Datenschutzerklärung

Verantwortlich ist die Political and Economic Education Association e.V. (peca), Eckenheimer Landstraße 67, 60318 Frankfurt am Main, eingetragen im Vereinsregister des Amtsgerichts Frankfurt am Main unter VR 17368, vertreten durch den Vorstand: Stefan Daniel Reimann, André Luis Fischer, Ben Knappe, Kerim Ibrisim und Malte Mezger.

Kontakt in allen Datenschutzfragen: kontakt@peca-ev.com. Weitere Angaben im Impressum.

peca organisiert kostenlose Exkursionen zu Politik und Wirtschaft für junge Menschen, deren Familien sich eine solche Fahrt sonst nicht leisten könnten. Über die Plattform bewerben sich junge Menschen, Schulen schlagen junge Menschen vor, Sorgeberechtigte stimmen der Teilnahme zu, und unser ehrenamtliches Orga-Team wählt aus und organisiert die Fahrt.

Über die Teilnahme entscheiden Menschen aus unserem Team nach Bewerbung und Gespräch. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

Konto: E-Mail-Adresse, Passwort (nur als kryptografischer Hash, nie im Klartext), Vor- und Nachname, Geburtsdatum, Postleitzahl und Wohnort sowie – falls du sie angibst – Klasse, Schule, Handynummer und wie du von uns erfahren hast.

Bewerbung: deine Motivation, die E-Mail-Adresse eines Elternteils (nur wenn du am ersten Tag der Exkursion noch nicht volljährig bist) und deine Bestätigung, dass deine Familie eine solche Fahrt sonst nicht bezahlen könnte. Einen Nachweis dafür verlangen und speichern wir nicht; wir sprechen im Kennenlerngespräch darüber.

Zu jeder Bewerbung speichern wir außerdem, in welchem Schritt sie steht (z. B. „in der Auswahl“, „Zusage“), wann sich das geändert hat und – nur für unser Team sichtbar – interne Notizen zur Auswahl. Nach der Exkursion kannst du uns freiwillig eine Bewertung und einen Kommentar geben.

Zweck ist die Auswahl der Teilnehmenden und die Organisation und Durchführung der Exkursion. Das Geburtsdatum brauchen wir, um Altersgrenzen zu prüfen und festzustellen, ob die Zustimmung der Sorgeberechtigten nötig ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Teilnahmeverhältnisses bzw. vorvertragliche Maßnahmen auf deine Anfrage); für freiwillige Angaben und das Feedback Art. 6 Abs. 1 lit. a DSGVO.

Die Pflichtfelder sind nötig, damit wir deine Bewerbung bearbeiten können. Ohne sie ist eine Bewerbung nicht möglich.

Nach einer Zusage erhalten die Sorgeberechtigten – bei Volljährigen die Person selbst – per E-Mail einen persönlichen Link. Darüber werden erfasst: Name und Telefonnummer der zustimmenden Person, Name und Telefonnummer eines Notfallkontakts, die Zustimmung zur Teilnahme sowie freiwillig Allergien und Unverträglichkeiten, Medikamente, Ernährungsweise, Krankenversicherung, ob Schwimmen erlaubt ist und ob Fotos für unsere Öffentlichkeitsarbeit verwendet werden dürfen. Optional kann ein Dokument hochgeladen werden, etwa ein Allergiepass.

Bei Minderjährigen bestätigen die Sorgeberechtigten ihre Handynummer mit einem Code, den wir per SMS schicken. So stellen wir sicher, dass die Zustimmung wirklich von ihnen kommt. Gespeichert werden dafür die Nummer und eine verschlüsselte Prüfsumme des Codes; beides löschen wir nach der Bestätigung, spätestens nach einem Tag.

Zweck ist die sichere Durchführung der Exkursion: Wir müssen im Notfall jemanden erreichen und wissen, worauf wir bei Essen, Medikamenten und Aktivitäten achten müssen. Rechtsgrundlage für Kontakt- und Notfalldaten ist Art. 6 Abs. 1 lit. b DSGVO. Gesundheitsangaben verarbeiten wir ausschließlich auf Grundlage der ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die im Formular gesondert erteilt wird. Die Fotoeinwilligung beruht auf Art. 6 Abs. 1 lit. a DSGVO.

Volljährige Teilnehmende können freiwillig einwilligen, dass wir sie mit ihrer Handynummer zur WhatsApp-Gruppe der Exkursion hinzufügen (Art. 6 Abs. 1 lit. a DSGVO). In der Gruppe sehen alle Mitglieder die Nummer. WhatsApp wird von der WhatsApp Ireland Ltd. betrieben, die Daten auch an die Meta Platforms, Inc. (USA) übermittelt; Grundlage ist der Angemessenheitsbeschluss der EU-Kommission für die USA (EU-U.S. Data Privacy Framework). Die Einwilligung kann jederzeit widerrufen werden, die Gruppe lässt sich auch selbst verlassen. Nach der Exkursion lösen wir die Gruppe auf.

Wer als Notfallkontakt eingetragen wird, sollte darüber informiert sein. Wir nutzen diese Angaben ausschließlich, um im Notfall während der Exkursion anzurufen.

Wer das sieht: ausschließlich unser Orga-Team. Die Angaben sind für andere Nutzer:innen der Plattform – auch für Schulen – technisch nicht erreichbar. Unterwegs nutzt die Betreuung eine Teilnehmerliste mit Notfallkontakten und Gesundheitsangaben, die nach der Fahrt vernichtet wird.

Löschung: Gesundheitsangaben, Notfallkontakt und hochgeladene Dokumente löschen wir automatisch 30 Tage nach dem Ende der Exkursion.

Schulkonto: E-Mail-Adresse, Passwort (als Hash), Name und Schulform, Anschrift, Name der Ansprechperson und Telefonnummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Vorschläge: Schulen können uns junge Menschen vorschlagen. Dabei erhalten wir Vor- und Nachname, E-Mail-Adresse, Klasse und eine kurze Begründung der Schule. Diese Daten stammen nicht von der vorgeschlagenen Person selbst. Wir verwenden sie ausschließlich, um sie einmalig per E-Mail zur Bewerbung einzuladen; die Einladung nennt die vorschlagende Schule. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, unser kostenloses Angebot gerade die Jugendlichen erreichen zu lassen, für die es gedacht ist. Ob sie sich bewirbt, entscheidet die Person selbst. Die Begründung sieht nur unser Team.

Registriert sich eine vorgeschlagene Person, sieht die Schule, in welchem Schritt ihre Bewerbung steht – nicht aber Motivation, Kontaktdaten, Elternangaben oder Gesundheitsangaben.

Für Mitglieder unseres Orga-Teams speichern wir Name, E-Mail-Adresse, Telefonnummer und Zuständigkeiten sowie, bei welchen Exkursionen sie betreuen. Team-Konten entstehen nur durch Einladung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (ehrenamtliche Tätigkeit im Verein). Die Telefonnummer der Betreuung kann Teilnehmenden für die Fahrt genannt werden.

Wir verschicken E-Mails nur anlassbezogen zu einer laufenden Bewerbung, nicht als Newsletter und nicht zu Werbezwecken: Bestätigung von Konto und Bewerbung, Mitteilungen zu jedem Schritt (Auswahl, Zusage, Warteliste, Absage), den Zustimmungslink und bis zu zwei Erinnerungen daran, Programm und Packliste, Erinnerungen eine Woche und einen Tag vor der Abfahrt sowie nach der Fahrt die Bitte um Feedback. Bewerber:innen können den Zustimmungslink höchstens einmal am Tag erneut an ihre Eltern schicken lassen.

Zu jeder Nachricht speichern wir Empfängeradresse, Anlass, Betreff, Zeitpunkt und ob die Zustellung geklappt hat – nicht den Inhalt. Das Protokoll dient dem Nachweis des Versands und verhindert doppelte Mails; es ist nur für unser Team einsehbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Fotos von früheren Exkursionen veröffentlichen wir nur mit Einwilligung der abgebildeten Personen, bei Minderjährigen auch der Sorgeberechtigten (Art. 6 Abs. 1 lit. a DSGVO, § 22 KUG). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; dann entfernen wir das Foto.

Supabase (Supabase, Inc., USA) betreibt Datenbank, Anmeldung und Dateispeicher. Der Serverstandort ist Frankfurt am Main.

Vercel (Vercel, Inc., USA) hostet die Website. Die Serverfunktionen laufen in Frankfurt am Main. Beim Abruf fallen technisch notwendige Verbindungsdaten wie die IP-Adresse an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse am sicheren und stabilen Betrieb der Seite.

Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich) versendet unsere E-Mails und die SMS mit dem Bestätigungscode. Übermittelt werden Empfängeradresse bzw. Handynummer, Name und Inhalt der jeweiligen Nachricht. Die Verarbeitung findet in der EU statt.

GitHub (GitHub, Inc., USA) speichert unsere wöchentlichen Sicherungskopien der Datenbank. Sie werden verschlüsselt, bevor sie GitHub erreichen; den Schlüssel zum Öffnen hat ausschließlich peca e.V. Zweck ist die Wiederherstellung der Daten nach einem technischen Ausfall (Art. 6 Abs. 1 lit. f DSGVO und Art. 32 DSGVO).

Mit allen Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Da Supabase, Vercel und GitHub ihren Sitz in den USA haben, ist ein Zugriff aus den USA nicht ausgeschlossen. Grundlage dafür sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, soweit der Anbieter zertifiziert ist, das EU-U.S. Data Privacy Framework (Art. 45 DSGVO).

Wir setzen ausschließlich technisch notwendige Cookies für die Anmeldung; ohne sie könntest du nicht eingeloggt bleiben (§ 25 Abs. 2 Nr. 2 TDDDG). Wir verwenden keine Cookies für Werbung, keine Analysewerkzeuge, keine Tracker Dritter und kein Profiling. Deshalb gibt es auch kein Cookie-Banner.

• Gesundheitsangaben, Notfallkontakt, Dokumente: automatisch 30 Tage nach dem Ende der Exkursion.
• Bewerbungen samt Schritten, internen Notizen und Feedback: automatisch 12 Monate nach dem Ende der Exkursion.
• Schulvorschläge: automatisch nach 6 Monaten.
• Mailprotokoll: automatisch nach 12 Monaten.
• Konten von jungen Menschen und Schulen: bis du die Löschung verlangst. Schreib uns dafür an kontakt@peca-ev.com; wir löschen dann Konto und alle zugehörigen Bewerbungen.
• Team-Konten: bis zum Ausscheiden aus dem Orga-Team.
• Verschlüsselte Sicherungskopien: automatisch nach 90 Tagen. Bis dahin können sie Daten enthalten, die in der Plattform selbst schon gelöscht sind; sie werden nur zur Wiederherstellung nach einem Ausfall geöffnet.

Gesetzliche Aufbewahrungspflichten, etwa für Buchungsbelege des Vereins, bleiben unberührt.

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine Einwilligung – etwa zu Gesundheitsangaben oder Fotos – kannst du jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Bei Minderjährigen können diese Rechte auch die Sorgeberechtigten ausüben.

Schreib uns dafür an kontakt@peca-ev.com. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.