Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist der Betreiber dieser KNB-Instanz (Klimafreundliches & Nachhaltiges Bonussystem für Gemeinden).

Bei datenschutzrechtlichen Fragen wenden Sie sich bitte direkt an Ihre Gemeinde oder den Systembetreiber.

2. Welche Daten wir erheben

2.1 Registrierungsdaten

Bei der Registrierung speichern wir:

Vor- und Nachname
E-Mail-Adresse
Passwort (ausschließlich als sicherer bcrypt-Hash – das Klartext-Passwort wird niemals gespeichert)
Gemeindezugehörigkeit
Registrierungszeitpunkt

2.2 Aktivitätsdaten

Wenn Sie Aktivitäten erfassen, speichern wir:

Aktivitätstyp und -kategorie
Datum der Aktivität
Vergebene Punkte und CO₂-Einsparung
Optionale Notizen

2.3 Prämieneinlösungen

Bei der Einlösung von Prämien speichern wir Zeitpunkt, Prämienname, eingesetzte Punkte und den Einlösungs-Token.

2.4 IP-Adresse (Geo-Verifizierung)

Beim Aufruf der App wird Ihre IP-Adresse anhand einer lokal auf dem Server gespeicherten Geolokalisierungsdatenbank (MaxMind GeoLite2-Country) ausgewertet, um Ihren Herkunftsstaat zu ermitteln (Ländercode). Es werden dabei keine Daten an externe Dienste übertragen. Der ermittelte Ländercode wird maximal 7 Tage in unserer Datenbank zwischengespeichert und danach automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Systemsicherheit).

2.5 Protokolldaten

Unser Hosting-Anbieter (All-inkl.com) speichert gemäß gesetzlicher Anforderungen Server-Logfiles mit IP-Adressen, Zugriffszeiten und abgerufenen URLs. Diese Daten werden nach spätestens 7 Tagen automatisch gelöscht.

3. Zwecke der Verarbeitung

Kontoführung und Authentifizierung – Bereitstellung Ihres persönlichen Nutzerkontos (Art. 6 Abs. 1 lit. b DSGVO)
Betrieb des Bonussystems – Erfassung und Auswertung von Aktivitäten, Punktevergabe und Prämieneinlösung (Art. 6 Abs. 1 lit. b DSGVO)
Rangliste – Öffentliche Anzeige von Name, Gemeinde und Punktestand im Rahmen des Systems; Sie stimmen dem bei der Registrierung zu (Art. 6 Abs. 1 lit. a DSGVO)
Sicherheit & Missbrauchsschutz – Geo-Blocking, Login-Ratenlimitierung (Art. 6 Abs. 1 lit. f DSGVO)
Systemmitteilungen per E-Mail – z. B. Bestätigung Ihrer Aufnahme in eine Gemeinde (Art. 6 Abs. 1 lit. b DSGVO)

4. Drittanbieter und Datenübermittlungen

MaxMind GeoLite2 (IP-Geolokalisierung – lokal)

Zur Ländererkennung wird die frei verfügbare Datenbank GeoLite2-Country von MaxMind lokal auf dem Server eingesetzt. Ihre IP-Adresse verlässt dabei nicht unseren Server – es findet kein externer API-Call statt. Die Datenbank enthält ausschließlich aggregierte Netzwerkdaten, keine Personendaten.

Nominatim / OpenStreetMap (Verwaltungsfunktion)

In der Gemeinde-Verwaltung wird der Dienst Nominatim (OpenStreetMap) zur Umwandlung von Postleitzahlen in geografische Koordinaten genutzt. Dabei werden keine personenbezogenen Daten übermittelt, sondern ausschließlich Postleitzahlen.

All-inkl.com (Hosting)

Die Anwendung wird gehostet bei der Allinkl Kommunikation AG, Deutschland. Server-Logfiles werden gemäß deutschem Recht verarbeitet. Ein Auftragsverarbeitungsvertrag (AVV) liegt vor.

5. Cookies und Sitzungsdaten

Wir setzen ausschließlich technisch notwendige Session-Cookies ein. Diese dienen der Aufrechterhaltung Ihrer Sitzung nach dem Login und enthalten keine Tracking- oder Werbedaten. Eine Einwilligung im Sinne des § 25 TTDSG ist für technisch notwendige Cookies nicht erforderlich.

Die Session-Cookies sind mit den Flags HttpOnly, Secure und SameSite=Lax gesichert und werden beim Abmelden oder nach Sitzungsablauf automatisch gelöscht.

6. Speicherdauer

Kontodaten und Aktivitäten: bis zur Löschung Ihres Kontos
IP-Länder-Cache: maximal 7 Tage
Server-Logfiles: maximal 7 Tage (Hosting-Anbieter)
Prämieneinlösungen: Einlösungs-Token laufen nach 30 Tagen ab; die Transaktion wird für buchhalterische Zwecke aufbewahrt

Nach Ablauf der Speicherdauer werden Daten automatisch gelöscht oder so anonymisiert, dass kein Personenbezug mehr herstellbar ist.

7. Ihre Rechte

Als betroffene Person haben Sie folgende Rechte gemäß DSGVO:

Auskunft Art. 15 DSGVO – Welche Daten wir über Sie gespeichert haben

Berichtigung Art. 16 DSGVO – Korrektur unrichtiger Daten

Löschung Art. 17 DSGVO – Konto und alle personenbezogenen Daten löschen (über Profil-Einstellungen)

Einschränkung Art. 18 DSGVO – Verarbeitung einschränken lassen

Datenübertragbarkeit Art. 20 DSGVO – Ihre Daten in maschinenlesbarem Format erhalten

Widerspruch Art. 21 DSGVO – Verarbeitung auf Basis berechtigtem Interesse widersprechen

Beschwerde Art. 77 DSGVO – Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde

Widerruf Art. 7 Abs. 3 DSGVO – Erteilte Einwilligungen jederzeit widerrufen

Für Auskunfts- und Löschungsanfragen können Sie Ihr Konto in den Profil-Einstellungen direkt löschen. Für alle weiteren Anfragen wenden Sie sich bitte an den Betreiber.

8. Datensicherheit

Die Übertragung zwischen Ihrem Browser und dem Server erfolgt ausschließlich verschlüsselt über HTTPS (TLS). Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Alle API-Endpunkte sind durch Authentifizierung und Autorisierung gesichert.