Impressum
Angaben gemäß § 5 DDG (Digitale-Dienste-Gesetz)
Diensteanbieter
Friedrich-List-Berufskolleg Bonn
Plittersdorfer Straße 48
53173 Bonn (Bad Godesberg)
Schulleitung
Frau Antje Kost, Schulleiterin
E-Mail: antje.kost@flb-bonn.de
Schulträger
Stadt Bonn
Verantwortlich für redaktionelle Inhalte
Frau Antje Kost (§ 18 Abs. 2 MStV),
Anschrift wie oben
Entwicklung und Urheberrecht
Jens Onnen
© 2025–2026 Jens Onnen. Alle Rechte vorbehalten.
scholino ist ein privat und außerhalb des Dienstes entwickeltes Werk –
kein Dienstauftrag, keine Auftragsarbeit. Proprietär: Nutzung, Weitergabe und
Bearbeitung nur mit ausdrücklicher Genehmigung des Urhebers.
Kontakt: jens.onnen@gmx.de
Version – · Build –
Der App-Server wird betrieben von Hetzner Online GmbH, Deutschland.
Datenschutzinformation
Gemäß Art. 13 DSGVO – für Schülerinnen, Schüler und Erziehungsberechtigte
1. Verantwortliche Stelle
Friedrich-List-Berufskolleg Bonn
Plittersdorfer Straße 48, 53173 Bonn (Bad Godesberg)
Schulleitung: Frau Antje Kost, Schulleiterin
Schulträger: Stadt Bonn
2. Datenschutzbeauftragte/r
Datenschutzbeauftragte/r der Stadt Bonn
Berliner Platz 2, 53111 Bonn
E-Mail und Telefon werden nach Mitteilung der Stadt Bonn ergänzt.
3. Wann erhalten Sie diese Information?
Diese Information wird Ihnen (bzw. Ihren Erziehungsberechtigten) schriftlich bei der
Schulaufnahme ausgehändigt, bevor Ihre Daten aufgenommen werden. Der Hinweis beim
ersten App-Start dient als Bestätigung.
4. Zwecke der Verarbeitung und Rechtsgrundlagen
- Digitaler, kryptographisch gesicherter Schülerausweis
- Passwort-Tresor für schulische Zugangsdaten (UCS/Moodle, WebUntis, Schulcloud, Microsoft 365) – nur auf Ihrem Gerät entschlüsselt
- Anzeige Ihres persönlichen Stundenplans über WebUntis
- Einsicht in aktuelle Buch- und Geräteausleihen sowie Rückgabetermine – nur auf Ihrem Gerät sichtbar
- Stammdateneinsicht und Möglichkeit zur Korrekturmeldung
- Ende-zu-Ende-verschlüsselter Schul-Messenger
Rechtsgrundlagen:
Art. 6 Abs. 1 lit. e DSGVO (öffentliche Aufgabe) i.V.m. § 120 und § 82 SchulG NRW –
für Stammdaten, Zugangsdaten, Ausleihe und Messenger.
Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) – für das Foto im digitalen Ausweis;
für Schüler unter 16 Jahren erteilen die Erziehungsberechtigten die Einwilligung
(Art. 8 DSGVO).
5. Welche Daten werden gespeichert?
- Name, Geburtsdatum, Geburtsort und -land
- Schul-E-Mail-Adresse, Telefonnummer
- Notfallkontakt: Name und Telefonnummer
- Klasse, Gültigkeitsdatum des Ausweises, Schulnetz-Benutzername
- Passfoto (nur mit Einwilligung)
- Zugangsdaten für schulische Dienste – auf dem Server ausschließlich verschlüsselt; im Klartext nur auf Ihrem Gerät
- Aktueller Ausleihstatus (Bücher, Geräte) – verschlüsselt, nur auf Ihrem Gerät lesbar
- Technische Daten: Einmal-Setup-Token, Zugriffstoken
- Messenger: verschlüsselte Nachrichten (Klartext niemals auf dem Server); optional pseudonymer Gerätetoken für Push-Benachrichtigungen
6. Wie werden Ihre Daten geschützt?
Ihre Daten werden auf dem Server ausschließlich verschlüsselt gespeichert.
Die Entschlüsselung findet nur auf Ihrem Smartphone statt – nach Eingabe Ihrer PIN.
Weder der Serverbetreiber noch unbefugte Dritte können Ihre Daten lesen.
- Hybride Ende-zu-Ende-Verschlüsselung (RSA-4096 + AES-256)
- PIN-Schutz mit 600.000-facher Schlüsselableitung (PBKDF2-SHA256) und AES-256-GCM
- Verschlüsselte Übertragung (HTTPS/TLS)
- Brute-Force-Schutz: 5 Fehlversuche → 5 Min Sperre, 8 → 30 Min, 12+ → 24 h
- Protokollierung aller administrativen Aktionen im Audit-Log
- Messenger: Nachrichten werden ausschließlich auf Ihrem Gerät ver- und entschlüsselt – der Server kennt keine Inhalte (zero-knowledge)
7. Wer erhält Ihre Daten?
- Hetzner Online GmbH (App-Server, Deutschland) – erhält ausschließlich verschlüsselte Daten; Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO vorliegend.
- WebUntis / Westermann – für den Stundenplanabruf werden Ihre Zugangsdaten zur Anmeldung übermittelt (schulvertraglich eingesetzter Dienst).
- Schulcloud (schul.cloud) – Zugangsdaten liegen verschlüsselt nur auf Ihrem Gerät; kein Klartextversand durch die App.
- Microsoft 365 – Zugangsdaten liegen verschlüsselt nur auf Ihrem Gerät.
- Browser-Push-Dienste (Google / Apple / Mozilla), falls Push aktiviert: Es wird nur ein pseudonymer Gerätetoken übermittelt – kein Inhalt. Google und Apple sitzen in den USA; die Übermittlung ist durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Push kann jederzeit im Browser deaktiviert werden.
- Schulverwaltung FLB – für die Datenpflege auf dem internen, nicht öffentlich erreichbaren Verwaltungsserver.
Eine Übermittlung außerhalb der EU findet ausschließlich im Zusammenhang mit
optionalen Push-Benachrichtigungen statt (s. o.).
8. Wie lange werden Ihre Daten gespeichert?
- Stammdaten, Zugangsdaten, Foto: bis zur Ausschulung, danach automatische Löschung innerhalb von 90 Tagen
- Setup-Token und Private Key auf dem App-Server: Löschung unmittelbar nach erstmaligem Abruf (Einmaltoken)
- Messenger-Nachrichten: bis zum aktiven Löschen oder spätestens bei Ausschulung; maximale Aufbewahrung 3 Jahre nach letzter Aktivität
- Audit-Log (Adminaktionen): maximal 36 Monate
- Ausleihstatus: bis zur vollständigen Rückgabe aller entliehenen Gegenstände, spätestens bei Ausschulung
9. Ihre Rechte
Sie können diese Rechte beim Sekretariat des FLB geltend machen.
Wir antworten innerhalb von einem Monat (Art. 12 Abs. 3 DSGVO):
- Auskunft (Art. 15 DSGVO) – alle Daten in der App einsehbar; Export als JSON in den Einstellungen möglich.
- Berichtigung (Art. 16 DSGVO) – Korrekturanfrage direkt über die App (Profil-Tab), verschlüsselt an die Verwaltung.
- Löschung (Art. 17 DSGVO) – Antrag beim Sekretariat; Löschung auf allen Servern mit Protokolleintrag.
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO) – gilt für Ihr Foto (Einwilligungsbasis). Für sonstige Daten steht freiwillig ein JSON-Export bereit.
- Widerspruch (Art. 21 DSGVO) – soweit die Verarbeitung auf Art. 6 Abs. 1 lit. e DSGVO beruht, können Sie aus Gründen Ihrer besonderen Situation widersprechen; Antrag beim Sekretariat.
- Widerruf der Foto-Einwilligung (Art. 7 Abs. 3 DSGVO) – gilt ab dem Zeitpunkt des Widerrufs. Das Foto wird aus dem Ausweis entfernt und der verschlüsselte Datensatz ohne Fotodaten neu erstellt. Der Widerruf wirkt nicht rückwirkend.
10. Beschwerderecht
Sie haben das Recht, sich bei der Aufsichtsbehörde zu beschweren:
Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW)
Postfach 20 04 44, 40102 Düsseldorf
www.ldi.nrw.de
11. Ist die App-Nutzung freiwillig?
Ja. Die Nutzung der App ist freiwillig. Der Papierausweis steht weiterhin zur
Verfügung. Zugangsdaten für schulische Dienste können auch ohne App beim
Sekretariat erfragt werden. Schulische Dienste (UCS/Moodle, WebUntis usw.)
können unabhängig von der App genutzt werden.
12. Automatisierte Entscheidungen
Die App trifft keine automatisierten Entscheidungen über Sie (Art. 22 DSGVO).
Stand: 16. Mai 2026 · Version 1.1
