Datenschutz bei JurAkadabra Campus
Hinweise für Hochschulen, Studierende und Lehrende · Stand: 9. November 2026 · English version
Diese Hinweise gelten für JurAkadabra Campus, die Einbindung unserer Klausuren und Minifälle in Moodle und ILIAS an Hochschulen. Für die Website jurakadabra.de und die App JurAkadabra gilt die Datenschutzerklärung von jurakadabra.de.
1. Wer verantwortlich ist
Setzt eine Hochschule JurAkadabra Campus in ihrer Lernplattform ein, ist sie für die Verarbeitung der Daten ihrer Studierenden und Lehrenden verantwortlich (Art. 4 Nr. 7 DSGVO). Sie entscheidet, ob und in welchen Kursen der Campus genutzt wird. JurAkadabra verarbeitet diese Daten als Auftragsverarbeiter, nur in ihrem Auftrag und nach ihren Weisungen (Art. 28 DSGVO). Eine Lernplattform schalten wir erst frei, wenn mit der Hochschule ein Vertrag über die Auftragsverarbeitung geschlossen ist.
Auf welcher Rechtsgrundlage die Hochschule die Daten verarbeiten lässt, legt sie selbst fest und nennt sie in ihren eigenen Datenschutzhinweisen. Dort stehen auch die Kontaktdaten ihrer oder ihres Datenschutzbeauftragten.
- Auftragsverarbeiter
- Damnjanovic & Jaber GbR (JurAkadabra), vertreten durch die Gesellschafter Sascha Damnjanovic und Ahmed Jaber
- Anschrift
- Hoffmann-von-Fallersleben-Weg 88
48165 Münster
Deutschland - info@jurakadabra.de
Für die Statusseite unter campus.jurakadabra.de ist JurAkadabra selbst verantwortlich, dazu Abschnitt 9.
2. Daten aus der Lernplattform
Öffnet jemand eine Campus-Aktivität, sendet die Lernplattform eine signierte Startnachricht nach dem Standard LTI 1.3. Wir verwenden daraus nur diese Angaben:
| Angabe | Wozu |
|---|---|
| Kennung der Person in der Lernplattform | Konto zuordnen, Abgaben zählen, Punkte zurückmelden. Die Kennung enthält keinen Namen; wer dahintersteht, kann nur die Hochschule feststellen. |
| Rolle, etwa Studierende, Lehrende oder Administration | Zugang zu Auswertung und Hochschul-Konsole |
| Kennung und Titel von Kurs und Aktivität | Abgaben der richtigen Aktivität zuordnen, Auswertung je Kurs |
| Sprache der Oberfläche und Rücksprungadresse in den Kurs | Anzeige auf Deutsch oder Englisch, Knopf „Zurück zu Moodle“ |
| Adresse der Bewertungsspalte | Punkte ins Bewertungsbuch zurückgeben, wenn die Hochschule das eingeschaltet hat |
Namen und E-Mail-Adressen fordern wir bei der Registrierung nicht an. Sendet eine Lernplattform sie trotzdem mit, werden sie weder gespeichert noch weitergegeben. Unsere Datenbank hat für Namen oder E-Mail-Adressen von Studierenden und Lehrenden kein Feld.
3. Bearbeitung, Bewertung und Auswertung
Zu jeder Abgabe speichern wir den geschriebenen Text, die Zahl der Wörter, den Zeitpunkt, den Fall, Kurs und Aktivität, das Ergebnis der Bewertung (Punkte, Notenstufe, Votum, Notenraster, Stärken und Schwächen) und ob die Punkte an die Lernplattform übermittelt wurden.
Studierende sehen ihre eigenen Abgaben. Im Übungsmodus sehen Lehrende keine einzelnen Abgaben, sondern nur zusammengefasste Werte ihrer Aktivitäten und Kurse: Zahl der Abgaben, Notenverteilung, Mittelwert und häufige Fehlerpunkte. Diese Werte erscheinen erst, wenn mindestens fünf Personen abgegeben haben; ein Fehlerpunkt erscheint nur, wenn er bei mindestens zwei Personen vorkam. Die Administration der Lernplattform sieht in der Hochschul-Konsole Nutzungszahlen ihrer Plattform, ebenfalls ohne einzelne Personen.
Ist die Rückgabe ins Bewertungsbuch eingeschaltet, erhält die Lernplattform die Kennung der Person, die Punktzahl von 0 bis 18 und einen kurzen Vermerk, etwa „JurAkadabra: 14 von 18 Punkten (gut).“
Die Bewertung ist eine automatisch erzeugte Rückmeldung. Im Übungsmodus erscheint sie ohne menschliche Nachkorrektur. Über Prüfungsleistungen entscheidet nicht der Campus, sondern die Hochschule; im Prüfungsmodus geben die Lehrenden jedes Ergebnis selbst frei.
Bitte keine Angaben zur Person in die Bearbeitung
Schreiben Sie weder Ihren Namen noch Ihre Matrikelnummer in den Text. Er wird für die Bewertung übermittelt und bis zur Löschung gespeichert.
Prüfungsmodus. Lehrende können eine Aktivität als Prüfung einstellen, entweder im Vollbild oder im Safe Exam Browser. Jede Person hat dann einen Versuch. Zum Versuch speichert der Campus eine zufällige Prüfungskennung (etwa „K7M-3QX“), Beginn, Ende und Bearbeitungszeit, alle paar Sekunden den Zwischenstand des Textes, den Zeitpunkt der letzten Verbindung und ein Protokoll der Ereignisse: Start, Abgabe, Ablauf der Zeit, Verlassen des Vollbilds, Wechsel in ein anderes Fenster oder einen anderen Tab, Neuladen der Seite, Start des Safe Exam Browsers und Entscheidungen der Lehrenden. Bildschirm, Kamera, Mikrofon, andere Programme und die Zwischenablage erfasst der Campus nicht. Er bemerkt nur, ob die Seite im Vollbild und im Vordergrund ist, und lässt sich nur Text einfügen, der aus der Seite selbst kopiert wurde.
Im Prüfungsmodus sehen Lehrende jeden Versuch einzeln mit Prüfungskennung, Protokoll, Text und Bewertung, aber ohne Namen. Die Kennung sieht außer ihnen nur die Person selbst. Ergebnis und Punkte erscheinen erst nach der Freigabe durch die Lehrenden; erst dann gehen die Punkte ins Bewertungsbuch. Ob ein abgebrochener Versuch fortgesetzt oder bewertet wird und ob ein Abbruch als Täuschungsversuch gilt, entscheiden Lehrende und Prüfungsamt, nicht der Campus.
Verlangt die Aktivität den Safe Exam Browser (eine Software der ETH Zürich, die Sie selbst installieren), lädt er von uns eine Einstellungsdatei und meldet über seine Schnittstelle einen Prüfwert. Daran erkennt der Campus, dass der Safe Exam Browser mit genau dieser Datei läuft. Weitere Daten erhalten wir vom Safe Exam Browser nicht.
4. Bewertung und Musterlösung durch ein Sprachmodell
Die Bewertung erstellt ein Sprachmodell von OpenAI. Übermittelt werden der Sachverhalt, die Aufgaben, die Musterlösung und der abgegebene Text. Kennung, Rolle, Kurs und Hochschule der Person werden nicht übermittelt; OpenAI erfährt nicht, von wem ein Text stammt.
Die Musterlösung zu einem Fall erstellt dasselbe Sprachmodell allein aus Sachverhalt und Aufgaben, ohne personenbezogene Daten. Dafür ruft der Dienst Gesetzestexte von gesetze-im-internet.de und der Schnittstelle des Bundes für Rechtsinformationen ab, ersatzweise über den Lesedienst r.jina.ai der Jina AI GmbH (Berlin); dabei gehen nur Adressen öffentlicher Normen hinaus. Für die Musterlösung kann das Modell außerdem amtliche Quellen im Internet durchsuchen.
Nach den Vertragsbedingungen von OpenAI werden über die Schnittstelle übermittelte Inhalte nicht zum Training der Modelle verwendet. Bewertungen fordern wir so an, dass OpenAI die Antwort nicht für spätere Abrufe aufbewahrt. Zur Missbrauchskontrolle speichert OpenAI Inhalte nach eigenen Angaben bis zu 30 Tage.
Wir nutzen OpenAI derzeit ohne Datenresidenz in der EU. Die Verarbeitung kann deshalb auch in den USA stattfinden; die Grundlage der Übermittlung steht in Abschnitt 7.
5. Speicherung im Browser
Der Campus setzt ein einziges Cookie und legt einige Werte im Speicher Ihres Browsers ab. Alles davon ist für den Dienst, den Sie aufrufen, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung braucht es dafür nicht.
| Name | Art | Zweck | Dauer |
|---|---|---|---|
lti_z_… | Cookie | Prüfwert, der den Start aus der Lernplattform gegen untergeschobene Anmeldungen absichert | 10 Minuten; wird beim Start gelöscht |
campus_token | Sitzungsspeicher | Sitzungsschlüssel für die geöffnete Aktivität | bis zum Schließen des Tabs; auf dem Server nach 10 Stunden ungültig |
campus_sprache | Sitzungsspeicher | gewählte Sprache | bis zum Schließen des Tabs |
campus_entwurf:… | lokaler Speicher | Entwurf Ihrer Bearbeitung, damit beim Neuladen nichts verloren geht | bis zur Abgabe; Entwürfe, die 30 Tage nicht gespeichert wurden, entfernt der Campus beim nächsten Öffnen |
campus_pruefung:… | lokaler Speicher | Kopie Ihres Prüfungstextes, falls die Verbindung kurz abbricht | bis zur Abgabe; nach 30 Tagen ohne Änderung entfernt der Campus sie beim nächsten Öffnen |
Es gibt keine Analyse- oder Werbecookies und keine Messung. Schriften, Skripte und Bilder kommen von unserem eigenen Server. Arbeiten Sie an einem gemeinsam genutzten Rechner, schließen Sie den Tab nach der Arbeit; einen nicht abgegebenen Entwurf entfernen Sie über die Browserdaten.
6. Speicherdauer und Löschung
| Daten | Löschung |
|---|---|
| Abgaben mit Ergebnis | zwölf Monate nach der Abgabe |
| Prüfungsversuche mit Zwischenstand und Protokoll | zwölf Monate nach dem Beginn |
| Kennung, Plattform und Zeitpunkt der letzten Nutzung | zwölf Monate nach dem letzten Start, mit allen zugehörigen Daten |
| Sitzungen | nach zehn Stunden ungültig, danach entfernt |
| Einmalcodes und Prüfwerte für den Start | nach höchstens 30 Minuten ungültig, danach entfernt |
| Zähler gegen Überlastung, mit Prüfsumme der IP-Adresse | nach zwei Tagen |
Die Fristen prüft der Dienst bei jedem Start aus einer Lernplattform und löscht dabei, was über der Frist liegt.
Die Administration der Lernplattform kann in der Hochschul-Konsole jederzeit alle Daten ihrer Plattform löschen. Nach Ende des Vertrags löschen wir die Daten der Hochschule, soweit der Vertrag über die Auftragsverarbeitung nichts anderes bestimmt.
Änderungen an Einstellungen, Freischaltungen und Löschungen protokollieren wir ohne Inhalte und ohne Kennungen von Studierenden oder Lehrenden. Musterlösungen enthalten keine personenbezogenen Daten.
7. Empfänger und Unterauftragsverarbeiter
Wir geben Daten nicht zu eigenen Zwecken an Dritte weiter. Für den Betrieb setzen wir diese Dienstleister ein; sie verarbeiten die Daten als Unterauftragsverarbeiter nach unseren Weisungen:
| Dienstleister | Aufgabe | Ort | Grundlage der Übermittlung |
|---|---|---|---|
| Supabase Pte. Ltd. (Singapur) | Datenbank und Serverfunktionen | Frankfurt am Main (EU) | Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914). Nach Angaben des Anbieters sind Weiterübermittlungen an Unterauftragsverarbeiter in den USA und in Singapur möglich. |
| Cloudflare, Inc. (USA) | Auslieferung der Seiten, Weiterleitung der Anfragen, Schutz vor Angriffen | weltweites Netz; eine Verbindung endet in einem Rechenzentrum nahe der aufrufenden Person | Auftragsverarbeitungszusatz mit Standardvertragsklauseln; Angemessenheitsbeschluss EU–USA (Cloudflare, Inc. nimmt am Data Privacy Framework teil) |
| OpenAI Ireland Ltd. (Dublin, Irland) | Bewertung und Musterlösung | Verarbeitung auch in den USA möglich | Standardvertragsklauseln, die OpenAI in seine Auftragsverarbeitungsbedingungen einbezieht; OpenAI ist im Data Privacy Framework nicht gelistet |
Empfänger ist außerdem die Lernplattform der Hochschule, wenn Punkte ins Bewertungsbuch zurückgegeben werden (Abschnitt 3).
Zum Angemessenheitsbeschluss vom 10. Juli 2023 (EU-US Data Privacy Framework): Er ist in Kraft, wird aber gerichtlich überprüft (Rechtssache C-703/25 P beim Gerichtshof der Europäischen Union). Übermittlungen in die USA stützen wir deshalb, wo vertraglich vorgesehen, zusätzlich auf Standardvertragsklauseln nach Art. 46 Abs. 2 Buchst. c DSGVO. Die aktuelle Liste der Unterauftragsverarbeiter erhalten Hochschulen mit dem Vertrag über die Auftragsverarbeitung.
8. Sicherheit
- Verbindungen nur verschlüsselt (TLS, HSTS).
- Die Datenbank ist über die öffentliche Schnittstelle von Supabase nicht abrufbar. Zugriff hat nur die Serverfunktion, und die nimmt nur Anfragen über campus.jurakadabra.de an.
- Startnachrichten prüfen wir mit dem Schlüssel der Lernplattform; Sitzungsschlüssel speichern wir nur als Prüfsumme (SHA-256).
- Die Mengenbegrenzung arbeitet mit einer Prüfsumme der IP-Adresse, gebildet mit einem geheimen Schlüssel. Die IP-Adresse selbst speichern wir nicht.
- Strenge Content Security Policy, keine Skripte von fremden Servern.
- Getrennt von der App JurAkadabra: eigenes Projekt, eigene Datenbank, keine Verbindung zu Konten der App.
- Unsere Server-Protokolle enthalten Pfad, Methode, Status und Dauer der Anfragen, bei Fehlern die Nummer des betroffenen Vorgangs; keine IP-Adressen, keine Kennungen aus der Lernplattform und keine Inhalte.
- Die interne Verwaltung ist nur dem Team von JurAkadabra zugänglich, hinter einer zusätzlichen Anmeldung über Cloudflare Access.
9. Statusseite und Website
Diese Seite und die Seite JurAkadabra Campus gehören zur Website jurakadabra.de. Für ihren Aufruf gilt die Datenschutzerklärung von jurakadabra.de.
Unter campus.jurakadabra.de laufen die Aktivitäten, die aus der Lernplattform gestartet werden. Öffentlich erreichbar ist dort außerdem eine Statusseite; wer die Startadresse aufruft, wird auf jurakadabra.de/campus weitergeleitet. Für die Statusseite ist JurAkadabra verantwortlich, Kontakt in Abschnitt 1. Beim Aufruf verarbeitet Cloudflare die technisch notwendigen Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge und die Kennung von Browser und Betriebssystem. Zweck ist die Auslieferung der Seite und die Abwehr von Angriffen; Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 Buchst. f DSGVO). Wie lange Cloudflare diese Daten aufbewahrt, richtet sich nach den Vorgaben von Cloudflare; wir werten sie nicht aus.
Die Statusseite setzt keine Cookies und lädt keine Inhalte von fremden Servern. Sie fragt alle 60 Sekunden den Zustand des Dienstes ab; dabei wird nichts über Sie gespeichert.
Schreiben Sie uns eine E-Mail, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu beantworten (Art. 6 Abs. 1 Buchst. b DSGVO, wenn es um einen Vertrag geht, sonst Buchst. f). Unser Postfach betreibt Microsoft; Einzelheiten stehen in der Datenschutzerklärung von jurakadabra.de.
10. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Beruht eine Verarbeitung auf Art. 6 Abs. 1 Buchst. e oder f DSGVO, können Sie ihr aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21).
Für Daten aus der Lernplattform wenden Sie sich bitte an Ihre Hochschule. Weil wir keine Namen kennen, können wir Ihnen Daten nur über die Hochschule zuordnen; wir unterstützen sie dabei. Für die Statusseite erreichen Sie uns unter info@jurakadabra.de.
Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der für Ihre Hochschule zuständigen. Für JurAkadabra zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, poststelle@ldi.nrw.de.
11. Änderungen
Ändert sich die Verarbeitung, etwa durch einen neuen Dienstleister, passen wir diese Hinweise an und informieren die Hochschulen vorab. Maßgeblich ist die jeweils hier veröffentlichte Fassung.
Privacy on JurAkadabra Campus
Information for universities, students and lecturers · As of 9 November 2026 · Deutsche Fassung
This information applies to JurAkadabra Campus, the integration of our exams and short cases into Moodle and ILIAS at universities. The website jurakadabra.de and the JurAkadabra app are covered by the privacy policy of jurakadabra.de (in German). This translation is provided for convenience; the German version is authoritative.
1. Who is responsible
When a university uses JurAkadabra Campus in its learning platform, the university is the controller for the data of its students and lecturers (Art. 4(7) GDPR). It decides whether and in which courses Campus is used. JurAkadabra processes these data as a processor, only on the university’s behalf and according to its instructions (Art. 28 GDPR). We activate a learning platform only after a data processing agreement has been concluded with the university.
The university determines the legal basis on which it has the data processed and states it in its own privacy notice. That notice also contains the contact details of its data protection officer.
- Processor
- Damnjanovic & Jaber GbR (JurAkadabra), represented by its partners Sascha Damnjanovic and Ahmed Jaber
- Address
- Hoffmann-von-Fallersleben-Weg 88
48165 Münster
Germany - info@jurakadabra.de
JurAkadabra itself is the controller for the status page at campus.jurakadabra.de; see section 9.
2. Data from the learning platform
When someone opens a Campus activity, the learning platform sends a signed launch message according to the LTI 1.3 standard. From it, we only use the following:
| Data | Purpose |
|---|---|
| Identifier of the person in the learning platform | Assign the account, count submissions, report points back. The identifier contains no name; only the university can tell who is behind it. |
| Role, e.g. student, lecturer or administrator | Access to results and the university console |
| Identifier and title of course and activity | Assign submissions to the right activity, results per course |
| Interface language and return address to the course | Display in German or English, “Back to Moodle” button |
| Address of the grade column | Return points to the gradebook if the university has enabled it |
We do not request names or email addresses when the platform registers. If a learning platform sends them anyway, they are neither stored nor passed on. Our database has no field for names or email addresses of students or lecturers.
3. Answers, assessment and results
For each submission we store the written text, the number of words, the time, the case, course and activity, the result of the assessment (points, grade, evaluation, grading grid, strengths and weaknesses) and whether the points were transmitted to the learning platform.
Students see their own submissions. In practice mode, lecturers do not see individual submissions, only aggregated figures for their activities and courses: number of submissions, grade distribution, mean and frequent mistakes. These figures only appear once at least five people have submitted; a mistake only appears if it occurred for at least two people. The platform administration sees usage figures for its platform in the university console, likewise without individual people.
If gradebook passback is enabled, the learning platform receives the person’s identifier, the score from 0 to 18 and a short note, such as “JurAkadabra: 14 of 18 points (gut).”
The assessment is automatically generated feedback. In practice mode it appears without human review. Campus does not decide on examination results; the university does. In exam mode, lecturers release every result themselves.
Please keep personal details out of your answer
Do not write your name or student number into the text. It is transmitted for the assessment and stored until it is deleted.
Exam mode. Lecturers can set an activity up as an exam, either in full screen or in Safe Exam Browser. Each person then has one attempt. For the attempt, Campus stores a random exam code (such as “K7M-3QX”), start, end and time allowed, the current state of the text every few seconds, the time of the last connection and a log of events: start, submission, time running out, leaving full screen, switching to another window or tab, reloading the page, starting Safe Exam Browser and decisions by the lecturers. Campus does not record your screen, camera, microphone, other programs or clipboard. It only notices whether the page is in full screen and in the foreground, and it only accepts pasted text that was copied from the page itself.
In exam mode, lecturers see each attempt individually with exam code, log, text and assessment, but without names. Apart from them, only the person sees the code. Result and points appear only after the lecturers release them; only then are the points sent to the gradebook. Whether a cancelled attempt is continued or assessed, and whether a cancellation counts as attempted cheating, is decided by the lecturers and the examination office, not by Campus.
If the activity requires Safe Exam Browser (software by ETH Zurich that you install yourself), it downloads a settings file from us and reports a check value through its interface. This tells Campus that Safe Exam Browser is running with exactly this file. We receive no other data from Safe Exam Browser.
4. Assessment and model solution by a language model
The assessment is produced by an OpenAI language model. We transmit the facts of the case, the questions, the model solution and the submitted text. The person’s identifier, role, course and university are not transmitted; OpenAI does not learn who wrote a text.
The model solution for a case is produced by the same language model from the facts and questions alone, without personal data. For this, the service retrieves statutes from gesetze-im-internet.de and the federal legal information interface, alternatively via the reader service r.jina.ai of Jina AI GmbH (Berlin); only addresses of public statutes are sent. The model may also search official sources on the internet for the model solution.
Under OpenAI’s contractual terms, content sent via the interface is not used to train its models. We request assessments in a way that OpenAI does not keep the response for later retrieval. According to OpenAI, content is stored for up to 30 days for abuse monitoring.
We currently use OpenAI without data residency in the EU. Processing may therefore also take place in the USA; the transfer mechanism is described in section 7.
5. Storage in your browser
Campus sets a single cookie and keeps a few values in your browser’s storage. All of this is strictly necessary for the service you request (§ 25(2) no. 2 TDDDG); no consent is required.
| Name | Type | Purpose | Duration |
|---|---|---|---|
lti_z_… | Cookie | Check value securing the launch from the learning platform against forged logins | 10 minutes; deleted at launch |
campus_token | Session storage | Session key for the open activity | until the tab is closed; invalid on the server after 10 hours |
campus_sprache | Session storage | Chosen language | until the tab is closed |
campus_entwurf:… | Local storage | Draft of your answer, so that nothing is lost on reload | until submission; drafts not saved for 30 days are removed the next time Campus is opened |
campus_pruefung:… | Local storage | Copy of your exam text in case the connection drops briefly | until submission; removed the next time Campus is opened after 30 days without changes |
There are no analytics or advertising cookies and no tracking. Fonts, scripts and images come from our own server. On a shared computer, close the tab when you are done; you can remove a draft that was not submitted via your browser data.
6. Retention and deletion
| Data | Deletion |
|---|---|
| Submissions with results | twelve months after submission |
| Exam attempts with saved state and log | twelve months after the start |
| Identifier, platform and time of last use | twelve months after the last launch, with all related data |
| Sessions | invalid after ten hours, then removed |
| One-time codes and launch check values | invalid after 30 minutes at most, then removed |
| Counters against overload, with a keyed hash of the IP address | after two days |
The service checks these periods at every launch from a learning platform and deletes data past the deadline.
The platform administration can delete all data of its platform at any time in the university console. When the contract ends, we delete the university’s data unless the data processing agreement provides otherwise.
We log changes to settings, activations and deletions without content and without identifiers of students or lecturers. Model solutions contain no personal data.
7. Recipients and sub-processors
We do not pass data to third parties for their own purposes. We use the following service providers, who process the data as sub-processors under our instructions:
| Provider | Task | Location | Transfer mechanism |
|---|---|---|---|
| Supabase Pte. Ltd. (Singapore) | Database and server functions | Frankfurt am Main (EU) | Standard Contractual Clauses (Implementing Decision (EU) 2021/914). According to the provider, onward transfers to sub-processors in the USA and Singapore are possible. |
| Cloudflare, Inc. (USA) | Delivery of the pages, forwarding of requests, protection against attacks | Global network; a connection ends at a data centre near the person | Data Processing Addendum with Standard Contractual Clauses; EU–US adequacy decision (Cloudflare, Inc. participates in the Data Privacy Framework) |
| OpenAI Ireland Ltd. (Dublin, Ireland) | Assessment and model solution | Processing also possible in the USA | Standard Contractual Clauses incorporated in OpenAI’s data processing terms; OpenAI is not listed in the Data Privacy Framework |
The university’s learning platform is also a recipient when points are returned to the gradebook (section 3).
On the adequacy decision of 10 July 2023 (EU-US Data Privacy Framework): it is in force but under judicial review (case C-703/25 P before the Court of Justice of the European Union). Where contractually provided, we therefore additionally base transfers to the USA on Standard Contractual Clauses under Art. 46(2)(c) GDPR. Universities receive the current list of sub-processors with the data processing agreement.
8. Security
- Connections are encrypted only (TLS, HSTS).
- The database cannot be queried through Supabase’s public interface. Only the server function has access, and it only accepts requests via campus.jurakadabra.de.
- We verify launch messages with the learning platform’s key and store session keys only as a hash (SHA-256).
- Rate limiting uses a hash of the IP address computed with a secret key. We do not store the IP address itself.
- Strict Content Security Policy, no scripts from third-party servers.
- Separate from the JurAkadabra app: own project, own database, no link to app accounts.
- Our server logs contain path, method, status and duration of requests, and for errors the number of the affected operation; no IP addresses, no identifiers from the learning platform and no content.
- Internal administration is accessible only to the JurAkadabra team, behind an additional login via Cloudflare Access.
9. Status page and website
This page and the JurAkadabra Campus page are part of the website jurakadabra.de. Visiting them is covered by the privacy policy of jurakadabra.de (in German).
The activities launched from the learning platform run at campus.jurakadabra.de. A status page is also publicly available there; visitors to the start address are redirected to jurakadabra.de/campus. JurAkadabra is the controller for the status page; contact in section 1. When you visit it, Cloudflare processes the technically necessary connection data: IP address, time, requested address, status code, amount of data transferred and the browser and operating system identifier. The purpose is delivering the page and fending off attacks; the legal basis is our legitimate interest in secure operation (Art. 6(1)(f) GDPR). How long Cloudflare keeps these data follows Cloudflare’s rules; we do not analyse them.
The status page sets no cookies and loads no content from third-party servers. It queries the state of the service every 60 seconds; no data about you is stored in the process.
If you email us, we process your details to answer your request (Art. 6(1)(b) GDPR where a contract is concerned, otherwise point (f)). Our mailbox is operated by Microsoft; details are in the privacy policy of jurakadabra.de.
10. Your rights
You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18) and data portability (Art. 20). Where processing is based on Art. 6(1)(e) or (f) GDPR, you may object to it on grounds relating to your particular situation (Art. 21).
For data from the learning platform, please contact your university. Because we do not know any names, we can only match data to you via the university; we support it in doing so. For the status page, contact info@jurakadabra.de.
You may also lodge a complaint with a data protection supervisory authority (Art. 77 GDPR), for example the one responsible for your university. The authority responsible for JurAkadabra is: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, Germany, poststelle@ldi.nrw.de.
11. Changes
If the processing changes, for example due to a new service provider, we update this information and notify the universities in advance. The version published here applies.