Datenschutz­erklärung

Information über die Verarbeitung personenbezogener Daten gemäß Art. 13 und 14 DSGVO sowie dem österreichischen Datenschutzgesetz (DSG). Stand: 4. September 2026

Kurzfassung

Kealy ist so gebaut, dass der Server die Namen deiner Schülerinnen und Schüler nie zu sehen bekommt. Namen und Kontaktdaten werden auf deinem Gerät verschlüsselt, bevor sie übertragen werden. Auf dem Server liegen sie ausschließlich als Geheimtext, zu dem wir keinen Schlüssel besitzen. Leistungsdaten wie Prozentwerte und Noten liegen im Klartext, jedoch nur an einem Pseudonym — ohne den Schlüssel auf deinem Gerät sind sie keiner Person zuzuordnen.

1. Verantwortlicher

Kealy ist ein privates Projekt zweier Privatpersonen und wird nicht unternehmerisch betrieben. Beide entscheiden gemeinsam über Zwecke und Mittel der Verarbeitung und sind deshalb gemeinsam Verantwortliche nach Art. 26 DSGVO. Du kannst deine Rechte gegenüber jedem von beiden geltend machen; die untenstehende Adresse erreicht beide.

Verantwortliche im Sinne des Art. 4 Z 7 DSGVO

Vorname Nachname und Vorname Nachname, Musterstraße 1/2/3, 1010 Wien, Österreich

E-Mail für Datenschutzanfragen

hallo@kealy.app

Datenschutzbeauftragter

Es besteht keine Bestellpflicht nach Art. 37 DSGVO — es gibt weder eine Behörde noch eine umfangreiche Überwachung noch eine Kerntätigkeit im Sinne dieser Bestimmung. Richte Anfragen bitte an die oben genannte Adresse.

Die Nutzung ist unentgeltlich. Das ändert nichts an unseren Pflichten: Die DSGVO unterscheidet nicht danach, ob für einen Dienst bezahlt wird, und die Ausnahme für rein persönliche Tätigkeiten (Art. 2 Abs. 2 lit. c) greift hier nicht, weil die Anwendung öffentlich bereitsteht.

Wer von uns beiden was übernimmt

Art. 26 Abs. 1 DSGVO verlangt von gemeinsam Verantwortlichen eine Vereinbarung darüber, wer welche Pflicht erfüllt; Abs. 2 verlangt, dass du das Wesentliche daraus erfährst. Wir haben das schriftlich festgehalten. Das Wesentliche:

• Über Zweck und Mittel entscheiden wir gemeinsam. Keiner von uns beiden führt eine Verarbeitung ein, die der andere nicht kennt.
• Anfragen zu deinen Rechten (Art. 15 bis 21) bearbeitet in erster Linie Vorname Nachname. Antworten gehen immer von hallo@kealy.app aus, und diese Adresse erreicht uns beide.
• Für die technische Sicherheit (Art. 32), die Sicherungen und die Verträge mit unseren Dienstleistern (Art. 28) ist in erster Linie Vorname Nachname zuständig.
• Eine Verletzung des Datenschutzes melden wir gemeinsam — wer sie zuerst bemerkt, verständigt unverzüglich den anderen; die Meldung an die Datenschutzbehörde (Art. 33) und die Verständigung der Betroffenen (Art. 34) zeichnen wir beide.
• Diese Information nach Art. 13 und 14 — also der Text, den du gerade liest — verantworten wir gemeinsam.
• Das Verzeichnis der Verarbeitungstätigkeiten (Art. 30) führen wir gemeinsam und in eigenem Namen. Es gibt keine Gesellschaft, hinter der wir stünden.

Du musst dir das nicht merken. Nach Art. 26 Abs. 3 DSGVO kannst du deine Rechte unabhängig von dieser Aufteilung gegen jeden von uns beiden geltend machen. Die Aufteilung regelt, wer bei uns die Arbeit tut — sie ist kein Weg, dich weiterzuschicken.

2. Abgrenzung der Verantwortlichkeiten

Für die Daten deines Nutzerkontos — E-Mail-Adresse, Anmeldedaten, technische Protokolle — sind wir Verantwortlicher.

Für die Daten deiner Schülerinnen und Schüler ist nach dem Bildungsdokumentationsgesetz 2020 die Schulleitung Verantwortliche. Du als Lehrkraft verarbeitest diese Daten in Erfüllung deiner Dienstpflichten, insbesondere der Aufzeichnungspflicht nach § 4 der Leistungsbeurteilungsverordnung.

Kealy ist für diese Daten nicht Auftragsverarbeiter, weil es keinen Zugriff auf sie hat: Die Zuordnung zwischen Pseudonym und Person besteht ausschließlich verschlüsselt und ausschließlich auf deinem Gerät. Wir können diese Zuordnung technisch nicht herstellen — auch nicht auf behördliche Anordnung.

3. Welche Daten verarbeitet werden

3.1 Nutzerkonto

3.2 Daten aus dem Unterricht

Der Wiederherstellungscode, den du bei der Einrichtung erhältst, ist der einzige Weg zurück zu deinen verschlüsselten Daten, wenn du dein Passwort vergisst. Wir können ihn nicht zurücksetzen und keine Kopie erzeugen. Bewahre ihn getrennt vom Gerät auf.

Lädst du eine Klassenliste hoch, wird sie auf deinem Gerät gelesen. Die Datei selbst wird nicht übertragen. Aus RTF-Dateien übernehmen wir nur den sichtbaren Text. Gestrichene Namen aus nachverfolgten Änderungen und die Angaben zur Verfasserin bleiben aussen vor.

3.3 Angaben zur Gesundheit

Ein Fehlgrund kann eine Angabe zur Gesundheit sein — etwa „krank“. Solche Daten unterliegen nach Art. 9 DSGVO strengeren Regeln als andere. Kealy begegnet dem auf drei Wegen: Die Bezeichnungen der Fehlgründe wählst du, und die App rät dir beim Anlegen ausdrücklich zu einer neutralen Formulierung statt einer Diagnose. Die freie Begründung zum Einzelfall wird auf deinem Gerät verschlüsselt; der Server sieht dort nur Geheimtext. Und die Zuordnung steht am Pseudonym, ist ohne deinen Schlüssel also keiner Person zuzuordnen.

Die Anwesenheitserfassung in Kealy ist deine eigene Aufzeichnungund ersetzt das Klassenbuch nicht. Für die amtliche Führung von Absenzen bleibt das System deiner Schule maßgeblich; verantwortlich dafür ist die Schulleitung.

3.4 Keine Analyse, keine Werbung

Kealy setzt keine Analysewerkzeuge, kein Tracking und keine Werbenetzwerke ein. Es werden nur technisch notwendige Cookies verwendet (Anmeldesitzung); dafür ist nach § 165 Abs. 3 TKG 2021 keine Einwilligung erforderlich.

3.5 Prüfung des Passworts gegen bekannte Datenlecks

Wenn du ein Passwort festlegst — beim Einrichten des Kontos, beim Zurücksetzen und bei der Wiederherstellung —, prüft dein Browser, ob es in bekannten Datenlecks vorkommt. Dafür fragt er beim Dienst Have I Been Pwned an.

Dein Passwort wird dabei nicht übertragen — auch nicht verschlüsselt und auch nicht als Prüfsumme. Übertragen werden die ersten fünf Zeichen einer Prüfsumme des Passworts. Der Dienst antwortet mit allen ihm bekannten Prüfsummen, die so beginnen — meist einige hundert —, und der Vergleich findet wieder auf deinem Gerät statt. Der Dienst erfährt dadurch weder, welche davon wir suchen, noch ob wir etwas gefunden haben. Dieses Verfahren heißt k-Anonymität.

Gegenüber dem Dienst wird dabei die IP-Adresse deines Geräts sichtbar; das lässt sich bei einem Abruf aus dem Browser nicht vermeiden. Es ist die einzige Stelle der Anwendung, an der dein Gerät einen fremden Server kontaktiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — unser und dein berechtigtes Interesse daran, dass an deinem Konto kein Passwort hängt, das auf jeder Wortliste steht. Ist der Dienst nicht erreichbar, wird die Prüfung übersprungen; die Anmeldung funktioniert weiter.

Warum wir das selbst tun: Unser Anmeldedienst könnte es nicht. Er bekommt dein Passwort nie zu sehen, sondern nur einen daraus abgeleiteten Wert — und der steht naturgemäß in keinem Leck. Eine Prüfung dort wäre eine Prüfung des Falschen.

3.6 Rückmeldungen an uns

Unter Mehr → Verbesserungswünsche und in den Nutzungsbedingungen steht ein Formular, mit dem du uns Fehler, Wünsche und Kritik schicken kannst. Was dabei verarbeitet wird, steht hier — und zwar ausdrücklich, weil dieses eine Feld sich von allen anderen unterscheidet.

Dieser Text ist nicht verschlüsselt. Er ist die einzige Stelle der Anwendung, an der das so ist — und zwar zwangsläufig: Eine Nachricht an uns muss uns erreichen, und der Schlüssel für alles andere liegt auf deinem Gerät. Das Formular schreibt es über dem Feld an und warnt, wenn im Text etwas wie ein Name steht. Bitte schreib keine Namen von Schülerinnen und Schülern hinein.

Die Rückmeldung hängt technisch an deinem Konto, damit du sie wiederfindest (Art. 15) und zurücknehmen kannst (Art. 17). Anonym ist sie deshalb nicht. Wer anonym bleiben möchte, schreibt uns bitte aus einem anderen Postfach. Lesen können die Rückmeldungen nur du selbst und wir als Betreiber; das ist in der Datenbank als Zeilenrichtlinie festgelegt und nicht bloß in der Oberfläche.

Zu den Bildschirmfotos im Besonderen. Ein Bild aus dieser Anwendung zeigt in aller Regel Namen von Kindern. Genau das soll hier nicht passieren: Die gesamte Bauart der Anwendung besteht darin, dass wir diese Namen nicht kennen. Deshalb nimmt das Formular ein Bild erst an, nachdem du ausdrücklich bestätigt hast, dass keine Namen darauf zu erkennen sind — bitte prüfe das wirklich und decke im Zweifel ab. Wir löschen die Bilder nach 30 Tagen; ansehen können sie nur du und wir. Du kannst sie jederzeit entfernen, indem du die Rückmeldung zurücknimmst.

Löschst du dein Konto, verschwinden deine Rückmeldungen mit — samt Bildern und dem Gespräch dazu, auch dann, wenn uns damit ein Fehlerbericht abhandenkommt.

3.7 Das Quiz auf den Geräten der Schülerinnen und Schüler

Beim Quiz („Mind Zap“) sprechen erstmals Geräte von Kindern mit unserem Server — in allen übrigen Teilen der Anwendung tut das nur die Lehrkraft. Deshalb steht hier ausdrücklich, was dabei geschieht. Die Kinder brauchen dafür kein Konto und geben keinen Namen an.

Zwei Arten von Runden, zwei Fristen. Eine Schnellrunde hat nach dem Endstand keinen Zweck mehr; ihre Teilnahmen werden nach dreißig Tagen gelöscht — so lange, damit die Lehrkraft noch einmal nachsehen kann. Eine gewertete Runde zählt für die Jahreswertung und bleibt bis zwei Monate nach dem Ende des Schuljahres, in dem sie gespielt wurde — so lange, dass ein Einspruch gegen die Wertung noch nachprüfbar ist.

Auf dem Gerät des Kindes bleibt bis zum Ende der Runde eine Kennung gespeichert, mit der es nach einem Verbindungsabbruch an seinen Platz zurückfindet. Sie ist für die Nutzung technisch erforderlich (§ 165 Abs. 3 TKG 2021) und verschwindet mit dem Löschen der Websitedaten. Analyse oder Werbung findet auch hier nicht statt.

Wer wofür verantwortlich ist. Über den Einsatz des Quiz im Unterricht entscheidet die Schule; sie ist dafür Verantwortliche im Sinne des Art. 4 Z 7 DSGVO, Kealy ist Auftragsverarbeiter nach Art. 28. Rechte nach Art. 15 bis 22 DSGVO — Auskunft, Berichtigung, Löschung — sind deshalb gegenüber der Schule geltend zu machen. Wir können sie nicht selbst erfüllen, und der Grund ist derselbe, aus dem dieses Verfahren datensparsam ist: Wir wissen nicht, welches Kind hinter einem Spitznamen oder einem Zettel steht. Die Lehrkraft kann eine Teilnahme jederzeit löschen.

Der Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO, den die Schule dafür braucht, steht in Abschnitt 7 der Nutzungsbedingungen — mit Gegenstand, Datenarten, Unterauftragsverarbeitern, Löschfristen und Meldepflichten. Er kommt mit der Nutzung zustande; niemand muss etwas unterschreiben oder uns anschreiben.

4. Empfänger

Wir setzen folgende Auftragsverarbeiter nach Art. 28 DSGVO ein. Mit allen bestehen Auftragsverarbeitungsverträge.

4.1 Warum E-Mails überhaupt versendet werden

Es gibt genau zwei Anlässe: die Bestätigung deiner E-Mail-Adresse beim Einrichten des Kontos und das Zurücksetzen des Passworts. Beides beruht auf Art. 6 Abs. 1 lit. b DSGVO — ohne bestätigte Adresse ließe sich weder ein Konto zuordnen noch ein Zugang wiederherstellen.

Wenn du bei der Einrichtung zusätzlich Produktinfos angehakt hast, senden wir dir ein paar Mal im Jahr eine Nachricht über neue Funktionen. Das ist freiwillig (Art. 6 Abs. 1 lit. a) und in deinem Konto jederzeit mit einem Klick widerrufbar — der Widerruf berührt den Betrieb deines Kontos nicht.

Kein Tracking in E-Mails. Wir setzen keine Zählpixel und keine umgeschriebenen Links ein; ob und wann du eine Nachricht öffnest, erfahren wir nicht.

4.2 Übermittlung in Drittländer

Für den E-Mail-Versand gar nicht. Der Anbieter sitzt in Frankreich und verarbeitet dort; ein Drittlandbezug entsteht nicht. Das war bei der Auswahl der Ausschlag — bei diesem Dienst geht deine E-Mail-Adresse hinaus, und der Weg dorthin sollte die EU nicht verlassen.

Bei Datenbank und Auslieferung liegt der Sitz der Anbieter außerhalb der EU, verarbeitet wird jedoch in Deutschland. Eine Übermittlung in ein Drittland kann bei Fernwartung und Unterstützungsleistungen nicht ausgeschlossen werden. Sie stützt sich auf die Standardvertragsklauseln der Kommission (Durchführungsbeschluss 2021/914) sowie — soweit anwendbar — auf die Zertifizierung nach dem EU-US Data Privacy Framework.

Bei der täglichen Sicherung sehr wohl, und zwar planmäßig: Sie wird in den USA verwahrt. Der Grund und die Schutzmaßnahmen stehen in Abschnitt 5 — der Punkt gehört dorthin, wo die Sicherung erklärt wird, und nicht in eine Aufzählung, die man überliest.

Weil Namen und Freitexte den Server nur verschlüsselt erreichen, wären auch bei einem Zugriff im Drittland keine identifizierenden Daten lesbar.

4.3 Spenden

Für freiwillige Spenden (siehe Nutzungsbedingungen) verweisen wir auf einen externen Weg. Wenn du ihn nutzt, verarbeitet der dortige Anbieter deine Zahlungsdaten eigenverantwortlich und nach seiner eigenen Datenschutzerklärung; wir sind dafür nicht Verantwortliche.

Eine Spende wird deinem Konto nicht zugeordnet. Wir führen keine Liste darüber, wer gespendet hat, und die Anwendung verhält sich für alle gleich. Wenn du uns von dir aus schreibst, dass eine Spende von dir stammt, wissen wir es — aus der Anwendung heraus erfahren wir es nicht.

5. Verschlüsselte Sicherung

Einmal täglich wird eine Sicherung deiner Daten erstellt und 30 Tage aufbewahrt. Sie dient ausschließlich der Wiederherstellung nach einem technischen Ausfall.

Bis zum 15. September 2026 geschah das wöchentlich. Der Abstand ist jetzt ein Tag, weil im schlechtesten Fall genau dieser Abstand verlorenginge — und eine Woche Unterricht ist mehr, als sich nachtragen lässt. An der Aufbewahrungsfrist ändert das nichts: Sie bleibt bei 30 Tagen.

Die Sicherung wird verschlüsselt, bevor sie den Rechner verlässt, auf dem sie entsteht (AES-256). Verwahrt wird sie bei GitHub Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA — dort liegt ausschließlich Geheimtext, zu dem GitHub keinen Schlüssel besitzt. Die verschlüsselten Felder aus Abschnitt 3.2 sind darin doppelt geschützt: Sie waren schon vorher Geheimtext.

Warum nicht beim selben Anbieter? Eine Sicherung, die neben dem Original liegt, teilt dessen Schicksal. Sie hilft gegen einen Fehler in der Anwendung, aber nicht gegen den Verlust des Dienstes — also nicht gegen den Fall, für den man Sicherungen anlegt. Deshalb liegt sie woanders, und deshalb ist sie verschlüsselt: Der Ort muss nicht vertrauenswürdig sein, wenn der Inhalt es nicht verlangt.

Die Verwahrung in den USA ist eine Übermittlung in ein Drittland, und wir benennen sie ausdrücklich, statt sie in Abschnitt 4.2 unterzubringen. Sie stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO); die Verschlüsselung ohne Schlüsselzugriff des Empfängers ist zusätzlich die Maßnahme, die der Europäische Datenschutzausschuss in seiner Empfehlung 01/2020 für genau diesen Fall — Speicherung zur Sicherung ohne Zugriff im Klartext — als wirksam bezeichnet.

Nicht in der Sicherung enthalten sind die Daten der laufenden Quizrunden — Spitznamen, Antworten und Punktestände der Kinder. Sie verfallen ohnehin nach kurzer Zeit (Abschnitt 3.7), und für sie soll es bei dem bleiben, was Abschnitt 7 der Nutzungsbedingungen zusagt: keine Übermittlung in ein Drittland.

6. Einwilligungen und ihr Widerruf

Wir zeichnen auf, wann du welcher Fassung welches Textes zugestimmt hast — dazu sind wir nach Art. 7 Abs. 1 DSGVO verpflichtet, weil wir die Einwilligung nachweisen können müssen. Gespeichert werden Zweck, Zeitpunkt und Fassung, sonst nichts.

Ausdrücklich nicht gespeichert werden IP-Adresse und Browserkennung. Beides wird häufig „zur Beweissicherung“ mitgeschrieben, ist dafür aber nicht erforderlich und widerspräche dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c).

Einen Widerruf findest du unter Mein Konto → Datenschutz. Er wirkt sofort und ist genauso einfach wie die Erteilung (Art. 7 Abs. 3). Die Aufzeichnung selbst bleibt bestehen und wird als widerrufen markiert — sie belegt, dass damals eingewilligt wurde, und wäre andernfalls als Nachweis wertlos.

7. Deine Rechte

Dir stehen gegenüber uns folgende Rechte zu:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)

Deine Daten kannst du jederzeit selbst exportieren und dein Konto samt aller Daten selbst löschen — dafür ist keine Anfrage bei uns nötig.

Für Daten, die deine Schülerinnen und Schüler betreffen, richten sich Betroffenenrechte an die Schulleitung als Verantwortliche. Wir können solche Anfragen technisch nicht beantworten, weil uns die Zuordnung nicht möglich ist.

8. Beschwerderecht

Du hast das Recht, dich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO, § 24 DSG). Da wir unseren Wohnsitz in Österreich haben, ist zuständig die

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
dsb.gv.at

9. Keine automatisierte Entscheidung im Einzelfall

Kealy berechnet Notenvorschläge und weist auf Fristen nach § 19 Abs. 3a SchUG hin. Diese Ausgaben sind Vorschläge. Eine Note entsteht erst durch deine ausdrückliche Bestätigung. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt — dies entspricht zugleich § 4 der Leistungsbeurteilungsverordnung.

10. Pflicht zur Bereitstellung

Die Angabe einer E-Mail-Adresse ist für die Einrichtung eines Kontos erforderlich. Ohne sie kann die Anwendung nicht genutzt werden. Weitere Angaben sind freiwillig.

11. Änderungen dieser Erklärung

Ändert sich die Verarbeitung, passen wir diese Erklärung an und weisen dich beim nächsten Anmelden darauf hin. Die jeweils geltende Fassung ist unter /datenschutz abrufbar; die Bedingungen für die Nutzung stehen in den Nutzungsbedingungen.