Datenschutzerklärung

Schulzugangsdaten (Stundenplan-Login)

Dein Benutzername und Passwort werden ausschließlich zur Authentifizierung am Stundenplan-Server deiner Schule verwendet und nie auf POKYH-Servern gespeichert. Damit eine abgelaufene Sitzung automatisch erneuert werden kann, bleiben sie auf der Website nur im Sitzungsspeicher (sessionStorage) des geöffneten Browser-Tabs und werden beim Schließen des Tabs gelöscht. Das Session-Token wird AES-GCM-verschlüsselt in einem httpOnly-Cookie gespeichert.

Session-Cookie (pockyh_session)

Verschlüsseltes httpOnly-Cookie mit dem Schulportal-Session-Token. Läuft beim Logout oder nach 4 Stunden ab. Nicht für JavaScript zugänglich (XSS-Schutz).

POKYH-Konto (alternative Anmeldung)

Nutzer ohne Schulaccount können sich mit einem POKYH-eigenen Konto registrieren (Benutzername + Passwort). Das Passwort wird bcrypt-gehasht gespeichert. Ein Klartext-Passwort wird niemals gespeichert.

Benutzer-Cookie (pockyh_user)

Enthält nicht-sensible Anzeigeinformationen (Benutzername, Klasse) für die Darstellung in der App. Kein Passwort, kein Token.

POKYH-Backend (Todos & Erinnerungen)

Todos und Klassen-Erinnerungen werden auf dem eigenen POKYH-Backend gespeichert: Titel, Details, Zeitstempel, Benutzername. Löschung jederzeit selbst möglich. Es werden keine externen Cloud-Dienste für diese Funktionen genutzt.

Mensa-Bewertungen & Kommentare

Wenn du ein Gericht bewertest oder kommentierst, speichert das POKYH-Backend Sternebewertung bzw. Kommentartext, Benutzername, interne Benutzer-ID und Zeitstempel. Kommentare sind mit deinem Benutzernamen für andere angemeldete Nutzer sichtbar; Bewertungen erscheinen nur als Durchschnitt und Anzahl. Eigene Kommentare kannst du jederzeit löschen.

Push-Benachrichtigungen (Website, optional)

Nur wenn du Benachrichtigungen im Browser erlaubst: Das POKYH-Backend speichert die Push-Adresse (Endpoint) deines Browsers zusammen mit deiner Benutzer-ID. Zugestellt werden die Benachrichtigungen über den Push-Dienst deines Browser-Herstellers (z. B. Google, Mozilla oder Apple). Widerruf jederzeit in den Browser-Einstellungen.

Google Analytics 4 (GA4)

Diese Website verwendet Google Analytics 4 (Google LLC), aber ausschließlich nach deiner ausdrücklichen Einwilligung im Cookie-Banner. GA4 erhebt anonymisierte Nutzungsdaten (Seitenaufrufe, Gerätekategorie, Herkunftsland). Die IP-Adresse wird vor Übermittlung an Google anonymisiert (IP-Masking). Es werden keine Werbedaten erhoben. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst deine Einwilligung jederzeit über das Cookie-Banner widerrufen oder der Datenerhebung zusätzlich unter analytics.google.com/analytics/optout widersprechen.

Cloudflare Tunnel (Cloudflare, Inc.)

Zur öffentlichen Erreichbarkeit des selbst gehosteten Servers wird Cloudflare Tunnel verwendet. Cloudflare verarbeitet dabei Netzwerk-Metadaten (IP-Adressen, Anfrage-Header) zur Weiterleitung des Datenverkehrs. Es werden keine Inhalte dauerhaft gespeichert. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für den sicheren Serverbetrieb. Cloudflare übermittelt uns außerdem das aus der IP-Adresse ermittelte Land (ggf. Region und Stadt), das wir für die Besucher-Statistik von Website und Apps nutzen; eine Standortabfrage bei weiteren Anbietern findet nicht statt.

Server-Protokollierung (Request Logs)

Der POKYH-Backend-Server speichert automatisch Zugriffsprotokolle: IP-Adresse, HTTP-Methode, aufgerufener Pfad, HTTP-Statuscode, Antwortdauer, Benutzername und User-Agent. Zweck: Sicherheit, Fehlerdiagnose und Missbrauchserkennung. Außerdem zählen wir daraus ohne Namen, wie viele Konten pro Tag und in den letzten 7 bzw. 30 Tagen aktiv waren und ob sie die iOS-App, die Android-App oder die Website genutzt haben. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Logs werden spätestens nach 30 Tagen gelöscht.

Nutzungsstatistik (Apps & Website)

Solange du angemeldet bist und POKYH im Vordergrund geöffnet ist, melden die iOS-App, die Android-App und die Website dem POKYH-Backend etwa alle 30 bis 60 Sekunden, wie lange POKYH genutzt wurde und wie viele Bildschirme geöffnet wurden. Pro Besuch werden gespeichert: eine zufällige Besuchs-ID, die Plattform (iOS-App, Android-App oder Website – bei der Website zusätzlich Handy oder Computer und ob sie als Web-App installiert ist), die App-Version, Tag und Uhrzeit, die Nutzungsdauer und die Zahl der geöffneten Bildschirme. Mit diesen Angaben gespeichert werden weder IP-Adresse noch User-Agent, Inhalte oder Eingaben; im Browser oder auf dem Gerät wird dafür nichts gespeichert. Ohne Einwilligung (anonym): Statt deines Kontos enthält der Besuch nur einen Tagesschlüssel – einen Hashwert aus deiner Konto-ID und einem Zufallswert, der am Ende des Tages gelöscht wird. So lässt sich zählen, wie viele verschiedene Personen POKYH an einem Tag genutzt haben, ohne zu wissen wer, und Tage lassen sich nicht miteinander verknüpfen. Seitenaufrufe der Website zählen zusätzlich als Website-Besuch, das Öffnen einer App als App-Besuch – dafür wird die IP-Adresse getrennt von der Nutzungsstatistik gespeichert (siehe „Website- und App-Besucher“). Pro Klasse und Tag wird außerdem nur zusammengezählt, wie lange und von wie vielen Personen POKYH genutzt wurde (ohne Namen; angezeigt wird eine Klasse erst ab 5 Personen-Tagen). Ausgewertet wird nur in Gesamtzahlen (z. B. Nutzer je Plattform, durchschnittliche Nutzungsdauer, Stoßzeiten), die ausschließlich Administratoren sehen. Rechtsgrundlage: berechtigtes Interesse an Betrieb und Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO); du kannst jederzeit widersprechen (Art. 21 DSGVO) – eine kurze Nachricht an die oben genannte Kontaktadresse genügt. Browser mit aktiviertem „Global Privacy Control“ senden keine Nutzungsstatistik. Mit Einwilligung (persönlich, „Alle akzeptieren“ oder Profil): Der Besuch wird zusätzlich deinem Konto zugeordnet, und Administratoren können für dein Konto sehen, welche Plattform und App-Version du nutzt, wann du zuletzt aktiv warst, wie lange, wie oft und an wie vielen Tagen du POKYH genutzt hast, welche Seiten du aufgerufen hast und von welchen IP-Adressen und Orten du die Website und die Apps genutzt hast (z. B. für den Support oder um auf veraltete App-Versionen hinzuweisen). Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); unter 14 Jahren nur mit Erlaubnis deiner Eltern (Art. 8 DSGVO, Art. 2-quinquies Codice privacy). Du kannst sie jederzeit im Profil oder in den Cookie-Einstellungen widerrufen; dann wird dein Name aus allen bisherigen Einträgen entfernt. Diese Daten werden nicht an Dritte weitergegeben, nicht für Werbung genutzt und nicht mit Noten oder anderen Schuldaten verknüpft.

Website- und App-Besucher (Reichweite & Sicherheit)

Bei jedem Seitenaufruf der Website – mit oder ohne Konto – speichert das POKYH-Backend: die IP-Adresse, das daraus von Cloudflare ermittelte Land (und, sofern übermittelt, Region und Stadt), den Gerätetyp (Handy, Tablet, Computer), die aufgerufene Seite, Datum und Uhrzeit und ob du angemeldet warst. Ebenso speichert es in der iOS- und Android-App – die nur angemeldet Nutzungsdaten senden – jedes Öffnen der App einmal pro IP-Adresse und Tag: die IP-Adresse, das Land (und, sofern übermittelt, Region und Stadt), das Gerät (iPhone oder Android), die App-Version, Datum und Uhrzeit und die zufällige Besuchs-ID der Nutzungsstatistik, damit ein Besuch nur einmal gezählt wird. Die App sendet dafür nichts zusätzlich; verwendet wird die Adresse, von der die Nutzungsstatistik ohnehin kommt. Bist du angemeldet, kommt ein pseudonymer Kontoschlüssel hinzu (ein mit einem Server-Geheimnis gebildeter Hashwert ohne Namen), damit gezählt werden kann, wie viele verschiedene Konten eine IP-Adresse nutzen – etwa in einem Schulnetz. Verschiedene Besucher pro Tag werden über einen Tagesschlüssel gezählt – bist du angemeldet, aus deinem Konto, sonst aus IP-Adresse und Browserkennung –, der am Ende des Tages nicht mehr auflösbar ist. Zweck: wissen, wie viele Menschen die Website und die Apps erreichen und woher sie kommen, sowie Missbrauch, Bots und Angriffe erkennen. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); du kannst jederzeit widersprechen (Art. 21 DSGVO) – eine kurze Nachricht an die oben genannte Kontaktadresse genügt. Hast du der persönlichen Nutzungsstatistik zugestimmt, wird der Besuch zusätzlich deinem Konto zugeordnet, sodass Administratoren bei der IP-Adresse deinen Namen sehen (Art. 6 Abs. 1 lit. a DSGVO); ohne Zustimmung wird kein Name gespeichert, nach einem Widerruf wird er entfernt. IP-Adresse, Ort, Kontoschlüssel, Besuchs-ID und Konto werden nach 30 Tagen gelöscht; danach bleibt nur eine anonyme Zählung nach Land, Gerätetyp, Seite bzw. App-Version, Tag und Stunde. Browser mit aktiviertem „Global Privacy Control“ werden ohne IP-Adresse und Konto gezählt. Die Daten sehen ausschließlich Administratoren; sie werden nicht an Dritte weitergegeben und nicht für Werbung genutzt.

Hinweis & Einwilligungen

Zu deinem Konto speichern wir, welche Fassung dieser Datenschutzerklärung dir wann angezeigt wurde (bei der Anmeldung bzw. nach einer Änderung, auf der Website oder in der App) und ob und wann du der persönlichen Nutzungsstatistik zugestimmt oder sie widerrufen hast – als Nachweis (Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO). Das Anzeigen ist keine Einwilligung. Die Daten werden mit deinem Konto gelöscht. Deine Auswahl im Cookie-Banner wird zusätzlich auf deinem Gerät gespeichert (siehe Cookies).

Mobile App (iOS & Android)

Die nativen POKYH-Apps speichern Zugangsdaten ausschließlich verschlüsselt auf dem Gerät (iOS-Keychain bzw. mit einem Schlüssel aus dem Android Keystore), damit die Anmeldung erneuert werden kann; auf POKYH-Servern werden sie nicht gespeichert. iCloud-Synchronisierung ist deaktiviert. Außer der oben beschriebenen Nutzungsstatistik und App-Besucher-Statistik erhebt die App keine Analysedaten; Analyse-SDKs von Drittanbietern sind nicht eingebunden. Nach der ersten Anmeldung und nach einer Änderung dieser Datenschutzerklärung zeigt die App einmal einen Hinweis darauf; dass er angezeigt wurde, wird wie auf der Website gespeichert (siehe „Hinweis & Einwilligungen“). Für die Offline-Nutzung legt die App zuletzt geladene Daten (z. B. Stundenplan, Noten, Abwesenheiten, Mensa) im privaten App-Speicher des Geräts ab. Erinnerungen werden als lokale Gerätebenachrichtigungen ausgeliefert (kein Remote-Push). Update-Prüfungen erfolgen über die öffentliche GitHub-API; dabei erhält GitHub technisch bedingt die IP-Adresse, aber keine Konto- oder Schuldaten.

Lokaler Speicher (localStorage)

Für Einstellungen (Theme, Sidebar-Status) und als Zwischenspeicher zuletzt geladener Schuldaten (Stundenplan, Noten, Abwesenheiten, Nachrichten) für eine schnellere Anzeige wird localStorage genutzt. Diese Daten verlassen nie das Gerät.