01Verantwortlicher
Betreiber der App und Website Smart City Explorer und Verantwortlicher für die Verarbeitung personenbezogener Daten ist Brand Institute, o. z. (Bürgervereinigung), ID-Nr. (IČO) 42174180, Sitz: Havelkova 2795/30, 841 03 Bratislava, Slowakische Republik.
Die App entstand in Zusammenarbeit mit der Fakultät für Sozialwissenschaften der Universität St. Kyrill und Method in Trnava (FSV UCM) im Rahmen des Projekts KEGA 004UCM-4/2023. Die FSV UCM ist nicht Verantwortliche für die personenbezogenen Daten der App-Nutzer.
Kontakt zum Datenschutz und zur Geltendmachung Ihrer Rechte: info@smartcityexplorer.sk.
02Welche Daten wir verarbeiten
Je nach Nutzung der App verarbeiten wir:
- Registrierungsdaten — Name, E-Mail, Schule oder Stadt, Zielgruppe (Grundschule/Mittelschule/Hochschule/Erwachsene).
- Aktivitätsdaten — Fortschritt in den Modulen, Quizergebnisse, Punktzahl und erhaltene Smart City Coins (SCC), Teilnahme an Herausforderungen.
- Technische Daten — Gerätetyp, Sprache und grundlegende Diagnosedaten für den Betrieb.
- Geburtsdatum — nur zur Altersprüfung, d. h. um festzustellen, ob die Einwilligung des gesetzlichen Vertreters erforderlich ist.
- Daten für die Prämienzustellung — beim Eintausch von SCC gegen physische Prämien: Vorname, Nachname und Lieferadresse, optional eine Telefonnummer, sowie Bestelldaten.
- Daten des Elternkontos — Vorname, Nachname, bestätigte E-Mail-Adresse und ein Passwort, das nur als Hash gespeichert wird.
03Zweck und Rechtsgrundlage
Wir verarbeiten personenbezogene Daten zu folgenden Zwecken:
- Bereitstellung des Dienstes — Kontoführung, Bildungsinhalte, SCC und Prämien (Vertragserfüllung bzw. Einwilligung).
- Ranglisten und Challenges — Anzeige der Platzierung nach Ort und Schule.
- Bildungsforschung — Auswertung und Verbesserung der Lerninhalte in Forschungskooperation mit der FSV UCM (Projekt KEGA 004UCM-4/2023), ausschließlich in pseudonymisierter oder aggregierter Form (berechtigtes Interesse des Verantwortlichen).
- Altersprüfung und Zustimmung des gesetzlichen Vertreters — Feststellung, ob für den Eintausch von SCC gegen physische Prämien die Zustimmung des gesetzlichen Vertreters erforderlich ist, sowie Aufbewahrung des Nachweises dieser Zustimmung (§ 15 Abs. 1 des slowakischen Gesetzes Nr. 18/2018 Z. z. und Art. 8 DSGVO).
04Speicherdauer
Wir speichern die Daten, solange das Konto besteht, und so lange, wie es gesetzliche Pflichten erfordern. Forschungsdaten werden nach der Auswertung nur anonymisiert aufbewahrt, eine Zuordnung zu einer Person ist nicht möglich.
05Weitergabe an Dritte
Wir verkaufen keine personenbezogenen Daten und geben sie nicht für Marketingzwecke Dritter weiter. Nur für den Betrieb notwendige Auftragsverarbeiter verarbeiten Daten:
- Apple App Store und Google Play (Vertrieb der App),
- Hosting-Anbieter — ein Server in der EU, der für Brand Institute, o. z. betrieben wird und auf dem App, Verwaltung, Datenbank und das Newsletter-Versandsystem (Acelle) laufen,
- Anbieter eines E-Mail-Dienstes zum Versand von E-Mails (z. B. Kontobestätigung, Anfragen zur Zustimmung der Eltern und Newsletter) — Amazon Web Services EMEA SARL (Amazon SES, EU-Rechenzentrum – Frankfurt); bis zur Umstellung auf dieses System Google LLC (Gmail).
Forschungskooperation mit der FSV UCM — Forschende der Fakultät für Sozialwissenschaften der UCM in Trnava (Projekt KEGA 004UCM-4/2023) erhalten nur Lerndaten ohne Namen, E-Mail-Adressen, Anschriften oder sonstige Kontaktdaten, die mit einem Zufallscode gekennzeichnet sind (pseudonymisiert), oder zusammengefasste Statistiken. Den Schlüssel zu diesen Codes besitzt ausschließlich Brand Institute, o. z. Forschungsergebnisse werden nur in zusammengefasster Form veröffentlicht, die keine Identifizierung einzelner Personen zulässt.
07Ihre Rechte
Als betroffene Person haben Sie das Recht:
- auf Auskunft und Berichtigung,
- auf Löschung („Recht auf Vergessenwerden“) und Einschränkung der Verarbeitung,
- auf Widerspruch gegen die Verarbeitung und auf Datenübertragbarkeit,
- auf Beschwerde bei einer Aufsichtsbehörde.
Der gesetzliche Vertreter eines Kindes hat das Recht auf Auskunft über die Daten des Kindes, deren Export, Berichtigung, Löschung und Einschränkung der Verarbeitung, das Recht, die Einwilligung jederzeit zu widerrufen, sowie das Recht auf Beschwerde beim Úrad na ochranu osobných údajov SR (slowakische Datenschutzbehörde). Einwilligung, Datenexport und Löschung des Kinderkontos lassen sich direkt im Elternkonto erledigen.
Ihre Rechte machen Sie unter info@smartcityexplorer.sk geltend.
08Konto löschen
Sie können Ihr Konto samt Daten jederzeit in der App löschen oder uns schreiben. Die Schritte und die Liste der gelöschten Daten finden Sie auf der Seite Konto löschen.
09Kinder unter 16 Jahren und Einwilligung des gesetzlichen Vertreters
Die App nutzen auch Schülerinnen und Schüler von Grund- und Mittelschulen. Kinder unter 16 Jahren können die Lern-App (Module, Lektionen, Quizze, Umfragen) ohne Einwilligung des gesetzlichen Vertreters ganz normal nutzen.
- Wann eine Zustimmung erforderlich ist — Die Zustimmung des gesetzlichen Vertreters gemäß § 15 Abs. 1 des slowakischen Gesetzes Nr. 18/2018 Z. z. und Art. 8 DSGVO verlangen wir nur für den Eintausch gesammelter SCC gegen physische Prämien, da wir dabei Vorname, Nachname und Lieferadresse des Kindes verarbeiten (optional Telefonnummer und Bestelldaten). Ohne Zustimmung wird das Konto nicht gelöscht; blockiert werden nur der SCC-Eintausch und die Eingabe einer Lieferadresse.
- Geburtsdatum — bei der Registrierung fragen wir das Geburtsdatum ausschließlich ab, um festzustellen, ob die Einwilligung des gesetzlichen Vertreters erforderlich ist (Altersprüfung). Das Alter wird in der Zeitzone Europe/Bratislava berechnet.
- Prüfung über die E-Mail des gesetzlichen Vertreters — ein Kind unter 16 Jahren kann die E-Mail-Adresse eines Elternteils angeben, die sich von der eigenen E-Mail-Adresse des Kindes unterscheiden muss. Der Elternteil erhält eine E-Mail mit einem einmaligen Link, der 14 Tage gültig ist (nach 7 Tagen eine Erinnerung). Er bestätigt, dass er der gesetzliche Vertreter des Kindes ist, und erteilt oder verweigert die Einwilligung. Die Einwilligung kann auch im Elternkonto erteilt werden.
- Einwilligungsprotokoll — jeder Schritt wird als Nachweis protokolliert (Zeitpunkt, IP-Adresse, Browserkennung – User Agent, Textversion und Art der Erteilung). Das Protokoll wird als Nachweis auch nach der Löschung des Kontos aufbewahrt, dann ohne Verbindung zum gelöschten Konto.
- Links in E-Mails — Tokens in Links speichern wir nur als Hash; abgelaufene Tokens werden täglich gelöscht.
- Schule und Kommune — die Schule sieht den Benutzernamen bzw. Namen, die Klassenstufe und den Lernfortschritt. Die Kommune sieht nur aggregierte Ergebnisse; Gruppen mit weniger als 5 Schülerinnen und Schülern werden nicht angezeigt. Die Lieferadresse sehen weder die Schule noch die Kommune.
- Kein Marketing — an Schülerinnen und Schüler senden wir niemals Marketing-E-Mails.
10Elternkonto
Der gesetzliche Vertreter kann ein Elternkonto in der App (Option „Ich bin Elternteil“) oder im Portal admin.smartcityexplorer.sk/rodic anlegen.
- Verarbeitete Daten — Vorname, Nachname, E-Mail-Adresse (bestätigt) und ein Passwort, das nur als Hash gespeichert wird.
- Verknüpfung mit dem Kind — automatisch, wenn das Kind die E-Mail-Adresse des Elternteils angegeben und der Elternteil sie bestätigt hat, oder per Kopplungscode: Das Kind erzeugt in der App (Profil → Mit Elternteil verknüpfen) einen einmaligen 8-stelligen Code, der 48 Stunden gültig ist, und der Elternteil gibt ihn unter „Kind hinzufügen“ ein. Vom Code speichern wir nur einen Hash.
- Was Eltern sehen — nur verknüpfte Kinder: Name, Schule, Klassenstufe, abgeschlossene Module, Lektionen und Quiz, Punkte, SCC-Guthaben, letzte Aktivität und Zustimmungsstatus.
- Was Eltern tun können — die Einwilligung jederzeit erteilen oder widerrufen (der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung), die Daten des Kindes herunterladen (JSON-Export), die Verknüpfung aufheben und das Konto des Kindes sowie das eigene Konto dauerhaft löschen.
- Marketing — Eltern erhalten keine Marketing-E-Mails, es sei denn, sie melden sich selbst dafür an.