Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die personenbezogenen Daten in dieser Anwendung ist die Versammlung, die sie führt — nicht der technische Betreiber der Installation. Eine Versammlung ist dabei keine Rechtsperson: der unten benannte Datenschutz-Kontakt ist deshalb keine Beigabe, sondern der Weg, auf dem die verantwortliche Stelle für dich erreichbar ist. Jede Versammlung benennt ihn selbst.

die Versammlung, die diese Anwendung führt
Ruppert Ballewski
info@rbnet.me

Erste Anlaufstelle ist der Betreiber der Installation. Er reicht dein Anliegen an die zuständige Versammlung weiter.

2. Auftragsverarbeiter (Betreiber der Installation)

Der Betreiber stellt Server, Software und Sicherungen bereit und verarbeitet die Daten ausschließlich im Auftrag der Versammlung. Ihm gehören außerdem das Impressum, die Zugriffsprotokolle, die Abwehrmaßnahmen und — falls eingeschaltet — die Reichweitenmessung. Womit er beauftragt ist und woran er gebunden ist, steht im Auftragsverarbeitungsvertrag; die Aufbewahrungsfristen in Punkt 8 sind darin als Weisung angenommen.

Ruppert Ballewski
info@rbnet.me
https://rbnet.me/imprint

3. Wozu diese Anwendung Daten verarbeitet

Sie organisiert die Zusammenarbeit einer Versammlung: Zusammenkunftspläne, Predigtdienst, Trolley-Dienst, Reinigung, Abwesenheiten und die dazugehörigen Benachrichtigungen. Ohne diese Verarbeitung gibt es die Anwendung nicht.

4. Welche Daten das sind

  • Stammdaten: Name, Gruppe, Ernennung, Ämter, seit wann du Verkündiger bist, optional Mailadresse und Telefonnummer
  • Konto und Anmeldung: Benutzername, Passwort-Prüfwert, Passkeys, letzte Anmeldung, seit wann das Konto besteht
  • Einteilungen in Pläne und Ersatzanfragen: wer Ersatz sucht, wer gefragt wurde, wer „kann nicht" sagte und wer übernahm; dazu die Antworten mit Text, die der Fragende und der Gefragte einander schreiben — verschlüsselt gespeichert und mit der Anfrage gelöscht
  • Gebiete: ob dir ein Gebiet ausgegeben wurde oder du es selbst übernommen hast, seit wann, eine Rückgabe mit freiwilliger Notiz für den Nächsten, und der Verlauf
  • Abwesenheiten und Rückmeldungen
  • Der monatliche Predigtdienstbericht: ob du tätig warst, Studien, Stunden und eine freiwillige Bemerkung — sichtbar für deinen Gruppenaufseher und den Sekretär. Art der Erfassung, Studien, Stunden und Bemerkung liegen verschlüsselt in der Datenbank. Nach drei Monaten werden sie wieder entfernt; dann steht nur noch, in welchem Monat du tätig warst, und nach acht Monaten auch das nicht mehr. Trägt der Sekretär Vormonate für andere ein, steht dort nur der Monat und wer ihn angehakt hat — keine Zahlen
  • Wenn der Sekretär eine Anwesendenzahl nachträgt: welche Zusammenkunft, welcher Zähler, wer es war und wann — damit erkennbar bleibt, ob eine Zahl gezählt oder geschätzt wurde
  • Das Prüfprotokoll — eine Sicherungsmaßnahme nach Art. 32
  • Gerätezustand: Browser, letzte Aktivität, ob die App installiert ist
  • Freiwilliges: Profilbild, Push-Abonnements, Kalender-Abo, persönliches Notizbuch, Standortfreigabe
  • Tickets zu Saal, Trolley und App: Text, Fotos, wer es eröffnet hat und wann, und der Verlauf — mehr dazu in Punkt 13

5. Was andere in der Versammlung von dir sehen

Das ist der Zweck der Anwendung und kein Fehler — es gibt nur bislang keine Stelle, an der es einmal ausgesprochen wird. In Listen, die ein großer Teil der Versammlung sieht, erscheinen:

  • dein Name, deine Gruppe, deine Ernennung und deine Ämter
  • deine Aufgaben in den Plänen, mit Datum
  • deine Abwesenheiten als Zeitraum — der Grund gehört nicht dazu
  • welche Gebiete du bearbeitest, und wer sie vorher hatte
  • deine Notiz bei der Rückgabe eines Gebiets, für den Gebietsdiener und für alle, die das Gebiet danach bearbeiten; im Verlauf steht sie bei deinem Namen
  • deine Ersatzanfrage: wen du fragst, sieht deinen Namen und die Aufgabe; der Planer sieht, wer gefragt wurde und wer „kann nicht" sagte

Nicht sichtbar für andere sind: dein persönliches Notizbuch, deine Push-Abonnements, dein Kalender-Abo und dein Gerätezustand. Mailadresse und Telefonnummer sehen Verwalter, nicht die ganze Versammlung.

6. An wen Daten hinausgehen

Diese Liste wird aus der Einstellung dieser Installation gelesen, nicht abgeschrieben — sie kann deshalb nicht veralten:

  • Bundesamt für Kartographie und Geodäsie (BKG) — Kartenkacheln — erfährt IP-Adresse und Kartenausschnitt
  • Google / Apple / Mozilla — Push-Zustellung je Gerät — erfährt, dass eine Nachricht an dieses Gerät geht
  • der Kalenderdienst, den die Person selbst wählt — Kalender-Abo — erhält den vollständigen persönlichen Plan
  • der SMTP-Anbieter der Installation — Mailversand (Einladung, Passwort zurücksetzen)
  • Ruppert Ballewski — Auftragsverarbeiter — Betrieb, Sicherungen, Protokolle
  • https://stats.rbnet.me/js/script.file-downloads.outbound-links.js — Reichweitenmessung — Seitenaufrufe ohne Konto-Bezug

Der Kartendienst erfährt bei jeder geladenen Kachel deine IP-Adresse und welchen Ausschnitt du ansiehst. Der Push-Dienst deines Geräts erfährt, dass eine Nachricht an dieses Gerät geht. Der Kalenderdienst, den du selbst aussuchst, erhält deinen vollständigen persönlichen Plan; das ist in der Regel ein Anbieter außerhalb der EU.

Welcher Kartendienst zeichnet, wählt die Versammlung, die diese Anwendung führt — aus dieser Liste und aus keiner anderen:

  • OpenStreetMap Foundation — weltweit
  • Bundesamt für Kartographie und Geodäsie (BKG) — Deutschland

Oben in der Empfängerliste steht der Dienst, der es heute ist. Ein Wechsel innerhalb dieser Liste ändert diesen Text nicht und wird dir deshalb nicht erneut vorgelegt; er wird im Prüfprotokoll der Anwendung festgehalten. Ein vierter Dienst wäre eine neue Fassung.

7. Was freiwillig ist, und wie du es abwählst

Sieben Verarbeitungen kannst du abschalten, ohne dass es jemanden außer dich betrifft. Für alles andere gilt die Kenntnisnahme, nicht die Einwilligung: es muss ohnehin geschehen, damit die Versammlung ihre Arbeit organisieren kann.

  1. Kalender-Abo — im Profil widerrufen. Danach liefert die Adresse nichts mehr.
  2. Push-Benachrichtigungen — je Gerät im Profil abschalten.
  3. Profilbild — im Profil entfernen.
  4. Mailadresse und Telefonnummer — im Profil leeren. Die Adresse darf leer bleiben.
  5. Standortfreigabe für die Karte — der Schalter auf der Karte, und die Freigabe im Browser.
  6. Persönliches Notizbuch — es gehört dir; du füllst es oder nicht.
  7. Reichweitenmessung — in dieser Installation eingeschaltet; sie zählt Seitenaufrufe ohne Konto-Bezug.

8. Wie lange Daten bleiben

Die Fristen stehen fest im Code und sind nicht je Versammlung einstellbar — eine Frist je Versammlung wäre eine Einstellung, keine Zusage. Sie werden hier aus derselben Stelle gelesen, aus der die Löschroutine sie nimmt:

  • benachrichtigungen: 180 Tage
  • abwesenheiten, predigtdienst, pioniere, trolley: 2 Jahre, auf ein Jahresende gerundet
  • reinigung, instandhaltung, räume: 3 Jahre, auf ein Jahresende gerundet
  • zusammenkunftspläne: 5 Jahre, auf ein Jahresende gerundet
  • predigtdienstberichte: stunden, studien, bemerkung: 3 Monate ab dem berichteten Monat
  • predigtdienstberichte: die zeile: 8 Monate ab dem berichteten Monat
  • ersatzanfragen: bis die Zusammenkunft vorbei ist
  • gesperrte konten (dann anonymisiert): 2 Jahre, auf ein Jahresende gerundet
  • gebietshistorie: 2 Jahre, auf ein Jahresende gerundet
  • gebiete: rückgabe-notizen: 2 Jahre, auf ein Jahresende gerundet
  • zeilen ohne lebendes konto: 2 Jahre, auf ein Jahresende gerundet
  • angetroffene: name: 3 Jahre, auf ein Jahresende gerundet
  • angetroffene: die zeile: 10 Jahre, auf ein Jahresende gerundet
  • öffentliche gebietslinks: 1 Jahr ab Ausgabe, taggenau
  • ticket-fotos: 1 Jahr ab Abschluss, taggenau
  • gebiete, gruppen: keine Frist (Stammdaten der Versammlung)
  • prüfprotokoll: system: 90 Tage
  • prüfprotokoll: schedule: 730 Tage
  • prüfprotokoll: trolley: 730 Tage
  • prüfprotokoll: territory: 730 Tage

„Löschen" heißt in dieser Anwendung anonymisieren: die Zeile bleibt stehen, damit jeder alte Plan lesbar bleibt, und trägt danach eine Kennung statt eines Namens. Ein hartes Löschen zerrisse die Pläne, in denen du eingeteilt warst.

9. Deine Rechte

  • Auskunft (Art. 15) und Datenübertragbarkeit (Art. 20): im Profil unter „Auskunft" als ZIP herunterladen — je Herkunft eine JSON-Datei.
  • Berichtigung (Art. 16): das Profil ist selbst bearbeitbar.
  • Löschung (Art. 17): bei der Versammlung beantragen; sie führt die Anonymisierung durch.
  • Widerspruch und Widerruf: für alles unter Punkt 7 jederzeit und ohne Angabe von Gründen.
  • Beschwerde bei der zuständigen Aufsicht.

10. Sicherheit und Sicherungen

Die Verbindung ist verschlüsselt. Das persönliche Notizbuch liegt zusätzlich verschlüsselt in der Datenbank. Sicherungen, die den Server verlassen, werden vor dem Verlassen verschlüsselt; der Schlüssel zum Entschlüsseln liegt nicht auf diesem Server.

11. Meldung einer Datenschutzverletzung

Der Betreiber meldet unverzüglich an die Versammlung (Art. 33 Abs. 2), die Versammlung binnen 72 Stunden an die Aufsicht (Art. 33 Abs. 1) und bei hohem Risiko an die Betroffenen (Art. 34). Der Weg ist ausgeschrieben. Empfänger der ersten Stufe ist die im Verarbeitungsverzeichnis eingetragene Vertretung der Versammlung, hilfsweise ihre Antwort-Adresse.

12. Die Liste der Anschriften, an denen nicht geklingelt wird

Diese Anwendung führt je Versammlung eine Liste von Anschriften, die im Dienst nicht besucht werden. Sie betrifft Menschen, die kein Konto in dieser Anwendung haben, und deshalb steht sie hier gesondert.

  • Was darin steht: die Anschrift und die Klingelposition („2. von unten links"). Im Altbestand steht daneben noch ein auf drei Zeichen gekürzter Namensrest; neu wird kein Name mehr erfasst.
  • Woher es kommt: in der Regel aus der Bitte der betroffenen Person selbst, an der Tür ausgesprochen (Art. 13). Wo daneben ein Name steht, stammt er vom Klingelschild (Art. 14).
  • Warum wir das dürfen: Art. 6 Abs. 1 lit. f. Das berechtigte Interesse ist im Kern das der betroffenen Person selbst — nicht besucht zu werden. Eine Einwilligung wäre nicht nachweisbar (Art. 7 Abs. 1) und für sie schlechter: ihr Widerruf hieße Löschung, und Löschung hieße Besuche.
  • Wer es sieht: der Gebietsdiener und wer das Gebiet gerade bearbeitet, auch über einen Gebietslink. Solange ein Gebiet frei ist, zeigt es nur, wie viele Anschriften darin stehen. Über den Gebietslink wird der Name nicht angezeigt, die Klingelposition schon.
  • Wie lange: der Namensrest drei Jahre, die Zeile zehn — jeweils ab dem späteren von letztem Besuch und Erfassung. Der Wunsch verfällt nicht, die Zuordnung zwischen Wunsch und Bewohner schon: nach zehn Jahren wohnt dort mit hoher Wahrscheinlichkeit jemand anderes.
  • Wie man herauskommt: ein Wort an die Versammlung genügt. Widerspruch heißt: der Name wird gelöscht, nicht die Zeile — die Zeile zu löschen stellte genau die Besuche wieder her, gegen die der Widerspruch sich richtet. Wohnung ist nicht Mensch. Ebenso kann die ganze Zeile entfernt werden, wenn wieder geklingelt werden darf.

13. Tickets zu Saal, Trolley und App

Mit einem Ticket meldest du einen Schaden am Saal, einen Schaden oder Hinweis an einem Trolley oder eine Rückmeldung zur App. Den Gegenstand wählst du nicht aus: er folgt aus dem Bereich, in dem du das Ticket eröffnest. Ein Ticket eröffnen kann nur, wer angemeldet ist.

  • Warum wir das dürfen: Art. 6 Abs. 1 lit. f. Die Versammlung hat ein berechtigtes Interesse, Schäden an Saal und Trolley zu erfahren und zu beheben und die App zu verbessern; dafür muss sie wissen, wer gemeldet hat, um zurückzufragen. Du meldest freiwillig; ein Ticket nicht zu eröffnen, kostet dich nichts.
  • Was darin steht: dein Text, ein Foto oder beides; dein Name und das Datum; beim Trolley der Standort. Dazu der Verlauf: jede Antwort mit Name, Zeitpunkt und optionalem Foto, jeder Statuswechsel, wer zuständig ist, und die Notiz beim Abschließen. Du änderst Text und Foto oder ziehst das Ticket zurück, solange niemand sonst gehandelt hat; ein ersetztes Foto wird sofort entfernt.
  • Fotos: auf einem Foto können Räume und auch Personen zu sehen sein. Beim Hochladen werden die Angaben der Kamera (EXIF) entfernt — Aufnahmeort, Gerät und Zeitpunkt. Die Fotos liegen nicht öffentlich auf dem Server; ein Foto bekommt nur, wer das Ticket sehen darf.
  • Wer es sieht: du selbst — du siehst nur deine eigenen Tickets — und der Kreis, der den Gegenstand betreut:
    • Saal: Instandhaltungs-Team und Instandhaltungs-Komitee aller Versammlungen, die sich den Saal teilen und die Instandhaltung eingeschaltet haben;
    • Trolley: das Trolley-Team deiner Versammlung;
    • App: der Betreiber der Installation. Er liest jede Rückmeldung zur App mit.
    Zum Kreis gehört auch, wessen Aufgabe die genannte einschließt, etwa die Verwalter der Versammlung. Gehört der Betreiber selbst zu einer Versammlung dieser Installation, sieht er dort Saal- und Trolley-Tickets wie jedes andere Mitglied mit dieser Aufgabe. Wer im Ticket antwortet oder zuständig wird, löst eine Mitteilung in der App aus.
  • Wie lange: die Fotos werden ein Jahr nach dem Abschließen des Tickets entfernt; wird es wieder geöffnet, beginnt das Jahr beim nächsten Abschließen neu. Text und Verlauf bleiben. Ein Ticket, das Unsinn oder doppelt ist, kann der Kreis ganz löschen, mit Verlauf und Fotos.
  • Bei der Anonymisierung deines Kontos (Punkt 8) bleiben deine Tickets unter der anonymen Kennung stehen; die Fotos der Tickets, die du eröffnet hast, werden sofort entfernt.
  • Auskunft: die Auskunft im Profil (Punkt 9) enthält jedes Ticket, das du eröffnet oder in dem du geschrieben hast — mit Gegenstand, Datum, Status und den Texten, die du selbst geschrieben hast.

Fassung: f63babceb33adc54 · Verbindlich ist die deutsche Fassung.