Datenschutzerklärung

Verarbeitet werden Sozialdaten aus der Assistenz- und Jugendhilfe: Klientenakten und Hilfeplanung, Einsatzplanung, Unterbringung, Übergabe- und Einzugsprotokolle, Personalakten, Abwesenheiten, Auslagen und Abrechnung.

Die Daten unterliegen dem Sozialgeheimnis nach § 35 SGB I. Sie werden ausschließlich zu dem Zweck verarbeitet, zu dem sie erhoben wurden — die Durchführung der Betreuung und die Nachweispflichten gegenüber dem Kostenträger.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c sowie Art. 9 Abs. 2 lit. b und h DSGVO in Verbindung mit § 35 SGB I, § 61 ff. SGB VIII und § 22 BDSG.

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

Jeder Träger ist ein eigener Mandant. Jede Tabelle trägt die Kennung des Mandanten, und die Datenbank setzt die Trennung selbst durch (Row-Level-Security) — nicht erst die Oberfläche. Der Mandant sieht ausschließlich seine eigenen Daten.

Innerhalb eines Trägers gilt zusätzlich die Rolle: Betreuer, Planer, Admin. Ein Betreuer sieht nur die Betreuungsteams, in denen er Mitglied ist, und von fremden Mitarbeitenden nur Bild, Telefon, E-Mail und Funktion.

Ein neuer Mandant startet leer. Es entsteht ein leerer Mandant mit Admin-Konto — keine Daten anderer Mandanten sind sichtbar.

Jede Änderung an einem Datensatz wird mit Zeitpunkt, handelnder Person, Tabelle, vorherigem und neuem Stand festgehalten. Das Protokoll lässt sich nur anfügen; Ändern und Löschen sind allen Rollen entzogen.

Öffnet der Anbieter die Ansicht eines Trägers („Als Mandant öffnen"), wird der Zugriff mit Beginn, Ablauf und Grund festgehalten und dem Admin des Trägers gemeldet. Der Zugriff endet automatisch und wird mit einer Sperre des Trägers sofort unwirksam.

Der Anbieter sieht Konten, Pakete und Zugriffe — ohne einen solchen protokollierten und gemeldeten Zugriff keine Inhalte eines Trägers.

Festgehalten wird nicht nur, wer etwas geändert hat, sondern auch, wer eine Klienten- oder Personalakte geöffnet und wer eine Datei mit Personenbezug abgerufen hat.

Der Vermerk fasst zusammen: derselbe Mensch, dieselbe Akte und eine Viertelstunde ergeben einen Eintrag. Das Protokoll ist damit kein Klickprotokoll und weder zur Verhaltens- noch zur Leistungskontrolle bestimmt oder geeignet. Gelesen wird es von der Verwaltung; wer in die eigene Personalakte gesehen hat, sieht jede Person selbst.

Aufbewahrt wird es zwölf Monate und danach gelöscht — kürzer als jede Fachfrist, weil es nicht der Akte dient, sondern ihrer Kontrolle.

Eine Grenze gehört dazu: erfasst wird der Weg über diese Anwendung. Ein unmittelbarer Zugriff auf die Datenbank mit einem technischen Schlüssel erscheint hier nicht; er ist über die Protokolle des Hosting-Anbieters nachvollziehbar.

Die Daten liegen bei Supabase in der Region eu-central-1 (Frankfurt am Main). Die Anwendung selbst wird bei Vercel betrieben, die zeitgesteuerten Dienste bei Render in der Region Frankfurt, der Mailversand läuft über Resend.

Eine Übermittlung in ein Drittland ist nicht vorgesehen. Für die Betreiber der genannten Dienste können Mutterkonzerne außerhalb der EU bestehen; die vertragliche Absicherung ist im Abschnitt darunter benannt.

Über diese Dienstleister hinaus werden Daten nur an Stellen übermittelt, denen gegenüber eine gesetzliche Auskunfts- oder Nachweispflicht besteht — insbesondere den Kostenträger nach § 62 ff. SGB VIII.

Jede Datenart hat eine Frist mit Rechtsgrundlage. Die Dauer und was nach Ablauf geschieht, stellt der Träger ein; die Rechtsgrundlage ist nicht einstellbar. 30 Tage vor einer automatischen Löschung geht eine Erinnerung an die Geschäftsführung.

Die folgende Aufstellung nennt die Voreinstellung des Systems. Der eigene Träger kann längere Fristen gesetzt haben.

Ein nächtlicher Lauf setzt die Fristen durch, deren Ende sich eindeutig berechnen lässt: Bewerbungen samt Unterlagen sechs Monate nach der Entscheidung, das Zugriffsprotokoll nach zwölf Monaten, das Änderungsprotokoll nach 36 Monaten, die technischen Vermerke des Bewerbungsformulars nach 24 Stunden. Die Dateien in der Ablage werden dabei mitgelöscht.

Die Klientenakte wird ausdrücklich NICHT automatisch gelöscht. Die Aufbewahrung nach § 62 ff. SGB VIII endet nicht an einem Datum, das sich ausrechnen lässt — es kommt darauf an, ob noch ein Verfahren läuft. Der Lauf meldet diese Fälle der Verwaltung; entschieden wird von Hand. Dasselbe gilt für die Personalakte und für alles, was unter die zehnjährige steuerliche Aufbewahrung fällt.

Ein Löschantrag nach Art. 17 wird unabhängig davon einzeln geprüft: gesetzliche Aufbewahrungspflichten gehen ihm vor.

Die Anmeldung erfolgt ohne Passwort über einen Link an die dienstliche E-Mail-Adresse. Der Link gilt 15 Minuten und nur auf diesem Gerät.

Gesetzt wird dafür ein Sitzungscookie. Es ist für den Betrieb unbedingt erforderlich und braucht keine Einwilligung. Ein Cookie zu Werbe-, Analyse- oder Reichweitenzwecken wird nicht gesetzt; ein Einwilligungsbanner gibt es deshalb nicht.

Ob eine eingegebene Adresse im System bekannt ist, verrät die Anmeldung bewusst nicht — sonst ließe sich darüber herausfinden, wer bei welchem Träger arbeitet.

Das Bewerbungsformular ist ohne Anmeldung erreichbar. Bewerbende willigen mit dem Absenden ein: „Ich bin einverstanden, dass der Träger meine Daten zur Bearbeitung der Bewerbung speichert. Nach einer Absage werden sie nach sechs Monaten gelöscht. Die Datenschutzerklärung habe ich gelesen."

Die Einwilligung kann jederzeit für die Zukunft widerrufen werden.

Es besteht das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann jederzeit für die Zukunft widerrufen werden.

Bei Sozialdaten treten die Sonderregeln der §§ 83 ff. SGB X hinzu; sie können das Auskunfts- und Löschungsrecht einschränken, solange gesetzliche Aufbewahrungsfristen laufen.

Anfragen richten sich an den verantwortlichen Träger, nicht an Kindfair.