Datenschutzerklärung

Verantwortlicher für den Betrieb der Website und die eigene Verarbeitung personenbezogener Daten ist:

Datenschutzbeauftragter der Software2 Handels GmbH:

ZwergalPost wird ausschließlich an Kindertagesstätten, Kinderkrippen, Kindergärten, Horte und vergleichbare Betreuungseinrichtungen angeboten. Die jeweilige Einrichtung ist Verantwortlicher im Sinne der DSGVO für die Verarbeitung von Kinder-, Eltern-, Mitarbeitenden- und Organisationsdaten innerhalb des Systems. Die Software2 Handels GmbH verarbeitet diese Daten als Auftragsverarbeiter ausschließlich auf Weisung des Kunden. Soweit wir unsere eigene Website, Abrechnung, Support-Kommunikation oder Systemlogs verarbeiten, handeln wir insoweit als eigener Verantwortlicher.

Je nach Nutzung verarbeiten wir insbesondere: Stammdaten von Kindern, Eltern, Sorgeberechtigten und Mitarbeitenden; Kontaktdaten; Notfallkontakte; Abholberechtigungen; Anwesenheits-, Abwesenheits- und Krankmeldungen; Urlaubs- und Vertretungsinformationen; Nachrichteninhalte; Rollen-, Rechte- und Berechtigungsdaten; Speiseplan- und Mahlzeiteninformationen; Allergie- und Unverträglichkeitsangaben; Uploads, Dokumente und Importdaten; technische Protokolldaten sowie Nutzungs- und Diagnoseinformationen.

Informationen über Allergien, Unverträglichkeiten, Krankheiten, besondere Ernährungsbedürfnisse oder sonstige gesundheitsbezogene Angaben können besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO darstellen. Diese Daten werden nur verarbeitet, soweit dies vom Kunden veranlasst und datenschutzrechtlich zulässig ist. Die Verantwortung für die Rechtsgrundlage, Information der betroffenen Personen und etwaige Einwilligungen oder sonstigen Erlaubnistatbestände liegt beim Kunden.

Die Verarbeitung dient insbesondere: der Bereitstellung und Administration der Plattform; der Verwaltung von Gruppen, Kindern, Eltern und Mitarbeitenden; der Erfassung der Anwesenheit (Check-in); der Organisation von Abwesenheiten und Krankmeldungen; der durch die Leitung ausgelösten Meldung meldepflichtiger Erkrankungen an die zuständige Behörde; der Kommunikation mit Eltern und Team; dem Versand von Nachrichten und Notfallmitteilungen; der Verwaltung von Berechtigungen; der Planung von Mahlzeiten und Speiseplänen; der Übersetzung von Inhalten; der Extraktion von Daten aus Dokumenten; der Fehleranalyse, Sicherheit, Missbrauchsvermeidung und Supportbearbeitung.

Soweit wir als Verantwortlicher handeln, stützen wir die Verarbeitung auf: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung oder vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität, Fehleranalyse und Support). Bei besonderen Kategorien personenbezogener Daten gelten die zusätzlichen Voraussetzungen des Art. 9 DSGVO bzw. die durch den Kunden verantwortete Rechtsgrundlage.

Zur Bereitstellung von ZwergalPost setzen wir folgende Auftragsverarbeiter ein:

Soweit hierbei personenbezogene Daten verarbeitet werden, geschieht dies im Rahmen der Vertragsdurchführung und nach Maßgabe der jeweils geschlossenen Auftragsverarbeitungsverträge. Datenbank, Dateispeicher, Backend und Frontend werden in der EU betrieben. Außerhalb der EU erfolgt eine Verarbeitung nur beim E-Mail-Versand (Postmark) und — ausschließlich bei aktivierter KI-Extraktion — bei Google und Anthropic; siehe Abschnitte 12 und 14.

Beim Aufruf unserer Anwendung können automatisch technische Informationen verarbeitet werden, etwa: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seiten, Referrer, Browsertyp und -version, Betriebssystem, Geräteinformationen sowie Fehler- und Ereignisprotokolle. Die Verarbeitung erfolgt zur Sicherstellung des Betriebs, zur Fehleranalyse, zur Missbrauchserkennung und zur IT-Sicherheit.

Für Einladungen, Anmelde- und Passwort-Links, Notfall-E-Mails und die Meldung meldepflichtiger Erkrankungen an Behörden nutzen wir Postmark. Dabei werden E-Mail-Adresse und Name der Empfänger, der Name der Einrichtung, der jeweilige Inhalt (bei Notfall-E-Mails der vollständige Text der Notfallnachricht) sowie technische Zustellinformationen verarbeitet.

Sofern Nutzer Web-Push-Benachrichtigungen aktivieren, werden die hierfür technisch erforderlichen Daten verarbeitet (Push-Endpunkt-URL, Verschlüsselungsschlüssel p256dh und auth). Diese Daten werden in unserer Datenbank (Supabase, EU) gespeichert. Die Benachrichtigung selbst enthält einen Titel und einen kurzen Text: bei Nachrichten die ersten 80 Zeichen, bei Notfallnachrichten die ersten 200 Zeichen; Hinweise zu Abwesenheiten, Abholungen oder Terminen können den Vornamen des betroffenen Kindes, das Datum und den Anlass enthalten. Der Inhalt wird verschlüsselt über den Push-Dienst des jeweiligen Browser- bzw. Betriebssystemherstellers zugestellt. Die Aktivierung erfolgt über den Browser des Nutzers und kann jederzeit widerrufen werden. Die Zustellung hängt von den Einstellungen des jeweiligen Browsers, Endgeräts und Betriebssystems ab und kann nicht garantiert werden.

Für die sprachliche Übersetzung von Inhalten setzen wir die DeepL API (DeepL SE, Verarbeitung in der EU) ein. Eltern können zwischen 15 Sprachen wählen. Übersetzungen dienen ausschließlich der Verständlichmachung. Sie können inhaltlich ungenau, verkürzt oder missverständlich sein. Insbesondere bei gesundheits-, sicherheits- oder notfallrelevanten Inhalten ersetzt die Übersetzung keine fachliche Prüfung durch den Kunden.

Stammdaten werden standardmäßig ohne KI über die Excel-/CSV-Vorlage oder manuell erfasst. Die KI-gestützte Extraktion (Speiseplan sowie optional Stammdaten und Dienstpläne) ist eine Zusatzfunktion: Sie wird je Einrichtung über einen einzigen Schalter aktiviert, der bei Neuanlage ausgeschaltet ist und nur auf schriftlichen Wunsch der Einrichtung eingeschaltet wird. Ist sie ausgeschaltet, erhält kein KI-Anbieter Daten. Ist sie eingeschaltet, nutzen wir die Gemini API von Google (Modell Gemini 2.5 Flash-Lite); ist Google Gemini nicht verfügbar, wird dieselbe Anfrage ersatzweise an die Claude API von Anthropic gesendet. Die Verarbeitung erfolgt jeweils in den USA bzw. global; eine Verarbeitung ausschließlich in der EU ist bei diesen Diensten derzeit nicht gewährleistet. Bei aktivierter Funktion werden übermittelt:

• Speiseplan: die hochgeladene Datei (PDF oder Bild) bzw. der Tabelleninhalt. Kinderdaten werden nicht hinzugefügt.
• Stammdaten Kinder und Bezugspersonen: die hochgeladene Datei (PDF oder Bild) bzw. bei Tabellen der gesamte Tabelleninhalt. Abgefragt werden Name und Geburtsdatum des Kindes, Gruppe, Allergien und medizinische Hinweise sowie Name, E-Mail-Adresse und Beziehung der Bezugspersonen. Allergien und medizinische Hinweise sind Gesundheitsdaten im Sinne von Art. 9 DSGVO.
• Stammdaten Personal: Name, E-Mail-Adresse, Rolle, Gruppe, Eintrittsdatum, Geburtsdatum und Telefonnummern.
• Dienstpläne: Name, E-Mail-Adresse und Wochenarbeitszeiten der Mitarbeitenden.

Die Übermittlung erfolgt auf Basis der Auftragsverarbeitungsbedingungen der Anbieter (bei Google für kostenpflichtige Dienste) mit EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. Die KI-Ausgaben können fehlerhaft, unvollständig oder missverständlich sein und müssen vor operativer Nutzung durch den Kunden geprüft werden; übernommen wird nur, was der Kunde bestätigt.

Melden Eltern eine Erkrankung, die nach dem Epidemiegesetz meldepflichtig ist, und hat die Einrichtung diese Funktion aktiviert, legt ZwergalPost eine Meldung zur Prüfung an. Versendet wird sie erst, wenn die Leitung sie ausdrücklich an die Behörde sendet; die Empfängeradresse wird vor dem Versand angezeigt.

Zweck: Unterstützung der Einrichtung bei der Erfüllung ihrer gesetzlichen Meldepflicht. Daten: Vor- und Nachname, Geburtsdatum und Gruppe des Kindes, die Erkrankung, Erkrankungsbeginn und Zeitpunkt der Meldung durch die Eltern, gegebenenfalls Anmerkungen, Name, Anschrift und Kontaktdaten der Einrichtung sowie Name und Rolle der meldenden Leitung. Daten der Eltern sind nicht enthalten. Empfänger: die von der Einrichtung in den Einstellungen hinterlegte E-Mail-Adresse der zuständigen Behörde. Übermittlung: als PDF-Anhang per E-Mail über Postmark. Ein Nachweis über den Versand wird in ZwergalPost gespeichert.

Eine Weitergabe personenbezogener Daten an Dritte erfolgt nur, soweit dies erforderlich ist: zur Vertragserfüllung, zur Erfüllung rechtlicher Pflichten, aufgrund einer Weisung des Kunden, auf Grundlage einer Einwilligung oder aufgrund eines berechtigten Interesses, soweit zulässig.

Soweit personenbezogene Daten in Staaten außerhalb der EU bzw. des EWR verarbeitet werden (beim E-Mail-Versand durch Postmark sowie, nur bei aktivierter KI-Extraktion, durch Google und Anthropic) oder Anbieter mit Sitz in den USA Zugriff erhalten könnten (Vercel, Railway, Supabase), erfolgt dies nur bei Vorliegen eines Angemessenheitsbeschlusses oder geeigneter Garantien im Sinne der Art. 44 ff. DSGVO, insbesondere des EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Einzelnen:

• Das Audit-Protokoll wird für die Dauer des Vertragsverhältnisses gespeichert und mit den Daten des Kunden gelöscht. Einträge zu einem Kind werden bei dessen Löschung anonymisiert.
• Datenbank-Backups erstellt der Hosting-Anbieter Supabase automatisch; sie werden mit Ablauf ihrer Aufbewahrungsdauer überschrieben. Umfang und Aufbewahrungsdauer der Backups sind im Auftragsverarbeitungsvertrag festgelegt.
• Archivierte Kinderdaten werden nach Ablauf einer vom Kunden konfigurierbaren DSGVO-Löschfrist automatisch gelöscht (wählbare Optionen: 90 Tage, 180 Tage, 1 Jahr, 2 Jahre oder 3 Jahre; Standard: 1 Jahr). Die Einrichtung wird sieben Tage vorher informiert.
• Kinder, die ausschließlich für die Ferienbetreuung aufgenommen sind, werden automatisch archiviert, sobald für sie kein weiterer Betreuungstag gebucht ist und alle Tage ihres zuletzt gebuchten Ferienblocks abgerechnet sind, spätestens nach Ende des Schuljahres; reicht eine gebuchte Sommer-Ferienbetreuung darüber hinaus, nach deren letztem Tag. Ab der Archivierung gilt die Löschfrist für archivierte Kinderdaten.
• Bezugspersonen, mit denen in einer Einrichtung kein Kind mehr verknüpft ist, werden dort nach Ablauf derselben DSGVO-Löschfrist automatisch gelöscht; die Frist beginnt, sobald kein Kind mehr verknüpft ist. Das Benutzerkonto bleibt bestehen, solange die Person noch einer anderen Einrichtung angehört.
• Freitext-Begründungen im Betreuungsdienst und im Betreuungskalender werden 90 Tage nach dem betreffenden Tag automatisch gelöscht; der Eintrag selbst bleibt bestehen.
• Archivierte Mitarbeitendendaten löscht die Leitung in der Verwaltung.
• Nach Vertragsende stellen wir dem Kunden auf Anfrage innerhalb von 30 Tagen einen Export seiner Daten bereit. Anschließend werden die Daten des Kunden einschließlich der Dateien im Dateispeicher gelöscht; in Backups enthaltene Daten werden mit Ablauf der Backup-Aufbewahrung überschrieben.

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen folgende Rechte: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO), Widerspruch (Art. 21 DSGVO) sowie Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO).

Soweit wir als Auftragsverarbeiter tätig werden, sind Anfragen grundsätzlich an die jeweilige Einrichtung als Verantwortlichen zu richten. Wir unterstützen den Kunden im Rahmen unserer vertraglichen und gesetzlichen Pflichten.

Beschwerden können an die Österreichische Datenschutzbehörde gerichtet werden: dsb@dsb.gv.at, https://www.dsb.gv.at

Im Rahmen der Nutzung der Plattform müssen nur diejenigen Daten bereitgestellt werden, die für die jeweilige Funktion erforderlich sind. Ohne diese Daten kann die Nutzung einzelner Funktionen eingeschränkt oder nicht möglich sein.

Wir setzen keine ausschließlich automatisierten Entscheidungsverfahren einschließlich Profiling im Sinne von Art. 22 DSGVO ein, die gegenüber betroffenen Personen rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Missbrauch, unbefugtem Zugriff und Manipulation zu schützen. Hierzu gehören insbesondere:

• Transportverschlüsselung mit TLS 1.2 und TLS 1.3, HSTS und Perfect Forward Secrecy
• Anmeldung per Magic Link oder Passwort (mindestens 10 Zeichen mit Buchstabe und Zahl; gespeichert nur als Hash)
• Rollenbasierte Zugriffskontrollen (RBAC) mit Bitmask-Berechtigungssystem
• Row-Level-Security auf Datenbankebene
• Protokollierung sicherheits- und datenschutzrelevanter Aktionen (Audit-Protokoll)
• Automatische Datenbank-Backups durch den Hosting-Anbieter
• Trennung von Entwicklungs- und Produktionssystemen
• Schutzmaßnahmen der Infrastruktur-Anbieter gegen Überlastungsangriffe sowie anwendungsseitige Ratenbegrenzung
• Content-Security-Policy, parametrisierte Datenbankzugriffe und Maskierung von Nutzereingaben

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, soweit dies aufgrund geänderter Rechtslagen, technischer Entwicklungen oder Änderungen des Dienstes erforderlich ist.