Datenschutzerklärung

Verantwortlich für die Verarbeitung im Sinne der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) ist:

Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen. Für alle Fragen zum Datenschutz erreichst du den Verantwortlichen unter der oben genannten Adresse.

• POKYH ist kostenlos, ohne Werbung und verkauft keine Daten.
• Dein WebUntis-Passwort geht nur an den WebUntis-Server deiner Schule und wird auf POKYH-Servern nicht gespeichert.
• Daten aus WebUntis (Stundenplan, Noten, Abwesenheiten, Nachrichten) werden nur für die Anzeige abgerufen und auf POKYH-Servern nicht dauerhaft gespeichert.
• Freiwillige Statistiken gibt es nur mit deiner Zustimmung, die du jederzeit widerrufen kannst. Fotos von anderen Seiten kannst du jederzeit ausblenden.
• Du kannst jederzeit Auskunft, Löschung und mehr verlangen; eine E-Mail genügt.

Schulzugangsdaten (WebUntis-Anmeldung)

Dein Benutzername und dein Passwort werden nur verwendet, um dich am WebUntis-Server der Schule anzumelden, die du ausgewählt hast; diese Server betreibt die Untis GmbH im Auftrag der jeweiligen Schule. Auf POKYH-Servern wird das Passwort nicht gespeichert und nicht protokolliert. Damit eine von WebUntis beendete Sitzung automatisch erneuert werden kann, liegen Zugangsdaten und gewählte Schule AES-GCM-verschlüsselt in einem httpOnly-Cookie auf deinem Gerät (pokyh_renew); es wird nur an die Anmeldeadresse gesendet, gilt nur zusammen mit deiner Sitzung, läuft nach 4 Stunden ab und wird beim Abmelden gelöscht. Auch die WebUntis-Sitzung liegt AES-GCM-verschlüsselt in einem httpOnly-Cookie. Die Anmeldung besteht nur aus diesen Cookies: Löschst du sie, bist du abgemeldet. Rechtsgrundlage: Erbringung des von dir gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO).

Session-Cookie (pokyh_session)

Verschlüsseltes httpOnly-Cookie mit dem Schulportal-Session-Token. Läuft beim Logout oder nach 4 Stunden ab. Nicht für JavaScript zugänglich (XSS-Schutz).

POKYH-Konto (alternative Anmeldung)

Nutzer ohne Schulaccount können sich mit einem POKYH-eigenen Konto registrieren (Benutzername + Passwort). Das Passwort wird bcrypt-gehasht gespeichert. Ein Klartext-Passwort wird niemals gespeichert.

Benutzer-Cookie (pokyh_user)

Enthält nicht-sensible Anzeigeinformationen (Benutzername, Klasse, Schule) für die Darstellung in der App. Kein Passwort, kein Token.

Schulsuche und gewählte Schule

Damit du deine Schule findest, schickt der POKYH-Server deinen Suchbegriff (Name, Ort oder Postleitzahl einer Schule) an die öffentliche Schulsuche von WebUntis (Untis GmbH). Untis erhält dabei nur den Suchbegriff und die Adresse des POKYH-Servers, nicht deine IP-Adresse. Die Treffer werden bis zu 10 Minuten im Arbeitsspeicher des Servers zwischengespeichert und keiner Person zugeordnet. Die gewählte Schule (Anmeldename, Name, Adresse und Server laut WebUntis) speichert dein Browser bis zum Ende des Schuljahres (31. August, mindestens 30 Tage) unter pokyh_school, damit du sie nicht jedes Mal neu suchen musst; du kannst sie beim Anmelden jederzeit ändern. Nach der Anmeldung ordnet das POKYH-Backend dein Konto dieser Schule zu (Anmeldename, Name und Server der Schule), damit Klassen, Erinnerungen, Kommentare und der Speiseplan getrennt nach Schulen bleiben; meldet sich jemand einer Schule zum ersten Mal an, wird die Schule dabei angelegt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

POKYH-Backend (Todos & Erinnerungen)

Todos und Klassen-Erinnerungen werden auf dem eigenen POKYH-Backend gespeichert: Titel, Details, Zeitstempel, Benutzername. Löschung jederzeit selbst möglich. Es werden keine externen Cloud-Dienste für diese Funktionen genutzt.

Mensa-Bewertungen & Kommentare

Wenn du ein Gericht bewertest oder kommentierst, speichert das POKYH-Backend Sternebewertung bzw. Kommentartext, Benutzername, interne Benutzer-ID und Zeitstempel. Kommentare sind mit deinem Benutzernamen für andere angemeldete Nutzer sichtbar; Bewertungen erscheinen als Durchschnitt und Anzahl, und hast du ein Gericht auch kommentiert, stehen deine Sterne neben deinem Kommentar. Eigene Kommentare kannst du jederzeit löschen.

Benachrichtigungen (Glocke)

Damit die Glocke auf all deinen Geräten gleich aussieht, speichert das POKYH-Backend mit deiner internen Benutzer-ID, welche ihrer Benachrichtigungen du gesehen oder entfernt hast, und wann. Gespeichert werden nur Kennungen (z. B. „grade:4711“ für eine Note oder „msg:12“ für eine Nachricht), keine Noten, Fächer, Texte oder Absender. Rechtsgrundlage: Erbringung des von dir gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Die Einträge werden nach 30 Tagen automatisch gelöscht, mit deinem Konto auch früher.

Meldungen von Inhalten (Digital Services Act)

Meldest du einen Kommentar oder einen anderen Inhalt (mit „Melden“ oder per E-Mail), verarbeiten wir deine Meldung: deinen Namen und deine E-Mail-Adresse, soweit du sie angibst, den gemeldeten Inhalt und deine Begründung. Wir brauchen sie, um die Meldung zu prüfen, dir zu antworten und unsere Entscheidung zu begründen. Der Person, deren Inhalt gemeldet wurde, nennen wir deinen Namen nicht. Rechtsgrundlage: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 der Verordnung (EU) 2022/2065). Aufbewahrung: bis der Fall erledigt ist, danach höchstens 6 Monate für Rückfragen und Widersprüche.

Push-Benachrichtigungen (Website, optional)

Nur wenn du Benachrichtigungen im Browser erlaubst: Das POKYH-Backend speichert die Push-Adresse (Endpoint) deines Browsers mit deiner Benutzer-ID. Damit es dich über neue WebUntis-Nachrichten informieren kann, speichert es außerdem deine aktuelle WebUntis-Sitzung (Sitzungskennung und Zugriffstoken, nicht dein Passwort) und fragt damit etwa alle 5 Minuten beim WebUntis-Server deiner Schule ab, wie viele Nachrichten ungelesen sind. Inhalte von Nachrichten werden dabei nicht gespeichert. Die Abfrage endet, sobald WebUntis die Sitzung beendet. Zugestellt werden die Benachrichtigungen über den Push-Dienst deines Browser-Herstellers (z. B. Google, Mozilla oder Apple). Widerruf jederzeit in den Browser-Einstellungen; die Push-Adresse wird dann gelöscht.

Fotos von anderen Seiten (Mensa)

Die Fotos der Gerichte im Mensa-Speiseplan liegen auf fremden Rezeptseiten und werden von dort angezeigt; POKYH kopiert sie nicht. Dein Browser lädt sie direkt von diesen Seiten, die dabei wie bei jedem Seitenaufruf deine IP-Adresse und technische Angaben deines Browsers (z. B. Browsertyp) erhalten, ohne Referrer, also ohne die Adresse der POKYH-Seite. Was diese Seiten damit tun, etwa ob sie Cookies setzen, liegt bei ihnen; viele Browser blockieren Cookies fremder Seiten. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), den Speiseplan anschaulich zu zeigen. Du kannst jederzeit widersprechen (Art. 21 DSGVO): Mit „Fotos ausblenden“ auf der Mensa-Seite lädt dein Browser keine fremden Fotos mehr; die Wahl speichert er unter pokyh_external_media.

Google Analytics 4 (GA4)

Diese Website kann Google Analytics 4 (Google LLC) verwenden, aber ausschließlich nach deiner ausdrücklichen Einwilligung im Cookie-Banner; vorher wird keine Verbindung zu Google aufgebaut. GA4 erhebt pseudonymisierte Nutzungsdaten (Seitenaufrufe, Gerätekategorie, ungefähres Herkunftsland) und setzt dafür die Cookies _ga und _ga_*. Nach Angaben von Google speichert GA4 keine IP-Adressen; Google-Signale und Werbefunktionen sind abgeschaltet. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, Art. 122 Codice privacy). Du kannst sie jederzeit in den Cookie-Einstellungen widerrufen; die Cookies werden dann gelöscht. Zusätzlich kannst du der Datenerhebung unter tools.google.com/dlpage/gaoptout widersprechen.

Cloudflare Tunnel (Cloudflare, Inc.)

Zur öffentlichen Erreichbarkeit des selbst gehosteten Servers wird Cloudflare Tunnel verwendet. Cloudflare verarbeitet dabei Netzwerk-Metadaten (IP-Adressen, Anfrage-Header) zur Weiterleitung des Datenverkehrs. Es werden keine Inhalte dauerhaft gespeichert. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für den sicheren Serverbetrieb. Cloudflare übermittelt uns außerdem das aus der IP-Adresse ermittelte Land (ggf. Region und Stadt), das wir für die Besucher-Statistik von Website und Apps nutzen; eine Standortabfrage bei weiteren Anbietern findet nicht statt.

Server-Protokollierung (Request Logs)

Der POKYH-Backend-Server speichert automatisch Zugriffsprotokolle: IP-Adresse, HTTP-Methode, aufgerufener Pfad, HTTP-Statuscode, Antwortdauer, Benutzername und User-Agent. Zweck: Sicherheit, Fehlerdiagnose und Missbrauchserkennung. Außerdem zählen wir daraus ohne Namen, wie viele Konten pro Tag und in den letzten 7 bzw. 30 Tagen aktiv waren und ob sie die iOS-App, die Android-App oder die Website genutzt haben. Für dein Konto wird dazu pro Tag festgehalten, ob du POKYH genutzt hast, auf welcher Art von Gerät (iOS-App, Android-App, Website am Handy oder Computer) und wie oft du dich angemeldet hast, ohne IP-Adresse und ohne aufgerufene Seiten; diese Tagesübersicht siehst du selbst in deinem Profil. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Logs werden spätestens nach 30 Tagen gelöscht, die Tagesübersicht deines Kontos zum Ende des Schuljahres (siehe Speicherdauer).

Protokoll der Verwaltung

Ändern Administratoren etwas, das dein Konto oder deine Inhalte betrifft (zum Beispiel einen Kommentar entfernen oder Rechte vergeben), hält das POKYH-Backend fest, wer wann was geändert hat und welches Konto oder welcher Inhalt betroffen ist, ohne Passwörter oder andere Geheimnisse. Zweck: Nachvollziehbarkeit und Schutz vor Missbrauch. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) und Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO). Die Einträge werden nach 365 Tagen gelöscht.

Nutzungsstatistik (Apps & Website)

Solange du angemeldet bist und POKYH im Vordergrund geöffnet ist, melden die iOS-App, die Android-App und die Website dem POKYH-Backend etwa alle 30 bis 60 Sekunden, wie lange POKYH genutzt wurde und wie viele Bildschirme geöffnet wurden. Pro Besuch werden gespeichert: eine zufällige Besuchs-ID, die Plattform (iOS-App, Android-App oder Website, bei der Website zusätzlich Handy oder Computer und ob sie als Web-App installiert ist), die App-Version, Tag und Uhrzeit, die Nutzungsdauer und die Zahl der geöffneten Bildschirme. Mit diesen Angaben gespeichert werden weder IP-Adresse noch User-Agent, Inhalte oder Eingaben; im Browser oder auf dem Gerät wird dafür nichts gespeichert. Ohne Einwilligung (anonym): Statt deines Kontos enthält der Besuch nur einen Tagesschlüssel, einen Hashwert aus deiner Konto-ID und einem Zufallswert, der am Ende des Tages gelöscht wird. So lässt sich zählen, wie viele verschiedene Personen POKYH an einem Tag genutzt haben, ohne zu wissen wer, und Tage lassen sich nicht miteinander verknüpfen. Seitenaufrufe der Website zählen zusätzlich als Website-Besuch, das Öffnen einer App als App-Besuch, dafür wird die IP-Adresse getrennt von der Nutzungsstatistik gespeichert (siehe „Website- und App-Besucher“). Pro Klasse und Tag wird außerdem nur zusammengezählt, wie lange und von wie vielen Personen POKYH genutzt wurde (ohne Namen; angezeigt wird eine Klasse erst ab 5 Personen-Tagen). Ausgewertet wird nur in Gesamtzahlen (z. B. Nutzer je Plattform, durchschnittliche Nutzungsdauer, Stoßzeiten), die ausschließlich Administratoren sehen. Rechtsgrundlage: berechtigtes Interesse an Betrieb und Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO); du kannst jederzeit widersprechen (Art. 21 DSGVO): eine kurze Nachricht an die oben genannte Kontaktadresse genügt. Browser mit aktiviertem „Global Privacy Control“ senden keine Nutzungsstatistik. Mit Einwilligung (persönlich, „Alle akzeptieren“ oder Profil): Der Besuch wird zusätzlich deinem Konto zugeordnet, und Administratoren können für dein Konto sehen, welche Plattform und App-Version du nutzt, wann du zuletzt aktiv warst, wie lange, wie oft und an wie vielen Tagen du POKYH genutzt hast, welche Seiten du aufgerufen hast und von welchen IP-Adressen und Orten du die Website und die Apps genutzt hast (z. B. für den Support oder um auf veraltete App-Versionen hinzuweisen). Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); unter 14 Jahren nur mit Erlaubnis deiner Eltern (Art. 8 DSGVO, Art. 2-quinquies Codice privacy). Du kannst sie jederzeit im Profil oder in den Cookie-Einstellungen widerrufen; dann wird dein Name aus allen bisherigen Einträgen entfernt. Diese Daten werden nicht an Dritte weitergegeben, nicht für Werbung genutzt und nicht mit Noten oder anderen Schuldaten verknüpft.

Website- und App-Besucher (Reichweite & Sicherheit)

Bei jedem Seitenaufruf der Website (mit oder ohne Konto) speichert das POKYH-Backend: die IP-Adresse, das daraus von Cloudflare ermittelte Land (und, sofern übermittelt, Region und Stadt), den Gerätetyp (Handy, Tablet, Computer), die aufgerufene Seite, Datum und Uhrzeit und ob du angemeldet warst. Ebenso speichert es in der iOS- und Android-App (die nur angemeldet Nutzungsdaten senden) jedes Öffnen der App einmal pro IP-Adresse und Tag: die IP-Adresse, das Land (und, sofern übermittelt, Region und Stadt), das Gerät (iPhone oder Android), die App-Version, Datum und Uhrzeit und die zufällige Besuchs-ID der Nutzungsstatistik, damit ein Besuch nur einmal gezählt wird. Die App sendet dafür nichts zusätzlich; verwendet wird die Adresse, von der die Nutzungsstatistik ohnehin kommt. Bist du angemeldet, kommt ein pseudonymer Kontoschlüssel hinzu (ein mit einem Server-Geheimnis gebildeter Hashwert ohne Namen), damit gezählt werden kann, wie viele verschiedene Konten eine IP-Adresse nutzen, etwa in einem Schulnetz. Verschiedene Besucher pro Tag werden über einen Tagesschlüssel gezählt (bist du angemeldet, aus deinem Konto, sonst aus IP-Adresse und Browserkennung), der am Ende des Tages nicht mehr auflösbar ist. Zweck: wissen, wie viele Menschen die Website und die Apps erreichen und woher sie kommen, sowie Missbrauch, Bots und Angriffe erkennen. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); du kannst jederzeit widersprechen (Art. 21 DSGVO): eine kurze Nachricht an die oben genannte Kontaktadresse genügt. Hast du der persönlichen Nutzungsstatistik zugestimmt, wird der Besuch zusätzlich deinem Konto zugeordnet, sodass Administratoren bei der IP-Adresse deinen Namen sehen (Art. 6 Abs. 1 lit. a DSGVO); ohne Zustimmung wird kein Name gespeichert, nach einem Widerruf wird er entfernt. IP-Adresse, Ort, Kontoschlüssel, Besuchs-ID und Konto werden nach 30 Tagen gelöscht; danach bleibt nur eine anonyme Zählung nach Land, Gerätetyp, Seite bzw. App-Version, Tag und Stunde. Browser mit aktiviertem „Global Privacy Control“ werden ohne IP-Adresse und Konto gezählt. Die Daten sehen ausschließlich Administratoren; sie werden nicht an Dritte weitergegeben und nicht für Werbung genutzt.

Hinweis & Einwilligungen

Zu deinem Konto speichern wir, welche Fassung dieser Datenschutzerklärung dir wann angezeigt wurde (bei der Anmeldung bzw. nach einer Änderung, auf der Website oder in der App) und ob und wann du der persönlichen Nutzungsstatistik zugestimmt oder sie widerrufen hast, als Nachweis (Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO). Das Anzeigen ist keine Einwilligung. Die Daten werden mit deinem Konto gelöscht. Deine Auswahl im Cookie-Banner wird zusätzlich auf deinem Gerät gespeichert (siehe Cookies).

Mobile App (iOS & Android)

Die nativen POKYH-Apps speichern Zugangsdaten ausschließlich verschlüsselt auf dem Gerät (iOS-Keychain bzw. mit einem Schlüssel aus dem Android Keystore), damit die Anmeldung erneuert werden kann; auf POKYH-Servern werden sie nicht gespeichert. iCloud-Synchronisierung ist deaktiviert. Außer der oben beschriebenen Nutzungsstatistik und App-Besucher-Statistik erhebt die App keine Analysedaten; Analyse-SDKs von Drittanbietern sind nicht eingebunden. Nach der ersten Anmeldung und nach einer Änderung dieser Datenschutzerklärung zeigt die App einmal einen Hinweis darauf; dass er angezeigt wurde, wird wie auf der Website gespeichert (siehe „Hinweis & Einwilligungen“). Für die Offline-Nutzung legt die App zuletzt geladene Daten (z. B. Stundenplan, Noten, Abwesenheiten, Mensa) im privaten App-Speicher des Geräts ab. Erinnerungen werden als lokale Gerätebenachrichtigungen ausgeliefert (kein Remote-Push). Update-Prüfungen erfolgen über die öffentliche GitHub-API; dabei erhält GitHub technisch bedingt die IP-Adresse, aber keine Konto- oder Schuldaten.

Fehlerberichte (Apps und Verwaltung)

Tritt in der iOS- oder Android-App oder im Verwaltungsbereich ein Fehler auf, senden sie einen technischen Fehlerbericht an das POKYH-Backend: die Fehlermeldung und ihren Ablauf (bereinigt um Adressen, Tokens und Suchparameter), die betroffene Seite, die App-Version, die grobe Browser- bzw. App-Familie und deine Schule, ohne IP-Adresse, ohne Konto und ohne vollständige Gerätekennung. Rechtsgrundlage: berechtigtes Interesse an einem funktionierenden, sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO). Die Berichte werden nach 30 Tagen gelöscht.

Lokaler Speicher (localStorage)

Für Einstellungen (Darstellung, Sprache, gewählte Schule und Mensa, Fotos ja/nein, der Fortschritt im versteckten Klassenzimmer der Anmeldeseite) und als Zwischenspeicher zuletzt geladener Schuldaten (Stundenplan, Noten, Abwesenheiten, Nachrichten) für eine schnellere Anzeige wird der Speicher deines Browsers genutzt. Diese Daten verlassen dein Gerät nicht; die einzelnen Einträge stehen in der Cookie-Richtlinie.

Unterstützung über Buy Me a Coffee (freiwillig)

Der Link „POKYH unterstützen“ (Einstellungen, Über POKYH) lädt nichts von Buy Me a Coffee, bevor du ihn öffnest; er öffnet sich in einem neuen Tab ohne Referrer. Unterstützt du POKYH dort, ist Buy Me a Coffee für die Zahlung eigenständig verantwortlich; es gelten dessen Bedingungen und Datenschutzhinweise, und Buy Me a Coffee hat seinen Sitz in den USA. Wir erhalten von Buy Me a Coffee nur die Angaben, die du dabei machst (zum Beispiel Name, E-Mail-Adresse, Nachricht und Betrag), keine Zahlungs- oder Kartendaten, und nutzen sie nur, um die Unterstützung zuzuordnen und dir gegebenenfalls zu danken. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; aufbewahrt, solange gesetzliche, etwa steuerliche, Pflichten es verlangen.

Die Verarbeitung erfolgt zur Erbringung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Notwendige Sicherheitsmaßnahmen (z. B. Netzwerkweiterleitung, Zugriffsprotokolle), die Besucher-Statistik von Website und Apps mit IP-Adresse und die anonyme Nutzungsstatistik stützen sich auf unser berechtigtes Interesse an einem sicheren Betrieb und der Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Die persönliche Nutzungsstatistik und Google Analytics erfolgen ausschließlich mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du im Cookie-Banner („Alle akzeptieren“ oder „Einstellungen“) oder im Profil erteilst und dort jederzeit widerrufen kannst; der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Keine der beiden Optionen ist vorausgewählt, und POKYH ist ohne sie uneingeschränkt nutzbar.

Die Schulsuche und die Zuordnung deines Kontos zu deiner Schule dienen der Erbringung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Fotos von anderen Seiten werden aufgrund berechtigten Interesses geladen (Art. 6 Abs. 1 lit. f DSGVO); du kannst jederzeit widersprechen, indem du sie ausblendest (Art. 21 DSGVO).

• Untis GmbH (WebUntis deiner Schule)Anmeldung und Abruf von Stundenplan, Noten, Abwesenheiten und Nachrichten. Die WebUntis-Daten verantwortet deine Schule; Untis betreibt die Server in ihrem Auftrag in der EU.Datenschutz
• Untis GmbH (öffentliche Schulsuche)Suche nach deiner Schule beim Anmelden; Untis erhält nur den Suchbegriff vom POKYH-ServerDatenschutz
• POKYH-BackendEigener Server für Konten, Schulen, To-dos, Erinnerungen, Mensa, Kommentare, Benachrichtigungen und Statistik
• Google Analytics 4 (Google LLC)Anonymisierte Nutzungsstatistiken zur Verbesserung des Dienstes, nur nach EinwilligungDatenschutz
• Cloudflare, Inc.Netzwerkweiterleitung via Cloudflare Tunnel für den selbst gehosteten ServerDatenschutz
• Push-Dienste der Browser-HerstellerZustellung von Web-Push-Benachrichtigungen, nur wenn du sie erlaubstDatenschutz
• GitHub API (GitHub, Inc.)Update-Prüfung der mobilen Apps; GitHub erhält dabei technisch bedingt die IP-Adresse, keine Konto- oder SchuldatenDatenschutz
• Rezeptseiten (Fotos der Gerichte)Anzeige der Fotos im Mensa-Speiseplan direkt von den Seiten, auf denen sie veröffentlicht sind (abschaltbar mit „Fotos ausblenden“)
• Buy Me a CoffeeFreiwillige Unterstützung: nur wenn du den Link öffnest und dort unterstützt; für die Zahlung eigenständig verantwortlich

Die Daten aus WebUntis verarbeitet die Untis GmbH nach eigenen Angaben ausschließlich in der EU. Cloudflare, Inc., GitHub, Inc. (nur bei der Update-Prüfung der Apps), Google LLC (nur mit deiner Einwilligung in die Statistik) und die Push-Dienste der Browser-Hersteller (zum Beispiel Google, Apple oder Mozilla; nur wenn du Benachrichtigungen erlaubst) können Daten in den USA verarbeiten; die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem diese Anbieter zertifiziert sind, sowie auf Standardvertragsklauseln (Art. 46 DSGVO). Rezeptseiten, von denen die Fotos des Mensa-Speiseplans stammen, können ihren Sitz außerhalb der EU haben, auch in Ländern ohne Angemessenheitsbeschluss. Dein Browser lädt die Fotos direkt von dort, solange du sie nicht mit „Fotos ausblenden“ abschaltest; dabei erhalten diese Seiten deine IP-Adresse. Möchtest du das nicht, blende die Fotos aus.

Anmelde-Cookies werden beim Logout gelöscht und laufen sonst automatisch ab (Sitzung 4 Stunden, API-Token 8 Stunden, Refresh-Token 30 Tage). Todos, Erinnerungen, Mensa-Bewertungen und Kommentare werden auf dem POKYH-Backend gespeichert, bis du sie selbst löschst. Server-Protokolle werden nach 30 Tagen, Datenbank-Sicherungen nach 7 Tagen gelöscht. Die Tagesübersicht deines Kontos (aktive Tage, Gerätetyp, Anmeldungen) bleibt bis zum Ende des laufenden Schuljahres gespeichert; die Nutzungsstatistik nennt dein Konto nur mit Einwilligung und höchstens ebenso lange. Beim Schuljahreswechsel (1. August) werden die Zahlen des Jahres je Konto (aktive Tage, Anmeldungen, mit Einwilligung die Nutzungsdauer) zusammen mit den Konten, Klassen, Todos und Erinnerungen des abgelaufenen Schuljahres in ein Schuljahresarchiv übernommen, das nur Administratoren einsehen können; die Einträge des Jahres werden danach gelöscht. Seitenaufrufe werden nach 30 Tagen gelöscht; danach (und bei anonymen Besuchen, sobald die Server-Protokolle gelöscht sind) lässt sich kein Eintrag mehr einer Person zuordnen, und er bleibt nur als anonyme Statistik erhalten. Bei Website- und App-Besuchen werden IP-Adresse, Ort, Kontoschlüssel, Besuchs-ID und (mit Einwilligung) dein Konto nach 30 Tagen entfernt; übrig bleibt eine anonyme Zählung nach Land, Gerätetyp, Seite bzw. App-Version, Tag und Stunde. Abgeschlossene Todos werden nach 24 Stunden automatisch ausgeblendet. Google Analytics-Daten werden, sofern du zugestimmt hast, nach 14 Monaten gelöscht. Meldungen von Inhalten werden aufbewahrt, bis der Fall erledigt ist, danach höchstens 6 Monate. Das Protokoll der Verwaltung wird nach 365 Tagen gelöscht, Fehlerberichte der Apps nach 30 Tagen. Welche Benachrichtigungen der Glocke du gesehen oder entfernt hast, löscht das POKYH-Backend nach 30 Tagen. Der Fortschritt im versteckten Klassenzimmer liegt nur in deinem Browser, bis du ihn dort löschst.

Die gewählte Schule bleibt in deinem Browser bis zum 31. August des laufenden Schuljahres, mindestens 30 Tage. Die für Push-Benachrichtigungen gespeicherte WebUntis-Sitzung ist nur gültig, bis WebUntis sie beendet, und wird mit der Push-Adresse gelöscht. Die Zuordnung deines Kontos zu deiner Schule wird mit deinem Konto gelöscht. Zwischengespeicherte Treffer der Schulsuche verfallen nach 10 Minuten.

POKYH ist für Personen ab 14 Jahren. Jüngere dürfen POKYH nur mit dem Einverständnis ihrer Eltern nutzen. Einwilligungen (persönliche Nutzungsstatistik, Statistik-Cookies) können in Italien erst ab 14 Jahren selbst erteilt werden (Art. 8 DSGVO, Art. 2-quinquies Codice in materia di protezione dei dati personali); darunter nur durch die Eltern. Erfahren wir, dass Daten eines Kindes ohne diese Zustimmung verarbeitet werden, löschen wir sie.

Du hast folgende Rechte bezüglich deiner personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung / Recht auf Vergessenwerden (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer Einwilligung

[email protected]

Beschwerde bei der zuständigen Aufsichtsbehörde: Garante per la protezione dei dati personali (Italien), www.garanteprivacy.it

Du musst POKYH keine Daten geben. Ohne deine WebUntis-Zugangsdaten kann POKYH aber keine Daten aus WebUntis anzeigen. Es gibt keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO.

Alle Verbindungen erfolgen über HTTPS/TLS (bereitgestellt via Cloudflare Tunnel). WebUntis-Session-Tokens werden serverseitig AES-GCM-verschlüsselt und ausschließlich in httpOnly-Cookies gespeichert (kein JavaScript-Zugriff). Passwörter werden nie auf POKYH-Servern gespeichert. Eingaben werden serverseitig validiert. Der Server wird auf privater Hardware betrieben und ist ausschließlich über den verschlüsselten Cloudflare-Tunnel zugänglich.

• pokyh_sessionNotwendigVerschlüsseltes Schulportal-Session-Token (httpOnly, AES-GCM, 4 Stunden)
• pokyh_userNotwendigNicht-sensible Benutzerinfo zur Anzeige (kein Token, kein Passwort, 4 Stunden, bei einem POKYH-Konto ohne Schulkonto 8 Stunden)
• pokyh_api_tokenNotwendigPOKYH Backend JWT für API-Zugriff (nicht httpOnly, 8 Stunden)
• pokyh_api_refreshNotwendigPOKYH Backend Refresh-Token zum automatischen Erneuern des API-Tokens (httpOnly, 30 Tage)
• pokyh_renewNotwendigZugangsdaten und gewählte Schule zur automatischen Sitzungserneuerung, AES-GCM-verschlüsselt (httpOnly, nur an die Anmeldeadresse gesendet, nur zusammen mit der Sitzung gültig, 4 Stunden, beim Abmelden gelöscht)
• pokyh_schoolEinstellungDie beim Anmelden gewählte Schule (localStorage, bis zum 31. August, mindestens 30 Tage)
• pokyh_external_mediaEinstellungMerkt sich, wenn du Fotos von anderen Seiten ausgeblendet hast (localStorage, bis du sie wieder einblendest)
• pokyh_themeEinstellungGespeichertes Farbschema (localStorage, kein Cookie)
• pokyh_sidebar_collapsedEinstellungSidebar-Status (localStorage, kein Cookie)
• passkey_declinedEinstellungMerkt sich, dass du das Speichern der Anmeldung im Browser abgelehnt hast (Cookie, 1 Jahr)
• pokyh_cache_*NotwendigZwischenspeicher zuletzt geladener Schuldaten für schnellere Anzeige (localStorage, verlässt das Gerät nicht, beim Abmelden gelöscht)
• _ga, _ga_*StatistikGoogle Analytics 4: anonymisierte Nutzungsstatistiken (nur bei Einwilligung), 1-2 Jahre Laufzeit

Cookies und Speicher

Diese Datenschutzerklärung wird angepasst, wenn sich POKYH oder die Rechtslage ändert. Die aktuelle Fassung steht immer unter pokyh.com/legal. Über wesentliche Änderungen informiert POKYH nach der Anmeldung.