Datenschutzerklärung（隐私声明）

1. Verantwortlicher（责任主体）

Förderungsgesellschaft für Bildung und Kultur am Rhein e.V.（运营向阳学堂 / Xiangyang Akademie）

Gerkerath 171, 41179 Mönchengladbach, Deutschland。法定代表人（§26 BGB）：Xiaohong Jin（Vorstandsvorsitzende）。

数据保护事务联系方式：info@xiangyang.eu。行使权利或就数据处理提问，请使用此邮箱联系我们。

2. Zugriffsdaten und Server-Logs（官网访问与服务器日志）

当您访问本网站时，服务器会自动记录技术性访问日志（IP 地址、访问时间、请求的页面、浏览器类型），仅用于保障系统安全与稳定运行、排查故障。

法律依据：Art. 6 Abs. 1 lit. f DSGVO（保障 IT 安全与可用性的合法利益）。

保留期：访问日志最多保留 7–14 天后自动删除（logrotate）。本网站不使用分析工具、广告追踪或第三方 Cookie；页面资源（字体、地图静态图等）全部自托管，不向第三方发起请求。

本网站仅使用一个技术必需的会话 Cookie（登录后维持会话，HttpOnly），不用于追踪，无需 Cookie 同意横幅。

3. Anmeldung neuer Schüler（新生报名）

您通过报名表提交的信息（孩子的中文姓名与护照姓名、出生年月、德国学校年级、意向班型、中文水平及家中说普通话的大致比例、监护人姓名、电话、邮箱、微信号与家庭住址、兄弟姐妹是否在本校、是否有更小的弟妹，以及选填的留言）仅用于：处理入学申请、与您取得联系、安排试听与分班。其中年级、普通话比例用于分班参考，兄弟姐妹信息用于家庭账号并号；兄弟姐妹一项为选填。

法律依据：Art. 6 Abs. 1 lit. b DSGVO（应数据主体请求在缔约前采取措施）。提交前的「我已阅读隐私声明」勾选是知情确认，不是同意（Einwilligung）——入学申请的处理不以可撤回的同意为基础。

保留期：报名被婉拒或失去联系的申请记录，自处理结束起 6 个月后自动删除；转为正式入学的，数据转入学生档案（见第 4 条）。

3a. Abwesenheitsmeldungen（请假）

监护人可通过家长账号为某个【今后的】上课日提交请假。处理的信息为：孩子、日期、简要事由，以及教师处理的时点、结果与可选的内部备注。

请勿在事由中填写健康信息（诊断、病情或就医细节）。处理请假只需一般性说明；GDPR Art. 9 的特殊类别数据我们既不需要、也请不要提交。

访问范围：该孩子所在班级的任课教师、当日被指派的代课教师，以及校长与组长。法律依据：Art. 6 Abs. 1 lit. b DSGVO（履行教育关系）。

保留期：请假记录随该学年的考勤数据一并保存，并随学生档案一同删除或匿名化（见第 4 条）。

3b. Kursgebühren（学费）

为管理学费，我们按【每个孩子每学年】处理：金额、缴纳状态（已缴／未缴／减免）、应缴日期、可选备注，以及最后一次修改的时点与操作账号。

访问范围仅限校长与被明确开启财务权限的账号；未获该权限的教师无法访问。法律依据：Art. 6 Abs. 1 lit. b DSGVO（履行教育关系），涉及税务保存义务的部分为 Art. 6 Abs. 1 lit. c DSGVO。

保留期：与账务相关的凭证按 § 147 AO 保存 8–10 年；其余适用第 4 条的期限。

3c. Sprachaufnahmen（作业语音）

朗读、背诵类作业可由监护人通过家长账号上传孩子的语音。孩子的声音属于个人数据；音频【原样保存】，服务端不做重新编码。

由于不重新编码，音频文件中可能残留技术性元数据（如录制设备、时间戳）。用网页录音功能录制的一般不含这类信息；用文件选择器上传的既有文件则可能带有。表单中也有相应提示。

语音仅用于该次作业的批阅与反馈。我们【不做】声纹识别、说话人识别，也不进行任何用于唯一识别自然人的生物特征处理。

访问范围：该孩子的监护人、所在班级的任课教师，以及校长与组长。文件存放在 Web 根目录之外，须登录并通过权限校验才能取得；文件名不含任何个人信息。

法律依据：Art. 6 Abs. 1 lit. b DSGVO（履行教育关系）。浏览器的麦克风授权是设备层面的技术许可，不构成数据保护法意义上的同意（Einwilligung）。

保留期：与其他作业文件相同（见第 4 条），随学生档案一并删除或匿名化。

4. Schüler- und Familienstammdaten, Benutzerkonten（在校生与家庭主数据、账号）

正式入学后，我们为管理教育服务处理学生档案（姓名、拼音、出生年份、监护人联系方式、地址、中文水平、备注、状态）与家庭/教职工账号（用户名、密码以 argon2id 不可逆哈希存储，登录会话）。

法律依据：Art. 6 Abs. 1 lit. b DSGVO（履行教育服务合同）及 lit. f（账号安全与防滥用的合法利益）。

访问权限按角色分级：教师仅能访问本班相关数据，家庭账号仅能访问本家庭孩子的数据。系统对分班、删除、导出、密码重置等敏感操作留存审计记录（保留 12 个月）。

我们不采集健康、宗教、族裔等特殊类别数据（Art. 9 DSGVO）；备注字段明确提示教职工请勿记录此类信息。

保留期：教育关系存续期间保留；学生离校后按协会保留方案，于离校后 1 个完整学年结束时删除或匿名化。

5. Anwesenheitserfassung（考勤记录）

教师在每次课记录学生的出勤状态（出席/迟到/请假/缺席），用于教学管理与家长沟通，并可导出考勤报表供内部使用。

法律依据：Art. 6 Abs. 1 lit. b DSGVO（教育服务履行）及 lit. f（教学组织的合法利益）。数据仅在协会内部使用，不向第三方传输。

6. Hausaufgaben und Foto-Upload（作业与照片上传）

家长可通过系统上传孩子完成作业的照片，供任课教师批阅反馈。上传的图片在服务器端会被重新编码，自动剥离全部元数据（包括 EXIF 拍摄位置信息）。

法律依据：Art. 6 Abs. 1 lit. b DSGVO（教育服务履行）。

安全措施：作业照片存储在公开网站目录之外的受保护区域，仅在通过身份验证与归属校验后下发；仅该学生所属班级的教师与该家庭账号可访问。保留期随学生档案（第 4 条）。

7. Fotoeinwilligung und Veröffentlichung（照片肖像同意与使用）

在报名表及后续管理中，是否同意在官网/印刷材料中使用孩子肖像，是一项【独立的、可选的】选择，且不勾选不影响报名或就学（Art. 7 Abs. 4 DSGVO）。

法律依据：Art. 6 Abs. 1 lit. a DSGVO（同意）及 KunstUrhG §22/§23。对约 14 岁及以上的孩子，肖像使用需孩子本人与监护人双重同意。

撤回权：您可随时撤回照片使用同意（Art. 7 Abs. 3 DSGVO），撤回不影响撤回前处理的合法性；撤回后我们将停止使用并从可控的公开材料中移除相关肖像。撤回请联系 info@xiangyang.eu。

8. Bibliotheksverwaltung（图书馆借阅）

为管理校内约 80 本中文藏书的借还，我们记录借阅信息（书目、借出/应还/归还时间、经手教师、归还状态）。借阅规则确认是财产借用的规则确认，非 GDPR 意义上的同意。

法律依据：Art. 6 Abs. 1 lit. b DSGVO（借用馆藏的合同关系）。家庭账号仅能看到自家孩子的在借情况；借阅历史属孩子个人数据。

保留期：已归还/报失的借阅记录，自关闭之日起 12 个月后清理；学年阅读汇总在清理前固化，用于阅读证书。

9. Nachrichten und Öffentlichkeitsarbeit（新闻与公开信息）

官网发布的新闻与通知由学校编辑撰写。其中如涉及可识别的个人（教职工、在同意范围内的学生肖像），依相应法律依据处理（Art. 6 Abs. 1 lit. f；肖像另见第 7 条）。

新闻正文经安全消毒渲染，网站设有内容安全策略（CSP）防止脚本注入。

10. E-Mail-Benachrichtigungen（邮件通知）

新生报名提交时，系统会向学校负责人发送包含报名摘要的通知邮件。发件通过协会的邮件账号进行。

法律依据：Art. 6 Abs. 1 lit. b / lit. f DSGVO。若邮件经由外部邮件服务商发送，我们与其签有 Art. 28 委托处理协议。

11. Empfänger und Hosting（接收方与托管）

所有数据存储在本协会自托管的服务器上（Hetzner Online GmbH，德国境内数据中心，已签署 Art. 28 DSGVO 委托处理协议）。除协会内部相应职责的教职工外，数据原则上不向第三方传输，也不传输至欧盟/欧洲经济区以外的第三国。

12. Speicherdauer（保留期）

我们仅在实现上述目的所必需的期限内保存个人数据：访问日志 7–14 天；被拒/失联报名 6 个月；审计记录 12 个月；已关闭借阅记录 12 个月；备份 30 天；学生档案在教育关系结束后于离校后 1 个完整学年结束时删除或匿名化。会计相关记录（如启用）依 §147 AO 保存 8–10 年。

13. Ihre Rechte（您的权利）

您有权就您本人及您孩子的个人数据行使以下权利：知情权（Art. 15）、更正权（Art. 16）、删除权（Art. 17）、限制处理权（Art. 18）、数据可携权（Art. 20）、反对权（Art. 21）；就基于同意的处理，享有随时撤回同意的权利（Art. 7 Abs. 3）。

行使权利请联系：info@xiangyang.eu。我们将在一个月内答复。

本网站不进行 Art. 22 DSGVO 意义上的自动化决策或用户画像。

14. Beschwerderecht（投诉权）

若您认为数据处理违反数据保护法规，您有权向数据保护监管机构投诉（Art. 77 DSGVO），特别是您惯常居所地或本协会所在地所属联邦州的监管机构。本协会所在地 Mönchengladbach 属北威州（NRW），主管机构为：

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)，Postfach 20 04 44, 40102 Düsseldorf。

15. Pflicht zur Bereitstellung（提供数据的必要性）

报名与就学所需的核心信息（如孩子与监护人的基本信息）是建立与履行教育服务关系所必需的；不提供将无法处理报名或提供相应服务。照片肖像使用等可选项则完全自愿，不影响就学。