Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und im Rahmen der Infrastruktur OhayoSchool ist:

OhayoEducation UG (haftungsbeschränkt) i. G.
Waghäuslerstr. 7
68753 Waghäusel
Vertreten durch: Nicolas Richter

E-Mail: info@ohayoschool.com

2. Kontakt in Datenschutzfragen

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Betroffenenrechte erreichen Sie uns unter datenschutz@ohayoschool.com.

Sobald ein Datenschutzbeauftragter bestellt ist, werden dessen Kontaktdaten an dieser Stelle ergänzt.

3. Welche Daten wir verarbeiten

3.1 Schülerdaten

• Vor- und Nachname, Klasse, Geburtsdatum
• Kognitive Assessmentergebnisse (pseudonymisiert, nur mit Opt-in)
• Lernfortschrittsdaten aus Übungsapps (Aufgabentyp, Ergebnis, Bearbeitungszeit)
• Anwesenheits- und Fehlzeitendaten (Klassenbuch)

3.2 Lehrkräftedaten

• Vor- und Nachname, E-Mail-Adresse
• Qualifikationen, Deputat, Verfügbarkeiten
• Unterrichtsinhalte und Planungsdaten

3.3 Elterndaten

• Vor- und Nachname, E-Mail-Adresse, Telefonnummer
• Kommunikationsverlauf über das Elternportal
• Entschuldigungen und Krankmeldungen

3.4 Technische Daten

• IP-Adresse (anonymisiert nach 7 Tagen)
• Browser-Typ, Betriebssystem
• Sitzungsdaten (Login-Zeitpunkt, Sitzungsdauer)

3.5 Anfragen über die Website (Demo- und Infopaket-Formulare)

Wenn Sie über unsere Website eine Demo anfragen oder das Infopaket anfordern, verarbeiten wir die von Ihnen angegebenen Daten (Name, E-Mail-Adresse, ggf. Telefonnummer, Schule, Schulart, Funktion und Ihre Nachricht) zur Bearbeitung Ihrer Anfrage, zur Zusendung der angeforderten Informationen und zur Kontaktaufnahme. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage). Die Daten werden in unserem Kundenverwaltungssystem gespeichert und gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen — auf Ihren Wunsch jederzeit früher (E-Mail an datenschutz@ohayoschool.com genügt).

4. Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: Die Verarbeitung ist für die Durchführung des Nutzungsvertrags mit der Schule erforderlich.
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: Kognitive Assessments werden nur mit ausdrücklicher Einwilligung der Erziehungsberechtigten durchgeführt.
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse: Technische Daten werden zur Sicherstellung des Betriebs und zur Fehlerbehebung verarbeitet.
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung: Aufbewahrung von Rechnungsdaten gemäß steuerrechtlichen Vorschriften.

5. Empfänger der Daten

Personenbezogene Daten werden ausschließlich an folgende Kategorien von Empfängern weitergegeben:

• Hosting-Provider (Serverstandort Deutschland)
• Die jeweilige Schule als Auftraggeber (gemäß Auftragsverarbeitungsvertrag)

Es findet keine Weitergabe an Dritte zu Werbe- oder Marketingzwecken statt. Es findet kein Transfer in Drittländer außerhalb der EU/des EWR statt.

6. Speicherdauer und Löschung

• Schülerdaten: Werden zum Ende des Schuljahres gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Kognitive Profile werden bei Widerruf der Einwilligung sofort gelöscht.
• Lehrkräftedaten: Werden bei Beendigung des Beschäftigungsverhältnisses gelöscht, spätestens 3 Monate nach Vertragsende.
• Elterndaten: Werden gelöscht, wenn das Kind die Schule verlässt.
• Technische Daten: IP-Adressen werden nach 7 Tagen anonymisiert. Sitzungsdaten werden nach 90 Tagen gelöscht.
• Bei Vertragskündigung: Vollständiger Datenexport auf Wunsch. Unwiderrufliche Löschung aller Daten nach 90 Tagen.

7. Ihre Rechte

Als betroffene Person haben Sie folgende Rechte:

• Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft über die bei uns gespeicherten personenbezogenen Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Sie haben das Recht auf Berichtigung unrichtiger Daten.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten.
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten aus Gründen Ihrer besonderen Situation widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Beschwerde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

8. Cookies und Webanalyse

In der Anwendung OhayoSchool (nach der Anmeldung) setzen wir ausschließlich technisch notwendige Cookies ein (Sitzungs-Cookie für die Authentifizierung); dort findet keine Webanalyse statt.

Die Reichweiten- und Nutzungsanalyse unserer öffentlichen Website betreiben wir vollständig selbst, auf eigenen Servern in Deutschland. Es kommen keine Analyse- oder Werbedienste Dritter zum Einsatz — kein Google Analytics, keine Social-Media-Tracker, keine Werbe-Cookies. Es findet keine Übermittlung in Drittländer und keine Weitergabe an Dritte statt. Die Analyse besteht aus zwei getrennten Stufen.

8.1 Anonyme Basis-Statistik (ohne Cookies, ohne Einwilligung)

Beim Aufruf unserer öffentlichen Seiten erfassen wir Ereignisse wie Seitenaufrufe, Klicks auf Schaltflächen, abgesendete Formulare, Downloads und ausgehende Links — jeweils mit Seitenpfad, Verweisquelle (nur Domain), Kampagnenparametern (utm_*), einer groben Geräteklasse sowie der ungefähren Herkunft (Land, Region, Stadt). Hinzu kommen die Verweildauer und die erreichte Scroll-Tiefe einer Seite, technische Messwerte zur Ladegeschwindigkeit sowie gekürzte Fehlermeldungen, wenn ein Skript auf unserer Seite fehlschlägt. Diese Angaben entstehen ausschließlich während des Seitenaufrufs im Arbeitsspeicher Ihres Browsers; sie dienen der Messung der Seitenqualität und der Erkennung technischer Störungen.

Die Herkunft leiten wir aus Ihrer IP-Adresse ab, indem wir sie flüchtig gegen eine lokal auf unserem Server gespeicherte Geo-Datenbank auflösen — es wird dafür kein externer Dienst angefragt, und gespeichert wird nur die grobe Ortsangabe, nie die IP-Adresse oder eine genaue Position. Auf Ihrem Endgerät wird dafür nichts gespeichert und nichts ausgelesen (keine Cookies, kein Local Storage); § 25 TDDDG ist nicht berührt.

Zur Unterscheidung wiederkehrender Aufrufe innerhalb eines Tages bilden wir aus Ihrer IP-Adresse, dem User-Agent und einem täglich wechselnden, danach verworfenen Zufallswert einen Kurz-Hash. Die IP-Adresse selbst wird dabei nur flüchtig im Arbeitsspeicher verwendet und nie gespeichert. Anhand dieses Kurz-Hashes können wir die Abfolge der Seitenaufrufe innerhalb eines Tages nachvollziehen, um typische Wege durch unsere Website zu verstehen. Nach dem täglichen Verwerfen des Zufallswerts ist der Hash keiner Person mehr zuordenbar und über Tagesgrenzen hinweg nicht verkettbar; eine Verknüpfung mit Ihrer Person oder mit einer Anfrage findet auf dieser Stufe nicht statt. Rohereignisse bewahren wir höchstens 14 Monate auf, danach existieren nur noch aggregierte Tageswerte ohne jeden Personenbezug.

Rechtsgrundlage ist unser berechtigtes Interesse an der Messung und Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Sendet Ihr Browser ein Global-Privacy-Control- oder Do-Not-Track-Signal, werten wir dies als Widerspruch (Art. 21 Abs. 5 DSGVO) und erfassen auch diese Basis-Statistik nicht. Darüber hinaus können Sie der Verarbeitung jederzeit formlos widersprechen (datenschutz@ohayoschool.com).

8.2 Erweiterte Statistik mit Wiedererkennung (nur mit Ihrer Einwilligung)

Nur wenn Sie im Hinweis-Banner „Akzeptieren“ wählen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), verarbeiten wir zusätzlich:

• Wiedererkennung: Ein First-Party-Cookie (oa_vid, Zufallskennung, Laufzeit 13 Monate) verbindet Ihre Besuche über Sitzungen hinweg; eine Sitzungskennung im Sitzungsspeicher des Browser-Tabs hält die laufende Sitzung zusammen. Ein weiteres Cookie (oa_consent) speichert nur Ihre Entscheidung (bei Zustimmung 13 Monate, bei Ablehnung 6 Monate).
• Nutzungsprofil: Sitzungen mit besuchten Seiten, Verweildauer und tatsächlicher Lesezeit, Scroll-Tiefe, welche Abschnitte einer Seite Sie wie lange im Blick hatten sowie Klickpositionen (Heatmaps). Zu jedem Klick erfassen wir zusätzlich, welches Element Sie angeklickt haben — seine technische Kennung und seine sichtbare Beschriftung. Ferner erkennen wir Anzeichen von Bedienproblemen (mehrfaches Klicken auf dieselbe Stelle, Klicks auf Elemente, die nicht reagieren), Anzeichen dafür, dass Sie die Seite verlassen wollen, das Kopieren von Textabschnitten (nur der Umfang, nie der Inhalt), den Wechsel in einen anderen Tab sowie Fenstergröße, Bildschirmauflösung und Spracheinstellung Ihres Browsers. Hinzu kommt die Herkunfts- und Kampagnenhistorie (Erst- und Letztkontakt).
• Formularverhalten ohne Inhalte: Wir erfassen, welche Formularfelder Sie anwählen, wie lange Sie darin verweilen, wie viele Felder Sie ausfüllen und bei welchem Feld Sie eine Eingabe gegebenenfalls abbrechen. Die Inhalte Ihrer Eingaben werden dabei zu keinem Zeitpunkt erfasst oder übertragen — weder der Text noch Auswahlwerte noch Teile davon.
• Verknüpfung mit Ihrer Anfrage: Senden Sie uns ein Demo- oder Infopaket-Formular, verknüpfen wir die unter dieser Einwilligung erhobene Historie (einschließlich der Besuche vor dem Absenden) mit Ihrem Kontakt in unserem internen Vertriebssystem. Unser Vertriebsteam sieht dann Ihre Website-Aktivität am Vorgang und erhält Hinweise, etwa wenn Sie unsere Preisseite erneut besuchen. Zweck ist die Vorbereitung und Personalisierung Ihrer Beratung (Art. 6 Abs. 1 lit. a, bei Vertragsanbahnung ergänzend lit. b DSGVO).

Eine Aufzeichnung Ihrer Bildschirmsitzung findet nicht statt. Die Standortangabe aus Abschnitt 8.1 wird für diese Stufe nicht verwendet. Einzelereignisse dieser Stufe speichern wir höchstens 24 Monate; danach werden sie automatisiert gelöscht bzw. aggregiert.

Widerruf: jederzeit mit Wirkung für die Zukunft unter ohayoschool.com/datenschutz/einstellungen (auch über „Datenschutz-Einstellungen“ im Fußbereich) — auf Wunsch einschließlich sofortiger Löschung Ihrer gesamten Besuchshistorie. Nach einem Widerruf endet die Erfassung dieser Stufe serverseitig; das Cookie wird gelöscht.

8.3 Kampagnenparameter bei Formular-Anfragen

Unabhängig von Ihrer Einwilligung übernehmen wir beim Absenden eines Formulars die in der Adresszeile enthaltenen Kampagnenparameter (utm_source, utm_medium, utm_campaign) in Ihre Anfrage, um deren Herkunft zuordnen zu können. Rechtsgrundlage ist die Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO).

9. Besondere Kategorie: Kognitive Assessments

Kognitive Assessmentergebnisse werden als besonders schützenswerte Daten behandelt:

• Verarbeitung nur mit ausdrücklicher, informierter Einwilligung der Erziehungsberechtigten
• Pseudonymisierung auf Datenbankebene — kein Rückschluss auf Klarnamen möglich
• Zugriff nur durch die Lehrkraft der jeweiligen Klasse und das Kind selbst
• Keine Weitergabe an Dritte
• Sofortige Löschung bei Widerruf der Einwilligung
• KI-Modelle werden mit anonymisierten, aggregierten Daten trainiert — niemals mit Individualdaten

10. Auftragsverarbeitung

Die Nutzung von OhayoSchool durch Schulen erfolgt im Rahmen einer Auftragsverarbeitung gemäß Art. 28 DSGVO. Ein Auftragsverarbeitungsvertrag (AVV) ist Bestandteil jedes Nutzungsvertrags. Die Schule bleibt Verantwortliche im Sinne der DSGVO; OhayoSchool ist Auftragsverarbeiter.

11. Technische und organisatorische Maßnahmen

• Verschlüsselung aller Daten in Transit (TLS 1.3) und at Rest (AES-256)
• Serverstandort ausschließlich in Deutschland
• Microservice-Architektur: Jeder Dienst hat nur Zugriff auf die für seine Funktion notwendigen Daten
• Regelmäßige Sicherheitsaudits und Penetrationstests
• Automatisierte Backups mit Verschlüsselung
• Rollenbasierte Zugriffskontrolle (RBAC)

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, um sie an geänderte Rechtslagen oder Änderungen unseres Dienstes anzupassen. Die aktuelle Fassung finden Sie stets auf dieser Seite. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.