1. Worum geht es?
Die Aldi-Pass-Plattform unterstützt während einer beantragten schulischen Pilotphase die Freigabe von Schülerinnen und Schülern der 10. Klassen für einen Besuch des benachbarten Aldi in der Mittagspause sowie die Dokumentation von Ausgang und Rückkehr.
2. Verantwortliche Stelle
[VOR VERÖFFENTLICHUNG FESTLEGEN: verantwortliche Schule/Stelle einschließlich Postanschrift, Kontaktdaten und ggf. Datenschutzbeauftragte/r]
Technischer Anbieter nach derzeitiger Planung: NextGen Media, Georgi Valkov, Sindlinger Bahnstraße 115, 65931 Frankfurt am Main, georgivalkovnote@gmail.com. Ob NextGen Media im Auftrag der Schule oder in anderer rechtlicher Funktion handelt, ist noch festzulegen.
3. Welche Daten werden verarbeitet?
- Stammdaten: Name, Klasse, Benutzername und zugewiesene Benutzerrolle.
- Kontodaten: sicher gespeicherter Passwort-Hash, Kennzeichnung eines erforderlichen Passwortwechsels, Freigabestatus und Datum der Kontoanlage.
- Elterliche und schulische Freigabe: Status, ob eine unterschriebene Erklärung geprüft und der Pass freigegeben wurde; das Papierformular wird gesondert verwaltet.
- Nutzungsdaten: protokollierte Ausgangs- und Rückkehrzeit sowie Verspätungskennzeichnung.
- Sperrdaten: Zähler für Verspätungen, Sperrgrund, Sperrzeitraum beziehungsweise dauerhafter Entzug.
- Admin-Protokoll: Zeitpunkt, ausführender Account, betroffener Account, Aktion und Details.
- Technische Daten: zur Auslieferung und Absicherung erforderliche Server- und Verbindungsdaten; konkreter Umfang und Aufbewahrungsdauer des Webhosters sind noch zu bestätigen.
Nach derzeitiger Planung werden weder Fotos, GPS-Standorte noch biometrische Daten für die An- oder Abmeldung benötigt. Die Schüler melden sich selbst auf dem eigenen Smartphone an und ab. Die Selbstmeldung ist kein verifizierter Standortnachweis.
4. Wozu dienen die Daten?
Account- und Zugangsverwaltung; Prüfung der Eltern- und Schulfreigabe; Dokumentation, wer sich beim Aldi-Besuch als abwesend gemeldet hat; Prüfung von Rückkehrzeiten und Regelverstößen; Anzeige von Sperren und Nachvollziehbarkeit administrativer Änderungen. Lehrkräfte kontrollieren die Anwesenheit zu Beginn der nächsten Unterrichtsstunde zusätzlich.
5. Rechtsgrundlage und Freiwilligkeit
[VOR ECHTBETRIEB FESTLEGEN] Die Schule muss klären, auf welcher datenschutzrechtlichen Grundlage die für das Projekt notwendigen Daten verarbeitet werden. Soweit eine freiwillige datenschutzrechtliche Einwilligung erforderlich ist, gelten Art. 6 Abs. 1 Buchst. a und Art. 7 DSGVO; bei schulischer Aufgabenwahrnehmung kommen gegebenenfalls andere Befugnisse in Betracht. Die Einverständniserklärung für das Verlassen des Schulgeländes ist von einer gegebenenfalls gesondert erforderlichen datenschutzrechtlichen Einwilligung zu unterscheiden. Ohne Teilnahme am freiwilligen Aldi-Pass-Projekt entstehen keine Nachteile im regulären Schulbetrieb.
6. Empfänger, Hosting und Zugriff
Technisches Hosting nach aktuellem Testaufbau: STRATO-Webhosting mit PHP und MySQL. [VOR ECHTBETRIEB: konkrete STRATO-Gesellschaft, Serverstandort, etwaige Unterauftragnehmer, Auftragsverarbeitungsvertrag und tatsächliche Zugriffsbefugnisse bestätigen.] Die Anwendung sieht Rollen für Schüler, Lehrkräfte und SV vor. Schüler sehen ihre eigenen Daten; berechtigte Lehrkräfte und SV-Mitglieder erhalten Verwaltungszugriff. Zugriffsrechte müssen auf das erforderliche Maß begrenzt werden.
7. Anmeldung und Cookies
Die Plattform verwendet ein technisch erforderliches Sitzungs-Cookie zur Anmeldung. Die derzeitige PHP-Implementierung setzt hierfür das Cookie ALDIPASSSESSID mit Schutzattributen. Die genaue technische Konfiguration ist vor dem Echtbetrieb erneut zu testen. Nach aktuellem Quellcode sind keine Werbe- oder Tracking-Cookies vorgesehen.
8. Speicherdauer und Löschung
[KONKRETE LÖSCHFRISTEN VOR FREIGABE FESTLEGEN] Vorgesehen ist eine Auswertung nach einem Schulhalbjahr. Konto-, Besuchs- und Sperrdaten dürfen nicht unbegrenzt aufbewahrt werden. Es muss festgelegt werden, welche Daten wann gelöscht werden, welche gesetzlichen Aufbewahrungspflichten gegebenenfalls gelten und wie Backups und Hosting-Protokolle behandelt werden. Eine automatische vollständige Löschung nach Pilotende ist derzeit nicht nachgewiesen und wird deshalb nicht zugesichert.
9. Rechte der Betroffenen
Betroffenen können je nach Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie Widerspruch und – soweit einschlägig – Datenübertragbarkeit zustehen. Eine auf Einwilligung beruhende Verarbeitung kann für die Zukunft widerrufen werden. Anfragen sind an die noch zu bestätigende verantwortliche Stelle zu richten.
10. Beschwerderecht
Es besteht das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren. Für die hessische schulische Stelle kommt insbesondere der Hessische Beauftragte für Datenschutz und Informationsfreiheit in Betracht: datenschutz.hessen.de.
11. Schutz und offene Punkte
Passwörter sollen ausschließlich als Hash gespeichert werden; Zugriffe erfolgen per HTTPS. Vor Freigabe sind insbesondere Zugriffsschutz, Passwortzurücksetzung, Backupverfahren, Protokollierung, Löschfunktionen sowie die gemeinsame Sanktionierungsentscheidung von Lehrkraft und SV zu prüfen.
Stand: 04.11.2026 · Dieses Dokument basiert auf dem derzeitigen technischen Prototyp und ersetzt keine rechtliche Prüfung.