Datenschutzerklärung

Classperiment ist eine browserbasierte Lehranwendung für kurze Unterrichtsexperimente. Studierende können über einen Sitzungscode an einer Unterrichtssitzung teilnehmen, eine Aufgabe auf dem eigenen Gerät bearbeiten, eine lokale Ergebnisseite ansehen und optional eine pseudonyme Ergebniszusammenfassung an das Instructor-Dashboard übermitteln.

Diese Datenschutzerklärung bildet den aktuellen technischen Stand der Anwendung ab. Sie ist bewusst so formuliert, dass sie die derzeitige Funktionsweise einschließlich browserseitiger Speicherung, optionaler Summary-Übermittlung und Live-Aktualisierung für Lehrende beschreibt.

Verantwortlicher für die auf dieser Seite beschriebene Verarbeitung ist derzeit Dr. Marian Sauter unter den oben genannten Kontaktdaten.

Dass der Dienst bei netcup gehostet wird, klärt die Verantwortlichenrolle für sich genommen nicht. Hosting betrifft die technische Infrastruktur; Verantwortlicher ist die Person oder Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet. Deshalb wird persönlich Dr. Marian Sauter als Verantwortlicher benannt.

Beim Aufruf dieser Website werden technisch notwendige Verbindungsdaten verarbeitet. Je nach Webserver-, Reverse-Proxy- und Serverkonfiguration können dazu insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, angeforderte URL, Browser- und Protokollinformationen, Referrer-Informationen sowie Server-Logdaten gehören.

Diese Daten werden verarbeitet, um die Website auszuliefern, den Dienst stabil zu betreiben und Missbrauch oder Angriffe abzuwehren. Webserver-Logs werden täglich rotiert und nach 14 Tagen gelöscht; Anwendungs-Logs liegen im System-Journal, das auf 200 MB begrenzt ist und die ältesten Einträge überschreibt (siehe Abschnitt 14).

Der Betreiber führt zusätzlich eine anonyme, aggregierte Nutzungsstatistik mit einem Datensatz pro Unterrichtssitzung: Zählwerte (beigetretene, gestartete und abgeschlossene Studierende), die Aufgabe, die App-Version, die Sprache der Lehrenden-Oberfläche sowie ein grobes Länderkennzeichen. Das Land wird im Moment der Erstellung bzw. des Beitritts einer Sitzung aus der Netzwerkadresse abgeleitet; die Adresse selbst wird ausschließlich für diese Zuordnung verwendet und weder gespeichert noch protokolliert. Diese Datensätze enthalten keine Sitzungscodes, keine Gerätekennungen und keine personenbezogenen Einzeldaten und sind ausschließlich dem Betreiber zugänglich (Rechtsgrundlage: berechtigtes Interesse an der Auswertung und Berichterstattung zur Nutzung des Dienstes, Art. 6 Abs. 1 lit. f DSGVO).

Zur Nutzungsanalyse betreibt der Betreiber auf demselben Server eine selbst gehostete Instanz der Open-Source-Software Umami (stats.classperiment.com). Erfasst werden Seitenaufrufe und wenige technische Ereignisse an Phasengrenzen (zum Beispiel: Einwilligung erteilt, Übung abgeschlossen, Aufgabe abgeschlossen, Summary übermittelt, Aufgabe im Aufgabenkatalog gestartet, Sitzung durch Lehrende angelegt oder gestartet, Feedback abgesendet, Video gestartet oder bis zum Ende abgespielt auf den Seiten für Lehrende). Ein Ereignis enthält höchstens den Namen der Aufgabe, die Feedback-Kategorie oder den Namen des Videos und die Sprache. Erfasst werden sie jeweils mit dem Seitenpfad und dem Seitentitel ohne Sitzungscodes und ohne Query-Parameter (nur Kampagnen-Kennzeichen wie utm_source aus Links in eigenen Ankündigungen des Betreibers bleiben erhalten), der verweisenden Seite, der Sprache, Browser- und Gerätetyp, der Bildschirmgröße und dem aus der IP-Adresse abgeleiteten Land. Umami setzt keine Cookies und speichert nichts im Browser; Besuche werden über einen täglich wechselnden Hash aus IP-Adresse und Browser-Signatur gezählt, die IP-Adresse selbst wird nicht gespeichert. Browser mit aktivierter Do-Not-Track-Einstellung werden nicht gezählt. Analysedaten enthalten nie Aufgabenergebnisse, Antworten auf die optionalen Fragen, Sitzungscodes oder Namen (Rechtsgrundlage: berechtigtes Interesse, die Nutzung des Dienstes zu verstehen und darüber zu berichten, Art. 6 Abs. 1 lit. f DSGVO).

Die Seiten für Lehrende (/teach und /tutorials) enthalten Videos: einen kurzen Überblick und Tutorials. Videodateien, Vorschaubilder, Untertitel und Kapitelmarken werden vom eigenen Server des Betreibers ausgeliefert und mit dem im Browser eingebauten Videoplayer abgespielt; es ist kein Player und keine Videoplattform eines Drittanbieters eingebunden, sodass beim Abspielen eines Videos keine Daten an Dritte übermittelt werden. Beim Abruf dieser Dateien fallen dieselben Verbindungsdaten an wie bei jedem anderen Aufruf dieser Website (siehe die ersten beiden Absätze dieses Abschnitts).

Die Anwendung verwendet derzeit ein technisch notwendiges Sprach-Cookie mit dem Namen cognimize_locale, um die ausgewählte Sprache zu speichern.

Zusätzlich speichert die Anwendung Statusdaten lokal im Browser. Diese lokale Speicherung umfasst derzeit eine pseudonyme Client-ID, den aktuellen Sitzungscode, den Status der Teilnahmeeinwilligung, die Einstellung zur Summary-Übermittlung, ein optionales selbst gewähltes Anzeige-Pseudonym (verbleibt ausschließlich auf dem Gerät und wird nie übermittelt), gegebenenfalls die freiwilligen Antworten auf die optionalen Fragen (bleiben auf dem Gerät gespeichert, um sie in einer späteren Sitzung vorzubelegen), die aktuelle Aufgabenkonfiguration, lokale Ergebnisdaten und gegebenenfalls eine zwischengespeicherte Summary für einen späteren erneuten Übermittlungsversuch.

Bei einzelnen Aufgaben speichert der Browser außerdem je Sitzung eine Markierung, dass die Aufgabe auf diesem Gerät bereits begonnen wurde. Sie dient ausschließlich dazu, einen wiederholten Durchgang zu erkennen, enthält keine Antworten (nur die Aufgabe, den Sitzungscode und den aktuellen Durchlauf der Sitzung, beim Testdurchlauf der Lehrperson einen Testvermerk, sowie den Zeitpunkt des Setzens) und wird mit den Website-Daten entfernt; Markierungen, die älter als sieben Tage sind, werden beim Setzen einer neuen Markierung gelöscht. Bei der Aufgabe „Aussagen beurteilen“, deren Aussagen nicht zweimal gesehen werden sollen, bezieht sich die Markierung statt auf die Sitzung auf die Fassung der Aussagen, gilt auch außerhalb einer Unterrichtssitzung und verfällt nach einem Jahr.

Bei Lehrenden speichert der Browser zusätzlich den sitzungsbezogenen Instruktor-Schlüssel (erforderlich für die Sitzungssteuerung) und nach einer Veröffentlichung ein Verwaltungs-Token (erforderlich, um das veröffentlichte Aggregat zu aktualisieren oder zurückzuziehen).

Studierende treten einer Unterrichtssitzung bei, indem sie einen sechsstelligen Sitzungscode eingeben oder über einen Link bzw. QR-Code öffnen. Wenn ein Sitzungscode geprüft wird, verarbeitet der Server diesen Code und gibt, sofern die Sitzung existiert, die aktuelle Aufgabenkonfiguration und den Sitzungsstatus zurück.

Nach bestätigter Teilnahmeeinwilligung meldet das Gerät den Beitritt an den Server (Sitzungscode und pseudonyme Client-ID), unabhängig von der Einstellung zur Summary-Übermittlung; jedes Gerät wird je Sitzung nur einmal gezählt. Ist die Summary-Übermittlung aktiviert, wird beim Start der Aufgabe ebenso der Beginn gemeldet. Der Server führt daraus die Zähler „beigetreten“ und „gestartet“ für das Dashboard und hält die Client-IDs dafür bis zum Zurücksetzen oder zur Entfernung der Sitzung vor (siehe Abschnitt 14). Bei einer Aufgabe in mehreren Fassungen (zufällige Zuweisung zu einer Fassung oder ausgeglichene Reihenfolge des Materials) fragt das Gerät beim Start der Aufgabe seine Fassung beim Server ab, unabhängig von der Einstellung zur Summary-Übermittlung; der Server hält die zugewiesene Fassung mit der Client-ID für dieselbe Zeit vor, damit das Gerät nach einem Neuladen dieselbe Fassung behält. Die Meldungen von Beitritt und Beginn enthalten außerdem die Geräteklasse (Laptop/PC, Smartphone, Tablet oder unbekannt), abgeleitet aus der Gerätebeschreibung des Browsers; der Server hält sie mit der Client-ID für dieselbe Zeit vor, damit die Lehrperson die Klassenergebnisse gemeinsam oder nach Geräteklasse ansehen kann.

Der Dienst verlangt derzeit von Studierenden keine Kontoerstellung und keine Angabe von Namen oder E-Mail-Adressen für die Teilnahme.

Die eigentliche experimentelle Aufgabe wird derzeit überwiegend im Browser der studierenden Person ausgeführt. Trial-basierte Ergebnisdaten werden lokal auf dem Gerät gespeichert und auf der lokalen Ergebnisseite erneut angezeigt, wenn die Sitzung auf demselben Gerät fortgesetzt wird.

Die aktuelle Implementierung ist damit datensparsam, aber rechtlich nicht vollständig anonym, weil weiterhin browserseitige Kennungen, Verbindungsdaten und technische Metadaten beteiligt sind.

Nach Abschluss der Aufgabe kann die Anwendung eine Ergebniszusammenfassung an den Server übermitteln, damit Klassenaggregate berechnet werden können. Diese Übermittlung kann im aktuellen Stand insbesondere Sitzungscode, pseudonyme Client-ID, Aufgabenname und -version, eine Summary-ID, Summary-Kennwerte, Qualitätsindikatoren, User-Agent-Informationen, Viewport-Breite und -Höhe, die Geräteklasse sowie einen Zeitstempel enthalten.

Bei einzelnen Aufgaben enthält die Summary zusätzlich die Antwort auf eine kurze Frage am Ende der Aufgabe (zum Beispiel, in welchem Teil des Bildschirms der Zielreiz nach Einschätzung der studierenden Person am häufigsten erschien, ob das zutraf und wie sicher sie sich war), Anzeige- und Eingabe-Messwerte wie die gezeichnete Reizgröße, das Bildwiederholintervall des Bildschirms und ob mit der Tastatur oder mit den Schaltflächen auf dem Bildschirm geantwortet wurde, sowie ob die Aufgabe auf dem Gerät zuvor schon begonnen oder abgeschlossen worden war (nur innerhalb desselben Browser-Tabs gezählt, zum Beispiel über ein Neuladen der Seite hinweg).

Die übermittelte Summary wird verwendet, um Klassenaggregate und präsentationstaugliche Instructor-Ansichten zu berechnen. Lehrende mit dem Instruktor-Schlüssel der Sitzung sehen darin auch die Kennwerte einzelner Abgaben ohne Namen und können sie als CSV-Datei exportieren: eine Zeile je Abgabe mit fortlaufendem Pseudonym (P001, P002, …), Zeitstempel, Summary-Kennwerten, Qualitätsindikatoren und Geräteklasse, ohne Client-ID, User Agent, Viewport und demografische Antworten. Der aktuelle Stand übermittelt über diese Route nicht den vollständigen lokalen Trial-Datensatz.

Hat die Lehrperson für eine Sitzung die optionalen demografischen Fragen aktiviert, kann die Summary zusätzlich die freiwilligen Antworten enthalten (Altersgruppe sowie ob die Unterrichtssprache die Erstsprache ist). Diese Fragen können immer übersprungen werden; die Antworten verlassen die Live-Sitzung ausschließlich als anonyme Gruppenzahlen.

Für eine Sitzung kann die Lehrperson einen Abschluss-Link hinterlegen (zum Beispiel für eine bezahlte Online-Studie). Die Ergebnisseite zeigt dann eine Schaltfläche zu einer externen Website, sobald der Server die Summary der studierenden Person angenommen hat. Wer ihr folgt, gelangt auf diese Website, die Daten nach ihrer eigenen Datenschutzerklärung verarbeitet. Classperiment hängt nichts an den Link an und übermittelt dieser Website nichts über die studierende Person; zudem wird der Browser angewiesen, die Adresse der Ergebnisseite nicht weiterzugeben (kein Referrer).

Lehrende können das Klassenaggregat einer Sitzung ausdrücklich auf einer öffentlichen Vergleichsseite veröffentlichen. Ein veröffentlichter Eintrag enthält den Aufgabennamen, das Land, den Institutionsnamen, eine optionale Sitzungsbezeichnung, die Teilnehmendenzahl und aggregierte Klassenstatistiken. Er enthält niemals Einzelergebnisse, Client-IDs oder andere Daten einzelner Studierender.

Eine Veröffentlichung erfordert mindestens 10 teilnehmende Studierende pro Sitzung, damit veröffentlichte Aggregate nicht auf einzelne Personen zurückführbar sind; die Teilnehmendenzahl wird bei jedem veröffentlichten Eintrag mit angezeigt. Veröffentlichte Einträge werden in einer Datenbank auf dem Server in Deutschland gespeichert und bleiben öffentlich sichtbar, bis die veröffentlichende Lehrperson sie zurückzieht oder der Betreiber sie entfernt.

Hat die Lehrperson die optionalen demografischen Fragen aktiviert, kann ein veröffentlichter Eintrag zusätzlich anonyme Gruppenzahlen je Altersgruppe und je Sprachantwort enthalten — niemals Einzelantworten. Die Zahlen zu einer Frage werden nur aufgenommen, wenn mindestens 10 Studierende sie tatsächlich beantwortet haben; „Keine Angabe“ zählt nicht als Antwort und wird nicht veröffentlicht. Eine Altersgruppe, die weniger als 3 Studierende gewählt haben, wird mit der benachbarten Altersgruppe zusammengefasst, und die Sprachfrage entfällt, wenn eine ihrer Antworten von weniger als 3 Studierenden gewählt wurde. Unterhalb dieser Schwellen verbleiben die Zahlen in der Live-Sitzung und werden nicht veröffentlicht.

Das Instructor-Dashboard zeigt Sitzungsstatus, Teilnehmendenzahl, aggregierte Kennwerte, Präsentationsplots und diagnostische Hinweise. Live-Aktualisierungen des Dashboards werden im aktuellen technischen Stand über eine WebSocket-Verbindung bereitgestellt.

Zu diesem Zweck verarbeitet der Server Sitzungsmetadaten und Dashboard-Abonnementdaten und sendet Aggregate-Aktualisierungen an verbundene Instructor-Clients.

Kursergebnisse im Dashboard, einschließlich der Werte einzelner Teilnehmender, werden nur an ein Dashboard übermittelt, das den Instruktor-Schlüssel der Sitzung besitzt: das Gerät, das die Sitzung erstellt hat, oder eines, auf dem der Backup-Code eingegeben wurde. Ein Gerät, das nur den Sitzungscode kennt, erhält den Sitzungsstatus und die Zähler (beigetreten, gestartet, fertig). Sobald die Lehrperson die Ergebnisse freigegeben hat, erhält ein solches Gerät außerdem für die Ansicht „Du und deine Klasse“ auf der Ergebnisseite die Anzahl der geteilten Ergebnisse und, ab 5 gewerteten Ergebnissen, den Klassenmedian sowie die in Wertebereiche zusammengefasste Verteilung (Anzahl je Bereich), jedoch keine Einzelwerte.

Die Anwendung bietet ein freiwilliges Feedback-Formular, erreichbar über die Fußzeile jeder Seite, die Ergebnisseite und das Instructor-Dashboard, um Probleme zu melden, Verbesserungen vorzuschlagen oder sonstige Hinweise zu geben. Niemand muss es nutzen; die Teilnahme an einer Unterrichtssitzung hängt nicht davon ab.

Beim Absenden eines Eintrags speichert der Server die gewählte Kategorie (Fehler, Idee, Sonstiges), den eingegebenen Text, die optionale E-Mail-Adresse, den Pfad der Seite, von der aus das Formular geöffnet wurde (Sitzungscodes werden vor dem Absenden durch einen Platzhalter ersetzt, Query-Parameter werden nicht übermittelt), die Sprache der Oberfläche, die App-Version, den Browser (User Agent), die Größe des Browserfensters und ob es sich um ein Touch-Gerät handelt. Eine IP-Adresse und ein Sitzungscode werden mit dem Eintrag nicht gespeichert. Zur Begrenzung von Missbrauch zählt der Server Übermittlungen je Client für 10 Minuten anhand eines Hashwerts, der nur im Arbeitsspeicher gehalten und weder gespeichert noch protokolliert wird.

Die Einträge dienen der Verbesserung des Dienstes und, sofern eine E-Mail-Adresse angegeben wurde, der Beantwortung der Rückmeldung. Die E-Mail-Adresse wird ausschließlich zu diesem Zweck erfragt und für nichts anderes verwendet.

Rechtsgrundlage ist das berechtigte Interesse am Betrieb und an der Verbesserung des Dienstes, Art. 6 Abs. 1 lit. f DSGVO. Für die optionale E-Mail-Adresse ist die Rechtsgrundlage die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die durch die Eingabe der Adresse erteilt wird und jederzeit mit Wirkung für die Zukunft über die oben genannten Kontaktdaten des Verantwortlichen widerrufen werden kann.

Einträge werden aufbewahrt, bis der Betreiber sie bearbeitet hat und löscht, längstens 24 Monate nach dem Absenden. Über einen neuen Eintrag kann der Betreiber per Push-Benachrichtigung (derzeit über den Dienst ntfy.sh) informiert werden. Diese Benachrichtigung enthält ausschließlich die Kategorie des Eintrags — niemals den Text und niemals die E-Mail-Adresse —, sodass über diesen Weg keine personenbezogenen Daten den Server verlassen. Das Formular setzt keine Cookies und speichert nichts im Browser.

Soweit technisch notwendige Daten verarbeitet werden, um die Website bereitzustellen und abzusichern, stützt sich die Verarbeitung derzeit auf Art. 6 Abs. 1 lit. f DSGVO oder, sofern ein öffentlich-rechtlicher Hochschulkontext einschlägig ist, möglicherweise auf Art. 6 Abs. 1 lit. e DSGVO.

Die Speicherung technisch notwendiger Informationen auf dem Endgerät oder der Zugriff auf solche Informationen soll derzeit auf die Regeln für notwendige Speicher- und Zugriffsvorgänge, insbesondere § 25 Abs. 2 Nr. 2 TDDDG, gestützt werden, soweit einschlägig.

Soweit die Summary-Übermittlung als optionale Auswahl für Teilnehmende angeboten wird, geht dieser Entwurf derzeit von Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage für diese optionale Übermittlung aus.

Das Auswahlkästchen für das Teilen wird auf dem Einwilligungsbildschirm derzeit vorausgewählt angezeigt. Es ist direkt auf diesem Bildschirm sichtbar und kann vor dem Fortfahren mit einem einzigen Antippen abgewählt werden; die Teilen-Einstellung kann außerdem später auf der Ergebnisseite erneut geändert werden. Die Teilnahmeeinwilligung selbst ist ein separates Kästchen, das niemals vorausgewählt ist und stets aktiv angehakt werden muss.

Ob ein vorausgewähltes Teilen-Kästchen die Einwilligungsanforderungen des Art. 6 Abs. 1 lit. a DSGVO erfüllt (vgl. EuGH C-673/17, Planet49), ist derzeit Gegenstand einer externen rechtlichen Prüfung. Dieser Abschnitt wird nach Abschluss der Prüfung aktualisiert.

Je nach Deployment können Empfänger der Daten der Verantwortliche, technische Administratorinnen und Administratoren, an dem Betrieb beteiligte Hosting-Infrastruktur sowie Lehrende sein, die Klassenaggregate und die pseudonymen Summaries ihrer eigenen Sitzung ansehen oder exportieren.

Der Dienst verwendet keine Werbe-Tracker und keine externen Marketing-Analytics. Die Nutzungsanalyse läuft selbst gehostet auf dem Server des Betreibers (siehe Abschnitt 3); Analysedaten verlassen diesen Server nicht.

Lokale Browserdaten bleiben auf dem Gerät, bis sie überschrieben, verworfen oder durch die nutzende Person bzw. Browsereinstellungen gelöscht werden.

Serverseitige Daten laufender Sitzungen (Sitzungsmetadaten, Instruktor-Schlüssel, die Client-IDs der beigetretenen und gestarteten Geräte und übermittelte Summaries) werden im Arbeitsspeicher des Servers gehalten und regelmäßig als Snapshot auf dem Datenträger des Servers gesichert, damit Sitzungen einen Serverneustart überstehen können. Der Snapshot enthält dieselben Daten wie der Live-Sitzungszustand und unterliegt derselben Speicherdauer. Sitzungen werden automatisiert entfernt: beendete Sitzungen etwa 12 Stunden nach dem Beenden, Sitzungen im Warteraum (nie gestartet oder zurückgesetzt und nicht erneut gestartet) etwa 12 Stunden nach dem Anlegen und nicht beendete laufende Sitzungen etwa 24 Stunden nach dem Start. Lehrende können eine Sitzung auch vorher zurücksetzen oder löschen.

Veröffentlichte Klassenaggregate (siehe Abschnitt 8) werden dauerhaft gespeichert. Sie werden in einer Datenbank auf dem Server gehalten, enthalten keine Daten auf Einzelpersonenebene und sind durch tägliche Sicherungen abgedeckt. Ein zurückgezogener Eintrag wird nicht mehr angezeigt oder ausgeliefert; er bleibt in der Datenbank, bis der Betreiber ihn löscht.

Feedback-Einträge (siehe Abschnitt 10) werden vom Betreiber nach der Bearbeitung gelöscht, spätestens 24 Monate nach dem Absenden, und sind bis dahin Teil der täglichen Datenbanksicherung.

Webserver-Logs (IP-Adresse, Zeitpunkt, aufgerufene URL, Browser-Informationen) werden täglich rotiert und nach 14 Tagen gelöscht. Anwendungs-Logs im System-Journal sind auf 200 MB begrenzt; ältere Einträge werden automatisch überschrieben.

Daten der Nutzungsanalyse (siehe Abschnitt 3) werden ohne zeitliche Begrenzung aufbewahrt. Sie sind aggregiert, enthalten keine IP-Adressen und keine Kennungen und sind Teil der täglichen Datenbanksicherung.

Die Anwendung wird auf netcup-Infrastruktur in Deutschland betrieben. Eine bewusste Übermittlung in Drittstaaten ist im derzeitigen Anwendungsdesign nicht vorgesehen. Falls später externe Anbieter hinzukommen, muss dieser Abschnitt aktualisiert werden.

Ihnen stehen nach Maßgabe der gesetzlichen Voraussetzungen die Rechte aus der DSGVO zu. Dazu gehören insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch, Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft, Datenübertragbarkeit soweit einschlägig sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde.

Da der Dienst derzeit überwiegend mit pseudonymen technischen Kennungen und nicht mit namentlichen Benutzerkonten arbeitet, können zusätzliche Angaben erforderlich sein, um eine Anfrage einer bestimmten Sitzung oder Summary zuzuordnen.

Diese Datenschutzerklärung kann aktualisiert werden, wenn sich technische Implementierung, Hosting-Setup, Sicherheitsarchitektur oder rechtliche Bewertung ändern. Maßgeblich ist jeweils die auf dieser Seite veröffentlichte Fassung.