Was Lens mit Verhaltensdaten macht.

1. Was Lens tut

Lens ist eine App für iOS, Android und den Browser zur Verhaltensverlaufsdiagnostik mit Direct Behavior Rating (DBR). Lehrkräfte schätzen festgelegtes Zielverhalten eines Kindes regelmäßig auf einer Skala ein und sehen, ob sich das Verhalten über die Zeit und nach Beginn einer Fördermaßnahme verändert.

Die Web-Oberfläche unter web.lens-app.online ist dieselbe App im Browser, mit demselben Konto und demselben Server. Lehrkräfte haben dort dieselben Funktionen und denselben Zugriff auf Schülerdaten wie in der App. Nur in der App gibt es Diktat, QR-Scan, Erinnerungen, Push-Nachrichten und die App-Sperre. Wie die Anmeldung im Browser geschützt ist, steht in Abschnitt 7. Für Suchmaschinen ist die Web-Oberfläche auf noindex gestellt.

Im Einzelnen kann eine Lehrkraft mit Lens:

• Fälle anlegen: je Kind ein frei gewähltes Kürzel, optional eine Klasse, ein Setting (etwa „Mathematik, 3. Stunde“) und eine Beschreibung.
• Zielverhalten definieren: Bezeichnung, operationale Definition, gewünschte Richtung (mehr, weniger, halten) und Skala. Häufig genutzte Items lassen sich als persönliche Vorlagen speichern.
• Phasen festlegen: Ausgangslage (Baseline), Intervention und Follow-up, jeweils mit Start- und Enddatum.
• Bewerten: Einschätzungen mit Datum, optional Uhrzeit, Kommentar und Kontext. Bewertungen funktionieren auch ohne Verbindung.
• Umsetzung festhalten: In Interventionsphasen fragt die App einmal täglich, ob die Maßnahme vollständig, teilweise oder nicht umgesetzt wurde.
• Tagebuch führen: datierte Freitext-Beobachtungen mit optionalem Kontext (Stunde, Fach, Situation, beteiligte Personen, Ort), per Tastatur oder Diktat.
• Auswerten: Verlaufsdiagramme, Phasenvergleiche und Trendkennwerte. Die Berechnung läuft auf dem Lens-Server. Lens gibt Hinweise zur Interpretation, trifft aber keine Entscheidungen über Kinder.
• Im Team arbeiten: einer Schule beitreten, Fälle gezielt mit Kolleg:innen teilen (Team-Teaching), Zugriff auf Fälle anderer anfragen.
• Weitergeben: pseudonyme Links für Forschung oder für Fachkräfte wie Schulpsychologie oder Therapie erzeugen, Berichte als PDF und Daten als CSV oder JSON exportieren, soweit die Schule das erlaubt.
• Dranbleiben: lokale Erinnerungen zum Bewerten sowie Punkte, Serien, Abzeichen und eine Rangliste, aus der man sich ausblenden kann.

2. Rollen nach der DSGVO

Wer für welche Verarbeitung verantwortlich ist, hängt davon ab, um wessen Daten es geht:

3. Welche Daten Lens verarbeitet

Die folgende Aufstellung ist vollständig in Bezug auf das, was die App und der Server speichern. Pflichtangaben sind markiert, alles andere ist freiwillig.

3.1 Über Kinder

3.2 Über Lehrkräfte und andere Nutzende

3.3 Über die Schule

Name, Adresse, Ort, Bundesland und Zeitzone der Schule, Beitrittscodes, Ferien- und Feiertagskalender sowie Stundenzeiten. Diese Angaben dienen dazu, Schultage und Erinnerungen richtig zu berechnen.

Dazu kommt, was die Schule im Datenschutz-Bereich der App festhält: Bestätigung der Genehmigung mit Zwecken, Löschfrist, Schulregeln für Exporte, Klarnamen, Freigaben und Sperrcode, angenommene Fassungen des Vertrags zur Auftragsverarbeitung mit Name und Funktion der annehmenden Person sowie erledigte Punkte der Checkliste mit Datum. Für die Datenschutz-Dokumente kann eine Admin Anschrift, E-Mail und Telefon der Schule, die Namen von Schulleitung, Ansprechperson und Datenschutzbeauftragter samt Kontakt, den Schulträger, die Rechtsgrundlage und den Ablageort von Einwilligungen hinterlegen. Je Lehrkraft wird gespeichert, ob sie die Hinweise zum datensparsamen Arbeiten gesehen hat.

4. Pseudonymisierung: Kürzel und Identität

Lens trennt die Beobachtung von der Person. Bewertungen, Tagebuch, Auswertung, Übersichten, PDF-Berichte, Benachrichtigungen und alle Freigaben arbeiten ausschließlich mit dem Kürzel. Ein Klarname kann, muss aber nicht hinterlegt werden. Er liegt in einer eigenen Tabelle, die nur über einen eigenen, protokollierten Abruf der fallverantwortlichen Lehrkraft erreichbar ist. Kolleg:innen mit Freigabe, Forschende und Fachkräfte haben technisch keinen Zugang dazu.

Klarnamen erscheinen außer im Identitätsbildschirm nur in den Exporten, die ausschließlich die fallverantwortliche Lehrkraft erzeugen kann (CSV und JSON für Auskunftsersuchen).

Klarnamen ausschließen: Eine Schule kann Klarnamen in Lens ganz sperren. Der Server nimmt dann keinen Namen, keine externe Referenz und keine Identitätsnotiz mehr an. Vorhandene Einträge löscht Lens beim Sperren, nachdem eine Admin die Zahl der betroffenen Fälle gesehen und bestätigt hat. Damit ein Name nicht als Kürzel landet, müssen Kürzel dann die Form 7B-01 haben.

5. Wer sieht was

Zugriff entsteht in Lens nur durch Eigentum an einem Fall oder durch eine ausdrückliche Freigabe. Die Kontoart oder eine Admin-Rolle in der Schule verschafft keinen Zugang zu Fällen. Fremde Fälle sind für das System so unsichtbar, dass eine Anfrage darauf mit „nicht gefunden“ beantwortet wird, nicht mit „kein Zugriff“.

¹ Mitglieder derselben Schule sehen in einer Übersicht Kürzel, Setting, Klassenname und Anzahl der Zielverhalten von Fällen, auf die sie keinen Zugriff haben, zusammen mit Name und E-Mail-Adresse der zuständigen Lehrkraft. So können sie gezielt Zugriff anfragen, ohne Verlaufsdaten zu sehen. ² Die Forschungs-CSV enthält Kommentare, Kontext und Erfassungszeitpunkt der Bewertungen sowie die Umsetzungsangaben (siehe Abschnitt 6.3). Eine CSV gibt es über Links nur, wenn die Schule Datenexporte erlaubt. ³ Eine nicht rückrechenbare, über alle Fälle stabile Kennung und, falls hinterlegt, die selbst gewählte Forschungskennung der Lehrkraft.

Schul-Admins verwalten Mitglieder, Beitrittscodes und Anfragen, Kalender und Stundenzeiten sowie den Datenschutz-Bereich der Schule: Genehmigung und Zwecke, Vertrag zur Auftragsverarbeitung, Löschfrist, Schulregeln, Checkliste und die Angaben für die Datenschutz-Dokumente. Sie sehen Namen und E-Mail-Adressen der Mitglieder, aber keine Falldaten und keine Protokolle von Fällen, es sei denn, ein Fall wurde ihnen wie jeder anderen Lehrkraft freigegeben. Ob Kolleg:innen die Hinweise zum datensparsamen Arbeiten gesehen haben, sehen Admins nur als Anzahl, nicht je Person.

Schulregeln setzt der Server durch, nicht nur die App: Hat die Schule Exporte eingeschränkt, Klarnamen gesperrt oder Freigaben an die bestätigte Genehmigung gebunden, lehnt der Server entsprechende Anfragen ab. Die Exportregel gilt auch für CSV-Downloads über Forschungs- und Fachkraft-Links. Fehlt eine verlangte Genehmigung oder wird sie zurückgenommen, ruhen bestehende Freigaben an Kolleg:innen und alle Links des Falls; gelöscht wird nichts, und mit der Bestätigung gelten sie wieder. Verlangt die Schule einen Sperrcode, zeigt die App ohne eingerichteten Sperrcode keine Fälle, auch wenn die Schule gerade nicht erreichbar ist. Im Browser, der keinen Sperrcode prüfen kann, erfüllt die automatische Abmeldung diese Regel: nach 15 Minuten ohne Aktivität, beim Schließen des Browsers und spätestens 12 Stunden nach der Anmeldung.

Der technische Betrieb von Lens hat als Administrator des Servers grundsätzlich Zugriff auf die Datenbank. Dieser Zugriff wird nur für Betrieb, Fehlerbehebung und Support im Auftrag genutzt.

6. Freigaben im Detail

6.1 Im Kollegium

Eine Lehrkraft kann einen Fall für einzelne Mitglieder ihrer Schule freigeben, etwa für Team-Teaching oder Doppelbesetzung. Freigaben sind nur innerhalb derselben Schule möglich. Die Kollegin kann dann bewerten, das Tagebuch lesen und ergänzen, Sprachaufnahmen anhören und die Auswertung sehen, aber weder den Klarnamen abrufen noch den Fall verändern, weitergeben, exportieren oder löschen. Auch die Namensprüfung (siehe Abschnitt 13) steht ihr nicht zur Verfügung. Umgekehrt kann eine Lehrkraft Zugriff auf einen Fall anfragen; die zuständige Lehrkraft entscheidet darüber. Freigaben lassen sich jederzeit zurücknehmen.

6.2 Beitritt zur Schule

Lehrkräfte treten einer Schule per Code, QR-Code oder über eine Anfrage bei, die ein Schul-Admin annimmt. Der Beitritt allein öffnet keinen Fall.

Lehrkräfte können die Schule in der App verlassen, Admins können Mitglieder entfernen. Eigene Fälle bleiben beim Konto; Freigaben zwischen der Person und den übrigen Mitgliedern enden in beide Richtungen. Geht die letzte Admin, wird das am längsten dabei gewesene Mitglied Admin. Ist niemand mehr Mitglied, wird die Schule mit ihren Angaben gelöscht.

6.3 Für Forschung

Die fallverantwortliche Lehrkraft kann einen pseudonymen Link erzeugen. Er enthält ein zufälliges Token mit 128 Bit, das sich nicht erraten lässt. Wer den Link besitzt, sieht den Fall unter lens-app.online/research und kann ihn, sofern die Schule Datenexporte erlaubt, als CSV-Datei herunterladen, auch ohne Konto. Forschungs-Links gelten bis zum Widerruf, sofern die Lehrkraft kein Ablaufdatum setzt.

In der Einsicht stehen Kürzel, Setting, Anlagedatum, Zielverhalten mit Skalen, Phasen und die Bewertungswerte mit Datum, Uhrzeit und Fach; bewertende Lehrkräfte erscheinen als „Lehrkraft A, B …“. Die CSV-Datei enthält zusätzlich Kommentar und Kontext jeder Bewertung, den Zeitpunkt der Erfassung, die Umsetzungsangabe des Tages und je bewertender Lehrkraft eine stabile pseudonyme Kennung sowie, falls hinterlegt, deren Forschungskennung. Nie enthalten sind Klarnamen, externe Referenzen, Identitätsnotizen, die Fallbeschreibung, Tagebuch und Sprachaufnahmen.

Forschende können ein Konto anlegen und Fälle in einer Sammlung speichern. Das setzt eine bestätigte E-Mail-Adresse voraus, denn die freigebende Lehrkraft sieht in der App Name, Einrichtung und Zeitpunkt, nicht aber die E-Mail-Adresse. Ein Konto allein gewährt keinen Zugang: Jeder Fall braucht weiterhin einen gültigen Link.

6.4 Für Fachkräfte

Für Schulpsychologie, Therapie oder Beratung erzeugt die Lehrkraft einen Fachkraft-Link. Er entsteht nur, wenn sie in der App bestätigt, dass die Einwilligung der Sorgeberechtigten vorliegt. Diese Bestätigung wird mit Zeitpunkt gespeichert; den Nachweis selbst bewahrt die Schule auf. Jede Erweiterung, also Verlängern oder Einschalten des Tagebuchs, verlangt die Bestätigung erneut.

• Befristet: standardmäßig 180 Tage, höchstens ein Jahr, jederzeit widerrufbar.
• Die Einsicht unter lens-app.online/einsicht zeigt Verlauf, Phasen und Auswertung. Tagebuch und Kommentare nur, wenn die Lehrkraft das für diesen Link einschaltet. Sprachaufnahmen nie.
• Die Fachkraft kann den Verlauf als CSV-Datei herunterladen, sofern die Schule Datenexporte erlaubt. Kommentare und Kontext der Bewertungen enthält sie nur, wenn Notizen für den Link eingeschaltet sind. Lehrkräfte stehen darin wie in der Einsicht nur als „Lehrkraft A, B …“, ohne fallübergreifende Kennung.
• Mit bestätigtem Konto kann die Fachkraft Einschätzungen zurückschreiben. Die Lehrkraft und Kolleg:innen mit Freigabe sehen Name und Einrichtung der Fachkraft, nicht die E-Mail-Adresse.

6.5 Exporte und Berichte

Nur die fallverantwortliche Lehrkraft kann exportieren: Bewertungen als CSV (mit Klarname, falls hinterlegt, und Namen der bewertenden Lehrkräfte), Tagebuch als CSV (Sprachaufnahmen nur als Vermerk) und alle Daten eines Falls als JSON. PDF-Berichte enthalten das Kürzel. Welche Exporte erlaubt sind, legt die Schule fest (alle, nur PDF oder keine). Auch PDF-Berichte und das Tagebuch als Text, die die App selbst erzeugt, meldet sie vorher beim Server an; er prüft die Regel der Schule und protokolliert den Export. Nach dem Teilen entfernt die App die Datei aus ihrem Zwischenspeicher. Sobald eine Datei über das Teilen-Menü das Gerät verlässt, liegt sie außerhalb von Lens; dafür gelten die Regeln der Schule. Im Browser lädt Lens Exporte (CSV, TXT, JSON) und PDFs als Datei auf den Computer herunter; für die heruntergeladene Datei gilt dasselbe.

7. Datenfluss und Speicherorte

1. Auf dem GerätEingaben entstehen in der App. Jede Bewertung erhält eine eindeutige Übermittlungs-ID.
2. Offline-WarteschlangeOhne Verbindung wartet die Bewertung, gegebenenfalls mit Kommentar, im App-eigenen Speicher, im Browser im lokalen Speicher (localStorage), und wird beim nächsten Verbindungsaufbau gesendet. Die Übermittlungs-ID verhindert doppelte Einträge.
3. Verschlüsselte ÜbertragungDie App spricht ausschließlich per HTTPS (TLS) mit dem Server.
4. Lens-ServerEin Reverse Proxy nimmt die Verbindung an und leitet sie an die Lens-Anwendung weiter. Sie prüft bei jeder Anfrage Anmeldung und Berechtigung.
5. DatenbankDie Daten liegen in PostgreSQL auf demselben Server bei IONOS in Deutschland. Die Datenbank hat keinen öffentlichen Zugang und ist nur für die Anwendung im internen Netz erreichbar.

Was dauerhaft auf dem Gerät liegt: das Anmelde-Token im Schlüsselbund (iOS) bzw. Keystore (Android); getrennt je Konto noch nicht gesendete Bewertungen, Löschungen und Umsetzungsangaben, Erinnerungseinstellungen und die zuletzt bekannte Geräteregel der Schule; dazu das eigene Push-Token und gesehene Abzeichen. Exportdateien, PDFs und Diktat-Aufnahmen entfernt die App nach dem Teilen bzw. Hochladen; beim Start und beim Abmelden räumt sie Reste ab. Namen von Kindern speichert die App nicht dauerhaft auf dem Gerät; sie werden bei Bedarf vom Server geladen. Die Warteschlange ist durch die App-Sandbox des Betriebssystems geschützt, aber nicht zusätzlich verschlüsselt. Deshalb gehört zu jedem Gerät ein Sperrcode. Die App prüft beim Start, ob einer eingerichtet ist, und weist sonst darauf hin. Im Profil lässt sich zusätzlich eine App-Sperre einschalten, die nach einer wählbaren Zeit im Hintergrund Face ID, Fingerabdruck oder den Gerätecode verlangt; die Prüfung übernimmt das Betriebssystem, Lens erhält nur das Ergebnis. Mit App-Sperre deckt Lens den Inhalt ab, sobald die App nicht aktiv ist, etwa im App-Umschalter.

Was im Browser liegt: In der Web-Oberfläche kein Anmelde-Token. Im lokalen Speicher von web.lens-app.online liegen getrennt je Konto offline erfasste Einträge, bis sie übertragen sind, und kleine Einstellungen, etwa welche Abzeichen schon angezeigt wurden oder ob die Einführung bestätigt ist. Sie bleiben nur in diesem Browser. Exporte und PDFs lädt der Browser als Datei herunter. Einen Sperrcode des Geräts kann der Browser nicht prüfen; App-Sperre und Abdeckung im App-Umschalter gibt es dort nicht. An ihre Stelle tritt die automatische Abmeldung.

Anmeldung: Nach dem Login erhält die App ein signiertes Token, das 30 Tage gültig ist. Beim Abmelden entfernt die App Token, Push-Registrierung und zwischengespeicherte Daten des Kontos. Liegen noch ungesendete Einträge vor, fragt sie, ob sie für die nächste Anmeldung mit demselben Konto bleiben oder verworfen werden; eine andere Person, die sich auf dem Gerät anmeldet, sendet sie nie mit.

Anmeldung im Browser: Die Web-Oberfläche erhält kein Token, das im Browser gespeichert wird. Der Server setzt stattdessen das Sitzungs-Cookie lens_session: HttpOnly (für Skripte auf der Seite unsichtbar), Secure, SameSite=Strict, Path=/api und ohne Max-Age, also ein Sitzungs-Cookie, das mit dem Schließen des Browsers endet. Es ist für die Anmeldung technisch erforderlich, dient keinem Tracking und geht an keine Dritten. Die Sitzung endet nach 15 Minuten ohne Aktivität (Maus, Touch, Tastatur, Scrollen) und spätestens 12 Stunden nach der Anmeldung; danach ist eine neue Anmeldung nötig. Aktualisierungen im Hintergrund verlängern die Sitzung nicht. Schreibende Anfragen mit dem Cookie nimmt der Server nur von web.lens-app.online selbst an (Prüfung der Herkunft). Abmelden löscht das Cookie.

8. Protokollierung

Lens schreibt einen Protokolleintrag mit handelnder Person, Zeitpunkt, Aktion und betroffenem Fall bei:

• Abrufen und Ändern der Identität eines Kindes
• Löschen eines Falls (mit dessen Kürzel, damit die Löschung nachweisbar bleibt)
• jedem Export (Fall als JSON, Bewertungen als CSV, Tagebuch als CSV oder Text, PDF-Bericht, CSV über Forschungs- und Fachkraft-Links)
• Erteilen und Entziehen von Freigaben im Kollegium, Zugriffsanfragen und Entscheidungen darüber
• Erzeugen, Ändern und Widerrufen von Forschungs- und Fachkraft-Links
• jedem Aufruf über einen Freigabe-Link, auch ohne Konto und in einer Sammlung, und jedem Speichern in einer Forschungssammlung
• Schreiben und Zurückziehen von Fachkraft-Einschätzungen
• Anbieten, Zurückziehen, Annehmen und Ablehnen einer Fall-Übergabe
• Löschen von Bewertungen und Tagebuch-Einträgen
• Abschließen und Wiederöffnen eines Falls, Verlängern der Aufbewahrung (die Begründung steht beim Fall, nicht im Protokoll), automatischem Löschen nach Frist und Ändern der Löschfrist der Schule
• Bestätigen und Zurücknehmen der Genehmigung, Ändern der Schulregeln, Löschen von Klarnamen nach einer Sperre, Abhaken von Checklisten-Punkten, Annehmen des Vertrags zur Auftragsverarbeitung und Ändern der Angaben für die Dokumente (nur welche Felder, nicht deren Inhalt)
• Beitritt, Beitrittsanfragen, neuem Beitrittscode, Rollenwechsel, Verlassen der Schule, Entfernen von Mitgliedern und Löschen der Schule
• Löschen eines Kontos, ohne Bezug zur Person

Die Protokolle enthalten keine Beobachtungsinhalte, keine Link-Tokens, keine Freitext-Begründungen und keine IP-Adressen. Jeder Eintrag ist der Schule der Lehrkraft zugeordnet, der der Fall gehört. Wer sie sieht: Das Protokoll eines Falls sieht die fallverantwortliche Lehrkraft in der App, etwa um bei einer Auskunft die Empfänger zu nennen oder zu sehen, ob ein Link genutzt wird. Schul-Admins sehen in der App keine Protokolle. Für eine Prüfung oder ein Auskunftsersuchen erstellt Lens der Schule auf Anfrage an hallo@lens-app.online einen Export der Protokolle ihrer Mitglieder. Wird ein Konto gelöscht, bleibt der Eintrag bestehen, der Bezug zur Person wird entfernt, auch in den Details des Eintrags. Protokolle werden nach 24 Monaten gelöscht.

9. Beteiligte Dienste

Lens kommt mit wenigen externen Diensten aus. Beobachtungsdaten über Kinder verlassen den Lens-Server über keinen dieser Dienste.

Erinnerungen („Zeit für deine Bewertungen.“) plant die App lokal auf dem Gerät; dafür wird nichts versendet. Im Browser gibt es weder Erinnerungen noch Push-Nachrichten. Den Download über App Store und Google Play verantworten Apple und Google selbst.

Nicht eingesetzt werden:

• Analyse- und Tracking-SDKs
• Werbenetzwerke
• externe Crash- und Fehlerdienste
• KI- oder Sprachmodell-Anbieter
• Zugriff auf Kontakte oder Standort
• Verkauf oder Weitergabe von Daten

10. Diktat und Sprachaufnahmen

Das Diktat wandelt gesprochene Tagebuchnotizen in Text um. Lens nutzt dafür bevorzugt die Spracherkennung auf dem Gerät; das Audio verlässt das Gerät dabei nicht in Richtung eines Sprachdienstes. Unterstützt ein Gerät die Offline-Erkennung für Deutsch nicht, fragt die App ausdrücklich, ob stattdessen der Sprachdienst von Apple bzw. Google genutzt werden soll, und weist darauf hin, dass das Audio dann an diesen Dienst gesendet wird. Ohne Zustimmung passiert nichts.

Die Originalaufnahme wird zusammen mit der gespeicherten Notiz auf den Lens-Server übertragen, damit sich der Text später gegen das Gesprochene prüfen lässt. Anhören können sie die fallverantwortliche Lehrkraft und Kolleg:innen mit Freigabe. In Forschungs- und Fachkraft-Links sind Aufnahmen nie enthalten. Sie werden mit der Notiz oder dem Fall gelöscht.

Das Diktat gibt es nur in der App. In der Web-Oberfläche lassen sich Sprachaufnahmen abspielen, aber nicht aufnehmen.

Berechtigungen der App: Mikrofon und Spracherkennung nur für das Diktat, Kamera nur zum Scannen des Schul-QR-Codes, Fotomediathek nur zum Hinzufügen, wenn du einen Export über das Teilen-Menü dort sichern willst (Lesezugriff hat die App nicht), Mitteilungen nur für Erinnerungen und Anfragen, Face ID bzw. Fingerabdruck nur für die App-Sperre. Unter Android sperrt die App Speicher-, Overlay- und Werbe-ID-Berechtigungen ausdrücklich. Die Web-Oberfläche nutzt im Browser weder Mikrofon noch Kamera, keine Spracherkennung, keine Mitteilungen und keine App-Sperre.

11. Technische und organisatorische Maßnahmen

12. Löschen und Aufbewahrung

Wie lange Fälle aufbewahrt werden, legt die Schule fest. Eine Admin hinterlegt die Löschfrist in der App: in Monaten ab der letzten Eintragung oder ab dem Abschluss eines Falls. Lens zeigt jeder Lehrkraft, welche ihrer Fälle bald fällig sind, und erinnert per Push und E-Mail (nur mit dem Kürzel). Die Lehrkraft löscht den Fall, schließt ihn ab oder verlängert die Aufbewahrung mit Begründung; die Verlängerung wird protokolliert. Auf Wunsch der Schule löscht Lens fällige Fälle automatisch, frühestens wenn die Vorwarnung zugestellt wurde und so viele Tage zurückliegt, wie die Schule eingestellt hat. Ohne hinterlegte Frist löscht Lens keine Fälle von selbst. Gelöscht wird endgültig, nicht nur ausgeblendet.

Serverdaten haben feste Fristen und werden täglich aufgeräumt: Zugriffsprotokolle nach 24 Monaten, Fehlerberichte nach 90 Tagen, Push-Registrierungen, die sich 180 Tage nicht gemeldet haben, sowie abgelaufene oder benutzte Einmalcodes nach 7 Tagen.

Die Unterlagen aus dem Datenschutz-Bereich (Vertrag zur Auftragsverarbeitung, Verzeichnis, Folgenabschätzung, Elterninformation, Einwilligung) erzeugt der Lens-Server bei Bedarf als PDF; gespeichert werden die Dateien nicht. Gespeichert werden, wer eine Vertragsfassung wann angenommen hat, wann ein Dokument zuletzt erstellt wurde, und die Angaben, die eine Admin für die Dokumente hinterlegt hat. Diese Angaben gehören zur Schule und bleiben, solange sie in Lens besteht; eine Admin kann jede Angabe jederzeit leeren.

13. Datensparsam arbeiten

Viele Risiken entstehen nicht in der Technik, sondern in Freitexten. Für die Arbeit mit Lens empfehlen wir:

• Kürzel ohne Namen oder Initialen wählen, die sich leicht zuordnen lassen.
• In Kommentaren, Tagebuch und Kontextfeldern keine Namen anderer Kinder oder von Eltern nennen.
• Diagnosen, Gesundheits- oder Familienangaben nur eintragen, wenn sie für die Förderung wirklich nötig sind. Sie sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO.
• Den Klarnamen nur hinterlegen, wenn die Zuordnung in der App tatsächlich gebraucht wird.
• Geräte mit Sperrcode und aktuellem Betriebssystem nutzen, sich im Browser nach der Arbeit abmelden und Exporte nicht in private Cloud-Speicher sichern.
• Kommentare in Bewertungen so formulieren, dass sie auch in einer Forschungs-CSV vertretbar wären, sofern der Fall für Forschung freigegeben werden soll.

Die App zeigt diese Hinweise jeder Lehrkraft beim ersten Start. Ist für ein Kind ein Name hinterlegt, prüft der Server, bevor die fallverantwortliche Lehrkraft Tagebuch-Einträge, Kommentare, eigene Fächer, Zielverhalten oder die Begründung einer Verlängerung speichert, ob Vor- oder Nachname im Text stehen, und die App fragt dann nach. Der Text wird dafür nur verglichen, nicht gespeichert oder protokolliert, und die Antwort enthält nur ja oder nein. Für Kolleg:innen mit Freigabe gibt es die Prüfung nicht: Sie könnten sonst durch Ausprobieren den Namen erraten, den sie nicht sehen sollen. Ohne Verbindung entfällt die Prüfung.

14. Rechte der Betroffenen

Kinder, Sorgeberechtigte und Lehrkräfte haben die Rechte aus Art. 15 bis 21 DSGVO. Für Schülerdaten richtet sich ein Antrag an die Schule als Verantwortliche. Lens stellt die Werkzeuge bereit, damit die Schule ihn erfüllen kann:

Wer ein eigenes Konto bei Lens hat, kann Auskunft und Löschung auch direkt bei uns verlangen. Unabhängig davon besteht das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde.

15. Checkliste für den Schuleinsatz

Technische Sicherheit ist nur ein Teil eines rechtmäßigen Einsatzes. Vor dem Start sollte die Schule, gemeinsam mit ihrer bzw. ihrem Datenschutzbeauftragten, Folgendes klären:

• Einsatz durch die Schulleitung genehmigen und Zweck festlegen (Förderdiagnostik, Verlaufsdokumentation).
• Rechtsgrundlage nach dem jeweiligen Landesschulrecht bestimmen, für Fachkraft-Links zusätzlich die Einwilligung der Sorgeberechtigten.
• Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit Lens schließen.
• Die Verarbeitung ins Verzeichnis der Verarbeitungstätigkeiten aufnehmen (Art. 30).
• Prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist (Art. 35). Bei systematischer Beobachtung des Verhaltens Minderjähriger liegt das nahe.
• Sorgeberechtigte und, altersgerecht, Kinder informieren (Art. 13 und 14).
• Löschfristen festlegen und regelmäßig in der App umsetzen.
• Regeln für Geräte (Dienst- oder Privatgerät, Sperrcode, Nutzung im Browser) und für Exporte festlegen.
• Klären, wer Fälle bei Personalwechsel übernimmt, bevor Konten gelöscht werden.
• Kolleg:innen zu den Hinweisen in Abschnitt 13 einweisen.

In der App: Unter Profil, Schule, Datenschutz führt Lens eine Admin Schritt für Schritt durch den Einsatz. Genehmigung und Zwecke, Vertrag zur Auftragsverarbeitung und Löschfrist erledigen sich durch die Handlung selbst; Verzeichnis, Folgenabschätzung, Information der Sorgeberechtigten und Einweisung des Kollegiums bestätigt die Schule mit Datum. Unter Dokumente fragt ein kurzer Assistent die Angaben der Schule ab (Anschrift, Schulleitung, Datenschutzbeauftragte, Schulträger, Rechtsgrundlage). Daraus erstellt Lens das Verzeichnis der Verarbeitungstätigkeiten, die Datenschutz-Folgenabschätzung, die Information der Sorgeberechtigten (mit Kurzfassung für Kinder), die Einwilligung für Fachkraft-Links und den angenommenen Vertrag als PDF mit Briefkopf. Was Lens weiß, steht schon drin; was fehlt oder nur die Schule festlegen kann, bleibt ein Formularfeld, das sich im PDF ausfüllen lässt. Jedes Dokument ist ein Entwurf, den die Schule mit ihrer Datenschutzbeauftragten prüft.

Fragen zur Auftragsverarbeitung, zu den technischen und organisatorischen Maßnahmen oder einen Export der Protokolle für eure Schule beantworten wir unter hallo@lens-app.online.

16. Häufige Fragen