Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Musikverein Achberg e.V.
Grundhalde 4 88147 Achberg
Datenschutzkontakt: schriftfuehrer@mv-achberg.de

2. Zweck und Rechtsgrundlagen

Die Webanwendung ClubWork dient der Organisation des Ausschusses: Sitzungen, Aufgaben, Beschlüsse, Anwesenheit, Notenarchiv-Metadaten, Inventar, Ausbildung, Pressearbeit und öffentliche Terminübersicht.

• Mitgliedskonten und Login: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung satzungsgemäßer Aufgaben) und lit. f (berechtigtes Interesse an sicherer Zugriffskontrolle).
• Sitzungs- und Aufgabendaten: Art. 6 Abs. 1 lit. b und lit. f (Protokollführung, Beschlussdokumentation).
• Öffentlicher Kalender: Art. 6 Abs. 1 lit. f (Information der Öffentlichkeit über Veranstaltungen; keine personenbezogenen Mitgliederdaten). Interne Proben sind nur für eingeloggte Mitglieder im Kalender sichtbar.
• Ausbildung (inkl. Minderjährige): Art. 6 Abs. 1 lit. a bzw. lit. b DSGVO (Einwilligung bzw. Durchführung der Ausbildungsanmeldung/-betreuung). Bei Personen unter 16 Jahren zusätzlich Art. 8 DSGVO: Einwilligung der Erziehungsberechtigten (Name, E-Mail sowie Bestätigung und Zeitpunkt der Einwilligung werden gespeichert). Ab 16 Jahren genügt die eigene Einwilligung; das Geburtsdatum ist bei der öffentlichen Anmeldung Pflicht.
• Mitglieder-E-Mail (Vereinskommunikation): Art. 6 Abs. 1 lit. b und lit. f DSGVO; Versand über den SMTP-Postausgang des Vereins bei IONOS SE.
• Presse-Mail / Presseverteiler: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Presse- und Öffentlichkeitsarbeit). Es handelt sich nicht um ein einwilligungsbasiertes Marketing-CRM.
• Fahrgemeinschaft: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Organisation gemeinsamer Anreisen zu Terminen).
• Schichtplanung: Art. 6 Abs. 1 lit. b und lit. f DSGVO; ggf. Freitextnamen Dritter nur soweit für die Schicht nötig.
• Inventar und Ausleihe: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Zuordnung und Nachvollziehbarkeit von Trachten, Instrumenten und Material).
• Datensicherung (Admin): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Wiederherstellbarkeit). Export nur für Administratoren mit der entsprechenden Datensicherungs-Berechtigung; die Sicherungsdatei enthält u. a. Passwort-Hashes sowie Ausbildungs- und Kalender-Abo-Daten.
• Server-Logfiles: Art. 6 Abs. 1 lit. f (Betriebssicherheit).
• Push-Benachrichtigungen (Opt-in): Art. 6 Abs. 1 lit. a DSGVO (Einwilligung in den Profileinstellungen; Widerruf jederzeit durch Deaktivieren).
• Persönliches Kalender-Abo (Opt-in): Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Aktivieren des Feeds; Widerruf durch Löschen/Erneuern des Links).

ClubWork setzt keine KI-Systeme ein und trifft keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die Sie erheblich beeinträchtigen.

3. Verarbeitete Datenkategorien

• Name, E-Mail, Funktion, Rollen und Berechtigungen (Mitgliedskonten)
• Passwort-Hash (bcrypt; kein Klartext-Passwort); in der Admin-Datensicherung enthalten
• Anwesenheit bei Sitzungen
• Aufgaben, Beschlüsse, Projekte, Listen inkl. optionaler Freitext-Verantwortliche
• Änderungshistorie (z. B. wer eine Aufgabe erledigt hat)
• Notenarchiv-Metadaten und Import-Protokoll
• Ausbildung: Stammdaten der Person (u. a. Geburtsdatum), Status, Lehrkraftbezug; bei unter 16-Jährigen Kontaktdaten und Einwilligung der Erziehungsberechtigten; eigene Datenschutz-Einwilligung und Zeitpunkt
• Presse-Empfänger (Name/Redaktion, E-Mail) und zugehörige Versand-/Entwurfsdaten
• Fahrgemeinschaftsangaben (Teilnahme, Treffpunkte soweit erfasst)
• Schichtbuchungen inkl. optionalem Freitextnamen
• Inventarzuordnung und Ausleihe (Mitglied, Zeitraum, Notiz)
• Öffentliche Termine (Titel, Datum, Ort-Links); interne Proben nur nach Login
• Technisch: Session-Cookie, kurzzeitig IP-Adresse beim Rate-Limiting
• Optional (Opt-in): Push-Subscription (Endpoint, Schlüssel) bei aktivierten Browser-Benachrichtigungen
• Optional (Opt-in): Hash des persönlichen Kalender-Feed-Tokens und Terminarten-Präferenz

4. Empfänger und Auftragsverarbeiter

• Vercel Inc. – Hosting (Rechenzentrum Frankfurt, fra1); DPA durch Verweis in die Nutzungsbedingungen (vercel.com/legal/dpa); gilt mit Nutzung der Hosting-Services
• Neon Tech Inc. – PostgreSQL-Datenbank (Region eu-central-1); DPA durch Verweis in die Nutzungsbedingungen (neon.tech/dpa); gilt mit Nutzung der Datenbank-Services
• Stefan Schoser – technische Betreuung und Weiterentwicklung im Auftrag des Vereins (AVV mit dem Verein)
• IONOS SE – Versand von Vereins-E-Mails (Mitgliederkommunikation, Erinnerungen, Presse-Versand) über den konfigurierten SMTP-Postausgang des Vereins (Bestandteil des bestehenden Vereins-Mailvertrags)
• Browser-Push-Dienste (Google FCM, Mozilla Push, Apple Push) – nur bei explizitem Opt-in in den Profileinstellungen; Übermittlung von Subscription-Endpoint und verschlüsselten Schlüsseln, Benachrichtigungstext (Aufgabentitel, keine sensiblen Details)

Es findet kein Verkauf personenbezogener Daten statt. Es werden keine Tracking-/Analytics-Dienste eingesetzt.

5. Cookies

Wir setzen technisch notwendige Cookies ein: die NextAuth-Session für den Login und ein Setup-Cookie nach der Ersteinrichtung. Diese Cookies sind für den Betrieb erforderlich und werden nicht zu Marketingzwecken genutzt. Ein Cookie-Banner ist daher nicht erforderlich.

6. Speicherdauer

Mitgliedsdaten werden gespeichert, solange das Konto aktiv ist. Deaktivierte Konten werden zunächst nur gesperrt; endgültige Löschung erfolgt nach Ablauf der internen Aufbewahrungsfrist (derzeit 3 Jahre nach Deaktivierung) als manueller Prozess, sofern keine gesetzlichen oder satzungsgemäßen Aufbewahrungspflichten für Protokolldaten entgegenstehen. Sitzungs- und Beschlussdaten können länger aufbewahrt werden, soweit der Verein dazu verpflichtet ist. Namen in Anwesenheitsprotokollen bleiben nach Kontolöschung als Snapshot in den Sitzungsdaten erhalten. Ausbildungsdatensätze mit Status Interessent bzw. abgebrochen können nach festgelegter Frist automatisiert bereinigt werden; übrige Ausbildungsakten gemäß Vereinsbedarf.

7. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen u. a. folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)

Anfragen richten Sie bitte an schriftfuehrer@mv-achberg.de. Wir antworten in der Regel innerhalb eines Monats.

Beschwerderecht bei der Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Postfach 1349, 91504 Ansbach.

8. Datensicherheit

Zugriff nur für authentifizierte Mitglieder mit rollenbasierter Berechtigung. Passwörter werden gehasht (bcrypt). Verbindungen erfolgen verschlüsselt (HTTPS). Rate-Limiting schützt Login und Passwort-Endpunkte. Die Admin-Datensicherung ist auf berechtigte Administratoren beschränkt und enthält keine Passwort-Hashes (nach Wiederherstellung müssen Passwörter neu gesetzt werden); Sicherungsdateien sind sicher und offline zu lagern.

9. PDF-Export

Protokolle und Listen können im Browser als PDF exportiert werden. Die Dateien werden lokal auf Ihrem Gerät gespeichert und nicht automatisch an Dritte übermittelt.

10. Push-Benachrichtigungen

Push-Benachrichtigungen sind optional und standardmäßig deaktiviert. Sie können sie unter Einstellungen → Profil aktivieren. Dabei speichern wir einen Push-Subscription-Endpoint und verschlüsselte Schlüssel in unserer Datenbank (Neon/Vercel). Benachrichtigungen werden über die Push-Infrastruktur Ihres Browsers zugestellt (z. B. Google FCM, Mozilla Push Service, Apple Push Notification Service).

Inhalt: kurze Hinweise zu Aufgabenzuweisungen und anstehenden Deadlines (Titel, Link zur Aufgabe). Keine sensiblen Details auf dem Sperrbildschirm. Ohne aktive Push-Subscription kann bei konfiguriertem E-Mail-Versand stattdessen eine E-Mail an Ihre hinterlegte Adresse gehen.

Widerruf: Push in den Profileinstellungen deaktivieren oder Browser-Berechtigung entziehen. Gespeicherte Subscriptions werden gelöscht; bei endgültiger Kontolöschung ebenfalls (Cascade).

11. Persönliches Kalender-Abo (ICS)

Optional können Mitglieder mit Kalender-Zugang unter Einstellungen → Profileinen persönlichen Kalender-Feed (ICS/webcal) aktivieren. Der Feed-Link enthält einen geheimen Token und ermöglicht den Abruf sichtbarer Termine ohne erneute Anmeldung (z. B. in Google Kalender, Apple Kalender oder Outlook).

Wir speichern nur einen Hash des Tokens sowie Ihre Terminarten-Präferenz. Der Klartext-Token wird lediglich einmalig beim Aktivieren oder Erneuern angezeigt. Der Feed liefert dieselben Termine, die Sie in der App sehen dürfen (inkl. Sitzungs-Sichtbarkeit).

Widerruf: Abo in den Profileinstellungen löschen oder den Link erneuern (alter Link wird ungültig). Bei Kontolöschung wird das Abo mitgelöscht (Cascade).

12. Öffentliche Ausbildungsanmeldung

Über die öffentliche Seite können Interessierte eine Ausbildungsanmeldung absenden. Pflicht ist das Geburtsdatum. Unter 16 Jahren sind Name und E-Mail eines Erziehungsberechtigten sowie die Bestätigung der elterlichen Einwilligung erforderlich; ab 16 Jahren genügt die eigene Einwilligung in die Datenverarbeitung. Lehrkräfte können über einen tokenbasierten Feedback-Link Rückmeldungen übermitteln, ohne sich anzumelden.