Privacy notice

Pamir Group GmbH, [FEHLT], vertreten durch Helal Momand. Ein Datenschutzbeauftragter ist [FEHLT].

Anfragen richten Sie bitte an [FEHLT]. Wir antworten binnen eines Monats (Art. 12 Abs. 3 DSGVO).

• Name, Geburtsdatum, Geschlecht, Staatsangehörigkeit, Anschrift, Lichtbild, Teilnehmernummer — für die Teilnehmerakte, den Ausweis und die Zertifikate. Grundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Kursteilnahme).
• Kontaktdaten von Erziehungsberechtigten — für Mitteilungen über Kommen und Gehen, Noten und Nachrichten der Schule. Grundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Anwesenheit, Noten, Prüfungsergebnisse, Klassenbucheinträge — für Unterricht, Beurteilung und Zeugnisse. Grundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Zutrittsereignisse der Ausweiskarte — als Anwesenheitsnachweis und zur Benachrichtigung der Erziehungsberechtigten. Grundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Kennwort (nur als Hash), Sitzungen und Protokolle — für eine sichere Anmeldung, die Nachvollziehbarkeit von Änderungen und die Abwehr von Missbrauch. Grundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Push-Benachrichtigungen auf dem Endgerät — Grundlage: Art. 6 Abs. 1 lit. a DSGVO, also Ihre Einwilligung. Sie ist jederzeit widerrufbar, indem das Gerät abgemeldet wird.
• Angaben aus dem öffentlichen Anmeldeformular — zur Bearbeitung der Anfrage. Grundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich).
• Teilnahme am Videounterricht — für den Online-Unterricht. Grundlage: Art. 6 Abs. 1 lit. b DSGVO. Es wird nicht aufgezeichnet und nicht übertragen.
• Opening the video room is recorded for that lesson with a timestamp — as a hint for the teacher, not as attendance. Attendance is still entered by hand. Basis: Art. 6(1)(b) GDPR. The record is deleted together with the lesson.

Eine automatisierte Entscheidungsfindung nach Art. 22 DSGVO findet nicht statt. Unterrichtsstunden werden nicht aufgezeichnet und nicht übertragen; Aufzeichnung und Übertragung sind im Zutrittsticket des Videoraums technisch abgeschaltet.

Die Plattform verarbeitet Daten von Minderjährigen. Grundlage ist der Ausbildungsvertrag, der bei Minderjährigen von den Erziehungsberechtigten geschlossen wird — nicht eine Einwilligung des Kindes. Wo ausnahmsweise eine Einwilligung die Grundlage ist, etwa bei Push-Benachrichtigungen, gilt § 4 Abs. 4 DSG: eine eigene Einwilligung ist erst ab dem vollendeten 14. Lebensjahr wirksam. Darunter erteilt sie die oder der Erziehungsberechtigte.

Auf jedem Zertifikat steht ein QR-Code, der auf eine öffentlich erreichbare Seite führt. Wer diesen Code hat, sieht dort Gültigkeitsstatus, Name, Teilnehmernummer, Kurs oder Programm, Niveau, Ausstellungsdatum und Dokumentnummer — mehr nicht. Ein Konto ist dafür nicht nötig: Arbeitgeber und Behörden sollen ein vorgelegtes Zertifikat prüfen können. Die Adressen sind nicht erratbar und für Suchmaschinen gesperrt. Wird ein Dokument widerrufen, zeigt dieselbe Seite sofort UNGÜLTIG. Grundlage: Art. 6 Abs. 1 lit. b DSGVO — die Prüfbarkeit ist Teil der Leistung, die das Zertifikat ausmacht.

• Technischer Dienstleister für Entwicklung, Wartung und Betrieb — als Auftragsverarbeiter nach Art. 28 DSGVO.
• Hosting-Anbieter des Servers — als Auftragsverarbeiter. [FEHLT]
• Versanddienst für E-Mail und SMS, sobald eingeschaltet. [FEHLT]
• Betreiber des Videodienstes. [FEHLT]
• Eine Weitergabe zu Werbezwecken findet nicht statt. Ein Verkauf von Daten findet nicht statt.

Der Unterrichtsstandort liegt in Jalalabad, Afghanistan. Lehrkräfte und Verwaltungspersonal greifen von dort auf die Plattform zu. Für Afghanistan besteht kein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO. Die rechtliche Einordnung und die Garantien nach Art. 46 DSGVO werden derzeit geprüft: [FEHLT]

• Zutrittsereignisse: 24 Monate, danach automatisch gelöscht.
• Teilnehmerakte, Noten, Anwesenheit: für die Dauer der Ausbildung und darüber hinaus, solange Zeugnisse nachweisbar bleiben müssen. Frist: [FEHLT]
• Zertifikate und Prüfungsergebnisse: dauerhaft, damit ein vorgelegtes Zertifikat auch nach Jahren prüfbar bleibt.
• Änderungsprotokoll: dauerhaft. Es kann nachträglich weder geändert noch gelöscht werden.
• Nachrichten und Versandprotokolle: [FEHLT]

Ein Konto, mit dem sich jemand einmal angemeldet hat, lässt sich derzeit nicht vollständig entfernen — das Änderungsprotokoll trägt den Benutzerbezug und ist nachträglich nicht veränderbar. Der vorgesehene Weg ist das Stilllegen des Zugangs. Ob das im Einzelfall Art. 17 DSGVO genügt, wird geprüft: [FEHLT]

Die Plattform setzt keine Tracking- oder Werbe-Cookies und bindet keine Analysedienste ein. Gesetzt werden ausschließlich Cookies, die für die Anmeldung und die Sitzungssicherheit nötig sind; sie sind nach § 165 Abs. 3 TKG 2021 einwilligungsfrei, weil ohne sie der ausdrücklich gewünschte Dienst nicht funktioniert. Push-Benachrichtigungen werden nur nach Zustimmung eingerichtet und mit dem Abmelden des Geräts wieder entfernt.

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at

Die Übertragung erfolgt verschlüsselt über HTTPS. Kennwörter werden nur als Hash gespeichert. Zugriffsrechte werden bei jedem Zugriff auf dem Server geprüft, nicht nur in der Oberfläche. Jede Änderung wird in einem nachträglich nicht veränderbaren Protokoll festgehalten.