Für Schulleitung und Datenschutzbeauftragte · Stand 2026-09-30

Datenschutzpaket

Vier Dokumente, die vor einer Schullizenz verlangt werden: Auftragsverarbeitungsvertrag (Art. 28 DSGVO), technische und organisatorische Maßnahmen (Art. 32), Baustein für das Verzeichnis der Schule (Art. 30), Hosting-Nachweis. Inhalte kommen aus dem Verarbeitungsverzeichnis, das gegen das Datenmodell geprüft wird. Entwurf – vor dem ersten Abschluss anwaltlich prüfen lassen.

Vor dem Versand am eigenen Betrieb bestätigen

Zwei-Faktor-Authentisierung ist bei Vercel, Supabase und Brevo eingeschaltet.
HSTS ist in der Vercel-Projektkonfiguration aktiv.
Eine Wiederherstellung aus der Supabase-Sicherung wurde einmal tatsächlich durchgeführt und in DEPLOY.md datiert.
Der Verschlüsselungsschlüssel (Umgebungsvariable) liegt nur bei Vercel, nirgends im Repository.
Mit Vercel, Supabase und Brevo sind die AVV (DPA) in deren Konsolen akzeptiert; Kopien abgelegt.
Kein Test- oder Entwicklungssystem enthält Echtdaten.

1 · Auftragsverarbeitungsvertrag

§ 1 Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers (der Schule) zum Betrieb der Unterrichtsplanungs-Software Tuttuno. Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

Die Laufzeit entspricht der Laufzeit des Hauptvertrags (Schullizenz). Bei Beendigung des Hauptvertrags endet auch dieser Vertrag; § 9 bleibt unberührt.

§ 2 Ort der Verarbeitung

Die Verarbeitung findet in Mitgliedstaaten der Europäischen Union statt (Anlage 3). Einzige Ausnahme: Wählt der Auftraggeber für das Sprachmodell den Weg „Anthropic direkt“, wird Text von Lehrkräften und Schulleitung (mit Platzhaltern statt Namen) in den USA verarbeitet, auf Grundlage der EU-Standardvertragsklauseln (Anlage 3). Anfragen von Schülerinnen und Schülern an das Sprachmodell gehen nie in ein Drittland, sondern nur über die Wege in der EU; ist keiner eingerichtet, unterbleiben sie.

Jede weitere Verarbeitung in einem Drittland bedarf der vorherigen Zustimmung des Auftraggebers und setzt die Voraussetzungen von Kapitel V DSGVO voraus.

§ 3 Weisungsgebundenheit

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Software durch die Lehrkräfte des Auftraggebers gilt als Weisung im Rahmen der Funktionen nach Anlage 1.

Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit

Der Auftragnehmer und alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht über das Vertragsende hinaus.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird, und teilt wesentliche Änderungen mit.

§ 6 Unterauftragnehmer

Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragnehmer. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen mindestens vier Wochen im Voraus in Textform; der Auftraggeber kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen.

Mit jedem Unterauftragnehmer schließt der Auftragnehmer einen Vertrag, der diesem die gleichen Pflichten auferlegt wie dieser Vertrag.

§ 7 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Mitteln bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO), insbesondere durch Auskunfts-, Export- und Löschfunktionen in der Software.

Er unterstützt bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, und stellt hierfür das Verarbeitungsverzeichnis nach Anlage 4 bereit.

§ 8 Meldung von Verletzungen

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

§ 9 Löschung und Rückgabe

Nach Beendigung der Leistung löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch stellt er die Daten vorher in einem gängigen Format (JSON) zur Verfügung.

Während der Laufzeit gelten die Löschfristen je Verarbeitungstätigkeit nach Anlage 1.

§ 10 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen, in der Regel durch Vorlage von Nachweisen (Zertifikate der Unterauftragnehmer, Verarbeitungsverzeichnis, TOM). Vor-Ort-Kontrollen sind nach angemessener Ankündigung während der Geschäftszeiten möglich.

§ 11 Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags für den Datenschutz vor. Es gilt deutsches Recht.

Anlage 1 · Gegenstand

Zweck	Betroffene	Daten	Löschfrist
Anmeldung und Zuordnung der eigenen Lerngruppen zur Lehrkraft	Lehrkräfte	dienstliche E-Mail-Adresse; Anzeigename (freiwillig); Zeitpunkt der letzten Anmeldung; „Wo stehst du?“ (freiwillig, mit „Am Konto merken“): Berufsphase und was gerade am meisten drückt, mit Datum – steuert nur den eigenen ersten Schritt, nie über Personen ausgewertet (UserData.abholen); gesalzener Hashwert von Adresse und Anschluss mit der Zahl angeforderter Login-Mails – nur im Arbeitsspeicher, höchstens eine Stunde (lib/mail-drossel.ts)	Bis zur Löschung des Kontos durch die Lehrkraft (/ich/konto-loeschen, mit Vorschau); danach unverzüglich. Lerngruppen mit Team gehen dabei an das Team über, die übrigen werden gelöscht; Rückmeldungen bleiben ohne Konto und Adresse.
Anmeldung mit 6-stelligem Code, wenn der Link aus der Mail nicht in der App ankommt (Home-Bildschirm auf iPhone und iPad)	Lehrkräfte	HMAC-Hash aus Adresse und Code mit Ablaufzeit (Tabelle VerificationToken); je Fehlversuch eine Zeile mit HMAC der Adresse (nicht die Adresse selbst) in derselben Tabelle, 10 Minuten gültig; gesalzener Hash des Anschlusses mit Zahl der Fehlversuche, nur im Arbeitsspeicher	10 Minuten; gelöscht beim Einlösen, beim nächsten Code, bei der Anmeldung oder nach 5 Fehlversuchen.
Schutz der Klassen-, Kurz- und Hausaufgabencodes gegen Erraten per Skript: Fehlversuche je Anschluss zählen und nach 60 in 10 Minuten sperren	Lehrkräfte, Schüler:innen, Erziehungsberechtigte	gesalzener Hashwert der IP-Adresse (nicht umkehrbar) und Zahl der Fehlversuche im laufenden Zeitfenster	Nur im Arbeitsspeicher des Servers, höchstens 10 Minuten; nie in der Datenbank.
Mein Zugangscode: Ein Kind öffnet seine pseudonyme Lernstrecke von jedem Gerät aus wieder, ohne Mail, Passwort oder Namen – etwa wenn das Handy verloren ist	Schüler:innen	an der Lernstrecke: SHA-256-Prüfwert des zwölfstelligen Codes und der Tag, an dem er gemacht wurde – nie der Code selbst, keine Uhrzeit, kein Gerät; bei der Eingabe: gesalzener Hashwert der IP-Adresse und Zahl der Fehlversuche, nur im Arbeitsspeicher (Drossel)	Der Prüfwert lebt so lange wie die Lernstrecke und fällt mit ihr weg; das Kind löscht ihn jederzeit selbst („Code löschen“) oder ersetzt ihn durch einen neuen. Die Drossel vergisst nach einer Stunde.
Entwürfe eines Sprachmodells (Claude, Anbieter Anthropic) auf Klick einer Lehrkraft oder der Schulleitung: Übersetzung einer Elternmail sowie Elternbrief, Einladung, Protokoll, Antrag, Mitteilung ans Kollegium, Stundenziel und Aufgabenstellung aus eigenen Stichpunkten	Lehrkräfte	der Text der Lehrkraft ohne Namen (Kinder und Lehrkraft sind vor dem Versand durch Platzhalter ersetzt); Zahl der Aufrufe im Monat am Konto der Lehrkraft	Prompt und Antwort werden nicht gespeichert; der Zähler wird monatlich überschrieben.
Verwaltung eines dazugebuchten Zusatzes am Konto der Lehrkraft – welcher, bis wann, und wie viele Entwürfe im laufenden Monat abgerufen wurden	Lehrkräfte	Kennung des gebuchten Zusatzes („entwurfshelfer“); Tag, bis zu dem gebucht ist; Zähler der Entwürfe im laufenden Monat (eine Zahl, kein Inhalt, kein Zeitpunkt je Abruf)	Bis zum Abbestellen des Zusatzes oder zur Löschung des Kontos; der Monatszähler wird mit dem Monatswechsel überschrieben und beim Abbestellen mit entfernt.
Festhalten, wie viel ein Sprachmodell überhaupt zu sehen bekommt – die Schule setzt die Obergrenze, die Lehrkraft kann für sich nur darunter bleiben	Lehrkräfte	Eine Zahl je Schule: 0 (aus), 1 (nur Text der Lehrkraft, Lehrplan und Stundenzusammenhang) oder 2 (zusätzlich anonyme Klassenzahlen); Eine Zahl je Lehrkraft, die höchstens niedriger sein kann als die der Schule – nie höher; Keine Angabe darüber, ob, wann oder wie oft jemand etwas abgerufen hat	Bis die Schule die Einstellung ändert oder die Lehrkraft ihr Konto löscht; die Zahl wird überschrieben, nicht fortgeschrieben – es entsteht kein Verlauf.
Postfach verbinden (nur Stufe „Schule mit Vertrag“): auf Knopfdruck die ungelesenen Mails im Schulpostfach der Lehrkraft lesen, daraus Termine, Fristen und Aufgaben ableiten und eine Antwort aus ihrem Postfach senden	Lehrkräfte, Schüler:innen, Erziehungsberechtigte	Am Konto der Lehrkraft (UserData.mailPostfach): Tag der Einwilligung, Anbieter, Servernamen, Anmeldename; das Passwort nur auf Wunsch, verschlüsselt; An der Schule (OrgData.mailEinbindung): an/aus, Tag, Konto der bestätigten Leitung, Tag der Freigabe durch die Datenschutzbeauftragte und der Beteiligung des Personalrats; OrgData.avv: Tag und Nummer des Vertrags; Nur im Arbeitsspeicher während eines Abrufs: Kopf und Text von höchstens 20 ungelesenen Mails – sie können Namen und Gesundheitsangaben von Kindern und Eltern enthalten (Art. 9 DSGVO möglich); danach verworfen; An die Lehrkraft zurück: Betreff mit ersetzten Namen, Absenderadresse (nur für „Antworten“), Art, Termine, Fristen, Aufgaben; Server-Protokoll je Abruf oder Versand: Monat, Art, Anzahl, Ergebnis – kein Konto, keine Schule, kein Inhalt	Mailtexte: keine Speicherung, verworfen am Ende des Abrufs. Zugangsdaten: bis zum Widerruf der Einwilligung (löscht alles), bis die Schule ausschaltet oder bis zur Löschung des Kontos.
Die Rolle je Lehrkraft und Lerngruppe (verantwortlich, zweite Lehrkraft, Vertretung) und das Amt in der Klassenleitung (Klassenleitung, auch als Team, oder Stellvertretung), damit jede Ansicht nur die Aufgaben dieser Rolle zeigt; bei mehreren Verantwortlichen oder Klassenleitungen, wer eine einmalige Aufgabe übernommen hat; kurze Beobachtungen der zweiten Lehrkraft an die Hauptlehrkraft	Lehrkräfte	an der Lerngruppe: die eigene Rolle der Person, der die Klasse gehört (Einstellung „rolle“), und je weiterer Lehrkraft derselben Schule Konto-Kennung, Rolle, Amt in der Klassenleitung (Klassenleitung, Stellvertretung oder keins) und der Tag des Beitritts – kein Name; „Die Stellvertretung übernimmt bis …“: nur erster und letzter Tag an der Lerngruppe – kein Grund, keine Person, wer fehlt; höchstens 70 Tage, wird beim Beenden gelöscht; Übernahmen: Kennung der Aufgabe, Konto-Kennung, Tag; feste Aufteilung je Aufgabenart (Klassenarbeiten, Planung, Elternkontakt, Klassenleitung) auf eine Konto-Kennung; „Erledigt für beide“ an einer geteilten Aufgabe: Kennung der Aufgabe, Konto-Kennung, Tag – gilt zwei Wochen und fällt beim nächsten Schreiben weg; Beobachtungen der zweiten Lehrkraft: Text bis 280 Zeichen, Konto-Kennung, Tag – ohne Klarnamen von Kindern (Namen der Klassenliste, Anrede, Adresse und Telefonnummer halten die Notiz an), höchstens 20 je Lerngruppe; aus der Stunde (Presenter, Handy) nur als Satz aus festen Bausteinen – Gruppe oder Nummer, bekannte Phase, kein Freitext; Hinweis nach einer verworfenen Änderung (optimistische Sperre): Konto-Kennung und Zeitpunkt, wirkt eine Stunde	Solange die Lerngruppe besteht; Rolle und Aufteilung werden überschrieben, nicht fortgeschrieben. Wer das Team verlässt, verliert auch seine Übernahmen. Beobachtungen löscht, wer sie schrieb oder gelesen hat; nach zwanzig fallen die ältesten weg. Mit der Klasse fällt alles weg.
Eigene Angaben der Lehrkraft, mit denen Tuttuno Vorschläge und Ansichten auf sie zuschneidet – freiwillig, jede Angabe einzeln löschbar	Lehrkräfte	Fächer (Kennungen wie „mathematik“); Grobe Berufsphase: Vorbereitungsdienst, Quereinstieg, erste drei Jahre oder erfahren – kein Datum, kein Alter; Planungsstil: kurz oder ausführlich; „Wie viel Begleitung?“ (lib/begleitung.ts, 30.09.2026): einer von fünf Modi (Begleitet, Rückendeckung, Kompakt, Sofort, Zweite Lehrkraft) oder „später“ am Konto, dazu je eigener Klasse ein Modus an der Klasse (Settings.begleitung) – steuert nur, was die Lehrkraft selbst angezeigt bekommt; Vorab-Erlaubnis zur Tagesübergabe (uebergabeErlaubt, Tag des Einschaltens): voreingestellt aus; keine Abwesenheit, kein Grund – die Vertretungsplanung liest nur den Schalter; der Zustand der Übergabe (handover.ab, handover.quelle) gehört zur Klasse, nicht zur Person	Bis die Lehrkraft die Angabe löscht (einzeln auf /ich) oder ihr Konto löscht; es entsteht kein Verlauf, jede Änderung überschreibt.
Klassen-Pinnwand: Material und Aufgaben der Lehrkraft für die Klasse bereitstellen; Abgaben der Kinder (Datei, Foto, Text) zur Lehrkraft bringen und nach ihrer Freigabe der Klasse zeigen	Schüler:innen, Lehrkräfte	Spalten (Titel, ob Kinder dort abgeben dürfen) und Karten (Titel, Text, Webadresse, Tag des Eintrags, sichtbar ab) an der Lerngruppe; Dateien (PDF, PNG, JPG, WebP, DOCX, PPTX, XLSX, TXT) in einer privaten Ablage bei Supabase (Frankfurt) unter <Lerngruppe>/<Karte>.<Endung> – nie unter dem Dateinamen vom Gerät; bei Abgaben von Kindern: pseudonyme Kennung der Lernstrecke (angezeigt als Lernname, nie ein Name) und ob die Lehrkraft freigegeben hat; Inhalt einer Abgabe kann ein Werk des Kindes sein (Heftseite, Aufsatz) – keine Fotos von Personen (Hinweis und Bestätigung vor jedem Hochladen)	Bis die Lehrkraft die Karte löscht, spätestens zum Schuljahresende der Lerngruppe; nicht freigegebene Abgaben von Kindern nach 30 Tagen. Gelöscht im täglichen Löschlauf (lib/loeschlauf.ts) samt Datei in der Ablage.
Lernstand erfassen und Klassenarbeiten auswerten	Schüler:innen	pseudonyme Kennung (z. B. S-07); Punkte und Fehlertypen je Aufgabe; Datum der Arbeit	Bis zum Löschen durch die Lehrkraft, spätestens mit der Lerngruppe.
Altbestand des Nachteilsausgleich-Registers einmalig auf das Gerät der Klassenleitung holen und danach am Server löschen (seit 27.09.2026 liegt das Register nur auf dem Gerät, IN-7)	Schüler:innen	Nur Altbestand aus der Zeit vor dem 27.09.2026: pseudonyme Kennung, Anlass, Maßnahmen, Daten, Notiz – bis zum Umzug; Neue Einträge: keine am Server; Register im Browser der Klassenleitung (t1nachteil-<Klasse>, in der Sicherung als Datei)	Am Server bis zum Umzug beim nächsten Öffnen durch die Klassenleitung, dann gelöscht; neue Einträge entstehen am Server nicht.
Fehlzeiten führen und die Schwelle erkennen, ab der ein Gespräch fällig ist	Schüler:innen	pseudonyme Kennung; Datum; Art (offen, entschuldigt, unentschuldigt, verspätet, beurlaubt); ggf. Unterrichtsstunde	Zählraum der Auswertung: das laufende Schulhalbjahr (§ 11 Absatz 1 AV Schulbesuchspflicht). Ältere Einträge bleiben bis zum Löschen durch die Lehrkraft.
Das Klassenbuch einer Lerngruppe führen: je Stunde Thema, Hausaufgabe, Fehlende und Bemerkung; Abzeichnen durch die Lehrkraft der Stunde, Korrektur nur als Nachtrag mit Grund, Wochenzeichnung der Klassenleitung, Export für die Schulleitung	Schüler:innen, Lehrkräfte	je Stunde: Datum, laufende Nummer am Tag, auf Wunsch die Nummer im Stundenplan, Thema, Hausaufgabe, Bemerkung (bis 280 Zeichen, ohne Klarnamen – Namen der Klassenliste, Anrede, Adresse und Telefonnummer halten sie an), Vermerk „in Vertretung“; Fehlende beim Abzeichnen: pseudonyme Kennung, Art (offen, entschuldigt, unentschuldigt, verspätet, beurlaubt), gegebenenfalls Stunde – übernommen aus den Fehlzeiten der Lerngruppe; neu eingetragene Fehlende landen dort als „offen“; Lehrkräfte: Konto-Kennung und Zeitpunkt (Minute) des Eintragens, Abzeichnens, jedes Nachtrags und der Wochenzeichnung; Nachtrag mit Feld, neuem Wert und Grund; Prüfsumme je Siegel (SHA-256, verkettet); Beim Anzeigen und im Export: der Name aus dem Konto der Lehrkraft – er wird nicht am Klassenbuch gespeichert	Solange die Lerngruppe besteht; mit ihr fällt alles weg. Aufbewahrt wird der Export in der Schule nach Landesrecht (Berlin: zwei Jahre nach Ablauf des Schuljahres, § 16 Absatz 3 SchuldatenV – Stand prüfen). Abgezeichnetes wird nicht gelöscht oder geändert, nur ergänzt.
Im Sportunterricht festhalten, wer das Sportzeug vergessen hat, passiv teilnimmt oder befreit ist – und ab dem dritten Mal die Elternmitteilung auslösen	Schüler:innen	pseudonyme Kennung; Datum; Art (Sportzeug vergessen, passiv, befreit); bei Befreiung: bis wann	Betrachtungsfenster zwölf Wochen; Einträge bleiben bis zum Löschen durch die Lehrkraft.
Absprachen aus Elterngesprächen festhalten und zur Wiedervorlage bringen	Schüler:innen, Erziehungsberechtigte	pseudonyme Kennung; Datum, Anlass, Gesprächspartner (Kategorie); Freitext: die getroffene Vereinbarung	455 Tage ab dem Gespräch; danach gelöscht im täglichen Löschlauf (lib/loeschlauf.ts) oder schon beim nächsten Speichern.
Stufe 2 „mit Klassenliste“: Kennung und Name zusammenführen, Elternkontakt mit Einwilligung – Grundlage für Elternmitteilung mit Adresse und Lernstand je Kind	Schüler:innen, Erziehungsberechtigte	pseudonyme Kennung; Vor- und Nachname; E-Mail-Adresse und Anrede der Erziehungsberechtigten (freiwillig); Stand der Einwilligung je Kind (ja/nein/offen) mit Datum	Ende des Schuljahres plus 92 Tage (lib/loeschfrist.ts); danach wird die Liste nicht mehr angezeigt und im täglichen Löschlauf (lib/loeschlauf.ts) gelöscht. Löschen durch die Lehrkraft jederzeit.
Hausaufgaben der Klasse für Kinder und Eltern sichtbar machen; freiwilliger Wochen-Digest per E-Mail	Erziehungsberechtigte	Kennung der eintragenden Lerngruppe an Hausaufgabeneinträgen verbundener Lerngruppen (nur zum Bearbeiten der eigenen Einträge, nie angezeigt oder ausgewertet); Kennungen der mit der Klassenseite verbundenen Lerngruppen derselben Schulklasse (ohne Namen, von der Klassenleitung trennbar) – Feld klassenseite an der Lerngruppe; Tests und Klassentermine: Fach, Datum und Thema in einem Satz – eingetragen per Schreibcode, per Sprechercode (nur Klassentermine) oder als Vorschlag der Klasse; geprüft auf Namen, verfallen nach dem Datum; Hinweise zu Einträgen: fester Grund aus einer Liste, Zahl der Meldungen, Tag der ersten Meldung und ein freiwilliger Satz ohne Namen, den nur die Klassenleitung sieht – ohne Kennung, ohne Gerätekennung; höchstens 60 gespeichert; Sprechercode der Klasse – ohne Namen, von der Klassenleitung vergeben und erneuerbar; Erklärungen von Kindern in einem Satz zum Thema – ohne Kennung, geprüft auf Namen und Links, sichtbar erst nach Freigabe der Lehrkraft; Elternsprechtag: Zeitfenster, Kennung des Kindes und Sprachwunsch je Buchung – bis die Lehrkraft den Sprechtag löscht; Wöchentliche Sprechstunde: Wochentag, Uhrzeit, Ort, abgesagte Tage; je Buchung Tag, Zeitfenster, Kennung des Kindes und Sprachwunsch – vergangene Buchungen fallen beim nächsten Schreiben weg; Links der Klasse von der Lehrkraft: Titel, Webadresse, Fach, Datum der Stunde – keine Personendaten; Stundenlinks verfallen nach 60 Tagen; Kennung (Pseudonym) bei Wünschen und Box-Anliegen – freiwillig über den Code vom Kärtchen, damit die Lehrkraft antworten kann; nie ein Name; Hausaufgabeneinträge (Fach, Aufgabe, Datum – keine Personendaten); E-Mail-Adressen von Eltern, die sich selbst für den Digest eingetragen haben (seit 27.09.2026 bestätigt per Mail); Adressen, die auf diese Bestätigung warten, mit Sprache und Takt – höchstens 7 Tage; der Link steht nur als Hashwert auf dem Server (lib/digest-optin.ts); gewählte Sprache der Nachrichten (freiwillig, an der Adresse); Name und Adresse der Elternvertretung, selbst eingetragen mit Einwilligung, bis zur Entfernung	Einträge nach 60 Tagen; Adressen bis zur Austragung durch die Eltern oder Löschung der Lerngruppe; unbestätigte Adressen nach 7 Tagen. Gelöscht im täglichen Löschlauf (lib/loeschlauf.ts).
Persönliche Lernstrecke: Jedes Kind arbeitet am eigenen Stand weiter, mit Verzweigung nach unten	Schüler:innen	Übungsaufträge aus dem Lernstand (lib/uebungsauftrag.ts, seit 26.09.2026): je Woche Montag, Paket, Thema, Ziel, Umfang und „erledigt“ – höchstens 8 Einträge, ohne Aufgabentext und ohne Uhrzeit; Antwort der Lehrkraft auf eine Frage mit Code (Text, Datum) – nur, wenn das Kind seinen Code angegeben hat; nach zwei Wochen nicht mehr sichtbar; Rückmeldung der Lehrkraft an das Kind (Text, Datum; seit 01.10.2026, lib/rueckmeldung-kind.ts) – an derselben Stelle wie die Antwort, nur wenn das Kind seinen Fortschritt teilt; nach zwei Wochen nicht mehr sichtbar; pseudonyme Kennung; Selbsteinschätzung alle vier Wochen (lib/selbstblick.ts, NOTEN-TOOL 03.10.2026): nur die letzte Runde – Tag und drei Stufen 1 bis 4 zu Mitarbeit, Hausaufgaben und Verständnis; keine Note, sichtbar nur der Lehrkraft der Lerngruppe, nach 56 Tagen nicht mehr gezeigt, fällt beim Klassenwechsel weg; welches Stundenziel und welche Stufe gerade dran ist; die letzten Ergebnisse (richtig/falsch), gekappt; erreichte Ziele mit Datum und Wiederholungsstufe (sicher erst nach vier Wiederholungen mit Abstand, lib/lernbild.ts); je Antwort (höchstens 400): richtig/falsch, Aufgabentyp, Fehlerart, Tag und Nummer der Sitzung – keine Uhrzeit (lib/zeitmarke.ts); ältere Einträge mit Zeitpunkt werden beim nächsten Schreiben umgerechnet; geholte Hilfen als Summe je Sitzung, Aufgabentyp und Art (höchstens 500 Summen) und Urteile über Aufgaben (höchstens 300) je Aufgabentyp – beide ohne Uhrzeit, Urteile nur mit Tag; ausgewertet nur als Klassensumme und für „steckt fest“; bei freiem Üben: die Klasse, der sich das Kind selbst zugeordnet hat, das Datum der Anfrage und – nur wenn die Familie Ja sagt – das Ja zur Mitnahme des Lernbilds mit Datum (lib/beitritt.ts, lib/mitnahme.ts) – bis die Lehrkraft bestätigt oder ablehnt; ohne Ja beginnt die Strecke in der neuen Klasse ohne das bisherige Lernbild; bei der Anmeldung in Schritten (/ueben/los): Schule und Klasse, die das Kind gewählt hat, mit Datum, bis eine Lehrkraft bestätigt (Feld klasseWartet); der zugeteilte Lernname als Kennung – kein Vorname, keine Mail, keine Geheimzahl; ob das Kind seinen Fortschritt für die Lehrkraft freigibt (ja/nein, vom Kind selbst gesetzt; lib/strecke.ts teilen); Nachweis des Kindes an die Lehrkraft: Kalenderwoche, Thema und Ziel, Zahl der Aufgaben und der richtigen, bis zu drei Aufgabentypen, an denen es hakt, ein Satz des Kindes (höchstens 200 Zeichen) und der Schlüssel der Antwort der Lehrkraft – vom Kind ausgelöst, vom Kind mit „Gelesen“ löschbar, sonst nach drei Wochen nicht mehr sichtbar; zu jeder Antwort im Kurzcheck: welche Fehlerarten die angebotenen Ablenker trugen und ob „weiß ich noch nicht“ gewählt wurde; zu jeder Antwort: höchste geöffnete Hilfestufe (0–4) und ob der zweite Versuch richtig war – ohne weitere Zeitangabe, ausgewertet nur als Summe; beim freien Üben: Land und Schulart der selbst gewählten Schule aus dem offenen Schulverzeichnis – nie Name oder Kennung der Schule; erkannte Fehlvorstellungen (Code, Thema, Ziel, Tag des letzten Auftretens, Zähler 1–9, richtige Gelegenheiten in Folge 0–2; höchstens 12) – fallen nach 28 Tagen ohne neues Auftreten, beim Zähler 0 oder nach drei richtigen Gelegenheiten in Folge weg; Selbst nachgeholte Ziele aus „Warst du nicht da?“: nur Thema und Zielnummer (topicId:zielIdx), höchstens 30 – nie ein Datum oder Fehltag; alte Datumseinträge bis 26.09.2026 werden beim nächsten Schreiben auf Ziele reduziert; Stundenlog der Klasse: Datum, Thema und Ziel der letzten 12 geöffneten Stunden – für alle Kinder gleich, kein Anwesenheitsvermerk; Lernkette: Zahl der Übungstage und das Datum des letzten Übungstags (höchstens einmal je Kalendertag erhöht, nur für die Anzeige „an 23 Tagen geübt“; kein Zeitpunkt je Sitzung); Zähler der laufenden Woche für die Messung (zweiter Versuch, geöffnete Hilfestufe, Grund des Sitzungsendes) – die Vorwoche fällt beim Wochenwechsel weg; ausgewertet nur als Summe ab 20 Sitzungen; Tag und Nummer des letzten Sitzungsendes und Zahl der heute beantworteten Aufgaben – damit ein Neuladen die Sitzung nicht beendet; Abstecher ins Voraussetzungsthema: Themenkennungen (bis zu drei Lücken in Reihenfolge), Phase, Zähler und Tag des Beginns; danach höchstens acht Einträge, was daraus wurde (Themen, Tag, bestanden/geübt/offen)	Bis zum Ende des Schuljahres oder bis die Lehrkraft die Strecke beendet; der Zugang verfällt mit dem Token.
„Meine Lehrkraft holen“: Ein Kind bittet im Unterricht von seiner Strecke aus um Hilfe am Tisch – die Lehrkraft sieht, wer, wobei, seit wann	Schüler:innen	Zeitpunkt des Rufs, Ziel der Strecke, einer von drei Gründen (Aufgabe unklar, Anfang unklar, unsicher) – zusammen mit der pseudonymen Kennung der Strecke	Verfällt nach 20 Minuten von selbst; die Lehrkraft oder das Kind löscht ihn früher. Kein Verlauf, keine Zählung.
Mein Lernstand: Das Kind sieht je Fach und Thema, welche Ziele sicher und welche noch offen sind, und schickt diese Zusammenfassung auf eigenen Wunsch an die Lehrkraft der Klasse	Schüler:innen	an der pseudonymen Kennung der Strecke: Kalenderwoche des Sendens (ein Zeitraum, kein Zeitpunkt), Fach (Deutsch, Mathematik oder Englisch) und je Thema (höchstens sechs) die Nummern der sicheren und der offenen Ziele; NICHT: Antworten, Quoten, Fehlerarten, Uhrzeit, Dauer, Zahl der Sitzungen oder Übungstage – die Texte der Ziele entstehen beim Anzeigen aus dem Lehrplan	Bis das Kind den Stand zurücknimmt oder einen neuen sendet (der alte wird ersetzt); nach sechs Wochen nicht mehr sichtbar; beim Wechsel der Klasse entfernt; spätestens mit der Strecke.
Vorlesen mit Erkennung auf dem Gerät: Das Kind liest eine Minute laut, beantwortet drei Fragen und sieht, wie flüssig und genau es gelesen hat; die Lehrkraft sieht die Zahlen unter dem Lernnamen	Schüler:innen	je Vorlesetag: Datum, Kennung des Textes, gelesene Wörter, Fehler, Sekunden, richtige Wörter je Minute, Genauigkeit in Prozent; der Weg der Messung (Erkennung auf dem Gerät, Chrome lokal oder mit dem Finger mitgelesen); je Ebene des Verstehens (im Text, aus dem Text, über den Text hinaus) die Zahl der Fragen und der richtigen Antworten; KEIN Ton, keine Aufnahme, kein Transkript, keine Fehlerstellen – die Erkennung läuft im Browser, und nur die Zahlen gehen an den Server	Wie die Lernstrecke: bis zum Ende des Schuljahres oder bis die Lehrkraft die Strecke beendet; höchstens 80 Vorlesetage je Kind, ältere fallen beim Speichern weg.
„Sprich nach“ beim Englisch-Üben: Das Kind spricht einen Satz nach, die Erkennung auf dem Gerät sagt „verstanden“ oder „noch mal anhören und nachsprechen“; die Lehrkraft sieht unter dem Lernnamen, wie oft nachgesprochen und verstanden wurde	Schüler:innen	je Übungstag: Datum, Zahl der Versuche, Zahl der Versuche, die die Erkennung verstanden hat – an der pseudonymen Strecke; KEIN Ton, keine Aufnahme, kein Transkript, keine erkannten Wörter, keine Stimmmerkmale, keine Sprecher-Identifizierung – die Erkennung läuft im Browser, zum Server geht nur „verstanden: ja oder nein“; der Vermerk der Einwilligung der Eltern steht wie jeder Fall des Einwilligungskatalogs in der verschlüsselten Klassenliste (Tätigkeit „klassenliste“); die Strecke erfährt nur, ob der Knopf erscheint	Wie die Lernstrecke: bis zum Ende des Schuljahres oder bis die Lehrkraft die Strecke beendet; höchstens 60 Tage je Kind, ältere fallen beim Speichern weg.
Lesetraining am Gerät: Das Kind übt Wörter, Sätze und kurze Texte; die Übungen passen sich an seinen Stand an, die Rückmeldung vergleicht nur mit seinem eigenen Vorher; die Lehrkraft sieht die Zahlen unter dem Lernnamen und die Fördergruppen	Schüler:innen	je Übung (Wort, Satz, Text) der Stand: Stufe, Tempo beziehungsweise Anzeigedauer, Zahl der Runden; je Trainingstag: Datum, Übung, Stufe, Zahl der Aufgaben und der richtigen, Anzeigedauer oder Tempo am Ende der Runde; auf der Textebene zusätzlich: richtige Wörter je Minute je Durchgang, Genauigkeit im letzten Durchgang, Weg der Messung, richtige Antworten je Ebene des Verstehens und wie viele nach dem Nachsehen richtig wurden; KEINE einzelne Antwort, keine Uhrzeit, kein Ton, kein Transkript	Wie die Lernstrecke: bis zum Ende des Schuljahres oder bis die Lehrkraft die Strecke beendet; höchstens 120 Trainingstage je Kind, ältere fallen beim Speichern weg.
Lesestrecke am Gerät: Einstufung und sechs Etappen vom ersten Laut bis zum schnellen Lesen mit Verstehen; der nächste Schritt kommt erst bei Sicherheit, gesicherte Schritte werden mit Abstand wiederholt, verwechselte Zeichen gezielt geübt; die Lehrkraft sieht den Klassenstand unter Lernnamen	Schüler:innen	Datum und Ergebnis der Einstufung (Platz 0 bis 7), aktueller Schritt der Etappen Laute, Silben und Strategien, richtige und falsche in Folge am Schritt; gesicherte Schritte mit Datum, Wiederholungsstufe und nächstem Termin; je Zeichen die Zahl richtiger und falscher Antworten, Verwechslungspaare als Zähler (zum Beispiel b statt d); je Sitzung: Datum, Etappe, Zahl der Aufgaben und der richtigen; KEINE einzelne Antwort, keine Uhrzeit, kein Ton	Wie die Lernstrecke: bis zum Ende des Schuljahres oder bis die Lehrkraft die Strecke beendet; höchstens 120 Sitzungen und 80 gesicherte Schritte je Kind, ältere fallen beim Speichern weg.
Buchstaben-Weg am Gerät: Buchstaben hören, finden, nachspuren und zu Silben verbinden; der nächste Buchstabe kommt erst bei Sicherheit, gesicherte werden mit Abstand wiederholt, Verwechslungen gezielt geübt; die Lehrkraft sieht Summen je Buchstabe und den Stand unter Lernnamen	Schüler:innen	aktueller Buchstabe im Weg, richtige und falsche in Folge daran; gesicherte Buchstaben mit Datum, Wiederholungsstufe und nächstem Termin; je Buchstabe die Zahl richtiger und falscher Antworten, Verwechslungspaare als Zähler (zum Beispiel b statt d), je Zeichen die Zahl gelungener Nachspur-Durchgänge; je Sitzung: Datum, Zahl der Aufgaben und der richtigen; KEINE Fingerbahn, keine einzelne Antwort, keine Uhrzeit, kein Ton; nur nach dem Ja eines Erwachsenen (Ein Lehrgang, lib/ein-lehrgang.ts): die Liste der Buchstaben, die auf demselben Gerät in der Vorschul-Übung gesichert wurden – ohne Verlauf, Datum oder Uhrzeit; sie werden zu gesicherten Buchstaben. Die Antwort selbst liegt NICHT auf dem Server, nur im localStorage („t1lehrgang“)	Wie die Lernstrecke: bis zum Ende des Schuljahres oder bis die Lehrkraft die Strecke beendet; höchstens 120 Sitzungen und 60 gesicherte Buchstaben je Kind, ältere fallen beim Speichern weg.
Vor der Klassenarbeit: Die Lehrkraft sieht als Summe der Klasse, bei welchem Ziel sich wie viele Kinder unsicher fühlen und wie viele die Aufgabe der Generalprobe gelöst haben – um vor der Arbeit noch umzusteuern. Seit 27.09.2026 auch vor Tests, die die Lehrkraft auf der Klassenseite mit Tuttuno-Thema einträgt (lib/generalprobe-summe.ts terminSummenzeile); gleiche Daten, Mindestzahl 5, gelöscht sieben Tage nach dem Termin.	Schüler:innen	Thema der Arbeit; je Ziel eine Zahl der Selbsteinschätzung (sicher, unsicher, noch nicht) – nur, wenn das Kind sie selbst schickt; je Ziel der Generalprobe gelöst oder noch nicht – nur, wenn das Kind es selbst schickt; keine Note, keine Punkte, keine Uhrzeit; das Löschdatum – an der pseudonymen Kennung der Strecke, nie an einem Namen	Sieben Tage nach der Klassenarbeit, ohne Termin drei Wochen nach dem Senden: ab dann nicht mehr gezählt und beim nächsten Speichern der Strecke entfernt. Das Kind kann die Meldung jederzeit selbst zurücknehmen; eine neue ersetzt die alte.
Hausaufgabe am Handy: Selbstkontrolle zu Hause, Rückmeldung an die Lehrkraft	Schüler:innen	richtig/falsch je Aufgabe und Zeitstempel; Schülernummer – NUR wenn die Klasse mit Nummern arbeitet (Einstellung „Schülernummern“); sonst gar keine Kennung; Fehlerart einer falschen Antwort und die Angabe „vom Papier eingetippt“ – nie die eingetippte Zeichenfolge, kein Foto	Einträge verfallen nach vier Wochen (lib/hausaufgabe.ts).
Praktikum und Service Learning für den Jahrgang: Termine und Fristen der Schule, Rücklauf je Klasse als Zahlen und eine Kartei der Betriebe und Einrichtungen, die Plätze angeboten haben	Inhaber:innen von Einzelbetrieben	Durchgänge der Schule: Profil, Jahrgang, Zeitraum, Fristen, Zeiten, Betreuungsregeln als Text ohne Namen, Stundenziel; Rücklauf je Klasse: Klassenbezeichnung, Zahl der Kinder, Zahl der abgegebenen Papiere je Feld, Datum – keine Nummer, kein Name, nicht wer gemeldet hat; Kartei: Name des Betriebs oder der Einrichtung, Branche und Bezirk aus festen Listen, Ansprechperson nur als Rolle aus einer festen Liste, Plätze je Schuljahr – keine Klasse, kein Kind; Schulname, Anschrift und Telefon des Sekretariats für die Papiere; keine persönlichen Kontaktdaten Dritter: Name, Mail und Telefon der Ansprechperson bleiben auf dem Gerät der Lehrkraft (t1praktikum, t1sl) oder in der Ablage der Schule	Rücklauf: bis zur Übernahme ins nächste Schuljahr, dann gelöscht. Kartei: fünf Schuljahre nach dem letzten Platz, danach fällt der Eintrag von selbst weg (karteiBereinigen); ein Betrieb, der nicht darin stehen will, wird sofort gelöscht.
Schäden im Schulhaus melden, an die zuständige Stelle der Schule weiterleiten und bis zur Behebung nachhalten – auch gegenüber dem Schulträger	Lehrkräfte	je Meldung: Ort, Art aus fester Liste, Dringlichkeit, kurzer Text ohne Mailadresse und Telefonnummer, bei Geräten die Inventarnummer, Zeitpunkt der ersten Meldung, Stand, Zahl der zusätzlichen Meldungen („+1“), Tag der Meldung an den Schulträger und des Nachhakens; keine meldende Person, keine Zählung je Person, kein Foto, nicht wer den Stand geändert hat; Stellen der Schule: Bezeichnung, Funktionsadresse, die Konten, die eine Stelle selbst übernommen haben („Ich bin das“); Orte der Schule (Raumliste)	Erledigte Meldungen 90 Tage nach dem Erledigt-Tag, dann gelöscht (aufraeumen); offene bis zur Erledigung. Übernommene Stellen, bis die Person sie abgibt oder die Schulleitung sie entfernt.
Einen längeren Ausfall einer Lehrkraft an die Stundenplanung melden und zurückmelden, wer welche Klasse vertritt, damit die Vertretung Plan und Material bekommt	Lehrkräfte	Zeitraum (von, bis, ob das Ende voraussichtlich ist) und Tag der Meldung – kein Zeitstempel; Anzeigename, Konto-Kennung und Kürzel der abwesenden Lehrkraft; Freiwillig eine grobe Art (Elternzeit, Kur, Freistellung, Sonstiges); voreingestellt „Grund nicht nötig“ – nie eine Diagnose, kein Attest; Je Klasse: Name, Fach, Jahrgang, Wochenstunden, Termine der Klassenarbeiten, Abschlussprüfung im Jahrgang, ob ein Nachteilsausgleich besteht (ja/nein), Übergabelink; Je Klasse: wer vertritt (Konto-Kennung und Name, oder ein Name ohne Konto) und eine kurze Rückgabe-Notiz der Vertretung; Wünsche der Lehrkraft für die Übergabe als Freitext (mit dem Hinweis, keine Namen von Kindern zu nennen)	Bis 30 Tage nach dem letzten Tag des Ausfalls; danach wird der Eintrag im täglichen Löschlauf oder beim nächsten Speichern entfernt (lib/langzeit.ts, aufraeumen). Die Lehrkraft kann die Meldung jederzeit zurückziehen.
Einen Antrag von Stufe zu Stufe an die zuständige Rolle weitergeben (stellen, prüfen, genehmigen, umsetzen) und den Beteiligten den Stand zeigen	Lehrkräfte, Schüler:innen, Erziehungsberechtigte, Inhaber:innen von Einzelbetrieben	Art, aktuelle Stufe, Status, Tag der Antragstellung, Tag des Eingangs in die aktuelle Stufe und Tag des Abschlusses – keine Uhrzeit; Konto-Kennung der Lehrkraft, die stellt oder den Link für die Familie erzeugt hat; Bei Kindern: Klasse und Kennung (etwa S-07) – nie ein Name; den Namen setzt erst das Gerät der Lehrkraft beim Drucken ein; Angaben der Stufen je nach Art: Zeitraum, Zahl der Unterrichtstage, Anlass aus einer Liste; Ziel, Kosten, Zahl der Kinder und Begleitpersonen; Betrieb, Branche, Bezirk, Ansprechperson nur als Rolle, Arbeitszeiten; Titel und Anbieter einer Fortbildung; Eine offene Rückfrage und die letzte Antwort (kurz, ohne Kontaktdaten, bei Beurlaubung und Fortbildung ohne Gesundheitsangaben); Verlauf als Stufe und Ergebnis – ohne Person, ohne Zeitpunkt; Hash eines einmaligen Links für Familie oder Betrieb, sein Ablauftag und die Stufe, für die er gilt; Durchlaufzeiten in Tagen je Antragsart als Liste nackter Zahlen (höchstens 60), ohne Kennung und ohne Datum	Abgeschlossene Anträge werden nach 30 Tagen entfernt (einstellbar 7 bis 365 Tage, lib/antrag.ts aufraeumen); ungenutzte Links verfallen nach 14 Tagen (einstellbar 3 bis 30).
Teilnahme der Schule an Schülerwettbewerben organisieren: Ausschreibung, Eintragen in Teams, Begleitung, Genehmigung, Einverständnis der Eltern, Meldeliste und Rückblick	Schüler:innen, Erziehungsberechtigte, Lehrkräfte	Je eingetragenem Kind: Klassen-Kennung und pseudonyme Kennung („S-07“), Klassenbezeichnung, Jahrgang, Team, ob aufgestellt – kein Name, kein Geburtsdatum, kein Geschlecht; Je Kind die Antwort der Eltern (ja, nein, Vorname im Aushang ja oder nein, vom Papier eingetragen) und der Zufallsteil des Einmal-Links – kein Name, keine Adresse; Teams mit Name, Wettkampfklasse und Höchstzahl; Geschlecht nur als Teil der Wettkampfklasse, wenn die Ausschreibung danach trennt; Konto-Kennungen der Lehrkräfte, die freiwillig zugesagt haben zu begleiten – nur an der Ausschreibung; Genehmigung der Schulleitung (Stand, Tag, freiwillige Begründung ohne Namen), Termine, Ort, Ergebnis je Team als Sachtext; auf dem Gerät der Lehrkraft, nie auf dem Server: Namen aus der Klassenliste, Geburtsjahr oder Geburtsdatum für den Meldebogen (t1wb-geb-…)	Bis zum Ende des Schuljahres der Ausschreibung; beim ersten Speichern im neuen Schuljahr werden Einträge, Elternantworten und Zusagen gelöscht und nur Summen behalten (lib/wettbewerbe.ts, aufraeumen). Austragen und Widerruf wirken sofort.
Nachweis der eigenen Fortbildungszeiten der Lehrkraft	Lehrkräfte	Veranstaltung, Datum, Dauer, schulintern ja/nein; Bescheinigung liegt vor ja/nein; bei Buchung aus einem genehmigten Antrag dessen Kennung (damit er nicht zweimal gebucht wird)	Bis zur Löschung durch die Lehrkraft.
Den fertigen Vertretungsplan der Schule einmal einpflegen, damit jede vertretende Lehrkraft ihre Vertretungen des Tages mit einem Stundenvorschlag sieht	Lehrkräfte	Je Zeile: Datum, Stunde, Klasse, Fach, Raum, Art (feste Liste), Kürzel der VERTRETENDEN Lehrkraft; Je Tag der Zeitpunkt der letzten Einpflege; Stand als Zahlen (Zeilen, Kürzel, Kürzel ohne Konto, Weg Datei oder Adresse); Konto-Kennungen der benannten Vertretungsplanung (höchstens 4); Tag des Einschaltens ohne Person; SHA-256-Hash der Einpflege-Adresse mit Tag – nie die Adresse selbst	Nur heute und höchstens 7 Tage voraus; ab dem Folgetag nie mehr angezeigt, beim nächsten Schreiben gelöscht; beim Ausschalten sofort alles außer der Liste der Benannten.
Die eigenen Änderungen aus dem Vertretungsplan (Entfall, Raumwechsel, Vertretung durch mich) automatisch auf „Meine Woche“ zeigen – aus einer Adresse, die die Lehrkraft selbst hinterlegt	Lehrkräfte	Am Konto: die hinterlegte Adresse des eigenen Plans (persönlicher Kalender-Link, veröffentlichter Plan der Schule oder öffentlicher Planlink aus iServ) und der Tag des Hinterlegens; Stand des letzten Abrufs: Zeitpunkt, Zahl der eigenen Änderungen, Format, gegebenenfalls ein Fehlersatz; Je eigene Änderung der nächsten 7 Tage: Datum, Stunde oder Beginn, Klasse, Fach, Raum, Art (feste Liste) und ob die Lehrkraft die Stunde selbst hält	Änderungen nur heute bis 7 Tage voraus, Älteres fällt beim nächsten Abruf heraus; Adresse und Änderungen bis die Lehrkraft sie löscht (ein Knopf) oder mit dem Konto.
Die Schulleitung trägt beim Einstieg ein, wer welche Klasse leitet, damit die Lehrkraft mit bestätigtem Kürzel gefragt wird, ob sie das Häkchen „Klassenleitung“ an ihrer Lerngruppe setzt	Lehrkräfte	Je Zeile: Klassenname und Kürzel der Klassenleitung – kein Name, keine Kinder; Je Schritt des Einstiegs der Tag, an dem er abgeschlossen wurde (OrgData.leitungEinstieg) – keine Person	Bis die Schulleitung die Liste ändert oder leert; die neue Liste ersetzt die alte ganz; mit der Schule gelöscht.
Ämter der Klasse mit Wechselregel und Sitzplan – wer diese Woche welchen Dienst hat und wo wer sitzt	Schüler:innen	je Amt Wechselregel und Nummern der Klassenliste, kein Name; Sitzplan als Zahlenraster (Gang, frei, Nummer), Form, Rotation, Schulwoche des Stands; Datum „Klassensprecherwahl erledigt“; an der Schule je Wahl der Schülervertretung das Datum „erledigt“ (org.data.svwahl), kein Ergebnis	Bis die Klassenleitung es ändert, mit der Klasse gelöscht; „erledigt“ zählt nur im laufenden Schuljahr.
Wer eine Klassenarbeit nachschreibt und wann	Schüler:innen	je Arbeit Nummern der Klassenliste, Datum des Nachschreibens, Freigabe für die Strecke; kein Grund, kein Attest, kein Name	Bis die Lehrkraft den Haken entfernt; mit der Klasse gelöscht.
Zugang für Beschäftigte ohne Lehramt je Stelle ohne Klassensicht	Beschäftigte der Schule ohne Lehramt	je Stelle Konto-Kennung, Stelle, Datum; Mailadresse des Kontos (Funktionsadresse; private nur freiwillig, aus bis M59); Dienstgerät: SHA-256 des Codes, Stelle, von–bis, abgeholt ja/nein – kein Gerätemerkmal; Einstellung: private Adressen ja/nein, Stunden je Kopplung	Bis zum Rückzug (Leitung oder Person selbst); Gerät bis Ablauf oder Rückzug.
Eigenes Arbeitsblatt zur Stunde lesen und Aufgaben als Vorschlag zeigen	Lehrkräfte	Hochgeladene Datei (PDF, DOCX, ODT) nur im Arbeitsspeicher; Namen im Text werden vor dem Erkennen ersetzt, nicht gespeichert; Bei Verlagsmaterial nur die eingetippte Fundstelle	Keine Speicherung; nur Übernommenes wird mit „Speichern“ Teil der Stunde.
Eigene Stunden der Lehrkraft gesammelt einlesen (viele Dateien oder ein ZIP) und im Fachgerüst einsortieren, damit sie ihr Netz aus gefüllten und leeren Plätzen sieht	Lehrkräfte	Hochgeladene Dateien (DOCX, ODT, PDF, XLSX, PPTX, ZIP) nur im Arbeitsspeicher; der Text wird nach dem Erkennen verworfen; Am Konto der Lehrkraft nach Bestätigung: Stundenkarten mit Titel, Fach, Jahrgang, Thema, Ablauf in Kurzform, Dauer, Material, Hausaufgabe, Dateiname und Platz im Fachgerüst (UserData.stundennetz), höchstens 500; Namen, Mailadressen, Telefonnummern und Anschriften werden vor dem Erkennen und vor dem Speichern entfernt (lib/baukasten-personen.ts); Verlagsmaterial wird erkannt und nicht übernommen	Bis die Lehrkraft eine Karte oder das ganze Netz löscht, spätestens mit der Löschung des Kontos.
Kurze, altersgerechte Antworten eines Sprachmodells (Claude, nur über AWS Bedrock oder Google Vertex AI in der EU) auf Fragen eines Kindes im KI-Begleiter, wenn die Schule für alle gebucht oder die Eltern eingewilligt haben (Art. 8 DSGVO)	Schüler:innen	An das Sprachmodell: die Frage des Kindes, nachdem Namen im persönlichen Zusammenhang, Wohnort, Anschrift, Telefon, Mail, Schule, Nutzernamen, Passwort und Alter entfernt wurden, dazu ein fester Systemtext je Altersstufe – kein Token, keine Kennung, kein Verlauf; Zurück: eine kurze Antwort, nur an das Gerät des Kindes; Am Gerät (localStorage, nie auf dem Server): Einstellungen der Eltern mit PBKDF2-Wert der PIN, Tageszähler, Themenübersicht nur als Bereich und Anzahl je Tag	Frage und Antwort werden auf dem Server nicht gespeichert; das Server-Protokoll der Tür enthält nur Monat, Art, Stufe, Zeichenzahl und Ergebnis. Die Themenübersicht am Gerät hält höchstens 28 Tage.
Eine eigene Klassenarbeit der Lehrkraft prüfen und Verbesserungsvorschläge anzeigen (Anforderungsbereiche, Zeit, Punkte, Passung, Sprache, Rechnungen, Layout)	Lehrkräfte	Die hochgeladene Datei (Word, OpenDocument, PDF) oder der eingefügte Text der Arbeit – nur im Arbeitsspeicher, für die Dauer der Prüfung; Angaben zur Arbeit: Fach, Jahrgang, Schulform, Arbeitszeit, Hilfsmittel, Notenschlüssel; mit Klasse zusätzlich der Plan der Klasse (schon gespeichert, wird nur gelesen); Namen, die in der Arbeit stehen (zum Beispiel in Textaufgaben), werden erkannt und der Lehrkraft angezeigt – nicht gespeichert	Keine Speicherung: Datei, Text und Ergebnis werden nach der Antwort verworfen. Das Ergebnis behält nur, wer es selbst druckt oder als PDF sichert.
Aufgaben, Wissenskarten und Texte von Lehrkräften fachlich ansehen lassen (stimmt, unklar, falsch), damit fehlerhafte Inhalte gemeldet und korrigiert werden	Lehrkräfte	Je Inhalt nur Summen der drei Stimmen und höchstens fünf kurze Gründe ohne Datum und ohne Person; Am Konto der Lehrkraft: die Kennungen der Inhalte, die sie schon angesehen hat – nicht ihre Stimme; Bei „falsch“: eine Meldung im Eingang mit dem Inhalt und dem Grund, ohne Konto-Kennung und ohne Uhrzeit	Summen solange der Inhalt besteht; nach einer Korrektur beginnt die Zählung neu. Die Liste am Konto bis zur Löschung des Kontos, höchstens 3000 Einträge.
Fehler, Wünsche und Fragen zu Tuttuno entgegennehmen, beantworten und die Behebung nachweisen	Lehrkräfte, Erziehungsberechtigte	Text der Meldung (mit dem Hinweis, keine Schülernamen zu nennen); Seite, auf der gemeldet wurde, und bei einer Aufgabe: Aufgabentyp, Startwert, angezeigter Text und angezeigte Lösung; Konto-Kennung der Lehrkraft oder – ohne Konto – E-Mail-Adresse für die Antwort; Von Kindern (ohne Konto): nur ein fester Grund aus einer Liste und die Aufgabe – keine Kennung, keine Adresse, kein Freitext; Ohne Konto über /rueckmeldung/oeffentlich (Eltern, Öffentlichkeit): Art, Text (höchstens 1000 Zeichen), Seite; E-Mail-Adresse nur, wenn eine Antwort gewünscht ist	Bis die Meldung geprüft und beantwortet ist, danach als Nachweis der Behebung; E-Mail-Adressen werden nach der Antwort nicht mehr gebraucht und können gelöscht werden.
Hinweise aller Rollen, was an einer Seite von Tuttuno stört, und Fragen an die Suche ohne Treffer gebündelt auswerten und das Programm danach verbessern	Lehrkräfte, Schüler:innen, Erziehungsberechtigte	Seite als Route-Muster ohne Kennungen und Codes (etwa „/s/[token]/klasse“), Rolle (Lehrkraft, Leitung, Kind, Eltern), eine von sechs Kategorien, Zeitpunkt; Freitext, freiwillig: Kinder höchstens 200, Erwachsene höchstens 500 Zeichen – vor dem Senden am Gerät gegen Namen der Klassenliste und von „Meine Kinder“, Mailadressen, Telefonnummern und Codes geprüft, am Server noch einmal; Fragen ohne Treffer: der Suchtext, nur wenn unter „Kein Weg gefunden“ ausdrücklich „Frage weitergeben“ getippt wird – dieselbe Prüfung, Kategorie „Frage“, kein Antwortkanal; Nur Lehrkräfte und Leitung mit Konto, nur wenn angekreuzt: die Mailadresse des Kontos für eine Antwort; Kein Konto, keine IP-Adresse, keine Gerätekennung, kein Bildschirmfoto; bei Kindern nie eine Adresse oder ein Antwortkanal	Zwölf Monate nach der Meldung, dann löscht der tägliche Löschlauf (lib/loeschlauf-lauf.ts). So lange, weil sich eine Störung über ein Schuljahr zeigt (Schuljahresbeginn, Zeugnisse) und eine Änderung am Rückgang der Meldungen geprüft wird. Die Mailadresse entfällt mit dem Konto.
Abläufe von Schulen, die in Tuttuno fehlen oder anders laufen, als Meldung entgegennehmen und einbauen	Lehrkräfte, Beschäftigte der Schule ohne Lehramt	Art der Meldung, Prozess (Kennung einer Vorhaben-Vorlage oder Vorschrift und Name), Beschreibung der Schritte (Freitext, mit dem Hinweis, keine Namen zu nennen), freiwillig die Rolle; Land und Schulform der Schule aus dem Konto, die Schule nur als Pseudonym (Prüfwert aus der internen Kennung, kein Name), Seite, von der gemeldet wurde, Kennung der Meldung und Datum; E-Mail-Adresse der meldenden Person nur, wenn sie Rückfragen erlaubt – als „Antwort an“ im Kopf der Mail, nicht im Inhalt; Auf dem Server: nichts gespeichert – die Meldung geht als Mail hinaus; die Drossel zählt einen gesalzenen Prüfwert von Konto und Anschluss nur im Arbeitsspeicher, höchstens eine Stunde (lib/mail-drossel.ts)	Im Programm keine – es wird nichts gespeichert. Im Postfach des Betreibers, bis die Meldung umgesetzt oder abgelehnt und beantwortet ist; danach wird die Mail gelöscht. Was umgesetzt wurde, steht ohne Schule und Person unter /neu (lib/prozessmeldungen-umgesetzt.ts).
Die Tafel im Klassenraum ohne Anmeldung mit der Stunde der Lehrkraft verbinden	Lehrkräfte	Kopplungscode und Zeitpunkte (erstellt, gekoppelt); Konto-Kennung der Lehrkraft, die gekoppelt hat; Klasse und Datum der gezeigten Stunde; kein Name, keine Kinder	Der Code ist zehn Minuten zum Koppeln gültig, die Sitzung acht Stunden; danach ist der Eintrag gegenstandslos.
Bezahlte Lizenzen über einen Zahlungsdienstleister abwickeln und das Konto danach freischalten – heute findet kein Kauf statt, die Schnittstelle dafür ist aber vorhanden	Lehrkräfte	Heute keine. Der Kaufweg ist geschlossen (app/api/stripe/checkout antwortet mit 410), es geht nichts an den Zahlungsdienstleister und es kommt nichts von ihm zurück.; Sobald ein Kauf angeboten wird: die Kennung der zahlenden Person beim Zahlungsdienstleister (User.stripeCustomerId) und die dadurch freigeschaltete Lizenzstufe (User.plan) – dazu die Angaben, die der Zahlungsdienstleister für die Zahlung selbst erhebt; Das Zahlungsmittel selbst – Kartennummer, Kontoverbindung, Rechnungsanschrift – wird beim Zahlungsdienstleister eingegeben und erreicht Tuttuno nie; Keine Schulkennung, keine Klasse, kein Kind: Ein Kauf sagt nichts über den Unterricht aus	Solange kein Kauf stattfindet, entsteht kein Datensatz – das Feld bleibt in jedem Konto leer. Mit einem Kauf: Kennung und Lizenzstufe bis zum Ende der Lizenz, spätestens bis zur Löschung des Kontos; die Rechnung selbst bewahrt der Anbieter nach Handels- und Steuerrecht auf (zehn Jahre, § 147 AO), und beim Zahlungsdienstleister gelten dessen eigene Fristen.
KI-Üben für ein Kind freischalten, nachdem die Eltern eingewilligt (Art. 8 DSGVO) und ein Abo abgeschlossen haben (PayPal oder Karte, Apple Pay, Google Pay über Stripe)	Schüler:innen, Erziehungsberechtigte	Am pseudonymen Token des Kindes (LiveSession.kiEinzeln): Paket, Ablaufdatum, bezahlter Preis, Zahlungsanbieter, Kennung des Abos, ob gekündigt, Tag der Einwilligung der Eltern; Deckel „Eltern fragen“ am Token (LiveSession.kiAnfragen): Tag und Zahl der Anfragen, höchstens 3 je Tag; Die Mailadresse der Eltern wird NICHT gespeichert: Sie geht einmal als Empfänger an den Mailversand und ist danach weg; An den Zahlungsanbieter gehen: Paket, Preis, Tag der Einwilligung und ein verschlüsselter Vermerk, wem das Abo gilt (AES-256-GCM, Schlüssel nur bei uns) – kein Name, keine Kennung im Klartext, keine Schule, kein Lernstand; Name, Adresse und Zahlungsmittel der Eltern gibt es nur beim Zahlungsanbieter; sie erreichen uns nie. Eine Adresse für die Bestätigung einer Kündigung wird nur für diese eine Mail benutzt	Die Freischaltung bis zu ihrem Ablaufdatum und danach bis zum Ende der Strecke; die Rechnung bewahrt der Anbieter nach Handels- und Steuerrecht auf (§ 147 AO), beim Zahlungsanbieter gelten dessen eigene Fristen. Der Deckel gilt nur für den laufenden Tag.
KI für die Unterrichtsvorbereitung einzeln als Abo abschließen (PayPal oder Karte, Apple Pay, Google Pay über Stripe) und das Konto der Lehrkraft dafür freischalten	Lehrkräfte	Am Konto (UserData.kiEinzeln): Paket, Ablaufdatum, bezahlter Preis, Zahlungsanbieter, Kennung des Abos, ob gekündigt; An den Zahlungsanbieter gehen: Paket, Preis und ein verschlüsselter Vermerk, wem das Abo gilt – keine Mailadresse, keine Schule	Bis zum Ablaufdatum und danach bis zur Löschung des Kontos; die Rechnung nach Handels- und Steuerrecht (§ 147 AO).
Die KI-Kosten je bezahltem Zugang (Kind, Lehrkraft, Schule) nach oben begrenzen – Tagesdeckel nach Alter und Monatsdeckel des Pakets – und den Monat ohne Person abrechnen. Rechtsgrundlage: Vertrag über das Abo bzw. die Lizenz (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse an einem kostendeckenden Betrieb (Art. 6 Abs. 1 lit. f DSGVO)	Schüler:innen, Lehrkräfte	Je Zugang eine Zeile „kz-<Pseudonym>“ (LiveSession.kiZaehler): Abschnitt des bezahlten Zeitraums, Höchstkosten darin in Zehntel-Cent, heutiger Tag und Zahl der Aufrufe je Gruppe (Runden, Fragen, Entwürfe), zuletzt benutzter Monat. Das Pseudonym ist ein HMAC über Rolle und Token bzw. Konto mit dem Geheimnis des Servers – ohne dieses nicht zurückzuführen; Je Schule mit KI-Lizenz eine Zeile derselben Form (Summe über die Lizenz); Je Monat eine Zeile „kik-<Monat>“ ohne Person: Zahl der Aufrufe und Höchstkosten je Art und je Paket, Zahl der aktiven Zugänge je Paket; Kein Inhalt, keine Frage, keine Antwort, kein Fach, kein Themenfeld, keine Uhrzeit, keine IP-Adresse	Je Zugang nur der laufende Abschnitt und der laufende Tag – Älteres wird überschrieben. Zeilen je Zugang und Monatszeilen löscht der tägliche Löschlauf 13 Monate nach dem letzten Monat (lib/loeschlauf-lauf.ts).
Solange keine Lehrkraft eine Klasse in der App führt, tragen die Kinder Termine der Klasse (Klassenarbeit, Test, Abgabe, Ausflug) aus festen Bausteinen ein, bestätigen sie und melden Falsches; eine Lehrkraft derselben Schule übernimmt sie später nach einer Vorschau als Vorschläge auf ihre Klassenseite	Schüler:innen	An der Zeile der Schulklasse (Schlüssel aus Schule und Klasse, wie der Stundenplan der Kinder): je Eintrag Art aus einer festen Liste, Fach aus der Fächerliste, Tag, Zahl der Stimmen und der Meldungen; Zähler neuer Einträge des Tages; ob und von welcher Lerngruppe übernommen oder abgelehnt – kein Name, keine Kennung, kein Zeitpunkt, kein Freitext; An der eigenen Strecke des Kindes (pseudonym): wie viele Einträge das Gerät heute gemacht hat und welche Einträge es schon bestätigt oder gemeldet hat (höchstens 60 Kennungen von Einträgen) – nur für die Drossel und damit niemand doppelt zählt; die Klasse sieht es nie	Einträge fallen nach ihrem Tag weg (spätestens nach 120 Tagen); die Zeile hält höchstens 40. Die Spur an der Strecke beginnt jeden Tag neu und hält höchstens 60 Kennungen; sie endet mit der Strecke.
Schülerinnen und Schüler der Oberstufe ergänzen die Kursliste ihrer Stufe (Fach, Kursart, Nummer) und die Klausurtage je Kurs aus festen Bausteinen, bestätigen sie und melden Falsches – solange eine Lehrkraft den Kurs oder die Klausur nicht selbst eingetragen hat	Schüler:innen	An der Zeile der Stufe (Schlüssel aus Schule und Abiturjahr): je Kurs Fach aus der Liste der Verordnung, Kursart und Nummer, je Klausur Kurs und Tag, dazu die Zahl der Stimmen und der Meldungen und ein Zähler neuer Einträge des Tages – kein Name, keine Kennung einer Person, kein Zeitpunkt, kein Freitext, keine Belegung einer Person; An der eigenen Strecke (pseudonym, dieselbe Spur wie bei der Schülerklasse): wie viele Einträge das Gerät heute gemacht hat und welche es schon bestätigt oder gemeldet hat	Klausurtage fallen nach ihrem Tag weg; die Zeile hält höchstens 80 Kurse und 120 Klausurtage. Die Spur an der Strecke beginnt jeden Tag neu und endet mit der Strecke.
Die Klassenleitung bittet zu einem Eintrag der Klassenseite um „gelesen“ oder „ja/nein“ und sieht, welche Kennungen geantwortet haben und welche noch fehlen – statt Zettel am Freitag zu zählen	Schüler:innen, Erziehungsberechtigte	je Eintrag: Art (gelesen oder ja/nein), freiwillige Frage ohne Namen, Frist, Tag der Bitte; je Kennung des Kindes (S-07) genau eine Antwort: gelesen, ja oder nein – keine Uhrzeit, keine Reihenfolge, kein Name, keine Adresse, kein Gerät	Beim Beenden durch die Klassenleitung sofort; sonst 30 Tage nach der Frist im täglichen Löschlauf oder beim nächsten Schreiben (rueckmeldungenAufraeumen), spätestens mit dem Eintrag.
Die Klassenleitung holt Einverständnis und Kenntnisnahme der Eltern ein (Ausflug, Foto-Einwilligung, Elternbrief gelesen), sieht „23 von 27 zurück“ und die fehlenden Kennungen und wird nach einigen Tagen ans Erinnern erinnert; Eltern können eine Einwilligung widerrufen	Schüler:innen, Erziehungsberechtigte	je Rücklauf: Art, Titel und Satz ohne Namen, Frist, Tag der Anlage, bis wann er gilt, Erinnern nach Tagen, Zahl der Kinder der Klasse; je Kennung des Kindes (S-07) eine Antwort (ja, nein oder gelesen) mit dem Tag, der Tag eines Widerrufs und wie oft geändert wurde – keine Uhrzeit, kein Name, keine Adresse, kein Gerät	Beim Beenden durch die Klassenleitung sofort; sonst 30 Tage nach dem Ende der Geltung (Ausflug: Tag des Ausflugs, Foto: Schuljahresende, Elternbrief: Frist) im täglichen Löschlauf oder beim nächsten Schreiben (ruecklaeufeAufraeumen).
Eltern heben die Liste ihrer Kinder (Code der Klassenseite, freiwillig die Kennung) auf, damit sie nach der Anmeldung mit einem Link per Mail auf jedem Gerät wieder da ist – freiwillig, der Code bleibt der Weg ohne Konto	Erziehungsberechtigte, Schüler:innen	Kennung des Kontos: HMAC aus der Mail-Adresse und dem Geheimnis des Servers – die Adresse selbst wird nicht gespeichert, auch nicht verschlüsselt; die Liste der Kinder (Code der Klassenseite, Kennung wie S-07) VERSCHLÜSSELT mit AES-256-GCM; der Schlüssel wird aus der Adresse gerechnet und steht nur im Anmeldelink hinter „#“ und im Cookie „t1ek“ der Eltern – keine Vornamen (die bleiben in „t1kinder“ auf dem Gerät); Monat der Anlage und der letzten Nutzung, die letzten zehn Einmal-Werte benutzter Anmeldelinks; die Mail-Adresse nur während des Versands des Anmeldelinks im Arbeitsspeicher; Zähler der Mail-Drossel als gesalzener Hash (lib/mail-drossel.ts)	Auf Knopfdruck („Konto löschen“) sofort; sonst 13 Monate nach der letzten Anmeldung oder Änderung im täglichen Löschlauf (kontoAbgelaufen). Das Cookie gilt 180 Tage und fällt beim Abmelden weg.
Die Klassenleitung erreicht alle Familien, die sich selbst eingetragen und per Mail bestätigt haben, ohne E-Mail-Verteiler: Wochenbrief, Nachricht an alle, Rückläufe, Termine; Eltern verwalten Klassen, Sprache, Beratung und Abmeldung in einem Konto ohne Passwort	Erziehungsberechtigte	Mail-Adresse an der Klassenseite (Eintrag „klassenboard“), erst nach dem Klick in der Bestätigungsmail; Sprache und Takt an der Adresse; Elternkonto (Eintrag „elternkonto“): Kennung aus der Adresse, verschlüsselte Liste der Codes der Klassenseiten – das Bestätigen hängt die Klasse an; freiwillig und nur mit Häkchen: Stufe des Kindes und Anliegen aus „Wo stehen Sie?“, verschlüsselt mit dem Schlüssel des Kontos; Tag der letzten Nachricht der Klassenleitung an der Klasse (für die Obergrenze) – kein Inhalt, keine Empfängerliste; der Text der Nachricht wird nicht gespeichert; kein Name eines Kindes, keine Verbindung Adresse → Kind; die Lehrkraft sieht nur die Zahl „x von y Familien erreichbar“	Abmelden im Konto löscht die Adresse sofort aus allen Klassen und das Konto (Art. 7 Abs. 3, Art. 17 DSGVO); sonst die Adressen zum Schuljahresende der Lerngruppe im täglichen Löschlauf, das Konto 13 Monate nach der letzten Nutzung; unbestätigte Adressen nach 7 Tagen.
Ein Kind bittet von seiner Seite „Meine Wege“ um ein Gespräch mit der Lehrkraft der Lerngruppe oder der Klassenleitung – ohne Inhalt	Schüler:innen	Zeitpunkt und eine von zwei Rollen (Lehrkraft der Lerngruppe, Klassenleitung oder Tutorium) – an der pseudonymen Kennung der Strecke; kein Thema, kein Text	Verfällt nach 14 Tagen von selbst; das Kind nimmt ihn zurück oder die Lehrkraft markiert ihn als erledigt. Kein Verlauf, keine Zählung.
Wiederkehrende Vorhaben der Schule (Klassenfahrt, Konferenzen, Unterweisungen) mit Schritten, Fristen und Zuständigkeit organisieren – Stand je Vorhaben, nicht je Person	Lehrkräfte	Je Vorhaben: Vorlage, Zusatz (Klasse, Fach oder Jahrgang), zuständige Rolle; Nur bei eingeschalteter Zuweisung: Konto-Kennung der zuständigen Person je Vorhaben oder Schritt; Je Durchgang: Datum des Ankers und die Menge der erledigten Schritte – ohne Zeitpunkt und ohne wer gehakt hat; Tag, an dem die Schule die Zuweisung eingeschaltet hat, und die Grundlage (Dienstvereinbarung oder Beteiligung des Personalrats); Keine Namen von Kindern: Teilnehmerlisten bleiben auf dem Gerät der Lehrkraft	Durchgänge werden nach Ablauf des folgenden Schuljahres beim nächsten Speichern entfernt; Ausschalten der Zuweisung löscht Personen und Haken sofort; Entfernen eines Vorhabens löscht alle Durchgänge.
Wahlen der Schule (Wahlpflicht, Fremdsprache, Arbeitsgemeinschaften, Projektwoche, Workshops, Exkursionen, Sportkurse der Oberstufe je Kurshalbjahr, Bewegungsfelder im Sportabitur) durchführen: Angebote veröffentlichen, Wünsche der Kinder einsammeln, Plätze zuteilen und das Ergebnis an Leitung, Klassenleitung, Kind und Eltern zurückgeben	Schüler:innen	Je Wahl: Titel, Art, zuständiges Amt, Jahrgänge, freigegebene Lerngruppen, Frist, Angebote mit Plätzen und Regeln, Startwert des Loses; Je Kind ein Wahlzettel unter „Klassen-ID\|Kennung“: Klassenbezeichnung, Jahrgang, gewählte Angebote in Rangfolge, Datum der letzten Änderung (ohne Uhrzeit), ob selbst oder von der Klassenleitung eingetragen; Die Zuteilung je Kennung und die Kennungen der Kinder mit Strecke, die nicht gewählt haben; Protokoll der Änderungen mit Datum: was geändert wurde (Lernname, Klasse, von, nach) – nicht, wer es geändert hat; kein Name, kein Lernname (er wird aus der Kennung gerechnet), keine Uhrzeit, kein Gerät; Lernname und vier Ziffern zur Anmeldung werden nicht gespeichert, nur der daraus gerechnete Zugang der Strecke wird gesucht; Wahlreihe (Sport über vier Kurshalbjahre): welche Wahlen zusammengehören; Sperren werden bei der Zuteilung aus den festgeschriebenen und freigegebenen Plätzen der früheren Wahlen derselben Kennung gerechnet und nicht gespeichert; Sport: je Angebot Kursthema, Leistungsstufe, Theorie ja oder nein; je Wahlzettel die Angabe „Sport als Prüfungsfach geplant“ – nie ein Attest, eine Befreiung, ein Grund oder eine Diagnose (Art. 9 DSGVO); der Antrag bei gesundheitlichen Gründen entsteht nur als Entwurf auf dem Gerät (components/SportAntrag.tsx); Sportabitur: die Kennungen der Prüflinge, die wählen dürfen (von der Koordination eingetragen, ohne Namen); Themenprojekt über Religion: nur das Datum der Bestätigung „Themenprojekt – die Wahl sagt nichts über die eigene Überzeugung“ im Protokoll	Wahlzettel, Zuteilung und Protokoll werden ein Jahr nach der Wahlfrist beim nächsten Speichern entfernt (wahlAus); gehört die Wahl zu einer Wahlreihe, zählt die Frist der letzten Wahl der Reihe (loeschAb, lib/wahl.ts; loeschAbReihe, lib/wahl-reihe.ts). Die Angebote bleiben ohne Personenbezug als Vorlage für das nächste Jahr. Löschen einer Wahl entfernt alles sofort. Rücklauf am Gerät (Elternbestätigung, Religionsblatt): die Seite erinnert 30 Tage nach der Freigabe ans Leeren.
Wahlpflichtkurse fair vergeben: Schnuppern im Rundlauf durch drei Kurse, Wahl mit Begründung aus festen Bausteinen und Bestätigung der Eltern, Vorschlag der Rechnung, Entscheidung der Lehrkräfte mit Grund je Abweichung, Lerngruppen und Bindung über zwei Schuljahre	Schüler:innen	Je Wahl: Jahrgang, Zeitraum des Schnupperns, Kurse mit Fach, Kürzel der Lehrkraft (wie im Stundenplan), Plätzen und Raum; Rundlauf: je Schlüssel „Klassen-ID\|Kennung“ die Kurse der Runden – kein Name; Am Wahlzettel zusätzlich: Kennungen fester Begründungsbausteine (kein Freitext) und der Tag der Elternbestätigung (ohne Uhrzeit, ohne Namen der Eltern); Vorschlag der Rechnung je Schlüssel; je Abweichung oder Wechsel: Schlüssel, von, nach, Grund aus einer festen Liste (pädagogisch begründet, Kapazität oder Raum, Förderbedarf, Empfehlung nach dem Schnuppern, Antrag der Eltern), Tag und das handelnde AMT – keine Person, kein Begründungstext; Beschluss: Gremium und Tag; danach je Kurs die Kennung der Lerngruppe und das Ende der Bindung; In der Klassenangabe des Kindes (LiveSession.klasse.wp) die Kennung der Wahlpflicht-Lerngruppe	Ein Schuljahr nach dem Ende der Bindung (Ende des zweiten Schuljahres des Kurses) fallen Rundlauf, Vorschlag, Abweichungen, Lerngruppen-Zuordnung, Zettel und Zuteilung beim nächsten Speichern weg (loeschAb in lib/wahl.ts mit bindungBis). Bis dahin braucht die Schule sie für Wechselanträge und Rückfragen. Die Kurse bleiben ohne Personenbezug als Vorlage.
Der Lehrkraft ihre Zügel geben: je Bereich wählen, ob Tuttuno schweigt, vorschlägt, vorbereitet oder erledigt; Feierabend, Wochenende und Ferien ohne Hinweise; und zeigen, was Tuttuno diese Woche erledigt hat, mit „rückgängig“	Lehrkräfte	Je Bereich die gewählte Stufe (aus, vorschlagen, vorbereiten, erledigen); Feierabend: Uhrzeit ab und bis, Wochenende und Ferien ja oder nein; Protokoll der erledigten Schritte: Kennung des Schritts, Klasse, Text, Tag (ohne Uhrzeit), Rückweg, Tag der Rücknahme – höchstens 60 Einträge; Rückschau nach der Stunde: Klasse, Datum der Stunde und eines von drei Urteilen (lief gut, zu schnell, zu schwer) – kein Freitext, keine Uhrzeit, kein Kind; höchstens 80 Einträge	Protokolleinträge fallen nach 35 Tagen beim nächsten Schreiben heraus; Stufen und Feierabend bis zur Änderung oder Löschung durch die Lehrkraft („Alles zurücksetzen“).
Einer Lehrkraft mit Konto und eigener Klasse nach 14 Tagen ohne Aktivität einmal mitteilen, dass ihre Planung bereitliegt – nie ein zweites Mal	Lehrkräfte	Die Adresse des Kontos (ohnehin am Konto) und das Ablaufdatum der Anmeldesitzung, aus dem der letzte Tag mit Aktivität gerechnet wird – kein neuer Zeitstempel; Am Konto: der Schalter „keine Erinnerung“ und der Tag, an dem die eine Mail ging	Schalter und Versandtag bis zur Löschung des Kontos; die Mail selbst wird nicht gespeichert.
Lehrkräften und Schulleitung, die es selbst einschalten, einmal am Schultag „Dein Tagesbrief ist da“ mit Link aufs Gerät schicken	Lehrkräfte	Am Konto: der Schalter (voreingestellt aus), das Ziel des Links (Meine Woche oder Ihre Schule), das Land der Schule für die Ferien und der Tag der letzten Nachricht; Je Gerät (höchstens fünf): die Adresse beim Push-Dienst des Browsers (Endpunkt) und die zwei öffentlichen Schlüssel dafür (RFC 8291), Tag des Einschaltens, der letzten Zustellung und ob der Dienst den Endpunkt für erloschen erklärt hat; Die Nachricht selbst wird nicht gespeichert; sie trägt nur Titel, einen festen Satz und einen Link – keine Klasse, keinen Namen, keine Zahl	Ausschalten löscht alle Endpunkte sofort; erloschene Endpunkte (404/410) und solche ohne Zustellung seit 120 Tagen entfernt der tägliche Löschlauf; der Rest mit dem Konto.
Eltern, die es auf ihrem Gerät einschalten, eine Nachricht schicken, wenn auf einer Klassenseite aus „Meine Kinder“ heute oder morgen eine Rückmeldung oder ein Termin ansteht – ohne Konto	Erziehungsberechtigte	Je Gerät eine Zeile „ep-…“ (Kennung: Hash des Endpunkts): Endpunkt beim Push-Dienst des Browsers und die zwei öffentlichen Schlüssel, Tag des Einschaltens, der letzten Zustellung, der letzten Nachricht; die Codes der Klassenseiten aus „Meine Kinder“ (höchstens sechs) VERSCHLÜSSELT mit dem Schlüssel des Servers – nie ein Vorname, nie eine Kennung eines Kindes	Ausschalten löscht die Zeile sofort; erloschene Endpunkte (404/410) und solche ohne Zustellung seit 120 Tagen entfernt der tägliche Löschlauf.
Die bestätigte Schulleitung beantragt die Löschung aller Daten der Schule; nach einer Widerrufsfrist löscht der tägliche Löschlauf Lerngruppen, Schuldaten und Mitgliedschaften	Lehrkräfte	Tag des Antrags, Konto-Kennung der beantragenden Leitung und Tag der Löschung (14 Tage später) – an der Schule (OrgData.loeschung)	Bis zum Widerruf oder bis zur Löschung der Schule nach 14 Tagen – dann fällt der Antrag mit allen Schuldaten weg.

Anlage 2 · Technische und organisatorische Maßnahmen

Vertraulichkeit – Zutritt

Rechenzentren der Unterauftragnehmer in Frankfurt am Main mit Zutrittskontrolle, Videoüberwachung, Besucherprotokoll (ISO 27001 bzw. SOC 2 der Betreiber).
Der Anbieter betreibt keine eigenen Server; kein physischer Zugang zu Datenträgern.

Vertraulichkeit – Zugang

Anmeldung der Lehrkräfte per E-Mail-Link (Magic Link) ohne Passwort; Link einmalig gültig, zeitlich befristet.
Administrativer Zugang zu Hosting und Datenbank nur für den Anbieter, mit Zwei-Faktor-Authentisierung.
Keine Schülerkonten mit Name, E-Mail-Adresse oder Passwort. Kinder arbeiten über einen pseudonymen Zugang (Link oder Kärtchen) mit Lernname statt Klarname. Seit 30.09.2026 kann ein Kind seinen Zugang mit einem selbst erzeugten Zugangscode (zwölf Zeichen) auf ein weiteres Gerät holen; der Server hält davon nur einen SHA-256-Prüfwert, Fehlversuche werden je Anschluss und Stunde gedrosselt (lib/zugangscode.ts).

Vertraulichkeit – Zugriff

Mandantentrennung: Jede Lehrkraft sieht nur eigene Lerngruppen; Fachschaften nur geteilte Einheiten, nie Ergebnisse einzelner Lerngruppen.
Schülerbezogene Einträge (Testergebnisse, Nachteilsausgleich, Gespräche) werden vor dem Speichern mit AES-256-GCM verschlüsselt; der Schlüssel liegt nicht in der Datenbank.
Keine Auswertung auf Ebene einzelner Lehrkräfte; Aggregate nur auf Jahrgangsebene (Mitbestimmung § 85 PersVG Berlin beachtet).

Vertraulichkeit – Trennung

Getrennte Umgebungen für Entwicklung und Betrieb; keine Echtdaten in der Entwicklung.
Datensparsamkeit als Voreinstellung: Lerngruppen sind Pläne, keine Namenslisten; Ergebnisse können mit Kürzeln statt Namen geführt werden.

Integrität – Weitergabe

Übertragung ausschließlich per TLS 1.2 oder höher (HTTPS erzwungen, HSTS).
Kein Export personenbezogener Daten an Dritte; Export-Formate (QTI, Moodle-XML, iCal) enthalten Aufgaben und Termine, keine Personendaten.

Integrität – Eingabe

Änderungen an Lerngruppen sind der eingetragenen Lehrkraft und dem Zeitpunkt zuzuordnen (Zeitstempel je Speicherung).
Datenbankmigrationen versioniert und idempotent; jede Änderung am Datenmodell muss im Verarbeitungsverzeichnis stehen (automatischer Test).

Verfügbarkeit und Belastbarkeit

Tägliche Sicherungen der Datenbank durch den Datenbankdienst (Region Frankfurt), Aufbewahrung nach dessen Standard; Wiederherstellung getestet.
Georedundantes Hosting innerhalb der EU-Region; keine Abhängigkeit von einem einzelnen Rechner.
Lehrkräfte können jede Lerngruppe jederzeit als Datei (JSON, .docx) sichern – der Unterricht hängt nicht am Dienst.

Wiederherstellbarkeit

Wiederherstellung aus Sicherung durch den Anbieter innerhalb eines Werktags; Verfahren dokumentiert in DEPLOY.md.

Verfahren zur regelmäßigen Überprüfung

Verarbeitungsverzeichnis, Löschfristen und Datenmodell werden bei jedem Build automatisch gegeneinander geprüft.
Löschfristen laufen automatisch (z. B. Gesprächsnotizen 455 Tage, Klassenseiten-Einträge 60 Tage) und sind im Verzeichnis je Tätigkeit ausgewiesen.
Jährliche Überprüfung der TOM und der Unterauftragnehmer durch den Anbieter; Änderungen werden der Schule mitgeteilt (Widerspruchsrecht nach AVV § 6).

Auftragskontrolle

Verarbeitung nur auf dokumentierte Weisung der Schule (AVV § 3); Weisungen in Textform.
Unterauftragnehmer nur mit AVV und EU-Standardvertragsklauseln (siehe Nachweis).
Keine Werbung, kein Tracking, keine Weitergabe zu eigenen Zwecken.

Anlage 3 · Unterauftragnehmer und Hosting

Unternehmen	Sitz	Region	Zweck	Grundlage
Vercel Inc.	USA	Frankfurt am Main (eu-central-1 / fra1)	Betrieb der Anwendung (Hosting, Rechenleistung)	AVV mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Datenhaltung in der EU
Supabase Inc.	USA	Frankfurt am Main (eu-central-1)	Datenbank (PostgreSQL), Sicherungen und private Dateiablage der Klassen-Pinnwand (Storage, nur wenn eingerichtet)	AVV mit EU-Standardvertragsklauseln; Datenhaltung in der EU
Brevo (Sendinblue SAS)	Frankreich	Paris (EU)	Versand der Anmelde-Links und Klassenseiten-Digests per E-Mail	AVV; EU-Anbieter
Amazon Web Services EMEA SARL (Claude über AWS Bedrock)	Luxemburg (Konzern USA)	EU, Einstieg Frankfurt am Main (eu-central-1), EU-Profil	Sprachmodell, nur wenn eingerichtet: Entwürfe aus Text von Lehrkräften (Platzhalter statt Namen), wenn die Schule diesen Weg wählt; Üben mit KI und KI-Begleiter der Kinder (nur EU-Wege)	AVV von AWS (Datenschutz-Zusatz); Verarbeitung in der EU
Google Cloud EMEA Ltd. (Claude über Vertex AI)	Irland (Konzern USA)	EU (Mehrfachregion „eu“)	Sprachmodell, nur wenn eingerichtet: wie AWS Bedrock, aber nur für Lehrkräfte – nie für Kinder (Google-Bedingungen: keine generative KI für unter 18-Jährige)	Cloud Data Processing Addendum von Google; Verarbeitung in der EU
Anthropic PBC (Claude, „Anthropic direkt“)	USA	USA	Sprachmodell: nur Entwürfe aus Text von Lehrkräften und Schulleitung (Platzhalter statt Namen), nur wenn die Schule KI bucht und diesen Weg wählt; nie Anfragen von Kindern	AVV als Teil der kommerziellen Bedingungen mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Übermittlung in ein Drittland – vermeidbar durch Wahl eines EU-Wegs

Werkzeuge des Betreibers (keine Unterauftragnehmer)

Nur Meldungen über das Programm, keine Daten aus dem Unterricht; nur eingeschaltet, wenn der Betreiber den Schlüssel gesetzt hat.

Unternehmen	Sitz	Zweck	Was hinübergeht
Doist Inc. (Todoist)	USA	Fehler- und Rückmeldungen über das Programm als Arbeitsaufgabe des Betreibers; nur mit gesetztem Schlüssel	Art, Text der Meldung, Seite, betroffene Aufgabe – keine Mailadresse, kein Konto, keine Schule, keine Daten aus dem Unterricht
GitHub Inc.	USA	Anliegen von Schulen als Eintrag in einem privaten Projekt des Betreibers; nur mit gesetztem Schlüssel	Text des Anliegens, Seite, Einordnung – keine Mailadresse, kein Konto, kein Schulname, keine Daten aus dem Unterricht
Google LLC (Firebase Cloud Messaging)	USA	Push-Dienst des Browsers (Chrome, Edge auf Android): stellt die freiwillige Push-Nachricht zu – vom Browser gewählt, nur nach Einschalten durch Lehrkraft oder Eltern	Endpunkt des Geräts, Zeitpunkt und Größe einer Ende-zu-Ende verschlüsselten Nachricht (RFC 8291) – Inhalt nicht lesbar und ohnehin ohne Klassendaten („Dein Tagesbrief ist da“ + Link)
Mozilla Corporation (Autopush)	USA	Push-Dienst von Firefox – wie oben	Endpunkt des Geräts, Zeitpunkt und Größe einer Ende-zu-Ende verschlüsselten Nachricht (RFC 8291) – Inhalt nicht lesbar und ohnehin ohne Klassendaten („Dein Tagesbrief ist da“ + Link)
Apple Inc. (Apple Push Notification Service)	USA	Push-Dienst von Safari (iPhone, iPad, Mac) – wie oben	Endpunkt des Geräts, Zeitpunkt und Größe einer Ende-zu-Ende verschlüsselten Nachricht (RFC 8291) – Inhalt nicht lesbar und ohnehin ohne Klassendaten („Dein Tagesbrief ist da“ + Link)
Microsoft Corporation (Windows Push Notification Services)	USA	Push-Dienst von Edge unter Windows – wie oben	Endpunkt des Geräts, Zeitpunkt und Größe einer Ende-zu-Ende verschlüsselten Nachricht (RFC 8291) – Inhalt nicht lesbar und ohnehin ohne Klassendaten („Dein Tagesbrief ist da“ + Link)