Datenschutzerklärung

1. Verantwortlicher

2. Allgemeines

Wir nehmen den Schutz deiner persönlichen Daten ernst. Diese Datenschutzerklärung informiert dich darüber, welche Daten wir erheben, wie wir sie verwenden und welche Rechte du hast.

Unsere Dienste werden auf Servern in Deutschland (IONOS SE, Elgendorfer Str. 57, 56410 Montabaur) betrieben, deine Daten werden dort gespeichert und verarbeitet. Eine Ausnahme bilden Push-Benachrichtigungen, wenn deine Gemeinde sie zugelassen hat und du sie auf deinem Gerät aktivierst: Sie werden über Dienste von Google, Apple bzw. der Browser-Hersteller zugestellt, die ihren Sitz in den USA haben (siehe Ziffer 10).

3. Hosting

Unsere Website (churchflow.team) und die Anwendung (app.churchflow.team) werden gehostet bei:

Der Einsatz von IONOS erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem zuverlässigen und sicheren Betrieb). Mit IONOS besteht ein Auftragsverarbeitungsvertrag.

4. Anwendungs-Logs und Fehlerüberwachung

Zur Fehleranalyse und zum Betrieb der Anwendung setzen wir Seq ein, eine Software zur strukturierten Log-Verwaltung. Seq wird ausschließlich auf unseren eigenen Servern in Deutschland betrieben – es werden keine Daten an Dritte übermittelt.

In den Anwendungs-Logs werden technische Ereignisse (z. B. Fehler, API-Aufrufe) sowie anonyme Benutzer-IDs gespeichert. IP-Adressen können in Zugangsprotokollen des Servers enthalten sein. Die Logs dienen ausschließlich dem technischen Betrieb und der Fehlerbehebung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und zuverlässigen Betrieb).

Fehlerüberwachung (GlitchTip)

Zur automatisierten Erfassung technischer Fehler in Frontend und Backend setzen wir außerdem GlitchTip ein, eine Sentry-kompatible Open-Source-Software zur Fehlerverfolgung. Auch GlitchTip wird – wie Keycloak und Seq – ausschließlich auf unseren eigenen Servern in Deutschland betrieben; es werden keine Daten an Dritte übermittelt.

Bei unbehandelten Fehlern werden technische Informationen (Fehlermeldung, Stacktrace, betroffene Komponente) sowie eine Trace-ID zur Korrelation mit den Anwendungs-Logs (Seq) übermittelt. Wenn du im Fehlerdialog freiwillig einen Kommentar zu einem aufgetretenen Fehler abgibst, wird dieser Kommentar ebenfalls an GlitchTip übermittelt und dort dem entsprechenden Fehlerbericht zugeordnet. Aktivierst du dabei zusätzlich die Option „Benachrichtige mich, wenn das Problem behoben ist“, informieren wir dich per E-Mail, sobald der Fehler behoben ist. Für den Versand dieser E-Mail nutzen wir denselben E-Mail-Versanddienstleister, der bereits unter Ziffer 10 für System-E-Mails beschrieben ist.

In der ChurchFlow-App melden wir unbehandelte Fehler ebenfalls an dieses selbst betriebene GlitchTip. Dabei werden keine personenbezogenen Daten wie Namen oder E-Mail-Adressen übermittelt; Sitzungsaufzeichnung und Leistungsmessung sind deaktiviert. Die Übertragung findet nur statt, wenn für die App eine Adresse für Fehlerberichte eingerichtet ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehlererkennung und -behebung); für freiwillig abgegebene Kommentare Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Angabe).

5. Registrierung und Nutzerkonto

Bei der Registrierung auf app.churchflow.team erheben wir folgende Daten:

Diese Daten sind zur Bereitstellung unserer Leistungen erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Im laufenden Betrieb kommen Angaben hinzu, die du selbst einträgst – insbesondere Abwesenheiten mit Zeitraum und Grund, damit die Dienstplanung deine Verfügbarkeit berücksichtigen kann. Deine Abwesenheiten sehen Administratoren deiner Gemeinde sowie Mitglieder deiner Dienstgruppen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Hinweis: Deine Zuordnung als Mitglied oder Mitarbeitende deiner Gemeinde kann eine Information über deine Religionszugehörigkeit im Sinne von Art. 9 DSGVO darstellen. Die Verarbeitung erfolgt auf Grundlage von Art. 9 Abs. 2 lit. d DSGVO im Rahmen der rechtmäßigen Tätigkeit deiner Gemeinde.

6. Einladung weiterer Nutzer

Leiter und Administratoren einer Gemeinde können weitere Personen einladen. Dabei wird die E-Mail-Adresse der eingeladenen Person verarbeitet. Die einladende Gemeinde ist in diesem Zusammenhang selbst Verantwortlicher im Sinne der DSGVO. ChurchFlow verarbeitet diese Daten ausschließlich im Auftrag der jeweiligen Gemeinde.

7. Authentifizierung (Keycloak)

Die Anmeldung erfolgt über Keycloak, ein Open-Source-Identitätsmanagementsystem. Keycloak wird ausschließlich auf unseren eigenen Servern in Deutschland betrieben. Bei der Anmeldung wird ein Session-Cookie gesetzt, das technisch notwendig ist und keine Tracking-Funktion hat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies ein:

Zusätzlich speichert die Anwendung einige Angaben im lokalen Speicher deines Browsers (localStorage). Diese Angaben verbleiben auf deinem Gerät und werden nicht an uns oder an Dritte übertragen:

Cookies und lokale Speicherung sind für den Betrieb der Anwendung zwingend erforderlich; eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich. Zu Analyse-, Werbe- oder Tracking-Zwecken setzen wir weder Cookies noch lokale Speicherung ein. Rechtsgrundlage für die damit verbundene Verarbeitung personenbezogener Daten ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Lokale Speicherung in der ChurchFlow-App

Wenn du die ChurchFlow-App für Android oder iOS nutzt, speichert sie Daten auf deinem Gerät:

Diese Angaben verbleiben auf deinem Gerät und werden beim Abmelden gelöscht. Sie sind für den Betrieb der App zwingend erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage für die damit verbundene Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Bezug der App über App Store und Google Play

Die ChurchFlow-App beziehst du über den App Store von Apple oder über Google Play. Für den Bezug, die Installation und Updates sind Apple bzw. Google in eigener Verantwortung Verantwortliche; wir haben darauf keinen Einfluss. Es gelten deren Datenschutzhinweise.

9. Echtzeit-Kommunikation (SignalR)

Für die Echtzeit-Funktionen innerhalb der Anwendung nutzen wir SignalR. Dies betrifft folgende Bereiche:

• Chat (Kommunikation zwischen Gemeindemitgliedern)
• Dienstplanung (Live-Aktualisierungen von Dienstplan-Änderungen)
• Veranstaltungsplanung (Echtzeit-Synchronisierung von Veranstaltungsdaten)
• Ablaufplanung (Live-Kollaboration an Ablaufplänen)
• Dienstgruppen (Echtzeit-Updates bei Gruppenänderungen)

Die Verbindung wird ausschließlich über unsere eigenen Server in Deutschland hergestellt. Es werden keine Daten an Dritte übermittelt.

10. Benachrichtigungen (E-Mail und Push)

System- und Benachrichtigungs-E-Mails

Für den Versand von System-E-Mails (z. B. Kontoaktivierung) und Dienstplan-Benachrichtigungen setzen wir Brevo SAS (7 rue de Madrid, 75008 Paris, Frankreich) als SMTP-Relay ein. Diese E-Mails sind für den Betrieb der Anwendung erforderlich und werden unabhängig von einer Marketing-Einwilligung versendet. Auf denselben Versandweg greifen wir zurück, wenn du im Fehlerdialog der Anwendung ausdrücklich um eine Benachrichtigung nach Behebung eines gemeldeten Fehlers gebeten hast (siehe Ziffer 4).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Mit Brevo besteht ein Auftragsverarbeitungsvertrag; Brevo verarbeitet die Daten ausschließlich innerhalb der EU.

Push-Benachrichtigungen

Push-Benachrichtigungen informieren dich z. B. über neue Dienstanfragen, Zuteilungen oder Nachrichten, auch wenn ChurchFlow nicht geöffnet ist. Sie sind optional und von deiner Gemeinde steuerbar: Wir setzen sie nur ein, wenn deine Gemeinde sie zugelassen hat: Eine neue Gemeinde entscheidet das bei der ersten Anmeldung einmalig, bis dahin ist Push ausgeschaltet; die Entscheidung lässt sich in den Einstellungen von ChurchFlow ändern. Andernfalls erhältst du Benachrichtigungen per E-Mail. Zusätzlich aktivierst du Push auf jedem Gerät selbst, im Browser oder in der App, und kannst das jederzeit widerrufen.

Browser (Web-Push): Wenn du Push-Benachrichtigungen in deinem Browser aktivierst, speichern wir das Push-Abonnement (Endpoint und Verschlüsselungsschlüssel). Die Zustellung erfolgt über den Push-Dienst deines Browser-Herstellers (z. B. Google, Mozilla, Apple oder Microsoft); an diesen werden der Endpoint, deine IP-Adresse, der Zeitpunkt und der verschlüsselte Inhalt übermittelt.

ChurchFlow-App (Android und iOS): Wenn du Push-Benachrichtigungen in der App aktivierst, speichern wir eine Geräte-Kennung (Push-Token), die Plattform sowie Zeitpunkt und Version deiner Einwilligung. Die Zustellung erfolgt über Firebase Cloud Messaging der Google LLC (USA); bei iOS leitet Google die Benachrichtigung über den Push-Dienst von Apple (Apple Inc., USA) weiter. An diese Dienste werden die Geräte-Kennung, deine IP-Adresse, der Zeitpunkt sowie Titel, Kurztext und Verweis der Benachrichtigung übermittelt. Der Text nennt, worum es geht (z. B. den Namen eines Dienstes oder einer Veranstaltung), aber nicht, wer etwas getan oder geschrieben hat, und enthält keine Nachrichteninhalte.

Übermittlung in die USA: Die genannten Empfänger haben ihren Sitz in den USA. Grundlage der Übermittlung ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, hilfsweise deine ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Auf die Übermittlung in die USA und das damit verbundene Risiko, dass Behörden dort auf die Daten zugreifen können, weisen wir dich beim Aktivieren hin.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und, soweit dafür auf dein Endgerät zugegriffen wird, § 25 Abs. 1 TDDDG), die du beim Aktivieren erteilst. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du Push im Browser oder in der App deaktivierst. Deine Gemeinde kann Push außerdem für alle Nutzenden abschalten; wir entfernen dann alle Push-Anmeldungen.

11. Feedback und Support (Zammad)

Über das Formular unter churchflow.team/feedback kannst du uns Feedback, Fehlermeldungen und Support-Anfragen senden. Ein Nutzerkonto ist dafür nicht erforderlich.

Verarbeitet werden die von dir eingegebenen Angaben – Name, E-Mail-Adresse, Nachrichtentext sowie ein optionaler Dateianhang – und die technisch übermittelte IP-Adresse. Aus deiner E-Mail-Adresse legt unser Ticketsystem automatisch einen Kontakt-Datensatz an, damit deine Anfrage einem Vorgang zugeordnet und beantwortet werden kann. Ein Zugang oder Passwort entsteht dabei nicht.

Für den Betrieb des Ticketsystems setzen wir Zammad GmbH (Marienstraße 18, 10117 Berlin, Deutschland) als Auftragsverarbeiter ein. Es besteht ein Auftragsverarbeitungsvertrag.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung und Beantwortung von Anfragen). Betrifft deine Anfrage ein bestehendes oder anzubahnendes Vertragsverhältnis, tritt Art. 6 Abs. 1 lit. b DSGVO hinzu.

Anfragen werden nach abschließender Bearbeitung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (siehe Ziffer 13).

12. Marketing-Kommunikation

Mit deiner ausdrücklichen Einwilligung verarbeiten wir deine E-Mail-Adresse sowie deinen Vor- und Nachnamen für den Versand von Informationen zu ChurchFlow (z. B. Produktneuigkeiten, Updates). Dafür übertragen wir diese Daten an unseren E-Mail-Marketing-Dienstleister Brevo SAS (7 rue de Madrid, 75008 Paris, Frankreich – siehe auch Ziffer 10), der sie in einer Marketing-Kontaktliste verwaltet. Mit Brevo besteht ein Auftragsverarbeitungsvertrag; Brevo verarbeitet die Daten ausschließlich innerhalb der EU.

Deine Zustimmung wird im Double-Opt-in-Verfahren bestätigt: Nach deiner Angabe in den Kontoeinstellungen erhältst du von Brevo eine Bestätigungs-E-Mail mit einem Link. Erst wenn du diesen Link anklickst, wird dein Kontakt der Marketing-Kontaktliste hinzugefügt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung ist freiwillig und kann jederzeit ohne Angabe von Gründen widerrufen werden – entweder in den Kontoeinstellungen der App oder per E-Mail an info@churchflow.team. Bei Widerruf entfernen wir deinen Kontakt wieder aus der Marketing-Kontaktliste bei Brevo.

Aktuell versenden wir noch keine Marketing-Kampagnen; deine Daten werden ab Bestätigung der Einwilligung aber bereits in der Kontaktliste bei Brevo geführt, damit wir dich künftig erreichen können.

13. Speicherung und Löschung

Allgemein

Nutzerdaten werden nach Löschung des Accounts unverzüglich gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Rechnungen und Zahlungsbelege werden nicht in ChurchFlow selbst, sondern in der getrennten Buchhaltung gemäß den gesetzlichen Aufbewahrungsfristen 8 Jahre aufbewahrt (§ 147 AO).

Löschung nach Ende der Nutzung durch eine Gemeinde

Endet die Nutzung einer Gemeinde – weil die Testphase ohne Zahlungsmethode abgelaufen oder eine Kündigung wirksam geworden ist –, wird der Zugang gesperrt. 90 Tage nach der Sperre werden alle Daten der Gemeinde endgültig gelöscht, einschließlich der Benutzerkonten und des Event-Streams. Sieben Tage vorher informieren wir die Kontaktadresse der Gemeinde; bis zur Löschung kann die Gemeinde ChurchFlow durch Hinterlegen einer Zahlungsmethode weiter nutzen oder eine Kopie ihrer Daten anfordern. Auf Anfrage löschen wir die Daten einer Gemeinde auch sofort.

Datenbanksicherungen werden nach 7 Tagen, technische Protokolle nach 14 Tagen automatisch gelöscht. Spätestens danach sind gelöschte Daten auch dort nicht mehr vorhanden.

Technisches Löschkonzept (PII-Externalisierung)

ChurchFlow basiert auf einem Event-Sourcing-System. Um das Recht auf Löschung nach Art. 17 DSGVO vollständig zu gewährleisten, setzen wir das Side-Store-Pattern ein:

• Personenbezogene Daten – Vorname, Nachname, E-Mail, Namen von Gästen ohne Benutzerkonto, Nachrichtentexte, der Grund einer Abwesenheit sowie Telefon und E-Mail der Gemeinde – werden außerhalb des Event-Streams in separaten, geschützten Tabellen (Side-Stores) gespeichert.
• Domain-Events enthalten ausschließlich anonyme IDs – keine Klarnamen, E-Mail-Adressen, Telefonnummern oder Texte.
• Bereits vorhandene Events werden einmalig bereinigt: personenbezogene Werte werden in die Side-Stores überführt und aus den Events entfernt. Bei einer Löschung wird der Event-Stream selbst nicht verändert; gelöscht werden die Werte in den Side-Stores.

Self-Service: Eigene Daten löschen (Art. 17 DSGVO)

Eingeloggte Benutzer können ihre eigenen personenbezogenen Daten jederzeit über die Anwendung selbst löschen:

• App: Einstellungen → Konto → Konto löschen
• API: DELETE /api/dsgvo/me

Beim Löschvorgang werden alle PII-Daten aus der Datenbank entfernt und ein BenutzerDsgvoGeloescht-Event emittiert. Dieses Event anonymisiert alle Einträge des Benutzers in allen Modulen (Dienstplanung, Kommunikation, Ablaufplanung) – Namensbezüge werden durch [Benutzer gelöscht] ersetzt. Die Texte der von der Person geschriebenen Nachrichten, Systemnachrichten über sie und ihre Abwesenheitsgründe werden dabei ebenfalls gelöscht; Nachrichten zeigen danach [Inhalt gelöscht].

Administratoren können über DELETE /api/dsgvo/{benutzerId} auch andere Benutzer löschen.

Gäste ohne Benutzerkonto

Gäste (Personen ohne Konto, die einem Dienst zugewiesen werden) können von Administratoren einzeln gelöscht werden: Der Name wird aus dem Gästeverzeichnis entfernt, bestehende Zuweisungen zeigen danach [Inhalt gelöscht]. Auf Anfrage einer betroffenen Person führt der Betreiber dieselbe Löschung durch.

Auskunftsrecht (Art. 15 DSGVO)

Du kannst jederzeit eine Übersicht aller über dich gespeicherten personenbezogenen Daten abrufen:

• API: GET /api/dsgvo/auskunft

Die Auskunft enthält: Stammdaten (Name, E-Mail), Rolle, Status, Dienst-Zuweisungen, verfasste Nachrichten, Abwesenheiten, Push-Abonnements (bei Browsern der Endpoint, bei App-Geräten Plattform sowie Zeitpunkt und Version der Einwilligung, jeweils ohne Schlüsselmaterial und Geräte-Token), deine Marketing-Zustimmung sowie deine Benachrichtigungseinstellungen.

Datenportabilität (Art. 20 DSGVO)

Du kannst deine Daten als maschinenlesbares JSON-Archiv herunterladen:

• API: GET /api/dsgvo/export

Der Download enthält dieselben Daten wie die Auskunft in einem portablen JSON-Format.

14. Deine Rechte

Du hast gegenüber uns folgende Rechte:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Zur Ausübung deiner Rechte wende dich an: info@churchflow.team

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die zuständige Behörde für Baden-Württemberg ist: