Datenschutzerklärung

Entwurf: vor der Veröffentlichung rechtlich prüfen lassen. Offene Punkte sind gelb markiert.

Offen: Stand-Datum bei Veröffentlichung eintragen.

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten (1) beim Besuch unserer Website velasozial.de und (2) klärt die Rollen bei der Nutzung unserer Software „VelaSozial“. Bitte beachten Sie die Unterscheidung in Teil A und Teil B.

Teil A: Verarbeitung als Verantwortlicher (Website velasozial.de)

1. Verantwortlicher

farbcode GmbH, Meitnerstraße 10, 70563 Stuttgart, Deutschland
Geschäftsführer: Damaris Weinschenk, Dipl.-Ing. Martin Weinschenk
E-Mail: hello@farbcode.net

Offen: ggf. eine eigene Adresse für Datenschutzanfragen einrichten.

2. Datenschutzbeauftragte:r

Offen: Ob eine Bestellung nach Art. 37 Abs. 1 lit. b/c DSGVO erforderlich ist (Verarbeitung besonderer Kategorien von Daten Minderjähriger als Kerntätigkeit), ist noch zu entscheiden. Bis dahin keine Aussage „kein DSB“. Platzhalter: „Unsere:n Datenschutzbeauftragte:n erreichen Sie unter [DSB-Kontakt farbcode].“

3. Aufsichtsbehörde

Der/die Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI), Lautenschlagerstraße 20, 70173 Stuttgart. Zuständig für farbcode als Verantwortliche der Website. Für die in der Anwendung verarbeiteten Falldaten richtet sich die zuständige Aufsichtsbehörde nach dem jeweils verantwortlichen Träger, siehe Teil B.

4. Aufruf der Website und Server-Logfiles

Beim Aufruf verarbeitet unser Hosting-Dienstleister automatisch technisch notwendige Daten (u. a. IP-Adresse, Datum und Uhrzeit, abgerufene Ressource, Referrer, User-Agent) zur Auslieferung, Stabilität und Sicherheit der Website. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Offen: konkrete Speicherdauer der Logs (z. B. 7 Tage) mit dem Server-Setup abgleichen und hier eintragen.

5. Hosting

Wir hosten die Website und die Anwendung bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in einem Rechenzentrum in Deutschland. Das Rechenzentrum ist nach ISO/IEC 27001 zertifiziert und BSI-C5-testiert. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Es findet keine Datenübermittlung in ein Drittland statt.

6. Kontaktaufnahme

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Wir löschen die Daten, sobald sie nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Cookies und Reichweitenmessung

Unsere Website ist datensparsam gestaltet. Wir setzen ausschließlich technisch notwendige Cookies und Speicherzugriffe ein (§ 25 Abs. 2 Nr. 2 TDDDG, einwilligungsfrei). Schriften werden selbst gehostet; wir setzen keine Tracking- oder Analyse-Dienste und keine Drittanbieter-Dienste zu Werbezwecken ein.

Offen: Stand der Website bestätigen. Heute setzt sie gar keine Cookies, hat kein Tracking und keine Einbettungen, Schriften und Bilder liegen auf dem eigenen Server. Kommen Analyse, Tracking oder Einbettungen hinzu, braucht es ein Consent-Banner nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

8. Anmeldung und Nutzerkonto der Anwendung

Für die Nutzung der Anwendung app.velasozial.de legen die berechtigten Fachkräfte des Kunden ein Nutzerkonto an (Name, dienstliche E-Mail, Authentifizierungsdaten inkl. Zwei-Faktor-Authentifizierung). Diese Kontodaten verarbeiten wir im Auftrag des jeweiligen Kunden (siehe Teil B).

9. Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21), Widerruf einer Einwilligung (Art. 7 Abs. 3), Beschwerde bei einer Aufsichtsbehörde (Art. 77). Betrifft Ihr Anliegen Daten aus der Anwendung (Falldaten), wenden Sie sich bitte an den jeweils verantwortlichen Träger (Teil B).

Teil B: Verarbeitung als Auftragsverarbeiter (Anwendung VelaSozial)

10. Rolle und Verantwortlichkeit

VelaSozial ist eine Fachanwendung zur Dokumentation der Schulsozialarbeit (§ 13 SGB VIII). Die in der Anwendung verarbeiteten personenbezogenen Daten, insbesondere Falldaten von Schüler:innen einschließlich besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) und Sozialdaten, verarbeitet die farbcode GmbH ausschließlich im Auftrag und nach Weisung des jeweiligen Kunden (Träger der Schulsozialarbeit bzw. der zuständigen öffentlichen Stelle).

Datenschutzrechtlich Verantwortlicher für diese Daten ist der jeweilige Träger, nicht die farbcode GmbH. Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO in Verbindung mit § 80 SGB X, der jedem Kundenvertrag beiliegt. Für Auskunft, Berichtigung, Löschung, Einschränkung, Widerruf von Einwilligungen und alle weiteren Betroffenenrechte hinsichtlich dieser Daten ist der jeweilige Träger Ihre Ansprechstelle; die Datenschutzerklärung des Trägers ist maßgeblich.

11. Technische und organisatorische Maßnahmen (Art. 32 DSGVO, § 80 SGB X)

Verschlüsselung sensibler Falldaten auf Feldebene (AES-256-GCM); direkt identifizierende Angaben (z. B. Namen) verschlüsselt gespeichert und nur über einen Blind-Index durchsuchbar, nicht im Klartext;
Transportverschlüsselung (TLS 1.2+) und clientseitig verschlüsselte, geografisch redundante Backups innerhalb der EU;
Zwei-Faktor-Authentifizierung (Passkey oder Authenticator-App), verpflichtend für administrative Konten; für Fachkräfte legt der Kunde die Pflicht fest (Voreinstellung: verpflichtend);
streng personenbezogene, fallbezogene Zugriffsrechte (nur die zuständige Fachkraft mit ausdrücklicher Berechtigung sieht Fallinhalte; administrative Rollen haben keinen Zugriff auf Fallinhalte) sowie lückenloses, auch lesendes Zugriffs-Audit;
strikte Standort- und Mandantentrennung;
Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit, auch im Hinblick auf § 203 StGB;
Falldaten werden ausschließlich in Deutschland verarbeitet. Setzt der jeweils verantwortliche Träger die optionalen KI-gestützten Funktionen ein (z. B. Sprach-zu-Text-Transkription), erfolgt deren Verarbeitung durch einen auf Vertraulichkeit (auch nach § 203 StGB) verpflichteten Unterauftragsverarbeiter mit Serverstandort in Deutschland; die Audiodaten werden nach der Transkription nicht dauerhaft gespeichert und nicht zum Training von KI-Modellen verwendet. Ohne Aktivierung dieser Funktionen findet keine Übermittlung an einen KI-Dienst statt.

12. Unterauftragsverarbeiter

Zur Erbringung der Leistung setzen wir Unterauftragsverarbeiter ein (insbesondere Hetzner Online GmbH, Deutschland, für das Hosting). Die vollständige, aktuelle Liste ist Bestandteil der jeweiligen Auftragsverarbeitungsvereinbarung mit dem Kunden.

Offen (F3): vollständige Liste der Unterauftragsverarbeiter. Ebenso die Backup-Kopie am farbcode-Standort Stuttgart als eigener Verarbeitungsort (§ 80 SGB X), erst nach Freigabe aufnehmen.

13. Aufbewahrung und Löschung

Aufbewahrungs- und Löschfristen für Falldaten legt der jeweils verantwortliche Träger fest; wir verarbeiten und löschen nach dessen Weisung und den geltenden sozialdatenschutzrechtlichen Vorgaben (u. a. §§ 61 ff. SGB VIII i. V. m. SGB X).

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf velasozial.de veröffentlichte Fassung.