Schulfunk Produktdokumentation, Datenschutz und Roll-out – Schulfunk by Empennage. Datenschutz AVV, VVT-Eintrag und Eltern-Info-Brief für den DSGVO-konformen Schulfunk-Einsatz. Übersicht Datenschutz-Paket Schulfunk – Datenschutz-Paket Diese Sammlung enthält die Dokumente, die eine Schule oder OGS benötigt, um Schulfunk DSGVO-konform einsetzen zu können – insbesondere wenn personenbezogene Daten von Kindern oder Eltern verarbeitet werden (z. B. Krankmeldungen). Übersicht Dokument Zweck Format Wer unterschreibt? Auftragsverarbeitungsvertrag (AVV) Vertrag zwischen Schul-/OGS-Träger und Empennage nach Art. 28 DSGVO .docx + .md Träger + Empennage Verzeichnis der Verarbeitungstätigkeiten (VVT) – Eintrag Vorlage für den Eintrag, den der Verantwortliche in sein eigenes VVT übernimmt .docx + .md – (interne Doku) Eltern-Info-Brief Transparente Information an Eltern nach Art. 13 DSGVO .docx + .md Schul-/OGS-Leitung Wann brauche ich was? Reiner Personal-Pilot ohne Kinder-/Elterndaten: keines dieser Dokumente zwingend erforderlich. Eine kurze interne Info an die teilnehmenden Mitarbeitenden reicht. Sobald Krankmeldungen, Anwesenheits- oder Elterndaten verarbeitet werden: alle drei Dokumente in Kraft setzen. Reihenfolge der Umsetzung AVV zwischen Träger und Empennage unterzeichnen. Verantwortlicher pflegt VVT-Eintrag in das eigene Verzeichnis ein. Eltern-Info-Brief verteilen (mindestens zwei Wochen vor Produktivstart). Erst danach: Verarbeitung personenbezogener Daten in Schulfunk aktivieren. Veröffentlichung BookStack: docs.empennage.de → Buch Schulfunk → Kapitel Datenschutz Webseite: schulfunk.app/datenschutz (öffentliche Versionen ohne Trägerdaten) Pflege Dieses Paket wird zentral auf BookStack gepflegt. Änderungen am Original immer dort vornehmen, danach in den Word-Versionen nachziehen. Letzte Aktualisierung: {{Datum}} Auftragsverarbeitungsvertrag (AVV) Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag (AVV) gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) 📄 Word-Version zum Unterzeichnen: AVV_Schulfunk_v1.docx Zwischen Verantwortlicher {{Name des Schulträgers bzw. OGS-Trägers}} {{Straße, Hausnummer}} {{PLZ Ort}} vertreten durch {{Name, Funktion}} — im Folgenden »Verantwortlicher« genannt — und Auftragsverarbeiter Empennage – Inhaber Philipp Wolters (Einzelunternehmen) Winzerstr. 117 53129 Bonn E-Mail: {{kontakt@empennage.de}} — im Folgenden »Auftragsverarbeiter« genannt — — gemeinsam die »Parteien« — § 1 Gegenstand und Dauer des Auftrags (1) Gegenstand des Auftrags ist die Erbringung der in Anlage 1 näher beschriebenen Leistungen durch den Auftragsverarbeiter (Bereitstellung und Betrieb der Kommunikationsplattform »Schulfunk«). (2) Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter erfolgt ausschließlich auf Grundlage dieses Vertrags und nach Weisung des Verantwortlichen. (3) Diese Vereinbarung tritt mit Unterzeichnung in Kraft und gilt für die Dauer des zugrundeliegenden Hauptvertrags bzw. der Nutzung von Schulfunk durch den Verantwortlichen. Eine ordentliche Kündigung dieser AVV ohne gleichzeitige Beendigung des Hauptvertrags ist ausgeschlossen. § 2 Konkretisierung des Auftragsinhalts (1) Art und Zweck der Verarbeitung: Bereitstellung einer Plattform für die interne und externe Kommunikation einer Schule und/oder OGS, insbesondere: Strukturierte Mitteilungen zwischen Mitarbeitenden (Personal-Personal-Kommunikation) Mitteilungen zwischen Personal und Sorgeberechtigten (z. B. Termine, allgemeine Hinweise, Krankmeldungen, Abholregelungen) Verwaltung von Gruppen, Klassen, Verteilern und Rollen (2) Art der personenbezogenen Daten: Stammdaten Mitarbeitende: Vor- und Nachname, dienstliche E-Mail-Adresse, Rolle, Zuordnung zu Klassen/Gruppen Stammdaten Sorgeberechtigte: Vor- und Nachname, E-Mail-Adresse, ggf. Telefonnummer Stammdaten Kinder: Vor- und Nachname, Klasse/Gruppe, Anwesenheits-/Abwesenheitsstatus Inhalte der Kommunikation (Texte, Anhänge), die durch Nutzende eingegeben werden Metadaten der Nutzung (Zeitstempel, Lesebestätigungen, Login-Daten) (3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) können in eng begrenztem Umfang anfallen, soweit Eltern in Krankmeldungen freiwillig Angaben zu Gesundheitsdaten ihres Kindes machen. Der Verantwortliche stellt sicher, dass für diese Verarbeitung eine geeignete Rechtsgrundlage besteht. (4) Kategorien betroffener Personen: Mitarbeitende des Verantwortlichen (OGS, Schule) Sorgeberechtigte Schülerinnen und Schüler / OGS-Kinder Externe Dienstleister, soweit eingebunden (z. B. AG-Leitungen) § 3 Technisch-organisatorische Maßnahmen (TOM) (1) Der Auftragsverarbeiter trifft die in Anlage 1 (TOM) beschriebenen technischen und organisatorischen Maßnahmen zum Schutz der Daten nach Art. 32 DSGVO. (2) Der Stand der TOM kann während der Vertragslaufzeit fortgeschrieben werden. Wesentliche Änderungen werden dem Verantwortlichen unverzüglich mitgeteilt. Die TOM dürfen das Schutzniveau nicht unterschreiten. § 4 Berichtigung, Einschränkung und Löschung (1) Daten dürfen ausschließlich auf Weisung des Verantwortlichen berichtigt, gelöscht oder in der Verarbeitung eingeschränkt werden. (2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO) durch geeignete technische und organisatorische Maßnahmen. § 5 Qualitätssicherung und sonstige Pflichten des Auftragsverarbeiters Der Auftragsverarbeiter verpflichtet sich insbesondere zu: Bestellung eines Datenschutzbeauftragten, soweit nach Art. 37 DSGVO erforderlich. Aktuell ist keine Bestellung erforderlich; Kontakt für Datenschutzangelegenheiten: {{kontakt@empennage.de}}. Schriftlicher Verpflichtung sämtlicher mit der Verarbeitung betrauten Personen auf das Datengeheimnis (Vertraulichkeit, Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Unverzüglicher Information des Verantwortlichen über Kontrollhandlungen einer Aufsichtsbehörde gegenüber dem Auftragsverarbeiter, soweit diese sich auf den Auftrag beziehen. Sicherstellung, dass eingesetzte Personen über den Inhalt dieses Vertrags geschult sind. Unterstützung des Verantwortlichen bei der Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und ggf. der vorherigen Konsultation (Art. 36 DSGVO). § 6 Unterauftragsverhältnisse (1) Der Auftragsverarbeiter darf weitere Auftragsverarbeiter (Subunternehmen) nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen einsetzen. Eine allgemeine Genehmigung für die in Anlage 2 genannten Unterauftragsverarbeiter wird hiermit erteilt. (2) Der Auftragsverarbeiter unterrichtet den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung anderer Auftragsverarbeiter. Der Verantwortliche kann gegen derartige Änderungen Einspruch erheben. (3) Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter denselben Datenschutzpflichten unterliegen wie er selbst. (4) Nicht als Unterauftragsverhältnis gelten Nebenleistungen wie Telekommunikationsleistungen, Post-/Transportdienstleistungen sowie Wartung und Pflege, soweit diese nicht den vertraglichen Hauptzweck betreffen. § 7 Kontrollrechte des Verantwortlichen (1) Der Verantwortliche hat das Recht, sich vor Beginn der Verarbeitung und während der Vertragslaufzeit von der Einhaltung der getroffenen TOM zu überzeugen. (2) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung. Hierzu zählen insbesondere aktuelle Testate, Zertifikate oder Berichte von Sachverständigen. (3) Bei Vor-Ort-Kontrollen sind die Belange des Auftragsverarbeiters angemessen zu berücksichtigen. Kontrollen sind mit angemessener Vorlaufzeit (mindestens 14 Tage) anzukündigen. § 8 Meldung bei Verstößen des Auftragsverarbeiters (1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme. (2) Die Meldung enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Angaben. (3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Meldepflichten nach Art. 33, 34 DSGVO. § 9 Weisungsbefugnis des Verantwortlichen (1) Die Verarbeitung der Daten erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen. (2) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Vorschriften verstößt, so hat er den Verantwortlichen unverzüglich darauf hinzuweisen. (3) Weisungsberechtigte Personen des Verantwortlichen: {{Name, Funktion, E-Mail}} Weisungsempfänger beim Auftragsverarbeiter: Philipp Wolters, Winzerstr. 117, 53129 Bonn, {{kontakt@empennage.de}} § 10 Löschung und Rückgabe nach Vertragsende (1) Nach Beendigung des Auftrags hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten personenbezogenen Daten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen. Bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt. (2) Die Löschung wird auf Anforderung schriftlich bestätigt. § 11 Haftung Es gelten die gesetzlichen Regelungen zur Haftung nach Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für die Verstöße, die in ihrem Verantwortungsbereich liegen. § 12 Schlussbestimmungen (1) Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein, berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. (2) Änderungen und Ergänzungen bedürfen der Schriftform. (3) Es gilt deutsches Recht. Gerichtsstand ist – soweit zulässig – der Sitz des Verantwortlichen. Unterschriften Verantwortlicher Ort, Datum: ____________________ {{Name, Funktion}} Auftragsverarbeiter Ort, Datum: ____________________ Philipp Wolters (Empennage) Anlage 1 – Technisch-organisatorische Maßnahmen (TOM) 1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO) Zutrittskontrolle Serverstandort: Hetzner Online GmbH, Rechenzentren in Deutschland (Falkenstein / Nürnberg) Zertifizierungen des Rechenzentrums (ISO 27001, …) liegen vor (Nachweise auf Anfrage) Physischer Zugang nur für autorisiertes Personal des Rechenzentrumsbetreibers Zugangskontrolle Authentifizierung über E-Mail + Passwort, Passwort-Mindestlänge ≥ 12 Zeichen Optional Zwei-Faktor-Authentifizierung Automatische Sperrung nach mehreren Fehlversuchen Administrative Zugänge über separate Accounts mit Zwei-Faktor-Authentifizierung SSH-Zugriffe nur via Public-Key-Authentifizierung, keine Passwort-Logins Zugriffskontrolle Rollenbasiertes Berechtigungskonzept innerhalb der Anwendung (Rollen z. B. Schulleitung, OGS-Leitung, Gruppenleitung, Eltern) Trennung administrativer und fachlicher Zugriffe Protokollierung administrativer Zugriffe (Audit-Log) Trennungskontrolle Logische Trennung der Daten je Einrichtung (Mandantenfähigkeit) Trennung von Test-, Entwicklungs- und Produktivumgebung 2. Integrität (Art. 32 Abs. 1 lit. b DSGVO) Weitergabekontrolle Verschlüsselte Übertragung (TLS 1.2 oder höher) zwischen Endgeräten und Server Verschlüsselte Backups Keine Datenübermittlung in Drittstaaten ohne ausdrückliche Weisung Eingabekontrolle Protokollierung relevanter Verarbeitungsvorgänge (Wer hat was wann geändert?) Aufbewahrung der Protokolle für mindestens 90 Tage 3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO) Tägliche automatisierte Backups, Aufbewahrung mindestens 30 Tage Backups verschlüsselt und an separatem Standort innerhalb der EU Regelmäßige Test-Wiederherstellungen Monitoring der Systemverfügbarkeit Schutz gegen Schadsoftware durch aktuelle Systempflege (regelmäßige Sicherheitsupdates) 4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO) Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO wird geführt Datenschutzvorfälle werden protokolliert und ausgewertet TOM werden mindestens jährlich überprüft 5. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO) Passwörter werden ausschließlich als Hash (bcrypt o. ä.) gespeichert Datenbank-Backups verschlüsselt Verschlüsselung at-rest auf Festplatten-Ebene (LUKS / vergleichbar) Anlage 2 – Genehmigte Unterauftragsverarbeiter Name Anschrift Leistung Standort Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen Hosting / Rechenzentrum Deutschland {{ggf. weitere}} Etwaige weitere Unterauftragsverarbeiter werden dem Verantwortlichen vor Einsatz mitgeteilt; der Verantwortliche hat ein Widerspruchsrecht. Dokumentversion: v1 · Stand: {{Datum}} Verzeichnis von Verarbeitungstätigkeiten – Eintrag Verzeichnis von Verarbeitungstätigkeiten – Eintrag »Schulfunk« 📄 Word-Version: VVT_Eintrag_Schulfunk.docx Eintrag für das Verzeichnis von Verarbeitungstätigkeiten des Verantwortlichen gemäß Art. 30 Abs. 1 DSGVO. 1. Bezeichnung der Verarbeitungstätigkeit Digitale Kommunikation mit Schulfunk – interne und externe Mitteilungen, Anwesenheits- und Krankmeldungsmanagement. 2. Verantwortlicher {{Name des Schulträgers bzw. OGS-Trägers}} {{Anschrift}} vertreten durch {{Name, Funktion}} 3. Datenschutzbeauftragte/r {{Name, Anschrift, E-Mail}} 4. Auftragsverarbeiter Empennage – Inhaber Philipp Wolters Winzerstr. 117, 53129 Bonn {{kontakt@empennage.de}} (AVV vom {{Datum}} liegt vor.) 5. Zwecke der Verarbeitung Organisation und Durchführung der schulischen und außerschulischen Bildungs-, Erziehungs- und Betreuungsaufgaben Sicherstellung der Aufsichtspflicht (Anwesenheitserfassung, Krankmeldungen) Information und Kommunikation zwischen Mitarbeitenden sowie zwischen Mitarbeitenden und Sorgeberechtigten 6. Kategorien betroffener Personen Schülerinnen und Schüler / OGS-Kinder Sorgeberechtigte Mitarbeitende der Schule und der OGS Externe (z. B. AG-Leitungen) 7. Kategorien personenbezogener Daten Stammdaten Kind: Vor- und Nachname, Klasse/Gruppe Anwesenheits- und Abwesenheitsdaten, Krankmeldungen (ggf. Gesundheitsangaben durch Eltern – Art. 9 DSGVO) Stammdaten Sorgeberechtigte: Vor- und Nachname, E-Mail, ggf. Telefon Stammdaten Mitarbeitende: Vor- und Nachname, dienstliche E-Mail, Rolle Kommunikationsinhalte und Metadaten (Zeitstempel, Lesebestätigungen) 8. Kategorien von Empfängern Mitarbeitende des Verantwortlichen mit entsprechender Rollenberechtigung Sorgeberechtigte (nur für Mitteilungen, die sie betreffen) Auftragsverarbeiter Empennage (im Rahmen des AVV) Hosting-Dienstleister Hetzner Online GmbH (als Unterauftragsverarbeiter) 9. Übermittlung an Drittländer / internationale Organisationen Keine Übermittlung in Drittländer außerhalb der EU/EWR vorgesehen. 10. Rechtsgrundlage Art. 6 Abs. 1 lit. e DSGVO i. V. m. § 120 Abs. 1, 5 SchulG NRW und KiBiz NRW – Aufgabenerfüllung in öffentlichem Interesse Art. 9 Abs. 2 lit. b DSGVO für gegebenenfalls anfallende Gesundheitsangaben in Krankmeldungen (Erforderlichkeit im Rahmen der Aufsichtspflicht) Soweit Mitarbeitendendaten betroffen sind: Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 18 DSG NRW (Beschäftigtendatenschutz) 11. Vorgesehene Löschfristen Datenkategorie Frist Stammdaten Kind / Sorgeberechtigte Ende des Schuljahres, in dem das Kind die Einrichtung verlässt, + 1 Schuljahr Anwesenheits-/Krankmeldungsdaten Ende des Schuljahres + 1 Jahr Kommunikationsinhalte 6 Monate ab Erstellung (rollierende Löschung), sofern nicht länger erforderlich Stammdaten Mitarbeitende Bis 1 Monat nach Ausscheiden Audit-Logs 90 Tage 12. Technische und organisatorische Maßnahmen (TOM) Siehe Anlage 1 des AVV mit Empennage. Wesentliche Maßnahmen: Serverstandort Deutschland (Hetzner) TLS-Verschlüsselung bei Übertragung Rollenbasiertes Berechtigungskonzept Authentifizierung mit starkem Passwort, optional 2FA Tägliche verschlüsselte Backups Protokollierung administrativer Zugriffe Dokumentversion: v1 · Stand: {{Datum}} Eltern-Info-Brief (Art. 13 DSGVO) Information über die Nutzung von Schulfunk Hinweise nach Art. 13 DSGVO an die Sorgeberechtigten 📄 Word-Version (zum Ausdrucken / Anpassen): Eltern_Info_Schulfunk.docx Liebe Eltern und Sorgeberechtigte, ab {{Startdatum}} nutzen Schule und OGS für die Kommunikation untereinander und mit Ihnen das Werkzeug Schulfunk. Dazu möchten wir Sie an dieser Stelle transparent informieren. Was ist Schulfunk? Schulfunk ist eine digitale Plattform für die Kommunikation in Schule und OGS – vergleichbar mit einer Mischung aus Klassenchat, schwarzem Brett und Krankmeldungs-Formular. Wir verwenden es zum Beispiel für: Mitteilungen der Klassenleitung an die Eltern einer Klasse Termine und Hinweise aus der OGS-Gruppe Krankmeldungen Ihres Kindes Akute Informationen wie kurzfristige Unterrichtsausfälle Welche Daten werden verarbeitet? Im Rahmen der Nutzung verarbeiten wir folgende Daten: Ihres Kindes: Vor- und Nachname, Klasse bzw. OGS-Gruppe, Anwesenheit und Krankmeldungen. Ihre eigenen Daten: Vor- und Nachname, E-Mail-Adresse, gegebenenfalls Telefonnummer, Nachrichteninhalte. Technische Daten: Zeitstempel, Login-Daten, Lesebestätigungen. Wenn Sie in einer Krankmeldung freiwillig Angaben zur Erkrankung machen, werden diese Angaben ebenfalls verarbeitet (Art. 9 DSGVO – Gesundheitsdaten). Sie sind nicht verpflichtet, eine Krankheitsursache anzugeben. Auf welcher Rechtsgrundlage? Die Verarbeitung erfolgt auf Grundlage der gesetzlichen Aufgaben von Schule und OGS (Art. 6 Abs. 1 lit. e DSGVO i. V. m. § 120 SchulG NRW und KiBiz NRW). Für Gesundheitsangaben in Krankmeldungen kommt Art. 9 Abs. 2 lit. b DSGVO hinzu. Eine gesonderte Einwilligung ist daher nicht erforderlich. Wer ist verantwortlich, wer ist Dienstleister? Verantwortlich für die Verarbeitung ist {{Träger / Schul-/OGS-Leitung}}, Anschrift: {{Anschrift}}. Als technischer Dienstleister (Auftragsverarbeiter) arbeiten wir mit Empennage – Inhaber Philipp Wolters, Winzerstr. 117, 53129 Bonn zusammen. Empennage stellt die Plattform Schulfunk bereit und betreibt sie auf Servern der Hetzner Online GmbH in Deutschland. Es existiert ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Eine Übermittlung in Drittländer außerhalb der EU findet nicht statt. Wie lange werden die Daten gespeichert? Wir löschen die Daten Ihres Kindes spätestens ein Schuljahr, nachdem es unsere Einrichtung verlassen hat. Krankmeldungen werden in der Regel zum Ende des laufenden Schuljahres + 1 Jahr gelöscht. Nachrichteninhalte werden nach spätestens 6 Monaten rollierend gelöscht, soweit nicht länger erforderlich. Ihre Rechte Sie haben jederzeit das Recht auf: Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO) Berichtigung unrichtiger Daten (Art. 16) Löschung Ihrer Daten (Art. 17) Einschränkung der Verarbeitung (Art. 18) Datenübertragbarkeit (Art. 20) Widerspruch gegen die Verarbeitung (Art. 21) Beschwerde bei der zuständigen Aufsichtsbehörde Den Widerspruch gegen die Nutzung von Schulfunk für Ihre Familie können Sie jederzeit formlos gegenüber {{Name, Funktion, E-Mail}} erklären. In diesem Fall stellen wir die Kommunikation auf einem alternativen Weg (z. B. Telefon, Brief) sicher. Ansprechpartner Bei Fragen wenden Sie sich an: Schule / OGS: {{Name, Funktion, E-Mail, Telefon}} Datenschutzbeauftragte/r: {{Name, E-Mail}} Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf, ldi.nrw.de Mit freundlichen Grüßen {{Schulleitung}} {{OGS-Leitung}} Stand: {{Datum}} · Bei wesentlichen Änderungen informieren wir Sie erneut.