Datenschutzerklärung

1. Wer verantwortlich ist

David Warmuth, veve Vereinsverwaltung, Hauptstraße 29a, 97520 Röthlein
E-Mail: info@veve-vereinsverwaltung.de

Ein Datenschutzbeauftragter ist nicht bestellt und gesetzlich nicht vorgeschrieben.

2. Zwei Rollen: was wir verantworten und was der Verein

veve ist eine Software, mit der Vereine ihre Mitglieder, Beiträge und Lastschriften verwalten. Dabei gibt es zwei Arten von Daten:

• Daten, für die wir verantwortlich sind: Ihr Benutzerkonto, der Besuch dieser Website, Ihre Nachrichten an uns. Darum geht es in dieser Erklärung.
• Daten, die ein Verein in veve verwaltet — die Angaben zu seinen Mitgliedern. Dafür ist der Verein verantwortlich. Wir verarbeiten sie ausschließlich in seinem Auftrag, auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DS-GVO). Näheres in Abschnitt 9.

3. Hosting und Server-Protokolle

veve läuft auf einem Server der netcup GmbH, Emmy-Noether-Str. 10, 76131 Karlsruhe, in einem Rechenzentrum in Deutschland. Mit netcup besteht ein Vertrag zur Auftragsverarbeitung.

Bei jedem Aufruf speichert der Webserver technisch notwendige Angaben: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge und die Kennung des Browsers. Der E-Mail-Server protokolliert Absender, Empfänger und Zeitpunkt jeder Nachricht. Das dient dem sicheren Betrieb und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DS-GVO). Die Protokolle des Webservers werden nach 14 Tagen gelöscht, die des Mailservers nach etwa 5 Wochen.

Fehlerprotokoll: Geht in veve auf dem Server etwas schief, halten wir fest, wann, wo (Seite oder Funktion, ohne Suchbegriffe) und welche Fehlermeldung — ohne Eingaben und ohne Inhalte aus der Datenbank —, dazu die Kennung Ihres Kontos und des Vereins. Sie sehen dann eine Fehlernummer, mit der wir den Fall wiederfinden. Melden Sie angemeldet einen Fehler über das Kontaktformular, können Sie die letzten Schritte in veve mitschicken: welche Seiten und Funktionen Sie mit Uhrzeit aufgerufen haben, keine Eingaben. Ihr Browser merkt sie sich dafür höchstens 48 Stunden und löscht sie beim Abmelden; ohne Ihre Meldung verlassen sie ihn nicht. Zweck ist die Fehlersuche (Art. 6 Abs. 1 lit. f DS-GVO); gelöscht wird nach 30 Tagen.

4. Cookies

veve setzt ein einziges Cookie: veve_sitzung, erst nach der Anmeldung. Es hält Sie angemeldet und läuft nach 30 Tagen ab, beim Abmelden sofort. Es ist für den Dienst, den Sie ausdrücklich nutzen, unbedingt erforderlich und braucht daher keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b DS-GVO).

Daneben legt veve im Speicher Ihres Browsers ab, was nur dort gebraucht wird und nicht an uns geht: welche Tipps auf der Übersicht Sie ausgeblendet haben, bis Sie den Browserspeicher leeren; den Bericht nach dem Durchrechnen einer Abrechnung, bis Sie den Tab schließen; die letzten Schritte für eine Fehlermeldung (Abschnitt 3). Auch das dient nur dem Dienst, den Sie nutzen (§ 25 Abs. 2 Nr. 2 TDDDG).

Es gibt keine Analyse-, Werbe- oder Tracking-Werkzeuge und keine Inhalte von fremden Servern — auch die Schriftarten kommen von unserem eigenen Server.

5. Benutzerkonto

Bei der Registrierung speichern wir E-Mail-Adresse, Vor- und Nachname und Ihr Passwort — dieses nur als nicht umkehrbaren Abdruck (scrypt); wir können es nicht lesen. Die E-Mail-Adresse bestätigen Sie über einen Link; ebenso läuft „Passwort vergessen“. Kommt die Nachricht mit dem Link als unzustellbar zurück, vermerken wir das am Konto, damit die Anmeldung Ihnen sagen kann, dass die E-Mail-Adresse wohl vertippt ist. Ein nie bestätigtes Konto löschen wir nach 7 Tagen.

Lädt ein Verein Sie ein, speichern wir Ihre E-Mail-Adresse, die vorgesehene Rolle und wer eingeladen hat, und schicken Ihnen einen Link. In der Einladung nennen wir den Verein und den Namen des Inhabers, der Sie eingeladen hat — laden Sie selbst jemanden ein, steht also Ihr Name darin (Art. 6 Abs. 1 lit. f DS-GVO: Die eingeladene Person soll wissen, von wem die Mail kommt). Ein Konto entsteht erst, wenn Sie ihn annehmen und Ihr Passwort selbst festlegen. Die Einladung wird 30 Tage nach Annahme, Rücknahme oder Ablauf (der Link gilt 7 Tage) gelöscht.

Beim Anmelden entsteht eine Sitzung. Davon speichern wir nur einen Abdruck des Sitzungsschlüssels, Beginn, letzte Nutzung, Ablauf und ob sie im Browser oder in der App besteht — keine IP-Adresse.

Für unsere Nutzungsstatistik zählen wir, wie veve genutzt wird — etwa Anmeldungen und aktive Konten je Tag (Browser und App getrennt), neue Konten und Vereine, Kontaktanfragen, versandte E-Mails und Fehler. Gespeichert wird nur die Anzahl je Tag, ohne Bezug zu einer Person oder einem Verein; die Tageszähler werden nach 35 Tagen gelöscht, die Tagessummen bleiben (Art. 6 Abs. 1 lit. f DS-GVO — wir wollen wissen, ob veve funktioniert und genutzt wird).

Abteilungsbereiche und Hauptvereine: Einmal im Monat vergleichen wir die Vereinsangaben der Abteilungsbereiche (Name, Anschrift, Vereinsnummer, Internetseite, Domain der E-Mail-Adresse) mit denen der Vereine in veve — nie Mitgliederdaten. Ein mögliches Paar sehen wir uns zuerst selbst an. Passt es, schlagen wir dem Inhaber des Vereins vor, die Abteilungsleitung zur Überführung anzufragen, und nennen ihm dabei Name und Ort des Abteilungsbereichs, nicht aber die E-Mail-Adresse der Abteilungsleitung. Die Abteilungsleitung erfährt davon erst durch seine Anfrage und entscheidet selbst. Ein verworfener Vorschlag kommt nicht wieder; die Einträge werden mit einem der beiden Vereine gelöscht (Art. 6 Abs. 1 lit. f DS-GVO — eine Abteilung soll mit ihrem Verein in veve zusammenfinden können).

Zum Schutz vor Angriffen halten wir fehlgeschlagene Anmeldeversuche sowie Anfragen, die eine E-Mail auslösen (Registrierung, „Passwort vergessen“, Kontaktformular, Aufnahmeformular), mit der eingegebenen Adresse und der IP-Adresse fest und begrenzen ihre Zahl. Diese Einträge werden nach 24 Stunden gelöscht, Fehlversuche nach einer erfolgreichen Anmeldung sofort (Art. 6 Abs. 1 lit. f DS-GVO).

Verbinden Sie einen KI-Assistenten (etwa Claude oder ChatGPT) unter Einstellungen → Persönlich → KI-Assistenten, speichern wir, welcher Assistent es ist, für welche Vereine Sie ihn freigegeben haben, wann verbunden und zuletzt gefragt wurde, sowie jeden Abruf mit Zeitpunkt, Verein und Art. Schlüssel speichern wir nur als Abdruck. Der Assistent erhält nur Angaben ohne Personenbezug — Anzahlen, Summen und Daten ohne Namen, in den Bereichen, die der Verein freigibt; Namen, Anschriften, Kontakt- und Bankdaten und Freitexte wie Buchungstexte gibt veve nicht heraus. Darf der Assistent Entwürfe vorbereiten, speichern wir sie beim Verein, bis sie übernommen oder verworfen sind, und löschen sie 90 Tage danach. Welchen Assistenten Sie nutzen und was Sie ihm selbst schreiben, entscheiden Sie; dafür gelten dessen Bedingungen. Rechtsgrundlage ist die Nutzung von veve (Art. 6 Abs. 1 lit. b DS-GVO). Trennen können Sie jederzeit; mit einem Passwortwechsel werden alle Verbindungen getrennt.

Schließt ein Inhaber für seinen Verein ein Abonnement ab, speichern wir die gebuchten Module, gewährte Rabatte und einen Verlauf: was wann geschah (abgeschlossen, Modul gebucht oder abbestellt, gekündigt) und wer es tat — mit Namen bzw. E-Mail-Adresse. Inhaber und Verwaltung des Vereins sehen diesen Verlauf (Art. 6 Abs. 1 lit. b DS-GVO). Er wird mit dem Verein gelöscht. Zahlt der Verein per Lastschrift, speichern wir Kontoinhaber, IBAN, BIC und das Mandat; die Rechnungen an den Verein bewahren wir zehn Jahre auf, auch wenn der Verein gelöscht wird, weil das Steuerrecht es verlangt (§ 147 AO, § 14b UStG; Art. 6 Abs. 1 lit. c DS-GVO), und vermerken an ihnen Zahlstand, Rücklastschrift und Zahlungserinnerung.

Testet ein Verein ein bezahltes Paket, speichern wir Prüfwerte (Hashwerte) seiner Gläubiger-ID, seiner Bankverbindung und seiner Steuernummer — nicht die Angaben selbst. Daran erkennen wir, ob ein Verein schon getestet hat, auch wenn er gelöscht und neu angelegt wurde; der Test gilt einmal je Verein (Art. 6 Abs. 1 lit. f DS-GVO, berechtigtes Interesse an einem fairen Test). Die Prüfwerte löschen wir drei Jahre nach dem Test.

Welche Rechte Ihnen ein Verein gegeben hat (Rolle, Abteilungen), speichern wir, damit Sie nur sehen, was Sie sehen dürfen.

Rechtsgrundlage ist die Nutzung von veve (Art. 6 Abs. 1 lit. b DS-GVO). Das Konto besteht, bis Sie es löschen — selbst unter Einstellungen → Persönlich → Mein Konto oder per E-Mail an info@veve-vereinsverwaltung.de. Dabei werden Name, E-Mail-Adresse und Passwort entfernt und alle Zugänge zu Vereinen beendet.

6. E-Mails

veve verschickt E-Mails über einen eigenen E-Mail-Server auf demselben Server in Deutschland; kein Versanddienst ist beteiligt.

• Mails zu Ihrem Konto (Bestätigung, Passwort) verschicken wir in eigener Verantwortung; ebenso an den Inhaber eines Vereins die Erinnerung, bevor der Test eines bezahlten Pakets endet, die Rechnungen zum Abonnement und Zahlungserinnerungen dazu.
• Wartet in veve etwas auf Sie — ein Aufnahmeantrag, eine Datenschutzanfrage, eine Rückfrage zu einer Ausgabe —, schreibt veve Ihnen das, ohne Namen und Inhalte, nur mit einem Link. Jede Art lässt sich unter Mein Konto abschalten; Hinweise auf Datenschutzanfragen bekommen Inhaber wegen der gesetzlichen Frist immer.
• Rechnungen, Lastschrift-Vorankündigungen, Mahnungen, Mitteilungen nach einer Rücklastschrift, Rundmails und Begrüßungsmails verschickt veve im Auftrag des Vereins an dessen Mitglieder. Festgehalten wird, wann welche Nachricht an welche Adresse ging, damit der Verein es nachweisen kann; Rundmails samt Text und Anhängen 12 Monate; am einzelnen Mitglied steht jede Rundmail, Begrüßung oder sonstige E-Mail an es mit Wortlaut, solange die Mitgliedschaft besteht.
• Wer per Überweisung zahlt, findet in der Rechnungs-E-Mail einen GiroCode und einen Link, unter dem derselbe Code mit Empfänger, IBAN, Betrag und Verwendungszweck ohne Anmeldung zu sehen ist — für E-Mail-Programme, die das Bild nicht zeigen. Der Link enthält eine zufällige Kennung und gilt 180 Tage.

7. Kontaktformular und E-Mail an uns

Schreiben Sie uns über das Kontaktformular, geht Ihre Nachricht mit Name und E-Mail-Adresse als E-Mail an info@veve-vereinsverwaltung.de; veve selbst speichert sie nicht. Wir verwenden die Angaben, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DS-GVO bei Fragen zur Nutzung, sonst lit. f), und löschen sie, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht.

8. Apps für iPhone und Android

Die Apps zeigen dieselben Daten wie die Website und nutzen dieselbe Anmeldung.

• Der Sitzungsschlüssel liegt verschlüsselt auf dem Gerät — im Schlüsselbund (iPhone) bzw. im Android-Keystore — und wird nicht in Gerätesicherungen übernommen.
• Damit die App beim Öffnen gleich etwas zeigt, speichert sie Übersicht, Mitgliederliste und Stammdaten sowie die Abrechnung verschlüsselt auf dem Gerät — nie Bankdaten, Unterschriften, Datenschutzanfragen oder Belege. Ist etwas gespeichert, sperrt sich die App nach einer Weile im Hintergrund (Fingerabdruck, Gesicht oder Geräte-PIN). Das Gespeicherte wird beim Abmelden, nach Widerruf der Anmeldung und nach 30 Tagen ohne Nutzung gelöscht.
• Die Android-App fragt morgens bei veve nach, was es Neues gibt (Aufnahmeanträge, Geburtstage und Jubiläen, Fristen, Erinnerungen), und zeigt dann eine Mitteilung ohne Namen — nur, wenn Sie das erlaubt haben; jede Art lässt sich in der App abschalten. Es gibt keine Push-Dienste (etwa Google Firebase) und damit keine Gerätekennungen auf unserem Server.
• Die Apps enthalten keine Analyse- oder Werbebausteine.

9. Mitgliederdaten, die ein Verein verwaltet

Vereine verwalten in veve etwa Name, Anschrift, Geburtsdatum, Kontaktdaten, Mitgliedschaft, Abteilungen, Beiträge und Zahlungen sowie für Lastschriften Kontoinhaber, IBAN, BIC und Mandat. Führt ein Verein seine Buchhaltung in veve, stehen dort auch Buchungen und Belege (Fotos, PDF), die Personen nennen können, bei Umsätzen aus dem Kontoauszug auch Name und IBAN der Gegenseite; sie bleiben so lange gespeichert, wie der Verein sie aufbewahren muss (§ 147 AO, in der Regel 10 Jahre). Erfasst ein Verein Spenden, speichert veve für ihn Name und Anschrift des Spenders — auch wenn er nicht Mitglied ist —, Betrag und Tag sowie jede Zuwendungsbestätigung als Doppel, ebenso lange.

Verantwortlich dafür ist der jeweilige Verein. Wenn Sie Mitglied sind und Auskunft, Berichtigung oder Löschung wünschen, wenden Sie sich bitte an Ihren Verein. Schreiben Sie uns, leiten wir die Anfrage an ihn weiter.

Umzug eines Vereins zu veve: Auf Wunsch eines Vereins übernehmen wir seine Daten aus dem bisherigen Programm, in seinem Auftrag. Die Datei, die er uns dafür übergibt, verwenden wir nur für die Übernahme und löschen sie danach, spätestens 30 Tage nach Eingang. Eine Mitgliederliste richten wir zum Einspielen ein, ohne ihren Inhalt zu sehen; öffnen dürfen wir die Datei nur mit befristeter Freigabe des Vereins, und jedes Öffnen wird für ihn protokolliert. Hat eine Abteilung veve schon vor ihrem Hauptverein genutzt, übertragen wir ihre Mitglieder auf Wunsch beider in den Hauptverein; der alte Bereich wird 90 Tage danach gelöscht.

Aufnahmeformular: Stellen Sie über den Link eines Vereins einen Aufnahmeantrag, verarbeitet veve Ihre Angaben im Auftrag dieses Vereins. Der Antrag geht erst an den Verein, wenn Sie ihn per E-Mail bestätigt haben; unbestätigte Anträge werden nach 7 Tagen gelöscht. Sie unterschreiben den Antrag auf dem Bildschirm; nach der Bestätigung bekommen Sie eine Kopie per E-Mail (die IBAN gekürzt). Übernimmt der Verein Sie als Mitglied, bleibt der Antrag mit Ihrer Unterschrift bei ihm, solange die Mitgliedschaft besteht. Erteilen Sie dabei ein Lastschriftmandat, werden als Nachweis zusätzlich Zeitpunkt, IP-Adresse und Browserkennung gespeichert — solange das Mandat besteht.

Mitgliederlink: Bietet Ihr Verein ihn an, bekommen Sie einen persönlichen Link zu Ihrer Mitgliedschaft — in seinen E-Mails an Sie oder auf Anfrage an die beim Verein hinterlegte E-Mail-Adresse. Er zeigt nur Angaben zu Ihnen. Darüber gestellte Anträge (Kündigung, Abteilungswechsel) gelten erst, wenn Sie sie per E-Mail bestätigen, und werden erst wirksam, wenn der Verein sie bestätigt. Gespeichert werden der Antrag, die Bestätigung und die Entscheidung; unbestätigte Anträge löscht veve nach 7 Tagen. Erteilen Sie darüber ein SEPA-Lastschriftmandat (wenn der Verein das anbietet), speichert veve dazu Kontoinhaber, IBAN, BIC, den Wortlaut, dem Sie zugestimmt haben, Ihre Unterschrift auf dem Bildschirm sowie als Nachweis Zeitpunkt, IP-Adresse und Browser. Übernimmt der Verein das Mandat, stehen diese Angaben am Mandat; lehnt er ab oder nehmen Sie den Antrag zurück, werden sie gelöscht. Sie können den Link jederzeit sperren.

Datenschutzanfragen an einen Verein: Über den Link in den E-Mails Ihres Vereins oder über das allgemeine Formular (Abschnitt 13) können Sie Auskunft, Berichtigung oder Löschung verlangen. Beim allgemeinen Formular sucht veve anhand Ihrer E-Mail-Adresse die Vereine, bei denen sie hinterlegt ist, und nennt sie nur in der E-Mail an diese Adresse. veve leitet Name, E-Mail-Adresse und Anliegen an den Verein weiter, erinnert ihn an die gesetzliche Frist und teilt dem Betreiber nur mit, dass eine Anfrage vorliegt und bearbeitet wird — ohne Ihren Namen. Die Antwort samt Ihren Daten schickt Ihnen der Verein — selbst oder über veve als Link per E-Mail: Dann hält veve die Auskunft zum Zeitpunkt des Versands fest, sie ist nur über diesen Link und 30 Tage lang abrufbar und wird danach gelöscht. Erledigte Anfragen werden nach drei Jahren gelöscht (Nachweis der Erfüllung), nie bestätigte nach 7 Tagen.

Die Daten jedes Vereins sind in der Datenbank streng von denen anderer Vereine getrennt; niemand außerhalb des Vereins hat Zugriff darauf.

10. Empfänger

Personenbezogene Daten gehen nur an die netcup GmbH als Hoster (Abschnitt 3). Ein KI-Assistent, den Sie selbst verbinden, erhält keine personenbezogenen Daten, nur Kennzahlen (Abschnitt 5). Eine Übermittlung in Länder außerhalb der EU findet nicht statt. Eine Weitergabe darüber hinaus nur, wenn ein Gesetz sie verlangt — etwa an Strafverfolgungsbehörden auf gerichtlichen Beschluss oder behördliche Anordnung (Art. 6 Abs. 1 lit. c DS-GVO). Dann geben wir nur heraus, was verlangt ist, und unterrichten den betroffenen Verein, soweit das nicht untersagt ist; Anfragen ohne eine solche Pflicht verweisen wir an den Verein.

11. Wie lange wir speichern

Sicherungskopien sind verschlüsselt. Was gelöscht wird, verschwindet aus den Sicherungen mit deren Ablauf. Holt veve auf Wunsch eines Vereins dessen Daten aus einer Sicherung zurück, werden seither gelöschte Personen erneut gelöscht — dafür merkt sich veve nur ihre Kennung und den Zeitpunkt der Löschung.

12. Sicherheit

Verbindungen sind verschlüsselt (TLS). Passwörter und Sitzungsschlüssel speichern wir nur als Abdruck, Sicherungen verschlüsselt. Wiederholte Fehlversuche beim Anmelden werden gebremst.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DS-GVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20).

Sind oder waren Sie Mitglied eines Vereins, der veve nutzt (auch als zahlender Elternteil), ist der Verein für Ihre Daten verantwortlich. Über das Formular für Datenschutzanfragen geht Ihre Anfrage direkt an ihn — veve findet den Verein über Ihre E-Mail-Adresse.

Geht es um Ihr Benutzerkonto oder um Daten, für die wir selbst verantwortlich sind (Abschnitte 3 bis 8), genügt eine E-Mail an info@veve-vereinsverwaltung.de. Ihr Konto können Sie auch selbst löschen (Einstellungen → Persönlich → Mein Konto).

Widerspruchsrecht (Art. 21 DS-GVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Abschnitte 3, 5 und 7), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

14. Beschwerde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.