← Zurück zu Heftly

Datenschutzerklärung

Stand: 01.11.2026 · Heftly 0.14.2

1. Das Wichtigste in Kürze

• Deine Hefte bleiben bei dir. Heftly speichert Hefte in deinem Browser auf deinem Gerät. Wenn du dich anmeldest, liegen sie in deinem eigenen Online-Speicher (LernSax, Nextcloud oder WebDAV). Auf diesem Server liegen keine Hefte. Ausnahme: Seiten, die eine Lehrkraft ausdrücklich teilt, liegen dort für die gewählte Zeit (Abschnitt 9).
• Keine Konten, keine Datenbank. Es gibt keine Registrierung bei Heftly.
• Kein Tracking, keine Werbung, keine Analysedienste. Programm, Schriften und Bibliotheken kommen alle von diesem Server, nicht von fremden Anbietern.
• Fremde Dienste nur, wenn du sie auswählst: zum Beispiel deinen Online-Speicher oder ein YouTube-Video, das du abspielst.

2. Verantwortlicher

Stephan Bayer
Kreuzstr. 1b, 04103 Leipzig
E-Mail: bayer.stephan@gmail.com

3. Hosting und Server-Protokolle

Heftly läuft auf einem Server von Neue Medien Münnich GmbH (ALL-INKL.COM), Friedersdorf in Deutschland. Beim Aufruf jeder Seite verarbeitet der Webserver technisch notwendige Daten:

• IP-Adresse
• Datum und Uhrzeit
• aufgerufene Adresse und übertragene Datenmenge
• Browser und Betriebssystem
• ggf. die vorher besuchte Seite

Diese Daten dienen dem sicheren Betrieb und der Fehlersuche. Der Hoster speichert sie in Protokolldateien und löscht sie nach seinen Fristen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionierenden Angebot). Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Gegen Überlastung begrenzt Heftly die Zahl der Anfragen je Anschluss. Dafür merkt es sich für wenige Minuten einen Hashwert der IP-Adresse.

Heftly selbst schreibt technische Fehlermeldungen in ein Protokoll. Es enthält keine Inhalte von Heften und wird nach 14 Tagen gelöscht.

4. Speicherung in deinem Browser

• Hefte (Seiten, Bilder, eingefügte Dateien) liegen im Speicher deines Browsers (IndexedDB) auf deinem Gerät.
• Einstellungen liegen im lokalen Speicher deines Browsers (localStorage), zum Beispiel:
  • Farbschema, Zoom, Eingabeart und Stifte
  • Stand von Taschenrechner, CAS, Timer und Arbeitsauftrag
  • der Name des zuletzt angemeldeten Kontos (ohne Passwort)
• Programmdateien legt der Browser zwischen (Service Worker), damit Heftly auch ohne Internet läuft.

Diese Daten verlassen dein Gerät nicht von selbst. Du löschst sie in Heftly (Heft löschen, Abmelden mit „vom Gerät entfernen“) oder in den Einstellungen deines Browsers („Websitedaten löschen“). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG: Die Speicherung ist für den Dienst, den du ausdrücklich nutzt, unbedingt erforderlich.

5. Cookies

Heftly setzt nur technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG), keine Cookies zu Werbe- oder Analysezwecken:

• hnb_lang: die gewählte Sprache, wenn du sie umstellst; 1 Jahr.
• heftly-session und XSRF-TOKEN: Die Startseite fragt beim Laden ab, ob du an einem Online-Speicher angemeldet bist. Dabei setzt der Server diese beiden Cookies. Sie enthalten eine Sitzungskennung und schützen gegen gefälschte Anfragen. Inhalt hat die Sitzung nur, wenn du dich anmeldest. Die Cookies laufen 2 Stunden nach der letzten Nutzung ab.
• hnb_ls: nur, wenn du „Auf diesem Gerät angemeldet bleiben“ ankreuzt; enthält deine Zugangsdaten verschlüsselt; 30 Tage oder bis zum Abmelden. Bitte nur auf eigenen Geräten verwenden.

6. Online-Speicher (LernSax, Nextcloud, WebDAV)

Wenn du dich anmeldest, schickt dein Browser deinen Anmeldenamen und dein Passwort an diesen Server. Bei Nextcloud ist es stattdessen ein App-Passwort, das die Nextcloud selbst ausstellt. Der Server prüft die Daten beim Speicher und hält sie nur verschlüsselt in deiner Sitzung bzw. im Cookie hnb_ls. Dauerhaft gespeichert werden sie nicht.

Deine Hefte gehen über diesen Server in deinen Speicher und zurück, weil die Speicher keine direkten Zugriffe aus dem Browser erlauben. Dabei liegen sie nur während der einzelnen Anfrage als temporäre Datei auf dem Server. Jede hochgeladene Heftdatei wird auf gültigen Inhalt geprüft.

Zum Schutz vor dem Ausprobieren von Passwörtern merkt sich der Server bei Fehlversuchen für höchstens 10 Minuten einen verschlüsselten Wert (Hash) des Anmeldenamens.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Funktion, die du nutzt). Für die Daten in deinem Speicher ist dessen Betreiber verantwortlich, zum Beispiel deine Schule oder der Betreiber von LernSax; es gelten dessen Datenschutzhinweise. Beim Abmelden von einer Nextcloud widerruft Heftly das App-Passwort.

7. Mit dem Handy anmelden (QR-Code)

So läuft die Anmeldung über den QR-Code ab:

• Für die Dauer des QR-Codes (3 Minuten) merkt sich der Server eine grobe Beschreibung des anfragenden Geräts, zum Beispiel „Windows · Chrome“. So kannst du auf dem Handy erkennen, welches Gerät du anmeldest.
• Nach deiner Bestätigung liegen deine Zugangsdaten höchstens bis zum Ablauf des Codes verschlüsselt auf dem Server. Danach werden sie gelöscht.
• Abholen kann sie nur das Gerät, das den Code angefordert hat, und das nur einmal.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Tafel koppeln

Beim Koppeln mit einer digitalen Tafel werden die Hefte Ende-zu-Ende verschlüsselt. Der Schlüssel entsteht nur auf den beiden Geräten. Der Server reicht verschlüsselte Nachrichten weiter und kann sie nicht lesen.

Die verschlüsselten Nachrichten liegen nur, solange die Kopplung läuft:

• höchstens 2 Stunden nach der letzten Nachricht
• insgesamt höchstens 14 Stunden

Gegen massenhaftes Ausprobieren von Kopplungscodes merkt sich der Server für 10 Minuten einen gekürzten Hash der IP-Adresse. Auf der Tafel wird die vorübergehende Kopie des Hefts beim Trennen gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Seiten mit Schülerinnen und Schülern teilen

So funktioniert das Teilen:

• Wer teilen darf: Teilen können nur Nutzerinnen und Nutzer, die an einem Online-Speicher angemeldet sind.
• Was auf dem Server liegt: die Seite als PDF und als Heftly-Datei, ihr Titel und das Ablaufdatum. Gespeichert wird das in einem Ordner mit dem Code als Namen, für die gewählte Zeit (1, 7 oder 30 Tage) oder bis die Lehrkraft das Teilen beendet. Danach wird alles gelöscht. Name oder Konto der Lehrkraft werden dabei nicht gespeichert.
• Wer die Seite sieht: alle, die den Code oder den QR-Code kennen. Bitte deshalb keine personenbezogenen Daten (z. B. Namen oder Noten von Schülerinnen und Schülern) auf geteilte Seiten schreiben.
• Kopieren: Wer die Seite in ein eigenes Heft kopiert, tut das in seinem Browser. Der Server erfährt nicht, wer die Seite aufruft, kopiert oder herunterlädt; es bleiben nur die üblichen Server-Protokolle (Abschnitt 3).
• Beenden: Der Schlüssel zum Beenden liegt im lokalen Speicher des Geräts, auf dem geteilt wurde.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Funktion, die die Lehrkraft nutzt).

10. KI-Aufträge

Heftly ruft selbst keine KI auf. Für die KI-Funktionen setzt der Server aus deinen Angaben einen Text zusammen, den du in eine KI deiner Wahl kopierst. Angaben sind zum Beispiel Fach, Thema oder die Bausteine einer Seite. Der Server speichert diese Angaben nicht.

Was du in eine KI einfügst, verarbeitet deren Anbieter nach seinen eigenen Datenschutzhinweisen. Bitte keine personenbezogenen Daten von Schülerinnen und Schülern in KI-Dienste kopieren.

11. YouTube-Videos

Beim Einfügen eines YouTube-Links fragt dieser Server bei YouTube den Titel des Videos ab. YouTube sieht dabei nur den Server, nicht dich.

Das Video selbst lädt erst, wenn du auf „Abspielen“ tippst. Erst dann verbindet sich dein Browser mit YouTube (youtube-nocookie.com, Google Ireland Limited). Dabei werden deine IP-Adresse und Geräteinformationen übertragen, möglicherweise auch in die USA (Angemessenheitsbeschluss EU-US Data Privacy Framework).

Rechtsgrundlage ist deine Einwilligung durch das Antippen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

12. LearningApps-Übungen

Lehrkräfte können Übungen von LearningApps (learningapps.org, Verein LearningApps – interaktive Bausteine, Schweiz) in eine Seite einbetten. Im Heft steht dann nur die Kennung der Übung.

Die Übung lädt erst, wenn du sie antippst. Erst dann verbindet sich dein Browser mit learningapps.org. Dabei werden deine IP-Adresse und Geräteinformationen übertragen; für die Schweiz gilt ein Angemessenheitsbeschluss der EU. Was LearningApps damit tut, steht in dessen Datenschutzerklärung. Heftly erfährt nichts über deine Antworten in der Übung.

Rechtsgrundlage ist deine Einwilligung durch das Antippen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

13. Applets, Taschenrechner und CAS

Applets, Timer, Arbeitsauftrag, Taschenrechner und CAS laufen vollständig in deinem Browser. Ihr Inhalt steht im Heft bzw. im lokalen Speicher deines Browsers. Antworten, die du in Übungs-Applets gibst, werden nicht gespeichert.

14. Weitergabe

Daten gibt Heftly nicht an Dritte weiter. Ausnahmen sind die Dienste, die du selbst auswählst (Abschnitte 6 und 11), und der Hoster im Rahmen der Auftragsverarbeitung.

15. Deine Rechte

Du hast nach der DSGVO das Recht auf:

• Auskunft (Art. 15)
• Berichtigung (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)

Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen. Schreib dafür an den Verantwortlichen (Abschnitt 2).

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig ist die Sächsische Datenschutz- und Transparenzbeauftragte in Dresden, www.datenschutz.sachsen.de.

16. Einsatz in der Schule

Für Lehrkräfte ist wichtig:

• Auf diesem Server liegen keine Hefte und damit auch keine Schülerdaten. Ausnahme sind geteilte Seiten (Abschnitt 9).
• Wenn Hefte in einem Schulspeicher (LernSax, Schul-Nextcloud, IServ) liegen, gelten die Regeln der Schule für diesen Speicher.
• Beim Koppeln mit der Tafel ist der Inhalt eines Hefts für die Klasse sichtbar. Achtet darauf, was gezeigt wird.