Datenschutz

1. Datenschutz auf einen Blick

Diese Datenschutzerklärung informiert dich darüber, welche personenbezogenen Daten der Venture Club Münster e.V. beim Besuch und bei der Nutzung dieser Website verarbeitet, zu welchen Zwecken und auf welcher Rechtsgrundlage wir das tun, an wen wir Daten weitergeben, wie lange wir sie speichern und welche Rechte du hast.

Du kannst unsere Website nutzen, ohne Angaben zu deiner Person zu machen. Technisch bedingt verarbeiten wir dabei trotzdem einige Daten, zum Beispiel deine IP-Adresse (Abschnitt 4). Weitere Daten verarbeiten wir nur, wenn du sie uns selbst mitteilst, etwa über ein Formular, wenn du eingewilligt hast oder wenn eine Seite das Anmeldeformular oder ein Skript von Luma lädt (Abschnitt 14).

Wir verarbeiten personenbezogene Daten nach der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

Alle Verbindungen zu unserer Website sind verschlüsselt (HTTPS). Trotzdem können Datenübertragungen im Internet Sicherheitslücken aufweisen; einen lückenlosen Schutz gibt es nicht. Du kannst uns deshalb auch per Post schreiben (Anschrift in Abschnitt 3).

2. Begriffsbestimmungen

Diese Datenschutzerklärung verwendet die Begriffe der Datenschutz-Grundverordnung (Art. 4 DSGVO). Die wichtigsten erläutern wir hier:

Personenbezogene Daten

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Betroffene Person

Betroffene Person ist jede identifizierte oder identifizierbare natürliche Person, deren personenbezogene Daten von dem für die Verarbeitung Verantwortlichen verarbeitet werden.

Verarbeitung

Verarbeitung ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Einschränkung der Verarbeitung

Einschränkung der Verarbeitung ist die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken.

Profiling

Profiling ist jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen.

Pseudonymisierung

Pseudonymisierung ist die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.

Verantwortlicher

Verantwortlicher ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Auftragsverarbeiter

Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Empfänger

Empfänger ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger.

Dritter

Dritter ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten.

Einwilligung

Einwilligung ist jede von der betroffenen Person freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

3. Name und Anschrift des Verantwortlichen

Verantwortlicher im Sinne der DSGVO ist der:

Venture Club Münster e.V.
Universitätsstr. 14–16
48143 Münster
Deutschland
E-Mail: info@ventureclub-muenster.de
Website: ventureclub-muenster.de

Vertreten durch:
Dominik Mossakowski, Charlotte Kühnle, Yannick Brusa, Luca di Stefano Perusquia, Eva-Maria Reiners, Philipp Merz

Für alle Fragen zum Datenschutz und zur Ausübung deiner Rechte erreichst du uns unter info@ventureclub-muenster.de oder per Post an die oben genannte Anschrift.

4. Hosting und Server-Protokolle

Unsere Website läuft bei der Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Für die Verarbeitung gelten die Datenschutzbestimmungen von Vercel (vercel.com/legal/privacy-policy). Die Server-Funktionen der Website laufen in der Vercel-Region Frankfurt am Main. Seiten, Bilder und andere Dateien liefert Vercel über sein weltweites Netz von Rechenzentren aus, in der Regel aus einem Rechenzentrum in deiner Nähe. Bilder verkleinert Vercel für die Anzeige und hält die verkleinerten Fassungen in einem Zwischenspeicher bereit.

Bei jedem Aufruf unserer Website verarbeitet Vercel technisch notwendige Daten: deine IP-Adresse und den daraus abgeleiteten ungefähren Standort, Datum und Uhrzeit des Aufrufs, die aufgerufene Adresse samt Parametern, die Art der Anfrage, den Statuscode der Antwort sowie Angaben zu Browser und Betriebssystem (User-Agent). Ein Teil dieser Daten steht in Laufzeitprotokollen, die Vercel in unserem Tarif nach einer Stunde löscht. In diese Protokolle schreibt auch unsere Anwendung ihre Fehlermeldungen; in seltenen Fällen enthalten sie Angaben, die du in ein Formular eingegeben hast.

Wir benötigen diese Daten, um die Website auszuliefern, ihren sicheren und stabilen Betrieb zu gewährleisten, Angriffe abzuwehren und Fehler zu beheben. Rückschlüsse auf einzelne Personen ziehen wir daraus nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die sichere und fehlerfreie Bereitstellung der Website. Zur Übermittlung in die USA siehe Abschnitt 19.

5. Datenbank und Medienspeicher

Die Inhalte der Website (Seiten, News, Events, Jobs), Einsendungen aus Formularen, Anmeldungen für „Neue Jobs per E-Mail“ und die Daten der Verwaltung (Abschnitt 16) speichern wir in einer PostgreSQL-Datenbank bei Microsoft Azure (Azure Database for PostgreSQL). Bilder, Videos und andere Dateien, die wir über die Verwaltung hochladen, liegen in unserem nicht öffentlichen Medienspeicher bei Microsoft Azure (Azure Blob Storage). Beides befindet sich in der Azure-Region „Denmark East“ in Dänemark. Unsere Server-Funktionen in Frankfurt am Main (Abschnitt 4) greifen über verschlüsselte Verbindungen darauf zu.

Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland. Microsoft verarbeitet die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO) nach dem Datenschutznachtrag zu den Produkten und Services von Microsoft (Microsoft Products and Services Data Protection Addendum). Die Dienste gehören zur EU-Datengrenze von Microsoft (EU Data Boundary): Microsoft speichert die Daten in Dänemark und verarbeitet sie in Staaten der EU und der Europäischen Freihandelsassoziation (EFTA). In begrenzten Ausnahmefällen übermittelt Microsoft Daten auch in andere Länder, vor allem in die USA, etwa beim Fernzugriff durch Support- und Sicherheitsteams oder für Verzeichnisdaten der Anmeldung (Abschnitte 16 und 19). Sicherungskopien der Datenbank legt Microsoft automatisch an und löscht sie nach höchstens 35 Tagen. Gelöschte Dateien hält der Medienspeicher noch 7 Tage zur Wiederherstellung vor.

Bilder und Dateien rufst du immer über unsere eigene Domain ab; dein Browser verbindet sich dabei nicht mit Microsoft. Lädt jemand aus der Redaktion eine Datei hoch, überträgt der Browser dieser Person sie direkt an den Medienspeicher bei Microsoft (Abschnitt 16).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (zuverlässiger Betrieb der Website) bzw. die Rechtsgrundlage der jeweiligen Verarbeitung, die wir in den folgenden Abschnitten nennen.

6. Cookies und Speicher im Browser

Cookies sind kleine Textdateien, die dein Browser für eine Website ablegt. Ähnlich funktionieren der lokale Speicher (Local Storage) und der Sitzungsspeicher (Session Storage) deines Browsers. Unsere Website legt dort nur wenige Informationen ab.

Für alle Besucherinnen und Besucher:

• vcm_consent speichert deine Auswahl im Einwilligungsbanner (Version der Einstellungen, Statistik ja oder nein, externe Medien ja oder nein). Wir setzen es erst, wenn du eine Auswahl triffst. Speicherdauer: 183 Tage, danach fragen wir erneut. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO (deine Auswahl beachten, ohne dich bei jedem Besuch erneut zu fragen).
• vcm_banner merkt sich, dass du das Hinweis-Banner oben auf der Seite geschlossen hast. Je nach Einstellung des Hinweises speichern wir nur seinen Text bis zum Ende der Sitzung (Sitzungsspeicher) oder den Text mit dem Zeitpunkt des Schließens im lokalen Speicher, bis du den Eintrag in deinem Browser löschst. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO (einen geschlossenen Hinweis nicht erneut zeigen).

Bei der Anmeldung, in der Verwaltung und in der Vorschau (Abschnitt 16):

• vcm_session hält Admins und Redaktion nach der Anmeldung angemeldet. Das Cookie ist signiert, wird nur verschlüsselt übertragen und ist für Skripte im Browser nicht lesbar. Speicherdauer: 12 Stunden; beim Abmelden wird es gelöscht. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO.
• vcm_oidc_tx schützt den Anmeldevorgang über Microsoft vor Manipulation; wir setzen es, sobald du die Anmeldung startest, etwa über „Mitgliederlogin“ im Fußbereich oder „Mit Microsoft anmelden“ in der Verwaltung. Speicherdauer: 10 Minuten. Rechtsgrundlage: wie bei vcm_session.
• onpage speichert, ob der Editor auf der Seite im Bearbeitungs- oder im Ansichtsmodus ist. Speicherdauer: 12 Stunden. Rechtsgrundlage: wie bei vcm_session.
• __prerender_bypass zeigt Admins und Redaktion unveröffentlichte Inhalte in der Vorschau. Speicherdauer: bis zum Ende der Vorschau oder der Browsersitzung. Rechtsgrundlage: wie bei vcm_session.
• onpage_preview und __prerender_bypass setzen wir auch, wenn du einen Vorschau-Link öffnest, den dir jemand aus der Redaktion geschickt hat; damit siehst du einen noch unveröffentlichten Inhalt. Beide verfallen mit dem Link, in der Regel nach 24 Stunden. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO (Abstimmung von Inhalten vor der Veröffentlichung).
• Im Verwaltungsbereich speichert das Redaktionssystem die gewählte Sprache der Oberfläche (Cookie payload-lng, bis zu 365 Tage) sowie Zwischenstände wie kopierte Inhalte im lokalen Speicher und im Sitzungsspeicher. Rechtsgrundlage: wie bei vcm_session.

Bei der Anmeldung über Microsoft setzt Microsoft auf seinen eigenen Seiten Cookies; dafür gelten die Datenschutzhinweise von Microsoft (microsoft.com/de-de/privacy/privacystatement). Eingebettete Inhalte anderer Anbieter (Abschnitte 10 und 14) können in ihren eigenen Bereichen Cookies oder ähnliche Technologien nutzen.

Du kannst Cookies und gespeicherte Daten in deinem Browser jederzeit löschen oder blockieren. Dann funktionieren unter Umständen nicht alle Funktionen unserer Website, insbesondere die Anmeldung und das Speichern deiner Auswahl im Einwilligungsbanner.

7. Einwilligungsbanner

Beim ersten Besuch fragen wir in einem Banner, ob du die Kategorien „Statistik“ (Abschnitt 8) und „Externe Medien“ (Abschnitt 10) zulässt. Die Schaltflächen „Alle akzeptieren“, „Nur notwendige“ und „Einstellungen“ sind gleichwertig. Deine Auswahl speichern wir nur in deinem Browser (Cookie vcm_consent, Abschnitt 6), nicht auf unserem Server. Du kannst sie jederzeit über „Cookie-Einstellungen“ im Fußbereich jeder Seite ändern oder widerrufen. Ändern wir die Einstellungen grundlegend, fragen wir dich erneut.

Ohne Einwilligung laden das Anmeldeformular von Luma auf der Seite „Mach mit“ und, wenn ein Hinweis-Banner zu einer Veranstaltung bei Luma führt, ein Skript von Luma; was dabei übertragen wird, steht in Abschnitt 14.

8. Statistik mit Vercel Web Analytics und Speed Insights (nur mit Einwilligung)

Willigst du in die Kategorie „Statistik“ ein, können wir Vercel Web Analytics und Vercel Speed Insights der Vercel Inc. (Anschrift in Abschnitt 4) nutzen. Ohne deine Einwilligung messen wir nichts.

Die Messskripte laden von unserer eigenen Domain (Pfad /_vercel/); die Messdaten gehen an Vercel. Web Analytics erfasst je Seitenaufruf den Zeitpunkt, die aufgerufene Adresse, die verweisende Seite (Referrer), den ungefähren Standort (Land, Region, Stadt), das Betriebssystem und den Browser (jeweils mit Version) sowie den Gerätetyp. Nach Angaben von Vercel setzt Web Analytics keine Cookies von Drittanbietern; einzelne Besuche erkennt Vercel stattdessen an einem Hashwert aus der Anfrage, den Vercel nach 24 Stunden verwirft, und die Messdaten ordnet Vercel keiner Person und keiner IP-Adresse zu. Speed Insights erfasst Ladezeiten und Leistungswerte (Web Vitals) zusammen mit der aufgerufenen Seite, der Netzwerkgeschwindigkeit, dem Browser, dem Gerätetyp, dem Betriebssystem und dem Land.

Für die Verwaltung rufen wir täglich zusammengefasste Werte ab (Zahl der Besuche und Seitenaufrufe sowie die häufigsten Seiten, verweisenden Websites, Länder, Geräte, Browser und Betriebssysteme) und speichern sie ohne Bezug zu einzelnen Personen in unserer Datenbank.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit über „Cookie-Einstellungen“ widerrufen; ab dann senden wir keine Messdaten mehr.

9. Hintergrundvideo auf der Startseite

Im Kopfbereich der Startseite läuft ein stummes Hintergrundvideo. Es liegt wie die Bilder der Website in unserem Medienspeicher (Abschnitt 5) und lädt über unsere eigene Domain, erst wenn die Seite fertig geladen ist; dabei werden keine Daten an weitere Anbieter übertragen. Wenn du in deinem System „Bewegung reduzieren“ eingestellt hast oder den Datensparmodus deines Browsers nutzt, zeigen wir nur ein Standbild.

10. Eingebettete Videos in Beiträgen und Seiten (YouTube, Vimeo)

In einzelnen Beiträgen und Seiten binden wir Videos von YouTube oder Vimeo ein. Anbieter von YouTube ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; wir nutzen den erweiterten Datenschutzmodus (youtube-nocookie.com). Anbieter von Vimeo ist die Vimeo.com, Inc., 330 West 34th Street, 10th Floor, New York, NY 10001, USA; wir binden den Player mit der Einstellung „Do Not Track“ ein.

Diese Videos laden erst, wenn du auf „Video laden“ klickst oder in die Kategorie „Externe Medien“ eingewilligt hast (Zwei-Klick-Lösung). Erst dann überträgt dein Browser Daten wie deine IP-Adresse, die Adresse unserer Website, das gewählte Video und Angaben zu Browser und Gerät an den Anbieter, auch in die USA, und der Anbieter kann Cookies oder ähnliche Technologien wie den lokalen Speicher deines Browsers nutzen. Weitere Informationen findest du in den Datenschutzhinweisen von Google (policies.google.com/privacy) und von Vimeo (vimeo.com/legal/privacy/policy).

Mit „Immer laden“ erlaubst du externe Medien auf allen Seiten; das speichern wir im Cookie vcm_consent. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die du über „Cookie-Einstellungen“ widerrufen kannst.

11. Jobwall und „Neue Jobs per E-Mail“

Die Jobwall liegt auf unserer eigenen Website; die Stellenangebote laden keine Inhalte anderer Anbieter (zum Hinweis-Banner mit einer Anmeldung bei Luma siehe Abschnitt 14). Die Stellenangebote pflegen wir selbst in unserem Redaktionssystem. Wenn du auf „Jetzt bewerben“ klickst, verlässt du unsere Seite; dann gelten die Datenschutzhinweise des jeweiligen Unternehmens. Bewirbst du dich per E-Mail, geht deine Nachricht direkt an die Adresse des Unternehmens. Klickst du auf „Gruppe beitreten“, öffnet sich WhatsApp (WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland); dort gelten die Datenschutzhinweise von WhatsApp (whatsapp.com/legal/privacy-policy-eea).

Neue Jobs per E-Mail: Trägst du auf der Jobwall deine E-Mail-Adresse ein, speichern wir sie in unserer Datenbank (Abschnitt 5) und schicken dir zuerst eine Mail mit einem Bestätigungslink (Double-Opt-in). Erst nach deiner Bestätigung bekommst du höchstens einmal am Tag eine Mail, wenn neue Stellen online sind. Wir speichern nur die Adresse und die Zeitpunkte der Anmeldung, der Bestätigung und der letzten Mail. Bestätigst du nicht, löschen wir die Adresse nach sieben Tagen. Über den Abmeldelink in jeder Mail mit neuen Stellen meldest du dich ab; dann löschen wir die Adresse sofort. Die Anmeldung schützen wir wie unsere Formulare vor Spam (Abschnitt 12). Den Versand übernimmt Microsoft 365 (Abschnitt 12); Kopien dieser Mails heben wir nicht auf. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit über den Abmeldelink oder per E-Mail an uns widerrufen kannst.

12. Kontaktformular, FAQ-Formular und E-Mail

Du kannst uns über das Kontaktformular, über das Formular „Deine Frage fehlt?“ auf der FAQ-Seite oder per E-Mail erreichen.

Beim Kontaktformular verarbeiten wir deinen Vornamen, deine E-Mail-Adresse, deine Nachricht, deine Bestätigung, dass du die Datenschutzerklärung gelesen hast, und den Zeitpunkt der Einsendung. Beim FAQ-Formular verarbeiten wir die vorgeschlagene Frage und den Zeitpunkt; einen Namen fragen wir dort nicht ab.

Die Einsendungen speichern wir in unserer Datenbank (Abschnitt 5) und senden eine Benachrichtigung mit allen Angaben an ein Postfach des Vereins. Den Versand übernimmt Microsoft 365 (Microsoft Ireland Operations Limited, Anschrift in Abschnitt 5) aus einem Postfach des Vereins; eine Kopie bleibt dort im Ordner „Gesendete Elemente“. Hast du eine E-Mail-Adresse angegeben, können wir direkt darauf antworten.

Zum Schutz vor Spam nutzen wir drei Verfahren ohne Cookies: ein für Menschen unsichtbares Feld, das nur automatisierte Programme ausfüllen; eine Mindestzeit zwischen dem Laden und dem Absenden des Formulars (über einen signierten Zeitstempel, den wir nicht speichern); und eine Begrenzung auf zehn Versuche pro Stunde je Internetanschluss. Für die Begrenzung speichern wir nicht deine IP-Adresse, sondern nur einen mit einem geheimen Schlüssel gebildeten Hashwert (HMAC) davon zusammen mit den Zeitpunkten der Versuche. Diese Einträge löschen wir beim täglichen Aufräumen, sobald das Zeitfenster von einer Stunde abgelaufen ist.

Einsendungen in der Datenbank löschen wir automatisch nach sechs Monaten. Die Benachrichtigungen und ihre Kopien im Postfach löschen wir, sobald die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Beantwortung deiner Anfrage) bzw. Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage eine Mitgliedschaft betrifft; für den Spamschutz Art. 6 Abs. 1 lit. f DSGVO. Microsoft verarbeitet die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO). Schreibst du uns direkt eine E-Mail, verarbeiten wir deine Angaben in unserem Microsoft-365-Postfach zur Bearbeitung deiner Anfrage (Rechtsgrundlagen wie oben) und löschen die E-Mail, sobald die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

13. Bewerbung um eine Mitgliedschaft und Warteliste

Die Bewerbung um eine Mitgliedschaft und die Eintragung in die Warteliste laufen über Formulare von Microsoft Forms in unserem Microsoft-365-Konto (Anbieter wie in Abschnitt 5). Bei der Bewerbung verarbeiten wir die Angaben aus dem Formular, darunter dein Wunschteam, zur Durchführung des Aufnahmeverfahrens (Art. 6 Abs. 1 lit. b DSGVO). Wirst du Mitglied, übernehmen wir die Angaben in unsere Mitgliederverwaltung. Kommt keine Mitgliedschaft zustande, löschen wir deine Bewerbung nach Abschluss des Aufnahmeverfahrens. Trägst du dich in die Warteliste ein, nutzen wir deine Angaben nur, um dich zu benachrichtigen, sobald die nächste Bewerbungsphase startet (Art. 6 Abs. 1 lit. b DSGVO); danach löschen wir den Eintrag.

14. Anmeldung zum Infoabend und zu Veranstaltungen

Für die Anmeldung zum Infoabend binden wir auf der Seite „Mach mit“ ein Anmeldeformular von Luma ein. Anbieter ist die Luma Labs, Inc., 548 Market St PMB 36143, San Francisco, CA 94104, USA. Das Formular lädt ohne vorherige Einwilligung, sobald du die Seite „Mach mit“ aufrufst. Dabei erhält Luma technisch bedingt deine IP-Adresse, Angaben zu Browser und Gerät sowie die Seite, von der die Anfrage kommt; Luma kann im Formular Cookies oder ähnliche Technologien nutzen.

Zeigen wir oben auf der Seite ein Hinweis-Banner, das zu einer Veranstaltung bei Luma führt, lädt dein Browser auf jeder Seite, auf der dieses Banner eingeschaltet ist, ohne Klick und ohne vorherige Einwilligung ein Skript, ein Stylesheet und ein Bild von Luma (embed.lu.ma), damit sich die Anmeldung beim Klick auf die Schaltfläche direkt über der Seite öffnen kann. Auch dabei erhält Luma deine IP-Adresse, Angaben zu Browser und Gerät sowie die Seite, von der die Anfrage kommt.

Deine Angaben zur Anmeldung gibst du direkt bei Luma ein. Für Anmeldungen zu unseren Veranstaltungen verarbeitet Luma die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO) und speichert sie in den USA. Wir erhalten die Angaben zur Anmeldung, um die Veranstaltung zu organisieren (Art. 6 Abs. 1 lit. b DSGVO). Die Angaben zur Anmeldung löschen wir bei Luma, sobald wir sie für die Organisation und Nachbereitung der Veranstaltung nicht mehr brauchen und keine gesetzliche Aufbewahrungspflicht besteht. Die Daten, die schon beim Laden von Formular und Skript an Luma gehen, verarbeitet Luma in eigener Verantwortung; eine Einwilligung holen wir dafür nicht ein. Rechtsgrundlage für das Einbinden ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine einfache Anmeldung ohne Umweg. Nutzt du Luma darüber hinaus, etwa mit einem eigenen Konto, ist Luma dafür ebenfalls selbst verantwortlich; es gelten die Datenschutzhinweise von Luma (luma.com/privacy-policy).

Für einzelne Veranstaltungen nutzen wir zur Anmeldung ein Formular von Microsoft Forms in unserem Microsoft-365-Konto (Anbieter wie in Abschnitt 5). Deine Angaben verarbeiten wir, um die Veranstaltung zu organisieren (Art. 6 Abs. 1 lit. b DSGVO), und löschen sie, sobald wir sie dafür nicht mehr brauchen und keine gesetzliche Aufbewahrungspflicht besteht. Für andere Veranstaltungen verlinken wir auf Anmeldeseiten weiterer Anbieter, etwa Eventbrite; dort gelten die Datenschutzhinweise des jeweiligen Anbieters.

15. Links zu sozialen Netzwerken und anderen Websites

Wir verlinken auf unsere Profile bei Instagram, LinkedIn, Facebook, YouTube, TikTok und Eventbrite und bei Veranstaltungen auf Karten des Veranstaltungsorts. Das sind einfache Links: Erst wenn du einen davon anklickst, verlässt du unsere Website, und der jeweilige Anbieter erhält Daten von dir. Plug-ins oder „Gefällt mir“-Schaltflächen sozialer Netzwerke binden wir nicht ein.

16. Anmeldung und Verwaltung

Admins und Redaktion melden sich über Microsoft an (Microsoft Entra ID, Anbieter wie in Abschnitt 5). Anmelden können sich nur Personen mit einem Konto im Microsoft-365-Verzeichnis des Vereins. Von Microsoft erhalten wir eine Kennung deines Kontos, deinen Namen und deine E-Mail-Adresse (fehlt sie, deinen Anmeldenamen). Dazu speichern wir deine Rolle (Mitglied, Redaktion oder Admin), den Status deines Kontos und den Zeitpunkt der letzten Anmeldung. Eine Anmeldung ohne die Rolle Redaktion oder Admin lehnen wir ab; die Angaben von Microsoft speichern wir dabei trotzdem. Für Admins und Redaktion legen wir bei jeder Anmeldung eine Sitzung mit Ablaufzeit und einem Hashwert der Kennung deines Browsers (User-Agent) an (Cookie vcm_session, Abschnitt 6).

Konten, mit denen sich zwei Jahre lang niemand angemeldet hat, löschen wir automatisch. Ausgenommen sind gesperrte Konten (damit die Sperre wirksam bleibt), die für Notfälle hinterlegten Admin-Konten und das letzte aktive Admin-Konto. Abgelaufene Sitzungen entfernen wir täglich.

Änderungen, die Admins und Redaktion an Inhalten vornehmen, protokollieren wir mit Person, betroffenem Inhalt, Art der Änderung und Zeitpunkt; das Protokoll löschen wir nach zwölf Monaten. Das Redaktionssystem bewahrt außerdem frühere Fassungen von Seiten, News und Events auf (höchstens 25 je Inhalt). Bei übersetzten Inhalten speichert es, wer die englische Fassung freigegeben hat und wann. Es speichert auch, wer einen Inhalt gerade bearbeitet (Bearbeitungssperre), und deine persönlichen Einstellungen der Oberfläche; diese Einstellungen löschen wir mit deinem Konto.

Weitere Werkzeuge der Verwaltung:

• Dateien hochladen: Der Browser überträgt Dateien direkt an unseren Medienspeicher bei Microsoft Azure (Abschnitt 5); Microsoft erhält dabei die IP-Adresse.
• Übersetzung: Auf Knopfdruck lassen wir deutsche Texte der Website maschinell ins Englische übersetzen. Dafür senden wir die Texte an uniGPT, einen Dienst der Universität Münster (Schlossplatz 2, 48149 Münster). Wir nutzen dort nur Modelle, die die Universität auf eigenen Servern betreibt. Die Universität verarbeitet die Anfragen nach ihren eigenen Datenschutzhinweisen (uni-muenster.de/IT/services/arbeitsplatz/unigpt/datenschutz.html) und löscht Protokolle nach eigenen Angaben nach 14 Tagen. Die Texte können Namen enthalten, die auf der Website stehen oder dort veröffentlicht werden sollen; Daten von Besucherinnen und Besuchern senden wir nicht.
• Hintergrund entfernen: Für diese Funktion lädt der Browser ein Modell von Hugging Face (Hugging Face, Inc., 20 Jay Street, Suite 620, Brooklyn, NY 11201, USA) und Programmdateien von jsDelivr (Volentio JSD Limited, England und Wales). Dabei erhalten beide die IP-Adresse und Angaben zum Browser; das Bild selbst bleibt im Browser. Die Funktion startet nur, wenn du sie selbst auswählst.
• Statistik: Die Verwaltung zeigt nur zusammengefasste Werte (Abschnitt 8).

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Mitgliedschaft und Mitarbeit im Verein) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Nachvollziehbarkeit von Änderungen und effiziente Pflege der Website einschließlich der Übersetzung).

17. Personen auf unserer Website

Auf unserer Website stellen wir Mitglieder unseres Teams und des Vorstands mit Vor- und Nachnamen, Amt und Foto vor, auf Wunsch auch mit einem Link zum LinkedIn-Profil und mit E-Mail-Adresse. Frühere Vorstände nennen wir zusätzlich im Archiv mit Vor- und Nachnamen und Amt, teils mit einem Gruppenfoto. Bei News kann der Name der Person stehen, die den Beitrag geschrieben hat. Das tun wir nur mit Einwilligung der jeweiligen Person (Art. 6 Abs. 1 lit. a DSGVO). Widerruft jemand die Einwilligung, nehmen wir die Angaben von der Website. Die Namen des vertretungsberechtigten Vorstands und der für den Inhalt verantwortlichen Person nennen wir im Impressum, weil das Gesetz es verlangt (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 5 DDG und § 18 Abs. 2 MStV). Die Namen des Vorstands nennen wir außerdem in Abschnitt 3, damit du weißt, wer den Verein vertritt (Art. 6 Abs. 1 lit. f DSGVO).

Fotos von unseren Veranstaltungen veröffentlichen wir, um über unsere Vereinsarbeit zu berichten (Art. 6 Abs. 1 lit. f DSGVO). Möchtest du auf einem Foto nicht zu sehen sein, schreib uns (Kontakt in Abschnitt 3); wir nehmen es dann von der Website.

18. Schriftarten

Die Schriftarten unserer Website liefern wir über unsere eigene Domain aus (Hosting wie in Abschnitt 4). Eine Verbindung zu Google Fonts oder anderen Schriftanbietern entsteht beim Besuch unserer Website nicht.

19. Empfänger und Übermittlung in Drittländer

Personenbezogene Daten erhalten nur die folgenden Empfänger; Zweck und Rechtsgrundlage stehen im jeweils genannten Abschnitt:

• Vercel Inc., USA: Hosting und Statistik (Abschnitte 4 und 8)
• Microsoft Ireland Operations Limited, Irland, als unser Auftragsverarbeiter: Datenbank und Medienspeicher in Dänemark, E-Mail-Versand, Microsoft Forms und Anmeldung (Abschnitte 5, 11 bis 14 und 16)
• Google Ireland Limited, Irland (YouTube), und Vimeo.com, Inc., USA: eingebettete Videos, nur nach deiner Auswahl (Abschnitt 10)
• Luma Labs, Inc., USA: Anmeldung zu Veranstaltungen als unser Auftragsverarbeiter; beim Laden von Anmeldeformular und Skript in eigener Verantwortung (Abschnitt 14)
• Universität Münster, Deutschland: maschinelle Übersetzung von Texten der Website (Abschnitt 16)
• Hugging Face, Inc., USA, und Volentio JSD Limited (jsDelivr), Vereinigtes Königreich: nur für die Funktion „Hintergrund entfernen“ in der Verwaltung (Abschnitt 16)

Übermittlungen in Länder außerhalb der EU und des Europäischen Wirtschaftsraums:

• USA – Vercel, Microsoft, Google, Vimeo: Diese Unternehmen (bei Microsoft und Google die Muttergesellschaften Microsoft Corporation und Google LLC) sind nach dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO). Die Liste der zertifizierten Unternehmen findest du unter dataprivacyframework.gov.
• Weitere Länder – Microsoft: Für Übermittlungen in andere Länder außerhalb der EU und des Europäischen Wirtschaftsraums (Abschnitt 5) gelten die Standardvertragsklauseln der EU-Kommission im Datenschutznachtrag von Microsoft (Art. 46 Abs. 2 lit. c DSGVO); für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
• USA – Luma: Luma ist nicht nach dem EU-US Data Privacy Framework zertifiziert. Für deine Anmeldung zu unseren Veranstaltungen gelten die Standardvertragsklauseln der EU-Kommission aus Lumas Bedingungen zur Auftragsverarbeitung (Art. 46 Abs. 2 lit. c DSGVO, luma.com/dpa). Für die Daten, die schon beim Laden von Anmeldeformular und Skript an Luma gehen, bestehen weder ein Angemessenheitsbeschluss noch solche Garantien.
• USA – Hugging Face: Hugging Face ist nicht nach dem EU-US Data Privacy Framework zertifiziert; weitere Garantien bestehen nicht. Die Übermittlung findet nur statt, wenn jemand aus der Redaktion die Funktion „Hintergrund entfernen“ selbst startet.
• Vereinigtes Königreich – jsDelivr: Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). jsDelivr liefert die Dateien über Netze weiterer Anbieter aus, darunter Cloudflare und Fastly in den USA, die nach dem EU-US Data Privacy Framework zertifiziert sind.

Eine Kopie der Standardvertragsklauseln kannst du bei uns anfordern (Kontakt in Abschnitt 3).

20. Speicherdauer im Überblick

Wie lange wir personenbezogene Daten speichern, richtet sich nach dem Zweck der Verarbeitung und nach gesetzlichen Aufbewahrungspflichten. Im Einzelnen:

• Laufzeitprotokolle bei Vercel: 1 Stunde
• Hashwert von Vercel Web Analytics zur Unterscheidung von Besuchen: 24 Stunden
• Sicherungskopien der Datenbank bei Microsoft Azure: höchstens 35 Tage
• Gelöschte Dateien im Medienspeicher: 7 Tage zur Wiederherstellung
• Cookie vcm_consent: 183 Tage
• Eintrag vcm_banner: bis zum Ende der Sitzung oder bis du ihn in deinem Browser löschst
• Cookie vcm_session: 12 Stunden
• Cookie vcm_oidc_tx: 10 Minuten
• Cookie onpage: 12 Stunden
• Cookie __prerender_bypass in der Verwaltung: bis zum Ende der Vorschau oder der Browsersitzung
• Cookies eines Vorschau-Links (onpage_preview, __prerender_bypass): bis der Link abläuft
• Cookie payload-lng in der Verwaltung: bis zu 365 Tage; Zwischenstände im lokalen Speicher, bis du sie löschst, im Sitzungsspeicher bis zum Ende der Sitzung
• Einsendungen aus Kontakt- und FAQ-Formular in der Datenbank: 6 Monate
• E-Mails an uns, Benachrichtigungen über Einsendungen und ihre Kopien im Postfach des Vereins: bis die Anfrage erledigt ist, soweit keine Aufbewahrungspflicht besteht
• Einträge des Spamschutzes: bis zum Ablauf des Zeitfensters von einer Stunde, gelöscht beim nächsten täglichen Aufräumen
• Anmeldungen für „Neue Jobs per E-Mail“: unbestätigt 7 Tage, bestätigt bis zur Abmeldung
• Konten der Anmeldung: bis 2 Jahre nach der letzten Anmeldung (Ausnahmen in Abschnitt 16); persönliche Einstellungen der Verwaltung: bis das Konto gelöscht wird
• Sitzungen: bis zu ihrem Ablauf, gelöscht beim nächsten täglichen Aufräumen
• Änderungsprotokoll der Verwaltung: 12 Monate
• Frühere Fassungen von Inhalten: höchstens 25 je Inhalt, bis der Inhalt gelöscht wird
• Bewerbungen über Microsoft Forms: bis zum Abschluss des Aufnahmeverfahrens; wirst du Mitglied, für die Dauer der Mitgliedschaft
• Einträge in die Warteliste: bis zum Start der nächsten Bewerbungsphase
• Anmeldungen zu Veranstaltungen (Luma, Microsoft Forms): bis zur Nachbereitung der Veranstaltung, soweit keine Aufbewahrungspflicht besteht
• Personen auf der Website: Team und Vorstand bis zum Widerruf der Einwilligung; Fotos von Veranstaltungen bis zu deinem Widerspruch oder bis wir den Beitrag löschen; Namen des Vorstands im Impressum für die Dauer der Amtszeit

21. Routinemäßige Löschung und Einschränkung der Verarbeitung

Wir verarbeiten und speichern personenbezogene Daten nur so lange, wie es für den Zweck der Speicherung erforderlich ist oder wie Gesetze und Vorschriften, denen wir unterliegen, es vorsehen.

Entfällt der Zweck oder läuft eine gesetzliche Speicherfrist ab, löschen wir die personenbezogenen Daten routinemäßig nach den gesetzlichen Vorschriften. Steht einer Löschung eine Aufbewahrungspflicht entgegen, schränken wir die Verarbeitung ein.

22. Rechte der betroffenen Person

Für alle folgenden Rechte genügt eine formlose Nachricht an uns (Kontakt in Abschnitt 3).

Recht auf Bestätigung

Du hast das Recht, von uns eine Bestätigung darüber zu verlangen, ob wir dich betreffende personenbezogene Daten verarbeiten (Art. 15 Abs. 1 DSGVO).

Recht auf Auskunft

Du hast das Recht, jederzeit unentgeltlich Auskunft über die zu deiner Person gespeicherten personenbezogenen Daten und eine Kopie dieser Daten zu erhalten (Art. 15 DSGVO). Die Auskunft umfasst:

• die Verarbeitungszwecke
• die Kategorien personenbezogener Daten, die verarbeitet werden
• die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen
• falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer
• das Bestehen eines Rechts auf Berichtigung oder Löschung der dich betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch uns oder eines Widerspruchsrechts gegen diese Verarbeitung
• das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde
• wenn die personenbezogenen Daten nicht bei dir erhoben werden: alle verfügbaren Informationen über die Herkunft der Daten
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für dich

Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, hast du außerdem das Recht, über die geeigneten Garantien im Zusammenhang mit der Übermittlung unterrichtet zu werden.

Recht auf Berichtigung

Du hast das Recht, die unverzügliche Berichtigung dich betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung kannst du außerdem die Vervollständigung unvollständiger personenbezogener Daten verlangen, auch mittels einer ergänzenden Erklärung (Art. 16 DSGVO).

Recht auf Löschung (Recht auf Vergessenwerden)

Du hast das Recht, von uns zu verlangen, dass dich betreffende personenbezogene Daten unverzüglich gelöscht werden, wenn einer der folgenden Gründe zutrifft (Art. 17 Abs. 1 DSGVO):

• Die personenbezogenen Daten wurden für solche Zwecke erhoben oder auf sonstige Weise verarbeitet, für welche sie nicht mehr notwendig sind.
• Du widerrufst deine Einwilligung, auf die sich die Verarbeitung gemäß Art. 6 Abs. 1 lit. a DSGVO oder Art. 9 Abs. 2 lit. a DSGVO stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
• Du legst gemäß Art. 21 Abs. 1 DSGVO Widerspruch gegen die Verarbeitung ein, und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder du legst gemäß Art. 21 Abs. 2 DSGVO Widerspruch gegen die Verarbeitung ein.
• Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
• Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem wir unterliegen.
• Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Art. 8 Abs. 1 DSGVO erhoben.

Das gilt nicht, soweit die Verarbeitung nach Art. 17 Abs. 3 DSGVO weiter erforderlich ist, etwa zur Erfüllung einer gesetzlichen Aufbewahrungspflicht oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Haben wir die personenbezogenen Daten öffentlich gemacht und sind wir zu ihrer Löschung verpflichtet, treffen wir unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um andere Verantwortliche, die die veröffentlichten Daten verarbeiten, darüber zu informieren, dass du die Löschung aller Links zu diesen Daten oder von Kopien oder Replikationen dieser Daten verlangt hast.

Recht auf Einschränkung der Verarbeitung

Du hast das Recht, von uns die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist (Art. 18 DSGVO):

• Du bestreitest die Richtigkeit der personenbezogenen Daten, und zwar für eine Dauer, die es uns ermöglicht, die Richtigkeit der Daten zu überprüfen.
• Die Verarbeitung ist unrechtmäßig, du lehnst die Löschung der personenbezogenen Daten ab und verlangst stattdessen die Einschränkung ihrer Nutzung.
• Wir benötigen die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger, du benötigst sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
• Du hast Widerspruch gegen die Verarbeitung gemäß Art. 21 Abs. 1 DSGVO eingelegt, und es steht noch nicht fest, ob unsere berechtigten Gründe gegenüber deinen überwiegen.

Recht auf Datenübertragbarkeit

Du hast das Recht, die dich betreffenden personenbezogenen Daten, die du uns bereitgestellt hast, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen ohne Behinderung durch uns zu übermitteln, sofern die Verarbeitung auf einer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO oder Art. 9 Abs. 2 lit. a DSGVO oder auf einem Vertrag gemäß Art. 6 Abs. 1 lit. b DSGVO beruht und die Verarbeitung mithilfe automatisierter Verfahren erfolgt (Art. 20 DSGVO). Soweit technisch machbar und sofern hiervon nicht die Rechte und Freiheiten anderer Personen beeinträchtigt werden, kannst du verlangen, dass wir die Daten direkt an einen anderen Verantwortlichen übermitteln.

Recht auf Widerruf einer datenschutzrechtlichen Einwilligung

Du hast das Recht, eine Einwilligung zur Verarbeitung personenbezogener Daten jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Deine Einwilligung in Statistik und externe Medien widerrufst du am einfachsten über „Cookie-Einstellungen“ im Fußbereich jeder Seite, „Neue Jobs per E-Mail“ über den Abmeldelink in jeder Mail mit neuen Stellen und alle anderen Einwilligungen mit einer Nachricht an uns (Kontakt in Abschnitt 3).

Automatisierte Entscheidungen im Einzelfall einschließlich Profiling

Du hast das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Solche Entscheidungen treffen wir nicht (Abschnitt 28).

23. Widerspruchsrecht

Verarbeiten wir deine personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen), hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen; das gilt auch für ein auf diese Bestimmung gestütztes Profiling (Art. 21 Abs. 1 DSGVO). Wir verarbeiten deine Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir personenbezogene Daten, um Direktwerbung zu betreiben, kannst du dem jederzeit widersprechen (Art. 21 Abs. 2 DSGVO); dann verarbeiten wir sie nicht mehr für diesen Zweck.

Für einen Widerspruch genügt eine formlose Nachricht an uns (Kontakt in Abschnitt 3). Im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft kannst du dein Widerspruchsrecht auch mittels automatisierter Verfahren ausüben, bei denen technische Spezifikationen verwendet werden (Art. 21 Abs. 5 DSGVO).

24. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs hast du das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt (Art. 77 DSGVO). Zuständig für uns ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf
E-Mail: poststelle@ldi.nrw.de
Website: ldi.nrw.de

25. Rechtsgrundlagen der Verarbeitung

Holen wir für einen bestimmten Verarbeitungszweck deine Einwilligung ein, ist Art. 6 Abs. 1 lit. a DSGVO die Rechtsgrundlage. Ist die Verarbeitung zur Erfüllung eines Vertrags erforderlich, dessen Vertragspartei du bist, wie bei der Mitgliedschaft, beruht sie auf Art. 6 Abs. 1 lit. b DSGVO; das gilt auch für Verarbeitungen, die zur Durchführung vorvertraglicher Maßnahmen erforderlich sind, etwa bei einer Bewerbung um die Mitgliedschaft. Unterliegen wir einer rechtlichen Verpflichtung, die eine Verarbeitung erforderlich macht, etwa steuerlichen Pflichten oder der Pflicht zur Anbieterkennzeichnung, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. c DSGVO. Ist eine Verarbeitung erforderlich, um lebenswichtige Interessen von dir oder einer anderen natürlichen Person zu schützen, etwa wenn sich jemand bei einer unserer Veranstaltungen verletzt und wir Angaben an einen Rettungsdienst weitergeben müssen, beruht sie auf Art. 6 Abs. 1 lit. d DSGVO. Schließlich können Verarbeitungen auf Art. 6 Abs. 1 lit. f DSGVO beruhen, wenn sie zur Wahrung unserer berechtigten Interessen oder der eines Dritten erforderlich sind und deine Interessen, Grundrechte und Grundfreiheiten nicht überwiegen.

Für das Speichern von Informationen in deinem Endgerät und den Zugriff darauf gilt zusätzlich § 25 TDDDG. Ohne deine Einwilligung speichern wir nur, was unbedingt erforderlich ist, damit wir einen von dir ausdrücklich gewünschten Dienst bereitstellen können (§ 25 Abs. 2 Nr. 2 TDDDG); alles andere nur mit deiner Einwilligung (§ 25 Abs. 1 TDDDG). Ausgenommen sind das Anmeldeformular und das Skript von Luma (Abschnitt 14): Sie laden ohne deine Einwilligung, und Luma kann dabei Informationen auf deinem Gerät speichern oder auslesen.

26. Berechtigte Interessen an der Verarbeitung

Beruht eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, sind unsere berechtigten Interessen der sichere und zuverlässige Betrieb unserer Website, die Beantwortung von Anfragen, eine einfache Anmeldung zu unseren Veranstaltungen, die Pflege der Website sowie unsere Vereinsarbeit: Studierende für Entrepreneurship zu begeistern und zu befähigen und unsere Events und Angebote bekannt zu machen. Das jeweilige Interesse nennen wir auch in den einzelnen Abschnitten.

27. Gesetzliche oder vertragliche Vorschriften zur Bereitstellung der personenbezogenen Daten

Die Bereitstellung personenbezogener Daten ist zum Teil gesetzlich vorgeschrieben, etwa durch Steuervorschriften, oder kann sich aus vertraglichen Regelungen ergeben, etwa bei Angaben zur Vertragspartei. Wenn du Mitglied werden möchtest, musst du uns die dafür nötigen Angaben bereitstellen; ohne sie kann die Mitgliedschaft nicht zustande kommen. Pflichtfelder in unseren Formularen sind gekennzeichnet; ohne sie können wir deine Anfrage oder Anmeldung nicht bearbeiten. Ob die Bereitstellung im Einzelfall vorgeschrieben oder erforderlich ist, erklären wir dir gern auf Anfrage (Kontakt in Abschnitt 3).

28. Bestehen einer automatisierten Entscheidungsfindung

Wir verzichten auf eine automatisierte Entscheidungsfindung und auf Profiling.