Datenschutzerklärung

1 Allgemeine Informationen

1.1 Verantwortliche Stelle

Verantwortlich

Gewerkschaft Underdog e.V.
Ehrenbergstraße 16a
Scanbox #12300
10245 Berlin

Telefon

030 75435000

E-Mail

info@gdog.pro

1.2 Ihre Rechte

Sie haben unter anderem Anspruch auf

• unentgeltliche Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten Daten,
• Berichtigung oder Löschung,
• Widerruf erteilter Einwilligungen,
• Widerspruch (Art. 21 DSGVO),
• Einschränkung der Verarbeitung,
• eine Kopie Ihrer Daten,
• Datenübertragung,
• Beschwerde bei einer zuständigen Aufsichtsbehörde.

1.3 Unsere Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, solange wir einen Grund dafür haben und dazu befugt sind. Wir hören damit auf, wenn

• der Grund entfällt. Beispiel: Die Frist einer gesetzlichen Dokumentationspflicht ist abgelaufen.
• wir nicht mehr befugt sind. Beispiel: Sie hatten der Verarbeitung zugestimmt und widerrufen diese Zustimmung.

Je nach Fall stützt sich die Verarbeitung auf Art. 6 Abs. 1 lit. a, b, c oder f DSGVO beziehungsweise, bei besonderen Datenkategorien, auf Art. 9 Abs. 2 lit. a DSGVO. Bei einer Übermittlung in Drittstaaten mit Einwilligung kommt Art. 49 Abs. 1 lit. a DSGVO hinzu, bei Cookies oder einem Zugriff auf Endgeräte § 25 Abs. 1 TDDDG.

Personenbezogene Daten geben wir nur zur Vertragserfüllung, aufgrund einer gesetzlichen Pflicht, aufgrund eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) oder auf einer sonstigen Rechtsgrundlage an externe Stellen weiter. Das sind vor allem Auftragsverarbeiter, mit denen wir dafür einen Vertrag über Auftragsverarbeitung geschlossen haben.

1.3.1 Warum erhalten Sie diese Datenschutzerklärung?

Sie nutzen unsere Internetseite (https://www.gewerkschaft-underdog.de bzw. https://gdog.pro).

1.3.2 Wie kommen wir zu personenbezogenen Daten?

Personenbezogene Daten sind alle Daten, mit denen eine Person persönlich identifiziert werden kann.

Die Daten werden zum einen durch Mitteilung erfasst, etwa über das Kontaktformular, zum anderen automatisch beim Besuch der Website durch die technischen Systeme, etwa Browser, Betriebssystem und Uhrzeit des Seitenaufrufs.

1.3.3 Was machen wir mit personenbezogenen Daten?

Wir nutzen personenbezogene Daten für die fehlerfreie Bereitstellung der Website, zur Dokumentation rechtlicher Erklärungen, für die zuverlässige Weitergabe von Informationen, zur Erledigung von Anfragen, zur Gewinnung von Mitgliedern und zu deren Aufnahme.

Die folgenden Abschnitte geben einen Überblick darüber, was mit personenbezogenen Daten geschieht, wenn Sie diese Website besuchen.

2 Unsere Verarbeitung personenbezogener Daten

2.1 Hosting

Diese Website wird extern gehostet. Unser Hoster ist die Hetzner Online GmbH, Gunzenhausen, Deutschland. Der Server steht im Rechenzentrum des Anbieters in Falkenstein, Deutschland. Der Anbieter ist unser Auftragsverarbeiter. Mit ihm haben wir einen Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

2.1.1 Zweck

Sichere und effiziente Bereitstellung der Website. Zum Schutz vertraulicher Übertragungen setzen wir SSL-/TLS-Verschlüsselung ein.

2.1.2 Rechtsgrundlage

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); bei einer Einwilligung zu Cookies oder Fingerprinting zusätzlich Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.

2.2 Datenerfassung auf dieser Website

• Beim Besuch dieser Website erfassen unsere technischen Systeme automatisch bestimmte Daten: Browsertyp und -version, Betriebssystem, die Adresse der zuvor besuchten Seite (Referrer-URL), den Hostnamen des zugreifenden Rechners, die Uhrzeit der Serveranfrage und die IP-Adresse. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer fehlerfreien Darstellung der Website.
• Nachrichten über unser Kontaktformular behandeln wir wie unter 2.8 beschrieben. Erreichen Sie uns per E-Mail, Telefon oder Telefax, speichern wir Ihre Angaben, um Ihre Anfrage und mögliche Anschlussfragen zu bearbeiten. Ohne Ihre Einwilligung geben wir sie nicht weiter. Rechtsgrundlage ist, je nach Fall, Art. 6 Abs. 1 lit. b DSGVO bei einem Vertragsbezug oder lit. f beziehungsweise lit. a DSGVO im Übrigen. Wir speichern die Angaben, bis ihr Zweck entfällt oder Sie Löschung verlangen beziehungsweise widerrufen; gesetzliche Aufbewahrungsfristen bleiben davon unberührt.

2.3 Mehrsprachigkeit

Unsere Internetseite ist in fünf Sprachen bedienbar: Deutsch, Englisch, Türkisch, Ukrainisch und Arabisch. Verbindlich ist ausschließlich die deutsche Fassung, im Zweifel die neueste Version. Die Sprachfassungen können je nach Übersetzung voneinander abweichen.

Die Sprache wählen Sie über die Schaltfläche in der Kopfzeile. Die gewählte Sprache steht nur in der Adresse der Seite (etwa /de/ oder /en/). Gespeichert wird sie nirgends: nicht in einer Sitzung, nicht in einem Konto, nicht in einer Datenbank. Die Spracheinstellung Ihres Geräts oder Browsers werten wir nicht aus.

2.4 Anmeldeverfahren

Für bestimmte Bereiche dieser Website, etwa das Mitgliederprofil oder interne Arbeitsbereiche, ist eine Anmeldung erforderlich. Sie besteht aus zwei Schritten: einer Identifikation (wer Sie sind) und einer Authentifizierung (dass Sie es wirklich sind).

Zur Identifikation geben Sie eine E-Mail-Adresse oder eine Telefonnummer an und bestätigen sie über einen Einmalcode, den wir an genau dieses Ziel senden. Alternativ können Sie den Single-Sign-On-Dienst von Google nutzen.

Für die anschließende Authentifizierung senden wir einen weiteren Einmalcode an Telefon oder E-Mail, oder Sie nutzen ein von Ihnen vergebenes Passwort.

Zusätzlich können Sie in Ihrem Konto einen Sicherheitsschlüssel oder Passkey (FIDO2) oder eine Authentifizierungs-App (TOTP) für die Authentifizierung einrichten. Für einen Sicherheitsschlüssel speichern wir dessen Kennung und öffentlichen Schlüssel, niemals einen privaten Schlüssel. Für eine Authentifizierungs-App speichern wir das Geheimnis, aus dem die App ihre Codes erzeugt.

Dabei verarbeiten wir: den von Ihnen gewählten Identifikator (E-Mail-Adresse oder Telefonnummer); den Einmalcode, den wir ausschließlich als Prüfwert speichern, niemals im Klartext, und der nach kurzer Zeit und spätestens nach drei Fehlversuchen ungültig wird; bei Nutzung eines Passworts dessen Prüfwert (Argon2id-Hash), ebenfalls niemals das Passwort selbst; sowie die IP-Adresse, mit der wir den Versand von Einmalcodes gegen Missbrauch absichern.

Eine Telefonnummer ist nicht in jedem Fall als eigenes Feld in unserer Mitgliederdatenbank hinterlegt; ist das nicht der Fall, ordnen wir sie dem gefundenen oder neu angelegten Kontakt über ein Erweiterungsfeld zu.

Anmeldung, Abmeldung und einen Wechsel des Anmeldestatus vermerken wir zu Ihrem Kontakt in einem Journal.

Beim ersten Abschluss der Authentifizierung bitten wir Sie um Kenntnisnahme dieser Datenschutzerklärung und unserer Nutzungsbedingungen; Ihre Zustimmung vermerken wir mit Zeitpunkt bei Ihrem Kontakt.

Zweck der Verarbeitung sind die sichere Identifizierung und Authentifizierung sowie die Steuerung des Zugriffs auf geschützte Bereiche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anmeldung der Mitgliedschaft oder einem sonstigen Vertragsverhältnis dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer sicheren und funktionsfähigen Anmeldung.

2.4.1 Single-Sign-On-Dienst von Google

Diesen Dienst müssen Sie nicht nutzen; es ist Ihre Entscheidung. Wenn Sie ihn nutzen, erfährt Google, dass Sie mit uns in Kontakt stehen, und den Zeitpunkt jeder Ihrer Anmeldungen bei uns.

Damit verlassen die dabei anfallenden personenbezogenen Daten den Geltungsbereich der DSGVO. Das Datenschutzniveau der USA gilt als deutlich schwächer.

2.4.2 SMS

Bei manchen Anmeldewegen senden wir Ihnen eine SMS. Den Versand erledigt für uns die sipgate GmbH, Düsseldorf, als Auftragsverarbeiter. Mit ihr haben wir einen Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

2.4.3 E-Mail

Bei manchen Anmeldewegen senden wir Ihnen eine E-Mail. Auch Sicherheitswarnungen und andere Informationen senden wir Ihnen automatisch per E-Mail. Für den Versand dieser E-Mails nutzen wir Mailjet, Paris, als Auftragsverarbeiter. Mit Mailjet haben wir einen Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

2.5 Ersetzendes Scannen

Schriftstücke, die an unsere Briefanschrift gerichtet sind, zum Beispiel wenn Sie ein Datenschutzrecht ausüben wollen, verarbeitet unser Scan-Dienstleister, die Dropscan GmbH, Berlin. Sie ist unser Auftragsverarbeiter. Mit ihr haben wir einen Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Dieses Verfahren ist für uns notwendig, um Scans mit dem Beweiswert von Originalen zu erhalten. Schriftstücke, die uns auf anderem Weg erreichen, leiten wir an unsere Briefanschrift weiter und behandeln sie dort ebenso.

2.6 Telefonate

Wenn wir miteinander telefonieren oder Sie uns nur anrufen, fallen Metadaten an, die für uns die oben genannte sipgate GmbH verarbeitet. Diese Metadaten können rechtlich bedeutsam werden.

Es kann vorkommen, dass ein Dienstleister Ihren Anruf für uns entgegennimmt, zum Beispiel wenn Sie uns nachts anrufen. Dieser Dienstleister ist StarOffice, Berlin, unser Auftragsverarbeiter. Mit ihm haben wir einen Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Wir wollen damit unsere Erreichbarkeit erhöhen.

2.7 Bildbeiträge

Sie können uns über Ihr Profil Bilder zur Veröffentlichung überlassen. Dafür müssen Sie nicht Mitglied sein. Wir verarbeiten dazu Ihr Konto mit Kontaktweg und Anmeldemitteln, das Bild und Ihre Erklärung zu jedem Bild: Zeitpunkt, Fassung des Einräumungstexts und die gewählte Urheberbezeichnung, also „Gewerkschaft Underdog“ oder einen Decknamen. Metadaten der Bilddatei, etwa Aufnahmeort oder Kamera, entfernen wir schon beim Hochladen.

Öffentlich erscheint nur die gewählte Urheberbezeichnung. Dass ein Bild von Ihnen stammt, sehen nur die dafür zuständigen Personen unserer Verwaltung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, denn Sie räumen uns Nutzungsrechte ein. Weil Ihre Verbindung zu uns Rückschlüsse auf eine Gewerkschaftszugehörigkeit zulassen kann, stützen wir uns zusätzlich auf Art. 9 Abs. 2 lit. d DSGVO. Diese Daten geben wir nicht nach außen.

Nach der ersten Veröffentlichung eines Bildes bleibt Ihnen der Rückruf wegen gewandelter Überzeugung (§ 42 UrhG). Um einen Rückruf prüfen und abwickeln zu können, löschen wir Ihr Konto nicht, solange wir ein Bild von Ihnen in unserem Bildbestand führen. Das gilt auch dann, wenn Sie die Löschung verlangen (Art. 17 Abs. 3 lit. e, Art. 9 Abs. 2 lit. f DSGVO). Nehmen wir Ihr letztes Bild aus dem Bestand, gelten die allgemeinen Löschfristen.

2.8 Kontaktformular

Um uns über das Kontaktformular zu schreiben, melden Sie sich an (2.4). Ihre Nachricht können Sie schon vorher schreiben. Bis Sie sie absenden, liegt sie nur in Ihrer Sitzung auf unserem Server, nicht in unserer Datenbank. Brechen Sie ab, verfällt sie mit der Sitzung.

Beim Absenden verarbeiten wir Ihre Nachricht, Ihren Namen, die Kennung Ihres Kontos und die Wege, auf denen wir Ihnen antworten dürfen: E-Mail-Adresse, Telefonnummer oder WhatsApp-Nummer. Mindestens einen Weg wählen Sie selbst. Fehlt Ihr Name in Ihrem Konto, übernehmen wir ihn dorthin. Die Nummern für unsere Antwort übernehmen wir nicht in Ihr Konto.

Wir senden Ihre Nachricht verschlüsselt (OpenPGP) per E-Mail an unser Postfach. Entschlüsseln können sie nur die dafür zuständigen Personen unserer Verwaltung, auf ihren eigenen Geräten. Den Versand erledigt Mailjet (2.4.3). Weder Mailjet noch Google als Betreiber unseres Postfachs (2.9) kann den Inhalt lesen. Sichtbar sind ihnen nur Absender, Empfänger, Zeitpunkt und ein neutraler Betreff mit der Kennung Ihres Kontos. Gelingt die Verschlüsselung nicht, senden wir nichts. In unserer Datenbank vermerken wir nur, dass und wann Sie eine Nachricht gesendet haben und welche Wege Sie gewählt haben, nicht den Inhalt.

Wählen Sie WhatsApp, antworten wir Ihnen über WhatsApp. Diesen Weg müssen Sie nicht wählen; es ist Ihre Entscheidung. Wenn Sie ihn wählen, erfährt WhatsApp, ein Unternehmen von Meta, dass wir miteinander in Kontakt stehen. Dabei können Daten in die USA übermittelt werden, deren Datenschutzniveau als deutlich schwächer gilt. Rechtsgrundlage dafür ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a und Art. 49 Abs. 1 lit. a DSGVO), die Sie mit der Wahl dieses Wegs erteilen und jederzeit widerrufen können.

Im Übrigen ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Nachricht eine Mitgliedschaft oder ein anderes Vertragsverhältnis betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, Anfragen zu beantworten. Weil eine Kontaktaufnahme Rückschlüsse auf eine Gewerkschaftszugehörigkeit zulassen kann, stützen wir uns zusätzlich auf Art. 9 Abs. 2 lit. d DSGVO.

Ihre Nachricht bewahren wir in unserem Postfach auf, bis Ihre Anfrage erledigt ist und keine Anschlussfragen mehr zu erwarten sind. Gesetzliche Aufbewahrungsfristen bleiben davon unberührt. Für den Vermerk in unserer Datenbank gelten die Löschfristen unter 3.

2.9 E-Mail-Postfächer

Unsere E-Mail-Postfächer unter gdog.pro, etwa info@gdog.pro, betreibt für uns die Google Ireland Limited, Dublin, Irland, im Rahmen von Google Workspace. Sie ist unser Auftragsverarbeiter. Mit ihr haben wir einen Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Schreiben Sie uns eine E-Mail oder schreiben wir Ihnen, verarbeitet Google dabei Ihre E-Mail-Adresse, den Inhalt der Nachricht samt Anhängen sowie Zeitpunkt und weitere technische Angaben. Dabei können Daten auch in den USA verarbeitet werden. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; für die Übermittlung dorthin gilt der Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO).

Nachrichten aus unserem Kontaktformular erreichen dieses Postfach verschlüsselt (2.8). Ihren Inhalt kann Google nicht lesen, nur Absender, Empfänger, Zeitpunkt und Betreff.

Rechtsgrundlage ist, je nach Anlass Ihrer Nachricht, Art. 6 Abs. 1 lit. b oder lit. f DSGVO, unser berechtigtes Interesse an einer zuverlässigen Erreichbarkeit per E-Mail.

3 Löschfristen

Unsere Internetseite befindet sich im Beta-Stadium. Sobald wir dieses Stadium verlassen, löschen wir alle personenbezogenen Daten, die bis dahin beim Betrieb der Internetseite angefallen sind. Das wird vor dem 1. Dezember 2026 der Fall sein.

Das gilt nicht für die Metadaten der Telefonie. Für sie bleibt es bei einer Speicherdauer von drei Jahren.

Ausgenommen sind außerdem Konten mit Bildbeiträgen. Für sie gilt die Regel unter 2.7.