Datenschutzerklärung

Verantwortlich ist der Schulträger des Schiller-Gymnasiums Pforzheim: Ganztagesschule Pforzheim GmbH, Siedlungstraße 38, 75180 Pforzheim, vertreten durch die Geschäftsführerin Katharina Meyer, Telefon 07231 298010, E-Mail info@schiller-gymnasium.com.

Datenschutzbeauftragte: Gabriele Hartleben, E-Mail hartleben@schiller-gymnasium.com, Telefon 07231 298010.

Technischer Betrieb: Sanden Hosting, Leif Sanden, Schauinslandstr. 4, 75177 Pforzheim, betreibt die Anwendung im Auftrag und nach Weisung der Schule (Auftragsverarbeitung nach Art. 28 DSGVO).

Schülerinnen und Schüler halten fest, welche kulturellen Angebote sie besucht haben, und laden dazu Nachweise hoch. Lehrkräfte prüfen die Nachweise und bestätigen sie mit einem Stempel. Die Verwaltung der Schule pflegt Klassen, Konten und Aufgaben. Andere Zwecke gibt es nicht: keine Werbung, keine Bewertung mit Noten, keine Weitergabe.

• Konto: Vor- und Nachname, Benutzername, Rolle (Schüler, Lehrkraft, Verwaltung), Klasse und Schuljahr, freiwillig eine E-Mail-Adresse. Das Passwort wird nur als nicht umkehrbarer Hash gespeichert.
• Nachweise: was, wo und wann besucht wurde, die eigenen Eindrücke, freiwillige Gedanken und hochgeladene Dateien (Fotos, Eintrittskarten, PDF).
• Prüfung: Entscheidung der Lehrkraft, ihre Rückmeldung und der Zeitpunkt.
• Nutzung: letzte Anmeldung und Aktivität, Anmeldeversuche mit Benutzername und IP-Adresse (Schutz vor dem Erraten von Passwörtern) und ein Protokoll von Änderungen in der Verwaltung (wer hat wann was geändert).
• Webserver: IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung in den Protokollen der Server.

Bei Fotos werden Standort, Kameradaten und alle anderen Metadaten beim Hochladen entfernt. Bitte keine Fotos anderer Personen ohne deren Einverständnis hochladen.

Die Schule verarbeitet die Daten zur Erfüllung ihres Bildungs- und Erziehungsauftrags und des Schulvertrags (Art. 6 Abs. 1 lit. b und e DSGVO in Verbindung mit dem Schulgesetz und dem Privatschulgesetz für Baden-Württemberg). Die Anmeldedaten und das Protokoll dienen außerdem der Sicherheit der Anwendung (Art. 6 Abs. 1 lit. e und f DSGVO).

• Schülerinnen und Schüler sehen nur ihre eigenen Daten.
• Lehrkräfte sehen nur die Schülerinnen und Schüler der Klassen, die ihnen zugewiesen sind.
• Die Kulturpass-Verwaltung der Schule sieht alle Daten.
• Sanden Hosting hat als Betreiber technisch Zugriff auf Server und Datenbank, nutzt diesen aber nur für Betrieb, Sicherung und Fehlerbehebung.

Es gibt keine öffentlichen Profile und keine öffentlich abrufbaren Dateien. Daten werden an niemanden weitergegeben und nicht in Länder außerhalb der EU übermittelt.

Anwendung, Datenbank und Dateien liegen auf einem Server von Sanden Hosting im Rechenzentrum der IONOS SE in Deutschland. Sicherungskopien liegen bei der Hetzner Online GmbH. Beide Anbieter arbeiten als Auftragsverarbeiter. Vor jeder Aktualisierung der Anwendung legt Sanden Hosting zusätzlich eine Kopie auf einem eigenen, nicht öffentlich erreichbaren Speicher in Pforzheim ab. Die Verbindung zum Browser ist verschlüsselt (HTTPS). Es werden keine Inhalte von fremden Servern geladen: keine Schriftarten von Google, keine Analysewerkzeuge, keine sozialen Netzwerke.

• kp_sitzung: ein Cookie, das nur die Anmeldung hält. Es endet mit dem Abmelden, nach 30 Minuten ohne Aktivität oder spätestens nach 12 Stunden.
• kp_aktiv: ein Zeitstempel im Speicher des Browsers, damit die automatische Abmeldung in allen offenen Tabs gleich läuft.
• Entwürfe: Beim Ausfüllen eines Nachweises sichert der Browser die eingetippten Texte, bis sie gespeichert sind. Diese Sicherung endet, wenn der Tab geschlossen wird.

Alle drei sind für den Betrieb nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine Cookies für Werbung oder Statistik, deshalb auch keine Einwilligungsabfrage.

• Kulturpässe mit allen Nachweisen und Dateien: bis 2 Jahre nach dem Ende des Schuljahres, dann werden sie automatisch gelöscht.
• Deaktivierte Schülerkonten: 2 Jahre nach der Deaktivierung, dann automatisch gelöscht.
• Protokoll der Verwaltung: 3 Jahre.
• Anmeldeversuche: 30 Tage. Gelesene Benachrichtigungen: 180 Tage.
• Protokolle des Anwendungsservers: 14 Tage.
• Sicherungskopien: werden täglich erstellt und nach einem festen Plan (7 tägliche, 4 wöchentliche, 3 monatliche) spätestens nach 3 Monaten gelöscht.

Passwörter werden mit Argon2id gespeichert, Anmeldeversuche sind begrenzt, Sitzungen enden automatisch. Jede Seite prüft auf dem Server, ob die angemeldete Person die Daten sehen darf. Hochgeladene Dateien werden auf Schadsoftware geprüft und nur nach Anmeldung und Rechteprüfung ausgeliefert. Datenbank und Dateien werden täglich gesichert.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Die Verwaltung kann alle gespeicherten Daten einer Person als Datei herausgeben und ein Konto mit allen Nachweisen endgültig löschen. Wenden Sie sich dafür an die Schule oder ihre Datenschutzbeauftragte (Abschnitt 1).

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

Über Nachweise entscheiden immer Lehrkräfte. Es gibt keine automatisierte Entscheidungsfindung und kein Profiling.