Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Seite ist Dominik Hellweg. Anschrift und Kontaktmöglichkeit stehen im Impressum.

Dies ist eine private, nicht kommerzielle Anwendung zur Planung von Festivals und Feiern im Bekanntenkreis. Es findet weder Werbung noch Tracking oder eine Weitergabe von Daten zu Werbezwecken statt.

Welche Daten verarbeitet werden

Die Nutzung setzt ein Benutzerkonto voraus. Gespeichert werden dabei:

• Kontodaten: Nickname (Pflichtangabe, dient der Anmeldung) sowie – jeweils freiwillig – Vorname, Nachname und E-Mail-Adresse, bei einer E-Mail-Adresse zusätzlich, ob und wann sie bestätigt wurde. Das Passwort wird ausschließlich als bcrypt-Hash gespeichert, nie im Klartext.
• Profilbild: ein optional hochgeladenes Bild, gespeichert in der Datenbank.
• Festivals: Name, Beschreibung, Ort, Datum und Angaben zur Verpflegung der von Nutzenden angelegten Veranstaltungen.
• Zu- und Absagen: Teilnahmestatus, Anzahl mitgebrachter Gäste, mitgebrachte Speisen und Getränke sowie ein freier Kommentar.
• Kommentare: Text, Verfasser und Bezug (Festival oder Profil) samt Zeitpunkt.
• Soziale Verknüpfungen: Gruppen samt Mitgliedschaften sowie Freundschaften und offene Freundschaftsanfragen.
• Sitzungsdaten: ein zufälliger Sitzungstoken, der die Anmeldung aufrechterhält.
• Einmal-Links: für Links zur Bestätigung der E-Mail-Adresse und zum Zurücksetzen des Passworts ein Prüfwert (Hash) des Links, sein Zweck, die betroffene Adresse und der Ablaufzeitpunkt – nicht der Link selbst.

Zu allen genannten Datensätzen werden technisch bedingt Erstellungs- und Änderungszeitpunkt gespeichert. Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.

Zweck und Rechtsgrundlage

Sämtliche Daten dienen allein dem Betrieb der Anwendung: der Anmeldung, der Darstellung von Festivals und Profilen gegenüber anderen angemeldeten Nutzenden und der Planung von Veranstaltungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses) für Konto- und Veranstaltungsdaten sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen und missbrauchssicheren Betrieb) für Sitzungsdaten und Server-Protokolle. Freiwillige Angaben wie Vorname, Nachname, E-Mail-Adresse und Profilbild beruhen auf Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und können jederzeit in den Einstellungen geändert oder entfernt werden.

Eine hinterlegte E-Mail-Adresse wird ausschließlich genutzt, um einen Link zu ihrer Bestätigung zu schicken und – nur an bestätigte Adressen und nur auf Anforderung – einen Link zum Zurücksetzen des Passworts. Werbung, Newsletter oder sonstige Benachrichtigungen werden nicht verschickt.

Sichtbarkeit für andere Nutzende

Diese Anwendung ist ein geschlossener Bereich: Ohne Anmeldung sind keine Inhalte zugänglich. Angemeldete Nutzende können die Profile anderer samt der Kommentare darauf sehen. Ein Festival mit seinen Zu- und Absagen und Kommentaren sehen nur, wer es angelegt hat, dessen Freunde und alle, die darauf schon geantwortet haben. Angaben, die nicht geteilt werden sollen, sollten deshalb nicht hinterlegt werden – insbesondere die freiwilligen Profilfelder. Die E-Mail-Adresse ist für andere nicht sichtbar.

Cookies

Es wird ein einziges technisch notwendiges Cookie gesetzt (session). Es enthält keinen Namen und keine Profildaten, sondern nur einen zufälligen Token, über den die Sitzung serverseitig zugeordnet wird. Das Cookie läuft spätestens nach 30 Tagen ab und wird beim Logout gelöscht. Es gibt keine Analyse-, Werbe- oder Drittanbieter-Cookies; eine Einwilligung ist dafür nach § 25 Abs. 2 TDDDG nicht erforderlich.

Server-Protokolle und Missbrauchsschutz

Beim Aufruf der Seite fallen beim Hoster technische Protokolldaten an (unter anderem IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browsertyp). Sie dienen dem sicheren Betrieb und der Fehlersuche.

Zum Schutz vor dem automatisierten Durchprobieren von Passwörtern wird bei fehlgeschlagenen Anmeldeversuchen die IP-Adresse zusammen mit dem verwendeten Nickname für 15 Minuten im Arbeitsspeicher des Servers vorgehalten. Diese Angaben werden nicht in der Datenbank gespeichert und verfallen automatisch. Ebenso wird die Zahl der für ein Konto angeforderten E-Mails eine Stunde lang im Arbeitsspeicher gezählt, damit sich darüber kein fremdes Postfach zuschütten lässt.

Hosting

Die Anwendung wird bei der uberspace.de GmbH (Sonnenberger Straße 16, 65193 Wiesbaden) betrieben. Der Hoster verarbeitet die Daten ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO. Die Server stehen in Deutschland; eine Übermittlung in Drittländer findet nicht statt. Auch die E-Mails der Anwendung werden über den Mailserver des Hosters verschickt.

Speicherdauer

Konto- und Inhaltsdaten werden gespeichert, solange das Benutzerkonto besteht. Das Konto lässt sich jederzeit selbst in den Einstellungen löschen; dabei werden alle verknüpften Daten unwiderruflich mitgelöscht: Profil und Profilbild, die eigenen Festivals samt der Zu- und Absagen aller Gäste, die eigenen Gruppen, sämtliche Kommentare – die selbst geschriebenen ebenso wie die, die andere auf dem eigenen Profil und an den eigenen Festivals hinterlassen haben –, Freundschaften, offene Freundschaftsanfragen sowie die Zusagen zu fremden Festivals. Sitzungstoken verfallen spätestens nach 30 Tagen. Einmal-Links werden mit dem Einlösen gelöscht und gelten höchstens 24 Stunden (Bestätigung) bzw. eine Stunde (Passwort); abgelaufene Einträge werden bei der nächsten Ausgabe eines Links entfernt. Zur Löschdauer der Server-Protokolle gelten die Fristen des Hosters.

Rechte der betroffenen Personen

Es besteht das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Die wichtigsten dieser Rechte lassen sich unmittelbar in der Anwendung ausüben: Profilangaben und Passwort sind in den Einstellungen änderbar, eigene Festivals und Kommentare dort löschbar, wo sie angezeigt werden, und das gesamte Konto lässt sich in den Einstellungen unter „Konto löschen“ selbst entfernen – ohne Umweg über eine Anfrage. Für alles Weitere, etwa eine Auskunft nach Art. 15 DSGVO, genügt eine Nachricht an die im Impressum genannte Adresse.

Zudem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, für den Verantwortlichen zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Datensicherheit

Die Übertragung erfolgt verschlüsselt über HTTPS. Passwörter werden ausschließlich als Hash gespeichert. Ein lückenloser Schutz von Daten bei der Übertragung im Internet ist gleichwohl nicht möglich.