Datenschutzerklärung

1. Verantwortlicher und Kontakt

Kelvin Berger entscheidet über Zweck und Mittel der auf dieser Website beschriebenen Verarbeitungen und ist hierfür Verantwortlicher im Sinne der DSGVO. Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist derzeit nicht benannt.

2. Überblick: Was diese Website nicht tut

Die Website führt kein Besucherprofil, keine Werbetechnologie, kein eigenes Nutzerkonto, keinen Newsletter, keine Kommentare, keine Uploads und keine Zahlungsfunktion. Sie bindet keine Social-Media-Feeds, Videos, Schriftarten oder Karten von Drittanbietern ein. Externe Angebote werden erst nach einem aktiven Klick auf einen Link geöffnet.

Kommunensuche, Selbstcheck, Lernangebote, Wahlkalender und Bürgerbegehren-Assistent arbeiten im Browser. Suchbegriffe, Antworten und Arbeitsentwürfe werden durch diese Funktionen nicht an den Betreiber übermittelt und nicht dauerhaft im Browser gespeichert. Eine Ausnahme sind die unten erläuterten, freiwillig gestarteten E-Mail-Einsendungen und die passwortgeschützte Statistik-Sitzung.

3. Websiteaufruf, Hosting und Sicherheit

Beim Aufruf entstehen technisch notwendige Verbindungsdaten. Dazu können insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource, Statuscode sowie Browser-, Geräte- und Sicherheitsinformationen gehören. Diese Daten sind erforderlich, um die Website auszuliefern, vor Angriffen zu schützen und Störungen zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO (berechtigtes Interesse). Das berechtigte Interesse liegt darin, die Sicherheit, Stabilität und Funktionsfähigkeit des Website-Betriebs zu gewährleisten.

Hosting-Anbieter und Auftragsverarbeitung nach Art. 28 DSGVO

Hosting-Anbieter ist OpenAI mit dem Dienst ChatGPT Sites. Der Betreiber nutzt dafür ein persönliches ChatGPT-Pro-Konto. Soweit die veröffentlichte Website personenbezogene Daten von Endnutzern erhebt, verarbeitet OpenAI diese für Hosting, Wartung und Support als Auftragsverarbeiter. Dafür gilt nach seinem veröffentlichten Anwendungsbereich der ChatGPT-Sites-Datenverarbeitungszusatz (Data Processing Addendum, DPA). Für einen im Europäischen Wirtschaftsraum ansässigen Betreiber nennt dieser Zusatz OpenAI Ireland Ltd als Vertragspartei. Nach seinen Bedingungen wird er durch die Nutzung von ChatGPT Sites zur Veröffentlichung und zum Hosting einer Website, die personenbezogene Daten erhebt, einbezogen. Er betrifft nicht die Unterhaltungen und Dateien, mit denen die Website in ChatGPT erstellt oder bearbeitet wird.

Cloudflare für Auslieferung und Sicherheit

Die Website wird über Cloudflare ausgeliefert. Cloudflare, Ltd. unterstützt die Hosting-Infrastruktur bei der Auslieferung von Seiten und beim Schutz vor automatisierten oder missbräuchlichen Zugriffen. Dabei können insbesondere IP-Adresse, angeforderte Adresse, Zeitpunkt, Browser- und Verbindungsdaten sowie Sicherheitsmerkmale verarbeitet werden. Rechtsgrundlage für diese technisch notwendige Verarbeitung ist Art. 6 Abs. 1 Buchst. f DSGVO; das berechtigte Interesse liegt in der sicheren und zuverlässigen Bereitstellung der Website. Vertragspartner des Betreibers für das Hosting bleibt OpenAI; Cloudflare ist in dessen Liste der Unterauftragsverarbeiter aufgeführt. Ergänzende Informationen stellt Cloudflare in seiner Datenschutzerklärung bereit.

Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums ist nicht ausgeschlossen. Nach dem Datenverarbeitungszusatz erfolgen etwaige Übermittlungen anhand der darin beschriebenen geeigneten Garantien, insbesondere Standardvertragsklauseln oder Angemessenheitsbeschlüssen. Einzelheiten und die Unterauftragsverarbeiterliste sind über den verlinkten DPA erreichbar. Informationen zu den für die konkrete Übermittlung geltenden Garantien und eine Kopie können beim Betreiber angefragt werden.

Speicherdauer der Server- und Sicherheitsprotokolle

Die eigene Anwendung speichert keine IP-Adressen oder personenbezogenen Aufrufprotokolle in ihrer Datenbank. Davon zu unterscheiden sind Protokolle der Hosting- und Sicherheitsinfrastruktur einschließlich Cloudflare. Der Datenverarbeitungszusatz beschreibt die Dauer der Verarbeitung gehosteter Daten als Laufzeit des Dienstes zuzüglich der danach zur Erfüllung der Pflichten, einschließlich Löschung, erforderlichen Zeit. Eine feste Frist für einzelne Infrastrukturprotokolle, insbesondere IP- und Sicherheitsprotokolle, nennt er nicht. Deren konkrete Speicher- und Löschfristen oder überprüfbare Kriterien sind beim Hosting-Anbieter noch zu klären und werden nach Bestätigung ergänzt. Eine Löschung nach sieben oder vierzehn Tagen wird nicht zugesichert.

4. Datensparsame Besuchszählung

Die Anwendung zählt erfolgreiche HTML-Seitenaufrufe serverseitig nur als Tagesgesamtsumme. In der eigenen Datenbank werden ausschließlich Kalendertag und Anzahl der Aufrufe gespeichert. Nicht gespeichert werden IP-Adressen, Cookie- oder Gerätekennungen, Browsermerkmale, Suchbegriffe, Referrer oder Nutzerprofile. Mehrere Aufrufe derselben Person können deshalb mehrfach zählen; die Zahl misst keine eindeutigen Personen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Das berechtigte Interesse ist eine grobe, datensparsame Einschätzung der Nutzung des Informationsangebots. Bei weiteren gezählten Seitenaufrufen werden Tageswerte automatisch bereinigt, deren Kalendertag vor dem zwei Kalenderjahre zurückliegenden UTC-Stichtag liegt. Die Bereinigung erfolgt auch beim Abruf des geschützten Statistikbereichs. Ohne einen dieser Abrufe findet keine zeitgesteuerte Bereinigung statt; deshalb kontrolliert der Betreiber die Frist zusätzlich selbst. Eine taggenaue automatische Löschung nach zwei Jahren wird nicht zugesichert. Der technisch notwendige Websiteaufruf selbst bleibt davon unberührt und ist in Abschnitt 3 beschrieben.

5. Cookies und vergleichbare Technologien

5.1 Allgemeine Website-Nutzung

Der Anwendungscode setzt keine Werbe-, Reichweiten-, Social-Media- oder Präferenz-Cookies und greift nicht auf Local Storage oder Session Storage zu. Die aggregierte Besuchszählung benötigt kein Cookie. Cloudflare setzt beim Websiteaufruf das Sicherheits-Cookie __cf_bm. Es dient der Erkennung automatisierter Zugriffe und soll den Schutz der Website ermöglichen. Nach Cloudflares Dokumentation wird es für jede Website gesondert erzeugt und läuft nach 30 Minuten Inaktivität ab. Es wird von der Anwendung weder für Werbung noch für die Besuchszählung verwendet. Der Betreiber behandelt dieses Sicherheits-Cookie als für den ausdrücklich gewünschten Websiteaufruf unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); für die Verarbeitung personenbezogener Sicherheitsdaten gilt Art. 6 Abs. 1 Buchst. f DSGVO (Abschnitt 3).

Die Sicherheitskonfiguration des Hostingdienstes kann sich ändern. Weitere tatsächlich eingesetzte Technologien und ihre Erforderlichkeit werden geprüft. Nicht unbedingt erforderliche Speicherungen oder Zugriffe auf Endgeräte dürfen erst nach wirksamer Einwilligung gemäß § 25 Abs. 1 TDDDG erfolgen.

5.2 Passwortgeschützte Statistik-Sitzung

Der Statistikbereich ist ausschließlich für die Projektleitung bestimmt. Bei der Anmeldung wird das eingegebene Passwort über HTTPS an den Server übertragen und dort geprüft. Die eigene Anwendung schreibt das eingegebene Passwort oder einzelne Anmeldeversuche nicht in ihre Datenbank oder Anwendungsprotokolle. Die technischen Verbindungsdaten des Hostingdienstes sind davon getrennt zu betrachten (Abschnitt 3).

• Zweck: Zugriff auf die Statistik ermöglichen und unbefugte Zugriffe verhindern.
• Cookie und Inhalt: Nach erfolgreicher Anmeldung wird kv_metrics_session gesetzt. Es enthält eine Ablaufzeit und eine kryptografische Signatur, aber weder Passwort noch Name, E-Mail-Adresse oder Gerätekennung. Ein zusätzlicher Sitzungsdatensatz wird in der eigenen Datenbank nicht angelegt.
• Übermittlung und Schutz: Das Cookie gilt für den gesamten Pfad dieser Domain und wird bei passenden Anfragen an sie mitgesendet. Es trägt die Attribute HttpOnly, Secure und SameSite=Strict. Das Cookie wird nicht für die Besuchszählung oder für Werbung ausgewertet.
• Speicherdauer: Die Gültigkeit beträgt zwölf Stunden ab Anmeldung und verlängert sich durch weitere Aufrufe nicht. Beim Abmelden wird das Cookie im verwendeten Browser gelöscht. Eine separat aufbewahrte Kopie des Zugangstokens bleibt technisch bis zum Ablauf gültig, solange das Statistik-Passwort unverändert ist.
• Rechtsgrundlagen: Die Speicherung und das Auslesen des unbedingt erforderlichen Zugangscookies erfolgen für den ausdrücklich gewünschten Statistikzugang gemäß § 25 Abs. 2 Nr. 2 TDDDG. Für die Zugriffskontrolle gilt Art. 6 Abs. 1 Buchst. f DSGVO; das berechtigte Interesse ist der Schutz des internen Statistikbereichs.

Ohne dieses Cookie kann die Anmeldung nicht über mehrere Anfragen hinweg aufrechterhalten werden. Das Cookie kann über die Abmeldung oder die Cookie-Einstellungen des Browsers gelöscht werden.

6. Freiwillige Einsendungen per E-Mail

Die Eingabemasken für freiwillige E-Mail-Einsendungen senden keine Formulardaten an den Webserver. Nach dem aktiven Klick auf „per E-Mail vorbereiten“ wird ausschließlich das lokale E-Mail-Programm mit einem Entwurf geöffnet. Erst wenn die Person diesen Entwurf selbst absendet, werden Inhalt und Absenderadresse über die beteiligten E-Mail-Dienstleister übertragen.

Je nach Einsendung können Kommune, Gruppierung, Funktion, freiwillig angegebene Kontakt- und Rückmeldedaten, Antworten, Begründungen, Vorschläge oder Challenge-Ergebnisse verarbeitet werden. Die Angabe persönlicher Daten Dritter, exakter Adressen, Fotos, Schulnamen und vertraulicher Informationen ist nicht erforderlich und soll unterbleiben. Bei Nutzung der aktuellen Formulare wird für Prüfung und Rückmeldung eine ausdrückliche Einwilligung eingeholt (Art. 6 Abs. 1 Buchst. a DSGVO). Bei frei verfassten E-Mails ohne Formular verarbeitet der Betreiber Absender- und Kommunikationsdaten zur Bearbeitung der Anfrage auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO; berechtigtes Interesse ist die Beantwortung eingehender Anliegen. Eine Veröffentlichung setzt stets eine dokumentierte Freigabe voraus. Enthält eine Einsendung personenbezogene Daten, aus denen politische Meinungen einer identifizierbaren Person hervorgehen, verlangt das aktuelle Einsendeformular eine gesonderte ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO. Für ältere Einsendungen muss die Rechtsgrundlage im Einzelfall geprüft werden; eine Freigabe für eine Gruppierung ersetzt nicht automatisch die Einwilligung einer betroffenen Person.

Empfangene E-Mails werden weiterhin über ein privates Gmail-Verbraucherkonto verarbeitet. Dadurch können Absenderadresse, Kommunikationsinhalte und technische E-Mail-Metadaten auch durch Google nach dessen Nutzungsbedingungen und Datenschutzhinweisen verarbeitet werden; eine Ende-zu-Ende-Verschlüsselung wird nicht angeboten. Google bietet für die Verbraucherversion von Gmail keinen Auftragsverarbeitungsvertrag an und handelt dafür nach eigener Auskunft nicht als Auftragsverarbeiter. Insbesondere mögliche Übermittlungen in Drittländer und die datenschutzrechtliche Einordnung dieses Empfangswegs werden weiter fachkundig geprüft. Bitte senden Sie keine vertraulichen Informationen oder Daten Dritter, die für die Einsendung nicht erforderlich sind.

Die Verarbeitung einer freiwilligen Einsendung kann jederzeit für die Zukunft widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Ohne Einsendung kann keine Prüfung, Rückmeldung oder Veröffentlichung erfolgen.

7. Jugendliche und Beiträge

Die Informationsangebote richten sich an Jugendliche und Erwachsene. Die E-Mail-Funktionen für Jugend-Impulse, Demokratie-Challenges und Videovorschläge sowie direkte E-Mail-Rückmeldungen zu Jugendtests dürfen nur von Personen ab 16 Jahren verwendet werden. Die Formulare verlangen eine entsprechende Bestätigung und weisen darauf hin, keine Daten anderer Personen einzutragen. Unter 16-Jährige können die Informationsangebote ohne Einsendung nutzen.

Eine Veröffentlichung von Jugend-Impulsen oder Challenge-Ergebnissen erfolgt nie automatisch. Sie setzt eine zusätzliche, freiwillige Freigabe voraus; vor einer möglichen Veröffentlichung werden Inhalte manuell geprüft und anonymisiert oder weiter verallgemeinert. Eine Weitergabe an eine Kommune oder andere Stelle erfolgt nur nach einer gesonderten individuellen Abstimmung mit der einreichenden Person.

Für einen möglichen Jugendtest können sich Jugendgruppen, Schulen oder betreuende Einrichtungen freiwillig per E-Mail melden. Rückmeldungen zu Navigation, Sprache und Handy-Nutzung dienen der Verbesserung des Angebots. Die Kontakt- und Kommunikationsdaten werden nach Abschnitt 6 und 9 verarbeitet. Eine öffentliche Dokumentation einzelner Vorschläge oder umgesetzter Änderungen erfolgt nur anonymisiert, nach Prüfung und mit gesonderter Freigabe; Namen von Jugendlichen, Einrichtungen und konkrete Testdaten werden nicht automatisch veröffentlicht. Ein Pilotprojekt oder Test wird erst als durchgeführt bezeichnet, wenn er tatsächlich stattgefunden hat.

8. Prüfung und Veröffentlichung politischer Antworten

Veröffentlicht werden nur dokumentiert freigegebene Antworten und Begründungen im Namen der jeweiligen Partei, Fraktion oder Wählervereinigung sowie Kommune, Eingangsdatum und Quellenart. Private Kontaktangaben, Rückmail-Adressen und interne Prüfkommunikation werden nicht veröffentlicht. Die übermittelnden Personen erklären ihre Vertretungsbefugnis und erteilen eine gesonderte Veröffentlichungsfreigabe; diese Erklärungen sind keine unabhängige Prüfung ihres Status. Korrekturen und Widerrufe können über die oben genannte E-Mail-Adresse verlangt werden.

9. Empfänger und Löschfristen

• Hosting- und Sicherheitsprotokolle einschließlich Cloudflare: konkrete Fristen oder überprüfbare Löschkriterien müssen noch vom Hosting-Anbieter bestätigt werden; siehe Abschnitt 3.
• Cloudflare-Sicherheits-Cookie __cf_bm: 30 Minuten Inaktivität; siehe Abschnitt 5.1.
• Statistik-Zugangscookie: zwölf Stunden ab Anmeldung oder bis zur vorherigen Löschung im Browser; siehe Abschnitt 5.2.
• Eigene aggregierte Tageszähler: Bereinigung anhand eines zwei Kalenderjahre zurückliegenden UTC-Stichtags bei weiteren gezählten Seitenaufrufen oder Abruf der geschützten Statistik; ergänzende manuelle Fristenkontrolle durch den Betreiber; siehe Abschnitt 4.
• Freiwillige E-Mail-Einsendungen, private Kontaktangaben sowie Prüf- und Rückmeldedaten: höchstens zwei Jahre nach Abschluss des jeweiligen Vorgangs, soweit sie so lange noch benötigt werden; sonst früher. Der Betreiber überwacht diese Frist und löscht die Daten selbst. Längere gesetzliche Pflichten oder erforderliche Rechtsverteidigung bleiben vorbehalten.
• Öffentlich freigegebene Gruppenpositionen: bis zur Aktualisierung, zum Ende des Angebots oder bis zu einem wirksamen Widerruf, soweit keine überwiegenden rechtlichen Gründe entgegenstehen.
• Dokumentierte Widersprüche gegen Kontaktaufnahme: nur in dem für die dauerhafte Beachtung erforderlichen Mindestumfang.

Empfänger können der Betreiber, OpenAI einschließlich Cloudflare und weiterer eingesetzter Unterauftragsverarbeiter für das Hosting sowie bei einer freiwillig versendeten E-Mail die beteiligten E-Mail-Dienstleister sein. Eine Weitergabe für Werbung, Profilbildung oder Verkauf personenbezogener Daten findet nicht statt.

10. Ihre Rechte und weitere Angaben nach Art. 13 DSGVO

Soweit die gesetzlichen Voraussetzungen erfüllt sind, stehen Ihnen die folgenden Rechte zu. Sie können sie formlos beim Verantwortlichen unter der in Abschnitt 1 genannten E-Mail- oder Postadresse geltend machen. Eine Begründung ist nur erforderlich, soweit das jeweilige Recht dies voraussetzt.

• Auskunft (Art. 15 DSGVO): Sie können erfahren, ob und welche personenbezogenen Daten über Sie verarbeitet werden, und eine Kopie dieser Daten sowie die gesetzlich vorgesehenen Informationen erhalten.
• Berichtigung (Art. 16 DSGVO): Sie können die Korrektur unrichtiger und die Vervollständigung unvollständiger personenbezogener Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung verlangen, etwa wenn Daten für ihren Zweck nicht mehr erforderlich sind oder eine widerrufene Einwilligung die einzige Rechtsgrundlage war. Gesetzliche Ausnahmen, beispielsweise Aufbewahrungspflichten oder erforderliche Rechtsverteidigung, bleiben unberührt.
• Einschränkung (Art. 18 DSGVO): Sie können die Nutzung Ihrer Daten begrenzen lassen, etwa während die bestrittene Richtigkeit geprüft wird oder solange die Abwägung über Ihren Widerspruch noch offen ist.
• Datenübertragbarkeit (Art. 20 DSGVO): Bei automatisierter Verarbeitung auf Grundlage Ihrer Einwilligung oder eines Vertrags können Sie die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten. Soweit technisch möglich, können Sie ihre direkte Übermittlung an einen anderen Verantwortlichen verlangen.
• Widerruf (Art. 7 Abs. 3 DSGVO): Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung wird dadurch nicht berührt.

Widerspruchsrecht nach Art. 21 DSGVO

Sie können jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, der Verarbeitung Ihrer personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO widersprechen. Das betrifft insbesondere die in dieser Erklärung beschriebenen Verarbeitungen für Betrieb und Sicherheit der Website und für die Zugriffskontrolle. Nach einem Widerspruch wird die betreffende Verarbeitung beendet, sofern keine nachgewiesenen zwingenden schutzwürdigen Gründe Ihre Interessen, Rechte und Freiheiten überwiegen und sie nicht zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Ein formloser Hinweis an den Verantwortlichen mit den Gründen Ihrer besonderen Situation genügt.

Personenbezogene Daten werden hier nicht für Direktwerbung verarbeitet. Falls eine solche Verarbeitung erfolgt, besteht dagegen jederzeit ein Widerspruchsrecht ohne Angabe besonderer Gründe.

Beschwerderecht nach Art. 77 DSGVO

Wenn Sie eine Verarbeitung Ihrer personenbezogenen Daten für rechtswidrig halten, können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort des vermuteten Verstoßes. Sie müssen sich dafür nicht zuerst an den Betreiber wenden. Zuständig für den Betreiber ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart, E-Mail: poststelle@lfdi.bwl.de.

Bearbeitung Ihrer Anfrage

Sie erhalten grundsätzlich innerhalb eines Monats nach Eingang eine Antwort. Soweit es wegen der Komplexität oder Anzahl der Anträge erforderlich ist, kann die Frist um zwei weitere Monate verlängert werden; darüber und über die Gründe werden Sie innerhalb des ersten Monats informiert (Art. 12 Abs. 3 DSGVO). Die Bearbeitung ist grundsätzlich unentgeltlich. Bestehen begründete Zweifel an Ihrer Identität, können zusätzliche, dafür erforderliche Informationen angefordert werden.

Pflicht zur Bereitstellung und automatisierte Entscheidungen

Es besteht keine gesetzliche oder vertragliche Pflicht, freiwillige E-Mails zu senden. Beim bloßen Websiteaufruf entstehen jedoch die in Abschnitt 3 beschriebenen technisch notwendigen Daten. Es findet keine automatisierte Entscheidung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung statt.

11. Aktualisierung und Grenzen dieser Hinweise

Diese Hinweise werden bei Änderungen an Hosting, eingesetzten Technologien, dem Empfangsweg für Einsendungen oder der Veröffentlichungspraxis aktualisiert. Eine Datenschutzerklärung ersetzt keine technische Prüfung, einen Auftragsverarbeitungsvertrag oder eine individuelle Rechtsberatung. Die tatsächlich ausgelieferten Technologien und die datenschutzrechtliche Eignung des privaten Gmail-Empfangswegs sind noch fachkundig zu prüfen und zu dokumentieren.