Datenschutzerklärung

1. Verantwortliche Stelle

Pascal-Gymnasium Münster
Uppenkampstiege 17–19
48147 Münster
Telefon: +49 (0) 251 201370
Telefax: +49 (0) 251 2013730
E-Mail: pascal-gymnasium@stadt-muenster.de

2. Zwecke und Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zu schulischen Zwecken im Rahmen der Kurswahl- und Laufbahnplanung, insbesondere zur:

• Bereitstellung eines Nutzerkontos und Authentifizierung, inkl. Sitzung (Login/Logout).
• Erfassung, Anzeige und Verwaltung von Kurswahlen sowie Änderungsanträgen.
• Administrativer Auswertung und Verwaltung durch berechtigte Personen.
• Technischer Absicherung (z. B. Schutz vor Missbrauch/Brute-Force).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit den schulrechtlichen Bestimmungen des Landes Nordrhein-Westfalen.

3. Kategorien betroffener Personen und Daten

Betroffene Personen: Schülerinnen und Schüler der gymnasialen Oberstufe sowie berechtigte Lehrkräfte/Administrationspersonen.

Kategorien verarbeiteter Daten (Beispiele):

• Stammdaten/Accountdaten: Benutzername, Vorname, Nachname, Klasse/Kurszuordnung, ggf. E-Mail-Adresse (für Passwort-Reset und Benachrichtigungen).
• Kurswahl-/Laufbahndaten und Änderungsstände (z. B. Änderungsanträge, Status, Kommentare im Adminbereich).
• Sicherheits- und Protokolldaten: IP-Adresse und Benutzername bei Loginversuchen (Tabelle login_attempts).
• Passwort-Reset-Daten: Token-Hash und Ablaufzeit in password_resets; Versand eines Reset-Links per E-Mail.
• Sitzungs- und Schutzdaten: Sitzungs-Cookie mit Sicherheitsparametern (HttpOnly, Secure, SameSite=Lax) sowie CSRF-Token in der Session.

4. Empfängerinnen und Empfänger

Zugriff auf personenbezogene Daten erhalten ausschließlich Personen, die diese zur Erfüllung ihrer schulischen Aufgaben benötigen, insbesondere:

• Schulleitung und beauftragte Lehrkräfte (z. B. Oberstufenkoordination)
• Administrationsberechtigte (Schulverwaltung/IT-Administration im notwendigen Umfang)

5. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die genannten Zwecke erforderlich ist und im Rahmen der geltenden schul- und archivrechtlichen Vorgaben. Protokolldaten (z. B. Loginversuche) werden zweckgebunden und angemessen befristet vorgehalten.

6. Technische und organisatorische Maßnahmen

• Rollenbasierte Zugriffssteuerung (z. B. „student“/„admin“).
• Passwörter werden als Hash gespeichert (kein Klartext-Passwortspeicher).
• CSRF-Schutz über Session-Token.
• Sitzungsverwaltung mit Cookie-Schutzparametern (HttpOnly, Secure, SameSite=Lax).
• Schutz vor zu vielen Loginversuchen durch Rate-Limiting/Protokollierung.

7. Rechte der betroffenen Personen

Betroffene Personen haben nach Maßgabe der DSGVO insbesondere das Recht auf:

• Auskunft über die gespeicherten personenbezogenen Daten,
• Berichtigung unrichtiger Daten,
• Löschung oder Einschränkung der Verarbeitung unter den gesetzlichen Voraussetzungen,
• Widerspruch gegen die Verarbeitung, soweit anwendbar,
• Beschwerde bei der zuständigen Aufsichtsbehörde.

8. Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de