Datenschutzerklärung

1. Verantwortlicher

2. Schülerdaten und lokale Verarbeitung

Die reguläre Auswertung importierter Fehlzeit- und Schülerdaten findet lokal im Browser des Kunden statt, insbesondere im Arbeitsspeicher und in IndexedDB. Diese Inhaltsdaten werden bei der lokalen Analyse nicht an uns übertragen. Verantwortlicher für diese Verarbeitung ist die jeweilige Schule oder sonstige nutzende Organisation; sie bestimmt Zwecke, Rechtsgrundlage, Zugriffsberechtigungen und Löschfristen.

3. Hosting und technische Infrastruktur

Website, Datenbank, selbst gehostete Webanalyse und SMTP-Versand werden auf Infrastruktur der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, betrieben. Die Verarbeitung erfolgt auf Servern in Deutschland. Mit dem Hoster besteht eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO.

Die Verarbeitung ist zur Bereitstellung unserer Leistungen und zur Durchführung vorvertraglicher Maßnahmen erforderlich (Art. 6 Abs. 1 lit. b DSGVO) beziehungsweise beruht auf unserem berechtigten Interesse an einem sicheren, verfügbaren und wirtschaftlichen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Website, Protokolle und erforderliche Cookies

Server-Protokolle

Beim Aufruf verarbeiten Server und vorgeschaltete Systeme insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, HTTP-Status, übertragene Datenmenge, Browser und Betriebssystem. Dies dient Auslieferung, Fehleranalyse, Missbrauchsabwehr und Sicherheit auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Protokolle werden gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind; bei einem Sicherheitsvorfall können betroffene Auszüge bis zur Klärung und Durchsetzung von Ansprüchen länger gespeichert werden.

Technisch erforderliche Speicherung im Endgerät

Die folgenden Cookies sind für ausdrücklich gewünschte Funktionen erforderlich. Rechtsgrundlage für die Speicherung oder den Zugriff im Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung beruht je nach Funktion auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

• _preferred-theme: gewähltes helles oder dunkles Design, Speicherdauer zwölf Monate.
• _sidebar_state: Zustand der Seitennavigation, Speicherdauer sieben Tage.
• _consent: Dokumentation der Auswahl im Cookie-Hinweis, Speicherdauer sechs Monate.
• __Secure-better-auth.session_token, in lokalen Umgebungen gegebenenfalls better-auth.session_token: zufälliger Sitzungsnachweis für angemeldete Accounts; Zuordnung und Ablauf werden serverseitig verwaltet.
• _license: signierter Lizenznachweis mit Lizenz-ID, Lizenzversion, wirksamer Variante und technischen Berechtigungsangaben. Der Browser speichert ihn regulär bis zu 30 Tage; der darin enthaltene Nachweis wird in kürzeren Abständen geprüft und bei weiterhin gültiger Lizenz erneuert.
• _license_installation: zufällige, pseudonyme Kennung einer Browserinstallation bei entsprechend begrenzten Lizenzen. Sie ist kein eigenständiger Lizenznachweis und wird nominell bis zu zwei Jahre gespeichert. Bei einer erfolgreichen Erneuerung des signierten Lizenznachweises beginnt diese Frist erneut.

Diese Cookies werden nicht zu Werbezwecken eingesetzt. Sie können sie im Browser löschen; erforderliche Funktionen stehen dann gegebenenfalls nicht mehr zur Verfügung.

5. Self-Service-Testanfragen

Bei einer Testanfrage verarbeiten wir Schulname, Kürzel, Anschrift, Bundesland, Name und Funktion der Kontaktperson, dienstliche E-Mail-Adresse, optionalen Partnercode, gewünschte Testdauer, Bestätigungs- und Statuszeitpunkte sowie die Versionen der zur Kenntnis genommenen beziehungsweise akzeptierten Rechtstexte. Ein aus den Anfragedaten abgeleiteter Fingerprint verhindert parallele Doppelanfragen; der Verifizierungstoken wird nur gehasht gespeichert.

Zwecke sind die Prüfung und Bearbeitung der B2B-Anfrage, Verifizierung der dienstlichen E-Mail-Adresse, Missbrauchsabwehr, Ausstellung und Verwaltung von Schule, Lizenz und Testberechtigung sowie der hierfür erforderliche E-Mail-Versand. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche und vertragliche Maßnahmen sowie Art. 6 Abs. 1 lit. f DSGVO für die Verarbeitung von Kontaktdaten handelnder Beschäftigter, Systemsicherheit, Dubletten- und Missbrauchsabwehr.

Offene Anfragen laufen standardmäßig nach 24 Stunden ab. Abgelaufene oder abgelehnte und nie ausgestellte Anfragen werden standardmäßig 30 Tage später einschließlich Versandprotokoll gelöscht. Diese Fristen können aus Sicherheits- oder Betriebsgründen innerhalb der in der Anwendung vorgesehenen Grenzen angepasst werden. Ausgestellte Anfragen werden als Teil der Lizenz- und Vertragsdokumentation gespeichert.

Freiwillige Produktinformationen

Nur wenn die gesonderte, nicht vorangekreuzte Checkbox aktiviert wird, verarbeiten wir die dienstliche E-Mail-Adresse zum Versand eigener Produktinformationen. Wir speichern Einwilligungszeitpunkt, Textversion, Quelle und einen späteren Widerruf. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG. Die Einwilligung ist freiwillig und für Test oder Vertrag nicht erforderlich. Als bestätigt behandeln wir sie erst zusammen mit der erfolgreichen E-Mail-Verifizierung; eine administrative Direktfreigabe bestätigt weder die E-Mail-Adresse noch die Werbeeinwilligung. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft per E-Mail an kontakt@schott.schule oder über das Kontaktformular widerrufen werden. Die Rechtmäßigkeit bereits erfolgter Verarbeitung bleibt unberührt.

6. Interne Administration und Lizenznutzung

Persönliche Accounts sind für die reguläre Nutzung durch Lehrkräfte nicht erforderlich. Für interne Administrationskonten verarbeiten wir Name, dienstliche E-Mail-Adresse, Einweg-Hash des Passworts, E-Mail-Bestätigungsstatus, Rollen, Zuordnungen zu Schule und Lizenz, akzeptierte Rechtsversionen sowie Anmeldezeitpunkte und bei Admin-Sitzungen IP-Adresse und User-Agent. Bei der Lizenznutzung protokollieren wir Lizenz-ID, Ereignisart, Zeitpunkt, App-Version und einen groben, fest vorgegebenen Funktionsbereich. Dazu gehören erfolgreiche Datenimporte mit der Angabe „Datei“ oder „Erweiterung“, das Löschen lokaler Daten und das Entfernen einer Lizenz vom Gerät. Eine zufällige Browserkennung wird ausschließlich zusammen mit der jeweiligen Lizenz gehasht. Dadurch kann dieselbe Installation innerhalb einer Lizenz pseudonym wiedererkannt, aber nicht lizenzübergreifend verfolgt werden. Bei begrenzten Lizenzen wird für die aktive Zuordnung serverseitig nur dieser lizenzbezogene Hash gespeichert. Ein administrativer Reset oder die Löschung der Lizenz entfernt diese aktive Zuordnung. Ein boolesches Merkmal kennzeichnet lokale Entwicklungsaufrufe; Hostname und URL werden dabei nicht gespeichert. IP-Adresse, User-Agent und vollständige aufgerufene Pfade werden für dieses Nutzungsmonitoring nicht gespeichert.

Die Browserkennung dient weder Werbung noch Fingerprinting und bildet kein physisches Gerät ab. Verschiedene Browser, Browserprofile oder private Fenster können daher als unterschiedliche Installationen behandelt werden.

Die Verarbeitung dient interner Administration und Lizenzbereitstellung, Zugriffskontrolle, Sicherheitsprüfung, Sperrung kompromittierter Zugänge und Nachvollziehbarkeit administrativer Änderungen. Sie beruht auf Art. 6 Abs. 1 lit. b und lit. f DSGVO. Administrative Aktionen werden mit handelndem Admin-Konto, Zeitpunkt und sachbezogenen Vorher-/ Nachher-Werten protokolliert; vollständige Lizenzcodes werden dort nicht gespeichert.

7. Organisations-, Vertrags- und Rechnungsdaten

Zur Verwaltung schulbezogener Verträge und Lizenzen verarbeiten wir Organisations- und Anschriftsdaten, Vertrags- und Rechnungskontakte, dienstliche Kommunikationsdaten, Steuerangaben, externe Referenzen, Lizenzstatus, Laufzeiten und Berechtigungen. Reine Angaben zu einer juristischen Person sind keine personenbezogenen Daten; diese Erklärung gilt, soweit Angaben natürliche Kontaktpersonen betreffen.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO für die B2B-Kommunikation und Vertragsorganisation sowie Art. 6 Abs. 1 lit. c DSGVO für handels- und steuerrechtliche Pflichten.

8. Freiwillige Unterstützung über PayPal

In Absentrix Free können geschäftlich oder dienstlich handelnde Nutzende freiwillig einen finanziellen Beitrag leisten. Vor der Weiterleitung muss bestätigt werden, dass die Zahlung für eine Schule, Bildungseinrichtung, ein Unternehmen oder eine Behörde und nicht zu privaten Zwecken erfolgt. Der Beitrag ist kein Lizenzentgelt und führt nicht zu zusätzlichen Funktionen oder sonstigen Gegenleistungen.

Auf unserer Website ist kein PayPal-Skript, PayPal-iFrame oder PayPal-Cookie eingebunden. Erst beim Betätigen des freigeschalteten PayPal-Links verlässt die zahlende Person Absentrix und ihr Browser stellt eine direkte Verbindung zu PayPal her. Dabei werden technisch insbesondere IP-Adresse, Geräte- und Browserdaten sowie der Zeitpunkt des Aufrufs an PayPal übermittelt. Weitere Angaben werden auf der von PayPal betriebenen Zahlungsseite unmittelbar gegenüber PayPal gemacht.

Für Nutzende im Europäischen Wirtschaftsraum wird der Zahlungsdienst von PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, erbracht. PayPal verarbeitet die für die Zahlung erforderlichen Identifikations-, Kontakt-, Geräte-, Finanz- und Transaktionsdaten als eigenständig Verantwortlicher. Einzelheiten enthält die PayPal-Datenschutzerklärung.

Wir erhalten in unserem PayPal-Geschäftskonto die von PayPal für den Zahlungsempfänger bereitgestellten Transaktionsdaten. Dazu können insbesondere Name oder Firmenname und Kontaktdaten der zahlenden Person, Betrag, Währung, Transaktionskennung, Zahlungsstatus, Zeitpunkt und eine freiwillige Zahlungsmitteilung gehören. Vollständige Karten- oder Bankzugangsdaten erhalten wir nicht.

Wir verarbeiten diese Daten zur Annahme, Zuordnung und Dokumentation der freiwilligen Zahlung, zur Bearbeitung von Erstattungs- oder Rückbuchungsanfragen, zur Missbrauchsabwehr sowie zur Erfüllung handels- und steuerrechtlicher Pflichten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. f DSGVO für unser berechtigtes Interesse an der Abwicklung und Absicherung freiwilliger geschäftlicher Unterstützungszahlungen sowie Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Dokumentations- und Aufbewahrungspflichten. Die Speicherdauer richtet sich nach Ziffer 12.

PayPal kann Daten über Unternehmen der PayPal-Gruppe oder Dienstleister auch außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Nach eigenen Angaben verwendet PayPal hierfür unter anderem genehmigte verbindliche interne Datenschutzvorschriften und Standardvertragsklauseln. Weitere Angaben zu Empfängern und Garantien enthält die oben verlinkte PayPal-Datenschutzerklärung.

9. Kontakt und transaktionale E-Mails

Bei Kontakt per Formular, E-Mail oder Telefon verarbeiten wir die mitgeteilten Kontaktdaten und Inhalte zur Bearbeitung. Das Kontaktformular verarbeitet zusätzlich technische Daten wie IP-Adresse, User-Agent, Zeitpunkte und Spam-Prüfergebnisse zur Missbrauchsabwehr. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Transaktionale E-Mails umfassen insbesondere Account-Verifizierung, Passwort-Reset, Trial-Verifizierung, Lizenzzustellung, Ablauferinnerung und Statusinformationen. Der Versand erfolgt über den eigenen SMTP-Dienst auf der oben genannten Hosting-Infrastruktur. Diese E-Mails sind keine Produktwerbung und für den angeforderten Dienst erforderlich.

10. Selbst gehostete Reichweitenmessung

Wir verwenden die selbst gehostete Open-Source-Software Plausible Analytics. Sie setzt keine Analyse-Cookies und speichert keine Analysekennung im Endgerät. Technische Zugriffsdaten wie Seite, Referrer, Browser-, Betriebssystem- und Geräteklasse, Zeitpunkt und ungefähre Region werden kurzzeitig verarbeitet, um aggregierte Statistiken und benutzerinitiierte Ereignisse zu bilden. Es entstehen keine dauerhaften individuellen Besucherprofile und kein seitenübergreifendes Werbetracking.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in datensparsamer Reichweitenmessung, Fehleranalyse und Verbesserung des Angebots. Die Daten werden auf unserer deutschen Hosting-Infrastruktur verarbeitet und nicht an Plausible Insights OÜ übermittelt.

11. Empfänger und Drittlandübermittlung

Personenbezogene Daten erhalten nur, soweit erforderlich:

• weisungsgebundene Hosting- und Infrastruktur-Auftragsverarbeiter,
• befugte interne Administratoren,
• Steuerberatung, PayPal als eigenständig verantwortlicher Zahlungsdienstleister, weitere Zahlungsstellen, Behörden und Gerichte, soweit eine vertragliche oder gesetzliche Notwendigkeit besteht,
• weitere Empfänger nur aufgrund einer Einwilligung oder einer sonstigen gesetzlichen Erlaubnis.

Für die übrigen beschriebenen Kernverarbeitungen ist keine Übermittlung in ein Drittland vorgesehen. Für die freiwillige Unterstützung über PayPal gelten die in Ziffer 8 beschriebenen möglichen Drittlandübermittlungen. Sollte darüber hinaus künftig eine solche Übermittlung nötig werden, informieren wir vorab über Empfänger, Rechtsgrundlage und Garantien nach Kapitel V DSGVO.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Accounts und aktive Vertragszuordnungen bestehen bis zur Beendigung beziehungsweise Löschung, sofern keine Aufbewahrungs- oder Nachweispflichten entgegenstehen. Sicherheits- und Auditdaten werden entsprechend dem Risiko und der möglichen Anspruchsverjährung begrenzt aufbewahrt.

Handels- und Geschäftsbriefe werden grundsätzlich sechs Jahre, Buchungsbelege grundsätzlich acht Jahre und gesetzlich besonders bestimmte Unterlagen zehn Jahre aufbewahrt, jeweils vorbehaltlich abweichender Pflichten und einer längeren Erforderlichkeit für Steuerverfahren oder Rechtsansprüche. Danach werden personenbezogene Anteile gelöscht oder anonymisiert.

13. Rechte betroffener Personen

Im Rahmen der gesetzlichen Voraussetzungen bestehen insbesondere:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO,
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO nach Art. 21 DSGVO,
• jederzeitiger Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO,
• Beschwerde bei einer Datenschutzaufsichtsbehörde nach Art. 77 DSGVO.

Bei Direktwerbung kann jederzeit ohne Begründung widersprochen werden; die betroffenen Daten werden dann nicht mehr für diesen Zweck verwendet. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung nach Art. 22 DSGVO statt.

Zuständige Aufsichtsbehörde

Der Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen
Georgstraße 122–124
27570 Bremerhaven
E-Mail: office@datenschutz.bremen.de

14. Sicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein, unter anderem TLS-Transportverschlüsselung, Zugriffsbeschränkungen, gehashte Passwörter, signierte Lizenznachweise und protokollierte Adminaktionen. Absolute Sicherheit kann bei einer Übertragung über das Internet dennoch nicht garantiert werden.

15. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich Funktionen, Verarbeitungsvorgänge oder Rechtslage wesentlich ändern. Bei für Accounts relevanten Änderungen wird die neue Version in der Anwendung zur Kenntnisnahme vorgelegt.