Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Datenerfassung auf dieser Website

Wer ist verantwortlich für die Datenerfassung auf dieser Website?

Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Die Kontaktdaten können Sie dem Impressum entnehmen. Verantwortliche Stelle ist der Württembergische Christusbund e.V.

Wie erfassen wir Ihre Daten?

Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen. Hierbei kann es sich z. B. um Daten handeln, die Sie in ein Registrierungs- oder Kontaktformular eingeben (Mitarbeiter-, Projekt- oder Bewerbungsdaten).

Andere Daten werden beim Besuch der Website durch unsere IT-Systeme erfasst. Das sind vor allem technische Daten (z. B. Internetbrowser, Betriebssystem oder Uhrzeit des Seitenaufrufs). Die Erfassung dieser Daten erfolgt automatisch, sobald Sie diese Website betreten.

Wofür nutzen wir Ihre Daten?

Ein Teil der Daten wird erhoben, um eine fehlerfreie und sichere Bereitstellung der Website zu gewährleisten. Andere Daten werden zur Bereitstellung der Kernfunktionen (Vermittlung von Freiwilligen in soziale und christliche Projekte, Chat-Kommunikation, Newsletter) sowie zur Bereitstellung von Nutzerkonten verwendet.

2. Hosting

Vercel (Frontend-Hosting)

Wir hosten das Frontend unserer Website bei Vercel Inc., 340 S Lemon Ave #4133 Walnut, CA 91789, USA ("Vercel"). Wenn Sie unsere Website besuchen, erfasst Vercel standardmäßige Server-Logfiles inklusive Ihrer IP-Adresse, um die Funktionsfähigkeit, Ausfallsicherheit und Sicherheit der Plattform zu gewährleisten.

Die Nutzung von Vercel erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen und zuverlässigen Darstellung unserer Website). Die Datenübertragung in die USA wird auf die Standardvertragsklauseln der EU-Kommission sowie das EU-U.S. Data Privacy Framework (DPF) gestützt.

All-Inkl (Backend-Hosting & Datenbank)

Die Server für unsere API (Backend) und die Datenbanken werden bei der ALL-INKL.COM - Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf ("All-Inkl") gehostet. Auf diesen Servern werden die bei der Registrierung und Nutzung unserer Plattform eingegebenen Informationen (z. B. Profile, Projekte, Nachrichten) sicher in Deutschland gespeichert. Dies erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. -anbahnung) und unserem berechtigten Interesse an einer sicheren Infrastruktur (Art. 6 Abs. 1 lit. f DSGVO).

3. Datenerfassung für die Kerndienste

Registrierung und Profilerstellung

Wenn Sie sich als Freiwilliger oder Organisation auf unserer Plattform registrieren, erheben wir Daten wie Ihren Namen, Ihre E-Mail-Adresse und ggf. weitere Profildaten (Qualifikationen, Adressdaten von Projekten etc.). Diese Daten dienen ausschließlich dem Zweck, die Vermittlung von Projektangeboten und Freiwilligen zu ermöglichen. Die Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO.

Kommunikation & Chatfunktion

Über unsere Plattform können Sie Nachrichten mit anderen Nutzern (Organisationen oder Freiwilligen) austauschen. Diese Nachrichten werden in unserer Datenbank gespeichert, um Ihnen den Abruf von verschiedenen Endgeräten aus zu ermöglichen. Eine Auswertung der Inhalte durch den Plattformbetreiber findet nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet oder es dient der Verfolgung von schwerwiegenden Missbrauchsfällen.

Newsletterfunktion

Wenn Sie unseren Newsletter abonnieren, verarbeiten wir Ihre E-Mail-Adresse, um Ihnen regelmäßig Informationen zu übersenden. Die Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese Einwilligung jederzeit widerrufen, beispielsweise über den "Abmelden"-Link im Newsletter.

Spam-Schutz (ALTCHA Captcha)

Um unsere Formulare vor automatisierten Spam- und Bot-Anfragen zu schützen, setzen wir den quelloffenen Dienst ALTCHA ein. Die Serverinstanz zur Validierung wird von uns selbst auf der europäischen Infrastruktur der Oracle Cloud Infrastructure betrieben.

ALTCHA verwendet ein datensparsames Proof-of-Work-Verfahren, bei dem der Browser Ihres Endgeräts lokal eine mathematische Aufgabe löst. Hierbei werden lediglich zwingend erforderliche technische Protokolldaten (insbesondere Ihre IP-Adresse und Browser-Header) auf unserer Serverinstanz verarbeitet. Es werden keine Cookies gesetzt, keine Tracking-Daten gesammelt und keine Daten an unbeteiligte Dritte weitergegeben.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Gewährleistung der IT-Sicherheit unserer Systeme sowie der Abwehr von Spam und Missbrauch).

4. Authentifizierung und technisch notwendige Cookies (SSR / App-Status)

Unsere Webanwendung nutzt moderne Rendering-Verfahren (Server-Side Rendering / Hybrid-Rendering). Um Ihnen eine unterbrechungsfreie, flackerfreie Benutzeroberfläche und einen geschützten Login-Bereich bereitzustellen, setzen wir ausschließlich technisch zwingend erforderliche Cookies (First-Party-Cookies) ein.

Eine Verwendung für Webanalyse-, Tracking- oder Werbezwecke findet nicht statt. Eine vorherige Einwilligung (Cookie-Banner) ist für diese technisch bedingten Cookies gemäß § 25 Abs. 2 Nr. 2 TDDDG gesetzlich nicht erforderlich.

Die eingesetzten Cookies lassen sich in folgende funktionale Gruppen einteilen:

• 1. Sitzungssicherheit & Authentifizierung:
  Zur Absicherung des geschlossenen Benutzerbereichs speichern wir ein kryptografisches Refresh-Token als speziell geschütztes HttpOnly-Cookie (refresh_token). Dieses verhindert den Diebstahl von Zugangsdaten über Cross-Site-Scripting (XSS) und wird nicht im unsicheren lokalen Speicher (LocalStorage) abgelegt.
• 2. Anwendungs- und Rendering-Status (SSR / SSG):
  Damit die Webanwendung beim Neuladen oder Navigieren zwischen Seiten ohne störendes Flackern (Layout-Shifts) sofort weiß, welche Menüs und Funktionen geladen werden müssen, werden rein funktionale Zustände gespeichert (z. B. Login-Status is_logged_in, Rollen- und Rechtezuweisungen wie zg_user_role / zg_has_multiple_providers sowie der Anzeigename zur Begrüßung im Navigationsbereich). Diese Daten verbleiben in Ihrer Browsersitzung und dienen ausschließlich der unmittelbaren Darstellung der Benutzeroberfläche.
• 3. Benutzeroberflächen-Präferenzen (Anti-FOUC):
  Um Ihre gewählte Design-Einstellung (Hell-, Dunkel- oder Systemeinstellung) beim Aufruf der Seite sofort korrekt ohne weißes Aufblitzen anzuwenden, wird diese Wahl lokal in einem Einstellungs-Cookie hinterlegt (zg-theme).

Speicherdauer: Die Status- und Einstellungs-Cookies werden in der Regel für die Dauer der aktiven Sitzung bzw. für einen begrenzten Zeitraum (bis zu einem Jahr für Design-Präferenzen) gespeichert oder beim expliziten Abmelden (Logout) gelöscht.

Rechtsgrundlagen: Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Bereitstellung der vom Nutzer angeforderten Plattformfunktionen) sowie Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer performanten, fehlerfreien und sicheren Bereitstellung der Benutzeroberfläche).

5. Lokale Einbindung von Schriften und externe Geodienste

Lokale Schriftarten (Self-Hosting)

Um unsere Website optisch ansprechend und einheitlich zu gestalten, nutzen wir Schriftarten (u. a. Inter, Lora). Diese Schriftarten sind vollständig lokal auf unseren eigenen Servern bzw. im Anwendungs-Bundle installiert. Beim Aufruf unserer Website wird keine Verbindung zu externen Servern von Google oder anderen Schriftanbietern hergestellt. Es findet diesbezüglich keine Übertragung Ihrer IP-Adresse an Dritte statt.

Karten- und Geodienste (Leaflet & OpenStreetMap)

Für die Darstellung interaktiver Umgebungskarten nutzen wir die Open-Source-Bibliothek Leaflet. Die Programmbibliothek Leaflet ist vollständig lokal in unserer Webanwendung eingebunden und wird nicht von externen CDNs geladen.

Zur Anzeige des Kartenmaterials werden Kartenteile (Kacheln bzw. Tiles) von den Servern der OpenStreetMap Foundation (OSMF), St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Großbritannien, nachgeladen. Beim Abruf dieser Kacheln wird Ihre IP-Adresse an die Server der OSMF übertragen. Die Nutzung erfolgt im Interesse einer ansprechenden Darstellung unserer Projektstandorte und einer leichten Auffindbarkeit der von uns angegebenen Orte (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen zur Datenverarbeitung finden Sie in der Datenschutzerklärung der OpenStreetMap Foundation .

Keine Webanalyse / kein Marketing-Tracking

Wir setzen keine Webanalyse-Tools (wie Google Analytics, Matomo Cloud) oder Werbe-Tracker ein.

6. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten insbesondere auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen),
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, z. B. Newsletter),
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen, z. B. sichere Bereitstellung und Missbrauchsschutz),
• bei technisch erforderlichen Cookies und Zugriffen auf Endgeräte § 25 Abs. 2 Nr. 2 TDDDG.

7. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

• Soft-gelöschte Konten, Projekte und zugehörige Stammdaten werden nach 30 Tagen dauerhaft entfernt.
• Benachrichtigungen werden nach 90 Tagen bereinigt.
• View-Statistiken werden nach 365 Tagen bereinigt.
• Nicht verifizierte Engagements werden in der Regel nach 7 Tagen entfernt.
• Nicht verifizierte Benutzerkonten werden nach Ablauf der Verifizierungsfrist bereinigt; alte unbestätigte Konten werden nach spätestens 30 Tagen gelöscht.
• Passwort-Reset-Tokens werden nach Ablauf automatisch gelöscht.
• Newsletter-Abonnements bleiben bis zur Abmeldung gespeichert; bei Abmeldung werden E-Mail und Tokens gelöscht.

Server- und Sicherheitsprotokolle werden nur im notwendigen Umfang verarbeitet und gelöscht, sobald sie für den Sicherheits- und Betriebszweck nicht mehr erforderlich sind.

8. Empfänger, Auftragsverarbeitung und Drittlandübermittlung

Empfänger Ihrer Daten sind technische Dienstleister, die wir zur Bereitstellung der Plattform einsetzen (insbesondere Hosting und Infrastruktur). Mit diesen Dienstleistern wurden, soweit gesetzlich erforderlich, Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen.

Soweit Daten in Drittländer übermittelt werden (z. B. USA durch das Vercel-Edge-Netzwerk), erfolgt dies auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (EU-U.S. Data Privacy Framework) bzw. geeigneter Garantien wie den EU-Standardvertragsklauseln.

9. Ihre Rechte

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft, Empfänger und den Zweck der Datenverarbeitung. Zudem steht Ihnen ein Recht auf Berichtigung, Einschränkung der Verarbeitung oder Löschung dieser Daten zu. Wenden Sie sich dazu einfach an die im Impressum angegebene Kontaktadresse.

Zusätzlich haben Sie folgende Rechte:

• Recht auf Datenübertragbarkeit (Art. 20 DSGVO),
• Recht auf Widerspruch gegen bestimmte Verarbeitungen (Art. 21 DSGVO),
• Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für Baden-Württemberg ist dies der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW).