Datenschutzhinweis

Verantwortlich

Eingetragen beim Amtsgericht Münster, VR 5507. Wer den Verein vertritt, steht im Impressum.

Fragen zum Datenschutz gehen an Lucas Nasch, lucas.nasch@ventureclub-muenster.de.

Dein Konto

Die App ist nur für Mitglieder. Ein Konto legt der Vorstand an und lädt dich per Mail an deine Vereinsmail ein; alternativ bekommst du auf der Seite „Zum ersten Mal hier“ einen Code an dieselbe Adresse. Gespeichert werden Name, Vereinsmail, Rolle, Ressort und dein Passwort, Letzteres nur als Hash, aus dem es sich nicht zurückrechnen lässt.

Beim Anmelden setzt die App ein Sitzungscookie. Auf dem Server liegt davon nur ein Hash, dazu die Kennung deines Browsers (User-Agent), damit du deine Geräte unterscheiden kannst. Eine Sitzung gilt 30 Tage und endet beim Abmelden sofort. Gegen das Durchprobieren von Passwörtern zählt die App Fehlversuche und Reset-Anfragen je Vereinsmail und IP-Adresse, je IP-Adresse allein und je Konto. Diese Zähler liegen nur im Arbeitsspeicher der App, gelten höchstens eine Stunde und werden nicht gespeichert.

Rechtsgrundlage ist deine Mitgliedschaft im Verein (Art. 6 Abs. 1 lit. b DSGVO). Platzhalter: Die Zuordnung der Rechtsgrundlagen in diesem Abschnitt wird noch geprüft.

Mitgliederdaten aus easyVerein

Die Mitgliederverwaltung des Vereins läuft in easyVerein. Die App hält eine Kopie davon: Name, Anschrift, Geburtstag, Telefon, Beruf, LinkedIn, Mitgliedsstatus und Zahlungsdaten (IBAN, BIC, abweichender Kontoinhaber, Mandatsreferenz). Gepflegt wird weiter in easyVerein, die App zeigt an und löst keine Zahlung aus.

• Stammdaten sehen Vorstand, Vorsitz und die App-Admins. Deine eigene Zeile nutzt die App außerdem, um deine Anträge (etwa ein Mitgliederzeugnis) vorzufüllen. Aus deinem Eintrittsdatum zeigt die Mitglieder-Wall allen Mitgliedern das Semester (siehe unten).
• Zahlungsdaten sehen der Vorsitz, der Vorstand Finance & Law und die App-Admins. Sie liegen verschlüsselt (AES-256-GCM) in der Datenbank; der Schlüssel liegt nicht in der Datensicherung.
• Ausnahme sind Geburtstage: Startseite und das Widget „Geburtstage“ zeigen allen Mitgliedern Vorname und Tag aktiver Mitglieder, nie Jahr, Alter oder Nachnamen. Wer das nicht möchte, meldet sich beim Vorstand; der Geburtstag wird dann in easyVerein entfernt.
• App-Admins sind die wenigen Personen, die die App betreuen und ohnehin Zugriff auf Server und Datenbank haben.

Rechtsgrundlage ist die Mitgliederverwaltung nach der Satzung (Art. 6 Abs. 1 lit. b DSGVO) und das berechtigte Interesse des Vereins, die Vorstandsarbeit an einem Ort zu führen (Art. 6 Abs. 1 lit. f DSGVO).

Mitglieder-Wall

Unter „Mitglieder“ sehen alle angemeldeten Mitglieder, wer im Verein ist: Profilbild, Name, Team und Rolle, dazu was du über dich einträgst: Studium, Hochschule, Hobbys, Lieblingsbars in Münster, Instagram und LinkedIn. Abgeleitet stehen dort das Semester, seit dem du im Verein bist (aus deinem Eintrittsdatum in easyVerein, nie das Datum selbst), und die Bereiche, für die du in der Liste Verantwortlichkeiten eingetragen bist; Letzteres nur für Mitglieder, die diese Liste sehen dürfen.

• Zweck ist die Vernetzung im Verein. Sichtbar ist dein Profil für aktive Mitglieder mit Konto, nicht für Außenstehende.
• Zum Start hat die App die Angaben übernommen, die es schon gab: Hochschule, Hobbys, Lieblingsbar und Instagram aus der Mitgliederliste in Notion, Studienfach und LinkedIn aus easyVerein. Sie waren sofort für alle aktiven Mitglieder sichtbar, ohne vorherige Einwilligung.
• Ändern kannst nur du selbst, unter „Dein Profil“ auf der Seite Mitglieder oder in den Einstellungen. Ein geleertes Feld verschwindet von der Wall; das ist zugleich dein Widerspruch. Kein Import überschreibt, was du dort pflegst.

Rechtsgrundlage ist das berechtigte Interesse des Vereins, dass sich seine Mitglieder kennen und finden (Art. 6 Abs. 1 lit. f DSGVO).

Coffee Dates

Wenn du dich zu einer Runde Coffee Dates anmeldest, speichert die App deine Anmeldung, die Gruppe, in die du gelost wirst, und ob eure Gruppe sich getroffen hat. Für die Auslosung zählt dein Team, damit sich Leute aus verschiedenen Teams treffen, und frühere Gruppen, damit du nicht zweimal mit denselben Personen gelost wirst.

• Deine Gruppe sehen nur ihre Mitglieder und die Organisierenden (Vorstand und People & Culture). Alle anderen sehen nur Zahlen.
• Die Teilnahme ist freiwillig; bis zum Anmeldeschluss kannst du dich wieder abmelden.
• Frühere Gruppen bleiben gespeichert, solange es die Coffee Dates gibt, damit sich Paare nicht wiederholen.

Rechtsgrundlage ist die Durchführung des Angebots, für das du dich angemeldet hast (Art. 6 Abs. 1 lit. b DSGVO), und das berechtigte Interesse des Vereins, dass sich seine Mitglieder kennenlernen (Art. 6 Abs. 1 lit. f DSGVO).

Was du in der App anlegst

Die App speichert, was Mitglieder in ihr schreiben und hochladen, mit Person und Zeitpunkt:

• Aufgaben, Termine samt deiner Antwort, Events samt deiner Anmeldung, Wiki-Seiten, Teamseiten, Schichtpläne und Feedback. Den Grund einer Absage oder einer unsicheren Antwort sieht nur der Vorstand. Sagst du einen Termin ab, bekommt der Vorstand eine Nachricht mit deinem Namen und dem Termin, ohne den Grund. Trägt ein Event eine Verfügbarkeitsabfrage, sehen alle Mitglieder deine Antwort und was du in ihren Zusatzfeldern angibst.
• Abwesenheiten (Urlaub, Krank, Sonstiges). Der Vorstand sieht, wer in den nächsten zwei Wochen fehlt.
• Dein Lernstand im Startup-ABC: je Begriff, wie oft du richtig und falsch geantwortet hast, die Stufe daraus und wann du ihn zuletzt gelernt hast. Den Stand siehst nur du, es gibt keine Rangliste. Begriffe, die du anlegst, sehen alle Mitglieder mit deinem Konto als Urheber.
• Dein Profilbild, freiwillig. Es wird schon im Browser verkleinert, Standortdaten des Fotos verlassen dein Gerät nicht. Sichtbar ist es für angemeldete Mitglieder.
• Fotos von Events, die Mitglieder hochladen, mit Person und Zeitpunkt des Uploads. Zweck ist, die Fotos eines Events im Verein zu sammeln und zu teilen. Sehen dürfen sie alle aktiven Mitglieder, weitergegeben werden sie nicht. Beim Hochladen entfernt die App alle Metadaten des Fotos, auch den Standort, und behält nur den Aufnahmezeitpunkt. Löschen kann, wer ein Foto hochgeladen hat, und der Vorstand; bist du auf einem Foto und willst es weg haben, wende dich an den Vorstand.
• Mitgliederzeugnisse: Anschrift, Geburtsdatum und -ort, Eintritt, Team, Tätigkeiten und die Unterschrift. Das Bild der Unterschrift wird gelöscht, sobald das PDF erzeugt ist. Sehen dürfen den Antrag du, die zwei unterschreibenden Vorstände und die App-Admins.
• Mitgliederauslagen: IBAN, Kontoinhaber, Beleg und Betrag. Die IBAN liegt verschlüsselt. Sehen dürfen sie du, Finance & Law und die App-Admins.
• SEPA-Lastschriftmandat: die hochgeladene Datei mit Kontoinhaber, IBAN und Unterschrift, dazu wann sie hochgeladen wurde und wann wir dich daran erinnert haben. Die IBAN steht nur in der Datei. Sehen dürfen sie du, der Vorstand, das Team Finance & Law und die App-Admins.
• Die Semesterrückmeldung: Status, Team für das kommende Semester, Notiz und, falls angegeben, IBAN. Die IBAN liegt verschlüsselt und wird gelöscht, sobald die nächste Runde abgeschlossen ist.
• Interviews in der Bewerbungsphase: ob dich der Vorstand zum Interviewen ausgewählt hat, für welche Zeitslots du dich einträgst, welchen Interviews dich der Vorstand zuteilt und deine Notiz und Bewertung dazu. Deine Einträge sieht der Vorstand. Notiz und Bewertung liest mit deinem Namen der Vorstand, und bis zur Entscheidung über die Bewerbung die anderen, die mit dir interviewen.
• Wenn du über die Bewerbungsphase neu dazukommst: seit wann, und welche Schritte der Karte „Erste Schritte“ du abgehakt hast. Dass du über die Bewerbungsphase kamst, sieht der Vorstand in der Mitgliederverwaltung; Datum und abgehakte Schritte zeigt nur deine Startseite.
• Sprachnotizen an Aufgaben und Spielstände der Spiele in der App. Die Rangliste von VCM City zeigt allen Mitgliedern deinen Vornamen.
• Im Zugangstresor des Vereins hält die App fest, wer wann ein Passwort aufgedeckt hat. Das ist ein Sicherheitsprotokoll und wird nicht ausgewertet.

Sitzungen des Vorstands

Vorstandssitzungen können in der App aufgenommen werden; vor dem Start weist die App auf die Aufnahme hin. Transkribiert wird nicht auf dem Server: ein Vorstandsmitglied holt die Aufnahme mit einem Claude-Skill ab und lässt sie auf dem eigenen Rechner über die Whisper-Schnittstelle der OpenAI transkribieren. Nach der Transkription wird das Audio in der App gelöscht. Transkript und Protokoll sieht nur der Vorstand.

Platzhalter: Speicherdauer der Transkripte, wird nachgetragen.

Benachrichtigungen und Mails

Push-Benachrichtigungen schaltest du je Gerät selbst ein. Die App speichert dafür die Adresse, die dein Browser vergibt, und schickt die Nachricht über den Push-Dienst deines Browserherstellers (etwa Apple, Google oder Mozilla) an dein Gerät.

Einladungen, Codes und Passwort-Resets verschickt die App über den Mailanbieter Resend, Versand über die Region Irland. Platzhalter: Sitz des Anbieters Resend und, falls außerhalb der EU, die Grundlage der Übermittlung, wird nachgetragen.

Claude

Du kannst die App als Connector in dein eigenes Claude-Konto einbinden. Claude liest und schreibt dann mit deinen Rechten. Was über den Connector abgerufen wird, landet in deinem Claude-Konto bei der Anthropic PBC; mit diesem Konto hat der Verein keinen Vertrag und keinen Zugriff darauf. Mitgliederzeugnisse und Auslagen sind über den Connector nicht erreichbar. Unter „Einstellungen“ siehst du die verbundenen Anwendungen und kannst sie trennen.

Zwei Funktionen der App fragen Claude direkt über die Anthropic-API: der Vorschlag für die Verteilung eines Schichtplans und Aufgabenvorschläge aus dem Transkript einer Vorstandssitzung. Beim Schichtplan stehen statt der Namen Kürzel (P1, P2 …); Titel und Notizen der Posten und die Notizen der Personen zu ihrer Verfügbarkeit gehen als Text mit, so wie Mitglieder sie geschrieben haben. Bei den Aufgabenvorschlägen gehen Titel, Protokoll und Transkript der Sitzung an Anthropic. Platzhalter: Ob diese beiden Funktionen in der App eingeschaltet sind, wird nachgetragen.

Künstliche Intelligenz im Verein

Der Verein beabsichtigt, Anwendungen der Künstlichen Intelligenz (KI) zur Unterstützung seiner Vereinsarbeit einzusetzen. Die personenbezogenen Daten sollen mit geeigneter KI zu folgenden Zwecken verarbeitet werden dürfen:

• Mitgliederverwaltung und Mitgliederkommunikation
• Planung und Organisation von Veranstaltungen und Vereinsaktivitäten
• Allgemeine Verwaltungs-, Organisations- und Büroarbeiten des Vereins, beispielsweise die Erstellung von Schreiben, Protokollen und E-Mails.

Die Verarbeitung erfolgt unter Beachtung der geltenden Datenschutzbestimmungen (DSGVO). Die KI dient lediglich als Hilfsmittel; wichtige Entscheidungen trifft weiterhin der Verein.

Die Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Aus einer Verweigerung oder einem Widerruf entstehen mir keine Nachteile für meine Mitgliedschaft.

Nutzungsmessung

Damit der Verein weiß, welche Teile der App gebraucht werden, wo Fehler auftreten und wie lange Seiten laden, zählt die App Handlungen über PostHog Cloud EU (Server in Frankfurt). Erfasst wird ausschließlich auf dem Server der App. In deinen Browser kommt dafür kein Skript von PostHog, und auf deinem Gerät wird nichts gespeichert.

Was ankommt:

• Ereignisse wie „Aufgabe angelegt“, „Wiki-Seite gespeichert“, „Termin abgesagt“ oder „Claude-Werkzeug aufgerufen“, mit Eigenschaften, die nur Aufzählungswerte und Zahlen sind (etwa Priorität, Bereich, Dauer). Absagen und Eventanmeldungen werden nur als Zahl ohne Person gezählt.
• Zu deiner Person: eine zufällige Kontonummer, Rolle, Ressort, Kontostatus und ob du App-Admin bist. Nie Name, Vereinsmail, IP-Adresse oder Standort.
• Ladezeiten der Seiten, mit Seitenmuster und Bildschirmklasse, ohne Inhalte.
• Fehler mit technischer Fehlermeldung, aus der Mailadressen entfernt werden.

Nie erfasst werden Texte, Titel, Inhalte, Namen anderer Personen, Zahlungsdaten, Transkripte und das Aufdecken von Zugängen. Personenbezogene Auswertungen (wer was wie oft nutzt) sind ausgeschlossen. Einsehen dürfen die Messung nur die App-Admins; der Mitgliederversammlung wird einmal im Jahr eine Zusammenfassung berichtet.

Rechtsgrundlage ist das berechtigte Interesse des Vereins an Betrieb und Weiterentwicklung seiner App (Art. 6 Abs. 1 lit. f DSGVO). Du kannst jederzeit widersprechen (Art. 21 DSGVO): unter „Einstellungen“, Zeile „Nutzung messen“. Danach wird von dir nichts mehr gezählt; Fehler werden weiter gemeldet, aber ohne Bezug zu dir.

Platzhalter: Speicherdauer der Nutzungsereignisse in PostHog, wird nachgetragen.

Sitzungsaufzeichnung

Nur wenn du ausdrücklich einwilligst, zeichnet die App auf, wie du dich durch sie bewegst: wo du tippst, scrollst und hängenbleibst. Ohne Einwilligung lädt dein Browser dafür nichts.

• Texte, Eingaben und Beschriftungen sind in der Aufzeichnung verdeckt, Bilder und eingebettete Inhalte werden ausgelassen. Lesbar bleibt nur die Navigation.
• Gar nicht aufgezeichnet werden der Zugangstresor, die Mitgliederzeugnisse, die Mitgliederauslagen und die SEPA-Mandate.
• Die Aufzeichnung geht über die Domain der App an PostHog Cloud EU, ohne Cookies, IP-Adresse und Browserkennung. In deinem Browser bleibt nichts gespeichert.
• Die App hält fest, wann du eingewilligt und wann du widerrufen hast.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit unter „Einstellungen“, Zeile „Sitzungen aufzeichnen“, widerrufen; was bis dahin aufgezeichnet wurde, bleibt davon rechtmäßig.

Platzhalter: Speicherdauer der Sitzungsaufzeichnungen in PostHog, wird nachgetragen.

O-Woche-Quiz

Unter app.ventureclub-muenster.de/O-Woche steht ein Quiz, das alle ohne Konto spielen können. Gespeichert werden der Spitzname, den du eingibst, die gezogenen Fragen, deine Antworten mit der Zeit je Frage, Punkte und Zeitpunkt. Spitzname, Auszeichnung, Punkte und Zeit stehen in der Rangliste, die alle sehen, die das Quiz spielen; die App-Admins sehen dazu deine Antworten. Mit einem Spitznamen statt deines Namens lässt sich eine Runde dir nicht zuordnen.

Die Seite zählt, wie oft sie an einem Tag geöffnet wurde, ohne zu speichern, von welchem Gerät. Gegen automatisierte Anfragen zählt die App Aufrufe und Starts je IP-Adresse; diese Zähler liegen nur im Arbeitsspeicher und wirken höchstens eine Stunde. Rechtsgrundlage ist das Interesse des Vereins, das Quiz mit Rangliste anzubieten (Art. 6 Abs. 1 lit. f DSGVO). Eine Runde wird 30 Tage nach ihrem Start gelöscht; die Zahl der Aufrufe je Tag bleibt, sie enthält nichts über dich.

Teamauswahl

Unter app.ventureclub-muenster.de/teamauswahl sagt dir ein sprechender Hut nach ein paar Fragen und Spielen, welches Team des Vereins zu dir passt, ohne Konto. Wenn du alle Fragen beantwortet hast, speichert die App, welche Antwort du je Frage gewählt hast (bei einem Spiel nur die Stufe deines Ergebnisses, nicht das Ergebnis selbst und keine Zeichnung), das daraus berechnete Ergebnis je Team und den Zeitpunkt, ohne Namen, ohne Konto und ohne Kennung deines Geräts. Die App ordnet eine Runde keiner Person zu, und die App-Admins sehen nur die Summen über alle Runden. Allein über das Protokoll des Webservers (siehe „Hosting, Protokolle, Sicherung“) ließe sich eine Runde anhand ihres Zeitpunkts einer IP-Adresse zuordnen, solange dieses Protokoll aufbewahrt wird.

Die Seite zählt, wie oft sie an einem Tag geöffnet wurde, ohne zu speichern, von welchem Gerät. Gegen automatisierte Anfragen zählt die App Aufrufe und gespeicherte Runden je IP-Adresse; diese Zähler liegen nur im Arbeitsspeicher und wirken höchstens eine Stunde. Rechtsgrundlage ist das Interesse des Vereins, die Teamauswahl anzubieten und auszuwerten (Art. 6 Abs. 1 lit. f DSGVO). Runden und die Zahl der Aufrufe je Tag bleiben ohne Löschfrist gespeichert. Auf deinem Gerät legt die Teamauswahl nichts ab.

Speicher auf deinem Gerät

Die App legt auf deinem Gerät nur ab, was sie für ihre Funktion braucht (§ 25 Abs. 2 Nr. 2 TDDDG): das Sitzungscookie, drei Cookies für Ansichten, die du gewählt hast (Aufgaben als Liste oder Board, offene Zweige des Wiki-Baums, die Seitenleiste), im lokalen Speicher und im Sitzungsspeicher des Browsers Bedienzustände (welche Hinweise, Banner und Einführungen du schon gesehen oder weggeklickt hast, wie breit du ein Blatt gezogen hast) und einen Vorrat des Service Workers für die Offline-Seite. Das O-Woche-Quiz merkt sich im lokalen Speicher deinen Spitznamen für die nächste Runde. Werbe- oder Analyse-Cookies setzt die App nicht.

Hosting, Protokolle, Sicherung

Die App, ihre Datenbank und alle hochgeladenen Dateien liegen auf einem Server der Hetzner Online GmbH. Der Webserver davor protokolliert Aufrufe mit IP-Adresse; das Protokoll wird nach Größe rotiert, behalten werden die letzten fünf Dateien zu je 10 MB. Aufrufe von Einladungs- und Passwort-Links werden gar nicht protokolliert. Platzhalter: Speicherdauer der Protokolle der App auf dem Server, wird nachgetragen.

Einmal pro Woche sichert die App Datenbank und Dateien auf demselben Server. Sicherungen werden nach 90 Tagen gelöscht. Die Fotos der Events sind davon ausgenommen und liegen nur einmal auf dem Server.

Empfänger

• Hetzner Online GmbH: Hosting (Auftragsverarbeitung)
• PostHog Inc.: Nutzungsmessung und Sitzungsaufzeichnung, Hosting in der EU (Auftragsverarbeitung)
• Resend: Versand der Mails der App und Empfang der Antworten von Bewerbenden (Auftragsverarbeitung)
• Microsoft: Wer in den Verein aufgenommen ist und sein Vereinskonto anlegt, dessen Name, Team und private Mailadresse gehen dafür an Microsoft 365. Platzhalter: Rolle von Microsoft und Grundlage der Übermittlung, wird nachgetragen.
• Anthropic PBC: Claude-Funktionen der App, siehe oben
• OpenAI: Transkription der Vorstandssitzungen, siehe oben
• der Push-Dienst deines Browserherstellers, wenn du Push einschaltest

Innerhalb des Vereins sehen Daten nur die Personen, die oben jeweils genannt sind.

Übermittlung in Drittländer

Vertragspartner für PostHog ist die PostHog Inc., eine Gesellschaft mit Sitz in den USA, auch wenn die Daten in der EU gespeichert werden. Platzhalter: Grundlage der Übermittlung an die PostHog Inc. in den USA, wird nachgetragen.

Wie lange wir Daten speichern

Daten deines Kontos und was du in der App angelegt hast, bleiben, solange du Mitglied bist. Eine gelöschte Aufgabe liegt 30 Tage im Papierkorb und wird danach samt ihren Sprachnotizen endgültig gelöscht. Wer austritt, verliert den Zugang beim nächsten Abgleich mit easyVerein; laufende Sitzungen enden sofort. Anträge und PDFs der Mitgliederzeugnisse werden nicht gelöscht. Auslagen, Belege und PDFs bleiben vorerst, weil sie Buchungsbelege sind. Fotos von Events bleiben, bis sie jemand löscht oder das Event gelöscht wird. SEPA-Mandate bleiben vorerst ebenfalls, weil der Verein ein Mandat nach der letzten Lastschrift noch aufbewahren muss. Fristen für Meldungen der Nutzungsmessung und der Sitzungsaufzeichnung stehen in deren Abschnitten.

Platzhalter: Löschfristen für Konto, Stammdaten, Zahlungsdaten und Profilbild nach dem Austritt, werden nachgetragen.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen aus berechtigtem Interesse (Art. 21). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib dafür an lucas.nasch@ventureclub-muenster.de oder info@ventureclub-muenster.de.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Zuständig für den Verein ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), ldi.nrw.de.