Datenschutz-
erklärung für die Plattform „Gradbook"

Verantwortlicher für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

E-Mail: team@hoodify.de

Wir sind Verantwortliche, nicht Auftragsverarbeiter der Schule: Wir entscheiden über Zweck und Mittel der Verarbeitung, und der Nutzungsvertrag kommt unmittelbar mit dir zustande. Wirkt deine Schule aktiv mit, etwa indem sie Listen bereitstellt oder die Nutzung organisiert, kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO bestehen; den wesentlichen Inhalt einer solchen Vereinbarung stellen wir dann bereit.

Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst: Name, E-Mail-Adresse, Fotos, aber auch die Inhalte, die du einträgst.

Die Übertragung erfolgt verschlüsselt (HTTPS/TLS). Ein vollständiger Schutz von Daten vor dem Zugriff Dritter ist im Internet gleichwohl nicht möglich.

Bist du unter 16, dürfen wir deine Daten nach Art. 8 DSGVO nur verarbeiten, wenn deine Erziehungsberechtigten einwilligen. Bist du 16 oder 17, brauchen wir ihre Zustimmung zum Nutzungsvertrag (§§ 107, 108 BGB).

Deshalb fragen wir im Onboarding nach dem Geburtsdatum und, wenn du noch nicht 18 bist, nach der E-Mail-Adresse eines Elternteils. Deine Eltern bekommen von uns eine Nachricht mit einem Link und entscheiden dort selbst in einer Einverständniserklärung, die sie mit Finger oder Maus unterschreiben, und zwar getrennt für Konto, Fotos, Abdruck im Buch und den Hilfe-Assistenten. Alternativ geht es auf Papier; das unterschriebene Formular trägt dann unser Team ein.

Unter 16 Jahren ist die Nutzung ohne diese Bestätigung gesperrt. Das Konto bleibt bestehen und es geht nichts verloren; solange die Bestätigung fehlt, sind die Inhalte der App aber nicht erreichbar (Art. 8 Abs. 1 DSGVO). Ab 16 Jahren fragen wir weiterhin nach der Zustimmung der Eltern. Dann geht es um die Wirksamkeit des Nutzungsvertrags (§ 107 BGB), und die Nutzung ist nicht gesperrt.

Wir speichern dazu: Name, E-Mail-Adresse und Verhältnis zum Kind (Mutter, Vater, Vormund oder sonstige gesetzliche Vertretung), den Zeitpunkt, den Umfang der Einwilligung, den Wortlaut der Erklärung, die Unterschrift, einen Hashwert der IP-Adresse und die Browserkennung als Nachweis nach Art. 7 Abs. 1 DSGVO. Eine Anschrift fragen wir nicht ab.

Wir prüfen nicht automatisch, ob die angegebene Adresse wirklich einem Elternteil gehört. Was wir tun: Die eigene Adresse des Kontos wird abgewiesen, und die Zahl der Anfragen ist begrenzt. Das Orga-Team sieht in seinem Bereich, für wen eine bestätigte Einwilligung vorliegt. Vor dem Druck prüfen wir das gemeinsam mit dem Orga-Team. Inhalte von Minderjährigen ohne bestätigte Einwilligung drucken wir nicht.

Wie wir die Auswahl deiner Eltern umsetzen: Fehlt die Zustimmung zur Verarbeitung in den USA, steht dir der Hilfe-Assistent nicht zur Verfügung. Fehlt die Zustimmung zu Fotos, sperrt die App das Hochladen von Fotos; fehlt die Zustimmung zum Abdruck, sperrt sie deinen Steckbrief. Die Übersicht des Orga-Teams zeigt beides an, und wir drucken die betreffenden Inhalte nicht. Lehnen deine Eltern ab oder widerrufen sie, wird dein Konto gesperrt.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a i.V.m. Art. 8 DSGVO; ergänzend Art. 6 Abs. 1 lit. c DSGVO für die Nachweisführung.

Widerruf:

Deine Eltern können die Einwilligung jederzeit für die Zukunft widerrufen, über denselben Link oder formlos an team@hoodify.de. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

Die einzelnen Verarbeitungen im Überblick. Die Löschfristen stehen unter Ziffer 7.

Musst du Daten angeben? Gesetzlich bist du dazu nicht verpflichtet. Ohne Name, E-Mail-Adresse und Geburtsdatum können wir dir aber kein Konto einrichten. Alles Weitere, also Steckbrief, Fotos, Kommentare und Stimmen, ist freiwillig. Was du weglässt, steht dann eben nicht im Buch.

Verarbeitet werden:

• Vor- und Nachname, auf Wunsch ein abweichender Name fürs Buch, E-Mail-Adresse, Authentifizierungsdaten
• Zuordnung zu Schule/Jahrgang, Rolle (Schüler:in, Lehrkraft, Orga)
• Geburtsdatum und daraus abgeleitete Altersgruppe
• Zeitpunkte und Fassungen der akzeptierten Hinweise, AGB und dieser Erklärung

Zweck:

Bereitstellung des Kontos, Authentifizierung, altersabhängige Regeln, Sicherheit der Plattform, Nachweisführung.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (Vertrag) bei Volljährigen; unter 16 die Einwilligung deiner Eltern (Art. 6 Abs. 1 lit. a i.V.m. Art. 8 DSGVO); mit 16 oder 17 deine eigene Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), bis deine Eltern dem Nutzungsvertrag zugestimmt haben (siehe Ziffer 3); Art. 6 Abs. 1 lit. f DSGVO für die Sicherheit des Betriebs.

Motto, Zukunftspläne, Lieblingserinnerung, Lieblingslehrkraft, Instagram-Name, Porträt- und Kindheitsfoto sowie weitere Felder, die dein Jahrgang aktiviert hat.

Bitte beachte: In Freitextfeldern wie „Was niemand über mich weiß" kannst du besonders sensible Angaben machen, etwa zu Gesundheit, Religion oder sexueller Orientierung. Solche Daten verarbeiten wir nur, weil und soweit du sie freiwillig einträgst; die Rechtsgrundlage ist dann deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Überleg dir gut, was in einem gedruckten Buch stehen soll.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a DSGVO; bei Fotos zusätzlich § 22 KUG.

Du kannst Bilder hochladen, kommentieren und über Bilder abstimmen. Gespeichert werden das Bild, die Bildunterschrift, deine Kennung als hochladende Person, die Kategorie, die abgegebenen Stimmen und ein technischer Bildfingerabdruck zur Erkennung doppelter Uploads.

Wichtig: Lade nur Bilder hoch, auf denen ausschließlich Personen zu sehen sind, die damit einverstanden sind.

Deine Zusage: Mit unseren AGB (§ 7) sicherst du zu, dass alle auf deinen Bildern abgebildeten Personen mit der Veröffentlichung in der App und im Jahrbuch einverstanden sind, bei Minderjährigen deren Erziehungsberechtigte. Wir speichern den Zeitpunkt deiner Zustimmung zu den AGB und deren Fassung. Beim Hochladen erscheint der Hinweis noch einmal.

Diese Zusage ist notwendig, weil wir die abgebildeten Personen nicht kennen und ihre Einwilligung deshalb nicht selbst einholen können. Sie ändert nichts daran, dass jede abgebildete Person jederzeit widersprechen kann.

Wer auf einem Bild zu sehen ist, hat eigene Rechte: nach § 22 KUG und nach der DSGVO. Wenn du auf einem Bild in dieser App zu sehen bist und das nicht möchtest, schreib uns an team@hoodify.de; wir entfernen das Bild und nehmen es aus dem Buch, solange das Buch noch nicht zum Druck freigegeben ist.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a DSGVO und § 22 KUG. Bei Minderjährigen ist zusätzlich die Einwilligung der Erziehungsberechtigten erforderlich; bei gemeinsamem Sorgerecht die beider Elternteile.

Du kannst anderen Personen Widmungen schreiben, Zitate einreichen und an Abstimmungen teilnehmen. Gespeichert werden jeweils der Inhalt, deine Kennung und die Kennung der betroffenen Person.

Wortfilter: Jeder Kommentar wird beim Absenden mit einer festen Liste grober Beleidigungen abgeglichen. Das geschieht in der App selbst; der Text geht dabei an keinen fremden Dienst und an keine KI. Ein Treffer ist nur ein Hinweis für das Orga-Team. Über eine Löschung entscheidet immer ein Mensch. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Es gibt keine Freigabe vor der Veröffentlichung. Jeder Kommentar zählt ab dem Absenden und wird gedruckt, bis ihn jemand ausdrücklich löscht.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a DSGVO; für den Wortfilter zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Schutz der betroffenen Personen vor Beleidigungen).

„Anonym" bedeutet: anonym gegenüber anderen Nutzer:innen. Nicht gegenüber uns.

Auch bei einem als anonym gekennzeichneten Beitrag speichern wir die Kennung deines Kontos. Datenschutzrechtlich sind solche Beiträge deshalb pseudonym, nicht anonym(Erwägungsgrund 26 DSGVO). Wir stellen die Zuordnung nur her, soweit es für Support, Sicherheit oder zur Erfüllung rechtlicher Pflichten erforderlich ist.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a DSGVO für den Beitrag; Art. 6 Abs. 1 lit. f DSGVO für die Zuordenbarkeit (Missbrauchsabwehr).

Protokoll: Löschungen und wesentliche Änderungen im Orga-Bereich werden mit Zeitpunkt, Vorgang, Name, E-Mail-Adresse und Rolle der handelnden Person aufgezeichnet. Das dient dem Nachweis im Streitfall (Art. 6 Abs. 1 lit. f, Art. 5 Abs. 2 DSGVO). Einsehbar ist das Protokoll ausschließlich für das Team von Hoodify.

Erinnerungen: Wenn deine Seite unvollständig ist, schicken wir gelegentlich eine Erinnerung an deine E-Mail-Adresse (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO).

Suchbegriffe: Wenn du die Suche benutzt, speichern wir den Begriff, die Stufe, den Zeitpunkt und die Trefferzahl, ohne Bezug zu deiner Person. Weder Name noch E-Mail, Nutzerkennung oder IP-Adresse werden dabei festgehalten; die Einträge lassen sich auch von uns niemandem zuordnen. Zweck ist allein, fehlende Synonyme in der Suche zu finden (Art. 6 Abs. 1 lit. f DSGVO).

Nach dem Login legt die Anwendung ein Zugangsmerkmal (Token) im lokalen Speicher deines Browsers ab. Ohne dieses Merkmal müsstest du bei jedem Klick neu eintippen, wer du bist. Es ist deshalb unbedingt erforderlich, um den von dir ausdrücklich gewünschten Dienst bereitzustellen, und nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.

Analyse-, Tracking- oder Werbetechnologien setzen wir nicht ein. Es gibt daher auch kein Cookie-Banner. Nicht, weil wir es weglassen, sondern weil es nichts einzuwilligen gibt.

Schriften, Programmbibliotheken und Grafiken liefert die App selbst aus. Beim Aufrufen und beim Erstellen der Buchseiten lädt dein Browser nichts von fremden Servern nach, etwa von Google Fonts.

In der Suche kannst du einem Assistenten Fragen zur Bedienung der App stellen. Deine Frage wird dafür zusammen mit deiner Rolle (Schüler:in, Lehrkraft, Orga) und den Namen der Bereiche deiner Stufe an ein KI-Sprachmodell in den USA übermittelt (siehe Ziffer 5). Der Assistent sieht keine Inhalte wie Steckbriefe oder Kommentare. Frage und Antwort speichern wir nicht. Schreib deshalb bitte keine persönlichen Angaben in deine Frage.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (die Hilfe ist Teil des Angebots); bei Minderjährigen nur mit Zustimmung der Eltern zur Verarbeitung in den USA.

Bei jedem Aufruf verarbeitet unser Plattformanbieter Base44 technisch notwendige Daten: deine IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung und Fehlermeldungen. Das ist nötig, um die App auszuliefern, Störungen zu finden und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Wie lange die Protokolle aufbewahrt werden, legt Base44 fest. Wir sehen sie nur ein, wenn wir eine Störung oder einen Angriff untersuchen.

Schreibst du an team@hoodify.de, verarbeiten wir deine Adresse und den Inhalt deiner Nachricht, um dir zu antworten (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Das Postfach liegt bei Microsoft 365 (siehe Ziffer 5). Nachrichten löschen wir, wenn die Sache erledigt ist, es sei denn, wir müssen sie aus gesetzlichen Gründen aufbewahren.

Für den Betrieb setzen wir Dienstleister ein, die für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig werden. Mit Base44, Hetzner und Microsoft bestehen solche Verträge; mit der Druckerei schließen wir ihn vor dem ersten Druckauftrag ab.

Wo deine Daten liegen

Die Datenbank (Konto, Steckbrief, Kommentare, Rankings) liegt in der EU-Region unseres Plattformanbieters Base44. Alle Fotos und hochgeladenen Dateien sowie alle Buchseiten und das Gesamtbuch liegen in unserer eigenen Ablage bei der Hetzner Online GmbH in Nürnberg.

Übermittlung in die USA

In die Vereinigten Staaten gehen: Fragen an den Hilfe-Assistenten (Sprachmodell) sowie Daten, die Base44 und seine Unterauftragnehmer für Betrieb, Server-Protokolle und Support verarbeiten. Base44 gehört zur Wix-Gruppe mit Sitz in Israel, die auch Gesellschaften und Dienstleister in den USA hat.

Für die USA hat die Europäische Kommission mit dem EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) ein angemessenes Schutzniveau festgestellt. Base44 gehört zur Wix-Gruppe, die unter diesem Rahmen zertifiziert ist. Für Unterauftragnehmer, die nicht zertifiziert sind, und als Absicherung darüber hinaus stützen wir die Übermittlung auf die Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914). Für die Übermittlung nach Israel besteht ein Angemessenheitsbeschluss (2011/61/EU).

Was das praktisch bedeutet: Das Datenschutzniveau in den USA entspricht nicht in jeder Hinsicht dem europäischen. US-Behörden können unter bestimmten Voraussetzungen auf Daten zugreifen, und der Rechtsschutz dagegen ist eingeschränkter als in der EU. Wir halten die Lage im Blick und passen die Grundlagen an, wenn sich die Rechtslage ändert.

Eine Kopie der Standardvertragsklauseln und die aktuelle Liste der Unterauftragnehmer stellen wir auf Anfrage bereit: team@hoodify.de.

Fotos und Uploads liegen in einem privaten Speicher in Nürnberg. Öffnen kann sie nur, wer angemeldet ist und zu deiner Stufe gehört, sowie das Team von Hoodify. Die App holt dafür jeweils einen Link, der nach zwei Stunden abläuft.

Buchseiten, LK-Briefe und das Gesamtbuch sehen nur das Orga-Team deiner Stufe und wir. Links dazu laufen nach vier Stunden ab. Die Druckerei bekommt das fertige Buch über einen Download-Link, der nach drei Tagen abläuft; als E-Mail-Anhang verschicken wir es nicht.

Was so ein Link bedeutet: Solange er gilt, kann ihn jede Person öffnen, der er weitergegeben wird. Gib Links zu Jahrbuchdateien deshalb nicht weiter. Danach funktioniert er nicht mehr.

• Konto und Inhalte: bis 12 Monate nach Auslieferung des Jahrbuchs deines Jahrgangs
• Konto auf eigenen Wunsch gelöscht: unverzüglich, spätestens innerhalb von 30 Tagen
• Konto ohne Jahrgangszuordnung, nie genutzt: 6 Monate nach Anlage
• Erzeugte PDF-Dateien in der Ablage: 3 Monate nach Drucklegung
• Fotos und Dateien, auf die kein Eintrag mehr verweist (z. B. ein ersetztes oder gelöschtes Foto): werden jede Nacht aussortiert und nach 14 Tagen endgültig gelöscht
• Einzelstimmen aus Abstimmungen: nach der Drucklegung, dann steht das Ergebnis im Buch
• Nachweise der elterlichen Einwilligung: 3 Jahre nach Ende der Nutzung (zum Nachweis nach Art. 7 Abs. 1 DSGVO, solange Ansprüche verjähren können)
• Protokoll: 12 Monate
• Suchbegriffe: 12 Monate
• Gelöschte Kommentare (Sicherungskopie): 6 Monate

Das gedruckte Buch können wir nicht löschen.

Alles, was du in der App einträgst oder hochlädst, ist für das gedruckte Jahrbuch deiner Stufe bestimmt. Dem stimmst du beim ersten Anmelden ausdrücklich zu. Bis euer Orga-Team das Buch zum Druck freigibt, kannst du deine Inhalte jederzeit ändern oder löschen und deine Einwilligung widerrufen (Art. 7 Abs. 3 DSGVO). Mit der Druckfreigabe geht das Buch in Produktion. Danach können wir es nicht mehr ändern, und was gedruckt ist, bleibt gedruckt. Deine Daten in der App löschen wir auf Wunsch trotzdem. Den Termin der Druckfreigabe erfahrt ihr von eurem Orga-Team.

Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, bleiben unberührt.

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wende dich dafür an team@hoodify.de. Wir antworten innerhalb eines Monats; bei komplexen Anfragen kann sich die Frist um zwei Monate verlängern (Art. 12 Abs. 3 DSGVO), worüber wir dich dann informieren.

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover; du kannst dich aber auch an die Behörde deines Wohnorts wenden.

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem:

• verschlüsselte Übertragung (HTTPS/TLS)
• Buchseiten und PDFs entstehen im Browser des Orga-Teams; zum Zusammenführen, Umwandeln oder Verkleinern geben wir keine Dateien an fremde Dienste
• Schriften, Programmbibliotheken und Grafiken liefert die App selbst aus
• private Dateiablage in Deutschland; Zugriff nur nach Rechteprüfung über Links mit Ablaufzeit
• rollenbasierte Zugriffsrechte; Rollen werden ausschließlich serverseitig vergeben
• Protokollierung von Löschungen und wesentlichen Änderungen
• Prüfung der Einwilligung Erziehungsberechtigter vor der Drucklegung

Sicherheitslücken kannst du uns jederzeit melden: team@hoodify.de. Wir bearbeiten Hinweise zügig und ohne rechtliche Schritte gegen Personen, die uns verantwortungsvoll informieren.

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Die jeweils aktuelle Fassung ist in der App abrufbar; die Fassungsnummer steht oben. Bei wesentlichen Änderungen informieren wir dich in der App.

Änderung am 7. Oktober 2026 (abends): Kommentare prüft keine KI mehr, sondern ein Wortfilter in der App selbst. In die USA gehen nur noch Fragen an den Hilfe-Assistenten.

Änderung am 7. Oktober 2026: Der Bilddienst wsrv.nl wird nicht mehr genutzt; Schriften und Grafiken liefert die App selbst aus. Ergänzt wurden der Hilfe-Assistent (4.8), Server-Protokolle (4.9), Kontakt (4.10), wie wir die Auswahl der Eltern umsetzen (Ziffer 3), ob du Daten angeben musst (Ziffer 4) und ein eigener Hinweis auf dein Widerspruchsrecht (Ziffer 8). Die Zusage zu den Bildrechten steht jetzt in den AGB (§ 7).

Ergänzung am 2. Oktober 2026: Statt einer Nachricht 21 Tage vor dem Druck gilt jetzt die Druckfreigabe durch euer Orga-Team als Schluss für Änderungen (Kasten oben, Ziffer 7). Die Einzelstimmen werden nach der Drucklegung gelöscht.

Änderung am 1. Oktober 2026: Die Datenbank liegt in der EU, neue Fotos, Uploads und alle Buchdateien liegen in einer privaten Ablage in Nürnberg. Dropbox, PDFMonkey, Nutrient und iLovePDF setzen wir nicht mehr ein; PDFs entstehen im Browser (Kasten oben, Ziffern 5, 6, 7 und 10).

Änderung am 28. September 2026: Die Druckdateien lagen nicht mehr in Google Drive, sondern in Dropbox, und waren dort nicht mehr öffentlich per Link abrufbar.

Am 25. August 2026 wurde diese Erklärung vollständig überarbeitet. Die Vorfassung enthielt die Angabe, die Verarbeitung finde „primär innerhalb der Europäischen Union (Deutschland)" statt. Das traf nicht zu; die Angabe ist unter Ziffer 5 richtiggestellt.