Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Muhammed Enes Karademir
Sadaqa Now (Einzelunternehmen)
Cranachstraße 1
64546 Mörfelden-Walldorf
Deutschland

Telefon: +49 159 04833794
E-Mail: sadaqa-now.de@outlook.de
Website: https://sadaqa-now.de
USt-IdNr.: DE460308746

2. Grundsätzliches zur Datenverarbeitung

2.1 Beschreibung des Dienstes

Sadaqa Now ist eine SaaS-Plattform zur Verwaltung von Anzeigegeräten in Moscheen. Die Plattform ermöglicht es Moscheegemeinden, Gebetszeiten zu verwalten, Spendenprodukte zu konfigurieren, Echtzeit-Dashboards auf Geräten anzuzeigen und ihr Abonnement zu verwalten. Es gibt zwei Nutzergruppen:

• Geräteinhaber (Device Owners): Registrierte Nutzer, die über das Web-Dashboard (das „Studio“) Geräte verwalten, das Abonnement ihrer Gemeinde über Stripe bezahlen, Gebetszeiten konfigurieren, die App-Anzeige einrichten und Spenden verwalten.
• Spender (Donors): Personen, die am physischen Gerät über ein SumUp Solo Kartenlesegerät spenden. Spender haben kein Nutzerkonto auf unserer Plattform und werden nicht von uns als Nutzer geführt.

2.2 Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt stets im Einklang mit der DSGVO. Folgende Rechtsgrundlagen kommen zur Anwendung:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z. B. optionale Zwei-Faktor-Authentifizierung, Google OAuth)
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (z. B. Registrierung, Lizenzverwaltung, Zahlungsabwicklung)
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung (z. B. steuer- und handelsrechtliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (z. B. IT-Sicherheit, Missbrauchsprävention, Protokollierung)

2.3 SSL-/TLS-Verschlüsselung

Unsere Website und API nutzen aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung (Let's Encrypt). Dadurch werden übertragene Daten vor dem Zugriff Dritter geschützt. Eine verschlüsselte Verbindung erkennen Sie am Schloss-Symbol in der Adresszeile Ihres Browsers und an der Adresszeile "https://".

2.4 Kein externes Tracking

Wir setzen keine externen Analyse- oder Tracking-Dienste ein (kein Google Analytics, keine Tracking-Pixel, keine Werbe-SDKs). Alle internen Analysen (z. B. Spendenstatistiken für Geräteinhaber) erfolgen ausschließlich auf unseren eigenen Servern in Deutschland.

3. Registrierung und Nutzerkonto (Geräteinhaber)

3.1 Erhobene Daten bei der Registrierung

Bei der Registrierung als Geräteinhaber erheben und verarbeiten wir folgende personenbezogene Daten:

• Name
• E-Mail-Adresse
• Passwort (als bcrypt-Hash mit 12 Runden gespeichert, nie im Klartext)
• Account-Typ (Gemeinde/Standard)
• Gemeindename (bei Account-Typ "Gemeinde")
• Telefonnummer (optional)
• Adressdaten (optional)
• USt-IdNr. (optional)
• Bevorzugte Sprache
• Geburtsdatum (optional)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Zweck: Bereitstellung des Nutzerkontos, Verwaltung der Lizenzen und Geräte
Speicherdauer: Für die Dauer der Vertragsbeziehung; nach Kontolöschung werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen

3.2 Zwei-Faktor-Authentifizierung (2FA)

Wir bieten optionale Zwei-Faktor-Authentifizierung über das TOTP-Verfahren an. Bei Aktivierung werden folgende Daten gespeichert:

• TOTP-Secret
• Backup-Codes (nur als Hash gespeichert)

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Speicherdauer: Bis zur Deaktivierung der 2FA durch den Nutzer

3.3 Teamverwaltung

Geräteinhaber können Teammitglieder einladen. Dabei werden Name, E-Mail-Adresse, zugewiesene Rolle (Eigentümer, Verwaltung, Finanzen, Redaktion, Bildschirme, Lesezugriff), gegebenenfalls die Anzeigegeräte, auf die eine Mitgliedschaft beschränkt ist, sowie ein zeitlich begrenzter Einladungstoken verarbeitet. Teamaktivitäten (Einladungen, Rollenänderungen, Entfernungen) und weitere Änderungen in der Gemeinde werden im Protokoll der Gemeinde mit Zeitpunkt, handelnder Person, IP-Adresse und Browserkennung festgehalten. Die Einträge des Protokolls dienen als Nachweis und werden nicht gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

4. Spenden am Gerät (Spender)

Spenden am physischen Gerät werden über ein SumUp Solo Kartenlesegerät abgewickelt. Hierbei gelten folgende Grundsätze:

• Sadaqa Now verarbeitet keine Zahlungsdaten der Spender. Kartendaten (Kartennummer, CVV etc.) werden ausschließlich von SumUp als unabhängigem Zahlungsdienstleister verarbeitet. Sadaqa Now hat zu keinem Zeitpunkt Zugriff auf diese Daten.
• Die Spende wird über das SumUp-Konto des jeweiligen Geräteinhabers (der Moscheegemeinde) abgewickelt. Der Geräteinhaber ist der Vertragspartner von SumUp.
• Sadaqa Now speichert zu jeder Spende die Transaktionsmetadaten: Spendenbetrag, Währung, Spendenprodukt, Transaktions-ID, Zahlungsstatus, Zeitstempel sowie das Anzeigegerät und das Terminal, an denen gespendet wurde. Namen oder Kontaktdaten müssen Spender am Gerät nicht angeben.
• Nachricht zur Spende: Am Gerät können Spender freiwillig eine kurze Nachricht hinzufügen. Diese Nachricht wird als Beschreibung der Zahlung bei Sadaqa Now gespeichert und an SumUp übermittelt.
• Spendenquittungen: Die Ausstellung von Spendenquittungen liegt in der alleinigen Verantwortung des jeweiligen Geräteinhabers (der Moscheegemeinde). Stellt die Gemeinde eine Zuwendungsbestätigung über die Plattform aus, trägt sie Name und Anschrift der spendenden Person selbst ein. Bietet die Gemeinde die Bestätigung am Anzeigegerät an, trägt die spendende Person Name, Anschrift und E-Mail-Adresse über einen Einmal-Link am eigenen Gerät selbst ein; der Link gilt 24 Stunden, die Bestätigung wird ausgestellt und per E-Mail verschickt. Von der E-Mail-Adresse speichert Sadaqa Now nur bis zum Ablauf des Links einen Prüfwert (Hash), damit ein erneuter Versand nur an dieselbe Adresse geht. Diese Angaben speichert Sadaqa Now zusammen mit der Bestätigung und ihrem PDF. Ausgestellte Bestätigungen lassen sich nicht ändern, nur widerrufen; sie werden zum Ende des zehnten Kalenderjahres nach dem Jahr der Ausstellung automatisch gelöscht (Aufbewahrungspflicht der Gemeinde nach § 50 Abs. 7 EStDV in Verbindung mit § 147 AO).

Wer verantwortlich ist: Für die Spenden am Gerät, die Zuwendungsbestätigungen sowie die Angaben und Unterschriften der Vertretung, die eine Gemeinde im Studio hinterlegt, ist die jeweilige Gemeinde Verantwortlicher. Sadaqa Now verarbeitet diese Daten in ihrem Auftrag als Auftragsverarbeiter nach dem Vertrag zur Auftragsverarbeitung. Fragen zu diesen Daten richten Sie bitte an die Gemeinde; Anfragen, die uns erreichen, leiten wir an sie weiter.

Für die Verarbeitung der Zahlungsdaten der Spender ist ausschließlich SumUp verantwortlich. Bitte beachten Sie die Datenschutzerklärung von SumUp.

5. Zahlungsdienstleister

5.1 Stripe — Lizenzabonnements

Für die Abwicklung der monatlichen Abonnements der Gemeinden (Grundpaket mit einem Bildschirm 50 €/Monat, jeder weitere Bildschirm 30 €/Monat) nutzen wir den Zahlungsdienstleister Stripe. Stripe wird ausschließlich für Lizenz-Zahlungen der Geräteinhaber eingesetzt, nicht für Spenden. Bei der Zahlungsabwicklung werden folgende Daten an Stripe übermittelt:

• Stripe-Kunden-ID (stripeCustomerId)
• Kontakt-E-Mail-Adresse der Gemeinde
• Rechnungsname, Rechnungsadresse und optional die USt-IdNr. (gibt die zahlende Person direkt bei Stripe ein)
• Gewählte Zahlungsmethode
• Interne Kennungen der Gemeinde, der Registrierung und der zahlenden Person sowie die Zahl der Bildschirme (als Metadaten)

Empfänger: Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Drittlandtransfer: Stripe ist unter dem EU-US Data Privacy Framework zertifiziert. Zusätzlich bestehen Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.
Weitere Informationen: Stripe Datenschutzerklärung

5.2 SumUp — Spendenabwicklung am Gerät

Geräteinhaber verknüpfen ihr eigenes SumUp-Konto mit der Plattform, um Spenden am physischen Gerät entgegenzunehmen. Bei der Verknüpfung werden folgende Daten auf unserer Plattform gespeichert:

• SumUp Access-Token (AES-verschlüsselt)
• SumUp Refresh-Token (AES-verschlüsselt)
• SumUp Merchant-ID
• Zugeordnete Terminal-Informationen

Empfänger: SumUp Limited, Block 8, Harcourt Centre, Charlotte Way, Dublin 2, Irland (europäischer Hauptsitz)
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Hinweis: Die Vertragsbeziehung für die Zahlungsabwicklung besteht zwischen dem Geräteinhaber und SumUp. Sadaqa Now tritt lediglich als technischer Vermittler auf.
Weitere Informationen: SumUp Datenschutzerklärung

6. Google OAuth Anmeldung

Wir bieten die Möglichkeit, sich über Google OAuth anzumelden. Bei Nutzung dieser Funktion werden folgende Daten von Google übermittelt und bei uns gespeichert:

• Google-ID
• E-Mail-Adresse
• Name

Die Anmeldung über Google ist freiwillig. Sie können alternativ ein reguläres Konto mit E-Mail-Adresse und Passwort erstellen.

Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Drittlandtransfer: Google ist unter dem EU-US Data Privacy Framework zertifiziert.
Weitere Informationen: Google Datenschutzerklärung

7. Cookies und lokale Speicherung

7.1 Cookies der Webplattform

Unsere Plattform setzt ausschließlich technisch notwendige Cookies ein. Es werden keine Marketing- oder Tracking-Cookies verwendet. Im Einzelnen:

• access_token — JWT-Authentifizierungstoken (httpOnly, secure, sameSite=lax, Gültigkeit: Dauer der Anmeldung, 7 Tage bzw. 30 Tage mit „Gerät für 30 Tage merken“). Dient der sicheren Identifikation der Nutzersitzung.
• refresh_token — Token zur Erneuerung der Anmeldung (httpOnly, secure, sameSite=lax, Gültigkeit wie access_token).
• sn_session — Kennzeichen, dass eine Anmeldung besteht (httpOnly, secure, Gültigkeit wie access_token).
• sn_trusted_device — Wird nur gesetzt, wenn Sie „Gerät für 30 Tage merken“ wählen; auf diesem Gerät entfällt dann der Anmeldecode per E-Mail (httpOnly, secure, Gültigkeit: 30 Tage, bleibt nach dem Abmelden bestehen).
• csrf_token — CSRF-Schutztoken (httpOnly, secure, Gültigkeit: 1 Stunde). Schützt vor Cross-Site-Request-Forgery-Angriffen.
• xsrf_token — CSRF-Token für das Frontend (secure, Gültigkeit: 1 Stunde). Wird vom Frontend für die Token-Validierung ausgelesen.
• NEXT_LOCALE — Die Sprache, die Sie gewählt haben (Deutsch, Türkisch oder Englisch). Es wird nur gesetzt, wenn Sie selbst eine Sprache wählen oder sich anmelden, und sorgt dafür, dass die Seiten beim nächsten Besuch gleich in dieser Sprache erscheinen (secure, sameSite=lax, Gültigkeit: 12 Monate, beim Abmelden gelöscht).
• NEXT_LOCALE_KONTO — Die Sprache Ihres Kontos, nach der sich das Studio richtet. Es wird bei der Anmeldung aus Ihrem Konto gesetzt (secure, sameSite=lax, Gültigkeit: 12 Monate, beim Abmelden gelöscht).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Funktionsfähigkeit). Diese Cookies sind für den Betrieb der Plattform zwingend erforderlich und fallen unter § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), sodass keine gesonderte Einwilligung erforderlich ist.

7.2 Lokale Speicherung in der App der Anzeigegeräte

Die App der Anzeigegeräte (Flutter) speichert lokal auf dem Gerät:

• Authentifizierungstoken (im verschlüsselten Speicher des Geräts)
• Zwischengespeicherte Gebetszeiten sowie Inhalte und Bilder der Anzeige
• App-Einstellungen und Geräte-ID

Diese Daten werden ausschließlich lokal auf dem Gerät gespeichert und bei Deinstallation der App sowie beim Entfernen der Kopplung gelöscht.

7.3 Wahl der Sprache

Die Plattform gibt es auf Deutsch, Türkisch und Englisch. Die Sprache steht am Anfang der Adresse (zum Beispiel /tr/…). Rufen Sie eine Adresse ohne Sprache auf, wählen wir sie in dieser Reihenfolge: die Sprache, die Sie zuletzt gewählt haben (Cookie NEXT_LOCALE), die Spracheinstellung Ihres Browsers und, wenn diese keine der drei Sprachen nennt, das Land, aus dem Ihre IP-Adresse stammt. Für Deutschland, Österreich, die Schweiz, Liechtenstein und Luxemburg ist das Deutsch, für die Türkei Türkisch, für alle anderen Länder Englisch. Sie können die Sprache jederzeit selbst wechseln.

Das Land ermitteln wir ausschließlich auf unserem eigenen Server, mit einer Länderdatenbank, die wir mitliefern. Ihre IP-Adresse wird dafür weder gespeichert noch an Dritte übermittelt. Das Ergebnis dient allein dazu, Sie auf die Seite in der passenden Sprache weiterzuleiten.

Im Studio gilt die Sprache Ihres Kontos. Wählen Sie dort eine andere Sprache, speichern wir sie in Ihrem Konto (siehe 3.1, „Bevorzugte Sprache“). So erscheint das Studio auch auf Ihren anderen Geräten in dieser Sprache.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Seiten in einer für Sie verständlichen Sprache anzuzeigen); für die Sprache des Kontos Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Länderdatenbank: IP Geolocation by DB-IP, lizenziert unter Creative Commons Namensnennung 4.0 International.

8. Protokollierung und Sicherheit

8.1 Login-Historie

Bei jeder Anmeldung werden folgende Daten zu Sicherheitszwecken protokolliert:

• IP-Adresse
• User-Agent (Browser, Betriebssystem, Gerätetyp)
• Ungefährer Standort (Land, Stadt — ermittelt über eine Standortdatenbank, lokal auf dem Server)
• Zeitstempel

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erkennung unbefugter Zugriffe)
Speicherdauer: Die letzten 20 Login-Einträge pro Nutzer

8.2 Session-Audit-Log

Sicherheitsrelevante Ereignisse werden in einem Audit-Log protokolliert. Hierzu zählen:

• Login- und Logout-Ereignisse
• Gerätebindungen und -trennungen
• Erzwungene Abmeldungen
• Erkannte Anomalien (z. B. Login aus ungewöhnlichem Standort)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit)
Speicherdauer: 24 Monate, danach automatische Löschung

8.3 Gerätebindungs-Historie

Änderungen der Gerätebindung (Bindung, Trennung) werden protokolliert, um Missbrauch zu verhindern und Support-Anfragen nachvollziehen zu können.

Speicherdauer: 12 Monate. Nach Ablauf werden personenbezogene Daten anonymisiert: IP-Adressen und Standortdaten werden gelöscht, Geräte-IDs werden SHA-256-gehasht.

8.4 Rate-Limiting

Zum Schutz vor Missbrauch und DDoS-Angriffen werden API-Anfragen begrenzt, je nach Anfrage pro Gerät, pro Nutzer oder pro IP-Adresse. Dabei werden diese Kennungen kurzfristig im Arbeitsspeicher oder in Redis gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verfügbarkeit und Sicherheit des Dienstes)

8.5 Weitere Sicherheitsmaßnahmen

• Passwort-Hashing: bcrypt mit 12 Runden
• CSRF-Schutz: AES-256-GCM-verschlüsselte Tokens für zustandsverändernde Anfragen
• Sicherheits-Header: Content-Security-Policy, X-Frame-Options, Strict-Transport-Security u. a.

9. Datei-Uploads (MinIO)

Für die Speicherung hochgeladener Dateien (Bilder und Logos für die Anzeige, der Freistellungsbescheid der Gemeinde sowie die gezeichneten Unterschriften für Zuwendungsbestätigungen) nutzen wir eine selbstgehostete MinIO-Instanz (S3-kompatibel). Die Dateien werden je Gemeinde getrennt gespeichert. Es handelt sich um einen eigenen Server bei Hetzner in Deutschland.

• Maximale Dateigröße: 10 MB je Bild und je Freistellungsbescheid, 5 MB je Unterschrift
• Dateinamen: Bilder werden unter einer zufälligen Kennung gespeichert; der ursprüngliche Dateiname wird nicht übernommen
• Speicherort: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Speicherdauer: Solange die Gemeinde besteht bzw. bis zur Löschung durch den Nutzer, auch über das Ende des Abonnements hinaus. Eine Unterschrift wird gelöscht, wenn die Person die Vertretung verlässt oder sich ihr Name ändert.
Hinweis: Die Daten verlassen nicht unsere Infrastruktur in Deutschland.

10. E-Mail-Versand (Postal)

Für den Versand von E-Mails (Verifizierungscodes, Passwort-Zurücksetzung, Team-Einladungen, Benachrichtigungen) nutzen wir eine selbstgehostete Postal-Instanz. Postal ist ein Open-Source-Mailserver, der auf unserer eigenen Infrastruktur bei Hetzner in Deutschland betrieben wird.

• Verarbeitete Daten: E-Mail-Adresse des Empfängers, E-Mail-Inhalt
• Es findet keine Übermittlung an externe E-Mail-Dienstleister statt
• E-Mail-Logs werden auf dem Server für die technische Fehleranalyse gespeichert

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Speicherort: Hetzner Online GmbH, Deutschland

11. Aufnahmen der Bildschirme

Berechtigte Mitglieder einer Gemeinde können im Studio eine Aufnahme eines Anzeigegeräts anfordern, um aus der Ferne zu prüfen, was es anzeigt. Eine Aufnahme ist ein Bild des Bildschirminhalts in diesem Moment; eine Kamera wird dabei nicht verwendet. Zu jeder Aufnahme wird gespeichert, wer sie angefordert hat.

• Solange das Gerät benutzt wird, entsteht keine Aufnahme: während einer Zahlung, solange eine Spendenseite geöffnet ist, im Bearbeitungsmodus und bis 15 Sekunden nach der letzten Berührung.
• Die Aufnahmen werden in unserem Dateispeicher abgelegt (siehe Abschnitt 9) und sind nur über das Studio abrufbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Speicherdauer: Höchstens 14 Tage und höchstens 20 Aufnahmen je Anzeigegerät; ältere Aufnahmen werden automatisch gelöscht. Wird ein Anzeigegerät stillgelegt, werden seine Aufnahmen sofort gelöscht.

12. Videos im Hilfe-Center (YouTube)

Einzelne Artikel unseres Hilfe-Centers enthalten Videos der Plattform YouTube. Wir binden sie im erweiterten Datenschutzmodus über die Adresse youtube-nocookie.com ein. Beim Aufruf eines Artikels wird noch nichts von YouTube geladen; an Stelle des Videos steht ein Hinweis. Erst wenn Sie auf das Video klicken, lädt Ihr Browser den Player von YouTube. Dabei werden insbesondere Ihre IP-Adresse, Angaben zu Ihrem Browser und die Adresse unserer Website an YouTube übermittelt, und YouTube kann Informationen auf Ihrem Endgerät speichern.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung durch den Klick auf das Video)
Drittlandtransfer: Google verarbeitet Daten teils in den USA und ist unter dem EU-US Data Privacy Framework zertifiziert.
Weitere Informationen: Google Datenschutzerklärung

13. Aufbewahrungsfristen und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Einzelnen:

Automatisierte Löschprozesse: Die Löschung bzw. Anonymisierung der Session-Audit-Logs und der Gerätebindungs-Historie sowie die Löschung von Zuwendungsbestätigungen nach Ablauf ihrer Frist erfolgen automatisiert durch Cron-Jobs auf dem Server. Bei der Anonymisierung der Gerätebindungs-Historie werden IP-Adressen und Standortdaten gelöscht und Geräte-IDs durch SHA-256-Hashes ersetzt.

Kontolöschung: Sie können Ihr Konto im Studio unter „Einstellungen › Datenschutz“ löschen oder die Löschung jederzeit beantragen. Dabei werden Name, E-Mail-Adresse und die weiteren Angaben zu Ihrer Person aus dem Konto entfernt, Ihre Login-Historie gelöscht und alle Anmeldungen beendet. Erhalten bleiben die Daten der Gemeinden, in denen Sie Mitglied waren, einschließlich ihres Protokolls, sowie Daten, für die gesetzliche Aufbewahrungspflichten (insbesondere steuer- und handelsrechtliche Pflichten gemäß § 147 AO, § 257 HGB) bestehen.

14. Ihre Rechte nach DSGVO

Als betroffene Person haben Sie gemäß DSGVO folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen, einschließlich deren Herkunft, Empfänger und Zweck der Verarbeitung.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können die Herausgabe Ihrer Daten in einem strukturierten, gängigen und maschinenlesbaren Format verlangen. Unsere Plattform bietet eine DSGVO-Exportfunktion für Ihre Kontodaten.
• Recht auf Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten jederzeit widersprechen, sofern die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) beruht. Wir werden die Verarbeitung dann einstellen, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf einer Einwilligung beruht (z. B. 2FA, Google OAuth), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Ausübung Ihrer Rechte: Zur Ausübung Ihrer Rechte wenden Sie sich bitte per E-Mail an sadaqa-now.de@outlook.de oder nutzen Sie die entsprechenden Funktionen in Ihrem Benutzerkonto. Wir werden Ihre Anfrage unverzüglich, spätestens jedoch innerhalb eines Monats, beantworten.

Automatisierte Entscheidungsfindung: Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO statt.

15. Beschwerderecht und Änderungen

15.1 Beschwerderecht bei einer Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 611 1408-0
E-Mail: poststelle@datenschutz.hessen.de
Website: https://datenschutz.hessen.de

Darüber hinaus können Sie sich auch an jede andere Datenschutz-Aufsichtsbehörde in der EU wenden.

15.2 Datenübermittlung in Drittstaaten

Grundsätzlich werden Ihre Daten auf Servern in Deutschland (Hetzner Online GmbH) verarbeitet und gespeichert. Eine Übermittlung in Drittstaaten erfolgt nur in folgenden Fällen:

• Stripe, Inc. (USA) — Lizenzabrechnungen. Stripe ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten Standardvertragsklauseln.
• Google Ireland Ltd. (Irland) — OAuth-Anmeldung sowie YouTube-Videos im Hilfe-Center nach Ihrem Klick. Google verarbeitet Daten teils in den USA und ist unter dem EU-US Data Privacy Framework zertifiziert.
• SumUp Limited (Irland/UK) — Spendenabwicklung. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO.

Alle übrigen Dienste (Datenbank, Cache, Dateispeicher, E-Mail-Server) werden selbst gehostet und befinden sich ausschließlich in Deutschland.

15.3 Auftragsverarbeiter

Wir setzen folgenden Auftragsverarbeiter ein:

• Hetzner Online GmbH — Server-Hosting (Dedicated Server). Standort: Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

15.4 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen anzupassen oder um Änderungen unserer Leistungen umzusetzen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite. Wir empfehlen, diese Datenschutzerklärung regelmäßig zu prüfen.