Verantwortliche Stelle im Sinne der DSGVO (EU) 2016/679 ist:
Felix Plattner
Kontakt: [email protected]
Für Fragen zum Datenschutz ist die oben genannte Kontaktstelle erreichbar. Falls ein Datenschutzbeauftragter bestellt ist oder bestellt werden muss, werden dessen verifizierte Kontaktdaten hier veröffentlicht.
Schulzugangsdaten (Stundenplan-Login)
Dein Benutzername und Passwort werden ausschließlich zur Authentifizierung am Stundenplan-Server deiner Schule verwendet und nie auf POKYH-Servern gespeichert. Damit eine abgelaufene Sitzung automatisch erneuert werden kann, bleiben sie auf der Website nur im Sitzungsspeicher (sessionStorage) des geöffneten Browser-Tabs und werden beim Schließen des Tabs gelöscht. Das Session-Token wird AES-GCM-verschlüsselt in einem httpOnly-Cookie gespeichert.
Session-Cookie (pockyh_session)
Verschlüsseltes httpOnly-Cookie mit dem Schulportal-Session-Token. Läuft beim Logout oder nach 4 Stunden ab. Nicht für JavaScript zugänglich (XSS-Schutz).
POKYH-Konto (alternative Anmeldung)
Nutzer ohne Schulaccount können sich mit einem POKYH-eigenen Konto registrieren (Benutzername + Passwort). Das Passwort wird bcrypt-gehasht gespeichert. Ein Klartext-Passwort wird niemals gespeichert.
Benutzer-Cookie (pockyh_user)
Enthält nicht-sensible Anzeigeinformationen (Benutzername, Klasse) für die Darstellung in der App. Kein Passwort, kein Token.
POKYH-Backend (Todos & Erinnerungen)
Todos und Klassen-Erinnerungen werden auf dem eigenen POKYH-Backend gespeichert: Titel, Details, Zeitstempel, Benutzername. Löschung jederzeit selbst möglich. Es werden keine externen Cloud-Dienste für diese Funktionen genutzt.
Mensa-Bewertungen & Kommentare
Wenn du ein Gericht bewertest oder kommentierst, speichert das POKYH-Backend Sternebewertung bzw. Kommentartext, Benutzername, interne Benutzer-ID und Zeitstempel. Kommentare sind mit deinem Benutzernamen für andere angemeldete Nutzer sichtbar; Bewertungen erscheinen nur als Durchschnitt und Anzahl. Eigene Kommentare kannst du jederzeit löschen.
Push-Benachrichtigungen (Website, optional)
Nur wenn du Benachrichtigungen im Browser erlaubst: Das POKYH-Backend speichert die Push-Adresse (Endpoint) deines Browsers zusammen mit deiner Benutzer-ID. Zugestellt werden die Benachrichtigungen über den Push-Dienst deines Browser-Herstellers (z. B. Google, Mozilla oder Apple). Widerruf jederzeit in den Browser-Einstellungen.
Google Analytics 4 (GA4)
Diese Website verwendet Google Analytics 4 (Google LLC), aber ausschließlich nach deiner ausdrücklichen Einwilligung im Cookie-Banner. GA4 erhebt anonymisierte Nutzungsdaten (Seitenaufrufe, Gerätekategorie, Herkunftsland). Die IP-Adresse wird vor Übermittlung an Google anonymisiert (IP-Masking). Es werden keine Werbedaten erhoben. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst deine Einwilligung jederzeit über das Cookie-Banner widerrufen oder der Datenerhebung zusätzlich unter analytics.google.com/analytics/optout widersprechen.
Cloudflare Tunnel (Cloudflare, Inc.)
Zur öffentlichen Erreichbarkeit des selbst gehosteten Servers wird Cloudflare Tunnel verwendet. Cloudflare verarbeitet dabei Netzwerk-Metadaten (IP-Adressen, Anfrage-Header) zur Weiterleitung des Datenverkehrs. Es werden keine Inhalte dauerhaft gespeichert. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für den sicheren Serverbetrieb.
Server-Protokollierung (Request Logs)
Der POKYH-Backend-Server speichert automatisch Zugriffsprotokolle: IP-Adresse, HTTP-Methode, aufgerufener Pfad, HTTP-Statuscode, Antwortdauer, Benutzername und User-Agent. Zweck: Sicherheit, Fehlerdiagnose und Missbrauchserkennung. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Logs werden spätestens nach 30 Tagen gelöscht.
Mobile App (iOS & Android)
Die nativen POKYH-Apps speichern Zugangsdaten ausschließlich verschlüsselt auf dem Gerät (iOS-Keychain bzw. mit einem Schlüssel aus dem Android Keystore), damit die Anmeldung erneuert werden kann; auf POKYH-Servern werden sie nicht gespeichert. iCloud-Synchronisierung ist deaktiviert. Es werden keine Analysedaten durch die App erhoben. Für die Offline-Nutzung legt die App zuletzt geladene Daten (z. B. Stundenplan, Noten, Abwesenheiten, Mensa) im privaten App-Speicher des Geräts ab. Erinnerungen werden als lokale Gerätebenachrichtigungen ausgeliefert (kein Remote-Push). Update-Prüfungen erfolgen über die öffentliche GitHub-API; dabei erhält GitHub technisch bedingt die IP-Adresse, aber keine Konto- oder Schuldaten.
Lokaler Speicher (localStorage)
Für Einstellungen (Theme, Sidebar-Status) und als Zwischenspeicher zuletzt geladener Schuldaten (Stundenplan, Noten, Abwesenheiten, Nachrichten) für eine schnellere Anzeige wird localStorage genutzt. Diese Daten verlassen nie das Gerät.
Die Verarbeitung erfolgt zur Erbringung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Optionale Analytics-Daten werden ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) verarbeitet, die du im Cookie-Banner erteilst oder ablehnst. Notwendige Sicherheitsmaßnahmen (z. B. Netzwerkweiterleitung, Zugriffsprotokolle) stützen sich auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO).
Untis (Schulportal)
Stundenplan, Noten, Abwesenheiten und Nachrichten – nur bei Schulaccount-Login
POKYH Backend (pokyh-backend)
Eigener Server für Todos, Erinnerungen, Klassen-Features und Echtzeit-Updates
Google Analytics 4 (Google LLC)
Anonymisierte Nutzungsstatistiken zur Verbesserung des Dienstes – nur nach Einwilligung
Cloudflare, Inc.
Netzwerkweiterleitung via Cloudflare Tunnel für den selbst gehosteten Server
Mensa API (plattnericus.dev)
Quelle des Mensa-Speiseplans – wird vom POKYH-Server abgerufen, dein Gerät verbindet sich nicht direkt
Push-Dienste der Browser-Hersteller
Zustellung von Web-Push-Benachrichtigungen – nur wenn du sie erlaubst
GitHub API (GitHub, Inc.)
Update-Prüfung der mobilen Apps – es werden keine personenbezogenen Daten übertragen
Google LLC und Cloudflare, Inc. sind in den USA ansässig. Der Datentransfer erfolgt auf Basis von Standardvertragsklauseln (Art. 46 DSGVO) sowie – im Fall von Google – auf Basis des EU-US Data Privacy Framework. Cloudflare ist nach ISO 27001 zertifiziert.
Anmelde-Cookies werden beim Logout gelöscht und laufen sonst automatisch ab (Sitzung 4 Stunden, API-Token 8 Stunden, Refresh-Token 30 Tage). Todos, Erinnerungen, Mensa-Bewertungen und Kommentare werden auf dem POKYH-Backend gespeichert, bis du sie selbst löschst. Server-Protokolle werden nach 30 Tagen, Datenbank-Sicherungen nach 7 Tagen gelöscht. Abgeschlossene Todos werden nach 24 Stunden automatisch ausgeblendet. Google Analytics-Daten werden, sofern du zugestimmt hast, nach 14 Monaten gelöscht.
Du hast folgende Rechte bezüglich deiner personenbezogenen Daten:
Kontakt: [email protected]
Beschwerde bei der zuständigen Aufsichtsbehörde: Garante per la protezione dei dati personali (Italien), www.garanteprivacy.it
Alle Verbindungen erfolgen über HTTPS/TLS (bereitgestellt via Cloudflare Tunnel). WebUntis-Session-Tokens werden serverseitig AES-GCM-verschlüsselt und ausschließlich in httpOnly-Cookies gespeichert (kein JavaScript-Zugriff). Passwörter werden nie auf POKYH-Servern gespeichert. Eingaben werden serverseitig validiert. Der Server wird auf privater Hardware betrieben und ist ausschließlich über den verschlüsselten Cloudflare-Tunnel zugänglich.
pockyh_sessionNotwendigVerschlüsseltes Schulportal-Session-Token (httpOnly, AES-GCM, 4 Stunden)
pockyh_userNotwendigNicht-sensible Benutzerinfo zur Anzeige (kein Token, kein Passwort, 4 Stunden)
pockyh_api_tokenNotwendigPOKYH Backend JWT für API-Zugriff (nicht httpOnly, 8 Stunden)
pockyh_api_refreshNotwendigPOKYH Backend Refresh-Token zum automatischen Erneuern des API-Tokens (httpOnly, 30 Tage)
pockyh_themeEinstellungGespeichertes Farbschema (localStorage, kein Cookie)
pockyh_sidebar_collapsedEinstellungSidebar-Status (localStorage, kein Cookie)
passkey_declinedEinstellungMerkt sich, dass du das Speichern der Anmeldung im Browser abgelehnt hast (Cookie, 1 Jahr)
pokyh_cache_*NotwendigZwischenspeicher zuletzt geladener Schuldaten für schnellere Anzeige (localStorage, verlässt das Gerät nicht)
pockyh_credsNotwendigZugangsdaten zur automatischen Sitzungserneuerung, nur im geöffneten Tab (sessionStorage, beim Schließen gelöscht)
_ga, _ga_*AnalyticsGoogle Analytics 4 – anonymisierte Nutzungsstatistiken (nur bei Einwilligung), 1–2 Jahre Laufzeit
Diese Datenschutzerklärung kann bei Bedarf angepasst werden. Die aktuelle Version ist stets unter /legal?view=datenschutz abrufbar. Stand: September 2026.