Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und in der Anwendung ist:
Martin Mänche
Frankfurter Str. 55a, 63128 Dietzenbach, Deutschland
E-Mail: maenche24@gmail.com

Datenschutzbeauftragte:r

Es ist keine oder kein Datenschutzbeauftragte:r benannt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor; für alle Fragen zum Datenschutz ist die oben genannte Adresse zuständig.

2. Grundsätze

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung einer funktionsfähigen Website und unserer Leistungen erforderlich ist. Eine Verarbeitung erfolgt regelmäßig nur nach Ihrer Einwilligung oder wenn eine Rechtsgrundlage die Verarbeitung gestattet.

Wir setzen kein Web-Tracking, keine Analyse-Tools und keine Werbe-Cookies ein. Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO statt.

3. Hosting und Server-Logfiles

Die Website wird von der Vercel Inc. bereitgestellt; die Auslieferung erfolgt aus der Region Frankfurt am Main. Beim Aufruf der Website werden automatisch Informationen an den Server übermittelt und temporär in Logfiles gespeichert:

• IP-Adresse des anfragenden Geräts (gekürzt bzw. nur für die Dauer der Verbindung)
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Übertragene Datenmenge und Meldung über den Erfolg des Abrufs
• Verwendeter Browsertyp und Betriebssystem

Zweck: Sicherstellung eines störungsfreien Verbindungsaufbaus, komfortabler Nutzung, Auswertung der Systemsicherheit und -stabilität.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technisch fehlerfreien und sicheren Betrieb).
Speicherdauer: in der Regel 7 Tage, längstens 30 Tage bei sicherheitsrelevanten Vorfällen.

Tritt in der Anwendung ein technischer Fehler auf, wird dieser an unser Postfach gemeldet, damit er behoben werden kann. Die Meldung enthält die Fehlerbeschreibung, die Stelle im Programmcode und den aufgerufenen Seitenpfad – ohne Suchparameter, ohne Ihren Namen und ohne Ihre Inhalte. Dieselbe Meldung wird höchstens einmal je Stunde verschickt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technisch fehlerfreien Betrieb).

4. Nutzerkonto und Anmeldung

Zur Nutzung des angemeldeten Bereichs legen Sie ein Nutzerkonto an. Dabei verarbeiten wir:

• Name (Anzeigename)
• E-Mail-Adresse
• Passwort – ausschließlich als kryptografischer Hash mit individuellem Salt, niemals im Klartext
• Zeitpunkt der Registrierung und der letzten Anmeldung
• Profilbild, sofern Sie eines hochladen (siehe Abschnitt 9)
• ein Farbton für Ihre Initialen, errechnet aus Ihrer E-Mail-Adresse. Er dient allein dazu, Sie in Listen wiederzuerkennen, wenn kein Profilbild hinterlegt ist.
• Ihre Einstellungen in der App: Erscheinungsbild, Anzeigedichte, Startansicht, Reihenfolge Ihrer Things

Zweck: Bereitstellung des Nutzerkontos, Authentifizierung, Zuordnung Ihrer Inhalte.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen).
Speicherdauer: bis zur Löschung des Kontos; anschließend gelten gesetzliche Aufbewahrungsfristen (z. B. § 147 AO, § 257 HGB) für abrechnungsrelevante Daten.

Zum Schutz vor automatisierter Massennutzung zählen wir je Konto, wie oft bestimmte Aktionen – Einladungen, Beiträge, Kommentare, Wiki-Änderungen, Bild-Uploads und neue Things – innerhalb der laufenden Stunde bzw. des laufenden Tages ausgelöst wurden. Gespeichert werden dabei ausschließlich die Art der Aktion, eine Zahl und der Beginn des Zeitfensters, keine Inhalte. Der Zähler überschreibt sich mit jedem neuen Zeitfenster selbst.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Missbrauch und am stabilen Betrieb).

5. Inhalte in Things

Innerhalb eines „Things“ verarbeiten wir die von Ihnen und den weiteren Mitgliedern eingestellten Inhalte: Kalendereinträge (Belegungen), Wiki-Seiten, Beiträge und Kommentare im Feed, Reaktionen, Aufgaben im To-Do-Board sowie – im Modul Abrechnungen – Ausgaben mit Betrag, Datum, Verwendungszweck, der Angabe, wer ausgelegt hat, und der Aufteilung auf die Mitglieder. Jeder Eintrag trägt Ihren Namen und den Zeitpunkt der Erstellung.

Die Beträge im Modul Abrechnungen sagen etwas über Ihre finanziellen Verhältnisse aus, und die anderen Mitglieder des Things sehen sie. Tragen Sie dort nur ein, was die Gruppe angeht.

Diese Inhalte sind ausschließlich für die Mitglieder des jeweiligen Things sichtbar – hochgeladene Bilder eingeschlossen (siehe Abschnitt 9). Sie sind nicht öffentlich und werden von Suchmaschinen nicht erfasst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Speicherdauer: bis zur Löschung durch Sie, durch eine berechtigte Person des Things oder bis zur Löschung des Things.

6. Einladungen

Wenn Sie eine Person zu einem Thing einladen, verarbeiten wir deren E-Mail-Adresse, um die Einladung zu versenden, sowie ein zufällig erzeugtes Einladungs-Token. Die E-Mail-Adresse wird ausschließlich für diesen Zweck genutzt und nach Ablauf oder Annahme der Einladung nicht weiterverwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der einladenden Person an der gemeinsamen Organisation). Bitte laden Sie nur Personen ein, mit denen Sie tatsächlich teilen möchten.
Speicherdauer: Einladungen verfallen automatisch 14 Tage nach dem Versand und lassen sich danach nicht mehr einlösen. Weitere 14 Tage später löschen wir sie vollständig; der kurze Aufschub sorgt dafür, dass ein Klick auf einen gerade abgelaufenen Link noch die Meldung „abgelaufen“ erhält und nicht ins Leere führt.

7. Kündigungen über die Kündigungsschaltfläche

Über die Seite Verträge hier kündigen können Sie Ihren Vertrag ohne Anmeldung beenden. Dabei verarbeiten wir die Angaben, die § 312k Abs. 2 BGB für eine solche Erklärung vorsieht: Art der Kündigung, bei einer außerordentlichen Kündigung deren Grund, die Bezeichnung des Vertrags, den gewünschten Beendigungszeitpunkt, Ihren Namen, Ihre Anschrift und Ihre E-Mail-Adresse. Hinzu kommen der Zeitpunkt des Zugangs und der vollständige Wortlaut Ihrer Erklärung.

Die Erklärung wird in unserer Datenbank gespeichert und zusätzlich per E-Mail an uns und als Bestätigung an Sie versandt. Die Speicherung ist die eigentliche Entgegennahme – auf den E-Mail-Versand allein verlassen wir uns nicht, damit keine Kündigung verlorengeht.

Zweck: Entgegennahme und Bearbeitung der Kündigung, Bestätigung des Zugangs in Textform sowie der Nachweis, dass und wann Ihre Erklärung zugegangen ist.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertragsverhältnisses) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung aus § 312k BGB).
Speicherdauer: drei Jahre ab dem Ende des Jahres, in dem die Kündigung zugegangen ist (Regelverjährung nach §§ 195, 199 BGB); danach löschen wir die Erklärung. Berührt sie abrechnungsrelevante Vorgänge, gelten die längeren Fristen aus § 147 AO und § 257 HGB.

8. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein. Für diese ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Eine Übersicht finden Sie in unserer Cookie-Richtlinie.

Die Einträge im Local Storage entstehen erst, wenn Sie eine Einstellung ändern. Diese Liste steht im Quelltext an einer einzigen Stelle; ein Prüfskript vergleicht sie mit dem, was ein Browser beim Besuch tatsächlich mitbekommt.

9. Bilder

Hochgeladene Bilder

Profilbilder, Bilder von Things sowie Bilder in Beiträgen und auf Wiki-Seiten laden Sie in unseren Bildspeicher (Supabase Storage, Region Frankfurt am Main). Ihr Browser verkleinert die Datei vor dem Hochladen; Aufnahmeort und Kameradaten aus den EXIF-Angaben gehen dabei verloren und erreichen uns nicht.

Abgerufen werden diese Bilder ausschließlich über OurThings selbst. Bei jedem Abruf prüfen wir, ob die anfragende Person das Bild sehen darf: Für ein Bild, das zu einem Thing gehört, muss sie Mitglied dieses Things sein; ein Profilbild sieht, wer mit der abgebildeten Person mindestens ein Thing teilt. Die Prüfung liegt in der Datenbank selbst und nicht im Anwendungscode – es gibt also keinen zweiten Weg an ihr vorbei.

Speicherdauer: Löschen Sie Ihr Konto, entfernen wir Ihr Profilbild und angefangene Entwürfe mit. Bilder, die Sie in einen Beitrag oder eine Wiki-Seite eines Things gestellt haben, bleiben beim Inhalt des Things – sie gehören zu den Unterlagen der Gruppe. Auf Wunsch entfernen wir auch diese; eine Nachricht an die unten genannte Adresse genügt.

Bilder von fremden Servern

OurThings lädt keine Bilder von fremden Servern. Es gibt keine Möglichkeit, statt eines Uploads eine fremde Internetadresse zu hinterlegen, und unsere Content-Security-Policy lässt es auch technisch nicht zu. Damit erfährt kein dritter Server, wer sich hier etwas ansieht.

10. Schriftarten

Die Schriftart „Source Sans 3“ wird beim Erstellen der Anwendung einmalig heruntergeladen und anschließend von unserem eigenen Server ausgeliefert. Es findet keine Verbindung Ihres Browsers zu Google-Servern statt.

11. Empfänger und Auftragsverarbeitung

Eine Weitergabe Ihrer Daten an Dritte erfolgt nur, wenn dies gesetzlich zulässig ist. Wir setzen folgende Dienstleister auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO ein:

• Vercel Inc., San Francisco (USA) – Betrieb und Auslieferung der Website. Die Verarbeitung findet in der Region Frankfurt am Main statt.
• Supabase Inc., San Francisco (USA) – Datenbank und Anmeldedienst. Die Daten liegen in der Region Frankfurt am Main.
• Resend (Plus Five Five, Inc.), San Francisco (USA) – Versand von Bestätigungs- und Einladungsmails. Der Versand erfolgt über Server in Irland.

Alle drei Anbieter speichern die Daten innerhalb der EU. Da es sich um US-Unternehmen handelt, lässt sich ein Zugriff aus den USA – etwa im Rahmen technischer Unterstützung – nicht vollständig ausschließen. Für diesen Fall haben wir mit den Anbietern die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO vereinbart.

12. Ihre Rechte

Ihnen stehen gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine formlose Nachricht an maenche24@gmail.com. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Zwei Rechte können Sie ohne Umweg über uns ausüben: Namen, E-Mail-Adresse und Profilbild ändern Sie jederzeit selbst in Ihrem Profil. Und unter Einstellungen → Konto löschen Sie Ihr Konto endgültig – mit Ihren Inhalten, Ihrem Profilbild und Ihren Mitgliedschaften. Gehören Ihnen Things, werden diese mitgelöscht, auch für die anderen Mitglieder; der Dialog nennt vorher die Zahl. Möchten Sie ein Thing erhalten, machen Sie vorher ein anderes Mitglied zur Verwaltung und treten Sie aus.

Widerspruchsrecht

Sofern wir Daten auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen.

Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts. Für uns zuständig ist: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.

13. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder unberechtigten Zugriff zu schützen. Dazu gehören eine verschlüsselte Übertragung per TLS, ein Sitzungscookie, das für JavaScript gesperrt ist (httpOnly, SameSite=Lax), eine Content-Security-Policy gegen eingeschleuste Skripte sowie eine Rechteprüfung, die in der Datenbank selbst verankert ist (Row Level Security): Auch ein Fehler im Anwendungscode kann Inhalte eines Things niemandem zeigen, der nicht Mitglied ist. Passwörter speichert unser Anmeldedienst als Hash mit individuellem Salt; wir sehen sie zu keinem Zeitpunkt.

14. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Rechtslage oder unsere Verarbeitung ändert. Es gilt jeweils die auf dieser Seite abrufbare Fassung.