policy Datenschutzerklärung

1. Verantwortliche Stelle

Malita UG (haftungsbeschränkt) i. G.
vertreten durch Stephan Häming
Käthe-Ernst-Weg 48
48161 Münster
Deutschland
E-Mail: info@schulprozess.de

Diese Erklärung gilt für die Verarbeitung, für die wir selbst verantwortlich sind: den Betrieb der Plattform, die Konten der Nutzenden und die Formulare auf unserer Website. Für die Daten, die eine Schule in der Plattform verarbeitet — Klassen, Schüler:innen, Noten, Protokolle und alles Weitere aus dem Schulbetrieb — ist die jeweilige Schule die verantwortliche Stelle. Wir handeln dort als Auftragsverarbeiter auf ihre Weisung; die Einzelheiten stehen in der Vereinbarung zur Auftragsverarbeitung. Die Datenschutzerklärung Ihrer Schule erreichen Sie über deren eigene Seiten.

2. Zweck der Verarbeitung

Schulprozess ist eine digitale Plattform für Schulorganisation, Diagnostik, Evaluation, Curricula, Konzepte, Projektmanagement, Gremienarbeit, Kalender sowie Anträge und Formulare. Personenbezogene Daten werden nur verarbeitet, soweit dies für den Betrieb der Plattform und die Nutzung der jeweiligen Funktionen erforderlich ist.

Bis zum Start können Sie sich auf der Ankündigungsseite vormerken lassen. Ihre E-Mail-Adresse verwenden wir dann nur, um Ihnen den Start mitzuteilen (siehe Abschnitt 7).

3. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag / Nutzungsverhältnis)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb)
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, sofern in einzelnen Funktionen erforderlich, etwa bei der Vormerkung zum Start)

4. Verarbeitete Datenkategorien

• Kontodaten: E-Mail, Rolle, ggf. Vorname/Nachname, Passwort-Hash
• Schulorganisationsdaten: Klassen, Fächer, Zuordnungen
• Fachdaten der Nutzung: Projekte, Protokolle, Formulare, Gremieninhalte, Testdaten
• Kommunikationsdaten: eingegebene Kommentare, Rückfragen, E-Mail-Empfänger
• Technische Daten: IP-Adresse, Zeitstempel, Browser- und Server-Logdaten

5. Cookies und Sessions

Die Plattform verwendet ausschließlich technisch notwendige Cookies. Es werden keine Marketing- oder Tracking-Cookies eingesetzt.

Cookie	Zweck	Speicherdauer
PHPSESSID	Sitzungsverwaltung (Login, CSRF-Schutz)	Bis Browser geschlossen wird
remember_token	Optionale „Eingeloggt bleiben“-Funktion. Wird nur gesetzt, wenn die Checkbox beim Login aktiv angewählt wird.	30 Tage
sp_letzte_schule	Merkt auf der Startseite die zuletzt gewählte Schule (nur deren Adresskennung), damit die Anmeldung beim nächsten Besuch einen Klick entfernt ist. Wird nur gesetzt, wenn Sie eine Schule auswählen.	1 Jahr

Das Remember-Token wird serverseitig nur als kryptografischer Hash gespeichert und bei jeder Nutzung automatisch erneuert. Beim Abmelden werden alle gespeicherten Tokens gelöscht.

6. E-Mail-Versand

Für bestimmte Funktionen (z. B. Kontoanlage mit Einmalpasswort, Einladungen, Benachrichtigungen) werden E-Mails an hinterlegte Adressen versendet. Dabei werden nur die jeweils erforderlichen Daten verarbeitet. Wer sich zum Start vormerkt, bekommt eine Mail mit einem Link zur Bestätigung und später eine Mail zum Start; jede enthält einen Link zum Austragen.

7. Formulare auf dieser Website

Auf der Startseite, auf der Ankündigungsseite und unter Kontakt lassen sich drei Formulare ohne Anmeldung absenden. Alle erheben nur, was zur Bearbeitung nötig ist:

• Testzugang anfordern: Name der Schule, Ort, Schulform sowie Vor- und Nachname und E-Mail-Adresse der anfragenden Person. Damit werden ein Schulkonto und ein Benutzerkonto angelegt; die Zugangsdaten gehen an die angegebene Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage der betroffenen Person).
• Kontaktanfrage: Name, E-Mail-Adresse, Anliegen, Betreff und Nachricht. Die Anfrage wird als Ticket gespeichert und den zuständigen Personen im Betrieb per E-Mail angekündigt, damit sie nicht unbeantwortet bleibt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO (Beantwortung der Anfrage).
• Vormerkung zum Start: E-Mail-Adresse und, wenn Sie den Haken setzen, der Wunsch, mit Ihrer Schule zu den ersten zu gehören, die Schulprozess ausprobieren. Eingetragen sind Sie erst, wenn Sie den Link in unserer Mail bestätigen (Double-Opt-in). Eine Mail an uns meldet jede bestätigte Vormerkung. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; Sie widerrufen sie jederzeit über den Link zum Austragen in jeder Mail. Danach löschen wir Ihre Adresse sofort.

Angemeldete Nutzerinnen und Nutzer können aus der Anwendung heraus außerdem eine Rückmeldung an den Betrieb senden. Übermittelt werden dabei die Nachricht, die aufgerufene Seite, die Rolle, die verwendete Browser-Version sowie Name und E-Mail-Adresse — damit eine Rückfrage möglich ist und sich ein Fehler nachvollziehen lässt. Das Formular weist vor dem Absenden darauf hin.

Zum Schutz vor automatisiertem Missbrauch enthalten diese Formulare ein für Menschen unsichtbares Feld, das leer bleiben muss, und begrenzen die Zahl der Sendungen je Sitzung und je IP-Adresse. Für die zweite Grenze speichern wir zu jeder erfolgreichen Sendung die IP-Adresse eine Woche lang (Art. 6 Abs. 1 lit. f DSGVO); danach wird sie gelöscht.

Anfragen werden gelöscht, sobald sie abschließend bearbeitet sind und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

8. Externe Ressourcen

Die Plattform lädt keine Schriften, Skripte oder Stylesheets von fremden Servern. Alles, was zur Darstellung nötig ist — auch die Schriftarten und die Symbole —, wird von unserem eigenen Server ausgeliefert. Beim Aufruf einer Seite wird Ihre IP-Adresse deshalb an keinen Dritten übermittelt.

Eine Ausnahme sind Verknüpfungen, die Sie selbst anklicken: Im Kalender lässt sich ein Abonnement bei Google Kalender oder Outlook einrichten. Erst wenn Sie eine solche Verknüpfung anklicken, werden Daten an den jeweiligen Anbieter übermittelt; dort gelten dessen Datenschutzbestimmungen.

9. Speicherdauer

Daten werden gespeichert, solange sie für den jeweiligen Zweck erforderlich sind oder gesetzliche Aufbewahrungspflichten bestehen. Nicht mehr benötigte Daten werden gelöscht oder anonymisiert.

Vormerkungen zum Start, die nicht bestätigt werden, löschen wir nach 7 Tagen. Bestätigte Vormerkungen löschen wir 90 Tage nach der Startmail; in dieser Zeit melden wir uns gegebenenfalls bei Schulen, die zu den ersten gehören möchten. Wer sich austrägt, wird sofort gelöscht.

Bei jedem Aufruf speichert der Server ein Zugriffsprotokoll: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Antwortstatus, Browserkennung und die verweisende Seite. Es dient der Fehlersuche und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO) und wird nach 14 Tagen gelöscht.

Die Zugriffsprotokolle des Portals — wer wann auf Daten einer Schule zugegriffen hat, einschließlich der Übernahmen durch den Support — löscht das Portal nach der Frist, die die Schule einstellt (6, 12 oder 24 Monate, Vorgabe 12). Einträge ohne Bezug zu einer Schule, etwa Anmeldungen der Plattformverwaltung, löscht es nach 12 Monaten.

Endet der Vertrag einer Schule, bleiben ihre Daten noch 30 Tage nach dem Ende des Vertrags zum Herunterladen bereit und werden danach gelöscht. Schulen in der Probezeit behalten ihre Daten sechs Monate nach deren Ende; wird bis dahin kein kostenpflichtiges Abonnement abgeschlossen, stehen sie weitere 30 Tage zum Herunterladen bereit und werden danach gelöscht. Die Schule wird vorher per E-Mail informiert. Rechnungen bleiben nach § 147 AO erhalten.

10. Empfänger von Daten / Auftragsverarbeiter

• Interne berechtigte Nutzer:innen innerhalb der jeweiligen Schule / Rolle
• Hetzner Online GmbH — Server-Hosting, Datenbank (Standort: Deutschland)
• Stripe Payments Europe, Ltd. — Zahlungsabwicklung (SEPA) (Standort: Irland / EU)
• STRATO GmbH — E-Mail-Versand und Postfächer (Standort: Deutschland)

Detaillierte Angaben zu Unterauftragsverarbeitern finden Sie in § 6 der Vereinbarung zur Auftragsverarbeitung (AVV).

11. Betroffenenrechte

Sie haben nach DSGVO insbesondere folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

12. Datensicherheit

Es werden technische und organisatorische Maßnahmen eingesetzt, um Daten gegen unbefugten Zugriff, Verlust und Manipulation zu schützen. Dazu gehören insbesondere rollenbasierte Zugriffssteuerung, Passwort-Hashing und Sitzungsverwaltung.

13. Änderungen

Diese Datenschutzerklärung wird bei funktionalen oder rechtlichen Änderungen aktualisiert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.