Datenschutzerklärung

1. Verantwortlichkeiten und Kontakt

Für den Betrieb dieser Website, die Verwaltung der Benutzerkonten, die Sicherheit der Anwendung und die Kommunikation mit uns ist verantwortlich:

Für die fachliche Verarbeitung der Vereins- und Aufzeichnungsdaten, insbesondere die Berechtigung zum PRAE-Bezug, Auszahlung, Aufbewahrung und Meldung an Behörden, ist der jeweilige Verein verantwortlich. Soweit wir diese Daten für den Verein technisch verarbeiten, handeln wir als Auftragsverarbeiter. Die Rechtsgrundlagen und zusätzlichen Datenschutzhinweise des Vereins gelten ergänzend.

Grundlage für die Verarbeitung im Auftrag des Vereins ist der bei der Vereinsregistrierung abzuschließende Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO einschließlich seiner Anlagen.

Bei Fragen zu Ihrer konkreten Aufzeichnung wenden Sie sich bitte an Ihren Verein. Fragen zum Benutzerkonto oder zum Betrieb von PRAE Digital können Sie an uns richten. Weitere Unternehmensangaben stehen im Impressum.

2. Aufruf der Website und Sicherheit

Beim Aufruf werden technisch erforderliche Verbindungs- und Zugriffsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, Antwortstatus sowie Angaben zu Browser und Betriebssystem. Diese Daten dienen der Auslieferung der Seiten, der Erkennung von Störungen und dem Schutz vor Missbrauch.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem sicheren, stabilen und verfügbaren Betrieb. Anwendung und Datenbank werden in Deutschland gehostet. Die ergänzend eingesetzten Dienste sind unter Ziffer 5 beschrieben.

3. Benutzerkonto, Einladungen und Kontakt

Für Ihr Konto verarbeiten wir Ihre E-Mail-Adresse, das Passwort in gehashter Form, Ihre Rolle als Mitglied oder Vereinsverwaltung, Vereinszuordnungen sowie Registrierungs- und Anmeldeinformationen. Wenn Sie die Zwei-Faktor-Authentifizierung aktivieren, verarbeiten wir auch die dafür erforderlichen Authentifizierungsdaten.

Bei einer Einladung erhalten wir Ihre E-Mail-Adresse und Vereinszuordnung von der Vereinsverwaltung und senden Ihnen einen Link zum Einrichten Ihres Zugangs. Weitere Angaben geben Sie selbst im Profil oder in der Aufzeichnung ein.

Die Bereitstellung des Kontos und die Bearbeitung vertragsbezogener Anfragen erfolgen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Für Einladungen und die organisatorische Kommunikation stützen wir uns, soweit keine Vertragsgrundlage vorliegt, auf Art. 6 Abs. 1 lit. f DSGVO: das berechtigte Interesse an der Einrichtung eines angefragten Vereinszugangs und an der Bearbeitung von Anfragen. Für die Einladung durch den Verein legt dieser die Rechtsgrundlage fest.

Wenn Sie uns kontaktieren, verarbeiten wir Ihre Kontaktdaten, den Inhalt Ihrer Nachricht und die zur Beantwortung erforderlichen Informationen. Für sonstige Anfragen ist Art. 6 Abs. 1 lit. f DSGVO die Rechtsgrundlage.

Beim Abschluss des Auftragsverarbeitungsvertrags und der Nutzungsbedingungen speichern wir den Namen und die E-Mail-Adresse der handelnden Person, die damaligen Vereinsdaten, den Annahmezeitpunkt und die akzeptierte Vertragsfassung sowie die Bestätigung des PRAE-Anwendungsbereichs als Nachweis. Dies dient dem Vertragsschluss, der Erfüllung unserer Nachweispflichten nach Art. 28 DSGVO sowie der Geltendmachung oder Abwehr von Rechtsansprüchen (Art. 6 Abs. 1 lit. b, c und f DSGVO, soweit jeweils einschlägig). Der Nachweis wird aufbewahrt, solange er für diese Zwecke erforderlich ist, und anschließend gelöscht.

4. Vereinsdaten und PRAE-Aufzeichnungen

Die Anwendung verarbeitet die für die Vereinsverwaltung, Aufzeichnung und Meldevorbereitung eingegebenen Daten:

• Verein: Name, ZVR-Nummer, gegebenenfalls Steuernummer, Anschrift und zugeordnete Personen.
• Empfangende Person: Vor- und Nachname, Sozialversicherungsnummer oder die ersatzweise erforderlichen Angaben zu Geburtsdatum und Wohnanschrift einschließlich Staat.
• Aufzeichnung: Monat, Einsatztage, Beträge, Zweck, Tätigkeiten sowie Erklärungen zur Nebenberuflichkeit und zum Bezug bei einem einzigen Verein.
• Zahlungsangaben: Zahlungsart, bei Überweisung IBAN und gegebenenfalls BIC, bei Barzahlung das Empfangsdatum.
• Nachweise: gezeichnete Unterschrift des Mitglieds, Gegenzeichnung des Vereins, Bestätigungs- und Aufzeichnungszeitpunkte sowie Verlauf mit Ereignis, handelnder Person und Datum.

Die Unterschriften werden als Bild gespeichert und für die Darstellung auf der Aufzeichnung verwendet. Es erfolgt keine biometrische Identitätsprüfung. Personenangaben werden beim Einreichen in die Aufzeichnung übernommen; spätere Profiländerungen ändern bestehende Aufzeichnungen nicht automatisch.

Die Vereinsverwaltung kann Aufzeichnungen prüfen, gegenzeichnen und als PDF sowie zusammengefasste Meldedaten als L19-XML oder Excel-Datei exportieren. Benachrichtigungen über neue oder geänderte Aufzeichnungen enthalten unter anderem Namen, Monat, Gesamtsumme und einen Link zur Aufzeichnung.

Der Verein bestimmt die Rechtsgrundlagen für diese Verarbeitung. Je nach Zweck kommen insbesondere die Erfüllung einer Vereinbarung mit der betroffenen Person (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Aufzeichnungs- und Meldepflichten (lit. c) oder berechtigte Interessen an einer nachvollziehbaren Vereinsverwaltung (lit. f) in Betracht.

5. Empfänger und eingesetzte Dienstleister

Ihre Aufzeichnung ist in der Anwendung für Sie und die zuständige Vereinsverwaltung zugänglich. Technische Dienstleister können Daten verarbeiten, soweit dies für Betrieb, Speicherung, E-Mail-Versand und Fehlerbehebung erforderlich ist. Dazu gehören Hostinganbieter sowie folgende Dienste:

• Hetzner Online GmbH: Hosting von Anwendung und Datenbank in Deutschland. Hierbei werden die für den Betrieb erforderlichen Konto-, Vereins- und Aufzeichnungsdaten verarbeitet.
• Mailgun: Versand von Einladungen, Kontobestätigungen, Passwortnachrichten und Benachrichtigungen zu Aufzeichnungen über die EU-Region. Verarbeitet werden Empfänger- und Absenderadressen, Nachrichteninhalte und technische Zustellinformationen. Anbieter ist Mailgun Technologies, Inc. / die Sinch-Mailgun-Unternehmensgruppe. Datenschutzhinweise von Mailgun.
• Amazon Web Services (AWS): S3 dient als Dateispeicher und kann für ausgelagerte Datenbank-Sicherungen verwendet werden. Gespeicherte Inhalte können daher auch die in Ziffer 4 genannten personenbezogenen Daten enthalten. Außerdem fallen technische Zugriffs- und Dateimetadaten an. Datenschutzhinweise von AWS.
• Sentry: Technische Fehlerdiagnose zur Behebung von Störungen. Dabei können Fehlermeldungen, technische Anfrageinformationen, Protokolle und im Fehlerkontext enthaltene personenbezogene Daten an Functional Software, Inc. (Sentry) übermittelt werden. Datenschutzhinweise von Sentry.
• Cloudflare cdnjs: Für die Darstellung und Bedienung der Seiten lädt Ihr Browser CSS- und JavaScript-Dateien von cdnjs.cloudflare.com. Dabei erhält Cloudflare, Inc. insbesondere Ihre IP-Adresse und technische Browser- und Verbindungsdaten. Datenschutzhinweise von Cloudflare.

Für die hier genannten Leistungen von Hetzner, AWS S3, Mailgun und Sentry werden Standorte in Deutschland genutzt. Mögliche internationale Zugriffe sind unter Ziffer 6 beschrieben.

Soweit diese Dienste der Erfüllung des Nutzungsvertrags dienen, ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage; für technische Bereitstellung, Fehlerdiagnose und Sicherheit Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in der zuverlässigen Bereitstellung und Absicherung der Anwendung. Für Vereinsdaten erfolgt der Einsatz im Rahmen der Auftragsverarbeitung.

Der Verein kann exportierte Unterlagen zur Erfüllung seiner Pflichten an befugte Beratungspersonen oder Behörden weitergeben. Die Übermittlung der L19-Dateien nimmt der Verein selbst vor. PRAE Digital sendet diese Meldungen nicht automatisch an Behörden.

6. Verarbeitung außerhalb des EWR

Auch bei Hosting in Deutschland und E-Mail-Versand über die EU-Region können die genannten internationalen Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, insbesondere in den USA, etwa für Support oder technische Betriebsleistungen.

Solche Übermittlungen benötigen eine Grundlage nach Art. 44 ff. DSGVO. In Betracht kommen ein anwendbarer Angemessenheitsbeschluss, einschließlich des EU–US Data Privacy Framework bei entsprechend zertifizierten Empfängern, oder geeignete Garantien wie die Standardvertragsklauseln der Europäischen Kommission und erforderliche ergänzende Maßnahmen. Informationen zu den im konkreten Fall anwendbaren Garantien und eine Kopie können Sie unter office@flexcode.at anfordern.

7. Cookies und lokale Speicherung

PRAE Digital verwendet technisch erforderliche Cookies für die Anmeldung, die Zuordnung Ihrer Sitzung und den Schutz von Formulareingaben gegen missbräuchliche Anfragen. Die Anwendung setzt keine Werbe- oder Analyse-Tracker ein.

Das Anmelde-Cookie (__Secure-sessionid) gilt je nach Anmeldeeinstellung bis zum Schließen des Browsers oder für bis zu 14 Tage. Das Cookie zum Schutz von Formulareingaben (__Secure-csrftoken) hat eine Laufzeit von bis zu 364 Tagen und kann bei erneuter Nutzung erneuert werden. Statushinweise können in einem kurzlebigen Cookie bis zum nächsten Abruf gespeichert werden. Sie können Cookies in Ihrem Browser löschen oder blockieren. Ohne notwendige Cookies funktionieren Anmeldung und geschützte Formulare nicht zuverlässig.

Der Zugriff auf Ihr Endgerät erfolgt für diese erforderlichen Funktionen im Rahmen des § 165 Abs. 3 TKG 2021. Für die damit verbundene Verarbeitung personenbezogener Daten gelten Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO.

8. Speicherdauer und Löschung

Die Dauer der Speicherung richtet sich nach dem jeweiligen Zweck, dem bestehenden Nutzungsverhältnis, gesetzlichen Aufbewahrungspflichten und der Erforderlichkeit zur Geltendmachung oder Abwehr von Rechtsansprüchen. Es gilt keine einheitliche Aufbewahrungsfrist für sämtliche Daten.

• Kontodaten: maßgeblich sind die Nutzung des Kontos, bestehende Vereinszuordnungen und die Frage, welche Daten nach Beendigung des Zugangs noch für Nachweise oder gesetzliche Pflichten erforderlich sind. Eine bloße Inaktivität löst derzeit keine automatische Kontolöschung aus.
• Aufzeichnungen und Unterschriften: Aufzeichnungsfassungen mit ihren Unterschriften und Zeitpunkten werden für den Verein gespeichert. Nach ausdrücklicher Beendigung mit Rückgabe- und Löschweisung stehen die Unterlagen noch 90 Tage zum kostenlosen Lesen und Export bereit und werden anschließend operativ gelöscht. Die gesetzlichen Aufbewahrungspflichten erfüllt der Verein danach anhand seines eigenen Archivs. Abweichende rechtmäßige Weisungen werden mit konkreten Fristen dokumentiert. Ein Löschwunsch für ein Benutzerkonto ist von der Beendigung des Vereins zu unterscheiden.
• Kontaktanfragen: maßgeblich sind der Abschluss der Bearbeitung, notwendige Rückfragen und etwaige Nachweis- oder Aufbewahrungspflichten.
• Technische Protokolle, Fehlerdaten und Sicherungskopien: maßgeblich ist, wie lange die Daten für Fehlerbehebung, die Aufklärung von Sicherheitsvorfällen oder die Wiederherstellung des Betriebs erforderlich sind.

Nach der operativen Löschung werden betroffene Sicherungskopien für die normale Nutzung gesperrt und spätestens innerhalb weiterer 90 Tage entfernt. Operative Löschung und bestätigte Entfernung aus Sicherungskopien werden getrennt ausgewiesen. Eigene Rechnungs-, Zahlungs- und erforderliche Vertragsnachweise des Anbieters sowie für andere Vereine benötigte Benutzerkonten werden gesondert behandelt.

Entfällt der jeweilige Zweck und bestehen keine weiteren rechtlichen Gründe für die Aufbewahrung, sind die Daten zu löschen oder zu anonymisieren. Löschanfragen werden anhand dieser Kriterien geprüft. Bei Vereinsdaten ist dabei der verantwortliche Verein einzubeziehen.

9. Ihre Rechte

Unter den gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Widerspruch: Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen.

Zur Ausübung Ihrer Rechte schreiben Sie an office@flexcode.at. Für die Aufzeichnungsdaten ist Ihr Verein der zuständige Verantwortliche. Soweit es zur Vermeidung einer unberechtigten Offenlegung erforderlich ist, können wir Angaben zur Bestätigung Ihrer Identität anfordern.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort des vermuteten Verstoßes. In Österreich ist dies die Österreichische Datenschutzbehörde.

10. Pflichtangaben und automatisierte Entscheidungen

Ohne E-Mail-Adresse und die erforderlichen Zugangsdaten kann kein nutzbares Konto bereitgestellt werden. Für eine PRAE-Aufzeichnung sind die im Formular als erforderlich gekennzeichneten Identitäts-, Aufzeichnungs- und Unterschriftsangaben notwendig. Fehlen diese, lässt sich die Aufzeichnung nicht einreichen. Ob Sie gegenüber dem Verein zur Bereitstellung bestimmter Daten verpflichtet sind, richtet sich nach Ihrem Rechtsverhältnis zum Verein und den gesetzlichen Vorgaben.

Die Anwendung berechnet Summen und prüft Pflichtangaben sowie Betragsgrenzen. Sie trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO und erstellt keine entsprechenden Persönlichkeitsprofile. Prüfung, Auszahlung und Meldung liegen beim Verein.