Sicherheit & technische Maßnahmen

Die Plattform wird in Rechenzentren innerhalb der Europäischen Union betrieben. Alle Verbindungen sind transportverschlüsselt (TLS); ruhende Daten werden verschlüsselt gespeichert (at rest).

Jede Schule ist ein eigener Mandant mit strikt getrennten Daten. Die Trennung ist auf Datenbankebene per Row Level Security (RLS) durchgesetzt — eine Schule kann technisch nicht auf die Daten einer anderen zugreifen, auch nicht bei einem Anwendungsfehler.

Zugriffe folgen einem abgestuften Rollenmodell (Lernende, Ausbildende, Schul-Administration, Plattform-Administration) nach dem Prinzip der minimalen Rechtevergabe (Least Privilege).

Individuelle Benutzerkonten, starke Passwortrichtlinie und Zwei-Faktor-Authentifizierung für administrative Zugänge. Sicherheitsrelevante Zugriffe werden protokolliert.

Prüfungsergebnisse und Ausbildungsnachweise werden vor unbefugter Änderung geschützt; Änderungen sind nachvollziehbar protokolliert.

Regelmäßige, verschlüsselte Backups, Monitoring und ein dokumentiertes Wiederherstellungsverfahren sichern den Betrieb.

Für Schulen stellen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO bereit — auch in Varianten für kirchliche Träger (KDG bzw. DSG-EKD). Eingesetzte Dienstleister sind als Auftragsverarbeiter vertraglich gebunden.

Auskunft, Berichtigung, Löschung und Datenexport sind vorgesehen; für jede Datenkategorie bestehen definierte Löschfristen.

Für den Fall einer Datenschutzverletzung besteht ein Meldeprozess mit Bewertung und fristgerechter Meldung innerhalb von 72 Stunden.