Datenschutzerklärung
Stand: November 2026
1. Wer verantwortlich ist und in welchen Rollen
Für Konto- und Website-Daten (Registrierung, Login, Sicherheit, Besuch dieser Website) ist der im Impressum genannte Betreiber Luca-Pascal Junge Verantwortlicher im Sinne der DSGVO. Datenschutzkontakt: lucapascal.junge@gmail.com. Für die Daten der Vereinsmitglieder und alles, was ein Verein in MyVerein erfasst, ist der jeweilige Verein Verantwortlicher. Der Betreiber (Luca-Pascal Junge) verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags (AV-Vertrag), den die Inhaberin bzw. der Inhaber des Vereins online mit dem Betreiber abschließt. Anfragen zu Mitgliederdaten richtest du deshalb zuerst an deinen Verein (Datenschutzhinweis und Datenschutzkontakt des Vereins).
2. Besuch der Website, Cookies und lokaler Speicher
Beim Aufruf der Seiten fallen technisch bedingt Verbindungsdaten an (u. a. IP-Adresse, Zeitpunkt, aufgerufene Adresse). Die Website wird bei STRATO AG in Deutschland gehostet; die Server-Protokolle werden [Dauer der Server-Protokolle] aufbewahrt. Tracking, Werbe- oder Profiling-Cookies setzt MyVerein nicht ein. Technisch notwendig: das Sitzungs-Cookie des Logins (wird vom Anmeldedienst gesetzt, nur nach dem Login), das Sprach-Cookie "app_lang" und lokal im Browser gespeicherte Einstellungen: Cookie-Auswahl, Farbpalette bzw. Design, eingeklappte Seitenleiste, gewählte Spalten der Mitgliederliste, zuletzt aktiver Verein und ob die Einführung gesehen wurde. Diese Werte verlassen deinen Browser nicht. Das Cookie-Banner enthält eine Kategorie "Analytics" (Google Analytics), die nur nach deiner Zustimmung wirken würde. Derzeit ist kein Analyse-Dienst eingebunden. Die Texte unter docs.myverein.lpj.app (Hilfeportal) setzen keine Cookies und nutzen kein Tracking.
3. Konto-Daten und Zwecke
Name, E-Mail-Adresse, gehashtes Passwort (nie im Klartext), optional ein Geheimnis für die Zwei-Faktor-Anmeldung, Sitzungen mit IP-Adresse und Gerätekennung sowie E-Mails zu Bestätigung, Passwort-Zurücksetzen und Sicherheitshinweisen. Zweck ist die Bereitstellung des Kontos und seine Absicherung (Login, Zwei-Faktor, Rate-Limiting, Missbrauchsschutz). Rechtsgrundlagen: Vertrag bzw. Nutzungsverhältnis (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse an Sicherheit und Missbrauchsschutz (lit. f). Es gibt keine Werbung, und Daten werden nicht verkauft.
4. Daten, die Vereine in MyVerein verarbeiten
Im Auftrag des jeweiligen Vereins werden je nach genutzter Funktion verarbeitet: Mitglieder-Stammdaten (auch von Mitgliedern ohne Konto, mit Anschrift, Kontakt, Geburtsdatum, Notfallkontakt, Kategorie, Status, Abteilungen; Profilfoto nur mit Einwilligung), Verknüpfungen zwischen Erziehungsberechtigten und Kindern, Termine, Zu- und Absagen, Anwesenheitslisten (auch Gäste mit Name und E-Mail-Adresse), Helferschichten, Fahrgemeinschaften, Abwesenheitsmeldungen (ohne Diagnosen), Mitteilungen samt Zustell- und Lesestatus, Dokumente und erzeugte PDF, Mitgliedsausweis (QR-Code ohne Personenbezug im Code), Zeiterfassung und Stundensätze, Abstimmungen, Wahlen und Protokolle (geheime Stimmen ohne Personenbezug), Einwilligungen und deren Nachweise, Datenschutzanfragen sowie Zugriffs- und Änderungsprotokolle. Die Rechtsgrundlage bestimmt der Verein (z. B. Mitgliedschaft, Einwilligung, rechtliche Pflicht, berechtigtes Interesse); sie steht in seinem Datenschutzhinweis. Einwilligungen sind freiwillig und können jederzeit widerrufen werden.
5. Empfänger und Auftragsverarbeiter
Innerhalb eines Vereins sehen Personen nur, was ihre Rolle und ihre Rechte erlauben; ohne ausdrückliche Freigabe ist nichts sichtbar. Hosting, Datenbank und E-Mail-Versand laufen auf einem vServer der STRATO AG in Deutschland (Rechenzentrum in Deutschland), den der Betreiber selbst betreibt und verwaltet. STRATO stellt dabei nur die Infrastruktur bereit und ist Auftragsverarbeiter; nach Angabe des Betreibers besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. E-Mails (Bestätigung, Passwort-Zurücksetzen, Mitteilungen) verschickt ein eigener SMTP-Server auf diesem vServer, es gibt keinen externen E-Mail-Dienstleister. Für optionale Push-Benachrichtigungen in der App ist Expo (650 Industries, Inc., USA) Auftragsverarbeiter. An Expo gehen dein Push-Token, der Name deines Vereins als Titel, ein allgemeiner Hinweistext wie "Neue Mitteilung" oder "Termin abgesagt" sowie technische Kennungen für das Öffnen des Inhalts; keine Namen von Personen und keine Inhalte von Mitteilungen. Push ist freiwillig: Du kannst Benachrichtigungen in den Systemeinstellungen deines Geräts ablehnen, die App funktioniert auch ohne. Die vollständige Liste der Unterauftragnehmer steht im AV-Vertrag.
6. Übermittlung in Drittländer
Eine Übermittlung in ein Drittland findet nur für Push-Benachrichtigungen statt: Expo (USA) erhält dafür das Push-Token und die in Abschnitt 5 genannten Angaben. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, unter dem Expo zertifiziert ist; bei Wegfall des Beschlusses stützt sich die Übermittlung auf Standardvertragsklauseln. Weitere Übermittlungen in Drittländer finden nicht statt. Wenn du Push-Benachrichtigungen ablehnst, wird kein Push-Token übermittelt.
7. Speicherdauer
Konto-Daten bleiben, solange das Konto besteht. Vereinsdaten bleiben, solange der Verein sie braucht. Für viele Kategorien sind Löschfristen als Vorschlag hinterlegt, die ein Verein innerhalb von Grenzen anpassen kann. Standardwerte: ehemalige Mitglieder werden 730 Tage nach dem Austritt anonymisiert, Interessierte ohne Beitritt nach 365 Tagen, Notfallkontakte ausgetretener Mitglieder nach 30 Tagen, abgelehnte Aufnahmeanträge Erwachsener nach 180 Tagen, Abwesenheitsmeldungen 90 Tage nach Ende, Einwilligungsnachweise und Anwesenheitslisten nach 1095 Tagen, Gäste-Anmeldungen 90 Tage nach der Veranstaltung (unbestätigte nach 48 Stunden), Zustellprotokolle von E-Mails nach 90 Tagen, Sicherheits-Anmeldeprotokolle nach 180 und sonstige Protokolle nach 730 Tagen. Protokolle und Beschlüsse von Versammlungen werden nicht automatisch gelöscht; für Dokumente gelten Aufbewahrungsklassen je Dokumenttyp, für Zeiteinträge gesetzliche Aufbewahrung. Die automatische Löschung läuft standardmäßig zunächst als Trockenlauf (es wird nur gezählt) und wird erst nach rechtlicher Prüfung der Fristen scharf geschaltet.
8. Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft. In MyVerein kannst du Daten selbst berichtigen ("Mein Profil"), eine Datenauskunft als Export abrufen (auch für dein Kind) und Einwilligungen widerrufen. Dein Konto löschst du in den Einstellungen; Löschung und Anonymisierung laufen über einen geprüften Löschprozess und werden zum Beispiel durch eine Rechtssperre, eine offene Ausleihe, eine Vorstandsrolle oder als einzige:r Inhaber:in eines Vereins blockiert. Anfragen zu Vereinsdaten bearbeitet der Verein mit Fristanzeige; Anfragen zum Konto richtest du an den Datenschutzkontakt aus Abschnitt 1. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren die Hessische Beauftragte für Datenschutz und Informationsfreiheit (Wiesbaden).
9. Kinder und Jugendliche
Einwilligungen von Minderjährigen geben die Erziehungsberechtigten oder der Vorstand mit Papier-Nachweis ab. Die Altersgrenze legt der Verein fest (Standardwert: 18 Jahre). Erziehungsberechtigte sehen nur Daten ihres verknüpften Kindes; die Verknüpfung bestätigt der Vorstand und sie endet mit dem 18. Geburtstag. Profilfotos von Minderjährigen unterliegen strengeren Regeln.
10. Datensicherheit
Umgesetzt sind unter anderem verschlüsselte Verbindungen, gehashte Passwörter, optionale Zwei-Faktor-Anmeldung, ein Rechtemodell, das standardmäßig nichts freigibt, die Trennung der Vereine voneinander, kurzlebige signierte Links für Bilder und Dateien, ein Zugriffsprotokoll für sensible Dokumente, Entfernen von Standortdaten aus Bildern, Begrenzung von Anfragen sowie Protokolle ohne Personendaten. Vollständige Sicherheit und unterbrechungsfreie Verfügbarkeit kann kein Dienst garantieren.
11. Änderungen
Diese Erklärung wird angepasst, wenn sich der Dienst oder die Rechtslage ändert. Das Datum oben nennt den aktuellen Stand. MyVerein befindet sich in einer Testphase: Der Funktionsumfang kann sich ändern, und Daten können zurückgesetzt oder gelöscht werden; darüber wird vorab informiert. Der Betreiber kann den Betrieb auf ein Unternehmen übertragen; Nutzer werden informiert.