Sicherheit und Datenschutz

So gehen wir mit Fotos und Daten um

Diese Seite nennt, was die Plattform tut und wo die Daten liegen. Was hier nicht steht, tut sie nicht.

Grundsätze

Acht Regeln, die im Code verankert sind

Jede Regel ist eine festgehaltene Entscheidung und durch Tests abgesichert.

Gesichter werden nie generativ verändert
Erlaubt sind Zuschnitt, Drehen, Tonwerte des ganzen Fotos, Schärfe und Vergrösserung. Den Hintergrund ersetzt auf Wunsch eine einzige Farbe entlang einer Maske. Kein generatives Bildmodell im Produktivbetrieb.
Keine Gesichts-Embeddings
Die Prüfung berechnet und speichert keine biometrischen Vektoren. Ein Foto lässt sich damit nicht wiedererkennen.
Ein Regelwerk für Browser und Server
Die Live-Prüfung auf dem Handy und die Prüfung auf dem Server lesen dieselbe Datei mit Schwellwerten.
Durchgangsstation, kein Archiv
Das Originalfoto bleibt für die Bearbeitung, bis die Schule das Foto abgeholt hat. Danach wird es in der Regel innert 10 Minuten gelöscht, ebenso die Maske. Die fertigen Formate und die Angaben zur Person werden 30 Tage nach dem Abholen gelöscht. Es bleibt ein Protokoll mit Kennungen und Codes, ohne Namen und ohne Bild.
Getrennte Ablagen
Die Datenbank enthält nie Bildinhalte; die Bildablage enthält nie Namen, Nummern oder Adressen. Beides zusammen gibt es nur im Moment des Downloads.
Der Link ist das Geheimnis
Lernende brauchen kein Konto. Der Link hat einen zufälligen Schlüssel, läuft ab und wird gegen Erraten geschützt.
Jede Schule ihr Mandant
Daten einer Schule sind in jeder Abfrage nach Schule gefiltert; die Datenbank erzwingt die Trennung zusätzlich.
Keine Tracker, nichts Externes
Keine externen Schriften, Scripts oder Analysedienste. Die Seiten laden nur von der eigenen Adresse.

Was die Schule entscheidet

Freigabe, Bearbeitung, Hintergrund, Hochladen und Schnittstelle liegen bei der Schule. Die Plattform setzt um, was sie wählt, und sonst nichts.

Freigabe. Ob ein Foto vor dem Abholen angenommen werden muss, stellt die Schule ein. Lehnt sie ein Foto ab, entsteht ein neuer Auftrag; die Person erhält auf Wunsch einen neuen Link mit einem Tipp.
Bearbeitung. Ausschnitt, Drehung und Tonwerte des ganzen Fotos. Gespeichert werden nur die Werte; gerechnet wird immer vom Original aus.
Hintergrund. Nur wenn die Schule es wählt. Ein Modell auf dem eigenen Server liefert eine Maske, kein Bild, und ersetzt wird mit einer einzigen Farbe. Kein Bild verlässt dafür den Betrieb, kein generatives Verfahren.
Hochladen. Fotos, die die Schule schon hat, durchlaufen dieselbe Prüfung. Die Schule bestätigt sie an Stelle der Person; ein gesperrtes Foto wird nicht übernommen.
Schnittstelle. Ob ein Schulverwaltungssystem angebunden wird, entscheidet die Schule. Seine Zugänge gelten nur für sie und nur für die gewählten Rechte, ein Widerruf wirkt sofort; Benachrichtigungen gehen nur an die Adresse, die sie angibt.
Löschen. Einen abgeschlossenen Auftrag löscht die Schule jederzeit sofort. Sonst geschieht es 30 Tage nach dem Abschluss, ohne ihr Zutun.
Berichte. Zahlen je Tag und Monat, ohne Namen und ohne Personalnummern. Sie bleiben, wenn Fotos und Personendaten gelöscht sind.
Logo und QR-Code. Das Logo wird ohne Metadaten neu gespeichert. Der QR-Code, mit dem Lernende vom Computer aufs Handy wechseln, entsteht auf dem eigenen Server; kein fremder Dienst sieht den Link.

Speicherorte

Der Anbieter betreibt die Plattform in Europa. Die Unterauftragsbearbeiter sind benannt, mit dem, was sie erhalten.

Wo die Daten liegen
Was	Wo	Hinweis
Datenbank, Bildablage, Prüfung, Zuschnitt, Nachbearbeitung, Maske des Hintergrunds	Hetzner, Deutschland	Ein Server, verschlüsselte Verbindungen, Zugriff nur für den Anbieter. Die Maske rechnet ein Dienst ohne Verbindung nach aussen.
Ergänzende Prüfung (Bildverständnis)	Infomaniak, Schweiz	Nur wenn der Anbieter sie einschaltet. Erhält dann nur eine Vorschau mit 768 Pixeln Kantenlänge, nie das Original, nie Personenbezug.
Einladungen per SMS und E-Mail	Ein Versanddienst	Die Nachricht enthält den Link und den Namen der Schule, kein Foto. Welche Dienste es sind, nennt die Datenschutzerklärung.
Schulverwaltungssystem über die Schnittstelle	Bei der Schule	Nur wenn die Schule es anbindet. Zugang je Schule; Fotos über Links, die nach 10 Minuten verfallen.

Die Datenschutzerklärung nennt Fristen, Rechte und Ansprechstellen. Für eine Schule wird ein Auftragsverhältnis vereinbart.

Nennen Sie uns die Zahl der Lernenden und die Formate. Wir melden uns mit den nächsten Schritten.

Keine Preise auf dieser Seite: der Rahmen wird je Schule vereinbart.