Datenschutzerklärung mycurie

1. Verantwortlicher und Datenschutzbeauftragter

1.1. Verantwortlicher im Sinne von Artikel 4 Nummer 7 DSGVO ist:

Marie-Curie-Gymnasium Hohen Neuendorf
vertreten durch den Schulleiter Thomas Meinecke
Waldstraße 1a
16540 Hohen Neuendorf
Telefon: 03303 29580
E-Mail: sekretariat.curie.120741@lk.brandenburg.de

1.2. Den Datenschutzbeauftragten der Schule erreichen Sie unter:

Marcus Kluth
Marie-Curie-Gymnasium Hohen Neuendorf
– Der Datenschutzbeauftragte –
Waldstraße 1a
16540 Hohen Neuendorf
Telefon: 03303 29580
E-Mail: marcus.kluth@lk.brandenburg.de

2. Zwecke und Rechtsgrundlagen der Verarbeitung

Die Verarbeitung personenbezogener Daten in mycurie erfolgt insbesondere zu folgenden Zwecken:

• Einrichtung und Verwaltung persönlicher Benutzerkonten,

• Authentifizierung der Benutzerinnen und Benutzer sowie Vergabe rollenbezogener Zugriffsrechte,

• Zuordnung von Schülerinnen und Schülern zu Klassen sowie von Benutzerkonten zu schulischen Rollen,

• Erstellung, Prüfung, Freigabe und Darstellung schulischer Projekte und Angebote,

• Anmeldung zu Projekten und Veranstaltungen,

• Durchführung von Projektwahlen und organisatorischen Zuteilungsverfahren,

• Erstellung der für die Planung und Durchführung erforderlichen Teilnehmerlisten,

• Verwaltung von Raum- und Kapazitätswünschen, Anwesenheiten und organisatorischen Hinweisen,

• schulbezogene Kommunikation und Versand technisch oder organisatorisch erforderlicher E-Mails,

• Sicherstellung des ordnungsgemäßen, stabilen und sicheren Betriebs der Anwendung.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe e und Absatz 3 DSGVO in Verbindung mit § 65 Absatz 1, 2 und 4 des Brandenburgischen Schulgesetzes (BbgSchulG) sowie §§ 1 und 2 der Datenschutzverordnung Schulwesen des Landes Brandenburg (DSV). Die genannten Vorschriften gestatten die Verarbeitung der für den Erziehungs- und Bildungsauftrag sowie für damit verbundene schulorganisatorische Maßnahmen erforderlichen personenbezogenen Daten.

Soweit Daten zur Erfüllung gesetzlicher Anforderungen an die Sicherheit und Dokumentation der Verarbeitung verarbeitet werden, beruht dies außerdem auf Artikel 6 Absatz 1 Buchstabe c DSGVO in Verbindung mit Artikel 32 DSGVO und § 11 DSV.

Soweit die Verarbeitung zur Durchführung schulischer und schulorganisatorischer Aufgaben erforderlich und von den genannten gesetzlichen Vorschriften gedeckt ist, ist hierfür keine Einwilligung erforderlich.

Soweit einzelne Verarbeitungsvorgänge oder Funktionen von mycurie nicht auf eine gesetzliche Grundlage gestützt werden können, erfolgt die Verarbeitung ergänzend auf Grundlage einer Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a DSGVO. Bei minderjährigen Schülerinnen und Schülern wird die Einwilligung vor Beginn der betreffenden Verarbeitung von den Eltern beziehungsweise den Personensorgeberechtigten eingeholt; volljährige Schülerinnen und Schüler erteilen die Einwilligung selbst. Die Einwilligung bezieht sich ausschließlich auf die darin konkret beschriebenen Zwecke und Datenverarbeitungen. Sie ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Verweigerung oder der Widerruf einer solchen Einwilligung berührt nicht die auf gesetzlicher Grundlage erfolgenden Verarbeitungen. 

3. Verarbeitete Daten

3.1 Benutzerkonto und Stammdaten

Bei der selbstständigen Registrierung und der anschließenden Nutzung von mycurie werden – abhängig von der schulischen Rolle – insbesondere folgende Daten verarbeitet:

• Vorname und Nachname,

• Geschlecht beziehungsweise daraus abgeleitete Anrede,

• schulische E-Mail-Adresse,

• Klasse und Klassenzugehörigkeit beziehungsweise schulorganisatorische Zuordnung,

• Benutzerrolle, beispielsweise Schülerin oder Schüler, Lehrkraft oder Administration,

• interne Benutzer-ID,

• Benutzername sowie ein salted, kryptografischer Hash des Passworts; das Passwort selbst wird nicht im Klartext gespeichert,

• Zeitpunkt des letzten Logins,

• Accountstatus.

Das Geschlecht wird zur Auswahl der Anrede „Frau“ oder „Herr“ verwendet. Die interne Benutzer-ID dient der eindeutigen technischen Zuordnung von Datensätzen. Der letzte Login und der Accountstatus werden für die Benutzerverwaltung und die Sicherheit des Benutzerkontos verarbeitet.

3.2 Projekt- und Veranstaltungsdaten

Im Zusammenhang mit der Projektwoche, dem Marie-Curie-Tag und vergleichbaren schulischen Angeboten können insbesondere folgende Daten verarbeitet werden:

• Zuordnung der Projektleitung,

• Zuordnung der angemeldeten oder zugeteilten Teilnehmerinnen und Teilnehmer,

• Erst- bis Fünftwünsche und deren Priorisierung,

• Zeitpunkt der Anmeldung oder Auswahl,

• gewünschter Raum,

• gewünschte oder festgelegte Teilnehmerzahl,

• Freigabe- und Bearbeitungsstatus eines Projekts,

• Anwesenheitsangaben, soweit diese für die Durchführung erforderlich sind,

• organisatorische Bemerkungen und von berechtigten Personen eingegebene Freitexte.

Freitextfelder dürfen nur für den jeweiligen schulorganisatorischen Zweck verwendet werden. Besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, sollen dort nicht eingetragen werden, sofern hierfür keine ausdrückliche schulische Notwendigkeit und Rechtsgrundlage besteht.

3.3 Technische Zugriffs- und Protokolldaten

Beim Aufruf von mycurie werden durch den Webserver technisch erforderliche Zugriffsdaten verarbeitet. Hierzu können insbesondere gehören:

• IP-Adresse beziehungsweise ein daraus erzeugter anonymisierter Wert,

• Hostname des zugreifenden Systems,

• Datum und Uhrzeit des Zugriffs,

• aufgerufene Seite oder Datei,

• HTTP-Statuscode,

• übertragene Datenmenge,

• zuvor aufgerufene Seite (Referrer), soweit vom Browser übermittelt,

• Browsertyp, Browserversion und Betriebssystem.

Diese Daten werden benötigt, um die Anwendung bereitzustellen, technische Fehler zu erkennen sowie Angriffe und missbräuchliche Zugriffe abzuwehren. Eine Auswertung zu Werbe- oder Marketingzwecken findet nicht statt.

4. Herkunft und Bereitstellung der Daten 

Die Benutzerkonten werden von den betroffenen Schülerinnen und Schülern beziehungsweise Lehrkräften selbst registriert. Projektvorschläge, Wünsche und Anmeldungen werden durch die betroffenen Personen selbst oder, soweit dies für die schulorganisatorische Durchführung erforderlich ist, durch hierzu berechtigte Lehrkräfte oder Administratorinnen und Administratoren eingetragen und bearbeitet.

Die Bereitstellung der als Pflichtfelder gekennzeichneten Daten ist für die Einrichtung eines Benutzerkontos und für die Nutzung der jeweiligen schulorganisatorischen Funktion erforderlich. Die Anmeldung zur Projektwoche erfolgt ausschließlich über mycurie. Werden die erforderlichen Daten nicht bereitgestellt, kann kein Benutzerkonto eingerichtet beziehungsweise keine Projektanmeldung durchgeführt werden.

5. Zugriffsberechtigte und Empfänger

Innerhalb der Schule erhalten nur Personen Zugriff auf personenbezogene Daten, soweit dies für ihre jeweilige Aufgabe erforderlich ist.

• Schülerinnen und Schüler können ihre eigenen Daten, Anmeldungen und Zuteilungen sowie die für die Auswahl bereitgestellten Projektinformationen einsehen. Teilnehmerlisten anderer Projekte sind für sie nicht einsehbar.

• Projektleitungen können die für die Organisation erforderlichen Daten der Teilnehmerinnen und Teilnehmer des jeweils eigenen Projekts einsehen.

• Lehrkräfte erhalten Zugriff, soweit dies für die Planung, Aufsicht und Durchführung der betreffenden schulischen Veranstaltung erforderlich ist.

• Administratorinnen und Administratoren erhalten die für Benutzerverwaltung, Freigaben, Zuteilungen, Support und technischen Betrieb erforderlichen Zugriffsrechte.

Eine allgemeine Veröffentlichung personenbezogener Teilnehmerdaten findet nicht statt.

mycurie wird bei der

STRATO GmbH
Otto-Ostrowski-Straße 7
10249 Berlin

betrieben. STRATO verarbeitet im Rahmen des Hostings, der Datenbankbereitstellung und des E-Mail-Betriebs personenbezogene Daten als Auftragsverarbeiter gemäß Artikel 28 DSGVO auf Weisung der Schule. Mit STRATO besteht eine Vereinbarung zur Auftragsverarbeitung. Nach Angaben von STRATO erfolgt die Datenverarbeitung für diese Leistungen in Rechenzentren in Deutschland.

Eine Übermittlung an sonstige Empfänger erfolgt nur, wenn sie gesetzlich vorgeschrieben oder zur rechtmäßigen Erfüllung schulischer Aufgaben erforderlich ist. Eine Übermittlung in ein Drittland oder an eine internationale Organisation ist für den Betrieb von mycurie nicht vorgesehen.

Die verwendeten Webschriften werden lokal über den von der Schule genutzten Webserver bereitgestellt. Beim Laden der Schriftarten wird daher keine Verbindung zu Google oder einem anderen Schriftanbieter hergestellt.

6. Sessioncookie

mycurie verwendet ausschließlich ein technisch notwendiges Session-Cookie. Dieses enthält eine zufällig erzeugte Sitzungskennung und ermöglicht die sichere Zuordnung aufeinanderfolgender Seitenaufrufe zu einer angemeldeten Sitzung. Das Cookie wird nicht zu Analyse-, Werbe- oder Profilbildungszwecken verwendet.

Das Session-Cookie wird beim Abmelden oder spätestens beim Schließen des Browsers gelöscht. Ohne dieses Cookie sind die Anmeldung und die geschützten Funktionen von mycurie technisch nicht nutzbar. Seine Verwendung erfolgt auf Grundlage von § 25 Absatz 2 Nummer 2 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG); eine Einwilligung ist hierfür nicht erforderlich.

7. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck erforderlich sind oder gesetzliche Aufbewahrungspflichten bestehen.

Es gelten insbesondere folgende Fristen:

• Benutzerkonten: Benutzerkonten werden nach dem Ausscheiden aus dem Marie-Curie-Gymnasium nicht weiter genutzt. Bekannt gewordene ausgeschiedene Konten werden gesperrt. Im Rahmen der jährlichen Datenpflege werden die Konten ausgeschiedener Personen regelmäßig spätestens zum 1. September gelöscht.
• Personenbezogene Projekt- und Teilnehmerdaten: Zuordnungen von Projektleitungen und Teilnehmerinnen und Teilnehmern, Wunschlisten, Teilnehmerlisten, Anmeldezeitpunkte, Anwesenheiten und sonstige personenbezogene Veranstaltungsdaten werden bei der Vorbereitung der nachfolgenden Projektwoche zurückgesetzt und gelöscht, spätestens jedoch zwölf Monate nach Abschluss der jeweiligen Projektwoche.
• Anonymisierte Projektinformationen: Projekttitel, Projektbeschreibungen und sonstige nicht personenbezogene Inhalte können dauerhaft erhalten bleiben. Zuvor werden Namen, Benutzer-IDs, Zuordnungen und sonstige Personenbezüge entfernt. Enthalten Titel oder Freitexte personenbezogene Angaben, werden auch diese entfernt oder anonymisiert.
• Nicht anonymisierte IP-Adressen bei STRATO: STRATO speichert nicht anonymisierte IP-Adressen nach eigenen Angaben zur Erkennung und Abwehr von Angriffen für höchstens sieben Tage.
• Anonymisierte Webserverprotokolle: Die von STRATO bereitgestellten Zugriffsprotokolle mit anonymisierten IP-Adressen stehen für höchstens sechs Wochen zur Verfügung.
• Sicherungskopien: Sicherungskopien werden spätestens nach zwölf Monaten gelöscht oder überschrieben. Sie dienen ausschließlich der Wiederherstellung bei technischen Störungen oder Datenverlust und werden nicht für den laufenden Betrieb ausgewertet. Wird eine Sicherungskopie wiederhergestellt, werden zwischenzeitlich fällig gewordene Löschungen erneut durchgeführt.

Unrichtig oder unzulässig gespeicherte Daten werden nach Maßgabe der gesetzlichen Vorschriften berichtigt beziehungsweise gelöscht.

8. Rechte der betroffenen Person

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft über die sie betreffenden personenbezogenen Daten nach Artikel 15 DSGVO,

• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten nach Artikel 16 DSGVO,

• Löschung personenbezogener Daten nach Artikel 17 DSGVO, soweit keine gesetzliche Pflicht oder fortbestehende Rechtsgrundlage für die weitere Verarbeitung besteht,

• Einschränkung der Verarbeitung nach Artikel 18 DSGVO,

• Widerspruch gegen eine Verarbeitung, die auf Artikel 6 Absatz 1 Buchstabe e DSGVO beruht, aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, nach Artikel 21 DSGVO.

Da die für den schulorganisatorischen Betrieb von mycurie erforderliche Verarbeitung im öffentlichen Interesse beziehungsweise in Ausübung öffentlicher Aufgaben erfolgt, besteht hierfür grundsätzlich kein Recht auf Datenübertragbarkeit nach Artikel 20 DSGVO. Die Rechte auf Löschung und Widerspruch können eingeschränkt sein, soweit die weitere Verarbeitung zur Erfüllung der gesetzlichen Aufgaben der Schule erforderlich ist.

Soweit eine Verarbeitung ausnahmsweise auf einer Einwilligung beruht, kann diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung der Rechte kann die betroffene Person den Verantwortlichen oder den Datenschutzbeauftragten unter den in Abschnitt 1 und 2 genannten Kontaktdaten kontaktieren.

Für minderjährige Schülerinnen und Schüler werden die Rechte grundsätzlich durch die Eltern ausgeübt. Nach § 65 Absatz 8 BbgSchulG können Schülerinnen und Schüler ab Vollendung des 14. Lebensjahres ihr Einsichts- und Auskunftsrecht ohne Zustimmung der Eltern geltend machen, wenn die Schule die Zustimmung der Eltern im konkreten Fall nicht für erforderlich hält.

9. Beschwerderecht

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung ihrer personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde ist:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Dagmar Hartge
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefon: 033203 356-0
E-Mail: Poststelle@LDA.Brandenburg.de
Internet: www.lda.brandenburg.de

10. Sicherheit der Verarbeitung

Die Schule und ihr Auftragsverarbeiter treffen technische und organisatorische Maßnahmen, um personenbezogene Daten insbesondere vor unbefugtem Zugriff, Verlust, Veränderung und Offenlegung zu schützen. Dazu gehören insbesondere verschlüsselte Datenübertragung, rollenbezogene Zugriffsrechte, sichere Passwortspeicherung, Datensicherungen und eine Trennung der Zugriffsberechtigungen nach Aufgabenbereichen.

11. Änderung dieser Datenschutzinformationen

Diese Datenschutzinformationen werden angepasst, wenn mycurie um neue Module oder Verarbeitungszwecke erweitert wird oder sich rechtliche beziehungsweise technische Rahmenbedingungen ändern. Über wesentliche Änderungen werden die betroffenen Personen in geeigneter Weise informiert. Die jeweils aktuelle Fassung ist unter curiegym.de sowie mycurie.de abrufbar.