← MyLISA

Datenschutz

Stand: 08.08.2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

André König
Koenigsberger Strasse 7
38162 Cremlingen
Deutschland
E-Mail: kontakt@my-lisa.de

2. Worum es in dieser Erklärung geht

MyLISA ist ein KI-gestützter Lerncoach für Kinder der 5. Klasse (Gymnasium, Niedersachsen) in den Fächern Mathe, Deutsch und Englisch. MyLISA befindet sich aktuell in einer privaten Testphase (Phase A) mit wenigen, persönlich eingeladenen Familien – es handelt sich nicht um ein kommerzielles Produkt.

Diese Erklärung informiert Eltern darüber, welche personenbezogenen Daten – insbesondere Daten ihrer Kinder – bei der Nutzung von MyLISA verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange und mit welchen Rechten das für Eltern und Kinder verbunden ist.

3. Besonderer Hinweis: Kinder als Nutzer

MyLISA richtet sich an Kinder im Grundschul-/frühen Gymnasialalter. Kinder in diesem Alter können nach Art. 8 DSGVO nicht selbst wirksam in die Verarbeitung ihrer Daten einwilligen. Deshalb gilt:

• Ein Elternteil oder eine sorgeberechtigte Person registriert das Familienkonto und erteilt die Einwilligung zur Nutzung von MyLISA durch das Kind.
• Diese Einwilligung wird mit Zeitstempel und IP-Adresse serverseitig protokolliert (Nachweis nach Art. 7 Abs. 1 DSGVO) und getrennt von den übrigen Nutzdaten für 3 Jahre nach einer eventuellen Account-Löschung aufbewahrt.
• Eltern können diese Einwilligung jederzeit widerrufen (siehe Abschnitt 9).

4. Welche Daten werden verarbeitet, und warum?

4.1 Familien-/Elternkonto
Bei der Registrierung werden E-Mail-Adresse und ein Passwort (verschlüsselt gespeichert) erfasst. Zweck: Zugang zum Familienkonto, Zuordnung der Kind-Profile. Rechtsgrundlage: Vertragserfüllung bzw. Einwilligung (Art. 6 Abs. 1 lit. a/b DSGVO).

4.2 Kind-Profile
Name, Klassenstufe und gewählte Fächer werden gespeichert. Zweck: Personalisierung der Lerninhalte. Rechtsgrundlage: elterliche Einwilligung (Art. 6 Abs. 1 lit. a i.V.m. Art. 8 DSGVO).

4.3 Chat- und Lerninhalte
Wenn ein Kind mit LISA chattet, werden die Eingaben und die daraus entstehenden Lern-Zusammenfassungen ("Wissensspeicher") gespeichert, um Lernfortschritt fachübergreifend nachvollziehbar zu machen. Zweck: pädagogische Personalisierung, Lernfortschritt. Rechtsgrundlage: elterliche Einwilligung.

4.4 Noten und Gamification-Daten
Vom Kind bzw. den Eltern eingetragene Noten sowie Fortschrittsdaten (Lerntage-Zähler, XP, Abzeichen) werden gespeichert. Zweck: Motivation, Lernfortschrittsübersicht. Rechtsgrundlage: elterliche Einwilligung.

4.5 Fehlermeldungen
Wenn ein Tester eine KI-Bewertung als fehlerhaft meldet, wird der Kontext (Frage, Antwort, Bewertung) gespeichert, um MyLISA zu verbessern. Zweck: Qualitätssicherung. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einer funktionierenden, korrekten Lern-App.

5. Einsatz von Anthropic (Claude) als KI-Verarbeiter

Für das Chat-Coaching (Text, ggf. Fotos von Hausaufgaben) nutzt MyLISA die KI "Claude" von Anthropic über eine API. Wichtig:

• Vertragspartner: Anthropic Ireland, Limited (für Kunden im EWR).
• Kein Training: Anthropic trainiert seine Modelle nicht mit den über die API übermittelten Daten (Inputs/Outputs).
• Speicherdauer bei Anthropic: Eingaben, Ausgaben und Metadaten werden 30 Tage lang bei Anthropic gespeichert (Sicherheitszwecke), danach gelöscht.
• Drittlandübermittlung: Da Anthropic auch in den USA verarbeitet, gelten die EU-Standardvertragsklauseln (Modul Zwei, Controller-to-Processor) als Garantie für ein angemessenes Datenschutzniveau.
• Foto-Uploads: Falls ein Kind ein Foto einer Hausaufgabe hochlädt (z. B. zur Aufgabenerkennung), wird dieses Bild über denselben API-Weg an Anthropic übermittelt und unterliegt denselben Fristen und Garantien wie oben beschrieben.
• Auftragsverarbeitungsvertrag (DPA): automatisch Bestandteil der Anthropic Commercial Terms of Service, inkl. der genannten Standardvertragsklauseln.

6. Versand von E-Mails über Brevo

Für den Passwort-Reset-Versand nutzt MyLISA den E-Mail-Dienst Brevo. Dabei gilt:

• Vertragspartner: Brevo GmbH, Köpenicker Str. 126, 10179 Berlin.
• Verarbeitete Daten: ausschließlich die E-Mail-Adresse des Elternteils sowie technische Versanddaten (IP-Adresse, Zeitstempel, Betreff). MyLISA nutzt bei Brevo ausschließlich die reine Transaktions-/SMTP-Funktion, keine Marketing- oder KI-Funktionen.
• Subprozessoren: Brevo setzt für seine Infrastruktur weitere Dienstleister ein, u. a. in der EU (OVH, Google Cloud) und den USA (Cloudflare, Zendesk – jeweils mit EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert). Brevo listet zusätzlich optionale KI-Anbieter (OpenAI Ireland, Google Gemini, Langfuse) als Subprozessoren – diese kommen bei MyLISAs reiner Transaktions-Nutzung nicht zum Einsatz.
• Löschung: Kundeninhalte werden bei Vertragsende sofort gelöscht; Kundendaten auf Verlangen binnen 3 Monaten.

7. Hosting bei Contabo

MyLISA läuft auf einem Server (VPS) von Contabo, einem deutschen Hosting-Anbieter. Ein Auftragsverarbeitungsvertrag (AVV) wurde abgeschlossen. Der technische Subunternehmer für den konkreten Server ist Contabo France SAS (Lauterbourg, Frankreich) – Datenverarbeitung findet somit innerhalb der EU statt, es liegt kein Drittlandtransfer vor.

8. Speicherdauer und Löschung

MyLISA löscht Daten grundsätzlich, wenn ein Elternteil den Account löscht oder die Einwilligung widerruft (beides löst denselben Löschvorgang aus). Details – inklusive bekannter technischer Einschränkungen wie einer bis zu 14-tägigen Nachlauffrist in Backups – sind im internen Löschkonzept dokumentiert und werden dort laufend gepflegt.

Kurzfassung der wichtigsten Fristen:

• Aktive Nutzungsdaten: solange der Account besteht
• Backups: bis zu 14 Tage Nachlauf nach Löschung
• Anthropic-Verarbeitung: 30 Tage laufende Speicherung
• Brevo: sofort bzw. binnen 3 Monaten nach Vertragsende
• Einwilligungsnachweis: 3 Jahre nach Account-Löschung (getrennt gespeichert, nur zum Nachweis der erteilten Einwilligung)

9. Rechte der Eltern (als Vertreter des Kindes)

Eltern haben jederzeit das Recht auf:

• Auskunft über die zu ihrem Kind gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung der Daten (Art. 17 DSGVO) – umsetzbar direkt über die Account-Löschfunktion in der App, oder durch formlose Anfrage an die oben genannte Kontaktadresse
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21 DSGVO)
• Widerruf der Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) – ein Widerruf führt zur vollständigen Löschung des Familienkontos, da MyLISA in Phase A keinen separaten Weg anbietet, nur einzelne Verarbeitungen zu stoppen

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an die in Abschnitt 1 genannte Kontaktadresse.

10. Beschwerderecht bei einer Aufsichtsbehörde

Eltern haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts. Für Niedersachsen ist dies:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover

11. Datensicherheit

MyLISA läuft über eine verschlüsselte Verbindung (HTTPS/TLS). Passwörter werden nicht im Klartext gespeichert. Der Server ist so konfiguriert, dass Datenbank und Backend nicht direkt aus dem Internet erreichbar sind. Zugänge zum Server sind ausschließlich schlüsselbasiert gesichert.

12. Änderungen dieser Datenschutzerklärung

Da sich MyLISA aktuell in aktiver Entwicklung befindet, kann sich diese Erklärung ändern. Über wesentliche Änderungen werden Testfamilien direkt informiert.