Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung auf dieser Website ist die piparo.tech GmbH, Frauentorgraben 61, 90443 Nürnberg, Deutschland. Kontakt: hi@piparo.tech oder +49 173 4583185.

Vertreten durch die Geschäftsführer Pirmin Bahr, Patrick Wozniak und Robin Schuler. Weitere Angaben stehen im Impressum.

[zu prüfen: Ist ein Datenschutzbeauftragter benannt oder verpflichtend? Falls ja, Kontaktdaten ergänzen.]

2. Die App didara

didara läuft auf deinem Rechner (macOS, Windows ist in Arbeit). Es gibt kein Konto, keine Cloud und keine Nutzungsdaten. Alles, was du in didara einträgst, etwa Klassen, Kinder, Anwesenheit, Beobachtungen und Noten, speichert die App verschlüsselt auf deinem Rechner. Wir haben darauf keinen Zugriff und bekommen davon nichts.

Über Zweck und Mittel der Verarbeitung von Daten deiner Schülerinnen und Schüler entscheidest du als Lehrkraft nach den Regeln deines Landes und deiner Schule. Wir sind dafür nicht Auftragsverarbeiter. [zu prüfen: Aussage „keine Auftragsverarbeitung“ von einem Datenschutzbeauftragten bestätigen lassen.]

Die App stellt nur eine Verbindung her, wenn du selbst nach Updates suchst (siehe Abschnitt 3).

3. Update-Suche in der App

Wenn du in den Einstellungen auf Anfrage nach Updates suchst, lädt die App die Datei latest.json und bei Bedarf das Update von GitHub (Repository piparotech/didara-releases). Die Verbindung geht von deinem Rechner direkt zu GitHub. Dabei verarbeitet GitHub technisch notwendige Verbindungsdaten wie deine IP-Adresse nach der eigenen Datenschutzerklärung von GitHub. Wir erhalten dabei keine Daten von dir. Es werden keine Inhalte aus didara übertragen.

Ohne deine Anfrage sucht die App nie nach Updates. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil du die Funktion selbst auslöst. [zu prüfen: Einordnung von GitHub (Microsoft, USA) als eigenständig Verantwortlicher und Drittlandübermittlung.]

4. Hosting und Server-Logs

Die Website ist statisch. Wir betreiben sie auf einem Server bei Hetzner in Deutschland (Kubernetes-Cluster der piparo.tech GmbH). Davor liegt Cloudflare als Proxy und für DNS. Cloudflare leitet Anfragen an unseren Server weiter und kann dabei Verbindungsdaten verarbeiten.

Beim Aufruf der Website verarbeiten diese Dienste technisch notwendige Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browserkennung (User-Agent), Statuscode und übertragene Datenmenge. Zweck ist die sichere und stabile Auslieferung, die Fehleranalyse und die Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

[zu prüfen: Speicherdauer der Server-Logs bei Hetzner und bei Cloudflare.]

[zu prüfen: Auftragsverarbeitungsvertrag mit Cloudflare, Übermittlung in die USA (Standardvertragsklauseln oder Data Privacy Framework), Anbieter Cloudflare, Inc. oder Cloudflare Germany GmbH.]

5. Cookies und Cookie-Banner

Beim ersten Besuch fragt ein Banner, ob didara mitzählen darf. Deine Entscheidung speichern wir in einem Cookie namens cc_cookie für 365 Tage. Es ist technisch notwendig, damit das Banner nicht bei jedem Seitenaufruf erneut erscheint. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO und § 25 Abs. 2 Nr. 2 TDDDG.

Ohne deine Zustimmung lädt und speichert die Website nichts für die Reichweitenmessung. Du kannst deine Entscheidung jederzeit ändern: unten auf jeder Seite unter „Cookie-Einstellungen“.

6. Reichweitenmessung mit PostHog

Nur wenn du im Banner zustimmst, messen wir mit PostHog anonym, welche Seiten gelesen werden. Anbieter ist PostHog Inc. (USA). Wir nutzen das EU-Hosting, die Daten liegen auf Servern in der EU (eu.i.posthog.com).

Was verarbeitet wird

• Seitenaufrufe und das Verlassen einer Seite
• Klicks und andere Bedienung auf der Seite (Autocapture)
• Technische Angaben wie Browser, Betriebssystem, Bildschirmgröße und die Herkunftsseite
• Eine zufällige Kennung, die PostHog im lokalen Speicher und in Cookies deines Browsers ablegt (Namen beginnen mit ph_)

Die IP-Adresse speichert PostHog bei uns nicht mit den Ereignissen. Wir legen keine Profile namentlich bekannter Personen an, Sitzungsaufzeichnung und Umfragen sind abgeschaltet. Wir geben die Daten nicht zu Werbezwecken weiter.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, unten auf jeder Seite unter „Cookie-Einstellungen“. Beim Widerruf löscht die Website die ph_-Cookies und setzt die Kennung zurück.

[zu prüfen: Speicherdauer der Ereignisdaten bei PostHog, Auftragsverarbeitungsvertrag, Rechtsgrundlage für die Datenübermittlung an PostHog Inc. (USA).]

7. Schriften, Bilder und Video

Alle Webfonts, Bilder und das Video auf der Website liegen auf unserem eigenen Server. Beim Laden der Seite werden keine Schriften oder Medien von Dritten nachgeladen, insbesondere gibt es keine Anfrage an Google Fonts.

8. Formulare

Die Formulare auf der Website senden deine Angaben verschlüsselt an unseren Formulardienst auf einem Server von piparo in Deutschland. Der Dienst leitet sie per E-Mail an hi@piparo.tech weiter und schickt dir eine Bestätigung. Der Dienst selbst speichert nichts, die Mails liegen in unserem Postfach. In den Logs des Dienstes stehen nur die Art des Formulars, der Status und die Dauer, keine Angaben von dir.

Wenn du ein Formular absendest, verarbeiten wir die Angaben, die du einträgst, nur für den genannten Zweck. Pflichtfelder sind als solche markiert, alles andere ist freiwillig.

Link zum Laden (Test)

Zweck: Wir schicken dir den Link zum Laden und eine Anleitung. Daten: E-Mail-Adresse, Rechner (Mac oder Windows). Bei Windows tragen wir dich in die Liste ein und schreiben dir, sobald es so weit ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung auf deine Anfrage).

Kontakt und Support

Zweck: Wir beantworten deine Nachricht. Daten: Name, E-Mail-Adresse, Thema und Nachricht, im Support zusätzlich die Version von didara und die Beschreibung des Problems. Bitte schreib keine Daten von Schülerinnen und Schülern in das Formular. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, sonst Art. 6 Abs. 1 lit. f DSGVO.

Referendariat

Zweck: Wir prüfen den Anspruch auf die kostenlose Nutzung während des Vorbereitungsdienstes und stellen die Lizenzdatei aus. Daten: Name, E-Mail-Adresse, Lehramt, Bundesland, Ende des Vorbereitungsdienstes und ein Nachweis (Datei). Der Nachweis kann besonders sensible Angaben enthalten, bitte schwärze, was nicht nötig ist. Er wird nur als Anhang an die interne Mail gehängt und nirgends sonst gespeichert. Wir löschen ihn nach der Prüfung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Angebot für Schulen

Zweck: Wir erstellen ein Angebot und eine Rechnung. Daten: Name der Ansprechperson, E-Mail-Adresse, Schule, Land, Zahl der Plätze, Rechnungsempfänger und Anschrift, freiwillig Leitweg-ID und USt-IdNr. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Kauf

Zweck: Wir melden uns, sobald der Kauf startet. Daten: Angaben aus dem Formular, mindestens die E-Mail-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage).

Neue Versionen

Zweck: Wir schreiben dir, wenn eine neue Version von didara erscheint. Daten: E-Mail-Adresse. Rechtsgrundlage: deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit widerrufen, jede Mail enthält dafür einen Weg. [zu prüfen: Double-Opt-in festlegen.]

Empfänger und Dauer

Das Postfach hi@piparo.tech betreiben wir bei Microsoft 365 (Exchange Online), Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Mit Microsoft besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Daten liegen in der EU. Eine Übermittlung in die USA ist möglich und stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023.

Anfragen löschen wir, sobald sie erledigt sind und keine Rückfragen mehr zu erwarten sind, spätestens nach sechs Monaten. Nachweise fürs Referendariat löschen wir direkt nach der Prüfung. Angebote und Rechnungen an Schulen bewahren wir nach den gesetzlichen Fristen auf, das sind sechs Jahre für Handelsbriefe wie Angebote und acht Jahre für Rechnungen und Buchungsbelege. Die Listen für Hinweise zum Kauf, zu neuen Versionen, zum Material und zum Laden führen wir bis zu deiner Abmeldung oder bis der Zweck erfüllt ist.

9. Kauf und Lizenz

Wenn du didara kaufst, verarbeiten wir deine E-Mail-Adresse, die Bestelldaten (Produkt, Preis, Zeitpunkt, Zahlungsstatus) und Rechnungsangaben. Wir brauchen sie, um den Vertrag zu erfüllen, dir die Lizenzdatei zu schicken, sie auf Wunsch erneut zu senden und die Rechnung zu stellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und für Aufbewahrungspflichten Art. 6 Abs. 1 lit. c DSGVO.

Die Lizenzdatei enthält keinen Namen und keine E-Mail-Adresse. Die App prüft sie ohne Netzverbindung.

Die Zahlung wickelt Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Stripe erhält dafür deine Zahlungsdaten und die Bestelldaten und ist für die Zahlungsabwicklung nach eigener Datenschutzerklärung mitverantwortlich. Die Lizenz stellt SubKit aus, ein eigener Lizenzdienst von piparo mit Servern in Deutschland. SubKit verarbeitet deine E-Mail-Adresse und die Bestelldaten in unserem Auftrag.

Rechnungen und Buchungsbelege bewahren wir acht Jahre auf, Handelsbriefe wie Angebote sechs Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB).

10. Empfänger und Drittländer

Wir setzen Dienstleister für Hosting, Auslieferung, Reichweitenmessung (nur mit Zustimmung) und später für Formulare, E-Mail und Zahlung ein. Sie handeln als Auftragsverarbeiter oder, wie GitHub bei der Update-Suche, als eigenständig Verantwortliche. Soweit Daten außerhalb der EU und des EWR verarbeitet werden, stützen wir uns auf Angemessenheitsbeschlüsse, Standardvertragsklauseln oder andere geeignete Garantien nach der DSGVO. Wir verkaufen keine personenbezogenen Daten.

Für die Zahlung setzen wir Stripe ein (Abschnitt 9), für das Postfach Microsoft 365 (Abschnitt 8). Unser Lizenzdienst SubKit läuft bei uns in Deutschland.

[zu prüfen: Liste der übrigen Auftragsverarbeiter und Garantien für Drittlandübermittlungen vollständig ausfüllen.]

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder Gesetze es verlangen. Die Daten in der App löschst du selbst, indem du sie in der App oder auf deinem Rechner entfernst. Ein zentrales Konto, das gelöscht werden müsste, gibt es nicht.

Die Fristen für Formulare, Rechnungen und Lizenzvorgänge stehen in den Abschnitten 8 und 9.

[zu prüfen: konkrete Fristen für Server-Logs und Messdaten.]

12. Deine Rechte

Du hast nach der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Wenn die Verarbeitung auf einem berechtigten Interesse beruht, kannst du ihr aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben.

Schreib dazu an hi@piparo.tech. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, zum Beispiel beim Bayerischen Landesamt für Datenschutzaufsicht.

Du bist nicht verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die Pflichtangaben in einem Formular können wir die Anfrage aber nicht bearbeiten. Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.

13. Änderungen

Wir passen diese Erklärung an, wenn sich die Website, die Dienste oder die Rechtslage ändern. Es gilt die Fassung, die zum Zeitpunkt deines Besuchs veröffentlicht ist.