Datenschutzerklärung

1. Verantwortlicher

[Firmenname, Anschrift, Telefon und E-Mail des Verantwortlichen eintragen — siehe Impressum]

Ein Datenschutzbeauftragter ist [nicht bestellt / bestellt: Kontaktdaten ergänzen — abhängig von Unternehmensgröße und Art der Verarbeitung nach Art. 37 DSGVO zu prüfen].

2. Überblick der Verarbeitungen

Diese Website (nachfolgend „Portal“) ist die Self-Service-Registrierungs- und Konto-Verwaltungsseite für OrgaSuite. Über das Portal werden ausschließlich Daten von Organisationsvertretern verarbeitet, die eine Organisation registrieren oder ein bestehendes Abo verwalten — keine Daten von Vereins- oder Verbandsmitgliedern (diese werden ausschließlich innerhalb der jeweiligen, mandantengetrennten OrgaSuite-Instanz der Organisation verarbeitet, nicht auf dieser Seite).

3. Registrierung einer Organisation

Bei der Registrierung erheben wir: Name und E-Mail-Adresse der registrierenden Person, Name und Art der Organisation, gewählter Tarif und Abrechnungsweg. Bei Zahlung per Karte/SEPA-Lastschrift verarbeitet unser Zahlungsdienstleister Stripe zusätzlich die Zahlungsdaten (siehe Abschnitt 6). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme / Vertragserfüllung). Neuregistrierungen durchlaufen eine manuelle Prüfung durch unser Team, bevor die Organisation freigeschaltet wird; unbearbeitete Registrierungen werden nach einer konfigurierbaren Frist (Standard: 14 Tage) automatisch abgelehnt und die zugehörigen Kontodaten gelöscht.

4. Konto- und Abo-Verwaltung

Im eingeloggten Konto-Bereich verarbeiten wir Abo-Status, Tarif, Rechnungsadresse, Admin-Zugänge der Organisation sowie – bei Kündigung – optional einen freiwillig angegebenen Kündigungsgrund. Rechnungen für den Rechnungsweg (SEPA-Überweisung statt Stripe) werden als PDF erzeugt und gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für Rechnungsdaten zusätzlich Art. 6 Abs. 1 lit. c DSGVO i.V.m. handels-/steuerrechtlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO — Aufbewahrungsfrist 6 bzw. 10 Jahre).

5. Rabattcodes und Empfehlungsprogramm

Bei Nutzung eines Rabattcodes oder des Kunden-wirbt-Kunden-Programms verarbeiten wir die E-Mail-Adresse der geworbenen Organisation sowie den Verwendungsstatus, um die Gutschrift korrekt zuzuordnen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Zahlungsabwicklung durch Stripe

Für die Zahlungsabwicklung setzen wir Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin, Irland) ein. Bei Auswahl von Karten- oder SEPA-Lastschriftzahlung werden Ihre Zahlungsdaten direkt an Stripe übermittelt und dort verarbeitet; wir selbst speichern keine vollständigen Kartendaten. Es gilt die Datenschutzerklärung von Stripe: stripe.com/de/privacy. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Registrierungs-Funnel (Nutzungsanalyse)

Um Abbrüche im Registrierungsprozess zu erkennen und zu beheben, protokollieren wir die einzelnen Schritte einer Registrierung (Seitenaufruf, Formular ausgefüllt, Zahlungsschritt erreicht, Registrierung abgeschlossen) mit einer zufälligen Sitzungs-ID sowie – ab dem jeweiligen Schritt – eingegebenem Namen und E-Mail-Adresse. Es wird kein Drittanbieter-Analysewerkzeug eingesetzt, die Auswertung erfolgt ausschließlich intern. Diese Daten werden automatisiert nach 90 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Registrierungsprozesses).

8. Hosting & Auftragsverarbeitung

Diese Anwendung sowie die zugrunde liegende Datenbank (Supabase, self-hosted) werden ausschließlich auf Servern eines Rechenzentrumsbetreibers mit Sitz in Deutschland (Rechenzentrum Frankfurt am Main, Deutschland) betrieben. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht mit dem Hosting-Anbieter. Für den Versand von System-E-Mails (Registrierungsbestätigung, Rechnungen, Benachrichtigungen) wird ein SMTP-Dienst eines deutschen bzw. EU-Anbieters eingesetzt. Fehler- und Absturzberichte werden über Sentry (Functional Software, Inc.) erfasst — für dieses Portal ohne Session-Replay, da hier Registrierungs- und Zahlungsdaten verarbeitet werden; es gelten die Standardvertragsklauseln der EU-Kommission für die Übermittlung in die USA. Mit allen genannten Anbietern bestehen bzw. werden Auftragsverarbeitungsverträge abgeschlossen.

9. Cookies

Diese Website setzt ausschließlich ein technisch notwendiges Session-Cookie zur Aufrechterhaltung Ihres Login-Zustands (Supabase Auth) ein. Es werden keine Analyse-, Marketing- oder Tracking-Cookies verwendet. Da nur technisch notwendige Cookies zum Einsatz kommen, ist gemäß § 25 Abs. 2 TTDSG keine Einwilligung erforderlich.

10. Speicherdauer

Konto- und Organisationsdaten werden für die Dauer des Vertragsverhältnisses gespeichert und nach Kündigung im Rahmen der gesetzlichen Aufbewahrungsfristen (siehe Abschnitt 4) vorgehalten, danach gelöscht. Registrierungs-Funnel-Daten (Abschnitt 7) werden nach 90 Tagen automatisiert gelöscht. Unbearbeitete, abgelehnte Registrierungen werden gemäß Abschnitt 3 gelöscht.

11. Rechte der betroffenen Personen

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Wenden Sie sich hierzu an die in Abschnitt 1 genannte Kontaktadresse.

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
poststelle@lfd.niedersachsen.de

[Zuständige Aufsichtsbehörde bitte anhand des tatsächlichen Firmensitzes prüfen und ggf. anpassen.]