Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Mader Studio GmbH
Seewandstraße 4, 9900 Lienz, Österreich
Firmenbuchnummer: FN 59204 s (Landesgericht Innsbruck)
UID: ATU30677906
Geschäftsführer: Mag. Christoph Mader
E-Mail: office@maderstudio.at
Telefon: +43 650 811 5778
ThinkLab ist ein Produkt der Mader Studio GmbH. Bei Fragen zum Datenschutz können Sie sich jederzeit unter den oben genannten Kontaktdaten an uns wenden.
Im Rahmen von ThinkLab verarbeiten wir personenbezogene Daten in den folgenden Zusammenhängen:
Die einzelnen Verarbeitungen, ihre Rechtsgrundlagen und Speicherdauern werden nachstehend im Detail beschrieben.
Beim Aufruf unserer Website werden technisch notwendig Verbindungsdaten verarbeitet, damit die Seiten ausgeliefert werden können. Dazu gehören insbesondere:
Diese Verarbeitung ist zur Bereitstellung, Stabilität und Sicherheit des Dienstes erforderlich. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und störungsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
Protokolle der Anwendung: In die technischen Protokolle unserer Anwendung schreiben wir keine IP-Adressen, keine an den Stationen eingegebenen Texte, keine KI-Antworten, keine Namen und keine E-Mail-Adressen. Dort stehen nur technische Angaben wie Station, Termin, das Ergebnis einer Prüfung, die Länge einer Eingabe, Status- und Fehlercodes der eingesetzten Dienste sowie Laufzeiten.
Anonyme Besuche an Stationen: Besucht jemand eine Station ohne Workshop-Zugang, speichern wir zur Wiedererkennung derselben Sitzung einen Prüfwert, der aus IP-Adresse und Browserkennung mit einem geheimen Schlüssel berechnet wird (HMAC-SHA-256) – nicht die IP-Adresse selbst. Nach 90 Tagen wird dieser Prüfwert gelöscht; die Sitzung bleibt ohne Personenbezug für die Statistik erhalten.
Speicherdauer der Protokolle: Die Protokolle der Anwendung werden bei der Hosting-Plattform (Microsoft Azure) 14 Tage aufbewahrt und danach automatisch gelöscht.
An interaktiven Stationen können Besucher ein KI-generiertes Bild erzeugen. Dazu geben sie einen kurzen Text (z. B. ein Thema, eine Idee oder ein Stichwort) ein. Aus dieser Eingabe wird ein Bild erzeugt sowie optional ein kurzer Begleittext.
Welche Daten verarbeitet werden: Verarbeitet wird ausschließlich der von der Person eingegebene Text. Es werden keine Fotos oder Abbildungen realer Personen hochgeladen oder verarbeitet (reine Text-zu-Bild-Erzeugung). Eine Eingabe des Namens ist nicht vorgesehen; das System speichert keinen Namen der erzeugenden Person.
Hinweis für Besucher: Bitte geben Sie in das Eingabefeld keine personenbezogenen Daten (z. B. Namen) ein, da der eingegebene Text zur Bilderzeugung an einen Dienstleister übermittelt wird (siehe Abschnitt 8).
Eingesetzte KI-Modelle: Zur Bilderzeugung wird die Gemini API von Google eingesetzt (Modelle der Gemini-2.5-/3.1-Flash-Image-Familie); für die Erstellung von Begleittexten und die Inhaltsmoderation wird Gemini 2.5 Flash eingesetzt. Einzelheiten zum Anbieter und zur Datenübermittlung in die USA finden Sie in Abschnitt 8.
Rechtsgrundlage: Die Verarbeitung erfolgt auf Grundlage der Einwilligung der teilnehmenden Person bzw. – bei Minderjährigen – der Erziehungsberechtigten oder der verantwortlichen Lehrkräfte (Art. 6 Abs. 1 lit. a DSGVO). Bei Terminen mit Minderjährigen gelten die Hinweise in Abschnitt 9.
Speicherdauer der erzeugten Bilder: Die erzeugten Bilder werden bis 30 Tage nach Ende des jeweiligen Termins gespeichert und danach automatisch gelöscht. Bilder, die keinem Termin zugeordnet sind, werden 30 Tage nach ihrer Erstellung gelöscht; Vorschau- und Demobilder (öffentliche Demo, Vorschau im Verwaltungsbereich) nach 7 Tagen.
An Lernpfad-Stationen kann ein Schritt einen Lern-Tutor enthalten: Das Kind schreibt Nachrichten, ein KI-Modell antwortet mit Rückfragen und hilft so, die Lösung selbst zu finden.
Nur mit Workshop-Zugang: Mit dem KI-Modell schreibt nur, wer über einen Workshop-Zugang (Pseudonym-Konto, siehe Abschnitt 11) in einer aktiven Gruppe angemeldet ist und die Station in einem Termin nutzt. In der öffentlichen Demo, ohne Anmeldung und mit einem Konto ohne Workshop-Zugang läuft derselbe Schritt als geführter Modus ohne KI: feste Fragen, deren Antworten nur auf unserem Server geprüft werden.
Welche Daten verarbeitet werden: Die Nachricht des Kindes wird zusammen mit dem bisherigen Gesprächsverlauf dieses Schritts an die Gemini API von Google (Modell Gemini 2.5 Flash) übermittelt, um eine Antwort zu erzeugen. Jede Nachricht des Kindes und jede Antwort des Modells wird zusätzlich mit Gemini auf unzulässige Inhalte geprüft (Moderation); was die Prüfung nicht besteht oder nicht geprüft werden konnte, wird nicht gesendet bzw. nicht angezeigt. Einzelheiten zum Anbieter und zur Datenübermittlung in die USA finden Sie in Abschnitt 8.3.
Keine Speicherung der Nachrichten: Die Nachrichten und Antworten werden nicht in unserer Datenbank gespeichert und nicht in die technischen Protokolle geschrieben. Für die Dauer der Sitzung hält der Server den Gesprächsverlauf im Arbeitsspeicher (längstens 4 Stunden ohne Aktivität); ist der Schritt geschafft oder wechselt er in den geführten Modus, wird der Verlauf sofort verworfen. Gespeichert werden nur Zähler: ob der Schritt geschafft ist, wie viele Nachrichten geschrieben wurden und ob der geführte Modus aktiv ist. Die Lehrkraft sieht genau diese Zähler, keine Inhalte.
Hinweis: Bitte keine Namen oder andere personenbezogenen Daten in die Nachrichten schreiben.
Schutz und Begrenzung: Je Workshop-Zugang sind höchstens 6 Nachrichten pro Minute und 60 pro Stunde möglich; die Kosten sind je Tag und je Gespräch gedeckelt. Ist das Budget erschöpft oder das KI-Modell nicht erreichbar, geht es im geführten Modus ohne KI weiter.
An der Station KI-Lernbegleiter wählt das Kind einen Lernmodus und ein Thema und schreibt dann mit einem KI-Modell. Es gelten dieselben Regeln wie oben: Mit dem KI-Modell schreibt nur, wer über einen Workshop-Zugang in einer aktiven Gruppe angemeldet ist und die Station in einem Termin nutzt. In der öffentlichen Demo und ohne Workshop-Zugang gibt es keinen Chat, sondern nur feste Beispiele.
Welche Daten verarbeitet werden: Das Thema (höchstens 80 Zeichen) und die Nachrichten des Kindes werden an die Gemini API von Google übermittelt, um Antworten zu erzeugen, und mit Gemini auf unzulässige Inhalte geprüft; ein selbst eingegebenes Thema wird vor dem Gespräch ebenso geprüft. Am Ende kann das Kind eine kurze Zusammenfassung des Gesprächs anfordern, die ebenfalls Gemini erzeugt.
Nur für die Dauer der Sitzung: Thema, Nachrichten und Zusammenfassung werden nicht in unserer Datenbank und nicht in den technischen Protokollen gespeichert; der Server hält sie nur für die Sitzung im Arbeitsspeicher. Gespeichert werden ausschließlich Zahlen: der gewählte Lernmodus, die Zahl der geschriebenen Nachrichten und die Selbsteinschätzung vorher und nachher als Zahl von 1 bis 5. Die Lehrkraft sieht genau diese Zahlen, keine Inhalte.
Testmodus für Lehrkräfte: Angemeldete Verantwortliche der veranstaltenden Organisation (Organisations-Admin oder Bearbeitung) können die Station selbst ausprobieren. Thema und Nachrichten werden dabei genauso an Gemini übermittelt und geprüft; gespeichert wird nichts, auch keine Zahlen.
Rechtsgrundlage: wie in Abschnitt 4 (Art. 6 Abs. 1 lit. a DSGVO); bei Terminen mit Minderjährigen gelten die Hinweise in Abschnitt 9.
Wenn Sie uns über das Kontaktformular kontaktieren, verarbeiten wir die von Ihnen angegebenen Daten, um Ihre Anfrage zu bearbeiten. Erfasst werden:
Ihre IP-Adresse wird zur Abwehr von Missbrauch und Spam (Begrenzung der Anfragehäufigkeit) nur kurzzeitig im Arbeitsspeicher verarbeitet und nicht mit Ihrer Anfrage gespeichert. Zum Spamschutz setzen wir außerdem Cloudflare Turnstile ein (Abschnitt 8.4).
Rechtsgrundlage ist die Bearbeitung Ihrer Anfrage bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Abwehr missbräuchlicher Eingaben (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: Wir speichern Ihre Anfrage bis zur abschließenden Bearbeitung, längstens 6 Monate, sofern nicht eine Geschäftsbeziehung entsteht oder gesetzliche Aufbewahrungspflichten bestehen.
Labore und Einrichtungen, die ThinkLab nutzen, können ihre Workshop-Termine öffentlich anbieten. Wenn Sie als Lehrkraft einen Termin oder einen Wunschtermin für Ihre Klasse anfragen, verarbeiten wir Ihre Angaben, um die Anfrage an dieses Labor weiterzugeben. Erfasst werden:
Zweck: Wir schicken Ihnen eine E-Mail mit einem Bestätigungslink. Erst nach Ihrer Bestätigung geht die Anfrage an das Labor, und erst dann wird ein freier Termin für Sie reserviert. So kann niemand in Ihrem Namen einen Termin blockieren. Der Link ist 7 Tage gültig; gespeichert wird von ihm nur ein Prüfwert, nicht der Link selbst.
Empfänger: das Labor bzw. die Organisation, bei der Sie anfragen. Sie sieht Ihre Anfrage nach Ihrer Bestätigung. Unsere E-Mails an Sie tragen die Kontaktadresse dieses Labors als Antwortadresse (Reply-To): Wenn Sie auf eine solche E-Mail antworten, geht Ihre Antwort direkt an das Labor. Der E-Mail-Versand läuft über IONOS (Abschnitt 8.2).
Ihre IP-Adresse wird zur Begrenzung der Anfragehäufigkeit nur kurzzeitig im Arbeitsspeicher verarbeitet und nicht mit Ihrer Anfrage gespeichert.
Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO) sowie das berechtigte Interesse an der Abwehr missbräuchlicher Anfragen (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer:
Jede Person ab 14 Jahren kann sich ein eigenes Konto anlegen, um ThinkLab auszuprobieren, sich über Workshops zu informieren und Anfragen im Blick zu behalten. Auch Laborleitungen und Kursleitungen einer Einrichtung arbeiten mit einem solchen Konto.
Bei der Registrierung verarbeiten wir:
Wir schicken Ihnen eine E-Mail mit einem Bestätigungslink; erst danach setzen Sie Ihr Passwort. Ist für die eingegebene Adresse bereits ein Konto vorhanden, zeigt die Seite dieselbe Antwort wie bei einer neuen Adresse, und wir schicken an diese Adresse stattdessen eine E-Mail „Du hast schon ein ThinkLab-Konto“ mit einem Link zur Anmeldung und zum Zurücksetzen des Passworts. So erfährt niemand über das Formular, ob eine Adresse bei uns registriert ist. Der E-Mail-Versand läuft über IONOS (Abschnitt 8.2).
Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Zeitpunkt und Fassung Ihrer Zustimmung sowie die Altersbestätigung speichern wir außerdem, um nachweisen zu können, welcher Text galt und dass die Voraussetzungen erfüllt waren (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
Nach der Anmeldung sehen Sie unter „Mein Bereich“ Ihren Namen, die Einrichtungen, denen Sie angehören, Ihre MINT-Reise, unsere Workshops und Ihre eigenen Anfragen. Als „Meine Anfragen“ zeigen wir Kontaktanfragen (Abschnitt 5) und Buchungsanfragen (Abschnitt 5a), die mit der E-Mail-Adresse Ihres Kontos gestellt wurden – und nur dann, wenn Sie diese Adresse bestätigt haben. Vor- und Nachnamen sowie die Angabe „Ich bin …“ können Sie dort jederzeit selbst ändern oder die Angabe „Ich bin …“ leeren.
Gehören Sie keiner Workshop-Gruppe an, besteht Ihre MINT-Reise aus den öffentlichen Demo-Inseln. Damit Ihr Fortschritt erhalten bleibt, speichern wir zu Ihrem Konto je Demo-Insel:
Ohne Anmeldung speichern wir auf den Demo-Inseln weiterhin nichts. Gehören Sie einer Workshop-Gruppe an, sehen Sie stattdessen die Stationen dieser Gruppe; dafür gilt wie bisher der dort gespeicherte Stationsfortschritt.
Im Konto können Sie für die MINT-Reise freiwillig Geburtsjahr und Geburtsmonat angeben und eine Spielfigur gestalten (wie in Abschnitt 11 beschrieben). Diese Angaben hängen am Konto, können unter „Mein Bereich“ jederzeit gelöscht werden und werden mit dem Konto gelöscht.
Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO): Der gespeicherte Fortschritt ist die Funktion, die Sie mit der Reise nutzen.
Eine Laborleitung kann Sie per E-Mail in ihre Einrichtung einladen (als Laborleitung oder Kursleitung). Dafür speichern wir Ihre E-Mail-Adresse, die vorgesehene Rolle, eine optionale Nachricht und wer eingeladen hat. Der Link in der E-Mail ist 7 Tage gültig. Mitglied der Einrichtung werden Sie erst, wenn Sie die Einladung annehmen – auch dann, wenn Sie bereits ein Konto haben. Gehören Sie schon einer anderen Einrichtung an, entscheiden Sie beim Annehmen, welche Ihre Hauptorganisation ist (in deren Verwaltung Sie nach der Anmeldung landen).
Empfänger: die einladende Einrichtung. Ihre Laborleitungen sehen offene Einladungen und nach der Annahme Ihre E-Mail-Adresse, Ihren Namen und Ihre Rolle in der Mitgliederliste.
Rechtsgrundlage für die Einladung selbst ist das berechtigte Interesse der Einrichtung, ihre Mitarbeitenden einzuladen (Art. 6 Abs. 1 lit. f DSGVO). Nach der Annahme ist Rechtsgrundlage die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).
Zum Schutz vor dem Erraten von Passwörtern und vor massenhaften Anfragen gilt:
Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Konten und des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
Kontodaten, die Angaben aus der Registrierung, der Demo-Fortschritt und das Reise-Profil werden gespeichert, solange das Konto besteht, und mit dem Konto gelöscht (siehe Abschnitt 14). Die Sperre nach Fehlversuchen endet nach 15 Minuten. Die Zahl der Fehlversuche wird bei der nächsten erfolgreichen Anmeldung zurückgesetzt; der Zeitpunkt der letzten Sperre bleibt am Konto, bis eine neue Sperre ihn ersetzt, Sie ein neues Passwort setzen oder das Konto gelöscht wird.
Eine Registrierung, die nicht abgeschlossen wurde – die E-Mail-Adresse wurde nie bestätigt, es gibt kein Passwort, keine aktive Mitgliedschaft in einer Einrichtung und keine Mitgliedschaft in einer Gruppe oder laufenden Klasse –, löschen wir automatisch 14 Tage nach ihrem Beginn, auf Anfrage sofort. Eine beendete Mitgliedschaft in einer Einrichtung (nach einem Austritt) und eine Klasse, die geschlossen oder deren Schuljahr vorbei ist, halten diese Löschung nicht mehr auf. Einladungen in eine Einrichtung löschen wir automatisch 30 Tage, nachdem sie angenommen, widerrufen oder ungenutzt abgelaufen sind; eine offene Einladung, deren Link noch gilt, bleibt bestehen. Einladungen an Ihre Adresse löschen wir außerdem mit Ihrem Konto. Die automatischen Löschungen laufen einmal täglich; wir halten nur fest, wie viele Einträge gelöscht wurden.
Schulen können ThinkLab mit einem eigenen Schulbereich nutzen: Schülerinnen, Schüler und Lehrkräfte melden sich dort mit ihrem Schulkonto an, arbeiten in Kursen, treten Klassen bei und bekommen Codes für Software, die ihre Schule bereitstellt. Dieser Abschnitt richtet sich vor allem an Schülerinnen und Schüler ab 14 Jahren; wir schreiben deshalb „du“.
Wenn deine Schule es eingerichtet hat, meldest du dich mit dem Konto an, das dir die Schule bei Microsoft gibt (Microsoft Entra ID). Microsoft schickt uns dabei nur:
Wir fragen bei Microsoft keine Gruppen, Klassen, Rollen oder andere Daten aus deiner Schule ab und lesen nicht in deinen Microsoft-Diensten. Dein ThinkLab-Konto ist mit deinem Schulkonto nur über die beiden Kennungen (Tenant-Id und Objekt-Id) verbunden – nie über die E-Mail-Adresse. Gibt es mit deiner Adresse schon ein ThinkLab-Konto mit Passwort, verbinden wir die beiden nicht von selbst; das kannst nur du unter „Mein Bereich“ tun. Microsoft erfährt dabei, dass du dich bei ThinkLab anmeldest – wie bei jeder Anmeldung mit diesem Konto.
Beim ersten Anmelden zeigen wir dir zuerst, was wir speichern. Erst wenn du bestätigst, dass du mindestens 14 Jahre alt bist und diese Erklärung gelesen hast, legen wir dein Konto an: mit Name, E-Mail-Adresse, den beiden Kennungen, dem Zeitpunkt deiner Bestätigungen und der Rolle „Schüler:in“ in deiner Schule. Andere Rollen (z. B. Lehrkraft) vergibt nur die Schule. Name und E-Mail-Adresse übernehmen wir nur beim ersten Anmelden; danach ändern wir sie nicht von selbst.
Eine Lehrkraft kann im Schulbereich eine Klasse anlegen und dir einen Klassencode geben. Mit dem Code trittst du der Klasse bei. Wir speichern dafür, dass du Mitglied bist und seit wann.
In den Kursen speichern wir deinen Fortschritt, damit du später weitermachen kannst:
Das alles siehst nur du. Lehrkräfte und die Laborleitung deiner Schule sehen deinen Kursfortschritt, deine Eingaben und deine Reflexionen nicht. Das Ergebnisblatt eines Kurses fasst deine eigenen Ergebnisse zusammen; nur du kannst es öffnen und ausdrucken, und du entscheidest, ob du es jemandem zeigst. Es gibt keine Noten und keine Punkte: Angaben wie „3 von 4 Feldern richtig“ sind eine Selbstkontrolle für dich. Die Antworten prüft unser Server nach festen Regeln; in den Kursen arbeitet keine KI.
Stellt deine Schule über ThinkLab Codes für Software bereit, bekommst du deinen Code im Schulbereich.
Ein Code, den du bekommen hast, bleibt als vergeben gespeichert – auch wenn dein Konto gelöscht wird, dann aber ohne Bezug zu dir. So wird ein Code nie ein zweites Mal ausgegeben.
Bis wir mit deiner Schule eine Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO) geschlossen haben, ist die Mader Studio GmbH Verantwortliche für die Daten im Schulbereich (Kontaktdaten in Abschnitt 1). Deine Rechte (Abschnitt 14) machst du bei uns geltend.
Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO): Anmeldung, Klassen, Kursfortschritt, Reflexionen und Lizenzcodes sind die Funktionen, die du im Schulbereich nutzt. Das Einsichtsprotokoll führen wir, um nachweisen zu können, wer einen Code angezeigt hat (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
Die automatischen Löschungen laufen einmal täglich; wir halten dabei nur fest, wie viele Einträge gelöscht wurden.
Hat deine Schule die Projekte freigeschaltet, kann dir deine Lehrkraft ein Projekt ausgeben – allein oder im Team mit bis zu drei Personen. Ein Projekt hat Checkpoints mit einem Termin, zum Beispiel „Idee“, „Skizze“, „Präsentation“. Zu jedem Checkpoint schreibst du Texte, lädst Fotos und Dateien hoch, reichst ein und bekommst eine Rückmeldung.
Hat deine Schule auch eigene Projekte freigeschaltet, kannst du selbst ein Projekt anlegen (höchstens 5 laufende), andere aus deiner Schule mit einem Einladungscode in dein Team holen (höchstens 4 Personen) und eine Lehrkraft deiner Schule bitten, das Projekt zu betreuen – als Haupt- oder Zweitbetreuung, auch eine Lehrkraft aus einer anderen Klasse. Die Checkpoints eines eigenen Projekts plant ihr selbst, bis eine Lehrkraft die Betreuung annimmt; danach ändert sie nur noch die Hauptbetreuung. Bis dahin ist ein eigenes Projekt euer Arbeitsbereich.
Es gibt keine Noten und keine Punkte. Erinnerungen oder Benachrichtigungen schicken wir nicht.
Fotos verkleinern wir beim Hochladen und speichern sie neu. Dabei entfernen wir alle Zusatzdaten der Bilddatei – auch den Aufnahmeort (GPS), das Gerät und die Aufnahmezeit. Bitte fotografiere keine Personen, die damit nicht einverstanden sind. Fotos und Dateien liegen in unserem Speicher bei Microsoft Azure in der EU (Abschnitt 8.1) und sind nur über ThinkLab abrufbar – nur für die Personen, die das Projekt sehen dürfen.
Wie für den übrigen Schulbereich (Abschnitt 6a.5) ist die Mader Studio GmbH Verantwortliche, bis wir mit deiner Schule eine Vereinbarung zur Auftragsverarbeitung geschlossen haben. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO): Projekte (auch eigene), Teams und Einladungscodes, Anfragen um Betreuung, Einträge und Rückmeldungen sind die Funktion, die du hier nutzt.
Ergänzend zu Abschnitt 6b: In einem Projekt kannst du auch etwas aufnehmen und 3D-Modelle hochladen. Am Ende könnt ihr als Team eine Präsentation zusammenstellen und – wenn alle zustimmen – zeigen. Für eigene Projekte (Abschnitt 6b) gibt es derzeit keine Präsentation.
3D-Modelle nehmen wir als .glb-Datei bis 25 MB an und zeigen sie im Browser an. Wir speichern die Datei unverändert. Steht in ihr etwas, das dein 3D-Programm hineingeschrieben hat (zum Beispiel ein Name), bleibt das darin – prüfe das vor dem Hochladen. Sonst gilt alles wie für Dateien (Abschnitt 6b.3).
Eine Präsentation besteht aus einem Titel, einem kurzen Text und den Einträgen, die ihr auswählt: Texte, Fotos, Dateien und 3D-Modelle. Ein Foto kommt nur hinein, wenn ihr bestätigt, dass darauf keine Person erkennbar ist oder alle Abgebildeten einverstanden sind. Rückmeldungen der Lehrkräfte, Termine, der Stand der Checkpoints und Sprachaufnahmen kommen nie hinein.
Wer die Präsentation sieht, hängt von der Stufe ab:
Namen: Ohne eure Wahl steht kein Name auf der Präsentation, nur der Titel. Wählt ihr „Vornamen“, erscheint von jeder Person nur der Vorname – und nur, wenn sie das selbst bei ihrer Zustimmung gewählt hat. Nie ein Nachname, nie eine E-Mail-Adresse. Auf der öffentlichen Seite stehen weder deine Schule noch deine Klasse.
Zurücknehmen: Jede Person im Team kann ihre Zustimmung jederzeit zurücknehmen; dann ist die Präsentation sofort wieder privat, und der Link und alle Dateien dahinter funktionieren nicht mehr. Wird sie später wieder freigegeben, gibt es einen neuen Link. Die Lehrkräfte, die die Klasse leiten, und die Hauptbetreuung können eine Freigabe ebenfalls jederzeit zurücknehmen. Ändert jemand die Auswahl, den Titel, den Text oder die Namen, fällt die Präsentation auf die Klasse zurück, und für die Schule und die Öffentlichkeit braucht es neue Zustimmungen von allen. Ändert sich das Team – jemand verlässt die Schule, wird aus der Klasse genommen, löscht sein Konto oder wird in ein anderes Team verschoben –, wird die Präsentation privat und alle Zustimmungen werden gelöscht.
Ende der Klasse: Ist das Schuljahr der Klasse vorbei oder die Klasse geschlossen, sieht niemand die Präsentation mehr, auch nicht über den Link. Gelöscht wird sie mit der Klasse (Abschnitt 6b.5).
Verantwortlich ist wie in Abschnitt 6b.4 die Mader Studio GmbH, bis wir mit deiner Schule eine Vereinbarung zur Auftragsverarbeitung geschlossen haben. Sprachaufnahmen und 3D-Modelle sind Einträge wie alle anderen (Art. 6 Abs. 1 lit. b DSGVO). Dass eine Präsentation über das Projekt hinaus sichtbar wird, beruht auf eurer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern, wer wann welcher Stufe zugestimmt hat und welche Fassung des Einwilligungstextes er oder sie gelesen hat. Eine Einwilligung kannst du jederzeit widerrufen; was bis dahin sichtbar war, bleibt rechtmäßig. In Österreich kannst du so eine Einwilligung selbst geben, wenn du mindestens 14 Jahre alt bist (Abschnitt 9).
So steht er auf der Seite der Präsentation (Fassung vom 2026-10-14):
Zustimmung: für meine Klasse und unsere Lehrkräfte
Zustimmung: für alle an meiner Schule, die den Schulbereich von ThinkLab nutzen
Zustimmung: öffentlich – für alle, die den Link kennen, ohne Anmeldung
Hat deine Schule das 3D-Lab freigeschaltet, kannst du eigene 3D-Modelle (.glb) hochladen, sie im Browser drehen und am Handy in AR in deinen Raum stellen. Du kannst deine Modelle in Sammlungen ordnen und 3D-Modelle aus Projekten, in denen du mitarbeitest, in dein 3D-Lab übernehmen. Am Anfang sieht jedes Modell und jede Sammlung nur, wem sie gehören – auch Lehrkräfte und die Laborleitung sehen sie nicht. Teilen kannst du sie selbst (Abschnitt 6d.3).
Übernimmst du ein 3D-Modell aus einem Projekt, legen wir eine Kopie der Datei in deinem 3D-Lab an. Sie zählt zu deinem Speicherplatz und gehört ab dann dir: Sie bleibt, wenn du das Projekt verlässt oder das Projekt gelöscht wird. Im Projekt ändert sich dabei nichts, und die anderen im Team sehen deine Kopie nicht. Übernehmen kannst du nur, solange du im Projekt mitarbeitest.
Wir nehmen nur Modelle an, die alles in sich tragen: keine Verweise auf Dateien oder Adressen im Internet und keine Komprimierung, für die der Browser ein Programm von einem anderen Anbieter nachladen müsste. So lädt dein Browser beim Anzeigen nichts von fremden Servern. Die Dateien liegen in unserem Speicher bei Microsoft Azure in der EU (Abschnitt 8.1) und sind nur über ThinkLab abrufbar – für dich und für die, mit denen du sie teilst.
Die Anzeige im Browser macht ThinkLab selbst. Tippst du am Handy auf den AR-Knopf, übergibt dein Browser das Modell an die AR-Funktion deines Geräts (Android: Scene Viewer von Google; iPhone: AR Quick Look von Apple). Was diese Funktion dabei verarbeitet, regeln Google beziehungsweise Apple; ThinkLab schickt dafür nichts an sie.
Brille verbinden: Du kannst eine VR-Brille mit deinem 3D-Lab verbinden. Die Brille zeigt dazu auf ThinkLab einen Code, den du im 3D-Lab eingibst; auf der Brille meldest du dich nicht an. Die Brille bekommt dafür einen Lesezugang auf dein 3D-Lab in dieser Schule: deine Modelle und Sammlungen mit Vorschaubild, Titel und Raumansicht. Schreiben, löschen, herunterladen oder andere Seiten deines Kontos öffnen kann sie damit nicht. Neben dem Knopf „Abmelden“ zeigt die Brille deinen Vornamen. Der Zugang gilt höchstens 2 Stunden und endet schon nach 30 Minuten ohne Nutzung. Je Konto ist höchstens eine Brille verbunden – verbindest du eine neue, endet der Zugang der alten. Die Brille hebt ihn in einem Cookie auf, das kein Skript lesen kann. Den Zugang halten wir nur im Arbeitsspeicher des Servers, nicht in der Datenbank. Bei jedem Aufruf prüfen wir, ob das 3D-Lab für deine Schule noch freigeschaltet ist und ob du noch Mitglied bist; sonst endet der Zugang sofort. Beenden kannst du ihn jederzeit selbst: im 3D-Lab mit „Brille trennen“ oder auf der Brille mit „Abmelden“. Eine Anmeldung der Brille für Stationen bleibt davon unberührt.
Du entscheidest für jedes Modell und jede Sammlung, wer sie sieht. Das kannst du jederzeit ändern; die Änderung gilt sofort.
Andere sehen dabei Titel, Beschreibung, Vorschaubild und das Modell selbst, im Browser, in AR und in der VR-Brille. Herunterladen und ändern kannst nur du. Im Schulbereich stehen neben deinen geteilten Inhalten dein Anzeigename und die Klasse. Eine geteilte Sammlung zeigt die Modelle darin, auch wenn sie selbst privat sind – aber nur in dieser Sammlung. Wir speichern, mit welchen Klassen du etwas geteilt hast, und bei einer Anfrage, wann du angefragt hast.
Öffentlicher Link: Erst bei der Freigabe entsteht ein Link mit einem zufälligen, nicht erratbaren Teil (/m/… für ein Modell, /s/… für eine Sammlung) und ein QR-Code dazu. Auf der öffentlichen Seite stehen der Titel, die Beschreibung, dein Vorname und der Name deiner Schule – nie dein Nachname und nie deine E-Mail-Adresse. Die Seite ist für Suchmaschinen gesperrt und wird nicht zwischengespeichert. Wir speichern, wer freigegeben hat und wann. Zurückziehen können du selbst (indem du die Stufe änderst), die Lehrkraft, die freigegeben hat, die Laborleitung und wir als Plattform: Der Link funktioniert dann sofort nicht mehr. Gibst du später wieder frei, entsteht ein neuer Link; der alte bleibt ungültig. Was andere schon gespeichert haben, etwa ein Bildschirmfoto, können wir nicht zurückholen.
Moderation: Wir als Plattform sehen eine Liste aller öffentlichen Inhalte aus dem 3D-Lab (Titel, Schule, Vorname, seit wann, Vorschau). Verstößt etwas gegen Regeln oder Rechte anderer, stellen wir es auf Privat und schreiben einen kurzen Grund dazu. Den Grund und das Datum siehst du auf der Seite des Modells oder der Sammlung, bis du die Stufe das nächste Mal änderst.
Brille: Eine mit deinem Konto verbundene Brille zeigt auch „Mit dir geteilt“ – nach denselben Regeln, bei jedem Aufruf neu geprüft. Sie kann auch dort nur ansehen.
Jede Person hat einen eigenen Speicherplatz (Schüler:innen 200 MB, Lehrkräfte 1 GB), dazu gibt es einen gemeinsamen Speicher der Schule; wir können die Werte für eine Schule ändern. Ist er voll, nehmen wir kein weiteres Modell an – wir löschen dafür nichts. Was du teilst, zählt nur bei dir.
Wie für den übrigen Schulbereich (Abschnitt 6a.5) ist die Mader Studio GmbH Verantwortliche, bis wir mit deiner Schule eine Vereinbarung zur Auftragsverarbeitung geschlossen haben. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO): das 3D-Lab ist die Funktion, die du hier nutzt.
Bei Schulvorstellungen, Workshops und Veranstaltungen verteilen wir zum Beispiel NFC-Schlüsselanhänger, QR-Codes oder Links. Sie führen auf eine Seite mit einem oder mehreren kurzen Spielen. Zu jedem Spiel gibt es eine Bestenliste für den Tag und die laufende Woche. Dafür brauchst du kein Konto und keine Anmeldung.
Die Bestenliste zeigt den jeweiligen Tag und die laufende Woche ab Montag. Die Einträge (Spielname, Punkte, Datum) löschen wir nach 7 Tagen automatisch. Die Zählung je Tag enthält keine personenbezogenen Daten und bleibt bestehen.
Bis wir mit der Schule, für die eine Aktion läuft, eine Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO) geschlossen haben, ist die Mader Studio GmbH Verantwortliche (Kontaktdaten in Abschnitt 1). Deine Rechte (Abschnitt 14) machst du bei uns geltend. Rechtsgrundlage ist unser berechtigtes Interesse und das der Schule, das Spiel mit Bestenliste anzubieten (Art. 6 Abs. 1 lit. f DSGVO); für den Eintrag in die Bestenliste entscheidest du selbst, er ist freiwillig. Bei Aktionen, die nicht im Auftrag einer Schule laufen, ist die Mader Studio GmbH allein verantwortlich.
Der große Knopf am Ende führt auf die Website des Veranstalters. Dort gelten dessen eigene Datenschutzhinweise.
An den Stationen, die mit KI Bilder erzeugen, prüfen wir jede Eingabe in zwei Stufen (Wortliste und KI-Moderation) und begrenzen die Anfragehäufigkeit. Dabei werden die IP-Adresse und der eingegebene Text verarbeitet, um unzulässige Eingaben zu erkennen und zu blockieren. Die Anfragebegrenzung und die Sperre wiederholter Verstöße arbeiten nur im Arbeitsspeicher (höchstens 24 Stunden).
Lehnt die Moderation an einer KI-Station eine Eingabe ab, speichern wir diese Eingabe (Thema, Idee und Stichwort, ohne Namen) zusammen mit der Begründung der Prüfung und einem Hashwert der IP-Adresse (mit geheimem Zusatzwert), nicht mit der IP-Adresse selbst. Diese Einträge werden nach 180 Tagen gelöscht. In die technischen Protokolle der Anwendung schreiben wir dabei weder die IP-Adresse (auch nicht als Hashwert) noch die Eingabe oder einen Namen – dort stehen nur Station, Termin, Ergebnis der Prüfung und die Länge der Eingabe. Das Kontaktformular ist davon nicht betroffen (siehe Abschnitt 5). Für die Anmeldung und die Registrierung gelten die Regeln aus Abschnitt 6.5.
Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit und Funktionsfähigkeit des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten (Auftragsverarbeitung gemäß Art. 28 DSGVO). Mit diesen bestehen entsprechende Verträge zur Auftragsverarbeitung.
Unsere Anwendung, die Datenbank und die Bildspeicherung werden bei Microsoft (Microsoft Azure) betrieben. Die Datenhaltung erfolgt in einem Rechenzentrum in der Region West-Europa (Niederlande, EU).
Für den Versand von E-Mails (z. B. Benachrichtigungen, Einladungen, Kontaktbestätigungen) nutzen wir den Dienst des Anbieters IONOS SE (Elgendorfer Str. 57, 56410 Montabaur, Deutschland). Der Anbieter ist in der EU ansässig.
Für die KI-gestützte Bilderzeugung und Texterstellung übermitteln wir den eingegebenen Text an die Gemini API von Google (Google LLC bzw. Google Ireland Limited). Dasselbe gilt für die Nachrichten an den Lern-Tutor und ihre Moderation (Abschnitt 4a). Dabei werden Daten in die USA übermittelt.
Wir nutzen die Gemini API im kostenpflichtigen Tarif (Paid Services). Nach den Bedingungen von Google gilt hierfür:
Grundlage für den Drittlandtransfer sind die genannten Standardvertragsklauseln gemäß Art. 46 DSGVO. Trotz dieser Garantien besteht bei einer Übermittlung in die USA grundsätzlich das Risiko eines Zugriffs durch US-Behörden.
Zum Schutz unserer Formulare vor automatisierten Anfragen (Spam) setzen wir auf den Seiten Kontakt, Registrierung, „Passwort vergessen“ und Workshop-Anfrage den Dienst Turnstile der Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) ein. Auf anderen Seiten – insbesondere an den Stationen und im Workshop-Zugang – wird Turnstile nicht geladen.
Beim Aufruf einer dieser Seiten lädt Ihr Browser ein Skript von Cloudflare. Cloudflare verarbeitet dabei technische Daten Ihres Geräts und Browsers einschließlich Ihrer IP-Adresse, um menschliche Besucher von automatisierten Zugriffen zu unterscheiden. Beim Absenden des Formulars lassen wir das Ergebnis von Cloudflare bestätigen und übermitteln dazu das von Turnstile erzeugte Prüfzeichen und Ihre IP-Adresse. Die Inhalte Ihres Formulars (z. B. Name, E-Mail-Adresse oder Nachricht) übermitteln wir nicht an Cloudflare.
Rechtsgrundlage ist unser berechtigtes Interesse am Schutz unserer Formulare vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Dabei können Daten in die USA übermittelt werden. Grundlage für diese Übermittlung sind die Standardvertragsklauseln der EU-Kommission gemäß Art. 46 DSGVO; auch hier besteht grundsätzlich das Risiko eines Zugriffs durch US-Behörden.
ThinkLab wird unter anderem bei Bildungs- und Schulveranstaltungen eingesetzt, an denen Minderjährige teilnehmen können. In Österreich ist eine datenschutzrechtliche Einwilligung von Minderjährigen erst ab Vollendung des 14. Lebensjahres wirksam (§ 4 Abs. 4 österreichisches DSG).
Bei Terminen mit minderjährigen Teilnehmern unter 14 Jahren holen wir vor der Nutzung der KI-Stationen eine Einwilligung der Erziehungsberechtigten bzw. der verantwortlichen Lehrkräfte ein. Diese Einwilligung umfasst insbesondere die KI-Verarbeitung der Eingaben und die damit verbundene Datenübermittlung an Google in die USA (Abschnitt 8.3).
Eigene Konten erst ab 14 Jahren. Bei der Registrierung eines eigenen Kontos bestätigt die Person, dass sie mindestens 14 Jahre alt ist (Abschnitt 6.1). Kinder unter 14 Jahren nutzen ThinkLab nur über den Workshop-Zugang einer Einrichtung (Abschnitt 11), für den die Einrichtung verantwortlich ist (Abschnitt 12).
Wir setzen ausschließlich technisch notwendige Cookies, kein Tracking, keine Analyse-Dienste Dritter:
Eine Einwilligung ist nicht erforderlich, da alle Cookies für den Betrieb zwingend notwendig sind (§ 165 Abs. 3 TKG 2021).
Für Workshops stellen wir einen pseudonymen Zugang bereit, damit Teilnehmende ihre Arbeitsstände (z. B. 3D-/Druck-/AR-Werkstücke, MINT-Reise) speichern und am Ende abholen können. Verarbeitet werden dabei:
Wir erheben für diesen Zugang keine Klarnamen und keine Kontaktdaten. Ein Alter (Geburtsjahr und -monat) speichern wir nur, wenn das Kind es selbst angibt.
Im Workshop-Zugang können Kinder freiwillig ihr Geburtsjahr und ihren Geburtsmonat angeben (kein Geburtstag) und eine gezeichnete Spielfigur (Avatar) aus festen Vorgaben zusammenstellen (Hautton, Frisur, Haarfarbe, Kleidung). Zweck: Bereiche mit einer Altersgrenze, zum Beispiel die VR-Brille ab 12 Jahren, öffnen sich zum richtigen Zeitpunkt, und die Spielfigur erscheint auf der Reise. Wir speichern dafür kein Geschlecht, keine Fotos und keinen Klarnamen. Freigeschaltete Extras, Erfolge und Kristalle werden aus den ohnehin gespeicherten Stationsbesuchen berechnet und nicht eigens gespeichert. Daneben speichern wir zwei technische Zeitpunkte (Einstieg erledigt, letzter Besuch), damit Hinweise nur einmal erscheinen.
Die Lehrkraft sieht die Spielfigur und den Fortschritt, nicht das Geburtsjahr und nicht den Geburtsmonat. Alter und Spielfigur sind freiwillig; ohne Altersangabe bleiben Stationen mit Altersgrenze versiegelt, alle anderen sind offen.
Selbstauskunft. Die Altersangabe macht das Kind selbst. Die Selbstauskunft ersetzt nicht die Aufsicht an der VR-Brille.
Löschung. Die Angaben können jederzeit in der „Basis“ geändert oder gelöscht werden („Alter löschen“). Sie werden zusammen mit dem Workshop-Zugang gelöscht: wenn die Lehrkraft bzw. Organisation das Kind oder die Gruppe löscht, am Ende der Aufbewahrungsfrist der Gruppe (siehe Abschnitt 13) und bei der Absage einer Buchung, deren Gruppe gelöscht wird.
Führen wir einen Workshop im Auftrag einer Schule, einer Einrichtung oder eines Veranstalters durch (z. B. INNOS), ist diese Stelle datenschutzrechtlich Verantwortliche für die Teilnehmerdaten; sie führt insbesondere die Teilnehmerliste. Mader Studio verarbeitet die oben genannten Pseudonym-Daten in deren Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Betroffene wenden sich mit Auskunfts- und Löschbegehren bitte an den jeweiligen Veranstalter; wir unterstützen diesen dabei.
Eine Löschung auf Anfrage ist jederzeit über den Veranstalter bzw. uns möglich.
Ihnen stehen hinsichtlich der Sie betreffenden personenbezogenen Daten folgende Rechte zu:
Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die in Abschnitt 1 genannten Kontaktdaten.
Mit einem eigenen Konto selbst erledigen („Mein Bereich“ → „Mein Konto“):
Was eine Einrichtung für ihren Betrieb braucht, bleibt ohne Bezug zu Ihnen erhalten: Ein Workshop-Termin, den Sie bei einer Einrichtung angefragt haben, bleibt als Termin bestehen, aber ohne Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht. Ihre Besuche an Stationen zählen weiter in der Statistik, als anonyme Besuche; Werkstücke aus einer Workshop-Gruppe bleiben der Gruppe ohne Bezug zu Ihnen erhalten. Wo eine Einrichtung festhält, wer etwas getan hat (z. B. eine Gruppe angelegt oder einen Termin zugesagt), wird Ihr Konto entfernt oder es bleibt nur eine interne Kennung, die nach der Löschung keinem Konto und keiner Person mehr zugeordnet werden kann. Wir halten fest, dass eine Löschung stattgefunden hat – nur mit Anzahlen, ohne Namen und ohne Adresse.
Sind Sie die einzige Laborleitung einer Einrichtung, laden Sie bitte zuerst eine weitere Laborleitung ein; sonst bliebe die Einrichtung ohne Verwaltung. Ein Konto mit Plattform-Verwaltung kann nicht selbst gelöscht werden. In beiden Fällen und bei allen anderen Anliegen helfen wir Ihnen über die Kontaktdaten in Abschnitt 1.
Für den Workshop-Zugang von Kindern (Pseudonym-Konten) gilt Abschnitt 12: Ansprechpartner ist die jeweilige Einrichtung. Für den Schulbereich (Abschnitt 6a) sind wir Ansprechpartner, solange mit der Schule keine Vereinbarung zur Auftragsverarbeitung besteht.
Beschwerderecht: Unbeschadet anderer Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die in Österreich zuständige Behörde ist die Österreichische Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at).
Zur Auslieferung bestimmter technischer Komponenten (z. B. Darstellungs- und Skript-Bibliotheken) können Inhalte über ein Content Delivery Network (cdn.jsdelivr.net) geladen werden. Dabei wird technisch bedingt die IP-Adresse Ihres Geräts an den Anbieter des Netzwerks übertragen.
Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung dies erforderlich machen. Es gilt jeweils die aktuelle, auf dieser Website veröffentlichte Fassung.
Stand: 2. November 2026