Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

LVG & AFS Nds. HB e. V.
Schillerstraße 32, 30159 Hannover
info@gesundheit-nds-hb.de · 0511 / 388 11 89-0

2. Datenschutzbeauftragte:r

DataCo GmbH
Dachauer Straße 65, 80335 München
info@dataguard.de · 089 7400 45840

3. Zwecke und Rechtsgrundlagen der Verarbeitung

Diese Anwendung dient der Durchführung des Gütesiegel-Programms „Bewegte, gesunde Schule": Schulen beantworten einen Fragebogen zur Selbsteinschätzung, erhalten eine Bewertung und können ein Zertifikat erhalten. Verarbeitet werden Daten der teilnehmenden Schulen und ihrer Ansprechpersonen.

Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (Wahrung berechtigter Interessen). Die Teilnahme am Programm ist freiwillig.

Unser berechtigtes Interesse liegt in der ordnungsgemäßen Durchführung und Verwaltung des Gütesiegel-Programms „Bewegte, gesunde Schule": in der Bereitstellung des Fragebogens und der Bewertung, der Ausstellung und Verwaltung von Zertifikaten, der Kommunikation mit den teilnehmenden Schulen (z. B. Einladungs- und Erinnerungs-E-Mails) sowie in der Sicherheit und dem ordnungsgemäßen Betrieb der Anwendung.

Interessenabwägung: Verarbeitet werden Daten der teilnehmenden Schulen und ihrer beruflichen Ansprechpersonen im dienstlichen Kontext; besonders schutzwürdige Daten (Art. 9 DSGVO) fallen nicht an. Der Umfang der Verarbeitung ist auf das für das Programm Erforderliche beschränkt (Datenminimierung), Kontaktdaten werden nach Ablauf der Zertifikatsgültigkeit anonymisiert (siehe Ziffer 7). Da die Teilnahme freiwillig ist und sich ausschließlich an Schulen als Einrichtungen richtet, überwiegen die berechtigten Interessen an der Durchführung des Programms; entgegenstehende schutzwürdige Interessen der betroffenen Personen sind nicht ersichtlich. Betroffene können der Verarbeitung nach Art. 21 DSGVO widersprechen (siehe Ziffer 10 „Ihre Rechte").

4. Kategorien verarbeiteter Daten

  • Schul-Stammdaten: Schulname, Anschrift, Schulträger, Schulart, Schulnummer.
  • Kontaktdaten: Name, Funktion und E-Mail-Adresse der Ansprechperson, E-Mail-Adresse und Telefonnummer der Schule.
  • Fragebogen- und Bewertungsdaten: Antworten, erreichte Punktzahl, Bewertung/Note, Zeitpunkt der Einreichung.
  • Versand-Protokolldaten: Empfängeradresse, Betreff, Zeitpunkt und Erfolg versendeter E-Mails (kein Nachrichteninhalt).
  • Benutzerkonten (Verwaltung): Benutzername, E-Mail-Adresse, Passwort-Hash, Zwei-Faktor-Einstellungen.

5. Herkunft der Daten

Ein Teil der Schul-Stammdaten stammt aus der Schnittstelle des zuständigen Ministeriums (amtliches Schulverzeichnis). Hieraus wird ein Referenzbestand unkritischer Stammdaten (Schulnummer, Name, Ort, Schulform, Status) vorgehalten. Zur Prüfung, ob eine eingegebene E-Mail-Adresse zu einer Schule gehört, wird kein Klartext gespeichert, sondern nur ein nicht umkehrbarer Schlüsselwert (HMAC). Kontaktdaten (E-Mail, Telefon) aus der Schnittstelle werden nicht dauerhaft gespeichert, sondern nur flüchtig zum Zeitpunkt eines Versands verarbeitet.

6. Empfänger / Auftragsverarbeiter

Folgende Dienstleister werden als Auftragsverarbeiter gemäß Art. 28 DSGVO eingesetzt; mit ihnen bestehen entsprechende Verträge zur Auftragsverarbeitung:

  • Hosting: Die Anwendung wird auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betrieben.
  • E-Mail-Versand (SMTP-Relay): ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf.

Beide Dienstleister verarbeiten die Daten ausschließlich auf Servern innerhalb der Europäischen Union. Eine Übermittlung in Drittländer findet nicht statt.

7. Speicherdauer, Löschung und Anonymisierung

  • Kontaktdaten der Einreichungen (Name/E-Mail der Ansprechperson, E-Mail/Telefon der Schule) werden bis zum Ablauf der Zertifikatsgültigkeit zuzüglich einer Karenzzeit von 6 Monaten aufbewahrt und danach anonymisiert: Klarnamen werden auf Initialen reduziert, E-Mail-Adressen maskiert, Telefonnummern entfernt.
  • Sachdaten (Bewertung, Punktzahl, Schulname, Anschrift) bleiben zu Statistik- und Nachweiszwecken dauerhaft erhalten.
  • Versand-Protokolle werden nach 90 Tagen hinsichtlich der Empfängeradresse anonymisiert.
  • Referenzbestand aus der Ministeriums-Schnittstelle wird bei jedem Abgleich aktualisiert; verschwundene Einrichtungen werden entfernt.
  • Passwort-Zurücksetzungs-Token verfallen nach kurzer Frist und werden ungültig.

Die Anonymisierung erfolgt automatisiert (täglicher Lauf) sowie auf Einzelantrag durch die Verwaltung.

8. Technische und organisatorische Schutzmaßnahmen

  • Übertragung ausschließlich verschlüsselt (HTTPS/TLS).
  • Zugriff auf die Verwaltung nur nach Anmeldung mit Passwort und Zwei-Faktor- Authentifizierung (TOTP).
  • Passwörter werden ausschließlich als Hash gespeichert (BCrypt).
  • E-Mail-Adressen aus dem Schulverzeichnis werden nur als nicht umkehrbarer HMAC-Schlüsselwert gespeichert, nicht im Klartext.
  • Optionale Verschlüsselung der Datenbank im Ruhezustand (SQLCipher) sowie Verschlüsselung auf Speicher-/Backup-Ebene.

9. Cookies und Sitzungsdaten

Die Anwendung verwendet ausschließlich technisch notwendige Cookies (Sitzungs-, Anmelde- und Sicherheits-/CSRF-Cookies). Es findet kein Tracking und keine Analyse zu Werbezwecken statt.

10. Ihre Rechte

Sie haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf:

  • Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO),
  • Löschung bzw. Anonymisierung (Art. 17 DSGVO),
  • Einschränkung der Verarbeitung (Art. 18 DSGVO),
  • Datenübertragbarkeit (Art. 20 DSGVO),
  • Widerspruch gegen die Verarbeitung (Art. 21 DSGVO) sowie
  • Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Wahrnehmung Ihrer Rechte wenden Sie sich bitte an die unter Ziffer 1 genannte verantwortliche Stelle.

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständig ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
poststelle@lfd.niedersachsen.de · 0511 / 120-4500

Stand: July 2026