Verantwortlicher im Sinne der DSGVO ist: Samuel Eder Erlachgasse 83/19 1100 Wien Österreich E-Mail: edmusictech@gmail.com

COMUS ist eine privat betriebene Webanwendung zur constraint-basierten Organisation und Planung von Musikunterricht. Sie dient Lehrkräften und Musikschulen zur Erstellung von Stundenplänen unter Berücksichtigung von Verfügbarkeiten, Nachmittagsschule, Hobbys und weiteren Blockern. Die Anwendung ist nicht für sensible personenbezogene Daten (besondere Kategorien gemäß Art. 9 DSGVO) gedacht. Bitte tragen Sie insbesondere keine Gesundheitsdaten, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit, genetische oder biometrische Daten oder Daten zum Sexualleben in Freitextfelder ein.

a) Lehrkräfte (Registrierung, Konto, Planung) Für Lehrkräfte werden die für den Zugang und die Stundenplanung notwendigen Daten verarbeitet: • E-Mail-Adresse (kanonisiert, klein geschrieben) • Anzeigename (freiwillig) • Passwort-Hash (Argon2id), niemals das Klartext-Passwort • E-Mail-Verifizierungsstatus (Zeitstempel der Bestätigung) • Lehrer-Konfiguration und -Einstellungen (JSON, z. B. Anzeigenamen, Planungsparameter, optionales Schüler-Zugangspasswort als Hash, Projekt-Token für den Schüler-Portal-Zugang) • Lehrverfügbarkeiten (zeitliche Fenster pro Wochentag, optional mit Ort) • Manuell erfasste Planungsdaten (Schüler-Listen, Einstellungen zu Pausen, Länder-spezifische Ferien) b) Schüler:innen / Eltern (über Einladungslink / Schülerportal) Über den Einladungslink werden ausschließlich Stundenplanungsdaten erfasst. Ein eigenes COMUS-Benutzerkonto ist für Schüler:innen nicht erforderlich. • Name oder Spitzname • Alter (optional) • Lektionsdauer • Bevorzugter Lektionstermin (Tag, Start, Ende) • Bis zu drei alternative mögliche Termine • Nachmittagsschule / Nachmittagsbetreuung (Tag, Schulbeginn, Schulende) • Weitere Verpflichtungen / Blocker (Tag, Start, Ende, Bezeichnung, z. B. Sport, andere Kurse) • Manuelle Konflikt-Markierung und Freitext-Notiz • Einladungs-/Zugangs-Token (pro Schüler ein Projekt-Token, vom System generiert) c) Technische Zugriffsdaten Beim Aufruf der Website können durch die Hosting-Infrastruktur (IONOS) technische Zugriffsdaten verarbeitet werden, insbesondere IP-Adresse, Browsertyp und -version, Betriebssystem, Referrer, aufgerufene Seiten, Zeitstempel sowie Angaben zum Ergebnis des HTTP-Requests. Diese Daten dienen ausschließlich der Bereitstellung, Stabilität und Sicherheit der Anwendung (Erkennung und Abwehr von Angriffen, Fehleranalyse). Eine Zusammenführung mit personenbezogenen Kontodaten findet nicht statt.

COMUS betreibt eine eigene Authentifizierung auf Basis von E-Mail und Passwort: • Passwörter werden ausschließlich als Argon2id-Hashes gespeichert; das Klartext-Passwort ist dem Betreiber zu keinem Zeitpunkt bekannt. • E-Mail-Verifizierung: Nach Registrierung wird ein signierter, kurzlebiger Verifizierungs-Link (15 Minuten Gültigkeit) an die angegebene E-Mail-Adresse gesendet. Das Konto kann auch ohne Verifizierung genutzt werden; bestimmte Aktionen (z. B. Versand von Schüler-Einladungen) setzen eine verifizierte E-Mail voraus. • Passwort-Zurücksetzung: Auf Anforderung wird ein signierter, einmalig nutzbarer Reset-Link (15 Minuten Gültigkeit, an die Reset-Generation des Accounts gebunden) versendet. Nach erfolgreicher Nutzung wird die Reset-Generation inkrementiert, sodass alte Links ungültig werden. • Sitzungsverwaltung: Serverseitige PHP-Sessions. Der Session-Cookie heißt `comus_session` und ist in der Produktion mit den Attributen `Secure`, `HttpOnly` und `SameSite=Lax` konfiguriert. Die maximal konfigurierte Lebensdauer beträgt 30 Tage. Nach erfolgreichem Login wird die Session-ID neu generiert (Session-Fixation-Schutz); beim Logout wird die Session serverseitig zerstört und der Cookie gelöscht. Ein Google-Login (OAuth) ist im Code vorhanden, in der Produktion jedoch deaktiviert und wird aktuell nicht als Anmeldemöglichkeit angeboten. Sollte dies in Zukunft aktiviert werden, gilt ergänzend die Datenschutzerklärung von Google (policies.google.com/privacy).

Die Produktion von COMUS läuft ausschließlich auf Infrastruktur der IONOS SE Elgendorfer Straße 57 56410 Montabaur Deutschland • Frontend: Statisches Next.js-Export-Hosting (IONOS Webhosting) • Backend: PHP-API (IONOS Webhosting, PHP-FPM) • Datenbank: MariaDB (IONOS Managed Database / Shared-Hosting-Datenbank) • E-Mail-Versand (Transaktions-E-Mails für Verifizierung und Passwort-Reset): IONOS SMTP-Mailinfrastruktur (smtp.ionos.com, Port 465 SMTPS/SSL) Anwendungsdaten (Kontodaten, Lehrer-Einstellungen, Schüler-Planungsdaten, Token) werden in der MariaDB-Datenbank auf IONOS-Servern gespeichert. Die Datenbank wird nicht öffentlich exponiert; der Zugriff erfolgt ausschließlich über die PHP-API. Es werden keine Anwendungsdaten auf Vercel, Supabase, Google Cloud Platform (GCP) oder anderen Cloud-Anbietern gespeichert. Frühere Testumgebungen auf diesen Plattformen sind nicht mehr produktiv.

COMUS setzt ausschließlich technisch notwendige Speichermechanismen ein: • Session-Cookie `comus_session` (siehe Abschnitt 4): HttpOnly, Secure (Produktion), SameSite=Lax, max. 30 Tage, Neugenerierung der Session-ID nach Login, Löschung bei Logout. • UI-Präferenzen (z. B. gewählte Sprache) können im `localStorage` des Browsers gespeichert werden; diese enthalten keine personenbezogenen Daten. Es werden keine Analyse-, Marketing- oder Tracking-Dienste eingesetzt: • Kein Google Analytics, kein Meta Pixel, kein Hotjar, keine Werbenetzwerke. • Keine extern eingebundenen Google Fonts (Schriften werden lokal ausgeliefert). • Keine Tracking-Cookies zu Werbe- oder Analysezwecken. Serverseitige Webserver-Logs (Access-/Error-Logs) werden von IONOS im Rahmen des Hosting-Vertrags geführt. Auf deren genaue Aufbewahrungsdauer und Konfiguration hat COMUS keinen direkten Einfluss; Details entnehmen Sie bitte der Datenschutzerklärung von IONOS.

COMUS versendet transaktionale E-Mails ausschließlich für folgende Zwecke: • E-Mail-Verifizierung nach Registrierung (Signierter Link, 15 Min. Gültigkeit) • Passwort-Zurücksetzung auf Nutzerwunsch (Signierter Link, 15 Min. Gültigkeit, einmalig nutzbar, an Reset-Generation gebunden) Der Versand erfolgt über die IONOS SMTP-Infrastruktur (`smtp.ionos.com`, Port 465, SMTPS/SSL, Authentifizierung über ein dediziertes Postfach `noreply@ederlabs.at`). Die E-Mails enthalten keine sensiblen Nutzerdaten außer der E-Mail-Adresse des Empfängers und dem jeweiligen Link. Implementierungsdetails (Signatur-Algorithmus, Token-Struktur) werden hier aus Sicherheitsgründen nicht offengelegt.

Die Verarbeitung erfolgt zu folgenden Zwecken: 1. Bereitstellung der COMUS-Funktionalität (Stundenplanung, Schüler-Portal, Einladungsverwaltung) – Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / vorvertragliche Maßnahmen). 2. Authentifizierung, Kontoverwaltung, Sicherheit (Login, Session, Verifizierung, Passwort-Reset, Brute-Force-Schutz) – Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb). 3. Speicherung der von Lehrkräften eingegebenen Planungsdaten (Verfügbarkeiten, Schülerdaten, Einstellungen) – Art. 6 Abs. 1 lit. b DSGVO. 4. Technischer Betrieb, Stabilität, Fehleranalyse, Abwehr von Angriffen – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). 5. Versand transaktionsbezogener E-Mails (Verifizierung, Passwort-Reset) – Art. 6 Abs. 1 lit. b DSGVO. Eine Nutzung zu Werbe-, Profiling- oder Drittvermarktungszwecken findet nicht statt. Hinweis zur Verantwortlichkeit für Schülerdaten: Lehrkräfte / Musikschulen geben Schülerdaten in COMUS ein. Je nach organisatorischem Kontext kann die jeweilige Lehrkraft / Musikschule selbst Verantwortlicher (Controller) im Sinne der DSGVO für diese Schülerdaten sein. COMUS (Samuel Eder) agiert insoweit als Auftragsverarbeiter (Processor) oder stellt lediglich die technische Plattform bereit. Lehrkräfte sollten prüfen, ob für ihre Schülerdaten eine eigene Rechtsgrundlage (z. B. Vertrag, Einwilligung) besteht und ob ein Auftragsverarbeitungsvertrag (AVV) mit COMUS gewünscht ist.

Grundsatz: Daten werden nur so lange gespeichert, wie sie für die jeweils dokumentierten Zwecke erforderlich sind; danach werden sie gelöscht. Kontodaten und Löschung durch die Lehrkraft: • Kontodaten und Lehrer-Einstellungen werden gespeichert, solange der Account besteht und für die Erbringung der Leistung erforderlich ist. • Lehrkräfte können ihr Konto jederzeit selbst über die Anwendung endgültig löschen (in den Einstellungen unter „Konto unwiderruflich löschen“, Bestätigung durch Eingabe von LÖSCHEN). Dabei werden unmittelbar auch die Lehrer-Einstellungen, Projekt-/Zugangs-Token sowie alle über das Konto verwalteten Schüler-Planungsdaten (Einladungen, Einreichungen) in einem einzigen Datenbankvorgang gelöscht. Diese Aktion ist nicht umkehrbar. Automatische Bereinigung ohne Nutzeraktion: • Nicht verifizierte Konten (E-Mail-Adresse nicht bestätigt) werden automatisch 30 Tage nach der Registrierung gelöscht, sofern bis dahin keine Verifizierung erfolgt ist. • Schüler-Planungsdaten (Einladungen, Einreichungen) werden automatisch 12 Monate nach der letzten relevanten Aktivität gelöscht. Als Aktivität zählen sowohl Aktualisierungen durch die Lehrkraft als auch Einreichungen/Änderungen über das Schülerportal. Lehrkräfte können Schülerdatensätze jederzeit selbst löschen oder ersetzen. • Die automatische Bereinigung läuft als täglicher, unabhängiger Wartungsvorgang (Cleanup) und protokolliert ausschließlich aggregierte Zahlen ohne Personenbezug. Löschung auf Verlangen und Hinweise: • Auf Verlangen der betroffenen Person (Lehrkraft oder – soweit COMUS Verantwortlicher ist – Schüler:in / Eltern) werden personenbezogene Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. steuerrechtliche, buchhalterische Nachweise) entgegenstehen. Kontakt: edmusictech@gmail.com. • Eine Löschung bezieht sich auf die aktiven Anwendungsdaten. Bereits zuvor vom Hosting-Anbieter (IONOS) im Rahmen von dessen Sicherungs-/Backup-Konzept erstellte Kopien können nicht garantiert sofort entfernt werden; die Aufbewahrung solcher Sicherungen folgt den Konditionen des Hosting-Anbieters. • Technische Zugriffslogs (Webserver-Logs bei IONOS) unterliegen den Aufbewahrungsfristen des Hosting-Anbieters; COMUS hat darauf keinen direkten Einfluss. • Session-Daten (Server-seitig) werden mit Ablauf der Session (max. 30 Tage Inaktivität) bzw. bei Logout automatisch bereinigt.

Als Infrastruktur-Dienstleister (Auftragsverarbeiter im Sinne von Art. 28 DSGVO) wird eingesetzt: • IONOS SE (Hosting: Webspace, PHP-Laufzeit, MariaDB-Datenbank, SMTP-Mailversand) Ein Auftragsverarbeitungsvertrag (AVV) mit IONOS liegt vor (Standard-AVV von IONOS für Shared-Hosting-Kunden). Weitere Dritte erhalten keine personenbezogenen Daten: • Keine Datenübermittlung an Vercel, Supabase, Google Cloud Platform (GCP) oder andere Cloud-Anbieter im produktiven Betrieb. • Externe Links (z. B. „Buy Me a Coffee“ im Footer) führen lediglich auf externe Webseiten; COMUS übermittelt dabei keine Planungs- oder Kontodaten. Beim Klick gelten die Datenschutzbestimmungen der jeweiligen Zielseite.

COMUS selbst setzt keine Webanalyse-, Tracking- oder Marketing-Tools ein (kein Google Analytics, Matomo, Meta Pixel, Hotjar, keine Consent-Management-Plattform, da nicht erforderlich). Externe Schriftarten, Skripte oder Iframes Dritter werden nicht eingebunden. Alle Assets (Fonts, Icons, CSS, JS) werden vom eigenen Hosting (IONOS) oder per Inline-Code ausgeliefert. Serverseitige Zugriffsstatistiken, die IONOS im Rahmen des Hosting-Vertrags möglicherweise bereitstellt (z. B. aggregierte Besucherzahlen im Kundenportal), werden von COMUS nicht aktiv ausgewertet und nicht mit personenbezogenen Daten verknüpft.

COMUS nutzt einen constraint-basierten SAT-/Optimierungs-Algorithmus (Solver), der aus den eingegebenen Verfügbarkeiten, Blockern und Präferenzen einen Stundenplan-Vorschlag berechnet. Die Berechnung erfolgt serverseitig (PHP/TypeScript) auf der eigenen Infrastruktur. Dies stellt keine „automatisierte Entscheidung im Einzelfall“ mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO dar: Der Solver erzeugt einen Vorschlag, den die Lehrkraft prüft, anpasst und erst durch explizites Speichern verbindlich macht. Die finale Entscheidung über den Stundenplan verbleibt beim Menschen.

Ihnen stehen – soweit die jeweiligen Voraussetzungen vorliegen – folgende Rechte zu: • Auskunft (Art. 15 DSGVO) • Berichtigung (Art. 16 DSGVO) • Löschung (Art. 17 DSGVO) • Einschränkung der Verarbeitung (Art. 18 DSGVO) • Datenübertragbarkeit (Art. 20 DSGVO) • Widerspruch gegen Verarbeitungen auf Basis von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO) • Beschwerde bei einer Aufsichtsbehörde, z. B. der Österreichischen Datenschutzbehörde (DSB), Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at Zur Geltendmachung Ihrer Rechte wenden Sie sich an edmusictech@gmail.com.

Diese Datenschutzerklärung wird angepasst, wenn sich die technische Architektur von COMUS, die eingesetzten Dienste oder die gesetzlichen Anforderungen ändern. Die jeweils aktuelle Version ist auf dieser Seite abrufbar. Wesentliche Änderungen werden – soweit technisch möglich – im Anwendungskontext (z. B. per Banner oder E-Mail an verifizierte Kontakte) angekündigt.

Contact: edmusictech@gmail.com