Datenschutz
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:
Julian Müller – DeSourCeDev
Eisenbahnstraße 42, 79423 Heitersheim
E-Mail: info@desourcedev.de
Hinweis zur Rollenverteilung: Soweit Trägerorganisationen Daten ihrer Teilnehmer in der Plattform erfassen (insbesondere Stammdaten, Adressdaten, Gesundheitsdaten, biometrische Daten, Foto- und Krisendaten), ist die jeweilige Trägerorganisation Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; wir verarbeiten diese Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Weisung und im Auftrag der Trägerorganisation. Für Daten von Plattform-Besuchern, Trägerkonten und unsere eigene Geschäftstätigkeit (z. B. Abrechnung) sind wir Verantwortlicher.
2. Zweck der Datenverarbeitung
Die über diese Plattform erhobenen personenbezogenen Daten werden für folgende Zwecke verarbeitet:
- Freizeitverwaltung: Organisation und Durchführung von Jugendfreizeiten und Ferienlagern.
- Teilnehmerverwaltung: Registrierung, Verwaltung und Betreuung von Teilnehmern inkl. An-/Abreise, Ausgehvorgänge, Anwesenheitskontrolle und Kursplanung.
- Betreuer-Konten: Registrierung und Verwaltung von Betreuern, Rollen- und Rechteverwaltung, Juleica-Verwaltung.
- Krisenmanagement: Dokumentation und Bearbeitung von Krisenvorgängen gemäß § 8a SGB VIII inkl. Handlungsleitfäden und Eskalationsstufen.
- Gästeregistrierung: Erfassung von Gästen auf Freizeiten für Sicherheits- und Organisationszwecke.
- Gesichtserkennung: Optionale biometrische Verarbeitung zur Zuordnung von Fotos zu Teilnehmern und Betreuern (jeweils nur mit ausdrücklicher Einwilligung; Betreuer stimmen im eigenen Profil aktiv zu, für minderjährige Teilnehmer geben die gesetzlichen Vertreter die Einwilligung).
- Abrechnungen: Erstellung und Verwaltung von Betreuer- und Fahrdienstverträgen.
- Quiz & Aktivitäten: Durchführung von interaktiven Quizzen und Aktivitäten während der Freizeit.
- Küchendienst: Planung und Verwaltung von Küchendiensten.
- Rückmeldungen: Erfassung von Feedback der Teilnehmer und Betreuer.
3. Rechtsgrundlage
Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage folgender Rechtsgrundlagen:
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Die Verarbeitung ist erforderlich für die Erfüllung des Vertrags über die Teilnahme an einer Jugendfreizeit bzw. die Betreuertätigkeit.
- Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Die Verarbeitung ist zur Wahrung berechtigter Interessen erforderlich, insbesondere zur Gewährleistung der Sicherheit der Teilnehmer, für die Nachtwachen- und Strandwachendokumentation sowie für die Ausleihe von Gegenständen.
- Art. 9 Abs. 2 lit. a DSGVO (Ausdrückliche Einwilligung): Die Verarbeitung biometrischer Daten (Gesichtserkennung) erfolgt ausschließlich auf Grundlage einer ausdrücklichen Einwilligung des Betroffenen bzw. des gesetzlichen Vertreters bei Minderjährigen.
- Art. 9 Abs. 2 lit. c DSGVO (Schutz lebenswichtiger Interessen) + Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Gesundheitsdaten: Soweit die Trägerorganisation (Veranstalter der Freizeit) Gesundheitsdaten (Allergien, Medikamente, sonstige medizinische Besonderheiten) ihrer Teilnehmer in der Plattform erfasst, verarbeiten wir diese im Auftrag und auf Weisung der Trägerorganisation (Art. 28 DSGVO). Die Verarbeitung ist zur sicheren Betreuung der minderjährigen Teilnehmer während der Freizeit unerlässlich (Schutz lebenswichtiger Interessen, Art. 9 Abs. 2 lit. c DSGVO) und Bestandteil der Anmeldung als Vertrag zur Teilnahme (Art. 6 Abs. 1 lit. b DSGVO). Aus diesem Grund handelt es sich nicht um eine opt-in Einwilligung im Sinne von Art. 9 Abs. 2 lit. a, sondern um eine operative Pflichtangabe — eine Teilnahme ohne sicherheitsrelevante Gesundheitsangaben ist nicht möglich (Koppelungsverbot Art. 7 Abs. 4 DSGVO greift damit nicht).
- Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): Die Verarbeitung im Rahmen des Krisenmanagements erfolgt zur Erfüllung rechtlicher Verpflichtungen, insbesondere gemäß § 8a SGB VIII (Schutzauftrag bei Kindeswohlgefährdung).
- Art. 88 DSGVO i.V.m. § 26 Abs. 1 BDSG (Beschäftigtendatenverarbeitung): Soweit Betreuer:innen Aufwandsentschädigungen über die Plattform abrechnen, verarbeiten wir die dafür notwendigen Daten als Auftragsverarbeiter im Auftrag des Trägers. Es handelt sich um ehrenamtliche Tätigkeit; die Aufwandsentschädigungen werden im Rahmen der Ehrenamtspauschale (§ 3 Nr. 26a EStG, 840 €/Jahr) bzw. der Übungsleiterpauschale (§ 3 Nr. 26 EStG, 3.000 €/Jahr) gewährt und sind insoweit steuer- und sozialabgabenfrei. Die Plattform erhebt daher weder Sozialversicherungsnummern noch Steuer-Identifikationsnummern der Betreuer:innen.
3.1 Nachweis und Dokumentation der Einwilligungen
Für jede einwilligungsbasierte Verarbeitung (Foto-Veröffentlichung, biometrische Verarbeitung, Gesundheitsdaten, Kinderschutz-Dokumentation) stellt die Plattform den Trägern ein druckbares Einwilligungsformular mit Widerrufsbelehrung gemäß Art. 7 Abs. 3 DSGVO zur Verfügung. Eltern bzw. gesetzliche Vertreter unterzeichnen das Formular analog; die Träger speichern den unterzeichneten Scan zum Nachweis gemäß Art. 7 Abs. 1 DSGVO (Beweispflicht der einholenden Stelle).
Jede Erfassung einer dokumentierten Einwilligung wird in einem unveränderbaren Audit-Log festgehalten. Der Widerruf einer Einwilligung kann jederzeit gegenüber dem Träger formlos erklärt werden und führt zur unverzüglichen Einstellung der entsprechenden Verarbeitung (bei biometrischer Einwilligung zusätzlich zur Löschung der zugehörigen Embeddings).
4. Kategorien personenbezogener Daten
4.1 Teilnehmer
Name, Geburtsdatum, Geschlecht, Adresse, Kontaktdaten, Notfallkontakte, Gesundheitsinformationen (Allergien, Medikamente, Besonderheiten), Foto, Ausgehberechtigungen, Anwesenheitsdaten, Kurszuordnungen, Küchendiensteinteilungen.
Adressdaten und Gesundheitsdaten werden in der Datenbank verschlüsselt gespeichert (AES-256-GCM, siehe § 10).
4.2 Betreuer:innen
Plattform-Stammdaten (Account): Name, E-Mail-Adresse, Telefonnummer, Profilbild, Juleica-Daten (Nummer, Ablaufdatum), Organisationszugehörigkeit, Rollen und Berechtigungen. Für diese Account-Daten ist die Plattform Verantwortlicher (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung mit dem registrierten Nutzer).
Operative Tätigkeitsdaten: Anwesenheits- und Aufgabenzuordnungen, Lager-/Freizeit-Zuordnungen, Aufwandsentschädigungs-Abrechnungen (Datum, Stunden bzw. Tagessätze, Betrag, IBAN für Auszahlung). Diese operativen Daten verarbeiten wir im Auftrag des jeweiligen Trägers (Art. 28 DSGVO); Verantwortlicher ist insoweit der Verein, der die Freizeit durchführt.
Keine SV-Nummer, keine Steuer-ID: Da Aufwandsentschädigungen im ehrenamtlichen Umfeld im Rahmen der Ehrenamtspauschale (§ 3 Nr. 26a EStG, 840 €/Jahr) bzw. der Übungsleiterpauschale (§ 3 Nr. 26 EStG, 3.000 €/Jahr) bis zur jeweiligen steuer- und sozialabgabenfreien Höchstgrenze gewährt werden, erhebt die Plattform weder Sozialversicherungsnummern noch Steuer-Identifikationsnummern der Betreuer:innen. Sollte ein Träger eine darüber hinausgehende vergütete Tätigkeit anstreben, erfolgt dies außerhalb dieser Plattform — die dafür notwendigen steuerrechtlichen Datenflüsse werden hier weder erhoben noch übermittelt.
Rechtsgrundlage Beschäftigtendaten: Art. 88 DSGVO i.V.m. § 26 Abs. 1 Satz 1 BDSG für die Abrechnungs- und Tätigkeitsdaten; Art. 6 Abs. 1 lit. b DSGVO für die Stamm-Account-Daten. Aufbewahrung: siehe Abschnitt 6.
4.3 Kontaktpersonen
Name, Telefonnummer, Beziehung zum Teilnehmer (Notfallkontakte und Erziehungsberechtigte).
4.4 Gäste
Name, Besuchsgrund, Besuchsdatum, zugehörige Freizeit.
4.5 Biometrische Daten
Gesichtserkennungsdaten (Face Embeddings) zur Zuordnung von Fotos zu Teilnehmern und Betreuern. Diese Daten werden nur mit ausdrücklicher Einwilligung der betroffenen Person (bzw. der gesetzlichen Vertreter bei minderjährigen Teilnehmern) erhoben, ausschließlich lokal und verschlüsselt verarbeitet und nach der Zuordnung der Bilder unverzüglich wieder gelöscht. Es findet keine dauerhafte Speicherung biometrischer Daten statt.
5. Empfänger der Daten
- Hosting-Anbieter: Die Plattform wird bei der netcup GmbH (Firmensitz: Daimlerstraße 25, 76185 Karlsruhe, Deutschland) betrieben; das Rechenzentrum befindet sich in Nürnberg, Deutschland. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO liegt vor.
- Zahlungsdienstleister (Stripe): Für die Zahlungsabwicklung nutzen wir den Dienst Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Bei der Durchführung von Zahlungen werden die hierfür erforderlichen Daten (Rechnungsnummer, Betrag, E-Mail-Adresse der Organisation) an Stripe übermittelt. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Stripe verarbeitet Zahlungsdaten (Kreditkarten- bzw. SEPA-Daten) eigenverantwortlich. Es gelten die Datenschutzbestimmungen von Stripe. Stripe ist unter dem EU-U.S. Data Privacy Framework zertifiziert und gewährleistet ein angemessenes Datenschutzniveau gemäß Art. 45 DSGVO.
- Bot-Schutz (Cloudflare Turnstile): Zum Schutz vor automatisierten Zugriffen setzen wir Cloudflare Turnstile ein. Dabei können technische Daten (IP-Adresse, Browserinformationen) an Cloudflare, Inc. (USA) übermittelt werden. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Plattform). Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert.
- E-Mail-Versand: Für den Versand von E-Mails (Registrierung, Benachrichtigungen) nutzen wir einen SMTP-Dienst. Ein Auftragsverarbeitungsvertrag (AVV) liegt vor.
- Gesichtserkennung: Die optionale Gesichtserkennung erfolgt ausschließlich lokal auf dem eigenen Server. Es werden keine Bilddaten an externe Dienste übermittelt. Es findet kein Zugriff von außerhalb statt.
Eine Weitergabe an sonstige Dritte erfolgt nicht, es sei denn, es besteht eine gesetzliche Verpflichtung (z. B. auf Anordnung von Behörden).
Die bei der Gesichtserkennung erzeugten Gesichtsvektoren werden als Dateien auf dem Server gespeichert und nach Verarbeitung gemäß dem vom Bundesamt für Sicherheit in der Informationstechnik (BSI) empfohlenen Löschverfahren sicher entfernt. Die Dateien werden dabei mehrfach mit Zufallsdaten überschrieben, sodass eine Wiederherstellung ausgeschlossen ist.
6. Speicherdauer
- Teilnehmerdaten: Gemäß der organisationsspezifischen Aufbewahrungsfrist (mindestens 10 Jahre nach Ende der Freizeit). Danach werden die Daten automatisch anonymisiert.
- Betreuer:innen — Account-Stammdaten: Bis zur Löschung des Betreuer-Kontos durch den Nutzer oder die Organisation.
- Betreuer:innen — Abrechnungs- und Belegdaten: 10 Jahre gemäß § 257 HGB ab Ende des Kalenderjahres, in dem die Abrechnung erstellt wurde (handels- und steuerrechtliche Aufbewahrungspflicht).
- Betreuer:innen — sonstige Tätigkeitsdaten (Anwesenheiten, Zuordnungen, Aufgaben): bis zu 3 Jahre nach Ende der Tätigkeit gemäß regelmäßiger Verjährungsfrist (§ 195 BGB), anschließend unwiderrufliche Löschung.
- Gästedaten: 10 Jahre nach dem Besuchsdatum.
- Krisenvorgänge: Unbegrenzte Aufbewahrung aufgrund gesetzlicher Dokumentationspflichten (§ 8a SGB VIII). Die Daten können bei berechtigtem Interesse auf Antrag eingeschränkt werden.
- Biometrische Daten: Werden nach der Zuordnung der Fotos unverzüglich gelöscht. Es findet keine dauerhafte Speicherung biometrischer Daten statt.
7. Rechte der Betroffenen
Betroffene Personen haben folgende Rechte:
- Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über Ihre gespeicherten personenbezogenen Daten zu erhalten.
- Berichtigungsrecht (Art. 16 DSGVO): Sie haben das Recht, unrichtige Daten berichtigen zu lassen.
- Löschungsrecht (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
- Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen.
- Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
- Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, der Verarbeitung Ihrer Daten zu widersprechen, soweit diese auf Art. 6 Abs. 1 lit. f DSGVO basiert.
- Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an den oben genannten Verantwortlichen.
9. Gesichtserkennung
9.1 Zweck
Die optionale Gesichtserkennungsfunktion ermöglicht die automatische Zuordnung von Fotos zu Teilnehmern und Betreuern. Dies erleichtert die Organisation und Verteilung von Freizeitfotos.
9.2 Verarbeitung
Bei der Verarbeitung werden biometrische Merkmale (Face Embeddings) aus dem hochgeladenen Profilfoto (Teilnehmer oder Betreuer) extrahiert und zur Zuordnung von Freizeitfotos verwendet. Die gesamte Verarbeitung erfolgt ausschließlich lokal und verschlüsselt auf dem eigenen Server. Nach der Zuordnung der Bilder werden die biometrischen Daten (Face Embeddings) unverzüglich wieder gelöscht. Es findet kein Zugriff von außerhalb statt und es werden keine Daten an externe Dienste übermittelt. Ports für externen Zugriff sind gesperrt — der Dienst akzeptiert ausschließlich lokale Anfragen. Die Benutzerverzeichnisse auf dem Server sind gehärtet.
9.3 Rechtsgrundlage und Einwilligung
Die Verarbeitung biometrischer Daten erfolgt ausschließlich auf Grundlage einer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Bei Widerruf werden die biometrischen Daten unverzüglich gelöscht.
9.4 Minderjährige Teilnehmer
Bei minderjährigen Teilnehmern muss die Einwilligung zur Gesichtserkennung durch den gesetzlichen Vertreter erteilt werden (Art. 8 DSGVO). Die Einwilligung wird pro Teilnehmer und Freizeit dokumentiert.
9.5 Betreuer
Volljährige Betreuer erteilen ihre Einwilligung zur Gesichtserkennung selbst nach Art. 7 DSGVO über einen eigenen Schalter im Profil-Bereich. Standard-Einstellung ist opt-out — ohne aktive Zustimmung findet keine biometrische Verarbeitung des Betreuer-Profilfotos statt. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO); bei Widerruf werden die zugehörigen Face Embeddings unverzüglich gelöscht.
9.6 Audit-Log und Transparenz
Jede biometrische Verarbeitung wird in einem unveränderbaren Audit-Log dokumentiert: Zeitpunkt des Lauf-Starts, Anzahl der pro Pass erzeugten Embeddings (aggregiert, nie pro Teilnehmer) sowie der Zeitpunkt der abschließenden Löschung (forensisches Überschreiben). Audit-Einträge sind nach Erstellung auf Anwendungsebene weder änderbar noch löschbar (Art. 32 DSGVO).
Träger können diese Aufstellung pro Freizeit einsehen und als PDF für eine Datenschutz-Folgenabschätzung (DSFA) oder eine Anfrage durch eine Aufsichtsbehörde exportieren. Damit wird der vollständige Lifecycle (Start → Verarbeitung → Löschung) der biometrischen Templates lückenlos nachweisbar.
10. Datensicherheit
Zum Schutz Ihrer personenbezogenen Daten setzen wir folgende technische und organisatorische Maßnahmen ein:
- Verschlüsselung sensibler Daten (AES-256-GCM in der Datenbank): Adressdaten (Straße, PLZ, Ort, Geburtsort), Gesundheitsdaten (medizinische Besonderheiten), Krisenvorgangs-Daten (Vorgangs-Beschreibungen, Beteiligten-Listen, Notizen, Verlaufsschritte und nachträgliche Ergänzungen) sowie Server-Zugangsdaten zu externen Speichern werden mit AES-256-GCM (Galois-Counter-Mode) verschlüsselt in der Datenbank gespeichert.
- Transportverschlüsselung: Sämtliche Datenübertragungen zwischen Browser und Server erfolgen über HTTPS/TLS.
- Zugriffskontrolle: Rollenbasiertes Berechtigungssystem mit Organisations- und Freizeitbindung; jeder Zugriff erfordert eine authentifizierte Sitzung.
- Unveränderbares Audit-Logging: Sicherheitsrelevante Aktionen werden in einem manipulationssicheren Audit-Log dokumentiert. Audit-Einträge sind nach Erstellung weder änderbar noch löschbar (technische Sperre auf Anwendungsebene). Dies gewährleistet eine lückenlose Nachweisbarkeit gemäß Art. 32 DSGVO.
- Lokale Biometrie ohne dauerhafte Speicherung: Biometrische Merkmale (Face Embeddings) werden ausschließlich lokal auf dem eigenen Server berechnet, niemals an externe Dienste übermittelt, und nach Verarbeitung gemäß BSI-Standards mehrfach mit Zufallsdaten überschrieben (sichere Löschung).
- Automatische Anonymisierung nach Aufbewahrungsfrist: Teilnehmerdaten werden nach Ablauf der organisationsspezifischen Aufbewahrungsfrist automatisch anonymisiert.
- Archiv-Schreibschutz: Abgelaufene Freizeiten werden automatisch in einen Schreibschutzmodus versetzt, um unbeabsichtigte nachträgliche Änderungen zu verhindern.
- Offline-Verfügbarkeit kritischer Listen: Träger können jederzeit eine vollständige Offline-Mappe (Notfallkontakte, medizinische Besonderheiten, Ausgehberechtigungen, Betreuer-Kontakte, §8a-Krisen-Eskalation) pro Freizeit als druckbare PDF mit Generierungs-Timestamp exportieren. Damit bleibt die operative Sicherheit auch bei vorübergehender Nichtverfügbarkeit der Plattform gewährleistet — der Träger kann seiner Mitwirkungs- und Aufsichtspflicht ohne Online-Zugriff nachkommen.
Stand: Mai 2026 (Beschäftigtendatenverarbeitung präzisiert)