Erklärung zur Nicht-Verarbeitung personenbezogener Daten von Lernenden

2. Technische Maßnahmen zur Anonymisierung

2.1 Asymmetrische Verschlüsselung mit Curve25519

KorrekturKumpel verwendet ein hochsicheres asymmetrisches Verschlüsselungssystem basierend auf Curve25519, einem modernen elliptischen Kurven-Kryptographie-Standard.

Funktionsweise der asymmetrischen Verschlüsselung

2.2 Client-seitige Nutzernamen-Ersetzung

Um zu verhindern, dass Lernende versehentlich ihre Nutzernamen in Lösungstexten nennen, wird bereits im Browser des Lernenden VOR dem Upload eine automatische Nutzernamen-Ersetzung durchgeführt:

Vorteil: Der Server empfängt bereits bereinigte Texte, sodass niemals unverschlüsselte Nutzernamen in Lösungstexten gespeichert werden.

2.3 Keine Erfassung von Metadaten

Es werden keinerlei personenbezogene Metadaten von Lernenden erfasst:

• ❌ Keine IP-Adressen
• ❌ Keine Geräte-IDs
• ❌ Keine Browser-Fingerprints
• ❌ Keine Standortdaten
• ❌ Keine E-Mail-Adressen von Lernenden
• ❌ Keine Zeitstempel der Lernenden-Aktivitäten (die eine Individualisierung ermöglichen würden)

2.4 Umgang mit handschriftlichen Abgaben

Bei analogen Abgaben (PDF/Scan) gilt:

• Nutzernamen-Eingabe: Lernende geben ihren Nutzernamen entweder selbst bei der Digitalisierung an (und verschlüsseln es client-seitig MIT dem Public Key aus dem QR- Code) oder die Lehrkraft ordnet den Nutzernamen beim Hochladen zu.
• Temporäre Bildspeicherung: Bilder handschriftlicher Abgaben werden ausschließlich für den Ausleseprozess temporär gespeichert und unmittelbar nach Abschluss der Textextraktion gelöscht.
• Keine dauerhafte Bildspeicherung: Es erfolgt keine dauerhafte oder über den Ausleseprozess hinausgehende Speicherung von Bildmaterial, das handschriftliche Besonderheiten oder sonstige identifizierende Merkmale enthalten könnte.

2.5 Warum Klassenstufe und Fach nicht verschlüsselt werden

Die Angaben zu Klassenstufe (z. B. "Klasse 8") und Fach (z. B. "Mathematik") werden bewusst unverschlüsselt gespeichert, da sie für die KI-gestützte Korrektur technisch erforderlich sind. Diese Informationen ermöglichen jedoch keine Re-Identifikation, da:

• Sie auf Tausende potenzielle Lernende deutschlandweit zutreffen
• Keine Schulzuordnung möglich ist (verschlüsselt mit Curve25519)
• Keine Nutzernamen-Entschlüsselung möglich ist (nur mit Private Key der Lehrkraft)
• KorrekturKumpel keine weiteren identifizierenden Merkmale vorliegen

Beispiel: "Mathematik, Klasse 8" kann sich auf Zehntausende Schülerinnen und Schüler in Deutschland beziehen und erlaubt KorrekturKumpel oder sonstigen Dritten keine Individualisierung.

2.6 Unterschiede zwischen Einzel- und Schullizenzen

KorrekturKumpel bietet zwei Lizenzmodelle mit unterschiedlichen Datenschutzansätzen:

3. Warum keine Re-Identifikation möglich ist

Eine Re-Identifikation von Lernenden ist selbst bei Kombination aller verfügbaren Datenpunkte technisch ausgeschlossen, da:

3.1 Keine direkten Identifikatoren vorhanden

• ✓ Keine Namen (werden bereits client-seitig aus Lösungstexten entfernt)
• ✓ Keine Schüler-IDs
• ✓ Keine E-Mail-Adressen
• ✓ Keine Geburtsdaten
• ✓ Keine postalischen Adressen

3.2 Nutzernamen kryptographisch geschützt

• ✓ Nutzernamen sind mit asymmetrischer Verschlüsselung (Curve25519) gesichert
• ✓ Schlüssel 1 (Private Key) wird aus Seed-Phrase abgeleitet und existiert nur client-seitig
• ✓ Verschlüsselung erfolgt MIT Public Key durch den Lernenden selbst
• ✓ Nur die Lehrkraft mit Zugriff auf Schlüssel 1 (Private Key) kann entschlüsseln
• ✓ Weder Schlüssel 1, Schlüssel 2 noch Seed-Phrase werden jemals an den Server übertragen
• ✓ KorrekturKumpel hat keinen Zugriff auf die Entschlüsselung
• ✓ Selbst bei Serverübernahme: keine Entschlüsselung möglich (nur verschlüsselte Daten und Public Keys vorhanden)
• ✓ Public Key allein ist nutzlos für Entschlüsselung – das ist der zentrale Vorteil asymmetrischer Kryptographie

3.3 Kontextdaten nicht ausreichend spezifisch

Die einzigen gespeicherten Kontextinformationen sind:

• Klassenstufe (z. B. "Klasse 8")
• Fach (z. B. "Mathematik")
• Asymmetrisch verschlüsselter Nutzername
• Asymmetrisch verschlüsselte Schulzugehörigkeit
• Bereinigte Lösungstexte (Nutzername bereits client-seitig entfernt)

Diese Informationen ermöglichen keine Individualisierung auf einzelne Lernende. Beispiel: "Mathematik, Klasse 8" kann sich auf Zehntausende Schülerinnen und Schüler beziehen.

3.4 Keine Kombination mit externen Daten möglich

Da KorrekturKumpel (bei Einzellizenzen):

• ❌ keine entschlüsselte Schulzugehörigkeit speichert,
• ❌ keine Zeitstempel von Lernenden-Aktivitäten erfasst,
• ❌ keine IP-Adressen oder Standortdaten verarbeitet,
• ❌ nur asymmetrisch verschlüsselte Nutzernamen besitzt (ohne Private Key nutzlos),

ist eine Verknüpfung mit externen Datenquellen (z. B. Schulverwaltungssystemen, öffentlichen Datenbanken) nicht möglich.

3.5 Mathematische Sicherheit von Curve25519

Curve25519 gilt als einer der sichersten modernen Verschlüsselungsstandards:

• ✓ 256-Bit Sicherheit: Praktisch unknackbar mit heutiger Technologie
• ✓ Elliptic Curve Cryptography (ECC): Effizienter als RSA bei gleicher Sicherheit
• ✓ Bewährt: Wird u.a. von Signal, SSH verwendet
• ✓ Resistent gegen Side-Channel-Angriffe: Speziell dafür entwickelt
• ✓ Deterministisch: Aus derselben Seed-Phrase entsteht immer derselbe Private Key

Selbst mit Quantencomputern würden heutige Schätzungen darauf hindeuten, dass Curve25519 für die nächsten Jahrzehnte sicher bleibt (Post-Quantum-Kryptographie wird zusätzlich erforscht, ist aber aktuell nicht notwendig).

4. Datenspeicherung und Löschfristen

• Asymmetrisch verschlüsselte Nutzernamen und Lösungen: Werden für maximal 2 Jahre gespeichert.
• Handschriftliche Abgaben (Bilder): Werden sofort nach Abschluss des Ausleseprozesses automatisch gelöscht.
• Public Keys: Werden gespeichert (sind öffentlich, enthalten keine personenbezogenen Daten)
• Private Keys (Schlüssel 1): Werden niemals auf dem Server gespeichert, nur verschlüsselt mit Schlüssel 2
• Keine Langzeitarchivierung: Es erfolgt keine dauerhafte Speicherung von Daten, die potenziell zur Re-Identifikation genutzt werden könnten.

5. Rechtliche Einordnung

5.1 Keine Verarbeitung personenbezogener Daten gemäß DSGVO (Einzellizenzen)

Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten:

KorrekturKumpel erfüllt diese Definition bei Einzellizenzen nicht, da:

1. Keine Identifikation möglich: Durch asymmetrische Verschlüsselung (Curve25519) ohne serverseitigen Zugriff auf Schlüssel 1 (Private Key).
2. Keine Identifizierbarkeit: Auch bei Kombination aller gespeicherten Datenpunkte (Klassenstufe, Fach, asymmetrisch verschlüsselter Nutzernamen, asymmetrisch verschlüsselte Schulzugehörigkeit) ist keine Zuordnung zu realen Personen möglich.
3. Public Key reicht nicht: Der im QR-Code enthaltene Public Key kann nur verschlüsseln, nicht entschlüsseln – das ist das Grundprinzip asymmetrischer Kryptographie.

5.2 Anonymisierung im Sinne der DSGVO

Die Verarbeitung entspricht einer wirksamen Anonymisierung gemäß ErwGr. 26 DSGVO:

5.3 Rechtliche Einordnung bei Schullizenzen

Bei Schullizenzen wird ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO abgeschlossen, da personenbezogene Daten der Lehrkraft verarbeitet werden. Dennoch gilt:

• Lernende bleiben pseudonymisiert: Nutzernamen bleiben mit Curve25519 verschlüsselt
• Keine direkte Re-Identifikation möglich: Auch mit Schulzuordnung keine Zuordnung zu einzelnen Lernenden ohne Zugriff auf Schlüssel 1 (Private Key) der jeweiligen Lehrkraft

6. Transparenz gegenüber Schulen, Eltern und Lernenden

KorrekturKumpel verpflichtet sich zu größtmöglicher Transparenz:

• ✓ Offenlegung der technischen Maßnahmen zur Anonymisierung (asymmetrische Verschlüsselung, Curve25519)
• ✓ Klare Kommunikation, welches Lizenzmodell welchen Datenschutzansatz verfolgt
• ✓ Keine versteckten Datenerhebungen oder Tracking-Mechanismen

Schulen und Eltern können sicher sein, dass Lernende die Plattform nutzen können, ohne dass ihre Identität preisgegeben wird. Die Verwendung von Curve25519 ist industrieüblich und wird von Sicherheitsexperten weltweit als hochsicher eingestuft.

7. Verantwortung der Lehrkräfte

Obwohl KorrekturKumpel bei Einzellizenzen keine personenbezogenen Daten von Lernenden verarbeitet, tragen Lehrkräfte weiterhin Verantwortung insbesondere für:

• Sichere Aufbewahrung der Seed-Phrase: Die Seed-Phrase ermöglicht die Ableitung von Schlüssel 1 (Private Key) und damit die Entschlüsselung aller Nutzernamen und der Schulzugehörigkeit. Sie muss sicher und vertraulich aufbewahrt werden.
• Sichere Aufbewahrung des Passworts: Das Login-Passwort ermöglicht die Ableitung von Schlüssel 2, der wiederum Schlüssel 1 entschlüsselt. Es sollte gemäß üblicher Sicherheitsstandards gewählt werden.
• Datenverlust bei Verlust beider Schlüssel: Bei Verlust sowohl des Passworts (Schlüssel 2) als auch der Seed-Phrase (zur Wiederherstellung von Schlüssel 1) sind die verschlüsselten Daten unwiederbringlich verloren. Dies liegt in der Verantwortung der Lehrkraft – das ist der Preis für maximale Sicherheit.
• Sorgfältiger Umgang mit QR-Codes: QR-Codes enthalten den Public Key, der zwar öffentlich sein kann, aber nur an die vorgesehenen Lernenden verteilt werden sollte.
• Sorgfältiger Umgang mit exportierten Korrekturen, sofern diese entschlüsselte Nutzernamen enthalten
• Einhaltung schulinterner Datenschutzrichtlinien bei der Weitergabe von Bewertungen
• Aufklärung der Lernenden: Lernende sollten instruiert werden, keine echten Namen in ihren Lösungen zu verwenden (zusätzlich zur automatischen Nutzernamen-Ersetzung)

8. Zusammenfassung der Schutzmechanismen

9. Spezifikation und Sicherheitsanalyse

9.1 Kryptographische Spezifikationen

• Asymmetrische Verschlüsselung: Curve25519 (X25519 für Schlüsselaustausch)
• Symmetrische Verschlüsselung: AES-256-GCM für Schlüssel 1-Schutz (Schlüssel 2)
• Key Derivation: PBKDF2 oder Argon2 für Passwort → Schlüssel 2
• Seed-Phrase: BIP39-kompatibel (12 oder 24 Wörter)
• Deterministisch: Seed-Phrase → Schlüssel 1 ist deterministisch reproduzierbar

9.2 Sicherheitsanalyse

10. Kontakt und Rückfragen

Für Fragen zur technischen Umsetzung oder rechtlichen Einordnung stehen wir gerne zur Verfügung: