Datenschutzerklärung
Informationen zur Verarbeitung personenbezogener Daten gemäß Art. 13 DSGVO
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:
Die Hopfenkehlchen e. V.Dampfziegelei 19
52249 Eschweiler
Deutschland
E-Mail: hello@hopfenton.de
Die vollständigen Angaben zum Anbieter finden sich im Impressum.
2. Zwecke und Rechtsgrundlage
Im kontogebundenen Betrieb verarbeiten wir personenbezogene Daten, um das Vereinsmitgliedschaftsverhältnis und die damit verbundene Bereitstellung der Hopfenton-App (Liedtexte-Lern-App für Vereinsmitglieder) zu erfüllen. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung im Rahmen des Mitgliedschaftsverhältnisses). Daneben stellen wir im kontenlosen Konzertmodus Liedtexte ohne Konto öffentlich bereit; die dabei anfallende Verarbeitung von Verbindungsdaten und ihre eigene Rechtsgrundlage beschreibt der Abschnitt „Konzertmodus (kontenloser Zugang)". Eine Verarbeitung zu Werbung oder Profilbildung sowie eine Weitergabe an Dritte findet in keinem Fall statt.
3. Datenkategorien
Wir verarbeiten folgende Kategorien personenbezogener Daten:
- Stammdaten: E-Mail-Adresse, Anzeigename (selbst gewählter Vor-/Nachname oder Spitzname).
- Authentifizierungsdaten: Login-Zeitstempel, Magic-Link-Tokens (zeitlich begrenzt, einmalig nutzbar), Refresh-Token-Hashes.
- Technische Verbindungsdaten: IP-Adresse beim Login, User-Agent des Browsers/Geräts — im kontogebundenen Betrieb zur Erkennung und Abwehr von Missbrauch der Magic-Link-Anforderung sowie zur Sitzungsverwaltung (Refresh-Token-Bindung). Die Verarbeitung von Verbindungsdaten beim kontenlosen Konzertzugang beschreibt der Abschnitt „Konzertmodus (kontenloser Zugang)".
4. Konzertmodus (kontenloser Zugang)
Im Konzertmodus stellen wir Liedtexte öffentlich bereit, ohne dass ein Konto oder eine E-Mail-Adresse erforderlich ist. Wenn Sie einen per QR-Code geteilten Konzert-Link (/konzert/<Token>) öffnen, verarbeiten wir die dabei technisch anfallenden Verbindungsdaten:
- IP-Adresse und User-Agent werden im Server-Zugriffsprotokoll (Nginx-Access-Log) festgehalten. Der im Link enthaltene Zugangs-Token wird vor dem Schreiben unkenntlich gemacht (als
[REDACTED]maskiert), damit er nicht im Klartext im Protokoll erscheint. - Die IP-Adresse dient zusätzlich einer serverseitigen Ratenbegrenzung als Schlüssel, um eine übermäßige Zahl von Anfragen (Missbrauch bzw. Überlastung) abzuwehren.
Zweck ist die technische Auslieferung der angeforderten Liedtexte sowie der Schutz des Dienstes vor Missbrauch und Überlastung. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Es werden weder ein Konto noch eine E-Mail-Adresse benötigt; eine weitergehende Auswertung, eine Zusammenführung zu Nutzungsprofilen oder eine Weitergabe an Dritte findet nicht statt.
Die Verbindungsdaten im Zugriffsprotokoll werden nur kurz vorgehalten und im Rahmen der Standard-Logrotation des Servers in der Regel nach spätestens 14 Tagen automatisch gelöscht. Die Ratenbegrenzung hält die IP-Adresse lediglich flüchtig im Arbeitsspeicher für die Dauer des jeweiligen Zeitfensters vor.
5. Cookies
Wir setzen ausschließlich ein einziges Session-Cookie (hopfenton-admin-session), das für die Anmeldung am Verwaltungsbereich technisch unbedingt erforderlich ist. Dieses Cookie ist gemäß § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, da es ausschließlich der Übermittlung einer Nachricht über ein elektronisches Kommunikationsnetz und der Bereitstellung des vom Nutzer ausdrücklich gewünschten Dienstes (Anmeldung) dient. Tracking-, Marketing- oder Analyse-Cookies setzen wir nicht ein.
6. Speicherdauer
Personenbezogene Daten werden gespeichert, solange das Vereinsmitgliedschaftsverhältnis besteht. Nach Beendigung der Mitgliedschaft werden die Daten gelöscht oder gesperrt, soweit nicht gesetzliche Aufbewahrungspflichten (z. B. handels- oder steuerrechtliche Pflichten) eine längere Speicherung erfordern. Magic-Link-Tokens werden spätestens 15 Minuten nach Erstellung verworfen. Verbrauchte oder widerrufene Magic-Link- und Refresh-Tokens werden ausschließlich als nicht-umkehrbarer Hash-Wert gespeichert und im Rahmen der oben genannten Speicherdauer gemeinsam mit den übrigen Mitgliederdaten gelöscht.
7. Auftragsverarbeiter
Wir nutzen die folgenden Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Mit beiden bestehen Auftragsverarbeitungs- verträge (AVV); eine Übermittlung in Drittländer findet nicht statt.
Hetzner Online GmbH
Industriestraße 25, 91710 Gunzenhausen, Deutschland
Zweck: Hosting des Anwendungsservers (Hetzner CX22) sowie verschlüsselte, automatisiert versionierte Datenbank-Backups (Storage Box mit Hetzner-seitigen Snapshots als Immutability-Layer).
Server-Standort: Deutschland.
Gandi SAS
63-65 boulevard Massena, 75013 Paris, Frankreich
Zweck: Versand der Magic-Link-E-Mails (transactional mail) über die Gandi-SMTP-Infrastruktur.
Server-Standort: Frankreich.
8. Betroffenenrechte
Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:
- Recht auf Auskunft (Art. 15 DSGVO)
- Recht auf Berichtigung (Art. 16 DSGVO)
- Recht auf Löschung (Art. 17 DSGVO) — Ihr App-Konto können Sie direkt in der App löschen (Tab „Profil" → „Konto löschen"); das ist der schnellste Weg und benötigt keine E-Mail. Das vollständige Verfahren samt E-Mail-Fallback beschreibt die Seite Konto löschen.
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
- Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Zur Ausübung der übrigen Rechte genügt eine formlose E-Mail an hello@hopfenton.de.
9. Beschwerderecht
Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)Kavalleriestraße 2-4, 40213 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
10. Datensicherheit
Die Verbindung zwischen Ihrem Gerät und unseren Servern ist durchgängig per TLS verschlüsselt. Datenbank-Backups werden mit AES-256 verschlüsselt (gpg, S2K SHA-512) und auf einem getrennten Hetzner-Storage-Box-Volume gehalten. Passwörter werden nicht gespeichert — die Anmeldung erfolgt ausschließlich per Magic-Link.