Datenschutz

Rahmen für die Datenschutzerklärung der Plattform „Demus iudicet“ selbst (Startseite, Plattform-Login, technischer Betrieb). Diese Seite ersetzt nicht die Datenschutzerklärung der einzelnen Einrichtung für ihre Abstimmungen – diese pflegt jede Einrichtung selbst unter /o/<kürzel>/datenschutz. Die eingeklammerten Angaben sind vom Plattformbetreiber vor dem Produktivbetrieb auszufüllen; es sind keine erfundenen Angaben eingetragen.

1. Verantwortlicher

[Name des Plattformbetreibers]
[Anschrift]
[E-Mail-Adresse]
[ggf. Telefonnummer]

Für die Inhalte einzelner Abstimmungen und die dort verarbeiteten Teilnehmerdaten ist nicht der Plattformbetreiber, sondern die jeweilige Einrichtung verantwortlich (Art. 4 Nr. 7 DSGVO). Der Plattformbetreiber verarbeitet diese Daten als Auftragsverarbeiter (Art. 28 DSGVO) auf Weisung der Einrichtung, auf Grundlage eines gesonderten Auftragsverarbeitungsvertrags je Einrichtung.

2. Keine Identitätsdaten von Teilnehmern auf der Plattform

Teilnehmende Personen melden sich ausschließlich über einen Token (QR-Code) oder Kurzcode aus einem Brief an – ohne Passwort, ohne E-Mail-Adresse, ohne Konto. Name, Anschrift und Geburtsdatum werden, falls für den Versand von Zugangsbriefen erforderlich, nur befristet im Serienbrief-Stapel der Einrichtung verarbeitet und spätestens nach Versandbestätigung bzw. der eingestellten Frist unwiderruflich gelöscht. Auf der Plattform selbst werden weder Name noch Anschrift noch Geburtsdatum von Teilnehmern gespeichert. Stimmzettel sind von der abstimmenden Person technisch nicht rückverfolgbar (Einzelheiten: docs/loeschkonzept.md).

3. Datenverarbeitung beim Aufruf der Plattform-Startseite (/)

Beim Aufruf von / werden durch den Betrieb des Servers technisch notwendige Zugriffsdaten verarbeitet (z. B. IP-Adresse, Zeitpunkt, aufgerufene URL) – [hier die tatsächliche Protokollierungspraxis des Hosting-Anbieters eintragen, z. B. Reverse-Proxy-Zugriffslogs, Aufbewahrungsdauer]. Die Anwendung selbst schreibt keine IP-Adressen oder Zugriffszeiten in die eigene Datenbank.

4. Cookies

Die Plattform setzt ausschließlich technisch notwendige Cookies für Sitzungen, keine Tracking- oder Marketing-Cookies:

Keines dieser Cookies wird für Analyse- oder Werbezwecke verwendet; eine Einwilligung nach § 25 TTDSG ist dafür nicht erforderlich (technisch notwendig).

5. Plattform-Login und Einrichtungs-Login

Verarbeitet werden E-Mail-Adresse und Passwort (als Hash gespeichert) von Plattform-Admins bzw. Mitarbeitenden der Einrichtungen – nicht von teilnehmenden Personen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) bzw. lit. f (berechtigtes Interesse am sicheren Betrieb) – [vom Betreiber final festzulegen].

6. Auftragsverarbeitung für Einrichtungen

Für jede Einrichtung, die die Plattform nutzt, besteht ein gesonderter Auftragsverarbeitungsvertrag (AVV). Die technischen und organisatorischen Maßnahmen sind in docs/verzeichnis-verarbeitung.md zusammengefasst.

7. Hosting

[Hosting-Anbieter, Serverstandort (muss in der EU liegen), Vertrag mit dem Hosting-Anbieter (AVV, falls der Betreiber nicht selbst der Hosting-Anbieter ist)]

8. Speicherdauer

Siehe docs/loeschkonzept.md für alle Datenarten mit technischer Speicherfrist und Löschmechanismus.

9. Rechte der betroffenen Personen

Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch – [Kontaktweg für Anfragen des Plattformbetreibers eintragen]. Für Anfragen teilnehmender Personen zu einer konkreten Abstimmung ist die jeweilige Einrichtung zuständig (siehe Abschnitt 1).

10. Beschwerderecht

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren – [zuständige Aufsichtsbehörde des Betreibers eintragen].

11. Stand

[Datum der letzten Aktualisierung]