Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Plattform im Sinne der DSGVO ist:

Simplefysed Solutions
Vin Mangelsdorf
(Einzelunternehmen; alleiniger Anbieter von MandateOS)
E-Mail: info@mandateos.de
Datenschutz-Anfragen: datenschutz@mandateos.de

Hinweis zur Rollenverteilung: Für die innerhalb einer Kampagne erhobenen Daten ist regelmäßig die jeweilige Partei/der jeweilige Wahlkampf (Kampagnen-Ersteller) (mit-)verantwortlich; MandateOS stellt die technische Plattform bereit. Die genaue Abgrenzung (Verantwortlicher / Auftragsverarbeiter / gemeinsame Verantwortlichkeit nach Art. 26 DSGVO) wird vertraglich festgelegt (Auftragsverarbeitungsvertrag bzw. Art.-26-Vereinbarung).

Ein Datenschutzbeauftragter ist derzeit nicht bestellt. Die Bestellpflicht (Art. 37 Abs. 1 lit. c DSGVO / § 38 BDSG) wegen umfangreicher Verarbeitung politischer Daten (Art. 9 DSGVO) wird geprüft; sobald ein (in der Regel externer) Datenschutzbeauftragter bestellt ist, werden die Kontaktdaten hier veröffentlicht.

Wir verarbeiten personenbezogene Daten zu folgenden Zwecken:

• Konto & Authentifizierung (E-Mail, Name, Profilbild) – zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Kampagnen-Organisation (Mitgliedschaften, Aufgaben, Teams, Gebiete) – Vertragserfüllung bzw. berechtigtes Interesse an der Wahlkampforganisation (Art. 6 Abs. 1 lit. b/f DSGVO).
• Standort-/Routenerfassung beim Plakatieren und bei Tür-zu-Tür-Aktionen – nur auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar. Die einzelnen GPS-Punkte einer Route werden 90 Tage nach ihrem Ende gelöscht; Strecke, Dauer und Zählerstände bleiben für Statistiken erhalten.
• Politische Stimmungserfassung & Engagement im Wahlkampf – besondere Kategorie nach Art. 9 DSGVO, nur auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); siehe Abschnitt 9.
• Spenden-/Finanzverwaltung (Spenderdaten, Finanzeinträge) – zur Erfüllung rechtlicher Pflichten nach dem Parteiengesetz (Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 24 ff. PartG).
• Push-Benachrichtigungen & Tagesnachricht – Einwilligung bzw. berechtigtes Interesse (Art. 6 Abs. 1 lit. a/f).

Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt wird, wird die zugrunde liegende Interessenabwägung (berechtigtes Interesse) dokumentiert.

Die Finanzverwaltung verarbeitet Buchungen, Budgetposten, Spenderdaten und hochgeladene Belege. Namen, Anschriften, E-Mail-Adressen, Telefonnummern und Notizen von Spendern werden ausschließlich auf Anwendungsebene verschlüsselt gespeichert.

Belege liegen in einem privaten Speicherbereich und werden berechtigten Personen über zeitlich begrenzte Links bereitgestellt. Zugriff haben die Kampagnenleitung und ausdrücklich freigegebene Koordinatoren; Lese- und Buchungsrechte sind getrennt. Ein Änderungsprotokoll dokumentiert Finanzaktionen. Persönliche Spenderfelder werden darin nicht gespeichert.

Kampagnenexporte als CSV, Excel, Beleg-ZIP oder PDF-Übergabebericht sind vom persönlichen Kontodatenexport getrennt. Bei Kampagnenexporten lässt sich die Aufnahme strukturierter Spenderdaten ausschließen. Belege zu Spenden, Beiträgen und Sponsoring bleiben dann ebenfalls aus dem Export. Freitexte sollten vor einer Weitergabe auf personenbezogene Angaben geprüft werden. Wird eine Kampagne im bestehenden Kontolöschverfahren gelöscht, werden auch ihre Finanzbelege entfernt. Belege in fortbestehenden Kampagnen bleiben erhalten.

Kampagnen können Kontaktpersonen mit Name, Funktion, Telefonnummer und E-Mail-Adresse hinterlegen. Diese Angaben sehen die aktiven Mitglieder der jeweiligen Kampagne; anlegen und ändern können sie die Kampagnenleitung und Koordinatoren. Die Angaben werden auf Anwendungsebene verschlüsselt gespeichert und nur vom Server der Plattform für berechtigte Mitglieder entschlüsselt.

Zur Bereitstellung der Plattform setzen wir sorgfältig ausgewählte Auftragsverarbeiter (Art. 28 DSGVO) ein:

• Datenbank-, Authentifizierungs- und Speicher-Dienstleister – Betrieb der Plattform-Infrastruktur; Datenhaltung in der EU.
• Hosting-/CDN-Dienstleister – Auslieferung der Web-Plattform sowie cookielose Reichweiten- und Performance-Messung (siehe Ziffer 11).
• E-Mail-Dienstleister – Versand transaktionaler E-Mails.
• Anbieter für App-Distribution und Push-Benachrichtigungen – Zustellung von Push-Nachrichten über die Betriebssystem-Push-Dienste sowie einen Push-Vermittlungsdienst.
• KI-Dienstleister – für folgende Zwecke:
  • Generierung der „Tagesnachricht“; es werden ausschließlich pseudonymisierte Platzhalter sowie aggregierte, nicht-identifizierende Fakten übermittelt (keine echten Namen/Parteien, keine direkten Identifikatoren, keine Art.-9-Inhalte).
  • Argumentationsvorschläge, die Kandidaten oder Koordinatoren anfordern; übermittelt werden der eingegebene Titel, das Thema und die Region der Kampagne, zu denen der Dienst im Internet recherchiert.
  • Auslesen von Dokumenten und Webseiten, die Kandidaten oder Koordinatoren hochladen oder verlinken, um die öffentlich bekannt gemachten Wahllokale zu ermitteln. Enthält ein Dokument weitere personenbezogene Angaben (z. B. Namen von Mitgliedern der Wahlvorstände), werden diese mit übermittelt, aber nicht übernommen: Gespeichert werden nur die bestätigten Gebäude- und Adressangaben der Wahllokale; die Datei selbst wird nach der Auswertung verworfen.
  Die Speicherung von Anfragen und Antworten beim KI-Dienstleister ist abgeschaltet.
• Geokodierungs-Dienstleister – Umwandlung von Adresssuchen in Koordinaten (Übermittlung von Suchanfrage und IP-Adresse); alternativ ist eine manuelle Adresseingabe möglich.

Aus Gründen der Vertraulichkeit werden an dieser Stelle nur Kategorien von Empfängern genannt (Art. 13 Abs. 1 lit. e DSGVO). Die konkrete, jeweils aktuelle Liste der eingesetzten Auftragsverarbeiter und Unterauftragsverarbeiter wird auf Anfrage (Art. 15 DSGVO) mitgeteilt.

Einzelne Dienstleister (u. a. der KI-Dienstleister sowie ggf. US-Muttergesellschaften eingesetzter Infrastruktur-Anbieter) können personenbezogene Daten in den USA verarbeiten. Soweit eine Übermittlung in ein Drittland erfolgt, stützen wir diese auf geeignete Garantien: EU-Standardvertragsklauseln (SCC), ergänzende Maßnahmen (Verschlüsselung, Datenminimierung, Pseudonymisierung) sowie – soweit zertifiziert – das EU-US Data Privacy Framework. Für die Tagesnachricht werden die an den KI-Dienstleister übermittelten Inhalte vorab anonymisiert; eine Transfer-Folgenabschätzung (TIA) wird geführt.

Der Zertifizierungsstatus der eingesetzten US-Dienstleister nach dem EU-US Data Privacy Framework wird laufend überprüft.

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist. Automatisierte Löschroutinen (Retention-Policies) entfernen u. a. nicht mehr benötigte Aktivitäts- und Einladungsdaten; die GPS-Punkte von Routen werden 90 Tage nach dem Ende der Route gelöscht. Spenden-/Finanzdaten werden zur Erfüllung gesetzlicher Aufbewahrungspflichten vorgehalten (in der Regel 10 Jahre, §§ 24 ff. PartG i. V. m. § 147 AO und § 257 HGB). Einwilligungsnachweise werden nach Art. 7 DSGVO auch nach Konto­löschung aufbewahrt. Details im Löschkonzept.

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15) – Datenexport als JSON unter „Datenschutz-Einstellungen → Meine Daten herunterladen“.
• Berichtigung (Art. 16) – Profilbearbeitung in den Einstellungen.
• Löschung (Art. 17) – „Konto löschen“ entfernt Ihre personenbezogenen Daten plattformweit.
• Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20).
• Widerspruch (Art. 21) – u. a. Profiling-Opt-out (siehe Abschnitt 8).
• Widerruf von Einwilligungen (Art. 7 Abs. 3) – jederzeit mit Wirkung für die Zukunft, in den Datenschutz-Einstellungen.

Zur Unterstützung der Kampagnenleitung wird ein Hinweis-Kennzeichen („is_at_risk“) berechnet, das auf Aktivitätsmustern beruht (z. B. Vergleich der Aktivität mit dem Kampagnen-Durchschnitt). Es kommt kein maschinelles Lernen zum Einsatz, und es erfolgt keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung. Sie können dieser Auswertung jederzeit widersprechen (Profiling-Opt-out in den Datenschutz-Einstellungen); danach werden entsprechende Auswertungen für Sie nicht mehr vorgenommen.

Daten, die Ihre politische Meinung oder Beteiligung erkennen lassen (z. B. Mitarbeit in einer Kampagne, Tür-zu-Tür-Stimmungserfassung), sind besondere Kategorien personenbezogener Daten. Ihre Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die getrennt und granular eingeholt und protokolliert wird, sowie nur durch hierzu berechtigte Personen (Zugriff über Rollen-/Row-Level-Security auf Kampagnen­leitung bzw. -koordination beschränkt). Stimmungsdaten werden ausschließlich aggregiert (je Straßenabschnitt, ohne Personenbezug, ohne GPS-Spur einzelner Türen) gespeichert.

Wir verwenden ausschließlich technisch notwendige Cookies (Sitzungs- und Authentifizierungs-Token). Diese sind für den Betrieb der Plattform erforderlich und bedürfen keiner Einwilligung. Es werden derzeit keine Analyse- oder Marketing-Cookies eingesetzt; auch die Reichweitenmessung nach Ziffer 11 kommt ohne Cookies aus.

Auf der öffentlichen Website und in der Web-App setzen wir Vercel Web Analytics und Vercel Speed Insights unseres Hosting-Dienstleisters Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, ein. Beide Dienste arbeiten ohne Cookies und ohne geräteübergreifende Identifizierung. Erfasst werden die aufgerufene Seite (ohne URL-Parameter), die verweisende Seite, Browser- und Gerätetyp, Betriebssystem, Land bzw. Region sowie technische Messwerte zur Ladegeschwindigkeit (Core Web Vitals). Zur Unterscheidung von Seitenaufrufen bildet Vercel aus IP-Adresse und Browserkennung einen täglich wechselnden Hash; die IP-Adresse selbst wird nach Angaben von Vercel nicht gespeichert.

Rechtsgrundlage ist unser berechtigtes Interesse an einer Reichweiten- und Leistungsanalyse der Website (Art. 6 Abs. 1 lit. f DSGVO). Da keine Informationen auf dem Endgerät gespeichert oder ausgelesen werden, ist keine Einwilligung nach § 25 TDDDG erforderlich. Mit Vercel besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO); eine Verarbeitung in den USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework und der EU-Standardvertragsklauseln (siehe Ziffer 5). Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), z. B. per E-Mail an datenschutz@mandateos.de.

Über den Link „Gespräch buchen“ gelangen Sie zur externen Terminbuchung von Calendly LLC (USA). Bis zum Klick auf den Link werden keine Daten an Calendly übertragen; für die Verarbeitung auf der Calendly-Seite gilt die dortige Datenschutzerklärung.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für den Verantwortlichen (Sitz in Thüringen) ist dies:

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI)
Häßlerstraße 8, 99096 Erfurt
www.tlfdi.de

Unabhängig davon können Sie sich auch an die Datenschutz-Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.