Verträge & Datenschutzunterlagen

Anbieter ist Louis Helmle, Im Spöttfeld 60, 79365 Rheinhausen im Breisgau. Kunde ist die im Angebot bezeichnete Schule beziehungsweise ihr Träger. Das Angebot richtet sich ausschließlich an Unternehmer, öffentliche Stellen und Einrichtungen, nicht an Verbraucherinnen und Verbraucher.

Der Anbieter stellt dem Kunden educis Flow als betriebsbereite Webanwendung über das Internet zur Verfügung und betreibt die dafür nötige Infrastruktur. Ein Anspruch auf Überlassung des Quellcodes oder auf Installation auf eigenen Servern des Kunden besteht nicht.

Das Paket „Essential“ umfasst diese Module:

• Tickets — Defekte Beamer, klemmende Türen, offene Orga-Aufgaben: melden, zuweisen, kommentieren, abschließen — mit Nummer und Verlauf statt Zurufen im Flur.
• Buchungen — iPad-Koffer, Musikanlage, Fachräume verbindlich reservieren. Doppelbuchungen sind technisch ausgeschlossen, auch wenn zwei Personen gleichzeitig klicken.
• Kalender: Unterrichtsplanung — Klassenarbeiten, Tests, Konferenzen und Ausflüge an einer Stelle. Der Planungsassistent zeigt freie Termine je Klasse und warnt vor Häufungen — bevor der Termin steht.
• Kalender: Schul- und persönliche Termine — Alle schulweiten Termine in Monats-, Wochen- und Listenansicht, dazu persönliche Einträge, die nur Sie sehen. Ferien und Feiertage sind eingeblendet.
• Aufsichten — Pausenaufsichten als wiederkehrende Wochenpläne, Vertretungen inklusive. Jede Lehrkraft sieht ihre eigenen Aufsichten; der Gesamtplan lässt sich sauber ausdrucken.
• Infoboard — Das schwarze Brett der Schulleitung: Beiträge anheften, mit Ablaufdatum versehen und bei Bedarf Lesebestätigungen einsammeln.
• Aufgaben — Persönliche Listen und geteilte Listen für Fachschaften oder Projektgruppen, mit Fälligkeit, Zuständigkeit und Markierung überfälliger Aufgaben.

Unabhängig vom Paket und ohne Aufpreis enthalten sind: Verwaltungsbereich, CSV-Import, Stundenplan, Benachrichtigungen, Übersichtsseite.

Das Paket „Komplett“ umfasst zusätzlich die folgenden Module. Module, die als „in Entwicklung“ gekennzeichnet sind, werden im Laufe der Vertragslaufzeit ohne Aufpreis freigeschaltet; ein Anspruch auf einen bestimmten Fertigstellungstermin besteht nicht. Der Kunde kann den Vertrag außerordentlich kündigen, wenn ein bei Vertragsschluss als in Entwicklung ausgewiesenes Modul nicht innerhalb von zwölf Monaten bereitsteht; bereits gezahlte Beträge werden in diesem Fall zeitanteilig erstattet.

Stand heute ist kein Modul als „in Entwicklung“ gekennzeichnet — sämtliche hier aufgeführten Module sind in Betrieb.

• Sprechstunden — Elternsprechtage planen und Termine über einen geschützten Link buchen lassen — ohne Elternkonten und ohne Listen im Sekretariat.
• AG-Projekte — Arbeitsgemeinschaften ausschreiben, Schülerwünsche per Link oder QR-Code einsammeln und Plätze nach Wunschreihenfolge automatisch zuteilen.
• Lehrmittel — Bestand an Schulbüchern führen — Magazin und Bücher in Schülerhand getrennt — und daraus den Bedarf für das kommende Schuljahr samt Bestell-Liste rechnen.
• Dateiablage — Formulare, Protokolle und Konzepte an einem Ort — mit Ordnern, Papierkorb und einer Suche, die auch IM INHALT von PDF- und Word-Dateien findet. Auf dem eigenen Server, nicht bei einem Cloud-Anbieter.
• Lob & Preis — Zeugnislob und Fachpreise der Abschlussklassen: Die Klassenleitungen schlagen mit Begründung vor, die Konferenz beschließt, am Ende steht die Urkundenliste zum Drucken und als Tabelle.
• Formulare — Krankmeldung, Dienstreiseantrag, Raumänderung: Die Schulleitung legt die Felder fest, das Kollegium füllt aus, die zuständige Person sieht die Eingänge und hakt sie ab — mit Rückmeldung und CSV-Ausgabe.
• Materialien — Unterrichtsmaterial und Fachschaftssammlungen strukturiert bereitstellen und wiederfinden.
• Protokolle — Konferenz- und Sitzungsprotokolle erstellen, freigeben und dauerhaft auffindbar ablegen.
• Experten — Verzeichnis von Ansprechpersonen und außerschulischen Partnern für Projekte und Vorhaben.

Der Kunde erhält für die Vertragslaufzeit ein einfaches, nicht übertragbares und nicht unterlizenzierbares Recht, educis Flow für die Organisation des eigenen Schulbetriebs zu nutzen. Die Zahl der Benutzerkonten ist innerhalb der vereinbarten Größenstaffel nicht begrenzt.

Nicht gestattet sind insbesondere:

• die Überlassung der Anwendung an Dritte, etwa an andere Schulen, gegen Entgelt oder unentgeltlich
• das Weitergeben von Zugangsdaten an Personen außerhalb der eigenen Einrichtung
• automatisierte Zugriffe, systematisches Auslesen von Daten und Belastungstests ohne vorherige Abstimmung
• Versuche, Sicherheitsvorkehrungen zu umgehen oder auf Daten anderer Schulen zuzugreifen

Bei erheblichen oder wiederholten Verstößen kann der Anbieter den Zugang nach vorheriger Abmahnung sperren.

Für die Dateiablage gelten zwei Grenzen, die die Anwendung selbst durchsetzt: Eine einzelne Datei darf höchstens 25 MB groß sein, und das Speicherkontingent der Schule beträgt je nach Größenstaffel 5 GB (Staffel S) bis 40 GB (Staffel XL). Wird das Kontingent erreicht, weist die Anwendung weitere Uploads ab, bis die Schule Platz schafft; vorhandene Dateien bleiben zugänglich. Der Anbieter kann das Kontingent einer Schule auf Anfrage heraufsetzen.

Vor einem kostenpflichtigen Vertrag kann der Kunde educis Flow 30 Tage lang im Umfang des Pakets „Komplett“ unentgeltlich testen. Die Testphase endet automatisch; sie geht nicht in einen kostenpflichtigen Vertrag über. Zahlungsdaten werden dafür nicht erhoben. Daten, die während der Testphase erfasst wurden, bleiben bei einem anschließenden Vertragsschluss erhalten.

Es gelten die Preise der Preisübersicht. Maßgeblich ist die Zahl der aktiven Konten von Lehrkräften und Verwaltung bei Vertragsschluss. Als Kleinunternehmer im Sinne von § 19 UStG wird keine Umsatzsteuer berechnet. Die genannten Beträge sind Endpreise.

• Die Laufzeit beträgt wahlweise 12, 24 oder 36 Monate und beginnt mit der Freischaltung.
• Der Vertrag verlängert sich nicht automatisch. Der Anbieter erinnert 90, 60 und 30 Tage vor Ablauf an die auslaufende Laufzeit.
• Die Abrechnung erfolgt jährlich im Voraus per Rechnung. Das Zahlungsziel beträgt 30 Tage ab Rechnungsdatum.
• Bei Zahlungsverzug gelten die gesetzlichen Verzugszinsen nach § 288 Abs. 2 BGB. Der Anbieter kann den Zugang nach erfolgloser Mahnung mit einer Nachfrist von 14 Tagen sperren; die Daten bleiben dabei erhalten.
• Wächst das Kollegium während der Laufzeit in die nächste Größenstaffel, wird die Differenz erst zur nächsten Verlängerung berechnet.

Der Anbieter betreibt educis Flow mit der Sorgfalt eines ordentlichen Kaufmanns, sagt jedoch bewusst keine bestimmte Verfügbarkeitsquote zu. Planbare Wartungsarbeiten werden nach Möglichkeit außerhalb der Unterrichtszeiten durchgeführt und mindestens 48 Stunden vorher per E-Mail angekündigt.

Support erfolgt per E-Mail an info@educis.de. Anfragen werden innerhalb von zwei Werktagen beantwortet, Störungen des laufenden Betriebs vorrangig. Sicherheits- und Fehlerbehebungen sowie funktionale Weiterentwicklungen sind im Preis enthalten.

• Der Kunde benennt eine administrative Ansprechperson und hält deren Kontaktdaten aktuell.
• Der Kunde verwaltet die Konten seiner Einrichtung eigenverantwortlich und entzieht ausgeschiedenen Personen den Zugang.
• Der Kunde stellt sicher, dass die von ihm eingestellten Inhalte rechtmäßig sind und er zur Verarbeitung der eingegebenen personenbezogenen Daten berechtigt ist.
• Zugangsdaten sind vertraulich zu behandeln; ein Verdacht auf Missbrauch ist dem Anbieter unverzüglich mitzuteilen.

Hinsichtlich der Daten, die der Kunde in educis Flow verarbeitet, ist der Kunde Verantwortlicher und der Anbieter Auftragsverarbeiter. Vor Beginn der Verarbeitung schließen die Parteien den unter Teil 2 abgedruckten Vertrag zur Auftragsverarbeitung; er ist Bestandteil dieses Vertrags.

Der Anbieter gewährleistet, dass educis Flow die im Angebot beschriebene Beschaffenheit aufweist. Eine Gewähr für Fehlerfreiheit oder ununterbrochene Verfügbarkeit wird nicht übernommen; ebenso wenig für einen bestimmten wirtschaftlichen Erfolg.

Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei der Verletzung von Leben, Körper und Gesundheit sowie nach dem Produkthaftungsgesetz. Bei einfacher Fahrlässigkeit haftet er nur für die Verletzung wesentlicher Vertragspflichten und begrenzt auf den vertragstypischen, vorhersehbaren Schaden, höchstens jedoch auf die in den letzten zwölf Monaten gezahlte Lizenzgebühr. Wesentlich sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. Eine weitergehende Haftung ist ausgeschlossen.

Der Vertrag endet mit Ablauf der vereinbarten Laufzeit, ohne dass es einer Kündigung bedarf. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt für beide Seiten unberührt; ihr geht eine schriftliche Abmahnung mit einer Frist von 14 Tagen voraus, sofern der Grund behebbar ist.

Nach dem Ende der Laufzeit bleibt der Zugang noch 14 Tage lang lesend bestehen; Eingaben und Änderungen sind in dieser Zeit nicht mehr möglich. Danach wird der Zugang gesperrt. Eine abgelaufene Testphase endet ohne diese Frist. Die Daten bleiben in beiden Fällen erhalten — für ihre Löschung gilt der nächste Absatz.

Nach Vertragsende stellt der Anbieter dem Kunden 30 Tage lang einen Export seiner Daten in einem gängigen Format bereit. Danach werden sämtliche Daten des Kunden vollständig gelöscht.

Der Anbieter darf educis Flow weiterentwickeln, insbesondere um Sicherheitslücken zu schließen, Fehler zu beheben und Funktionen zu ergänzen. Entfällt eine für den Kunden wesentliche Funktion ersatzlos, wird der Anbieter dies drei Monate vorher ankündigen; der Kunde kann den Vertrag in diesem Fall zum Wirksamwerden der Änderung kündigen und erhält im Voraus gezahlte Beträge zeitanteilig zurück.

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist der Sitz des Anbieters, sofern der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist die Schule. Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist Louis Helmle. Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb von educis Flow für die Organisation des Schulbetriebs. Die Verarbeitung dauert an, solange der Lizenzvertrag besteht.

Verarbeitet werden je nach gebuchten Modulen: Stamm- und Kontaktdaten (Name, dienstliche E-Mail-Adresse, Kürzel, Rolle), Zuordnungen zu Klassen und Fächern, dienstliche Einsatzdaten aus dem Stundenplan (Tag, Stunde, Fach, Raum, Klasse), Nutzungs- und Protokolldaten sowie die fachlichen Inhalte der Module. Betroffen sind Lehrkräfte, Schulleitung und Verwaltungspersonal der Schule.

Hinzu kommen, sobald die Schule die entsprechenden Module bucht, weitere Kreise von Betroffenen:

• Schülerinnen und Schüler. Vor- und Nachname und die Klasse, an drei Stellen: bei der Anmeldung zu „AG-Projekte“ (dazu die Wunschreihenfolge und eine freiwillige Bemerkung), bei „Lob & Preis“ (dazu die Zeugnis- oder Fachnote und die Begründung des Vorschlags) und in Formularen, soweit die Schule dort entsprechende Felder vorsieht. Nicht erhoben werden Geburtsdatum, Anschrift, Kontaktdaten, Förderbedarf sowie Angaben zu Gesundheit, Herkunft oder Religion.
• Eltern und Erziehungsberechtigte bei Sprechstunden-Buchungen: Name, E-Mail-Adresse, Name und Klasse des Kindes, freiwillige Anmerkung.
• Personen außerhalb der Schule im Modul „Experten“: Organisation, Name und Funktion der Ansprechperson und dienstliche Kontaktdaten. Diese Personen haben dem Eintrag nicht zugestimmt; die Information nach Art. 14 DSGVO obliegt dem Verantwortlichen.

Ein durchgehendes Schülerverzeichnis führt educis Flow nicht: Die oben genannten Angaben entstehen je Vorgang und werden nach den Fristen in Ziffer 12 gelöscht. Eine Zusammenführung über Schuljahre hinweg findet nicht statt.

Ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, beurteilt der Verantwortliche; der Auftragsverarbeiter unterstützt ihn dabei nach Ziffer 9. Für die oben beschriebenen Verarbeitungen spricht der begrenzte Umfang dagegen — die Entscheidung trifft die Schule.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten der Lizenzvertrag, dieser Vertrag sowie die Konfiguration, die die Schule in der Anwendung selbst vornimmt. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen. Eine Verarbeitung der Daten des Verantwortlichen für Werbung, für Auswertungen über den Auftrag hinaus oder zum Training von Systemen künstlicher Intelligenz findet nicht statt.

Davon zu unterscheiden sind Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist; sie sind in Ziffer 4 abschließend benannt.

Vier Verarbeitungen betreibt der Anbieter nicht im Auftrag, sondern in eigener Verantwortung. Der Verantwortliche ist insoweit nicht weisungsbefugt; Rechte betroffener Personen richten sich für diese vier Zwecke an den Anbieter:

• Kundenverwaltung. Stammdaten der Schule, Ansprechperson, Lizenz- und Rechnungsdaten sowie eine interne Notiz des Anbieters zum Vertragsverhältnis.
• Vertragserinnerungen 90, 60 und 30 Tage vor Ablauf der Laufzeit; sie gehen zusätzlich an die Betriebsadresse des Anbieters.
• Fehlerreporting. Technische Fehlerkontexte laufen in eine vom Anbieter selbst betriebene Instanz auf demselben Server; personenbezogene Inhalte werden dabei nicht übertragen.
• Verfügbarkeitsprüfung und Alarmierung. Eine Abfrage der Zustandsseite alle fünf Minuten, ohne Bezug zu einzelnen Personen.

Einzelheiten dazu stehen in der Datenschutzerklärung, Abschnitt 3.

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet; die Verpflichtung wirkt über das Ende ihrer Tätigkeit hinaus. Zugang erhält ausschließlich, wer ihn zur Erbringung der Leistung benötigt.

Zugang zu den Fachdaten der Schule. Der Anbieter hat administrativen Zugang zum Server und damit technisch Zugriff auf die Datenbank. Über die Anwendung selbst kann er sich einen Zugang zur Schule nur in einem Fall verschaffen: bei der Erstinbetriebnahme. Hat die Schule bereits ein aktives Konto mit der Rolle „Schulleitung“, weist die Anwendung diesen Weg ab. Danach vergibt Zugänge ausschließlich die Schule selbst.

Wird der Weg beschritten, geschieht das nicht unbemerkt: Der Vorgang wird protokolliert, und jedes aktive Konto der Schule erhält eine Mitteilung, die sich nicht abschalten lässt. Der ausgestellte Zugangscode ist höchstens 14 Tage gültig.

Für die laufende Fehlersuche gilt: Der Anbieter greift auf Inhalte nur zu, soweit es zur Erfüllung der Leistung erforderlich ist, und dokumentiert dies. Ein Zugriff auf Coachingakten findet dabei nicht statt.

Der Auftragsverarbeiter trifft die in Teil 3 aufgeführten Maßnahmen nach Art. 32 DSGVO und hält sie während der gesamten Vertragslaufzeit aufrecht. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

Der Verantwortliche stimmt dem Einsatz der nachfolgend genannten Unterauftragsverarbeiter zu. Weitere Unterauftragnehmer werden mindestens 30 Tage vor ihrem Einsatz angekündigt; der Verantwortliche kann widersprechen und den Vertrag bei begründetem Widerspruch außerordentlich kündigen.

Die Verarbeitung findet ausschließlich in Deutschland statt. Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nicht und bedürfte der vorherigen schriftlichen Zustimmung des Verantwortlichen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO sowie bei Datenschutz-Folgenabschätzungen und der Meldung von Verletzungen des Schutzes personenbezogener Daten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst.

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens 24 Stunden nach Kenntnis, mit einer Beschreibung der Art der Verletzung, der betroffenen Datenkategorien, der wahrscheinlichen Folgen und der ergriffenen Gegenmaßnahmen.

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach, insbesondere durch Vorlage der aktuellen Maßnahmenliste. Der Verantwortliche kann sich nach angemessener Vorankündigung von der Einhaltung überzeugen; die Kontrolle erfolgt so, dass der Betrieb nicht unangemessen beeinträchtigt wird und die Daten anderer Kunden geschützt bleiben.

Nach Ende des Vertrags stellt der Auftragsverarbeiter dem Verantwortlichen 30 Tage lang einen Export der Daten bereit und löscht anschließend sämtliche Daten einschließlich vorhandener Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung erfolgt automatisch; sie setzt keine Anforderung des Verantwortlichen voraus. Aus den Sicherungen verschwinden die Daten mit deren 30-tägiger Rotation, also spätestens 60 Tage nach Vertragsende. Die Löschung wird auf Verlangen bestätigt.

• Die Server stehen in zertifizierten Rechenzentren der IONOS SE in Deutschland; physischen Zutritt gewährt ausschließlich der Betreiber des Rechenzentrums.
• Der administrative Zugang zum Server erfolgt ausschließlich über SSH mit Schlüsselpaaren; die Anmeldung mit Passwort ist abgeschaltet.
• Eine Firewall gibt nur die benötigten Ports frei; Datenbank, Zwischenspeicher und Anwendung sind von außen nicht erreichbar.
• Die Anwendung verbindet sich mit einem eigenen, unprivilegierten Datenbankkonto ohne Recht, die Zeilenfilterung zu umgehen.

• Passwörter werden ausschließlich als Argon2id-Hash gespeichert, niemals im Klartext.
• Neue Konten entstehen nur über Einladungscodes mit hoher Entropie, die einmalig gültig sind, ablaufen und ebenfalls nur als Hash gespeichert werden; die Freischaltung erfordert die Bestätigung der E-Mail-Adresse.
• Sitzungen laufen über httpOnly-, Secure- und SameSite-Cookies mit serverseitiger Gültigkeitsprüfung; Abmelden auf allen Geräten ist jederzeit möglich.
• Fehlgeschlagene Anmeldeversuche werden je Konto und je IP-Adresse gezählt und nach fünf Versuchen für 15 Minuten gesperrt.
• Besonders sensible Vorgänge verlangen eine zweite Stufe: Der Datenexport der Schule, der Coaching-Export und die Freigabe eines vertraulichen Ordners setzen einen Code voraus, der an die hinterlegte dienstliche E-Mail-Adresse geht. Das ist ein zweiter Faktor — er verlangt Zugriff auf ein anderes Konto, nicht nur die Kenntnis desselben Passworts.
• Rollen (Lehrkraft, Schulverwaltung, Betreiber) steuern jeden Zugriff; die Prüfung erfolgt serverseitig an jeder Schnittstelle, nicht nur in der Oberfläche.

• Jeder Datensatz trägt die Kennung seiner Schule; jede Schnittstelle prüft die Zugehörigkeit.
• Zusätzlich erzwingt die Datenbank die Trennung selbst über Row-Level-Security. Ein Programmfehler allein kann daher keinen Zugriff auf die Daten einer anderen Schule öffnen.
• Die Wirksamkeit dieser Trennung wird mit einem Prüfskript gegen die Datenbank nachgewiesen, das auch verbotene Schreibzugriffe testet.

• Alle Verbindungen laufen über HTTPS mit TLS 1.3; unverschlüsselte Aufrufe werden umgeleitet und per HSTS für die Zukunft ausgeschlossen.
• Die interne Kommunikation zwischen Anwendung, Datenbank und Zwischenspeicher verlässt das private Container-Netz nicht.

• Ändernde Vorgänge werden mit Benutzerkennung, Aktion, betroffenem Datensatz und Zeitstempel protokolliert.
• Sämtliche Eingaben werden serverseitig gegen ein festes Schema geprüft; auf die Prüfung im Browser allein wird nie vertraut.
• Datenbankzugriffe erfolgen ausschließlich parametrisiert über eine Abfrageschicht, wodurch Einschleusung von SQL ausgeschlossen ist.
• Vorgänge mit Konfliktpotenzial, etwa Reservierungen und fortlaufende Nummern, laufen transaktional und gegen gleichzeitige Zugriffe abgesichert.

• Eine strikte Content-Security-Policy ohne eingebettete Fremdinhalte verhindert das Ausführen fremder Skripte.
• Schreibende Anfragen von fremden Ursprüngen werden abgewiesen; zusammen mit SameSite-Cookies bestehen damit zwei unabhängige Schutzebenen gegen Cross-Site-Request-Forgery.
• Die Einbettung in fremde Seiten ist unterbunden, MIME-Typ-Erkennung abgeschaltet und die Weitergabe von Adressen an Dritte über die Referrer-Policy eingeschränkt.
• Es werden keine externen Inhalte geladen: Schriftarten, Symbole und Skripte liegen auf dem eigenen Server. Es gibt keine Analysedienste, keine Werbenetzwerke und keine Inhalte aus Drittländern. Die verwendete Schrift „Inter" steht unter der SIL Open Font License 1.1; der Lizenztext liegt unter /schriften/OFL.txt.

• Anwendung, Datenbank und Zwischenspeicher laufen als getrennte Container mit Zustandsprüfung und automatischem Neustart.
• Die Datenbank wird täglich gesichert; die Sicherungen sind verschlüsselt und werden 30 Tage aufbewahrt. Ein fehlgeschlagener Sicherungslauf löst eine E-Mail an den Betreiber aus.
• Verfügbarkeit und Fehler werden laufend überwacht; Störungen lösen eine Benachrichtigung aus.
• Die Anwendung stellt einen Zustandsendpunkt bereit, über den der Betrieb geprüft wird.

• Zugriff auf Produktionssysteme hat ausschließlich der Betreiber; Zugangsdaten werden in einem Passwortmanager verwaltet.
• Abhängigkeiten werden regelmäßig auf bekannte Schwachstellen geprüft; sicherheitsrelevante Aktualisierungen werden vorrangig eingespielt.
• Vor jeder Auslieferung laufen automatisierte Prüfungen von Codequalität und Typsicherheit.
• Der Quellcode wird versioniert; jede Änderung ist nachvollziehbar einer Person und einem Zeitpunkt zugeordnet.
• Ein Verzeichnis von Verarbeitungstätigkeiten wird geführt und bei neuen Modulen fortgeschrieben.

• Ausgeschiedene Personen werden deaktiviert: Ihr Zugang endet sofort und alle laufenden Sitzungen werden beendet, ihre Beiträge bleiben aber zuordenbar. Die Kontozeile selbst wird nicht gelöscht, solange Vorgänge an ihr hängen — sie verschwindet mit den Daten der Schule am Ende des Vertrags. Personenbezogene Angaben eines Kontos berichtigt die Schulleitung im Verwaltungsbereich.
• Änderungsprotokolle werden nach zwölf Monaten automatisch gelöscht.
• Daten von Schülerinnen und Schülern werden automatisch gelöscht: AG-Anmeldungen 30 Tage nach dem Ende der Wahlrunde, Sprechstunden-Buchungen 30 Tage nach dem Termin, Vorschläge und Urkundenlisten aus „Lob & Preis“ zum Ende des Schuljahres, in dem der Durchgang angelegt wurde. Auf Verlangen jederzeit sofort.
• Die Protokolle der Anwendungs- und Datenbankdienste werden nach spätestens 14 Tagen gelöscht. Das Zugriffsprotokoll des vorgelagerten Reverse Proxy (Adresse, Pfad, Zeitpunkt) unterliegt dieser Frist derzeit nicht; es wird nicht ausgewertet und ist als offener Punkt dokumentiert.
• Nach Vertragsende werden alle Daten der Schule nach einer Übergangsfrist von 30 Tagen vollständig gelöscht — automatisch, ohne dass die Schule die Löschung verlangen müsste.