1 · Verantwortlicher und Rollen

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Markus Voß (Einzelunternehmen), Asbacher Weg 18, 98574 Schmalkalden, Deutschland
E-Mail: markus@ki4ehrenamt.de

Weitere Angaben: Impressum.

Zwei Rollen — bitte beachten:

Für unsere eigene Website und unsere Kundenbeziehung (Besuch der Seiten, Sichtbarkeits-Check, Anfragen, Testverein-Bewerbung, Registrierung und Nutzung des Vereinsbüros durch die vertretungsberechtigte Person eines Vereins) sind wir der Verantwortliche. Diese Erklärung beschreibt in erster Linie diese Verarbeitungen.
Für die personenbezogenen Daten von Vereinsmitgliedern, die ein registrierter Verein in seinem Vereinsbüro verwaltet (z. B. Mitgliederlisten, Fotos, Ausweise, Veranstaltungs-Teilnahmen), ist der jeweilige Verein der Verantwortliche; wir handeln insoweit als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich auf dokumentierte Weisung des Vereins. Grundlage ist der Vertrag zur Auftragsverarbeitung zwischen dem Verein und uns; er wird elektronisch im Vereinsbüro geschlossen. Dabei protokollieren wir als Vertragsnachweis Zeitpunkt, Vertragsversion, das handelnde Konto sowie die angegebene vertretungsberechtigte Person (Name, Funktion, E-Mail-Adresse) — Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, Aufbewahrung für die Dauer des Vertrags zuzüglich gesetzlicher Fristen. Betroffene Mitglieder wenden sich mit ihren Rechten in erster Linie an ihren Verein (siehe Ziffer 19).

2 · Unser Grundprinzip: Datensparsamkeit-by-Design

KI4Ehrenamt ist bewusst so gebaut, dass eingesetzte KI-Systeme keine personenbezogenen Daten von Vereinsmitgliedern oder Ansprechpersonen sehen. Wir trennen technisch zwei Zonen:

Formular-/Datenzone: Hier landen personenbezogene Daten (z. B. E-Mail-Adressen aus Anfragen, Mitgliederlisten), gespeichert ausschließlich in der EU, ohne KI-Zugriff.
KI-/Auswertungszone: Verarbeitet ausschließlich Sach- und Projektinhalte (z. B. die öffentliche Online-Sichtbarkeit eines Vereins als Organisation, Formulierungshilfen für Texte) — bekommt personenbezogene Kontakt- oder Mitgliederdaten grundsätzlich nicht zu Gesicht.

Aktueller Stand der KI-Nutzung: Der Sichtbarkeits-Check und der Wachstums-Rechner arbeiten regelbasiert (Ampel-Logik nach festen Kriterien, statistisches Formel-Modell) — hier findet kein Einsatz eines großen Sprachmodells (LLM) statt. Für einzelne unterstützende Funktionen (z. B. Textvorschläge) steht eine austauschbare KI-Anbindung bereit; im produktiven Betrieb laufen diese ausschließlich über KI-Dienste in EU-Rechenzentren (z. B. AWS Bedrock EU in Frankfurt/Irland bzw. EU-native Anbieter) — nie über eine US-Direktanbindung mit personenbezogenen Daten. Generative KI-Funktionen sind je Verein optional zuschaltbar („MiraKI"): Standard ist der Betrieb ohne generative KI; erst die Vereinsleitung entscheidet aktiv, ob sie zugeschaltet wird, und jedes Umlegen dieses Schalters wird protokolliert. Personenbezogene Daten werden nicht zum Training von KI-/Sprachmodellen verwendet.

3 · Bereitstellung der Website, Hosting, Serverlogs

Diese Website und alle dazugehörigen Funktionen (Sichtbarkeits-Check, Formulare, Vereinsbüro, Steuerpult) laufen auf einem eigenen Server bei Hetzner Online GmbH, Rechenzentrum Falkenstein, Deutschland (EU). Die Datenbank (PostgreSQL) läuft auf demselben Server, ebenfalls in der EU. Die verschlüsselte Verbindung (HTTPS/TLS) wird über einen Reverse-Proxy (Caddy) automatisch bereitgestellt.

Zweck/Rechtsgrundlage: Bereitstellung der Website und ihrer Funktionen, Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/vorvertragliche Maßnahme) bzw. lit. f DSGVO (berechtigtes Interesse am technischen Betrieb).
Empfänger: Hetzner Online GmbH als Auftragsverarbeiter.
Drittlandtransfer: Keiner — Server und Datenbank stehen ausschließlich in Deutschland/EU.
Serverlogs: Beim Aufruf der Website werden aus technischen Gründen automatisch Verbindungsdaten (u. a. IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browsertyp) kurzzeitig verarbeitet, um die Website sicher und stabil auszuliefern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb, Stabilität und Sicherheit).

4 · Sichtbarkeits-Check (Kernfunktion)

Wenn Sie den Gratis-Sichtbarkeits-Check nutzen, geben Sie Vereinsname, Ort und Angebote/Sparten ein, um die öffentliche Online-Sichtbarkeit Ihres Vereins zu prüfen (Google-Auffindbarkeit, Website, Social-Media-Präsenz).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihren Wunsch) bzw. lit. f DSGVO (berechtigtes Interesse an der Diensterbringung).
Empfänger: Ein Suchergebnis-Datenanbieter, der zur technischen Abfrage der Google-Sichtbarkeit eingebunden ist. Vereinsname und Ort sind in aller Regel keine personenbezogenen Daten einer natürlichen Person.
Speicherdauer: Die Ergebnisse werden zur Beschleunigung wiederholter Abfragen bis zu 30 Tage zwischengespeichert und danach automatisch überschrieben/gelöscht.

4a · Formulierungshilfe für Förderanträge

Im Vereinsbüro steht (im kostenpflichtigen Tarif „Wachsen") eine Formulierungshilfe für Förderanträge zur Verfügung. Sie funktioniert wie folgt: Sie fotografieren ein leeres Formularfeld; die Texterkennung (OCR) läuft ausschließlich in Ihrem Browser — das Bild verlässt Ihr Gerät nie. Ein Vorfilter prüft die erkannten Felder auf mögliche Personendaten (z. B. IBAN, E-Mail, Telefon, Adresse) sowie auf rechtliche/steuerliche Einordnungsfragen; solche Felder werden nicht an die KI übergeben, sondern durch einen Hinweis ersetzt. Nur die verbleibenden, PII-freien Formularfragen werden zusammen mit Ihren eigenen, freiwillig eingegebenen Projektangaben an unseren KI-Dienst in der EU (Ziffer 2/17) übermittelt, um einen Formulierungsvorschlag zu erzeugen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von Ihnen angeforderten Unterstützungsleistung im Rahmen des Nutzungsverhältnisses).
Empfänger: KI-Dienst in der EU (Ziffer 2/17); keine Übermittlung an Dritte außerhalb der EU.
Verantwortung des Vereins: Der Vorschlag ist ein Textentwurf, keine rechtliche oder steuerliche Beratung. Der Verein prüft und verantwortet jede Angabe vor Einreichung (§ 264 StGB); der Vorschlag wird als KI-generiert gekennzeichnet (Ziffer 16).
Speicherdauer: Die erkannten Feldfragen und der Vorschlag werden nicht dauerhaft gespeichert, sondern nur für die Dauer der Sitzung verarbeitet.

4b · Förder-Entwurf im Vereinsbüro (Gespräch mit Mira, optionale Netz-Nachschau)

Für verifizierte Vereine gibt es im Vereinsbüro einen Förder-Entwurf. Er läuft in drei Schritten, die datenschutzrechtlich unterschiedlich zu bewerten sind:

1. Abgleich mit unserer Förderdatenbank: Ihr Vorhaben wird ausschließlich bei uns mit unserem Programm-Bestand verglichen. Dabei werden keine Daten an Dritte übermittelt und keine KI eingesetzt.
2. Gespräch mit Mira: Sie beantworten Sachfragen zu Ihrem Vorhaben (z. B. Kostenrahmen, Zielgruppe, Zeitplan) — per Tastatur oder Spracheingabe (Ziffer 11). Diese Angaben werden zusammen mit dem Vereinsnamen und dem Ort an unseren KI-Dienst in der EU (Ziffer 2/17) übermittelt, um daraus einen Textentwurf zu erzeugen. Personendaten gehören dort nicht hinein; ein Vorfilter blockiert erkennbare Personendaten sowie rechtliche/steuerliche Einordnungsfragen. Der Steuerstatus des Vereins wird von uns weder erhoben noch behauptet.
3. Optionale Nachschau im Netz (nur auf Ihren ausdrücklichen Klick): Auf Wunsch sucht Mira einmalig nach zusätzlichen, regionalen Förderprogrammen. Dazu werden drei Angaben übermittelt: Ort, Bundesland und Ihr Vorhaben als Suchbegriff. Diese drei Angaben werden Ihnen vorher angezeigt und gehen erst nach Ihrer Bestätigung hinaus. Empfänger ist ein Suchergebnis-Datenanbieter mit Sitz außerhalb der EU (USA); die Einordnung der Suchtreffer erfolgt anschließend durch unseren KI-Dienst in der EU. Namen, Adressen oder Mitgliederdaten werden dabei nicht übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von Ihnen angeforderten Unterstützungsleistung); für die Nachschau nach Ziffer 3 zusätzlich Ihre Einwilligung durch die ausdrückliche Bestätigung der angezeigten Angaben, Art. 6 Abs. 1 lit. a DSGVO. Sie können die Nachschau einfach nicht auslösen; der Förder-Abgleich funktioniert vollständig ohne sie.
Drittlandübermittlung: Für die Nachschau nach Ziffer 3 findet eine Übermittlung in die USA statt (Suchanfrage). Wir übermitteln dafür ausschließlich Ort, Bundesland und den Vorhabens-Suchbegriff — keine personenbezogenen Mitgliederdaten. Grundlage und Absicherung dieser Übermittlung werden vor der Freischaltung dieser Funktion vertraglich geregelt; solange das nicht abgeschlossen ist, bleibt die Funktion abgeschaltet.
Generative KI nur mit Ihrer Freigabe: Sowohl das Gespräch als auch die Nachschau setzen voraus, dass Ihr Verein den MiraKI-Schalter aktiviert hat (Ziffer 2). Ist er aus, findet keine dieser Verarbeitungen statt.
Nachweis-Protokollierung: Damit jederzeit belegbar ist, welcher Text mit welchen Hinweisen an welchen Verein herausgegeben wurde, speichern wir den ausgegebenen Entwurf samt der angezeigten Kennzeichnungen in unserem Aktionsprotokoll (Ziffer 15). Das dient ausschließlich dem Nachweis der Transparenzpflichten (u. a. Art. 50 KI-VO) und unserer Rechtsverteidigung, Art. 6 Abs. 1 lit. f DSGVO.
Verantwortung des Vereins: Der Entwurf ist ein Textvorschlag — keine Förderzusage, keine Rechts- oder Steuerberatung und keine Aussage darüber, ob Ihr Verein die Fördervoraussetzungen erfüllt. Prüfung, Ergänzung und Einreichung liegen beim Verein (§ 264 StGB); der Entwurf wird als KI-generiert gekennzeichnet (Ziffer 16).

5 · E-Mail-Gate / Vollbericht

Wenn Sie Ihre E-Mail-Adresse angeben, um den vollständigen Ergebnisbericht per Mail zu erhalten, speichern wir Ihre E-Mail-Adresse sowie die von Ihnen angegebenen Vereinsangaben (Vereinsname, Ort).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von Ihnen angeforderten Leistung „Vollbericht"). Für darüberhinausgehende Kommunikation (z. B. weitere Informationen) holen wir, sofern angeboten, eine gesonderte, klar abgefragte Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO) — es gibt keine vorangekreuzten Kästchen.
Empfänger: Intern; Versand des Berichts über unseren E-Mail-Versanddienstleister (siehe Ziffer 13).
Speicherdauer: Bis zu 12 Monate nach Erhebung, sofern kein Vertragsverhältnis zustande kommt; danach Löschung oder Anonymisierung. Sie können die Löschung jederzeit vorab verlangen (Ziffer 19).

6 · Bewerbung um das Testverein- oder Testverband-Programm

Bei einer Bewerbung um Teilnahme an unserem zeitlich befristeten Testverein- oder Testverband-Programm erheben wir Vereins-/Verbandsname, Ort, Sparte bzw. Ebene, Ihr Anliegen, eine Kontakt-E-Mail-Adresse sowie einen optionalen Freitext.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme).
Wichtig: Die Zusage oder Ablehnung erfolgt immer durch einen Menschen, niemals automatisiert. Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.
Speicherdauer: Bis zum Ende des Programms zzgl. einer angemessenen Nachlauffrist von bis zu 6 Monaten. Bei Ablehnung erfolgt die Löschung bzw. Anonymisierung zeitnah, spätestens nach 3 Monaten.

7 · Vereinsbüro: Registrierung, Verifizierung und Login

Um das Vereinsbüro zu nutzen, registriert sich die vertretungsberechtigte oder beauftragte Person eines Vereins mit einer E-Mail-Adresse und einem Zugang (Passwort bzw. Zugangs-/Einladungslink). Für die angemeldete Sitzung setzen wir ein technisch notwendiges Sitzungs-Cookie (siehe Ziffer 18).

Verarbeitete Daten: E-Mail-Adresse, Zugangsdaten (Passwort ausschließlich verschlüsselt/gehasht gespeichert), Zeitpunkt von Registrierung und Anmeldungen, zugeordneter Verein und Rolle.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Begründung und Durchführung des Nutzungsverhältnisses) bzw. lit. f DSGVO (sicherer Betrieb des Zugangs).
Schutz vor Missbrauch: Zur Abwehr automatisierter Massenanmeldungen kann eine cookiefreie, datensparsame Missbrauchs-/Bot-Erkennung eingesetzt werden, die keine Profile bildet.

Verifizierung des Vereins (Stufe 2 — Vereinsregister-Abgleich, kostenlos): Um einen Verein einem Zugang zuzuordnen („Verein beanspruchen"), gleichen wir die Angaben mit dem öffentlichen, kostenlosen Vereinsregisterauszug ab. Der dabei eingegebene Name der handelnden Person dient ausschließlich diesem Abgleich (Prüfung, ob die Person dort als vertretungsberechtigt geführt wird) und wird nicht darüber hinaus für andere Zwecke verwendet. Grundlage sind öffentlich einsehbare Registerdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Zuordnungssicherheit, Schutz der Vereine vor unberechtigter Übernahme).

Zustimmung zu den Nutzungsregeln (Vertragsnachweis): Wer ein Konto anlegt — als Verein, als Verband oder als einzelnes Mitglied —, stimmt unseren Nutzungsregeln zu. Als Nachweis dieses Vertragsschlusses speichern wir Zeitpunkt, die zugestimmte Fassung der Regeln und die IP-Adresse des zustimmenden Zugangs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Begründung des Nutzungsverhältnisses) sowie lit. f DSGVO (Nachweisbarkeit des Vertragsschlusses).
Speicherdauer: für die gesamte Dauer des Nutzungsverhältnisses und danach so lange, wie Ansprüche daraus geltend gemacht werden können (regelmäßig drei Jahre, § 195 BGB). Dieser Nachweis unterliegt nicht der 90-Tage-Frist der Sicherheitsprotokolle (Ziffer 15).

Stärkere Identitätsprüfung (Stufe 3 — eID/Ausweis-Check): Für besonders sensible Momente (z. B. Abschluss eines kostenpflichtigen Abonnements oder ein Vorstandswechsel) ist perspektivisch eine Prüfung über einen eID-/Ausweis-Dienstleister vorgesehen. Diese Stufe ist derzeit noch nicht aktiv (kein produktiver Vertrag mit einem eID-Dienstleister). Vor ihrer Aktivierung ergänzen wir diesen Abschnitt und schließen den erforderlichen Auftragsverarbeitungsvertrag ab.

8 · Mitgliederverwaltung und Mitglieder-Import (unsere Rolle: Auftragsverarbeiter)

Ein registrierter Verein kann im Vereinsbüro seine Mitgliederdaten verwalten (u. a. Name, Kontaktdaten, Geburtsdatum, Geschlecht, Eintrittsdatum, Rolle/Funktion, Notizen zu Verdiensten/Ehrungen) sowie Bestandsmeldungen und die Anbindung an übergeordnete Verbandsebenen (Org-Struktur/Rollup, in aggregierter Form). Bestehende Daten können aus einem anderen Vereinsverwaltungssystem importiert werden.

Rolle/Verantwortlichkeit: Für diese Mitgliederdaten ist der Verein der Verantwortliche; wir verarbeiten sie ausschließlich in seinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO (siehe Ziffer 1). Der Verein bleibt für Rechtsgrundlage (z. B. Vereinssatzung/Mitgliedschaft, Art. 6 Abs. 1 lit. b/f DSGVO) und für die Information seiner Mitglieder zuständig.
Speicherort: Ausschließlich EU (siehe Ziffer 3). Kein KI-Zugriff auf diese Daten (Datensparsamkeit-Zwei-Zonen, Ziffer 2).
Zugriff: Nur berechtigte Personen des jeweiligen Vereins entsprechend ihrer Rolle; Aktionen werden sicherheitshalber protokolliert (Ziffer 15).
Rechte der Mitglieder: Auskunft/Berichtigung/Löschung usw. richten Mitglieder in erster Linie an ihren Verein als Verantwortlichen; wir unterstützen den Verein dabei als Auftragsverarbeiter.

9 · Mitglieder-Selbstdarstellung: Porträtfoto, digitaler Ausweis, Kontaktkarte, Selbstpflege

Das Vereinsbüro bietet Mitgliedern optionale, selbstbestimmte Funktionen rund um die eigene Mitgliedschaft. Diese Funktionen sind freiwillig und werden durch das Mitglied selbst ausgelöst; das Mitglied entscheidet über Inhalt, Sichtbarkeit und Widerruf.

Porträtfoto: Ein Mitglied kann ein Porträtfoto hinterlegen (z. B. für den Ausweis/die Kontaktkarte). Das Foto wird in der EU gespeichert (Übertragung verschlüsselt; die Ablage erfolgt derzeit lesbar bei uns); der Zeitpunkt der Einwilligung wird festgehalten. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit mit Wirkung für die Zukunft widerrufbar (Art. 7 Abs. 3 DSGVO) — ein Widerruf löscht das Foto.
Minderjährige (Art. 8 DSGVO): Für Mitglieder unter 16 Jahren wird ein Foto erst nach ausdrücklicher Freigabe durch die Erziehungsberechtigten veröffentlicht. Diese Freigabe wird über den Vorstand des Vereins erteilt und dokumentiert (der Vorstand kennt die Familien und prüft die Berechtigung); ohne Freigabe wird kein Foto öffentlich gemacht. Ist das Geburtsdatum unbekannt, wird keine Volljährigkeit unterstellt.
Digitaler Vereinsausweis (/ausweis/…): Weist gegenüber Dritten nur die Zugehörigkeit zum Verein nach und zeigt keine Kontaktdaten. Der Ausweis ist persönlich, kann bei Verlust gesperrt und neu ausgestellt werden.
Kontaktkarte / digitale Visitenkarte (/karte/…): Ein Mitglied kann einzelne, selbst freigegebene Felder als Kontaktkarte bereitstellen; diese ist über einen Link auch ohne Login öffentlich abrufbar (das ist der Zweck einer Visitenkarte). Es werden nur die vom Mitglied ausgewählten Felder angezeigt; die Freigabe ist jederzeit widerrufbar. Es wird lediglich die Zahl der Aufrufe gezählt — Besucher werden nicht protokolliert. Die Seite ist von der Suchmaschinen- Indexierung ausgenommen (noindex). Ein Download als Kontaktdatei (vCard) erfolgt technisch so, dass keine personenbezogenen Daten in der Adresszeile (URL) erscheinen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) durch die aktive Freigabe.
Selbstpflege: Ein Mitglied kann eigene Angaben selbst aktualisieren; Änderungen werden protokolliert.

Auch diese Funktionen erfolgen im Rahmen der Mitgliedschaft beim jeweiligen Verein (Auftragsverarbeitung, Ziffer 8); die inhaltliche Entscheidung trifft jedoch das Mitglied selbst.

10 · Veranstaltungen, Anmeldungen und Tickets

Über den Veranstaltungs-Planer kann ein Verein Termine organisieren, Anmeldungen/Teilnehmerlisten führen und Tickets ausgeben. Dabei können Teilnahmedaten (z. B. Name, Kontakt, Ticket-/Einlassinformationen) verarbeitet werden; Tickets enthalten einen Code (z. B. QR) zur Einlasskontrolle. Bestätigungen/Tickets können per E-Mail versendet werden (siehe Ziffer 13).

Rolle/Rechtsgrundlage: Verarbeitung im Auftrag des Vereins (Auftragsverarbeiter, Ziffer 8); der Verein stützt die Verarbeitung regelmäßig auf Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Veranstaltung/Teilnahme) bzw. lit. f DSGVO.
Einlasskontrolle: Beim Scannen eines Tickets wird der Einlass registriert (Zweck: Zutritt/Mehrfacheinlass-Prüfung). Es findet kein darüber hinausgehendes Besucher-Tracking statt.
Speicherdauer: Nach Weisung des Vereins bzw. bis zum Abschluss der Veranstaltung und einer angemessenen Nachlauffrist.

11 · Sprechen statt Tippen (Abschrift & Diktat)

An mehreren Stellen können Sie sprechen, statt zu tippen. Dafür gibt es zwei technisch völlig verschiedene Wege — der Unterschied ist für Ihren Datenschutz entscheidend.

a) Sitzungs-Abschrift — läuft vollständig auf Ihrem eigenen Gerät. Wenn Sie eine Sitzung mitschreiben lassen, verlässt die Aufnahme Ihren Rechner nicht. Wir liefern lediglich das Transkriptions-Programm (das Sprachmodell „Whisper") von unserem eigenen Server einmalig an Ihren Browser; die Umwandlung von Sprache in Text geschieht danach komplett bei Ihnen auf dem Gerät. Weder die Audioaufnahme noch die fertige Abschrift werden zu uns hochgeladen, auf unseren Servern verarbeitet oder an Dritte weitergegeben — wir bekommen davon nichts zu sehen. Sie erhalten am Ende eine Textdatei, über die allein Sie verfügen.

Optionale Live-Mitschrift: Zusätzlich können Sie eine sofortige Mitschrift zuschalten, die die Spracherkennung Ihres Browsers nutzt. Ehrlicher Hinweis: Je nach Browser läuft diese Erkennung beim Browser-Hersteller (z. B. Google, Apple). Wollen Sie das nicht, lassen Sie diese Option aus — die geräteinterne Abschrift kommt ohne sie aus.

b) Diktieren in einzelne Felder — über unseren eigenen EU-Server. Wenn Sie an einzelnen Stellen kurz in ein Eingabefeld diktieren, wird die Audioaufnahme an einen von uns selbst betriebenen Transkriptionsdienst (Whisper) auf unserem eigenen Server in der EU übermittelt, dort in Text umgewandelt und der Text an das Feld zurückgegeben. Das ist eine reine Abschrift des Gesprochenen — wie eine Tastatur, nur mit der Stimme. Die Audiodaten werden nur zur Umwandlung verarbeitet und danach nicht weiter aufbewahrt; ein externer Anbieter oder ein Drittland ist nicht beteiligt.

KI-Kennzeichnung: Die reine Sprachabschrift ist keine KI-erzeugte Aussage und wird nicht als solche gekennzeichnet. Erst wenn Sie die zuschaltbare MiraKI nutzen und daraus ein Text erzeugt wird, ist dieser als KI-erzeugt gekennzeichnet (Art. 50 KI-VO, siehe Ziffer 16).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (komfortable, barrierearme Eingabe) bzw. im Kontext der Mitgliederverwaltung Auftragsverarbeitung für den Verein (Ziffer 8).

12 · Reichweitenmessung

Wir planen den Einsatz einer cookiefreien, EU-gehosteten Analyse-Software (Plausible Analytics, Sitz Estland/EU), die ohne individuelle Profilbildung und ohne Cookies arbeitet. Stand dieser Erklärung: Diese Analyse ist noch nicht aktiv geschaltet. Sobald sie aktiviert wird, aktualisieren wir diesen Abschnitt und stützen die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an anonymer Reichweitenmessung ohne Einwilligungspflicht nach TTDSG, da keine Cookies/Endgeräte- Informationen ausgelesen werden).

13 · Transaktionaler E-Mail-Versand

Für den Versand von System-E-Mails (z. B. Bestätigung des Vollberichts, Bestätigung der Testverein-Bewerbung, Veranstaltungs-/Ticket-Bestätigungen) nutzen wir den E-Mail-Versanddienst Brevo (Sendinblue GmbH), Absenderadresse bericht@ki4ehrenamt.de.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung der von Ihnen angeforderten Leistung).
Drittlandtransfer: Keiner, soweit die Verarbeitung über die EU-Infrastruktur des Anbieters erfolgt.
Empfänger: Brevo (Sendinblue GmbH) als Auftragsverarbeiter für den E-Mail-Versand.
Monatlicher Sichtbarkeits-Stand (kostenloser Tarif): Vereine im kostenlosen Vereinsschreibtisch erhalten einmal monatlich eine Mail mit dem aktuellen Sichtbarkeits-Stand (Anzahl geprüfter Kanäle „auf Grün") ihres eigenen, zuvor angeforderten Checks, verbunden mit einem Hinweis auf die kostenpflichtige Stufe „Sichtbar". Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO als Bestandteil des mit der Registrierung begründeten Nutzungsverhältnisses. Sie können diesen Mail-Versand jederzeit formlos an markus@ki4ehrenamt.de abbestellen.

14 · Empfang von E-Mails an unsere Geschäftsadressen

E-Mails an unsere Adressen (z. B. markus@ki4ehrenamt.de) werden in einem E-Mail-Postfach beim deutschen Anbieter mailbox.org (Heinlein Hosting GmbH, Berlin) empfangen und bearbeitet.

Drittland: Keins. mailbox.org betreibt seine Server ausschließlich in Deutschland/der EU, und der Zugriff auf das Postfach erfolgt ausschließlich über diesen EU-Anbieter. Eine Weiterleitung an oder ein Abruf durch Anbieter außerhalb der EU (insbesondere kein Abruf in ein US-Postfach wie Gmail) findet nicht statt.
Auftragsverarbeitung: Mit mailbox.org (Heinlein Hosting GmbH) ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen (Stand: Juli 2026). Rechenzentrums-Unterauftragnehmer ist die PlusServer GmbH, Köln (EU).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb einer erreichbaren Geschäfts-E-Mail-Adresse).

15 · Sicherheits-Protokollierung (Login- und Aktionsprotokolle)

Zum Schutz vor unbefugtem Zugriff auf unsere Verwaltungsbereiche (Steuerpult und Vereinsbüro-Login) protokollieren wir in einer separaten, technisch abgesicherten Datenbank Login-Versuche (Zeitpunkt, Login-Name, IP-Adresse, Browser-Kennung, Erfolg/Misserfolg) sowie administrative Aktionen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Missbrauchsabwehr).
Speicherdauer: Bis zu 12 Monate, danach automatische Löschung/Rotation.
Bei einem berechtigten Sicherheitsinteresse kann eine befristete Aufbewahrung auch trotz eines Löschantrags im Einzelfall zulässig sein.

Zusätzlich: Plattform-Sicherheitsprotokoll (seit 10.08.2026). Um Angriffe und Missbrauch der Plattform erkennen und nachvollziehen zu können, protokollieren wir sicherheitsrelevante Vorgänge in der Anwendung selbst: fehlgeschlagene Anmeldeversuche, Sperrungen sowie erkannte Missbrauchsversuche (etwa Manipulationsversuche an den KI-Funktionen oder automatisierte Massenzugriffe). Erfasst werden Zeitpunkt, betroffener Zugang bzw. Verein und die IP-Adresse; Inhalte werden dabei nicht gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb; Einzelheiten in unseren Nutzungsregeln, § 7).
Speicherdauer: 90 Tage, danach automatische Löschung — es sei denn, ein konkreter Vorfall macht eine längere Aufbewahrung zur Rechtsverfolgung erforderlich. Die IP-Adresse am Anmeldeprotokoll wird mit derselben Frist entfernt.
Keine Profilbildung: weder für Werbung noch zur Auswertung des Nutzungsverhaltens; Seitenaufrufe werden hier nicht erfasst.
Abgrenzung: Nachweise über die Zustimmung zu Nutzungsregeln und AGB sind Vertragsdaten (Frist siehe Ziffer 7). Rechnungen und Buchungsbelege bewahren wir gesetzlich vorgeschrieben zehn Jahre auf (§ 147 AO, § 14b UStG).

15 a · Fehler-Melde-Funktion („Fehler melden"-Schaltfläche)

Auf unseren Seiten finden Sie eine Schaltfläche „Fehler melden". Nach einem Klick öffnet sich ein Hinweisfeld, das erklärt, was übermittelt wird. Erst wenn Sie dort aktiv auf „Senden" klicken, übertragen wir an unsere separate Protokoll-Datenbank: ein Bildschirmfoto der gerade sichtbaren Seite, die letzten technischen Fehlermeldungen Ihres Browsers, die von Ihnen gewählte Fehlerkategorie sowie Ihren optionalen Freitext-Kommentar.

Hinweis zu personenbezogenen Daten: Das Bildschirmfoto bildet die sichtbare Seite ab und kann daher personenbezogene Daten enthalten, falls zum Zeitpunkt der Meldung solche auf dem Bildschirm standen (z. B. Daten in einem Formular). Wir bitten im Hinweisfeld ausdrücklich darum, keine Mitglieder- oder Personendaten in das Kommentarfeld einzutragen.
Zweck: Diagnose und Behebung technischer Fehler.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen, fehlerfreien Plattform); die Übermittlung erfolgt ausschließlich durch Ihre freiwillige, bewusste Handlung.
Freiwilligkeit: Es findet keine automatische Übermittlung statt — nur nach Ihrem ausdrücklichen Klick und nach vorheriger Aufklärung im Hinweisfeld.
Speicherdauer: Wir löschen die Meldung, sobald das gemeldete Problem bearbeitet ist, spätestens nach 30 Tagen.

16 · KI-Transparenz (EU-KI-Verordnung, Art. 50)

Funktionen mit KI-Unterstützung kennzeichnen wir sichtbar als KI-gestützt, und der Verantwortliche (siehe Ziffer 1) wird stets genannt. Die reine Sprach-Abschrift(Ziffer 11) zählt nicht dazu: Sie gibt nur wieder, was gesprochen wurde, und ist kein KI-erzeugter Inhalt. Erst generative KI-Funktionen mit direktem Nutzerkontakt (z. B. ein Assistenz-Chat) sind je Verein optional zuschaltbar („MiraKI", Ziffer 2) und erzeugen eigene Texte; deren Ergebnisse kennzeichnen wir klar als KI-erzeugt. Inhalte, die vollständig automatisiert erzeugt werden, unterscheiden wir von KI-unterstützten Inhalten, die vor Veröffentlichung durch einen Menschen freigegeben werden. Ergänzende Erläuterung: Seite „Vertrauen & Datenschutz" (/vertrauen).

17 · Eingesetzte Auftragsverarbeiter (Übersicht)

Mit den nachfolgend genannten Dienstleistern bestehen bzw. werden Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen: Hetzner Online GmbH (Hosting; auf dieser EU-Infrastruktur läuft auch der selbst betriebene Transkriptionsdienst, Ziffer 11), mailbox.org / Heinlein Hosting GmbH (E-Mail-Postfach und -Empfang, Deutschland), Brevo/Sendinblue GmbH (E-Mail-Versand), der eingesetzte Suchergebnis-Datenanbieter (Sichtbarkeits-Check), sowie — sobald jeweils aktiviert — ein KI-Dienst in der EU (z. B. AWS Bedrock EU bzw. ein EU-nativer Anbieter, für generative KI-Funktionen), Plausible Analytics OÜ (Reichweitenmessung), ein eID-/Identitätsdienst (Stufe-3-Verifizierung) sowie ein Zahlungsdienstleister für kostenpflichtige Tarife: Mollie B.V. (Sitz Niederlande/EU) für Kartenzahlung/Apple Pay und SEPA-Lastschrift im Monatsabo. Bei Buchung per Bankdauerauftrag (Jahreszahlung) läuft die Zahlung direkt zwischen Ihrer und unserer Bank; eine IBAN wird in diesem Fall nicht bei uns oder Mollie hinterlegt, sondern nur der erwartete Zahlungseingang samt Frist intern vermerkt. Eine laufend aktualisierte interne Übersicht wird gepflegt.

18 · Cookies und Consent

Diese Website setzt keine Analyse- oder Marketing-Cookies. Das Vereinsbüro nutzt für die angemeldete Sitzung ein technisch notwendiges Sitzungs-Cookie, das nach Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 25 Abs. 2 TTDSG keiner gesonderten Einwilligung bedarf. Ein Cookie-Consent-Banner ist auf dieser Basis derzeit nicht erforderlich; wir prüfen dies laufend erneut.

19 · Ihre Rechte als betroffene Person

Sie haben nach der DSGVO folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO), insbesondere gegen auf Art. 6 Abs. 1 lit. f gestützte Verarbeitungen
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung gegenüber uns genügt eine formlose Mitteilung an markus@ki4ehrenamt.de. Betreffen Ihre Rechte Mitgliederdaten eines Vereins (Ziffer 8–10), ist der jeweilige Verein Ihr erster Ansprechpartner als Verantwortlicher; wir leiten Anfragen bei Bedarf an ihn weiter bzw. unterstützen ihn.

Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): Zuständig ist der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), www.tlfdi.de.

20 · Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Insbesondere erfolgt die Zusage zum Testverein-Programm stets durch einen Menschen (Ziffer 6).

21 · Änderungen dieser Erklärung

Wir passen diese Erklärung an, sobald sich unsere Datenverarbeitung ändert (z. B. neuer Anbieter, neue Funktion, Aktivierung von Plausible/eID/Zahlungsdienstleister). Eine erneute Prüfung erfolgt zudem mindestens einmal monatlich.

Stand: 24.07.2026.

Datenschutzerklärung