Datenschutzerklärung

1. Verantwortlicher

Daniel Hattenbach
Vorsfelder Straße 9
38350 Helmstedt
Deutschland

E-Mail: support@scorebro.eu

2. Aufruf der Seite (Hosting)

Die Seite liegt bei Firebase Hosting, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beim Aufruf verarbeitet Google technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge sowie Browser und Betriebssystem. Das ist nötig, um die Seite auszuliefern und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Dabei können Daten an die Google LLC in den USA gelangen. Google ist nach dem EU-US Data Privacy Framework zertifiziert. Mit Google besteht ein Vertrag zur Auftragsverarbeitung.

2a. Zusammengefasste Website-Statistik

Auf den öffentlichen Informationsseiten zählen wir Seitenaufrufe und ausgewählte Klicks, etwa auf die Demo, Schulvorlagen oder den Pilotbereich. Gespeichert werden nur Tageszähler nach festen Seiten-, Aktions- und Herkunftskategorien. Vollständige Adressen, Suchbegriffe, Formulareingaben, Konten und Gerätekennungen gehören nicht zur Statistik. Die Herkunft wird im Browser auf eine Kategorie wie „Google“, „Newsletter“ oder „Direkt / Quelle nicht übermittelt“ reduziert. Wiederkehrende Personen oder ihren Beruf erkennen wir nicht.

Für eine ungefähre Länder-, Regions- und Stadtzuordnung verarbeitet unsere Serverfunktion in Frankfurt die technisch übermittelte IP-Adresse kurzzeitig anhand einer lokal gespeicherten Datenbank. In die Statistik gelangen nur Ortszähler, keine IP-Adressen oder daraus gebildeten Kennungen. Ortszähler sind nicht mit Seiten oder Aktionen verknüpft. Netzwerkstandorte können vom Aufenthaltsort abweichen. Regionen und Städte erscheinen in der Auswertung erst ab zehn Aufrufen im gewählten Zeitraum. Die Datenbank stammt von DB-IP (CC BY 4.0); DB-IP erhält keine Anfragen mit Besucheradressen.

Die Zähler liegen in unserer EU-Datenbank und sind nur der tapiloop-Plattformverwaltung zugänglich. Wir werten bis zu 90 Tage aus; ältere Tageszähler werden nach rund 91 Tagen durch den stündlichen Löschlauf entfernt. Es gibt keine einzelnen Besuchsprotokolle, Tracking-Cookies, Browser-Speichereinträge oder Fingerprints für diese Statistik. Für den Statistik-Endpunkt werden keine HTTP-Anfrageprotokolle in unserem Cloud-Logging-Speicher abgelegt. Die technische Verarbeitung von Verbindungsdaten durch Google zur Bereitstellung bleibt bestehen (siehe Abschnitt 2).

Zweck und berechtigtes Interesse sind, die Verständlichkeit und Nutzung unserer öffentlichen Informationen zu beurteilen (Art. 6 Abs. 1 lit. f DSGVO). Die Statistik umfasst weder die Demo selbst noch Anmeldung, Schulbereiche, Karten-, Handy- oder Tablet-Abläufe. Aktiviertes „Do Not Track“ oder „Global Privacy Control“ im Browser unterbindet die Erfassung. Für einen Widerspruch kannst du dich auch an support@scorebro.eu wenden.

3. Die Demo

Die Demo unter /demo läuft vollständig in deinem Browser. Alle gezeigten Namen sind erfunden. Was du dort anklickst, wird nicht an uns übertragen.

Damit dein Stand beim Neuladen erhalten bleibt, legt die Demo zwei Einträge im lokalen Speicher deines Browsers ab: tapiloop-demo-v1 (der Demostand) und tapiloop-language (die gewählte Sprache). Diese Speicherung ist für die von dir gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und braucht deshalb keine Einwilligung. Du kannst die Einträge jederzeit über die Browser-Einstellungen löschen.

4. Anmeldung für Schulleitungen und Lehrkräfte

Wer sich unter /login anmeldet, nutzt Firebase Authentication (Google Ireland Limited) sowie Cloud Firestore und Cloud Functions (Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland; Serverfunktionen in Frankfurt am Main). Verarbeitet werden E-Mail-Adresse, der Name aus der Einladung der Schule, eine technische Nutzerkennung und Anmeldezeitpunkte. Bei der Anmeldung per E-Mail-Link verschickt Firebase eine E-Mail mit einem einmal gültigen Link an die angegebene Adresse; das gilt auch für Einladungen, die eine Schule an ihr Kollegium verschickt. Bei der Anmeldung mit Google werden E-Mail-Adresse und Name des Google-Kontos übermittelt. Die Datenbank mit den Daten der Schulen liegt in der EU (Standort eur3). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne Anmeldung findet keine dieser Verarbeitungen statt.

Damit ein angeforderter Anmeldelink auf demselben Gerät ohne erneute Eingabe funktioniert, merkt sich der Browser die Adresse kurz unter tapiloop-signin-email. Der Eintrag ist für die Anmeldung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und wird nach der Anmeldung entfernt.

Nach einer Anmeldung merkt sich der Browser außerdem unter tapiloop-signed-in nur, dass eine Anmeldung stattfand, damit die Startseite den Weg zurück zeigt; der Eintrag gewährt keinen Zugang. Im Arbeitsbereich einer Schule liegen unter tapiloop-guide die ausgeblendeten Schritte des Leitfadens. Beides ist für die gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Daten von Schülerinnen und Schülern verarbeitet tapiloop ausschließlich im Auftrag der jeweiligen Schule. Verantwortlich ist die Schule; Fragen und Auskunftswünsche dazu richten sich an sie. Was dabei festgehalten wird und was nicht, steht in einfachen Worten auf der Seite für Eltern und Kinder.

4a. Verbundene Handys von Schülerinnen und Schülern

Ein Kind kann sein Handy einmal mit seiner Klasse verbinden, indem es einen Code der Lehrkraft scannt. Dabei erzeugt das Handy selbst ein zufälliges Kennzeichen und ein Geheimnis; ein Konto, eine E-Mail-Adresse oder Telefonnummer wird nicht angelegt und nicht abgefragt. Auf dem Server werden das Kennzeichen, die Schule, die Kennung des Kindes in der Klassenliste und ein Prüfwert des Geheimnisses gespeichert, im Auftrag der Schule. Auf dem Handy bleiben unter tapiloop-device Kennzeichen, Geheimnis sowie Name und Klasse des Kindes zur Anzeige. Dieser Eintrag ist für die Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Verbindung löst die Lehrkraft oder das Kind selbst jederzeit; beim Entfernen eines Kindes aus der Klassenliste wird sie mitgelöscht. Beim Antippen eines Aufklebers wird nur übermittelt, welcher Aufkleber es war; ein Standort wird nicht erhoben.

4b. Klassen-Tablets

Ein Tablet im Klassenraum wird wie ein Handy einmal mit einer Klasse verbunden. Es erzeugt selbst ein zufälliges Kennzeichen und ein Geheimnis und behält beide unter tapiloop-kiosk; auf dem Server liegen Kennzeichen, Schule, Klasse und ein Prüfwert des Geheimnisses, im Auftrag der Schule. Das Tablet zeigt nur die Bilder und, wenn die Schule es so einstellt, die Vornamen seiner Klasse.

4c. Rechnungen

Bestellt eine Schule eine Lizenz oder Material, erstellt tapiloop die Rechnung über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Dorthin gelangen der Name der Schule, die Rechnungsadresse, Name und E-Mail-Adresse der Ansprechperson für Rechnungen, die Positionen und der Zahlungsstatus; keine Daten von Kindern und keine Konten von Lehrkräften. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Rechnungsdaten bewahren wir nach den steuerrechtlichen Fristen zehn Jahre auf.

4d. Kontakt- und Interessenformulare

Wer uns über das Kontaktformular im Arbeitsbereich oder über die Formulare auf der Startseite schreibt, dessen Angaben (Name, Schule, E-Mail-Adresse, freiwillige Antworten wie Ort, Funktion oder Telefonnummer, und die Nachricht) speichern wir in unserer Datenbank, um zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO. Gegen Missbrauch zählen wir Anfragen je Absender für eine Stunde; ein dafür gebildeter Prüfwert der IP-Adresse wird nach spätestens zwei Stunden gelöscht und nicht mit der Nachricht verknüpft. Anfragen löschen wir zwölf Monate nach Eingang.

5. Speicherdauer

Wege, Ereignisse und Hilferufe im Arbeitsbereich werden nach spätestens 48 Stunden, je nach Einstellung der Schule schon nach 24 Stunden, nicht mehr angezeigt und danach physisch gelöscht: durch einen stündlichen Lauf, in der Regel innerhalb einer Stunde; für Wege und Ereignisse zusätzlich durch eine Löschregel der Datenbank, die üblicherweise innerhalb eines Tages greift, ohne feste Frist. Eine feste Höchstdauer bis zur physischen Löschung sagen wir nicht zu; bis dahin liegen die Einträge unsichtbar in der Datenbank. Klassenlisten, Räume und Zugänge bestehen, bis die Schule sie entfernt oder den Vertrag beendet; dann löschen wir den Arbeitsbereich innerhalb von 30 Tagen. Koppel-Codes verfallen nach 15 Minuten und werden gelöscht. Es gibt dafür weder geplante Sicherungen noch eine Wiederherstellung älterer Stände, damit diese Frist nicht unterlaufen wird. Verbindungsdaten des Hostings speichert Google nach eigenen Fristen.

6. Was wir nicht tun

• Keine Tracking- oder Werbe-Cookies
• Keine personenbezogenen Nutzungsprofile und keine Werbenetzwerke
• Keine extern geladenen Schriften oder Skripte
• Keine Bewertung, Rangfolge oder Profilbildung
• Kein Zugriff auf andere Apps oder Inhalte eines Geräts

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Schreib dazu einfach an support@scorebro.eu.

Außerdem kannst du dich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.