Datenschutzerklärung für die App „Rotfeder Familie“

1. Worum geht es und wer ist verantwortlich?

Mit Rotfeder Familie können Eltern und andere Erziehungsberechtigte ab 18 Jahren die fotografierten Hausaufgaben ihres Kindes Ende-zu-Ende-verschlüsselt an ihre Lehrkraft oder ihr Nachhilfeinstitut senden.

Dabei gibt es zwei klar getrennte Rollen:

1. Verantwortlicher für die Verarbeitung der Hausaufgaben (Art. 4 Nr. 7 DSGVO):
   Verantwortlich für die Entgegennahme, Zuordnung und Korrektur der übermittelten Hausaufgaben sowie für die Verwaltung der Einwilligung ist die jeweilige Lehrkraft bzw. das Nachhilfeinstitut, deren Einladungs-QR-Code du gescannt hast. Name und Kontaktdaten (E-Mail oder Anschrift) dieses Verantwortlichen zeigt die App beim Verbinden und in der Lehreransicht an; sie stehen auch auf dem Einladungsbrief. Bitte wende dich für Auskünfte oder Fragen zu den bei der Lehrkraft gespeicherten Unterrichtsdaten direkt an deine Lehrkraft bzw. das Nachhilfeinstitut.
2. Anbieter der App & Auftragsverarbeiter für den verschlüsselten Transport:
   Die App Rotfeder Familie wird bereitgestellt von:
   Seyedkamyar Shahrestani
   Erich-Ollenhauer-Straße 32B
   65187 Wiesbaden
   E-Mail: info@shahrestani.me
   Für den technischen Weiterleitungsdienst (Relay-Postfach) handelt Seyedkamyar Shahrestani als Auftragsverarbeiter (Art. 28 DSGVO) im Auftrag der jeweiligen Lehrkraft bzw. des Nachhilfeinstituts. Für den Aufruf der Einladungs-Webseite (familie.rotfeder.app) ist Seyedkamyar Shahrestani selbst Verantwortlicher.
   Ein Datenschutzbeauftragter ist nicht benannt, da hierzu keine Pflicht besteht (Art. 37 DSGVO, § 38 BDSG).

2. Grundprinzip: Kein Konto, kein Tracking, Ende-zu-Ende-Verschlüsselung

• Kein Benutzerkonto: Du musst weder Namen noch E-Mail-Adresse oder Telefonnummer registrieren.
• Keine Werbung, keine Analyse-SDKs, kein Tracking: Die App enthält keinerlei Drittanbieter-SDKs, Web-Tracker oder Werbenetzwerke.
• Ende-zu-Ende-Verschlüsselung: Bevor dein iPhone eine Hausaufgabe (Seitenbilder, Titel, Fachwahl, optionale Notiz) oder die Einwilligungsbestätigung absendet, wird alles auf deinem Gerät mit dem öffentlichen Schlüssel der Lehrkraft verschlüsselt (HPKE / RFC 9180). Weder wir noch unser Cloud-Anbieter oder Apple können die Hausaufgaben, Notizen oder Kindernamen lesen.

3. Welche Daten werden wo verarbeitet?

a) Lokal auf deinem iPhone (App „Rotfeder Familie“)

• Kinder-Spitznamen und gewählte Tier-Avatare, Name der Lehrkraft, Fachbezeichnungen, optional vergebener Gerätename (z. B. „Mama“), optionale 4-stellige Eltern-PIN sowie die kryptografischen Schlüssel pro Verbindung (gesichert in der iOS-Keychain, niemals in Backups).
• Komprimierte Hausaufgabenfotos werden lokal nur so lange vorgehalten, bis die Sendung als „Angekommen“ bestätigt oder nach 7 Tagen abgelaufen ist (damit „Erneut senden“ bei Verbindungsproblemen funktioniert), und danach automatisch gelöscht.
• Der Gesendet-Verlauf (nur Titel, Seitenanzahl, Fach und Zeitstempel – ohne Fotos) wird lokal nach 90 Tagen automatisch entfernt.
• Über Einstellungen → Alle Daten löschen kannst du jederzeit sämtliche lokalen Daten und Schlüssel sofort löschen; aktive Verbindungen werden dabei auch auf dem Server getrennt.
• Beim bloßen Deinstallieren entfernt iOS die App-Daten; Schlüssel in der Keychain werden spätestens bei einer Neuinstallation gelöscht. Der Server erfährt vom Deinstallieren nichts: Die Verbindung wird dort nach 180 Tagen ohne Abruf automatisch gelöscht. Wenn du die Verbindung sofort beenden willst, trenne sie vorher in der App.

b) Auf unserem EU-Relay-Server (verschlüsselte Zustellung)

Damit Sendungen auch dann ankommen, wenn das Gerät der Lehrkraft gerade offline ist, speichert unser Relay-Server in der Europäischen Union (Google Cloud Region europe-west1, Belgien, betrieben durch Google Ireland Limited als Unterauftragsverarbeiter):

• Zufällige Verbindungs- und Nachrichten-IDs (connectionID, messageID), öffentliche Signaturschlüssel, kurzlebige Replay-Schutz-Werte (Nonces, 10 Minuten), Dateigrößen und Zeitstempel sowie Fassung und Zeitpunkt der akzeptierten Nutzungsbedingungen (terms-v1) als Nachweis;
• Den verschlüsselten Datenblock (Chiffretext) deiner Sendung – dieser wird sofort gelöscht, sobald die App der Lehrkraft den Empfang bestätigt (Angekommen), spätestens jedoch automatisch nach 7 Tagen (bei Nichtabholung wird nach 7 Tagen alles zu dieser Sendung gelöscht; deine App zeigt dann selbst „Nicht zugestellt“ an);
• Dein Apple-Push-Token (sofern du Mitteilungen erlaubst), um dein iPhone über „Angekommen“ oder Änderungen der Verbindung zu informieren (automatisch gelöscht, sobald Apple es als ungültig meldet oder wenn es 60 Tage nicht erneuert wurde; das Token gehört zum Gerät, nicht zu einer einzelnen Verbindung);
• IP-Adressen werden nur kurz verarbeitet, um die jeweilige Anfrage zu beantworten, und weder gespeichert noch protokolliert. Datenbank-Backups von Verbindungsmetadaten (niemals von Hausaufgaben-Blobs) laufen ebenfalls nach 7 Tagen ab.
• Hinweis zur Metadaten-Korrelation: Für jede Verbindung zu einer Lehrkraft verwendet die App eigene kryptografische Schlüssel. Solange mehrere Verbindungen auf demselben iPhone eingerichtet sind, sieht der Relay-Server aus technischen Gründen jedoch dasselbe Apple-Push-Token. Namen oder Inhalte sind damit zu keinem Zeitpunkt verknüpft.

c) Push-Benachrichtigungen über Apple (APNs)

Wenn du Mitteilungen aktivierst, sendet unser Relay bei Statusänderungen (z. B. „Angekommen“) eine inhaltsfreie Benachrichtigung über den Apple Push Notification service (Apple Inc.) an dein iPhone. Diese enthält ausschließlich einen Ereignisschlüssel (z. B. MSG_DELIVERED) und zufällige IDs – keine Namen, keine Fächer und keinen Hausaufgabentitel. Erst dein eigenes iPhone setzt daraus lokal den Benachrichtigungstext zusammen.

d) Einladungs-Webseite (https://familie.rotfeder.app/p)

Die Einladungsdaten eines QR-Codes stehen im sogenannten URL-Fragment (#…) hinter der Adresse. Browser senden diesen Teil der Adresse technisch niemals an unseren Server. Die Webseite lädt keine Cookies und keine Analyse-Dienste. Sie wird über Firebase Hosting (Google Ireland Limited) ausgeliefert, ein weltweites Content-Delivery-Netz; dabei fallen nur technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, abgerufene Datei) an.

e) Übermittlung in Drittländer

• Apple Inc. (USA): Push-Benachrichtigungen laufen zwingend über den Apple Push Notification service. Übermittelt werden das Push-Token, ein Ereignisschlüssel und zufällige IDs. Grundlage ist das EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023), unter dem Apple zertifiziert ist; hilfsweise die EU-Standardvertragsklauseln.
• Google: Die Relay-Daten liegen in der EU (europe-west1). Ein Zugriff durch Google-Unterauftragsverarbeiter außerhalb der EU, etwa im Support, ist nur nach den EU-Standardvertragsklauseln des Google Cloud Data Processing Addendum zulässig. Hausaufgaben-Inhalte sind dabei stets Ende-zu-Ende-verschlüsselt.

f) Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die Nutzung ist freiwillig. Ohne Einwilligung wird keine Verbindung hergestellt; Hausaufgaben können dann wie bisher auf dem mit der Lehrkraft vereinbarten Weg abgegeben werden. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

g) Speicherdauer bei der Lehrkraft

Zugestellte Hausaufgaben speichert die Lehrkraft in ihrer App Rotfeder als Teil ihrer Unterrichtsunterlagen. Wie lange, entscheidet die Lehrkraft bzw. das Institut als Verantwortlicher; gelöschte Blätter liegen noch 7 Tage im Papierkorb von Rotfeder. Den Einwilligungsnachweis bewahrt Rotfeder bis 1 Jahr nach dem Trennen der Verbindung auf.

4. Rechtsgrundlagen (Art. 6 und Art. 8 DSGVO)

• Übermittlung der Hausaufgaben und Kopplungsdaten an die Lehrkraft: Deine ausdrückliche Einwilligung beim Verbinden (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO), die du als erziehungsberechtigte Person für dein Kind erteilst. Die App richtet sich ausschließlich an Eltern und Erziehungsberechtigte ab 18 Jahren; Schülerinnen und Schüler nutzen sie nicht selbst.
• Zustellung, Push-Benachrichtigung und Replay-Schutz (Nonces ≤ 10 Minuten): Teil der Übermittlung, die du mit deiner Einwilligung beauftragst; der Relay-Betreiber verarbeitet diese Daten als Auftragsverarbeiter der Lehrkraft.
• Aufruf der Einladungs-Webseite: Berechtigtes Interesse von Seyedkamyar Shahrestani als eigenem Verantwortlichen, die Seite technisch auszuliefern (Art. 6 Abs. 1 lit. f DSGVO).

5. Widerruf und Trennen einer Verbindung

Du kannst deine Einwilligung jederzeit für jede Verbindung einzeln widerrufen, indem du in Rotfeder Familie bei der Lehrkraft auf „Verbindung trennen“ tippst (oder unter Einstellungen „Alle Daten löschen“ wählst). Dadurch wird die Verbindung auf dem Relay-Server samt etwaiger noch nicht abgeholter Sendungen sofort gelöscht und für künftige Sendungen gesperrt. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Übermittlung bleibt unberührt; bereits auf dem Gerät der Lehrkraft gespeicherte Arbeitsblätter verbleiben dort im Verantwortungsbereich der Lehrkraft.

6. Deine Rechte

Du hast nach Maßgabe der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie Widerruf erteilter Einwilligungen (Art. 7 Abs. 3).

Da wir auf dem Relay-Server keine Klartextnamen speichern, wende dich für Anfragen zu deinen Unterrichtsdaten bitte direkt an deine Lehrkraft bzw. dein Nachhilfeinstitut; technische Anfragen an uns erreichst du unter info@shahrestani.me.

Zudem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere bei der Behörde deines Wohnorts oder der für Seyedkamyar Shahrestani zuständigen Behörde:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1, 65189 Wiesbaden