Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Landesvereinigung für Gesundheit und Akademie für Sozialmedizin Niedersachsen Bremen e. V.
(LVG & AFS)
Schillerstraße 32, 30159 Hannover
info@gesundheit-nds-hb.de · 0511 / 388 11 89-0

2. Datenschutzbeauftragte:r

DataCo GmbH
Dachauer Straße 65, 80335 München
info@dataguard.de · 089 / 7400 45840

3. Zwecke und Rechtsgrundlage

Die Anwendung dient der Durchführung und Verwaltung des Gütesiegel-Programms „Bewegte, gesunde Schule“. Dazu gehören die Prüfung der Teilnahmeberechtigung, die Bereitstellung und Auswertung des Fragebogens, die Ausstellung und Verwaltung von Zertifikaten, die Kommunikation mit teilnehmenden Schulen sowie der sichere Betrieb der Anwendung.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Berechtigte Interessen der LVG & AFS sind die ordnungsgemäße Durchführung und Dokumentation des freiwilligen Gütesiegel-Verfahrens, die verlässliche Zuordnung der teilnehmenden Schulen, die Ausstellung überprüfbarer Zertifikate, die erforderliche Kommunikation und der Schutz der Anwendung vor Missbrauch.

Bei der Interessenabwägung wurden insbesondere der dienstliche beziehungsweise schulische Zusammenhang der Kontaktaufnahme, die freiwillige Teilnahme, die Beschränkung auf erforderliche Daten, die begrenzte Aufbewahrung von Kontaktdaten und die technischen Schutzmaßnahmen berücksichtigt. Eine von der Ansprechperson eingetragene persönliche E-Mail-Adresse wird ausschließlich als vertrauliche Kontaktadresse für diese Zwecke verarbeitet. Sie wird weder im Zertifikat noch anderweitig öffentlich ausgegeben.

Die Pflichtbestätigungen im Formular dokumentieren, welche Hinweise in welcher Fassung zur Kenntnis genommen und bestätigt wurden. Sie ändern die vorgenannte Rechtsgrundlage nicht; die Verarbeitung wird insbesondere nicht auf eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO gestützt.

4. Kategorien verarbeiteter Daten

Schul-Stammdaten: Schulnummer, Schulname, Anschrift, Schulträger, Schulart und Status.
Kontaktdaten: Name, Funktion und E-Mail-Adresse der Ansprechperson, gegebenenfalls Angaben einer abweichend ausfüllenden Person sowie E-Mail-Adresse, Telefon und Fax der Schule.
Fragebogen- und Zertifizierungsdaten: Antworten, Zielsetzung, Anmerkungen, erreichte Punktzahl, Bewertung, Zertifikatsnummer, Ausstellungs- und Ablaufdatum sowie Zeitpunkt der Einreichung.
Bestätigungsnachweise: bestätigte Versionen, Zeitpunkte und kryptografische Prüfsummen der angezeigten Bestätigungstexte; es werden hierfür keine IP-Adressen gespeichert.
Versand-Protokolldaten: Empfängeradresse, Betreff, Zeitpunkt und Erfolg versendeter E-Mails, jedoch kein Nachrichteninhalt.
Benutzerkonten der Verwaltung: Benutzername, E-Mail-Adresse, Passwort-Hash und Zwei-Faktor-Einstellungen.

5. Herkunft der Daten

Ein Teil der Schul-Stammdaten stammt aus der Schnittstelle des zuständigen Ministeriums (amtliches Schulverzeichnis). Im Referenzbestand wird die offizielle allgemeine E-Mail-Adresse nicht im Klartext gespeichert, sondern nur als nicht umkehrbarer Schlüsselwert (HMAC). Für eine Einladung wird die Adresse frisch aus der Schnittstelle geladen. Nach erfolgreichem Versand wird sie als operative Schuladresse gespeichert und bei einer bereits vorhandenen Schule auf den aktuellen Stand gebracht. Weitere Daten werden von den teilnehmenden Personen im Formular angegeben.

6. Empfänger und Auftragsverarbeiter

Innerhalb der LVG & AFS erhalten nur die für Durchführung und Verwaltung erforderlichen Personen Zugriff. Technische Dienstleister verarbeiten Daten ausschließlich auf dokumentierte Weisung und auf Grundlage von Verträgen gemäß Art. 28 DSGVO.

Hosting: Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen.
E-Mail-Versand (SMTP-Relay): ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf.
Technische Entwicklung und Betrieb: ein von der LVG & AFS beauftragter Dienstleister im Rahmen weisungsgebundener Auftragsverarbeitung.

Nach der derzeit vorgesehenen Konfiguration werden die Daten innerhalb der Europäischen Union verarbeitet. Eine Übermittlung in Drittländer ist nicht vorgesehen.

7. Öffentliche Zertifikate

Ein ausgestelltes Zertifikat kann bis zu seinem Ablauf oder Widerruf über einen nicht erratbaren Link abgerufen werden. Es enthält ausschließlich öffentliche institutionelle Schuldaten (Schulname, Anschrift, gegebenenfalls Schulart und Schulträger) sowie Angaben zum Zertifikat und zum Ergebnis. Namen, Funktionen, E-Mail-Adressen, Telefon- oder Faxnummern und sonstige Kontaktdaten werden nicht in das Zertifikat aufgenommen.

8. Speicherdauer, Löschung und Datenminimierung

Kontaktdaten der Einreichungen werden bis zum Ablauf der Zertifikatsgültigkeit zuzüglich sechs Monaten aufbewahrt und danach reduziert: Klarnamen werden auf Initialen gekürzt, E-Mail-Adressen maskiert, Telefon und Fax entfernt.
Institutionelle Sach- und Nachweisdaten wie Bewertung, Punktzahl, Schulname, Anschrift, Zertifikatsdaten und Bestätigungsnachweise bleiben für Statistik-, Historien- und Nachweiszwecke erhalten.
Versand-Protokolle werden hinsichtlich der Empfängeradresse nach 90 Tagen maskiert.
Referenzdaten des Schulverzeichnisses werden bei jedem Abgleich aktualisiert; nicht mehr gelieferte Einrichtungen werden entfernt.
Sitzungsdaten des nicht abgeschlossenen Formulars werden nach dem Ende der technisch notwendigen Sitzung verworfen.

9. Technische und organisatorische Schutzmaßnahmen

verschlüsselte Übertragung über HTTPS/TLS,
rollenbasierter Verwaltungszugriff mit Passwort und Zwei-Faktor-Authentifizierung,
Speicherung von Passwörtern ausschließlich als Hash,
besondere Vertraulichkeitsbehandlung aller Kontakt-E-Mail-Adressen und keine Ausgabe dieser Adressen in öffentlichen Zertifikaten,
HMAC-Schutz der E-Mail-Adressen im Schulverzeichnis-Referenzbestand sowie
Verschlüsselung der produktiven Datenbank sowie beschränkter Zugriff auf betriebliche Sicherungen.

10. Cookies und Sitzungsdaten

Die Anwendung verwendet ausschließlich technisch notwendige Sitzungs-, Anmelde- und Sicherheits-Cookies. Es findet kein Tracking und keine Analyse zu Werbezwecken statt.

11. Bereitstellung und automatisierte Auswertung

Die Teilnahme am Programm ist freiwillig. Die als Pflichtfelder gekennzeichneten Angaben sind für die Durchführung des Gütesiegel-Verfahrens erforderlich; ohne sie kann die Einreichung nicht abgeschlossen und kein Zertifikat ausgestellt werden. Die Antworten werden anhand vorab festgelegter Punktwerte automatisiert ausgewertet. Damit ist keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne des Art. 22 DSGVO verbunden.

12. Rechte betroffener Personen

Im Rahmen der gesetzlichen Voraussetzungen bestehen insbesondere die Rechte auf:

Auskunft (Art. 15 DSGVO),
Berichtigung (Art. 16 DSGVO),
Löschung (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO) und
Widerspruch gegen die Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Zur Wahrnehmung dieser Rechte wenden Sie sich bitte an die unter Ziffer 1 genannte verantwortliche Stelle. Nach einem Widerspruch werden die betroffenen Daten nicht weiter auf dieser Grundlage verarbeitet, es sei denn, es bestehen zwingende schutzwürdige Gründe oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständig ist insbesondere:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
poststelle@lfd.niedersachsen.de · 0511 / 120-4500

Stand: 31. August 2026 · Version 2026-08-31