Datenschutzerklärung

1. Verantwortlicher

2. Verantwortlichkeit bei Schulzugängen

Bei Konten, die eine Schule für ihre Lehrkräfte oder Schüler anlegt, entscheidet regelmäßig die Schule über Zweck und Umfang der Verarbeitung der Schul-, Klassen- und Lerndaten. Die Schule ist dann datenschutzrechtlich Verantwortliche und PRACTit! verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO.

Für den technischen Betrieb, die IT-Sicherheit, die Abrechnung, eigene Supportvorgänge und die hier beschriebene datensparsame Gaststatistik ist PRACTit! selbst verantwortlich. Auskünfte zu schulischen Konten können auch über die zuständige Schule oder Lehrkraft angefragt werden.

Informationen zum Vertrag und zur Anforderung finden Schulen auf der Seite AVV für Schulen.

3. Aufruf der Website und Hosting

Beim Aufruf von musikfit.de werden technisch notwendige Verbindungsdaten verarbeitet. Dazu können IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, Referrer sowie Angaben zu Browser, Betriebssystem und Gerät gehören. Diese Daten werden benötigt, um die Website auszuliefern, Fehler zu erkennen und Angriffe abzuwehren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb der Plattform. Technische Protokolldaten werden gelöscht oder anonymisiert, sobald sie für Betrieb und Sicherheit nicht mehr erforderlich sind. Bei einem Sicherheitsvorfall können betroffene Daten bis zur Aufklärung und Durchsetzung von Ansprüchen länger aufbewahrt werden.

Die Webanwendung wird über Vercel Inc. bereitgestellt. Vercel betreibt ein weltweites Auslieferungsnetz und kann Verbindungs- und Nutzungsdaten auch außerhalb der EU bzw. des EWR verarbeiten.

4. Nutzung ohne Konto und anonyme Statistik

Ohne Anmeldung speichern wir keine persönlichen Übungsergebnisse, Antworten, Lernstände oder Musikfit-Punkte. Zur Verbesserung des Angebots zählen wir Seitenaufrufe sowie Starts und Abschlüsse einzelner Übungen.

Für diese Statistik liest Musikfit weder die IP-Adresse noch eine Browserkennung aus. Es werden keine Besucherprofile, Fingerabdrücke, Cookies oder vergleichbaren Kennungen gebildet. Gespeichert werden nur nach Tag und Übung zusammengefasste Zählwerte. Deshalb können wir weder einzelne Personen noch wiederkehrende Besuche erkennen.

Die technisch notwendige Verarbeitung von Verbindungsdaten durch den Hosting-Anbieter beim Ausliefern der Website bleibt davon unberührt und ist in Abschnitt 3 beschrieben.

5. Schul-, Benutzer- und Profildaten

Für Schulzugänge können insbesondere folgende Daten verarbeitet werden:

• Schule, Schulcode, Klassen und Rollenzuordnungen,
• Vor- und Nachname, interner Benutzername und gegebenenfalls E-Mail-Adresse,
• öffentlicher Benutzername und Avatar-Einstellungen,
• Status des Kontos und notwendige Passwortwechsel,
• zugewiesene Hausaufgaben und Abgabefristen,
• bearbeitete Übungen, Ergebnisse, Punkte, Fortschritt und letzte Aktivität,
• Passwort-Zurücksetzungsanfragen.

Diese Daten dienen der Einrichtung und Verwaltung der Konten, der Bereitstellung von Übungen und Hausaufgaben sowie der Anzeige von Lernständen für die jeweils berechtigten Personen. Rechtsgrundlage ist, abhängig vom jeweiligen Verhältnis, Art. 6 Abs. 1 lit. b DSGVO oder die von der Schule mitgeteilte Rechtsgrundlage. Für Sicherheit und Missbrauchsschutz gilt ergänzend Art. 6 Abs. 1 lit. f DSGVO.

Lehrkräfte und Schulverwaltungen sehen den von der Schule hinterlegten Vor- und Nachnamen. Mitschüler sehen nur dort, wo eine gemeinsame Funktion dies vorsieht, den gewählten öffentlichen Benutzernamen und den Avatar. Klartextpasswörter werden nicht dauerhaft angezeigt; wir haben keinen Zugriff auf selbst gewählte Klartextpasswörter.

6. Anmeldung und lokale Speicherung im Browser

Die Anmeldung und Sitzungsverwaltung erfolgt über Supabase Auth. Damit angemeldete Personen eingeloggt bleiben und die ausdrücklich gewünschten Funktionen nutzen können, werden notwendige Sitzungsinformationen im Browser gespeichert. Zusätzlich kann Musikfit vorübergehend Darstellungs- und Navigationszustände im lokalen oder sitzungsbezogenen Browserspeicher ablegen.

Diese Speicherzugriffe sind für den angeforderten Dienst erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Musikfit setzt derzeit keine Werbe- oder Tracking-Cookies ein. Werden künftig nicht notwendige Analyse-, Werbe- oder Drittinhalte ergänzt, werden diese erst nach erforderlicher Einwilligung aktiviert und diese Erklärung wird angepasst.

7. Support und Kommunikation

Bei einer Supportanfrage verarbeiten wir Name, E-Mail-Adresse, Kategorie, Betreff, Nachricht und gegebenenfalls die zugehörige Benutzerkennung. Zweck ist die Bearbeitung und Dokumentation der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage einen Vertrag betrifft, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die sachgerechte Bearbeitung von Fragen, Rückmeldungen und Störungen.

Supportdaten werden gelöscht, wenn die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungs- oder Nachweispflichten mehr bestehen. Übliche Anfragen bewahren wir höchstens drei Jahre nach der letzten Kommunikation auf.

8. Fehler- und Sicherheitsprotokolle

Bei technischen Fehlern können Fehlerart, gekürzte Fehlermeldung, betroffener Seitenpfad und ein technischer Fehler-Prüfwert gespeichert werden. E-Mail-Adressen, lange Kennungen, Tokens und vollständige externe Adressen werden vor der Speicherung automatisiert entfernt oder gekürzt. Formulareingaben und Übungsantworten sind nicht Bestandteil dieses Fehlerberichts.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zur Fehlerbehebung, IT-Sicherheit und Vermeidung wiederkehrender Störungen. Einträge werden nach Behebung und Ablauf einer angemessenen Beobachtungsfrist gelöscht oder so zusammengefasst, dass kein Personenbezug mehr besteht.

9. Bestellung und Zahlung

Bei der Bestellung eines Schulpakets verarbeiten wir Schulname, Rechnungs-E-Mail-Adresse, Name und E-Mail-Adresse des administrativen Kontakts, gewähltes Paket, Bestellstatus und technische Transaktionskennungen. Rechnungsadresse und Zahlungsdaten werden im anschließenden Checkout direkt durch Stripe verarbeitet. Musikfit erhält keine vollständigen Kreditkartendaten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für handels- und steuerrechtlich erforderliche Unterlagen zusätzlich Art. 6 Abs. 1 lit. c DSGVO. Zahlungs- und Buchungsunterlagen werden nach den gesetzlichen Aufbewahrungsfristen gelöscht.

10. Dienstleister und Empfänger

Wir setzen Dienstleister ein, die Daten nur nach Vertrag, Weisung oder aufgrund eigener gesetzlicher Verantwortung verarbeiten. Dazu gehören:

Daneben können Daten an Behörden, Gerichte oder andere Stellen übermittelt werden, wenn wir hierzu gesetzlich verpflichtet sind oder dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

11. Übermittlungen in Drittländer

Einzelne Dienstleister oder deren Unterauftragnehmer können Daten in den USA oder anderen Staaten außerhalb der EU bzw. des EWR verarbeiten. In diesen Fällen stützen wir die Übermittlung auf einen Angemessenheitsbeschluss, insbesondere das EU-U.S. Data Privacy Framework für zertifizierte Unternehmen, oder auf die Standardvertragsklauseln der Europäischen Kommission und ergänzende Schutzmaßnahmen, soweit erforderlich.

12. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck erforderlich sind. Schul- und Kontodaten werden nach Beendigung des Zugangs auf Weisung der verantwortlichen Schule gelöscht oder zurückgegeben, soweit keine gesetzlichen Pflichten oder berechtigte Nachweisinteressen entgegenstehen. Lernstände und Hausaufgabendaten folgen grundsätzlich der Laufzeit des zugehörigen Schul- oder Benutzerkontos.

In Sicherungskopien können gelöschte Daten bis zum planmäßigen Überschreiben verbleiben; sie werden in dieser Zeit nicht für andere Zwecke genutzt. Gesetzlich aufbewahrungspflichtige Geschäftsunterlagen werden für die jeweils vorgeschriebene Dauer gesperrt aufbewahrt.

13. Minderjährige

Musikfit ist für den Einsatz im Musikunterricht konzipiert. Schulische Konten werden durch berechtigte Schulen oder Lehrkräfte eingerichtet. Die Schule stellt sicher, dass für die Verarbeitung der Daten Minderjähriger eine tragfähige Rechtsgrundlage besteht und notwendige Informationen an Schüler und Erziehungsberechtigte erteilt werden. Musikfit verlangt von Schülern keine private E-Mail-Adresse.

14. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO insbesondere das Recht auf:

• Auskunft über ihre personenbezogenen Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft.

Anfragen können an kontakt@musikfit.degerichtet werden. Bei einem schulischen Konto kann auch die zuständige Schule angesprochen werden. Zur Vermeidung einer unbefugten Herausgabe können wir einen Identitätsnachweis verlangen.

Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für uns ist grundsätzlich das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, zuständig: Online-Beschwerde beim BayLDA.

15. Automatisierte Entscheidungen

Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung und kein Profiling zu Werbezwecken statt. Automatische Übungsauswertungen dienen ausschließlich dem Lernfeedback und ersetzen keine Entscheidung einer Lehrkraft.

16. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Bei wesentlichen Änderungen werden angemeldete Personen beziehungsweise Schulen in geeigneter Weise informiert.