Datenschutzerklärung

Verantwortlich für die Datenverarbeitung ist die im Impressum genannte Organisation.

Bayan Kulturzentrum (BKZ) e.V., Im Liefeld 51, 40227 Düsseldorf

Anfragen zum Datenschutz richten Sie bitte an: ⁨bayan.kontakt@gmail.com⁩

• Schülerinnen und Schüler: Vor- und Nachname, Geburtsdatum, Geschlecht, Klassenzugehörigkeit, Unterrichtseinträge (Anwesenheit, auswendig gelernte und wiederholte Abschnitte, Bewertungen, Hausaufgaben, Anmerkungen der Lehrkräfte). Mit einem eigenen, nur lesenden Zugang zusätzlich E-Mail-Adresse und Anmeldedaten.
• Erziehungsberechtigte und Notfallkontakte: Name, Beziehung zum Kind, Telefonnummer und/oder E-Mail-Adresse sowie Datum und Fassung der Einwilligung. Bei einem eigenen Zugang zusätzlich die Anmeldedaten (E-Mail-Adresse, Passwort ausschließlich als nicht umkehrbarer Hash, Sprache) sowie die Bestätigung, eine Hausaufgabe gesehen zu haben.
• Lehrkräfte und Verwaltung: Name, E-Mail-Adresse, Rolle, Anmeldedaten (das Passwort ausschließlich als nicht umkehrbarer Hash).
• Technische Daten: IP-Adresse und Zeitpunkt bei Anmeldung und bei jeder Änderung oder jedem Aufruf von Schülerdaten (Protokoll), Sitzungskennung.

Begleitung des Qur'an-Unterrichts und des Lernfortschritts sowie Information der Erziehungsberechtigten — auf Grundlage der Einwilligung der Erziehungsberechtigten (Art. 6 Abs. 1 lit. a DSGVO) und zur Durchführung des Unterrichtsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Anmeldung neuer Schülerinnen und Schüler: Verarbeitung der von Erziehungsberechtigten übermittelten Angaben, um die Anmeldung zu prüfen und die Kinder einer Klasse zuzuordnen — zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der Erziehungsberechtigten (Art. 6 Abs. 1 lit. b DSGVO) und auf Grundlage ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Sicherheit und Nachvollziehbarkeit: Das Protokoll aller Änderungen und Aufrufe dient der Datensicherheit und der Rechenschaftspflicht (Art. 5 Abs. 2, Art. 32, Art. 6 Abs. 1 lit. c und f DSGVO).

Wir verwenden keine Werbung, keine Analyse- oder Tracking-Dienste und laden keine Schriftarten oder Skripte von fremden Servern.

Zugriff haben ausschließlich berechtigte Personen innerhalb der jeweiligen Schule: Lehrkräfte sehen nur die Schülerinnen und Schüler ihrer Klassen, Erziehungsberechtigte nur ihre eigenen Kinder. Technisch unterstützen uns Dienstleister für Hosting und Datenbank als Auftragsverarbeiter nach Art. 28 DSGVO; die Daten werden in Rechenzentren in der Europäischen Union (Frankfurt am Main) gespeichert. Für freiwillige Gerätemitteilungen wird zusätzlich der Push-Dienst Ihres Browsers genutzt; siehe unten.

Wenn Sie SumUp-Zahlungen wählen, verbindet sich Ihr Browser mit SumUp. SumUp verarbeitet Kartendaten und gegebenenfalls die Zustimmung zu wiederkehrenden Zahlungen. Bayan speichert Beträge, Status, Zahlungsreferenzen und für automatische Beiträge einen verschlüsselten Kartentoken, jedoch keine vollständige Kartennummer oder Prüfziffer. Kindname und Geburtsdatum werden nicht für den SumUp-Checkout übermittelt. Buchungshistorie bleibt bei Löschung des Unterrichtsprofils ohne dessen Namenszuordnung erhalten; der gespeicherte Kartentoken wird entfernt.

Die Anwendung läuft bei Netlify (Netlify, Inc., San Francisco, USA), die Datenbank bei Neon (Neon, Inc., USA) im Rechenzentrum Frankfurt am Main. Beide verarbeiten die Daten ausschließlich in unserem Auftrag; mit beiden bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Die Daten werden in der Europäischen Union gespeichert. Ein Zugriff der Anbieter aus den Vereinigten Staaten lässt sich technisch nicht vollständig ausschließen; Grundlage dafür sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Die Verbindungen sind durchgehend verschlüsselt.

Die Unterrichtseinträge bleiben während der Schulzugehörigkeit erhalten, damit der gesamte Lernweg nachvollziehbar ist. Beim Verlassen der Schule werden die Daten archiviert und auf Wunsch gelöscht; eine beantragte Löschung wird nach 30 Tagen unwiderruflich ausgeführt, personenbezogene Inhalte im Protokoll werden dabei geschwärzt. Anmeldesitzungen mit IP-Adresse und Browserangabe werden 30 Tage nach ihrem Ende gelöscht. Anmeldungen werden bis zur Entscheidung der Schule gespeichert; danach bleiben nur die Entscheidung und der Nachweis der Einwilligung erhalten. Datensicherungen werden 30 Tage aufbewahrt.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Zuständige Aufsichtsbehörde: ⁨Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, Telefon +49 211 38424-0, poststelle@ldi.nrw.de⁩

Für Fotos und für Nachrichten über WhatsApp oder SMS bitten wir um Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Beides ist freiwillig und keine Bedingung für die Aufnahme. Eine erteilte Einwilligung können Sie jederzeit unter „Profil“ widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt (Art. 7 Abs. 3 DSGVO).

Wir setzen nur technisch notwendige Cookies: ein Sitzungs-Cookie für die Anmeldung sowie Cookies für die gewählte Sprache und Darstellung. Einträge, die ohne Internetverbindung erfasst werden, bleiben bis zur Übertragung auf dem Gerät gespeichert und werden beim Abmelden entfernt. Hierfür ist keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG).

Gerätemitteilungen sind freiwillig und werden erst nach Ihrer Freigabe im Browser aktiviert. Dafür speichern wir die Push-Adresse und Verschlüsselungsschlüssel des Geräts, Ihre Sprache und die gewählten Mitteilungskategorien; auf dem Gerät wird die zugehörige Konto-ID gespeichert. Der Push-Dienst Ihres Browsers (z. B. Apple, Google, Mozilla oder Microsoft) vermittelt die verschlüsselten Mitteilungen und kann technische Verbindungsdaten verarbeiten, auch außerhalb der EU. Mitteilungen enthalten keine Namen von Kindern oder Aufgabendetails. Der Posteingang wird nach 90 Tagen bereinigt. Unter Mitteilungen können Sie Kategorien ändern oder dieses Gerät abmelden; auch beim Abmelden aus der App wird das Gerät abgemeldet. Andere Geräte bleiben davon unberührt.

Adhkar-Erinnerungen ohne Konto: Wenn Sie auf der Adhkar-Seite Erinnerungen einschalten, ohne angemeldet zu sein, speichern wir nur die Push-Adresse und die Verschlüsselungsschlüssel des Geräts, die gewählten Erinnerungen und einen Prüfwert (Hash) eines zufälligen Schlüssels, der allein auf Ihrem Gerät gespeichert ist. Namen, E-Mail-Adresse oder Standort speichern wir nicht; die Zeiten richten sich nach dem Standort des Zentrums in Düsseldorf. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können die Erinnerungen dort jederzeit ausschalten; die Daten werden dann sofort gelöscht. Wir löschen sie außerdem, wenn der Push-Dienst die Adresse als ungültig meldet oder die Adhkar-Seite auf dem Gerät zwölf Monate lang nicht geöffnet wurde.

Schülerinnen und Schüler können einen eigenen, nur lesenden Zugang erhalten, mit dem sie ausschließlich ihre eigene Seite sehen. Daten von Kindern werden nur mit Einwilligung der Erziehungsberechtigten gespeichert — schriftlich gegenüber der Schule oder bei der Anmeldung über diese Anwendung; Datum und Fassung der Einwilligung werden dokumentiert.

Die Schule kann Erziehungsberechtigten einen persönlichen Einladungslink für eine Klasse übergeben, etwa per WhatsApp, E-Mail oder als QR-Code. Über diesen Link legen Erziehungsberechtigte einen eigenen Zugang an (Name, E-Mail-Adresse, Passwort), übermitteln selbst die Angaben zu ihren Kindern (Vor- und Nachname, Geburtsdatum, Geschlecht) und auf Wunsch Notfallkontakte und erteilen ihre Einwilligung. Die Schule prüft die Anmeldung; erst mit ihrer Bestätigung werden die Kinder als Schülerinnen und Schüler angelegt und einer Klasse zugeordnet. Bei einer Ablehnung werden die übermittelten Angaben zu den Kindern gelöscht. Der Link ist 14 Tage gültig und nur einmal verwendbar; gespeichert wird nur ein nicht umkehrbarer Prüfwert (Hash) des Links.

Lehrkräfte können Erziehungsberechtigte über einen Link direkt in WhatsApp anschreiben. Die Anwendung übermittelt dabei selbst keine Daten an WhatsApp; erst beim Antippen öffnet sich WhatsApp auf dem Gerät der Lehrkraft und erhält die Telefonnummer. Für die weitere Verarbeitung ist WhatsApp (WhatsApp Ireland Ltd.) verantwortlich.

Zu einer Ankündigung kann ein Video gehören. Das Vorschaubild holt unser Server von YouTube und liefert es von unserer eigenen Adresse aus — beim Lesen der Seite entsteht also keine Verbindung zu Google. Erst wenn Sie auf „Abspielen“ drücken, wird der Player von youtube-nocookie.com geladen; dabei werden Ihre IP-Adresse und Angaben zu Ihrem Gerät an Google Ireland Ltd. übertragen. Rechtsgrundlage ist Ihre mit dem Klick erteilte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Die Gebetszeiten holt unser Server alle sechs Stunden von mawaqit.net. Ihr Browser verbindet sich nicht dorthin — die Betreiber jener Seite erfahren nicht, wer bei uns liest.

Für die Aufnahme benötigen wir den Namen und das Geburtsdatum des Kindes sowie eine Kontaktmöglichkeit zu einer erziehungsberechtigten Person. Ohne diese Angaben können wir den Unterrichtsvertrag nicht erfüllen; alle weiteren Angaben sind freiwillig.

Eine automatisierte Entscheidungsfindung oder ein Profiling nach Art. 22 DSGVO findet nicht statt.

Die Übertragung erfolgt verschlüsselt (TLS). Zugriffsrechte werden serverseitig und zusätzlich in der Datenbank durchgesetzt, jede Änderung wird protokolliert, und Schülerdaten können nicht versehentlich gelöscht werden.

Wir passen diese Hinweise an, wenn sich die Verarbeitung ändert. Maßgeblich ist die jeweils hier veröffentlichte Fassung.