Entwurf - wird vor dem Start finalisiert.

Datenschutzerklärung - act2

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform ist:

Daniel Wiegand Am Leimbach 9 68723 Oftersheim E-Mail: kontakt@act2.community

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht benannt.

2. Grundsätze und Überblick

act2 ist eine kuratierte Peer-Group-Plattform. Datenschutz und Vertraulichkeit sind Teil des Produktversprechens. Zwei Prinzipien prägen die Verarbeitung:

Pseudonymität: Innerhalb der Plattform trittst du ausschließlich unter einem selbstgewählten Pseudonym auf. Dein bürgerlicher Name (Klarname) ist für andere Mitglieder und für Moderierende nicht sichtbar.
Verschlüsselung: Dein Klarname und deine Rechnungsadresse werden - sofern erhoben - verschlüsselt gespeichert (AES-256-GCM) und sind ausschließlich für eine eng begrenzte Administrationsrolle zum Zweck der Abrechnung entschlüsselbar.

3. Verarbeitete Daten, Zwecke und Rechtsgrundlagen

3.1 Registrierung und Konto

Daten: E-Mail-Adresse, Pseudonym, Passwort (nur als kryptografischer Hash gespeichert), Rolle/Status. Zweck: Bereitstellung des Nutzerkontos und der Plattform. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Mitgliedschaft).

3.2 Profil

Daten: optionale Profilangaben (z. B. berufliche Phase/Funktionsebene) sowie deine Sichtbarkeitseinstellungen (Standard: verborgen/opt-in). Zweck: Teilnahme an der Community im von dir gewählten Umfang. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie, soweit du Angaben freiwillig sichtbar machst, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar).

3.3 Peer-Groups, Sessions, Teilnahme

Daten: Gruppen-/Sessionzugehörigkeit, Teilnahmestatus. Zweck: Organisation der Peer-Group-Arbeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Chatham House Rule: Inhalte aus Sessions werden nur anonymisiert/aggregiert verarbeitet; es werden keine individuell identifizierenden Session-Details ausgewertet.

3.4 Premium-Mitgliedschaft, Zahlung und Rechnung

Für die kostenpflichtige Mitgliedschaft (SEPA-Lastschrift) werden zusätzlich erhoben: Kontoinhaber-Name (Klarname), Rechnungsadresse und IBAN.

Klarname und Rechnungsadresse werden verschlüsselt gespeichert (AES-256-GCM), nur für die Administrationsrolle zur Rechnungsstellung entschlüsselbar.
Die IBAN wird nicht dauerhaft bei act2 gespeichert; sie wird ausschließlich zur Mandatserteilung an den Zahlungsdienstleister (Abschnitt 4) übermittelt.
Tarif, Mitgliedschaftsstatus und Rechnungsdaten (Nummer, Datum, Betrag, USt).

Zweck: Vertragsabwicklung und Zahlung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, insb. §§ 14, 14a UStG, Aufbewahrungspflichten).

3.5 Einwilligungen (Nachweis)

Bei Abschluss erteilte Zustimmungen (z. B. zu Datenschutz, Gruppenregeln, SEPA- Mandat) werden mit Zeitpunkt und Version protokolliert. Zweck: Nachweis nach Art. 7 Abs. 1 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO sowie unser berechtigtes Interesse an der Nachweisbarkeit (Art. 6 Abs. 1 lit. f DSGVO).

3.6 Transaktions-E-Mails

Daten: E-Mail-Adresse, Pseudonym, Tarif. Zweck: für den Vertrag erforderliche Benachrichtigungen (z. B. Aktivierungs- und Zahlungs-Statusmeldungen). Es werden keine werblichen Newsletter ohne gesonderte Einwilligung versendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.7 Server-Logs und Sicherheit

Beim Betrieb fallen technische Protokolldaten an (z. B. Zeitpunkt, angefragte Ressource, technische Fehler), die der Stabilität und Sicherheit dienen. Es werden keine umfangreichen IP-basierten Profile gebildet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Sicherheit).

3.8 Reichweitenmessung (Plausible Analytics)

Zur Verbesserung des Angebots setzen wir Plausible Analytics ein - eine datenschutzfreundliche Reichweitenmessung. Plausible verwendet keine Cookies, speichert keine personenbezogenen Daten und keine vollständigen IP-Adressen und ermöglicht keine Wiedererkennung einzelner Personen; es werden ausschließlich aggregierte Kennzahlen erhoben. Ein Cookie-Consent-Banner ist hierfür nicht erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer reichweitenbezogenen, datensparsamen Statistik). Betrieb: self-gehostet auf eigener Infrastruktur in der EU (Coolify).

4. Empfänger / Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) bzw. die jeweils erforderlichen Grundlagen bestehen:

Supabase - Datenbank-/Backend-Hosting, Region Frankfurt (eu-central-1). Speicherung der Plattformdaten. [PLATZHALTER: Anbieter/Vertragspartner + DPA; bei Konzernmutter in den USA ggf. Standardvertragsklauseln.]
Vercel - Hosting/Auslieferung der Web-Anwendung. [PLATZHALTER: Vercel Inc., USA; DPA + Standardvertragsklauseln/EU-US Data Privacy Framework. Hinweis: eine Migration auf EU-Infrastruktur (Hetzner) ist vorgesehen.]
Mollie B.V. (Niederlande) - Zahlungsdienstleister für SEPA-Lastschrift (Mandat, Einzug). Verarbeitung von Name, Anschrift, IBAN und Zahlungsstatus. [PLATZHALTER: Rolle Mollies (Auftragsverarbeiter bzw. eigenständig Verantwortlicher für Zahlungsdaten) anwaltlich/mit Mollie-DPA festlegen.]
E-Mail-Versand / Automation - Die Automation (n8n) wird self-gehostet auf eigener Infrastruktur betrieben; sie ist daher kein externer Auftragsverarbeiter (analog Plausible), ein AV-Vertrag ist hierfür nicht erforderlich. Der Versand der E-Mails erfolgt über einen ebenfalls self-gehosteten Mailserver auf eigener Infrastruktur (Hetzner, EU); auch hierfür besteht kein externer Auftragsverarbeiter.
Plausible - Reichweitenmessung (siehe 3.8). Bei Self-Hosting kein externer Empfänger.

5. Übermittlung in Drittländer

Soweit Dienstleister Daten außerhalb der EU/des EWR verarbeiten (z. B. US-Anbieter), erfolgt dies auf Grundlage geeigneter Garantien - insbesondere Standardvertragsklauseln und/oder eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework). [PLATZHALTER: konkrete Anbieter/Übermittlungen anwaltlich prüfen; Ziel ist die Verarbeitung innerhalb der EU.]

6. Speicherdauer und Löschung

Konto-/Profildaten: bis zur Löschung des Kontos bzw. solange die Mitgliedschaft besteht; danach Löschung, soweit keine Aufbewahrungspflichten entgegenstehen.
Rechnungen / steuerrelevante Unterlagen: Aufbewahrung nach §§ 147 AO, 257 HGB (in der Regel 10 Jahre).
Einwilligungs-Nachweise: für die Dauer der Nachweispflicht.
Aggregierte Reichweitenstatistik: ohne Personenbezug, keine personenbezogene Speicherdauer.

7. Deine Rechte

Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Zur Ausübung genügt eine Nachricht an kontakt@act2.community.

Außerdem hast du das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist u. a. der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW), Lautenschlagerstraße 20, 70173 Stuttgart.

8. Pflicht zur Bereitstellung; automatisierte Entscheidungen

Die Bereitstellung der für Konto und Vertrag erforderlichen Daten ist für die Nutzung notwendig; ohne sie kann die (Premium-)Mitgliedschaft nicht durchgeführt werden. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

9. Sicherheit (technische und organisatorische Maßnahmen)

Wir treffen u. a. folgende Maßnahmen: Transportverschlüsselung (TLS), Verschlüsselung sensibler Inhalte (Klarname, Rechnungsadresse: AES-256-GCM), Pseudonymisierung als Standard, strenge Zugriffskontrollen auf Datenbankebene (Row-Level-Security, rollenbasierte Berechtigungen), Datensparsamkeit (die IBAN wird nicht dauerhaft gespeichert) und Trennung von Klar- und Anzeigedaten.

10. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils aktuelle, hier veröffentlichte Fassung.

Stand: [PLATZHALTER: Datum]