Zur Startseite

Datenschutzerklärung

Diese Datenschutzerklärung gilt für die Online-Schließfachverwaltung „Käthes Schließfächer“. Für die allgemeine Website des Fördervereins gilt dessen eigene Datenschutzerklärung.

1. Verantwortlicher

Förderverein Käthe-Kollwitz-Gymnasium Berlin e.V.
Dunckerstr. 65-66
10439 Berlin
schliessfach@fv-kkg.de

Ein:e Datenschutzbeauftragte:r ist gesetzlich nicht erforderlich und wurde nicht bestellt. Bei Fragen zum Datenschutz wenden Sie sich an den Verantwortlichen (Kontakt oben).

2. Zwecke der Verarbeitung und Rechtsgrundlagen

  • Anmeldung und Durchführung des Schließfach-Mietvertrags — Art. 6 Abs. 1 lit. b DSGVO.
  • Zahlungsabwicklung per SEPA-Lastschrift inkl. Vorabankündigung — Art. 6 Abs. 1 lit. b.
  • Bestätigung des SEPA-Mandats (Double-Opt-In) — Art. 6 Abs. 1 lit. b / lit. a.
  • Eltern-Portal (Selbstauskunft/Kündigung) via Magic-Link — Art. 6 Abs. 1 lit. b.
  • Turnusmäßige Anonymisierung abgeschlossener Mietverhältnisse — Löschpflicht bzw. Speicherbegrenzung, Art. 17 Abs. 1 lit. a / Art. 5 Abs. 1 lit. e. Ein Aufschub bei laufender Rückfrage oder Prüfung stützt sich auf Art. 17 Abs. 3 lit. e bzw. Art. 6 Abs. 1 lit. f.
  • Einmalige Bestandserfassung: Abgleich der tatsächlichen Fachbelegung beim Übergang vom bisherigen Papierverfahren — Art. 6 Abs. 1 lit. b; die dabei gespeicherte IP-Adresse der Einreichung dient allein der Missbrauchsabwehr am öffentlichen Formular, Art. 6 Abs. 1 lit. f.
  • IT-Sicherheit und Missbrauchsabwehr (Logs, Login-Sperren) — berechtigtes Interesse an der Sicherheit und Missbrauchsabwehr des Systems, Art. 6 Abs. 1 lit. f.
  • Nachvollziehbarkeit von Änderungen (Audit-Log) — berechtigtes Interesse an der revisionssicheren Nachvollziehbarkeit bzw. rechtliche Verpflichtung, Art. 6 Abs. 1 lit. f / lit. c.
  • Gesetzliche Aufbewahrungspflichten — Art. 6 Abs. 1 lit. c.

3. Verarbeitete Datenkategorien

  • Vertragspartner:in (Eltern): Name, E-Mail, Telefon.
  • Nutzer:in des Fachs (Schüler:in, ggf. minderjährig): Name, Klasse, Körpergröße (nur zur Fachgröße). Daten Minderjähriger sind besonders geschützt.
  • Bank-/Zahlungsdaten: IBAN (verschlüsselt gespeichert, maskiert angezeigt), Kontoinhaber:in, SEPA-Mandat.
  • Vertragsdaten: Fach, Beträge, Laufzeit, Schlüssel, Kündigung oder Stornierung sowie interne Bemerkungen der Verwaltung.
  • Portal: E-Mail (Magic-Link), Zeitpunkt des letzten Logins.
  • Bestandsmeldung (einmalige Erfassung): gemeldete Fachnummer, Name der mietenden Person, Name und Klasse des Kindes, E-Mail, Telefon, Schlüsselnummer, IP-Adresse der Einreichung sowie eine interne Bemerkung der Verwaltung.
  • SEPA-Mandat: Kontoinhaber:in, IBAN, Kreditinstitut, Mandatsreferenz sowie Zeitpunkt und IP-Adresse der Bestätigung — letztere als Nachweis des Double-Opt-In (Art. 6 Abs. 1 lit. b und f DSGVO). Sie fällt mit den übrigen personenbezogenen Angaben des Vertrags.
  • Server-/Zugriffslogs: IP-Adresse, Zeitpunkt, User-Agent.
  • Audit-Log: Änderungen mit handelnder Person und Zeit (IBAN redigiert).
  • Aufschub einer Anonymisierung: Vertragsnummer, Grund im Freitext, Wiedervorlagedatum und die entscheidende Person. Der Grund wird mit den Angaben des betreffenden Vertrags entfernt.

Die Daten der Schüler:innen werden im Rahmen des Vertrags durch die Eltern bzw. Erziehungsberechtigten bereitgestellt (Erhebung nicht bei der betroffenen Person, Art. 14 DSGVO); Rechtsgrundlage der Verarbeitung ist der mit den Eltern geschlossene Vertrag.

4. Empfänger / Auftragsverarbeiter

  • Hosting/Betrieb: netcup GmbH, Daimlerstr. 25, 76185 Karlsruhe (Auftragsverarbeitung nach Art. 28 DSGVO).
  • Bank / Zahlungsdienst: Deutsche Bank AG.
  • E-Mail-Versand: netcup GmbH, Daimlerstr. 25, 76185 Karlsruhe.

Es findet keine Übermittlung in ein Drittland statt. Die Anwendung bindet keine externen Dienste ein: Schriftarten werden selbst gehostet (keine Google-Fonts-/CDN-Aufrufe), es gibt kein externes Tracking und keine Werbe-/Marketing-Cookies. Zur Reichweitenmessung wird ausschließlich eine aggregierte, anonyme Zugriffsstatistik geführt (keine IP-Adressen, keine Cookies, kein externes Tool, keine Einzelsitzungen) — ein Rückschluss auf einzelne Personen ist nicht möglich.

5. Cookies

Es werden nur technisch notwendige Cookies gesetzt (Sitzung, CSRF-Schutz sowie – falls aktiv – der Seiten-Passwortschutz). Eine Einwilligung ist hierfür nicht erforderlich.

6. Speicherdauer

  • Buchungsdaten des Vertrags (Beträge, Daten, Vertragsnummer): für die Vertragslaufzeit, danach gesetzliche Aufbewahrungsfristen (steuerlich bis 10 Jahre).
  • Personenbezogene Angaben am Vertrag (Bank- und Mandatsdaten samt IBAN und Kontoinhaber:in; IP-Adressen aus Mandatsbestätigung und Bestandsmeldung; Klasse und Körpergröße des Kindes; Kontaktdaten (Telefon, E-Mail); Namen der mietenden Person und des Kindes; die Prüfzeile aus der einmaligen Alt-Datenübernahme (Namen, Kontakt, IBAN); interne Freitexte (Bemerkungen, Gründe, Reservierungszwecke)): 12 Monate, nachdem das Mietverhältnis abgeschlossen ist — alle Verträge beendet oder storniert, keine Forderung mehr offen, eine etwaige Kaution abgewickelt. Die Entfernung wird dann zur Freigabe vorgelegt und von einer verantwortlichen Person ausgelöst. Beträge und Zahlungen, Vertragsnummer und Laufzeiten, Fach und Belegungszeitraum bleiben für die gesetzlichen Fristen bestehen.
  • Bank- und Zahlungsdaten: Kontoinhaber:in, IBAN und SEPA-Mandat werden mit den übrigen personenbezogenen Angaben des Vertrags entfernt. Der Name auf einer importierten Kontobewegung samt Verwendungszweck bleiben als kaufmännische Belege für die gesetzlichen Fristen bestehen.
  • Prüfzeilen aus der einmaligen Übernahme der Altdaten (sie enthalten neben den Namen auch Kontoinhaber:in und IBAN): mit dem Vertrag, der aus ihnen entstanden ist. Eine Zeile, die nie zu einem Vertrag wurde: 12 Monate.
  • Angaben aus einer Bestandsmeldung: zusammen mit den personenbezogenen Angaben des Vertrags, auf den sie sich bezieht. Eine Meldung ohne Vertrag: 12 Monate; die IP-Adresse der Einreichung: 6 Monate.
  • Server-/Zugriffslogs: 14 Tage.
  • Text einer nicht zugestellten E-Mail (er kann einen einmalig gültigen Zugangslink enthalten): 30 Tage. Der Text einer zugestellten E-Mail wird sofort nach dem Versand entfernt. Empfänger, Zeitpunkt und Zustellstatus bleiben als Nachweis bestehen, bis die Aufbewahrung des Änderungsprotokolls abläuft; dasselbe gilt für die Rückmeldung des Mailservers zu einem Zustellversuch.
  • Audit-Protokoll: gemäß eingestellter Aufbewahrung, danach automatisch bereinigt. Es hält auch den vorherigen Wert eines geänderten Feldes — bei einer Anonymisierung werden diese Werte jedoch im selben Vorgang aus dem Protokoll entfernt, der Eintrag selbst bleibt als Nachweis bestehen.
  • Verschlüsselte Backups: 30 Tage.
  • Anonyme, aggregierte Zugriffsstatistik (ohne Personenbezug): ca. 13 Monate.

7. Rechte der betroffenen Personen

  • Auskunft (Art. 15 DSGVO)
  • Berichtigung (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch (Art. 21 DSGVO)
  • Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Beschwerderecht bei der zuständigen Aufsichtsbehörde (Berliner Beauftragte für Datenschutz und Informationsfreiheit). Kontakt für Betroffenenrechte: schliessfach@fv-kkg.de.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen.

8. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

9. Pflicht zur Bereitstellung der Daten

Für den Abschluss und die Durchführung des Schließfach-Mietvertrags ist die Bereitstellung von Name, Kontaktdaten sowie Kontoinhaber:in und IBAN erforderlich. Ohne diese Angaben kann der Vertrag nicht geschlossen bzw. der SEPA-Einzug nicht durchgeführt werden. Weitere Angaben (z. B. Telefon, Körpergröße) sind freiwillig.

10. Technische und organisatorische Maßnahmen (Auszug)

  • Transportverschlüsselung (TLS/HSTS)
  • Verschlüsselung der IBAN at rest
  • Verschlüsselte Backups
  • Rollenbasierte Zugriffskontrolle mit maskierter IBAN-Anzeige
  • Starke Passwort-Hashing-Verfahren (Argon2)
  • Brute-Force-Sperren bei Anmeldeversuchen
  • Append-only Audit-Log

Stand dieser Datenschutzerklärung: 13.09.2026.