Datenschutzerklärung

Arbeitsentwurf 0.1 zur rechtlichen Prüfung, noch nicht in Kraft. Offene Punkte sind mit [ZU BESTÄTIGEN] gekennzeichnet.

Diese Erklärung beschreibt, welche personenbezogenen Daten Brotelo über Eltern und Kinder erhebt, warum wir sie erheben, wer sie erhält, wie lange wir sie aufbewahren und welche Rechte Sie haben. Kinder können auf unserer Seite „Datenschutz für Kinder“ eine kurze Fassung lesen, die für sie geschrieben ist.

1 Das Wichtigste in Kürze

• Nur Erwachsene haben Konten. Kinder nutzen ein Profil, das ein Elternteil für sie erstellt, mit einem Spitznamen, einem Alter und einem vorgegebenen Avatar.
• Kinder geben uns nie eine E-Mail-Adresse, ein Foto, eine Telefonnummer oder ihren Standort.
• Wir verwenden Daten, um die Kurse bereitzustellen, den Lernfortschritt zu speichern, Zertifikate auszustellen, Zahlungen entgegenzunehmen und Brotelo sicher zu halten.
• Keine Werbung, keine Werbetracker, kein Verkauf von Daten, kein Chat und keine öffentlichen Profile.
• Unsere Besuchsstatistik verwendet keine Cookies und läuft nie im Kinderbereich.
• Sie können Ihre Daten und die Daten Ihrer Kinder einsehen, berichtigen, herunterladen und löschen.

2 Wer für Ihre Daten verantwortlich ist

Verantwortlicher für Ihre personenbezogenen Daten ist TOPFED WEB S.R.L., eine in der Republik Moldau eingetragene Gesellschaft, IDNO 1026023125543, mit Sitz in s. Pepeni, r-nul Sîngerei, MD-6234, Republik Moldau. Zu allen Fragen zu dieser Erklärung können Sie uns unter [email protected] schreiben.

2.1 Vertreter in der Europäischen Union

Da wir außerhalb der Europäischen Union niedergelassen sind, müssen wir einen Vertreter in der EU benennen (Art. 27 DSGVO). [ZU BESTÄTIGEN: Name und Kontaktdaten des Vertreters in der EU.]

2.2 Vertreter im Vereinigten Königreich

[ZU BESTÄTIGEN: falls Brotelo im Vereinigten Königreich angeboten wird, Name und Kontaktdaten des Vertreters im Vereinigten Königreich nach Art. 27 UK GDPR.]

2.3 Datenschutzbeauftragter

[ZU BESTÄTIGEN: ob nach Art. 37 DSGVO oder nach dem moldauischen Gesetz Nr. 195/2024 ein Datenschutzbeauftragter benannt werden muss; bis dahin schreiben Sie an [email protected].]

3 Welche Daten wir erheben

3.1 Über Sie als Elternteil

• Kontodaten: Ihre E-Mail-Adresse und die Art Ihrer Anmeldung. Wenn Sie sich mit Google anmelden, erhalten wir die Kennungen, die Google uns übermittelt. [ZU BESTÄTIGEN: welche Daten des Google-Profils gespeichert werden; wir empfehlen nur die Kontokennung und die E-Mail-Adresse.] Ihr Passwort wird von Firebase Authentication verarbeitet, einem Dienst von Google, und wir sehen es nie.
• Bestelldaten: Ihr vollständiger Name, Ihr Land, die Bestätigung, dass Sie mindestens 18 Jahre alt sind, die gekauften Kurse, Preise, Steuern, Währung, Bestelldatum und Bestellnummer, Zahlungsstatus und die Transaktionsreferenz unserer Bank. Ihre vollständige Kartennummer erhalten und speichern wir nicht. [ZU BESTÄTIGEN: ob die Bank uns maskierte Kartendaten übermittelt, etwa die letzten vier Ziffern.]
• Nachweise Ihrer Entscheidungen: Ihre Einwilligungen (Kinderprofile, öffentliche Zertifikate, Newsletter), Ihre Zustimmung zum sofortigen Beginn des Zugangs und Ihre Kenntnisnahme, Ihre Widerrufe und Garantieanfragen, jeweils mit Datum.
• Nachrichten: was Sie uns schreiben (Fragen, Beschwerden, Sicherheitsmeldungen, Anfragen zu Ihren Rechten) und unsere Antworten.
• Newsletter und Warteliste: Ihre E-Mail-Adresse, Ihre Sprache sowie Datum und Nachweis Ihrer Einwilligung und Ihrer Bestätigung (Double-Opt-in).
• Technische Daten: IP-Adresse, Browser- und Gerätetyp, aufgerufene Seiten sowie Datum und Uhrzeit, in den Sicherheitsprotokollen unserer Server und von Cloudflare.

3.2 Über Ihr Kind

Wir speichern nur, was Sie eingeben und was das Kind beim Lernen erzeugt:

• Profil: Spitzname, Alter oder Geburtsjahr und der aus unserer vorgegebenen Auswahl gewählte Avatar.
• PIN: die optionale 4-stellige PIN, in geschützter (gehashter) Form gespeichert. [ZU BESTÄTIGEN: wie die PIN gespeichert wird.]
• Lerndaten: die für das Profil verfügbaren Kurse, die abgeschlossenen Folien, die Antworten auf die Verständnisfragen und im Abschlussquiz, Quizversuche und Punktzahlen sowie die Zeitpunkte der Aktivität. [ZU BESTÄTIGEN: ob die Antworten auf die Verständnisfragen innerhalb der Diashow gespeichert werden.]
• Zertifikate: der Name, den Sie für das Zertifikat gewählt haben (standardmäßig der Vorname und der Anfangsbuchstabe des Nachnamens), der Kurs, das Datum, der Zertifikatscode und ob Sie das Zertifikat öffentlich überprüfbar gemacht haben.

3.3 Was wir von Kindern nie erheben

• Keine E-Mail-Adresse, Telefonnummer oder Postanschrift.
• Keine Fotos, Videos, Sprachaufnahmen oder Uploads jeglicher Art.
• Keine Nachrichten und kein Chat.
• Kein Standort.
• Keine Werbe-IDs, kein Tracking zu Werbezwecken und keine Besuchsstatistik im Kinderbereich.

4 Warum wir Daten verwenden und auf welcher Rechtsgrundlage

[ZU BESTÄTIGEN: die Rechtsgrundlage für die Daten von Kindern (elterliche Einwilligung, unser Vertrag mit dem Elternteil oder berechtigte Interessen) und die Rechtsgrundlage für Unterlagen, die nach moldauischem Recht vorgeschrieben sind, da Art. 6 Abs. 1 lit. c DSGVO nur Verpflichtungen nach dem Recht der Union oder der Mitgliedstaaten erfasst.]

Wir verwenden keine Daten für Werbung oder für Marketingprofile, und wir treffen keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen, die Ihnen oder Ihrem Kind gegenüber rechtliche Wirkung entfalten oder Sie oder Ihr Kind in ähnlicher Weise erheblich beeinträchtigen. Soweit wir uns auf berechtigte Interessen stützen, können Sie widersprechen (Abschnitt 9).

5 Daten von Kindern und elterliche Einwilligung

Brotelo ist für Kinder von 8 bis 14 Jahren gemacht, aber nur Erwachsene haben Konten, und Kinder registrieren sich nie selbst.

Wenn sich ein Online-Dienst auf eine Einwilligung stützt, braucht ein Kind unterhalb des Alters der digitalen Einwilligung nach der DSGVO die Einwilligung des Trägers der elterlichen Verantwortung. Dieses Alter liegt je nach Land zwischen 13 und 16 Jahren, in Rumänien zum Beispiel bei 16 Jahren. Da alle Kinder auf Brotelo 14 Jahre oder jünger sind und sich nie selbst registrieren, fragen wir immer den Elternteil, unabhängig von Alter und Land des Kindes.

Wenn Sie ein Kinderprofil erstellen, bestätigen Sie, dass Sie Elternteil oder Vormund des Kindes sind oder die Erlaubnis des Trägers der elterlichen Verantwortung haben, und Sie willigen in die hier beschriebene Verwendung der Daten des Kindes durch uns ein. [ZU BESTÄTIGEN: wie wir uns unter angemessenen Anstrengungen vergewissern, dass die Einwilligung vom Träger der elterlichen Verantwortung erteilt wird (Art. 8 Abs. 2 DSGVO), und, falls die Vereinigten Staaten bedient werden, das Verfahren für eine überprüfbare elterliche Einwilligung nach COPPA.]

• Wir erheben so wenig wie möglich: einen Spitznamen statt eines vollständigen Namens, ein Alter oder Geburtsjahr statt eines Geburtsdatums, vorgegebene Avatare statt Fotos.
• Sie bleiben informiert: Sie sehen den Lernfortschritt und die Zertifikate Ihres Kindes im Elternbereich, und unsere Seite „Datenschutz für Kinder“ sagt Ihrem Kind, dass Sie diese sehen können.
• Sie können es sich anders überlegen: Sie widerrufen Ihre Einwilligung, indem Sie das Kinderprofil löschen, wodurch die Daten des Kindes gelöscht werden (Abschnitt 8). Der Widerruf der Einwilligung wirkt sich nicht auf die zuvor erfolgte Verarbeitung aus.
• Wir verwenden Daten von Kindern nie für Marketing, Werbung oder Profiling, und wir verkaufen sie nie.
• Wenn sich ein Kind allein registriert hat: Erfahren wir, dass ein Kind selbst ein Konto erstellt hat, löschen wir es.

Wir bewerten die Risiken unserer Verarbeitung für Kinder in einer Datenschutz-Folgenabschätzung. [ZU BESTÄTIGEN: die Datenschutz-Folgenabschätzung (DSFA) vor dem Start abschließen.]

6 Wer Daten erhält

Wir verkaufen keine personenbezogenen Daten. Wir geben sie nur an Dienstleister weiter, die sie als Auftragsverarbeiter für uns, nach unseren Weisungen und auf Grundlage eines Vertrags verarbeiten (Art. 28 DSGVO), sowie an die wenigen unten aufgeführten unabhängigen Empfänger.

[ZU BESTÄTIGEN: die Vertragspartei und der Auftragsverarbeitungsvertrag für jeden Dienstleister.]

Unabhängige Empfänger, nach Maßgabe ihrer eigenen Datenschutzerklärungen:

• MAIB (Moldova Agroindbank), Republik Moldau, die Kartenzahlungen und die Kartendaten verarbeitet, die Sie auf ihrer Zahlungsseite eingeben. [ZU BESTÄTIGEN: ob MAIB als eigenständiger Verantwortlicher oder als unser Auftragsverarbeiter handelt.]
• Google, wenn Sie sich mit Ihrem Google-Konto anmelden, als Anbieter dieses Kontos.
• Berufliche Berater, etwa Rechtsanwälte und Buchhalter, die zur Verschwiegenheit verpflichtet sind.
• Behörden und Gerichte, nur wenn das Gesetz es verlangt oder um ein Kind zu schützen, das in Gefahr sein könnte.

Falls unser Unternehmen oder ein Teil davon jemals verkauft wird, kann der Käufer die Daten erhalten, die zur Fortführung des Dienstes erforderlich sind, und zwar nach Maßgabe dieser Erklärung. Wir würden Sie vorab informieren.

7 Internationale Übermittlungen

Wir haben unseren Sitz in der Republik Moldau, und unser Team greift von dort auf die Daten zu. Die Europäische Kommission hat für die Republik Moldau keinen Angemessenheitsbeschluss erlassen. [ZU BESTÄTIGEN: die Garantien für den Zugriff aus der Republik Moldau gemäß den Leitlinien 05/2021 des Europäischen Datenschutzausschusses (EDSA) zum Zusammenspiel zwischen Art. 3 und Kapitel V DSGVO.]

Unsere Server stehen in Deutschland, und Brevo arbeitet in der EU. Cloudflare und Google können Daten in den Vereinigten Staaten verarbeiten. Für diese Übermittlungen stützen wir uns auf den EU-US-Datenschutzrahmen (EU-US Data Privacy Framework), soweit das jeweilige Unternehmen danach zertifiziert ist, und andernfalls auf die Standardvertragsklauseln der Europäischen Kommission. Für Nutzer im Vereinigten Königreich stützen wir uns auf die britische Erweiterung (UK Extension) dieses Rahmens oder auf den britischen Zusatz (UK Addendum) zu diesen Klauseln. [ZU BESTÄTIGEN: die Zertifizierung und die Garantien jedes Dienstleisters zum Zeitpunkt der Veröffentlichung.]

Kartenzahlungen werden von MAIB in der Republik Moldau abgewickelt.

Sie können eine Kopie der von uns verwendeten Garantien anfordern, indem Sie an [email protected] schreiben.

8 Wie lange wir Daten aufbewahren

Wir bewahren Daten nur so lange auf, wie wir sie benötigen. Die folgenden Fristen sind Vorschläge. [ZU BESTÄTIGEN: jede der folgenden Fristen im Abgleich mit dem moldauischen Buchführungsrecht, den Mehrwertsteuervorschriften der EU und den Verjährungsfristen.]

9 Ihre Rechte

Sie haben das Recht:

• Auskunft über Ihre Daten und eine Kopie davon zu erhalten;
• unrichtige oder unvollständige Daten berichtigen zu lassen;
• Ihre Daten löschen zu lassen;
• die Verwendung Ihrer Daten durch uns in bestimmten Fällen einschränken zu lassen;
• die Daten, die Sie uns bereitgestellt haben, in einem gängigen Format zu erhalten und an einen anderen Dienst übermitteln zu lassen (Datenübertragbarkeit);
• der Verwendung Ihrer Daten auf Grundlage berechtigter Interessen und jederzeit der Direktwerbung zu widersprechen;
• Ihre Einwilligung jederzeit zu widerrufen, ohne dass dies die zuvor erfolgte Verarbeitung berührt;
• keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht; wir treffen keine solchen Entscheidungen.

Sie üben diese Rechte für Ihr Kind aus. Sobald ein Kind alt genug ist, um zu verstehen, worum es geht, berücksichtigen wir seine Sichtweise und sein Wohl.

9.1 So üben Sie Ihre Rechte aus

Im Elternbereich können Sie Kinderprofile ändern oder löschen, die öffentliche Überprüfung eines Zertifikats ein- oder ausschalten, Ihre E-Mail-Einstellungen ändern und Ihr Konto schließen. [ZU BESTÄTIGEN: die zum Start verfügbaren Selbstbedienungsfunktionen, einschließlich des Herunterladens Ihrer Daten.]

Sie können auch von der E-Mail-Adresse Ihres Kontos an [email protected] schreiben. Wir können Sie bitten, Ihre Identität zu bestätigen. Wir antworten innerhalb eines Monats. Bei komplexen oder zahlreichen Anfragen können wir diese Frist um zwei weitere Monate verlängern und teilen Ihnen die Gründe mit. Die Ausübung Ihrer Rechte ist kostenlos, es sei denn, eine Anfrage ist offenkundig unbegründet oder exzessiv.

10 Beschwerden bei einer Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren:

• in der Republik Moldau beim Nationalen Zentrum für den Schutz personenbezogener Daten (NCPDP), www.datepersonale.md;
• in der Europäischen Union bei der Behörde des Landes, in dem Sie leben oder arbeiten oder in dem das Problem aufgetreten ist; der Europäische Datenschutzausschuss führt sie alle auf edpb.europa.eu auf; in Rumänien ist dies die ANSPDCP, www.dataprotection.ro;
• im Vereinigten Königreich beim Information Commissioner's Office (ICO), ico.org.uk.

Wir wären Ihnen dankbar, wenn wir uns zuerst um Ihr Anliegen kümmern dürften. Bitte schreiben Sie uns deshalb an [email protected].

11 Sicherheit

Wir schützen Daten durch technische und organisatorische Maßnahmen, die den Risiken angemessen sind, insbesondere bei Daten von Kindern:

• alle Verbindungen zu Brotelo sind verschlüsselt (HTTPS);
• unsere Server stehen in Deutschland, und nur die Personen, die Zugriff benötigen, haben ihn;
• Passwörter werden von Firebase Authentication verarbeitet und nie von uns gespeichert;
• PINs werden in geschützter (gehashter) Form gespeichert;
• Kartendaten werden von der Bank verarbeitet, nie von uns;
• wir halten unsere Systeme auf dem neuesten Stand und erstellen regelmäßig Sicherungskopien.

[ZU BESTÄTIGEN: die technischen und organisatorischen Maßnahmen, wie in der DSFA und im Verzeichnis von Verarbeitungstätigkeiten dokumentiert.]

Bei einer Verletzung des Schutzes personenbezogener Daten melden wir diese, soweit gesetzlich vorgeschrieben, innerhalb von 72 Stunden der zuständigen Behörde, und wir benachrichtigen Sie unverzüglich, wenn sie voraussichtlich ein hohes Risiko für Sie oder Ihr Kind zur Folge hat.

12 Marketing-E-Mails

Den Newsletter und Neuigkeiten zur Warteliste senden wir nur an Eltern, die sie anfordern. Für die Anmeldung gibt es ein eigenes Kästchen, das nie vorab angekreuzt ist, und Sie bestätigen die Anmeldung, indem Sie auf den Link klicken, den wir Ihnen senden (Double-Opt-in). Wir senden Kindern nie Marketing-E-Mails. Jede E-Mail enthält einen Abmeldelink, und eine Abmeldung wirkt sich weder auf Ihr Konto noch auf Ihre Service-E-Mails aus. [ZU BESTÄTIGEN: dass das Öffnungs- und Klick-Tracking in Brevo ausgeschaltet ist.]

13 Cookies und ähnliche Technologien

Wir speichern auf Ihrem Gerät nur, was Brotelo zum Funktionieren braucht. Wir verwenden keine Analyse-Cookies und keine Werbe-Cookies. Unsere Cookie-Richtlinie führt alles auf.

14 Nutzer in bestimmten Ländern

14.1 Vereinigtes Königreich

Wenn Sie im Vereinigten Königreich leben, gelten die UK GDPR und der Data Protection Act 2018. Wir befolgen den Age Appropriate Design Code des ICO (den Children's Code): hohe Datenschutzstandards als Voreinstellung, Datenminimierung, kein Profiling, kein Nudging zur Preisgabe weiterer Daten und Datenschutzinformationen, die Kinder verstehen können.

14.2 Vereinigte Staaten

[ZU BESTÄTIGEN: ob Brotelo zum Start in den Vereinigten Staaten angeboten wird. Falls ja, muss COPPA vor dem Start eingehalten werden: direkte Benachrichtigung der Eltern, überprüfbare elterliche Einwilligung vor der Erhebung personenbezogener Informationen von Kindern unter 13 Jahren, eine schriftliche Richtlinie zur Datenaufbewahrung, ein Programm für Informationssicherheit und ein Online-Hinweis mit einer Telefonnummer.] Eltern in den Vereinigten Staaten können die personenbezogenen Informationen ihres Kindes einsehen, deren Löschung verlangen und deren weitere Erhebung oder Verwendung untersagen. Wir verlangen von einem Kind nicht mehr Informationen, als für die Teilnahme an einer Aktivität vernünftigerweise erforderlich sind.

14.3 Republik Moldau

Unsere Verarbeitung unterliegt außerdem dem Gesetz Nr. 195/2024 über den Schutz personenbezogener Daten der Republik Moldau. [ZU BESTÄTIGEN: die anwendbaren Bestimmungen, ihr Inkrafttreten und etwaige Registrierungs- oder Meldepflichten gegenüber dem NCPDP.]

15 Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren. Das Datum oben zeigt die aktuelle Fassung. Über wichtige Änderungen informieren wir Sie per E-Mail, bevor sie wirksam werden, und wir bitten Sie erneut um Ihre Einwilligung, wenn eine Änderung dies erfordert.

16 Kontakt

TOPFED WEB S.R.L., s. Pepeni, r-nul Sîngerei, MD-6234, Republik Moldau. E-Mail: [email protected].