Datenschutzerklärung

1. Verantwortlicher

Tom Henri Maron
Ludwig-Erhard-Straße 18
20459 Hamburg
E-Mail: [email protected]

1a. Auftragsverarbeitungsvertrag für Vereine

Vereine, die Clubdienst einsetzen, sind für die Daten ihrer Mitglieder datenschutzrechtlich verantwortlich und benötigen dafür einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Diesen stellen wir fertig ausgefüllt zur Verfügung: Auftragsverarbeitungsvertrag ansehen und ausdrucken. Er gilt mit der Nutzung des Dienstes als vereinbart; eine gesonderte Unterschrift ist möglich, aber nicht erforderlich.

2. Rollenverteilung: Verein und Anbieter

Clubdienst wird von Vereinen genutzt, um ihre eigenen Arbeitsdienste zu organisieren. Für die Daten, die Mitglieder auf der Aufgabenwand eines Vereins eingeben, ist der jeweilige Verein datenschutzrechtlich verantwortlich. Wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO im Auftrag des Vereins und ausschließlich nach dessen Weisung.

Für die Daten der Vereinsvorstände, die sich bei uns registrieren, sowie für den Betrieb dieser Website sind wir selbst Verantwortlicher.

3. Welche Daten wir verarbeiten

• Vereins- und Zugangsdaten: Vereinsname, hinterlegte Admin-E-Mail-Adressen, Passwort-Hash (bcrypt – das Passwort selbst wird nie gespeichert), die zufälligen Zugangs-Tokens für Aufgabenwand, Admin-Dashboard und Abteilungen sowie ausgestellte Lizenzschlüssel. Optional ein vom Verein hinterlegter Ansprechpartner für Absagen (Freitext, etwa Name und Telefonnummer); er wird Mitgliedern angezeigt, die sich nicht mehr selbst austragen können.
• Aufgabendaten: Titel, Beschreibung, Priorität, Termin, benötigte Helferzahl und optional die Arbeitsstunden je Aufgabe.
• Anmeldungen von Mitgliedern: Name (Pflicht) und E-Mail-Adresse (optional; der Verein kann sie zur Pflicht machen) sowie ein zufälliger Austrage-Token. Trägt sich ein Mitglied über seinen Austrage-Link selbst aus, erhalten die Admin-E-Mail-Adressen des Vereins eine Benachrichtigung mit Name, Aufgabe und Termin, sofern der Verein diese Benachrichtigung nicht abgeschaltet hat.
• Wartelisten-Einträge: Name und E-Mail-Adresse in der Reihenfolge des Eintragens – hier ist die E-Mail-Adresse zwingend, weil eine Benachrichtigung sonst nicht möglich wäre. Wird bei einer vollen Aufgabe ein Platz frei, rückt der oder die Erste auf der Warteliste automatisch nach: Aus dem Wartelisten-Eintrag wird eine Anmeldung mit eigenem Austrage-Token, der Name erscheint (bei aktivierter Kürzung abgekürzt) auf der Aufgabenwand, und an die hinterlegte Adresse geht eine Benachrichtigung mit Termin und Austrage-Link. Wer nicht nachrücken möchte, kann sich über diesen Link wieder austragen, solange eine vom Verein festgelegte Frist für das Austragen nicht abgelaufen ist; danach wendet sich das Mitglied direkt an den Verein. Der Verein kann Einträge auch vorher von der Warteliste nehmen.
• Zahlungsbezogene Daten: bei einem gebuchten Tarif die Kennung des Abonnements beim Zahlungsdienstleister. Kreditkarten- und Kontodaten verarbeiten wir nicht; diese werden ausschließlich bei Stripe eingegeben und gespeichert.
• Technische Daten: IP-Adresse und Zeitpunkt des Zugriffs, um die Zahl von Registrierungen, Anmeldungen und Login-Versuchen pro Anschluss zu begrenzen (Schutz vor Missbrauch und Brute-Force-Angriffen). Diese Zählwerte werden nur kurzzeitig im Arbeitsspeicher gehalten und nicht dauerhaft gespeichert.

Eine Registrierung, ein Nutzerkonto oder eine App ist für Mitglieder nicht erforderlich. Es werden keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO erhoben, und es findet keine automatisierte Entscheidungsfindung einschließlich Profiling statt.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes für registrierte Vereine (Registrierung, Login, Aufgabenverwaltung, Abrechnung des gebuchten Tarifs): Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Nutzungsvertrags.
• Anmeldung von Mitgliedern zu Aufgaben und Versand der Bestätigungs-, Erinnerungs- und Wartelisten-Mails einschließlich des automatischen Nachrückens von der Warteliste sowie der Benachrichtigung des Vereinsvorstands über Absagen: Verarbeitung im Auftrag des Vereins; die Rechtsgrundlage hierfür liegt beim Verein und stützt sich regelmäßig auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO (Mitgliedschaftsverhältnis bzw. Vereinsorganisation).
• Missbrauchsabwehr durch Begrenzung der Anfragen pro IP-Adresse: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am sicheren und verfügbaren Betrieb.
• Erfüllung steuer- und handelsrechtlicher Pflichten bei kostenpflichtigen Tarifen: Art. 6 Abs. 1 lit. c DSGVO.

5. Speicherdauer

• Aufgaben und Anmeldungen bleiben gespeichert, solange der Verein sie nicht löscht und der Zugang besteht. Löscht der Vorstand eine Aufgabe, werden auch die zugehörigen Anmeldungen und Wartelisten-Einträge entfernt.
• Nach Ablauf der kostenlosen Testphase bleiben vorhandene Daten zunächst erhalten. Wird ein Verein ohne gebuchten Tarif zwölf Monate lang nicht mehr genutzt, löschen wir ihn samt aller Aufgaben, Anmeldungen und Wartelisten-Einträge; etwa 30 Tage vorher erhält der Verein eine Vorwarnung per E-Mail.
• Nach Wirksamwerden einer Kündigung werden Aufgaben und Anmeldungen nach einer Karenzzeit von 30 Tagen gelöscht.
• Die Zählwerte zur Missbrauchsabwehr verfallen nach Ablauf des jeweiligen Zeitfensters (je nach Aktion eine Minute bis eine Stunde).
• Rechnungs- und Buchungsbelege bewahren wir entsprechend der gesetzlichen Aufbewahrungsfristen auf (in der Regel bis zu zehn Jahre nach § 147 AO).

6. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur an sorgfältig ausgewählte Dienstleister weiter, die für uns tätig sind und mit denen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO bestehen:

• Hosting der Anwendung:Railway Corporation, Serverstandort Niederlande.
• Datenbank:Supabase – Speicherung der Vereins-, Aufgaben- und Anmeldedaten, Serverstandort Deutschland.
• Zahlungsabwicklung und Rechnungsstellung: Stripe Payments Europe, Ltd., Dublin, Irland – nur bei einem kostenpflichtigen Tarif. Stripe erstellt und versendet auch die Rechnung und wickelt die Überweisung ab; dabei verarbeitet Stripe den Vereinsnamen, die Rechnungsadresse und die E-Mail-Adresse des Vorstands. Auf Aufgaben-, Anmelde- oder Mitgliederdaten hat Stripe keinen Zugriff.
• E-Mail-Versand:Brevo (Sendinblue GmbH) – für Bestätigungen, Erinnerungen, Wartelisten-Mails und Lizenzschlüssel.

Verarbeitet ein Dienstleister Daten außerhalb der EU bzw. des EWR, stützen wir die Übermittlung auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.

7. Cookies und Reichweitenmessung

Wir setzen ausschließlich ein technisch notwendiges Sitzungs-Cookie für den Login der Vorstände ein. Es gibt keine Analyse-, Tracking- oder Marketing-Cookies. Einzelheiten findest du in den Cookie-Hinweisen.

8. Deine Rechte

Du hast im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO), auf Datenübertragbarkeit (Art. 20 DSGVO) sowie auf Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO).

Wenn du dich als Mitglied auf der Aufgabenwand eines Vereins eingetragen hast, wende dich mit diesen Anliegen bitte zuerst an deinen Verein – er ist für diese Daten verantwortlich. Wir unterstützen den Verein bei der Erfüllung deiner Anfrage. Du kannst deine Anmeldung außerdem selbst über den Austrage-Link zurücknehmen, den du direkt nach dem Eintragen angezeigt bekommst und – sofern angegeben – per E-Mail erhältst, solange eine vom Verein festgelegte Frist für das Austragen nicht abgelaufen ist.

Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere bei der Behörde deines gewöhnlichen Aufenthaltsorts oder unserem Sitz (Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit).

9. Datensicherheit

Die Übertragung erfolgt verschlüsselt über HTTPS. Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Der Zugang zur Aufgabenwand, zum Admin-Dashboard und zu Abteilungen erfolgt über zufällige, nicht erratbare Links; behandle diese Links wie ein Passwort. Der Vorstand kann den Link zur Aufgabenwand jederzeit neu erzeugen, wodurch alte Links und QR-Codes ungültig werden.

10. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Funktionsumfang des Dienstes oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite abrufbare Fassung.