Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform („Treff – GZ Wickrath") ist:

Lian Wassen
Denhardstraße 21
41189 Mönchengladbach
E-Mail: lian@wassen-mail.de

Weitere Angaben siehe Impressum.

2. Datenschutzbeauftragter

Für Fragen zum Datenschutz auf dieser Plattform steht dir außerdem ein Datenschutzbeauftragter zur Verfügung:

Simon Durst
E-Mail: simon.durst@ekir.de

3. Zweck der Plattform

Diese Plattform ist ein internes Portal für die ehrenamtliche Teamarbeit (Jugendarbeit) im Gemeindezentrum Wickrath. Sie wird ausschließlich für die Organisation und Dokumentation interner Abläufe genutzt (Quartalsplanung, Spielesammlung, Protokolle, Events, Informationsaustausch im Team).

4. Verarbeitete Daten

Wir verarbeiten ausschließlich die Daten, die für den Betrieb der Plattform erforderlich sind:

• Nutzerkonto: Anzeigename, gehashter PIN (bcrypt), optional gewählte Pronomen, Rolle (Standard/Admin).
• Profilbild (optional): Ein freiwillig hochgeladenes Bild, sichtbar ausschließlich für angemeldete Teammitglieder innerhalb der App. Es liegt in einem privaten Speicher und ist ohne Anmeldung nicht abrufbar. Es kann jederzeit in den Einstellungen geändert oder gelöscht werden und wird mit dem Konto gelöscht.
• Inhalte: Vom Team erstellte Einträge wie Quartalspläne, Spielebeschreibungen, Events, Protokolle, Info-Einträge sowie hochgeladene Datei- und Bildanhänge.
• Stempelkarte (falls aktiv): Punkte für Mithilfe bei Gruppenstunden, Events und Schulungen: der Anlass, die Punktzahl, der Zeitpunkt, wer sie eingetragen oder widerrufen hat, gemeldete Schulungen samt Entscheidung darüber, die Angabe "war nicht dabei" zu einer Gruppenstunde und welche Belohnungen eingelöst und ausgehändigt wurden. Sichtbar sind der eigene Stand für die Person selbst, die Eintragungen an einem Termin für das Team dieses Termins, und alle Stände für Admins und die Jugendleitung. Ist die Rangliste eingeschaltet (eine Einstellung, die Admins jederzeit ändern können), sehen alle Angemeldeten die gesammelten Punkte des Teams mit Namen. Die Daten werden mit dem Konto gelöscht.
• Push-Benachrichtigungen (optional): Wenn aktiviert, speichern wir die vom Browser bereitgestellte Push-Subscription-URL, um Benachrichtigungen zustellen zu können.
• Session-Cookie: Ein signiertes JWT-Cookie, damit du angemeldet bleibst.
• Kalender-Abo (optional): Eine zufällige Zeichenfolge, mit der dein persönlicher Kalender-Link funktioniert (siehe Punkt 8).
• Server-Logs: Beim Aufruf der Seite werden durch den Hosting-Anbieter technisch notwendige Daten (z. B. IP-Adresse, Zeitpunkt, aufgerufene URL, User-Agent) für Sicherheit und Stabilität kurzfristig verarbeitet.

5. Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen bzw. Vereinstätigkeit) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und funktionierenden Betrieb der internen Plattform). Push-Benachrichtigungen werden nur nach ausdrücklicher Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO versendet.

6. Empfänger / Auftragsverarbeiter

Zur Bereitstellung der Plattform setzen wir folgende Dienstleister ein, mit denen entsprechende Auftragsverarbeitungsverträge bestehen:

• Vercel Inc. (USA) – Hosting der Anwendung. Beim Aufruf der Seite werden technisch notwendige Daten (z. B. IP-Adresse, User-Agent) verarbeitet. Eine Datenübermittlung in die USA kann nicht ausgeschlossen werden und erfolgt auf Basis der EU-Standardvertragsklauseln.
• Supabase Pte. Ltd. (Singapur) – Datenbank und Datei-Speicher (Nutzer, Inhalte, Anhänge). Die Daten selbst liegen in der Region EU-Central-1 (Frankfurt, Deutschland). Für Verwaltung und Support kann es dennoch zu einer Datenübermittlung außerhalb der EU kommen; sie erfolgt auf Basis der EU-Standardvertragsklauseln.
• GitHub, Inc. (USA) – Hosting des Quellcodes der Anwendung. Personenbezogene Daten der Nutzer:innen werden dort nicht gespeichert; die Erwähnung erfolgt nur aus Transparenzgründen, weil Vercel den Code zum Deployment aus dem GitHub-Repository bezieht.
• Google (Gemini API): Hochgeladene Bilder und PDFs werden zur Texterkennung (OCR) und automatischen Bildbeschreibung an die Gemini-API von Google (Google Ireland Limited bzw. Google LLC) gesendet. Das geschieht nur, wenn die hochladende Person den KI-Scan für diese Datei ausdrücklich zulässt. Eine Datenübermittlung in Drittländer (USA) kann dabei nicht ausgeschlossen werden; sie erfolgt auf Basis der EU-Standardvertragsklauseln. Wir nutzen dafür den kostenpflichtigen Zugang zur Gemini-API. Das ist datenschutzrechtlich der entscheidende Unterschied: Nach den Nutzungsbedingungen von Google werden Inhalte, die über den kostenpflichtigen Zugang gesendet werden, nicht zur Verbesserung oder Entwicklung von Google-Produkten verwendet und auch nicht von Mitarbeitenden zur Qualitätssicherung gelesen. Google speichert die Anfragen nur für eine begrenzte Zeit, um Missbrauch zu erkennen und gesetzliche Pflichten zu erfüllen. Wer eine Datei trotzdem nicht an Google geben möchte, lädt sie einfach ohne KI-Scan hoch.
• Push-Dienste der Browserhersteller (z. B. Mozilla, Apple, Google) – ausschließlich bei aktivierten Push-Benachrichtigungen.

7. Reichweitenmessung und Performance-Messung

Zur Verbesserung von Stabilität und Ladegeschwindigkeit der Plattform setzen wir zwei datenschutzfreundliche Dienste unseres Hosting-Anbieters Vercel ein:

• Vercel Web Analytics: erfasst in aggregierter Form, welche Seiten aufgerufen werden (z. B. Seitenaufruf, verweisende Seite, Gerätetyp, Browser, Betriebssystem, ungefähres Land). Die Erfassung erfolgt ohne Cookies und ohne seitenübergreifendes Tracking; es werden keine dauerhaften Kennungen auf deinem Gerät gespeichert.
• Vercel Speed Insights: misst anonymisierte Performance-Kennwerte (sogenannte Web Vitals, z. B. Ladezeiten), um die Geschwindigkeit der App zu überwachen.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, stabilen und schnellen Betrieb der Plattform sowie an der Erkennung technischer Probleme (Art. 6 Abs. 1 lit. f DSGVO). Verarbeitet werden die Daten durch die bereits unter Punkt 6 genannte Vercel Inc.; eine Übermittlung in die USA erfolgt auf Basis der EU-Standardvertragsklauseln.

Zusätzlich betreiben wir unter status.gz-wickrath.de eine öffentliche Statusseite, die alle paar Minuten von außen prüft, ob die App und ihre Dienste erreichbar sind. Sie speichert ausschließlich technische Messwerte (Dienst, Zeitpunkt, erreichbar ja/nein, Antwortzeit) in einer eigenen Datenbank, keine personenbezogenen Daten und keine Inhalte aus der App. Beim Aufruf der Statusseite gilt für die Server-Logs dasselbe wie oben, sie läuft beim selben Hosting-Anbieter.

8. Kalender-Abo (freiwillig)

Du kannst die Termine des Treffs in deinen eigenen Kalender holen (Einstellungen → Kalender abonnieren). Dafür stellen wir dir eine persönliche Adresse bereit, unter der die Termine im Format iCalendar (.ics) abrufbar sind. Ohne dein Zutun passiert nichts: der Abruf beginnt erst, wenn du das Abo selbst einrichtest.

• Persönlicher Zugriffsschlüssel: Die Adresse enthält eine zufällige Zeichenfolge, die zu deinem Konto gehört und in unserer Datenbank gespeichert wird. Kalenderprogramme können sich nicht anmelden, deshalb ersetzt dieser Schlüssel die Anmeldung. Wer die Adresse kennt, kann die Termine ohne Login abrufen. Behandle sie wie ein Passwort und gib sie nicht weiter. Du kannst sie jederzeit neu erzeugen, die alte Adresse funktioniert dann nicht mehr.
• Übermittlung an deinen Kalenderanbieter: Trägst du die Adresse bei einem externen Dienst ein (z. B. Google Kalender, Apple iCloud, Proton Calendar), ruft dieser Dienst die Termine regelmäßig ab. Dabei werden Titel, Datum, Uhrzeit, Ort, Beschreibung, Gruppe und die Zahl gesuchter Helfer:innen an diesen Anbieter übermittelt und dort gespeichert. Das liegt außerhalb unseres Einflusses; es gelten die Datenschutzbestimmungen des jeweiligen Anbieters, bei Anbietern aus den USA ist eine Übermittlung dorthin nicht ausgeschlossen. Wer das nicht möchte, richtet kein Abo ein.
• Umfang: Abgerufen wird, was du beim Einrichten ausgewählt hast (alle Termine oder nur bestimmte Gruppen bzw. nur die großen Events), jeweils alle künftigen sowie die der letzten sechs Monate.
• Ende des Abos: Lösche das Abo in deinem Kalender und erzeuge die Adresse in den Einstellungen neu, dann wird nichts mehr abgerufen. Ist dein Konto gesperrt oder gelöscht, liefert die Adresse ebenfalls keine Termine mehr.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Einrichten des Abos erteilst und wie oben beschrieben jederzeit widerrufen kannst.

9. Cookies und lokale Speicherung

Wir setzen ein technisch notwendiges Session-Cookie, um deinen Login aufrechtzuerhalten. Es enthält ein signiertes JWT-Token, das deine Nutzer-ID referenziert. Tracking- oder Marketing-Cookies werden nicht verwendet.

10. Speicherdauer

Nutzerkonten und zugehörige Inhalte werden für die Dauer der ehrenamtlichen Mitarbeit gespeichert. Auf Wunsch oder bei Ausscheiden aus dem Team können Konten und persönliche Daten durch einen Admin gelöscht werden. Inhaltliche Beiträge bleiben im Sinne der Vereinsdokumentation ggf. erhalten, ggf. anonymisiert.

11. Deine Rechte

Du hast nach der DSGVO folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Deine Rechte auf Auskunft und Datenübertragbarkeit (Art. 15 und Art. 20 DSGVO) kannst du als angemeldete:r Nutzer:in jederzeit selbst wahrnehmen: unter Einstellungen → Meine Daten exportieren lädst du eine vollständige Kopie deiner Daten als Datei herunter. Für alle weiteren Rechte genügt eine formlose Nachricht an die im Impressum genannte Kontaktadresse.

12. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Bundesland deines gewöhnlichen Aufenthalts. Für Nordrhein-Westfalen ist dies:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestr. 2–4, 40213 Düsseldorf
www.ldi.nrw.de

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslage oder Änderungen der Plattform anzupassen. Es gilt jeweils die zum Zeitpunkt des Aufrufs aktuelle Fassung.