Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO - wie deine Daten konkret geschützt werden, ergänzend zur Datenschutzerklärung.
Die gesamte Verbindung zu plan.fenyra.de läuft ausschließlich über TLS/HTTPS (Let's-Encrypt-Zertifikat, automatische Erneuerung). Unverschlüsseltes HTTP wird automatisch auf HTTPS umgeleitet. Auch der Abruf bei Stundenplan24 erfolgt verschlüsselt.
Zugangsdaten, die serverseitig für Push-Benachrichtigungen gespeichert werden (siehe Datenschutzerklärung, Punkt 7), sind mit AES-256-GCM verschlüsselt - einem authentifizierten Verschlüsselungsverfahren, das zusätzlich Manipulationen an den verschlüsselten Daten erkennt. Der Schlüssel liegt ausschließlich auf dem Server, niemals im Browser, in Logs oder im Quellcode.
Im Browser gespeicherte Daten (Zugangsdaten in localStorage, Offline-Cache in IndexedDB) sind - wie bei Web-Apps technisch üblich - nicht zusätzlich verschlüsselt, da der Browser diese Daten ohnehin durch die Origin-Isolation des Geräts vor anderen Websites abschirmt.
Der Kernbetrieb (Stundenplan-/Vertretungsanzeige) ist bewusst zustandslos: Es gibt keine Datenbank für Nutzerdaten, jeder Abruf läuft live gegen Stundenplan24, ohne serverseitige Zwischenspeicherung. Nur die optionale Push-Funktion braucht zwangsläufig einen Server-seitigen Zustand, weil sie auch ohne aktiven Nutzer benachrichtigen muss - dieser Zustand ist auf das technisch Notwendige begrenzt.
Alle Anfragen an die zugrunde liegende Schuldatenquelle sind durch Rate-Limiting pro IP-Adresse begrenzt (In-Memory, ohne dauerhafte Speicherung), um Überlastung und automatisierte Missbrauchsversuche zu verhindern. Es werden keine dauerhaften Server-Zugriffs-Logs mit IP-Adressen geschrieben.
Serverseitig gespeicherte Zugangsdaten und Push-Registrierungen werden automatisch entfernt, sobald keine aktive Benachrichtigungs-Registrierung mehr für die jeweilige Schule besteht - Daten bleiben nicht länger vorrätig als für den gewünschten Dienst nötig.
Es sind keine Analytics-, Tracking- oder Werbedienste eingebunden. Die einzigen technisch notwendigen Datenflüsse an Dritte sind die von dir selbst gewählte Stundenplan24-Quelle und - nur bei aktivierten Benachrichtigungen - der Push-Zustelldienst deines Browsers/Betriebssystems.
Da es sich um ein privates, nicht-kommerzielles Projekt handelt, gibt es keinen dedizierten Datenschutzbeauftragten oder ISO-27001-Zertifizierung. Bei Sicherheitsfragen oder gefundenen Schwachstellen erreichst du mich unter der im Impressum genannten E-Mail-Adresse.
Siehe auch: Datenschutzerklärung · Impressum