Compliance

Wer wofür verantwortlich ist

Das Zentrum entscheidet, was es erfasst und warum. Wir sind sein Dienstleister und verarbeiten Daten nur nach seinen Weisungen. Die Software hilft, aber das Zentrum bleibt für eigene Hinweise, Einwilligungen und Richtlinien verantwortlich. Das ist keine Rechtsberatung.

FERPA

FERPA gilt für Schulen, die Mittel des US-Bildungsministeriums erhalten. Ein privates Nachhilfezentrum ist oft nicht betroffen, eines, das für eine Schule oder einen Schulbezirk arbeitet, kann es sein. Wo FERPA gilt, handeln wir unter der direkten Kontrolle des Zentrums, nutzen Daten nur zur Leistungserbringung, und das Zentrum kann sie exportieren oder uns um Löschung bitten.

FERPA gilt nicht für jedes private Zentrum. Ob es für Ihres gilt, hängt von den Verträgen mit Schulen oder Schulbezirken ab. Wir sagen nicht, dass die Software ein Zentrum "FERPA-konform" macht, denn eine solche Zertifizierung gibt es nicht.

COPPA

Bei Kindern unter 13 holt das Zentrum zuerst die Einwilligung eines Elternteils ein, und wir verarbeiten die Daten des Kindes nur für das Zentrum. Keine Werbung, kein Verkauf von Kinderdaten, keine Profile. Es gibt kein Feld für Geburtsdatum oder Ausweis. Eltern bitten das Zentrum um Einsicht, Berichtigung oder Löschung.

Kalifornien (CCPA und CPRA)

Wir sind Dienstleister: Wir verkaufen keine personenbezogenen Daten, geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter und nutzen sie nur für den Dienst. Die Rechte erklärt die Datenschutzerklärung.

Landesgesetze zum Schutz von Schülerdaten

Mehrere Bundesstaaten haben Gesetze für Schülerdaten, die sich vor allem an Schulen und die von ihnen beauftragten Firmen richten. Grob gesagt:

• Kalifornien, SOPIPA: verbietet gezielte Werbung, Profile und den Verkauf von Schülerdaten durch Dienste, die für Schulzwecke (K-12) genutzt werden, und verlangt angemessene Sicherheit. Wir tun nichts davon.
• New York, Education Law 2-d: gilt für Schulen und Schulbezirke in New York und die von ihnen beauftragten Anbieter. Ein Schulbezirk kann schriftliche Datenschutzbedingungen und schnelle Meldungen bei Datenpannen verlangen. Auf Wunsch eines Schulbezirks sprechen wir schriftlich über solche Bedingungen.
• Andere Staaten: Illinois, Colorado und viele weitere haben ähnliche Gesetze. Ob eines für ein privates Zentrum gilt, hängt von dessen Verträgen mit Schulen ab.
• Darauf ausgelegt, nicht zertifiziert: Wir behaupten nicht, diese Gesetze zu erfüllen. Fragen Sie eine Juristin oder einen Juristen, was für Ihr Zentrum gilt.

E-Mails und SMS (CAN-SPAM und TCPA)

CAN-SPAM regelt kommerzielle E-Mails. Der TCPA regelt SMS und Anrufe. Das Zentrum ist Absender der Nachrichten, die es über die Software verschicken lässt, und muss daher die Einwilligung haben. Die Software ist darauf ausgelegt, es dabei zu unterstützen.

Barrierefreiheit (ADA und WCAG 2.1 AA)

Menschen mit Behinderung sollen diese Website und die Apps nutzen können. Wir arbeiten auf WCAG 2.1 Stufe AA hin, den Maßstab, den US-Gerichte und Behörden für den ADA oft heranziehen. Eine unabhängige Prüfung der Barrierefreiheit gab es noch nicht, deshalb behaupten wir keine Konformität.

• Auf dieser Website: ein Link zum Überspringen zum Inhalt, Alternativtexte für Bilder, eine Sprachangabe auf jeder Seite und ein Layout, das auf dem Handy funktioniert.
• Die Apps für Büro, Eltern und Tutoren wurden noch nicht an WCAG geprüft.
• Barriere entdeckt? Nutzen Sie das Kontaktformular mit der Seite und dem Problem. Wir wollen innerhalb eines Werktags antworten und an einer Lösung arbeiten.

Zahlungen, Steuer und Tutorenvergütung

Was die Software heute bei Geld und Steuern leistet und was sie dem Zentrum und seiner Buchhaltung überlässt.

Sicherheitsmaßnahmen, die heute bestehen

• Der Server entscheidet, was jede Person sieht, nicht nur die Anzeige. Wer keine Berechtigung für Konten hat, sieht kein Geld.
• Authenticator-App mit Wiederherstellungscodes oder ein per E-Mail gesendeter Code, für Büro, Tutoren, Eltern und Schüler·innen.
• Als gesalzene scrypt-Hashes gespeichert. Fehlversuche werden gebremst, Sitzungen enden nach 12 Stunden.
• Jede Änderung wird mit Person und Zeit festgehalten. Das Protokoll wird nur ergänzt, Einträge lassen sich nicht ändern oder löschen.
• Der gesamte Verkehr läuft über HTTPS. Gespeicherte Zugangsdaten sind mit AES-256-GCM verschlüsselt, der Schlüssel liegt außerhalb der Datenbank. Externe Sicherungen nutzen die Passphrase des Zentrums.
• Jede Nacht eine Kopie, 14 bleiben erhalten. Letzte Test-Wiederherstellung am 5. Oktober 2026.
• Nur freigegebenes Büropersonal bindet externe Dienste an oder trennt sie, gespeicherte Zugangsdaten erscheinen nur maskiert.

Was wir nicht behaupten

MeetMyTutor besitzt derzeit weder einen SOC 2-Bericht noch eine ISO 27001-Zertifizierung, HITRUST, eine HIPAA-Bescheinigung oder eine andere Zertifizierung durch Dritte, und wir behaupten nicht, „FERPA-zertifiziert“ oder „COPPA-zertifiziert“ zu sein, weil es solche Zertifizierungen nicht gibt. Einen unterzeichneten Auftragsverarbeitungsvertrag oder eine Antwort auf einen Sicherheitsfragebogen bieten wir nur an, wenn wir sie mit dem Zentrum schriftlich vereinbaren.

Diese Seite beschreibt, wie die Software heute funktioniert. Sie ist keine Garantie und ersetzt nicht die eigene Rechtsberatung des Zentrums.

Vorfälle und Kontakt

Erfahren wir, dass auf die Unterlagen eines Zentrums unbefugt zugegriffen wurde, informieren wir das Zentrum unverzüglich, damit es seinen eigenen Pflichten gegenüber den Familien nachkommen kann.

Fragen, Sicherheitsmeldungen und Anfragen zu unserem Umgang mit Daten: Kontaktformular. Mehr dazu auf der Seite Vertrauen und Daten.

Jeder US-Bundesstaat hat ein eigenes Gesetz zur Meldung von Datenpannen. Meist muss der Inhaber der Daten, hier das Zentrum, betroffene Familien und manchmal eine Landesbehörde informieren. Weil wir die Daten für das Zentrum halten, sagen wir dem Zentrum früh und schriftlich, was wir wissen, damit es seine eigenen Fristen einhalten kann. Das ist keine Rechtsberatung.