Datenschutzerklärung

Zum Aufbau dieser Erklärung. Sie informiert nach Art. 13 und 14 DSGVO über zwei getrennte Bereiche. Die Ziffern 3 bis 5 betreffen den Besuch dieser Website dorfapp.com. Die Ziffern 6 bis 8 und 10 betreffen die Anwendung Vicus, die derzeit entwickelt und noch nicht öffentlich bereitgestellt wird; sie beschreiben die vorgesehene Verarbeitung. Die abschließende datenschutzrechtliche Bewertung der Anwendung steht noch aus. Diese Erklärung wird vor der Freigabe der Anwendung überprüft und ergänzt.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

softwarebees GmbH
Hauptstraße 24
37434 Krebeck
Deutschland
Telefon: +49 160 3343186
E-Mail: hello@softwarebees.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG derzeit nicht vorliegen. Für alle Anliegen zum Datenschutz wenden Sie sich bitte an die oben genannten Kontaktdaten.

2. Geltungsbereich und Rollenverteilung

1. Für diese Website dorfapp.com und für die Anbahnung von Geschäftsbeziehungen, etwa über eine E-Mail an uns, ist die softwarebees GmbH Verantwortliche im Sinne der DSGVO.
2. Für personenbezogene Daten, die eine Gemeinde oder ein Verein in der Anwendung verarbeitet, also insbesondere Daten von Bürgerinnen und Bürgern, Mitgliedern und Ansprechpersonen, ist die jeweilige Institution Verantwortliche. Die softwarebees GmbH handelt insoweit als Auftragsverarbeiterin auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Betroffene Personen wenden sich in diesem Fall bitte an die jeweilige Institution.
3. Gemeinden sind als juristische Personen des öffentlichen Rechts zusätzlich an Landesdatenschutzrecht und an ihre eigene Aufsichtsbehörde gebunden. Eigene Auftragsverarbeitungsvorgaben und ein behördlicher Datenschutzbeauftragter der Gemeinde bleiben davon unberührt.
4. Die Anwendung sieht ein eigenes Konto für Bürgerinnen und Bürger vor, das über die einzelne Institution hinausreicht. Wie die Verantwortlichkeit für dieses Konto im Verhältnis zwischen Anbieter und Institution abschließend aufgeteilt wird, ist Gegenstand der noch ausstehenden datenschutzrechtlichen Bewertung nach Ziffer 6.

3. Hosting und Server-Logfiles dieser Website

1. Diese Website ist für den Betrieb in einem Rechenzentrum innerhalb der Europäischen Union vorgesehen; als Hosting-Dienstleister ist die Hetzner Online GmbH mit dem Standort Nürnberg eingeplant. Wird die Seite über einen anderen Dienstleister oder an einem anderen Standort ausgeliefert, ändern wir diese Angabe, bevor die Auslieferung umgestellt wird.
2. Bei jedem Aufruf werden automatisch Zugriffsdaten in Server-Logfiles erfasst: gekürzte IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Ressource, HTTP-Statuscode, übertragene Datenmenge, Referrer sowie Browser- und Betriebssystemkennung.
3. Zweck der Verarbeitung ist die Auslieferung der Inhalte, die Gewährleistung der Systemsicherheit und -stabilität sowie die Aufklärung missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im sicheren und störungsfreien Betrieb.
4. Server-Logfiles werden nach spätestens 30 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten sicherheitsrelevanten Vorfalls länger benötigt werden.

4. Keine Cookies, kein Tracking, keine externen Inhalte auf dieser Website

1. Diese Website setzt keine Cookies und verwendet keine Analyse-, Reichweitenmess-, Tracking- oder Werbedienste. Es findet keine Profilbildung statt.
2. Alle Bestandteile der Seite werden von unserem eigenen Server ausgeliefert. Die verwendete Schriftart liegt als Datei auf diesem Server; externe Schriftdienste, Karten, Videos, Social-Media-Plugins, eingebettete Inhalte Dritter und externe Bilder werden nicht eingebunden. Beim Aufruf einer Seite dieser Website wird daher keine Ressource von einem fremden Server geladen; es entsteht keine Verbindung, die Ihre IP-Adresse an Dritte übermittelt. Einzelne Textlinks führen auf fremde Websites; eine Verbindung dorthin entsteht erst, wenn Sie einen solchen Link selbst anklicken.
3. Weil weder Cookies gesetzt noch Informationen aus Ihrem Endgerät ausgelesen werden, ist eine Einwilligungsabfrage nach § 25 TDDDG nicht erforderlich. Diese Website zeigt deshalb keinen Cookie-Hinweis.
4. Die Aussagen dieser Ziffer beziehen sich ausschließlich auf diese Website. Für die Anwendung gilt Ziffer 6.

5. Kontaktaufnahme per E-Mail und Telefon

1. Diese Website enthält kein Kontaktformular. Alle Kontaktschaltflächen öffnen Ihr E-Mail-Programm mit einer vorbereiteten Nachricht an hello@softwarebees.de. Es werden dabei keine Daten an uns übertragen, solange Sie die Nachricht nicht selbst absenden.
2. Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung des Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern die Kommunikation der Anbahnung oder Durchführung eines Vertrags dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der Bearbeitung von Anfragen.
3. Anfragen, die nicht zu einem Vertrag führen, löschen wir, sobald der Vorgang abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6. Verarbeitung in der Anwendung

Die Anwendung Vicus wird derzeit entwickelt und ist noch nicht öffentlich bereitgestellt. Die folgenden Angaben beschreiben die vorgesehene Verarbeitung nach dem aktuellen Entwicklungsstand.

1. Anmeldung. Für die Anmeldung setzen wir ein selbst betriebenes Identitätsmanagement auf Basis von Keycloak unter auth.dorfapp.com ein. Dabei werden Benutzername, E-Mail-Adresse, Rollen und der Zeitpunkt der Anmeldung verarbeitet. Der Anmeldedienst läuft in unserem eigenen Cluster; ein zusätzlicher Dienstleister ist dafür nicht eingebunden.
2. Sitzung. Nach erfolgreicher Anmeldung wird ein technisch notwendiges Sitzungs-Cookie gesetzt, das die angemeldete Sitzung identifiziert. Es dient nicht der Analyse des Nutzungsverhaltens und wird mit dem Ende der Sitzung ungültig. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.
3. Konto von Bürgerinnen und Bürgern. Vorgesehen ist ein eigenes Konto mit einem versionierten Profil, Angaben zur Abrechnungsidentität, einem Einwilligungsverzeichnis und einem Antrag auf Löschung des Kontos. Anmeldedaten und Profildaten werden getrennt geführt. Einwilligungen werden als fortlaufendes, zweckbezogenes Verzeichnis geführt: Ein Widerruf ist ein späterer Eintrag und nicht die Entfernung eines früheren, damit der Nachweis nach Art. 7 Abs. 1 DSGVO möglich bleibt. Wird die Löschung des Kontos beantragt, gilt bereits ab diesem Zeitpunkt, dass die Daten nicht weiter offengelegt werden.
4. Anfragen zu Gebäuden ohne Konto. Für eine Anfrage zu einem Gebäude sind Vorname, Nachname und E-Mail-Adresse erforderlich, eine Mobilnummer ist freiwillig. Hinzu kommen der angefragte Zeitraum, das angefragte Objekt und eine freie Notiz. Diese Kontaktangaben dienen ausschließlich dazu, dass die Institution die anfragende Person erreicht; sie werden nicht dazu verwendet, die Anfrage einem Konto zuzuordnen. Wer die Anfrage später einem eigenen Konto zuordnen möchte, benötigt ein Geheimnis, das genau einmal und ausschließlich in der unmittelbaren Antwort auf die Anfrage ausgegeben wird. Wir speichern davon nur einen Hashwert; es kann nicht nachträglich ausgelesen und nicht erneut versendet werden und verfällt spätestens 48 Stunden nach der Anfrage.
5. Bekanntmachungen und Sichtbarkeit. Inhalte einer Institution haben abgestufte Sichtbarkeiten: öffentlich, auf die Gemeinde beschränkt, auf Mitglieder beschränkt oder auf den Vorstand beschränkt. Bei der Stufe „öffentlich“ verlässt der Inhalt den geschützten Bereich und ist für jede Person abrufbar. Welche Stufe gilt, entscheidet die veröffentlichende Institution.
6. Kalender. Veranstaltungen einer Gemeinde oder eines Vereins und Belegungen von Gebäuden werden getrennt ausgewiesen, weil ihre Zusammenführung offenlegen würde, wer was gebucht hat. Ein Belegungseintrag kann ohne Titel erscheinen und ist dann nur als besetzter Zeitraum sichtbar.
7. Mitgliedschaft gegenüber anderen Fachbereichen. Ob eine Person Mitglied ist, wird anderen Fachbereichen nur als zweckgebundene Ja/Nein-Auskunft mit kurzer Gültigkeit offengelegt, nicht als Datensatz.
8. Push-Nachrichten. Push-Nachrichten sind auf sichtbare Mitteilungen begrenzt; stille Hintergrundnachrichten sind nicht vorgesehen. Die Zustellung erfolgt über den in Ziffer 9 genannten Dienst und ist nicht Bestandteil des jeweiligen Vorgangs in der Anwendung.
9. Protokollierung. Zur Nachvollziehbarkeit sicherheitsrelevanter Vorgänge protokolliert die Anwendung administrative Änderungen und Anmeldevorgänge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse ist die Sicherheit der verarbeiteten Daten. Betriebs- und Prüfausgaben der Plattform enthalten keine Zugangsgeheimnisse und keine personenbezogenen Daten.
10. Keine Bezahlfunktion. Die Anwendung wickelt keine Zahlungen ab. Es werden keine Zahlungsdaten erhoben und kein Zahlungsdienstleister eingebunden.

7. Bekannte Einschränkungen des Entwicklungsstands

Wir benennen drei Punkte offen, weil sie datenschutzrechtlich erheblich sind und vor der Freigabe der Anwendung geändert werden:

• Dateianhänge, die über den älteren Ablageweg im Objektspeicher gespeichert werden, sind über ihre Adresse ohne zusätzliche Zugriffsprüfung abrufbar. Die eingestellte Sichtbarkeitsstufe eines Inhalts schützt einen solchen Anhang derzeit nicht.
• Beim Anlegen eines Zugangs durch eine Institution werden Benutzername und ein erzeugtes Passwort im Klartext per E-Mail versendet.
• Die mobile Anwendung meldet sich mit Benutzername und Passwort direkt beim Anmeldedienst an, statt den Anmeldevorgang an den Browser zu übergeben; im Entwicklungsstand ist zusätzlich eine Testanmeldung fest hinterlegt. Beides wird vor der Freigabe umgestellt.

Bis zur Umstellung sollten über die Anwendung keine vertraulichen Anhänge eingestellt, versandte Zugangsdaten nach der ersten Anmeldung geändert und für die Anmeldung keine Passwörter verwendet werden, die auch an anderer Stelle im Einsatz sind.

8. Speicherdauer

1. Server-Logfiles dieser Website: spätestens 30 Tage, siehe Ziffer 3.4.
2. Das Geheimnis zur nachträglichen Zuordnung einer Gebäudeanfrage: höchstens 48 Stunden ab der Anfrage, danach wird es entwertet und der gespeicherte Hashwert gelöscht.
3. Nachweise über Betriebsvorgänge der Plattform: mindestens 90 Tage. Nachweise über die Bindung eines Fachbereichs an einen Provider und über dessen Wechsel: mindestens 365 Tage.
4. Wird ein Fachbereich von einem externen Provider zurückgeholt, entsteht ein schreibgeschütztes Archiv der übernommenen Daten mit einer Aufbewahrungsdauer von einem Jahr.
5. Widerrufene Buchungen werden nicht gelöscht, sondern als widerrufen gekennzeichnet und aus den Listen ausgeblendet, damit nachvollziehbar bleibt, ob ein Zeitraum jemals gebucht war.
6. Für alle übrigen Daten in der Anwendung richtet sich die Dauer nach dem Zweck der Verarbeitung, den Weisungen der verantwortlichen Institution und den gesetzlichen Aufbewahrungspflichten, insbesondere nach §§ 257 HGB und 147 AO. Eine Aufbewahrungs- und Löschrichtlinie mit einzelnen Fristen wird derzeit erstellt und an dieser Stelle ergänzt. Solange sie nicht vorliegt, nennen wir hier keine Fristen, die wir nicht einhalten können.

9. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies zur Erbringung unserer Leistungen erforderlich ist, eine gesetzliche Verpflichtung besteht oder eine Einwilligung vorliegt. Mit den eingesetzten Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO, soweit sie personenbezogene Daten in unserem Auftrag verarbeiten. Die für die Daten einer Institution maßgebliche Fassung ist Anlage 3 des Vertrags zur Auftragsverarbeitung.

1. Der Anmeldedienst, die Rechteprüfung und das API-Gateway der Anwendung werden von uns selbst in dem oben genannten Cluster betrieben. Es handelt sich um eigene Infrastruktur und nicht um einen weiteren Auftragsverarbeiter.
2. Welcher Objektspeicher produktiv genutzt wird, ist noch nicht abschließend festgelegt. Der derzeit ausgerollte Wertesatz verweist auf den Objektspeicher der Hetzner Online GmbH in Nürnberg; ein älterer Ablageweg in der Anwendung bildet Adressen im Schema von DigitalOcean. Wir benennen deshalb beide Anbieter, bis die Festlegung getroffen und diese Erklärung angepasst ist.
3. Ein Dienstleister für den Versand von E-Mails aus der Anwendung ist noch nicht benannt. Sobald er feststeht, wird er in dieser Tabelle geführt.
4. Darüber hinaus können Steuerberatung, Wirtschaftsprüfung und Rechtsberatung im gesetzlich vorgesehenen Rahmen Empfänger sein.

10. Externe Fachprovider

1. Vicus ist als Plattform angelegt, auf der eine Institution einen Fachbereich, etwa die Gebäudeverwaltung, an eine externe Fachanwendung übergeben kann. Danach schreibt allein diese Fachanwendung in dem übergebenen Bereich.
2. Eine solche Anbindung erfolgt ausschließlich nach einer ausdrücklichen Entscheidung der jeweiligen Institution. Ohne diese Entscheidung werden keine Daten an einen externen Anbieter übermittelt.
3. Die datenschutzrechtliche Rolle eines externen Anbieters ist noch nicht festgelegt. Sie wird vor der ersten Anbindung vertraglich geregelt, und diese Erklärung sowie Anlage 3 des Vertrags zur Auftragsverarbeitung werden entsprechend ergänzt.
4. Die Registrierung externer Anbieter ist im Produktionsbetrieb derzeit abgeschaltet. Es findet keine Datenweitergabe an externe Fachanbieter statt.
5. Die Oberfläche für Bürgerinnen und Bürger ist so gebaut, dass ein Wechsel des schreibenden Systems dort nicht sichtbar wird. Gerade deshalb weisen wir eine Übergabe an einen externen Anbieter an dieser Stelle und gegenüber der betroffenen Institution ausdrücklich aus.

11. Ihre Rechte als betroffene Person

Ihnen stehen gegenüber uns die folgenden Rechte zu:

• Auskunft über die verarbeiteten personenbezogenen Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO)
• Löschung, soweit kein Aufbewahrungsgrund entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem strukturierten, gängigen Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht nach Art. 21 DSGVO: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an hello@softwarebees.de. Betreffen Ihre Rechte Daten, die eine Gemeinde oder ein Verein in der Anwendung verarbeitet, leiten wir Ihr Anliegen an die verantwortliche Institution weiter und teilen Ihnen das mit.

12. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe steht Ihnen nach Art. 77 DSGVO ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
www.lfd.niedersachsen.de

13. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

14. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um die von uns verarbeiteten Daten gegen Verlust, Zerstörung, Manipulation und unberechtigten Zugriff zu schützen. Dazu gehören die Übertragungsverschlüsselung per TLS, ein zentrales Identitätsmanagement, eine feingranulare Rechteprüfung, bei der jeder Zugriff gegen ein hinterlegtes Autorisierungsmodell geprüft wird, die technisch erzwungene Trennung der Daten verschiedener Institutionen sowie die verschlüsselte Ablage von Zugangsgeheimnissen. Eine Datensicherung und eine Wiederherstellung des Datenbestands sind für den Entwicklungsstand nicht zugesagt; Einzelheiten stehen in Anlage 2 des Vertrags zur Auftragsverarbeitung. Die Maßnahmen werden fortlaufend angepasst. Die in Ziffer 7 genannten Einschränkungen bestehen bis zu ihrer Behebung fort.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, unsere Leistungen oder die eingesetzten Dienstleister ändern. Weil sich die Anwendung in der Entwicklung befindet, ist mit Änderungen zu rechnen. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.

Stand: 27. August 2026