Datenschutzerklärung

Verantwortlicher

Tobias Bucci
Mühlenweg 51, St. Sigmund
39030 Kiens (BZ), Italien
E-Mail: buccitobias774@gmail.com

Geltungsbereich

Diese Erklärung gilt für die Website www.digitalesregister.com, den Mitteilungsdienst api.digitalesregister.com und den Admin-Bereich. Für die App „Digitales Register“ (auch „Schulregister Südtirol“) gilt die Datenschutzerklärung der App.

Website und Mitteilungsdienst

Bei jedem Aufruf werden technisch verarbeitet: IP-Adresse, User-Agent, aufgerufener Pfad mit Parametern und Zeitpunkt. Beim Mitteilungsdienst sind das zusätzlich die Parameter Plattform, App-Version und Sprache.

Zwecke sind die Auslieferung der Seiten und Mitteilungen, die Sicherheit, die Abwehr von Missbrauch und die Begrenzung der Anfragen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO: Unser berechtigtes Interesse ist ein sicherer und funktionierender Betrieb.

Die Website verwendet keine Analyse, keine Werbung und keine Inhalte von anderen Servern.

Server-Protokolle und Speicherdauer

Der Webserver (Caddy) und der Mitteilungsserver schreiben kein Zugriffsprotokoll.

Um Anfragen zu begrenzen, liegt die IP-Adresse (bei IPv6 die ersten 64 Bit) nur im Arbeitsspeicher. Sie wird nicht auf einen Datenträger geschrieben und geht beim Neustart des Dienstes oder beim Aufräumen der Tabelle verloren.

Nur bei einem Serverfehler (HTTP-Status 5xx) schreibt der Webserver IP-Adresse, aufgerufene Adresse mit Parametern und Anfrage-Header ohne Cookies in das Systemprotokoll des Servers. Das Systemprotokoll wird spätestens nach 15 Tagen gelöscht.

Mitteilungsdienst

Der Dienst ist öffentlich und braucht weder Konto noch Anmeldung. Die App sendet Plattform, App-Version, Sprache und technische Angaben zum Blättern und zur Zwischenspeicherung (limit, cursor, ETag). Sie sendet keine Konto-, Schul- oder Notendaten, keine Gerätekennung und keine Werbe-ID.

Der Server speichert von diesen Anfragen nichts, außer im oben beschriebenen Fehlerfall. Es gibt keine Push-Dienste (kein APNs, kein FCM), keine Cookies und in dieser Phase keine Nutzungsanalyse. Gelesene und ausgeblendete Mitteilungen werden nur auf dem Gerät vermerkt.

Cloudflare

Website, Mitteilungsdienst und Admin-Bereich laufen über Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare stellt DNS, Proxy und CDN, die TLS-Terminierung, den DDoS-Schutz und für den Admin-Bereich Cloudflare Access bereit. Weil die Verschlüsselung bei Cloudflare endet, sieht Cloudflare IP-Adressen, Anfrage-Header und die Anfragen selbst.

Nach eigenen Angaben ist Cloudflare für Kundenprotokolle Auftragsverarbeiter und für andere personenbezogene Daten Verantwortlicher. Cloudflare speichert Daten nach eigenen Angaben vorwiegend in den USA und im Europäischen Wirtschaftsraum; eine Übermittlung außerhalb der EU ist daher möglich. Als Garantien nennt Cloudflare seine Zertifizierung nach dem EU-U.S. Data Privacy Framework und, falls diese entfällt, Standardvertragsklauseln.

Die Antworten enthalten Cloudflare-Header für Network Error Logging. Unterstützende Browser können damit Verbindungsfehler an Cloudflare melden. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

Einzelheiten: Datenschutzerklärung von Cloudflare (4. November 2025), Data Processing Addendum (Version 6.4, 3. April 2026), Unterauftragsverarbeiter.

Hosting bei Oracle

Der Server ist eine virtuelle Maschine der Oracle Cloud Infrastructure (Always Free) in der Region Mailand, Italien (eu-milan-1). Oracle handelt dabei nach eigenen Angaben als Auftragsverarbeiter. Für Übermittlungen aus dem Europäischen Wirtschaftsraum nennt Oracle verbindliche interne Datenschutzvorschriften für Auftragsverarbeiter oder Standardvertragsklauseln sowie das EU-U.S. Data Privacy Framework.

Einzelheiten: Oracle Services Privacy Policy, Oracle Data Processing Agreement.

Admin-Bereich

Der Admin-Bereich ist nur für den Betreiber bestimmt. Der Zugang ist durch Cloudflare Access mit einem Einmal-PIN per E-Mail und durch eine eigene Anmeldung mit Sitzungs-Cookie geschützt. Gibt jemand auf der Anmeldeseite von Cloudflare Access eine E-Mail-Adresse ein, verarbeitet Cloudflare sie für die Zugangsprüfung.

Fehlgeschlagene Anmeldungen werden ohne Klartext-IP gezählt und nach einem Tag gelöscht; Datensicherungen werden nach 14 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

Cookies und lokaler Speicher

Die öffentlichen Seiten setzen keine Cookies, nutzen weder localStorage noch sessionStorage und laden nichts von anderen Servern. Deshalb gibt es kein Cookie-Banner.

Nur im Admin-Bereich gibt es Cookies, und alle sind technisch notwendig: __Host-dr_session hält die Sitzung (endet nach 30 Minuten ohne Aktivität, spätestens nach 12 Stunden), __Host-dr_challenge gilt 5 Minuten während der Anmeldung. Cloudflare Access setzt eigene Authentifizierungs-Cookies, zum Beispiel CF_Authorization und CF_AppSession.

Für technisch notwendige Cookies ist nach Art. 122 des italienischen Datenschutzkodex (D.Lgs. 196/2003) keine Einwilligung nötig. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

Die App

Registerdaten laufen direkt zwischen dem Gerät und dem gewählten Schulregister; der Betreiber der App erhält sie nicht. Für die Daten im Register sind die Schule und ihr Registeranbieter verantwortlich. Nur mit Einwilligung verarbeitet Google (Firebase Crashlytics, Google Analytics for Firebase mit Export nach BigQuery in der EU) Diagnose- und Nutzungsdaten. Einzelheiten stehen in der Datenschutzerklärung der App.

Empfänger und Übermittlungen

Empfänger sind Cloudflare und Oracle wie oben beschrieben. Die Daten auf dem Server bleiben in der Region Mailand; Übermittlungen außerhalb der EU sind bei Cloudflare möglich. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind. Wir verkaufen keine Daten.

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15 bis 20 DSGVO). Du kannst einer Verarbeitung aufgrund berechtigter Interessen widersprechen (Art. 21 DSGVO) und Einwilligungen jederzeit für die Zukunft widerrufen. Schreibe dafür an buccitobias774@gmail.com. Deine Adresse und Nachricht verwenden wir nur für die Antwort; das Postfach liegt bei Google.

Weil es keine Konten und kein Zugriffsprotokoll gibt, können wir Anfragen zu Verbindungsdaten in der Regel keiner Person zuordnen.

Beschwerde

Du kannst dich bei der Aufsichtsbehörde beschweren: Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Rom, www.garanteprivacy.it.

Pflicht zur Bereitstellung, automatisierte Entscheidungen

Du bist nicht verpflichtet, Daten bereitzustellen. Ohne die technisch notwendigen Verbindungsdaten können Seiten und Mitteilungen aber nicht ausgeliefert werden. Es gibt keine automatisierte Entscheidungsfindung und kein Profiling.

Änderungen

Version 5 vom 7. November 2026 ist die erste vollständige Fassung für Website, Mitteilungsdienst und Admin-Bereich. Änderungen werden hier mit neuem Stand veröffentlicht.