragen wir im Onboarding nach dem Geburtsdatum und, wenn du noch nicht 18 bist, nach der E-Mail-Adresse eines Elternteils. Deine Eltern bekommen von uns eine Nachricht mit einem Link und entscheiden dort selbst — getrennt für Konto, Fotos, Abdruck im Buch und Verarbeitung in den USA.

Unter 16 Jahren ist die Nutzung ohne diese Bestätigung gesperrt. Das Konto bleibt bestehen und es geht nichts verloren; solange die Bestätigung fehlt, sind die Inhalte der App aber nicht erreichbar (Art. 8 Abs. 1 DSGVO). Ab 16 Jahren fragen wir weiterhin nach der Zustimmung der Eltern — dann geht es um die Wirksamkeit des Nutzungsvertrags (§ 107 BGB), und die Nutzung ist nicht gesperrt.

Wir speichern dazu: Name und E-Mail-Adresse der/des Erziehungsberechtigten, den Zeitpunkt, den Umfang der Einwilligung, die Fassung des Einwilligungstextes sowie einen verkürzten Hashwert der IP-Adresse und des Browserkennzeichens als Nachweis nach Art. 7 Abs. 1 DSGVO.

Wir prüfen nicht automatisch, ob die angegebene Adresse wirklich einem Elternteil gehört. Was wir tun: die eigene Adresse des Kontos wird abgewiesen, die Zahl der Anfragen ist begrenzt, und vor jedem Druckauftrag prüft das Orga-Team, für wen eine bestätigte Einwilligung vorliegt. Ohne Bestätigung wird nicht gedruckt.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a i.V.m. Art. 8 DSGVO; ergänzend Art. 6 Abs. 1 lit. c DSGVO für die Nachweisführung.

Widerruf:

Deine Eltern können die Einwilligung jederzeit für die Zukunft widerrufen — über denselben Link oder formlos an team@hoodify.de. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

Die einzelnen Verarbeitungen im Überblick. Die Löschfristen stehen unter Ziffer 7.

Verarbeitet werden:

• Vor- und Nachname, E-Mail-Adresse, Authentifizierungsdaten
• Zuordnung zu Schule/Jahrgang, Rolle (Schüler:in, Lehrkraft, Orga)
• Geburtsdatum und daraus abgeleitete Altersgruppe
• Zeitpunkte und Fassungen der akzeptierten Hinweise, AGB und dieser Erklärung

Zweck:

Bereitstellung des Kontos, Authentifizierung, altersabhängige Regeln, Sicherheit der Plattform, Nachweisführung.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (Vertrag) bei Volljährigen; bei Minderjährigen Art. 6 Abs. 1 lit. a i.V.m. Art. 8 DSGVO (siehe Ziffer 3); Art. 6 Abs. 1 lit. f DSGVO für die Sicherheit des Betriebs.

Motto, Zukunftspläne, Lieblingserinnerung, Lieblingslehrkraft, Instagram-Name, Porträt- und Kindheitsfoto, gegebenenfalls ein KI-Memoji sowie weitere Felder, die dein Jahrgang aktiviert hat.

Bitte beachte: In Freitextfeldern wie „Was niemand über mich weiß" kannst du besonders sensible Angaben machen — etwa zu Gesundheit, Religion oder sexueller Orientierung. Solche Daten verarbeiten wir nur, weil und soweit du sie freiwillig einträgst; die Rechtsgrundlage ist dann deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Überleg dir gut, was in einem gedruckten Buch stehen soll.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a DSGVO; bei Fotos zusätzlich § 22 KUG.

Du kannst Bilder hochladen, kommentieren und über Bilder abstimmen. Gespeichert werden das Bild, die Bildunterschrift, deine Kennung als hochladende Person, die Kategorie, die abgegebenen Stimmen und ein technischer Bildfingerabdruck zur Erkennung doppelter Uploads.

Wichtig: Lade nur Bilder hoch, auf denen ausschließlich Personen zu sehen sind, die damit einverstanden sind.

Deine Zusage beim Anmelden: Beim ersten Anmelden bestätigst du ausdrücklich, dass alle auf deinen Bildern abgebildeten Personen mit der Veröffentlichung in der App und im Jahrbuch einverstanden sind — bei Minderjährigen deren Erziehungsberechtigte. Wir speichern den Zeitpunkt dieser Bestätigung und die Fassung des Textes, den du dabei gesehen hast. Beim Hochladen erscheint der Hinweis noch einmal.

Diese Zusage ist notwendig, weil wir die abgebildeten Personen nicht kennen und ihre Einwilligung deshalb nicht selbst einholen können. Sie ändert nichts daran, dass jede abgebildete Person jederzeit widersprechen kann.

Wer auf einem Bild zu sehen ist, hat eigene Rechte — nach § 22 KUG und nach der DSGVO. Wenn du auf einem Bild in dieser App zu sehen bist und das nicht möchtest, schreib uns an team@hoodify.de; wir entfernen das Bild und nehmen es aus dem Buch, solange es noch nicht gedruckt ist.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a DSGVO und § 22 KUG. Bei Minderjährigen ist zusätzlich die Einwilligung der Erziehungsberechtigten erforderlich; bei gemeinsamem Sorgerecht die beider Elternteile.

Du kannst anderen Personen Widmungen schreiben, Zitate einreichen und an Abstimmungen teilnehmen. Gespeichert werden jeweils der Inhalt, deine Kennung und die Kennung der betroffenen Person.

Automatische Vorprüfung: Jeder Kommentar wird beim Absenden an ein KI-Sprachmodell übermittelt und darauf geprüft, ob er beleidigend oder unangemessen sein könnte. Der Klartext des Kommentars verlässt dabei die EU (siehe Ziffer 5). Das Ergebnis ist nur ein Hinweis für das Orga-Team — über eine Löschung entscheidet immer ein Mensch. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Es gibt keine Freigabe vor der Veröffentlichung. Jeder Kommentar zählt ab dem Absenden und wird gedruckt, bis ihn jemand ausdrücklich löscht.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a DSGVO; für die Vorprüfung zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Schutz der betroffenen Personen vor Beleidigungen).

„Anonym" bedeutet: anonym gegenüber anderen Nutzer:innen. Nicht gegenüber uns.

Auch bei einem als anonym gekennzeichneten Beitrag speichern wir die Kennung deines Kontos. Datenschutzrechtlich sind solche Beiträge deshalb pseudonym, nicht anonym(Erwägungsgrund 26 DSGVO). Wir stellen die Zuordnung nur her, soweit es für Support, Sicherheit oder zur Erfüllung rechtlicher Pflichten erforderlich ist.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a DSGVO für den Beitrag; Art. 6 Abs. 1 lit. f DSGVO für die Zuordenbarkeit (Missbrauchsabwehr).

Protokoll: Löschungen und wesentliche Änderungen im Orga-Bereich werden mit Zeitpunkt, Vorgang, Name, E-Mail-Adresse und Rolle der handelnden Person aufgezeichnet. Das dient dem Nachweis im Streitfall (Art. 6 Abs. 1 lit. f, Art. 5 Abs. 2 DSGVO). Einsehbar ist das Protokoll ausschließlich für das Team von Hoodify.

Erinnerungen: Wenn deine Seite unvollständig ist, schicken wir gelegentlich eine Erinnerung an deine E-Mail-Adresse (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO).

Suchbegriffe: Wenn du die Suche benutzt, speichern wir den Begriff, die Stufe, den Zeitpunkt und die Trefferzahl — ohne Bezug zu deiner Person. Weder Name noch E-Mail, Nutzerkennung oder IP-Adresse werden dabei festgehalten; die Einträge lassen sich auch von uns niemandem zuordnen. Zweck ist allein, fehlende Synonyme in der Suche zu finden (Art. 6 Abs. 1 lit. f DSGVO).

Nach dem Login legt die Anwendung ein Zugangsmerkmal (Token) im lokalen Speicher deines Browsers ab. Ohne dieses Merkmal müsstest du bei jedem Klick neu eintippen, wer du bist — es ist deshalb unbedingt erforderlich, um den von dir ausdrücklich gewünschten Dienst bereitzustellen, und nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.

Analyse-, Tracking- oder Werbetechnologien setzen wir nicht ein. Es gibt daher auch kein Cookie-Banner — nicht, weil wir es weglassen, sondern weil es nichts einzuwilligen gibt.

Für den Betrieb setzen wir Dienstleister ein, die für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig werden. Mit ihnen bestehen entsprechende Verträge.

Übermittlung in die USA

Ein erheblicher Teil der Verarbeitung — insbesondere Datenbank, Anmeldung sowie die Speicherung von Fotos und erzeugten PDF-Dateien — findet in den Vereinigten Staaten statt.

Für die USA hat die Europäische Kommission mit dem EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) ein angemessenes Schutzniveau festgestellt; unsere Dienstleister Base44 und Dropbox sind unter diesem Rahmen zertifiziert. Für einzelne Unterauftragnehmer, die nicht zertifiziert sind, stützen wir die Übermittlung zusätzlich auf die Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914). Für die Übermittlung nach Israel besteht ein Angemessenheitsbeschluss (2011/61/EU).

Was das praktisch bedeutet: Das Datenschutzniveau in den USA entspricht nicht in jeder Hinsicht dem europäischen. US-Behörden können unter bestimmten Voraussetzungen auf Daten zugreifen, und der Rechtsschutz dagegen ist eingeschränkter als in der EU. Wir halten die Lage im Blick und passen die Grundlagen an, wenn sich die Rechtslage ändert.

Eine Kopie der Standardvertragsklauseln und die aktuelle Liste der Unterauftragnehmer stellen wir auf Anfrage bereit: team@hoodify.de.

Hochgeladene Bilder und erzeugte PDF-Seiten liegen bei Base44 in einem Speicherbereich, dessen Adressen ohne Anmeldung abrufbar sind.

Was das heißt: Wer eine solche Adresse kennt oder weitergibt, kann die Datei öffnen. Die Adressen sind lang und zufällig und werden von uns nicht veröffentlicht; ein Verzeichnis dieser Dateien gibt es nicht. Ein echter Zugriffsschutz ist das aber nicht. Gib Links zu Jahrbuchdateien deshalb nicht ausserhalb deines Jahrgangs weiter.

Anders bei den Druckdateien: Die fertigen Buchseiten, LK-Briefe und das Gesamtbuch legen wir in Dropbox ab. Dort sind sie nicht öffentlich freigegeben. Geöffnet werden können sie nur über die App, nachdem geprüft wurde, dass die Person dazu berechtigt ist (das Orga-Team deiner Stufe und wir). Die App erzeugt dafür einen Link, der nach vier Stunden verfällt. Solange er gilt, kann ihn jede Person öffnen, der er weitergegeben wird; so erhält auch die Druckerei die Dateien.

Für Bilder und Einzelseiten im App-Speicher arbeiten wir daran, die Auslieferung ebenfalls auf zeitlich begrenzte Adressen umzustellen.

• Konto und Inhalte: bis 12 Monate nach Auslieferung des Jahrbuchs deines Jahrgangs
• Konto auf eigenen Wunsch gelöscht: unverzüglich, spätestens innerhalb von 30 Tagen
• Konto ohne Jahrgangszuordnung, nie genutzt: 6 Monate nach Anlage
• Erzeugte PDF-Dateien und Kopien in Dropbox: 3 Monate nach Drucklegung
• Einzelstimmen aus Abstimmungen: sobald das Ergebnis feststeht
• Nachweise der elterlichen Einwilligung: 3 Jahre nach Ende der Nutzung (Nachweispflicht aus Art. 7 Abs. 1 DSGVO)
• Protokoll: 12 Monate
• Suchbegriffe: 12 Monate
• Gelöschte Kommentare (Sicherungskopie): 6 Monate

Das gedruckte Buch können wir nicht löschen.

Alles, was gedruckt ist, bleibt gedruckt — dagegen hilft auch Art. 17 DSGVO nicht. Deshalb informieren wir dich mindestens 21 Tage vor dem Druckauftrag darüber, was von dir im Buch stehen wird, und geben dir 14 Tage Zeit, dem zu widersprechen. Nutze dieses Fenster; es ist die letzte Gelegenheit.

Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, bleiben unberührt.

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wende dich dafür an team@hoodify.de. Wir antworten innerhalb eines Monats; bei komplexen Anfragen kann sich die Frist um zwei Monate verlängern (Art. 12 Abs. 3 DSGVO), worüber wir dich dann informieren.

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Niedersachsen; du kannst dich aber auch an die Behörde deines Wohnorts wenden.

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem:

• verschlüsselte Übertragung (HTTPS/TLS) und verschlüsselte Speicherung
• rollenbasierte Zugriffsrechte; Rollen werden ausschließlich serverseitig vergeben
• Trennung der Jahrgänge voneinander
• Protokollierung von Löschungen und wesentlichen Änderungen
• Prüfung der Einwilligung Erziehungsberechtigter vor der Drucklegung

Sicherheitslücken kannst du uns jederzeit melden: team@hoodify.de. Wir bearbeiten Hinweise zügig und ohne rechtliche Schritte gegen Personen, die uns verantwortungsvoll informieren.

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Die jeweils aktuelle Fassung ist in der App abrufbar; die Fassungsnummer steht oben. Bei wesentlichen Änderungen informieren wir dich in der App.

Änderung am 28. September 2026: Die Druckdateien liegen nicht mehr in Google Drive, sondern in Dropbox, und sind dort nicht mehr öffentlich per Link abrufbar (Ziffern 5, 6 und 7).

Am 25. August 2026 wurde diese Erklärung vollständig überarbeitet. Die Vorfassung enthielt die Angabe, die Verarbeitung finde „primär innerhalb der Europäischen Union (Deutschland)" statt. Das traf nicht zu; die Angabe ist unter Ziffer 5 richtiggestellt.