Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie über die Art, den Umfang und den Zweck der Verarbeitung personenbezogener Daten auf der Website Svitom(nachfolgend „Dienst", „Plattform").

Das Dokument wurde gemäß den Anforderungen folgender Rechtsvorschriften erstellt:

• Verordnung (EU) 2016/679 (DSGVO – Datenschutz-Grundverordnung);
• Bundesdatenschutzgesetz (BDSG);
• Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG);
• Richtlinie 2002/58/EG (ePrivacy-Richtlinie) über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation.

Der Dienst befindet sich derzeit in der Beta-Phase und wird aktiv weiterentwickelt. Im Zuge der Weiterentwicklung können sich Umfang und Art der Datenverarbeitung ändern; diese Datenschutzerklärung wird entsprechend aktualisiert.

Durch die Nutzung des Dienstes bestätigen Sie, dass Sie diese Datenschutzerklärung zur Kenntnis genommen haben. Wenn Sie mit den Bedingungen nicht einverstanden sind, bitten wir Sie, den Dienst nicht zu nutzen.

Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:

Für die Ausübung Ihrer Betroffenenrechte oder bei Fragen zu dieser Datenschutzerklärung wenden Sie sich bitte an die oben angegebenen Kontaktdaten.

Bei der Verarbeitung Ihrer personenbezogenen Daten halten wir folgende Grundsätze ein:

• Rechtmäßigkeit und Transparenz – Daten werden ausschließlich auf der Grundlage gesetzlich zulässiger Rechtsgrundlagen verarbeitet;
• Datenminimierung – wir erheben nur die Daten, die für die angegebenen Zwecke erforderlich sind;
• Zweckbindung – Daten werden nicht für Zwecke verwendet, die mit dem ursprünglichen Erhebungszweck unvereinbar sind;
• Richtigkeit – wir treffen angemessene Maßnahmen, um die Aktualität der Daten zu gewährleisten;
• Speicherbegrenzung – Daten werden nicht länger gespeichert, als es für den Verarbeitungszweck erforderlich ist;
• Integrität und Vertraulichkeit – Daten sind durch geeignete technische und organisatorische Maßnahmen geschützt.

Wir treffen keine automatisierten Einzelentscheidungen gemäß Art. 22 DSGVO, die rechtliche oder ähnlich erhebliche Wirkung für Sie haben. Das auf der Plattform eingesetzte Kontingenzsystem (Begrenzung der Anzahl neuer abrufbarer Städte) ist eine technische Sicherheitsmaßnahme zum Schutz der Plattformintegrität und stellt keine Entscheidung im Sinne von Art. 22 DSGVO dar.

4.1. Authentifizierung über Google

Die Anmeldung beim Dienst erfolgt ausschließlich über einen Google-Account. Eine Registrierung per E-Mail oder Passwort ist nicht vorgesehen. Für die Anmeldung stehen zwei Wege zur Verfügung:

• Anmeldung auf unseren Seiten (Google Identity Services) – auf der Anmeldeseite und im Anmeldehinweis der Stadt- und Länderseiten wird eine Schaltfläche von Google angezeigt; auf den Stadt- und Länderseiten wird das Skript von Google erst geladen, wenn dieser Hinweis in den sichtbaren Bereich rückt. Nicht angemeldeten Besuchern kann Google auch auf anderen Seiten des Dienstes eine Anmeldung anbieten (Google-Anmeldehinweis); wer sich bereits früher angemeldet hat, kann dabei automatisch angemeldet werden. Google übermittelt in diesem Fall ein von Google signiertes ID-Token an unsere Plattform;
• Anmeldung über die Seite von Google (Weiterleitung) – Sie werden auf die Authentifizierungsseite von Google weitergeleitet und kehren nach der Anmeldung zu Svitom zurück. Google übermittelt dabei einen Autorisierungscode, der durch PKCE (Proof Key for Code Exchange) gegen Missbrauch geschützt ist und den unser Server bei Google gegen ein ID-Token eintauscht.

Das ID-Token beziehungsweise der Autorisierungscode wird einmalig verwendet, um Ihre Identität zu verifizieren. Aus dem ID-Token werden folgende Daten serverseitig gespeichert:

• E-Mail-Adresse des Google-Kontos;
• Eindeutige Kennung des Google-Kontos (Google Account ID);
• die Angabe, ob im Google-Konto ein Profilbild hinterlegt ist (ja oder nein).

Weitere Profilangaben, die Google übermittelt, etwa Ihr Name oder Ihr Profilbild selbst, werden nicht gespeichert. Nach erfolgreicher Authentifizierung legt Svitom eine eigene serverseitige Sitzung an. Tokens von Google werden nicht gespeichert; um die mehrfache Verwendung desselben ID-Tokens auszuschließen, wird lediglich ein Hashwert seiner Kennung bis zum Ablauf des Tokens vorgehalten.

Zweck: Identifikation und Authentifizierung des Nutzers; Bereitstellung personalisierter Funktionen des Dienstes (Stadtansicht, Profil, Kontingent).

4.2. Nutzungsdaten (Sitzungen und Kontingent)

Wir speichern folgende Daten, die bei der Nutzung des Dienstes entstehen:

• Sitzungsdaten – bei jeder Anmeldung wird ein zufälliger Sitzungswert erzeugt und im Browser als HttpOnly-Cookie gesetzt (für JavaScript nicht zugänglich). In der Datenbank wird davon nur ein SHA-256-Hashwert abgelegt, zusammen mit dem Zeitpunkt der letzten Erneuerung und der Zuordnung zu Ihrem Konto. Gültigkeitsdauer: 30 Tage ab der letzten Erneuerung; erneuert wird bei Nutzung, höchstens einmal täglich. Eine Obergrenze für die Zahl gleichzeitiger Sitzungen besteht nicht;
• Stadtaufrufprotokoll (City Access Log) – es werden die Kennung jeder vom Nutzer aufgerufenen Stadt sowie der Zeitpunkt des ersten Abrufs erfasst. Diese Daten werden zur Anwendung des Kontingenzsystems und zur erneuten Bereitstellung bereits aufgerufener Städte ohne Einschränkungen verwendet;
• Zugriffsplan und Aktivierungstoken – Information über den zugewiesenen Zugriffsplan (Standard oder erweitert) sowie über den verwendeten Aktivierungstoken (sofern angewendet).

Zweck: Sicherheitsgewährleistung, Kontingentverwaltung, Missbrauchsprävention und Schutz vor automatisierter Massenabfrage.

4.3. Technische Daten und Serverprotokolle

Im Rahmen des normalen Serverbetriebs können automatisch technische Anfragedaten erfasst werden: IP-Adresse (für Rate-Limiting und Missbrauchsschutz), Browser-Typ und -Version (User-Agent), Zeitpunkt und Art der HTTP-Anfrage, entsprechender Antwort-Statuscode. Diese Daten werden zur Sicherheit und Stabilität des Dienstes sowie für die Besucherstatistik nach Ziffer 4.6 verarbeitet und nicht für andere Zwecke zur Nutzeridentifikation verwendet.

Zweck: Schutz vor DDoS-Angriffen, Spam und Missbrauch; Sicherstellung des ordnungsgemäßen Betriebs des Dienstes.

4.4. Daten bei Einreichung von Gemeinschaften auf Drittplattformen

Wenn ein registrierter Nutzer über die Funktion „Gemeinschaft vorschlagen" eine Gemeinschaft einreicht, speichert die Plattform folgende Daten:

• die Angabe, auf welcher Drittplattform die Gemeinschaft geführt wird (derzeit Telegram oder Facebook);
• die eingereichte Kennung der Gemeinschaft in der jeweils plattformspezifischen Form, und zwar bei Telegram der öffentliche Username oder der Einladungslink, bei Facebook die URL der Gruppe (facebook.com/groups/…). Die Kennung wird vor der Speicherung serverseitig auf eine einheitliche Schreibweise normalisiert;
• einen optionalen Kommentar des Nutzers;
• einen Verweis auf das einreichende Nutzerkonto (interne Nutzer-ID) und Zeitpunkt der Einreichung;
• den Bearbeitungsstatus der Einreichung sowie eine etwaige Antwort des Betreibers an den Nutzer.

Weitere personenbezogene Daten werden bei der Einreichung nicht erhoben; die E-Mail-Adresse und sonstige Kontodaten sind bereits im Rahmen der Registrierung gespeichert. Der Verweis auf das Nutzerkonto dient ausschließlich der Nachvollziehbarkeit und der Missbrauchsprävention; er wird zusätzlich verwendet, um Mehrfacheinreichungen derselben Gemeinschaft sowie die Überschreitung einer täglichen Höchstzahl an Einreichungen zu erkennen. Die eingereichte Kennung der Gemeinschaft und der Kommentar stellen öffentliche Informationen über Dritte dar und begründen keine Rechte des Nutzers an der Plattform oder ihrer Datenbank.

Zweck: Prüfung auf Eignung zur Aufnahme in die Plattformdatenbank; Schutz vor Mehrfacheinreichungen und Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen: Missbrauchsprävention und Datenbankpflege).

4.5. Daten bei Kontaktaufnahme und Meldungen

Die Plattform stellt ein Anliegen- und Meldesystem bereit. Ein Teil der Anliegen setzt ein Nutzerkonto voraus (Vorschlag einer Gemeinschaft im Sinne von Ziffer 4.4, Beschwerde über eine gelistete Gemeinschaft, Antrag auf erweiterten Zugang). Die folgenden Anliegen können darüber hinaus ohne Registrierung und ohne Anmeldung übermittelt werden: Kooperationsanfrage, Fehlermeldung, allgemeine Anfrage sowie rechtliche Meldung.

Bei einer Übermittlung werden folgende Daten gespeichert:

• die Art des Anliegens;
• der von Ihnen eingegebene Betreff und der Nachrichtentext;
• eine freiwillige Kontaktangabe von höchstens 200 Zeichen. Es handelt sich um ein freies Textfeld; welche Angabe Sie dort machen, etwa eine E-Mail-Adresse, eine Telefonnummer oder eine Messenger-Kennung, bestimmen Sie selbst. Ohne eine solche Angabe ist eine Antwort auf Ihr Anliegen technisch nicht möglich;
• bei einer rechtlichen Meldung zusätzlich die von Ihnen gewählte Einordnung des geltend gemachten Verstoßes (Urheberrecht, Persönlichkeits- beziehungsweise Datenschutzrecht, Ehrverletzung oder Sonstiges);
• der Bearbeitungsstatus, der Zeitpunkt der Übermittlung sowie, bei angemeldeten Nutzern, ein Verweis auf das Nutzerkonto. Bei einer Übermittlung ohne Anmeldung wird kein Nutzerkonto zugeordnet.

Der Inhalt Ihrer Nachricht wird von Ihnen frei formuliert. Er kann daher Angaben zu Ihrer Person und, insbesondere bei Beschwerden und rechtlichen Meldungen, auch Angaben zu dritten Personen enthalten. Bitte übermitteln Sie nur solche Angaben, die für die Bearbeitung Ihres Anliegens erforderlich sind. Zur Missbrauchsprävention ist die Übermittlung technisch auf eine begrenzte Anzahl von Anfragen je IP-Adresse und Minute beschränkt; zur Verarbeitung technischer Anfragedaten gilt im Übrigen Ziffer 4.3.

Zweck: Entgegennahme, Zuordnung und Bearbeitung des jeweiligen Anliegens sowie Beantwortung Ihrer Anfrage; bei rechtlichen Meldungen zusätzlich die Prüfung des gemeldeten Sachverhalts und die Erfüllung der Pflichten des Betreibers als Diensteanbieter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit das Anliegen der Anbahnung oder Durchführung eines Vertragsverhältnisses dient; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anliegen und an der Missbrauchsprävention); bei rechtlichen Meldungen zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den Pflichten nach den §§ 8 bis 10 DDG. Speicherdauer: bis zur abschließenden Bearbeitung des Anliegens und darüber hinaus, solange dies zur Erfüllung gesetzlicher Aufbewahrungspflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

4.6. Besucherstatistik

Um zu zählen, wie viele Menschen unsere Seite täglich besuchen und woher sie kommen, übermittelt ein eigenes Skript beim Seitenaufruf die aufgerufene Seite, die Adresse der zuvor besuchten Website ohne den Seitenpfad (Referrer) und gegebenenfalls den Kampagnenparameter utm_source an unseren Server. Dieser bildet aus IP-Adresse und Browserkennung mit einem täglich wechselnden Zufallsschlüssel einen pseudonymen Zählwert. So wird jeder Besucher nur einmal am Tag gezählt; registriert er sich am selben Tag oder meldet sich an, wird dies ebenfalls nur als Zahl je Herkunft erfasst. Ob ein Besucher angemeldet ist, erkennt der Server nur daran, ob das Anmelde-Cookie vorhanden ist; dessen Inhalt wird dafür nicht gelesen. Schlüssel und Zählwerte werden spätestens eine Stunde nach Tagesende (UTC) automatisch gelöscht; für technische Serverprotokolle gilt Ziffer 4.3. Dauerhaft gespeichert werden nur tägliche Gesamtzahlen (z. B. Herkunft, Gerätetyp, Art der Einstiegsseite), die keinen Rückschluss auf einzelne Personen zulassen. Es werden keine Cookies gesetzt, auf Ihrem Gerät wird nichts gespeichert, und es werden keine Daten an Dritte weitergegeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die Reichweite unseres Angebots zu verstehen und es zu verbessern. Ihr Widerspruchsrecht nach Abschnitt 11 bleibt unberührt.

Die Verarbeitung personenbezogener Daten erfolgt auf der Grundlage folgender Rechtsgrundlagen gemäß Art. 6 DSGVO:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Verarbeitung der Daten für die Anmeldung, die Kontoverwaltung und die Bereitstellung der vom Nutzer bei der Registrierung angeforderten Dienstfunktionen;
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen: Verarbeitung technischer Protokolle, IP-Adressen und Nutzungsdaten zum Schutz vor Cyberangriffen, Scraping und Missbrauch sowie zur Sicherheit der Plattform und der gelisteten Gemeinschaften auf Drittplattformen (derzeit Telegram und Facebook, künftig gegebenenfalls weitere) sowie zur datensparsamen Reichweitenmessung nach Ziffer 4.6. Im Rahmen der Interessenabwägung überwiegen die berechtigten Interessen des Betreibers, da ausschließlich technische Daten in minimalem Umfang und ohne Profilbildungs- oder Werbezwecke verarbeitet werden;
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Sofern wir Daten über die in Abschnitt 4 genannten Zwecke hinaus erheben, werden wir Sie gesondert informieren und Ihre ausdrückliche Einwilligung einholen.

Wir verkaufen, vermieten oder übermitteln Ihre personenbezogenen Daten nicht zu kommerziellen Zwecken an Dritte. Eine Datenweitergabe kann ausschließlich im für die Bereitstellung der Dienstfunktionen erforderlichen Umfang erfolgen:

6.1. Google LLC (Anmeldung über Google)

Die Authentifizierung erfolgt über Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA) auf einem der beiden in Abschnitt 4.1 beschriebenen Wege: über Google Identity Services unmittelbar auf unseren Seiten oder durch Weiterleitung auf die Authentifizierungsseite von Google. In beiden Fällen melden Sie sich direkt bei Google mit Ihrem Google-Konto an. Google LLC handelt dabei als eigenständiger Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO und verarbeitet Ihre Daten gemäß der eigenen Datenschutzrichtlinie: policies.google.com/privacy.

Für die Anmeldung auf unseren Seiten lädt Ihr Browser das Skript von Google Identity Services von accounts.google.com. Das geschieht auf der Anmeldeseite und, damit Google die Anmeldung anbieten kann, für nicht angemeldete Besucher auch auf anderen Seiten des Dienstes, bereits beim Aufruf der Seite und ohne weitere Handlung. Dabei erhält Google technisch bedingt Daten wie die IP-Adresse Ihres Geräts und die Adresse der aufgerufenen Seite sowie, wenn Sie in Ihrem Browser bei Google angemeldet sind, die Cookies von Google. Für angemeldete Nutzer wird das Skript außerhalb der Anmeldeseite nicht geladen.

Nach erfolgreicher Authentifizierung übermittelt Google an unsere Plattform die in Abschnitt 4.1 aufgeführten Daten. Die weitere Verarbeitung dieser Daten durch Svitom erfolgt gemäß dieser Datenschutzerklärung.

Zweck: Bereitstellung der Anmeldung beim Dienst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anmeldung der Bereitstellung der von Ihnen angeforderten Dienstfunktionen dient; im Übrigen, insbesondere für das Laden des Skripts von Google und das Anbieten der Anmeldung auf weiteren Seiten, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einfachen und sicheren Anmeldung). Für die dabei in Ihrem Browser abgelegten, technisch notwendigen Angaben gilt Abschnitt 8.

Übermittlung in die Vereinigten Staaten. Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Die Übermittlung stützt sich daher auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Der Zertifizierungsstatus ist in der vom US-Handelsministerium geführten Liste öffentlich einsehbar unter dataprivacyframework.gov; die von Google genutzten Übermittlungsmechanismen sind beschrieben unter policies.google.com/privacy/frameworks.

6.2. Kartenanbieter (Stadia Maps und CARTO)

Die Kartenkacheln der Kartenansicht werden nicht über unsere Server ausgeliefert. Ihr Browser ruft sie unmittelbar bei einem externen Kartenanbieter ab. Verwendet wird vorrangig Stadia Maps (Stadia Maps, Inc., 1690 Watertower Place, East Lansing, MI 48823, USA) über tiles.stadiamaps.com. Ist dieser Anbieter vorübergehend nicht erreichbar, wechselt die Karte selbsttätig auf CARTO (CartoDB Inc., 307 Fifth Avenue, New York, NY 10016, USA) über basemaps.cartocdn.com.

Technisch bedingt erhält der jeweilige Anbieter dabei die IP-Adresse Ihres Geräts sowie die Angabe, von welcher Seite die Anfrage ausgeht (Referer). Beide Anbieter haben ihren Sitz in den Vereinigten Staaten, einem Drittland im Sinne des Kapitels V der DSGVO.

Diesen Vorgang führen wir hier auf, damit die Aufzählung der Empfänger vollständig ist, obwohl die Verbindung von Ihrem Browser und nicht von unseren Servern hergestellt wird. Wir selbst übermitteln an diese Anbieter keine Daten; insbesondere werden weder Ihre E-Mail-Adresse noch sonstige Kontodaten oder Angaben zu Ihrer Nutzung des Dienstes weitergegeben. Ein Auftragsverarbeitungsvertrag besteht mit diesen Anbietern nicht, weil der Abruf unmittelbar durch Ihren Browser erfolgt. Es gelten die Datenschutzhinweise der Anbieter: stadiamaps.com/privacy/privacy-policy und carto.com/privacy.

Zweck: Darstellung der Kartenansicht überall dort, wo der Dienst eine Karte anzeigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen Kartendarstellung).

6.3. Hosting-Anbieter

Die technische Infrastruktur der Plattform wird durch folgenden Dienstleister bereitgestellt:

Die physische Speicherung aller personenbezogenen Daten erfolgt ausschließlich auf Servern im Gebiet der Europäischen Union (Polen). Der Zugriff auf die Serverinfrastruktur ist auf den für den Betrieb technisch erforderlichen Umfang beschränkt. Da das Unternehmen seinen Sitz in der Ukraine hat (Drittland ohne EU-Angemessenheitsbeschluss gemäß Art. 45 DSGVO), kann die Serveradministration technisch den Einflussbereich eines Drittlandes berühren. Wir bemühen uns, diesen Aspekt durch geeignete vertragliche und technische Maßnahmen gemäß Art. 44 ff. DSGVO abzusichern.

6.4. Behörden und Strafverfolgungsbehörden

In gesetzlich vorgesehenen Ausnahmefällen können wir personenbezogene Daten an zuständige Behörden (Justiz-, Strafverfolgungs- und Aufsichtsbehörden) auf der Grundlage offizieller rechtmäßiger Anfragen weitergeben. In solchen Fällen geben wir nur das erforderliche Minimum an Daten weiter und informieren Sie, soweit gesetzlich zulässig, über ein solches Ersuchen.

6.5. Google Analytics

Die Plattform lädt das Skript von Google Analytics, einem Webanalysedienst von Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA), auf jeder Seite, unabhängig von Ihrer Wahl im Cookie-Hinweis am unteren Bildschirmrand. Dabei erhält Google technisch bedingt Ihre IP-Adresse und die Adresse der aufgerufenen Seite. Ohne Ihre Zustimmung sendet das Skript ausschließlich ein anonymes, cookieloses Signal zur statistischen Modellierung (Google Consent Mode); es setzt keine Cookies und ordnet nichts Ihrer Person zu. Erst wenn Sie der Kategorie „Статистика“ zustimmen (mit „Прийняти“ oder unter „Налаштувати“), setzt es die in Abschnitt 8 genannten Cookies, und die Auswertung wird Ihnen zugeordnet.

Übermittlung in die Vereinigten Staaten. Es gilt dieselbe Grundlage wie in Abschnitt 6.1: Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO), der Zertifizierungsstatus ist öffentlich einsehbar unter dataprivacyframework.gov. Es gelten die Datenschutzhinweise von Google: policies.google.com/privacy.

Zweck: statistische Auswertung der Nutzung der Plattform (aufgerufene Seiten, ungefähre Herkunft, verwendetes Gerät). Rechtsgrundlage: für das anonyme, cookielose Signal vor Ihrer Zustimmung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen Grundmessung); für die personenbezogene Auswertung mit Cookies Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über „Cookie-налаштування“ in der Fußzeile der Plattform.

6.6. Messung unserer Anzeigen in Google (Google Ads)

Auf der Plattform selbst gibt es keine Werbung. Wir schalten jedoch eigene Anzeigen für Svitom in der Google-Suche (Google Ads, Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Um zu erfahren, ob diese Anzeigen Menschen zu uns führen, ist unser Google-Analytics-Konto mit unserem Google-Ads-Konto verknüpft. Ein eigenes Google-Ads-Skript wird nicht geladen; die Messung erfolgt über das in Abschnitt 6.5 beschriebene Skript.

Das Skript aus Abschnitt 6.5 meldet unter anderem, ob ein Konto angelegt oder der Link einer Gemeinschaft geöffnet wurde; dabei werden nur die Plattform der Gemeinschaft (etwa Telegram) und die Art der Seite (etwa Stadtseite) übermittelt, nicht ihre Adresse oder ihr Name, und nie Ihre E-Mail-Adresse. Nur wenn Sie der Kategorie „Оголошення Svitom у Google“ zustimmen (mit „Прийняти“ oder unter „Налаштувати“), setzt das Skript die in Abschnitt 8 genannten Google-Ads-Cookies, speichert die Klickkennung, mit der Sie über eine unserer Anzeigen gekommen sind (etwa gclid), und verbindet diese Meldungen mit ihr, sodass Google uns zeigen kann, ob die Anzeige zu einer Registrierung oder einer geöffneten Gemeinschaft geführt hat. Ohne diese Einwilligung setzt das Skript keine Google-Ads-Cookies und entfernt Klickkennungen aus den Signalen für Werbezwecke.

Personalisierte Werbung findet nicht statt: Wir verwenden kein Remarketing, Ihnen werden aufgrund Ihres Besuchs keine Anzeigen auf anderen Websites gezeigt, und das Signal für personalisierte Werbung (ad_personalization) bleibt in jedem Fall abgelehnt.

Empfänger und Rollen. Für Google Ads, die Messung eingeschlossen, sind wir und Google nach den Datenschutzbedingungen von Google für Verantwortliche (Google Ads Controller-Controller Data Protection Terms) jeweils eigenständig verantwortlich; Google verarbeitet die Daten dabei auch zu eigenen Zwecken, etwa um seine Werbedienste bereitzustellen, zu verbessern und abzusichern. Wie Google Daten von Websites nutzt, die seine Dienste verwenden, beschreibt Google unter business.safety.google/privacy. Für die Übermittlung in die Vereinigten Staaten gilt dieselbe Grundlage wie in Abschnitt 6.5 (EU-U.S. Data Privacy Framework, Art. 45 DSGVO).

Zweck: Messung, ob unsere Anzeigen in Google zu Besuchen, Registrierungen und geöffneten Gemeinschaften führen. Rechtsgrundlage: Ihre Einwilligung, für das Speichern und Auslesen der Cookies § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit mit Wirkung für die Zukunft über „Cookie-налаштування“ in der Fußzeile widerrufen; die bis dahin erfolgte Verarbeitung bleibt davon unberührt.

6.7. Microsoft Clarity (Aufzeichnung von Besuchen)

Nur wenn Sie der Kategorie „Записи відвідувань“ zustimmen (mit „Прийняти“ oder unter „Налаштувати“), lädt die Plattform Microsoft Clarity, einen Dienst der Microsoft Ireland Operations Limited (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) und ihrer Muttergesellschaft Microsoft Corporation (One Microsoft Way, Redmond, WA 98052, USA). Ohne diese Einwilligung wird das Skript nicht geladen, und Microsoft erhält keine Daten über Ihren Besuch.

Clarity zeichnet auf, wie Sie die Plattform nutzen: Mausbewegungen, Klicks, Tippen und Scrollen, die aufgerufenen Seiten und ihren Aufbau sowie technische Angaben (Gerät, Browser, Bildschirmgröße, ungefährer Standort anhand der IP-Adresse). Daraus entstehen Wiedergaben einzelner Besuche und zusammengefasste Klick- und Scrollkarten. Eingaben in Formularfelder, E-Mail-Adressen und Zahlen auf den Seiten werden vor der Übertragung unkenntlich gemacht, die Seiten Ihres Kontos (Profil und Ihre Anfragen) und das Kontomenü vollständig. Clarity setzt die in Abschnitt 8 genannten Cookies und legt für die Dauer des Browser-Tabs eine Kennung im sessionStorage ab (_cltk). Beim Übertragen der Aufzeichnungen kann Ihr Browser Cookies mitsenden, die Microsoft auf seinen eigenen Domains gesetzt hat; über deren Einsatz entscheidet Microsoft.

Empfänger und Rollen. Nach den Nutzungsbedingungen von Microsoft Clarity sind wir und Microsoft jeweils eigenständig Verantwortliche. Microsoft erhebt die Daten auch, um Microsoft Advertising bereitzustellen, und verwendet sie nach seiner Datenschutzerklärung für eigene Zwecke, darunter die Verbesserung seiner Produkte und die Bildung von Nutzerprofilen zu Werbezwecken: privacy.microsoft.com/privacystatement. Werbe-Cookies von Microsoft lassen wir nicht zu: Bei jeder Ihrer Entscheidungen teilen wir Clarity mit, dass für Werbezwecke keine Einwilligung vorliegt. Clarity liest zusätzlich die Einwilligungssignale von Google auf der Plattform; damit daraus keine Werbekennung von Microsoft entsteht, ist deren Abgleich auf der Plattform technisch gesperrt.

Übermittlung in die Vereinigten Staaten. Die Daten werden in Microsoft Azure gespeichert und können an die Microsoft Corporation in den USA übermittelt werden. Die Microsoft Corporation ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO); innerhalb des Konzerns gelten zusätzlich Standardvertragsklauseln.

Speicherdauer. Aufzeichnungen stehen uns 30 Tage zur Verfügung; von uns als Favorit markierte und von Microsoft stichprobenartig ausgewählte Aufzeichnungen bis zu neun Monate. Wie lange Microsoft die Daten für eigene Zwecke speichert, bestimmt Microsoft.

Zweck: erkennen, wo die Nutzung der Plattform schwerfällt, etwa auf dem Telefon, um sie zu verbessern. Rechtsgrundlage: Ihre Einwilligung, für das Speichern und Auslesen der Cookies § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit mit Wirkung für die Zukunft über „Cookie-налаштування“ in der Fußzeile widerrufen; Clarity wird dann sofort angehalten und seine Cookies sowie die Kennung im sessionStorage werden entfernt. Die bis dahin erfolgte Verarbeitung bleibt davon unberührt.

Der Zugang zu personenbezogenen Daten der Nutzer ist streng begrenzt und wird nur denjenigen Personen gewährt, die ihn für den Betrieb und die Sicherheit des Dienstes benötigen. Wir verkaufen, übertragen oder offenbaren Ihre personenbezogenen Daten nicht an Dritte zu kommerziellen oder sonstigen in dieser Erklärung nicht genannten Zwecken.

Kategorien von Personen, die Zugang zu personenbezogenen Daten haben können:

• Betreiber (Inhaber des Dienstes) – hat vollen administrativen Zugang zu den Plattformsystemen und der Datenbank. Der Zugang dient der Verwaltung des Dienstes, der Lösung technischer Fragen und der Bearbeitung von Nutzeranfragen;
• Entwicklungs- und Support-Team – Personen, die mit der technischen Wartung, Entwicklung und Fehlerbehebung der Plattform betraut sind, haben eingeschränkten Zugang zu technischen Systemen und Daten ausschließlich im Rahmen ihrer Aufgaben und unter Vertraulichkeitspflicht. Der Zugang zu personenbezogenen Daten wird nur dann gewährt, wenn dies objektiv zur Behebung technischer Störungen oder zur Erfüllung von Entwicklungsaufgaben erforderlich ist;
• Hosting-Anbieter (Warschau, Polen, EU) – als technischer Infrastrukturbetreiber hat der Hosting-Anbieter technischen Zugang zu den Servern, auf denen Daten gespeichert sind. Dieser Zugang ist streng auf die technischen Erfordernisse der Serveradministration beschränkt. Der Hosting-Anbieter ist nicht berechtigt, personenbezogene Daten für eigene Zwecke zu verwenden;
• Staatliche Behörden – ausschließlich auf Grundlage rechtmäßiger offizieller Ersuchen gemäß anwendbarem Recht (siehe Abschnitt 6.4).

Keine anderen Dritten, Auftragnehmer oder Partner haben oder erhalten Zugang zu personenbezogenen Daten der Nutzer, sofern dies in dieser Datenschutzerklärung nicht ausdrücklich vorgesehen ist. Alle Personen mit Zugang zu personenbezogenen Daten sind zur strikten Vertraulichkeit verpflichtet.

Die Plattform verwendet technisch notwendige Speichermittel für die Anmeldung sowie, ausschließlich mit Ihrer Einwilligung, Analyse-Cookies von Google Analytics, Cookies zur Messung unserer Anzeigen in Google und Cookies von Microsoft Clarity. Cookies für personalisierte Werbung oder Remarketing werden nicht verwendet.

• svitlo_session (HttpOnly-Cookie) – wird nach erfolgreicher Anmeldung gesetzt. Gültigkeitsdauer: 30 Tage ab der letzten Erneuerung; erneuert wird bei Nutzung, höchstens einmal täglich. Schutz: HttpOnly (für JavaScript nicht zugänglich), SameSite=Strict, Secure (nur HTTPS). Zweck: Aufrechterhaltung der authentifizierten Sitzung ohne erneute Anmeldung.
• fastapiusersoauthcsrf (HttpOnly-Cookie) – wird zu Beginn der Anmeldung über Google gesetzt. Gültigkeitsdauer: 1 Stunde, unabhängig davon, ob die Anmeldung abgeschlossen wird. Schutz: HttpOnly (für JavaScript nicht zugänglich), SameSite=Lax, Secure (nur HTTPS). Zweck: Absicherung des Anmeldevorgangs gegen Cross-Site-Request-Forgery auf dem Rückweg von Google.
• svitlo_oauth_pkce (HttpOnly-Cookie) – wird zu Beginn der Anmeldung über die Seite von Google gesetzt und nach der Rückkehr von Google entfernt. Gültigkeitsdauer: höchstens 1 Stunde. Schutz: HttpOnly (für JavaScript nicht zugänglich), SameSite=Lax, Secure (nur HTTPS), wird nur an die Anmeldeadressen des Servers gesendet. Zweck: Schutz der Anmeldung über die Weiterleitung (PKCE), damit ein abgefangener Autorisierungscode nicht verwendet werden kann.
• svitlo_gis_nonce (HttpOnly-Cookie) – wird gesetzt, wenn die Anmeldung über Google Identity Services auf unseren Seiten vorbereitet wird. Gültigkeitsdauer: 6 Stunden. Schutz: HttpOnly (für JavaScript nicht zugänglich), SameSite=Strict, Secure (nur HTTPS), wird nur an die Anmeldeadressen des Servers gesendet. Zweck: Bindung der Anmeldung über Google an diesen Browser, damit ein ID-Token nicht aus einem anderen Browser verwendet werden kann.
• g_state (Cookie) – wird vom Skript von Google Identity Services auf unserer Domain gesetzt. Zweck: speichert, ob Sie den Google-Anmeldehinweis geschlossen haben, damit er nicht sofort erneut erscheint. Die Gültigkeitsdauer bestimmt Google.
• Lokaler Speicher (localStorage) – E-Mail-Adresse – speichert ausschließlich die E-Mail-Adresse des angemeldeten Nutzers zur Anzeige in der Benutzeroberfläche. Enthält keine Tokens oder Sicherheitsdaten; wird bei der Abmeldung gelöscht.
• Lokaler Speicher (localStorage) – Cookie-Einstellung – speichert Ihre Wahl aus dem Hinweis am unteren Bildschirmrand, je Kategorie („Статистика“, „Оголошення Svitom у Google“ und „Записи відвідувань“) zugestimmt oder abgelehnt, damit er nicht bei jedem Besuch erneut erscheint und Ihre Entscheidung erhalten bleibt. Enthält keine sonstigen personenbezogenen Daten.
• Lokaler Speicher (localStorage) – svitlo_gis_auto_off – wird bei der Abmeldung gesetzt und schaltet die automatische Anmeldung über Google ab, bis Sie sich das nächste Mal anmelden; dann wird der Eintrag entfernt. Enthält keine personenbezogenen Daten.

Da die acht vorstehenden Mittel für den Betrieb des Dienstes unbedingt erforderlich sind (technisch notwendige Cookies gemäß § 25 Abs. 2 Nr. 2 TDDDG), ist für sie eine gesonderte Einwilligung nicht erforderlich. Die Ablehnung dieser Mittel macht die Nutzung von Funktionen, die eine Authentifizierung erfordern, unmöglich.

Analyse-Cookies (Google Analytics), nur mit Ihrer Einwilligung: _ga und _ga_<Container-ID>, Gültigkeitsdauer bis zu 13 Monate. Das Skript von Google Analytics selbst läuft auf jeder Seite, siehe Abschnitt 6.5; diese beiden Cookies setzt es aber erst, nachdem Sie im Hinweis am unteren Bildschirmrand der Kategorie „Статистика“ zugestimmt haben. Empfänger, Zweck und Rechtsgrundlage stehen in Abschnitt 6.5.

Cookies zur Messung unserer Anzeigen (Google Ads), nur mit Ihrer Einwilligung: _gcl_au und, wenn Sie über eine unserer Anzeigen gekommen sind, _gcl_aw, Gültigkeitsdauer 90 Tage. Das Skript setzt sie erst, nachdem Sie der Kategorie „Оголошення Svitom у Google“ zugestimmt haben. Empfänger, Zweck und Rechtsgrundlage stehen in Abschnitt 6.6.

Cookies von Microsoft Clarity, nur mit Ihrer Einwilligung: _clck (ordnet Ihre Besuche einander zu, Gültigkeitsdauer 1 Jahr) und _clsk (fasst die Seitenaufrufe eines Besuchs zu einer Aufzeichnung zusammen, Gültigkeitsdauer 1 Tag). Das Skript wird erst geladen, nachdem Sie der Kategorie „Записи відвідувань“ zugestimmt haben. Empfänger, Zweck und Rechtsgrundlage stehen in Abschnitt 6.7. Ihre Wahl können Sie jederzeit über „Cookie-налаштування“ in der Fußzeile ändern; eine Ablehnung oder ein Widerruf hat auf die Nutzbarkeit des Dienstes keine Auswirkung.

Zusätzlich legt der Dienst zwei rein örtliche Angaben in Ihrem Browser ab, die uns nicht übermittelt werden und die über die vorstehende Aufzählung hinausgehen:

• Zuletzt aufgerufene Städte (localStorage) – bis zu 20 Einträge mit dem Namen der Stadt, dem Länderkürzel und dem Zeitpunkt des Aufrufs. Kennungen von Städten werden nicht abgelegt. Die Einträge dienen allein dazu, Ihre Übersicht bereits aufgerufener Städte nach Aktualität zu ordnen; welche Städte Ihnen dort angezeigt werden, ergibt sich aus Ihrem Konto und nicht aus diesem Eintrag. Er wird bei einer ausdrücklichen Abmeldung gelöscht.
• Technische Hilfswerte (sessionStorage) – gelten nur für die Dauer des jeweiligen Browser-Tabs, etwa die Adresse, zu der Sie nach der Anmeldung über Google zurückgeleitet werden. Sie enthalten keine personenbezogenen Daten und werden mit dem Schließen des Tabs verworfen.

Beide Angaben können Sie jederzeit entfernen, indem Sie die Websitedaten in Ihrem Browser löschen. Auf die Nutzbarkeit des Dienstes hat das keine Auswirkung.

Personenbezogene Daten werden für folgende Zeiträume gespeichert:

• Kontodaten (E-Mail, Google-ID, Angabe zum Profilbild, Zugriffsplan, Stadtprotokoll) – werden für die gesamte Dauer Ihres Kontos auf der Plattform gespeichert. Bei Kontolöschung gemäß Abschnitt 11 werden diese Daten gelöscht.
• Sitzungsdaten – werden bei ausdrücklichem Abmelden sofort gelöscht. Ohne Abmeldung verfällt eine Sitzung 30 Tage nach ihrer letzten Erneuerung; der zugehörige Datenbankeintrag wird bei der nächsten Anmeldung desselben Kontos entfernt.
• Technische Protokolle – werden nicht länger als für die Sicherheitsgewährleistung erforderlich gespeichert (in der Regel bis zu 30 Tage), sofern ein entsprechender Vorfall keine längere Aufbewahrung aus rechtlichen Gründen erfordert.
• Daten zur Nutzung von Aktivierungstoken – werden für die Dauer des Kontos zur Prüfung und zum Schutz vor Mehrfachverwendung gespeichert.
• Konten bei Inaktivität – der Betreiber behält sich vor, Konten nach mehr als sechs Monaten ununterbrochener Inaktivität zu löschen (gemäß den Nutzungsbedingungen, Abschnitt 9.4). In diesem Fall werden alle zugehörigen personenbezogenen Daten nach Maßgabe dieser Datenschutzerklärung vernichtet.

Svitom ist ein Aggregator öffentlich bekannter Informationen über Gruppen, Kanäle und Chats, die auf Drittplattformen geführt werden. Drittplattformen im Sinne dieser Erklärung sind derzeit Telegram und Facebook; weitere Plattformen können künftig hinzukommen. Die Plattform ist weder Eigentümerin noch Administratorin einer der auf der Website verlinkten Gemeinschaften und betreibt auch die Drittplattformen selbst nicht.

Wir übernehmen keine Verantwortung für:

• die Richtigkeit, Aktualität oder Vollständigkeit der Informationen über die gelisteten Gemeinschaften (Namen, Beschreibungen, Mitgliederzahlen, Themen);
• Änderungen in Zusammensetzung, Regeln oder Verfügbarkeit der Gemeinschaften nach deren Aufnahme in die Datenbank;
• Inhalte von Beiträgen, Nachrichten oder Materialien innerhalb der Gemeinschaften;
• Handlungen von Administratoren oder Mitgliedern der Gemeinschaften;
• Löschung, Sperrung oder Änderung der Einstellungen einer Gemeinschaft durch deren Eigentümer oder durch die jeweilige Drittplattform;
• die Verarbeitung personenbezogener Daten durch die jeweilige Drittplattform, die einer eigenständigen datenschutzrechtlichen Verantwortlichkeit unterliegt;
• etwaige Schäden, die durch die Interaktion mit den Gemeinschaften entstehen, auf die die Plattform verlinkt.

Die Daten über die gelisteten Gemeinschaften haben ausschließlich informativen Charakter. Der Nutzer entscheidet selbstständig über den Beitritt zu einer Gemeinschaft und ist für sein Handeln in dieser verantwortlich. Mit dem Aufruf eines Beitrittslinks verlässt der Nutzer Svitom; ab diesem Zeitpunkt gilt die Datenschutzerklärung der jeweiligen Drittplattform.

Gemäß DSGVO (Art. 15–22) stehen Ihnen folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO) – Sie können Auskunft darüber verlangen, ob wir Ihre personenbezogenen Daten verarbeiten, und eine Kopie dieser Daten erhalten;
• Recht auf Berichtigung (Art. 16 DSGVO) – Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger personenbezogener Daten verlangen;
• Recht auf Löschung / „Recht auf Vergessenwerden" (Art. 17 DSGVO) – Sie können die Löschung Ihrer personenbezogenen Daten (Kontolöschung) verlangen. Wir werden dem Antrag innerhalb von 30 Kalendertagen nachkommen;
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) – Sie können in den von der DSGVO vorgesehenen Fällen eine Einschränkung der Verarbeitung Ihrer Daten verlangen;
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO) – Sie können Ihre personenbezogenen Daten, die Sie uns bereitgestellt haben und die auf Grundlage einer Einwilligung oder eines Vertrags verarbeitet werden, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten;
• Widerspruchsrecht (Art. 21 DSGVO) – Sie können der Verarbeitung Ihrer Daten auf Grundlage berechtigter Interessen widersprechen;
• Recht auf Widerruf der Einwilligung – sofern die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit ohne Nachteile für die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung widerrufen.

Zur Ausübung eines dieser Rechte richten Sie Ihren Antrag an: info@svitom.org

Wir bearbeiten Ihren Antrag innerhalb von 30 Kalendertagen ab Eingang und erteilen eine Antwort. Bei komplexen Anfragen kann die Frist um weitere 60 Tage verlängert werden, worüber wir Sie unter Angabe der Gründe informieren.

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen (Art. 77 DSGVO).

Zuständige Aufsichtsbehörde am Sitz des Verantwortlichen (Niedersachsen):

Landesbeauftragter für den Datenschutz Niedersachsen (LfDI), Prinzenstraße 5, 30159 Hannover, Deutschland – lfd.niedersachsen.de

Gemäß Art. 77 Abs. 1 DSGVO können Sie Ihre Beschwerde auch bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsorts oder des Orts des mutmaßlichen Verstoßes einreichen – unabhängig davon, wo der Verantwortliche seinen Sitz hat.

Wir empfehlen, sich zunächst direkt an uns zu wenden – info@svitom.org – um etwaige Fragen zur Verarbeitung Ihrer Daten schnell zu klären.

Wir treffen geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer personenbezogenen Daten vor unbefugtem Zugriff, Verlust, Zerstörung oder Veränderung:

• Verschlüsselung der Datenübertragung (HTTPS/TLS);
• Verschlüsselung von Identifikatoren (Fernet) zur Verhinderung von Enumeration und Request-Fälschung;
• HttpOnly-Cookies mit SameSite-Beschränkung für die Sitzung und für den Anmeldevorgang, damit sie für JavaScript auf der Seite nicht erreichbar sind;
• Rate Limiting zum Schutz vor automatisierten Angriffen;
• HTTP-Sicherheitsheader (Content-Security-Policy, X-Frame-Options u. a.);
• Eingeschränkter Zugang zu personenbezogenen Daten – nur autorisierte Personen.

Trotz der getroffenen Maßnahmen ist kein System der Datenübertragung über das Internet oder elektronische Speicherung absolut sicher. Wenn Sie eine potenzielle Sicherheitslücke entdecken, bitten wir Sie, uns unverzüglich unter info@svitom.org zu informieren.

Wir behalten uns vor, diese Datenschutzerklärung jederzeit zu ändern. Über Änderungen informieren wir durch Aktualisierung des Datums „Zuletzt aktualisiert" am Anfang dieses Dokuments. Eine gesonderte Benachrichtigung per E-Mail erfolgt nicht. Die fortgesetzte Nutzung des Dienstes nach Veröffentlichung von Änderungen gilt als Zustimmung zur aktualisierten Fassung des Dokuments. Wir empfehlen, diese Erklärung regelmäßig zu überprüfen.

Bei allen Fragen zur Verarbeitung personenbezogener Daten, zur Ausübung Ihrer Rechte oder zu dieser Datenschutzerklärung wenden Sie sich bitte an:

Wir bearbeiten Anfragen innerhalb von 30 Kalendertagen.

Якщо у вас виникли питання щодо того, як ми обробляємо ваші дані, або ви хочете скористатися своїми правами відповідно до GDPR, напишіть нам на info@svitom.org або оберіть зручний спосіб на сторінці зв’язку. Відповідаємо протягом 30 календарних днів.