Ihre Daten. Klare Rollen.

Diese Datenschutzerklärung gilt für die öffentliche Classflow-Website, die Classflow-Web-Anwendung sowie die mobilen Classflow-Apps. Sie gilt nicht für externe Websites, die lediglich verlinkt sind.

Die konkrete Rollenverteilung kann vom jeweiligen Vertrag und Zweck abhängen. Ergänzende Datenschutzhinweise der Schule und der mit ihr geschlossene Auftragsverarbeitungsvertrag gehen für den jeweiligen Schulbetrieb vor.

Verantwortlicher im Sinne der Datenschutz-Grundverordnung für die oben genannten eigenen Verarbeitungen ist:

Je nachdem, welche Rolle Sie haben und welche Funktionen Ihre Schule freigeschaltet hat, können insbesondere folgende Kategorien betroffen sein:

• Zugriffs- und Protokolldaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Antwortstatus, Browser- und Geräteinformationen, Referrer sowie sicherheitsbezogene Ereignisse.
• Konto- und Stammdaten: Name, E-Mail-Adresse, Authentifizierungskennung, Sprache, Rollen, Schul- und Klassenzugehörigkeit sowie gegebenenfalls Geburtsdatum und Kontaktdaten.
• Schulorganisationsdaten: Stundenpläne, Ereignisse, Vertretungen, Räume, Gruppen, Schuljahre, Ferien und Zuständigkeiten.
• Kommunikations- und Inhaltsdaten: Nachrichten, Anhänge, Aufgaben, Materialien, Antworten, Abstimmungen, Einwilligungen, Entschuldigungen, Leistungsnotizen und erzeugte Nachweisdokumente.
• Familien- und Schülerdaten: Sorgeberechtigten-Bezüge, Freigaben, Schülerprofile, Ausweisdaten und von der Schule verwaltete Statusangaben.
• Besondere Kategorien personenbezogener Daten: Nur wenn die Schule entsprechende Funktionen nutzt, können Gesundheits- oder Notfallinformationen wie Allergien, Medikamente, chronische Erkrankungen oder Notfallkontakte verarbeitet werden.
• Geräte- und Zustelldaten: Geräteinstallation, Betriebssystem, App-Version, Benachrichtigungseinstellungen, Push-Token, Zustellstatus und technische Fehler.
• Datei- und Bilddaten: Hochgeladene Dokumente sowie ein freiwillig gewähltes Profilfoto. Eigene Foto-Avatare sind für Schülerkonten nicht verfügbar.

Daten erhalten wir von Ihnen, von Ihrer Schule oder berechtigten Personen innerhalb der Schule sowie automatisch bei der Nutzung der Dienste. Wir erheben keine Daten aus Adresshandels- oder Werbenetzwerken.

Vertrag und Nutzung

Bereitstellung von Konto, Arbeitsbereich, Support und vereinbarten Funktionen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Pflichten

Erfüllung gesetzlicher Aufbewahrungs-, Auskunfts- oder Nachweispflichten auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Sicherer Betrieb

Abwehr von Missbrauch, Fehleranalyse, Stabilität und Schutz von Konten und Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer, verfügbarer und nachvollziehbarer Dienst.

Freiwillige Funktionen

Soweit eine Funktion eine Einwilligung erfordert, verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Eine Einwilligung kann mit Wirkung für die Zukunft widerrufen werden.

Für schulische Daten legt die verantwortliche Schule die Rechtsgrundlage fest, etwa eine gesetzliche Aufgabe, eine rechtliche Verpflichtung oder eine Einwilligung. Für besondere Kategorien muss zusätzlich ein einschlägiger Tatbestand nach Art. 9 Abs. 2 DSGVO bestehen. Classflow bestimmt diese Grundlage nicht anstelle der Schule.

Classflow ist für den Einsatz im Schulkontext konzipiert. Zugänge entstehen über kontrollierte Schulmitgliedschaften, Einladungen und Rollen. Welche Informationen sichtbar oder bearbeitbar sind, richtet sich nach Schule, Klasse, Kind und Zuständigkeit.

Die Schule muss vor dem Einsatz klären, welche Daten sie verarbeiten darf, welche Personen informiert werden müssen und ob eine Einwilligung oder Datenschutz-Folgenabschätzung erforderlich ist. Dies gilt besonders für Daten von Kindern, Leistungsinformationen und Gesundheits- oder Notfalldaten. Classflow verarbeitet solche Schuldaten nur für die vereinbarten Zwecke und nach Weisung der Schule.

Classflow setzt keine Werbe- oder Marketing-Cookies ein und erstellt auf der öffentlichen Website keine nutzerbezogenen Werbeprofile. Verwendet werden nur Speichermechanismen, die für den angeforderten Dienst oder eine ausdrücklich gewählte Funktion erforderlich sind:

• Session- und Sicherheitscookies für Anmeldung und Kontoschutz,
• eine Spracheinstellung für die passende Oberfläche,
• lokale Einstellungen für zuletzt gewählte Stundenplanansichten und Bedienzustände,
• temporärer Sitzungsspeicher während einer freiwilligen Bildverarbeitung,
• IndexedDB und ein Service Worker nur nach ausdrücklicher Aktivierung des Offline-Stundenplans auf einem vertrauenswürdigen Gerät.

Technisch erforderliche Zugriffe auf das Endgerät stützen wir auf § 25 Abs. 2 TDDDG. Die optionale Offline-Funktion wird erst nach Ihrer Aktivierung eingerichtet. Sie kann wieder deaktiviert werden; beim Abmelden oder bei einem Rollenwechsel werden zugehörige Offline-Daten bereinigt.

Innerhalb von Classflow erhalten nur Personen Zugriff, deren Rolle und Zuständigkeit dies erlaubt. Externe Stellen erhalten Daten nur, soweit dies für den Betrieb erforderlich ist, eine Schule die Funktion aktiviert hat oder eine gesetzliche Pflicht besteht.

• Vercel Inc.

  Hosting, Auslieferung und technische Protokolle der Website und Web-Anwendung. Die serverseitige Ausführung ist für Classflow soweit konfiguriert in Dublin; weitere technische Verarbeitung kann nach Maßgabe des Vercel-DPA erfolgen.

  Datenschutzhinweise von Vercel
• Supabase Inc.

  Authentifizierung, Datenbank, Dateispeicher und Echtzeitfunktionen in einer ausgewählten EU-Region.

  Datenschutzhinweise von Supabase
• Resend Inc.

  Soweit der E-Mail-Versand aktiviert ist: Versand von Sicherheits-, Einladungs- und Transaktionsnachrichten. Verarbeitet werden dabei insbesondere Empfängeradresse, Betreff, Inhalt und Zustellstatus.

  Datenschutzhinweise von Resend
• Expo, Apple und Google

  Nur bei aktivierten Push-Mitteilungen: Push-Token, technische Zustellinformationen und der von Ihrer Vorschau-Einstellung abhängige Benachrichtigungsinhalt werden an die beteiligten Push-Dienste übermittelt.

  Datenschutzhinweise von Expo
• OpenStreetMap Foundation

  Bei einer von Ihnen ausgelösten Schulsuche übermitteln wir den Suchbegriff serverseitig an Nominatim. Bitte geben Sie dort keine personenbezogenen oder vertraulichen Inhalte ein. Die OSMF handelt für ihren Dienst als eigenständig Verantwortliche.

  Datenschutzhinweise der OSMF
• OpenHolidays API

  Für öffentliche Feiertage und Schulferien werden Bundesland und Zeitraum abgerufen. Personenbezogene Schul- oder Nutzerinhalte sind nicht Bestandteil dieser Anfrage.

  OpenHolidays API
• Übersetzungsdienst

  Nur wenn eine Schule die Übersetzung aktiviert: Freigegebene Textsegmente werden entweder über Microsoft Azure Translator oder über ein von der Schule betriebenes F13-Gateway übersetzt. Der konkrete Anbieter wird vertraglich und in den schulischen Hinweisen ausgewiesen.

  Datenschutzhinweise von Microsoft
• Schadsoftware-Prüfung

  Datei-Uploads werden nur verarbeitet, wenn ein von Classflow oder der Schule freigegebener Scanner sie geprüft hat. Je nach Bereitstellung erhält der Scanner Dateiinhalt, Hashwert und Dateityp. Der konkrete Betreiber steht im Vertrag der Schule und in der aktuellen Unterauftragsverarbeiter-Liste.

Einige technische Anbieter haben ihren Sitz in den USA oder setzen Unterauftragnehmer außerhalb der EU und des EWR ein. Soweit dabei personenbezogene Daten in ein Land ohne Angemessenheitsbeschluss gelangen, verwenden wir die von der Europäischen Kommission genehmigten Standardvertragsklauseln und prüfen ergänzende Schutzmaßnahmen. Soweit ein Anbieter für die konkrete Verarbeitung wirksam nach dem EU-US Data Privacy Framework zertifiziert ist, kann die Übermittlung zusätzlich darauf gestützt werden.

Einzelheiten ergeben sich aus den verlinkten Anbieterhinweisen, den Auftragsverarbeitungsverträgen und – für Schuldaten – der Unterauftragsverarbeiter-Liste der jeweiligen Schule.

Wir speichern personenbezogene Daten nicht länger, als es für den jeweiligen Zweck erforderlich ist. Maßgeblich sind insbesondere folgende Kriterien:

• Konto- und Vertragsdaten bleiben für die Dauer des Kontos oder Vertrags und anschließend nur im Rahmen gesetzlicher Nachweis- und Aufbewahrungspflichten gespeichert.
• Schuldaten werden nach dem Lösch- und Aufbewahrungskonzept der verantwortlichen Schule sowie ihren dokumentierten Weisungen gelöscht oder zurückgegeben.
• Sicherheits- und Zugriffsprotokolle werden nur solange aufbewahrt, wie sie zur Störungsanalyse, Missbrauchsabwehr und Nachweisführung benötigt werden; längere Speicherung erfolgt nur bei einem konkreten Vorfall oder einer Rechtspflicht.
• Push-Token werden bis zur Deaktivierung, Abmeldung oder technischen Ungültigkeit gespeichert. Temporäre Gerätespeicher werden nach Ende des Vorgangs oder beim vorgesehenen Bereinigungsereignis entfernt.
• Papierkorb-, Datei-, Audit- und Backupfristen richten sich nach dem freigegebenen Löschkonzept der Schule. Wenn eine gesetzliche Aufbewahrungspflicht oder ein Rechtsstreit entgegensteht, wird die Verarbeitung stattdessen eingeschränkt.

Unter den gesetzlichen Voraussetzungen haben Sie das Recht auf:

• Auskunft über Ihre personenbezogenen Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Für eigene Classflow-Verarbeitungen genügt eine Nachricht an gregneu.de@gmail.com. Betrifft Ihre Anfrage Daten, die Classflow im Auftrag einer Schule verarbeitet, wenden Sie sich bitte unmittelbar an diese Schule. Wir leiten eine bei uns eingegangene Anfrage an die zuständige Stelle weiter oder unterstützen sie bei der Bearbeitung.

Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für unseren Sitz ist insbesondere zuständig:

Classflow setzt dem Risiko angemessene technische und organisatorische Maßnahmen ein. Dazu gehören verschlüsselte Übertragung, rollen- und schulbezogene Zugriffskontrollen, serverseitige Berechtigungsprüfungen, protokollierte sicherheitsrelevante Vorgänge, begrenzte Zugriffsrechte, gesicherte Backups und eine standardmäßig blockierende Prüfung von Datei-Uploads. Die Maßnahmen werden entsprechend dem Stand der Technik und dem Risiko weiterentwickelt.

Kein System kann absolute Sicherheit garantieren. Bei einem meldepflichtigen Vorfall arbeiten wir mit der verantwortlichen Schule zusammen, damit die gesetzlichen Informations- und Meldepflichten erfüllt werden können.

Classflow trifft keine ausschließlich automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in vergleichbarer Weise erheblich beeinträchtigen (Art. 22 DSGVO). Optionale Übersetzungen, Zustelllogik oder technische Prüfungen ersetzen keine pädagogische, schulische oder rechtliche Entscheidung durch eine berechtigte Person.

Wir aktualisieren diese Datenschutzerklärung, wenn sich Funktionen, Anbieter oder Rechtslage wesentlich ändern. Die jeweils aktuelle Fassung ist dauerhaft unter classflow.one/datenschutz abrufbar. Über wesentliche Änderungen, die bereits erhobene Daten oder eine Einwilligung betreffen, informieren wir zusätzlich auf einem geeigneten Weg.