Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website besuchen, ein Kundenkonto anlegen oder mit uns in Kontakt treten, zu welchen Zwecken und auf welcher Rechtsgrundlage dies geschieht und welche Rechte Ihnen zustehen.

Abgrenzung: Daten, die Vereine in Vereinswunder verwalten

Vereinswunder ist eine Software zur Vereinsverwaltung, die wir Vereinen und anderen Organisationen („Kunden“) zur Verfügung stellen. Für die personenbezogenen Daten, die ein Verein in Vereinswunder eingibt oder über Vereinswunder erhebt – etwa Mitglieder-, Beitrags-, Bank- und Spendendaten, Anwesenheiten oder Dokumente –, ist der jeweilige Verein Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Wir verarbeiten diese Daten ausschließlich im Auftrag und nach Weisung des Vereins als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage unseres Vertrags zur Auftragsverarbeitung (AVV).

Wenn Sie Mitglied eines Vereins sind, der Vereinswunder nutzt, und Fragen zur Verarbeitung Ihrer Daten haben oder Ihre Rechte ausüben möchten, wenden Sie sich bitte an Ihren Verein. Erreicht uns eine solche Anfrage, leiten wir sie an den Verein weiter.

Verantwortlicher für die in dieser Erklärung beschriebenen Verarbeitungen ist:

Anbieter

Werbewunderbude GmbH (Marke „WWB Digital“)

Anschrift

Schwarzwaldstraße 4a, 76461 Muggensturm, Deutschland

Vertreten durch

Geschäftsführung: Mandy Beck

E-Mail

info@werbewunderbude.de

Telefon

07222 5948120

Weitere Angaben finden Sie im Impressum.

Wir sind nicht verpflichtet, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen; die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen bei uns nicht vor. Für alle Anliegen rund um den Datenschutz wenden Sie sich bitte direkt an uns: info@werbewunderbude.de.

Website und Software werden bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben. Die Server stehen in Rechenzentren in Deutschland (Nürnberg bzw. Falkenstein/Vogtland). Hetzner verarbeitet die Daten in unserem Auftrag; mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung in Drittländer findet durch das Hosting nicht statt.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, zuverlässigen und datenschutzfreundlichen Bereitstellung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO) sowie – soweit es um die Leistungserbringung gegenüber Kunden geht – die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Schriftarten werden lokal von unserem Server ausgeliefert; beim Aufruf der Seiten wird keine Verbindung zu Servern von Google oder anderen Schriftanbietern hergestellt.

Beim Aufruf unserer Website übermittelt Ihr Browser technisch bedingt Informationen an unseren Server. Dabei können verarbeitet werden: IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Adresse (URL), übertragene Datenmenge, HTTP-Statuscode, Referrer-URL sowie Browsertyp und Betriebssystem (User-Agent).

Die Verarbeitung erfolgt, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe (z. B. Anmeldeversuche durch Unbefugte) zu erkennen und abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in den genannten Zwecken. Eine Zusammenführung mit anderen Datenquellen oder eine Auswertung zu Marketingzwecken findet nicht statt.

Logfiles werden nach spätestens 7 Tagen gelöscht, sofern nicht ein konkreter Sicherheitsvorfall eine längere Aufbewahrung zur Beweissicherung erfordert; in diesem Fall werden die betroffenen Einträge bis zur Klärung aufbewahrt.

Wenn Sie Vereinswunder für Ihren Verein registrieren oder als Benutzer zu einem Verein eingeladen werden, verarbeiten wir die dafür erforderlichen Daten:

• Vor- und Nachname, E-Mail-Adresse, Passwort (ausschließlich als Argon2id-Hash gespeichert, nie im Klartext);
• Name, Rechtsform und Anschrift des Vereins sowie Angaben zum gewählten Tarif;
• Rolle und Berechtigungen im Verein, Zeitpunkt der letzten Anmeldung, Bestätigung der E-Mail-Adresse;
• bei aktivierter Zwei-Faktor-Authentifizierung das TOTP-Geheimnis und gehashte Wiederherstellungscodes;
• je angemeldeter Sitzung Gerätekennung (User-Agent), IP-Adresse und Ablaufzeitpunkt, damit Sie aktive Sitzungen einsehen und beenden können und wir missbräuchliche Zugriffe erkennen;
• Protokolleinträge über sicherheits- und datenschutzrelevante Aktionen (Audit-Log).

Rechtsgrundlage ist die Durchführung des Vertrags bzw. vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Soweit Sie als Benutzer für einen Verein tätig sind, ohne selbst Vertragspartner zu sein, stützen wir die Verarbeitung auf unser berechtigtes Interesse, den Vertrag mit dem Verein zu erfüllen und den Zugang sicher zu gestalten (Art. 6 Abs. 1 lit. f DSGVO).

Zur Kontoverwaltung senden wir Ihnen transaktionale E-Mails, etwa zur Bestätigung der E-Mail-Adresse, zum Zurücksetzen des Passworts, zu Einladungen sowie zu Abrechnung und Vertragsänderungen. Werbe-Newsletter versenden wir nicht ohne Ihre gesonderte Einwilligung.

Kostenpflichtige Abonnements rechnen wir über den Zahlungsdienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“) ab. Bei der Buchung eines Tarifs werden Sie auf eine Bezahlseite von Stripe geleitet. Stripe verarbeitet dabei insbesondere Name und E-Mail-Adresse des Rechnungsempfängers, Rechnungsanschrift, ggf. USt-IdNr., Zahlungsmittel (z. B. Karten- oder Kontodaten), Rechnungsbeträge und -zeitpunkte.

Wir selbst speichern keine vollständigen Karten- oder Kontodaten, sondern nur die von Stripe übermittelten Kennungen (Kunden- und Abonnement-ID), den Abonnementstatus und Rechnungsinformationen. Stripe ist für die Zahlungsabwicklung, die Erfüllung geldwäscherechtlicher Pflichten und die Betrugsprävention eigenständig verantwortlich.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unsere gesetzliche Pflicht zur ordnungsgemäßen Rechnungsstellung und Buchführung (Art. 6 Abs. 1 lit. c DSGVO).

Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Stripe, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert; für die Übermittlung gilt damit der Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Ergänzend hat Stripe Standardvertragsklauseln der EU-Kommission abgeschlossen (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe.

Die Mitgliedsbeiträge, die ein Verein mit Vereinswunder von seinen Mitgliedern einzieht (z. B. per SEPA-Lastschrift), laufen nicht über Stripe; diese Daten verbleiben in der Verantwortung des Vereins.

Für den Versand von E-Mails – sowohl unserer eigenen transaktionalen E-Mails als auch der E-Mails, die Vereine über Vereinswunder an ihre Mitglieder senden – nutzen wir den SMTP-Versanddienstleister STRATO GmbH (Berlin) mit Sitz in der Europäischen Union. Dabei werden Empfängeradresse, Absender, Betreff, Inhalt sowie technische Zustellinformationen verarbeitet. Mit dem Dienstleister besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Rechtsgrundlage für unsere eigenen E-Mails ist Art. 6 Abs. 1 lit. b DSGVO; für E-Mails der Vereine ist der jeweilige Verein verantwortlich. Wir setzen in E-Mails keine Zählpixel oder Klick-Tracking ein.

Wir verwenden ausschließlich technisch notwendige Cookies und Speichereinträge. Sie sind erforderlich, damit Sie sich anmelden, angemeldet bleiben und den gewählten Verein nutzen können. Die Speicherung bzw. der Zugriff ist nach § 25 Abs. 2 Nr. 2 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) ohne Einwilligung zulässig, weil er unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen. Die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Im Produktivbetrieb werden die Cookies nur über verschlüsselte Verbindungen (Secure-Attribut) übertragen. Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein, binden keine Social-Media-Plugins oder Werbenetzwerke ein und erstellen keine Nutzungsprofile. Ein Einwilligungsbanner ist daher nicht erforderlich. Sie können Cookies in Ihrem Browser jederzeit löschen oder blockieren; ohne die genannten Cookies ist eine Anmeldung allerdings nicht möglich.

Wenn Sie uns per E-Mail, Telefon oder über ein Kontaktformular kontaktieren, verarbeiten wir Ihre Angaben (z. B. Name, E-Mail-Adresse, Verein, Inhalt der Anfrage), um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage mit einem Vertrag zusammenhängt oder auf einen Vertragsschluss gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Wir löschen die Daten, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen (z. B. bei Geschäftsbriefen sechs Jahre).

Vereine können über Vereinswunder Online-Aufnahmeanträge, ein Mitgliederportal, Einladungen und Abstimmungen bereitstellen. Wenn Sie ein solches Formular ausfüllen oder das Portal Ihres Vereins nutzen, ist der jeweilige Verein Verantwortlicher für die Verarbeitung Ihrer Daten; die Datenschutzhinweise des Vereins werden Ihnen im Formular angezeigt bzw. verlinkt. Wir verarbeiten diese Daten nur als Auftragsverarbeiter des Vereins (siehe Abschnitt 1).

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Kundenkontodaten speichern wir für die Dauer des Vertragsverhältnisses. Nach Vertragsende stehen die Vereinsdaten 30 Tage zum Export bereit und werden anschließend gelöscht; Sicherungskopien werden im Rahmen der regulären Rotation überschrieben.

Gesetzliche Aufbewahrungspflichten bleiben unberührt. Insbesondere bewahren wir auf:

• Rechnungen und Buchungsbelege acht Jahre (§ 147 Abs. 1 Nr. 4, Abs. 3 AO; § 257 Abs. 1 Nr. 4, Abs. 4 HGB),
• Bücher, Aufzeichnungen und Jahresabschlüsse zehn Jahre,
• empfangene und versandte Handels- und Geschäftsbriefe sechs Jahre.

Die Fristen beginnen mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist. Während der Aufbewahrung ist die Verarbeitung auf diesen Zweck beschränkt (Art. 18 DSGVO).

Personenbezogene Daten geben wir nur weiter, wenn dies für die genannten Zwecke erforderlich ist, und zwar an:

• unseren Hosting-Dienstleister Hetzner Online GmbH (Deutschland) als Auftragsverarbeiter,
• unseren E-Mail-Versanddienstleister STRATO GmbH (Deutschland) als Auftragsverarbeiter,
• Stripe als eigenständig verantwortlichen Zahlungsdienstleister,
• Steuerberater, Wirtschaftsprüfer und Behörden, soweit wir hierzu verpflichtet oder berechtigt sind.

Eine Übermittlung in Länder außerhalb der EU bzw. des EWR findet grundsätzlich nicht statt. Eine Ausnahme bildet die mögliche Übermittlung durch Stripe an die Stripe, Inc. in den USA, die auf das EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzend auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) gestützt ist.

Ihnen stehen gegenüber uns folgende Rechte zu, soweit die gesetzlichen Voraussetzungen vorliegen:

• Auskunft über die von uns verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO, siehe unten).

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@werbewunderbude.de.

Widerruf von Einwilligungen

Soweit eine Verarbeitung auf Ihrer Einwilligung beruht (Art. 6 Abs. 1 lit. a DSGVO), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart (www.baden-wuerttemberg.datenschutz.de).

Die Bereitstellung der als Pflichtangaben gekennzeichneten Daten ist für den Abschluss und die Durchführung des Vertrags erforderlich. Ohne diese Daten können wir kein Kundenkonto einrichten bzw. den Dienst nicht erbringen. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Wir übertragen sämtliche Inhalte ausschließlich verschlüsselt per TLS (HTTPS) mit HSTS. Eine verschlüsselte Verbindung erkennen Sie an „https://“ in der Adresszeile und am Schloss-Symbol Ihres Browsers. Darüber hinaus schützen wir die Daten durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO, etwa Zwei-Faktor-Authentifizierung, rollenbasierte Zugriffsrechte, strikte Mandantentrennung, Protokollierung und regelmäßige Datensicherungen. Eine Übersicht enthält Anlage 1 unseres Vertrags zur Auftragsverarbeitung.

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot, unsere Dienstleister oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Über wesentliche Änderungen, die bestehende Kundenkonten betreffen, informieren wir Kunden zusätzlich per E-Mail.