Datenschutz · Dutchbeard

Wie ich personenbezogene Daten innerhalb der Dutchbeard-Dienste verarbeite und schütze.

Unter "Dutchbeard-Dienste" verstehe ich in dieser Erklärung: dieses Kontoportal (account.dutchbeard.nl), die zugehörigen Apps (darunter RailBox und Dienstkaartje.nl) sowie alle übrigen Websites und Anwendungen, die ich unter dem Namen Dutchbeard anbiete. Ihre Dutchbeard ID funktioniert zentral für alle diese Dienste: eine Anmeldung, ein Wallet, ein Satz personenbezogener Daten.

1. Verantwortlicher

Die Dutchbeard-Dienste werden von mir, Dutchbeard, mit Sitz in den Niederlanden, betrieben. Im Sinne der Datenschutz-Grundverordnung (DSGVO) bin ich Verantwortlicher für die in dieser Erklärung beschriebenen Verarbeitungen. Für Fragen oder Anträge erreichen Sie mich über brievenbus@dutchbeard.nl.

2. Welche Daten ich verarbeite

Wenn Sie die Dutchbeard-Dienste nutzen, kann ich die folgenden Daten verarbeiten:

Kontodaten. E-Mail-Adresse, Name, Anzeigename, optionales Profilbild und der Zeitpunkt, zu dem Ihre E-Mail-Adresse bestätigt wurde.
Anmelde- und Sicherheitsdaten. Passwort-Hash, Status der Zwei-Faktor-Authentifizierung (2FA), etwaige Wiederherstellungscodes und Informationen über aktive Sitzungen (Gerät, Browser, IP-Adresse, Zeitpunkt der letzten Aktivität).
Wallet- und Credit-Daten. Guthaben, Transaktionen und die zugehörigen Metadaten. Siehe auch Abschnitt 5 (Zahlungen) der Allgemeinen Geschäftsbedingungen zum Zahlungsablauf.
Spendendaten. Betrag, optionale Nachricht, ob Ihr Name auf der Unterstützerseite sichtbar sein darf, und der Zeitpunkt der Spende.
Push-Token. Wenn Sie Benachrichtigungen in einer Dutchbeard-App aktiviert haben, registriere ich das zugehörige Push-Token (FCM), damit ich Benachrichtigungen an das richtige Gerät senden kann. Der Inhalt des Tokens selbst ist für mich außerhalb des Versands von Benachrichtigungen nicht lesbar.
App-spezifische Daten. Für einige Apps verarbeite ich zusätzliche Daten, die für diese App spezifisch sind, wie einen API-Schlüssel für treinposities.nl, Datenschutzeinstellungen für dienstkaartje.nl oder von Ihnen hochgeladene Dateien für serverintensive Aufgaben. App-bezogene Verarbeitungen werden, soweit sie zusätzlich sind, in der jeweiligen App selbst erläutert.
Zahlungsdaten. Für das Aufladen von Credits und das Tätigen von Spenden verarbeite ich lediglich eine Transaktions-ID, den gezahlten Betrag, den Zahlungszeitpunkt und Ihre E-Mail-Adresse. Karten- oder Bankkontodaten werden direkt beim Zahlungsdienstleister (Stripe) eingegeben und von mir nicht gespeichert.
Technische Daten und Protokollierung. IP-Adresse, User-Agent, Spracheinstellung und technische Fehlermeldungen, die erforderlich sind, um die Dutchbeard-Dienste funktionsfähig und sicher zu halten und Probleme analysieren zu können.
Kontaktformular. Wenn Sie das öffentliche Kontaktformular nutzen, verarbeite ich Ihren Namen, Ihre E-Mail-Adresse, den Betreff und die Nachricht. Sie benötigen dafür kein Dutchbeard-Konto. Ich halte auch fest, welche Fassung dieser Datenschutzerklärung beim Absenden angezeigt wurde. Die IP-Adresse wird nicht zusammen mit der Kontaktnachricht gespeichert. Übermitteln Sie über das Freitextfeld keine besonderen oder sonstigen personenbezogenen Daten, die für Ihre Anfrage nicht erforderlich sind.

3. Warum ich Daten verarbeite und auf welcher Rechtsgrundlage

Ich verarbeite Ihre Daten zu den folgenden Zwecken, jeweils auf der Grundlage der in der DSGVO genannten Rechtsgrundlagen:

Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Das Erstellen und Verwalten Ihrer Dutchbeard ID, die Anmeldung bei den Dutchbeard-Diensten, die Ausführung serverintensiver Aufgaben, für die Sie Credits verwenden, die Abwicklung von Zahlungen und die Führung Ihrer Wallet- und Spendenhistorie.
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO). Erfüllung steuerlicher und buchhalterischer Aufbewahrungspflichten für Zahlungsdaten.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Sicherheit, Betrugsprävention, Missbrauchsbekämpfung (etwa das Erkennen ungewöhnlicher Anmeldeversuche), die Analyse technischer Fehler, das Führen anonymer Besuchsstatistiken (siehe Abschnitt 7, Cookies und Tracking) und die allgemeine Verbesserung der Stabilität und Qualität der Dutchbeard-Dienste.
Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Der Versand von Push-Benachrichtigungen und, soweit zutreffend, die Anzeige Ihres Namens und einer optionalen Nachricht auf der öffentlichen Unterstützerseite. Sie können diese Einwilligung jederzeit über das Portal oder die betreffende App widerrufen.
Bearbeitung von Kontaktanfragen (Art. 6 Abs. 1 lit. f DSGVO). Ich verarbeite die Daten aus dem Kontaktformular auf Grundlage meines berechtigten Interesses, Fragen, Anmerkungen und sonstige Kontaktanfragen empfangen, prüfen, administrativ bearbeiten und beantworten zu können. Dabei verarbeite ich nur die dafür erforderlichen Daten.

Ich verwende Ihre Daten nicht zu Werbezwecken oder für personalisiertes Profiling.

4. Aufbewahrungsfristen

Ich bewahre Ihre Daten nicht länger auf, als für die oben beschriebenen Zwecke erforderlich ist. Konkret bedeutet das:

Konto- und Profildaten bewahre ich auf, solange Ihre Dutchbeard ID aktiv ist. Nach Löschung Ihrer Dutchbeard ID werden diese Daten innerhalb einer angemessenen Frist gelöscht oder anonymisiert, mit Ausnahme von Daten, die ich aufgrund einer gesetzlichen Pflicht länger aufbewahren muss.
Zahlungs- und Spendendaten bewahre ich in der Buchhaltung bis zum Ende der gesetzlichen steuerlichen Aufbewahrungspflicht auf (in den Niederlanden in der Regel sieben Jahre).
Sitzungs- und Sicherheitsdaten werden aufbewahrt, solange die Sitzung aktiv ist, und danach noch kurz zu Sicherheits- und Betrugszwecken.
Technische Protokolle werden so lange aufbewahrt, wie es zur Behebung von Störungen und zur Erkennung von Missbrauch erforderlich ist, und anschließend automatisch gelöscht oder aggregiert.
Uploads für serverintensive Aufgaben werden nicht länger aufbewahrt, als für die Ausführung der angeforderten Aufgabe erforderlich ist; siehe Abschnitt 6 (Uploads und Nutzerinhalte) der Allgemeinen Geschäftsbedingungen.
Kontaktnachrichten bewahre ich höchstens 6 Monate nach der letzten inhaltlichen Bearbeitung auf. Danach lösche ich die Nachricht, es sei denn, eine längere Aufbewahrung ist aufgrund einer gesetzlichen Pflicht oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich.

Nicht verifizierte Konten

Wenn Sie eine Dutchbeard ID erstellen, müssen Sie Ihre E-Mail-Adresse verifizieren, um Ihr Konto zu aktivieren. Wenn Sie Ihre E-Mail-Adresse nicht verifizieren, erhalten Sie nach 3 Tagen eine Erinnerung. Ist das Konto danach noch immer nicht verifiziert, erhalten Sie 24 Stunden vor der Löschung des Kontos eine letzte Erinnerung.

Nicht verifizierte Konten werden 7 Tage nach der Erstellung automatisch aus den aktiven Systemen gelöscht. Personenbezogene Daten, die ausschließlich für die Erstellung und Verwaltung dieser Registrierung verarbeitet werden, werden dabei ebenfalls gelöscht, es sei denn, es besteht eine gesetzliche Verpflichtung oder eine andere gültige Rechtsgrundlage, bestimmte Daten länger aufzubewahren.

Daten eines gelöschten Kontos können nach der Löschung noch vorübergehend in gesicherten Backups vorhanden sein. Backups werden nach einer festen Rotation höchstens 6 Tage aufbewahrt und danach automatisch überschrieben oder gelöscht. Backups werden ausschließlich für Wiederherstellungs- und Kontinuitätszwecke verwendet und nicht, um gelöschte Konten erneut aktiv zu verarbeiten.

5. Weitergabe an Dritte

Ich gebe Ihre Daten nur an Dritte weiter, wenn dies für die Erbringung der Dutchbeard-Dienste erforderlich ist oder wenn ich dazu gesetzlich verpflichtet bin. Die wichtigsten Kategorien von Auftragsverarbeitern, mit denen ich zusammenarbeite:

Zahlungsdienstleister: Stripe Payments Europe Ltd. (Irland) verarbeitet Zahlungen für Credits und Spenden. Siehe Abschnitt 5 (Zahlungen) der Allgemeinen Geschäftsbedingungen.
Hosting und CDN: Parteien, die die Server und das Content-Delivery- Netzwerk bereitstellen, auf denen die Dutchbeard-Dienste laufen (darunter Bunny CDN für statische Assets).
Push-Benachrichtigungen: Google (Firebase Cloud Messaging) stellt die Push-Infrastruktur bereit, mit der Benachrichtigungen an Ihr Gerät zugestellt werden, wenn Sie diese aktiviert haben.
E-Mail-Versand: ein Anbieter für transaktionale E-Mails für den Versand von Verifizierungs- und Sicherheits-E-Mails (beispielsweise Passwort-Zurücksetzung).

Ich verkaufe Ihre Daten nicht und gebe sie nicht für Marketing- oder Werbezwecke Dritter weiter.

6. Übermittlung außerhalb des Europäischen Wirtschaftsraums

Einige Auftragsverarbeiter (insbesondere Google im Rahmen von Push-Benachrichtigungen) können Daten auf Servern außerhalb des Europäischen Wirtschaftsraums (EWR) verarbeiten. In diesem Fall stütze ich diese Übermittlung auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln oder einen anderen geeigneten Übermittlungsmechanismus aus der DSGVO. Soweit möglich wähle ich Auftragsverarbeiter mit einer im EWR ansässigen Einheit.

7. Cookies und Tracking

Die Dutchbeard-Dienste verwenden ausschließlich notwendige Cookies und lokale Speicherung für das Funktionieren der Dienste (beispielsweise um Ihre Anmeldesitzung und Ihre Design-Präferenz zu speichern). Ich verwende auf keiner Dutchbeard-Domain Werbe- oder Tracking-Cookies Dritter.

Um zu sehen, wie stark die Dutchbeard-Dienste genutzt werden, führe ich auf einem selbst verwalteten Server eine anonyme Zählung von Seitenaufrufen und allgemeinen Besuchsstatistiken. Dabei werden keine personenbezogenen Daten erfasst, die auf Sie zurückzuführen sind, und es wird kein Profil von Ihnen erstellt. Diese Messungen werden nicht an Dritte weitergegeben und nicht mit Ihrer Dutchbeard ID verknüpft. Nach dem niederländischen Cookie-Recht fallen derartige datenschutzfreundliche Statistiken unter die Ausnahme für Analysen, und es ist dafür keine Einwilligung erforderlich.

Siehe die Cookie-Erklärung für den vollständigen Überblick.

8. Sicherheit

Ich treffe angemessene technische und organisatorische Maßnahmen, um Ihre Daten vor Missbrauch, Verlust, unbefugtem Zugriff und unerwünschter Offenlegung zu schützen. Unter anderem:

Der Verkehr zwischen Ihrem Gerät und den Dutchbeard-Diensten läuft über eine verschlüsselte Verbindung (HTTPS).
Passwörter werden ausschließlich als Hash (abgeleiteter Wert) und niemals als lesbarer Text gespeichert.
Sitzungen sind so aufgebaut, dass der Teil der Anmeldedaten, der einen langlebigen Zugriff darstellt, für Skripte in Ihrem Browser nicht zugänglich ist.
Zwei-Faktor-Authentifizierung (2FA) steht zum zusätzlichen Schutz Ihrer Dutchbeard ID zur Verfügung.
Der Zugang zu Produktionsumgebungen ist auf die Personen beschränkt, die ihn technisch benötigen.
Verdächtige Aktivitäten werden automatisch erkannt, und bei Bedarf gelten Rate-Limits und Sperren.

Keine Sicherheitsvorkehrung ist hundertprozentig lückenlos; sollte es trotz dieser Maßnahmen zu einer Datenschutzverletzung kommen, werde ich diese gemäß der DSGVO behandeln und, soweit erforderlich, der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) und den betroffenen Nutzern melden.

9. Minderjährige

Die Dutchbeard-Dienste richten sich nicht speziell an Kinder unter sechzehn Jahren. Wenn Sie jünger als sechzehn sind, können Sie nur mit Zustimmung eines Elternteils oder Erziehungsberechtigten eine Dutchbeard ID erstellen oder kostenpflichtige Funktionen (wie Credits) nutzen. Vermuten Sie, dass ich unbeabsichtigt Daten einer minderjährigen Person ohne diese Zustimmung verarbeite? Dann kontaktieren Sie mich, damit ich diese Daten löschen kann.

10. Automatisierte Entscheidungsfindung

Ich verwende keine automatisierte Entscheidungsfindung oder Profiling, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in erheblichem Maße beeinträchtigt. Automatische Sicherheitsmaßnahmen (wie Rate-Limits oder das vorübergehende Sperren verdächtiger Anmeldeversuche) dienen ausschließlich der Sicherheit der Dutchbeard-Dienste.

11. Ihre Rechte

Nach der DSGVO haben Sie unter anderem die folgenden Rechte in Bezug auf Ihre personenbezogenen Daten:

Auskunft: eine Übersicht darüber anfordern, welche Daten ich von Ihnen verarbeite.
Berichtigung: unrichtige oder unvollständige Daten korrigieren lassen.
Löschung: die Löschung Ihrer Daten verlangen ("Recht auf Vergessenwerden"), soweit keine gesetzliche Aufbewahrungspflicht oder ein anderes überwiegendes Interesse entgegensteht. Darüber hinaus können Sie Ihre Dutchbeard ID selbst direkt über Profil im Portal löschen; Sie bestätigen dies mit einem Code, den ich an Ihre E-Mail-Adresse sende, woraufhin die Löschung endgültig ist. Ihr offenes Guthaben verfällt dabei, und Ihre Spenden werden anonymisiert.
Einschränkung: die vorübergehende Einschränkung der Verarbeitung verlangen.
Datenübertragbarkeit: eine strukturierte, maschinenlesbare Kopie bestimmter von Ihnen bereitgestellter Daten erhalten oder übermitteln lassen.
Widerspruch: der Verarbeitung auf Grundlage eines berechtigten Interesses widersprechen.
Widerruf der Einwilligung: die Einwilligung für Verarbeitungen, die auf dieser Grundlage beruhen (wie Push-Benachrichtigungen), jederzeit widerrufen, ohne dass dies rückwirkende Auswirkungen auf bereits erfolgte Verarbeitungen hat.
Beschwerde bei der Aufsichtsbehörde: eine Beschwerde bei der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) einreichen, wenn Sie der Ansicht sind, dass ich Ihre Daten nicht ordnungsgemäß verarbeite.

Zur Ausübung dieser Rechte können Sie mich über die in Abschnitt 13 (Kontakt) genannte Adresse kontaktieren. Ich kann Sie um zusätzliche Informationen bitten, mit denen ich feststellen kann, dass der Antrag tatsächlich von Ihnen stammt.

12. Änderungen dieser Erklärung

Ich kann diese Datenschutzerklärung von Zeit zu Zeit anpassen, beispielsweise weil ich neue Funktionen einführe oder weil sich Vorschriften ändern. Das Datum oben in diesem Dokument gibt an, wann die Erklärung zuletzt geändert wurde. Bei wesentlichen Änderungen informiere ich registrierte Nutzer in angemessener Weise im Voraus, beispielsweise per E-Mail oder über eine Mitteilung im Portal.

13. Kontakt

Haben Sie Fragen zu dieser Datenschutzerklärung oder möchten Sie von Ihren Rechten Gebrauch machen? Dann erreichen Sie mich auf folgenden Wegen:

Kontaktformular: über das Kontaktformular auf der Website.
E-Mail: brievenbus@dutchbeard.nl.

Ich bemühe mich, innerhalb einer angemessenen Frist zu antworten, kann jedoch keine festen Reaktionszeiten garantieren.

Sprachfassung

Dieser deutsche Text ist eine Übersetzung zur Erleichterung. Rechtlich verbindlich ist die niederländische Fassung dieses Dokuments; bei Abweichungen zwischen beiden Fassungen ist die niederländische Fassung maßgeblich.