Datenschutzerklärung

1. Verantwortlicher

Florian Schwarz
handelnd unter der Geschäftsbezeichnung „Galaxy Gaming“
Walther-Rathenau-Str. 12
06886 Wittenberg
Deutschland

Telefon: +49 3491 6692249
E-Mail: info@bftag.online

2. Geltungsbereich und datenschutzrechtliche Rollen

Diese Datenschutzerklärung gilt für die öffentlich erreichbaren Seiten und die geschützte Webanwendung „JF System“. Sie umfasst insbesondere Registrierung und Kontoverwaltung, Rollen und Berechtigungen, Dienstplanung, Termin- und Anwesenheitsverwaltung, BFTag-Leitstelle und Einsatzmonitor, Fahrzeuge und FMS-/GPS-Daten, verknüpfte Wachen, Tickets, E-Mail- und Systeminformationen, API-/App-Zugriffe, Single Sign-on sowie die Plattformadministration.

Für den technischen Betrieb der Plattform, die Registrierung von Organisationen, die Konten- und Sicherheitsverwaltung, den Plattform-Support und die vom Betreiber veranlasste Systemkommunikation ist der oben genannte Anbieter Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Registrierte Feuerwehren, Jugendfeuerwehren oder sonstige Organisationen bestimmen grundsätzlich selbst, welche Mitglieds-, Termin-, Einsatz-, Fahrzeug- und sonstigen Inhaltsdaten sie eingeben, wer darauf zugreifen darf und zu welchen Zwecken diese Daten verwendet werden. Für diese Verarbeitungen ist regelmäßig die jeweilige Organisation datenschutzrechtlich verantwortlich. Die Organisation muss insbesondere eine eigene Rechtsgrundlage, Informationspflichten, Löschfristen und Berechtigungskonzepte sicherstellen. Soweit der Plattformbetreiber solche Daten ausschließlich weisungsgebunden verarbeitet, ist vor der Verarbeitung personenbezogener Echtdaten ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen.

3. Bereitstellung, Hosting und Server-Protokolle

Beim Aufruf des Dienstes verarbeitet der Webserver technisch erforderliche Verbindungsdaten. Dazu können IP-Adresse, Datum und Uhrzeit, aufgerufene URL, HTTP-Methode und -Status, übertragene Datenmenge, Referrer, Browser, Betriebssystem und User-Agent gehören. Die Verarbeitung dient der sicheren und störungsfreien Bereitstellung, Fehleranalyse sowie Erkennung und Abwehr von Angriffen oder Missbrauch.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren, stabilen und nachvollziehbaren Betrieb. Empfänger können Hosting-, Rechenzentrums- und technische Dienstleister sein. Server-Protokolle werden gelöscht oder anonymisiert, sobald sie für diese Zwecke nicht mehr benötigt werden, sofern kein Sicherheitsvorfall, Rechtsanspruch oder eine gesetzliche Aufbewahrungspflicht eine längere Speicherung erfordert.

4. Registrierung von Wachen und Organisationskonten

Bei der Registrierung und Verwaltung einer Wache oder Organisation können verarbeitet werden:

• Name, Anschrift und optionale Website der Organisation,
• Name, E-Mail-Adresse und optionale Telefonnummer der verantwortlichen Kontaktperson,
• Registrierungs-, Freigabe- und Verknüpfungsinformationen, Kontostatus und aktivierte Module,
• technische Sicherheits- und Prüfwerte sowie Zeitpunkte der Registrierung und Änderungen.

Die Verarbeitung erfolgt zur Prüfung, Einrichtung und Verwaltung des Organisationskontos sowie zur Kommunikation über den Dienst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; handelt eine Kontaktperson für eine Organisation, ergänzend Art. 6 Abs. 1 lit. f DSGVO. Ohne erforderliche Pflichtangaben kann kein Organisationskonto bereitgestellt werden.

5. Benutzer-, Mitglieds- und Kontaktdaten

Abhängig von den genutzten Modulen können Organisationen insbesondere folgende Daten hinterlegen:

• E-Mail-Adresse, Vor- und Nachname, Anzeigename und Profilbild,
• Geburtsdatum, Geschlecht, Eintrittsdatum und Verfügbarkeitsstatus,
• Telefon-, Mobiltelefon-, Anschrift- und Ortsangaben,
• interne Notizen, Gruppen, Funktionen, Rollen, Systemrollen und Wettkampfzuordnungen,
• Ausbilder- oder Jugendleiterstatus,
• bei Minderjährigen Name, E-Mail-Adresse und Telefonnummer von Sorgeberechtigten sowie die Einstellung, ob diese zu Terminen informiert werden sollen.

Zweck und Rechtsgrundlage dieser Verarbeitung werden grundsätzlich von der jeweiligen Organisation bestimmt. Je nach Einzelfall kommen insbesondere Art. 6 Abs. 1 lit. b, c, e oder f DSGVO sowie eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Betracht. Für besondere Kategorien personenbezogener Daten gelten zusätzlich Art. 9 DSGVO und gegebenenfalls spezialgesetzliche Regelungen.

6. Anmeldung, Sitzungen, Passwort-Wiederherstellung und Zwei-Faktor-Authentifizierung

Für die Anmeldung werden E-Mail-Adresse, gegebenenfalls Wachname, Passwortprüfwert, Sitzungsdaten, IP-Adresse, User-Agent und Zeitpunkte verarbeitet. Passwörter werden nicht im Klartext gespeichert, sondern mit einem Einwegverfahren gehasht. Fehlgeschlagene Anmelde- und Sicherheitsversuche werden zur Missbrauchsabwehr begrenzt und protokolliert.

Bei „Angemeldet bleiben“ werden ein zufälliger Auswahlwert und ein gehashter Token zusammen mit Wache, Ablaufzeit, IP-Adresse und gekürzten Geräteinformationen gespeichert. Der Browser erhält ein Token-Cookie. Die Regeldauer beträgt bis zu 30 Tage; Token werden bei Nutzung rotiert und können durch Abmeldung, Passwortänderung, Deaktivierung oder „Auf allen Geräten abmelden“ widerrufen werden.

Bei der Passwort-Wiederherstellung wird ein nur gehasht gespeicherter Einmal-Token mit einer Gültigkeit von grundsätzlich zwei Stunden erzeugt. Einladungslinks sind grundsätzlich 14 Tage gültig. Zur Zwei-Faktor-Authentifizierung werden ein TOTP-Geheimnis, Aktivierungsstatus und Bestätigungszeitpunkt verarbeitet. Wird ein Browser als vertrauenswürdig markiert, kann ein kryptografischer Nachweis für bis zu 30 Tage gespeichert werden.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und für Sicherheitsmaßnahmen Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im Schutz von Konten, Daten und Systemverfügbarkeit.

7. Google reCAPTCHA v3

Ausschließlich bei der Registrierung einer neuen Wache und bei der Passwort-Wiederherstellung wird Google reCAPTCHA v3 eingesetzt. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Verarbeitung durch verbundene Unternehmen, insbesondere Google LLC in den USA, ist möglich. reCAPTCHA analysiert technische und nutzungsbezogene Signale, um automatisierte Eingaben und Missbrauch zu erkennen. Hierzu können insbesondere IP-Adresse, Browser- und Geräteinformationen, Referrer, Maus- und Tastaturinteraktionen, Zeitpunkt sowie bereits bei Google vorhandene Cookies oder Kennungen verarbeitet werden.

Das JF System übermittelt das erzeugte Token zur serverseitigen Prüfung an Google und bewertet Ergebnis, erwartete Aktion, Risikowert und Hostname. Das reCAPTCHA-Token wird nicht als Zugangsdatenbestandteil im JF System gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Abwehr automatisierter Registrierungen und missbräuchlicher Passwort-Reset-Anfragen. Soweit Google Informationen in der Endeinrichtung speichert oder ausliest, wird § 25 TDDDG berücksichtigt.

Weitere Informationen: Datenschutzerklärung von Google und Nutzungsbedingungen von Google.

8. Rollen, Berechtigungen, Protokollierung und Betreiberzugriffe

Das System verarbeitet Rollen-, Gruppen-, Funktions- und Berechtigungszuordnungen, um Zugriffe auf Module und Datensätze zu steuern. Sicherheits- und Verwaltungsaktionen können mit Benutzer, Wache, Aktion, betroffenem Datensatz, Zeitpunkt, IP-Adresse, User-Agent und einer begrenzten Detailbeschreibung in Audit- oder Kontrollprotokollen gespeichert werden.

Plattformbetreiber können sich für Support-, Wartungs- oder Sicherheitszwecke kontrolliert in eine Wache aufschalten. Beginn, Ende, Zielwache, Betreiberkonto und IP-Adresse werden protokolliert. Solche Zugriffe dürfen nur erfolgen, wenn sie erforderlich und organisatorisch freigegeben sind. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO sowie, soweit anwendbar, die Weisung der verantwortlichen Organisation im Rahmen einer Auftragsverarbeitung.

9. Dienstplanung, Termine, Rückmeldungen und Anwesenheit

Im Modul Dienstplanung können insbesondere verarbeitet werden:

• Titel, Beschreibung, Kategorie, Ort, Beginn, Ende und Status von Terminen,
• Teilnahmefristen, Altersgrenzen, Teilnehmerobergrenzen und Zielgruppen,
• Einladungen, Zu- oder Absagen, Rückmeldelabels, Rückmelde- und Ausbildernotizen,
• tatsächliche Anwesenheit, Verspätung, Entschuldigung und anrechenbare Minuten,
• verantwortliche Personen, Ausbilder sowie Vorbereitungs-, Durchführungs- und Nachbereitungszeiten,
• Erinnerungen, In-App-Benachrichtigungen und optionale E-Mails an Mitglieder oder Sorgeberechtigte.

Zweck und Rechtsgrundlage werden von der jeweiligen Organisation festgelegt. Empfänger sind die innerhalb der Organisation berechtigten Nutzer, ausgewählte Teilnehmer, Ausbilder und – sofern aktiviert und rechtlich zulässig – Sorgeberechtigte.

10. BFTag, Einsätze, Alarmierung und Fahrzeugdaten

Im Modul BFTag können insbesondere verarbeitet werden:

• Einsatzstichwort, Einsatzort, Beschreibung, Koordinaten, Zeitpunkte und Status,
• Name und Telefonnummer einer anrufenden Person sowie Freitextangaben,
• Einsatzvorlagen, Alarmdruckdaten, manuelle Druckangaben und hochgeladene PDF-Dateien,
• Fahrzeugname, Funkrufname, Fahrzeugtyp, Besatzungsstärke und Heimatstandort,
• Alarmierungsverläufe, FMS-/Fahrzeugstatus und Statuszeitpunkte,
• aktuelle und historische GPS-Positionen, Genauigkeit, Geschwindigkeit, Kurs und Meldezeitpunkt,
• Monitor-, Leitstellen-, Fahrzeug- und Gerätezuordnungen.

Die Daten dienen der Durchführung von Übungen, Jugendfeuerwehrveranstaltungen und organisatorischen Abläufen. Das JF System ist kein Ersatz für behördliche Leitstellen-, Alarmierungs- oder Einsatzsysteme. Für Echtdaten und die jeweilige Rechtsgrundlage ist die nutzende Organisation verantwortlich. Namen, Telefonnummern, Privatanschriften, Gesundheitsdaten oder Informationen zu real betroffenen Personen dürfen nur verarbeitet werden, wenn dies rechtlich zulässig und tatsächlich erforderlich ist.

GPS- und Standortdaten können eine hohe Aussagekraft über Personen und Bewegungen haben. Die Organisation muss die Standortfunktion auf erforderliche Fahrzeuge und Zeiträume begrenzen, betroffene Personen informieren und nicht mehr benötigte Positionsdaten löschen.

11. Verknüpfte Wachen und gemeinsame Nutzung

Wachen können über Freigabe- oder Share-Codes miteinander verknüpft werden. Je nach erteiltem Einzelrecht können verknüpfte Organisationen Fahrzeuge, Status, Einsätze, Einsatzvorlagen und weitere BFTag-Daten einsehen oder bearbeiten. Das System speichert beteiligte Wachen, Freigabestatus, Berechtigungen, Labels und technische Verknüpfungswerte.

Empfänger sind die ausdrücklich freigeschalteten Organisationen und deren berechtigte Nutzer. Jede Wache muss Freigaben regelmäßig prüfen, nur erforderliche Rechte vergeben und nicht mehr benötigte Verbindungen entfernen.

12. Tickets und Support

Im Ticketsystem werden Betreff, Kategorie, Priorität, Status, betroffene Wache, Ersteller, Bearbeiter, Zeitpunkte sowie Nachrichten verarbeitet. Nachrichten können Name, E-Mail-Adresse, Rolle, Quelle und interne Supportnotizen enthalten. Nutzer dürfen keine unnötigen sensiblen Daten in Tickets einstellen. Zugriff erhalten nur berechtigte Benutzer und Support-/Systemrollen.

13. Single Sign-on über OpenID Connect

Eine Organisation kann optional einen externen Identity-Provider für OpenID Connect (OIDC) konfigurieren. Beim Start der SSO-Anmeldung wird der Browser zum gewählten Anbieter weitergeleitet. Dabei verarbeitet der Identity-Provider insbesondere IP-Adresse, Browserdaten, Anmeldeinformationen sowie die angeforderten Berechtigungsbereiche. Nach erfolgreicher Anmeldung erhält das JF System abhängig von der Konfiguration insbesondere eine verifizierte E-Mail-Adresse, Vor- und Nachname sowie technische OIDC-Prüfwerte.

Im System werden Anbieter, Endpunkte, Client-ID, verschlüsseltes Client-Geheimnis, Standardrolle und Auto-Provisionierungsstatus gespeichert. Verantwortlich für Auswahl, Vertrag, Rechtsgrundlage und Datenschutzinformationen des Identity-Providers ist die jeweilige Organisation. Dessen Datenschutzerklärung ist vor Aktivierung zu prüfen.

14. API-, App- und Gerätezugriffe

Für API- oder App-Zugriffe werden gehashte Sitzungstoken, Benutzer- und Wachenzuordnung, Tokenart, IP-Adresse, User-Agent, 2FA-Status sowie Erstellungs-, Ablauf- und letzte Nutzungszeit verarbeitet. Der unverschlüsselte Token wird nur dem Client übergeben und nicht im Klartext in der Datenbank gespeichert. API-Sitzungen sind grundsätzlich bis zu 90 Tage gültig und können bei aktiver Nutzung gleitend verlängert werden, wenn weniger als 30 Tage Restlaufzeit verbleiben. Token können jederzeit widerrufen werden.

Geräte- oder Fahrzeugzugriffe können zusätzlich Share-Codes, Fahrzeugzuordnung, Status- und Positionsmeldungen verarbeiten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO für Schutz und Missbrauchserkennung.

15. E-Mail-Versand, Einladungen, Erinnerungen und Newsletter

Das System versendet je nach Funktion Einladungen, Passwort-Reset-Nachrichten, Termin- und Elternbenachrichtigungen, technische Hinweise und vom Plattformbetreiber verfasste Systeminformationen. Dabei werden Empfängeradresse, Betreff, Vorlagenbezeichnung, Versandstatus, Fehlertext sowie Erstellungs- und Versandzeitpunkt im Mail-Log gespeichert. Zugangsdaten, Passwörter, Zugangscodes und API-Schlüssel werden im Newsletter nicht geladen oder versendet.

Für vertrags-, konten-, sicherheits- oder betriebsbezogene Nachrichten sind Art. 6 Abs. 1 lit. b und f DSGVO maßgeblich. Werbung oder sonstige nicht erforderliche Nachrichten dürfen nur versendet werden, wenn dafür eine tragfähige Rechtsgrundlage – regelmäßig eine dokumentierte Einwilligung – besteht. Ein Widerruf einer Einwilligung wirkt für die Zukunft. Als Empfänger können Hosting- oder SMTP-Dienstleister eingesetzt werden; deren Verarbeitung richtet sich nach der jeweiligen Konfiguration und dem geschlossenen Vertrag.

16. Cookies und Browser-Speicher

Das JF System setzt keine eigenen Analyse- oder Werbe-Cookies ein. Für Anmeldung, Sicherheit, Synchronisation und ausdrücklich ausgewählte Funktionen werden jedoch technisch erforderliche Cookies und Browser-Speicher verwendet. Soweit die Speicherung oder der Zugriff unbedingt erforderlich ist, erfolgt dies nach § 25 Abs. 2 TDDDG; die anschließende Verarbeitung personenbezogener Daten beruht je nach Funktion auf Art. 6 Abs. 1 lit. b oder f DSGVO.

Browserdaten können über die Browser-Einstellungen gelöscht werden. Dadurch können Anmeldung, Monitoreinstellungen oder bereits bestätigte Alarmwiedergaben verloren gehen. Externe Dienste können eigene Cookies oder ähnliche Technologien einsetzen; hierzu gelten die nachfolgenden Hinweise.

17. Karten-, Adress-, Routing-, Wetter- und CDN-Dienste

Je nach aktivierter Funktion werden technische Verbindungsdaten sowie Adressen, Suchbegriffe, Koordinaten, Kartenausschnitte oder Wetterstandorte an externe Dienste übermittelt. Organisationen sollen nur erforderliche Angaben verwenden und besonders sensible Einsatz- oder Privatadressen nicht unnötig an externe Dienste übertragen.

OpenStreetMap-Karten und Nominatim

Standardkarten werden von tile.openstreetmap.org geladen; Adressen können über nominatim.openstreetmap.org gesucht oder in Koordinaten umgewandelt werden. Dabei erhält die OpenStreetMap Foundation insbesondere IP-Adresse, Browserdaten, Kartenkachel- beziehungsweise Suchparameter, Adressen und Koordinaten. Weitere Informationen: Datenschutz der OpenStreetMap Foundation.

OSRM-Routing

Bei aktivierter Routenfunktion werden Start- und Zielkoordinaten an den öffentlichen Dienst router.project-osrm.org übertragen. Der Dienst erhält außerdem technisch erforderliche Verbindungsdaten wie die IP-Adresse. Öffentliche Routingdienste sind nicht für vertrauliche Einsatzdaten bestimmt; die nutzende Organisation muss die Erforderlichkeit vor Aktivierung prüfen.

Leaflet über UNPKG und Cloudflare

Die Kartenbibliothek Leaflet wird auf einzelnen Seiten über unpkg.com geladen. UNPKG nutzt die globale Infrastruktur von Cloudflare. Dabei können IP-Adresse, Zeitpunkt, angeforderte Datei, Referrer, Browser und Betriebssystem verarbeitet werden. Weitere Informationen: Datenschutz von Cloudflare.

Esri-Satellitenbilder

Wenn die Satellitenansicht verwendet wird, werden Bildkacheln von server.arcgisonline.com geladen. Anbieter ist Environmental Systems Research Institute, Inc. (Esri), USA. Übertragen werden insbesondere IP-Adresse, Browserdaten und Kachelkoordinaten. Weitere Informationen: Datenschutzerklärung von Esri.

Open-Meteo

Für Wetterinformationen werden Koordinaten und technische Verbindungsdaten an die API von OpenMeteo GmbH, Hintere Schilligmatte 6, 6463 Bürglen (UR), Schweiz, übermittelt. Weitere Informationen: Nutzungs- und Datenschutzinformationen von Open-Meteo.

18. Soziale Netzwerke und frei konfigurierbare Web-Einbindungen

Der BFTag-Monitor kann durch eine Wache mit eingebetteten Inhalten von Facebook, Instagram, TikTok, X/Twitter oder einer frei gewählten Website konfiguriert werden. Sobald ein solcher Inhalt geladen wird, baut der Browser eine direkte Verbindung zum Drittanbieter auf. Dabei können IP-Adresse, Geräte- und Browserdaten, Referrer, aufgerufene Seite sowie Cookies oder Kontokennungen des Drittanbieters verarbeitet und in Drittländer übertragen werden. Bei eingeloggten Konten kann der Anbieter den Aufruf gegebenenfalls einem Profil zuordnen.

Aktivierte Social-Media- und Website-Inhalte werden im BFTag-Monitor beim Aufruf automatisch als externe Frames geladen. Eine gesonderte Zustimmung innerhalb des Monitors wird nicht abgefragt. Die konfigurierende Organisation ist dafür verantwortlich, nur zulässige Einbindungen zu aktivieren, die erforderliche Rechtsgrundlage zu prüfen und betroffene Nutzer über den jeweils eingebundenen Drittanbieter zu informieren.

• Datenschutz bei Meta/Facebook/Instagram
• Datenschutz bei TikTok
• Datenschutz bei X

19. Empfänger und Kategorien von Empfängern

Abhängig von Funktion und Konfiguration können Empfänger personenbezogener Daten sein:

• berechtigte Benutzer, Administratoren, Ausbilder und Plattformbetreiber,
• ausdrücklich verknüpfte Wachen oder Organisationen,
• Mitglieder, Sorgeberechtigte oder sonstige ausgewählte Kommunikationsempfänger,
• Hosting-, Rechenzentrums-, E-Mail-, Support- und IT-Dienstleister,
• externe Identity-Provider und die in dieser Erklärung genannten Karten-, Routing-, Wetter-, CDN-, reCAPTCHA- und Social-Media-Anbieter,
• Behörden, Gerichte oder sonstige Stellen bei gesetzlicher Verpflichtung.

Eine Weitergabe oder ein Verkauf personenbezogener Daten zu Werbezwecken Dritter findet durch den Betreiber nicht statt.

20. Drittlandübermittlungen

Bei Google, Cloudflare, Esri, Meta, TikTok, X, frei gewählten Einbindungen, externen Identity-Providern oder anderen konfigurierten Dienstleistern kann eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums stattfinden. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss, geeignete Garantien wie Standardvertragsklauseln oder eine gesetzliche Ausnahme. Die nutzende Organisation muss dies bei selbst konfigurierten Diensten eigenständig prüfen.

21. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck erforderlich sind oder gesetzliche Aufbewahrungs-, Nachweis- oder Verjährungsfristen bestehen. Bekannte Regeldauern sind insbesondere: Passwort-Reset-Token zwei Stunden, Einladungen 14 Tage, Remember-Token und 2FA-Vertrauen bis zu 30 Tage sowie API-Sitzungen grundsätzlich 90 Tage mit möglicher gleitender Verlängerung.

Konten-, Mitglieds-, Termin-, Anwesenheits-, Einsatz-, Fahrzeug-, Ticket-, Positions-, Audit-, Kontroll- und Mail-Log-Daten verbleiben bis zur zweckgerechten Löschung durch berechtigte Stellen beziehungsweise bis zur Beendigung des Kontos, soweit keine gesetzlichen oder sicherheitsbezogenen Gründe entgegenstehen. Die jeweilige Organisation muss verbindliche Löschfristen festlegen und regelmäßig umsetzen. Backups können Daten technisch bedingt noch für einen begrenzten Zeitraum enthalten und werden im Rahmen der regulären Sicherungsrotation überschrieben.

22. Rechte betroffener Personen

Betroffene Personen haben nach den gesetzlichen Voraussetzungen insbesondere das Recht auf:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Unterrichtung nach Art. 19 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO,
• Widerspruch nach Art. 21 DSGVO,
• Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

Für Daten, die eine registrierte Organisation eigenverantwortlich eingegeben hat, soll sich die betroffene Person zunächst an diese Organisation wenden. Anfragen zum Plattformbetrieb können an info@bftag.online gerichtet werden. Zum Schutz vor unberechtigten Auskünften kann ein geeigneter Identitätsnachweis verlangt werden.

23. Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO

Soweit eine Verarbeitung auf berechtigten Interessen beruht, kann aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, jederzeit Widerspruch eingelegt werden. Die Verarbeitung wird dann beendet, sofern keine zwingenden schutzwürdigen Gründe oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen entgegenstehen.

24. Beschwerderecht

Betroffene Personen können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Für den Sitz des Plattformbetreibers ist insbesondere zuständig:

Landesbeauftragte für den Datenschutz Sachsen-Anhalt
Otto-von-Guericke-Straße 34a
39104 Magdeburg
Postfach 1947, 39009 Magdeburg
Telefon: +49 391 81803-0
E-Mail: poststelle@lfd.sachsen-anhalt.de
Website: datenschutz.sachsen-anhalt.de

25. Datensicherheit

Es werden angemessene technische und organisatorische Maßnahmen eingesetzt. Dazu gehören insbesondere verschlüsselte Übertragung, Passwort-Hashing, rollenbasierte Zugriffe, Session- und CSRF-Schutz, Rate-Limits, Zwei-Faktor-Authentifizierung, protokollierte Betreiberzugriffe, gehashte Tokens sowie Prüfungen bei geschützten Datei-Uploads. Ein absoluter Schutz vor allen Risiken kann dennoch nicht garantiert werden. Organisationen müssen eigene Berechtigungskonzepte, Endgeräteschutz, Schulungen, Aufbewahrungs- und Löschkonzepte ergänzen.

26. Keine automatisierte Entscheidung mit erheblicher Wirkung

Eine ausschließlich automatisierte Entscheidung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. reCAPTCHA, Rate-Limits und andere Sicherheitsprüfungen bewerten technische Risiken und können einzelne Anfragen blockieren, treffen jedoch keine solche Entscheidung über eine Person.

27. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn Funktionen, Konfigurationen, Dienstleister, Datenverarbeitungen oder die Rechtslage geändert werden. Maßgeblich ist die jeweils veröffentlichte Fassung. Organisationen müssen ergänzende eigene Datenschutzinformationen ebenfalls aktuell halten.

Stand: 1. August 2026