Datenschutzerklärung

Stand: Juli 2026

Auf einen Blick — die Kurzfassung

• praktical hilft der Staatlichen Dieter-Hildebrandt-Wirtschaftsschule, Praktika zu organisieren. Sie ist verantwortlich für deine Daten und betreibt diese Instanz selbst.
• Gespeichert wird nur, was für das Praktikum gebraucht wird: deine Stammdaten, Bewerbungen, Verträge, Anwesenheit und Aufgaben.
• Praktikumsbetriebe sehen so wenig wie möglich: deinen Vornamen mit Initial, den Zeitraum und die Anwesenheit — keine Adresse, keine Klasse, keine Atteste.
• Atteste werden nach der Prüfung durch die Lehrkraft automatisch gelöscht. Es bleibt nur der Vermerk, dass eines vorlag.
• Alle Daten liegen auf Servern in Deutschland. Es gibt kein Tracking und keine Werbung.
• Nach deinem Schulabschluss oder -austritt werden deine Daten automatisch zur Löschung fällig — spätestens am Ende des folgenden Schuljahres.
• Fragen oder Auskunftswünsche richtest du an die Staatliche Dieter-Hildebrandt-Wirtschaftsschule.

1. Verantwortlichkeit

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und Betreiber dieser Instanz ist der Freistaat Bayern, vertreten durch die Staatliche Dieter-Hildebrandt-Wirtschaftsschule:

Staatliche Dieter-Hildebrandt-Wirtschaftsschule München
Schulleiterin StDin Bärbel Ritthammer
Plinganserstraße 28
81369 München
Deutschland
E-Mail: ws-staatlich@muenchen.de
App-Kontakt: praktikum@ws-muenchen.de
Telefon: 089 233676-00

Datenschutzanfragen können an die oben genannte Schule oder direkt an ihre Datenschutzbeauftragte gerichtet werden.

Datenschutzbeauftragte

StRin Martina Klaß
Plinganserstraße 28
81369 München
Deutschland
E-Mail: ws-staatlich@muenchen.de

Jonas Zimmermann stellt der Schule die Software zur Nutzung bereit und betreut das System in seiner Funktion als Lehrkraft. Er ist in diesem Betriebsmodell weder externer Betreiber noch Auftragsverarbeiter der Schule.

2. Rechtsgrundlagen

Die Verarbeitung erfolgt zur Erfüllung der schulischen Aufgaben auf Grundlage von Art. 6 Abs. 1 Buchst. e DSGVO in Verbindung mit Art. 85 Bayerisches Gesetz über das Erziehungs- und Unterrichtswesen (BayEUG) und der Bayerischen Schulordnung (BaySchO). Angaben zu krankheitsbedingten Fehlzeiten werden auf Grundlage von Art. 9 Abs. 2 Buchst. g DSGVO verarbeitet. Nur für einzelne optionale Funktionen volljähriger Nutzer (z. B. Push-Benachrichtigungen für Lehrkräfte) oder die Aufnahme eines Betriebs in die schulische Betriebsdatenbank wird eine Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO eingeholt; sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Nutzung von praktical setzt keine Einwilligung voraus — beim ersten Login wird lediglich die Kenntnisnahme dieser Hinweise dokumentiert.

3. Welche Daten verarbeitet werden

Schülerinnen und Schüler

• Stammdaten: Name, Klasse, Kontaktdaten, Geburtsdatum (für den Jugendarbeitsschutz)
• Bewerbungen, Zusagen und Praktikumsverträge samt Nachweisen
• Anwesenheits- und Arbeitszeiten während des Praktikums
• Aufgaben, Abgaben und Bewertungen
• Nachweise über Nachholzeiten und anerkannte Praktika

Erziehungsberechtigte

• Name und Kontaktdaten — soweit für Praktikumsverträge minderjähriger Schülerinnen und Schüler erforderlich

Lehrkräfte und Schulverwaltung

• Name, dienstliche Kontaktdaten, Klassen- und Betreuungszuordnungen, Unterrichtsverteilung
• Protokolle sicherheitsrelevanter Verwaltungsaktionen (Audit-Log)

Ansprechpartner in Betrieben

• Name und dienstliche Kontaktdaten, Rückmeldungen zum Praktikum

4. Krankmeldungen und Atteste

Bei Krankmeldungen speichert praktical dauerhaft nur den Zeitraum der Abwesenheit und den Vermerk, ob ein Attest eingereicht wurde. Diagnosen werden zu keinem Zeitpunkt erfasst. Das hochgeladene Attest selbst ist nur vorübergehend gespeichert: Nach der Prüfung durch die Lehrkraft wird es automatisch nach einer kurzen, von der Schule festgelegten Frist gelöscht; nicht geprüfte Atteste verfallen automatisch spätestens 14 Tage nach dem Hochladen. Der Praktikumsbetrieb sieht nur „entschuldigt“ oder „unentschuldigt“, niemals das Attest.

5. Bewerbungsnachweise

Bewerbungsnachweise (z. B. Screenshots von E-Mails oder Fotos von Bewerbungen) können Kontaktdaten von Betriebsmitarbeitern enthalten. Diese Daten werden ausschließlich zur Dokumentation des Bewerbungsprozesses verarbeitet und sind nur für die betreuende Lehrkraft einsehbar.

6. Was Praktikumsbetriebe sehen

Betriebe erhalten Zugriff ausschließlich über aufgabenbezogene Links und sehen nur das notwendige Minimum: Vorname mit Initial des Nachnamens, Praktikumszeitraum, Anwesenheitsstatus sowie die Kontaktdaten der betreuenden Lehrkraft. Nicht einsehbar sind insbesondere: vollständiger Name, private Kontaktdaten, Adresse, Klassenbezeichnung, Atteste und schulische Bewertungen.

7. Mobile App (iOS und Android)

praktical ist auch als App über den Apple App Store und Google Play erhältlich. Beim Bezug über die Stores verarbeiten Apple bzw. Google als eigenständige Verantwortliche Daten nach ihren eigenen Datenschutzbestimmungen (z. B. Konto- und Downloaddaten). Innerhalb der App gilt:

• Push-Benachrichtigungen stehen Schülerkonten nicht zur Verfügung. Für Schüler werden weder Geräte-Tokens registriert noch Push-Nachrichten versendet. Volljährige Nutzer können Push optional im Systemdialog aktivieren. Die Zustellung erfolgt über den Dienst des Geräteherstellers (Apple Push Notification Service bzw. Firebase Cloud Messaging); die Inhalte werden dabei auf das Notwendige beschränkt.
• Dokumentenscan:Für die Scan-Funktion wird Google ML Kit genutzt. Die Bildverarbeitung findet ausschließlich lokal auf Ihrem Gerät statt; Bildinhalte werden nicht an Google übertragen. Anonymisierte technische Diagnosedaten (z. B. Gerätemodell) können durch die Google Play Services verarbeitet werden.
• Biometrische Anmeldung (Face ID/Fingerabdruck) ist optional; die biometrischen Daten verbleiben ausschließlich auf Ihrem Gerät und werden nicht an praktical übertragen.

8. Cookies und Tracking

praktical verwendet ausschließlich technisch notwendige Cookies für Anmeldung und aufgabenbezogene Betriebszugänge (§ 25 Abs. 2 TDDDG). Es gibt keine Tracking-Cookies, keine Werbe-Cookies und keine Analyse durch Dritte — deshalb auch kein Cookie-Banner.

Die mit __Secure- beginnenden Namen gelten im verschlüsselten Produktivbetrieb. In einer lokalen Entwicklungsumgebung entfällt dieser Präfix. Alle genannten Cookies sind nicht per JavaScript auslesbar, werden nur über verschlüsselte Verbindungen übertragen und gelten ausschließlich für praktical.

9. Hosting und Empfänger

praktical wird auf Servern in Deutschland betrieben (Mittwald CM Service GmbH & Co. KG). Transaktions-E-Mails werden über Scaleway SAS in der TEM-Region Paris, Frankreich (EU) versendet. Dabei werden nur die für die Zustellung erforderliche E-Mail-Adresse und der jeweilige Nachrichteninhalt verarbeitet. E-Mail-Benachrichtigungen für Schüler und Lehrkräfte sind standardmäßig ausgeschaltet und können freiwillig aktiviert werden. Nach der dienstspezifischen Dokumentation von Scaleway werden Daten des Transaktions-Maildienstes nicht außerhalb der EU verarbeitet. Eine mögliche Drittlandverarbeitung betrifft daher nur die optionale Push-Zustellung für volljährige Nutzer über Apple bzw. Google (Ziffer 7); Schülerdaten werden nicht über diese Dienste verarbeitet. Die Schule hat mit beiden Anbietern eigene Verträge einschließlich der Vereinbarungen zur Auftragsverarbeitung. Empfänger von Daten sind daneben nur die unter Ziffer 6 beschriebenen Praktikumsbetriebe im dort genannten Umfang.

10. Protokolle

Beim Aufruf der Anwendung verarbeitet der Webserver technisch bedingt IP-Adresse, Zeitpunkt und aufgerufene Ressource. Diese Zugriffsprotokolle dienen der Betriebssicherheit. IP-Adressen werden bereits beim Schreiben gekürzt; Cookies und Anmeldedaten werden nicht protokolliert. Die Protokolle werden spätestens nach 7 Tagen gelöscht. Sicherheitsrelevante Ereignisse (z. B. fehlgeschlagene Anmeldeversuche, Zugriffe auf sensible Daten, Datenexporte) werden in einem Audit-Protokoll festgehalten; IP-Adresse und Geräteinformationen werden dort nach 30 Tagen entfernt, die Einträge nach einem Jahr gelöscht.

11. Speicherdauer und Löschung

Personenbezogene Daten werden gelöscht, sobald sie für die Praktikumsverwaltung nicht mehr erforderlich sind. Die Fristen orientieren sich an Anlage 2 der Bayerischen Schulordnung: Nach dem Verlassen der Schule werden Schülerdaten standardmäßig spätestens am Ende des folgenden Schuljahres zur Löschung fällig und nach Bestätigung durch die Schule anonymisiert. Atteste werden bereits deutlich früher automatisch gelöscht (Ziffer 4). Der Zugang zur Anwendung wird mit dem Austrittstag deaktiviert. Statistische Auswertungen erfolgen ausschließlich mit anonymisierten Daten ohne Personenbezug. Anwesenheits- und Bewertungsdaten werden während der Schulzeit so lange vorgehalten, wie es für gesetzliche Pflichten erforderlich ist (insbesondere die Nachholpflicht versäumter Praktikumszeiten bis zum Abschluss). Gelöschte Daten verbleiben für höchstens 30 Tage in verschlüsselten Sicherungskopien und werden dort nicht wiederhergestellt.

12. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Da die Staatliche Dieter-Hildebrandt-Wirtschaftsschule die verantwortliche Stelle ist, richten Sie Anfragen am besten an diese Schule bzw. deren Datenschutzbeauftragte oder Datenschutzbeauftragten; Schülerinnen und Schüler ab 14 Jahren können ihre Rechte selbst wahrnehmen; daneben können Erziehungsberechtigte die Rechte minderjähriger Schülerinnen und Schüler ausüben.

Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 Buchst. e DSGVO erfolgt, Widerspruch einzulegen. Die Daten werden dann nicht mehr verarbeitet, es sei denn, es liegen zwingende schutzwürdige Gründe für die Verarbeitung vor, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

13. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist je nach Träger Ihrer Schule:

• für öffentliche Schulen: der Bayerische Landesbeauftragte für den Datenschutz, Wagmüllerstraße 18, 80538 München
• für Schulen in privater Trägerschaft: das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach
• für Schulen in kirchlicher Trägerschaft: die jeweilige kirchliche Datenschutzaufsicht

14. Änderungen

Diese Datenschutzerklärung wird angepasst, wenn sich die Anwendung oder die Rechtslage ändert. Bei wesentlichen Änderungen werden Nutzerinnen und Nutzer beim nächsten Login auf die neue Fassung hingewiesen. Die jeweils aktuelle Fassung ist in der App und auf der Website abrufbar.