Datenschutzerklärung

Datenschutzerklärung für Gute Sache Schleswig.

1. Verantwortlicher

Beispiel-Träger e.V.
Musterstraße 1
00000 Musterstadt
E-Mail: kontakt@beispiel-traeger.example

2. Welche Daten werden verarbeitet?

Beim Aufruf der Seite: Server-Logs (IP-Adresse, Datum/Uhrzeit, aufgerufene URL, Browser-Information) zur Aufrechterhaltung des Betriebs und zur Spam-/Missbrauchsabwehr.
Bei der Einreichung einer Idee: Name (optional, Default „Anonym"), Titel, Beschreibung, Begründung, optional Bilder oder ein Video.
Bei der Registrierung als Stimmberechtigte/r: E-Mail-Adresse, Passwort (gehasht), Mobilfunknummer für die SMS-Verifizierung (nur Hash gespeichert).
Bei einer Stimmabgabe: pseudonymes Voter-Token (ohne Rückbezug auf Identität), Zeitstempel.
Bei der Anmeldung zum Newsletter: E-Mail-Adresse und ausgewählte Themen.

3. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a (Einwilligung beim Newsletter), lit. b (Vertrag, beim Einreichen und Abstimmen), lit. e (Wahrnehmung einer Aufgabe im öffentlichen Interesse, beim Beteiligungsverfahren) und lit. f DSGVO (berechtigtes Interesse, bei Server-Logs und Spam-Abwehr).

4. Speicherdauer

Server-Logs: 7 Tage.
Einreichungen und Stimmen: für die Dauer des Beteiligungszyklus, danach werden personenbezogene Bestandteile (z.B. eingegebene Namen, sofern nicht anonym) anonymisiert.
SMS-Verifizierungs-Hashes: gelöscht spätestens 30 Tage nach Ende der Abstimmungsphase.
Konten: bis zur Löschung durch die Nutzerin / den Nutzer oder bei längerer Inaktivität.
Newsletter-Abos: bis zur Abmeldung.

5. Empfängerinnen und Empfänger

Hosting: Vercel Inc. (USA, DPF-zertifiziert, EU-Region für Compute).
Datenbank, Authentifizierung, Datei-Speicherung: Supabase Inc. (USA, DPF-zertifiziert, EU-Region Frankfurt für die Daten).
SMS-Versand zur Stimm-Verifizierung: Twilio Inc. (USA, DPF-zertifiziert).
E-Mail-Versand (Einladungen, Newsletter, Passwort-Reset): Resend, Inc. (USA, DPF-zertifiziert, EU-Region für Versand).
KI-Vorprüfung der Einreichungen: Anthropic PBC (USA, DPF-zertifiziert).

Mit allen Auftragsverarbeitern bestehen entsprechende Verträge nach Art. 28 DSGVO. Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework (DPF) bzw. ergänzend Standardvertragsklauseln (SCC).

6. Eingebundene Drittanbieter-Inhalte: YouTube

Wenn eine eingereichte Idee oder ein Projekt-Update ein YouTube-Video enthält, binden wir das Video im erweiterten Datenschutzmodus (`youtube-nocookie.com`) ein. In diesem Modus setzt YouTube keine Cookies vor Ihrem ersten Klick auf "Play". Es wird jedoch beim Laden der Seite eine Verbindung zu YouTube hergestellt, damit das Vorschaubild und der Player ausgeliefert werden können; dabei wird Ihre IP-Adresse an YouTube übertragen.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Weitere Informationen: https://policies.google.com/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer ansprechenden, multimedialen Darstellung von Bürger-Ideen und Projekt-Fortschritten).

7. SMS-Verifizierung

Die Mobilfunknummer wird nur gehasht (SHA-256 mit einem serverseitigen Salt) gespeichert. Im Klartext existiert die Nummer nur für die Dauer des SMS-Versands. Zweck: Verhinderung von Mehrfachabstimmungen. Versand erfolgt über Twilio.

8. Cookies und Tracking

Diese Plattform verwendet ausschließlich technisch notwendige Cookies für die Session-/Authentifizierungs-Verwaltung der Bürger- und Admin-Konten (Supabase Auth). Es findet kein Drittanbieter-Tracking statt, es werden keine Analytics- oder Marketing-Cookies gesetzt.

Rechtsgrundlage für die technisch notwendigen Cookies: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie § 25 Abs. 2 Nr. 2 TTDSG (unbedingt erforderliche Speicherung).

9. Deine Rechte

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch (Art. 21 DSGVO)
Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO)

Zuständige Aufsichtsbehörde ist die für den Sitz des Verantwortlichen örtlich zuständige Landesdatenschutzbehörde. Eine Übersicht aller deutschen Aufsichtsbehörden findest du unter https://www.bfdi.bund.de/DE/Service/Anschriften/anschriften_table.html.

Bei Fragen oder Anliegen wende dich an: kontakt@beispiel-traeger.example.