Datenschutz

Kurz gesagt

• Wir nutzen keine Analyse-, Statistik- oder Werbedienste und keine Tracking-Cookies.
• Schriften, Bilder, Töne und unsere eigenen Videos kommen von unserem eigenen Server. Videos von YouTube laden erst, wenn du zustimmst.
• Daten erheben wir nur, wenn du etwas abschickst, bestellst, bezahlst, dich anmeldest oder uns schreibst – und nur so viel, wie wir dafür brauchen.
• Persönliche Angaben speichern wir verschlüsselt auf Servern in der Europäischen Union und löschen sie nach festen Fristen.

1. Verantwortlich

Communal Arts e.V. (in Gründung)
Burgunderstraße 5, 73733 Esslingen am Neckar
E-Mail: kontakt@communal-arts.de

Vertreten durch den Vorstand: [Namen der drei Vorstandsmitglieder nach der Gründungsversammlung]. Für Fragen zum Datenschutz erreichst du uns unter datenschutz@communal-arts.de. Einen Datenschutzbeauftragten müssen wir nicht benennen, weil weniger als 20 Personen ständig mit personenbezogenen Daten arbeiten und wir keine besonders sensiblen Daten im großen Umfang verarbeiten.

2. Hosting, Datenbank und Schutz vor Angriffen

Webseite, App und Server laufen bei Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Beim Aufruf verarbeitet Cloudflare technisch notwendige Daten wie IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browser-Kennung, um die Seite auszuliefern und vor Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer sicheren Webseite). Fehlerprotokolle des Servers werden nach wenigen Tagen automatisch gelöscht.

Alle Angaben aus Formularen, Konten, Bestellungen und Zahlungen liegen in einer Datenbank von Cloudflare (D1) mit Speicherort in der Europäischen Union. Namen, Anschriften, E-Mail-Adressen und Nachrichten speichern wir zusätzlich verschlüsselt (AES-256). Den Schlüssel kennt nur der Verein.

Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert. Eine Übermittlung in die USA ist deshalb nach Art. 45 DSGVO zulässig.

Gegen Spam und Missbrauch zählen wir Anfragen je Stunde. Dafür speichern wir nur einen nicht umkehrbaren Hashwert aus IP-Adresse und Zeit, den wir nach zwei Stunden löschen. Formulare enthalten außerdem ein unsichtbares Feld, das nur Programme ausfüllen.

3. Was im Browser gespeichert wird

Wir speichern nur, was für eine Funktion nötig ist, die du selbst nutzt (§ 25 Abs. 2 Nr. 2 TDDDG). Dafür brauchen wir keine Einwilligung.

Solange die Webseite nur als Vorschau zu sehen ist, setzen wir nach Eingabe des Zugangscodes ein weiteres technisch notwendiges Cookie.

4. Videos von YouTube

Einige Projekte zeigen Videos von YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Wir binden sie im erweiterten Datenschutzmodus (youtube-nocookie.com) ein und laden sie erst, wenn du auf das Video klickst und zustimmst. Erst dann werden Daten wie deine IP-Adresse an YouTube übermittelt; YouTube kann dabei Cookies setzen und Daten in die USA übertragen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit über „Datenschutz-Einstellungen“ unten auf jeder Seite widerrufen. Vorher siehst du nur ein Vorschaubild von unserem eigenen Server.

5. Mitgliedsantrag und Mitgliedschaft

Welche Daten: Mitgliedsart, Vor- und Nachname, Geburtsdatum (bei Personen, um das Mindestalter von 18 Jahren nach der Satzung zu prüfen), Anschrift, E-Mail-Adresse, freiwillig Telefon, Interessensbereiche, Sprache und eine Nachricht, dazu der Zeitpunkt des Antrags und deiner Bestätigung. Nach der Aufnahme kommen Mitgliedsnummer, Beginn der Mitgliedschaft, bezahlter Zeitraum und die Kennungen deines Abonnements bei Stripe dazu.

Wozu: um über die Aufnahme zu entscheiden, die Mitgliedschaft zu führen, den Beitrag einzuziehen, dich zu Versammlungen einzuladen und dir das Willkommenspaket zu schicken. Rechtsgrundlage ist die Mitgliedschaft nach der Satzung (Art. 6 Abs. 1 lit. b DSGVO), für freiwillige Angaben deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Bestätigung: Nach dem Absenden schicken wir dir einen Link. Erst wenn du ihn anklickst, gilt der Antrag. Unbestätigte Anträge löschen wir nach 7 Tagen.

Willkommenspaket: Für den Versand nutzen wir Name, Anschrift, Mitgliedsnummer und Sprache. Die Anschrift geben wir an die Deutsche Post bzw. DHL weiter. Den Versandauftrag löschen wir 90 Tage nach dem Versand.

Löschung: Ziehst du den Antrag zurück, löschen wir ihn sofort. Antrag und Mitgliedschaft löschen wir drei Jahre nach dem Ende der Mitgliedschaft. Belege über Beitragszahlungen bewahren wir in der Buchhaltung des Vereins bis zu zehn Jahre auf (§ 147 AO).

6. Mitgliederbereich und Mitgliedsausweis

Anmeldung: mit deiner E-Mail-Adresse und einem einmaligen Code, ohne Passwort. Den Code speichern wir nur als Hashwert und nur 15 Minuten.

Welche Daten: E-Mail-Adresse, Name, deine Gruppen, deine Beiträge in Gruppen und deine Zu- und Absagen zu Terminen. Beiträge in Gruppen sehen die anderen Mitglieder dieser Gruppe. Für Termine, für die du zugesagt hast, schicken wir dir am Vortag eine Erinnerung per E-Mail.

Ausweis: Dein digitaler Mitgliedsausweis enthält Vorname, Mitgliedsnummer, Gültigkeit und eine Signatur. Wer den QR-Code scannt, sieht, ob der Ausweis gültig ist, und deinen Vornamen – sonst nichts.

Datenauskunft: Im Mitgliederbereich kannst du alle deine gespeicherten Daten jederzeit herunterladen.

Rechtsgrundlage ist die Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO). Endet die Mitgliedschaft, ist der Ausweis nicht mehr gültig. Dein Konto im Mitgliederbereich löschen wir, sobald du uns darum bittest – eine E-Mail genügt.

Mitteilungen aufs Handy: Nur wenn du sie im Mitgliederbereich einschaltest und dein Browser fragt, ob du zustimmst. Dann speichern wir die Mitteilungs-Adresse, die dein Browser dafür erzeugt, verschlüsselt und deinem Konto zugeordnet (Art. 6 Abs. 1 lit. a DSGVO). Die Mitteilungen laufen über den Dienst deines Browser- oder Handy-Herstellers (z. B. Google, Apple, Mozilla); sie sind Ende-zu-Ende verschlüsselt, der Dienst kann den Inhalt nicht lesen. Wir schicken sie nur bei neuen Inhalten für Mitglieder, am Tag vor einem zugesagten Termin und wenn sich der Stand deines Vorschlags ändert. Ausschalten geht jederzeit mit demselben Knopf; beim Abmelden löschen wir die Adresse ebenfalls.

7. Zahlungen über Stripe

Mitgliedsbeiträge, Bestellungen und Spenden bezahlst du über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Dafür leiten wir dich auf eine Zahlungsseite von Stripe weiter. Deine Kartendaten oder Kontoverbindung gibst du nur dort ein – wir erhalten sie nicht. Von Stripe bekommen wir nur, ob und wann bezahlt wurde, den Betrag, bei Bestellungen die Lieferanschrift und Kennungen für Kunde und Abonnement.

Rechtsgrundlage ist die Durchführung des Vertrags bzw. der Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO). Stripe verarbeitet Daten auch in eigener Verantwortung, etwa um Betrug zu verhindern und gesetzliche Pflichten zu erfüllen, und kann sie an Stripe, Inc. in den USA übermitteln (EU-US Data Privacy Framework, Standardvertragsklauseln). Einzelheiten: stripe.com/de/privacy.

8. Bestellungen im Shop und Widerruf

Welche Daten: bestellte Artikel, Beträge, E-Mail-Adresse, Name und Lieferanschrift, Zeitpunkt von Bestellung, Zahlung und Versand. Für den Versand geben wir Name und Anschrift an die Deutsche Post bzw. DHL weiter.

Wozu: um die Bestellung auszuführen, dir Bestellbestätigung und Widerrufsbelehrung zu schicken und unsere Aufzeichnungspflichten zu erfüllen (Art. 6 Abs. 1 lit. b und c DSGVO). Nicht bezahlte Bestellungen löschen wir nach 30 Tagen, bezahlte nach zehn Jahren (§ 147 AO, § 257 HGB).

Widerruf: Widerrufst du über unsere Webseite, speichern wir Name, E-Mail-Adresse, Bestellnummer, deine Nachricht und den Zeitpunkt des Eingangs als Nachweis und löschen sie nach drei Jahren (Art. 6 Abs. 1 lit. c DSGVO).

9. Spenden

Für eine Spende verarbeiten wir Betrag, Rhythmus (einmalig oder monatlich), deine E-Mail-Adresse und freiwillig deinen Namen. Für eine Zuwendungsbestätigung fragen wir deine Anschrift später gesondert ab, sobald wir Bestätigungen ausstellen dürfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO. Nicht abgeschlossene Spenden löschen wir nach 30 Tagen, Spendendaten nach zehn Jahren.

10. Newsletter

Den Newsletter bekommst du nur, wenn du dich anmeldest und die Anmeldung über den Link in unserer E-Mail bestätigst (Double-Opt-in). Wir speichern deine E-Mail-Adresse, die Sprache, den Wortlaut deiner Einwilligung und die Zeitpunkte von Anmeldung und Bestätigung als Nachweis. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir schreiben höchstens einmal im Monat und messen nicht, ob du den Newsletter öffnest oder Links anklickst.

Abmelden geht mit einem Klick über den Link in jeder Ausgabe. Dann löschen wir deine Adresse sofort. Unbestätigte Anmeldungen löschen wir nach 7 Tagen.

11. Vorschläge für Projekte und Kooperativen

Welche Daten: dein Vorschlag mit Ziel, Nutzen, Ressourcen, Zeitplan und Verantwortlichen, dazu Name, E-Mail-Adresse, Wohnort und Sprache, der Zeitpunkt und deine Bestätigung. Das Team bewertet den Vorschlag nach festen Kriterien und hält Notizen und Entscheidungen fest. Über jede Änderung des Stands informieren wir dich per E-Mail und auf deiner persönlichen Statusseite.

Wozu: um den Vorschlag zu prüfen, mit dir zu besprechen und umzusetzen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst. Unbestätigte Vorschläge löschen wir nach 7 Tagen, entschiedene zwei Jahre nach der Entscheidung. Wird ein Vorschlag ein öffentliches Projekt, fragen wir dich vorher, ob und wie dein Name genannt wird.

12. Weitere Formulare und Kontakt

Mitmachen, Schulen, Projekte: Name, E-Mail-Adresse, Wohnort, freiwillig Telefon, deine Auswahl und deine Nachricht, damit wir dich mit passenden Projekten und Menschen zusammenbringen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Nach dem Absenden bestätigst du über einen Link; unbestätigte Meldungen löschen wir nach 7 Tagen, alle anderen spätestens 24 Monate nach dem Eingang.

Kontaktformular und E-Mail: Nachrichten über das Kontaktformular schicken wir als E-Mail an unser Vereinspostfach und speichern sie nicht in der Datenbank. Wir nutzen deine Angaben nur, um zu antworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO), und löschen die Nachricht, wenn die Sache erledigt ist, spätestens nach zwölf Monaten, außer es gibt Aufbewahrungspflichten.

Kündigung: Über „Mitgliedschaft kündigen“ verarbeiten wir Art der Kündigung, Name, Mitgliedsnummer, E-Mail-Adresse, gewünschtes Datum und den Eingang, um die Kündigung auszuführen und zu bestätigen (Art. 6 Abs. 1 lit. b und c DSGVO). Den Nachweis bewahren wir drei Jahre auf.

13. E-Mails

Automatische E-Mails (Bestätigungen, Zahlungs- und Bestellbestätigungen, Erinnerungen, Statusmeldungen) sind feste Vorlagen ohne Werbung und ohne Zählpixel. E-Mails an Adressen @communal-arts.de leitet Cloudflare an unser Vereinspostfach weiter. Für den Versand und das Postfach nutzen wir: [E-Mail-Anbieter mit Anschrift eintragen, sobald die Vereinsadresse eingerichtet ist – nur mit Auftragsverarbeitungsvertrag]

14. Mitarbeiterbereich

Für Vorstand und Team speichern wir Name, E-Mail-Adresse, Rollen, ein gesichertes Passwort (PBKDF2), den verschlüsselten Schlüssel für den zweiten Faktor und Notfall-Codes als Hashwerte. Jede Aktion im Mitarbeiterbereich wird mit Name und Zeit protokolliert, damit nachvollziehbar bleibt, wer was entschieden hat (Art. 6 Abs. 1 lit. b und f DSGVO). Das Protokoll löschen wir nach zwei Jahren. Nur Personen mit der passenden Rolle sehen personenbezogene Daten, und nur so weit, wie ihre Aufgabe es verlangt.

15. App auf dem Handy

Installierst du die App, legt dein Handy Seiten, Bilder und – wenn du angemeldet bist – deinen Mitgliedsausweis im eigenen Speicher ab, damit sie auch ohne Internet funktionieren. Diese Daten bleiben auf deinem Gerät. Wir erhalten dadurch keine zusätzlichen Daten über dich.

16. Links zu anderen Seiten

Links etwa zur Falken Akademie, zum Deutschen Ehrenamt, zu Wikimedia Commons oder zu Quellen öffnen die Seiten dieser Anbieter. Dort gelten deren Datenschutzerklärungen.

17. Speicherdauer auf einen Blick

18. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und auf Widerruf deiner Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3). Eine E-Mail an uns genügt.

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Du kannst dich bei einer Aufsichtsbehörde beschweren, zum Beispiel beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

Wir treffen keine automatisierten Entscheidungen und erstellen keine Profile (Art. 22 DSGVO).

19. Kinder und Jugendliche

Mitglied werden können nach unserer Satzung nur Volljährige. Formulare und Vorschläge richten sich an Menschen ab 16 Jahren; Jüngere melden sich bitte gemeinsam mit ihren Eltern. Für Camps und Seminare mit Minderjährigen gibt es eigene Anmeldungen mit Einverständnis der Eltern und eigenen Datenschutzhinweisen.

20. Stand

Entwurf vom 30. Oktober 2026. Wir passen diese Erklärung an, wenn sich etwas ändert.