Datenschutzerklärung

Stand: 8. November 2026

1. Verantwortlicher

Curriqulum — Oliver Padmaperuma (Einzelunternehmen)
Staffelstraße 16, 73312 Geislingen, Deutschland
E-Mail: oliver@curriqulum.de

2. Grundsätze

Curriqulum ist eine Lehr-Plattform für Hochschulen. Inhalte und personenbezogene Daten in der Plattform verarbeiten wir auf EU-Infrastruktur; die Server stehen in Deutschland (Hetzner, Nürnberg/Falkenstein). KI-Funktionen laufen standardmäßig bei Mistral AI (Paris, EU); auf dokumentierte Weisung des Arbeitsbereichs (Mandant) auch bei einem selbst gewählten Anbieter oder einem eigenen Modell, das auch außerhalb der EU betrieben werden kann (Abschnitt 7). Alle Verbindungen sind TLS-verschlüsselt. Wir verwenden keine Werbe-Tracker und keine Cookies zu Marketingzwecken. Für unsere geschäftliche Kontaktaufnahme mit Hochschulen außerhalb der Plattform gilt Abschnitt 11.

3. Hosting, Server-Logs und Sitzungen

Diese Website wird bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) auf Servern in Deutschland betrieben (Auftragsverarbeitung nach Art. 28 DSGVO). Beim Aufruf verarbeitet der Server technisch notwendige Verbindungsdaten (IP-Adresse, Zeitstempel, aufgerufene Seite, User-Agent), um die Seite auszuliefern — Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Zu jedem Aufruf schreibt unser Webserver einen Eintrag in ein Zugriffsprotokoll: Zeitpunkt, aufgerufene Adresse (Domain und Pfad, ohne die Angaben nach einem „?“), Anfragemethode, Statuscode, übertragene Datenmenge, Antwortzeit, eine zufällige Anfrage-Kennung, die Kennung der aufgerufenen Serverfunktion (keine Personenangabe) und Ihre IP-Adresse in gekürzter Form (bei IPv4 ohne das letzte Byte, bei IPv6 nur die ersten 48 Bit). Browser-Angaben wie User-Agent, Cookies oder die zuvor besuchte Seite protokollieren wir nicht. Fehlermeldungen des Webservers kürzen wir genauso. Zweck ist die Aufklärung von Störungen und Sicherheitsvorfällen (Art. 6 Abs. 1 lit. f DSGVO). Die Einträge werden nach 14 Tagen automatisch gelöscht, auch in bereits rotierten Protokolldateien. Sie sind auch in unseren verschlüsselten nächtlichen Datensicherungen enthalten, deren Stände wir nach spätestens sechs Monaten löschen.

Die Betriebsprotokolle unserer Server-Dienste (Fehler- und Statusmeldungen, die im Einzelfall auch personenbezogene Angaben enthalten können) werden nach Größe rotiert; zusätzlich löschen wir Einträge, die älter als 14 Tage sind, einmal täglich automatisch.

Technische Fehler in unseren Diensten erfassen wir mit dem Fehlerverfolgungsdienst GlitchTip, den wir selbst auf unserem Server in Deutschland betreiben — ein weiterer Anbieter ist nicht beteiligt. Ein Fehlerbericht enthält die Fehlermeldung, die betroffene Programmstelle, den Dienst, den Zeitpunkt und die Anfrage-Kennung. E-Mail-Adressen werden vor dem Speichern unkenntlich gemacht, IP-Adressen gekürzt; Formularinhalte und Cookies werden nicht übertragen. Fehlerberichte werden nach 14 Tagen gelöscht. Zugriff auf Zugriffsprotokolle und Fehlerberichte hat ausschließlich unser Gründungsteam.

Nach der Anmeldung speichern wir zu Ihrer Sitzung die IP-Adresse und den User-Agent Ihres Browsers. Eine Sitzung endet spätestens 30 Tage nach der Anmeldung, eine Gastsitzung (Abschnitt 6, „Gastzugang“) 180 Tage nach dem Beitritt; sie verlängert sich nicht durch Nutzung. Abgelaufene Sitzungseinträge werden derzeit nicht automatisch gelöscht; auf Anfrage an oliver@curriqulum.de löschen wir sie.

4. Web-Analyse (Umami, selbst gehostet)

Zur Reichweitenmessung setzen wir Umami ein — selbst gehostet auf unseren eigenen Servern in Deutschland, und nur auf unseren öffentlichen Informationsseiten (Startseite, Marketplace, Kontakt, Changelog, Rechtstexte). In der Anwendung selbst — für Lehrende wie für Studierende —, auf geteilten Foliensätzen, bei Anmeldung und Newsletter-Bestätigung läuft keine Web-Analyse. Erfasst wird nur der Seitenpfad ohne Parameter; ein gesetztes „Do Not Track“ wird beachtet. Umami arbeitet ohne Cookies und ohne geräteübergreifendes Tracking; IP-Adressen werden nicht gespeichert, es entstehen keine personenbezogenen Nutzungsprofile. Rechtsgrundlage: berechtigtes Interesse an der statistischen Auswertung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Da weder Cookies noch vergleichbare Kennungen gesetzt werden, ist keine Einwilligung nach § 25 TDDDG erforderlich.

5. Registrierung und Anmeldung (Magic-Link)

Die Anmeldung erfolgt passwortlos: Sie erhalten einen einmaligen Anmelde-Link per E-Mail. Dazu verarbeiten wir Ihre E-Mail-Adresse und Ihren Namen (Art. 6 Abs. 1 lit. b DSGVO — Vertragsanbahnung/-erfüllung). Für den Versand nutzen wir Brevo (Sendinblue GmbH, Köln — EU-Anbieter, Auftragsverarbeitung nach Art. 28 DSGVO). Sitzungs-Cookies sind technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG). Während des laufenden Pilotprogramms ist die Anmeldung auf freigeschaltete Adressen beschränkt; nicht freigeschaltete Anmeldeversuche werden nicht gespeichert.

Lehrende können in ihrem Profil freiwillig einen akademischen Titel (aus einer festen Auswahl), Vor- und Nachnamen, die gewünschte Anzeigeform und ein Fachgebiet angeben sowie Farbschema und eine Schwelle für den Hinweis zum KI-Budget festlegen (Art. 6 Abs. 1 lit. b DSGVO). Aus Titel und Namen bildet Curriqulum den Anzeigenamen. Er steht auf den Beitrittsseiten ihrer Kurse: auf der Kurskarte, die der Kurscode öffnet, und als „Kurs von …“ über den Kurslink. Dort ist er ohne Anmeldung für alle sichtbar, die den Kurscode oder den Kurslink kennen. Das Fachgebiet bleibt intern und wird Studierenden nicht angezeigt. Die Angaben liegen am Anmeldekonto und werden mit ihm gelöscht.

6. Plattform-Nutzung durch Hochschulen (Auftragsverarbeitung)

Nutzt Ihre Hochschule Curriqulum, verarbeiten wir Kursinhalte sowie personenbezogene Daten von Lehrenden und Studierenden (Name, E-Mail-Adresse, Kurszugehörigkeit, Lernaktivitäten) im Auftrag der Hochschule (Art. 28 DSGVO). Für die Kursdaten — Einschreibung, Anzeigename, Chats mit dem KI-Tutor, hochgeladene Dateien und Lernaktivität — ist die Hochschule verantwortlich; Curriqulum ist dafür ihr Auftragsverarbeiter. Die Beitrittsseite des Kurses nennt die verantwortliche Hochschule und verlinkt ihre eigenen Datenschutzhinweise, soweit die Hochschule uns diese Angaben gemacht hat. Anfragen zu Kursdaten leiten wir an die Hochschule weiter. Beim Beitritt speichern wir den Zeitpunkt und die Fassung dieser Datenschutzerklärung, die angezeigt wurde. Die Daten sind strikt mandantengetrennt. Lehrende sehen zu ihrem Kurs die Liste der Teilnehmenden (Anzeigename und Beitrittsdatum) sowie Kennzahlen je Kurs, etwa wie viele Studierende aktiv waren oder wie oft Materialien aufgerufen wurden — niemals einzelne Chat-Verläufe. Diese Kennzahlen zeigen wir nur zusammengefasst und erst ab 5 Teilnehmenden. In sehr kleinen Kursen können Kennzahlen Rückschlüsse auf einzelne Personen zulassen. Fristen für Chat-Verläufe und Lernaktivitäten nennt Abschnitt 13. Zur Nachvollziehbarkeit protokollieren wir sicherheitsrelevante Aktionen — etwa das Veröffentlichen von Inhalten, das Ändern der Beitrittseinstellungen, den Kursbeitritt sowie das Hochladen und Löschen eigener Dateien — mit interner Nutzerkennung, Zeitpunkt und Anfrage-Kennung, ohne Inhalte, Dateinamen oder E-Mail-Adressen; diese Einträge bleiben erhalten, solange der Mandant der Hochschule besteht. Einen Auftragsverarbeitungsvertrag inkl. Liste der Unterauftragsverarbeiter stellen wir auf Anfrage bereit.

Beantworten Studierende ein freigegebenes Vorlesungsquiz im Kursraum, speichern wir je Versuch die gewählten Antworten und die Zahl richtiger Antworten, damit sie ihr Ergebnis sehen. Lehrende sehen keine einzelnen Versuche und keine Namen: In der Quiz-Auswertung zeigen wir ihnen je Quiz und Frage nur zusammengefasst den Anteil richtiger Antworten und die Verteilung auf die Antwortmöglichkeiten, ohne Namen, aus dem ersten Versuch jeder Person und schon ab der ersten Teilnahme. Bei wenigen Teilnahmen kann eine solche Zusammenfassung Rückschlüsse auf einzelne Personen zulassen. Beim Beantworten und in der Auswertung wird keine KI aufgerufen.

Kursentwürfe, Änderungsverlauf und Literaturangaben

Beim Anlegen eines Kurses speichern wir einen Entwurf erst, wenn Lehrende etwas eingeben: die Angaben zum Kurs, den Semesterplan und hochgeladene Materialien. Lehrende sehen ihre eigenen Entwürfe in einer Liste und können jeden selbst verwerfen. Dann löschen wir den Entwurf, die dazu gestarteten Aufträge und die hochgeladenen Dateien, soweit kein anderer Kurs sie nutzt, und führen darüber einen Löschnachweis (Abschnitt 13).

Zu jedem Foliensatz im Folieneditor speichern wir einen Änderungsverlauf: was geändert wurde, wann und ob die Änderung von einer lehrenden Person, aus einem übernommenen KI-Vorschlag, aus einem Import oder vom System stammt; bei Änderungen von Lehrenden mit ihrer internen Nutzerkennung. So lassen sich Änderungen ansehen und zurücknehmen. Andere Lehrende der Institution sehen solche Einträge als „Aus dem Team“, ohne Namen. Der Verlauf wird mit dem Foliensatz gelöscht und nach 24 Monaten auf die gespeicherten Versionen gekürzt (Abschnitt 13); wird ein Konto gelöscht, entfernen wir die Zuordnung zur Person, die Änderungen bleiben.

Laden Lehrende eine Datei als Kursmaterial hoch, lesen wir Autor- und Titelangaben aus den Dateieigenschaften als Vorschlag für die Literaturangabe aus. Den Vorschlag sieht nur die Lehrperson; auf Folien erscheint eine Literaturangabe erst, wenn sie ihn bestätigt oder selbst eine Angabe einträgt.

Studierende können unter Konto → „Meine Daten löschen“ jederzeit selbst ihre Einschreibungen, Chat-Verläufe, Quiz-Antworten, hochgeladenen Dateien und Lernaktivitäten sowie ihr Anmeldekonto (Name, E-Mail-Adresse, Sitzungen) löschen; sie werden dabei auf allen Geräten abgemeldet. Die oben genannten Einträge zu sicherheitsrelevanten Aktionen bleiben mit der internen Nutzerkennung erhalten. Lehrende können unter Einstellungen → „Daten und Datenschutz“ → „Konto löschen“ ihr Anmeldekonto samt Institution, Kursen und Material selbst löschen: Ab der Bestätigung erreichen Studierende die Kurse nicht mehr, nach 30 Tagen (in der Nacht nach Ablauf) löschen wir Institution, Kurse, Material und Anmeldekonto endgültig; bis dahin lässt sich das Konto nach einer Anmeldung zurückholen. Danach bleiben nur ein Löschnachweis, der lediglich Prüfwerte und die Anzahl der gelöschten Einträge enthält, die oben genannten Einträge zu sicherheitsrelevanten Aktionen außerhalb der gelöschten Institution mit der internen Nutzerkennung und die verschlüsselten Datensicherungen, bis deren Stände nach spätestens sechs Monaten gelöscht werden. Gehören zur Institution weitere Personen, löschen wir auf Anfrage an oliver@curriqulum.de. Ein Export-Archiv, das Lehrende unter „Mitnehmen“ anfordern, ist nur für sie nach der Anmeldung abrufbar und wird nach 7 Tagen, spätestens am Tag danach, gelöscht.

Gastzugang

Studierende können einem Kurs auch ohne E-Mail-Adresse als Gast beitreten, mit dem Kurscode und, wenn der Kurs einen hat, dem Zugangscode. Wir speichern dann den freiwillig angegebenen Anzeigenamen oder einen Platzhalter wie „Gast 4821“, den Kurs mit Beitrittszeitpunkt und der angezeigten Fassung dieser Erklärung und die Antworten auf Vorlesungsquizze wie oben beschrieben. Wie bei allen Studierenden speichern wir außerdem als Lernaktivität, wann der Gast den Kurs öffnet und Materialien ansieht; dafür gelten die Fristen für Lernaktivität aus Abschnitt 13. Zur Gastsitzung speichern wir ein technisch notwendiges Sitzungscookie (§ 25 Abs. 2 Nr. 2 TDDDG) sowie wie in Abschnitt 3 die IP-Adresse und den User-Agent des Browsers. Lehrende sehen den Anzeigenamen mit dem Hinweis „Gast“. Der Gastzugang ist an den Browser gebunden, gilt 180 Tage ab dem Beitritt und wird nicht verlängert; wer die Browserdaten löscht oder sich abmeldet, verliert ihn. Den KI-Tutor und das Hochladen von Dateien gibt es im Gastzugang nicht. Gastkonten löschen wir 90 Tage nach der letzten Quiz-Abgabe oder dem Beitritt, spätestens nach 180 Tagen, sobald die automatische Löschung freigeschaltet ist; bis dahin können Gäste ihre Daten im Konto unter „Meine Daten löschen“ selbst löschen, oder wir löschen sie auf Anfrage an oliver@curriqulum.de.

7. KI-Funktionen

Für die Generierung von Lehrmaterialien und den kursgebundenen KI-Tutor übermitteln wir Daten standardmäßig an Mistral AI (Paris, Frankreich — EU-Unterauftragsverarbeiter):

• Kursinhalte und Materialien, die Lehrende eingeben oder hochladen;
• die Fragen und Anweisungen, die Lehrende im KI-Chat oder über „KI: …“ im Rechtsklickmenü des Folieneditors stellen, zusammen mit den Folien, Skripten, Quizfragen, Prüfungsaufgaben und Materialausschnitten des Kurses, die die KI dafür abruft;
• die Fragen, die Studierende dem KI-Tutor stellen, zusammen mit den dazu abgerufenen Kursausschnitten (aus den Kursmaterialien und aus eigenen hochgeladenen Dateien der fragenden Person);
• den Text von Dateien, die Studierende hochladen — er wird für die Tutor-Suche in ihrem eigenen Datenraum aufbereitet.

Mistral verarbeitet diese Daten ausschließlich zur Erbringung der Funktion. Eine Nutzung zu Trainingszwecken findet nicht statt — dem haben wir in unserem Mistral-Konto widersprochen. Auf diesem Standardweg erzwingen unsere Systeme technisch, dass die Daten nur an Mistral in der EU gehen.

Auf dokumentierte Weisung des Arbeitsbereichs (Mandant) kann ein Arbeitsbereich für einzelne oder alle KI-Aufgaben — etwa die Kursplanung, Folien, Skripte, Quiz und Klausuraufgaben, den KI-Chat der Lehrenden oder den KI-Tutor — statt Mistral einen selbst gewählten Anbieter oder ein eigenes Modell einsetzen, etwa ein Modell der eigenen Hochschule, angebunden über eine OpenAI-kompatible Schnittstelle, Azure OpenAI oder die Schnittstelle von Anthropic. Zur Weisung speichern wir die Fassung des Weisungstextes, den Zeitpunkt und die Person, die sie erteilt hat; über den Anschluss laufen nur die Aufgaben, die die bestätigte Fassung nennt. Für diese Aufgaben gehen die Kursinhalte und Materialien, beim KI-Chat die Nachrichten der Lehrperson samt der dafür abgerufenen Kursinhalte, beim KI-Tutor die Fragen der Studierenden samt der abgerufenen Kursausschnitte, an den gewählten Anbieter; er kann seinen Sitz oder seine Server auch außerhalb der EU haben.

Den Vertrag mit diesem Anbieter schließt der Arbeitsbereich bzw. seine Hochschule selbst; der Anbieter ist deren Auftragsverarbeiter, und eine Übermittlung in Länder außerhalb der EU verantwortet der Arbeitsbereich. Wir übermitteln an einen solchen Anschluss nur auf diese Weisung.

Wählt die Hochschule für den KI-Tutor ein eigenes Modell, sehen Studierende im Tutor, welches Modell bei welchem Anbieter antwortet, und einen Link auf die Datenschutzhinweise der Hochschule. Scheitert ein gewählter Anschluss oder kann das gewählte Modell eine Aufgabe nicht ausführen, erscheint eine Fehlermeldung; die Daten gehen dann nicht ersatzweise an Mistral oder einen anderen Anbieter. Die Suche in Kursinhalten (Embeddings, also die Aufbereitung von Kursmaterialien und hochgeladenen Dateien für die Suche) läuft immer bei Mistral in der EU.

Gespräche im KI-Chat des Folieneditors (Fragen, Antworten, Vorschläge und ob sie übernommen wurden) speichern wir, damit die Lehrperson sie wiederfindet. Nur sie selbst sieht ihre Gespräche, weder andere Lehrende der Institution noch Studierende, und sie kann jedes Gespräch löschen. Der KI-Chat läuft standardmäßig bei Mistral AI (Paris, EU); hat der Arbeitsbereich ihn auf Weisung einem eigenen Anschluss zugeordnet, läuft er dort, und unter jeder Antwort steht, welches Modell geantwortet hat. Für das KI-Budget speichern wir je Aufruf Modell, Umfang, Kosten und den Zweck (etwa „KI-Chat“), ohne Inhalte. Die Fristen nennt Abschnitt 13.

8. Kontaktformular für Pilotanfragen

Über das Formular auf der Kontaktseite und auf der Startseite können Sie einen Pilotplatz anfragen. Dazu verarbeiten wir Ihren Namen, Ihre dienstliche E-Mail-Adresse, Ihre Hochschule, Ihre Rolle (eine von vier festen Angaben: Lehrende Person, Hochschuldidaktik oder E-Learning-Zentrum, Hochschul- oder Fakultätsleitung, IT oder Datenschutz) sowie, wenn Sie sie angeben, die geschätzte Zahl der Lehrenden und Ihre Nachricht. Zweck ist allein die Beantwortung Ihrer Anfrage und die Anbahnung einer Pilot-Zusammenarbeit; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

Absenden lässt sich das Formular nur mit dem Häkchen „Ihr dürft mir zu dieser Anfrage per E-Mail antworten. Für nichts anderes.“ Damit sagen wir zu, Ihre Angaben nur zur Antwort auf diese Anfrage zu nutzen und Ihnen zu keinem anderen Zweck zu schreiben, etwa keinen Newsletter. Das Häkchen ist keine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, und wir speichern es nicht; ohne Häkchen speichern wir keine Angaben aus dem Formular. Die Anfrage leiten wir per E-Mail über Brevo (siehe Abschnitt 5) an unser Team weiter. Wir löschen Ihre Angaben auf Anfrage — eine E-Mail an oliver@curriqulum.de genügt.

9. Newsletter (Double-Opt-in)

Für den Newsletter verarbeiten wir Ihre E-Mail-Adresse auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach dem Eintragen erhalten Sie eine Bestätigungs-E-Mail; erst mit dem Klick auf den darin enthaltenen Link wird die Anmeldung wirksam. Ohne diese Bestätigung versenden wir keinen Newsletter. Zum Nachweis der Einwilligung protokollieren wir den Zeitpunkt der Anmeldung und der Bestätigung. Für den Versand nutzen wir Brevo (Sendinblue GmbH, Köln — EU-Anbieter, Auftragsverarbeitung nach Art. 28 DSGVO); bestätigte Adressen werden dorthin übermittelt. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink in jeder Newsletter-E-Mail oder formlos an oliver@curriqulum.de. Nach dem Widerruf wird die Adresse aus dem Verteiler entfernt; wir speichern sie nur noch, soweit dies zum Nachweis der Abmeldung erforderlich ist. Nicht bestätigte Adressen löschen wir auf Anfrage.

10. Terminbuchung (Cal.com)

Für die Vereinbarung von Gesprächsterminen binden wir den Dienst Cal.com über dessen EU-gehostete Instanz (cal.eu) ein. Die Einbindung erfolgt als Click-to-Load: Solange Sie nicht aktiv auf „Termin buchen“ klicken, wird keine Verbindung zu Cal.com hergestellt und es werden keine Daten dorthin übertragen. Erst nach Ihrem Klick wird der Buchungskalender geladen; dabei werden technisch notwendige Verbindungsdaten (u. a. Ihre IP-Adresse) an Cal.com übermittelt. Buchen Sie einen Termin, verarbeiten wir die von Ihnen angegebenen Daten (Name, E-Mail-Adresse, Terminwunsch, optionale Nachricht) zur Vorbereitung und Durchführung des Gesprächs — Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertragsverhältnisses).

11. Geschäftliche Kontaktaufnahme mit Hochschulen

Im Rahmen der Anbahnung von Geschäftsbeziehungen sprechen wir Beschäftigte von Hochschulen und hochschulnahen Einrichtungen in ihrer beruflichen Funktion an — insbesondere Professor:innen, Studiendekan:innen sowie Mitarbeitende von Hochschuldidaktik- und E-Learning-Zentren. Studierende sprechen wir nicht an.

Herkunft der Daten: Wir haben diese Kontaktdaten nicht bei Ihnen selbst erhoben, sondern ausschließlich öffentlich zugänglichen Quellen der jeweiligen Einrichtung entnommen (Hochschul- und Institutswebsites, öffentliche berufliche Profile) oder über persönliche Empfehlungen erhalten. Wir kaufen oder mieten keine Adresslisten. Wir recherchieren gezielt zu einzelnen Personen: Dafür rufen wir öffentliche Seiten der jeweiligen Einrichtung auf — auch mit einem KI-Assistenten, der diese Seiten in unserem Auftrag öffnet und die beruflichen Kontaktangaben daraus übernimmt. Diese Information erhalten Sie nach Art. 14 DSGVO.

Zweck und Rechtsgrundlage: Verarbeitet werden berufliche Identifikations- und Kontaktdaten (Name, Titel, Funktion, Einrichtung, dienstliche E-Mail-Adresse und Telefonnummer, berufliches Profil), die Fundstelle sowie Notizen zum Gesprächsverlauf — zum Zweck der Kontaktaufnahme und der Anbahnung einer Zusammenarbeit. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an geschäftlicher Anbahnung im B2B-Kontext gegenüber Personen in beruflicher Funktion. E-Mails mit werblichem Charakter versenden wir nur mit Ihrer Einwilligung (§ 7 UWG). Gesprächsaufzeichnungen erfolgen ausschließlich nach vorheriger ausdrücklicher Einwilligung aller Beteiligten.

Empfänger: Für diese Kontaktaufnahme — anders als für die Plattform selbst — setzen wir folgende Dienste ein:

• GitHub (GitHub, Inc., San Francisco, USA) — Speicherung Ihrer Kontaktdaten und unserer Notizen in einem privaten Repository, auf das nur unser Gründungsteam Zugriff hat;
• Anthropic (Anthropic, PBC, San Francisco, USA) — KI-gestützte Auswertung von Kontaktdaten und Gesprächsnotizen durch unseren Assistenten, einschließlich der oben beschriebenen Recherche;
• Telegram (Telegram FZ-LLC, Dubai, Vereinigte Arabische Emirate) — interne Kommunikation des Gründungsteams, in der Ihre Kontaktdaten und Gesprächsnotizen vorkommen können.

Übermittlung in Drittländer: Bei GitHub und Anthropic werden Ihre Daten in die USA übermittelt, bei Telegram in die Vereinigten Arabischen Emirate, also in Länder außerhalb der EU.

Speicherdauer: Bleibt eine Reaktion aus, löschen wir Ihre Daten zwölf Monate nach dem letzten Kontaktversuch; kam es zu einem Austausch ohne Geschäftsbeziehung, 24 Monate nach dem letzten Kontakt. Im Fall eines Widerspruchs löschen wir unverzüglich, spätestens innerhalb eines Monats.

Widerspruchsrecht: Sie können der Verarbeitung jederzeit formlos widersprechen — eine E-Mail an oliver@curriqulum.de genügt, eine Begründung ist nicht erforderlich. Wir stellen die Kontaktaufnahme dann sofort ein und löschen Ihre Daten.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Wenden Sie sich dazu an oliver@curriqulum.de.

Zudem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

13. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Zum Ende eines Hochschulvertrags löschen wir den Mandanten einschließlich der Kurs- und Nutzungsdaten auf Weisung der Hochschule; eine automatische Löschung zum Vertragsende gibt es nicht. Wer eine Institution angelegt hat, kann sie auch selbst in den Einstellungen löschen. Was Studierende selbst löschen können und was wir auf Anfrage löschen, steht in Abschnitt 6.

Für Daten von Studierenden in der Plattform gelten folgende Fristen, sobald die automatische Löschung freigeschaltet ist: Chat-Verläufe mit dem KI-Tutor samt Bewertungen löschen wir 12 Monate nach der letzten Nachricht; die Institution kann in ihren Einstellungen eine Frist zwischen 6 und 24 Monaten wählen. Rohdaten der Lernaktivität löschen wir 90 Tage, nachdem sie zu Kursstatistiken zusammengefasst wurden; die zusammengefassten Statistiken bleiben. Quiz-Antworten löschen wir 12 Monate nach dem jeweiligen Versuch. Die automatische Löschung ist noch nicht freigeschaltet; bis dahin löschen wir diese Daten auf Anfrage an oliver@curriqulum.de.

Für Daten von Lehrenden gelten folgende Fristen, sobald die automatische Löschung freigeschaltet ist: Gespräche im KI-Chat löschen wir 12 Monate nach ihrer letzten Nachricht; Kursentwürfe, die 180 Tage lang nicht gespeichert wurden, löschen wir samt ihrer hochgeladenen Dateien, soweit kein Kurs sie nutzt. Den Änderungsverlauf eines Foliensatzes kürzen wir nach 24 Monaten auf die gespeicherten Versionen. Bis dahin können Lehrende Gespräche und Entwürfe selbst löschen, oder wir löschen sie auf Anfrage an oliver@curriqulum.de.

Vorschläge aus dem Rechtsklickmenü („KI: …“) speichern wir nur, bis du sie übernimmst oder verwirfst — spätestens 30 Tage. Übernommene Änderungen stehen danach im Änderungsverlauf des Foliensatzes.

Gelöschte Daten sind noch in unseren verschlüsselten nächtlichen Datensicherungen enthalten, bis deren Stände nach spätestens sechs Monaten gelöscht werden. Über jede Löschung führen wir einen Nachweis, der keine Inhalte und keine Kontaktdaten enthält, sondern nur Prüfwerte und die Anzahl der gelöschten Einträge.

14. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionsumfang oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.