Offener Punkt — keine endgültige AngabeEntwurf zur rechtlichen und sprachlichen Prüfung. Keine endgültige Fassung. Name, Steuernummer und Anschrift wurden übernommen. Dieser Text ist kein Rechtsgutachten und keine Erklärung der Konformität mit der DSGVO oder der LOPDGDD.
Datenschutzrichtlinie
Diese Erklärung beschreibt die Verarbeitungen, die der Code der Website heute vornimmt. Wo eine Angabe, Rechtsgrundlage oder Frist nicht bestätigt ist, ist sie als offen gekennzeichnet. Die Veröffentlichung bedeutet nicht, dass DSGVO oder LOPDGDD vollständig erfüllt sind.
Verantwortliche Person
Verantwortlich für die Verarbeitung ist JUAN JOSE MENA CASANOCA, natürliche Person, NIF 46754258L.
Anschrift: Bajada de Gomis número 1, 08023 Barcelona, Spanien.
Kontakt: hola@adoptaunebiker.com.
Welche Daten bei der Anmeldung erhoben werden
Das Anfrageformular fragt: Vorname, Nachname, E-Mail, Land, Stadt, ob du in einer Disziplin erfahren oder Einsteiger bist, interessierende Disziplinen, Rad, wie du fährst und was du suchst, sowie die Sprache der Anfrage.
Ein Entwurf liegt nur im Browser (sessionStorage) dieses Tabs, bis du sendest oder schließt. Vor dem Senden geht nichts an den Server.
Anfragen, Mitglieder und Anmeldung
Die Anfrage wird gespeichert, damit die Organisation sie prüfen kann. Wird sie abgelehnt oder gelöscht, sendet der Code keine E-Mail an die antragstellende Person. Die Zeile bleibt in der Datenbank, bis sie von Hand gelöscht wird.
Wird sie angenommen, entstehen Konto und Profil, und eine operative E-Mail mit dem Zugang wird gesendet. Die angenommene Anfrage wird nicht gelöscht: sie wird als angenommen markiert. Die erste Anmeldung verlangt eine Passwortänderung.
Die Organisation kann die Karteikarte aktualisieren, einen Platz aktivieren oder deaktivieren, das Passwort zurücksetzen und interne Hinweise hinterlassen. Die Deaktivierung macht den Platz inaktiv und sperrt den Intranet-Zugang; sie löscht das Profil nicht von selbst.
E-Mails
Heute werden nur operative E-Mails gesendet: Willkommen bei Annahme einer Anfrage und Hinweis bei Passwortzurücksetzung. Diese Nachrichten sind nötig, um Anfragen, Konten und den Betrieb der Gemeinschaft zu führen.
Es gibt keinen Newsletter und keine Werbung. Es wird keine Marketing-Einwilligung eingeholt, weil dieser Zweck nicht aktiv ist. Wird später ein Newsletter angeboten, werden diese Richtlinie und der Einwilligungsmechanismus überprüft.
Strava
Die Verbindung mit Strava ist freiwillig und optional und nur für angemeldete Mitglieder verfügbar. Die Website fragt Lesezugriff auf Profil und Aktivitäten an. Diese Zugangserlaubnis wird bei Strava erteilt; sie ist für sich genommen nicht die Rechtsgrundlage der späteren Verarbeitung dieser Daten bei Adopta un eBiker.
Gespeichert werden Athleten-ID, Name, Zugriffs- und Erneuerungstoken sowie bis zu vierzig Radtouren (Name, Typ, Distanz, Höhenmeter, Zeit, Datum, zusammengefasste Linie, Link und ob privat).
Nicht private Touren können auf der Peloton-Karteikarte gesehen werden. Beim Trennen werden das lokale Konto und gespeicherte Aktivitäten gelöscht, und der Zugriff bei Strava wird nach Möglichkeit widerrufen.
Heute beteiligte Anbieter
Offener Punkt — keine endgültige Angabe
Die folgenden Dienste erscheinen im Code oder in der aktuellen Bereitstellung. Jeder dient einem anderen Zweck, und nicht alle verarbeiten dieselben Daten. Genauer Standort, Auftragsverarbeitung und internationale Übermittlungen müssen anhand ihrer Verträge und der tatsächlichen Projektkonfiguration bestätigt werden.
- Hosting der Website: Vercel. Kann technische Besuchsdaten verarbeiten (zum Beispiel IP-Adresse und Anfrageprotokolle), um die Seiten auszuliefern.
- Datenbank und Authentifizierung: Supabase. Speichert Anfragen, Profile, interne Hinweise, Strava-Konten und Mitgliedersitzungen.
- Operativer E-Mail-Versand: Resend. Empfängt E-Mail und Name, wenn eine Anfrage angenommen oder ein Passwort zurückgesetzt wird.
- Strava, nur wenn das Mitglied das Konto verbindet. Empfängt die Zugangserlaubnis und kann Athletendaten nach eigenen Bedingungen verarbeiten.
- Tourenkarten: OpenStreetMap-Kacheln über Leaflet, nur im Intranet, wenn eine Linie gezeigt wird. Der Browser fordert die Kacheln beim Kartenanbieter an; diese Website sendet ihm nicht deine Mitgliedskarteikarte.
Analyse
Google Analytics ist für später vorgesehen, aber weder konfiguriert noch geladen. Es gibt keine Mess-ID. Das Akzeptieren von Cookies schaltet Analyse nicht ein, solange diese ID fehlt.
Wird es später eingeschaltet, wird vorher eine Einwilligung eingeholt, soweit erforderlich, und diese Richtlinie wird aktualisiert. Heute gibt es keine aktive Analyseverarbeitung.
Sicherheit und Protokolle
Der Intranet-Zugang erfordert Authentifizierung. Server-Fehlerprotokolle werden gekürzt, damit E-Mails, Passwörter und Token nicht im Klartext bleiben.
Diese technischen Protokolle unterscheiden sich von operativen Anfrage- und Profildaten und von Sicherungen, die der Datenbankanbieter anlegen kann. Kein Protokoll in diesem Code ist für sich ein vollständiger Rechtsnachweis.
Speicherung
Offener Punkt — keine endgültige Angabe
Die Absicht der verantwortlichen Person ist, Anfragen und personenbezogene Daten höchstens sechs Monate zu behalten, soweit das mit dem Zweck und geltenden Pflichten vereinbar ist.
Diese Sechs-Monats-Frist gilt nicht für Daten, die nötig sind, um ein aktives Konto zu führen, den Dienst zu erbringen oder eine Pflicht oder einen Anspruch zu bearbeiten. Der Code wendet diese Regeln an: ein wöchentlicher Auftrag listet Kandidaten. Der erste Lauf ist eine Simulation, bis eine Löschung bestätigt wird. Bereits abgelehnte oder inaktive Zeilen starten die Frist bei der Migration, nicht bei der Anmeldung.
Die folgende Tabelle beschreibt, was der Code tut. Sie behauptet nicht, dass bereits eine unumkehrbare Massenlöschung gelaufen ist.
| Kategorie | Was heute passiert | Vorgeschlagenes Kriterium | Ereignis, das die Frist startet | Automatische Löschung |
|---|---|---|---|---|
| Abgelehnte Anfragen | Die Zeile bleibt. Die Ablehnung wird in rejected_at datiert | Sechs Monate ab Ablehnung | Datum, an dem die Anfrage als abgelehnt markiert wird (rejected_at) | Ja, wenn kein Hold besteht und der wöchentliche Auftrag die Löschung bestätigt |
| Abgebrochene Anfragen | Es gibt keine Kategorie «abgebrochen». Eine offene Anfrage bleibt | Sie gilt nicht als abgebrochen. Sie bleibt bis zu einer menschlichen Entscheidung | Entfällt. Keine nachprüfbare operative Regel für einen Abbruch | Nein. Offene Anfragen werden nicht gelöscht |
| Anfragen ohne Entscheidung | Sie werden zur Prüfung aufbewahrt | Solange sie bearbeitet werden. Ohne Entscheidung gilt die vorgeschlagene Sechs-Monats-Frist | Absenden der Anfrage oder letzte Handlung der Organisation | Nein |
| Angenommene Anfragen | Die Zeile wird als angenommen markiert. Nützliche Daten werden ins Profil kopiert | Solange der Platz existiert, kann die Anfrage den Originaltext behalten. Wird der inaktive Platz gelöscht oder bleibt die Anfrage länger als sechs Monate ohne Profil, werden personenbezogene Felder anonymisiert. Die Zeile bleibt als Beleg ohne Kontaktdaten, außer bei einem Hold | Annahme der Anfrage. Die Anonymisierung folgt der Deaktivierung des Mitglieds oder dem Verwaistsein | Die Zeile wird nicht gelöscht. Sie wird anonymisiert, wenn das Mitglied gelöscht wird oder die Anfrage verwaist ist |
| Mitglieder mit aktivem Konto | Profil, Authentifizierung und, falls vorhanden, interne Hinweise | Solange der Platz aktiv ist und der Dienst diese Daten braucht. Die Sechs-Monats-Frist gilt nicht | Anlage des Platzes. Die Löschfrist beginnt nicht, solange das Konto aktiv ist | Nein. Das Löschen dieser Daten würde den Dienst verhindern |
| Deaktivierte Konten | Das Profil bleibt inaktiv; der Zugang wird gesperrt | Sechs Monate ab Deaktivierung, sofern keine Pflicht oder kein Anspruch läuft | Wechsel auf inaktiv (deactivated_at). created_at wird nicht verwendet | Ja, wenn kein Hold besteht und der wöchentliche Auftrag die Löschung bestätigt |
| Strava-Verbindung und Tourendaten | Werden gespeichert, solange die Verbindung aktiv ist | Solange das Mitglied die Verbindung hält. Beim Trennen werden sie auf dieser Website gelöscht | Verbinden oder Trennen durch das Mitglied | Ja beim Trennen: lokales Konto und Aktivitäten werden gelöscht und der Zugriff bei Strava wird nach Möglichkeit widerrufen. Keine monatsweise Frist |
| Technische und Sicherheitsprotokolle | Gekürzte Fehlerprotokolle auf Server oder Hosting | Die kürzeste Zeit, die zur Diagnose und zum Schutz des Dienstes nötig ist. Noch festzulegen | Jeder Vorfall oder jede Anfrage | Wird von diesem Code nicht gesteuert |
| Sicherungen | Außerhalb dieses Codes; sie hängen vom Datenbank- oder Hostinganbieter ab | Beim Anbieter zu bestätigen. Sie können eine operative Löschung überdauern | Sicherungsturnus des Anbieters | Wird von dieser Anwendung nicht gesteuert |
| Rechtliche Pflichten oder Ansprüche | retention_hold kann auf Anfrage oder Profil gesetzt werden. Das Mitglied kann es nicht entfernen | Die Zeit, die für diese Pflicht oder diesen Anspruch nötig ist, auch über sechs Monate hinaus | Tatsache, aus der die Pflicht oder der Anspruch entsteht | Eine Löschung nach sechs Monaten wird nicht zugesagt |
Wie die sechs Monate angewandt werden
Offener Punkt — keine endgültige Angabe
Der Code unterscheidet abgelehnte, offene und angenommene Anfragen und löscht keine aktiven Konten und keine Administratoren. Ein wöchentlicher Auftrag listet Kandidaten. Eine echte Löschung braucht Bestätigung in API und SQL. Der erste Lauf löscht nicht in Masse ohne Prüfung der Liste.
Sicherungen des Anbieters können eine operative Löschung überdauern. Ein rechtlicher Hold stoppt Löschung und Anonymisierung.
Rechte
Du kannst Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung und Datenübertragbarkeit verlangen, soweit sie gelten, unter hola@adoptaunebiker.com.
Du kannst dich auch an die zuständige Aufsichtsbehörde wenden. In Spanien ist das die Agencia Española de Protección de Datos. Dieser Absatz ersetzt nicht die Prüfung, welche Behörde in jedem Fall zuständig ist.
Minderjährige
Offener Punkt — keine endgültige Angabe
Das vorgesehene Mindestalter für die Nutzung ist 18 Jahre. Das Formular prüft das Alter nicht. Diese Vorgabe muss rechtlich geprüft werden, bevor sie als endgültige Klausel gilt.
Verarbeitungsmatrix (Vorschlag, nicht bestätigt)
Offener Punkt — keine endgültige Angabe
Die folgende Tabelle ist ein Vorschlag zur rechtlichen Prüfung. Sie verwendet nicht eine einzige Grundlage für alle Verarbeitungen. Sie behauptet nicht, dass diese Grundlagen bestätigt sind oder dass das Gemeinschaftsmodell in jedem Fall ein Vertrag ist.
| Zweck | Vorgeschlagene Grundlage | Begründung | Was der Person mitgeteilt wird | Offene rechtliche Entscheidung |
|---|---|---|---|---|
| Beitrittsanfragen bearbeiten | Vorvertragliche Maßnahmen auf Antrag der Person | Die Person sendet das Formular, damit die Aufnahme geprüft wird. Ohne diese Daten kann die Anfrage nicht bewertet werden | Verantwortliche Person, Zweck, dass es kein Marketing gibt, und Link zu dieser Richtlinie | Bestätigen, dass die Aufnahme als vorvertragliche Maßnahme und nicht als pauschale Einwilligung behandelt werden kann |
| Dienst erbringen und aktive Konten führen | Durchführung der Beziehung zum Mitglied und Maßnahmen, die zur Leistung nötig sind | Nach der Annahme braucht es Profil, Authentifizierung und Platzstatus, um das Intranet zu nutzen | Dass ein Platz ein Konto, eine im Intranet sichtbare Karteikarte und operative E-Mails bedeutet | Bestätigen, ob diese Beziehung ein Vertrag nach Art. 6 Abs. 1 lit. b DSGVO oder eine andere Grundlage ist, je nach tatsächlichem Dienstmodell |
| Operative Zugangs- oder Passwort-E-Mails | Für dieselbe Beziehung erforderlich | Ohne Willkommens- oder Zurücksetzungsmail kann der Zugang nicht übergeben oder wiederhergestellt werden. Das sind keine Werbebotschaften | Dass nur operative Nachrichten gesendet werden und dass es keinen Newsletter gibt | Bestätigen, dass für diese Sendungen keine Marketing-Einwilligung nötig ist |
| Sicherheit, Missbrauchsschutz und Kontoschutz | Berechtigtes Interesse, noch zu dokumentieren | Zweck: Zugang schützen. Notwendigkeit: authentifizierte Sitzung und gekürzte Fehlerprotokolle. Abwägung: Sicherheit wird erwartet; sie dienen nicht dem Marketing; Protokolle werden gekürzt | Dass es eine Sitzung und begrenzte technische Protokolle gibt | Die Interessenabwägung schreiben und aufbewahren. Fristen dieser Protokolle bestätigen |
| Steuerliche, buchhalterische oder andere Rechtspflichten | Rechtliche Verpflichtung, nur wenn sie tatsächlich gilt | Die Website stellt Aufnahmen nicht in Rechnung und verkauft keine Plätze. Diese Grundlage gilt nicht als aktiv | Sie wird nur erwähnt, wenn eine konkrete Pflicht besteht | Bestätigen, ob eine echte Rechtspflicht die Aufbewahrung von Daten verlangt |
| Optionales Strava | Vorschlag: Einwilligung in die Verarbeitung auf dieser Website beim Verbinden, getrennt von der Zugangserlaubnis bei Strava | Die Verbindung ist freiwillig. Strava erteilt den Zugang; Adopta un eBiker verarbeitet danach Token und Aktivitäten, um sie im Intranet zu zeigen | Dass es optional ist, welche Berechtigungen angefragt werden, was gespeichert wird, wer nicht private Touren sieht und wie man trennt | Bestätigen, ob die Grundlage die Einwilligung, die Durchführung einer optionalen Dienstfunktion oder beides ist, und die Rolle von Strava als Empfänger |
| Künftige Analyse (heute aus) | Einwilligung, wenn sie eingeschaltet wird und erforderlich ist | Heute gibt es weder Mess-ID noch Skript. Das Akzeptieren von Cookies lädt keine Analyse | Dass Analyse nicht aktiv ist und dass bei Einschalten vorher eine Einwilligung eingeholt wird | Nicht einschalten und nicht als echte Verarbeitung dokumentieren, solange das Tool fehlt |
Status: Entwurf mit den Identitätsdaten der verantwortlichen Person aktualisiert. Die rechtliche Prüfung von Grundlagen, Fristen und Übermittlungen steht noch aus. Die Sechs-Monats-Fristen sind ein vorgesehenes Kriterium, keine bereits umgesetzte automatische Löschung. Die operative Kontaktadresse ist hola@adoptaunebiker.com.