Stand: 23. Oktober 2026
Bluda UG (haftungsbeschränkt)
Loreleyring 26
56346 Sankt Goarshausen
Deutschland
Telefon: +49 1515 6969155
E-Mail: kontakt@cyanschool.com
Für die öffentliche Website, Kontakt- und Demoanfragen, Sicherheitsprotokolle und geschäftliche Kommunikation ist Bluda UG verantwortlich im Sinne der DSGVO. Für die geschützte Schulplattform verarbeitet Cyanschool Schüler-, Lehrkraft- und Lernstandsdaten grundsätzlich im Auftrag der jeweiligen Schule. Die Schule bleibt dafür Verantwortliche und entscheidet über Zwecke, Zugänge und Löschungen. Grundlage ist die Auftragsverarbeitungsvereinbarung (AVV), die die Schule mit Cyanschool abschließt.
Die Anwendung wird über Netlify bereitgestellt und nutzt Convex für Backend-Funktionen, Datenbank, Authentifizierung und geplante Bereinigungen. Beim Aufruf werden technisch erforderliche Verbindungsdaten wie IP-Adresse, Zeitpunkt, angefragte Ressource und Browserinformationen verarbeitet, um die Website sicher und zuverlässig auszuliefern.
Mit den eingesetzten Dienstleistern bestehen Auftragsverarbeitungsvereinbarungen oder gleichwertige Datenschutzvereinbarungen. Soweit Anbieter Daten außerhalb der EU oder des EWR verarbeiten, erfolgt dies auf Grundlage geeigneter Garantien, insbesondere EU-Standardvertragsklauseln und ergänzender technischer und organisatorischer Maßnahmen.
Bei Kontakt- oder Demoanfragen verarbeiten wir je nach Formular Name, E-Mail-Adresse, Rolle, Organisation, Betreff, Nachricht, Demo-Interesse, gewünschte Rückmeldezeit und Angaben zum geplanten Einsatz. Diese Daten nutzen wir zur Bearbeitung der Anfrage und zur vorvertraglichen Kommunikation.
Kontaktanfragen erreichen uns per E-Mail. Demoanfragen speichern wir zusätzlich in unserer Datenbank, damit sie auch bei einer Störung des E-Mail-Versands nicht verloren gehen und wir spätere Kontakte mit einer Schule nachvollziehen können.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag gerichtet ist, sowie Art. 6 Abs. 1 lit. f DSGVO für berechtigte Kommunikations- und Nachweisinteressen. Freiwillige Angaben beruhen auf Art. 6 Abs. 1 lit. a DSGVO.
In der Schulplattform werden im Auftrag der Schule Organisationen, Lehrkraft-/Admin-Zugänge, Schülerprofile, Aufgaben und Lernstatistiken verarbeitet. Schülerprofile enthalten Vorname, Nachname, Klassenstufe und Klasse. Diese Klarnamen bleiben für berechtigte Lehrkräfte sichtbar, damit Unterricht, Auswertung, Support und Betroffenenrechte zuverlässig funktionieren.
Schülerseitige Bestenlisten zeigen Namen reduziert, zum Beispiel als Vorname plus Initiale. Dadurch bleibt die Lehrkraftansicht eindeutig, während die Sichtbarkeit gegenüber Mitschülern begrenzt wird.
Die Anmeldung erfolgt über organisationsbezogene Zugangsschlüssel, Schülercodes oder konfigurierte OIDC-Anbieter. Zugangsschlüssel, Schülercodes, Transaktions-Token und Sitzungs-Token werden nicht im Klartext gespeichert, sondern gehasht, signiert oder verschlüsselt. Sitzungen enthalten Rolle, Organisationsbezug, Zeitpunkte, IP-Adresse und optional User-Agent.
Sicherheitsereignisse werden protokolliert, um unbefugte Zugriffe, Missbrauch und Brute-Force-Versuche zu erkennen. Für Anmeldeversuche und das öffentliche Kontakt- und Demoformular bestehen technische Rate Limits.
Wird Cyanschool über VIDIS angebunden, erfolgt die Anmeldung über das Landesportal der Schule. Ein Passwort wird dabei nicht an Cyanschool übermittelt. VIDIS übergibt an Cyanschool ein dienstspezifisches Pseudonym, die Rolle (Lehrkraft, Schulleitung oder Lernende), die Schulkennung und das Bundesland. Vorname und Nachname werden nur übermittelt, wenn das Landesportal diese Attribute für Cyanschool freigeschaltet hat.
Aus diesen Angaben werden Rolle und Schulzuordnung abgeleitet. Eine Anmeldung ist nur möglich, wenn die übermittelte Schulkennung für Cyanschool freigeschaltet ist. Jahrgangsstufe und Klasse werden von VIDIS nicht übermittelt und daher bei der Erstanmeldung einmalig selbst angegeben.
Für die Abmeldung wird das ID-Token der Sitzung gespeichert und ausschließlich verwendet, um die Sitzung auch bei VIDIS zu beenden. Mit dem Ende der Sitzung entfällt es. Meldet sich eine Person an anderer Stelle im Landesportal ab, beendet VIDIS die Sitzung bei Cyanschool über einen serverseitigen Abmelderuf.
Cyanschool setzt nur technisch erforderliche Cookies ein:
| Cookie | Zweck | Laufzeit |
|---|---|---|
| cyanschool_auth | Anmeldung oder Login-Transaktion | bis zu 30 Tage nach der letzten Nutzung |
| cyanschool_csrf | Schutz vor Cross-Site-Anfragen | 24 Stunden |
| cyanschool_presentation | Automatischer Kontowechsel in Präsentationen mit der konfigurierten Testschule | bis zu 2 Stunden |
Einzelne Apps speichern technische Einstellungen oder noch nicht synchronisierte Übungsfortschritte lokal im Browser. Es werden keine Analyse- oder Marketing-Cookies eingesetzt.
Es findet keine Zahlungsabwicklung und kein Webtracking wie Google Analytics statt.
Technische Sitzungs-, Transaktions-, Rate-Limit-, Replay-Schutz- und Audit-Daten werden nach festen Fristen gelöscht oder minimiert. Schüler- und Organisationsdaten werden nach Weisung der Schule exportiert, berichtigt oder gelöscht.
Aufrufe personalisierter Demo-Links werden ohne feste Löschfrist gespeichert; Rohkennungen wie IP-Adresse, User-Agent und Referrer entfernen wir nach 90 Tagen. Demoanfragen bewahren wir in unserer Datenbank ebenfalls ohne feste Löschfrist auf, um Anfragen und spätere Kontakte mit Schulen nachvollziehen zu können. Kontakt- und Demo-E-Mails werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind. Sie können jederzeit die Löschung Ihrer Anfrage verlangen (siehe Abschnitt 10); wir löschen sie dann, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Sie haben nach der DSGVO insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Bei Daten der geschützten Schulplattform wenden Sie sich bitte zuerst an Ihre Schule, da diese Verantwortliche ist. Sie können uns zusätzlich unter kontakt@cyanschool.com erreichen; wir unterstützen die Schule bei der Bearbeitung. Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Außerdem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, insbesondere bei der zuständigen Landesdatenschutzbehörde.
Diese Erklärung wird angepasst, wenn sich Funktionen, Anbieter, Verarbeitungszwecke oder rechtliche Anforderungen ändern.