Datenschutzerklärung

Verantwortlich im Sinne der DSGVO ist der im Impressum genannte Anbieter. Impressum

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Art. 37 DSGVO liegen nicht vor. Für alle Fragen zum Datenschutz erreichst du den Anbieter unter der Support-Adresse.

Bei der Registrierung mit E-Mail-Adresse werden die Adresse, ein Anzeigename und ein Passwort-Hash gespeichert. Passwörter werden ausschließlich als kryptografischer Hash (scrypt) abgelegt, nie im Klartext.

Meldest du dich mit Google an, erhalten wir von Google deine E-Mail-Adresse, deinen Namen und dein Profilbild. Mehr wird nicht angefordert. Dabei werden Daten an Google Ireland Limited übermittelt; Rechtsgrundlage ist deine Einwilligung durch die Wahl dieses Anmeldewegs (Art. 6 Abs. 1 lit. a DSGVO).

Meldest du dich mit Apple an, erhalten wir deine Apple-ID-Kennung und deinen Namen sowie eine E-Mail-Adresse — auf Wunsch als anonyme Weiterleitungsadresse von Apple, sodass deine echte Adresse uns nie erreicht. Mehr wird nicht angefordert. Rechtsgrundlage ist deine Einwilligung durch die Wahl dieses Anmeldewegs (Art. 6 Abs. 1 lit. a DSGVO).

Ohne Anmeldung erhält dein Gerät eine zufällige Kennung, damit deine Einträge wiedergefunden werden. Sie enthält keine personenbezogenen Daten und wird bei einer späteren Anmeldung deinem Konto zugeordnet.

Die Anmeldung wird über ein Sitzungs-Cookie gehalten. Beim Abmelden wird die Sitzung auf dem Server gelöscht und das Cookie damit wertlos.

Koppelst du ein weiteres Gerät, werden dessen Name und Plattform sowie der Zeitpunkt des letzten Zugriffs gespeichert, damit du in den Einstellungen siehst, welche Geräte auf dein Konto zugreifen, und einzelne wieder entfernen kannst.

Hausaufgaben, Prüfungen, Stundenplan, Fächer, Notizen und hochgeladene Fotos werden auf einem Server in Deutschland gespeichert und sind mit deinem Konto verknüpft. Andere Nutzerinnen und Nutzer können sie nicht einsehen. Die Übertragung erfolgt verschlüsselt über HTTPS.

Fotos, die du zum Auslesen aufnimmst, werden dauerhaft gespeichert, damit ein Eintrag später noch nachvollziehbar ist. Du kannst einzelne Bilder jederzeit entfernen.

Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Trittst du einer Klasse bei oder legst eine an, wird gespeichert, dass du Mitglied bist, seit wann, und ob du sie verwaltest. Für die anderen Mitglieder sichtbar wird dabei nur der Anzeigename aus deinem Profil.

Aufgaben und Prüfungen, die in der Klasse eingetragen werden, sind für alle Mitglieder sichtbar, zusammen mit dem Namen der Person, die sie eingetragen hat. Alles andere bleibt privat: deine eigenen Aufgaben, deine Noten, deine Fotos, deine KI-Verläufe und deine E-Mail-Adresse sieht niemand sonst.

Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) — die Klasse ist die Funktion, um die du gebeten hast, als du beigetreten bist. Verlässt du die Klasse, endet die Sichtbarkeit deines Namens; bereits eingetragene gemeinsame Aufgaben bleiben bei denen, die sie übernommen haben, denn das sind deren eigene Kopien.

Nutzt du Hilfe, Erklären, Lösen, Zusammenfassung, Quiz, Lernkarten, Übungstest oder das Auslesen eines Fotos, wird der jeweilige Aufgabentext beziehungsweise das Bild an Anthropic PBC (USA) übermittelt, um die Antwort zu erzeugen.

Das geschieht erst, nachdem du der KI-Nutzung einmal ausdrücklich zugestimmt hast. Ohne diese Zustimmung verlässt kein Inhalt den Server. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); du kannst sie in den Einstellungen jederzeit mit Wirkung für die Zukunft widerrufen.

Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission. Anthropic verwendet die übermittelten Inhalte nach eigenen Angaben nicht zum Training seiner Modelle.

Jede Antwort wird anschließend gespeichert und bei erneutem Aufruf wiederverwendet, sodass dieselbe Anfrage nur ein einziges Mal übermittelt wird. Sind die KI-Funktionen abgeschaltet, verlassen keinerlei Inhalte den Server.

Bewertest du eine KI-Antwort mit Daumen hoch oder runter, werden nur die Funktion, das Urteil, die Sprache und der Zeitpunkt gespeichert — weder die Frage noch die Antwort.

Meldest du einen falsch erkannten Stundenplan mit Daumen runter, werden zusätzlich das fotografierte Bild, die Antwort der Erkennung und der daraus erstellte Stundenplan gespeichert — ausschließlich, um die Erkennung zu verbessern, und nur nach diesem ausdrücklichen Antippen. Der Hinweis darauf steht in der App direkt über den Daumen. Die Bilder liegen nicht öffentlich, sondern nur für den Anbieter einsehbar, und werden nach der Auswertung gelöscht. Bei Daumen hoch wird nichts davon übertragen.

Bei jedem Aufruf hält der Webserver technisch bedingt fest: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Statuscode und die Angaben, die dein Browser über sich selbst sendet. Ohne diese Angaben kann keine Antwort zugestellt werden.

Sie dienen dem Betrieb und der Abwehr von Angriffen — etwa um zu erkennen, dass jemand tausendfach Klassencodes durchprobiert. Sie werden nicht mit deinem Konto zusammengeführt und nicht ausgewertet, um dein Verhalten nachzuvollziehen.

Rechtsgrundlage ist das berechtigte Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 14 Tagen automatisch gelöscht.

Der Server steht bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland. Hetzner verarbeitet die Daten ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO; ein entsprechender Vertrag besteht.

Weitere Auftragsverarbeiter sind Brevo für den E-Mail-Versand und Anthropic für die KI-Antworten. Andere gibt es nicht — insbesondere keine Werbenetzwerke, keine Analysedienste und keine Datenhändler.

Lumo verschickt nur zwei E-Mails, und beide nur, wenn du sie auslöst: den Link zum Zurücksetzen deines Passworts und die Bestätigung, dass es geändert wurde. Es gibt keinen Newsletter und keine Werbemails.

Der Versand läuft über die Brevo GmbH, Köpenicker Straße 126, 10179 Berlin (Konzernmutter: Sendinblue SAS, Frankreich), als Auftragsverarbeiter. Übermittelt werden dabei deine E-Mail-Adresse und der Inhalt der jeweiligen Nachricht. Die Verarbeitung findet in der EU statt.

Schreibst du an die Support-Adresse, wird deine Nachricht samt Absender gespeichert, solange sie zur Bearbeitung nötig ist, und danach gelöscht. Rechtsgrundlage ist das berechtigte Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Zugang zu deinem Konto (Art. 6 Abs. 1 lit. f DSGVO). Der Link ist 30 Minuten gültig und danach wertlos.

Erinnerungen an fällige Aufgaben und anstehende Prüfungen werden auf deinem Gerät erzeugt. Sie werden nicht über einen Push-Dienst versendet, und es werden dafür keine Daten an Dritte übermittelt. Du kannst sie in den Einstellungen abschalten.

Die Widgets auf dem Home-Bildschirm lesen eine Kopie deiner nächsten Stunden, offenen Aufgaben und Noten, die die App in einen geschützten Bereich deines Geräts schreibt. Diese Kopie verlässt das Gerät nicht und wird von keinem Server gelesen.

Das Notenwidget gibt es bewusst nicht für den Sperrbildschirm, und auf einem gedimmten Bildschirm blendet es seine Zahlen aus: Eine Note ist nichts, was ungefragt auf einem Tisch im Klassenraum liegen sollte.

Es findet keine Analyse deines Nutzungsverhaltens statt und es werden keine Cookies zu Werbe- oder Trackingzwecken gesetzt. Für den Betrieb werden nur Summen erhoben — etwa wie viele Anfragen pro Tag gestellt wurden. Diese Zahlen sind keinem Konto zugeordnet.

Einstellungen wie Textgröße, Design und Sprache sowie eine Kopie der zuletzt geladenen Daten für die Offline-Nutzung liegen im Speicher deines Browsers beziehungsweise der App. Sie werden nicht übertragen.

Deine Inhalte bleiben gespeichert, bis du sie löschst. Fehlerprotokolle des Servers werden nach 30 Tagen automatisch entfernt und enthalten keine Aufgabeninhalte.

Löschst du dein Konto, werden Einträge, Fotos, KI-Antworten und die Kontodaten sofort entfernt, nicht erst nach einer Frist. Zugriffsprotokolle laufen unabhängig davon nach 14 Tagen aus, weil sie keinem Konto zugeordnet sind und daher auch nicht gezielt gelöscht werden können.

Lumo richtet sich an Schülerinnen und Schüler, also überwiegend an Minderjährige. Für ein Konto unter 16 Jahren ist nach Art. 8 DSGVO die Zustimmung eines Erziehungsberechtigten nötig; Lumo geht davon aus, dass sie vorliegt, und kann das technisch nicht prüfen.

Erziehungsberechtigte können jederzeit unter der Support-Adresse Auskunft über die Daten ihres Kindes verlangen und deren Löschung veranlassen. Es werden keine besonderen Kategorien von Daten nach Art. 9 DSGVO erhoben — keine Gesundheitsdaten, keine Herkunft, keine Weltanschauung.

Die Übertragung läuft ausschließlich verschlüsselt über HTTPS. Passwörter liegen nur als Hash vor, Sitzungen lassen sich serverseitig beenden, und der Zugriff auf den Server ist auf den Anbieter beschränkt.

Vollständige Sicherheit kann niemand versprechen. Fällt eine Verletzung des Schutzes deiner Daten mit voraussichtlich hohem Risiko auf, wirst du nach Art. 34 DSGVO benachrichtigt.

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Wende dich dafür an die im Impressum genannte E-Mail-Adresse. Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu.

Soweit eine Verarbeitung auf deiner Einwilligung beruht — bei der KI-Nutzung und bei der Anmeldung über Google oder Apple —, kannst du sie jederzeit mit Wirkung für die Zukunft widerrufen. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.

Zuständig ist die Aufsichtsbehörde am Sitz des Anbieters — Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden. Du kannst dich ebenso an die Behörde deines Wohnorts wenden.

Alles auf einmal löschen kannst du selbst: Einstellungen → Mehr → Konto löschen entfernt sämtliche Einträge, Fotos und KI-Antworten deines Kontos vom Server. Das ist endgültig.

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt und es wird kein Profil gebildet. Die KI erzeugt Texte auf deine Anfrage hin; sie bewertet dich nicht, trifft keine Entscheidungen über dich und ihre Antworten haben keine Folgen außerhalb der App.

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert — etwa wenn eine Funktion hinzukommt oder ein Dienstleister wechselt. Es gilt die jeweils hier veröffentlichte Fassung; das Datum am Ende sagt, wann sie zuletzt geändert wurde.