Datenhaltung

Datenfluss

score ist nicht das führende System für Stammdaten. Personen, Klassen, Kurse und Ausbildungsverhältnisse kommen aus der Schulverwaltung (in M-V ISY.Omnis) per Import, mit Probelauf vor dem Übernehmen. score ist führend für Noten, Beschlüsse und Zeugnisse und meldet Abschlüsse und Abgänge an die Schulverwaltung zurück. Statistiken verlassen score nur zusammengefasst, mit Mindestgruppengröße und ohne Personenbezug.

Was gespeichert wird

Daten	Inhalt	Herkunft
Stammdaten	Personen, Mitgliedschaften und Rollen, Klassen, Kurse, Stundentafeln, Ausbildungsbetriebe	Import aus der Schulverwaltung
Leistungen und Noten	Einzelnoten, Halbjahres-, Jahres- und Endnoten mit Vorschlag und Begründung	Lehrkräfte, Regel-Engine
Beschlüsse	Versetzung, Arbeits- und Sozialverhalten, Abschlüsse, Prüfungsergebnisse	Konferenzen, Schulleitung
Zeugnisse	Datenstand bei Freigabe, PDF, Fassungen, Kenntnisnahmen	score
Protokoll	jede Änderung mit altem und neuem Wert, Lesezugriffe ohne Werte	score

Alles liegt in PostgreSQL (ab Version 16, ohne Erweiterungen, die verwaltete Angebote nicht haben). Heute speichert score auch die Zeugnis-PDFs dort; ein Speicher-Port für S3 mit Unveränderlichkeitssperre (Object Lock) ist vorgesehen.

Trennung der Mandanten

Jede Schule ist ein Mandant. Die Datenbank selbst begrenzt jede Abfrage auf die Schulen, an denen die angemeldete Person eine Rolle hat (Row-Level Security); ohne diesen Kontext liefert keine Fachtabelle eine Zeile – auch nicht bei einem Fehler im Programm. Die App-Rolle kann die Regeln nicht umgehen. Lehrkräfte an zwei Schulen sehen in jeder nur deren Daten. Für Schüler, die an einer anderen Schule Unterricht haben, gibt die unterrichtende Schule genau diese Noten an die Stammschule frei; jeder Zugriff wird protokolliert.

Schutz

• Transport: TLS 1.3, strenge Sicherheits-Header.
• Ruhende Daten: Verschlüsselung von Datenbank, Sicherungen und Dateien durch den Betrieb. Zusätzliche Feldverschlüsselung für Förderbedarf und Nachteilsausgleich mit Schlüsseln beim Land (KMS/HSM) ist vorgesehen, aber noch nicht gebaut.
• Unveränderlichkeit: Freigegebene Zeugnisse und beschlossene Endnoten ändert die Datenbank nicht mehr; Korrekturen sind neue Fassungen.
• Getrennte Zuständigkeiten: Der technische Betrieb sieht keine Fachdaten; Migrationen laufen mit einer eigenen Rolle, die App hat nur die nötigen Rechte.

Protokoll

Jedes Ereignis wird an eine Hash-Kette je Schule und Monat angehängt. Ein Prüfkommando findet fehlende oder veränderte Einträge; abgeschlossene Monate erhalten einen Anker. Das Protokoll lässt sich als JSON Lines exportieren, für die Revision oder ein SIEM des Landes.

Aufbewahrung und Löschung

Die Fristen stehen im Regelpaket des Landes und lassen sich ohne Programmänderung anpassen. Ist eine Frist abgelaufen, bietet score die Unterlagen zuerst dem zuständigen Archiv an (§ 6 Landesarchivgesetz) und löscht sie erst danach. Jede Löschung hinterlässt einen Löschnachweis. Unbefristet bleiben nur Name, Geburtsdatum, Geschlecht und letzte Anschrift.

Noch mit dem Land zu klären: wann eine Akte als geschlossen gilt (angenommen: mit dem letzten Austritt), ob das Abiturzeugnis als Abschlusszeugnis 45 Jahre aufzubewahren ist (angenommen: ja) und wie lange das Änderungsprotokoll mit alten Notenwerten bleibt (bis zur Klärung: unbegrenzt).

Ausstieg

Für den Wechsel zu einem anderen System schreibt score je Schule ein Exportpaket: alle Fachdaten als JSON je Tabelle mit beschreibendem Schema, die gedruckten Zeugnisse als PDF, das Protokoll und ein Verzeichnis mit Prüfsummen. Ein zweites Kommando prüft das Paket vollständig.