Hinweise für Schulen und Datenschutzbeauftragte

Eine technische Beschreibung von koulu für die Prüfung durch eine Schule — Stand: 13.10.2026

Diese Seite beschreibt, was koulu mit Daten tut und was nicht, damit eine Schule das selbst beurteilen kann. Sie ist keine Rechtsberatung und sagt keiner Schule, was zulässig ist: Was eine Lehrkraft auf welchem Gerät und an welchem Speicherort verarbeiten darf, richtet sich nach dem Schulrecht des Bundeslands und den Vorgaben der Schule. Die Datenschutzerklärung für die App und diese Website steht daneben; sie ist maßgeblich, wo beide dasselbe beschreiben.

In drei Sätzen

koulu ist ein Planer, der auf dem Gerät der Lehrkraft läuft: kein Konto, keine Registrierung, kein Server des Anbieters, keine Analyse und kein Absturzbericht aus der App heraus.

Beim Anbieter von koulu kommen zu keinem Zeitpunkt Daten von Schülerinnen und Schülern an — auch nicht verschlüsselt, weil es keine Stelle gibt, an der sie ankommen könnten.

Wird die optionale Synchronisierung eingeschaltet, wählt die Lehrkraft den Speicherort selbst; die Inhalte sind vor dem Hochladen auf dem Gerät verschlüsselt, und der Schlüssel dazu verlässt den Kreis ihrer Geräte nicht.

Warum es keinen Auftragsverarbeitungsvertrag gibt

Ein Vertrag über die Verarbeitung im Auftrag nach Art. 28 DSGVO setzt voraus, dass ein Auftragsverarbeiter personenbezogene Daten für den Verantwortlichen verarbeitet. Genau das findet hier nicht statt: Es gibt keinen koulu-Server, keine Schnittstelle, über die Daten an den Anbieter gehen, keinen Fernzugriff und keinen Support-Weg, auf dem Inhalte übermittelt würden. Die Daten liegen auf dem Gerät und — wenn die Schule oder die Lehrkraft das so einrichtet — zusätzlich verschlüsselt in einem Speicher, den nicht der Anbieter betreibt.

Deshalb bietet koulu keinen AVV an. Ein Auftragsverarbeitungsvertrag würde eine Verarbeitung beschreiben, die es hier nicht gibt, und eine Kontrolle zusichern, die niemand ausüben kann. Das ist der Grund, warum er fehlt — nicht ein offener Punkt, der noch nachgereicht wird. Welche Unterlagen die Schule stattdessen für ihre eigene Dokumentation braucht, entscheidet sie; was dafür an Beschreibung nötig ist, steht auf dieser Seite.

Für die Daten der Schülerinnen und Schüler ist die Schule beziehungsweise die Lehrkraft verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO. Das gilt unabhängig davon, welcher Speicherort gewählt wird — der Speicherort ändert nicht, wer verantwortlich ist, sondern wohin die verschlüsselten Daten gelangen.

Rollen je nach Speicherort

Die Synchronisierung ist ab Werk ausgeschaltet. Ist sie aus, verlässt kein Byte das Gerät. Wird sie eingeschaltet, gibt es drei Konstellationen, die sich für eine Schule unterscheiden — dieselbe Einteilung wie in Abschnitt 4 der Datenschutzerklärung:

Private Cloud der Lehrkraft — ihr persönliches OneDrive, ihre private iCloud oder ein eigener Server außerhalb der Schule: Der Anbieter ist ein Empfänger außerhalb der Schule, für den seine eigenen Bedingungen und seine eigene Datenschutzerklärung gelten. Ob dieser Weg für Daten von Schülerinnen und Schülern in Frage kommt, entscheidet die Schule; bei der privaten iCloud steht dieser Satz in der App an der Stelle, an der die Lehrkraft den Speicherort auswählt.
Nextcloud oder WebDAV-Server der Schule: Die Daten bleiben in der Infrastruktur der Schule beziehungsweise bei dem Dienstleister, den die Schule dafür beauftragt hat. Es gelten die Regeln, die die Schule für diesen Speicher festgelegt hat.
OneDrive in einem Microsoft-365-Konto der Schule: Microsoft verarbeitet die Daten im Auftrag der Schule, unter dem Vertrag, den die Schule mit Microsoft geschlossen hat; der koulu-Ordner liegt in diesem Schulkonto.

In allen drei Fällen ist der Anbieter von koulu an der Übertragung nicht beteiligt: Die Verbindung geht vom Gerät der Lehrkraft direkt zu dem gewählten Speicher.

Wo der Anbieter von koulu doch Verantwortlicher ist

Drei Dinge gehören dem Anbieter und sollen hier genauso deutlich stehen wie das Übrige. Keines davon führt Daten von Schülerinnen und Schülern:

Die Microsoft-Anwendungsregistrierung, mit der sich koulu für OneDrive anmeldet. Ihre Verwaltungskonsole zeigt aggregierte Nutzungszahlen. Die Anmeldungen der Lehrkräfte zeigt sie nicht: Ein privates Microsoft-Konto protokolliert Microsoft in seinem Verbraucherdienst, ein Schulkonto im Verzeichnis der Schule. An der Registrierung nachgesehen am 28.09.2026, bei laufenden OneDrive-Synchronisierungen.
Der CloudKit-Container, den Apple für koulu führt. Die Daten darin liegen in der privaten iCloud der Lehrkraft; die Nutzungskonsole des Containers gehört dem Anbieter und zeigt Zahlen, keine Inhalte.
Diese Website. Was beim Abruf von koulu.schule anfällt — die Protokolle des Servers beim Hoster —, steht in Abschnitt 10 der Datenschutzerklärung. Mit der App hat es nichts zu tun: Die App ruft diese Seiten nicht ab.

Vom Vertriebsweg ist das zu trennen: Beim Laden aus dem App Store und bei einem Test über TestFlight verarbeitet Apple Daten in eigener Verantwortung, Absturzberichte eingeschlossen; an uns gehen daraus aggregierte Statistiken und das Feedback, das jemand selbst absendet. Abschnitt 8 der Datenschutzerklärung beschreibt das.

Wie die Daten fließen

Auf dem Gerät

Alle Daten liegen in einer Datenbank im geschützten Speicherbereich der App; angehängte Fotos und Dateien liegen als Dateien im selben Bereich. Andere Apps erreichen weder das eine noch das andere. Welche Daten das sind — vom Stundenplan bis zu Noten, Adressen und angehängten Attesten —, zählt Abschnitt 2 der Datenschutzerklärung auf. Eine Ausnahme beschreibt deren Abschnitt 6: Schaltet die Lehrkraft die Geburtstagserinnerung ein, übergibt koulu die Mitteilungen im Voraus an das Betriebssystem, das sie mit den Namen darin bis zur Anzeige verwahrt.

Ohne Synchronisierung

Nichts verlässt das Gerät. koulu baut von sich aus keine Verbindung ins Internet auf; auch die Ferien- und Feiertagsdaten sind in der App enthalten und werden nicht abgerufen.

Mit Synchronisierung

koulu verschlüsselt jeden Inhalt auf dem Gerät, bevor er hochgeladen wird. Was beim Speicheranbieter ankommt, sind Dateien ohne lesbaren Inhalt: pro Gerät ein Postfach mit den verschlüsselten Änderungen und daneben eine kleine Schlüsseldatei, die sich allein mit dem Wiederherstellungscode öffnen lässt. Der Code wird nirgends hochgeladen, und der Anbieter von koulu hat ihn nie.

Anhänge werden mitsynchronisiert. Die Datei selbst — das abfotografierte Attest, das PDF — geht als eigene, auf dem Gerät verschlüsselte Datei zum Speicheranbieter, neben dem verschlüsselten Eintrag der Notiz. Die Lehrkraft kann das je Gerät abschalten oder auf WLAN beschränken. Der Anbieter sieht dabei, dass es Anhänge gibt, wie viele, wie groß sie sind und wann sie dazukamen. Benannt ist jede Datei nach einer Prüfsumme ihres Inhalts, nicht nach Datei- oder Schülernamen; wer Zugang zum Speicher hat und dieselbe Datei besitzt, könnte daran erkennen, dass sie auch hier liegt. Gelöschte Anhänge entfernt koulu beim Anbieter frühestens 30 Tage, nachdem keine Notiz mehr auf sie verweist, damit ein Gerät, das offline war, nichts verliert. Die Einzelheiten stehen in Abschnitt 4 der Datenschutzerklärung.

Was koulu beim Anbieter anfordert: Bei Microsoft genau zwei Berechtigungen — den Zugriff auf den eigenen App-Ordner (Files.ReadWrite.AppFolder) und das Verlängern der Anmeldung (offline_access); keine Identitätsdaten, kein Zugriff auf andere Dateien des Kontos. Bei Nextcloud und WebDAV meldet sich koulu mit Benutzername und Passwort an — bei Nextcloud einem App-Passwort — und schreibt in einen eigenen Ordner koulu. Bei Apple nutzt koulu den Apple-Account, an dem das Gerät ohnehin angemeldet ist, und legt die Daten in einem eigenen Bereich der privaten iCloud ab (CloudKit); Zugangsdaten speichert es dabei keine.

Was der Speicheranbieter trotzdem sieht

Verschlüsselung verbirgt Inhalte, nicht deren Existenz. Diese Liste gehört zur Beschreibung dazu, weil sie sonst der Teil wäre, den die Schule selbst herausfinden müsste. Aus dem Speicher und seinen Zugriffsprotokollen ist erkennbar:

dass koulu benutzt wird, und seit ungefähr wann — an den Ordnernamen und den Zeitstempeln;
welches Programm schreibt — der App-Ordner bei OneDrive, der CloudKit-Container bei Apple, die Kennung des Programms bei WebDAV — und, wie bei jeder Verbindung, die IP-Adresse des Geräts: das Schulnetz oder ein privater Anschluss, und damit ein grober Ort;
wie viele Geräte synchronisieren, unterschieden durch eine zufällige Kennung je Gerät, die außerhalb von koulu nichts bedeutet;
wann gearbeitet wird — und zwar genau: Ein Abgleich läuft beim Start, bei jeder Rückkehr in den Vordergrund und zwei Sekunden nach der letzten Änderung. Der Anbieter sieht damit nicht nur Arbeitszeiten, sondern einzelne Bearbeitungssitzungen;
wie groß der Datenbestand ungefähr ist und wie er wächst;
wann ein Wiederherstellungscode erneuert oder der Schlüssel neu gesetzt wurde — und welches von beidem: Beides ist ein sichtbares Überschreiben der Schlüsseldatei, und weil darin ein Fingerabdruck des Schlüssels unverschlüsselt steht, sind die beiden Fälle für jemanden, der zwei Fassungen vergleicht, zu unterscheiden. Über den Schlüssel selbst sagt der Fingerabdruck nichts.

Nicht erkennbar ist irgendetwas über Schülerinnen und Schüler, Klassen, Fächer oder Termine: Kein Name, keine Kennung und kein Pfad in den Dateinamen von koulu trägt davon etwas, und die Schlüsseldatei hat einen festen Namen und eine Größe, die vom Format abhängt und nicht vom Inhalt.

Was nicht behandelt ist, und offen gesagt wird: Zeitpunkte und Größen sind nicht verschleiert. Auffüllen auf feste Größen und ein zeitlich gestreutes Hochladen würden beides abschwächen; beides ist für einen Planer dieser Größe bisher nicht gebaut. Programmkennung, IP-Adresse und Browser- beziehungsweise Systemkennung sind das, was jede Verbindung gegenüber jedem Server zeigt; koulu fügt nichts Eigenes hinzu und entfernt auch nichts davon.

Technische und organisatorische Maßnahmen

Verschlüsselung der synchronisierten Inhalte: AES-256-GCM, ein eigener Zufallswert je Objekt, der Objektname als zusätzlich authentifizierte Angabe — ein verschobenes oder verändertes Objekt lässt sich nicht öffnen.
Schlüssel: ein Wiederherstellungscode mit 160 Bit aus dem Zufallsgenerator des Betriebssystems; daraus HKDF-SHA-256 für den Schlüssel, mit dem die Schlüsseldatei verpackt ist. Aus der Schlüsseldatei lässt sich der Code nicht zurückrechnen. Wer an die Schlüsseldatei kommt, kann Codes offline durchprobieren — die Grenze dafür sind die 160 Bit, nicht der daraus abgeleitete AES-Schlüssel.
Schlüsselablage: auf iPhone und iPad in der Keychain, auf Android im Keystore. Die Einträge sind an das Gerät gebunden, lassen sich nicht auf ein anderes übertragen und werden nicht in die iCloud-Keychain übernommen; auf iPhone und iPad sind sie zudem nur lesbar, solange das Gerät entsperrt ist. Im Browser liegen Passwort, Token und Schlüssel in der IndexedDB, mit AES-GCM verschlüsselt unter einem nicht exportierbaren WebCrypto-Schlüssel, der im selben Browserprofil liegt. Das hält sie aus dem Klartext, schützt aber weder vor einem Skript auf der Seite noch vor einer Kopie des Profils — vor Letzterer schützen das Benutzerkonto und die Festplattenverschlüsselung des Rechners. Die Web-Fassung von koulu wird Lehrkräften bislang nicht angeboten.
Exportierte Sicherungen: immer verschlüsselt (AES-256-GCM), auf Wunsch zusätzlich mit einem selbst gewählten Passwort, das über scrypt gestreckt wird. Erst das schützt die Datei gegen jemanden, der sie in die Hände bekommt — eine Sicherung, die aus der Hand gegeben wird, sollte eines tragen.
Datenvermeidung: kein Konto, kein Server des Anbieters, keine Analyse- oder Werbe-SDKs, kein Crash-Reporting, keine Werbe-Identifier, kein Tracking über Apps oder Websites hinweg. Systemberechtigungen fragt koulu nur für die Funktion ab, die sie braucht: Kamera und Mitteilungen, für die App-Sperre Face ID, auf Android 9 und älter beim Fotografieren zusätzlich den Speicherzugriff, den die Kamera dort braucht — keinen Standort, kein Mikrofon, keine Kontakte, keinen Kalender.
App-Sperre: optional, pro Gerät und standardmäßig aus. Eingeschaltet fragt koulu bei jedem Start und nach mehr als einer Minute im Hintergrund nach Face ID, Touch ID, Fingerabdruck oder Gesichtserkennung; der Gerätecode gilt immer als Ersatz. Die Prüfung macht das Betriebssystem, koulu erfährt nur ihr Ergebnis. Im App-Umschalter ist bei eingeschalteter Sperre nichts Lesbares zu sehen. Ohne Gerätecode lässt sie sich nicht einschalten; im Browser gibt es sie nicht.
Zugriffsbeschränkung beim Speicheranbieter: nur der eigene App-Ordner beziehungsweise der eigene Bereich, siehe oben.

Das Backup des Geräts

koulu nimmt seine Daten vom Backup aus, das das Gerät selbst anlegt — dem iCloud-Backup und dem Backup am Computer auf iPhone und iPad, dem Google-Backup auf Android. Das ist eine bewusste Entscheidung und der Grund dafür ist derselbe, den eine Schule prüft: Ohne diese Ausnahme läge der gesamte Datenbestand auf Servern von Apple oder Google, unter Schlüsseln dieser Unternehmen — bei Apple, sofern die Lehrkraft den erweiterten Datenschutz für iCloud nicht eingeschaltet hat — auf dem Weg, der mit der Synchronisierung nichts zu tun hat und deshalb leicht übersehen wird.

Der Preis ist ausdrücklich genannt und nicht wegerklärt: Ein neues oder zurückgesetztes Gerät startet in der Regel leer. Der Weg zu den Daten führt dann über die Synchronisierung oder über eine exportierte Sicherung. Wer beides nicht eingerichtet hat und das Gerät verliert, verliert die Daten. Ein Backup, das eine frühere Version von koulu noch mitgesichert hat, bleibt bei Apple oder Google liegen, bis es dort gelöscht wird. Eine direkte Übertragung von Gerät zu Gerät beim Einrichten eines neuen Geräts steuert das Betriebssystem, nicht koulu; auch dabei geht nichts an Apple oder Google.

Geräteverlust und Wiederherstellungscode

Ein Gerät verloren, andere Geräte vorhanden: Es gehen keine Daten verloren — die übrigen Geräte haben alles, und die Schlüsseldatei liegt weiterhin beim Speicher.
Den Zugang des verlorenen Geräts entziehen geschieht beim Speicheranbieter, nicht in koulu. Genau je Gerät geht das dort, wo das Gerät eigene Zugangsdaten hat: In der Nextcloud wird das App-Passwort zurückgezogen. Bei OneDrive gilt die Freigabe dem Konto und nicht dem einzelnen Gerät; sie zu entfernen trifft alle. Bei iCloud gibt es gar keine Zugangsdaten, die koulu hielte — das Gerät ist angemeldet, solange es am Apple-Account angemeldet ist. koulu bietet dafür bewusst keine Schaltfläche an, weil es das Versprechen nicht halten könnte: Das Gerät hat seine lokale Kopie ohnehin, und den Schlüssel kennt es weiterhin. Vollständig wirksam gegen die Zukunft wird der Entzug erst zusammen mit einem neuen Schlüssel.
Wiederherstellungscode verloren, ein Gerät noch da: kein Datenverlust. Auf diesem Gerät lässt sich ein neuer Code erzeugen.
Alle Geräte verloren, Code vorhanden: Zugang zum Speicher und der Code genügen, um auf einem neuen Gerät weiterzuarbeiten.
Alle Geräte und der Code verloren: Die synchronisierten Daten sind nicht mehr zu öffnen — auch nicht durch den Anbieter von koulu, der den Code nie hatte. Das ist dieselbe Eigenschaft, die den Speicheranbieter aussperrt, und sie gilt in beide Richtungen. Die App sagt das auf dem Bildschirm, auf dem der Code angezeigt wird.

Löschen: Wird die Verbindung getrennt, entfernt koulu Zugangsdaten und Schlüssel von diesem Gerät und löscht nichts beim Anbieter — die verschlüsselten Dateien bleiben dort liegen, bis sie selbst entfernt werden. Wie das je Anbieter geht, steht in Abschnitt 4 der Datenschutzerklärung, zusammen mit dem Hinweis, dass Papierkorb und Versionsverlauf des Anbieters dazugehören. Auf Wunsch löscht koulu dort auch selbst alles („Alle Daten beim Anbieter löschen“) bis auf eine winzige Datei ohne Inhalte, an der die anderen Geräte der Lehrkraft die Löschung erkennen.

Unabhängige Prüfung

Das Schlüssel- und Synchronisierungsverfahren ist am 6. September 2026 von einer Person geprüft worden, die nicht am Projekt beteiligt ist — an einem festgehaltenen Stand des Quelltexts (Version 1.3.0), lesend, gegen den Code und nicht gegen dessen Beschreibung.

Das Ergebnis in Kürze: Die kryptografischen Bausteine sind die richtigen und werden richtig verwendet; der Speicheranbieter sieht Geheimtext und Metadaten und sonst nichts. Fünfzehn Befunde wurden festgehalten und als Aufgaben geführt. An vier davon wurde die Freigabe für echte Klassendaten geknüpft: zwei Fehler in der Schlüsselverwaltung, ein Befund über unzutreffende Sätze in der Datenschutzerklärung und das Geräte-Backup aus dem vorigen Abschnitt. Alle vier sind behoben und seit Version 1.4.0 ausgeliefert. Zwei Befunde wurden nicht umgesetzt: einer mit einer Begründung, die im Quelltext an der betroffenen Stelle steht, einer ohne festgehaltene Begründung — auch das steht so in der Dokumentation, statt stillschweigend zu verschwinden.

Was die Prüfung nicht war, in ihren eigenen Worten: ein Durchgang, an einem Stand, durch eine Person, ohne Gerät und ohne Zugang zu einem echten Speicherkonto — und kein Rechtsgutachten. Was sie nicht nachsehen konnte, ist mitsamt Grund aufgeschrieben.

Die Prüfung ist mit allen Befunden, ihrer Einstufung und ihrer Erledigung in der Projektdokumentation festgehalten — im Quelltext-Repository, das nicht öffentlich ist. Fragen dazu — auch von Datenschutzbeauftragten, die Einzelheiten brauchen — beantworten wir unter datenschutz@koulu.schule.

Was diese Seite nicht leistet

Sie trifft keine Aussage darüber, ob eine Lehrkraft koulu mit Daten ihrer Schülerinnen und Schüler benutzen darf. Die Regeln für dienstliche und private Endgeräte und für Cloud-Speicher unterscheiden sich je nach Bundesland und Schulform, und sie zu setzen ist Sache der Schule und der Schulaufsicht — nicht des Herstellers einer App. koulu sagt das, wo die Frage aufkommt: in der Datenschutzerklärung und in der App dort, wo die private iCloud als Speicherort zur Wahl steht.

Sie ist außerdem keine Rechtsberatung und ersetzt die eigene Prüfung nicht. Was sie sein soll, ist eine vollständige und überprüfbare Beschreibung dessen, was koulu tut — damit diese Prüfung auf Tatsachen aufsetzen kann statt auf Zusicherungen.