Datenschutzerklärung

Verantwortlicher

420er Klasse Uniqua Deutschland e. V.
c/o Xaver Schwarz, Haus 10, 83256 Frauenchiemsee
Vertreten durch: Xaver Schwarz
E-Mail: gs@uniqua.de
(weitere Angaben siehe Impressum)

Aufruf der Website (Server-Logfiles)

Verarbeitete Daten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Browsertyp und Betriebssystem.
Zweck: Auslieferung der Website sowie Erkennung und Nachverfolgung technischer Störungen und Angriffe.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der technisch fehlerfreie und sichere Betrieb der Website.
Empfänger: Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, als Auftragsverarbeiter (Serverbetrieb). Die Verarbeitung findet ausschließlich in Deutschland statt.
Speicherdauer: Die Protokolle werden in Dateien fester Größe geschrieben und automatisch überschrieben, sobald deren Umfang erreicht ist; eine gesonderte Auswertung findet nicht statt.
Eingebundene Inhalte Dritter: keine. Auch Schriftarten liefern wir von unserem eigenen Server aus, sodass beim Aufruf der Website keine Verbindung zu Dritten entsteht.

Reichweitenmessung (Umami)

Verarbeitete Daten: aufgerufene Seite, verweisende Seite (Referrer) und Zeitpunkt. Aus der IP-Adresse und der Browser-Kennung, die Ihr Browser technisch ohnehin mitsendet, ermitteln wir zusätzlich Betriebssystem, Gerätetyp (Desktop, Tablet, Mobilgerät) und Ihren ungefähren Standort (Land, Region, Ort). Die IP-Adresse selbst speichern wir nicht; sie fließt in eine täglich wechselnde Kennung ein, mit der wiederkehrende Aufrufe innerhalb eines Tages als ein Besuch gezählt werden. Die Messung setzt keine Cookies und greift nicht auf Ihr Endgerät zu.
Zweck: Auswertung, welche Inhalte genutzt werden, um das Angebot daran auszurichten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die bedarfsgerechte Gestaltung unseres ehrenamtlich betriebenen Angebots. Eine Profilbildung, eine geräteübergreifende Zusammenführung oder eine Nutzung zu Werbezwecken findet nicht statt.
Empfänger: keine. Die eingesetzte Software (Umami) betreiben wir selbst auf der oben genannten Infrastruktur; eine Weitergabe an Dritte oder in Drittländer erfolgt nicht.
Speicherdauer: 24 Monate. Ältere Auswertungsdaten werden durch einen automatischen monatlichen Lauf gelöscht.
Widerspruch: Sie können dieser Verarbeitung jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO) — über die Einstellung unter diesem Abschnitt oder formlos an die oben genannte E-Mail-Adresse.

Konto auf dieser Website

Wen es betrifft: alle, die hier ein Konto haben. Ein Konto entsteht auf zwei Wegen: Sie legen es selbst über die Registrierung an — dann erhalten Sie die Rolle „Mitglied“, mit der Sie ausschließlich Ihr eigenes Konto verwalten — oder Sie werden vom Vorstand eingeladen, um Inhalte dieser Website zu pflegen (Rollen „Editor“, „Admin“, „Page Admin“). Ein Konto ist zum Lesen der Website nicht erforderlich.
Verarbeitete Daten: Anzeigename, E-Mail-Adresse, Rolle, ob das Konto selbst angelegt oder eingeladen wurde und von wem, Zeitpunkt der Anlage und der letzten Anmeldung. Das Passwort wird nicht gespeichert, sondern nur als nicht zurückrechenbarer Hash (bcrypt). Freiwillig hinzu kommen ein Profilbild sowie die Angaben für die Zwei-Faktor-Anmeldung: das Geheimnis der Authenticator-App (verschlüsselt gespeichert), Wiederherstellungscodes (nur als Hash) und hinterlegte Passkeys (öffentlicher Schlüssel, Bezeichnung und technische Kennung des Sicherheitsschlüssels — der private Schlüssel verlässt Ihr Gerät nie). Zur Absicherung des Zugangs zählen wir außerdem fehlgeschlagene Anmeldeversuche und sperren das Konto nach zehn Fehlversuchen für 15 Minuten.
Cookies und Sitzung: Nach dem Anmelden setzen wir das Sitzungs-Cookie UNIQUA_SESSION (12 Stunden gültig, HttpOnly, SameSite=Lax, nur über HTTPS) sowie das Cookie XSRF-TOKEN, das Anfragen fremder Seiten abwehrt. Beide sind für den angemeldeten Betrieb unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig; sie dienen keiner Auswertung des Verhaltens.
E-Mails: Für die Bestätigung eines selbst angelegten Kontos, Einladung, Passwort-Zurücksetzung, Bestätigung einer neuen E-Mail-Adresse, Sicherheitshinweise und die Datenauskunft versenden wir Nachrichten an die hinterlegte Adresse. Die Links darin sind einmal verwendbar und laufen ab (Bestätigung eines neuen Kontos 24 Stunden, Einladung 7 Tage, Passwort-Zurücksetzung 1 Stunde, Bestätigung einer E-Mail-Änderung 1 Stunde); in unserer Datenbank steht davon nur ein Hash. Wird eine bereits vergebene Adresse zur Registrierung eingegeben, geht ein Hinweis darauf an genau diese Adresse — der Person, der sie gehört, und niemandem sonst.
Zweck: Bereitstellung und Absicherung des persönlichen Kontos sowie des Bereichs, in dem Vorstand und Redaktion Beiträge, Dokumente und Seiteneinstellungen pflegen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Anlage und Betrieb des Kontos (bei selbst angelegten Konten das mit der Registrierung eingegangene Nutzungsverhältnis, bei eingeladenen Konten die Wahrnehmung der übernommenen Aufgabe im Verein); für die Sicherungsmaßnahmen — Zwei-Faktor-Anmeldung, Sperre nach Fehlversuchen, Sicherheitshinweise per E-Mail — Art. 6 Abs. 1 lit. f DSGVO, weil wir ein berechtigtes Interesse daran haben, dass niemand Fremdes im Namen des Vereins veröffentlicht.
Empfänger: der Betreiber des von uns genutzten Mailservers (mx.volantic.de, Standort Deutschland) als Auftragsverarbeiter für den Versand der genannten Nachrichten, sowie der oben genannte Serverbetreiber. Eine Weitergabe an weitere Dritte oder in Drittländer erfolgt nicht.
Speicherdauer: bis zur Löschung des Kontos. Löschen können Sie es selbst in den Einstellungen; ebenso kann eine Administratorin oder ein Administrator es entfernen. Ein selbst angelegtes Konto, dessen Bestätigungslink nie geöffnet wurde, löschen wir automatisch nach sieben Tagen. Mit dem Konto werden Profilbild, Zwei-Faktor-Angaben, Passkeys und offene Links unmittelbar mitgelöscht. Abgelaufene oder verbrauchte Links entfernt ein täglicher Lauf spätestens 30 Tage nach ihrem Ablauf, die serverseitige Sitzung endet mit dem Abmelden oder nach 12 Stunden.

Verknüpfung mit Manage2Sail (freiwillig)

Wen es betrifft: nur Personen mit einem Konto, die ihren Zugang zu manage2sail.com ausdrücklich mit uns verknüpfen. Ohne dieses Zutun geschieht hier nichts.
Verarbeitete Daten: Ihr Manage2Sail-Benutzername, der Zeitpunkt der Verknüpfung und der letzten erfolgreichen Prüfung sowie gegebenenfalls die letzte Fehlermeldung von Manage2Sail. Ihr Manage2Sail-Passwort speichern wir nur, wenn Sie das beim Verknüpfen ausdrücklich auswählen; es liegt dann verschlüsselt (AES-256-GCM, Schlüssel außerhalb der Datenbank) bei uns und wird Ihnen und niemandem sonst je wieder angezeigt. Wählen Sie das nicht aus, wird das Passwort ausschließlich für den einzelnen Abruf verwendet und danach verworfen.
Zweck: Prüfen, dass der Zugang gültig ist, und Ihre eigenen Meldungen zu Regatten auf dieser Website anzeigen, ohne dass Sie sich zusätzlich bei Manage2Sail anmelden müssen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung. Sie ist freiwillig, für die Nutzung des Kontos nicht erforderlich und jederzeit mit Wirkung für die Zukunft widerrufbar: „Verknüpfung aufheben“ in den Einstellungen löscht Benutzername und gespeichertes Passwort unmittelbar.
Empfänger: der Betreiber von Manage2Sail. Wir melden uns in Ihrem Namen von unserem Server aus dort an; dabei werden Benutzername, Passwort und die IP-Adresse unseres Servers an Manage2Sail übertragen. Eine Weitergabe an weitere Dritte erfolgt nicht.
Speicherdauer: bis Sie die Verknüpfung aufheben, längstens bis zur Löschung Ihres Kontos — mit dem Konto wird sie automatisch mitgelöscht.
Hinweis: Es handelt sich um Zugangsdaten zu einem fremden Dienst. Verwenden Sie dort bitte ein Passwort, das Sie nirgends sonst benutzen.

Aufnahmeantrag in die Klassenvereinigung

Wen es betrifft: nur Personen, die auf Mitglied werden einen Aufnahmeantrag stellen. Ohne dieses Zutun geschieht hier nichts.
Verarbeitete Daten: Vor- und Nachname, Geburtsdatum, Geschlecht, Anschrift, E-Mail-Adresse und Telefonnummer der antragstellenden Person sowie — bei minderjährigen Seglerinnen und Seglern freiwillig — E-Mail-Adresse und Telefonnummer der Eltern; Verein, dessen Abkürzung, DSV-Registriernummer und Bundesland; die Bestätigung von Satzung, Beitragsordnung und Datenschutzhinweisen; eine freiwillige Anmerkung; sowie, wenn Sie ein SEPA-Lastschriftmandat erteilen, Kontoinhaber, IBAN und BIC nebst Datum des Mandats. Dazu der Zeitpunkt des Eingangs, der Stand der Übergabe an unsere Mitgliederverwaltung und gegebenenfalls deren Fehlermeldung.
Zweck: Bearbeitung Ihres Antrags auf Mitgliedschaft, Aufnahme in die Mitgliederverwaltung des Vereins und — bei erteiltem Mandat — Einzug des Mitgliedsbeitrags.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Verarbeitung erfolgt auf Ihren Antrag hin zur Begründung des Mitgliedschaftsverhältnisses; das SEPA-Mandat ist Grundlage des Beitragseinzugs.
Empfänger: die Netxp GmbH als Betreiberin der Vereinssoftware Netxp:Verein, in der die Mitgliederverwaltung des Vereins geführt wird — an sie übermitteln wir Ihre Angaben unmittelbar nach dem Absenden über eine verschlüsselte Verbindung; sie handelt insoweit als Auftragsverarbeiterin. Dazu der oben genannte Serverbetreiber sowie der Betreiber unseres Mailservers für die Bestätigungsnachricht. Kontodaten übermitteln wir nicht per E-Mail.
Speicherdauer: Kontoinhaber, IBAN und BIC liegen bei uns ausschließlich verschlüsselt (AES-256-GCM, Schlüssel außerhalb der Datenbank) und werden gelöscht, sobald der Antrag in der Mitgliederverwaltung angekommen ist — in der Regel binnen Sekunden. Scheitert die Übergabe, bleiben sie so lange verschlüsselt gespeichert, bis der Vorstand den Antrag übertragen hat. Die übrigen Angaben des Antrags bewahren wir als Nachweis der abgegebenen Erklärung bis zur Löschung Ihres Kontos auf; mit dem Konto wird der Antrag automatisch mitgelöscht. Ab der Übergabe richtet sich die Speicherung in der Mitgliederverwaltung nach den dortigen Fristen des Vereins.
Zugriff: Den Antrag können ausschließlich Administratorinnen und Administratoren dieser Website einsehen. Die Kontodaten werden dabei nicht mit angezeigt, sondern nur einzeln auf Abruf — und jeder solche Abruf wird protokolliert.
Zugang zur Mitgliederverwaltung: Nach der Übergabe veranlassen wir, dass Netxp:Verein Ihnen an die angegebene Adresse eine Einladung zu Mitglieder-Online schickt. Ihr dortiges Passwort setzen Sie selbst; wir kennen es nicht.

Protokoll der Redaktions- und Verwaltungsaktionen

Verarbeitete Daten: Zeitpunkt, E-Mail-Adresse und IP-Adresse der handelnden Person sowie die ausgeführte Aktion (z. B. Beitrag veröffentlicht, Rolle geändert, Konto eingeladen) und das betroffene Objekt. Ebenfalls vermerkt werden fehlgeschlagene Anmeldeversuche und Kontosperren.
Zweck: Nachvollziehbarkeit von Änderungen an Inhalten und Berechtigungen sowie Erkennung missbräuchlicher Anmeldeversuche.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Nachvollziehbarkeit von Vereinsveröffentlichungen und die Sicherheit der Zugänge.
Empfänger: keine. Einsehen können das Protokoll ausschließlich Administratorinnen und Administratoren dieser Website.
Speicherdauer: Die Einträge selbst bewahren wir dauerhaft auf — sie belegen, wer welche Veröffentlichung des Vereins veranlasst hat, und müssen auch Jahre später nachvollziehbar bleiben. Die IP-Adresse entfernt ein täglicher automatischer Lauf nach 12 Monaten aus allen älteren Einträgen; für den genannten Zweck ist sie danach ohne Nutzen.

Ihre Rechte

Sie haben das Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Datenübertragbarkeit (Art. 20). Soweit wir Daten auf Grundlage eines berechtigten Interesses verarbeiten, haben Sie zudem das Recht, dieser Verarbeitung aus Gründen zu widersprechen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO). Wenden Sie sich hierfür an die oben genannte E-Mail-Adresse. Wer ein Konto hat, kann Auskunft und Löschung zusätzlich selbst in den Einstellungen auslösen. Ihnen steht außerdem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere im Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben; sie ergibt sich technisch aus dem Aufruf der Website. Für ein Konto sind Anzeigename und E-Mail-Adresse erforderlich — ohne sie lässt sich der Zugang nicht bereitstellen; alle weiteren Angaben dort sind freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.