Datenschutzerklärung

1. Verantwortlicher

2. Schülerdaten und lokale Verarbeitung

Die reguläre Auswertung importierter Fehlzeit- und Schülerdaten findet lokal im Browser des Kunden statt, insbesondere im Arbeitsspeicher und in IndexedDB. Diese Inhaltsdaten werden bei der lokalen Analyse nicht an uns übertragen. Verantwortlicher für diese Verarbeitung ist die jeweilige Schule oder sonstige nutzende Organisation; sie bestimmt Zwecke, Rechtsgrundlage, Zugriffsberechtigungen und Löschfristen.

3. Hosting und technische Infrastruktur

Website, Datenbank, selbst gehostete Webanalyse und SMTP-Versand werden auf Infrastruktur der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, betrieben. Die Verarbeitung erfolgt auf Servern in Deutschland. Mit dem Hoster besteht eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO.

Die Verarbeitung ist zur Bereitstellung unserer Leistungen und zur Durchführung vorvertraglicher Maßnahmen erforderlich (Art. 6 Abs. 1 lit. b DSGVO) beziehungsweise beruht auf unserem berechtigten Interesse an einem sicheren, verfügbaren und wirtschaftlichen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Website, Protokolle und erforderliche Cookies

Server-Protokolle

Beim Aufruf verarbeiten Server und vorgeschaltete Systeme insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, HTTP-Status, übertragene Datenmenge, Browser und Betriebssystem. Dies dient Auslieferung, Fehleranalyse, Missbrauchsabwehr und Sicherheit auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Protokolle werden gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind; bei einem Sicherheitsvorfall können betroffene Auszüge bis zur Klärung und Durchsetzung von Ansprüchen länger gespeichert werden.

Technisch erforderliche Speicherung im Endgerät

Die folgenden Cookies sind für ausdrücklich gewünschte Funktionen erforderlich. Rechtsgrundlage für die Speicherung oder den Zugriff im Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung beruht je nach Funktion auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

• _preferred-theme: gewähltes helles oder dunkles Design, Speicherdauer zwölf Monate.
• _sidebar_state: Zustand der Seitennavigation, Speicherdauer sieben Tage.
• _consent: Dokumentation der Auswahl im Cookie-Hinweis, Speicherdauer sechs Monate.
• __Secure-better-auth.session_token, in lokalen Umgebungen gegebenenfalls better-auth.session_token: zufälliger Sitzungsnachweis für angemeldete Accounts; Zuordnung und Ablauf werden serverseitig verwaltet.
• _license: signierter Lizenznachweis mit Lizenz-ID, Lizenzversion, wirksamer Variante und technischen Berechtigungsangaben. Der Browser speichert ihn regulär bis zu 30 Tage; der darin enthaltene Nachweis wird in kürzeren Abständen geprüft und bei weiterhin gültiger Lizenz erneuert.

Diese Cookies werden nicht zu Werbezwecken eingesetzt. Sie können sie im Browser löschen; erforderliche Funktionen stehen dann gegebenenfalls nicht mehr zur Verfügung.

5. Self-Service-Testanfragen

Bei einer Testanfrage verarbeiten wir Schulname, Kürzel, Anschrift, Bundesland, Name und Funktion der Kontaktperson, dienstliche E-Mail-Adresse, optionalen Partnercode, gewünschte Testdauer, Bestätigungs- und Statuszeitpunkte sowie die Versionen der zur Kenntnis genommenen beziehungsweise akzeptierten Rechtstexte. Ein aus den Anfragedaten abgeleiteter Fingerprint verhindert parallele Doppelanfragen; der Verifizierungstoken wird nur gehasht gespeichert.

Zwecke sind die Prüfung und Bearbeitung der B2B-Anfrage, Verifizierung der dienstlichen E-Mail-Adresse, Missbrauchsabwehr, Ausstellung und Verwaltung von Schule, Lizenz und Testberechtigung sowie der hierfür erforderliche E-Mail-Versand. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche und vertragliche Maßnahmen sowie Art. 6 Abs. 1 lit. f DSGVO für die Verarbeitung von Kontaktdaten handelnder Beschäftigter, Systemsicherheit, Dubletten- und Missbrauchsabwehr.

Offene Anfragen laufen standardmäßig nach 24 Stunden ab. Abgelaufene oder abgelehnte und nie ausgestellte Anfragen werden standardmäßig 30 Tage später einschließlich Versandprotokoll gelöscht. Diese Fristen können aus Sicherheits- oder Betriebsgründen innerhalb der in der Anwendung vorgesehenen Grenzen angepasst werden. Ausgestellte Anfragen werden als Teil der Lizenz- und Vertragsdokumentation gespeichert.

Freiwillige Produktinformationen

Nur wenn die gesonderte, nicht vorangekreuzte Checkbox aktiviert wird, verarbeiten wir die dienstliche E-Mail-Adresse zum Versand eigener Produktinformationen. Wir speichern Einwilligungszeitpunkt, Textversion, Quelle und einen späteren Widerruf. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG. Die Einwilligung ist freiwillig und für Test oder Vertrag nicht erforderlich. Als bestätigt behandeln wir sie erst zusammen mit der erfolgreichen E-Mail-Verifizierung; eine administrative Direktfreigabe bestätigt weder die E-Mail-Adresse noch die Werbeeinwilligung. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft per E-Mail an kontakt@schott.schule oder über das Kontaktformular widerrufen werden. Die Rechtmäßigkeit bereits erfolgter Verarbeitung bleibt unberührt.

6. Interne Administration und Lizenznutzung

Persönliche Accounts sind für die reguläre Nutzung durch Lehrkräfte nicht erforderlich. Für interne Administrationskonten verarbeiten wir Name, dienstliche E-Mail-Adresse, Einweg-Hash des Passworts, E-Mail-Bestätigungsstatus, Rollen, Zuordnungen zu Schule und Lizenz, akzeptierte Rechtsversionen sowie Anmeldezeitpunkte und bei Admin-Sitzungen IP-Adresse und User-Agent. Bei der Lizenznutzung protokollieren wir Lizenz-ID, Ereignisart, Zeitpunkt, App-Version und einen groben, fest vorgegebenen Funktionsbereich. Dazu gehören erfolgreiche Datenimporte mit der Angabe „Datei“ oder „Erweiterung“, das Löschen lokaler Daten und das Entfernen einer Lizenz vom Gerät. Eine zufällige Browserkennung wird ausschließlich zusammen mit der jeweiligen Lizenz gehasht. Dadurch kann dieselbe Installation innerhalb einer Lizenz wiedererkannt, aber weder einer Person zugeordnet noch lizenzübergreifend verfolgt werden. Ein boolesches Merkmal kennzeichnet lokale Entwicklungsaufrufe; Hostname und URL werden dabei nicht gespeichert. IP-Adresse, User-Agent und vollständige aufgerufene Pfade werden für dieses Nutzungsmonitoring nicht gespeichert.

Die Verarbeitung dient interner Administration und Lizenzbereitstellung, Zugriffskontrolle, Sicherheitsprüfung, Sperrung kompromittierter Zugänge und Nachvollziehbarkeit administrativer Änderungen. Sie beruht auf Art. 6 Abs. 1 lit. b und lit. f DSGVO. Administrative Aktionen werden mit handelndem Admin-Konto, Zeitpunkt und sachbezogenen Vorher-/ Nachher-Werten protokolliert; vollständige Lizenzcodes werden dort nicht gespeichert.

7. Organisations-, Vertrags- und Rechnungsdaten

Zur Verwaltung schulbezogener Verträge und Lizenzen verarbeiten wir Organisations- und Anschriftsdaten, Vertrags- und Rechnungskontakte, dienstliche Kommunikationsdaten, Steuerangaben, externe Referenzen, Lizenzstatus, Laufzeiten und Berechtigungen. Reine Angaben zu einer juristischen Person sind keine personenbezogenen Daten; diese Erklärung gilt, soweit Angaben natürliche Kontaktpersonen betreffen.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO für die B2B-Kommunikation und Vertragsorganisation sowie Art. 6 Abs. 1 lit. c DSGVO für handels- und steuerrechtliche Pflichten.

8. Kontakt und transaktionale E-Mails

Bei Kontakt per Formular, E-Mail oder Telefon verarbeiten wir die mitgeteilten Kontaktdaten und Inhalte zur Bearbeitung. Das Kontaktformular verarbeitet zusätzlich technische Daten wie IP-Adresse, User-Agent, Zeitpunkte und Spam-Prüfergebnisse zur Missbrauchsabwehr. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Transaktionale E-Mails umfassen insbesondere Account-Verifizierung, Passwort-Reset, Trial-Verifizierung, Lizenzzustellung, Ablauferinnerung und Statusinformationen. Der Versand erfolgt über den eigenen SMTP-Dienst auf der oben genannten Hosting-Infrastruktur. Diese E-Mails sind keine Produktwerbung und für den angeforderten Dienst erforderlich.

9. Selbst gehostete Reichweitenmessung

Wir verwenden die selbst gehostete Open-Source-Software Plausible Analytics. Sie setzt keine Analyse-Cookies und speichert keine Analysekennung im Endgerät. Technische Zugriffsdaten wie Seite, Referrer, Browser-, Betriebssystem- und Geräteklasse, Zeitpunkt und ungefähre Region werden kurzzeitig verarbeitet, um aggregierte Statistiken und benutzerinitiierte Ereignisse zu bilden. Es entstehen keine dauerhaften individuellen Besucherprofile und kein seitenübergreifendes Werbetracking.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in datensparsamer Reichweitenmessung, Fehleranalyse und Verbesserung des Angebots. Die Daten werden auf unserer deutschen Hosting-Infrastruktur verarbeitet und nicht an Plausible Insights OÜ übermittelt.

10. Empfänger und Drittlandübermittlung

Personenbezogene Daten erhalten nur, soweit erforderlich:

• weisungsgebundene Hosting- und Infrastruktur-Auftragsverarbeiter,
• befugte interne Administratoren,
• Steuerberatung, Zahlungsstellen, Behörden und Gerichte, soweit eine vertragliche oder gesetzliche Notwendigkeit besteht,
• weitere Empfänger nur aufgrund einer Einwilligung oder einer sonstigen gesetzlichen Erlaubnis.

Für die beschriebenen Kernverarbeitungen ist keine Übermittlung in ein Drittland vorgesehen. Sollte künftig eine solche Übermittlung nötig werden, informieren wir vorab über Empfänger, Rechtsgrundlage und Garantien nach Kapitel V DSGVO.

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Accounts und aktive Vertragszuordnungen bestehen bis zur Beendigung beziehungsweise Löschung, sofern keine Aufbewahrungs- oder Nachweispflichten entgegenstehen. Sicherheits- und Auditdaten werden entsprechend dem Risiko und der möglichen Anspruchsverjährung begrenzt aufbewahrt.

Handels- und Geschäftsbriefe werden grundsätzlich sechs Jahre, Buchungsbelege grundsätzlich acht Jahre und gesetzlich besonders bestimmte Unterlagen zehn Jahre aufbewahrt, jeweils vorbehaltlich abweichender Pflichten und einer längeren Erforderlichkeit für Steuerverfahren oder Rechtsansprüche. Danach werden personenbezogene Anteile gelöscht oder anonymisiert.

12. Rechte betroffener Personen

Im Rahmen der gesetzlichen Voraussetzungen bestehen insbesondere:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO,
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO nach Art. 21 DSGVO,
• jederzeitiger Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO,
• Beschwerde bei einer Datenschutzaufsichtsbehörde nach Art. 77 DSGVO.

Bei Direktwerbung kann jederzeit ohne Begründung widersprochen werden; die betroffenen Daten werden dann nicht mehr für diesen Zweck verwendet. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung nach Art. 22 DSGVO statt.

Zuständige Aufsichtsbehörde

Der Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen
Georgstraße 122–124
27570 Bremerhaven
E-Mail: office@datenschutz.bremen.de

13. Sicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein, unter anderem TLS-Transportverschlüsselung, Zugriffsbeschränkungen, gehashte Passwörter, signierte Lizenznachweise und protokollierte Adminaktionen. Absolute Sicherheit kann bei einer Übertragung über das Internet dennoch nicht garantiert werden.

14. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich Funktionen, Verarbeitungsvorgänge oder Rechtslage wesentlich ändern. Bei für Accounts relevanten Änderungen wird die neue Version in der Anwendung zur Kenntnisnahme vorgelegt.