Datenschutz

1. Verantwortliche Stelle

[ANBIETER_NAME fehlt – Umgebungsvariable setzen]
[ANBIETER_ANSCHRIFT fehlt – Umgebungsvariable setzen]
E-Mail: [ANBIETER_EMAIL fehlt – Umgebungsvariable setzen]

2. Zwei Rollen: Webseite und Kundenkonto – Daten der Kitas

Für diese Webseite, die Anmeldung und die Abrechnung sind wir Verantwortliche im Sinne der DSGVO. Die Dienstpläne, Abwesenheiten und Arbeitszeiten, die Einrichtungen in Kigaflex pflegen, verarbeiten wir dagegen nur im Auftrag der jeweiligen Einrichtung bzw. ihres Trägers (Auftragsverarbeitung nach Art. 28 DSGVO). Verantwortlich für diese Daten ist die Einrichtung; Grundlage ist der Vertrag über die Auftragsverarbeitung (AVV). Mitarbeitende einer Kita wenden sich mit Fragen zu ihren Daten bitte zuerst an ihre Einrichtung.

3. Aufruf der Webseite

Beim Aufruf verarbeitet der Server technisch notwendige Angaben (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser). Das dient dem sicheren Betrieb und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Protokolle mit IP-Adressen speichern wir nur so lange, wie es für diese Zwecke nötig ist. Schriftarten liegen auf unserem eigenen Server; es werden keine Inhalte von fremden Servern nachgeladen. Wir setzen keine Analyse- oder Werbewerkzeuge ein.

Hosting der Webseite: [ANBIETER_HOSTING fehlt – Umgebungsvariable setzen].

Hosting-Anbieter und Datenbank-Anbieter (Supabase Inc.) haben ihren Sitz in den USA; die Daten werden in Rechenzentren in Frankfurt am Main verarbeitet. Ein Zugriff aus den USA ist nicht völlig ausgeschlossen. Grundlage dafür sind das EU-US Data Privacy Framework bzw. die Standardvertragsklauseln der EU-Kommission (Art. 45, 46 DSGVO).

4. Cookies

Wir verwenden nur Cookies, die für die Anmeldung und die gewählte Sprache nötig sind (§ 25 Abs. 2 Nr. 2 TDDDG). Auf einem als „öffentlich“ markierten Gerät endet die Anmeldung beim Schließen des Browsers bzw. nach 30 Minuten ohne Nutzung. Es gibt keine Cookies zu Werbe- oder Analysezwecken; deshalb fragen wir auch nicht nach einer Einwilligung.

5. Kundenkonto und Anmeldung

Für ein Konto verarbeiten wir E-Mail-Adresse, Name der Einrichtung und des Trägers, Rollen sowie Angaben zur Anmeldung und zum zweiten Faktor (Art. 6 Abs. 1 lit. b DSGVO – Vertrag). Datenbank und Anmeldung laufen bei Supabase in der Region Frankfurt am Main (EU). Anmeldelinks und Einladungen versenden wir per E-Mail ([ANBIETER_EMAILVERSAND fehlt – Umgebungsvariable setzen]). E-Mails enthalten keine Dienstpläne und keine Gesundheitsangaben, nur Links in die App.

5a. Warteliste

Trägst du dich vor dem Start auf die Warteliste ein, speichern wir deine E-Mail-Adresse und – freiwillig – den Namen der Kita und das Bundesland, um dich über den Start zu informieren (Art. 6 Abs. 1 lit. a DSGVO, Einwilligung). Du kannst die Einwilligung jederzeit per E-Mail an uns widerrufen; dann löschen wir den Eintrag. Spätestens 12 Monate nach dem Eintrag löschen wir ihn automatisch.

6. Zahlung

Abos rechnen wir über Stripe ab (Stripe Payments Europe, Ltd., Dublin, Irland). Zahlungsdaten gibst du direkt bei Stripe ein; wir erhalten sie nicht. Wir speichern Kundennummer, Paket, Laufzeit und Zahlungsstand (Art. 6 Abs. 1 lit. b und c DSGVO). Rechnungsdaten bewahren wir nach den gesetzlichen Fristen auf (§ 147 AO, § 257 HGB). Stripe kann Daten auch in den USA verarbeiten; Grundlage sind die Standardvertragsklauseln der EU-Kommission bzw. das EU-US Data Privacy Framework.

7. Benachrichtigungen

Schaltest du Benachrichtigungen ein, speichern wir eine Kennung deines Geräts. Nachrichten werden Ende-zu-Ende verschlüsselt über den Push-Dienst deines Browsers bzw. Geräts zugestellt (zum Beispiel Apple, Google oder Mozilla); der Dienst sieht nur den Zeitpunkt, nicht den Inhalt. Ausschalten kannst du sie jederzeit in der App.

In den Apps für Android und iOS laufen Benachrichtigungen über Firebase Cloud Messaging (Google) bzw. den Apple Push Notification service. Dabei sind Titel und kurzer Text für den Dienst lesbar; sie enthalten keine Gesundheitsangaben. Beim Abmelden löschen wir die Gerätekennung. Die Apps speichern „Mein Plan“ und den Gesamtplan zuletzt geladen auf dem Gerät, damit du ihn auch ohne Netz lesen kannst; beim Abmelden wird dieser Speicher gelöscht.

8. Grundsätze für die Daten der Kitas

Keine Diagnosen – nur Art und Zeitraum von Abwesenheiten; nach außen erscheint Krankheit nur als „abwesend“. Keine Kinderdaten, nur Anzahlen. Keine Ortung bei der Zeiterfassung. Träger sehen keine Gesundheitsangaben und keine Profile von Mitarbeitenden. Wir werten keine Krankheitsmuster einzelner Personen aus.

9. Speicherdauer

Wir speichern Daten, solange das Konto besteht und es für den Zweck nötig ist. Nach Vertragsende löschen wir die Daten der Einrichtung nach den Regeln des AVV; gesetzliche Aufbewahrungsfristen gehen vor. Arbeitszeitnachweise bewahrt die Einrichtung mindestens zwei Jahre auf.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Wende dich dazu an die oben genannte Adresse. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel in dem Bundesland, in dem du wohnst oder arbeitest.