Datenschutzerklärung

1. Wer für Ihre Daten verantwortlich ist

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Bei Fragen zum Datenschutz schreiben Sie uns einfach an bildung@meinsprachclub.de. Eine Datenschutzbeauftragte ist für unseren Betrieb gesetzlich nicht vorgeschrieben.

2. Worum es geht

Diese Erklärung beschreibt, wie wir im MeinSprachClub-Portal und in den E-Mails, die das Portal verschickt, mit den Daten von Eltern, Kindern und Interessenten umgehen. Für unsere Website gilt deren eigene Datenschutzerklärung.

Wir verwenden Ihre Daten nur für den Unterricht, die Abrechnung und die Verwaltung. Wir verkaufen keine Daten, zeigen im Portal keine Werbung und setzen keine Analyse-, Tracking- oder Werbe-Cookies ein.

3. Anmeldung, Vertrag und Unterricht

Für den Unterricht verarbeiten wir:

• Eltern: Name, Anrede, Anschrift, E-Mail-Adresse, Telefonnummer und Ihr Zugang zum Portal.
• Kind: Vor- und Nachname, Geburtsdatum, Schule, Klasse, Fächer und das gebuchte Angebot (Nachhilfe, Sprachkurs oder Kita-Gruppe).
• Vertrag: Unterrichtsform, Dauer der Stunden, Laufzeit, Monatsbeitrag, Rabatte, Kündigung.
• Unterricht: Stundenplan, Termine, Anwesenheit, Absagen, Nachholstunden und Fehlzeiten, Notizen der Lehrkräfte zur Stunde, Noten und Klassenarbeiten, Hausaufgaben und Material.

Wir brauchen diese Angaben, um den Vertrag zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO). Die Daten Ihres Kindes erhalten wir von Ihnen als gesetzliche Vertretung. Ohne sie können wir keinen Unterricht anbieten.

Melden Sie Ihr Kind krank, vermerken wir nur, dass die Stunde entschuldigt ist und ob ein Attest vorliegt – keine Diagnose. Diese Angabe nutzen wir nur für Absagen, Nachholstunden und Fehlzeiten.

Die Lehrkräfte sehen die Daten der Kinder, die sie unterrichten, soweit sie sie für den Unterricht brauchen. Sie sind zur Verschwiegenheit verpflichtet.

4. Rechnungen, Lastschrift und Zahlungserinnerungen

• Daten: Rechnungsanschrift, Kontoinhaber, IBAN und BIC, Mandatsreferenz und Datum des SEPA-Lastschriftmandats, Rechnungen, Zahlungen, Rücklastschriften sowie Zahlungserinnerungen und Mahnungen mit ihren Gebühren.
• Zweck: Monatsbeiträge abrechnen und einziehen, offene Beträge nachverfolgen.
• Weitergabe: Für den Einzug erstellen wir eine Lastschriftdatei, die wir selbst bei unserer Bank einreichen. Die Bank erhält dabei Name, IBAN, Betrag und Mandatsreferenz. Für Buchhaltung und Steuer können Rechnungsdaten an unsere Steuerberatung gehen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), lit. c (handels- und steuerrechtliche Aufbewahrungspflichten) und für Zahlungserinnerungen und Mahnungen lit. f (berechtigtes Interesse, offene Forderungen durchzusetzen).

5. Bildung und Teilhabe (BuT)

Bezahlt der Kreis Warendorf oder das Jobcenter den Unterricht über Leistungen für Bildung und Teilhabe, verarbeiten wir zusätzlich:

• Angaben aus dem Bewilligungsbescheid: Aktenzeichen, Bewilligungszeitraum, Fächer, bewilligte Stunden, Kosten je Stunde und Rechtsgrundlage – und, wenn Sie ihn uns geben, den Bescheid als Scan oder Foto.
• die Nummer Ihrer MünsterlandKarte,
• die gehaltenen Stunden je Monat mit Datum, Dauer und Fach,
• den monatlichen Abrechnungsbogen mit Ihrer Unterschrift (siehe Abschnitt 6).

Den unterschriebenen Abrechnungsbogen schicken wir an den Kreis Warendorf (Team Bildung und Teilhabe) bzw. an das zuständige Jobcenter, per E-Mail oder Post. Abgerechnet wird über das Portal bildungs-karte.org, das der Kreis für die MünsterlandKarte vorgibt. Dort laden wir Kartennummer, Monat, Fächer, Aktenzeichen und Betrag hoch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c (Abrechnungs- und Nachweispflichten gegenüber dem Kreis bzw. Jobcenter). Bescheide, Abrechnungsbögen und Nachweise bewahren wir als Abrechnungsunterlagen auf (siehe Abschnitt 15).

6. Unterschrift am Handy

Den BuT-Abrechnungsbogen können Sie im Portal mit dem Finger unterschreiben. Als Nachweis speichern wir dabei:

• das Bild Ihrer Unterschrift und den unterschriebenen Bogen als PDF,
• Ihren Namen und ob Sie als Elternteil oder als volljähriges Kind unterschrieben haben,
• Datum und Uhrzeit,
• Ihre IP-Adresse nur gekürzt (bei IPv4 ohne den letzten Block, bei IPv6 nur die ersten drei Blöcke) und das Gerät grob, z. B. „iPhone · Safari“, ohne Versionsnummern,
• Prüfsummen (SHA-256) des unterschriebenen Stands und der PDF-Datei.

Zusätzlich versieht das Portal den Bogen mit einem digitalen Siegel des Instituts, sobald dieses eingerichtet ist. Mit Prüfsumme und Siegel lässt sich jede spätere Änderung an der Datei erkennen.

Zweck ist der Nachweis gegenüber dem Kreis bzw. Jobcenter, dass Sie die Stunden bestätigt haben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO; für die Nachweisdaten (gekürzte IP-Adresse, Gerät, Prüfsummen) lit. f (berechtigtes Interesse, die Echtheit der Unterschrift zu belegen). Aufbewahrung wie der Abrechnungsbogen.

7. Elternbefragung nach Nachhilfestunden

Damit wir die Qualität der Nachhilfe sichern können, fragen wir Sie und Ihr Kind gelegentlich per E-Mail, wie eine einzelne Nachhilfestunde war – höchstens zweimal im Jahr je Familie, zu einer zufällig ausgewählten Stunde. Sprachkurse, Kita-Gruppen und Grundschulkinder befragen wir nicht. Die Teilnahme ist freiwillig.

• Daten: E-Mail-Adresse und Anrede der Eltern, Vorname des Kindes, Datum, Uhrzeit, Fach und Lehrkraft der Stunde, Ihre Antworten und ein freiwilliger Kommentar.
• Zweck: Sicherung und Verbesserung der Unterrichtsqualität, Rückmeldung an einzelne Lehrkräfte und Rückfragen, wenn eine Antwort auf ein Problem hinweist.
• Vertraulich, nicht anonym: Wir wissen, von welcher Familie eine Antwort kommt, damit wir bei Problemen nachfragen können. Die Antworten sieht nur Karin Wennemar. Lehrkräfte erhalten höchstens Zusammenfassungen aus mehreren Familien, Ihren Kommentar nur, wenn Sie dem im Fragebogen ausdrücklich zustimmen. Die Antworten werden nicht durch Künstliche Intelligenz ausgewertet.
• Empfänger: Den E-Mail-Versand übernimmt Brevo, gespeichert werden die Antworten in Google Cloud (siehe Abschnitt 13).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Qualitätssicherung) in Verbindung mit § 7 Abs. 3 UWG.
• Widerspruch: Sie können den Befragungen jederzeit widersprechen (Art. 21 DSGVO), ohne dass Ihnen andere als die Übermittlungskosten nach den Basistarifen entstehen: mit einem Klick in jeder Befragungs-E-Mail („Keine Befragungen mehr“ oder „3 Monate Pause“) oder per E-Mail an bildung@meinsprachclub.de. Rechnungen und Terminmails bekommen Sie weiterhin.
• Speicherdauer: Die persönlichen Links zum Fragebogen verfallen nach 4 Tagen, der Abmeldelink nach 12 Monaten; abgelaufene Links löschen wir 30 Tage später. Kommentare löschen wir nach 12 Monaten. Weist eine Antwort auf ein Problem hin, bekommt Karin Wennemar einen Hinweis mit dem Namen Ihres Kindes; diese Hinweise löschen wir nach 3 Monaten. Nach 24 Monaten anonymisieren wir die Antworten: Wir löschen alles, was auf Ihr Kind oder Ihre Familie verweist (Kennungen, Vorname, genaues Datum und Uhrzeit der Stunde, Notizen zu Rückfragen); übrig bleiben nur der Monat, die Lehrkraft und die Antworten selbst. Einen Widerspruch speichern wir dauerhaft, damit wir ihn auch künftig beachten – nicht als E-Mail-Adresse, sondern nur als daraus berechneten Prüfwert (Hash).

8. E-Mails aus dem Portal

Das Portal schickt E-Mails, die zum Vertrag gehören – Zugang, Termine und Absagen, Rechnungen und Zahlungserinnerungen, BuT-Unterschrift, Lernbericht – und die Elternbefragung. Den Versand übernimmt Brevo als Auftragsverarbeiter (Abschnitt 13).

Damit wir Zustellprobleme erkennen, speichern wir zu jeder Mail ein Versandprotokoll: Art der Mail, Zeitpunkt, eine gekürzte Empfängeradresse und einen Prüfwert (Hash) der Adresse sowie die Kennung der Mail bei Brevo. Meldet Brevo, dass eine Mail nicht ankam, sehen wir das in der Verwaltung und prüfen die Adresse. Das Protokoll löschen wir nach 12 Monaten. Ob oder wann Sie eine E-Mail öffnen oder einen Link anklicken, werten wir nicht aus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); das Versandprotokoll lit. f (berechtigtes Interesse an einer verlässlichen Zustellung).

9. Künstliche Intelligenz (Google Gemini)

Für einige Funktionen nutzen wir das KI-Modell Gemini von Google über die Plattform Vertex AI in unserem eigenen Google-Cloud-Projekt. Google verwendet diese Daten nicht zum Training seiner Modelle. Die Verarbeitung kann auch außerhalb der EU stattfinden (Abschnitt 14).

• Unterrichtsvorbereitung: Lehrkräfte lassen sich Arbeitsblätter und Material vorschlagen, Material in der Bibliothek suchen und einordnen und ihre Notizen zur Stunde sprachlich glätten. Dabei geht es um Fach, Klassenstufe und Thema; Namen der Kinder schickt das Portal dafür nicht mit.
• Lernquiz und Vokabeltests: Gemini bewertet freie Antworten und Vokabeln Ihres Kindes (auf Wunsch auch ein Foto des Rechenwegs) und liest Wörter vor. Übermittelt werden nur Aufgabe und Antwort, kein Name.

Eingaben von Kindern schicken wir nur dort an die KI, wo die Funktion sie braucht (Bewertung einer Quiz-Antwort). Die KI entscheidet nichts über Ihr Kind; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

Rechtsgrundlage: für Lernquiz und Vokabeltests Art. 6 Abs. 1 lit. b DSGVO (Teil des Unterrichtsangebots), für die Unterrichtsvorbereitung lit. f (berechtigtes Interesse an guter und effizienter Unterrichtsvorbereitung).

10. Anfragen über unsere Website

Buchen Sie auf unserer Website ein Erstgespräch, kommt Ihre Anfrage direkt ins Portal: Name, E-Mail-Adresse, Telefonnummer, Angaben zum Kind (Name, Schule, Klasse, Fächer, Unterstützungsbedarf, Wunschzeiten), Ihre Nachricht, eine freiwillig hochgeladene PDF-Datei (z. B. ein Zeugnis), wie Sie auf uns aufmerksam wurden, und der gewählte Termin. Wir nutzen diese Angaben, um das Erstgespräch zu vereinbaren und ein Angebot zu machen (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen). Kommt kein Vertrag zustande, löschen wir Ihre Angaben spätestens 12 Monate nach dem letzten Kontakt.

Das Formular für das Erstgespräch ist mit Cloudflare Turnstile gegen automatisierte Anfragen geschützt; das Portal prüft das Ergebnis bei Cloudflare und übermittelt dabei Ihre IP-Adresse. Die Formulare für Kündigung, Widerruf und Bewerbung prüfen wir auf dieselbe Weise mit Google reCAPTCHA Enterprise.

Außerdem begrenzen wir, wie oft ein Formular oder eine Anmeldung in kurzer Zeit genutzt werden kann. Dafür speichern wir nur einen Prüfwert (Hash) der IP-Adresse bzw. der E-Mail-Adresse und löschen ihn nach 7 Tagen. Rechtsgrundlage für den Schutz vor Missbrauch: Art. 6 Abs. 1 lit. f DSGVO.

11. Hosting, Anmeldung und Sicherheit

Das Portal läuft bei Google Cloud (Firebase). Datenbank (Firestore), Dateien (Cloud Storage) und die Webanwendung (App Hosting) liegen in der Region europe-west4 in den Niederlanden.

Für die Anmeldung nutzen wir Firebase Authentication. Gespeichert werden Ihre E-Mail-Adresse, ein verschlüsselter Passwort-Wert und der Zeitpunkt der letzten Anmeldung. Google kann diese Anmeldedaten auch in den USA verarbeiten (Abschnitt 14).

Beim Aufruf des Portals speichert Google technisch notwendige Protokolle (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser). Wir nutzen sie nur zur Fehlersuche und zur Abwehr von Angriffen; sie werden nach 30 Tagen gelöscht (Art. 6 Abs. 1 lit. f DSGVO).

Cookie und lokaler Speicher

Nach der Anmeldung setzt das Portal ein Cookie mit dem Namen „session“, das Sie angemeldet hält – höchstens 13 Tage oder bis Sie sich abmelden. Es wird nur verschlüsselt (HTTPS) übertragen und ist für Skripte nicht lesbar. Außerdem merkt sich Ihr Browser die Anmeldung bei Firebase und einzelne Einstellungen (z. B. das ausgewählte Kind) im lokalen Speicher. Beides ist für das Portal technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG) und braucht keine Einwilligung.

Sicherheit

Die Verbindung ist durchgehend verschlüsselt (HTTPS). Eltern sehen nur die Daten ihrer eigenen Kinder, Lehrkräfte nur, was sie für ihren Unterricht brauchen. Abrechnungs- und BuT-Unterlagen sieht nur die Verwaltung.

12. Material und Inhalte Dritter

• YouTube: Lehrkräfte können Videos von YouTube (Google Ireland Limited) einbinden. Wir betten sie im erweiterten Datenschutzmodus (youtube-nocookie.com) ein. Erst wenn Sie ein Video abspielen, wird eine Verbindung zu YouTube hergestellt.
• Links: Material kann Links zu fremden Websites enthalten. Wenn Sie einen Link öffnen, gilt dort die Datenschutzerklärung des jeweiligen Anbieters.
• Programmbibliotheken: Für die PDF-Vorschau und die Mathe-Zeichenfläche lädt Ihr Browser Programmbibliotheken vom Dienst jsDelivr (cdn.jsdelivr.net). Dabei wird Ihre IP-Adresse an den Betreiber übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (anschaulicher Unterricht) bzw. lit. f (berechtigtes Interesse an einer funktionierenden Vorschau).

13. Wer Daten in unserem Auftrag verarbeitet

Mit diesen Dienstleistern haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Sie dürfen die Daten nur nach unserer Weisung verwenden.

• Google Cloud / Firebase: Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland – Datenbank, Dateien, Anmeldung und Betrieb des Portals (Region europe-west4, Niederlande), Schutz der Website-Formulare (reCAPTCHA Enterprise) und KI-Funktionen (Vertex AI, Gemini, Standort „global“). Grundlage ist der Auftragsverarbeitungsvertrag von Google Cloud (Cloud Data Processing Addendum).
• Brevo: Brevo GmbH, Köpenicker Straße 126, 10179 Berlin – Versand der E-Mails. Der Auftragsverarbeitungsvertrag ist Teil der Geschäftsbedingungen von Brevo. Die Daten liegen in der EU; Unterauftragsverarbeiter außerhalb der EU setzt Brevo nur mit Data Privacy Framework oder Standardvertragsklauseln ein.
• Cloudflare: Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA – Schutz des Erstgespräch-Formulars vor automatisierten Anfragen (Turnstile).

Weitere Empfänger, die keine Auftragsverarbeiter sind: unsere Bank (Lastschrift), der Kreis Warendorf, das Jobcenter und bildungs-karte.org (BuT-Abrechnung), unsere Steuerberatung (Buchhaltung) sowie Behörden, wenn wir gesetzlich dazu verpflichtet sind.

14. Übermittlung in Länder außerhalb der EU

Google (Anmeldung, KI mit Standort „global“, reCAPTCHA), Cloudflare und einzelne Unterauftragsverarbeiter von Brevo können Daten auch in den USA verarbeiten. Diese Unternehmen sind nach dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission am 10. Juli 2023 ein angemessenes Datenschutzniveau festgestellt hat (Art. 45 DSGVO). Zusätzlich gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

15. Wie lange wir Daten speichern

• Vertrag und Unterricht: bis zum Vertragsende, danach drei Jahre (regelmäßige Verjährungsfrist), soweit keine längere Pflicht besteht.
• Rechnungen, Lastschriften, BuT-Abrechnungsbögen und Nachweise: acht Jahre als Buchungsbelege (§ 147 AO, § 257 HGB), Bücher und Jahresabschlüsse zehn Jahre – jeweils ab Ende des Kalenderjahres.
• Anfragen ohne Vertrag: spätestens 12 Monate nach dem letzten Kontakt.
• Elternbefragung: wie in Abschnitt 7 beschrieben.
• Versandprotokoll der E-Mails: 12 Monate.
• Server-Protokolle: 30 Tage.
• Anmelde-Cookie: höchstens 13 Tage.

16. Angebote nach Vertragsende

Auch nach dem Ende des Vertrags informieren wir Sie gelegentlich per E-Mail über ähnliche eigene Angebote, etwa Ferienkurse, längstens zwei Jahre lang. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG. Sie können dem jederzeit widersprechen, ohne dass Ihnen andere als die Übermittlungskosten nach den Basistarifen entstehen – eine E-Mail an bildung@meinsprachclub.de genügt.

17. Ihre Rechte

Sie haben das Recht auf

• Auskunft über Ihre Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17), soweit keine Aufbewahrungspflicht entgegensteht,
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, poststelle@ldi.nrw.de, www.ldi.nrw.de.

18. Änderungen

Ändert sich das Portal, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung.