Datenschutz und Sicherheit bei examundo

Stand: September 2026

Diese Seite fasst zusammen, wo die Daten liegen, was besonders geschützt ist, wie die KI-Funktionen arbeiten und wer nach der DSGVO wofür verantwortlich ist. Sie richtet sich an Schulleitung, Datenschutzbeauftragte und Kollegium. Verbindlich sind die Datenschutzerklärung und der Auftragsverarbeitungsvertrag; beide finden Sie am Ende der Seite zum Herunterladen.

Wo die Daten liegen

examundo läuft auf gemieteten Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) im Rechenzentrum Falkenstein in Deutschland, in einer containerisierten Umgebung. Der Rechenzentrumsbetreiber verantwortet die physische Sicherheit und die Zutrittskontrolle, examundo hat keinen physischen Zugang zur Hardware. Mit der Hetzner Online GmbH besteht ein Vertrag zur Auftragsverarbeitung.

Klausuren, Aufgaben und Bewertungen liegen in einer PostgreSQL-Datenbank, technische Betriebsdaten in einer Telemetriedatenbank auf demselben Server. Der Objektspeicher für Anhänge, Bilder und Aufnahmen läuft ebenfalls auf diesem Server, ein externer Objektspeicher wird nicht genutzt. Aus dem Internet erreichbar ist der Reverse Proxy, die Datenbank ist es nicht.

Gesichert wird nächtlich um 03:30 Uhr. Lokale Sicherungen werden 14 Tage vorgehalten. Zusätzlich liegt eine vor der Übertragung verschlüsselte Kopie auf einem getrennten Speicher der Hetzner Online GmbH in Deutschland, mit einem Bestand von 7 täglichen, 4 wöchentlichen und 6 monatlichen Ständen. Der Schlüssel dieser Kopie liegt nicht beim Speicheranbieter.

Den Servern vorgeschaltet ist ein Schutz- und Auslieferungsdienst von Cloudflare. Er wehrt Überlastangriffe ab, filtert missbräuchliche Zugriffe und liefert Inhalte beschleunigt aus. Da die Transportverschlüsselung an diesem Dienst endet, können technisch die IP-Adresse des anfragenden Geräts und die übertragenen Inhalte verarbeitet werden. Eine Speicherung der Inhalte findet nicht statt. Rechtsgrundlage ist das berechtigte Interesse an einem sicheren und verfügbaren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Ende-zu-Ende-Verschlüsselung der Schülernamen

Jeder Schülername wird im Browser der Lehrkraft mit AES-GCM (256 Bit) verschlüsselt, bevor er den Server erreicht. Der Hauptschlüssel wird aus einem Passwort der Lehrkraft abgeleitet (PBKDF2-HMAC-SHA256, 210.000 Iterationen) und verlässt den Browser nicht. Auf dem Server liegen Pseudonym und Chiffrat. examundo kann diese Namen nicht lesen. Die Schnittstelle nimmt keinen Namen im Klartext entgegen, es gibt also keinen Weg, auf dem ein Klarname auf dem Server abgelegt werden könnte. Geht das Passwort verloren, sind die Namen nicht wiederherstellbar.

Was Schülerinnen und Schüler brauchen

Schülerinnen und Schüler brauchen kein Konto und keine E-Mail-Adresse. Die Teilnahme an einer Klausur läuft über einen Einmal-Zugangscode der Lehrkraft auf exam.examundo.com; die Sitzung ist ephemer und wird über ein kurzlebiges Sitzungstoken abgewickelt. Das Schülerportal auf student.examundo.com ist ein dauerhafter, pseudonymer Zugang aus Kennung und Login-Code, der zeitkonstant verglichen wird. Eigene Ergebnisse erscheinen dort, sobald die Lehrkraft sie freigibt. Alle Schüler-Endpunkte sind je IP-Adresse in der Rate begrenzt.

Vor Beginn der Bearbeitung wird beim ersten Login eine ausdrückliche Einwilligung eingeholt (Auswahlkästchen), dass die gegebenen Antworten zur Bewertung an einen KI-Dienst übermittelt werden. Zum Nachweis dieser Einwilligung werden der Zeitpunkt und die IP-Adresse protokolliert. Einwilligungen von Erziehungsberechtigten holt die Schule ein, wo sie erforderlich sind.

Wie die KI-Funktionen arbeiten

KI unterstützt bei der Bewertung von Freitext- und Kurzantworten sowie beim Erstellen von Klausuren. Die Anbindung läuft über ein eigenes KI-Gateway an den Vermittlungsdienst OpenRouter mit EU-Routing, die Modelle (unter anderem von Anthropic, OpenAI und Google) werden in der EU betrieben. Übermittelt werden Antworttext, Aufgabenstellung, Erwartungshorizont und Bewertungskriterien, dazu die Klassenstufe.

Jede Anfrage an die KI-Anbindung trägt die Vorgabe, dass die übermittelten Inhalte nicht für das Training von Modellen verwendet werden dürfen. Findet sich kein Anbieter, der das zusichert, bricht die Anfrage ab; es gibt keinen Rückfall auf eine Verarbeitung ohne diese Vorgabe. Das Gateway protokolliert Metadaten wie Token, Kosten und Dauer, keine Inhalte, auch nicht im Fehlerfall.

Die Bewertung durch die KI ist eine Hilfestellung: Sie erzeugt Vorschläge, die die Lehrkraft bestätigt oder ändert. Es findet keine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt.

Die KI-gestützten Funktionen lassen sich abschalten, und zwar auf zwei Ebenen: für die gesamte Schule und für eine einzelne Klausur. Beide wirken zusammen, eine einzelne Klausur kann die Entscheidung der Schule nicht aufheben. Der Schalter der Schule bindet ihre Mitglieder auch für Klausuren in deren persönlichem Arbeitsbereich; das ist bewusst so gelöst, weil eine neue Klausur standardmäßig dort angelegt wird. Geprüft wird an der Stelle, an der die Anfrage das System verlässt, nicht in der Bedienoberfläche. Untersagt die Schule die Nutzung, entfallen die Übermittlungen an OpenRouter und die Modellanbieter vollständig, der Betrieb der übrigen Funktionen bleibt davon unberührt. Jede Umstellung wird protokolliert.

Eine Übermittlung in ein Drittland, insbesondere in die Vereinigten Staaten, kann bei der Verarbeitung durch die Anbieter erfolgen. Sie stützt sich auf geeignete Garantien nach Kapitel V DSGVO, insbesondere auf die Standardvertragsklauseln der Europäischen Kommission beziehungsweise auf eine Zertifizierung nach dem EU-US Data Privacy Framework. Wo europäische Endpunkte der Anbieter verfügbar sind, werden sie gewählt. Die KI-Bildgenerierung läuft über den globalen Endpunkt des Vermittlungsdienstes; sie verarbeitet Eingaben der Lehrkraft und keine Schülerdaten.

Was nicht an ein Modell geht

• Namen von Schülerinnen und Schülern
• E-Mail-Adressen
• Klassen- und Schulbezeichnung
• interne Kennungen (IDs)

Auch beim Einlesen von Papierklausuren geht kein Deckblatt an ein Modell: die Zuordnung läuft über den QR-Code auf dem Heft, an die KI gehen die Antworten.

Wer die Daten im Auftrag verarbeitet

Die folgenden Unterauftragsverarbeiter sind in Anlage 3 des Auftragsverarbeitungsvertrages aufgeführt und mit dessen Abschluss genehmigt. Über einen neuen oder gewechselten Unterauftragsverarbeiter informieren wir mindestens 30 Tage vorher in Textform; die Schule kann aus einem wichtigen datenschutzrechtlichen Grund widersprechen.

Die Speicherung und die reguläre Verarbeitung finden in Deutschland statt. Bei den Diensten mit Sitz oder Muttergesellschaft in den Vereinigten Staaten ist ein Zugriff aus einem Drittland nicht auszuschließen; diese Übermittlungen stützen sich auf die Standardvertragsklauseln der Europäischen Kommission beziehungsweise auf eine Zertifizierung nach dem EU-US Data Privacy Framework.

Wie lange die Daten bleiben

• Server-Logfiles: täglich rotiert, spätestens nach sieben Tagen gelöscht oder anonymisiert.
• Kennzahlen der KI-Anbindung: nach sechs Monaten gelöscht.
• Integritätsdaten des Täuschungsschutzes: nach 24 Monaten gelöscht.
• Zwischenstufen eingelesener Papierklausuren (entzerrte Seiten und Ausschnitte je Aufgabe): 30 Tage nach der Rückgabe der Ergebnisse gelöscht. Der hochgeladene Stapel bleibt als Beleg, solange die Lehrkraft ihn behält.
• Ergebnisdateien von Exporten (PDF, Datenexport): nach sieben Tagen gelöscht, der Auftragseintrag nach 90 Tagen.
• Protokoll der sicherheits- und bewertungsrelevanten Vorgänge: für die Dauer des Kontos.
• Klausuren, Klassen und Bewertungen: für die Laufzeit des Vertrages. Lehrkräfte löschen einzelne Klausuren jederzeit selbst, einschließlich der zugehörigen Abgaben, Bewertungen und Dateien; ebenso lassen sich Klassen und einzelne Schülerzuordnungen entfernen.
• Konto: Lehrkräfte löschen es selbst im Profil unter Daten, nach erneuter Eingabe des Passworts und Bestätigung der eigenen E-Mail-Adresse. Vorher lassen sich alle eigenen Daten als Archiv herunterladen. Rechnungen bleiben aufgrund der steuerrechtlichen Aufbewahrungspflichten erhalten, vom Konto abgekoppelt.
• Nach Vertragsende: Löschung oder Rückgabe nach Wahl der Schule innerhalb von 30 Tagen nach Ablauf der Mitteilungsfrist. Kopien in Sicherungen werden mit dem regulären Rotationszyklus gelöscht, spätestens nach 90 Tagen. Während der Laufzeit und bis zum Ablauf dieser Frist kann die Schule ihre Daten jederzeit selbst über die Exportfunktionen herausziehen.
• Rechnungen und Zahlungsbelege: für die handels- und steuerrechtlichen Aufbewahrungsfristen (§ 147 AO, § 14b UStG, bis zu zehn Jahre), auch wenn das Konto zwischenzeitlich gelöscht wurde.

Technische und organisatorische Maßnahmen

Die Maßnahmen nach Art. 32 DSGVO sind in Anlage 2 des Auftragsverarbeitungsvertrages ausführlich beschrieben und gelten für alle Verarbeitungen. Zusammengefasst:

Zugang zu Systemen

• Passwörter werden ausschließlich als bcrypt-Hash mit individuellem Salt gespeichert, niemals im Klartext. Die Passwortstärke wird serverseitig geprüft, zu schwache Passwörter werden abgelehnt.
• Zwei-Faktor-Authentisierung über zeitbasierte Einmalkennwörter (TOTP) steht zur Verfügung. Das Geheimnis wird verschlüsselt gespeichert, Wiederherstellungscodes werden als Hash abgelegt und sind einmal verwendbar.
• Sitzungen laufen über kryptografisch signierte Cookies mit den Attributen HttpOnly, SameSite und, im Produktivbetrieb, Secure. Eine Passwortänderung macht alle bestehenden Sitzungen der betroffenen Lehrkraft sofort ungültig.
• Ratenbegrenzung pro IP-Adresse auf Anmeldung, Zwei-Faktor-Prüfung, Passwort-Zurücksetzung und alle Schüler-Endpunkte.
• Administrativer Serverzugang ausschließlich über SSH mit öffentlichem Schlüssel auf einem nicht standardmäßigen Port, für genau eine Person. Die Verwaltungsoberfläche ist dreifach geschützt: eigenes Sitzungscookie, gesondertes Rechte-Kennzeichen am Konto und eine Beschränkung auf wenige freigegebene IP-Adressen am Reverse Proxy.

Zugriff und Trennung

• Rollen innerhalb einer Schule: Eigentümer, Verwaltung, Mitglied. Rechte werden serverseitig bei jeder Anfrage geprüft.
• Mandantentrennung: Jede Anfrage auf eine fremde Ressource wird abgewiesen, ohne deren Existenz preiszugeben. Die Trennung ist durch automatisierte Tests abgedeckt, die bei jeder Änderung laufen.
• Ein Support-Zugriff auf ein Lehrkraftkonto ist ausschließlich über die Verwaltungsoberfläche möglich und wird mit handelnder Person und Zeitpunkt protokolliert.
• Paketfilter mit Grundregel "verboten", offen sind die Ports für administrativen Zugang, HTTP und HTTPS.

Integrität der Übertragung und Eingabe

• Alle Verbindungen sind mit TLS verschlüsselt, Zertifikate werden automatisiert ausgestellt und erneuert, unverschlüsselte Verbindungen werden auf HTTPS umgeleitet. Browser werden angewiesen, die Dienste über HTTPS aufzurufen (HSTS mit einer Gültigkeit von einem Jahr, einschließlich aller Unterdomänen).
• Hochgeladene Dateien werden anhand ihrer tatsächlichen Signatur im Dateikopf geprüft, nicht anhand der Angaben des Browsers. Nicht passende Dateien werden abgewiesen, für alle Dateitypen gelten Größenbeschränkungen.
• Ausgelieferte Dateien erhalten die Kopfzeilen zur Unterbindung der Inhaltserkennung und eine restriktive Inhaltsrichtlinie. Alles außer Bildern, Audio und PDF wird als Download ausgeliefert und nicht im Browser dargestellt.
• Von Lehrkräften bereitgestelltes Audio- und Bildmaterial wird nicht öffentlich verlinkt, sondern authentifiziert an berechtigte Teilnehmerinnen und Teilnehmer gestreamt. Wiedergaben werden protokolliert.
• Sicherheits- und bewertungsrelevante Vorgänge werden mit handelnder Person, Zeitpunkt, Aktion, betroffenem Objekt, Vorher- und Nachher-Wert sowie IP-Adresse protokolliert. Erfasst sind unter anderem Anmeldung, Passwortänderung, jede Änderung einer Bewertung, Freigaben sowie Änderungen an Team und Rollen. Die Schule kann das Protokoll für ihren Bereich einsehen.

Verfügbarkeit und Belastbarkeit

• Nächtliche Sicherung von Datenbank und Objektspeicher, wie oben beschrieben.
• Vorgeschalteter Dienst zur Abwehr von Überlastangriffen und zur Auslieferung.
• Automatische Einspielung von Sicherheitsaktualisierungen des Betriebssystems sowie ein Dienst zur Sperrung auffälliger IP-Adressen.
• Wöchentliche automatisierte Aktualisierung der Programmbibliotheken mit vorgelagerter Testausführung.

Wer nach der DSGVO verantwortlich ist

Für die Daten der Schülerinnen und Schüler ist die Schule beziehungsweise die Lehrkraft Verantwortliche im Sinne der DSGVO. examundo ist Auftragsverarbeiter und verarbeitet nach dokumentierten Weisungen. Die Bedienung der Software durch die Lehrkräfte gilt als Weisung, darüber hinausgehende Weisungen erfolgen in Textform an privacy@examundo.com.

Grundlage ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, der als Anlage 1 Bestandteil der AGB ist und mit deren Annahme geschlossen wird. Schulen und Schulträger, die eine unterzeichnete Fassung wünschen, erhalten sie über die oben genannte Adresse. Eine Verarbeitung zu eigenen Zwecken, insbesondere zu Werbezwecken, zur Erstellung von Profilen oder zum Training von Modellen der künstlichen Intelligenz, findet nicht statt.

Eine Verletzung des Schutzes personenbezogener Daten meldet examundo der Schule unverzüglich nach Bekanntwerden, in Textform an die im Vertrag benannte Kontaktstelle. Die Einhaltung der Pflichten weist examundo auf Anfrage nach, insbesondere durch die Beschreibung der technischen und organisatorischen Maßnahmen; reichen diese Nachweise nicht aus, kann die Schule vor Ort prüfen oder prüfen lassen. Anträge betroffener Personen, die unmittelbar bei examundo eingehen, werden an die Schule weitergeleitet und nicht selbst beantwortet.

Verantwortlicher für den eigenen Betrieb, etwa das Lehrkraftkonto, die Abrechnung und die Website, ist die seventynine ventures UG (haftungsbeschränkt), Fuhrmannsgasse 7, 79108 Freiburg im Breisgau. Die Voraussetzungen für die Benennung einer oder eines Datenschutzbeauftragten nach Art. 37 DSGVO und § 38 BDSG liegen nicht vor, Ansprechstelle für den Datenschutz ist privacy@examundo.com. Zuständige Aufsichtsbehörde ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Unterlagen für Ihre Akte

Dazu online: die Datenschutzerklärung, die AGB und das Impressum. Weitere Nachweise sowie das Verzeichnis der Verarbeitungen im Auftrag stellen wir Schulen auf Anfrage zur Verfügung.

Kontakt für Datenschutzfragen

Fragen der Datenschutzbeauftragten, Auskunfts- und Löschersuchen sowie Anfragen zum Auftragsverarbeitungsvertrag: privacy@examundo.com. Für alles Übrige erreichen Sie uns unter hello@examundo.com.

Verbindlich sind die Datenschutzerklärung und der Auftragsverarbeitungsvertrag.