Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Muhammed Enes Karademir
Sadaqa Now (Einzelunternehmen)
Cranachstraße 1
64546 Mörfelden-Walldorf
Deutschland

Telefon: +49 159 04833794
E-Mail: sadaqa-now.de@outlook.de
Website: https://sadaqa-now.de
USt-IdNr.: DE460308746

2. Grundsätzliches zur Datenverarbeitung

2.1 Beschreibung des Dienstes

Sadaqa Now ist eine SaaS-Plattform zur Verwaltung von Anzeigegeräten in Moscheen. Die Plattform ermöglicht es Moscheegemeinden, Gebetszeiten zu verwalten, Spendenprodukte zu konfigurieren, Echtzeit-Dashboards auf Geräten anzuzeigen und Lizenzen zu verwalten. Es gibt zwei Nutzergruppen:

• Geräteinhaber (Device Owners): Registrierte Nutzer, die über das Web-Dashboard Geräte verwalten, Lizenzen über Stripe erwerben, Gebetszeiten konfigurieren, die App-Anzeige einrichten und Spenden verwalten.
• Spender (Donors): Personen, die am physischen Gerät über ein SumUp Solo Kartenlesegerät spenden. Spender haben kein Nutzerkonto auf unserer Plattform und werden nicht von uns als Nutzer geführt.

2.2 Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt stets im Einklang mit der DSGVO. Folgende Rechtsgrundlagen kommen zur Anwendung:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z. B. optionale Zwei-Faktor-Authentifizierung, Google OAuth)
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (z. B. Registrierung, Lizenzverwaltung, Zahlungsabwicklung)
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung (z. B. steuer- und handelsrechtliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (z. B. IT-Sicherheit, Missbrauchsprävention, Protokollierung)

2.3 SSL-/TLS-Verschlüsselung

Unsere Website und API nutzen aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung (Let's Encrypt). Dadurch werden übertragene Daten vor dem Zugriff Dritter geschützt. Eine verschlüsselte Verbindung erkennen Sie am Schloss-Symbol in der Adresszeile Ihres Browsers und an der Adresszeile "https://".

2.4 Kein externes Tracking

Wir setzen keine externen Analyse- oder Tracking-Dienste ein (kein Google Analytics, keine Tracking-Pixel, keine Werbe-SDKs). Alle internen Analysen (z. B. Spendenstatistiken für Geräteinhaber) erfolgen ausschließlich auf unseren eigenen Servern in Deutschland.

3. Registrierung und Nutzerkonto (Geräteinhaber)

3.1 Erhobene Daten bei der Registrierung

Bei der Registrierung als Geräteinhaber erheben und verarbeiten wir folgende personenbezogene Daten:

• Vor- und Nachname
• E-Mail-Adresse
• Passwort (als bcrypt-Hash mit 12 Runden gespeichert, nie im Klartext)
• Account-Typ (Gemeinde/Standard)
• Gemeindename (bei Account-Typ "Gemeinde")
• Telefonnummer (optional)
• Adressdaten (optional)
• USt-IdNr. (optional)
• Bevorzugte Sprache
• Geburtsdatum (optional)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Zweck: Bereitstellung des Nutzerkontos, Verwaltung der Lizenzen und Geräte
Speicherdauer: Für die Dauer der Vertragsbeziehung; nach Kontolöschung werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen

3.2 Zwei-Faktor-Authentifizierung (2FA)

Wir bieten optionale Zwei-Faktor-Authentifizierung über das TOTP-Verfahren an. Bei Aktivierung werden folgende Daten gespeichert:

• TOTP-Secret (AES-verschlüsselt)
• Backup-Codes (bcrypt-gehasht)

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Speicherdauer: Bis zur Deaktivierung der 2FA durch den Nutzer

3.3 Teamverwaltung

Geräteinhaber können Teammitglieder einladen. Dabei werden Name, E-Mail-Adresse, zugewiesene Rolle (Inhaber, Administrator, Bearbeiter, Betrachter), Berechtigungen pro Lizenz sowie ein zeitlich begrenzter Einladungstoken verarbeitet. Teamaktivitäten (Einladungen, Rollenänderungen, Entfernungen) werden in einem Team-Audit-Log protokolliert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

4. Spenden am Gerät (Spender)

Spenden am physischen Gerät werden über ein SumUp Solo Kartenlesegerät abgewickelt. Hierbei gelten folgende Grundsätze:

• Sadaqa Now verarbeitet keine Zahlungsdaten der Spender. Kartendaten (Kartennummer, CVV etc.) werden ausschließlich von SumUp als unabhängigem Zahlungsdienstleister verarbeitet. Sadaqa Now hat zu keinem Zeitpunkt Zugriff auf diese Daten.
• Die Spende wird über das SumUp-Konto des jeweiligen Geräteinhabers (der Moscheegemeinde) abgewickelt. Der Geräteinhaber ist der Vertragspartner von SumUp.
• Sadaqa Now speichert lediglich die Transaktionsmetadaten: Spendenbetrag, Währung, Spendenprodukt, Transaktions-ID, Zahlungsstatus und Zeitstempel. Diese enthalten keine personenbezogenen Daten der Spender.
• Spendenquittungen: Die Ausstellung von Spendenquittungen liegt in der alleinigen Verantwortung des jeweiligen Geräteinhabers (der Moscheegemeinde). Sadaqa Now übernimmt hierfür keine Verantwortung.

Für die Verarbeitung der Zahlungsdaten der Spender ist ausschließlich SumUp verantwortlich. Bitte beachten Sie die Datenschutzerklärung von SumUp.

5. Zahlungsdienstleister

5.1 Stripe — Lizenzabonnements

Für die Abwicklung der monatlichen Lizenzabonnements (30 €/Monat) nutzen wir den Zahlungsdienstleister Stripe. Stripe wird ausschließlich für Lizenz-Zahlungen der Geräteinhaber eingesetzt, nicht für Spenden. Bei der Zahlungsabwicklung werden folgende Daten an Stripe übermittelt:

• Stripe-Kunden-ID (stripeCustomerId)
• Name und E-Mail-Adresse
• Rechnungsadresse
• Gewählte Zahlungsmethode
• Interne User-ID (als Metadatum)

Empfänger: Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Drittlandtransfer: Stripe ist unter dem EU-US Data Privacy Framework zertifiziert. Zusätzlich bestehen Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.
Weitere Informationen: Stripe Datenschutzerklärung

5.2 SumUp — Spendenabwicklung am Gerät

Geräteinhaber verknüpfen ihr eigenes SumUp-Konto mit der Plattform, um Spenden am physischen Gerät entgegenzunehmen. Bei der Verknüpfung werden folgende Daten auf unserer Plattform gespeichert:

• SumUp Access-Token (AES-verschlüsselt)
• SumUp Refresh-Token (AES-verschlüsselt)
• SumUp Merchant-ID
• Zugeordnete Terminal-Informationen

Empfänger: SumUp Limited, Block 8, Harcourt Centre, Charlotte Way, Dublin 2, Irland (europäischer Hauptsitz)
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Hinweis: Die Vertragsbeziehung für die Zahlungsabwicklung besteht zwischen dem Geräteinhaber und SumUp. Sadaqa Now tritt lediglich als technischer Vermittler auf.
Weitere Informationen: SumUp Datenschutzerklärung

6. Google OAuth Anmeldung

Wir bieten die Möglichkeit, sich über Google OAuth anzumelden. Bei Nutzung dieser Funktion werden folgende Daten von Google übermittelt und bei uns gespeichert:

• Google-ID
• E-Mail-Adresse
• Name

Die Anmeldung über Google ist freiwillig. Sie können alternativ ein reguläres Konto mit E-Mail-Adresse und Passwort erstellen.

Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Drittlandtransfer: Google ist unter dem EU-US Data Privacy Framework zertifiziert.
Weitere Informationen: Google Datenschutzerklärung

7. Cookies und lokale Speicherung

7.1 Cookies der Webplattform

Unsere Plattform setzt ausschließlich technisch notwendige Cookies ein. Es werden keine Marketing- oder Tracking-Cookies verwendet. Im Einzelnen:

• access_token — JWT-Authentifizierungstoken (httpOnly, secure, sameSite=lax, Gültigkeit: 24 Stunden). Dient der sicheren Identifikation der Nutzersitzung.
• csrf_token — CSRF-Schutztoken (httpOnly, secure, Gültigkeit: 1 Stunde). Schützt vor Cross-Site-Request-Forgery-Angriffen.
• xsrf_token — CSRF-Token für das Frontend (secure, Gültigkeit: 1 Stunde). Wird vom Frontend für die Token-Validierung ausgelesen.
• active_license_id — Ausgewählte Lizenz-ID (Gültigkeit: 7 Tage). Speichert die aktuell ausgewählte Lizenz im Dashboard.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Funktionsfähigkeit). Diese Cookies sind für den Betrieb der Plattform zwingend erforderlich und fallen unter § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), sodass keine gesonderte Einwilligung erforderlich ist.

7.2 Lokale Speicherung in der mobilen App

Die mobile App (Flutter) nutzt SharedPreferences für die lokale Speicherung von:

• Authentifizierungstoken
• Zwischengespeicherte Gebetszeiten
• App-Einstellungen und Geräte-ID

Diese Daten werden ausschließlich lokal auf dem Gerät gespeichert und bei Deinstallation der App gelöscht.

8. Protokollierung und Sicherheit

8.1 Login-Historie

Bei jeder Anmeldung werden folgende Daten zu Sicherheitszwecken protokolliert:

• IP-Adresse
• User-Agent (Browser, Betriebssystem, Gerätetyp)
• Ungefährer Standort (Land, Stadt — ermittelt via geoip-lite, lokal auf dem Server)
• Zeitstempel

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erkennung unbefugter Zugriffe)
Speicherdauer: Die letzten 20 Login-Einträge pro Nutzer

8.2 Session-Audit-Log

Sicherheitsrelevante Ereignisse werden in einem Audit-Log protokolliert. Hierzu zählen:

• Login- und Logout-Ereignisse
• Gerätebindungen und -trennungen
• Erzwungene Abmeldungen
• Erkannte Anomalien (z. B. Login aus ungewöhnlichem Standort)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit)
Speicherdauer: 24 Monate, danach automatische Löschung

8.3 Gerätebindungs-Historie

Änderungen der Gerätebindung (Bindung, Trennung) werden protokolliert, um Missbrauch zu verhindern und Support-Anfragen nachvollziehen zu können.

Speicherdauer: 12 Monate. Nach Ablauf werden personenbezogene Daten anonymisiert: IP-Adressen und Standortdaten werden gelöscht, Geräte-IDs werden SHA-256-gehasht.

8.4 Rate-Limiting

Zum Schutz vor Missbrauch und DDoS-Angriffen werden API-Anfragen über Redis begrenzt (100 Anfragen pro 60 Sekunden pro IP-Adresse). Dabei werden IP-Adressen kurzfristig in Redis gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verfügbarkeit und Sicherheit des Dienstes)

8.5 Weitere Sicherheitsmaßnahmen

• Passwort-Hashing: bcrypt mit 12 Runden
• CSRF-Schutz: AES-256-GCM-verschlüsselte Tokens für zustandsverändernde Anfragen
• Sicherheits-Header: Helmet (Content-Security-Policy, X-Frame-Options etc.)
• CORS: Eingeschränkte Whitelist (sadaqa-now.de)
• Geräteintegrität: Überprüfung der Gerätebindung über Redis (Speicherdauer: 90 Tage)

9. Datei-Uploads (MinIO)

Für die Speicherung hochgeladener Dateien (Hintergrundbilder, QR-Codes, Veranstaltungsbilder, Sponsorenlogos) nutzen wir eine selbstgehostete MinIO-Instanz (S3-kompatibel). Die Dateien werden in einer lizenzspezifischen Ordnerstruktur gespeichert. Es handelt sich um einen eigenen Server bei Hetzner in Deutschland.

• Maximale Dateigröße: 50 MB
• Dateinamen: Werden bereinigt (Sonderzeichen entfernt)
• Speicherort: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Speicherdauer: Für die Dauer der Vertragsbeziehung bzw. bis zur Löschung durch den Nutzer
Hinweis: Die Daten verlassen nicht unsere Infrastruktur in Deutschland.

10. E-Mail-Versand (Postal)

Für den Versand von E-Mails (Verifizierungscodes, Passwort-Zurücksetzung, Team-Einladungen, Benachrichtigungen) nutzen wir eine selbstgehostete Postal-Instanz. Postal ist ein Open-Source-Mailserver, der auf unserer eigenen Infrastruktur bei Hetzner in Deutschland betrieben wird.

• Verarbeitete Daten: E-Mail-Adresse des Empfängers, E-Mail-Inhalt
• Es findet keine Übermittlung an externe E-Mail-Dienstleister statt
• E-Mail-Logs werden auf dem Server für die technische Fehleranalyse gespeichert

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Speicherort: Hetzner Online GmbH, Deutschland

11. Aufbewahrungsfristen und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Einzelnen:

Automatisierte Löschprozesse: Die Löschung bzw. Anonymisierung der Session-Audit-Logs und der Gerätebindungs-Historie erfolgt automatisiert durch Cron-Jobs auf dem Server. Bei der Anonymisierung der Gerätebindungs-Historie werden IP-Adressen und Standortdaten gelöscht und Geräte-IDs durch SHA-256-Hashes ersetzt.

Kontolöschung: Sie können die Löschung Ihres Kontos jederzeit beantragen. Nach Löschung werden alle personenbezogenen Daten entfernt, sofern keine gesetzlichen Aufbewahrungspflichten (insbesondere steuer- und handelsrechtliche Pflichten gemäß § 147 AO, § 257 HGB) entgegenstehen.

12. Ihre Rechte nach DSGVO

Als betroffene Person haben Sie gemäß DSGVO folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen, einschließlich deren Herkunft, Empfänger und Zweck der Verarbeitung.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können die Herausgabe Ihrer Daten in einem strukturierten, gängigen und maschinenlesbaren Format verlangen. Unsere Plattform bietet eine DSGVO-Exportfunktion für Ihre Kontodaten.
• Recht auf Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten jederzeit widersprechen, sofern die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) beruht. Wir werden die Verarbeitung dann einstellen, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf einer Einwilligung beruht (z. B. 2FA, Google OAuth), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Ausübung Ihrer Rechte: Zur Ausübung Ihrer Rechte wenden Sie sich bitte per E-Mail an sadaqa-now.de@outlook.de oder nutzen Sie die entsprechenden Funktionen in Ihrem Benutzerkonto. Wir werden Ihre Anfrage unverzüglich, spätestens jedoch innerhalb eines Monats, beantworten.

Automatisierte Entscheidungsfindung: Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO statt.

13. Beschwerderecht und Änderungen

13.1 Beschwerderecht bei einer Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 611 1408-0
E-Mail: poststelle@datenschutz.hessen.de
Website: https://datenschutz.hessen.de

Darüber hinaus können Sie sich auch an jede andere Datenschutz-Aufsichtsbehörde in der EU wenden.

13.2 Datenübermittlung in Drittstaaten

Grundsätzlich werden Ihre Daten auf Servern in Deutschland (Hetzner Online GmbH) verarbeitet und gespeichert. Eine Übermittlung in Drittstaaten erfolgt nur in folgenden Fällen:

• Stripe, Inc. (USA) — Lizenzabrechnungen. Stripe ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten Standardvertragsklauseln.
• Google Ireland Ltd. (Irland) — OAuth-Anmeldung. Google verarbeitet Daten teils in den USA und ist unter dem EU-US Data Privacy Framework zertifiziert.
• SumUp Limited (Irland/UK) — Spendenabwicklung. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO.

Alle übrigen Dienste (Datenbank, Cache, Dateispeicher, E-Mail-Server) werden selbst gehostet und befinden sich ausschließlich in Deutschland.

13.3 Auftragsverarbeiter

Wir setzen folgenden Auftragsverarbeiter ein:

• Hetzner Online GmbH — Server-Hosting (Dedicated Server). Standort: Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

13.4 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen anzupassen oder um Änderungen unserer Leistungen umzusetzen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite. Wir empfehlen, diese Datenschutzerklärung regelmäßig zu prüfen.