Datenschutzrichtlinie

1. Verantwortlicher

Der Verantwortliche für die Verarbeitung Ihrer personenbezogenen Daten ist ein französisches Einzelunternehmen, das unter dem Handelsnamen Presengo tätig ist, unter dem APE-Code 6201Z (Softwareentwicklung) eingetragen ist und seinen Sitz in Cagnes-sur-Mer (06800), Frankreich hat. Die vollständige Identität des Betreibers, die SIRET-Nummer und die Postanschrift des Sitzes sind auf der Seite Impressum der Website verfügbar, gemäß Artikel 6-III des französischen Gesetzes über das Vertrauen in die digitale Wirtschaft (LCEN).

Angesichts der Art und des Umfangs der durchgeführten Verarbeitungen wurde kein Datenschutzbeauftragter (DSB) benannt. Alle Fragen, Anfragen oder Beschwerden in Bezug auf Ihre personenbezogenen Daten können an presengo.support@gmail.com gerichtet werden.

2. Erhobene Daten

3. Verwendung Ihrer Daten

Wir verarbeiten Ihre personenbezogenen Daten ausschließlich für folgende Zwecke:

• Bereitstellung und Betrieb des Anwesenheitsverwaltungsdienstes (Gruppen, Mitglieder, Veranstaltungen, Anwesenheitserfassung, QR-Check-in, Echtzeitsynchronisierung, Statistiken).
• Verwaltung Ihres Abonnements und Abwicklung von Zahlungen über Apple In-App Purchase, Google Play Billing oder Stripe (Web).
• Aktivierung geteilter Bereiche für die Zusammenarbeit mit Ihren Kollegen in Echtzeit: Wenn ein Bereich geteilt wird, erhalten eingeladene Benutzer gemäß den vom Eigentümer erteilten Berechtigungen (Lesen, Bearbeiten) Zugriff auf die Daten dieses Bereichs.
• Erstellung von Anwesenheitsstatistiken und exportierbaren Berichten für Ihren eigenen Gebrauch (Formate Excel, CSV, PDF).
• Planung und lokale Anzeige der Benachrichtigungen und Erinnerungen, die Sie in der App konfiguriert haben.
• Betrieb der QR-Check-in-Sitzungen: Erzeugung temporärer Tokens, Verarbeitung von Check-in-Anfragen (einschließlich optionaler Erfassung von Unterschrift und Foto) und Echtzeitsynchronisierung der Anwesenheitsdaten auf verbundenen Geräten.
• Versand der für den Kontobetrieb erforderlichen Transaktions-E-Mails (Registrierungsbestätigung, Passwort-Zurücksetzung) über Supabase Auth. Es werden keine Marketing- oder Werbe-E-Mails versendet.

4. Rechtsgrundlage der Verarbeitung (DSGVO Art. 6)

Wir stützen uns auf folgende Rechtsgrundlagen für die Verarbeitung Ihrer Daten:

5. Datenspeicherung und Sicherheit

Ihre Daten werden auf der Supabase-Infrastruktur innerhalb der Europäischen Union gehostet (Region Frankfurt, Deutschland). Wir setzen robuste technische und organisatorische Maßnahmen zum Schutz Ihrer Daten um:

• Verschlüsselung im Ruhezustand mittels AES-256 für alle Datenbankeinträge und gespeicherten Dateien.
• Verschlüsselung bei der Übertragung mittels HTTPS/TLS für jede Anfrage zwischen Ihrem Gerät und unseren Servern.
• Row-Level Security (RLS) auf Datenbankebene -- jeder Benutzer kann nur auf seine eigenen Daten oder auf mit ihm geteilte Daten zugreifen. Die QR-Check-in-Endpunkte beinhalten eine Ratenbegrenzung (3 Versuche pro 5 Minuten) zur Missbrauchsverhinderung.
• UUID-basierte Kennungen, die keine personenbezogenen Informationen enthalten.
• Private Speicherbereiche für alle hochgeladenen Medien (Fotos, Unterschriften, Importe) -- kein öffentlicher Zugriff, keine erratbaren URLs.
• Sichere Authentifizierung über Supabase Auth mit Passwort-Hashing (bcrypt) und zeitlich begrenzten JWT-Tokens.

6. Datenweitergabe und Dritte

Wir verkaufen, vermieten und tauschen Ihre personenbezogenen Daten nicht. Wir geben Daten ausschließlich an folgende Auftragsverarbeiter weiter, streng zu betrieblichen Zwecken:

• Supabase -- Supabase Inc. (USA, tatsächliches Hosting in der EU -- Frankfurt) -- Datenbank-Hosting, Authentifizierung, Dateispeicherung und Versand von Transaktions-E-Mails (Registrierungsbestätigung, Passwort-Zurücksetzung).
• Apple -- Apple Inc. (USA) -- Abwicklung von In-App-Käufen auf iOS-Geräten. Apple verarbeitet Zahlungsdaten gemäß seiner eigenen Datenschutzrichtlinie.
• Google -- Google LLC (USA) -- Google Play Billing auf Android-Geräten und optionale Analysen (Google Analytics 4, nur mit Ihrer ausdrücklichen Einwilligung). Google verarbeitet Daten gemäß seiner eigenen Datenschutzrichtlinie.
• Stripe -- Stripe Inc. (USA) -- Zahlungsabwicklung für Web-Abonnements. Stripe verarbeitet Zahlungsdaten gemäß seiner eigenen Datenschutzrichtlinie. Presengo speichert keine Kreditkartendaten.
• RevenueCat -- RevenueCat Inc. (USA) -- Verwaltung von In-App-Käufen und Überprüfung des Abonnementstatus auf mobilen Geräten (iOS und Android). RevenueCat verarbeitet Transaktionsdaten gemäß seiner eigenen Datenschutzrichtlinie.

Jeder Auftragsverarbeiter handelt gemäß seiner eigenen Datenschutzrichtlinie und seinen eigenen Datenverarbeitungsbedingungen. Weitere Informationen zu deren Praktiken finden Sie unter: Supabase (supabase.com/privacy), Stripe (stripe.com/privacy), Apple (apple.com/legal/privacy), Google (policies.google.com/privacy), RevenueCat (revenuecat.com/privacy).

7. Aufbewahrung der Daten

Wir bewahren Ihre Daten nur so lange auf, wie es für die in dieser Richtlinie beschriebenen Zwecke erforderlich ist:

• Aktives Konto -- Ihre Daten werden aufbewahrt, solange Ihr Konto aktiv ist und Sie den Dienst weiterhin nutzen.
• Gelöschtes Konto -- Wenn Sie Ihr Konto löschen, werden alle zugehörigen Daten (Gruppen, Mitglieder, Veranstaltungen, Anwesenheitsregister, Fotos, Unterschriften, benutzerdefinierte Felder) innerhalb von maximal 30 Tagen endgültig und unwiderruflich von unseren Servern gelöscht.
• Geteilte Bereiche -- Geteilte Bereiche laufen automatisch 30 Tage nach der letzten Anmeldung des Eigentümers ab. Nach Ablauf werden alle zugehörigen geteilten Daten endgültig gelöscht.
• Abrechnungsdaten -- Abonnementinformationen (Tarifart, Abrechnungszeitraum, Transaktionskennungen) werden vom jeweiligen Zahlungsdienstleister (Stripe, Apple, Google, RevenueCat) gemäß dessen eigenen Richtlinien und den geltenden Buchführungspflichten aufbewahrt (bis zu 10 Jahre gemäß Art. L.123-22 des französischen Handelsgesetzbuchs). Presengo speichert nur eine Referenz auf Ihren Abonnementstatus und bewahrt keine Kreditkartendaten auf.
• Technische Protokolle -- Sicherheits- und Zugriffsprotokolle (Authentifizierungsversuche, QR-Check-in-Anfragen, Fehlerprotokolle) werden 90 Tage lang zu Sicherheitsüberwachungszwecken aufbewahrt und dann automatisch gelöscht.
• Analysedaten -- Wenn Sie Google Analytics 4 in der Webversion zustimmen, werden die Analysedaten maximal 14 Monate aufbewahrt und dann automatisch gelöscht.

8. Ihre Rechte gemäß der DSGVO

Als betroffene Person stehen Ihnen gemäß der DSGVO und den geltenden Datenschutzgesetzen folgende Rechte zu:

• Auskunftsrecht (Art. 15) -- Sie können eine Kopie aller personenbezogenen Daten anfordern, die wir über Sie gespeichert haben.
• Recht auf Berichtigung (Art. 16) -- Sie können unrichtige oder unvollständige Daten direkt in der App korrigieren oder uns kontaktieren.
• Recht auf Löschung (Art. 17) -- Sie können die Löschung aller Ihrer personenbezogenen Daten verlangen. Dies kann direkt in der App erfolgen (Einstellungen > Mein Konto löschen).
• Recht auf Datenübertragbarkeit (Art. 20) -- Sie können Ihre Daten in Standardformaten (Excel, CSV, PDF) über die integrierte Exportfunktion exportieren.
• Recht auf Einschränkung der Verarbeitung (Art. 18) -- Sie können verlangen, dass wir die Verarbeitung Ihrer Daten unter bestimmten Bedingungen einschränken (z. B. bei Bestreitung der Richtigkeit der Daten).
• Widerspruchsrecht (Art. 21) -- Sie können jederzeit der Verarbeitung Ihrer Daten widersprechen, die auf berechtigtem Interesse beruht, insbesondere den in Abschnitt 4 beschriebenen Sicherheitsverarbeitungen.
• Recht auf Widerruf der Einwilligung -- Wenn die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.
• Beschwerderecht -- Sie haben das Recht, eine Beschwerde bei Ihrer örtlichen Aufsichtsbehörde einzureichen (in Frankreich die CNIL -- www.cnil.fr), wenn Sie der Auffassung sind, dass Ihre Daten nicht ordnungsgemäß verarbeitet werden.

Die Ausübung Ihrer Rechte ist kostenlos. Wir können Sie auffordern, Ihre Identität durch verhältnismäßige Mittel zu verifizieren, bevor wir Ihre Anfrage bearbeiten, sofern dies zur Verhinderung von Identitätsdiebstahl erforderlich ist. Wir antworten innerhalb eines Monats nach Eingang Ihrer Anfrage gemäß Art. 12 Abs. 3 DSGVO. Diese Frist kann bei komplexen oder zahlreichen Anfragen um zwei weitere Monate verlängert werden; in diesem Fall informieren wir Sie innerhalb der anfänglichen Monatsfrist unter Angabe der Gründe für die Verlängerung. Wir können offensichtlich unbegründete oder übermäßige Anfragen ablehnen, wobei wir Ihnen eine begründete Erklärung liefern und Sie über Ihr Recht informieren, sich an die CNIL zu wenden.

Presengo führt keine ausschließlich automatisierte Entscheidungsfindung und kein Profiling durch, das rechtliche Auswirkungen oder ähnlich erhebliche Auswirkungen auf Sie hat, im Sinne von Art. 22 DSGVO.

9. Kontolöschung

Presengo bietet einen einfachen Self-Service-Mechanismus zur Kontolöschung, konform mit Art. 17 DSGVO (Recht auf Löschung):

1. Öffnen Sie die App und gehen Sie zu den Einstellungen.
2. Tippen Sie auf „Mein Konto löschen“.
3. Bestätigen Sie die Löschung, indem Sie den erforderlichen Bestätigungstext eingeben.

10. Fotos und Medien

Presengo ermöglicht es Ihnen, Fotos hochzuladen und Unterschriften im Rahmen der Anwesenheitsverwaltung zu erfassen. So behandeln wir Ihre Medien:

• Alle Bilder werden vor dem Hochladen clientseitig komprimiert (maximal 1 MB), um Datenübertragung und Speicherplatz zu minimieren.
• Alle Mediendateien werden in privaten Supabase-Speicherbereichen gespeichert (member-photos, signatures, attendance-photos, imports). Der Zugriff ist auf authentifizierte Benutzer mit entsprechenden Berechtigungen beschränkt, über Row-Level-Security-Regeln.
• Mediendateien werden niemals an Dritte weitergegeben, niemals für maschinelles Lernen oder das Training von KI-Modellen verwendet und niemals öffentlich zugänglich gemacht.
• Es erfolgt keine biometrische Verarbeitung im Sinne von Art. 9 DSGVO. Unterschriften und Fotos werden als statische Dateien ausschließlich zu Nachweiszwecken gespeichert. Es werden keine Vergleiche, Abgleiche, Gesichtserkennung oder automatisierte Identifizierung dieser Medien durchgeführt.

11. Schutz von Minderjährigen

Presengo ist nicht für die direkte Nutzung durch Kinder bestimmt. Das Mindestalter für die Erstellung eines Kontos entspricht dem geltenden Alter der digitalen Einwilligungsfähigkeit im Wohnsitzland des Nutzers gemäß Art. 8 DSGVO: 15 Jahre in Frankreich, 16 Jahre in den meisten anderen EU-Mitgliedstaaten (wobei jeder Mitgliedstaat diese Schwelle zwischen 13 und 16 Jahren festlegen kann). Unterhalb dieses Alters muss die Einwilligung von dem Träger der elterlichen Verantwortung erteilt oder genehmigt werden. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unterhalb dieser Schwelle ohne diese Genehmigung. Wenn Sie glauben, dass ein Kind uns personenbezogene Daten ohne die erforderliche Genehmigung bereitgestellt hat, kontaktieren Sie uns bitte unter presengo.support@gmail.com, und wir werden die betreffenden Daten umgehend löschen.

Wenn Presengo von einer Institution (Schule, Sportverein, Verband) zur Verwaltung der Anwesenheit von Minderjährigen verwendet wird, handelt die Institution als Verantwortlicher und ist verpflichtet, die entsprechenden Einwilligungen der Träger der elterlichen Verantwortung gemäß den geltenden Rechtsvorschriften einzuholen.

12. Cookies und Analysen

Presengo verwendet Cookies in seiner Webversion wie folgt:

• Essentielle Cookies -- Erforderlich für die Authentifizierung und grundlegende Funktionen. Sie können nicht deaktiviert werden und erfordern keine Einwilligung.
• Analyse-Cookies (Google Analytics 4) -- Werden zur Reichweitenmessung und Verbesserung des Dienstes verwendet. Sie werden nur mit Ihrer ausdrücklichen Einwilligung über unser Cookie-Banner aktiviert. Die IP-Anonymisierung ist aktiviert (anonymize_ip), es erfolgt kein seitenubergreifendes Tracking (Cross-Site Tracking), keine Daten werden für Werbezwecke verwendet, und die Aufbewahrungsdauer der Analysedaten ist auf 14 Monate begrenzt.

Sie können Ihre Cookie-Einstellungen jederzeit ändern, indem Sie die Cookies Ihres Browsers löschen oder den entsprechenden Link in der Fußzeile verwenden. Die Ablehnung von Analyse-Cookies beeinträchtigt die Funktion der Anwendung in keiner Weise.

13. Internationale Datenübermittlungen

Ihre Hauptdaten werden innerhalb der Europäischen Union gespeichert und verarbeitet (Supabase-Region Frankfurt, Deutschland). Einige technische Auftragsverarbeiter (Apple, Google, Stripe) sind US-amerikanische Unternehmen, die im Rahmen des EU-US Data Privacy Framework (DPF) zertifiziert sind, das gemäß dem Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 ein angemessenes Schutzniveau bietet. Für US-amerikanische Auftragsverarbeiter, die nicht DPF-zertifiziert sind (insbesondere RevenueCat), sind von der Europäischen Kommission genehmigte Standardvertragsklauseln (SVK) vorhanden, um ein gleichwertiges Schutzniveau zu gewährleisten. Keine personenbezogenen Daten werden ohne geeignete Garantien im Sinne der Art. 44 bis 49 DSGVO außerhalb der EU/des EWR übermittelt. Der DPF-Zertifizierungsstatus unserer Auftragsverarbeiter kann jederzeit im offiziellen Register überprüft werden: https://www.dataprivacyframework.gov/list

14. Änderungen dieser Richtlinie

Wir können diese Datenschutzrichtlinie von Zeit zu Zeit aktualisieren, um Änderungen unserer Praktiken oder der geltenden Vorschriften widerzuspiegeln. Bei wesentlichen Änderungen, die Ihre Rechte oder die Zwecke der Verarbeitung betreffen, werden wir Sie über eine In-App-Benachrichtigung und per E-Mail (sofern Sie über ein Konto verfügen) mindestens 30 Tage vor Inkrafttreten der Änderungen informieren. Geringfügige Änderungen (Korrekturen, Klarstellungen) werden durch Aktualisierung des Datums „Letzte Aktualisierung“ oben auf dieser Seite angezeigt. Wir empfehlen Ihnen, diese Richtlinie regelmäßig zu überprüfen.

15. Kontakt

Bei Fragen, Anliegen, Anfragen zur Ausübung Ihrer Rechte oder Beschwerden in Bezug auf diese Datenschutzrichtlinie oder die Verarbeitung Ihrer personenbezogenen Daten können Sie uns kontaktieren unter: presengo.support@gmail.com. Wir verpflichten uns, jede Anfrage innerhalb der geltenden gesetzlichen Fristen zu beantworten.