LehrPuls · Datenschutz-Dossier

LehrPuls — Datenschutz-Dossier

Stand: 8. November 2026 · LehrPuls 1.21.1 · für Hochschuldidaktik-Zentren, IT-Abteilungen und Datenschutzbeauftragte · Rückfragen: Dr. Florian Hollomey, office@lehrpuls.com

LehrPuls ist ein Abstimmungs- und Feedbackwerkzeug für die Lehre. Es läuft als Programm auf dem Rechner der Lehrperson (macOS oder Windows); die Teilnehmenden antworten im Browser ihres Smartphones, Tablets oder Laptops und installieren nichts. Dieses Dossier beschreibt die Architektur, die Datenflüsse, die gespeicherten personenbezogenen Daten und die Schutzfunktionen so, dass eine Hochschule die datenschutzrechtliche Bewertung und die IT-Freigabe ohne Rückfragen beim Hersteller vornehmen kann. Es nennt zu jeder Aussage die Quelle (Abschnitt 11).

1. Das Wichtigste in Kürze

Frage	Antwort
Wo liegen die Daten?	Ausschließlich auf dem Rechner der Lehrperson (Anwendungsdatenverzeichnis des Benutzers) — oder, wenn die IT es so einrichtet, in einem Datenordner im OneDrive der Hochschule. Es gibt keine LehrPuls-Cloud und kein Konto beim Hersteller.
Erhält der Hersteller Inhalte?	Nein. Fragen, Kurse, Namen, Antworten und Auswertungen verlassen den Rechner nicht in Richtung Hersteller.
Brauchen Teilnehmende ein Konto?	Nein. Beitritt per QR-Code oder sechsstelligem Code im Browser.
Was passiert im Online-Betrieb?	Die Nachrichten laufen über das Relay `relay.lehrpuls.com` (Hetzner, EU). Sie sind Ende-zu-Ende verschlüsselt (AES-256-GCM); der Schlüssel steckt im URL-Fragment, das der Browser nie an einen Server schickt. Das Relay sieht Verbindungsdaten und Chiffrat, keine Inhalte.
Welche Netzfreigaben braucht die IT?	Nur ausgehend HTTPS/WebSocket (TCP 443) zu `relay.lehrpuls.com` und optional zu `lehrpuls.com` (Update-Hinweis). Keine eingehenden Freigaben.
Wer ist Verantwortlicher?	Für die Daten in der Anwendung die Lehrperson beziehungsweise ihre Einrichtung. Der Hersteller ist für den Relay-Dienst und die Website verantwortlich (Verbindungsdaten).
Gibt es Löschfunktionen?	Ja: Löschfrist je Kurs mit Erinnerung, Anonymisierung der Sessions unter Erhalt der Statistik, Papierkorb mit Frist, Löschung von Teilnehmer-Dateien, anonymisierte Exporte und Schnittstelle.

2. Architektur

LehrPuls besteht aus drei Teilen, die alle vom selben Programm auf dem Rechner der Lehrperson stammen:

Cockpit — das Programm der Lehrperson (Tauri-Anwendung mit lokaler SQLite-Datenbank). Es verwaltet Themen und Fragen, Kurse mit Teilnehmerlisten, Playlists, Sessions, Antworten und Auswertungen.
Beamer-Fenster — ein zweites Fenster für den Projektor mit Beitrittscode, QR-Code, Frage und Ergebnis.
Teilnehmer-App — eine Webseite, die der Browser der Teilnehmenden lädt. Im lokalen Betrieb liefert sie der eingebaute Webserver des Cockpits aus, im Online-Betrieb das Relay.

Dazu kommen zwei optionale Dienste des Herstellers, die keine Inhalte verarbeiten:

Das Relay (relay.lehrpuls.com) — ein zustandsloser Vermittlungsserver für den Online- und Hybridbetrieb. Es vermittelt WebSocket-Nachrichten zwischen Cockpit und Teilnehmer-Apps eines Raums und hält verschlüsselte Dateien für die Dauer der Session bereit.
Die Website (lehrpuls.com) — Download, Handbuch und die Datei latest.json für den Update-Hinweis.

2.1 Drei Betriebsarten

Betriebsart	Weg der Daten	Verschlüsselung	Typischer Einsatz
Gemeinsames WLAN	Die Geräte verbinden sich direkt mit dem Rechner der Lehrperson (TCP 8712, ersatzweise 8713–8715). Kein fremder Dienst wird kontaktiert.	Verbindung im lokalen Netz ohne Transportverschlüsselung (HTTP); jeder im selben Netz mit dem Code kann beitreten.	Eigener Laptop im Hörsaal-WLAN oder am Hotspot; funktioniert ohne Internet.
Online (Vermittlungsserver)	Cockpit und Geräte verbinden sich ausgehend mit dem Relay über TLS; die Nachrichten laufen zusätzlich Ende-zu-Ende verschlüsselt durch das Relay.	TLS zum Relay plus AES-256-GCM Ende-zu-Ende; das Relay kennt den Schlüssel nicht.	Hörsaalrechner und WLAN in getrennten Netzen; Online- und Hybridlehre. Seit Version 1.19 vorgewählt.
Online mit Saal	Wie Online; zusätzlich lauscht der Cockpit-Server im lokalen Netz, Geräte im Saal treten direkt bei, alle anderen über das Relay.	Der Saal-Weg ist der lokale Betrieb und nicht Ende-zu-Ende verschlüsselt.	Hybride Lehre am eigenen Laptop.

Alle Wege führen in dieselbe Session; Antworten, Gruppen und Auswertung unterscheiden die Wege nicht.

2.2 Technische Eckdaten der Ende-zu-Ende-Verschlüsselung

Das Cockpit erzeugt beim Start einer Online-Session einen zufälligen symmetrischen Schlüssel (32 Byte). Er steckt ausschließlich im Fragment der Beitrittsadresse (…/j/483920#k=…). URL-Fragmente verlassen den Browser nicht in Richtung Server; das Relay bekommt den Schlüssel nie.
Jede Nachricht wird mit AES-256-GCM und einem zufälligen 12-Byte-IV verschlüsselt (Cockpit: RustCrypto aes-gcm; Teilnehmer-App: Web Crypto crypto.subtle). Das Relay behandelt die Nutzlast als opake Zeichenkette und entschlüsselt, inspiziert und protokolliert sie nicht.
Auch die Beitrittsauskunft (Beitrittsart, Kursliste bei „Mit Namen“, Gäste erlaubt) läuft im Chiffrat vom Cockpit zum Gerät. Bei „Name + Matrikelnummer“ verlässt die Kursliste den Rechner gar nicht; das Gerät schickt die Eingabe verschlüsselt zur Prüfung an das Cockpit.
Bilder und Dateien reisen auf einer zweiten Spur: Das Cockpit legt sie verschlüsselt (gleicher Schlüssel, gleiches Verfahren) beim Relay ab, die Nachricht trägt nur eine für das Relay nichtssagende Kennung. Dateien, die Teilnehmende an Antworten oder Rückfragen anhängen, gehen denselben Weg in Gegenrichtung; das Cockpit holt sie ab, entschlüsselt sie und löscht sie beim Relay.

3. Datenflüsse

3.1 Übersicht aller Netzverbindungen

Nr.	Von	Nach	Was	Wann	Abschaltbar
1	Teilnehmer-Gerät	Rechner der Lehrperson, TCP 8712–8715	Teilnehmer-App, Beitritt, Fragen, Antworten, Bilder (Klartext im lokalen Netz)	Betriebsart Gemeinsames WLAN oder Saal-Weg	ja (Online wählen)
2	Rechner der Lehrperson	`relay.lehrpuls.com`, TCP 443	WebSocket mit verschlüsselten Nachrichten; verschlüsselte Dateien (PUT/GET/DELETE)	Betriebsart Online	ja (lokalen Betrieb wählen)
3	Teilnehmer-Gerät	`relay.lehrpuls.com`, TCP 443	Laden der Teilnehmer-App; WebSocket mit verschlüsselten Nachrichten; Abholen verschlüsselter Dateien	Betriebsart Online	—
4	Rechner der Lehrperson	`lehrpuls.com`, TCP 443	Abruf von `latest.json`; User-Agent `LehrPuls/<Version>`, sonst keine Kennung	Programmstart, danach in größeren Abständen	ja (Einstellungen → Updates)
5	Programme auf demselben Rechner	`127.0.0.1`, TCP 8716 (ersatzweise 8717–8719)	Lese-Schnittstelle für Auswertungen (nur lesend, Zugangsschlüssel, Vorgabe anonymisiert)	nur wenn die Lehrperson sie einschaltet	ja; zentral sperrbar mit `LEHRPULS_API_SPERRE=1`
6	Smartphone der Lehrperson	Rechner der Lehrperson (lokales Netz) oder `relay.lehrpuls.com`, TCP 443	Fernbedienung: Einmal-Code, Tasten und Stand der Session; über das Relay Ende-zu-Ende verschlüsselt wie die Fragen, ohne Beitritt als Teilnehmer	nur wenn die Lehrperson sie öffnet; lokal im gemeinsamen Netz, online über das Relay (seit Version 1.22)	ja

Es gibt keine Verbindung für Lizenzaktivierung (läuft offline), keine Telemetrie und keine Fehlerberichte an den Hersteller. Die Lizenz ist eine signierte Datei, die auf dem Rechner liegt; es gibt keinen Aktivierungsserver und keine Bindung an einen Rechner.

3.2 Datenordner und Arbeitskopie

Der Bestand (Datenbank lehrpuls.db, Bilder und Teilnehmer-Dateien im Ordner media, Lizenz) liegt im Anwendungsdatenverzeichnis des Benutzers: ~/Library/Application Support/com.hollomey.lehrpuls/ (macOS) beziehungsweise %APPDATA%\com.hollomey.lehrpuls\ (Windows). Für wechselnde Hörsaalrechner kann die IT mit der Benutzervariable LEHRPULS_DATA_DIR einen Datenordner vorgeben, etwa %OneDrive%\LehrPuls. Dann arbeitet LehrPuls mit einer lokalen Arbeitskopie und sichert alle fünf Minuten (nur bei Änderungen) und beim Beenden in den Datenordner; die Datenbank läuft nie direkt im OneDrive-Ordner. Die Daten liegen damit im Tenant der Hochschule, nicht beim Hersteller. Der Datenordner darf nicht mit anderen Personen geteilt werden: Er enthält personenbezogene Daten und die persönliche Lizenz.

3.3 Exporte, die den Rechner verlassen

Bestand sichern schreibt Datenbank, Bilder und Lizenz in einen Ordner nach Wahl der Lehrperson (USB-Stick, Cloud-Ordner). Das ist eine vollständige Kopie mit allen personenbezogenen Daten.
Kurs-Export (.lpx) enthält die Teilnehmerdaten des Kurses; LehrPuls warnt vor dem Export, dass die Datei personenbezogene Daten enthält und nur mit Rechtsgrundlage weitergegeben werden darf.
Staffelstab-Pakete (.lpx) zum Weitergeben von Themen und Playlists an Kolleginnen und Kollegen enthalten Themen, Fragen, Bilder und Playlists, aber keine Kurse und keine Teilnehmerlisten; dazu den Namen aus der Lizenz der Absenderin und eine zufällige Kennung ihrer Installation. Persönliche Notizen reisen nur mit, wenn die Lehrperson sie ausdrücklich mitgibt.
Rohdaten-Export und Lese-Schnittstelle geben in der Vorgabe anonymisierte Daten heraus (Abschnitt 6.5).

4. Personenbezogene Daten in der Anwendung

Die folgende Tabelle nennt, welche Daten LehrPuls lokal speichern kann. Welche davon tatsächlich anfallen, hängt von der gewählten Beitrittsart ab (Abschnitt 6.1). Grundlage ist das Datenbankschema der Version 1.21.1.

Kategorie	Daten	Betroffene	Anmerkung
Kursliste	Anzeigename, optional E-Mail-Adresse, Anmerkung, Import-Referenz (etwa Matrikelnummer), interne Kurzkennung, Quelle des Imports, Zeitstempel	Studierende	Von der Lehrperson angelegt oder aus Excel/CSV importiert. Nur für die Beitrittsarten „Mit Namen“ und „Name + Matrikelnummer“ nötig.
Kurs	Name, Semester, Beschreibung, Löschfrist	—	Die Löschfrist steuert die Anonymisierung (Abschnitt 6.2).
Session	Beitrittsart (anonym, Pseudonym, mit Namen), Beitrittscode, Beginn, Ende, Kurs, Playlist-Name, Fragensprache	—	—
Teilnahme an einer Session	Anzeigebeschriftung (Name, Pseudonym oder Platzhalter), zufällige Gerätekennung, Beitrittszeit, Verweis auf den Kurslisteneintrag (nur bei „Mit Namen“ und „Name + Matrikelnummer“), Kurzkennung für den Gerätewechsel	Studierende	Bei anonymen Sessions gibt es keine Identität über das Gerät hinaus.
Antworten	Antwortinhalt als JSON (gewählte Optionen, Freitext, Zahlen, Skizzen als Vektordaten, Verweise auf hochgeladene Dateien), Abgabezeit, benötigte Zeit, Sicherheitsangabe, Wertung und Begründung der Lehrperson, Gruppenzuordnung, Ausschluss-Markierung	Studierende	Freitexte können Namen enthalten, die die Lehrperson selbst prüfen muss (Abschnitt 6.2).
Rückfragen (Rückfragen-Wand)	Text, Absenderbeschriftung, Reichweite, Etikett, Stimmen, Anhang	Studierende	Absender wird bei der Löschfrist entfernt.
Dateien von Teilnehmenden	Fotos und Dateien an Antworten und Rückfragen, inhaltsadressiert im Ordner `media`	Studierende	Löschung je Session oder nach Alter (Abschnitt 6.4).
Gruppen	Zusammenstellungen je Kurs und Session	Studierende	Verschwinden mit der Löschfrist des Kurses.
Papierkorb	Gelöschte Kurse, Sessions, Fragen, Playlists als JSON, mit Löschdatum	Studierende	Frist 30 Tage (einstellbar 1–3650).
Lizenz	Name, E-Mail-Adresse, Lizenzart, Kaufdatum der Lehrperson	Lehrperson	Signierte Datei; wird nirgendwohin gesendet.
Staffelstab	Name der Partnerin oder des Partners aus deren Lizenz, Verlauf der Übergaben	Lehrende	Nur bei Nutzung des Staffelstabs.
Einstellungen	Prüfwert (Hash) des Zugangsschlüssels der Lese-Schnittstelle, Mindestgröße, Löschfristen	—	Der Schlüssel selbst wird nicht gespeichert.

Im Browser der Teilnehmenden liegen: eine zufällige Gerätekennung je Browser und Session (Wiederverbinden nach Unterbrechung), bei erlaubter Nachlese die aufgelösten Fragen mit eigener Antwort für einen Tag, bei erlaubtem Nachlauf der Rückblick für ein bis vierzehn Tage. Diese Daten verlassen das Gerät nicht und verschwinden mit den Website-Daten des Browsers; am Relay und am Rechner der Lehrperson bleibt dafür nichts liegen.

5. Was das Relay sieht — und was nicht

Das Relay ist zustandslos: nur In-Memory-Routing, keine Datenbank, kein Protokoll der Nutzlast. Betreiber ist der Hersteller; der Server steht bei der Hetzner Online GmbH in einem Rechenzentrum in der EU (Nürnberg, Deutschland). Vor dem Relay läuft der Reverse-Proxy Caddy mit Let's-Encrypt-Zertifikat.

Das Relay sieht	Das Relay sieht nicht
Den sechsstelligen Beitrittscode (Raum) und die Rolle der Verbindung (Host oder Gerät)	Fragen, Antworten, Namen, Pseudonyme, Kurslisten, Rückfragen
Verbindungskennungen (`cid`) und Zieladressen von Nachrichten innerhalb des Raums	Den Schlüssel der Session (steht nur im URL-Fragment)
Die IP-Adresse jeder Verbindung (für Grenzen je Adresse im Arbeitsspeicher und im Zugriffsprotokoll des Reverse-Proxys)	Den Inhalt von Bildern und Dateien (nur Chiffrat)
Größe und Anzahl der Nachrichten und Dateien	Die Zuordnung von Antworten zu Personen
Das Geheimnis `host_token`, mit dem ein Cockpit seinen Raum nach einer Unterbrechung zurückbekommt	Wer die Lehrperson ist (keine Lizenzdaten, keine Kennung der Installation)

5.1 Was das Relay speichert und wie lange

Datum	Inhalt	Dauer
Routing-Tabelle	Raum, Host-Verbindung, Geräteverbindungen	nur im Arbeitsspeicher, für die Dauer der Verbindungen
Reservierungen (`reservierungen.json`)	Beitrittscode, `host_token`, Ablaufzeitpunkt — nur für unterbrochene Sessions, damit niemand den Code übernehmen kann	bis zum Ablauf (Vorgabe im Cockpit 180 Tage, höchstens 366); ein reguläres Ende gibt den Code sofort frei. Datei nur für den Dienst lesbar (0600).
Dateien der zweiten Spur	Chiffrat von Bildern und Dateien, Kennung ohne Aussage	bis zum regulären Ende der Session (sofort gelöscht), sonst 12 Stunden ohne Zugriff; nach Netzabriss 15 Minuten, wenn sich kein Host zurückmeldet. Zwischenspeicher wird bei jedem Start geleert.
Auslastungsprotokoll (`auslastung.jsonl`)	Nur Zahlen: je Stunde und je beendeter Session etwa Verbindungen, Geräte, Beitritte, Fragen, Nachrichten, Bytes — keine Codes, IP-Adressen, Kennungen oder Inhalte	dauerhaft (Planungsgrundlage, etwa 3 MB je Jahr)
Erreichbarkeitsprüfung (`/selftest/{nonce}`)	Zeitpunkt, zu dem eine zufällige Kennung abgerufen wurde	10 Minuten
Zugriffsprotokoll des Reverse-Proxys (Caddy)	IP-Adresse, Zeitpunkt, aufgerufene Adresse, Antwortcode, Datenmenge, verweisende Seite, Browserkennung	höchstens 90 Tage: Caddy rollt die Protokolldatei bei 100 MB und löscht gerollte Dateien nach 90 Tagen (Voreinstellung `roll_keep_for`)

Das Relay erzwingt Grenzen je Absenderadresse (3000 gleichzeitige Verbindungen, 2000 Beitrittsversuche mit Nachschub 50 je Sekunde), damit ein Hörsaal hinter einer gemeinsamen Adresse durchkommt und das Abtasten von Codes aussichtslos wird. Ein Cockpit kann seinen Raum nach einer Unterbrechung nur mit demselben host_token fortsetzen; ein fremdes Cockpit erhält room_taken. So kann niemand während einer Unterbrechung den Geräten Fragen unterschieben.

6. Datenschutz-Funktionen in der Anwendung

6.1 Beitrittsarten — Datensparsamkeit als Wahl der Lehrperson

Beitrittsart	Was anfällt	Kurs nötig
Anonym	Kein Name, keine Zuordnung; nur Verteilungen. Jedes Gerät erhält eine zufällige Kennung für die Dauer der Session.	nein
Pseudonym	Selbst gewählter Name; Antworten derselben Person über die Session hinweg zuordenbar, ohne dass die Lehrperson weiß, wer es ist.	nein
Mit Namen	Auswahl des Namens aus der Kursliste; Antworten einer Person zuordenbar. Mit dem Schalter Gäste zulassen (Vorgabe an) dürfen auch Personen beitreten, die nicht auf der Liste stehen; sie tragen die Marke „Gast“.	ja
Name + Matrikelnummer	Familienname (Anfang genügt) und Matrikelnummer werden gegen die Kursliste geprüft; nur Treffer kommen herein. Die Liste erreicht die Geräte nicht. Nach fünf Fehlversuchen ist das Gerät eine Minute gesperrt. Keine Gäste.	ja, mit Matrikelnummern

Ein Kurs lässt sich auch bei anonymen und pseudonymen Sessions hinterlegen, damit die Session im Kursfilter der Auswertungen erscheint — ohne dass Namen erfasst werden. Die Teilnahme braucht in keiner Beitrittsart ein Konto, eine E-Mail-Adresse oder eine App-Installation.

6.2 Löschfrist je Kurs

Im Kursdialog trägt die Lehrperson unter Löschfrist ein Datum ein, typischerweise das Semesterende. Ist die Frist erreicht, erinnert die Startseite mit Kursname, Fristdatum und Zahl der betroffenen Namen; die Erinnerung lässt sich um 30 Tage verschieben oder der Löschdialog öffnen. Der Dialog nennt vorher, wie viele Namen entfernt werden und wie viele Sessions und Antworten bleiben. Gelöscht werden die Namen der Teilnehmerliste; in den Sessions ersetzen Platzhalter wie „Teilnehmer 12“ die Namen, Rückfragen verlieren ihren Absender, die Gruppen-Zusammenstellungen verschwinden, und Einträge dieses Kurses im Papierkorb werden sofort endgültig gelöscht. Erhalten bleiben Sessions und Antworten als anonymisierte Statistik, sodass Längsschnitte über Semester möglich bleiben. Unberührt bleibt, was Teilnehmende selbst geschrieben oder hochgeladen haben: Ein Name in einer offenen Antwort oder einer Datei bleibt stehen — solche Antworten sind vorher durchzusehen.

6.3 Papierkorb

Gelöschte Playlists, Themen, Fragen, Kurse mit Teilnehmenden und Sessions landen zuerst im Papierkorb und lassen sich wiederherstellen. Nach Ablauf der Frist (Vorgabe 30 Tage, einstellbar 1 bis 3650) entfernt LehrPuls den Eintrag beim nächsten Programmstart endgültig; Endgültig löschen und Papierkorb leeren wirken sofort. Der Papierkorb hält auch Namen und Antworten fest: Wer einen Kurs aus Datenschutzgründen löscht, leert danach den Papierkorb — oder nutzt die Löschfrist des Kurses, die sofort und endgültig wirkt.

6.4 Dateien von Teilnehmenden

Dateien und Fotos, die Teilnehmende an Antworten anhängen, liegen im Ordner media neben der Datenbank und tragen Namen aus ihrem Inhalt, nicht ihren ursprünglichen Dateinamen. Die Karte Dateien von Teilnehmenden zeigt Anzahl und Platz je Session und erlaubt im Expertenmodus das Löschen je Session oder aller Dateien von Sessions, die älter als 30, 90, 180 oder 365 Tage sind. Die Antworten selbst bleiben erhalten; an der Antwort steht danach „Datei gelöscht“. Ob Teilnehmende überhaupt Dateien anhängen dürfen, legt die Lehrperson je Frage fest („Datei oder Foto erlauben“); für Rückfragen gibt es einen eigenen Schalter.

6.5 Anonymisierte Auswertung, Export und Lese-Schnittstelle

Mindestgröße. Für Rohdaten-Export und Lese-Schnittstelle lassen sich Fragen unter einer Mindestzahl von Antworten weglassen (Vorgabe 5, einstellbar 1 bis 100) und Zeitangaben auf Stunde oder Tag runden. In den Auswertungen wird der Themen-Reifegrad unter n = 10 Antworten ausgegraut, damit kleine Gruppen nicht überinterpretiert werden.
Ausschließen. Einzelne Antworten oder ganze Fragen lassen sich aus der Auswertung ausschließen (etwa Testabgaben), ohne sie zu löschen.
Lese-Schnittstelle (http://127.0.0.1:8716/api/v1): nach der Installation ausgeschaltet; nur lesend; Zugangsschlüssel mit Gültigkeit 1, 7, 30 oder 90 Tagen (kein unbefristeter Zugang), von dem LehrPuls nur einen Prüfwert speichert. Vorgabe Teilnehmende anonymisiert (ein) ersetzt Namen durch „Teilnehmer 1“, „Teilnehmer 2“ …; Nutzer anonymisiert lässt den Namen der Lehrperson weg. Im Netz erreichbar (Vorgabe aus) öffnet die Schnittstelle nach einer Warnung für das lokale Netz; die IT kann sie mit der Benutzervariable LEHRPULS_API_SPERRE=1 vollständig sperren. Welche Programme die Daten bekommen, entscheidet allein die Lehrperson; LehrPuls selbst gibt nichts weiter.
KI-Assistent (--mcp): nutzt dieselbe Schnittstelle auf demselben Rechner, öffnet keinen eigenen Port und unterliegt derselben Sperre.

6.6 Muster-Datenschutzhinweis

Auf der Kursseite öffnet eine Schaltfläche einen vorformulierten Datenschutzhinweis für die Teilnehmenden (Deutsch und Englisch), den die Lehrperson kopieren und in ihre Kursunterlagen übernehmen kann. Er nennt Teilnahmemodus, verarbeitete Daten, Zweck, Freiwilligkeit, Speicherdauer und Betroffenenrechte und enthält einen Platzhalter für die verantwortliche Stelle. Er ist eine Vorlage, keine Rechtsberatung, und beschreibt den lokalen Betrieb; für den Online-Betrieb enthält er den Zusatz über den Vermittlungsserver, der die Inhalte nicht lesen kann.

6.7 Nachlese und Nachlauf

Ob Teilnehmende die aufgelösten Fragen samt eigener Antwort auf ihrem Gerät nachlesen oder als Rückblick für ein bis vierzehn Tage behalten dürfen, entscheidet die Lehrperson je Session (Vorgabe aus). Diese Daten liegen nur im Browser des Geräts; für Prüfungsfragen bleiben beide Schalter aus.

7. Vergleich zu Cloud-Werkzeugen

Merkmal	LehrPuls	Übliche Web-Dienste (Abstimmungswerkzeuge in der Cloud)
Wo laufen die Daten?	Auf dem Rechner der Lehrperson; online über das Relay, das nur Chiffrat sieht	Auf den Servern des Anbieters
Konten	Keine — weder Lehrende noch Teilnehmende	Mindestens für Lehrende, oft auch für Teilnehmende
Auftragsverarbeitung für Inhalte	Nicht nötig: Kein Anbieter steht im Datenweg der Inhalte	Auftragsverarbeitungsvertrag mit dem Anbieter nötig
Drittlandtransfer	Keiner für Inhalte; Relay in der EU	Je nach Anbieter; häufig USA
Betrieb ohne Internet	Ja (Gemeinsames WLAN)	Nein
Löschung	In der Hand der Lehrperson: Löschfrist, Papierkorb, Dateien löschen; keine Kopie beim Hersteller	Abhängig von Löschkonzept und Backups des Anbieters
Telemetrie	Keine; nur der Update-Hinweis (abschaltbar)	Üblich
Kosten	Einmalkauf je Platz	Abo je Jahr

Datenschutz ist bei LehrPuls keine Einstellung, sondern die Bauweise: Es gibt keinen Anbieter, der mitliest, weil im Datenweg der Inhalte keiner steht.

8. Rollen nach der Datenschutz-Grundverordnung

Inhalte der Lehre (Fragen, Kurse, Namen, Antworten, Auswertungen): Verantwortlicher ist die Lehrperson beziehungsweise ihre Einrichtung. Der Hersteller erhält diese Daten nicht und ist dafür kein Auftragsverarbeiter — es gibt keinen Datenweg zu ihm.
Relay-Dienst: Der Hersteller betreibt das Relay und verarbeitet dabei Verbindungsdaten (IP-Adressen im Zugriffsprotokoll, Beitrittscodes, verschlüsselte Nutzlast). Hetzner Online GmbH ist sein Auftragsverarbeiter für das Hosting. Ob die Hochschule für diese Verbindungsdaten einen Auftragsverarbeitungsvertrag mit dem Hersteller wünscht, bewertet ihre Datenschutzbeauftragte oder ihr Datenschutzbeauftragter; eine Vorlage stellt der Hersteller auf Anfrage bereit. Alternativ kann die Hochschule den Online-Betrieb nicht nutzen oder ein eigenes Relay betreiben: Die Relay-Adresse lässt sich über LEHRPULS_RELAY_URL auf einen eigenen Server umstellen; der Relay-Server ist als Docker-Container dokumentiert; Quellcode und Installationsanleitung stellt der Hersteller Hochschulen auf Anfrage bereit.
Website und Lizenzkauf: Beim Kauf verarbeitet der Hersteller Name, E-Mail-Adresse und Rechnungsdaten der Lizenznehmer (Datenschutzerklärung auf lehrpuls.com, Abschnitte 2 und 3). Das betrifft Lehrende, nicht Studierende.
Rechtsgrundlage für die Lehre: Der Muster-Datenschutzhinweis beschreibt die Teilnahme als freiwillig und den Zweck als Durchführung und didaktische Auswertung der Lehrveranstaltung. Die passende Rechtsgrundlage (etwa Wahrnehmung einer Aufgabe im öffentlichen Interesse nach Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem Hochschulrecht, oder Einwilligung) legt die Hochschule fest.

9. Vorlage für die Datenschutz-Folgenabschätzung

Die Tabelle folgt den üblichen Prüffragen einer DSFA. Die Spalte „LehrPuls“ ist mit den Antworten des Herstellers vorbefüllt; die Spalte „Hochschule“ füllt die prüfende Stelle aus. Ob eine DSFA überhaupt erforderlich ist, entscheidet die Hochschule; bei anonymen und pseudonymen Sessions ohne Kursliste fallen keine Namen an.

Prüfpunkt	LehrPuls (vorbefüllt)	Hochschule (auszufüllen)
Verantwortlicher	Lehrperson beziehungsweise Einrichtung für alle Inhalte	Name, Einrichtung, Kontakt: ______________________
Auftragsverarbeiter	Für Inhalte: keiner. Für Verbindungsdaten des Relays: Hersteller (Dr. Florian Hollomey, Ragnitz, Österreich) mit Hetzner Online GmbH als Unterauftragsverarbeiter	Bewertung Relay-Nutzung: ☐ Online-Betrieb erlaubt ☐ nur lokaler Betrieb ☐ eigenes Relay
Kategorien betroffener Personen	Studierende und sonstige Teilnehmende; Lehrende (Lizenz)	______________________
Datenkategorien	Je nach Beitrittsart: keine Identität (anonym), selbst gewähltes Pseudonym, Name aus der Kursliste, optional E-Mail-Adresse, Anmerkung und Matrikelnummer; Antworten, Zeiten, Freitexte, Skizzen, hochgeladene Dateien, Rückfragen, Gruppen; Wertungen der Lehrperson	Zugelassene Beitrittsarten: ☐ anonym ☐ Pseudonym ☐ mit Namen ☐ Name + Matrikelnummer
Besondere Kategorien (Art. 9)	Von LehrPuls nicht vorgesehen; können in Freitexten vorkommen, wenn die Frage dazu einlädt	Vorgaben für Freitextfragen: ______________________
Zwecke	Durchführung und didaktische Auswertung der Lehrveranstaltung; Lernstandsrückmeldung; Längsschnitt über Semester (anonymisiert)	Weitere Zwecke (etwa Anwesenheit, Benotung): ☐ nein ☐ ja: ______
Rechtsgrundlage	Vom Verantwortlichen festzulegen; die Vorlage des Herstellers beschreibt die Teilnahme als freiwillig	☐ Art. 6 Abs. 1 lit. e ☐ lit. a (Einwilligung) ☐ andere: ______
Speicherort	Rechner der Lehrperson; optional Datenordner im OneDrive der Hochschule (`LEHRPULS_DATA_DIR`); Relay hält nur Chiffrat und Verbindungsdaten in der EU	☐ lokal ☐ OneDrive-Tenant ☐ anderer: ______
Aufbewahrung	Keine automatische Löschung von Sessions; Löschfrist je Kurs anonymisiert Namen (Erinnerung beim Start); Papierkorb 30 Tage (einstellbar); Teilnehmer-Dateien nach Alter löschbar; Relay: Dateien bis Session-Ende oder 12 Stunden, Zugriffsprotokoll höchstens 90 Tage, Reservierung bis 180 Tage (einstellbar)	Löschfrist je Kurs: ______ ; Papierkorb-Frist: ______ ; Dateien älter als: ______
Empfänger	Keine außerhalb des Rechners, außer die Lehrperson exportiert (Bestand sichern, `.lpx`, Rohdaten, Lese-Schnittstelle)	Erlaubte Exporte und Empfänger: ______________________
Drittlandtransfer	Keiner für Inhalte. Relay in der EU. Beim Online-Kauf der Lizenz: Paddle (Vereinigtes Königreich, Angemessenheitsbeschluss) — betrifft nur die Lizenznehmer	☐ keiner ☐ ______
Technische Maßnahmen	Ende-zu-Ende-Verschlüsselung AES-256-GCM online; TLS zum Relay; Schlüssel nur im URL-Fragment; zustandsloses Relay; Grenzen je Adresse; Raum-Reservierung mit `host_token`; signierte Installer; keine Telemetrie; Lese-Schnittstelle aus, lokal, mit befristetem Schlüssel	Ergänzende Maßnahmen (Festplattenverschlüsselung, Gerätesperre, Backup): ______________________
Organisatorische Maßnahmen	Muster-Datenschutzhinweis; Warnung vor Exporten mit Teilnehmerdaten; Beitrittsart je Session wählbar; Expertenmodus für Lösch- und Schnittstellenfunktionen	Schulung, Richtlinie, Freigabe: ______________________
Risiken	Lokaler Betrieb ohne Transportverschlüsselung im WLAN; Freitexte und Dateien mit Namen überstehen die Anonymisierung; Datenordner darf nicht geteilt werden; Lese-Schnittstelle im Netz ist unverschlüsselt	Bewertung: ☐ gering ☐ mittel ☐ hoch — Maßnahmen: ______
Betroffenenrechte	Auskunft, Berichtigung, Löschung durch die Lehrperson im Cockpit (Teilnehmerliste, Antworten ausschließen, Kurs löschen); Datenportabilität über Rohdaten-Export	Verfahren und Ansprechstelle: ______________________
Konsultation	—	Datenschutzbeauftragte/r beteiligt am: ______ ; Ergebnis: ______

10. Checkliste für die IT-Freigabe

Jeder Punkt ist durch dieses Dossier oder die Anleitung für die IT belegt; die IT hakt ab, was sie geprüft oder entschieden hat.

Installation und Verteilung

☐ Installer von https://lehrpuls.com bezogen; SHA-256-Prüfsumme gegen die Downloadseite geprüft.
☐ Windows: Installer trägt eine gültige Code-Signatur (Herausgeber „Dr. Florian Hollomey“). macOS: Programm signiert und von Apple notarisiert.
☐ Installation für alle Benutzer (/S /AllUsers) auf Hörsaalrechnern; das Programm schreibt nie in sein Programmverzeichnis.
☐ Updates werden wie die Erstinstallation verteilt; LehrPuls aktualisiert sich nie selbst.
☐ Microsoft Edge WebView2 Runtime vorhanden oder verteilt.

Netzwerk

☐ Ausgehend TCP 443 (HTTPS und WebSocket) zu relay.lehrpuls.com erlaubt; ein Proxy mit TLS-Aufbruch lässt WebSocket zu diesem Ziel durch.
☐ Ausgehend TCP 443 zu lehrpuls.com erlaubt oder der Update-Hinweis in den Einstellungen abgeschaltet.
☐ Keine eingehenden Freigaben an Hörsaalrechnern nötig; bestätigt.
☐ Eigene Laptops im WLAN: lokaler Betrieb auf TCP 8712–8715 ist gewollt, oder die Lehrenden nutzen den Online-Betrieb.
☐ Verbindungsgrenzen je Adresse in Firewall oder Proxy lassen bis zu 500 Geräte je Saal zu.

Daten und Datenschutz

☐ Entscheidung Datenordner: LEHRPULS_DATA_DIR auf %OneDrive%\LehrPuls (oder %OneDriveCommercial%\LehrPuls) per Gruppenrichtlinie oder Intune als Benutzervariable gesetzt — oder bewusst lokal belassen.
☐ Datenordner nie als gemeinsamer Ordner mehrerer Lehrender; Austauschordner für den Staffelstab getrennt davon.
☐ Überwachter Ordnerzugriff (Defender): lehrpuls.exe als zugelassene App eingetragen, falls aktiv.
☐ Lese-Schnittstelle: Entscheidung getroffen — frei (Vorgabe aus, lokal, anonymisiert) oder zentral gesperrt mit LEHRPULS_API_SPERRE=1.
☐ Online-Betrieb über das Relay des Herstellers freigegeben, oder nur lokaler Betrieb, oder eigenes Relay über LEHRPULS_RELAY_URL.
☐ Datenschutzbeauftragte oder Datenschutzbeauftragter hat die DSFA-Vorlage (Abschnitt 9) gesehen; Beitrittsarten und Löschfristen für die Hochschule festgelegt.
☐ Lehrende kennen den Muster-Datenschutzhinweis und die Löschfrist je Kurs (Handbuch, Abschnitt 4.5).
☐ Festplattenverschlüsselung und Gerätesperre auf Rechnern mit Teilnehmerlisten (Maßnahme der Hochschule).

Test nach der Einrichtung

☐ Test nach Abschnitt 9 der Anleitung für die IT durchgeführt (Datenordner, Relay prüfen, Beitritt mit einem Smartphone, Sperre bei zwei Rechnern).

11. Quellen

Alle Aussagen dieses Dossiers stammen aus den folgenden Unterlagen des Herstellers (Stand November 2026):

Datenschutzerklärung auf lehrpuls.com (Fassung vom 5. November 2026), insbesondere Abschnitt 5 „Die Anwendung LehrPuls“ und Abschnitt 1 (Protokolle, Hetzner).
Relay-Protokoll (Spezifikation des Relay-Servers, Stand 27. Oktober 2026) und Quellcode des Relays: Ende-zu-Ende-Verschlüsselung, zweite Spur, Reservierungen, Auslastungsprotokoll, Grenzen je Adresse.
Handbuch von LehrPuls (in der Anwendung und als PDF auf lehrpuls.com): Abschnitte 4.5 Löschfrist und Datenschutz, 5.7 Relay, 6.2 Beitrittsarten, 10.3 Papierkorb und Dateien von Teilnehmenden, 10.9 Lese-Schnittstelle, 11.4 Datenordner.
Datenbankschema der Version 1.21.1 (Tabellen für Kurse, Teilnehmende, Sessions, Antworten, Rückfragen, Dateien, Papierkorb, Lizenz, Staffelstab).
Muster-Datenschutzhinweis in der Anwendung (Deutsch und Englisch).
Konzept Auswertungen (Mindestbasis n = 10 für den Themen-Reifegrad) und Flyer (Vergleich zu Cloud-Diensten).

Dieses Dossier ist eine technische Beschreibung und keine Rechtsberatung. Die rechtliche Bewertung trifft die Hochschule.