←Zurück zur An-Nasîhah SchuleStundenplan, Anmeldung & alles zur Schul-App🏫
Datenschutzerklärung
für die „An-Nasîhah Schule App“
das sogenannte deutsche Gesetz besagt:
Stand: 07. Oktober 2026
1. Verantwortlicher
Verein für Kultur und Bildung e. V.
Stuttgarter Str. 60 a, 70469 Stuttgart
E-Mail:
Vertreten durch den vertretungsberechtigten Vorstand.
Der Verein entscheidet über Zwecke und wesentliche Mittel der Verarbeitung und ist daher grundsätzlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.
2. Datenschutzkontakt
Datenschutzanfragen können an
3. Rolle der technischen Entwicklerin/des technischen Entwicklers
Die App wurde im Auftrag des Vereins entwickelt. Die entwickelnde Person ist nicht allein deshalb datenschutzrechtlich Verantwortliche. Soweit sie im laufenden Betrieb auf personenbezogene Daten zugreift, darf dies ausschließlich auf dokumentierte Weisung, im erforderlichen Umfang und auf Grundlage einer Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO erfolgen. Verarbeitet sie Daten für eigene Zwecke oder entscheidet selbst über wesentliche Mittel, kann eine eigene oder gemeinsame Verantwortlichkeit entstehen.
4. Zwecke und Rechtsgrundlagen
Wir verarbeiten personenbezogene Daten insbesondere für folgende Zwecke:
- Einrichtung und Verwaltung von Nutzerkonten und Berechtigungen;
- Durchführung des Schul-, Bildungs- und Nutzungsverhältnisses;
- Bereitstellung von Stundenplänen, Aufgaben, Lernmaterialien und Mitteilungen;
- schulinterne Kommunikation und Dateiaustausch;
- IT-Sicherheit, Fehleranalyse, Missbrauchsabwehr und Protokollierung;
- Erfüllung gesetzlicher Nachweis-, Schutz- und Aufbewahrungspflichten;
- freiwillige Zusatzfunktionen, soweit hierfür eine wirksame Einwilligung erteilt wurde.
Rechtsgrundlagen sind – je nach Verarbeitung – Art. 6 Abs. 1 Buchst. b DSGVO (Durchführung des Schul-, Bildungs- oder Nutzungsverhältnisses), Art. 6 Abs. 1 Buchst. c DSGVO (rechtliche Verpflichtungen), Art. 6 Abs. 1 Buchst. f DSGVO (berechtigte Interessen an einem sicheren und geordneten App-Betrieb) sowie Art. 6 Abs. 1 Buchst. a und Art. 7 DSGVO (freiwillige Einwilligung).
Art. 6 Abs. 1 Buchst. e DSGVO wird nur herangezogen, wenn der Verein im konkreten Fall eine gesetzlich übertragene Aufgabe im öffentlichen Interesse erfüllt und hierfür eine tragfähige nationale Rechtsgrundlage besteht.
Soweit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden, ist zusätzlich eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO erforderlich. Solche Daten sollen über den Messenger grundsätzlich nicht übermittelt werden, sofern dies nicht ausdrücklich vorgesehen und rechtlich abgesichert ist.
5. Kategorien verarbeiteter Daten
Wir verarbeiten insbesondere die folgenden Datenkategorien:
- Stammdaten: Name, Rolle, Klasse, Benutzerkennung und ggf. Kontaktdaten;
- Kontodaten: E-Mail-Adresse, Authentifizierungsdaten, Berechtigungen und Anmeldestatus;
- Schul- und Organisationsdaten: Stundenpläne, Aufgaben, Materialien, Mitteilungen und Zuordnungen;
- Kommunikationsdaten: Absender, Empfänger, Inhalte, Anhänge und Zeitstempel;
- Inhaltsdaten: freiwillig hochgeladene Dokumente, Bilder und sonstige Dateien;
- Technische Daten: IP-Adresse, Geräte- und Browserinformationen, App-Version, Zeitpunkte, Sicherheits- und Fehlerprotokolle;
- Einwilligungs- und Nachweisdaten.
6. Registrierung und Authentifizierung
Für die Anmeldung werden insbesondere E-Mail-Adresse bzw. Nutzerkennung, eine technische Nutzer-ID, Authentifizierungsinformationen und Anmeldezeitpunkte verarbeitet. Passwörter werden nicht im Klartext gespeichert. Der Zugriff wird rollen- und berechtigungsbasiert beschränkt.
6.1 Minderjährige
Die App richtet sich an Schülerinnen und Schüler der An-Nasîhah Schule und damit auch an Minderjährige. Zugänge für Minderjährige werden über die Schule oder die Erziehungsberechtigten eingerichtet.
Die für den Schulbetrieb notwendigen Funktionen beruhen nicht auf einer freiwilligen Einwilligung, sondern auf den in Ziffer 4 genannten Rechtsgrundlagen.
Soweit eine Verarbeitung im Zusammenhang mit einem direkt an ein Kind gerichteten Dienst der Informationsgesellschaft auf einer freiwilligen Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO beruht, gilt Art. 8 DSGVO: Hat das Kind das 16. Lebensjahr noch nicht vollendet, muss die Einwilligung durch die Träger der elterlichen Verantwortung erteilt oder von ihnen genehmigt werden. Ab Vollendung des 16. Lebensjahres kann die oder der Minderjährige diese Einwilligung selbst erteilen. Der Verein kann bei jüngeren Schülerinnen und Schülern zusätzlich eine altersgerechte Beteiligung oder Mitunterzeichnung vorsehen. Einzelheiten regelt das Formular „Nutzungsordnung und freiwillige Einwilligungen“.
7. Messenger
Der Messenger verarbeitet Absender, Empfänger, Nachrichten, Anhänge, Zeitstempel und technische Zustellinformationen. Er ist nicht Ende-zu-Ende verschlüsselt. Die Übertragung erfolgt verschlüsselt; Inhalte werden auf dem eigenen Server des Vereins in Deutschland gespeichert und sind im Rahmen des Berechtigungskonzepts technisch zugänglich.
Administrativer Inhaltszugriff erfolgt nicht anlasslos, sondern nur bei dokumentiertem Bedarf, etwa zur Bearbeitung konkreter Meldungen, IT-Sicherheit, Rechtsdurchsetzung, Fehlerbehebung oder Gefahrenabwehr. Berechtigungen sind regelmäßig zu prüfen.
8. Hosting und Speicherung bei Hetzner
Die App wird auf einem dedizierten Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben. Der Server steht in einem Rechenzentrum in Falkenstein. Mit Hetzner besteht eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO.
Datenbank (PostgreSQL) und Dateispeicher (MinIO) werden vom Verein selbst auf diesem Server betrieben. Für die Speicherung von Schul-, Kommunikations- und Inhaltsdaten werden keine Cloud-Dienste Dritter eingesetzt. Insbesondere werden Firebase, Cloud Firestore, Firebase Realtime Database, Google Cloud Storage und vergleichbare Dienste nicht zur Speicherung dieser Daten verwendet.
Die Verbindung zwischen App und Server erfolgt ausschließlich verschlüsselt (TLS). Beim Zugriff fallen technische Verbindungsdaten einschließlich der IP-Adresse an; sie werden zur Bereitstellung und zur Abwehr von Angriffen verarbeitet und nach Ziffer 13 gelöscht.
9. Empfänger und Zugriffsberechtigte
Empfänger personenbezogener Daten sind insbesondere:
- autorisierte Lehrkräfte, Mitarbeitende und Verwaltungsstellen des Vereins nach Rollen- und Berechtigungskonzept;
- andere Nutzerinnen und Nutzer, soweit dies für die jeweilige Kommunikations- oder Freigabefunktion vorgesehen ist;
- Hetzner Online GmbH als Hosting-Auftragsverarbeiter nach Art. 28 DSGVO;
- Google Ireland Limited und ggf. verbundene Google-Unternehmen ausschließlich soweit Firebase Cloud Messaging für Push-Benachrichtigungen eingesetzt wird;
- Apple Inc. bzw. verbundene Unternehmen, soweit auf Apple-Geräten der Apple Push Notification Service zur Zustellung von Push-Benachrichtigungen technisch beteiligt ist;
- beauftragte IT- und Supportdienstleister auf Grundlage einer Vereinbarung nach Art. 28 DSGVO, soweit sie tatsächlich Zugriff auf personenbezogene Daten erhalten;
- Behörden, Gerichte oder sonstige Stellen, wenn eine gesetzliche Pflicht besteht oder dies zur Rechtsverteidigung erforderlich ist.
Eine Nutzung personenbezogener Daten für personalisierte Werbung oder ein Verkauf personenbezogener Daten findet nicht statt.
10. Drittlandübermittlungen
Die Schul- und Kommunikationsdaten werden ausschließlich auf einem Server in Deutschland verarbeitet. Eine Übermittlung in Drittländer findet nur im Rahmen der Push-Benachrichtigungen statt.
Für Push-Benachrichtigungen wird Firebase Cloud Messaging eingesetzt. Dabei können technische Push-Kennungen und Metadaten durch Google verarbeitet werden; bei Apple-Geräten wird die Zustellung technisch über den Apple Push Notification Service abgewickelt. Je nach beteiligtem Unternehmen kann dabei eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden. Soweit erforderlich, stützen wir solche Übermittlungen auf die jeweils anwendbaren Garantien nach Kapitel V DSGVO, insbesondere einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO.
11. Push-Benachrichtigungen
Für den Versand von Mitteilungen, etwa zu Stundenplanänderungen oder neuen Nachrichten, wird Firebase Cloud Messaging (FCM) eingesetzt. Hierfür werden insbesondere Push-Tokens bzw. Gerätekennungen und technische Metadaten verarbeitet. Auf Apple-Geräten erfolgt die Zustellung über die FCM-APNs-Schnittstelle und damit unter Beteiligung des Apple Push Notification Service.
Schul-, Kommunikations- und Inhaltsdaten werden nicht dauerhaft bei Firebase gespeichert. Die App verwendet Firebase ausschließlich für die technische Zustellung von Push-Benachrichtigungen. Push-Tokens werden entfernt, wenn das Nutzerkonto gelöscht oder die Push-Funktion deaktiviert wird.
12. Fehler- und Absturzberichte
Zur Erkennung von Programmfehlern setzen wir GlitchTip ein, das auf demselben Server in Deutschland betrieben wird. Ein externer Dienstleister ist nicht beteiligt.
Übermittelt werden ausschließlich App-Version, Gerätetyp, Betriebssystemversion und der technische Fehlerbericht. IP-Adressen, Bildschirmaufnahmen, Bildschirminhalte und Nutzerdaten werden nicht an GlitchTip übertragen. Die Fehlerberichte werden nach 90 Tagen automatisch gelöscht.
Eine Analyse des Nutzungsverhaltens findet nicht statt. Analyse- oder Tracking-Dienste wie Google Analytics oder Firebase Crashlytics werden nicht eingesetzt.
13. Speicherdauer und Löschkonzept
Personenbezogene Daten werden nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Pflichten bestehen. Es gelten insbesondere folgende Fristen bzw. Löschregeln:
- Nutzerkonto und Stammdaten: nach Anforderung der Kontolöschung gemäß Ziffer 16.1; im Übrigen nach Ende der Berechtigung innerhalb der vom Verein festgelegten Löschfrist;
- Messenger-Nachrichten: nach der vom Verein festgelegten Löschfrist oder früher bei Zweckfortfall, soweit keine Aufbewahrung erforderlich ist;
- Dateien und Unterrichtsmaterialien: bis zum Zweckfortfall bzw. nach der hierfür festgelegten Löschfrist;
- Sicherheits- und Zugriffsprotokolle: nach der hierfür festgelegten technischen Löschfrist;
- Fehler- und Absturzberichte in GlitchTip: 90 Tage;
- Backups: nach dem turnusmäßigen Sicherungs- und Löschkonzept des Vereins;
- Einwilligungsnachweise: für die Dauer der Einwilligung und anschließend, soweit erforderlich, bis zum Ablauf einschlägiger Nachweis- oder Verjährungsfristen.
Daten, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden, können bis zum Abschluss des jeweiligen Vorgangs gesperrt aufbewahrt werden.
14. Zugriff auf Endgeräte
Technisch unbedingt erforderliche Speicherungen und Zugriffe auf dem Endgerät, etwa Sitzungsdaten, Sicherheitsinformationen oder lokale Einstellungen, erfolgen zur Bereitstellung des ausdrücklich gewünschten Dienstes. Für nicht unbedingt erforderliche Zugriffe, insbesondere Analyse-, Tracking- oder optionale Diagnosefunktionen, wird vorab eine Einwilligung nach § 25 TDDDG in Verbindung mit der DSGVO eingeholt, soweit eine solche Funktion eingesetzt wird.
15. Datensicherheit
Der Verein trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere Transportverschlüsselung, sichere Authentifizierung, rollenbasierte Berechtigungen, Protokollierung administrativer Zugriffe, regelmäßige Updates, Backup- und Wiederherstellungsverfahren, Schwachstellenmanagement, Löschkonzepte und Schulung berechtigter Personen.
15.1 Datenschutz-Folgenabschätzung und Verzeichnis
Der Verein prüft, ob aufgrund Art, Umfang, Umstände und Zwecke der Verarbeitung eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Er führt außerdem ein Verzeichnis der Verarbeitungstätigkeiten und dokumentiert die Risiko- und Rollenbewertung.
16. Rechte betroffener Personen
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.
Anfragen können an
16.1 Löschung des Nutzerkontos
Das Nutzerkonto kann jederzeit gelöscht werden – in der App unter „Einstellungen“ oder ohne installierte App über:
https://islaminstuttgart.de/annasihah-schule/konto-loeschen
Nach der Anforderung besteht eine Frist von 24 Stunden, innerhalb der die Löschanforderung widerrufen werden kann. Danach werden Konto, Stammdaten und zugehörige Inhalte gelöscht bzw. anonymisiert. Ausgenommen sind Daten, die wir aufgrund gesetzlicher Aufbewahrungspflichten weiter aufbewahren müssen; diese werden für andere Zwecke gesperrt.
17. Beschwerderecht
Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Zuständig ist insbesondere:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
Weitere aktuelle Kontaktdaten sind auf der Website der Aufsichtsbehörde verfügbar.
18. Automatisierte Entscheidungen
Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung findet nicht statt.
19. Änderungen
Diese Datenschutzerklärung wird angepasst, wenn sich Funktionen, Rechtsgrundlagen, Dienstleister oder Datenflüsse ändern. Wesentliche Änderungen werden in geeigneter Weise bekannt gemacht. Die jeweils aktuelle Fassung ist in der App abrufbar.