datenschutz

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Julian Müller – DeSourCeDev
Eisenbahnstraße 42, 79423 Heitersheim
E-Mail: info@desourcedev.de

Hinweis zur Rollenverteilung: Soweit Trägerorganisationen Daten ihrer Teilnehmer in der Plattform erfassen (insbesondere Stammdaten, Adressdaten, Gesundheitsdaten, Foto- und Krisendaten), ist die jeweilige Trägerorganisation Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; wir verarbeiten diese Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Weisung und im Auftrag der Trägerorganisation. Für Daten von Plattform-Besuchern, Trägerkonten und unsere eigene Geschäftstätigkeit (z. B. Abrechnung) sind wir Verantwortlicher.

2. Zweck der Datenverarbeitung

Die über diese Plattform erhobenen personenbezogenen Daten werden für folgende Zwecke verarbeitet:

• Freizeitverwaltung: Organisation und Durchführung von Jugendfreizeiten und Ferienlagern.
• Teilnehmerverwaltung: Registrierung, Verwaltung und Betreuung von Teilnehmern inkl. An-/Abreise, Ausgehvorgänge, Anwesenheitskontrolle und Kursplanung.
• Betreuer-Konten: Registrierung und Verwaltung von Betreuern, Rollen- und Rechteverwaltung, Juleica-Verwaltung.
• Krisenmanagement: Dokumentation und Bearbeitung von Krisenvorgängen gemäß § 8a SGB VIII inkl. Handlungsleitfäden und Eskalationsstufen.
• Gästeregistrierung: Erfassung von Gästen auf Freizeiten für Sicherheits- und Organisationszwecke.
• Abrechnungen: Erstellung und Verwaltung von Betreuer- und Fahrdienstverträgen.
• Quiz & Aktivitäten: Durchführung von interaktiven Quizzen und Aktivitäten während der Freizeit.
• Küchendienst: Planung und Verwaltung von Küchendiensten.
• Rückmeldungen: Erfassung von Feedback der Teilnehmer und Betreuer.

3. Rechtsgrundlage

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Die Verarbeitung ist erforderlich für die Erfüllung des Vertrags über die Teilnahme an einer Jugendfreizeit bzw. die Betreuertätigkeit.
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Die Verarbeitung ist zur Wahrung berechtigter Interessen erforderlich, insbesondere zur Gewährleistung der Sicherheit der Teilnehmer, für die Nachtwachen- und Strandwachendokumentation sowie für die Ausleihe von Gegenständen.
• Art. 9 Abs. 2 lit. c DSGVO (Schutz lebenswichtiger Interessen) + Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Gesundheitsdaten: Soweit die Trägerorganisation (Veranstalter der Freizeit) Gesundheitsdaten (Allergien, Medikamente, sonstige medizinische Besonderheiten) ihrer Teilnehmer in der Plattform erfasst, verarbeiten wir diese im Auftrag und auf Weisung der Trägerorganisation (Art. 28 DSGVO). Die Verarbeitung ist zur sicheren Betreuung der minderjährigen Teilnehmer während der Freizeit unerlässlich (Schutz lebenswichtiger Interessen, Art. 9 Abs. 2 lit. c DSGVO) und Bestandteil der Anmeldung als Vertrag zur Teilnahme (Art. 6 Abs. 1 lit. b DSGVO). Aus diesem Grund handelt es sich nicht um eine opt-in Einwilligung im Sinne von Art. 9 Abs. 2 lit. a, sondern um eine operative Pflichtangabe — eine Teilnahme ohne sicherheitsrelevante Gesundheitsangaben ist nicht möglich (Koppelungsverbot Art. 7 Abs. 4 DSGVO greift damit nicht).
• Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): Die Verarbeitung im Rahmen des Krisenmanagements erfolgt zur Erfüllung rechtlicher Verpflichtungen, insbesondere gemäß § 8a SGB VIII (Schutzauftrag bei Kindeswohlgefährdung).
• Art. 88 DSGVO i.V.m. § 26 Abs. 1 BDSG (Beschäftigtendatenverarbeitung): Soweit Betreuer:innen Aufwandsentschädigungen über die Plattform abrechnen, verarbeiten wir die dafür notwendigen Daten als Auftragsverarbeiter im Auftrag des Trägers. Es handelt sich um ehrenamtliche Tätigkeit; die Aufwandsentschädigungen werden im Rahmen der Ehrenamtspauschale (§ 3 Nr. 26a EStG, 840 €/Jahr) bzw. der Übungsleiterpauschale (§ 3 Nr. 26 EStG, 3.000 €/Jahr) gewährt und sind insoweit steuer- und sozialabgabenfrei. Die Plattform erhebt daher weder Sozialversicherungsnummern noch Steuer-Identifikationsnummern der Betreuer:innen.

3.1 Nachweis und Dokumentation der Einwilligungen

Für jede einwilligungsbasierte Verarbeitung (Foto-Veröffentlichung, Gesundheitsdaten, Kinderschutz-Dokumentation) stellt die Plattform den Trägern ein druckbares Einwilligungsformular mit Widerrufsbelehrung gemäß Art. 7 Abs. 3 DSGVO zur Verfügung. Eltern bzw. gesetzliche Vertreter unterzeichnen das Formular analog; die Träger speichern den unterzeichneten Scan zum Nachweis gemäß Art. 7 Abs. 1 DSGVO (Beweispflicht der einholenden Stelle).

Jede Erfassung einer dokumentierten Einwilligung wird in einem unveränderbaren Audit-Log festgehalten. Der Widerruf einer Einwilligung kann jederzeit gegenüber dem Träger formlos erklärt werden und führt zur unverzüglichen Einstellung der entsprechenden Verarbeitung.

4. Kategorien personenbezogener Daten

4.1 Teilnehmer

Name, Geburtsdatum, Geschlecht, Adresse, Kontaktdaten, Notfallkontakte, Gesundheitsinformationen (Allergien, Medikamente, Besonderheiten), Foto, Ausgehberechtigungen, Anwesenheitsdaten, Kurszuordnungen, Küchendiensteinteilungen.

Adressdaten und Gesundheitsdaten werden in der Datenbank verschlüsselt gespeichert (AES-256-GCM, siehe § 9).

4.2 Betreuer:innen

Plattform-Stammdaten (Account): Name, E-Mail-Adresse, Telefonnummer, Profilbild, Juleica-Daten (Nummer, Ablaufdatum), Organisationszugehörigkeit, Rollen und Berechtigungen. Für diese Account-Daten ist die Plattform Verantwortlicher (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung mit dem registrierten Nutzer).

Operative Tätigkeitsdaten: Anwesenheits- und Aufgabenzuordnungen, Lager-/Freizeit-Zuordnungen, Aufwandsentschädigungs-Abrechnungen (Datum, Stunden bzw. Tagessätze, Betrag, IBAN für Auszahlung). Diese operativen Daten verarbeiten wir im Auftrag des jeweiligen Trägers (Art. 28 DSGVO); Verantwortlicher ist insoweit der Verein, der die Freizeit durchführt.

Keine SV-Nummer, keine Steuer-ID: Da Aufwandsentschädigungen im ehrenamtlichen Umfeld im Rahmen der Ehrenamtspauschale (§ 3 Nr. 26a EStG, 840 €/Jahr) bzw. der Übungsleiterpauschale (§ 3 Nr. 26 EStG, 3.000 €/Jahr) bis zur jeweiligen steuer- und sozialabgabenfreien Höchstgrenze gewährt werden, erhebt die Plattform weder Sozialversicherungsnummern noch Steuer-Identifikationsnummern der Betreuer:innen. Sollte ein Träger eine darüber hinausgehende vergütete Tätigkeit anstreben, erfolgt dies außerhalb dieser Plattform — die dafür notwendigen steuerrechtlichen Datenflüsse werden hier weder erhoben noch übermittelt.

Rechtsgrundlage Beschäftigtendaten: Art. 88 DSGVO i.V.m. § 26 Abs. 1 Satz 1 BDSG für die Abrechnungs- und Tätigkeitsdaten; Art. 6 Abs. 1 lit. b DSGVO für die Stamm-Account-Daten. Aufbewahrung: siehe Abschnitt 6.

4.3 Kontaktpersonen

Name, Telefonnummer, Beziehung zum Teilnehmer (Notfallkontakte und Erziehungsberechtigte).

4.4 Gäste

Name, Besuchsgrund, Besuchsdatum, zugehörige Freizeit.

5. Empfänger der Daten

• Hosting-Anbieter: Die Plattform wird bei der netcup GmbH (Firmensitz: Daimlerstraße 25, 76185 Karlsruhe, Deutschland) betrieben; das Rechenzentrum befindet sich in Nürnberg, Deutschland. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO liegt vor.
• Zahlungsdienstleister (Mollie): Für die Zahlungsabwicklung der Rechnungen an die Organisationen nutzen wir den Dienst Mollie (Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande). Bei der Durchführung von Zahlungen werden die hierfür erforderlichen Daten (Rechnungsnummer und Betrag) an Mollie übermittelt; die Zahlungsdaten selbst (Kreditkartendaten bzw. Kontodaten bei einer SEPA-Überweisung) werden auf der Zahlungsseite von Mollie eingegeben. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Mollie verarbeitet Zahlungsdaten eigenverantwortlich. Es gelten die Datenschutzbestimmungen von Mollie.
• Bot-Schutz (Cloudflare Turnstile): Zum Schutz vor automatisierten Zugriffen setzen wir Cloudflare Turnstile ein. Dabei können technische Daten (IP-Adresse, Browserinformationen) an Cloudflare, Inc. (USA) übermittelt werden. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Plattform). Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert.
• E-Mail-Versand: Für den Versand von E-Mails (Registrierung, Benachrichtigungen) nutzen wir einen SMTP-Dienst. Ein Auftragsverarbeitungsvertrag (AVV) liegt vor.

Eine Weitergabe an sonstige Dritte erfolgt nicht, es sei denn, es besteht eine gesetzliche Verpflichtung (z. B. auf Anordnung von Behörden).

6. Speicherdauer

• Teilnehmerdaten: Gemäß der organisationsspezifischen Aufbewahrungsfrist (mindestens 10 Jahre nach Ende der Freizeit). Danach werden die Daten automatisch anonymisiert.
• Betreuer:innen — Account-Stammdaten: Bis zur Löschung des Betreuer-Kontos durch den Nutzer oder die Organisation. Bei der Löschung werden die personenbezogenen Daten des Kontos anonymisiert. Der Name bleibt in Nachweisen erhalten, die der Verein führt – insbesondere im Prüfprotokoll und in der Kinderschutz-Dokumentation –, und zwar so lange, wie der jeweilige Nachweis aufbewahrt wird.
• Betreuer:innen — Abrechnungs- und Belegdaten: 10 Jahre gemäß § 257 HGB ab Ende des Kalenderjahres, in dem die Abrechnung erstellt wurde (handels- und steuerrechtliche Aufbewahrungspflicht).
• Betreuer:innen — sonstige Tätigkeitsdaten (Anwesenheiten, Zuordnungen, Aufgaben): bis zu 3 Jahre nach Ende der Tätigkeit gemäß regelmäßiger Verjährungsfrist (§ 195 BGB), anschließend unwiderrufliche Löschung.
• Gästedaten: 10 Jahre nach dem Besuchsdatum.
• Krisenvorgänge: Unbegrenzte Aufbewahrung aufgrund gesetzlicher Dokumentationspflichten (§ 8a SGB VIII). Die Daten können bei berechtigtem Interesse auf Antrag eingeschränkt werden.

7. Rechte der Betroffenen

Betroffene Personen haben folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über Ihre gespeicherten personenbezogenen Daten zu erhalten.
• Berichtigungsrecht (Art. 16 DSGVO): Sie haben das Recht, unrichtige Daten berichtigen zu lassen.
• Löschungsrecht (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, der Verarbeitung Ihrer Daten zu widersprechen, soweit diese auf Art. 6 Abs. 1 lit. f DSGVO basiert.
• Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an den oben genannten Verantwortlichen.

8. Cookies

Diese Plattform verwendet ausschließlich technisch notwendige Session-Cookies für die Aufrechterhaltung der Sitzung und die Authentifizierung. Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt.

Eine Einwilligung für diese Cookies ist gemäß § 25 Abs. 2 TDDDG nicht erforderlich, da sie für die Bereitstellung des Dienstes unbedingt erforderlich sind.

Über die genannten Cookies hinaus speichert die Plattform UI-Einstellungen im lokalen Browser-Speicher (localStorage) — beispielsweise die Dark-Mode-Auswahl, eingeklappte Bereiche, den "Verstanden"-Status des Cookie-Banners und den PWA-Installations-Hinweis. Diese Speicherungen fallen als "ähnliche Technologien" ebenfalls unter § 25 TDDDG. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (vom Nutzer ausdrücklich gewünschter Dienst — gespeicherte Präferenzen). Die Speicherdauer wird ausschließlich vom Browser/Nutzer kontrolliert.

Wer in einer Poolaktion Kinder abhakt, verschiebt, zurücklegt oder als abwesend meldet, speichert die noch nicht übertragenen Vorgänge im lokalen Browser-Speicher (localStorage) seines Geräts, je Runde und Nutzer unter dem Schlüssel „poolaktionen:<Runde>:<Nutzer>“. So geht bei schlechtem Netz kein Vorgang verloren. Gespeichert werden nur interne Kennungen (auch in der internen Zieladresse des Vorgangs), ein Versionszähler, die Art des Vorgangs, gegebenenfalls ein Grund und – bis zur Übertragung – ein dazu eingegebener Text sowie die Zahl der Sendeversuche und der Zeitpunkt des nächsten; Namen werden nicht gespeichert. Ein Vorgang wird entfernt, sobald der Server ihn abschließend beantwortet hat. Einträge anderer Nutzer desselben Geräts entfernt die Seite beim nächsten Öffnen einer Poolaktion; eigene Einträge einer anderen Runde bleiben, bis sie dort übertragen sind. Ob der Speicher beschreibbar ist, prüft die Seite mit einem Testeintrag, den sie sofort wieder löscht. Diese Speicherung ist für den ausdrücklich gewünschten Dienst technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG), dient keinem Tracking und erfordert keine Einwilligung.

9. Datensicherheit

Zum Schutz Ihrer personenbezogenen Daten setzen wir folgende technische und organisatorische Maßnahmen ein:

• Verschlüsselung sensibler Daten (AES-256-GCM in der Datenbank): Adressdaten (Straße, PLZ, Ort, Geburtsort), Gesundheitsdaten (medizinische Besonderheiten), Krisenvorgangs-Daten (Vorgangs-Beschreibungen, Beteiligten-Listen, Notizen, Verlaufsschritte und nachträgliche Ergänzungen) sowie Server-Zugangsdaten zu externen Speichern werden mit AES-256-GCM (Galois-Counter-Mode) verschlüsselt in der Datenbank gespeichert.
• Transportverschlüsselung: Sämtliche Datenübertragungen zwischen Browser und Server erfolgen über HTTPS/TLS.
• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem mit Organisations- und Freizeitbindung; jeder Zugriff erfordert eine authentifizierte Sitzung.
• Unveränderbares Audit-Logging: Sicherheitsrelevante Aktionen werden in einem manipulationssicheren Audit-Log dokumentiert. Audit-Einträge sind nach Erstellung weder änderbar noch löschbar (technische Sperre auf Anwendungsebene). Dies gewährleistet eine lückenlose Nachweisbarkeit gemäß Art. 32 DSGVO.
• Automatische Anonymisierung nach Aufbewahrungsfrist: Teilnehmerdaten werden nach Ablauf der organisationsspezifischen Aufbewahrungsfrist automatisch anonymisiert.
• Archiv-Schreibschutz: Abgelaufene Freizeiten werden automatisch in einen Schreibschutzmodus versetzt, um unbeabsichtigte nachträgliche Änderungen zu verhindern.
• Offline-Verfügbarkeit kritischer Listen: Träger können jederzeit eine vollständige Offline-Mappe (Notfallkontakte, medizinische Besonderheiten, Ausgehberechtigungen, Betreuer-Kontakte, §8a-Krisen-Eskalation) pro Freizeit als druckbare PDF mit Generierungs-Timestamp exportieren. Damit bleibt die operative Sicherheit auch bei vorübergehender Nichtverfügbarkeit der Plattform gewährleistet — der Träger kann seiner Mitwirkungs- und Aufsichtspflicht ohne Online-Zugriff nachkommen.