Datenschutzerklärung von Namfus

Die Námfús ehf., isländische Reg.-Nr. 410702-4440, Höfðabakki 9b, 110 Reykjavík, Island, betreibt das Schulsystem Namfus für Kitas, Schulen, Horte und Kommunen. Diese Erklärung beschreibt, wie personenbezogene Daten im System, in den Apps und auf der Website namfus.com verarbeitet werden.

Eltern, die wissen möchten, was die Schule ihres Kindes erfasst, oder die ihre Rechte ausüben möchten, wenden sich zuerst an die Schule oder die Kommune. Namfus unterstützt die Schule bei der Antwort (siehe Abschnitt 6).

Die Schule entscheidet, was erfasst wird und welche Module des Systems im Einsatz sind. Die Liste kann bei einer einzelnen Schule daher kürzer sein.

Besondere Daten. Die Schule kann Angaben zu Förderung, besonderem Förderbedarf oder Gesundheit eines Kindes erfassen, zum Beispiel einen individuellen Förderplan, Fördermaßnahmen oder Allergien. Der Zugriff auf diese Daten ist enger beschränkt, und jeder Abruf wird protokolliert.

Daten im Schulsystem werden verarbeitet, damit die Schule ihre gesetzlichen Pflichten und ihre tägliche Arbeit erfüllen kann. Dazu gehören die Schülerverwaltung, Stundenpläne, Anwesenheit, Leistungsbewertung, die Kommunikation mit den Familien und Berichte an die Kommune. Die Rechtsgrundlage liegt bei der Schule als Verantwortlicher. Meist ist das eine rechtliche Verpflichtung oder eine Aufgabe im öffentlichen Interesse nach den isländischen Gesetzen über Schulen und Kitas (Art. 6 Abs. 1 lit. c und e DSGVO). Namfus nutzt die Daten nicht für eigene Zwecke, verkauft sie nicht und nutzt sie nicht für Werbung.

Daten, für die Namfus selbst verantwortlich ist, verarbeitet Namfus wie folgt:

Das System, die Datenbank, Dateien und Sicherungskopien liegen bei Open Telekom Cloud in Deutschland, innerhalb des EWR. Namfus gibt personenbezogene Daten nur an die Unterauftragsverarbeiter auf der Liste der Unterauftragsverarbeiter von Namfus weiter, es sei denn, ein Gesetz verpflichtet dazu.

Die Liste mit der Funktion und dem Standort jedes Dienstleisters steht im Anhang am Ende dieser Seite. Dort stehen auch die Dienste für elektronische Signaturen, die Schulen mit einem eigenen Konto anbinden.

Künstliche Intelligenz. Die KI-Funktionen sind optional, und der Verantwortliche entscheidet, ob sie aktiv sind. Das System übermittelt weder Name noch Identifikationsnummer, E-Mail-Adresse, Telefonnummer oder Foto eines Kindes, sondern eine anonyme Kennung. Text, den das Personal selbst schreibt, wird so übermittelt, wie er geschrieben ist. Er darf daher keine personenbezogenen Daten enthalten. Bei der Ausspracheprüfung im ÍSAT-Modul wird eine Sprachaufnahme des Kindes zur Transkription an OpenAI übermittelt. Nach den Bedingungen von OpenAI werden die Daten nicht zum Training verwendet. Die KI trifft keine Entscheidungen über Kinder.

Schulen und Kommunen werden vorab über neue Unterauftragsverarbeiter informiert und können widersprechen.

Die Daten jeder Schule sind von den Daten anderer Schulen getrennt, und jeder Nutzer sieht nur, was seine Rolle erlaubt. Eine Lehrkraft sieht die Kinder, die sie unterrichtet, Erziehungsberechtigte sehen ihre eigenen Kinder und ein Kind sieht seine eigenen Daten. Der Server prüft die Berechtigungen bei jeder Aktion.

• Verbindungen sind verschlüsselt (HTTPS), und Sicherungskopien sind verschlüsselt.
• Jede Änderung an personenbezogenen Daten und jeder Abruf wird einem namentlich bekannten Nutzer zugeordnet und protokolliert.
• Das Sicherheitsmanagement folgt einem Informationssicherheits-Managementsystem auf Grundlage von ISO/IEC 27001.
• Bei einer Datenschutzverletzung informiert Namfus die Schule oder die Kommune unverzüglich, damit sie die Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen kann.

Speicherdauer. Daten im Schulsystem werden so lange gespeichert, wie die Schule es festlegt und wie es ihre Pflichten nach dem isländischen Gesetz über öffentliche Archive Nr. 77/2014 verlangen. Endet ein Vertrag, gibt Namfus die Daten an die Schule zurück oder löscht sie, wie es der Vertrag zur Auftragsverarbeitung vorsieht. Daten, für die Namfus selbst verantwortlich ist, löscht Namfus, sobald der Zweck der Verarbeitung erfüllt ist, es sei denn, ein Gesetz verlangt eine längere Aufbewahrung, zum Beispiel das Buchhaltungsrecht.

Sie haben das Recht auf Auskunft über Ihre Daten, auf Berichtigung, Einschränkung der Verarbeitung und Löschung, auf Herausgabe in einem maschinenlesbaren Format und auf Widerspruch gegen die Verarbeitung (Art. 15–21 DSGVO). Erziehungsberechtigte üben diese Rechte für ihre Kinder aus. Die Ausübung ist kostenlos.

Erhält Namfus eine Anfrage zu Schuldaten, leitet Namfus sie an die Schule weiter, und die Schule entscheidet. Namfus unterstützt die Schule dabei, die Daten zusammenzustellen oder zu löschen.

Cookies. Das Schulsystem verwendet nur notwendige Cookies, zum Beispiel um einen Nutzer angemeldet zu halten. Die Website namfus.com verwendet keine Analyse- oder Werbe-Cookies. Die Website liegt bei Vercel. Vercel speichert technische Daten wie die IP-Adresse für kurze Zeit, für Betrieb und Sicherheit.

Änderungen. Namfus überprüft diese Erklärung, wenn sich die Verarbeitung ändert, und mindestens einmal im Jahr. Die aktuelle Fassung steht immer unter namfus.com/de/privacy, mit dem Datum der letzten Änderung. Schulen werden über wesentliche Änderungen informiert.

Kontakt. Fragen zu Daten, die eine Schule oder Kita erfasst, richten Sie an die Schule oder die Kommune (siehe Abschnitt 6). Namfus antwortet nur für die eigene Verarbeitung, also für die öffentliche Website und die Kommunikation mit Kunden: Námfús ehf., Höfðabakki 9b, 110 Reykjavík, Island. Tochtergesellschaft in Deutschland: Namfus Deutschland GmbH, Königstraße 5, Stuttgart. Datenschutzbeauftragter: Oddur Hafsteinsson, personuvernd@namfus.is. Allgemeiner Support: support@namfus.is.

Namfus setzt diese Unterauftragsverarbeiter für den Betrieb des Schulsystems ein. Schulen und Kommunen werden vorab über neue Dienstleister informiert und können widersprechen.

Eine Schule, die elektronische Signaturen nutzt, bindet ein eigenes Konto bei einem dieser Dienste an. Der Vertrag besteht zwischen der Schule und dem Dienst, und Namfus sendet Dokumente über das Konto der Schule zur Unterschrift. Diese Dienste sind daher keine Unterauftragsverarbeiter von Namfus.