Datenschutz

1. Verantwortliche

Für Ihr Konto, die Anmeldung, Push-Benachrichtigungen und den Betrieb der Plattform ist verantwortlich:

Für die Daten innerhalb einer Gruppe (zum Beispiel Termine, Besetzung, Gagen, Kunden und Rechnungen) ist die jeweilige Gruppe verantwortlich, gleich in welcher Rechtsform; bei einer losen Gruppe ohne eigene Rechtsform die Person, die die Gruppe in Verleihbuch gegründet hat. Die Winhart GmbH verarbeitet diese Daten als Auftragsverarbeiterin im Auftrag der Gruppe (Art. 28 DSGVO). Wer für eine Gruppe verantwortlich ist, erfahren Mitglieder bei der Verwaltung ihrer Gruppe.

2. Welche Daten

• Konto: E-Mail-Adresse und Passwort (nur als Hash gespeichert).
• Profil: Name, Telefonnummer, Anschrift, Instrumente.
• Gruppendaten: Termine, Antworten auf Umfragen, Abwesenheiten, Besetzung, Gagen, Rechnungen, GEMA-Nachweise und Dokumente.
• Geräte-Kennungen für Push-Benachrichtigungen (Push-Token), solange Sie Push auf einem Gerät eingeschaltet haben.
• Technische Protokolle: Anmeldungen, Fehlercodes und ein Änderungsprotokoll der Gruppendaten.
• Anfragen, die über das Website-Formular einer Gruppe eingehen.

3. Zwecke und Rechtsgrundlagen

• Bereitstellung der App und ihrer Funktionen (Art. 6 Abs. 1 lit. b DSGVO).
• Gesetzliche Aufbewahrung, insbesondere von Rechnungen (Art. 6 Abs. 1 lit. c DSGVO).
• Sicherheit des Betriebs und Fehlersuche (Art. 6 Abs. 1 lit. f DSGVO).

Es gibt keine Werbung, kein Tracking und keine Weitergabe Ihrer Daten zu Werbezwecken.

4. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein, jeweils auf Grundlage eines Vertrags zur Auftragsverarbeitung:

• Urlaubswerk GmbH (Wilhelm-Fink-Str. 2a, 94526 Metten, mit uns verbundenes Unternehmen): Bereitstellung des Servers über die Hetzner Online GmbH (Standorte in Deutschland) und des E-Mail-Versands über die Zoho Corporation B.V. (Rechenzentrum in der EU).
• Supabase, Inc.: Datenbank, Anmeldung und Dateispeicher, Region Frankfurt (eu-central-1). Ein Zugriff aus den USA ist über die Standardvertragsklauseln der EU-Kommission abgesichert.
• Google Firebase Cloud Messaging: Zustellung von Push-Benachrichtigungen. Dabei ist eine Übermittlung in die USA möglich; sie ist über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert.
• Optional Sentry: Fehlerberichte ohne Namen, Adressen und Links, nur wenn die Fehlerberichte eingeschaltet sind.

5. Speicherdauer

• Konto- und Profildaten: bis zur Löschung des Kontos.
• Rechnungen: 10 Jahre (gesetzliche Aufbewahrungspflicht).
• Versandprotokoll der Benachrichtigungen: 1 Jahr.
• Protokolle geplanter Aufgaben: 14 Tage.
• Nie bestätigte Konten: 30 Tage.
• Entfernte Dokumente: 90 Tage.
• Sicherungen der Datenbank: 7 Tage. Sobald die zusätzliche verschlüsselte Sicherung eingerichtet ist: wöchentliche Stände 8 Wochen, monatliche 12 Monate, jährliche 10 Jahre (wegen der Aufbewahrungspflicht).

6. Ihre Rechte

• Auskunft und Datenübertragbarkeit: unter „Meine Daten und Konto“ laden Sie alle Angaben zu Ihnen als Datei herunter.
• Berichtigung: in Ihrem Profil.
• Löschung: unter „Meine Daten und Konto“, Einzelheiten unter Konto löschen.
• Einschränkung der Verarbeitung und Widerspruch.
• Beschwerde bei einer Aufsichtsbehörde, zum Beispiel beim Bayerischen Landesamt für Datenschutzaufsicht.

7. Cookies

Wir verwenden nur technisch notwendige Cookies für Ihre Anmeldung (Sitzung). Es gibt keine Analyse- oder Werbe-Cookies.

8. Gruppe gründen

Wenn Sie über „Gruppe gründen“ eine neue Gruppe anlegen, ist bis zur Anlage der Gruppe die Winhart GmbH (Wilhelm-Fink-Str. 2a, 94526 Metten) verantwortlich. Mit der Gründung schließen Sie mit ihr einen Vertrag über die Nutzung von Verleihbuch.

• Daten: Vorname, Nachname, E-Mail-Adresse, Gruppenname sowie Rechtsform und Anschrift der Gruppe. Die IP-Adresse wird nicht im Klartext gespeichert, sondern nur als nicht umkehrbarer Prüfwert (HMAC) für die Bremse gegen Missbrauch.
• Zwecke: die Gruppe anlegen, Missbrauch (Massenanmeldungen) verhindern und den Vertragsschluss nachweisen. Neue Gruppen werden vom Betreiber geprüft, bevor Einladungen, Rechnungen und die Website-Anbindung freigeschaltet werden; dabei sieht der Betreiber die Angaben zur Gruppe.
• Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. f DSGVO (Schutz vor Missbrauch).
• Speicherdauer: der Bestätigungslink gilt 24 Stunden. Die Gründungsanfrage selbst wird nach 7 Tagen gelöscht (danach stehen die Angaben nur noch in Ihrer Gruppe), die Prüfwerte der Missbrauchsbremse nach 1 Tag. Eine abgelehnte Gruppe wird nach 30 Tagen bereinigt.
• Die Annahme von AGB und AV-Vertrag wird mit Version und Zeitpunkt gespeichert, solange der Vertrag besteht, und danach so lange, wie gesetzliche Aufbewahrungsfristen es verlangen.

9. Kontakt

Fragen zum Datenschutz richten Sie bitte an info@winhart.gmbh.