Datenschutzrichtlinie Flutgraben e.V.

§ 1 Verantwortliche*r und Kontakt

Verantwortliche*r im Sinne der DSGVO ist:

Flutgraben e.V., Am Flutgraben 3, 12435 Berlin, Deutschland

Datenschutzanfragen und allgemeine Anfragen: kontakt@flutgraben.org

Flutgraben e.V. unterliegt aufgrund seiner Größe (regelmäßig weniger als 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind) nicht der Pflicht zur Bestellung einer*eines Datenschutzbeauftragten gemäß § 38 BDSG. Die Verantwortung für die Einhaltung der Datenschutzvorschriften liegt beim Vorstand.

§ 2 Welche Daten wir verarbeiten und zu welchem Zweck

Flutgraben verarbeitet folgende Kategorien personenbezogener Daten:

• Stammdaten (Name, Anschrift, E-Mail, Telefon, Geburtsdatum sofern vertraglich erforderlich, Steuernummer/USt-IdNr bei Unternehmer*innen) — zur Vereinsverwaltung, Mietverhältnissen und Projektabwicklung.

• Vertragsdaten (Mietverträge, Untermietverträge, Nutzungsvereinbarungen, Verpflichtungserklärungen, Verbrauchsdaten zu Strom-, Wärme- und Wasserabrechnung) — zur Anbahnung, Durchführung und Beendigung von Verträgen.

• Finanzdaten (Bankverbindung, Mietzahlungen, Buchungen, Rechnungen, Belege) — zur Buchhaltung, Umsatzsteuerermittlung und Steuererklärung.

• Spendendaten (Spenderkennzeichnung, ggf. Steuer-IdNr für Zuwendungsbestätigungen, Spendenhöhe) — zur Erstellung von Zuwendungsbestätigungen gemäß § 50 EStDV.

• Beschäftigtendaten (Gehalt, Steuerklasse, Sozialversicherungsnummer, Arbeitszeitnachweise) — zur Lohnabrechnung und Erfüllung arbeitsrechtlicher Pflichten.

• Kommunikationsdaten (E-Mail-Korrespondenz, Kalendereinträge, Telefonnotizen) — zur Kommunikation mit Mieter*innen, Mitarbeitenden, Behörden und Geschäftspartner*innen.

• Mitgliedsdaten (Mitgliedsnummer, Beitritts-/Austrittsdatum, Beitragsstatus) — zur Mitgliederverwaltung, Vorstandstätigkeit und Mitgliederversammlungen.

• Plattform-Nutzungsdaten (Login-Zeitstempel, Audit-Logs, Signatur-Metadaten wie IP-Adresse und User-Agent beim Vertragsabschluss) — zur IT-Sicherheit und zur Beweissicherung bei elektronischen Vertragsschlüssen.

• Synchronisierte Kontaktdaten: Mitarbeitende und Vorstandsmitglieder können in den Plattformeinstellungen wählen, ihre persönlichen Google-Kontakte mit dem gemeinsamen Vereinsadressbuch zu synchronisieren. Die Aktivierung erfolgt durch ausdrückliche Aktion der Nutzer*in im Dashboard; eine Deaktivierung ist jederzeit möglich.

§ 3 Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten stützt sich je nach Zweck auf folgende Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Mietverträge, Nutzungsvereinbarungen, Auftragsverarbeitungsverträge).

• Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Verpflichtung (steuerrechtliche Aufbewahrungspflichten, GoBD-Konformität, Vereinsgesetz).

• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (interne Verwaltung, IT-Sicherheit, Vertragsbeweissicherung, Adressbuch-Synchronisation).

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z. B. Newsletter-Versand, Veröffentlichung in Mitgliederverzeichnis).

• § 26 BDSG — Beschäftigtendaten.

§ 4 Empfängerkategorien

Wir geben personenbezogene Daten an Auftragsverarbeiter im Sinne von Art. 28 DSGVO weiter, mit denen Auftragsverarbeitungsverträge bestehen. Die Kategorien sind:

• Cloud-Plattform für Datenbank, Authentifizierung und Datei-Speicherung (EU-Region).

• Cloud-Office für E-Mail, Kalender, Drive und Kontakte (EU mit US-Konzernsitz).

• KI-Verarbeitungsdienste für Texte, E-Mails und Belege (USA mit Angemessenheitsbeschluss bzw. Standardvertragsklauseln).

• Monitoring und Fehleranalyse (EU und USA).

• Aufgaben- und Projektverwaltung (USA, Standardvertragsklauseln).

• Kryptographische Zeitstempel (RFC 3161, ohne Personenbezug — keine Auftragsverarbeitung).

Eine namentliche Liste der konkreten Anbieter mit AV-Referenzen führen wir intern im Verzeichnis nach Art. 30 DSGVO. Sie wird auf Anfrage an kontakt@flutgraben.org offengelegt.

§ 5 Drittlandtransfers

Soweit Daten an Auftragsverarbeiter außerhalb des EWR übermittelt werden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (z. B. EU-US Data Privacy Framework) oder Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.

§ 6 Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Verarbeitungszwecke oder gesetzlich vorgeschriebene Aufbewahrungspflichten erforderlich ist. Mit dem Wachstumschancengesetz (in Kraft seit 01.01.2025) wurde die Aufbewahrungsfrist für Buchungsbelege von zehn auf acht Jahre verkürzt; die nachstehenden Fristen berücksichtigen diese Änderung.

• Vertragsdokumente (Mietverträge, Untermietverträge, Nutzungsvereinbarungen, Verpflichtungserklärungen): 6 Jahre nach Vertragsende gemäß § 257 Abs. 1 Nr. 2-3 in Verbindung mit Abs. 4 HGB.

• Buchhaltungs- und Steuerunterlagen (Belege, Rechnungen, Buchungen): 8 Jahre nach Ablauf des Kalenderjahres ihrer Entstehung gemäß § 257 Abs. 1 Nr. 4 HGB und § 147 Abs. 3 AO.

• Handelsbücher, Bilanzen, Jahresabschlüsse: 10 Jahre gemäß § 257 Abs. 1 Nr. 1 HGB.

• Zuwendungsbestätigungen: 10 Jahre gemäß § 50 Abs. 7 EStDV / § 63 AO.

• Mitgliedsdaten: während aktiver Mitgliedschaft zzgl. 6 Jahre nach Austritt zur Beweissicherung.

• Bewerbungsunterlagen abgelehnter Bewerber*innen: 6 Monate nach Absage.

• Server-Logs und Audit-Logs: 30 Tage, sofern nicht aus Sicherheitsgründen verlängert.

• Personenbezogene Daten ohne gesetzliche Aufbewahrungspflicht: bis zu 12 Monate nach Wegfall des Verarbeitungszwecks.

Recht auf Löschung (Art. 17 DSGVO): Anfragen werden geprüft. Bei Konflikt mit gesetzlicher Aufbewahrungspflicht hat diese Vorrang; der Anspruch wird nach Ablauf der gesetzlichen Frist erfüllt. Während der Aufbewahrungsfrist erfolgt eine Einschränkung der Verarbeitung (Sperrung) gemäß Art. 18 DSGVO.

§ 7 Ihre Rechte

Betroffene Personen haben gegenüber Flutgraben folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO).

• Recht auf Berichtigung (Art. 16 DSGVO).

• Recht auf Löschung (Art. 17 DSGVO) — vorbehaltlich gesetzlicher Aufbewahrungspflichten (siehe § 6).

• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).

• Recht auf Datenübertragbarkeit (Art. 20 DSGVO).

• Widerspruchsrecht (Art. 21 DSGVO) bei Verarbeitung auf Grundlage berechtigten Interesses.

• Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft.

Diese Rechte gelten in dem Umfang, in dem die DSGVO sie für die jeweilige Verarbeitung vorsieht. Insbesondere setzt das Recht auf Datenübertragbarkeit (Art. 20) eine Verarbeitung auf Grundlage von Einwilligung oder Vertrag voraus; Daten, die wir aufgrund gesetzlicher Verpflichtungen (z. B. Buchhaltungs- und Steuerunterlagen, Betriebskostenabrechnung) verarbeiten, fallen nicht darunter.

§ 8 Datenschutzanfragen und Beschwerderecht

Anfragen zur Ausübung der Rechte aus § 7 sind zu richten an: kontakt@flutgraben.org. Wir antworten ohne unangemessene Verzögerung, spätestens innerhalb eines Monats nach Eingang.

Sie haben darüber hinaus das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

§ 9 Sicherheit

Flutgraben trifft technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zum Schutz personenbezogener Daten, insbesondere: Verschlüsselung der Datenübertragung (TLS) und der Datenbank-Backups, rollenbasierte Zugriffskontrolle mit Multi-Faktor-Authentifizierung für Vorstandsmitglieder, lückenlose Audit-Logs sicherheitsrelevanter Operationen, GoBD-konforme Unveränderlichkeit gebuchter Vorgänge sowie ein dokumentierter Prozess zur Behandlung von Datenschutzverletzungen mit 72-Stunden-Meldekette gemäß Art. 33 DSGVO.

§ 10 Änderungen dieser Richtlinie

Flutgraben behält sich vor, diese Datenschutzrichtlinie an geänderte rechtliche oder organisatorische Rahmenbedingungen anzupassen. Versionierung erfolgt über die interne Plattform; jede neue Fassung löst die vorherige ab und wird mit ihrem Inkrafttreten dokumentiert.

Die jeweils gültige Version ist über das Dashboard und in der Verein Shared Drive (Ordner Richtlinien) abrufbar.