Datenschutzerklärung（隐私声明）
1. Verantwortlicher（责任主体）
Förderungsgesellschaft für Bildung und Kultur am Rhein e.V.（运营向阳学堂 / Xiangyang Akademie）
Gerkerath 171, 41179 Mönchengladbach, Deutschland。法定代表人（§26 BGB）：Xiaohong Jin（Vorstandsvorsitzende）。
数据保护事务联系方式：info@xiangyang.eu。行使权利或就数据处理提问，请使用此邮箱联系我们。
2. Zugriffsdaten und Server-Logs（官网访问与服务器日志）
当您访问本网站时，服务器会自动记录技术性访问日志（IP 地址、访问时间、请求的页面、浏览器类型），仅用于保障系统安全与稳定运行、排查故障。
法律依据：Art. 6 Abs. 1 lit. f DSGVO（保障 IT 安全与可用性的合法利益）。
保留期：访问日志最多保留 7–14 天后自动删除（logrotate）。本网站不使用分析工具、广告追踪或第三方 Cookie；页面资源（字体、地图静态图等）全部自托管，不向第三方发起请求。
本网站仅使用一个技术必需的会话 Cookie（登录后维持会话，HttpOnly），不用于追踪，无需 Cookie 同意横幅。
3. Anmeldung neuer Schüler（新生报名）
您通过报名表提交的信息（孩子姓名、出生年份、意向班型、中文水平、监护人姓名、电话、邮箱、留言）仅用于：处理入学申请、与您取得联系、安排试听与分班。
法律依据：Art. 6 Abs. 1 lit. b DSGVO（应数据主体请求在缔约前采取措施）。提交前的「我已阅读隐私声明」勾选是知情确认，不是同意（Einwilligung）——入学申请的处理不以可撤回的同意为基础。
保留期：报名被婉拒或失去联系的申请记录，自处理结束起 6 个月后自动删除；转为正式入学的，数据转入学生档案（见第 4 条）。
4. Schüler- und Familienstammdaten, Benutzerkonten（在校生与家庭主数据、账号）
正式入学后，我们为管理教育服务处理学生档案（姓名、拼音、出生年份、监护人联系方式、地址、中文水平、备注、状态）与家庭/教职工账号（用户名、密码以 argon2id 不可逆哈希存储，登录会话）。
法律依据：Art. 6 Abs. 1 lit. b DSGVO（履行教育服务合同）及 lit. f（账号安全与防滥用的合法利益）。
访问权限按角色分级：教师仅能访问本班相关数据，家庭账号仅能访问本家庭孩子的数据。系统对分班、删除、导出、密码重置等敏感操作留存审计记录（保留 12 个月）。
我们不采集健康、宗教、族裔等特殊类别数据（Art. 9 DSGVO）；备注字段明确提示教职工请勿记录此类信息。
保留期：教育关系存续期间保留；学生离校后按协会保留方案，于离校后 1 个完整学年结束时删除或匿名化。
5. Anwesenheitserfassung（考勤记录）
教师在每次课记录学生的出勤状态（出席/迟到/请假/缺席），用于教学管理与家长沟通，并可导出考勤报表供内部使用。
法律依据：Art. 6 Abs. 1 lit. b DSGVO（教育服务履行）及 lit. f（教学组织的合法利益）。数据仅在协会内部使用，不向第三方传输。
6. Hausaufgaben und Foto-Upload（作业与照片上传）
家长可通过系统上传孩子完成作业的照片，供任课教师批阅反馈。上传的图片在服务器端会被重新编码，自动剥离全部元数据（包括 EXIF 拍摄位置信息）。
法律依据：Art. 6 Abs. 1 lit. b DSGVO（教育服务履行）。
安全措施：作业照片存储在公开网站目录之外的受保护区域，仅在通过身份验证与归属校验后下发；仅该学生所属班级的教师与该家庭账号可访问。保留期随学生档案（第 4 条）。
7. Fotoeinwilligung und Veröffentlichung（照片肖像同意与使用）
在报名表及后续管理中，是否同意在官网/印刷材料中使用孩子肖像，是一项【独立的、可选的】选择，且不勾选不影响报名或就学（Art. 7 Abs. 4 DSGVO）。
法律依据：Art. 6 Abs. 1 lit. a DSGVO（同意）及 KunstUrhG §22/§23。对约 14 岁及以上的孩子，肖像使用需孩子本人与监护人双重同意。
撤回权：您可随时撤回照片使用同意（Art. 7 Abs. 3 DSGVO），撤回不影响撤回前处理的合法性；撤回后我们将停止使用并从可控的公开材料中移除相关肖像。撤回请联系 info@xiangyang.eu。
8. Bibliotheksverwaltung（图书馆借阅）
为管理校内约 80 本中文藏书的借还，我们记录借阅信息（书目、借出/应还/归还时间、经手教师、归还状态）。借阅规则确认是财产借用的规则确认，非 GDPR 意义上的同意。
法律依据：Art. 6 Abs. 1 lit. b DSGVO（借用馆藏的合同关系）。家庭账号仅能看到自家孩子的在借情况；借阅历史属孩子个人数据。
保留期：已归还/报失的借阅记录，自关闭之日起 12 个月后清理；学年阅读汇总在清理前固化，用于阅读证书。
9. Nachrichten und Öffentlichkeitsarbeit（新闻与公开信息）
官网发布的新闻与通知由学校编辑撰写。其中如涉及可识别的个人（教职工、在同意范围内的学生肖像），依相应法律依据处理（Art. 6 Abs. 1 lit. f；肖像另见第 7 条）。
新闻正文经安全消毒渲染，网站设有内容安全策略（CSP）防止脚本注入。
10. E-Mail-Benachrichtigungen（邮件通知）
新生报名提交时，系统会向学校负责人发送包含报名摘要的通知邮件。发件通过协会的邮件账号进行。
法律依据：Art. 6 Abs. 1 lit. b / lit. f DSGVO。若邮件经由外部邮件服务商发送，我们与其签有 Art. 28 委托处理协议。
11. Empfänger und Hosting（接收方与托管）
所有数据存储在本协会自托管的服务器上（Hetzner Online GmbH，德国境内数据中心，已签署 Art. 28 DSGVO 委托处理协议）。除协会内部相应职责的教职工外，数据原则上不向第三方传输，也不传输至欧盟/欧洲经济区以外的第三国。
12. Speicherdauer（保留期）
我们仅在实现上述目的所必需的期限内保存个人数据：访问日志 7–14 天；被拒/失联报名 6 个月；审计记录 12 个月；已关闭借阅记录 12 个月；备份 30 天；学生档案在教育关系结束后于离校后 1 个完整学年结束时删除或匿名化。会计相关记录（如启用）依 §147 AO 保存 8–10 年。
13. Ihre Rechte（您的权利）
您有权就您本人及您孩子的个人数据行使以下权利：知情权（Art. 15）、更正权（Art. 16）、删除权（Art. 17）、限制处理权（Art. 18）、数据可携权（Art. 20）、反对权（Art. 21）；就基于同意的处理，享有随时撤回同意的权利（Art. 7 Abs. 3）。
行使权利请联系：info@xiangyang.eu。我们将在一个月内答复。
本网站不进行 Art. 22 DSGVO 意义上的自动化决策或用户画像。
14. Beschwerderecht（投诉权）
若您认为数据处理违反数据保护法规，您有权向数据保护监管机构投诉（Art. 77 DSGVO），特别是您惯常居所地或本协会所在地所属联邦州的监管机构。本协会所在地 Mönchengladbach 属北威州（NRW），主管机构为：
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)，Postfach 20 04 44, 40102 Düsseldorf。
15. Pflicht zur Bereitstellung（提供数据的必要性）
报名与就学所需的核心信息（如孩子与监护人的基本信息）是建立与履行教育服务关系所必需的；不提供将无法处理报名或提供相应服务。照片肖像使用等可选项则完全自愿，不影响就学。