Datenschutzerklärung

1. Verantwortlicher

Gerrit Rosinsky
Kiwittsmoor 10b
22417 Hamburg
gerrit.rosinsky@gmail.com

Was geht? ist ein privates, nicht gewerbliches Projekt. Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt.

2. Wofür diese Erklärung gilt

Was geht? zeigt Veranstaltungen in Hamburg und macht sichtbar, wer hingeht. Diese Erklärung gilt gleichermaßen für die Website und die mobile App. Sie beschreibt jede Kategorie personenbezogener Daten, die Was geht? speichert.

3. Konto und Anmeldung

Für ein Konto werden ein Benutzername und ein Passwort gespeichert. Das Passwort wird ausschließlich als kryptografischer Hash abgelegt und ist auch für mich nicht lesbar.

Was geht? fragt bewusst keine E-Mail-Adresse ab. Das eingesetzte Anmeldesystem benötigt technisch eine Adresse; dafür wird intern eine nicht zustellbare Platzhalter-Adresse aus dem Benutzernamen gebildet (Form: benutzername@users.puls.invalid). Sie kann keine Nachrichten empfangen, wird an niemanden übermittelt und dient allein der internen Zuordnung.

Zweck: Bereitstellung und Absicherung des Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

4. Profil

Zum Profil gehören Anzeigename, Kurzbeschreibung, Profilbild, Stadt und die Voreinstellung, wie sichtbar deine Zusagen sein sollen. Außer dem Benutzernamen sind alle Angaben freiwillig und jederzeit änderbar oder löschbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5. Wem du folgst

Was geht? speichert, welchen Konten du folgst und welche Konten dir folgen. Diese Verknüpfungen steuern zugleich, wessen Zusagen du siehst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Zusagen zu Veranstaltungen

Wenn du bei einer Veranstaltung angibst, dass du hingehst oder interessiert bist, speichert Was geht? die Zuordnung deines Kontos zu dieser Veranstaltung, den Zeitpunkt und die von dir gewählte Sichtbarkeit. Die Sichtbarkeit legst du pro Veranstaltung einzeln fest:

• privat — nur du selbst siehst den Eintrag.
• Follower — nur Konten, die dir folgen, sehen den Eintrag.
• öffentlich — alle sehen den Eintrag, auch ohne Anmeldung.

Diese Einstellung wird serverseitig durchgesetzt, nicht erst in der Anzeige. Ein Konto, das die Angabe nicht sehen darf, erhält sie auch bei direktem Zugriff auf die Schnittstelle nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Gruppen

Du kannst zu einer Veranstaltung eine Gruppe anlegen und andere über einen vierstelligen Code beitreten lassen. Gespeichert werden der Gruppenname, der Beitrittscode, die Zuordnung zur Veranstaltung sowie die Mitglieder und deren Status. Wer den Code kennt, kann beitreten und sieht anschließend die Mitgliederliste und den Gruppenchat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8. Nachrichten

Direktnachrichten und Gruppenchats werden mit Inhalt, Absender, Empfängerkreis und Zeitpunkt gespeichert, damit sie auf deinen Geräten abrufbar bleiben.

Es gibt keine Ende-zu-Ende-Verschlüsselung. Die Inhalte liegen in der Datenbank im Klartext. Der Zugriff durch andere Nutzerinnen und Nutzer ist technisch auf die Beteiligten der jeweiligen Unterhaltung beschränkt und wird serverseitig durchgesetzt. Als Betreiber habe ich jedoch administrativen Zugriff auf die Datenbank und könnte Inhalte einsehen. Das geschieht nicht routinemäßig, sondern nur, soweit es zur Störungsbeseitigung erforderlich oder rechtlich geboten ist. Behandle Nachrichten in Was geht? daher nicht als vertraulichen Kanal.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Veranstalter und Moderation

Reichst du als Veranstalter eine Veranstaltung oder einen Veranstaltungsort ein, werden diese Angaben zusammen mit deinem Konto gespeichert. Prüfentscheidungen werden protokolliert (Vorgang, entscheidendes Konto, Zeitpunkt, interne Notiz). Dieses Protokoll ist rein intern und für andere Nutzerinnen und Nutzer nicht abrufbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (nachvollziehbare Moderation).

10. Technische Zugriffsdaten

Beim Aufruf der Website und bei jeder Anfrage der App fallen bei den eingesetzten Dienstleistern technische Verbindungsdaten an, insbesondere IP-Adresse, Zeitpunkt, abgerufene Ressource und Geräte-/Browserkennung. Sie dienen dem Betrieb, der Fehlersuche und der Abwehr von Missbrauch und werden nicht zu Profilen zusammengeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).

11. Was andere sehen können

Was geht? ist eine soziale App, deshalb hier ausdrücklich und im Zusammenhang:

• Benutzername, Anzeigename, Kurzbeschreibung und Profilbild sind öffentlich und auch ohne Anmeldung abrufbar.
• Profilbilder liegen in einem öffentlichen Dateispeicher. Wer die genaue Bild-Adresse kennt, kann das Bild ohne Anmeldung abrufen — auch dann noch, wenn du zwischenzeitlich ein anderes Bild gewählt hast, solange die alte Datei nicht gelöscht wurde.
• Wem du folgst und wer dir folgt, ist öffentlich einsehbar.
• Zusagen sind genau so sichtbar, wie du es pro Veranstaltung eingestellt hast (siehe Abschnitt 6).
• Nachrichteninhalte sehen ausschließlich die Beteiligten der Unterhaltung; Gruppeninhalte und Mitgliederlisten nur die Mitglieder der jeweiligen Gruppe.

12. Eingesetzte Dienstleister

Supabase — Datenbank, Anmeldung und Dateispeicher. Sämtliche Konto-, Profil-, Zusage-, Gruppen- und Nachrichtendaten werden dort verarbeitet. Die Daten liegen in der Region Frankfurt am Main (Amazon Web Services, eu-central-1), also innerhalb der Europäischen Union.

MapTiler — Kartendarstellung. Beim Laden der Karte wird deine IP-Adresse an den Kartendienst übertragen, da die Kartenkacheln direkt von dort abgerufen werden. Anbieter ist die MapTiler AG mit Sitz in der Schweiz; für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

Hosting der Website — die Website wird bei Vercel betrieben. Dabei fallen die in Abschnitt 10 genannten technischen Verbindungsdaten an.

Mit den eingesetzten Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Über die genannten Anbieter hinaus gebe ich keine personenbezogenen Daten weiter. Es findet kein Verkauf und keine Weitergabe zu Werbezwecken statt.

13. Cookies und lokale Speicherung

Was geht? verwendet keine Analyse-, Tracking- oder Werbetechnologien. Es sind keine Zählpixel, keine Werbenetzwerke und keine Statistikdienste eingebunden.

Gespeichert wird ausschließlich, was für den Betrieb nötig ist: im Browser ein Cookie für deine Anmeldesitzung, in der mobilen App der entsprechende Sitzungsschlüssel im lokalen App-Speicher. Beides ist zur Bereitstellung des ausdrücklich gewünschten Dienstes unbedingt erforderlich, weshalb nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich ist. Aus demselben Grund zeigt Was geht? kein Cookie-Banner.

14. Speicherdauer und Löschung

Konto- und Profildaten werden gespeichert, solange dein Konto besteht. Löschst du dein Konto, werden die damit verknüpften Daten gelöscht: Profil, Zusagen, Follow-Verknüpfungen, Gruppenmitgliedschaften und Profilbild.

Nachrichten sind Teil einer Unterhaltung mit anderen. Beim Löschen deines Kontos werden auch die von dir gesendeten Nachrichten entfernt; die Unterhaltung selbst kann für die übrigen Beteiligten mit deren eigenen Nachrichten bestehen bleiben.

Veranstaltungs- und Ortsdaten sind keine personenbezogenen Daten und bleiben erhalten. Interne Moderationsprotokolle werden aufbewahrt, solange sie zur Nachvollziehbarkeit von Prüfentscheidungen erforderlich sind.

Für die Löschung deines Kontos genügt eine formlose Nachricht an die oben genannte E-Mail-Adresse.

15. Deine Rechte

Dir stehen gegenüber mir folgende Rechte zu:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21 DSGVO)

Für alle diese Anliegen genügt eine formlose Nachricht an die oben genannte E-Mail-Adresse.

Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Zuständig ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Straße 22, 20459 Hamburg

16. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO statt. Welche Veranstaltungen dir angezeigt werden, ergibt sich aus Datum, Ort und deinen eigenen Filtereinstellungen, nicht aus einer Bewertung deiner Person.

17. Minderjährige

Was geht? richtet sich an Erwachsene und Jugendliche ab 16 Jahren. Für jüngere Personen ist der Dienst nicht bestimmt. Viele der gezeigten Veranstaltungen haben eigene Altersbeschränkungen, die von den Veranstaltern festgelegt werden.

18. Änderungen dieser Erklärung

Ändert sich der Funktionsumfang von Was geht?, wird diese Erklärung angepasst. Maßgeblich ist die jeweils hier veröffentlichte Fassung mit dem oben genannten Stand.