Datenschutzerklärung
1. Verantwortlicher
Lennard Ufer, Hüserstraße 82a, 59821 Arnsberg, E-Mail: lennard.ufer@gmx.de (nachfolgend „ich“). Einen Datenschutzbeauftragten habe ich nicht benannt, weil dazu keine gesetzliche Pflicht besteht. Bei Fragen zum Datenschutz erreichst du mich unter der genannten E-Mail-Adresse.
2. Zwei Rollen: Kontodaten und Kundendaten der Trainer
Lubill ist ein Werkzeug für Trainer. Deshalb gibt es zwei Arten von Daten:
- Kontodaten der Trainer (E-Mail-Adresse, Passwort als Hash, Registrierung, Zustimmungsnachweis): dafür bin ich selbst Verantwortlicher. Für sie gilt diese Erklärung.
- Daten, die Trainer über ihre eigenen Kunden und Teilnehmer in Lubill speichern (z. B. Namen, Anschriften, Termine, Rechnungen, Zahlungen): dafür ist der jeweilige Trainer verantwortlich. Ich verarbeite sie nur in seinem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Betroffene wenden sich für Auskunft, Berichtigung oder Löschung bitte an ihren Trainer.
3. Hosting
Lubill läuft auf einem Server der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, in einem Rechenzentrum in Deutschland. Mit netcup besteht ein Vertrag zur Auftragsverarbeitung. netcup verarbeitet die Daten nur nach meinen Weisungen.
4. Aufruf der Seite (Server-Protokolle)
Beim Aufruf speichert der Webserver technisch notwendige Angaben: die gekürzte IP-Adresse (bei IPv4 wird das letzte Zahlenfeld entfernt, bei IPv6 werden die hinteren 80 Bit entfernt), Datum und Uhrzeit, den aufgerufenen Pfad, den Antwortcode, die übertragene Datenmenge und die Browserkennung. Geheime Bestandteile von Links (z. B. beim Kalender-Abo) werden vor dem Speichern unkenntlich gemacht.
Zweck: sicherer Betrieb, Fehleranalyse, Abwehr von Angriffen. Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 7 Tage, danach werden die Protokolle gelöscht.
Die Anwendung selbst führt kein Zugriffsprotokoll. Zur Begrenzung von Anmelde- und Registrierungsversuchen wird die vollständige IP-Adresse kurzzeitig (höchstens eine Stunde) nur im Arbeitsspeicher gehalten und nicht dauerhaft gespeichert.
5. Konto, Anmeldung und Einladung
Für ein Konto speichere ich deine E-Mail-Adresse, dein Passwort ausschließlich als gesalzenen Hash (scrypt), den Zeitpunkt der Registrierung und die Einladung, über die du dich registriert hast (die ich ggf. intern mit einer Notiz, etwa deinem Namen, versehen habe). Beim Start bestätigst du die Nutzungsbedingungen, den Vertrag zur Auftragsverarbeitung und die Kenntnisnahme dieser Erklärung. Gespeichert werden dafür die Version und der Zeitpunkt, damit ich die Zustimmung nachweisen kann.
Zweck: Bereitstellung des Kontos und Nachweis der Vertragsannahme. Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse am Nachweis (lit. f). Speicherdauer: bis zur Löschung des Kontos. Eine Anmeldung (Sitzung) läuft nach 14 Tagen ab.
6. Cookies und Speicher im Browser
Lubill setzt ein einziges Cookie (pb_session), das deine Anmeldung hält. Es ist technisch erforderlich und deshalb ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG). Es ist als „HttpOnly“, „SameSite=Strict“ und „Secure“ gekennzeichnet. Außerdem speichert der Browser lokal einige Ansichtseinstellungen (z. B. zuletzt gewählte Ansicht). Diese Angaben verlassen deinen Browser nicht.
Lubill verwendet keine Analyse-, Werbe- oder Tracking-Dienste und lädt keine Schriften, Skripte oder Karten von Dritten.
7. E-Mail-Versand der Trainer
Rechnungen und Mahnungen verschickt jeder Trainer über sein eigenes E-Mail-Konto (z. B. Gmail, Outlook oder ein eigener SMTP-Server). Lubill übergibt dazu Nachricht und PDF an den vom Trainer gewählten Anbieter. Die Zugangsdaten des Trainers speichert Lubill verschlüsselt (AES-256-GCM). Der E-Mail-Anbieter ist Dienstleister des Trainers und hat eigene Datenschutzhinweise.
8. Kalender-Abo
Trainer können optional einen geheimen Link zu ihrem Kalender erzeugen. Wer den Link kennt, kann die Termine abrufen (auf Wunsch mit Teilnehmernamen). Der Link lässt sich jederzeit erneuern oder beenden.
9. Empfänger und Drittländer
Empfänger ist ausschließlich der Hoster netcup GmbH als Auftragsverarbeiter. Ich gebe Daten nicht an weitere Dritte weiter und übermittle sie nicht in Länder außerhalb des Europäischen Wirtschaftsraums. Ausgenommen ist der vom Trainer gewählte E-Mail-Anbieter (Abschnitt 7).
10. Speicherdauer im Überblick
| Daten | Dauer |
|---|---|
| Konto und Zustimmungsnachweis | bis zur Löschung des Kontos |
| Daten der Trainer (Kunden, Rechnungen …) | bis der Trainer sie oder das Konto löscht; gesetzliche Aufbewahrungspflichten des Trainers bleiben unberührt |
| Server-Protokolle | 7 Tage |
| Sicherungskopien | rollierend 14 Tage; nach einer Kontolöschung verschwinden die Daten spätestens nach weiteren 14 Tagen |
11. Deine Rechte
Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). In der App findest du unter Einstellungen → Konto den vollständigen Datenexport und die Funktion „Konto komplett löschen“. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf (www.ldi.nrw.de).
12. Pflicht zur Angabe, automatisierte Entscheidungen
Ohne E-Mail-Adresse und Passwort kann kein Konto angelegt werden. Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.
13. Sicherheit
Die Übertragung erfolgt verschlüsselt (HTTPS). Welche technischen und organisatorischen Maßnahmen ich getroffen habe, steht in der Anlage 1 zum Vertrag zur Auftragsverarbeitung.
14. Änderungen
Ich passe diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung.