Datenschutzerklärung

1. Verantwortlicher

DK Business Solutions GmbH
Altfeldstraße 5
76185 Karlsruhe
E-Mail: info@dk-bs.de
Vertreten durch den Geschäftsführer Daniel Krause

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen dafür nicht vorliegen.

2. Was MixMyClass ist

MixMyClass ist eine Web-Anwendung, mit der Lehrkräfte einer Schule ihre Klassen in Gruppen einteilen und Sitzpläne erstellen. Die Anwendung wird ausschließlich auf eigenen Servern in Deutschland betrieben. Es gibt keine offene Registrierung: Zugänge werden von der Schuladministration per Einladung vergeben. Schüler:innen selbst haben keinen Zugang.

Für die Daten von Schüler:innen ist die jeweilige Schule Verantwortliche im Sinne der DSGVO; die DK Business Solutions GmbH verarbeitet diese Daten als Auftragsverarbeiterin auf Grundlage eines Vertrags zur Auftragsverarbeitung mit der Schule. Lehrkräfte nutzen MixMyClass nach den Nutzungsbedingungen.

3. Hosting

Die Anwendung und die Datenbank laufen auf einem von uns gemieteten Server bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Rechenzentrum in Deutschland). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

Auf unserem Server werden keine Zugriffsprotokolle mit IP-Adressen der Nutzer:innen gespeichert: Der vorgeschaltete Proxy führt kein Zugriffsprotokoll, und die Dienste protokollieren nur technische Meldungen ohne Bezug zu einzelnen Personen. Hetzner kann als Betreiber des Rechenzentrums Verbindungsdaten in dem Umfang verarbeiten, der zur Abwehr von Angriffen und zum Betrieb des Netzes nötig ist (Art. 6 Abs. 1 lit. f DSGVO).

4. Welche Daten verarbeitet werden

4.1 Zugangsdaten der Lehrkräfte

E-Mail-Adresse, Anzeigename (freiwillig), Passwort (nur als Hash gespeichert), Rolle (Lehrkraft oder Administration), Status des Zugangs, Zeitpunkt der letzten Anmeldung sowie ein Protokoll zu Einladung, Sperrung, Rollenänderung und Löschung des Zugangs. Zweck: Bereitstellung des persönlichen Zugangs und Verwaltung der Zugänge durch die Schuladministration. Rechtsgrundlage: Vertrag bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse an der Sicherheit der Zugänge (Art. 6 Abs. 1 lit. f DSGVO).

Zum Schutz vor dem Erraten von Passwörtern speichern wir fehlgeschlagene Anmeldeversuche für kurze Zeit – nicht mit der E-Mail-Adresse selbst, sondern mit einem daraus gebildeten Hash-Wert.

Jede Anmeldung braucht zusätzlich zum Passwort einen Code, den wir an die E-Mail-Adresse des Zugangs schicken (Zwei-Faktor-Anmeldung). Codes werden nur als Hash-Wert und höchstens 24 Stunden gespeichert. Wer ein Gerät „30 Tage merken“ lässt, erhält ein Cookie mit einer zufälligen Kennung; in der Datenbank liegt dazu nur ein Hash-Wert mit grober Gerätebezeichnung (z. B. „Safari auf iPad“), Datum und Ablauf. Diese Merkung kann jederzeit unter „Mein Konto“ oder durch die Schuladministration gelöscht werden.

4.2 Daten zu Schüler:innen

Lehrkräfte geben für ihre Klassen ein: ein von ihnen vergebenes Kürzel oder Pseudonym je Kind (z. B. Initialen, Spitzname, Nummer – die Zuordnung kennt nur die Lehrkraft), optional das Geschlecht (m/w/d) sowie – nur für die jeweilige Lehrkraft sichtbar – ein Leistungsniveau in drei Stufen, Regeln, welche Kinder zusammen oder nicht zusammen arbeiten sollen, gespeicherte Gruppeneinteilungen und Sitzpläne. Vor- und Nachnamen, Geburtsdaten, Adressen, Noten, Fotos oder der Name der Schule werden nicht erfasst; die Anwendung ist darauf ausgelegt, so wenige Daten wie möglich zu verarbeiten (Art. 5 Abs. 1 lit. c DSGVO). Leistungsniveaus, Regeln, Einteilungen und Sitzpläne sind technisch so gespeichert, dass ausschließlich die Lehrkraft, die sie angelegt hat, sie lesen kann – auch die Administration nicht.

Zweck: pädagogische Gruppenbildung und Sitzordnung im Unterricht. Die Rechtsgrundlage bestimmt die Schule als Verantwortliche; in der Regel ist dies die Wahrnehmung des Bildungsauftrags nach dem jeweiligen Landesschulgesetz (Art. 6 Abs. 1 lit. e DSGVO). Wir verarbeiten diese Daten ausschließlich im Auftrag der Schule (Art. 28 DSGVO).

4.3 Keine Weitergabe im Kollegium

Schülerlisten werden nicht zwischen Lehrkräften geteilt; jede Liste ist nur für den Zugang sichtbar, der sie angelegt hat. Zwischen Kolleg:innen lassen sich ausschließlich Listen mit Gruppennamen (ohne Schülerbezug) teilen; dabei ist der Anzeigename der freigebenden Person sichtbar.

5. E-Mails

MixMyClass versendet E-Mails nur anlassbezogen: Anmeldecode bei jeder Anmeldung, Einladung, Passwort zurücksetzen, Hinweis nach einer Passwortänderung und Bestätigung der Kontolöschung. Der Versand erfolgt über ein Postfach bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur (Server in Deutschland). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Es werden keine Newsletter oder Werbemails verschickt.

6. Cookies und lokale Speicherung

MixMyClass verwendet ausschließlich technisch notwendige Cookies: das Sitzungs-Cookie für die Anmeldung, ein Cookie, das die Wahl „angemeldet bleiben“ festhält, ein Cookie, das die bestätigte Zwei-Faktor-Anmeldung dieser Sitzung festhält, sowie – nur auf Wunsch – das Cookie für ein gemerktes Gerät (30 Tage). Diese Cookies sind für den Betrieb erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig, weshalb kein Cookie-Banner angezeigt wird. Wird MixMyClass als App installiert („Zum Home-Bildschirm“), legt der Browser zusätzlich Oberflächendateien (Skripte, Schriften, Logo) und eine Hinweisseite für den Fall „kein Netz“ auf dem Gerät ab – keine Inhalte, keine Schülerdaten; dieser Zwischenspeicher wird mit den Browserdaten gelöscht.

Im lokalen Speicher des Browsers werden nur Bedienungseinstellungen abgelegt (z. B. hell/dunkel, ob private Angaben auf dem Bildschirm angezeigt werden, zuletzt gewählte Einteilungs-Einstellungen, Signalton des Timers). Diese Daten verlassen das Gerät nicht.

Es werden keine Analyse-, Tracking- oder Werbedienste eingesetzt. Schriftarten werden von unserem eigenen Server ausgeliefert; es findet keine Verbindung zu Google Fonts oder anderen Drittanbietern statt.

7. Speicherdauer

• Zugangsdaten: bis zur Löschung des Zugangs durch die Person selbst oder die Schuladministration. Bei der Löschung werden alle privaten Daten der Person (Klassen, Niveaus, Regeln, Einteilungen, Sitzpläne) unwiderruflich gelöscht; freigegebene Vorlagen gehen an die Schuladministration über.
• Schülerdaten: bis zur Löschung durch die Lehrkraft (einzeln, klassenweise oder mit dem Schuljahr). Löschen ist immer ein endgültiges Löschen, kein Archivieren.
• Fehlgeschlagene Anmeldeversuche und Anmeldecodes (jeweils Hash-Werte): werden nach 24 Stunden automatisch gelöscht. Gemerkte Geräte: 30 Tage, jederzeit vorher löschbar.
• Datensicherungen: Sicherungskopien der Datenbank werden auf demselben Server abgelegt und nach 30 Tagen automatisch gelöscht. Gelöschte Daten können daher bis zu 30 Tage in einer Sicherungskopie verbleiben; sie werden aus Sicherungen nur zur Wiederherstellung nach einem Ausfall verwendet.

8. Weitergabe an Dritte

Eine Weitergabe an Dritte findet nicht statt, abgesehen von den genannten Auftragsverarbeitern (Hetzner für das Hosting, IONOS für den E-Mail-Versand). Eine Übermittlung in Länder außerhalb der EU bzw. des EWR findet nicht statt.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Lehrkräfte können ihren Zugang jederzeit selbst unter „Mein Konto“ löschen. Für alle Anliegen erreichen Sie uns unter info@dk-bs.de.

Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für uns ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

Für Daten von Schüler:innen ist die Schule Verantwortliche: Schüler:innen und Erziehungsberechtigte wenden sich mit Auskunfts-, Berichtigungs- oder Löschwünschen an die Schule bzw. die zuständige Lehrkraft, die diese Angaben direkt in MixMyClass ändern oder löschen kann. Wir unterstützen die Schule dabei im Rahmen des Auftragsverarbeitungsvertrags.

10. Sicherheit

Die Verbindung ist durchgehend verschlüsselt (HTTPS). Passwörter werden nur als Hash gespeichert. Der Zugriff auf Daten ist auf Datenbankebene so beschränkt, dass jede Lehrkraft nur ihre eigenen Daten und die freigegebenen Vorlagen ihrer Schule sehen kann. Nach längerer Inaktivität endet die Anmeldung automatisch.

11. Änderungen

Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.