Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform („Treff – GZ Wickrath") ist:

Lian Wassen
Denhardstraße 21
41189 Mönchengladbach
E-Mail: lian@wassen-mail.de

Weitere Angaben siehe Impressum.

2. Datenschutzbeauftragter

Für Fragen zum Datenschutz auf dieser Plattform steht dir außerdem ein Datenschutzbeauftragter zur Verfügung:

Simon Durst
E-Mail: simon.durst@ekir.de

3. Zweck der Plattform

Diese Plattform ist ein internes Portal für die ehrenamtliche Teamarbeit (Jugendarbeit) im Gemeindezentrum Wickrath. Sie wird ausschließlich für die Organisation und Dokumentation interner Abläufe genutzt (Quartalsplanung, Spielesammlung, Protokolle, Events, Informationsaustausch im Team).

4. Verarbeitete Daten

Wir verarbeiten ausschließlich die Daten, die für den Betrieb der Plattform erforderlich sind:

• Nutzerkonto: Anzeigename, gehashter PIN (bcrypt), optional gewählte Pronomen, Rolle (Standard/Admin).
• Profilbild (optional): Ein freiwillig hochgeladenes Bild, sichtbar ausschließlich für angemeldete Teammitglieder innerhalb der App. Es liegt in einem privaten Speicher und ist ohne Anmeldung nicht abrufbar. Es kann jederzeit in den Einstellungen geändert oder gelöscht werden und wird mit dem Konto gelöscht.
• Inhalte: Vom Team erstellte Einträge wie Quartalspläne, Spielebeschreibungen, Events, Protokolle, Info-Einträge sowie hochgeladene Datei- und Bildanhänge.
• Stempelkarte (falls aktiv): Punkte für Mithilfe bei Gruppenstunden, Events und Schulungen: der Anlass, die Punktzahl, der Zeitpunkt, wer sie eingetragen oder widerrufen hat, gemeldete Schulungen samt Entscheidung darüber, die Angabe "war nicht dabei" zu einer Gruppenstunde und welche Belohnungen eingelöst und ausgehändigt wurden. Sichtbar sind der eigene Stand für die Person selbst, die Eintragungen an einem Termin für das Team dieses Termins, und alle Stände für Admins und die Jugendleitung. Ist die Rangliste eingeschaltet (eine Einstellung, die Admins jederzeit ändern können), sehen alle Angemeldeten die gesammelten Punkte des Teams mit Namen. Die Daten werden mit dem Konto gelöscht.
• Umfragen: Wer bei einer Umfrage im Team welche Antwort angekreuzt hat, jeweils mit Zeitpunkt. Ist eine Umfrage als geheim gekennzeichnet, zeigt die App nirgends an, wer was gewählt hat, auch Admins und der Jugendleitung nicht; sie zeigt nur die Anzahl der Stimmen, dem Team erst, wenn die Umfrage beendet ist. Gespeichert bleibt die Stimme trotzdem beim Konto, damit sie geändert werden kann und niemand mehrfach abstimmt. Eine Stimme lässt sich zurücknehmen, solange die Umfrage läuft, und alle Stimmen werden mit dem Konto gelöscht.
• Push-Benachrichtigungen (optional): Wenn aktiviert, speichern wir die vom Browser bereitgestellte Push-Subscription-URL, um Benachrichtigungen zustellen zu können, und wann zuletzt eine Nachricht auf dem Gerät ankam. Jede Benachrichtigung wird vor dem Versand mit Titel, Text und Zustellstand gespeichert, damit sie bei einer Störung erneut versucht und nachts bis zum Morgen zurückgehalten werden kann. Dieselben Einträge siehst du unter „Mitteilungen“ in der App, dazu, ob du sie schon gelesen hast. Sie werden nach 30 Tagen automatisch gelöscht.
• Session-Cookie: Ein signiertes JWT-Cookie, damit du angemeldet bleibst.
• Kalender-Abo (optional): Eine zufällige Zeichenfolge, mit der dein persönlicher Kalender-Link funktioniert (siehe Punkt 8).
• Server-Logs: Beim Aufruf der Seite verarbeitet unser Server technisch notwendige Daten (z. B. IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser) nur für die Dauer des Aufrufs, ohne sie in Zugriffsprotokollen zu speichern (siehe Punkt 7).

5. Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen bzw. Vereinstätigkeit) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und funktionierenden Betrieb der internen Plattform). Push-Benachrichtigungen werden nur nach ausdrücklicher Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO versendet.

6. Empfänger / Auftragsverarbeiter

Zur Bereitstellung der Plattform setzen wir folgende Dienstleister ein, mit denen entsprechende Auftragsverarbeitungsverträge bestehen:

• Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland): Hosting der Anwendung auf einem eigenen Server (Hetzner Cloud, Rechenzentrum Falkenstein/Vogtland) und Betrieb der Datenbank (Managed PostgreSQL, Deutschland) mit Nutzerkonten und Inhalten. Alle Daten liegen in Deutschland, eine Übermittlung in Drittländer findet nicht statt. Hetzner ist nach ISO/IEC 27001 zertifiziert; die technischen und organisatorischen Maßnahmen der Rechenzentren wurden zuletzt im Februar 2026 vom TÜV Rheinland ohne Abweichungen geprüft. Weitere Informationen: Datenschutzerklärung von Hetzner.
• Cloudflare, Inc. (USA): Speicherung der hochgeladenen Dateien und Bilder (Cloudflare R2). Der Speicher ist auf die EU festgelegt, die Dateien liegen also in Rechenzentren in der EU und sind nur über die App abrufbar. Für Verwaltung und Support kann eine Datenübermittlung in die USA nicht ausgeschlossen werden; sie erfolgt auf Basis des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.
• GitHub, Inc. (USA): Hosting des Quellcodes der Anwendung. Personenbezogene Daten der Nutzer:innen werden dort nicht gespeichert; die Erwähnung erfolgt nur aus Transparenzgründen, weil unser Server den Code zum Veröffentlichen aus dem GitHub-Repository bezieht.
• Google (Gemini API): Hochgeladene Bilder und PDFs werden zur Texterkennung (OCR) und automatischen Bildbeschreibung an die Gemini-API von Google (Google Ireland Limited bzw. Google LLC) gesendet. Das geschieht nur, wenn die hochladende Person den KI-Scan für diese Datei ausdrücklich zulässt. Eine Datenübermittlung in Drittländer (USA) kann dabei nicht ausgeschlossen werden; sie erfolgt auf Basis der EU-Standardvertragsklauseln. Wir nutzen dafür den kostenpflichtigen Zugang zur Gemini-API. Das ist datenschutzrechtlich der entscheidende Unterschied: Nach den Nutzungsbedingungen von Google werden Inhalte, die über den kostenpflichtigen Zugang gesendet werden, nicht zur Verbesserung oder Entwicklung von Google-Produkten verwendet und auch nicht von Mitarbeitenden zur Qualitätssicherung gelesen. Google speichert die Anfragen nur für eine begrenzte Zeit, um Missbrauch zu erkennen und gesetzliche Pflichten zu erfüllen. Wer eine Datei trotzdem nicht an Google geben möchte, lädt sie einfach ohne KI-Scan hoch.
• Push-Dienste der Browserhersteller (z. B. Mozilla, Apple, Google): ausschließlich bei aktivierten Push-Benachrichtigungen.

Die SSL-Zertifikate für die verschlüsselte Verbindung stellt Let's Encrypt aus. Dabei werden keine Daten von Besucher:innen übertragen, unser Server holt nur das Zertifikat ab.

7. Server-Logs und Statusseite

Beim Aufruf dieser Plattform verarbeitet unser Server automatisch Daten, die dein Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Statuscode, übertragene Datenmenge, Browsertyp und die zuvor besuchte Seite. Diese Daten sind technisch nötig, um die Plattform auszuliefern und ihre Sicherheit zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO). Sie werden nur für die Dauer des Aufrufs verarbeitet und nicht in Zugriffsprotokollen gespeichert. Die App selbst protokolliert keine einzelnen Aufrufe, sondern nur technische Fehlermeldungen; diese bleiben bis zur nächsten Aktualisierung der App auf dem Server. Eine Zusammenführung mit anderen Daten findet nicht statt.

Eine Reichweitenmessung (Analytics) oder Performance-Messung durch Dritte findet nicht statt.

Zusätzlich betreiben wir unter status.gz-wickrath.de eine öffentliche Statusseite, die alle paar Minuten von außen prüft, ob die App und ihre Dienste erreichbar sind. Sie speichert ausschließlich technische Messwerte (Dienst, Zeitpunkt, erreichbar ja/nein, Antwortzeit) in einer eigenen Datenbank, keine personenbezogenen Daten und keine Inhalte aus der App. Damit sie auch dann erreichbar bleibt, wenn unser Server ausfällt, läuft sie bewusst nicht dort, sondern bei Vercel Inc. (USA). Beim Aufruf der Statusseite verarbeitet Vercel technisch notwendige Daten (z. B. IP-Adresse, User-Agent); eine Übermittlung in die USA kann dabei nicht ausgeschlossen werden und erfolgt auf Basis der EU-Standardvertragsklauseln.

8. Kalender-Abo (freiwillig)

Du kannst die Termine des Treffs in deinen eigenen Kalender holen (Einstellungen → Kalender abonnieren). Dafür stellen wir dir eine persönliche Adresse bereit, unter der die Termine im Format iCalendar (.ics) abrufbar sind. Ohne dein Zutun passiert nichts: der Abruf beginnt erst, wenn du das Abo selbst einrichtest.

• Persönlicher Zugriffsschlüssel: Die Adresse enthält eine zufällige Zeichenfolge, die zu deinem Konto gehört und in unserer Datenbank gespeichert wird. Kalenderprogramme können sich nicht anmelden, deshalb ersetzt dieser Schlüssel die Anmeldung. Wer die Adresse kennt, kann die Termine ohne Login abrufen. Behandle sie wie ein Passwort und gib sie nicht weiter. Du kannst sie jederzeit neu erzeugen, die alte Adresse funktioniert dann nicht mehr.
• Übermittlung an deinen Kalenderanbieter: Trägst du die Adresse bei einem externen Dienst ein (z. B. Google Kalender, Apple iCloud, Tuta), ruft dieser Dienst die Termine regelmäßig ab. Dabei werden Titel, Datum, Uhrzeit, Ort, Beschreibung, Gruppe und die Zahl gesuchter Helfer:innen an diesen Anbieter übermittelt und dort gespeichert. Das liegt außerhalb unseres Einflusses; es gelten die Datenschutzbestimmungen des jeweiligen Anbieters, bei Anbietern aus den USA ist eine Übermittlung dorthin nicht ausgeschlossen. Wer das nicht möchte, richtet kein Abo ein.
• Umfang: Abgerufen wird, was du beim Einrichten ausgewählt hast (alle Termine oder nur bestimmte Gruppen bzw. nur die großen Events), jeweils alle künftigen sowie die der letzten sechs Monate.
• Ende des Abos: Lösche das Abo in deinem Kalender und erzeuge die Adresse in den Einstellungen neu, dann wird nichts mehr abgerufen. Ist dein Konto gesperrt oder gelöscht, liefert die Adresse ebenfalls keine Termine mehr.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Einrichten des Abos erteilst und wie oben beschrieben jederzeit widerrufen kannst.

9. Cookies und lokale Speicherung

Wir setzen ein technisch notwendiges Session-Cookie, um deinen Login aufrechtzuerhalten. Es enthält ein signiertes JWT-Token, das deine Nutzer-ID referenziert. Tracking- oder Marketing-Cookies werden nicht verwendet.

10. Speicherdauer

Nutzerkonten und zugehörige Inhalte werden für die Dauer der ehrenamtlichen Mitarbeit gespeichert. Auf Wunsch oder bei Ausscheiden aus dem Team können Konten und persönliche Daten durch einen Admin gelöscht werden. Inhaltliche Beiträge bleiben im Sinne der Vereinsdokumentation ggf. erhalten, ggf. anonymisiert.

11. Deine Rechte

Du hast nach der DSGVO folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Deine Rechte auf Auskunft und Datenübertragbarkeit (Art. 15 und Art. 20 DSGVO) kannst du als angemeldete:r Nutzer:in jederzeit selbst wahrnehmen: unter Einstellungen → Meine Daten exportieren lädst du eine vollständige Kopie deiner Daten als Datei herunter. Für alle weiteren Rechte genügt eine formlose Nachricht an die im Impressum genannte Kontaktadresse.

12. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Bundesland deines gewöhnlichen Aufenthalts. Für Nordrhein-Westfalen ist dies:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestr. 2–4, 40213 Düsseldorf
www.ldi.nrw.de

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslage oder Änderungen der Plattform anzupassen. Es gilt jeweils die zum Zeitpunkt des Aufrufs aktuelle Fassung.

Stand: 23. Oktober 2026