Datenschutzerklärung

1. Verantwortlicher

Code22 e.V. · Rechtsform angenommen, vom Vorstand zu bestätigen

E-Mail-Adresse für Datenschutzanfragen und vertretungsberechtigte Person· wird vom Vorstand ergänzt

Datenschutzbeauftragte Person, falls der Verein eine benennt· wird vom Vorstand ergänzt

2. Zwecke und Rechtsgrundlagen

Mitgliedschaft und Teilnahme an Terminen

Wir verarbeiten Stammdaten der Mitglieder und ihrer Kinder (Name, Anzeigename, Nutzername, bei Erwachsenen die E-Mail-Adresse, optional das Geburtsjahr des Kindes) sowie An- und Abmeldungen zu Terminen, um die Mitgliedschaft zu erfüllen und die Aktivitäten zu organisieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Mitgliedschaftsverhältnisses).

Einladung per E-Mail

Betreuerinnen, Betreuer und die Verwaltung können Eltern der Kursteilnehmenden per E-Mail in die App einladen. Die Adresse wird dafür nur verwendet, um diese eine Mail mit einem persönlichen Einladungslink zu verschicken; in der App wird sie nicht gespeichert, und der Link ist nicht an sie gebunden. Im Versandprotokoll bleibt wie bei jeder Mail nur ein Prüfwert der Adresse (Hash), nicht die Adresse selbst; scheitert der Versand, liegt sie dort, bis ein Wiederholungsversuch gelingt oder der Versand nach dem letzten Versuch aufgegeben wird. Wer kein Konto anlegt, hinterlässt sonst nichts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Familien der Kinder, die an unseren Kursen teilnehmen, über die App zu erreichen.

Foto- und Videoaufnahmen sowie der Heimweg

Aufnahmen von Kindern und die Erlaubnis, allein nach Hause zu gehen, beruhen ausschließlich auf einer Einwilligung der Sorgeberechtigten nach Art. 6 Abs. 1 lit. a DSGVO. Diese Einwilligungen sind freiwillig: ohne sie ist die Teilnahme an allen Aktivitäten trotzdem möglich. Sie lassen sich jederzeit in der App widerrufen; der Widerruf wirkt für die Zukunft und wird als eigener Eintrag gespeichert, ohne den früheren zu überschreiben.

Betrieb und Sicherheit

Für den sicheren Betrieb verarbeiten wir technische Daten: Anmeldeversuche mit einer gekürzten und gehashten IP-Adresse gegen automatisches Durchprobieren von Passwörtern, Fehlerberichte aus dem Browser und Protokolle des Servers. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein funktionierender und vor Missbrauch geschützter Dienst.

3. Daten von Kindern

Ein Kinderkonto legen ausschließlich die Sorgeberechtigten an. Kinder haben keine E-Mail-Adresse in dieser App und melden sich mit einem Nutzernamen und einem Passwort an. Kinderkonten sind von der Nutzungsmessung ausgenommen und haben keinen Zugang zur Programmierschnittstelle für Assistenzwerkzeuge. Kinder sehen die Namen anderer Kinder nicht.

An einem Termin sehen Eltern sowie Betreuerinnen und Betreuer die Vornamen der Kinder, die dafür angemeldet sind, auf der Warteliste stehen oder sich abgemeldet haben, damit Familien wissen, wer mitkommt. Nachnamen erscheinen dort nicht. Kinder sehen an derselben Stelle nur, wie viele Kinder in jeder dieser Gruppen sind.

Freitexte, die Kinder in der App schreiben (etwa Rückmeldungen zu einem Fehler oder einem Wunsch), bleiben in der App. Sie werden nicht in Entwicklungswerkzeuge, Repositorys oder aufbewahrte Protokolle übernommen.

4. Notfallkontakte

Die Telefonnummer für den Notfall wird verschlüsselt gespeichert. Sie ist für Betreuerinnen und Betreuer nur an dem Tag sichtbar, an dem der Termin stattfindet, dem sie zugeordnet sind, und nur nach einer ausdrücklichen Aktion. Jeder Zugriff wird mit Zeitpunkt, Person und Anlass protokolliert; das Protokoll ist nicht löschbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. d DSGVO (Schutz lebenswichtiger Interessen des Kindes).

5. Cookie für die Anmeldung

Nach dem Anmelden setzen wir ein einziges Cookie mit dem Namen __Host-code22-session. Es enthält eine verschlüsselte Sitzungskennung, gilt 30 Tage, wird nur über HTTPS übertragen und ist für Skripte im Browser nicht lesbar. Es ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TTDSG) und braucht deshalb keine Einwilligung. Ohne dieses Cookie ist eine Anmeldung nicht möglich. Wir setzen keine Cookies zu Werbe- oder Analysezwecken und binden keine fremden Zählpixel ein.

6. Speicherung im Browser

Die App legt zwei Angaben im lokalen Speicher des Browsers ab. Beide bleiben auf dem Gerät und erreichen unseren Server nicht:

• c22_install_dismissed_at hält fest, wann der Hinweis auf die Installation weggeklickt wurde, damit er sieben Tage lang nicht wiederkommt.
• Der zuletzt benutzte Nutzername, damit das Anmeldefeld auf dem eigenen Gerät vorbelegt ist.

Beides ist eine unbedingt erforderliche Funktionsspeicherung im Sinne von § 25 Abs. 2 Nr. 2 TTDSG und braucht keine Einwilligung. Löschen lässt es sich jederzeit über die Browsereinstellungen.

7. Nutzungsmessung

Wir zählen ausschließlich auf unserem eigenen Server, welche Funktionen benutzt werden (zum Beispiel „Termin angemeldet" oder „Kapitel abgehakt"), um die App zu verbessern. Es kommt kein Dienst und kein Skript eines Dritten zum Einsatz, es gibt keine Profilbildung, keine geräteübergreifende Wiedererkennung und keine Weitergabe. Zu Ereignissen von Kinderkonten wird keine Nutzerkennung gespeichert. Die Ereignisse werden nach 90 Tagen automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

8. Auftragsverarbeiter

Wir geben Daten nur an Dienstleister weiter, die für uns verarbeiten und mit denen ein Vertrag nach Art. 28 DSGVO besteht:

• Hetzner Online GmbH, Gunzenhausen, Deutschland: Betrieb des Servers und der Datensicherungen. Die Daten liegen in Deutschland; die Sicherungen sind verschlüsselt.
• Resend (USA): Versand der Bestätigungs- und Benachrichtigungsmails. Übermittelt werden dabei die E-Mail-Adresse und der Inhalt der Nachricht. Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO.

Kinder erhalten keine E-Mails; an Resend gelangen deshalb nur Adressen von Erwachsenen.

9. Speicherdauer

• Ereignisse der Nutzungsmessung: 90 Tage.
• Anmeldeversuche: ein Tag. Abgelaufene Bestätigungs- und Rücksetz-Links: bis zum Ablauf, danach Löschung.
• Konten und Teilnahmedaten: bis zum Austritt und danach 12 Monate, damit Rückfragen zur Vereinsarbeit noch beantwortet werden können. Anschließend werden sie anonymisiert; die Daten sind dann keiner Person mehr zuzuordnen.
• Protokolle über den Zugriff auf Notfallnummern: dauerhaft, weil sie die Nachvollziehbarkeit dieser Zugriffe sicherstellen.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Für Kinder üben die Sorgeberechtigten diese Rechte aus.

Für eine Anfrage genügt eine Nachricht an die oben genannte Adresse.

11. Beschwerderecht

Sie können sich bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf.