Datenschutzerklärung

1. Verantwortlicher

Tim Winselmann
c/o POSTFLEX PFX-778-513
Emsdettener Straße 10
48268 Greven
Deutschland
E-Mail: klassenkreis@beschte.software

Ein Datenschutzbeauftragter ist nicht benannt; nach § 38 BDSG ist das bei dieser Größe nicht erforderlich.

2. Welche Daten verarbeitet werden

Beim Anmelden: E-Mail-Adresse. Sie ist die Anmeldekennung; ein Passwort gibt es nicht. Zusätzlich wird zu jeder Anmeldung ein kurzlebiger Zahlencode angelegt und ausschließlich als Hashwert gespeichert. Festgehalten wird außerdem der Zeitpunkt der letzten erfolgreichen Anmeldung – nur damit sich überhaupt erkennen lässt, welche Konten seit langem niemand mehr benutzt. Er wird niemandem angezeigt.
Freiwillige Angaben zur eigenen Person: Vor- und Nachname, Telefonnummer, Straße, Postleitzahl und Ort. Diese Angaben trägt jede Person selbst ein, sie sind für die Nutzung nicht erforderlich und jederzeit änderbar oder leerbar.
Angaben zu Kindern: Vorname, Nachname und optional das Geburtsdatum, eingetragen von der Klassenverwaltung. Es handelt sich um Daten Minderjähriger; sie werden von den Eltern eingetragen, die die Rechte ihrer Kinder wahrnehmen.
Beim Einladen: Die von der Klassenverwaltung getippte E-Mail-Adresse und der getippte Name. Solange die Einladung nicht angenommen ist, werden diese Angaben keinem Konto zugeordnet – auch dann nicht, wenn zu der Adresse bereits ein Konto existiert.
Organisatorische Einträge: Putzdienste samt Verlauf (wer sie übernommen, freigegeben oder getauscht hat) und Termine der Klasse.
Technisch notwendige Cookies: Ein Sitzungscookie (KKSESSION) und ein Cookie zum Schutz vor Cross-Site-Request-Forgery. Beide sind für den Betrieb erforderlich und brauchen daher keine Einwilligung.
Server-Logfiles: Der Webserver protokolliert Zugriffe mit IP-Adresse, Zeitpunkt, aufgerufener Adresse, Statuscode und Browserkennung. Das dient dem technischen Betrieb und der Abwehr von Missbrauch.

3. Wer die Daten sehen kann

Kontaktdaten sind ausschließlich für die Eltern derselben Klasse sichtbar. Im Einzelnen gilt:

Wer eingetragen, aber noch nicht beigetreten ist, erscheint ausschließlich mit dem von der Klassenverwaltung eingegebenen Namen. Eigene Angaben dieser Person werden nicht angezeigt, auch dann nicht, wenn zu der Adresse bereits ein Konto besteht.
Die E-Mail-Adresse einer offenen Einladung ist nur für die Klassenverwaltung sichtbar, damit eine fehlerhafte Eingabe korrigiert werden kann.
Mit dem letzten Kind einer Person in einer Klasse endet deren Zugriff auf diese Klasse unverzüglich.

Eine Weitergabe an Dritte zu eigenen Zwecken findet nicht statt.

4. Keine Analyse, keine Werbung

Es werden keine Analyse- oder Tracking-Dienste eingesetzt, keine externen Schriftarten, Skripte oder Bilder von fremden Servern nachgeladen und keine Werbenetzwerke eingebunden. Es gibt deshalb auch kein Cookie-Banner: es gibt nichts einzuwilligen.

5. Rechtsgrundlagen

Verarbeitung zur Erfüllung des Nutzungsverhältnisses nach Art. 6 Abs. 1 lit. b DSGVO. Freiwillige Angaben zur eigenen Person auf Grundlage einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Server-Logfiles auf Grundlage des berechtigten Interesses am sicheren Betrieb nach Art. 6 Abs. 1 lit. f DSGVO.

Eine noch nicht angenommene Einladung wird auf Grundlage des berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO verarbeitet: die Eltern einer Klasse haben ein Interesse daran, sich untereinander zu organisieren, und dazu gehört die Anfrage an eine E-Mail-Adresse. Verarbeitet werden zu diesem Zeitpunkt ausschließlich der von der Klassenverwaltung eingegebene Name und die eingegebene Adresse. Angaben, die die betroffene Person selbst gemacht hat, werden nicht zugeordnet und nicht angezeigt, auch dann nicht, wenn zu der Adresse bereits ein Konto besteht. Wird die Einladung abgelehnt, entsteht keine Zugehörigkeit; ein Widerspruch nach Art. 21 DSGVO ist jederzeit möglich.

6. Hosting und Auftragsverarbeitung

Der Server liegt bei der STRATO AG, Otto-Ostrowski-Straße 3, 10249 Berlin. Es handelt sich um einen virtuellen Server im Rechenzentrum in Deutschland. Mit STRATO besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO. STRATO ist nach ISO 27001 zertifiziert; die technischen und organisatorischen Maßnahmen sind unter strato.de/agb/tom/ veröffentlicht.

Eine Übermittlung in Drittländer findet nicht statt. Der Vertrag erlaubt STRATO grundsätzlich weitere Auftragsverarbeiter, unter anderem außerhalb der EU; die betreffenden Leistungen – Mail-Archivierung und Malware-Erkennung für Mail- und Homepage-Pakete – werden hier nicht genutzt.

Der Versand von E-Mails erfolgt durch einen Mailserver auf demselben virtuellen Server. Ein weiterer Dienstleister ist dafür nicht beteiligt; insbesondere werden die Mailprodukte der STRATO AG und damit auch deren Unterauftragsverarbeiter nicht genutzt. Versendet werden ausschließlich Anmeldecodes und Einladungen.

Beim Versand wird die Empfängeradresse zwangsläufig an den Mailanbieter der empfangenden Person übermittelt. Das ist die technische Voraussetzung jeder E-Mail und keine Verarbeitung im Auftrag des Verantwortlichen.

7. Speicherdauer

Es gelten die folgenden Fristen:

Anmeldecodes verfallen nach zehn Minuten, werden nach Gebrauch ungültig und spätestens nach 24 Stunden von einem nächtlichen Lauf vollständig gelöscht.
Der Zugriff auf eine Klasse endet in dem Moment, in dem kein Kind der betreffenden Person mehr in dieser Klasse steht.
Server-Logfiles werden nach 14 Tagen gelöscht.
Sicherungen der Datenbank werden täglich auf demselben Server angelegt und nach 14 Tagen gelöscht. Eine Löschung wirkt nicht rückwirkend in bereits angelegte Sicherungen; spätestens nach 14 Tagen sind die Daten auch dort verschwunden.
Alles Übrige – Konten, Kontaktdaten, Kinder, Einladungen, Putzpläne samt Verlauf und Termine – bleibt gespeichert, solange das Konto beziehungsweise die Klasse besteht.

Löschen des eigenen Kontos

Das Konto kann jederzeit selbst gelöscht werden, in der Anwendung unter „Meine Daten“. Die Löschung erfolgt unverzüglich und ist nicht widerrufbar. Gelöscht werden Name, Telefonnummer, Adresse und E-Mail-Adresse, die Zugehörigkeit zu allen Klassen, die Verknüpfung zu den eigenen Kindern, noch offene Einladungen an diese Adresse sowie die Einträge im Verlauf der Putzpläne.

Nicht gelöscht werden:

Kinder, Klassen und Termine. Diese Einträge betreffen nicht nur die löschende Person, weshalb sie nicht mit dem einzelnen Konto entfernt werden. Verbleibt ein Kind ohne zugeordnete Eltern, kann die Klassenverwaltung den Eintrag löschen.
Übernommene Putzdienste bleiben dem Kind zugeordnet, jedoch ohne den Namen des Elternteils. Der Dienst ist der Familie zugeteilt und nicht der einzelnen Person.
Von dieser Person verschickte Einladungen bleiben gültig, jedoch ohne den Namen der einladenden Person. Andernfalls verlöre eine eingeladene Familie ihren Zugang zur Klasse.

Daten ohne feste Aufbewahrungsfrist

Für zwei Datenarten ist derzeit keine automatische Löschung eingerichtet: abgelehnte und unbeantwortete Einladungen sowie Konten ohne Zugehörigkeit zu einer Klasse. Sie werden gelöscht, sobald die betroffene Person es verlangt; ein Konto kann darüber hinaus jederzeit selbst gelöscht werden. Die Einrichtung fester Fristen ist vorgesehen.

8. Sicherheit der Verarbeitung

Die Verbindung ist durchgehend TLS-verschlüsselt. Anmeldecodes werden nur als Hashwert gespeichert, sind zehn Minuten gültig und nach fünf Fehlversuchen verbraucht. Sitzungen laufen über ein HttpOnly-Cookie; schreibende Zugriffe sind gegen Cross-Site-Request-Forgery gesichert. Jeder Zugriff auf eine Klasse wird serverseitig gegen die Mitgliedschaft geprüft, nicht nur in der Oberfläche ausgeblendet.

9. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine Einwilligung jederzeit zu widerrufen.

Name, Telefonnummer und Adresse kannst du jederzeit selbst ändern oder leeren, und dein Konto kannst du unter „Meine Daten“ selbst löschen – was dabei geschieht, steht in Abschnitt 7. Für Auskunft und für eine Kopie deiner Daten genügt eine E-Mail an die oben genannte Adresse; diese beiden werden von Hand beantwortet, verlässlich innerhalb eines Monats.

Du kannst dich nach Art. 77 DSGVO jederzeit bei einer Aufsichtsbehörde beschweren – insbesondere bei der für deinen Wohnort oder deinen Arbeitsplatz zuständigen. Für den Verantwortlichen ist die Landesbeauftragte für den Datenschutz Niedersachsen zuständig, Prinzenstraße 5, 30159 Hannover.

Einen Knopf zum Herunterladen aller eigenen Daten gibt es nicht. Eine Anfrage per E-Mail genügt; die Zusammenstellung erfolgt von Hand und innerhalb der gesetzlichen Frist von einem Monat.

Stand: September 2026