VERSION LS-PRIVACY-PROD-1.4-2026-10-12 · 12.10.2026
Datenschutzinformation zum Learning Space
Verantwortliche Stelle und Rollen
Caring Words · Inhaberin Chantal-Isabell Wywiol, Liegnitzer Straße 19, 60598 Frankfurt am Main, hello@cwcaringwords.com, bestimmt Zwecke und wesentliche Mittel des eigenen Learning Space und ist hierfür Verantwortliche. KERN verarbeitet Daten eigenverantwortlich für Vermittlung, Auftrags- und Kursverwaltung sowie KERN-eigene Systeme. Erforderliche Kursdaten werden zwischen getrennt Verantwortlichen übermittelt. OpenAI Ireland Limited verarbeitet die durch den veröffentlichten Site-Lernbereich erhobenen und gehosteten Endnutzerdaten als Auftragsverarbeiterin von Caring Words nach dem ChatGPT Sites Data Processing Addendum. Die unmittelbare ChatGPT-Kontobeziehung ist hiervon zu unterscheiden; echte Teilnehmendendaten gehören nicht in Authoring-, KI- oder Testchats.
Zwecke und Rechtsgrundlagen
Notwendige Kursfunktionen – persönlicher Zugang, Kursisolierung, Termine, Unterrichtsinhalte, Aufgaben, Lernwünsche, freigegebenes Feedback, Lernreise, notwendige Mitteilungen zum laufenden Kurs und sicherer Betrieb – werden auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO verarbeitet. Berechtigte Interessen sind eine sichere, datensparsame und pädagogisch sinnvolle Kursbegleitung sowie Schutz vor unberechtigtem Zugriff und Missbrauch. Gesetzliche Datenschutzpflichten werden, soweit einschlägig, nach Art. 6 Abs. 1 Buchst. c erfüllt. Freiwillige Lernbenachrichtigungen werden auf Grundlage der persönlichen, dokumentierten Auswahl nach Art. 6 Abs. 1 Buchst. a und Art. 7 DSGVO nur für die ausgewählten Zwecke versandt; diese Auswahl kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Learning Space bleibt ohne E-Mail und ohne Datei-Abgabe nutzbar. Die Kenntnisnahme dieser Information ist keine Einwilligung; notwendige Kursverarbeitung verlangt keine pauschale Einwilligung.
Datenarten und Quellen
Verarbeitet werden Name oder zulässige pseudonyme Kennung, Kurs- und Berechtigungszuordnung, bestätigte Kursinformationen und Termine, freigegebene Materialien und Hausaufgaben, Sprache und Zugangsstatus. Bei aktivierten v19-Funktionen kommen Fragen, Themen- und Wiederholungswünsche, Trainerantworten, persönliches Feedback, Lernziele, Meilensteine, pädagogisch bestätigte Fortschrittsangaben und die Auswahl einer Sprachfunken-Karte hinzu. Bei freiwilliger E-Mail-Nutzung werden die verschlüsselte Adresse, ein Adresshash, eine maskierte Anzeige, ein nur gehasht gespeichertes Verifizierungsmerkmal mit Ablauf, Sprache, ausgewählte Nachrichtentypen, Aktivierung und Widerruf sowie minimale Queue-, Versand-, Fehler- und Wiederanlaufdaten verarbeitet. Für den Trainerzugang werden die von Sites übermittelten Konto- und E-Mail-Angaben serverseitig gegen die zugelassene Traineridentität geprüft. Für freigegebenes Drive-Material werden Name, Typ, Größe, Hash sowie opake Kurs-, Rechte-, Versions-, Revisions-, Freigabe- und Rückzugsreferenzen verarbeitet. Technisch notwendige Sitzungs-, Anfrage-, Fehler-, Freigabe-, Versions- und Sicherheitsdaten werden ebenfalls verarbeitet. Zugangscode- und Sitzungsgeheimnisse werden in der Anwendungsdatenbank nur gehasht gespeichert. Quellen sind KERN, die freigegebene Caring-Words-Master-/Hub-Dokumentation, Google Calendar, der private Drive-Kursordner, die private Sprachfunken-Tabelle sowie Eingaben der Trainerin und der lernenden Person.
E-Mail-Benachrichtigungen
Eine persönliche E-Mail-Adresse ist optional. Sie wird erst nach einem einmaligen, 24 Stunden gültigen Bestätigungslink aktiv; der rohe Linkschlüssel wird nicht in D1, Queue oder Audit gespeichert. Notwendige inhaltsarme Mitteilungen zum laufenden Kurs und freiwillige Lernbenachrichtigungen sind technisch und rechtlich getrennt. Freiwillige Nachrichtentypen sind standardmäßig aus und werden nur nach eigener Auswahl versandt. Auswahl, einzelne Nachrichtentypen und Adresse können jederzeit deaktiviert oder entfernt werden. Die Nachrichten enthalten keine Zugangscodes und keine ausführlichen privaten Kursinhalte, sondern verweisen auf den geschützten Learning Space. Versand erfolgt über einen mail-exklusiven, signierten Google-Workspace-Apps-Script-Adapter mit MailApp; die Anwendung erhält keine Gmail-Postfachleserechte. Newsletter, Werbung und KERN-Nachkurskommunikation bleiben ausgeschlossen.
Materialien aus dem privaten Google Drive
Die Trainerin kann eigene PDF- oder DOCX-Dateien auswählen, die sie zuvor direkt im serverseitig zugeordneten privaten Drive-Kursordner abgelegt hat. Traineridentität, Kurs, direkter Ordnerbezug, Eigentums- und Freigabestatus, Typ, Endung, Größe, Dateisignatur, vollständiger Hash, Drive-Revision und verbotene aktive Dokumentbestandteile werden geprüft. Diese statische Prüfung ist kein allgemeiner Schadsoftware-Scan und ist deshalb auf eigene, durch die Trainerin kontrollierte Dateien begrenzt. D1 speichert notwendige Material-, Rechte-, Versions-, Freigabe- und Auditmetadaten; die Originaldatei bleibt in Drive. Eine Datei wird erst nach dokumentiertem Verteilungsrecht und ausdrücklicher Freigabe sichtbar. PDF-Vorschau und PDF-/DOCX-Download werden serverseitig nach erneuter Sitzungs-, Kurs-, Mitgliedschafts-, Hash- und Revisionsprüfung vermittelt. Drive-IDs und Google-Tokens werden nicht an den Browser ausgegeben; öffentliche Drive-Links werden nicht verwendet. Direkter Browserupload und Lernendenuploads sind deaktiviert.
Sichtbarkeit und Empfänger
Du siehst nur deine persönlichen und für deinen Kurs freigegebenen Inhalte. Die zugelassene Trainerin sieht sie mit dem notwendigen Kursbezug; andere Lernende nicht. Empfänger beziehungsweise Auftragsverarbeiter sind OpenAI Ireland Limited und die aktuelle OpenAI-Unterauftragsverarbeiterkette einschließlich Cloudflare für Sites, D1, Netzwerk und Sicherheit sowie Google Workspace für Calendar, den privaten Drive-Materialbestand, Sheets und den signierten Apps-Script-Mailversand. Beim E-Mail-Versand erhält Google Workspace die verifizierte Empfängeradresse und den inhaltsarmen Nachrichtentext. R2-Dateiquarantäne und ein Dateiscanner werden für den eingeschränkten Release nicht eingesetzt. KERN erhält nur Angaben, die für KERN-eigene Kursadministration oder vertragliche Zwecke erforderlich sind; KERN-Portale hosten diesen Learning Space nicht.
Hosting, Protokolle und Übermittlungen
Die Anwendung nutzt ChatGPT Sites mit D1-Datenbank und Betriebsprotokollen; Materialoriginale liegen im privaten Google Drive. Sites verarbeitet zur Bereitstellung und Sicherheit auch Log-, Nutzungs-, Geräte-, Cookie- und Verkehrsstatistiken. Eigene Protokolle schreiben persönliche Zugangscodes, Drive-IDs, Google-Tokens oder Dateiinhalte nicht im Klartext; persönliche Feed-URLs bleiben für reale Lernbereiche deaktiviert. Für Sites wird kein einzelnes Speicherland zugesagt; Verarbeitung außerhalb des EWR ist möglich. Nach dem anwendbaren OpenAI-DPA werden erforderliche Übermittlungen auf einen Angemessenheitsbeschluss oder Standardvertragsklauseln gestützt. Die Google-Workspace-Vertrags- und Transferreferenzen werden im Dienstleisterregister geführt.
Sitzung und technisch notwendige Cookies
Die Anwendung setzt ein Secure-/HttpOnly-/SameSite-Strict-Sitzungscookie. Eine normale Sitzung endet spätestens nach zwölf Stunden; „angemeldet bleiben“ höchstens nach 14 Tagen und nie später als der zugrunde liegende Zugang. Codeersetzung oder Sperrung widerruft zugehörige Sitzungen. Der Zugangscode wird nicht im Browser-Local-Storage gespeichert. Die Anwendung selbst bindet keinen eigenen Analytics-SDK und kein Marketingcookie ein. Sites verarbeitet dennoch technische Nutzungs- und Verkehrsstatistiken; die Hosting-Sicherheitsinfrastruktur kann technisch notwendige Sicherheitscookies zur Bot- und Missbrauchsabwehr setzen.
Aufbewahrung, Löschung und Wiederherstellung
Normale Sitzungen enden spätestens nach zwölf Stunden, „angemeldet bleiben“ nach höchstens 14 Tagen. Der Code-Hash bleibt bis Sperrung, Ersetzung oder Schließung des Zugangs. Die operative Zuordnung gilt für die Kursdauer und höchstens 30 Tage Lesephase. Eine noch nicht bestätigte E-Mail-Verifizierung läuft nach 24 Stunden ab. Eine verifizierte Adresse wird bei Entfernung, Zweckende oder Wegfall der Erforderlichkeit gesperrt; Auswahl- und Versandnachweise werden nach dem geltenden Nachweis-, Lösch- und Reviewprozess minimiert. Lernstand, Hausaufgabenstatus, Fragen, Feedback und Lernreise werden sechs Monate nach Kursende auf weitere Erforderlichkeit geprüft; funktionale Unterstützungsdaten spätestens nach drei Monaten, eigene Sicherheits- und Synchronisationsprotokolle spätestens nach zwölf Monaten oder früher bei Zweckende. Ein Materialrückzug sperrt Vorschau und Download sofort. Der Learning Space löscht ein lediglich ausgewähltes Drive-Original nicht physisch; seine Löschung erfolgt kontrolliert in Drive nach dem geltenden Aufbewahrungs-, Rechte- und Auditprozess. Provider-Backups und Infrastrukturprotokolle werden nicht mit unbelegten Fristen beschrieben.
Bewusst deaktivierte Funktionen
Deaktiviert bleiben direkter Trainer-Browserupload, sämtliche Lernenden-Dateiuploads, Scanner- und R2-Uploadpfade, persönliche Kalenderfeeds für reale Lernbereiche, Newsletter, Marketing, KERN-Nachkurskommunikation, KI-Verarbeitung, automatischer Master-Write, DIRECT_ADULT, Minderjährigenprofile und nicht freigegebene Sprachen. Eine Auswahl in der Oberfläche oder die Kenntnisnahme dieser Information hebt kein Gate auf.
Datenschutzvorfälle
Caring Words bewertet Vorfälle des Learning Space und entscheidet über erforderliche Meldungen an Aufsicht und betroffene Personen. OpenAI informiert Caring Words nach dem Sites-DPA ohne unangemessene Verzögerung über bekannt gewordene Verletzungen gehosteter Daten. KERN wird einbezogen, soweit dessen Daten oder Verantwortungsbereich betroffen sind; daraus folgt keine gemeinsame Verantwortlichkeit.
Deine Rechte
Du kannst nach den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nach Art. 21 DSGVO verlangen. Wende dich an hello@cwcaringwords.com; Caring Words koordiniert erforderlichenfalls mit KERN. Du kannst dich außerdem bei einer zuständigen Datenschutzaufsichtsbehörde beschweren, für Caring Words insbesondere beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit.
Stand 12.10.2026. Die Kenntnisnahme ist keine Einwilligung. Notwendige Kursdatenverarbeitung, notwendige laufende Kurskommunikation und freiwillig auswählbare Lernbenachrichtigungen werden getrennt behandelt; inaktive Module bleiben technisch gesperrt.