Informationen nach Artikel 13 DSGVO. Geschrieben, um verstanden
zu werden — das verlangt die Verordnung selbst.
Wer dafür geradesteht
Taher Elarabi
Mühlstraße 54
63225 Langen
hallo@taher.de
Was gespeichert wird
Für den Zugang:
- Dein Anmeldename beim Schulportal, die Schulnummer und die
Klasse — im Klartext.
- Dein Passwort für das Schulportal — verschlüsselt
(AES-256-GCM).
- Das Passwort für diese App — nur als Prüfwert, aus dem sich
das Passwort nicht zurückrechnen lässt.
- Ein selbstgewählter Name für das Konto, der Zeitpunkt der
Einrichtung und der letzten Nutzung.
- Wenn eingerichtet: der Zugang zum Kantinenportal —
ebenfalls verschlüsselt.
Aus dem Schulportal geholt und zwischengespeichert,
damit die App auch ohne Netz etwas zeigt: Stundenplan,
Vertretungen, Termine, Nachrichten, Fehlzeiten, Kursmappen,
Hausaufgaben und die Kontakte der Lehrkräfte.
Von dir eingetragen: eigene Termine und
Hausaufgaben, die Auswahl der Kurse, gelesene Nachrichten,
Farben und Einstellungen.
Wie es geschützt ist
Deine Zugangsdaten und die geholten Daten liegen verschlüsselt
auf der Platte. Der Schlüssel entsteht aus deinem App-Passwort
und liegt nicht auf dem Server — wer diese
Dateien in die Hand bekäme, könnte sie ohne dein Passwort nicht
lesen.
Eine Ausnahme, die dazugehört: Während die App
Daten holt, hält der Server eine laufende Anmeldung am
Schulportal — ein Sitzungs-Cookie. Diese eine Datei lässt sich
technisch nicht verschlüsseln; sie liegt so, dass nur der
Webserver sie lesen darf. Wer sie trotzdem in die Hand bekäme,
käme damit ins Schulportal, solange die Sitzung dort gilt —
ohne dein Passwort zu kennen. Beim Abmelden wird sie
weggeräumt.
Und: Solange du angemeldet bist, muss der Schlüssel bei jedem
Aufruf mitkommen, sonst könnte die App dir nichts anzeigen. Ein
vollständiger Schutz gegen den Betreiber des Servers ist das
also nicht.
Wozu, und mit welchem Recht
Einziger Zweck ist, dir deinen Stundenplan und was dazugehört
anzuzeigen. Rechtsgrundlage ist deine Einwilligung
(Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Einrichten des
Kontos gibst. Für Kinder unter 16 geben die Eltern sie
(Art. 8 DSGVO) — deshalb gehen die Einladungen an die Familie.
Du kannst sie jederzeit widerrufen, indem du das Konto löschst.
Wer die Daten sonst noch sieht
Niemand. Keine Statistik, keine Werbung, keine
Weitergabe, kein Verkauf. Es gibt keinen Zählpixel und kein
fremdes Skript in dieser App.
Der Server fragt für dich diese Stellen an:
- Schulportal Hessen — dorthin geht dein
Zugang, denn von dort kommen die Daten. Das ist der Zweck
der App.
- Website deiner Schule — für Speiseplan und
Lehrerverzeichnis. Ohne Angaben zu dir.
- Open-Meteo (Wetter) — übermittelt werden
nur die Koordinaten der Schule, die fest eingestellt sind.
Keine Angaben zu dir, und die Anfrage stellt der Server,
nicht dein Telefon.
- Kantinenportal — nur, wenn du dort einen
Zugang hinterlegt hast.
Betrieben wird der Server von der IONOS SE in
Deutschland. Sie verarbeitet die Daten in unserem Auftrag und
führt beim Betrieb technische Zugriffsprotokolle, wie jeder
Webserver. Ausgewertet werden sie hier nicht.
Cookies und was im Telefon bleibt
Drei Cookies, alle technisch nötig: eines für die Sitzung, zwei
für die Schlüssel deiner Daten. Keine Werbe-Cookies, also auch
kein Banner, das dich danach fragt.
Im Speicher des Browsers liegt eine vollständige
Kopie dessen, was die App zuletzt angezeigt hat —
Stundenplan, Termine, Nachrichten samt Text, Kontakte und
Fehlzeiten. Nur so zeigt die App auch ohne Netz etwas an. Dazu
Farbthema, Kursauswahl und ein begonnener Nachrichtenentwurf.
Das alles bleibt auf deinem Gerät und ist dort unverschlüsselt;
wer das Telefon entsperrt in der Hand hat, kann es lesen. Beim
Abmelden wird die Kopie der Daten entfernt — Farbthema und
Einstellungen bleiben, damit die App beim nächsten Mal wieder
so aussieht wie vorher.
Wie lange
Bis du das Konto löschst. Dann werden die Zugangsdaten und alle
zwischengespeicherten Daten entfernt — nicht markiert, sondern
gelöscht. Das geht in den Einstellungen unter „Konto" mit deinem
App-Passwort, oder auf Zuruf per E-Mail.
Zwei Dinge überdauern das und werden nur auf Zuruf entfernt:
eine Rückmeldung, die du über die App geschrieben hast (sie
trägt den Namen des Kontos), und der Eintrag deiner Einladung,
der nach 90 Tagen von selbst verfällt.
Bei Fehlern schreibt der Server eine Zeile mit, was wo schiefging
— ohne Passwörter, ohne Kontonamen, ohne Kennung der Sitzung.
Diese Datei wird laufend überschrieben.
Deine Rechte
Du kannst Auskunft verlangen, Berichtigung, Löschung,
Einschränkung der Verarbeitung, Herausgabe deiner Daten in einem
übertragbaren Format und Widerspruch gegen die Verarbeitung.
Eine E-Mail an hallo@taher.de
genügt.
Und du kannst dich beschweren, wenn dir etwas nicht passt:
Der Hessische Beauftragte für Datenschutz und
Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.
