Datenschutzerklärung · Abi 007

1. Verantwortliche Stelle

[Name der verantwortlichen Person]
[Anschrift]
E-Mail: [kontakt@sug-abi.de]

Für Fragen zum Datenschutz oder zur Ausübung deiner Rechte wende dich bitte an die oben genannte Adresse.

2. Zweck der Verarbeitung

Abi 007 ist eine private, nicht-kommerzielle Wiedersehens-Plattform für einen Abiturjahrgang [Schule, Jahrgang]. Sie dient dazu, ehemalige Mitschüler:innen zusammenzubringen, Kontaktdaten (freiwillig) auszutauschen und Treffen zu organisieren.

3. Welche Daten wir verarbeiten

Login-Konto

• Login-E-Mail-Adresse – dient ausschließlich der Anmeldung (Magic-Link oder Google-Login). Sie wird niemandem angezeigt, auch nicht dem Superadmin im Verwaltungsbereich.
• Persönlicher Zuordnungscode – ein zufälliger 6-stelliger Code, über den ein Superuser deinen Account (ohne deine E-Mail zu kennen) einem Namen aus der Abiturientenliste zuordnet.

Abiturientenliste (vom Organisator gepflegt)

• Vorname und Geburtsname aller Abiturient:innen des Jahrgangs – Grundlage für die Zuordnung, unabhängig von einer Registrierung.

Steckbrief (freiwillig, nur nach eigener Zuordnung)

• Aktueller Nachname und Wohnort heute.
• Antworten auf sieben kurze, persönliche Fragen (je max. 200 Zeichen) – bewusst kein Lebenslauf: „Über mich", „Meine Heimat", „Damit beschäftige ich mich", „Das mache ich gerne", „Dafür übernehme ich Verantwortung", „Das hat mich geprägt" und „Das hätte damals keiner gedacht …".
• Handynummer und/oder eine separate Kontakt-E-Mail – beides optional und nur für andere verifizierte Mitglieder sichtbar, wenn du das über einen eigenen Schalter aktivierst.
• Social-Media-Links – frei ergänzbar.
• Profilfoto – vollständig freiwillig und nur nach ausdrücklicher Einwilligung beim Hochladen. Das Bild wird serverseitig neu erzeugt (Standort-/Metadaten werden dabei entfernt) und ausschließlich über eine zugriffsgeschützte Route an verifizierte Mitglieder ausgeliefert.

Technische und Protokolldaten

• Sitzungs-Cookie (technisch notwendig für den Login-Zustand).
• Zuordnungs-Protokoll (wer wurde wann zugeordnet/entfernt) – ohne E-Mail-Adressen, wird automatisch nach 3 Monaten gelöscht.
• Magic-Link-Anfragen werden kurzzeitig gespeichert (Token nur als Hash, 10 Minuten gültig, danach automatisch bereinigt) – auch zum Schutz vor Missbrauch (Rate-Limiting).

Bei Login mit Google

Nutzt du „Mit Google anmelden", übermittelt Google deine E-Mail-Adresse und grundlegende Profilinformationen an diese Plattform. Dabei findet eine Datenverarbeitung durch Google (Google Ireland Ltd. bzw. Google LLC) statt, auf die wir keinen Einfluss haben; es gilt die Datenschutzerklärung von Google. Wer das vermeiden möchte, kann stattdessen den Magic-Link-Login per E-Mail nutzen.

Mails vom Superadmin

Der Superadmin kann organisatorische Mails an ALLE registrierten Mitglieder senden (z. B. wichtige Ankündigungen zum Jahrgangstreffen) – immer im BCC, sodass Empfänger die Adressen der anderen nicht sehen. Eine erreichbare E-Mail-Adresse gehört zur Nutzung dieser Plattform dazu (sie ist ja zugleich der Login); ein separates Abbestellen dieser Mails ist deshalb nicht vorgesehen. Wer grundsätzlich keine weiteren Mails erhalten möchte, kann sein Konto jederzeit vollständig löschen (siehe Punkt 7).

4. Rechtsgrundlagen

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) – für Registrierung, Steckbrief-Inhalte und Foto-Upload.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) – für Sicherheitsmaßnahmen wie Rate-Limiting und Zuordnungs-Protokoll, sowie für organisatorische Mails an alle registrierten Mitglieder (siehe oben) – diese sind für den Zweck der Plattform (Organisation des Jahrgangstreffens) erforderlich und keine Werbe- oder Newsletter-Mails im rechtlichen Sinn.

5. Speicherdauer

Profil- und Steckbriefdaten werden unbefristet gespeichert, bis der Account selbst gelöscht wird. Das Zuordnungs-Protokoll wird automatisch nach 3 Monaten bereinigt. Magic-Link-Anfragen werden nach Ablauf bzw. Nutzung automatisch entfernt.

6. Hosting

Diese Plattform wird bei Strato (Deutschland/EU) gehostet; deine Daten verbleiben innerhalb der EU, außer bei Nutzung des optionalen Google-Logins (siehe Punkt 3).

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen die Verarbeitung. Eine erteilte Einwilligung (z. B. zum Foto-Upload) kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Organisatorische Mails vom Superadmin (siehe Punkt 3) sind nicht separat abbestellbar, solange dein Konto besteht – hierzu steht dir das Recht auf Löschung (Selbstlöschung des Kontos) zur Verfügung.

Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthalts.

8. Datensicherheit

• Verschlüsselte Übertragung (TLS/HTTPS).
• Login-Tokens werden nie im Klartext gespeichert, nur als Hash.
• Fotos werden außerhalb des öffentlich erreichbaren Bereichs abgelegt und nur über eine zugriffsgeprüfte Route ausgeliefert.
• Zugriff auf Verwaltungsfunktionen ist rollenbasiert eingeschränkt; die Login-E-Mail ist selbst für Superadmins im Verwaltungsbereich nicht sichtbar.