Informationen zur Verarbeitung deiner personenbezogenen Daten
§ 1 Einleitung und Kontaktdaten des Verantwortlichen
Wir freuen uns, dass du unser Netzwerk verwendest, und bedanken uns für dein Vertrauen.
Im Folgenden informieren wir dich über den Umgang mit deinen personenbezogenen Daten
innerhalb unseres Netzwerkes und weisen darauf hin, dass diese Erklärung ergänzend auf unserer
Datenschutzordnung aufbaut.
Verantwortlicher für die Datenverarbeitung in unserem Netzwerk im Sinne der
Datenschutz-Grundverordnung (DSGVO) ist GrowVolution e.V., Schöninger Straße 17, 38173
Sickte, Deutschland, Tel.: +49 174 5881313, E-Mail: privacy@growvolution.org.
Der Verein hat derzeit keinen Datenschutzbeauftragten (DSB) im Sinne von Art. 37 DSGVO bestellt.
§ 2 Geltungsbereich dieser Erklärung
Diese Datenschutzerklärung umfasst die Verarbeitung deiner personenbezogenen Daten in
unserem gesamten Netzwerk. Mit Netzwerk beziehen wir uns dabei auf alle öffentlich
zugänglichen Server, die von unserem Verein oder einem durch ihn beauftragten
Auftragsverarbeiter in seinem Namen betrieben werden.
Vom Geltungsbereich dieser Erklärung ausgeschlossen sind diejenigen Bereiche unseres
Netzwerkes, deren Nutzung der Verein im Rahmen von Nutzungsverträgen an Dritte übertragen hat.
§ 3 Datenerfassung beim Zugriff auf unser Netzwerk
Beim allgemeinen Zugriff auf unser Netzwerk, also wenn du beim Zugriff nicht registriert bist
oder anderweitig Informationen übermittelst, erheben wir nur solche Daten, die dein Gerät an unsere
Server übermittelt (sog. „Server-Logfiles“). Wenn du auf unser Netzwerk zugreifst, erheben wir die
folgenden Daten, die für uns technisch erforderlich sind, um die Sicherheit unseres Netzwerkes zu wahren:
Art des Zugriffs
Betroffener Server oder Namensraum
Datum und Uhrzeit zum Zeitpunkt des Zugriffs
Menge der gesendeten Daten in Byte
Verwendete IP-Adresse (ggf. in anonymisierter Form)
Erfolgt dein Zugriff über spezialisierte Software (sog. „Agenten“), so erheben wir zusätzlich folgende Daten:
Name des Agenten
ggf. weitere vom Agenten übermittelte Informationen
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der
Verbesserung der Stabilität und Sicherheit unseres Netzwerkes. Eine Weitergabe oder anderweitige Verwendung
der Daten findet nicht statt. Wir behalten uns jedoch vor, die Server-Logfiles nachträglich zu überprüfen,
sollten konkrete Anhaltspunkte auf eine rechtswidrige Nutzung hindeuten.
Beim nutzungsbasierten Zugriff auf unser Netzwerk, also wenn du beim Zugriff eine eindeutige mit deiner Person
in Verbindung stehende Kennung verwendest (sog. „Session-Cookies“ oder „SSH-Schlüssel“), erheben wir neben den
in Absatz 1 genannten Daten zusätzlich folgende Daten:
Art der Kennung
Mit dieser Kennung in Verbindung stehende Aktivitäten (sog. „Audit-Logs“)
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der
Gewährleistung der Sicherheit, Einhaltung interner Sicherheits- und Nutzungsrichtlinien und Verhinderung
missbräuchlicher Nutzung. Eine Weitergabe oder anderweitige Verwendung der Daten findet nicht statt. Wir
behalten uns jedoch vor, deine Aktivitäten zu überprüfen, sollten konkrete Anhaltspunkte auf Rechts- oder
Richtlinienverstöße hindeuten.
Alle Zugriffe auf unser Netzwerk, bei denen personenbezogene Daten übermittelt oder nutzungsbasierte Aktivitäten
ermittelt werden, erfolgen aus Sicherheitsgründen und zum Schutz ihrer Übertragung in verschlüsselter Form. Hierzu
verwenden wir für die dafür vorgesehenen Verbindungswege eine SSL- oder TLS-Verschlüsselung.
§ 4 Account und Anmeldung
Der Verein arbeitet mit einem zentralen Identitätsbereitstellungsdienst (sog. „Identity Provider“ oder „IdP“) namens Authentik.
Ein solcher Dienst ist Software, die es dir ermöglicht, unser gesamtes Netzwerk mit einem zentralen Account zu verwenden.
Für die Bereitstellung dieses Dienstes und die dementsprechende Verarbeitung deiner Daten zum Zwecke dieser Bereitstellung
ist der Verein verantwortlich.
Beim Anlegen eines Accounts erheben wir folgende Daten:
Deinen vollständigen Namen (Vor- und Nachname)
Den von dir gewählten Benutzernamen
Deine externe E-Mail-Adresse
Dein Account ist nach erfolgreicher Registrierung sofort aktiv. Du kannst ihn nutzen, um dich innerhalb
unseres Netzwerkes bei den für dich freigeschalteten Diensten anzumelden. Welche Daten dabei an die
jeweiligen Dienste übermittelt werden, kannst du § 5 dieser Erklärung entnehmen.
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO zur Bereitstellung deines Accounts und der
damit verbundenen Nutzung unserer Dienste.
Wurde dir durch den Verein ein Mandat zur Verwaltung und Administration übertragen oder hast du mit
dem Verein einen Nutzungsvertrag über die Bereitstellung von Infrastruktur abgeschlossen, und erhältst
du infolgedessen eine Einladung zur Einrichtung eines internen Accounts, so wird dieser bei Annahme der
Einladung angelegt. Ein interner Account ist von deinem Account getrennt und unterliegt erhöhten
Sicherheitsstandards. Bei der Einrichtung übernehmen wir sämtliche Daten deines Accounts, insbesondere:
Deinen Benutzernamen
Deinen vollständigen Namen
Deine externe E-Mail-Adresse
Deine Benutzer-ID unseres IdP (pseudonym)
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO zur Erfüllung des dir übertragenen Mandats
bzw. des mit dir geschlossenen Nutzungsvertrages und dient der Wahrnehmung der damit verbundenen Aufgaben.
Unser IdP verwendet den CAPTCHA-Dienst des folgenden Anbieters:
Google Ireland Ltd., Gordon House, 4 Barrow St, Dublin, D04 E5W5, Irland.
Daten können zudem übermittelt werden an: Google LLC, USA. Für die optische Gestaltung des Captcha-Fensters
werden von Google aus dem Internet geladene Schriftarten verwendet. Zu einer Verarbeitung weiterer Informationen
als den in § 3 Abs. 1 dieser Erklärung genannten, die bereits über die Funktionalität von ReCaptcha an Google
übertragen werden, kommt es hierbei nicht.
Der Dienst prüft, ob eine Eingabe durch eine natürliche Person oder missbräuchlich durch maschinelle und
automatisierte Verarbeitung erfolgt, und blockiert Spam, DDoS-Attacken sowie ähnliche automatisierte Schadzugriffe.
Um sicherzustellen, dass eine Handlung von einem Menschen und nicht von einem automatisierten Bot vorgenommen
wird, erhebt der Anbieter die IP-Adresse des verwendeten Endgeräts, Erkennungsdaten des verwendeten Browser- und
Betriebssystem-Typ sowie Datum und Dauer des Besuchs und übermittelt diese zur Auswertung an Server des Anbieters.
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der
Feststellung der individuellen Eigenverantwortung im Internet und der Vermeidung von Missbrauch und Spam. Wir
haben hierzu einen Auftragsverarbeitungsvertrag mit dem Anbieter geschlossen, er agiert unter unserer strengen
Weisung als Auftragsverarbeiter.
§ 5 Dienste in unserem Netzwerk
Zu unserem Netzwerk gehören folgende Dienste:
Unsere Online-Plattform
Unsere Cloud (Nextcloud)
Unser E-Mail Server (Mailcow)
Unser Ocean of Additives (ein Hub für Module, sog. „Additives“, für unser vereinseigenes Framework WebFluid)
Unser E-Mail-Server wird ausschließlich von uns betrieben. Im Rahmen unserer eigenen Verantwortlichkeit
im Sinne der DSGVO stellen wir Postfächer unter den folgenden Namensräumen bereit:
growvolution.org
growv-mail.org
Darüber hinaus stellen wir unseren E-Mail-Dienst Dritten im Rahmen der Überlassung von Infrastruktur zur
Verfügung. Für Postfächer außerhalb der oben genannten Namensräume agieren wir ausschließlich als
Auftragsverarbeiter im Sinne von Art. 28 DSGVO und verarbeiten deine Daten ausschließlich nach Weisung des
jeweiligen Verantwortlichen. Beim Anmelden auf einem solchen Postfach findest du Informationen zum jeweiligen
Verantwortlichen in der von ihm bereitgestellten Datenschutzerklärung.
Zur allgemeinen Anmeldung bei unseren Diensten übermittelt unser IdP einheitlich folgende Daten:
Deinen vollständigen Namen
Deine E-Mail-Adresse
Eindeutige Benutzer-ID unseres IdP (pseudonym)
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der
Bereitstellung unserer Dienste und dient dem Anlegen deines Accounts. Über die Sichtbarkeit deiner Daten
innerhalb dieser Dienste entscheidest du selbst. Für die durch die Verwendung dieser Dienste nach außen
gelangenden Daten bist du selbst verantwortlich. Eine Weitergabe zwischen den Diensten erfolgt nicht.
Bei der Nutzung unseres Ocean of Additives erheben wir je nach Art deiner Nutzung zusätzlich zu den in
Absatz 2 genannten Daten optional folgende Daten:
Deine Rechnungsadresse
Deine Steuernummer bzw. USt-Identifikationsnummer
Deinen Firmennamen
Ob und welche dieser Daten erforderlich sind, hängt davon ab, ob du Additives erwirbst oder selbst vermarktest.
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO zur Begründung und Durchführung des jeweiligen
Vertrages sowie gemäß Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung gesetzlicher Pflichten, insbesondere
steuer- und handelsrechtlicher Aufbewahrungs- und Nachweispflichten.
Beim Abschließen von Verträgen auf unserer Online-Plattform erheben wir folgende Daten:
Deinen vollständigen Namen
Deine Anschrift
ggf. dein Geburtsdatum
Datum und Uhrzeit zum Zeitpunkt des Vertragsabschlusses
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO zur Begründung und Durchführung des
jeweiligen Vertrages.
Beim Stellen von Mitgliedsanträgen oder dem Erbringen von Zuwendungen über unsere Online-Plattform
gelten bei der Datenerhebung jeweils die Regelungen von § 2 unserer Datenschutzordnung.
Für die Abwicklung von Zuwendungen über unsere Online-Plattform bieten wir derzeit ausschließlich die
Zahlungsarten Lastschrift und Überweisung an. Bei der Zahlung per Überweisung erfolgt die Datenverarbeitung
allein über deine kontoführende Bank; eine Übermittlung zusätzlicher Daten durch uns an Dritte findet nicht
statt.
Entscheidest du dich für die Zahlung per Lastschrift, erheben wir zusätzlich folgende Daten:
Deinen vollständigen Namen (Kontoinhaber)
Deine IBAN
Datum und Inhalt des erteilten SEPA-Lastschriftmandats
Mandatsreferenz und Gläubiger-Identifikationsnummer
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO zur Durchführung des Lastschrifteinzugs sowie
gemäß Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung gesetzlicher Aufbewahrungspflichten.
Zur Abwicklung der Lastschriften übermitteln wir die erforderlichen Daten an unsere kontoführende Bank:
FYRST, ein Angebot der Deutsche Bank AG, Bundeskanzlerplatz 6, 53113 Bonn (Sitz der Deutsche Bank AG:
Taunusanlage 12, 60325 Frankfurt am Main). Die Deutsche Bank AG verarbeitet deine Daten im Rahmen der
Zahlungsabwicklung als eigenständig Verantwortliche im Sinne der DSGVO auf Grundlage der für sie geltenden
gesetzlichen Bestimmungen, insbesondere des Zahlungsdiensteaufsichtsgesetzes (ZAG) sowie sonstiger bank- und
geldwäscherechtlicher Vorschriften.
§ 6 Hosting und Content-Delivery-Network
Für das Hosting unserer Dienste und die Übermittlung von Inhalten nutzen wir Server, die wir selbst oder
ein von uns beauftragter Anbieter (und dieser ggf. selbst auch mithilfe ausgewählter Sub-Unternehmer)
innerhalb der Europäischen Union betreiben. Sämtliche in unserem Netzwerk erhobenen Daten werden auf diesen
Servern verarbeitet.
Für alle Server, die nicht durch uns selbst betrieben werden, haben wir mit dem jeweiligen Anbieter einen
Auftragsverarbeitungsvertrag geschlossen. Er agiert unter unserer strengen Weisung als Auftragsverarbeiter.
Wir nutzen ein Content-Delivery-Network (CDN) des folgenden Anbieters:
Cloudflare Inc., 101 Townsend St., San Francisco, CA 94107, USA.
Dieser Dienst ermöglicht uns, große Mediendateien wie Grafiken, Seiteninhalte oder Skripte über ein Netz
regional verteilter Server schneller auszuliefern. Die Verarbeitung erfolgt zur Wahrung unseres berechtigten
Interesses an der Verbesserung der Stabilität und Funktionalität unseres Netzwerkes gemäß Art. 6 Abs. 1 lit. f DSGVO.
Wir haben mit dem Anbieter einen Auftragsverarbeitungsvertrag geschlossen; er agiert unter unserer strengen Weisung
als Auftragsverarbeiter.
Für Datenübermittlungen in die USA hat sich der Anbieter dem EU-U.S. Data Privacy Framework
angeschlossen, das auf Basis eines Angemessenheitsbeschlusses der Europäischen Kommission die Einhaltung des
europäischen Datenschutzniveaus sicherstellt.
§ 7 Kontaktaufnahme
Im Rahmen deiner Kontaktaufnahme mit uns werden folgende Daten erhoben:
Grund und/oder Betreff der Kontaktaufnahme
Inhalt deiner Anfrage
Datum und Uhrzeit zum Zeitpunkt ihres Eingangs
ggf. deine E-Mail-Adresse (bei Kontaktaufnahme via E-Mail)
weitere zu diesem Zweck erforderliche / von dir übermittelte Daten
Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der
Beantwortung deines Anliegens. Zielt deine Kontaktierung auf den Abschluss eines Vertrages ab, so erfolgt
die Verarbeitung zusätzlich gemäß Art. 6 Abs. 1 lit. b DSGVO. Deine Daten werden nach abschließender
Bearbeitung deiner Anfrage gelöscht. Dies ist der Fall, wenn sich aus den Umständen entnehmen lässt, dass
der betroffene Sachverhalt abschließend geklärt ist und sofern keine gesetzlichen Aufbewahrungspflichten
entgegenstehen.
§ 8 Rechte und Dauer der Speicherung
Bezüglich deiner Betroffenenrechte gelten die Regelungen in § 4 unserer Datenschutzordnung.
Bezüglich der Speicherungsdauer personenbezogener Daten gelten die grundlegenden Regelungen
in § 5 unserer Datenschutzordnung. Zusätzlich gilt:
Bei der Verarbeitung von personenbezogenen Daten auf Grundlage deiner ausdrücklichen
Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO werden die betroffenen Daten so lange
gespeichert, bis du deine Einwilligung widerrufst.
Bei der Verarbeitung von personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO
werden diese Daten so lange gespeichert, bis du dein Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO
ausübst, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen,
die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der
Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.