Datenschutzerklärung

1. Wer ist verantwortlich

Verantwortlich für die in dieser Erklärung beschriebene Verarbeitung ist die TWWIM UG (haftungsbeschränkt), Stapperstr. 65, 52080 Aachen, Deutschland, vertreten durch den Geschäftsführer Dmitri Botezat. E-Mail: [email protected]; außerdem erreichen Sie uns über das Kontaktformular auf qwerta.de/kontakt.

2. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen. Fragen zum Datenschutz richten Sie an die Adresse in Abschnitt 1.

3. Zwei Rollen: Plattform und Organisation

(1) Qwerta ist eine Software für Vereine, Schulen und Kursanbieter („Organisationen“). Was eine Organisation in Qwerta über ihre Mitglieder, Teilnehmer, Eltern, Zahlungspflichtigen und Lehrkräfte führt (zum Beispiel Kurse, Gruppen, Anwesenheit, Beiträge, Nachrichten), verarbeiten wir im Auftrag dieser Organisation und nach ihren Weisungen. Verantwortlich für diese Daten ist die Organisation. Sie informiert Sie über diese Verarbeitung; an sie richten Sie Ihre Fragen und Anträge dazu. Erreicht uns ein solcher Antrag, leiten wir ihn an die Organisation weiter.

(2) Selbst verantwortlich sind wir für: unsere Website qwerta.de; Ihr Nutzerkonto und die Anmeldung; die Sicherheit und den Betrieb der Plattform; den Vertrag und die Abrechnung mit der Organisation; Anfragen an uns. Nur davon handelt diese Erklärung.

4. Besuch der Website und der Anwendung (Protokolldaten)

Beim Aufruf verarbeitet unser Server technisch nötige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse (ohne Suchparameter), Anfragemethode, Statuscode, übertragene Datenmenge, Bearbeitungsdauer sowie Browser und Betriebssystem. Zweck: Auslieferung der Seiten, Stabilität, Erkennen und Abwehr von Angriffen und Missbrauch. Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren und funktionsfähigen Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Die Seiten werden über das Netzwerk von Cloudflare ausgeliefert, das Anfragen an unseren Server weiterleitet und vor Angriffen schützt (Abschnitte 11 und 12).

Die Server-Protokolle speichern wir 14 Tage, länger nur bei einem konkreten Sicherheitsvorfall bis zu dessen Klärung.

5. Kontaktformular und Pilot-Bewerbung

(1) Kontaktformular: Name, E-Mail-Adresse, Ihre Nachricht und, falls angegeben, der Name Ihrer Organisation. Pilot-Bewerbung: Name der Ansprechperson, E-Mail-Adresse, Name und Art der Organisation und, falls angegeben, Telefonnummer.

(2) Zweck: Bearbeitung Ihrer Anfrage oder Bewerbung. Wir speichern die Angaben, senden Ihnen eine Eingangsbestätigung per E-Mail und benachrichtigen uns selbst per E-Mail.

(3) Rechtsgrundlage: Ihre Einwilligung, die Sie beim Absenden erteilen (Art. 6 Abs. 1 lit. a DSGVO) und jederzeit mit Wirkung für die Zukunft widerrufen können; bei einer Pilot-Bewerbung außerdem die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO).

(4) Speicherdauer: bis zur Erledigung der Anfrage oder Bewerbung, danach höchstens 12 Monate. Wird aus einer Bewerbung ein Vertrag, gilt Abschnitt 8.

6. Nutzerkonto und Anmeldung

(1) Daten: E-Mail-Adresse (Anmeldekennung), Passwort (nur als Hashwert gespeichert), Name, Sprache, Zeitzone, Rollen und Zugehörigkeit zu Organisationen, Einladungen, Zeitpunkt der Registrierung und der Anmeldungen, Sitzungsdaten.

(2) Zweck: Ihnen den Zugang zu Qwerta und zu den Bereichen Ihrer Organisation(en) zu geben, Sie eindeutig anzumelden und Rollen durchzusetzen.

(3) Rechtsgrundlage: das berechtigte Interesse von uns und der Organisation am Betrieb personengebundener, geschützter Zugänge (Art. 6 Abs. 1 lit. f DSGVO).

(4) Speicherdauer: bis zur Löschung des Kontos.

7. Sicherheit des Kontos

Zum Schutz der Konten verarbeiten wir: Angaben zur Zwei-Faktor-Anmeldung (geheimer Schlüssel der Authentifizierungs-App; Wiederherstellungscodes nur als Hashwert), Sitzungsdaten (eine Sitzung endet nach 12 Stunden, mit „angemeldet bleiben“ nach 30 Tagen) und Fehlerprotokolle des Servers, deren personenbezogene Inhalte verschlüsselt gespeichert und nach 30 Tagen gelöscht werden. Rechtsgrundlage: berechtigtes Interesse an der Sicherheit der Verarbeitung und unsere Pflicht, angemessene technische und organisatorische Maßnahmen zu treffen (Art. 6 Abs. 1 lit. f und lit. c in Verbindung mit Art. 32 DSGVO).

8. Vertrag und Abrechnung mit der Organisation

Von den Personen, die für eine Organisation handeln (Vorstand, Administratoren, Ansprechpartner), verarbeiten wir Name, Funktion, Kontaktdaten sowie die Vertrags-, Paket-, Rechnungs- und Zahlungsdaten der Organisation. Zweck: Abschluss und Durchführung des Nutzungsvertrags, Rechnungen, Zahlungseingang, Buchführung. Rechtsgrundlage: berechtigtes Interesse an der Durchführung des Vertrags mit der Organisation, bei Einzelpersonen als Vertragspartner die Vertragserfüllung, und gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. b, c, f DSGVO). Speicherdauer: Rechnungen und Buchungsbelege acht Jahre, Handels- und Geschäftsbriefe sechs Jahre, Bücher und Jahresabschlüsse zehn Jahre, jeweils ab dem Ende des Kalenderjahres.

9. Anfragen und Support

Schreiben Sie uns per E-Mail, verarbeiten wir Ihre Angaben und den Inhalt der Anfrage, um sie zu beantworten. Betrifft die Anfrage Daten, die eine Organisation in Qwerta führt, handeln wir dabei im Auftrag dieser Organisation. Rechtsgrundlage: berechtigtes Interesse an der Bearbeitung von Anfragen; bei Anfragen zu einem Vertrag die Vertragserfüllung oder vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b, f DSGVO). Speicherdauer: bis zur Erledigung der Anfrage, danach höchstens 12 Monate, soweit keine Aufbewahrungspflicht nach Abschnitt 8 besteht.

10. E-Mails der Plattform

Wir senden E-Mails, die für das Konto nötig sind: Einladung, Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Sicherheitshinweise. Rechtsgrundlage wie Abschnitt 6 und 7. Mitteilungen einer Organisation an ihre Mitglieder (zum Beispiel Benachrichtigungen, Zahlungsankündigungen) versenden wir im Auftrag der Organisation. Alle E-Mails versenden wir über unseren eigenen Mailserver. Werbung oder einen Newsletter versenden wir nicht.

11. Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit es für die genannten Zwecke nötig ist, an:

– STRATO AG, Berlin: Server, Datenbank und Speicher; Verarbeitung in Deutschland; – Cloudflare, Inc., San Francisco, USA: Auslieferung der Seiten und Schutz vor Angriffen; Cloudflare verarbeitet dabei die Daten jeder Anfrage (Abschnitt 4 und 12); – Steuerberatung, Behörden und Gerichte, soweit wir gesetzlich verpflichtet sind oder Rechtsansprüche verfolgen.

Mit Dienstleistern, die in unserem Auftrag verarbeiten, bestehen Verträge zur Auftragsverarbeitung. Innerhalb einer Organisation sehen deren berechtigte Personen (zum Beispiel Administratoren, Lehrkräfte) Ihre Daten nach den dort vergebenen Rollen.

12. Übermittlung in Länder außerhalb der EU / des EWR

Bei Cloudflare, Inc. kann eine Verarbeitung in den USA nicht ausgeschlossen werden. Grundlage der Übermittlung: der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, nach dem Cloudflare zertifiziert ist, sowie ergänzend die Standarddatenschutzklauseln der Kommission (Art. 45 Abs. 1, Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien erhalten Sie über die Adresse in Abschnitt 1.

13. Cookies und Speicher im Endgerät

(1) Wir speichern im Browser nur, was für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist: auf qwerta.de und in den Anwendungen die gewählte Sprache (lokaler Speicher, „qwerta.language“); in den Anwendungen zusätzlich das Sitzungs-Cookie für die Anmeldung („qwerta_session“, Laufzeit wie Abschnitt 7), die in einem Browser-Tab gewählte Organisation (Sitzungsspeicher) und Einstellungen der Oberfläche wie angeheftete Einträge (lokaler Speicher). Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

(2) Wir setzen keine Cookies oder vergleichbaren Techniken zur Reichweitenmessung, Werbung oder Profilbildung ein und binden keine Inhalte Dritter ein; auch die Schriftarten liegen auf unserem Server.

(3) Die Verarbeitung der dabei anfallenden personenbezogenen Daten beruht auf Abschnitt 4, 6 und 7.

14. Speicherdauer im Überblick

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist: Server-Protokolle 14 Tage; Fehlerprotokolle 30 Tage; Kontaktanfragen und Pilot-Bewerbungen bis zur Erledigung, danach höchstens 12 Monate; Kontodaten bis zur Löschung des Kontos; Vertrags- und Rechnungsunterlagen nach den gesetzlichen Fristen (Abschnitt 8).

15. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft und eine Kopie Ihrer Daten, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung und auf Datenübertragbarkeit, jeweils unter den gesetzlichen Voraussetzungen (Art. 15 bis 18 und 20 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zur Ausübung genügt eine Nachricht an die Adresse in Abschnitt 1. Für Daten, die eine Organisation in Qwerta führt, wenden Sie sich an die Organisation (Abschnitt 3).

16. Widerspruchsrecht

SIE KÖNNEN JEDERZEIT AUS GRÜNDEN, DIE SICH AUS IHRER BESONDEREN SITUATION ERGEBEN, DER VERARBEITUNG WIDERSPRECHEN, DIE WIR AUF EIN BERECHTIGTES INTERESSE STÜTZEN (ABSCHNITTE 4 UND 6 BIS 9; ART. 21 ABS. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

17. Beschwerde bei einer Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, Telefon +49 211 38424-0, E-Mail [email protected].

18. Müssen Sie Daten angeben

Für ein Nutzerkonto sind E-Mail-Adresse, Name und Passwort erforderlich; ohne sie können Sie Qwerta nicht nutzen. Für eine Anfrage oder Bewerbung brauchen wir die Pflichtfelder des Formulars, um antworten zu können. Eine gesetzliche Pflicht, uns Daten anzugeben, besteht nicht.

19. Automatisierte Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen; ein Profiling findet nicht statt.

20. Wenn wir Ihre Daten nicht von Ihnen erhalten haben

Werden Sie von einer Organisation eingeladen, erhalten wir Ihre E-Mail-Adresse, Ihren Namen und Ihre Rolle von dieser Organisation. Wir informieren Sie mit der Einladung, also bei der ersten Mitteilung an Sie. Kategorien der Daten: Kontakt- und Stammdaten, Rolle, Zugehörigkeit. Quelle: die einladende Organisation (keine öffentlich zugängliche Quelle).

21. Kinder und Jugendliche

Nutzerkonten sind für Erwachsene bestimmt (Eltern, Lehrkräfte, Beschäftigte der Organisation). Daten von Kindern (zum Beispiel Name, Geburtsdatum, Kurse, Anwesenheit) tragen die Organisation oder die Sorgeberechtigten ein; dafür ist die Organisation verantwortlich (Abschnitt 3). Wir stützen die Verarbeitung von Kinderdaten nicht auf eine Einwilligung des Kindes.

22. Hinweis für Mitglieder, Eltern und Lehrkräfte einer Organisation

Die Datenschutzinformation zu Ihrer Mitgliedschaft, Ihren Kursen und Beiträgen erhalten Sie von Ihrer Organisation. Ihre Rechte nach Abschnitt 15 und 16 können Sie für diese Daten gegenüber der Organisation geltend machen; wir unterstützen sie dabei.

23. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Vor einer Verarbeitung zu einem neuen Zweck informieren wir Sie über diesen Zweck.