Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die personenbezogenen Daten in dieser Anwendung ist die Versammlung, die sie führt — nicht der technische Betreiber der Installation. Eine Versammlung ist dabei keine Rechtsperson: der unten benannte Datenschutz-Kontakt ist deshalb keine Beigabe, sondern der Weg, auf dem die verantwortliche Stelle für dich erreichbar ist. Jede Versammlung benennt ihn selbst.

die Versammlung, die diese Anwendung führt
Ruppert Ballewski
info@rbnet.me

Erste Anlaufstelle ist der Betreiber der Installation. Er reicht dein Anliegen an die zuständige Versammlung weiter.

2. Auftragsverarbeiter (Betreiber der Installation)

Der Betreiber stellt Server, Software und Sicherungen bereit und verarbeitet die Daten ausschließlich im Auftrag der Versammlung. Ihm gehören außerdem das Impressum, die Zugriffsprotokolle, die Abwehrmaßnahmen und — falls eingeschaltet — die Reichweitenmessung. Womit er beauftragt ist und woran er gebunden ist, steht im Auftragsverarbeitungsvertrag; die Aufbewahrungsfristen in Punkt 8 sind darin als Weisung angenommen.

Ruppert Ballewski
info@rbnet.me
https://rbnet.me/imprint

3. Wozu diese Anwendung Daten verarbeitet

Sie organisiert die Zusammenarbeit einer Versammlung: Zusammenkunftspläne, Predigtdienst, Trolley-Dienst, Reinigung, Abwesenheiten und die dazugehörigen Benachrichtigungen. Ohne diese Verarbeitung gibt es die Anwendung nicht.

4. Welche Daten das sind

• Stammdaten: Name, Gruppe, Ernennung, Ämter, optional Mailadresse und Telefonnummer
• Konto und Anmeldung: Benutzername, Passwort-Prüfwert, Passkeys, letzte Anmeldung
• Einteilungen in Pläne, Gebietszuteilungen und deren Verlauf
• Abwesenheiten und Rückmeldungen
• Das Prüfprotokoll — eine Sicherungsmaßnahme nach Art. 32
• Gerätezustand: Browser, letzte Aktivität, ob die App installiert ist
• Freiwilliges: Profilbild, Push-Abonnements, Kalender-Abo, persönliches Notizbuch, Standortfreigabe

5. Was andere in der Versammlung von dir sehen

Das ist der Zweck der Anwendung und kein Fehler — es gibt nur bislang keine Stelle, an der es einmal ausgesprochen wird. In Listen, die ein großer Teil der Versammlung sieht, erscheinen:

• dein Name, deine Gruppe, deine Ernennung und deine Ämter
• deine Aufgaben in den Plänen, mit Datum
• deine Abwesenheiten als Zeitraum — der Grund gehört nicht dazu
• welche Gebiete du bearbeitest, und wer sie vorher hatte

Nicht sichtbar für andere sind: dein persönliches Notizbuch, deine Push-Abonnements, dein Kalender-Abo und dein Gerätezustand. Mailadresse und Telefonnummer sehen Verwalter, nicht die ganze Versammlung.

6. An wen Daten hinausgehen

Diese Liste wird aus der Einstellung dieser Installation gelesen, nicht abgeschrieben — sie kann deshalb nicht veralten:

• Bundesamt für Kartographie und Geodäsie (BKG) — Kartenkacheln — erfährt IP-Adresse und Kartenausschnitt
• Google / Apple / Mozilla — Push-Zustellung je Gerät — erfährt, dass eine Nachricht an dieses Gerät geht
• der Kalenderdienst, den die Person selbst wählt — Kalender-Abo — erhält den vollständigen persönlichen Plan
• der SMTP-Anbieter der Installation — Mailversand (Einladung, Passwort zurücksetzen)
• Ruppert Ballewski — Auftragsverarbeiter — Betrieb, Sicherungen, Protokolle
• https://stats.rbnet.me/js/script.file-downloads.outbound-links.js — Reichweitenmessung — Seitenaufrufe ohne Konto-Bezug

Der Kartendienst erfährt bei jeder geladenen Kachel deine IP-Adresse und welchen Ausschnitt du ansiehst. Der Push-Dienst deines Geräts erfährt, dass eine Nachricht an dieses Gerät geht. Der Kalenderdienst, den du selbst aussuchst, erhält deinen vollständigen persönlichen Plan; das ist in der Regel ein Anbieter außerhalb der EU.

Welcher Kartendienst zeichnet, wählt die Versammlung, die diese Anwendung führt — aus dieser Liste und aus keiner anderen:

• OpenStreetMap Foundation — weltweit
• Bundesamt für Kartographie und Geodäsie (BKG) — Deutschland

Oben in der Empfängerliste steht der Dienst, der es heute ist. Ein Wechsel innerhalb dieser Liste ändert diesen Text nicht und wird dir deshalb nicht erneut vorgelegt; er wird im Prüfprotokoll der Anwendung festgehalten. Ein vierter Dienst wäre eine neue Fassung.

7. Was freiwillig ist, und wie du es abwählst

Sieben Verarbeitungen kannst du abschalten, ohne dass es jemanden außer dich betrifft. Für alles andere gilt die Kenntnisnahme, nicht die Einwilligung: es muss ohnehin geschehen, damit die Versammlung ihre Arbeit organisieren kann.

1. Kalender-Abo — im Profil widerrufen. Danach liefert die Adresse nichts mehr.
2. Push-Benachrichtigungen — je Gerät im Profil abschalten.
3. Profilbild — im Profil entfernen.
4. Mailadresse und Telefonnummer — im Profil leeren. Die Adresse darf leer bleiben.
5. Standortfreigabe für die Karte — der Schalter auf der Karte, und die Freigabe im Browser.
6. Persönliches Notizbuch — es gehört dir; du füllst es oder nicht.
7. Reichweitenmessung — in dieser Installation eingeschaltet; sie zählt Seitenaufrufe ohne Konto-Bezug.

8. Wie lange Daten bleiben

Die Fristen stehen fest im Code und sind nicht je Versammlung einstellbar — eine Frist je Versammlung wäre eine Einstellung, keine Zusage. Sie werden hier aus derselben Stelle gelesen, aus der die Löschroutine sie nimmt:

• benachrichtigungen: 180 Tage
• abwesenheiten, predigtdienst, pioniere, trolley: 2 Jahre, auf ein Jahresende gerundet
• reinigung, instandhaltung, räume: 3 Jahre, auf ein Jahresende gerundet
• zusammenkunftspläne: 5 Jahre, auf ein Jahresende gerundet
• gesperrte konten (dann anonymisiert): 2 Jahre, auf ein Jahresende gerundet
• gebietshistorie: 2 Jahre, auf ein Jahresende gerundet
• zeilen ohne lebendes konto: 2 Jahre, auf ein Jahresende gerundet
• angetroffene: name: 3 Jahre, auf ein Jahresende gerundet
• angetroffene: die zeile: 10 Jahre, auf ein Jahresende gerundet
• öffentliche gebietslinks: 1 Jahr ab Ausgabe, taggenau
• gebiete, gruppen: keine Frist (Stammdaten der Versammlung)
• prüfprotokoll: system: 90 Tage
• prüfprotokoll: schedule: 730 Tage
• prüfprotokoll: trolley: 730 Tage
• prüfprotokoll: territory: 730 Tage

„Löschen" heißt in dieser Anwendung anonymisieren: die Zeile bleibt stehen, damit jeder alte Plan lesbar bleibt, und trägt danach eine Kennung statt eines Namens. Ein hartes Löschen zerrisse die Pläne, in denen du eingeteilt warst.

9. Deine Rechte

• Auskunft (Art. 15) und Datenübertragbarkeit (Art. 20): im Profil unter „Auskunft" als ZIP herunterladen — je Herkunft eine JSON-Datei.
• Berichtigung (Art. 16): das Profil ist selbst bearbeitbar.
• Löschung (Art. 17): bei der Versammlung beantragen; sie führt die Anonymisierung durch.
• Widerspruch und Widerruf: für alles unter Punkt 7 jederzeit und ohne Angabe von Gründen.
• Beschwerde bei der zuständigen Aufsicht.

10. Sicherheit und Sicherungen

Die Verbindung ist verschlüsselt. Das persönliche Notizbuch liegt zusätzlich verschlüsselt in der Datenbank. Sicherungen, die den Server verlassen, werden vor dem Verlassen verschlüsselt; der Schlüssel zum Entschlüsseln liegt nicht auf diesem Server.

11. Meldung einer Datenschutzverletzung

Der Betreiber meldet unverzüglich an die Versammlung (Art. 33 Abs. 2), die Versammlung binnen 72 Stunden an die Aufsicht (Art. 33 Abs. 1) und bei hohem Risiko an die Betroffenen (Art. 34). Der Weg ist ausgeschrieben. Empfänger der ersten Stufe ist die im Verarbeitungsverzeichnis eingetragene Vertretung der Versammlung, hilfsweise ihre Antwort-Adresse.

12. Die Liste der Anschriften, an denen nicht geklingelt wird

Diese Anwendung führt je Versammlung eine Liste von Anschriften, die im Dienst nicht besucht werden. Sie betrifft Menschen, die kein Konto in dieser Anwendung haben, und deshalb steht sie hier gesondert.

• Was darin steht: die Anschrift und die Klingelposition („2. von unten links"). Im Altbestand steht daneben noch ein auf drei Zeichen gekürzter Namensrest; neu wird kein Name mehr erfasst.
• Woher es kommt: in der Regel aus der Bitte der betroffenen Person selbst, an der Tür ausgesprochen (Art. 13). Wo daneben ein Name steht, stammt er vom Klingelschild (Art. 14).
• Warum wir das dürfen: Art. 6 Abs. 1 lit. f. Das berechtigte Interesse ist im Kern das der betroffenen Person selbst — nicht besucht zu werden. Eine Einwilligung wäre nicht nachweisbar (Art. 7 Abs. 1) und für sie schlechter: ihr Widerruf hieße Löschung, und Löschung hieße Besuche.
• Wer es sieht: die Versammlung und, über einen Gebietslink, wer das Gebiet bearbeitet. Der Name wird dort nicht angezeigt, die Klingelposition schon.
• Wie lange: der Namensrest drei Jahre, die Zeile zehn — jeweils ab dem späteren von letztem Besuch und Erfassung. Der Wunsch verfällt nicht, die Zuordnung zwischen Wunsch und Bewohner schon: nach zehn Jahren wohnt dort mit hoher Wahrscheinlichkeit jemand anderes.
• Wie man herauskommt: ein Wort an die Versammlung genügt. Widerspruch heißt: der Name wird gelöscht, nicht die Zeile — die Zeile zu löschen stellte genau die Besuche wieder her, gegen die der Widerspruch sich richtet. Wohnung ist nicht Mensch. Ebenso kann die ganze Zeile entfernt werden, wenn wieder geklingelt werden darf.

---

Fassung: f4ce98f8bddbfd0a · Verbindlich ist die deutsche Fassung.