Datenschutz.

1. Verantwortlich und erreichbar

Diese Erklärung gilt für die Taskleo-Web-App auf taskleo.net. Taskleo ist ein eigenständiges Projekt und kein offizielles Angebot deiner Schule oder von Untis.

2. Dein Konto und deine Inhalte

Taskleo speichert Name, Nutzername, E-Mail-Adresse, einen gesalzenen Passwort-Hash, Registrierungs- und letzten Anmeldezeitpunkt sowie den E-Mail-Bestätigungsstatus. Ältere Konten können noch einen gehashten PIN-Zugang enthalten, der bei der Passwortumstellung entfernt wird.

Hinzu kommen Kursfilter, Fachfarben, Hausaufgaben mit Fach, Beschreibung, Fälligkeit und Status sowie persönliche Termine. Schulweite Termine können durch die Administration bereitgestellt werden. Bitte trage keine besonders sensiblen Angaben, etwa Gesundheitsdaten, in Freitextfelder ein.

Die Schulnamensuche nutzt ein eigenes Verzeichnis bekannter Schulnamen. Deine Suche wird dafür nicht an einen externen Suchdienst geschickt.

3. WebUntis und die Stundenplanhistorie

Für den Stundenplanabruf verarbeitet Taskleo Schule, WebUntis-Server, Benutzername, Passwort und gegebenenfalls die gewählte Klasse. Die App verbindet sich damit zum WebUntis-System deiner Schule. Die gelieferten Daten können Fächer, Kurse, Lehrkräfte, Räume, Uhrzeiten, Entfälle und Vertretungshinweise enthalten.

Die Zugangsdaten werden serverseitig mit AES-256-GCM verschlüsselt gespeichert. Schule, Server und Benutzername liegen zusätzlich lesbar vor. Anders als das gehashte App-Passwort muss das WebUntis-Passwort für die Verbindung entschlüsselbar bleiben. Berechtigte Administratoren können die Verbindung verwalten und technisch auch auf entschlüsselte Zugangsdaten zugreifen.

Aktuelle Abfragen werden ungefähr 60 Sekunden im Arbeitsspeicher zwischengespeichert. Zusätzlich hält die Datenbank eine kontogetrennte Stundenplanhistorie für bis zu 35 vergangene und 28 zukünftige Kalendertage vor. So bleiben bereits bekannte Stunden sichtbar, wenn WebUntis ältere Daten nicht mehr liefert. Einträge außerhalb des Zeitfensters werden beim Zugriff bereinigt.

4. E-Mails und Proton

Taskleo verschickt Bestätigungscodes, Willkommensmails nach der Bestätigung und Links zum Passwort-Reset. Bestätigungscodes gelten 15 Minuten, Reset-Links 30 Minuten. Die Geheimnisse werden als geschützte Hash-Werte gespeichert und sind versuchsbegrenzt beziehungsweise einmalig verwendbar. Der laufende Mail-Dienst bereinigt abgelaufene Nachweise.

Versendet wird als hallo@taskleo.net über Proton Mail (Proton AG, Schweiz). Dabei werden Empfängeradresse, Betreff, Nachrichteninhalt und Zustellinformationen verarbeitet. Die SMTP-Verbindung verwendet STARTTLS; normale SMTP-Nachrichten sind nicht durchgehend Ende-zu-Ende verschlüsselt. Kopien bleiben gegebenenfalls im gesendeten Postfach und beim Empfänger.

Die Administration kann Nachrichten an ausgewählte bestätigte Adressen, bestätigte Nutzer oder Newsletter-Abonnenten schicken. Zustellaufträge und Versandstatus werden zur Abwicklung und zum Vermeiden mehrfacher Sendungen gespeichert. Die Newsletter-Einstellung kannst du unter Profil → E-Mail ändern widerrufen.

Weitere Informationen: Datenschutz bei Proton Mail. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission.

5. Hosting und technischer Betrieb

App und SQLite-Datenbank werden auf einem Server von AlphaVPS (DA International Group Ltd., Sitz in Bulgarien) betrieben. Der Anbieter verarbeitet die für den Serverbetrieb erforderlichen technischen Daten. Mehr dazu: Datenschutz bei AlphaVPS.

Bei Verbindungen fallen IP-Adresse und technische Browser- und Anfragedaten an. Die Anwendung protokolliert Anfragezeitpunkte, API-Routen, Antwortstatus, Laufzeiten und technische Fehler; bei kontobezogenen Vorgängen können Nutzernamen enthalten sein. Empfindliche Aktionen und Anmeldeversuche sind begrenzt, um Missbrauch zu erschweren.

Der geschützte Adminbereich erlaubt berechtigten Personen die Verwaltung von Konten, Aufgaben, Schulterminen, Unterrichtszugängen und Mail-Verteilern. Es sind keine Werbetracker oder externen Analysedienste wie Google Analytics eingebunden. Schriftarten, Logos und Avatare werden von der App selbst ausgeliefert; QR-Codes entstehen im Browser.

6. Browser-Speicher, Cookies und Statistik

Die Anmeldung wird durch ein signiertes Zugriffstoken im lokalen Browser-Speicher gehalten. Es gilt regulär sieben Tage. Dort liegen außerdem Darstellungseinstellungen, Kursauswahl, Ansichts- und Tutorial-Zustände. Beim Löschen des Kontos entfernt die App Anmeldung und lokale kontobezogene Kurs- und Tutorial-Daten auf dem verwendeten Gerät.

Ein Service Worker speichert App-Dateien und aufgerufene Seiten für schnellere und teilweise offline verfügbare Ansichten. API-Anfragen mit Kontodaten werden von ihm nicht offline zwischengespeichert. Browserdaten kannst du zusätzlich über die Browser-Einstellungen entfernen.

Bei API-Aufrufen wird ein Cookie namens did mit einer zufälligen Gerätekennung gesetzt. Es kann bis zu 400 Tage bestehen. Damit zählt Taskleo täglich aktive Geräte. Gespeichert werden tägliche Gerätezuordnungen und zusammengefasste Zählwerte für Registrierungen, Logins, Aufgaben und API-Nutzung. Sie dienen der eigenen Betriebs- und Nutzungsstatistik, nicht der Werbung. Der Adminbereich verwendet ein separates Anmelde-Cookie.

7. Zwecke und Rechtsgrundlagen

Kontoverwaltung, Stundenplanabruf, Aufgaben, Termine und notwendige Kontomails dienen den von dir angeforderten App-Funktionen (Art. 6 Abs. 1 Buchst. b DSGVO). Betrieb, Missbrauchsschutz, Fehleranalyse und eigene grundlegende Nutzungsstatistik beruhen auf dem Interesse an einem sicheren, verlässlichen Dienst (Art. 6 Abs. 1 Buchst. f DSGVO). Optionale Newsletter setzen eine Einwilligung voraus (Art. 6 Abs. 1 Buchst. a DSGVO), die du für die Zukunft widerrufen kannst.

Die Konto- und Verbindungsangaben sind für die jeweiligen Funktionen erforderlich. Ohne E-Mail-Adresse ist die reguläre Registrierung, ohne passenden WebUntis-Zugang der persönliche Stundenplanabruf nicht möglich. Automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung finden nicht statt.

8. Aufbewahrung und Kontolöschung

Kontodaten und zugeordnete Inhalte bleiben grundsätzlich gespeichert, solange dein Konto besteht. Unter Profil → Konto löschen kannst du die Löschung mit deinem aktuellen Passwort bestätigen. Dabei werden Konto, Aufgaben, persönliche Termine, Kursfilter, Fachfarben, WebUntis-Zugangsdaten, Mail-Nachweise, zugeordnete Versandaufträge und zugeordnete Stundenplanhistorien aus dem aktiven System entfernt. Vorhandene Zugriffstoken funktionieren anschließend nicht mehr.

Bereits versendete E-Mails und allgemeine Schultermine werden nicht zurückgerufen oder gelöscht. Frühere, nicht mehr mit einem Konto verknüpfbare Stundenplan-Cacheeinträge unterliegen dem beschriebenen Zeitfenster. Zusammengefasste Tageszählwerte enthalten keine direkte Kontozuordnung. Protokolle und Gerätenachweise werden nach betrieblichem Bedarf bereinigt.

Für Wiederherstellung und Updates werden geschützte Datenbank-Sicherungen erstellt. Reguläre tägliche und vor Updates angelegte Sicherungen werden nach 14 Tagen bei der turnusmäßigen Bereinigung entfernt. Bis dahin können gelöschte Daten noch in Sicherungen enthalten sein; sie werden nicht im normalen Betrieb weiterverwendet.

9. Deine Rechte

Du kannst Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Einer Verarbeitung auf Grundlage berechtigter Interessen kannst du unter den gesetzlichen Voraussetzungen widersprechen. Einwilligungen lassen sich für die Zukunft widerrufen.

Schreib an hallo@taskleo.net. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, etwa bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. Einzelheiten stehen in der Datenschutz-Grundverordnung.