Stand: 01.01.2022
Cat4School,
cbSoftware,
Christoph Brecht,
+49 (0)7171-9782248,
Klösterlestr. 1, 73525 Schwäbisch Gmünd
Die Vertragsparteien sind mit der Leistungsvereinbarung ein Auftragsdatenverarbeitungsverhältnis gemäß Art. 28 EU-DSGVO eingegangen bzw. erfolgt die in der Leistungsvereinbarung niedergelegte Verarbeitung der Daten im Auftrag des Verantwortlichen (sog. Auftragsverarbeitung). Um die Rechte und Pflichten aus dem Auftragsverarbeitungsverhältnis gemäß der gesetzlichen Verpflichtung zu konkretisieren, schließen die Vertragsparteien die nachfolgende Vereinbarung.
⇢ Anhang 1 „Technische und organisatorische Maßnahmen“
⇢ Anhang 2 „Genehmigte Subunternehmer“
⇢ Anhang 3 „Konkretisierung Datenarten / Datenkategorien“
⇢ Anhang 4 „Konkretisierung der von der Verarbeitung Betroffenen“
Die Vereinbarung findet Anwendung auf alle Tätigkeiten, die Gegenstand der Leistungsvereinbarung sind und bei deren Verrichtung Mitarbeiter des Auftragsverarbeiters oder durch den Auftragsverarbeiter nach Maßgabe dieser Vereinbarung beauftragte Dritte mit personenbezogenen Daten in Berührung kommen, für die der Verantwortliche (Art. 4 Nr. 7 DSGVO) zuständig ist.
Diese Vereinbarung bezieht sich nur auf die Verarbeitung personenbezogener Daten nach den vom Verantwortlichen vorgegebenen Weisungen.
Verarbeitung meint jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.
Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Weisung ist die auf einen bestimmten datenschutzmäßigen Umgang (z.B. Anonymisierung, Sperrung, Löschung, Herausgabe) des Auftragsverarbeiters mit personenbezogenen Daten gerichtete Anordnung des Verantwortlichen. Bestehende Weisungen (z.B. durch diese Vertragsergänzung) können vom Verantwortlichen danach durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung).
Der Gegenstand und die Dauer der Auftragsdatenverarbeitung sowie Umfang, Art und Zweck der vorgesehenen Verarbeitung von Daten sind in der Leistungsvereinbarung niedergelegt.
Die Art der verwendeten personenbezogenen Daten ist im Anhang 3 („Konkretisierung der Datenkategorien“) konkret beschrieben.
Der Kreis der durch den Umgang mit den personenbezogenen Daten Betroffenen ist im Anhang 4 („Konkretisierung der von der Verarbeitung Betroffenen“) konkret beschrieben.
Der Verantwortliche (die Schule/die Institution/Schulleitung) ist für die Einhaltung der datenschutzrechtlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragsverarbeiter sowie für die Rechtmäßigkeit der Datenverarbeitung verantwortlich (Art. 4 Nr. 7 DSGVO). Er kann jederzeit die Herausgabe, Berichtigung, Löschung und Sperrung der Daten verlangen (Art. 28 Abs. 3 lit. g DSGVO) soweit nicht eine gesetzliche Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Soweit ein Betroffener sich zwecks Löschung oder Berichtigung seiner Daten unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten und anhand der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bei der Erfüllung unterstützen (Art. 28 Abs. 3 lit. f DSGVO).
Der Auftragsverarbeiter darf Daten ausschließlich im Rahmen der dokumentierten Weisungen des Verantwortlichen verarbeiten, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen unverzüglich diese rechtlichen Anforderungen vor der Verarbeitung mit. Eine Weisung ist die auf einen bestimmten Umgang des Auftragsverarbeiters mit personenbezogenen Daten gerichtete schriftliche Anordnung des Verantwortlichen. Die Weisungen werden zunächst durch die Leistungsvereinbarung definiert und können von dem Verantwortlichen danach in schriftlicher Form durch eine einzelne Weisung geändert, ergänzt oder ersetzt werden (Art. 28 Abs. 3 lit. a DSGVO).
Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich entsprechend Art. 28 Abs. 3 DSGVO zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Verantwortlichen bestätigt oder geändert wird.
Änderungen des Verarbeitungsgegenstandes mit Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren. Auskünfte an Dritte oder den Betroffenen darf der Auftragsverarbeiter nur nach vorheriger schriftlicher Zustimmung durch den Verantwortlichen erteilen. Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke und ist insbesondere nicht berechtigt, sie an Dritte weiterzugeben. Kopien und Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt. Etwas anderes gilt nur bei Regelung im Vertrag oder in den in Ziffer 4.2 dieser Vereinbarung genannten Fällen.
Der Verantwortliche führt das Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 1 DSGVO. Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Wunsch Informationen zur Aufnahme in das Verzeichnis der Verarbeitungstätigkeiten zur Verfügung.
Die Verarbeitung und Nutzung der Daten im Auftrag des Verantwortlichen findet ausschließlich innerhalb der Europäischen Union oder dem Europäischen Wirtschaftsraum statt. Eine Verlagerung in einen Staat außerhalb des Hoheitsgebiets der Bundesrepublik Deutschland bedarf der vorherigen Zustimmung des Verantwortlichen. Dies gilt nicht für Wartungszugriffe des Auftragsverarbeiters, sofern Binding Corporate Rules oder EU-Standardvertragsklauseln mit diesen Unternehmen vereinbart wurden.
Neben den vertraglichen Regelungen dieser Vereinbarung und der Leistungsvereinbarung treffen den Auftragsverarbeiter gemäß Art 28 Abs. 3, Art. 30 DSGVO die nachfolgenden gesetzlichen Pflichten.
Der Auftragsverarbeiter stellt sicher, dass die mit der Verarbeitung der Daten des Verantwortlichen befassten Mitarbeiter gemäß Art. 5 I c) DSGVO verpflichtet und in die Schutzbestimmungen des Datenschutzrechts eingewiesen worden sind. Dies umfasst auch die Belehrung über die in diesem Auftragsverarbeitungsverhältnis bestehende Weisungs- und Zweckbindung.
Der Auftragsverarbeiter hat nach Maßgabe des Art. 37 DSGVO einen betrieblichen Datenschutzbeauftragten bestellt, der seine Tätigkeit gemäß §§ Art. 38 und Art 39 DSGVO ausübt. Die Kontaktdaten des Datenschutzbeauftragten sind dem Verantwortlichen zum Zwecke der direkten Kontaktaufnahme mitzuteilen.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen durch die Aufsichtsbehörden nach Art. 58 DSGVO oder falls eine Aufsichtsbehörde nach Art. 83 DSGVO bei dem Auftragsverarbeiter ermittelt. Darüber hinaus teilt der Auftragsverarbeiter dem Verantwortlichen unverzüglich mit, wenn er wegen eines Verstoßes gegen die DSGVO auf Schadensersatz verklagt wird und informiert ihn sodann in regelmäßigen Abständen über das laufende Verfahren.
Der Auftragsverarbeiter verpflichtet sich mit Inkrafttreten der DSGVO zur Führung eines Verzeichnisses der Verarbeitungstätigkeiten, die alle Kategorien zu den im Auftrag durchgeführten Tätigkeiten der Verarbeitung (Art. 30 Abs. 2 DSGVO) beinhaltet. Dieses Verzeichnis enthält mindestens
den Namen und die Kontaktdaten des Auftragsverarbeiters und jedes verantwortlichen Mitarbeiters des Verantwortlichen in dessen Auftrag der Auftragsverarbeiter tätig ist, sowie gegebenenfalls des Vertreters des Verantwortlichen oder des Auftragsverarbeiters und eines etwaigen Datenschutzbeauftragten;
die Kategorien von Verarbeitungen, die im Auftrag des Verantwortlichen durchgeführt werden;
gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Artikel 49 Absatz 1 Unterabsatz 2 genannten Datenübermittlungen die Dokumentierung geeigneter Garantien;
wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Absatz 1 DSGVO.
Der Auftragsverarbeiter gewährt dem Verantwortlichen auf Anfrage binnen 14 Tagen nach schriftlicher Aufforderung Einsicht in die diese Verarbeitung betreffenden Informationen des Verzeichnisses.
Die Vertragsparteien vereinbaren die in dem Anhang 1 „Technische und organisatorische Maßnahmen“ zu dieser Vereinbarung niedergelegten konkreten technischen und organisatorischen Sicherheitsmaßnahmen gemäß Art. 28 Abs. 3 lit. c DSGVO in Verbindung mit Art. 32 Abs. 1 DSGVO bzw. § 22 BDSG 2018, um die Sicherheit der Verarbeitung im Auftrag zu gewährleisten. Der Anhang ist Gegenstand dieser Vereinbarung.
Technische und organisatorische Maßnahmen berücksichtigen zum Zeitpunkt des Abschlusses dieser Vereinbarung den Stand der Technik und unterliegen jeweils dem technischen Fortschritt. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der in dem Anhang „Technische und organisatorische Maßnahmen“ festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
Der Auftragsverarbeiter verpflichtet sich, die konkreten technischen und organisatorischen Maßnahmen auf deren Wirksamkeit im Hinblick auf die Sicherheit der Verarbeitung in regelmäßigen Abständen zu überprüfen, zu bewerten und diese Risikobewertung zu dokumentieren.
Der Auftragsverarbeiter wird dem Verantwortlichen auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte geben und die entsprechenden Nachweise verfügbar machen. Aufgrund der Kontrollverpflichtung des Verantwortlichen gemäß Art. 28 Abs. 1, Abs. 3 DSGVO vor Beginn der Datenverarbeitung und während der Laufzeit des Auftrags stellt der Auftragsverarbeiter sicher, dass sich der Verantwortliche von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen überzeugen kann. Hierzu weist der Auftragsverarbeiter dem Verantwortlichen auf Anfrage die Umsetzung der technischen und organisatorischen Maßnahmen gemäß Art: 32 Abs. 1 sowie die Durchführung der regelmäßig durchgeführten Risikobewertung gemäß Ziffer 6.3 nach. Der Nachweis der Umsetzung solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann dabei auch durch Vorlage eines aktuellen Testats oder von Berichten unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren) oder einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach BSI-Grundschutz, ISO 27001) erbracht werden.
Der Verantwortliche kann sich zu Prüfzwecken in den Betriebsstätten des Auftragsverarbeiters zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs von der Angemessenheit der Maßnahmen zur Einhaltung der technischen und organisatorischen Erfordernisse der für die Auftragsdatenverarbeitung einschlägigen Datenschutzgesetze überzeugen (Art. 28 Abs.3 lit. h DSGVO).
Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich nach Feststellung schwerwiegender Störungen seines Betriebsablaufes, bei Verdacht auf Verstöße gegen vertragliche oder gesetzliche Datenschutzbestimmungen, bei Verstößen gegen solche Bestimmungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der Daten des Verantwortlichen (Art. 28 Abs. 3 Satz 3, Art. 33, Art 34 DSGVO). Dabei hat die Unterrichtung mindestens folgenden Inhalt:
eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
eine Beschreibung der bereits ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
Können nicht alle in Ziffer 7.1. lit. a - lit. c genannten Informationen zum Zeitpunkt der Unterrichtung zur Verfügung gestellt werden, so sind die Informationen unverzüglich nach Kenntnis, ggf. schrittweise zur Verfügung zu stellen.
Der Auftragsverarbeiter hat im Benehmen mit dem Verantwortlichen angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.
Überlassene Datenträger und Datensätze verbleiben im Eigentum des Verantwortlichen.
Nach Aufforderung durch den Verantwortlichen, jedoch spätestens mit Verjährung der Ansprüche aus der zugrundeliegenden Leistungsvereinbarung hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände (wie auch hiervon gefertigten Kopien oder Reproduktionen), die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder nach vorheriger Zustimmung des Verantwortlichen datenschutzgerecht zu vernichten (Art. 28 Abs. 3 lit. g DSGVO). Gleiches gilt für Test- und Ausschussmaterial. Eine Dokumentation über die Sicherstellung ordnungsgemäßer Löschung sowie ein Löschungsprotokoll ist dem Verantwortlichen auf Anforderung vorzulegen.
Der Auftragsverarbeiter kann Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, entsprechend der jeweiligen Verjährungs- bzw. Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren. Alternativ kann er sie zu seiner Entlastung bei Vertragsende dem Verantwortlichen übergeben.
Der Auftragsverarbeiter beauftragt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte schriftliche Genehmigung des Verantwortlichen mit einer Frist von mindestens 14 Tagen und verpflichtet sich nur Subunternehmer unter Beachtung der nachstehenden Voraussetzungen einzusetzen:
Der Auftragsverarbeiter wählt den Subunternehmer sorgfältig aus und prüft vor der Beauftragung, dass dieser die zwischen Verantwortlichem und Auftragsverarbeiter getroffenen Vereinbarungen einhalten kann. Der Auftragsverarbeiter hat insbesondere vorab und regelmäßig während der Vertragsdauer zu kontrollieren, dass der Subunternehmer die nach Art. 32 Abs. 1 DSGVO geeigneten technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat. Das Ergebnis der Kontrolle ist vom Auftragsverarbeiter zu dokumentieren. Der Auftragsverarbeiter ist verpflichtet, sich vom Subunternehmer bestätigen zu lassen, dass dieser, sofern gesetzlich gefordert, einen betrieblichen Datenschutzbeauftragten i.S.d. Art. 37 DSGVO bestellt hat.
Der Auftragsverarbeiter gestaltet die vertraglichen Vereinbarungen mit dem/den Subunternehmer/n so, dass sie den Datenschutzbestimmungen im Vertragsverhältnis zwischen Verantwortlichem und Auftragsverarbeiter entsprechen.
Nicht als Subunternehmer im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragsverarbeiter bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.B. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Verantwortlichen auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen sowie Kontrollmaßnahmen zu ergreifen.
Zum Zeitpunkt der Vertragsunterzeichnung beauftragte Subunternehmer werden in Anhang 2 („Genehmigte Subunternehmer“) einschließlich der Verarbeitungsstandorte und der Art der Dienstleistung dokumentiert. Die in dieser Liste genannten Subunternehmer gelten als von Anfang an rechtmäßig beauftragt im Sinne von Ziffer 9 Abs. 1, sofern die Umsetzung der dort genannten Voraussetzungen durch den Auftragsverarbeiter gewährleistet wird.
Ein Zugriff auf Daten darf durch den Subunternehmer erst dann erfolgen, wenn auch der Subunternehmer die Pflichten des Auftragsverarbeiters aus diesem Vertrag erfüllt bzw. dies gegenüber dem Auftragsverarbeiter zugesichert hat und der Auftragsverarbeiter die Einhaltung dieser Pflichten durch den Subunternehmer regelmäßig überprüft.
Der Verantwortliche kann der Hinzuziehung und Ersetzung von Subunternehmern innerhalb einer angemessenen Frist - aus wichtigem Grund - schriftlich oder in Textform widersprechen. Erfolgt seitens des Verantwortlichen kein Widerspruch innerhalb der Frist, gilt die Zustimmung zur Hinzuziehung oder Ersetzung als gegeben.
Es besteht ein Kündigungsrecht, wenn der Kündigungsgrund ein Widerspruch hinsichtlich der Hinzuziehung oder Ersetzung eines Subunternehmers ist.
Die Ziffern 1 bis 8 gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.
Der Verantwortliche und der Auftragsverarbeiter verpflichten sich, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Betriebs- und Geschäftsgeheimnissen vertraulich zu behandeln. Dies gilt für den in der Leistungsvereinbarung vereinbarten Zeitraum und auch über die Beendigung der Einzelaufträge bzw. der Geschäftsbeziehung hinaus.
Der Auftragsverarbeiter verpflichtet sich, dem betrieblichen Datenschutzbeauftragten des Verantwortlichen zur Erfüllung seiner jeweiligen gesetzlichen Aufgaben im Zusammenhang mit diesem Auftrag jederzeit Zugang zu den üblichen Geschäftszeiten zu gewähren.
Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haftet der Verantwortliche, es sei denn, die Schadensursache kann eindeutig dem Auftragsverarbeiter zugeordnet werden und die Schäden entstehen durch eine Verarbeitung außerhalb der Weisungen des Verantwortlichen.
Der Verantwortliche trägt die Beweislast dafür, dass ein Schaden Folge eines solchen vom Auftragsverarbeiter zu vertretenden Umstandes ist. Solange dieser Beweis nicht erbracht wurde, stellt der Verantwortliche den Auftragsverarbeiter auf erste Anforderung von allen Ansprüchen frei, die im Zusammenhang mit der Auftragsverarbeitung gegen den Auftragsverarbeiter erhoben werden. Unter diesen Voraussetzungen ersetzt der Verantwortliche dem Auftragsverarbeiter ebenfalls sämtliche entstandenen Kosten der Rechtsverteidigung.
Der Auftragsverarbeiter haftet dem Verantwortlichen für Schäden, die der Auftragsverarbeiter, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten oder die von ihm eingesetzten Subdienstleister im Zusammenhang mit der Erbringung der beauftragten vertraglichen Leistung grob fahrlässig verursachen.
Der Auftragsverarbeiter haftet ausdrücklich nicht für einen Schaden, der durch die korrekte Umsetzung der beauftragten Dienstleistung oder einer vom Verantwortliche erteilten Weisung entstanden ist.
Änderungen und Ergänzungen dieser Anlage und aller ihrer Bestandteile - einschließlich etwaiger Zusicherungen des Auftragsverarbeiters - bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Das Schriftformerfordernis gilt nicht, soweit dieses zwischen den Vertragsparteien aufgrund einer ausdrücklichen und individuellen Vereinbarung aufgehoben wird.
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.
Die folgenden Anhänge sind Bestandteil dieser Vereinbarung:
Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Dazu werden die Schutzziele von Art. 32 Abs. 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird. Wesentliche Änderungen muss der Auftragnehmer mit dem Auftraggeber in dokumentierter Form (schriftlich, elektronisch) abstimmen.Solche Abstimmungen sind für die Dauer dieses Vertrages aufzubewahren. Maßnahmen, die lediglich geringfügige technische oder organisatorische Änderungen mit sich bringen und die Integrität, Vertraulichkeit und Verfügbarkeit der personenbezogenen Daten nicht negativ beeinträchtigen, können vom Auftragnehmer ohne Abstimmung mit dem Auftraggeber umgesetzt werden.
Vertraulichkeit
Zutrittskontrolle
Die von uns eingesetzten Rechenzentren sind nach ISO 27001, ISO 27017, ISO 27018, BSI C5, SOC-2 und SOC-3 zertifiziert und verfügen über entsprechende Nachweise zur Zutrittskontrolle.Die physische Sicherheit in den von Cat4School genutzten Rechenzentren wird durch ein mehrschichtiges Sicherheitsmodell gewährleistet, bei dem elektronische Zugangskarten, Alarme, Fahrzeugschranken, Umzäunungen, Metalldetektoren, biometrische Verfahren und andere Sicherheitsvorkehrungen zur Anwendung kommen. In den Rechenzentrumsgebäuden werden zur Erkennung von unautorisiertem Eindringen Laserstrahlen eingesetzt. Unsere Rechenzentren werden rund um die Uhr von hochauflösenden Innen- und Außenkameras überwacht, die Eindringlinge erkennen und verfolgen können. Falls es zu einem Vorfall kommt, sind Zugangsprotokolle, Aktivitätsdatensätze und Kameraaufzeichnungen verfügbar. In den Rechenzentren patrouillieren außerdem erfahrene Sicherheitskräfte, die strenge Zuverlässigkeitsüberprüfungen und Schulungen absolviert haben. Je näher eine Person dem eigentlichen Rechenzentrum kommt, desto strenger werden die Sicherheitsvorkehrungen. Der Zugang zum Rechenzentrum ist nur über einen Sicherheitskorridor möglich, der über eine mehrstufige Zugangssteuerung mit Sicherheits-Badges und biometrischen Daten geschützt ist. Nur autorisierte Mitarbeiter mit spezifischen Rollen haben Zutritt.
Zugangskontrolle
Um Zugang zu IT-Systemen zu erhalten, müssen Nutzer über eine entsprechende Zugangsberechtigung verfügen. Hierzu werden entsprechende Benutzerberechtigungen von Administratoren vergeben. Es erfolgen keine Remote-Zugriffe auf die IT-Systeme von Cat4School.Alle Mitarbeiter sind angewiesen, ihre IT-Systeme zu sperren, wenn sie diese verlassen. An allen Rechnern ist eine Festplattenverschlüsselung sowie eine aktuelle Firewall aktiviert.Passwörter werden grundsätzlich verschlüsselt gespeichert.
Zugriffskontrolle
Alle Rechner verfügen über ein Zugangskontrollsystem (Benutzername, Passwort).Interne Netze werden nach dem Stand der Technik gegen Zugriffe von außen durch Firewalls und durch Verschlüsselung (z.B. WLAN - WPA2) abgeschottet.Berechtigungen werden grundsätzlich nach dem Need-to-Know-Prinzip vergeben. Es erhalten demnach nur die Personen Zugriffsrechte auf Daten, Datenbanken oder Applikationen, die diese warten und pflegen bzw. in der Entwicklung tätig sind.Es gibt ein rollenbasiertes Berechtigungskonzept mit der Möglichkeit der differenzierten Vergabe von Zugriffsberechtigungen, das sicherstellt, dass Beschäftigte abhängig von ihrem jeweiligen Aufgabengebiet und ggf. projektbasiert Zugriffsrechte auf Applikationen und Daten erhalten.Alle Server- und Client-Systeme werden regelmäßig mit Sicherheits-Updates aktualisiert.
Unsere Anwendungen authentifizieren und autorisieren die Benutzer und beziehen, verarbeiten und schützen ihre Daten ausschließlich über administrierte API's, welche alle nach ISO 27001, ISO 27017, ISO 27018, SOC 1, SOC 2, SOC 3 zertifiziert sind.D.h. unsere Plattform profitiert direkt auf Anwendungsebene von den hohen Sicherheits- und Datenschutzstandards dieser Zertifizierungen.Diese sind: Authentification-API, NoSQL-Datenbank-API, Cloud-Speicher-API, Cloud-Function-API (Functions as a Service), Cloud-Messaging-API, Indexing-API
Cat4School verwendet einen zentralen Nutzeridentitätsdienst, der "Endnutzer-Berechtigungstickets" ausgibt. Der zentrale Identitätsdienst prüft den Log-in eines Endnutzers und stellt dann Anmeldedaten wie ein Cookie oder ein OAuth-Token für das Clientgerät des Nutzers aus. Jede weitere Anfrage vom Clientgerät an die Plattform muss diese Nutzeranmeldedaten enthalten.
Sicherheitsregeln regeln den Zugriff auf Dokumente, Sammlungen der Datenbank und Dateien im Cloud-Storage und Validieren die übergebenen Daten. Die Sicherheitsregeln sind mit Authentifizierung verbunden um benutzerbasierte und rollenbasierte Zugriffsrechte zu vergeben. Jede Datenbank- oder Dateianforderung vom Client wird anhand Ihrer Sicherheitsregeln bewertet, bevor Daten gelesen oder geschrieben werden. Wenn die Regeln den Zugriff auf einen der angegebenen Dokumentpfade verweigern, schlägt die gesamte Anforderung fehl. So können wir eine sehr detaillierte und genaue Zugriffssteuerung nach dem Prinzip der geringsten Rechte für die Daten implementieren.
Wenn Daten über das Internet oder in Netzwerken übertragen werden, besteht das Risiko nicht autorisierter Zugriffe. Aus diesem Grund hat der Schutz von Daten während der Übertragung hohe Priorität. Unsere Server unterstützen sichere Verschlüsselungsprotokolle wie das SSL (TLS)- und HTTPS-Protokoll, um Verbindungen zwischen Endgeräten und den Webdiensten und APIs von Cat4School zu schützen.Alle Anwendungen von Cat4School verwenden das HTTPS-Protokoll für die Kommunikation über das Internet. HTTPS bietet eine TLS-Verbindung, um die Authentifizierung, Integrität und Vertraulichkeit von Anfragen und Antworten zu garantieren.
Daten, die im Datenbanksystem gespeichert werden, werden vom Endgerät (PC, Mobilgerät, etc.) zuvor stark verschlüsselt. Die zugehörigen Schlüssel werden nie an das Datenbanksystem übertragen, sondern werden vom Endgerät bei Cat4School selbst angefordert. Auf die Server werden also nur stark verschlüsselte Daten übertragen, die nach dem Stand der Technik nicht ohne Schlüssel entschlüsselt werden können. Als Stand der Technik ist die Technische Richtlinie TR-2102 des Bundesamts für Sicherheit in der Informationstechnik anzusehen. Deren Anforderungen werden mit der verwendeten AES-256-Verschlüsselung erfüllt.
Bei den in Cat4School verarbeiteten Dateien von Benutzern werden kundenseitige Verschlüsselungsschlüssel (CSEK – Customer supplied encryption keys) zum Verschlüsseln der Daten verwendet.Bei der Verwendung dieser Verschlüsselungsmethode können die Dateien nur im Hauptspeicher zur Laufzeit des Dateisystems entschlüsselt werden.Dort ist entweder der Zugriff von Server-Administratoren technisch komplett unterbunden oder es werden die Bereiche, die Schlüssel enthalten, vor dem Zugriff gesperrt. Mit den verschlüsselten Dateien wird lediglich ein kryptografischer Hash-Wert des Schlüssels gespeichert. Dieser dient zur Validierung zukünftiger Anfragen. Mit dem Hash kann weder der bereitgestellte Schlüssel wiederhergestellt, noch können die gespeicherten Daten entschlüsselt werden.Der Serveranbieter selbst kann auf die Verschlüsselungsschlüssel nicht zugreifen, da diese bei Cat4School gespeichert werden und nur über einen API-Aufruf des berechtigten Systems vom Server von Cat4School abgerufen werden können.Aus dem kundenseitigen Schlüssel und einem sogenannten Salt wird ein abgeleiteter Schlüssel erzeugt, mit dem die Nutzerdaten verschlüsselt werden.
Die Verschlüsselung gespeicherter Daten, schützt Ihre Daten vor einem Missbrauch des Systems oder vor Daten-Exfiltration.Wir verschlüsseln alle Daten auf Speicherebene mit AES256. Es werden verschiedene Verschlüsselungsebenen genutzt, um den Schutz von Daten sicherzustellen. Die Verwendung mehrerer Verschlüsselungsebenen bietet zusätzliche redundante Datensicherheit.Zu speichernde Daten werden in Blöcke unterteilt, wobei jeder Block mit einem einmaligen Schlüssel verschlüsselt wird. Diese Datenverschlüsselungsschlüssel (Data Encryption Keys, DEKs) werden zusammen mit den Daten gespeichert und wiederum mit Schlüsselverschlüsselungsschlüsseln (Key Encryption Keys, KEKs) verschlüsselt ("verpackt").
Unsere Netzwerke werden durch mehrere Abwehr-Layer, die sich als gestaffelte Sicherheitsebenen beschreiben lassen, vor externen Angriffen geschützt. Nur autorisierte Dienste und Protokolle, die entsprechenden Sicherheitsanforderungen erfüllen, können sie durchqueren; alles andere wird automatisch verworfen. Mit Firewalls und Zugriffssteuerungslisten (Access Control Lists – ACLs) nach Industriestandard wird die Netzwerksegmentierung durchgesetzt. Der gesamte Traffic wird über benutzerdefinierte Front-End-Server (FE-Server) geroutet, um böswillige Anfragen und DDoS-Angriffe (Distributed Denial of Service) zu erkennen und zu stoppen. Außerdem können FE-Server intern nur mit einer kontrollierten Liste von Servern kommunizieren. Durch diese Konfiguration einer standardmäßigen Ablehnung wird verhindert, dass FE-Server auf nicht für sie vorgesehene Ressourcen zugreifen. Logs werden routinemäßig überprüft, um eine Ausnutzung von Programmierfehlern erkennen zu können. Der Zugriff auf Netzwerkgeräte ist auf autorisiertes Personal beschränkt.
Zusätzlich zur Verschlüsselung auf Speichersystemebene werden die Daten auch auf Speichergeräteebene mit AES256 für Festplatten (HDD) und SSD-Laufwerke (Solid State Drive) verschlüsselt. Hierfür wird ein separater Schlüssel auf Geräteebene verwendet. Dieser unterscheidet sich von dem Schlüssel, der zum Verschlüsseln auf Speicherebene verwendet wird. Nutzerdaten werden ausschließlich mit AES256 verschlüsselt.
Zum Schutz vor raffinierten Hackern, die versuchen könnten, die privaten WAN-Links abzuhören, verschlüsselt die Infrastruktur automatisch sämtlichen Infrastruktur-RPC-Traffic, der über das WAN zwischen Rechenzentren läuft.
Trennungsgebot
Trennung von Kundendaten
Alle von Cat4School für Kunden eingesetzten IT-Systeme sind mandantenfähig und logisch oder physikalisch getrennt. Die Trennung von Daten von verschiedenen Kunden ist stets gewährleistet.
Identitätskontrolle
Authentifizierung und Autorisierung
Cat4School nutzt eine kryptografische Authentifizierung und Autorisierung auf der Anwendungsebene für die Kommunikation zwischen den Cat4School-Diensten. Dies sorgt für eine starke Zugriffskontrolle auf Abstraktionsebene.
Zentralen Nutzeridentitätsdienst
Wenn der Dienst die Anmeldedaten eines Endnutzers empfängt, leitet er sie zur Prüfung an den zentralen Identitätsdienst weiter. Wenn die Anmeldedaten des Endnutzers als korrekt bestätigt werden, gibt der zentrale Identitätsdienst ein kurzlebiges "Endnutzer-Berechtigungsticket" zurück, das für RPCs (Remote Procedure Calls) im Zusammenhang mit der Anfrage verwendet werden kann. Von dort aus kann das "Endnutzer-Berechtigungsticket" für nachfolgende Aufrufe vom aufrufenden Dienst als Teil des RPC-Aufrufs an den Aufrufer weitergegeben werden.
Dienstkontoidentitäten
Jeder auf der Infrastruktur ausgeführte Dienst hat eine eigene Dienstkontoidentität. Dem Dienst werden kryptografische Anmeldedaten zur Verfügung gestellt, mit denen er beim Durchführen von Remoteprozeduraufrufen (Remote Procedure Call – RPC) an andere Dienste oder dem Empfangen solcher Aufrufe seine Identität nachweisen kann. Mithilfe dieser Identitäten können Clients sicherstellen, dass sie mit dem korrekten Server kommunizieren, und Servern können damit den Zugriff auf Methoden und Daten auf bestimmte Clients beschränken.
Weitergabekontrolle
Alle Mitarbeiter und Fremdpersonal sind verpflichtet, das Datengeheimnis zu wahren. Eine Weitergabe von personenbezogenen Daten, die im Auftrag des Verantwortlichen durch Cat4School erfolgt, darf jeweils nur in dem Umfang erfolgen, wie dies mit dem Verantwortlichen abgestimmt oder soweit dies zur Erbringung der vertraglichen Leistungen für den Verantwortlichen erforderlich ist.Alle Mitarbeiter, die in einem Projekt für den Verantwortlichen tätig sind, werden im Hinblick auf die zulässige Nutzung von Daten und die Modalitäten einer Weitergabe von Daten instruiert.Soweit möglich werden Daten verschlüsselt an Empfänger übertragen.Die Nutzung von privaten Geräten und Datenträgern ist den Beschäftigten bei Cat4School untersagt.Mitarbeiter bei Cat4School werden regelmäßig zu Datenschutzthemen geschult. Alle Mitarbeiter sind auf zu einem vertraulichen Umgang mit personenbezogenen Daten verpflichtet worden.
Eingabekontrolle
Zugriffe auf datenverarbeitende Systeme
Die Zugriffe auf datenverarbeitende Systeme werden über Logfiles und Systemlogs kontrolliert.
Gewährleistung der Integrität
Verschlüsselung der Kommunikation zwischen Diensten
Zusätzlich zu den zuvor vorgestellten RPC-Authentifizierungs- und -Autorisierungsfunktionen verwendet die Infrastruktur auch kryptografischen Datenschutz und Integrität für RPC-Daten im Netzwerk. Um diese Sicherheitsvorteile auch anderen Protokollen auf Anwendungsebene wie HTTP bereitzustellen, werden diese in den Infrastruktur-RPC-Mechanismen gekapselt. Dies sorgt im Wesentlichen für eine Isolierung der Anwendungsebene und verhindert jegliche Abhängigkeit von der Sicherheit des Netzwerkpfads. Die verschlüsselte Kommunikation zwischen Diensten bleibt auch dann sicher, wenn das Netzwerk abgehört wird oder ein Netzwerkgerät manipuliert wurde.
Netzwerk-Kontrolle
Bei den von uns eingesetzten Netzwerken wird der interne Traffic auf verdächtiges Verhalten hin überwacht, etwa auf das Vorliegen von Traffic, der möglicherweise auf Botnet-Verbindungen hinweist. Die Netzwerkanalyse wird durch eine Untersuchung der System-Logs ergänzt, um ungewöhnliches Verhalten wie einen versuchten Zugriff auf Kundendaten zu identifizieren.
Isolationstechniken
Es werden verschiedene Isolations- und Sandbox-Techniken eingesetzt, um Dienste, die auf derselben Maschine laufen, voreinander zu schützen. Dazu zählen die übliche Linux-Nutzertrennung, Sprach- und Kernel-basierte Sandboxen sowie Hardwarevirtualisierung.
Verfügbarkeit & Belastbarkeit
Damit alles rund um die Uhr reibungslos funktioniert und alle Dienste unterbrechungsfrei zur Verfügung stehen, verfügen die von uns genutzten Rechenzentren über redundante Energieversorgungssysteme und Komponenten zur Umgebungskontrolle. Jede kritische Komponente kann auf eine primäre und alternative Energiequelle zugreifen, die jeweils die gleiche Leistung haben. Dieselbetriebene Backup-Generatoren können im Notfall genug elektrische Energie liefern, um die Rechenzentren mit voller Kapazität weiter betreiben zu können. Über Kühlsysteme wird eine konstante Betriebstemperatur der Server und anderen Hardwarekomponenten erreicht, um das Risiko von Dienstausfällen zu verringern. Feuermelde- und -bekämpfungsgeräte tragen dazu bei, Schäden an der Hardware zu vermeiden. Hitze-, Feuer- und Rauchmelder lösen hörbare und sichtbare Alarmsignale in der betroffenen Zone, an Sicherheitsbetriebskonsolen und Remote Monitoring Desks aus.
Wichtige Daten auf Serversystemen werden mindestens täglich inkrementell gesichert.
Unsere Infrastruktur verfügt über einen Prozess zur Sicherheitslückenverwaltung, in dessen Rahmen aktiv nach Sicherheitsbedrohungen gesucht wird. Dazu wird eine Kombination aus kommerziell verfügbaren und speziell zu diesem Zweck entwickelten internen Tools eingesetzt. Darüber hinaus gibt es intensive automatische und manuelle Penetrationstests, Qualitätssicherungsprozesse, Softwaresicherheitsüberprüfungen und externe Audits. Ein speziell dafür eingerichtetes Team ist dafür zuständig Sicherheitslücken zu erkennen und nachzuverfolgen. Sobald eine Sicherheitslücke gefunden wird, die beseitigt werden muss, wird sie protokolliert, dem Schweregrad entsprechend priorisiert und einem Verantwortlichen zugewiesen. Das Team verfolgt und überprüft die Beseitigung von Schwachstellen regelmäßig, bis eindeutig feststeht, dass alle Probleme behoben wurden.
Unsere Infrastruktur setzt nicht nur interne Netzwerksegmentierung oder Firewalls als primäre Schutzmechanismen ein, sondern verwendet als zusätzliche Sicherheitsebene Ingress- und Egress-Filter an verschiedenen Punkten im Netzwerk zur Verhinderung von IP-Spoofing. Dieser Ansatz trägt auch dazu bei, die Leistungsfähigkeit und Verfügbarkeit der Plattform zu maximieren.
Bei der Einbindung von externen Dienstleistern oder Dritten wird entsprechend den Vorgaben jeweils anzuwendenden Datenschutzrechts ein Auftragsverarbeitungsvertrag nach zuvor durchgeführtem Audit durch den Datenschutzbeauftragten von Cat4School abgeschlossen. Auftragnehmer werden auch während des Vertragsverhältnisses regelmäßig kontrolliert.Die Weisungsbefugnisse werden über einen AV-Vertrag eindeutig festgelegt. Kontrollrechte sind im AV-Vertrag definiert. Der AV-Vertrag folgt den gesetzlichen Vorgaben und lässt die Verarbeitung nur im Auftrag zu.
Verfügbarkeit & Belastbarkeit
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
Wir werden fortlaufend bei der Entwicklung und Bereitstellung unseres Produkts von unserem IT-Rechtsanwalt Ulrich Emmert (esb Rechtsanwälte, Stuttgart) zu Fragen von Datenschutz und Sicherheit beraten.Einer der beruflichen Schwerpunkte von Herrn Emmert ist die IT-Sicherheit und Datenschutz und die technisch-organisatorische Umsetzung von Datensicherheitskonzepten. Zudem agiert er als Datenschutzkoordinator für zahlreiche Firmen und öffentliche Einrichtungen.
Für die von uns eingesetzte Infrastruktur werden in der Sparte Softwareentwicklung und operatives Geschäft Fachkräfte für Sicherheit und Datenschutz beschäftigt. Dem Team gehören einige der weltweit führenden Experten in den Bereichen Informations-, Anwendungs- und Netzwerksicherheit an. Zu den Aufgaben dieses Teams gehören die Pflege der Verteidigungssysteme der Dienste, die Entwicklung von Prozessen zur Sicherheitsprüfung, der Aufbau der Sicherheitsinfrastruktur sowie die Implementierung der Sicherheitsrichtlinien. Das Sicherheitsteam sucht aktiv nach Sicherheitsbedrohungen. Dazu setzt es kommerzielle und selbstentwickelte Tools ein und führt Penetrationstests, Qualitätssicherungsmaßnahmen (QA) und Softwaresicherheitsüberprüfungen durch.
Mitglieder eines Informationssicherheitsteams überprüfen die Sicherheitspläne für alle Netzwerke, Systeme und Dienste. Sie bieten projektspezifische Beratungsdienstleistungen für die Produkt- und Entwicklungsteams an. Außerdem richten sie ihr Augenmerk auf verdächtige Aktivitäten in den Netzwerken, kümmern sich um Bedrohungen der Informationssicherheit, führen routinemäßige Sicherheitsüberprüfungen und Audits durch und beauftragen unternehmensexterne Experten mit der Durchführung regelmäßiger Sicherheitsprüfungen.
Ein für Codeprüfungen zuständiges Datenschutzteam stellt sicher, dass die Datenschutzbestimmungen eingehalten werden. Das Datenschutzteam überwacht automatisierte Prozesse, mit denen der Datenverkehr überprüft wird, um eine angemessene Datennutzung zu gewährleisten.
Unsere Infrastruktur wird von einem internen Auditteam auf die Einhaltung der in Deutschland geltenden Sicherheitsgesetze und -bestimmungen überprüft. Dieses Team ermöglicht und unterstützt zudem unabhängige Prüfungen und Bewertungen durch Dritte.
Google LLC (formerly known as Google Inc.),1600 Amphitheatre Parkway, Mountain View, California 94043 USA für die Übertragung der dynamischen IP-Adresse für die Bereitstellung des Push-Notifications-Diensts.
Unterbindung des Personenbezugs über dynamische IP-Adressen durch die Verwendung von kundenseitigen Verschlüsselungsschlüsseln
Der Europäische Gerichtshof hat in seiner Entscheidung vom 19.10.2016 zum Thema Stellung genommen, inwieweit eine dynamische IP-Adresse ein personenbezogenes Datum darstellt (noch zur alten EU-Richtlinie).Nach der Entscheidung ist dies für jeden einzelnen Empfänger im Hinblick darauf zu untersuchen, ob dieser ein Mittel hat, die Herausgabe im Klartext zu ermöglichen oder mit rechtlicher Hilfe zu erzwingen: „Die EU-Datenschutzrichtlinie „[...] ist dahin auszulegen, dass eine dynamische Internetprotokoll-Adresse, die von einem Anbieter von Online-Mediendiensten beim Zugriff einer Person auf eine Website, die dieser Anbieter allgemein zugänglich macht, gespeichert wird, für den Anbieter ein personenbezogenes Datum im Sinne der genannten Bestimmung darstellt, wenn er über rechtliche Mittel verfügt, die es ihm erlauben, die betreffende Person anhand der Zusatzinformationen, über die der Internetzugangsanbieter dieser Person verfügt, bestimmen zu lassen.“ (EuGH, Urt. v. 19.10.2016, Rs. C-582/14) Da es sich bei den kundenseitigen Verschlüsselungsschlüssel um Zusatzinformationen handelt, ohne die eine Zuordnung personenbezogener Daten nicht möglich ist, und angesichts der fehlenden rechtlichen Handhabe Googles gegenüber einem deutschen Internetzugangsanbieter zur Herausgabe von Zusatzinformationen zur Person, wird die Möglichkeit einen Personenbezug über die IP-Adresse herzustellen unterbunden.
Die Weitergabe der personenbezogenen Daten unterhalb der einzelnen Benutzer erfolgt nur insoweit dafür eine Weisung des Verantwortlichen vorliegt.
Schülerdaten
Name, Vorname, Geschlecht, Religionszugehörigkeit, Klassenzugehörigkeit, Gruppenzugehörigkeit, Anwesenheit, Anmeldestatus/-zeitpunkt, Registrierungsstatus/-zeitpunkt, Anzahl und Art der angemeldeten Geräte, E-Mail-Adresse, Verknüpfung mit Elternaccounts, Verknüpfung mit Sorgeberechtigten, Angaben in Umfragen, Chat-Gruppen, geschriebene Nachrichten, Gesprächsanfragen & Gesprächsstatus, Tagesnotizen, Krankmeldungen oder Absenzeinträge, ggf. Chat-Admin-Rechte, Benachrichtigungen
Lehrerdaten/Mitarbeiterdaten
Name, Vorname, Titel, Kürzel, Gruppenzugehörigkeit, Fachzugehörigkeit, Anmeldestatus/-zeitpunkt, Registrierungsstatus/-zeitpunkt, Anzahl und Art der angemeldeten Geräte, E-Mail-Adresse, Klassenlehrerstatus, Anzahl der PflichtüberstundenWeiterhin Zugehörigkeit zu: Unterrichtsstunden, AGs, Betreuungsangebote, Sonstige Veranstaltungen, Vertretungen, Ausfälle, Änderungen der Lehrperson, Terminen, Kalendern, Digitalen Pinnwänden, Pins, Ressourcenbuchungen, Umfragen, Chat-Gruppen, geschriebene Nachrichten, Gesprächsanfragen & Gesprächsstatus, Verwaltungsadministration-Rechte, Chat-Admin-Rechte, Tagesnotizen, ggf. Infos auf "Schwarzem Brett", Benachrichtigungen
Eltern
Name, Vorname, Rollenbeschreibung (optional), Anmeldestatus/-zeitpunkt, Registrierungsstatus/-zeitpunkt, Anzahl und Art der angemeldeten Geräte, E-Mail-Adresse, Verknüpfung mit Schüleraccounts, Sorgeberechtigterstatus, Angaben in Umfragen, Chat-Gruppen, geschriebene Nachrichten, Gesprächsanfragen & Gesprächsstatus, ggf. Chat-Admin-Rechte, Benachrichtigungen
Schüler, Lehrer/Mitarbeiter, Eltern