Datenschutzerklärung

1. Verantwortlicher Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Webseite ist: Karsten Lück An der Dreisbach 27 57250 Netphen Deutschland E-Mail: karsten@cross-point.me Telefon: [optional einfügen] 2. Zweck der Webseite Diese Webseite dient der Information, Organisation und internen Kommunikation einer Jugendgruppe. Sie bietet öffentliche Inhalte sowie einen geschützten internen Bereich für Mitglieder. Im internen Bereich können insbesondere folgende Funktionen genutzt werden: Benutzerkonto und Anmeldung Forum mit Beiträgen und Kommentaren interne Fotowand Termine und Veranstaltungen freiwillige Profilangaben freiwillige Tagebuchfunktion mit Verschlüsselung Moderations- und Administrationsfunktionen 3. Welche personenbezogenen Daten wir verarbeiten Bei der Registrierung und Nutzung der Webseite können folgende Daten verarbeitet werden: Pflichtangaben bei Mitgliedern: Vorname Nachname E-Mail-Adresse Benutzerkennung / Benutzerkonto Passwort in geschützter Form Freiwillige Angaben: Geburtsdatum hochgeladene Fotos Beiträge, Kommentare und sonstige Inhalte Tagebucheinträge und Tagebuchbilder freiwillige Nutzung einer Wiederherstellungsfunktion für den Tagebuchschlüssel Technische Daten: IP-Adresse Datum und Uhrzeit von Zugriffen und Anmeldungen Browser- und Geräteinformationen, soweit sie vom Webserver technisch übermittelt werden Protokolldaten über sicherheitsrelevante Ereignisse Zusätzliche Protokolldaten bei Moderatoren, Administratoren und Superadministratoren: Freigaben von Beiträgen oder Bildern Änderungen an Einstellungen administrative Aktionen sicherheitsrelevante Änderungen Datum, Uhrzeit und Benutzerkennung der Aktion 4. Zwecke der Verarbeitung Wir verarbeiten personenbezogene Daten zu folgenden Zwecken: Bereitstellung und Betrieb der Webseite Verwaltung von Benutzerkonten Anmeldung und Authentifizierung interne Kommunikation innerhalb der Jugendgruppe Veröffentlichung von Beiträgen, Kommentaren und Fotos im internen Bereich Veröffentlichung ausgewählter Inhalte im öffentlichen Bereich durch Moderatoren Organisation von Terminen und Veranstaltungen Moderation und Schutz der Mitglieder Missbrauchsverhinderung und IT-Sicherheit Nachvollziehbarkeit administrativer Aktionen freiwillige Geburtstagsgrüße, sofern ein Geburtsdatum angegeben wurde Bereitstellung der freiwilligen verschlüsselten Tagebuchfunktion freiwillige Wiederherstellung des Tagebuchschlüssels, sofern diese Option aktiv genutzt wird 5. Rechtsgrundlagen der Verarbeitung Die Verarbeitung der für den Betrieb des Benutzerkontos erforderlichen Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit die Daten zur Bereitstellung der Mitgliedsfunktionen erforderlich sind. Die Verarbeitung freiwilliger Angaben, zum Beispiel Geburtsdatum, freiwillige Fotos, freiwillige Tagebuchfunktion oder freiwillige Schlüsselwiederherstellung, erfolgt auf Grundlage einer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Die Verarbeitung technischer Protokolldaten, IP-Adressen, Login-Zeitpunkte und sicherheitsrelevanter Ereignisse erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren Betrieb der Webseite, dem Schutz vor Missbrauch, der Nachvollziehbarkeit sicherheitsrelevanter Vorgänge und der Sicherstellung eines geschützten internen Bereichs. Soweit gesetzliche Aufbewahrungspflichten bestehen, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. 6. Besondere Hinweise zu Kindern und Jugendlichen Die Webseite richtet sich auch an Jugendliche. Deshalb behandeln wir personenbezogene Daten besonders sorgfältig. Soweit für bestimmte Verarbeitungen eine Einwilligung erforderlich ist, benötigen Mitglieder unter 16 Jahren grundsätzlich die Zustimmung der Erziehungsberechtigten. Dies betrifft insbesondere freiwillige Veröffentlichungen, Fotos, freiwillige Profilangaben und die freiwillige Nutzung bestimmter Zusatzfunktionen. Wir empfehlen, bei der Registrierung minderjähriger Mitglieder eine Zustimmung der Erziehungsberechtigten einzuholen und diese Zustimmung zu dokumentieren. 7. Benutzerkonto und Anmeldung Für die Nutzung des internen Bereichs ist ein Benutzerkonto erforderlich. Dabei werden mindestens Vorname, Nachname und E-Mail-Adresse verarbeitet. Diese Daten werden benötigt, um Mitglieder eindeutig zuordnen zu können, die Anmeldung zu ermöglichen, Beiträge und Kommentare einem Benutzerkonto zuzuordnen und die interne Kommunikation sicher zu betreiben. Passwörter werden nicht im Klartext gespeichert, sondern nach aktuellem technischem Standard geschützt verarbeitet. 8. Forum, Beiträge und Kommentare Im internen Bereich können Mitglieder Beiträge und Kommentare erstellen. Dabei werden der Inhalt des Beitrags, das zugehörige Benutzerkonto sowie Datum und Uhrzeit gespeichert. Beiträge und Kommentare sind für berechtigte Mitglieder des internen Bereichs sichtbar. Je nach Funktion können Inhalte durch Moderatoren geprüft, freigegeben, bearbeitet oder entfernt werden. Öffentliche Beiträge auf der Webseite können nur durch Moderatoren, Administratoren oder berechtigte Personen veröffentlicht werden. 9. Fotowand und Veröffentlichung von Bildern Mitglieder können Fotos hochladen, die im internen Bereich auf einer Fotowand veröffentlicht werden können. Die Veröffentlichung wird durch Moderatoren überwacht. Fotos können personenbezogene Daten enthalten, insbesondere wenn Personen erkennbar abgebildet sind. Die Veröffentlichung von Fotos erfolgt daher grundsätzlich nur, wenn eine entsprechende Berechtigung oder Einwilligung vorliegt. Auf der öffentlichen Webseite können nur Moderatoren oder Administratoren Bilder veröffentlichen. Dabei kann es vorkommen, dass Bilder von Mitgliedern veröffentlicht werden. Für die Veröffentlichung erkennbarer Personen im öffentlichen Bereich sollte vorab eine ausdrückliche Einwilligung der betroffenen Person beziehungsweise bei Minderjährigen der Erziehungsberechtigten eingeholt werden. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Nach einem Widerruf werden die entsprechenden Bilder entfernt, soweit keine anderen rechtlichen Gründe für eine weitere Verarbeitung bestehen. 10. Termine und Veranstaltungen Auf der Webseite können Termine und Veranstaltungen veröffentlicht werden. Diese können öffentlich oder nur im internen Bereich sichtbar sein. Bei Veranstaltungen können organisatorische Informationen verarbeitet werden, zum Beispiel Teilnahmeinformationen, Kommentare oder Rückmeldungen. Welche Daten konkret verarbeitet werden, hängt von der jeweiligen Funktion ab. 11. Freiwillige Angabe des Geburtsdatums Das Geburtsdatum ist freiwillig. Es kann verwendet werden, um Mitgliedern zum Geburtstag zu gratulieren oder altersgerechte Funktionen bereitzustellen. Die Angabe des Geburtsdatums ist nicht erforderlich, um die Webseite grundsätzlich zu nutzen. Die Einwilligung kann jederzeit widerrufen werden. Das Geburtsdatum wird dann gelöscht oder nicht weiter verwendet. 12. Verschlüsselte Tagebuchfunktion Die Webseite kann eine freiwillige Tagebuchfunktion anbieten. Tagebucheinträge und gegebenenfalls hochgeladene Tagebuchbilder werden verschlüsselt gespeichert. Die Inhalte werden nach aktuellem technischem Stand verschlüsselt. Der konkret eingesetzte Verschlüsselungsstandard lautet: [Platzhalter: eingesetzter Verschlüsselungsstandard, z. B. AES-256-GCM / Argon2id / OpenPGP / konkrete technische Umsetzung ergänzen] Der persönliche Tagebuchschlüssel ist grundsätzlich nur dem jeweiligen Mitglied bekannt. Bei normaler Nutzung wird der Schlüssel nur lokal auf dem Gerät des Mitglieds verarbeitet und nicht im Klartext auf dem Server gespeichert. Die Tagebuchfunktion ist freiwillig. Wird der persönliche Schlüssel verloren und wurde keine Wiederherstellungsfunktion aktiviert, können die verschlüsselten Tagebuchinhalte nicht wiederhergestellt werden. 13. Freiwillige Wiederherstellungsfunktion für den Tagebuchschlüssel Optional kann eine Wiederherstellungsfunktion für den persönlichen Tagebuchschlüssel aktiviert werden. Wenn diese Funktion aktiviert wird, wird der vom Mitglied selbst gewählte Schlüssel an den Server übertragen und dort mit dem öffentlichen PGP-Schlüssel des Superadministrators verschlüsselt abgelegt. Der Superadministrator kann im Notfall mit seinem privaten Schlüssel eine Wiederherstellung des persönlichen Schlüssels unterstützen. Diese Funktion ist freiwillig. Wird sie nicht aktiviert, verlässt der persönliche Schlüssel das lokale Gerät des Mitglieds nicht. Die Aktivierung der Wiederherstellungsfunktion sollte ausdrücklich bestätigt und protokolliert werden. Mitglieder sollten klar darauf hingewiesen werden, dass durch diese Funktion eine Wiederherstellung möglich wird, der Superadministrator dadurch aber eine besondere Vertrauensstellung erhält. 14. Protokolldaten und Server-Logs Beim Besuch der Webseite und bei der Anmeldung werden durch den Webserver technische Daten verarbeitet. Dazu gehören insbesondere: IP-Adresse Datum und Uhrzeit des Zugriffs aufgerufene Seite oder Funktion übertragene Datenmenge Browser- und Geräteinformationen, soweit technisch übermittelt Login-Zeitpunkte fehlgeschlagene Login-Versuche Diese Daten dienen dem sicheren Betrieb der Webseite, der Fehleranalyse, der Missbrauchserkennung und der Abwehr von Angriffen. Server-Logdaten werden nur so lange gespeichert, wie dies für diese Zwecke erforderlich ist. Speicherdauer: [Platzhalter, z. B. 7 Tage / 14 Tage / 30 Tage ergänzen] 15. Protokollierung von Moderator-, Admin- und Superadmin-Aktionen Bei Benutzern mit erweiterten Rechten werden bestimmte Aktionen protokolliert. Dazu gehören insbesondere: Freigabe oder Ablehnung von Beiträgen Freigabe oder Entfernung von Bildern Änderung von Einstellungen Änderung von Benutzerrechten administrative Eingriffe Nutzung sicherheitsrelevanter Funktionen Wiederherstellungsvorgänge im Zusammenhang mit Tagebuchschlüsseln Diese Protokollierung dient der Sicherheit, Nachvollziehbarkeit, Missbrauchsvermeidung und dem Schutz der Mitglieder. 16. Cookies und lokale Speicherung Diese Webseite verwendet voraussichtlich technisch notwendige Cookies oder vergleichbare Speichertechniken, um den Betrieb der Webseite zu ermöglichen. Dazu können insbesondere Session-Cookies, Login-Cookies oder Sicherheits-Cookies gehören. Technisch notwendige Cookies sind erforderlich, damit die Webseite und der interne Bereich funktionieren. Sie werden nicht zu Werbe- oder Trackingzwecken verwendet. Aktuell eingesetzte Cookies / Speichertechniken: Name Zweck Speicherdauer Anbieter Technisch notwendig [Platzhalter] [z. B. Login-Session] [Platzhalter] [eigene Webseite] Ja [Platzhalter] [z. B. CSRF-Schutz] [Platzhalter] [eigene Webseite] Ja Sollten zukünftig Analyse-, Marketing-, Tracking- oder Drittanbieter-Cookies eingesetzt werden, werden diese nur nach vorheriger Einwilligung gesetzt. In diesem Fall wird diese Datenschutzerklärung entsprechend ergänzt und gegebenenfalls ein Cookie-Banner eingesetzt. 17. Empfänger personenbezogener Daten Personenbezogene Daten werden grundsätzlich nur innerhalb der Webseite und an berechtigte Personen weitergegeben. Zugriff können je nach Funktion haben: das jeweilige Mitglied Moderatoren Administratoren Superadministrator technische Dienstleister, zum Beispiel Hosting-Anbieter gegebenenfalls Erziehungsberechtigte, soweit dies organisatorisch oder rechtlich erforderlich ist Eine Weitergabe an Dritte erfolgt nur, wenn dies rechtlich erlaubt ist, eine Einwilligung vorliegt oder eine gesetzliche Verpflichtung besteht. 18. Hosting und technische Dienstleister Die Webseite wird bei einem technischen Dienstleister gehostet. Hosting-Anbieter: [Platzhalter: Name und Anschrift des Hosting-Anbieters ergänzen] Mit dem Hosting-Anbieter sollte ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen werden, sofern der Anbieter Zugriff auf personenbezogene Daten haben kann. 19. Speicherdauer Personenbezogene Daten werden nur so lange gespeichert, wie sie für die jeweiligen Zwecke erforderlich sind. Benutzerkonten werden grundsätzlich gespeichert, solange die Mitgliedschaft oder Nutzung des internen Bereichs besteht. Beiträge, Kommentare und Fotos werden gespeichert, solange sie für den jeweiligen Bereich erforderlich sind oder bis sie gelöscht werden. Freiwillige Angaben, zum Beispiel das Geburtsdatum, werden gelöscht, wenn die Einwilligung widerrufen wird oder das Benutzerkonto gelöscht wird. Protokolldaten werden nach Ablauf der festgelegten Speicherfrist gelöscht, sofern keine sicherheitsrelevanten Gründe eine längere Speicherung erforderlich machen. Konkrete Speicherfristen: Datenart Speicherdauer Benutzerkonto bis zur Löschung des Kontos freiwilliges Geburtsdatum bis zum Widerruf oder zur Kontolöschung Forumbeiträge bis zur Löschung durch Mitglied/Moderator/Admin oder Kontolöschung nach Regelung Fotos interne Fotowand bis zur Löschung oder Widerruf öffentliche Fotos bis zur Löschung oder Widerruf Tagebucheinträge bis zur Löschung durch das Mitglied oder Kontolöschung Server-Logs [Platzhalter] Admin-/Moderator-Protokolle [Platzhalter, z. B. 6 oder 12 Monate] 20. Rechte der betroffenen Personen Betroffene Personen haben nach der DSGVO insbesondere folgende Rechte: Recht auf Auskunft Recht auf Berichtigung Recht auf Löschung Recht auf Einschränkung der Verarbeitung Recht auf Datenübertragbarkeit Recht auf Widerspruch gegen bestimmte Verarbeitungen Recht auf Widerruf einer Einwilligung mit Wirkung für die Zukunft Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde Anfragen können an folgende Adresse gerichtet werden: E-Mail: karsten@cross-point.me 21. Widerruf von Einwilligungen Wenn eine Verarbeitung auf einer Einwilligung beruht, kann diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung, die bis zum Widerruf erfolgt ist. Dies betrifft insbesondere: freiwillige Angabe des Geburtsdatums Veröffentlichung von Fotos Veröffentlichung von Beiträgen oder Bildern im öffentlichen Bereich Nutzung der freiwilligen Wiederherstellungsfunktion für den Tagebuchschlüssel nicht notwendige Cookies oder Drittanbieter-Dienste, falls diese zukünftig eingesetzt werden 22. Sicherheit der Verarbeitung Wir treffen technische und organisatorische Maßnahmen, um personenbezogene Daten vor Verlust, Missbrauch, unbefugtem Zugriff, Veränderung oder Offenlegung zu schützen. Dazu gehören insbesondere: verschlüsselte Übertragung per HTTPS geschützte Benutzerkonten rollenbasierte Rechtevergabe Moderationsfunktionen Protokollierung sicherheitsrelevanter Aktionen verschlüsselte Speicherung besonders vertraulicher Tagebuchinhalte regelmäßige technische Aktualisierung der Webseite 23. Keine automatisierte Entscheidungsfindung Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt. 24. Änderung dieser Datenschutzerklärung Diese Datenschutzerklärung kann angepasst werden, wenn sich Funktionen der Webseite, rechtliche Anforderungen oder technische Abläufe ändern. Bei wesentlichen Änderungen können Mitglieder beim nächsten Login erneut auf die geänderte Datenschutzerklärung hingewiesen werden. Soweit eine neue Einwilligung erforderlich ist, wird diese gesondert eingeholt und dokumentiert. 25. Die Plattform kann E-Mail-Benachrichtigungen versenden. Bestimmte Sicherheits- und Kontomails sind notwendig und nicht abbestellbar. Optionale Benachrichtigungen können im Profil verwaltet werden. Für den Versand werden E-Mail-Adresse, Benutzerkonto, Benachrichtigungstyp und Versandstatus verarbeitet.