Datenschutzerklärung

1. Verantwortlicher und Rollen

Verantwortlicher im Sinn des Art. 4 Z 7 DSGVO für Konto-, Betriebs- und Sicherheitsdaten: Bernhard Fuchs, Schillerplatz 3, 8010 Graz, Österreich, admin@markassist.at. Ein Datenschutzbeauftragter ist nicht bestellt (keine Pflicht nach Art. 37 DSGVO).
Rollenverteilung: Für die hochgeladenen Abgaben und Prüfungen der Studierenden sind die Lehrenden bzw. ihre Hochschule Verantwortliche; wir verarbeiten diese Inhalte als Auftragsverarbeiter (Art. 28 DSGVO) nur nach Weisung, siehe Auftragsverarbeitung.

2. Zwecke und Rechtsgrundlagen

Zweck	Daten	Rechtsgrundlage
Konto, Anmeldung (E-Mail-Code, optional Passwort)	E-Mail-Adresse, Passwort-Hash, Zeitpunkt der Anmeldung und der Zustimmung zu AGB/Datenschutzerklärung	Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag)
Verarbeitung hochgeladener Arbeiten und Prüfungen im Auftrag der Lehrenden (Texterkennung, Bewertungsvorschläge, Berichte)	Inhalte der Abgaben einschließlich enthaltener personenbezogener Daten der Studierenden	Wir handeln als Auftragsverarbeiter; die Rechtsgrundlage schafft der Verantwortliche (Hochschule/Lehrperson, z. B. Art. 6 Abs. 1 lit. e DSGVO i. V. m. Hochschulrecht).
Versand von System-E-Mails (Code, Passwort-Reset)	E-Mail-Adresse, Inhalt der Mail	Art. 6 Abs. 1 lit. b DSGVO
Sicherheit, Missbrauchsschutz, Betrieb (Rate-Limits, technische Protokolle, Kostenerfassung)	IP-Adresse, Zeitpunkte, Zähler, Kosten je Workspace	Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Sicherheit)

3. Empfänger und Unterauftragsverarbeiter

Empfänger	Zweck	Standort / Vertrag
Academic AI (KI-Plattform der Hochschule, Modell gpt-5)	Texterkennung, Bewertungsvorschläge	EU-Plattform; [BITTE ERGÄNZEN: Anbieter, Standort und Vertrag genau benennen]
Hetzner (Mailserver)	Versand und Ablage der System-E-Mails, Postfach-Archiv	Deutschland
Hosting der Anwendung	Betrieb von MarkAssist	[BITTE ERGÄNZEN: Hosting-Anbieter, Standort, Vertrag]

Keine Weitergabe von Studierendendaten an US-Anbieter. Namen und Inhalte von Abgaben werden nicht an Anbieter außerhalb der EU übermittelt; Steuerungsmodelle außerhalb der EU erhalten nur technische Kennungen, Status und Zahlen. Lokale Werkzeuge (z. B. Pseudonymisierung, Seiten sortieren) laufen im Browser bzw. auf unserem Server. Änderungen der Empfänger teilen wir vorab mit (siehe AVV).

4. Speicher- und Löschfristen

Datenart	Frist
Workspaces (Abgaben, Texte, Bewertungen, Berichte)	automatisch und vollständig gelöscht 24 Stunden nach dem letzten Zugriff; die Lehrperson kann früher löschen
Konto	bis zur Löschung durch Sie oder den Betreiber
Mailarchiv (System-E-Mails mit Adresse und Code)	[BITTE ERGÄNZEN: Dauer festlegen, Vorschlag 12 Monate]
Technische Protokolle (KI-Anfragen, Aktionsprotokoll; Ringpuffer mit Größenbegrenzung)	ältere Einträge werden überschrieben; können Textauszüge enthalten, nur dem Betrieb zugänglich. [BITTE ERGÄNZEN: Dauer festlegen, Vorschlag 30 Tage]

5. Sicherheit (technische und organisatorische Maßnahmen)

Verschlüsselte Übertragung (HTTPS), Zugriffsschutz je Benutzer und Workspace, automatische Löschung, Protokollierung von Zugriffen, Trennung der Workspaces, Pseudonymisierung als Werkzeug, Ratenbegrenzung gegen Missbrauch. Die vollständige Liste steht in der Auftragsverarbeitung.

6. Cookies

Wir setzen ausschließlich ein technisch notwendiges Session-Cookie (Anmeldung; HttpOnly, Secure, SameSite=Lax) und lokale Einstellungen im Browser (Sprache, Hell/Dunkel). Kein Tracking, keine Werbe- oder Analyse-Cookies. Dafür ist nach § 165 Abs. 3 TKG keine Einwilligung nötig.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Anfragen an admin@markassist.at. Studierende wenden sich für Rechte an ihren Arbeiten an die verantwortliche Hochschule bzw. Lehrperson; wir unterstützen diese dabei.
Beschwerde: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

8. KI-Einsatz, Entscheidungen und KI-Verordnung

Es gibt keine ausschließlich automatisierte Entscheidung (Art. 22 DSGVO): KI-Ergebnisse sind Vorschläge, die Lehrende prüfen, ändern und bestätigen; die Endentscheidung über Note und Bewertung trifft immer ein Mensch. Die Bewertung von Lernergebnissen gehört nach der KI-Verordnung (EU) 2024/1689, Anhang III Nr. 3, grundsätzlich zu den Anwendungsfällen mit hohem Risiko. MarkAssist ist als Assistenz mit menschlicher Endentscheidung konzipiert; ob und wie weit die Ausnahme des Art. 6 Abs. 3 (vorbereitende Aufgabe) greift, ist rechtlich nicht abschließend geklärt. Die Pflichten für Hochrisiko-Systeme gelten nach dem Digital-Omnibus-Beschluss voraussichtlich ab 2. Dezember 2027. Wir verwenden keine KI zur Emotionserkennung, Überwachung (Proctoring) oder Zulassungsentscheidung und trainieren keine Modelle mit Ihren Daten. Hochschulen als Betreiber prüfen ihre eigenen Pflichten (Aufsicht, Information der Studierenden).

Stand: 07.11.2026