Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Angaben gemäß Impressum

Tobias Boeck
Dantestr. 10
65189 Wiesbaden
Deutschland
E-Mail: kontakt@mein-kleingartenportal.de

(Sollte identisch mit den Angaben im Impressum sein.)

2. Allgemeines zur Datenverarbeitung

Mein-Kleingartenportal (GartenWarte) ist eine Plattform, über die Kleingartenvereine (KGV) ihre Wartelisten verwalten und Bewerber:innen sich für einen Platz auf einer Warteliste bewerben können. Im Rahmen des Betriebs der Plattform verarbeiten wir personenbezogene Daten von zwei Nutzergruppen:

• Bewerber:innen, die sich auf eine Warteliste eines Vereins bewerben,
• Vereinsvertreter:innen (KGV-Admins), die im Namen ihres Vereins die Warteliste verwalten.

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung der Nutzer:innen oder soweit sie zur Erfüllung eines Vertrags bzw. vorvertraglicher Maßnahmen erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO).

3. Hosting und technische Infrastruktur (AWS)

Unsere Plattform wird über Amazon Web Services (AWS) betrieben, ausschließlich in der Region eu-central-1 (Frankfurt am Main, Deutschland). Dort werden verarbeitet:

• Datenbank (Amazon DynamoDB): alle in dieser Erklärung genannten Bewerber-, Vereins- und Zahlungsdaten
• Anwendungslogik (AWS Lambda, API Gateway): Verarbeitung aller Anfragen an die Plattform
• Authentifizierung (Amazon Cognito): siehe Abschnitt 4
• Auslieferung der Website (CloudFront/S3)
• Protokolldaten (CloudWatch Logs): siehe Abschnitt 9

Anbieter: Amazon Web Services EMEA SARL, Luxemburg. Mit AWS besteht ein Auftragsverarbeitungsvertrag (AWS GDPR Data Processing Addendum), der automatisch Bestandteil der AWS-Nutzungsbedingungen ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technisch fehlerfreien und sicheren Betrieb der Plattform).

4. Registrierung und Nutzerkonto

Für die Nutzung der Plattform als Bewerber:in oder als Vereinsvertreter:in ist ein Nutzerkonto erforderlich. Die Authentifizierung erfolgt über Amazon Cognito (AWS).

Verarbeitete Daten: E-Mail-Adresse, Passwort (verschlüsselt/gehasht gespeichert, uns nicht im Klartext zugänglich), eine eindeutige Nutzerkennung (sub), sowie die Rolle (Bewerber:in oder Vereinsvertreter:in).

Speicherung im Browser: Nach der Anmeldung werden Zugangs-Tokens (technisch notwendig, um Sie eingeloggt zu halten) im LocalStorage Ihres Browsers gespeichert. Diese Tokens enthalten Ihre E-Mail-Adresse und Nutzerkennung. Sie verbleiben dort bis zum Logout bzw. Ablauf der Gültigkeit.

Zweck: Bereitstellung eines persönlichen Zugangs zur Plattform.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

Empfänger: Amazon Web Services als technischer Dienstleister (Auftragsverarbeiter, s. Abschnitt 3).

5. Bewerbung auf eine Warteliste

Wenn Sie sich bei einem Verein auf eine Warteliste bewerben, erheben und verarbeiten wir folgende Daten:

Pflichtangaben: Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Bewerbungsdatum.

Optionale Angaben (je nach Verein): Geburtsdatum, Adresse, Beruf, Staatsangehörigkeit, Familienstand, Anzahl Kinder.

Zweck: Verwaltung Ihrer Bewerbung und Position auf der Warteliste des jeweiligen Vereins, Kommunikation zu Ihrer Bewerbung (z. B. Positionsänderungen).

Empfänger: Der Verein (KGV), bei dem Sie sich beworben haben, sieht Ihre vollständigen Bewerberdaten in seinem Verwaltungsbereich. Eine Weitergabe an andere Vereine erfolgt nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anfrage hin).

Besonderheit bei Alt-Beständen (manuell erfasste Bewerber:innen): Vereine können Bewerber:innen aus Papierlisten manuell in die Plattform übertragen, auch ohne dass zu diesem Zeitpunkt bereits ein Nutzerkonto der betroffenen Person besteht. In diesem Fall ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Vereins an der Fortführung seiner bestehenden Warteliste). Betroffene Personen werden per E-Mail eingeladen, ein Konto zu verknüpfen; sobald dies geschehen ist, werden ihre Daten vorrangig von ihnen selbst über ihr Nutzerprofil gepflegt.

6. Zahlungsabwicklung (Stripe)

Für eventuelle Bewerbungsgebühren nutzen wir den Zahlungsdienstleister Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin D02 H210, Irland.

Verarbeitete Daten: Ihre E-Mail-Adresse sowie eine interne Zuordnungs-ID werden an Stripe übermittelt. Zahlungsdaten (z. B. Kartennummer) geben Sie direkt auf der von Stripe bereitgestellten, gesicherten Checkout-Seite ein – diese Daten laufen zu keinem Zeitpunkt über unsere eigenen Server.

Zweck: Abwicklung Ihrer Zahlung der Bewerbungsgebühr.

Empfänger: Stripe, als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO (Stripe-Datenschutz- Infopack/DPA).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Zahlungsbezogene Daten werden zusätzlich auf Grundlage gesetzlicher Aufbewahrungspflichten verarbeitet (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB).

Drittlandbezug: Unser Vertragspartner Stripe Payments Europe, Limited hat seinen Sitz in Irland (EU). Da der Stripe-Konzern jedoch global tätig ist, kann eine Verarbeitung Ihrer Daten auch durch verbundene Unternehmen bzw. Unterauftragsverarbeiter außerhalb der EU/des EWR (u. a. USA) erfolgen. Stripe stellt hierfür Standardvertragsklauseln (SCC) der EU-Kommission als Garantie bereit.

Vereine, die Zahlungen über die Plattform erhalten, richten hierfür ein eigenes, mit Stripe verbundenes Konto ein (Stripe Connect); ihre Bankverbindung erfassen sie direkt bei Stripe, nicht bei uns.

7. E-Mail-Versand (Resend)

Für den Versand von E-Mails (z. B. Einladungen, Zahlungsbestätigungen, Benachrichtigungen über Positionsänderungen) nutzen wir den Dienst Resend, betrieben von Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, Vereinigte Staaten.

Verarbeitete Daten: E-Mail-Adresse, Vorname, sowie je nach E-Mail-Typ Ihre Warteliste-Position bzw. der Betrag Ihrer Zahlung.

Zweck: Zustellung transaktionsbezogener E-Mails im Zusammenhang mit Ihrer Bewerbung.

Empfänger: Resend, als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO (Resend DPA). Die für Resend zuständige Datenschutz-Aufsichtsbehörde ist laut DPA die Data Protection Commission (DPC), Dublin, Irland.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Drittlandbezug: Resend (Plus Five Five, Inc.) hat seinen Sitz in den USA, also außerhalb der EU/des EWR. Die Verarbeitung Ihrer E-Mail-Daten erfolgt technisch über eine Infrastruktur mit Routing in Irland (EU); ein Zugriff durch das US-Mutterunternehmen ist dennoch nicht ausgeschlossen. Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln (SCC) der EU-Kommission, die im Auftragsverarbeitungsvertrag (DPA) mit Resend vereinbart sind.

8. Cookies, LocalStorage und SessionStorage

Wir setzen keine Cookies zu Tracking- oder Analysezwecken ein. Es werden auch keine Cookies zur Werbe- oder Reichweitenmessung verwendet.

Zur technischen Funktion der Plattform verwenden wir folgende browserseitige Speicherung, die keiner Einwilligung nach § 25 TTDSG bedarf, da sie technisch notwendig ist (§ 25 Abs. 2 Nr. 2 TTDSG):

Wir setzen kein Google Analytics, keinen Google Tag Manager, kein Facebook/Meta Pixel und keine sonstigen Tracking- oder Analysewerkzeuge ein. Es findet keine Profilbildung und kein Tracking über mehrere Websites hinweg statt.

Schriftarten (Google Fonts „Inter") werden beim Bau der Website lokal eingebunden und von unseren eigenen Servern ausgeliefert; es findet keine Verbindung zu Google-Servern beim Aufruf unserer Seite statt.

9. Server-Logfiles

Bei jedem Aufruf unserer Plattform werden aus technischen Gründen automatisch bestimmte Informationen durch unsere Infrastruktur (AWS API Gateway, CloudFront) verarbeitet, u. a. IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Adresse. Diese Verarbeitung ist für den sicheren und stabilen Betrieb technisch erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit und Fehleranalyse).

Speicherdauer: Technische Protokolle (CloudWatch Logs) werden für 30 Tage aufbewahrt (API-Handler, Cognito-Trigger, Next.js-Server- und Revalidation-Functions sowie API-Gateway-Access-Logs). Für die Bildoptimierungs-Funktion beträgt die Aufbewahrungsdauer 3 Tage.

Im Fehlerfall können zudem technische Fehlermeldungen in unserem internen Protokollsystem (Amazon CloudWatch) erfasst werden, die in Einzelfällen Teile Ihrer Eingabedaten enthalten können. Der Zugriff hierauf ist auf den Betreiber beschränkt.

10. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist:

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

11. Weitergabe von Daten zwischen Bewerber:innen und Vereinen

Der Verein, bei dem Sie sich bewerben, erhält Zugriff auf Ihre vollständigen Bewerberdaten (s. Abschnitt 5), da er die Warteliste in eigener Verantwortung verwaltet. Sobald Sie Ihr Nutzerkonto mit Ihrem Wartelisten-Eintrag verknüpft haben, sind Sie selbst die führende Quelle für Ihre persönlichen Daten; der Verein kann diese Angaben dann nicht mehr eigenmächtig ändern.

Im Verhältnis zum jeweiligen Verein verarbeiten wir diese Daten als Auftragsverarbeiter des Vereins (Art. 28 DSGVO). Mit Vereinen, die unsere Plattform nutzen, schließen wir hierfür einen gesonderten Auftragsverarbeitungsvertrag ab.

12. Empfänger und Kategorien von Empfängern (Zusammenfassung)

• Amazon Web Services (Hosting, Infrastruktur) – Auftragsverarbeiter, Verarbeitung in Frankfurt/Deutschland
• Stripe (Zahlungsabwicklung) – Auftragsverarbeiter, ggf. Drittlandbezug mit SCC
• Resend (E-Mail-Versand) – Auftragsverarbeiter, ggf. Drittlandbezug mit SCC
• Der jeweilige Kleingartenverein, bei dem Sie sich beworben haben

Eine Weitergabe an sonstige Dritte, insbesondere zu Werbezwecken, findet nicht statt.

13. Ihre Rechte als betroffene Person

Sie haben im Rahmen der gesetzlichen Vorgaben folgende Rechte:

• Auskunft (Art. 15 DSGVO) über die von uns verarbeiteten Daten
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten
• Löschung (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen

Zur Ausübung Ihrer Rechte wenden Sie sich an die in Abschnitt 1 genannte Kontaktadresse.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Postfach 3163
65021 Wiesbaden

14. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen, u. a. Verschlüsselung der Datenübertragung (TLS), Zugriffsbeschränkungen auf Vereins- bzw. Nutzerebene sowie Verarbeitung ausschließlich innerhalb der EU-Infrastruktur von AWS.

15. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, sofern sich die Rechtslage, unsere Leistungen oder die Datenverarbeitung ändern. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs aktuelle Fassung.

Dieser Entwurf wurde auf Basis einer technischen Analyse des Projekts (Stand: 2. August 2026) erstellt und ersetzt keine individuelle Rechtsberatung.