Datenschutzerklärung der Plattform

Diese Erklärung gilt für die Plattform BudOne sowie für unsere Apps für iOS, iPadOS, macOS und Android. Die Apps sind eine Hülle für dasselbe Portal; es gelten dieselben Regeln. Jeder Abschnitt nennt Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und – wo es darauf ankommt – ob die Angabe der Daten vorgeschrieben ist. Stand: siehe Datum oben. 1. Verantwortlicher MechtaNet UG (haftungsbeschränkt) vertreten durch Sofian Mechta Wuhlestraße 7a 12683 Berlin HRB38944 Kontakt: E-Mail: support@bud-one.com · Telefon: +49 156 79827790 Datenschutz-Kontakt: der Betreiber selbst, erreichbar über die oben genannten Kontaktdaten (ein gesonderter Datenschutzbeauftragter ist gesetzlich nicht erforderlich) Für viele Daten ist nicht die Plattform, sondern deine Anbauvereinigung verantwortlich – wo das so ist, steht es im jeweiligen Abschnitt ausdrücklich dabei (siehe auch Nr. 6). 2. Für wen der Dienst ist BudOne richtet sich ausschließlich an volljährige Mitglieder von Anbauvereinigungen nach dem Konsumcannabisgesetz (KCanG). Die Nutzung ist erst ab 18 Jahren möglich; die Volljährigkeit prüft die jeweilige Anbauvereinigung im Aufnahmeverfahren. Wir richten uns nicht an Minderjährige und verarbeiten wissentlich keine Daten von Personen unter 18 Jahren. 3. Besuch der Website / Nutzung der App Zweck: Auslieferung der Seiten, Abwehr von Angriffen, Fehlersuche und Nachweis von Sicherheitsvorfällen. Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Browser- bzw. App-Kennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse am sicheren und störungsfreien Betrieb. Empfänger: unser Hosting-Dienstleister mit Serverstandort in Deutschland sowie Cloudflare (siehe Nr. 13). Speicherdauer: Zugriffsprotokolle 7 Tage, sicherheitsrelevante Einträge (z. B. gesperrte Adressen nach wiederholten Fehlversuchen) bis zu 30 Tage. Bereitstellung: Ohne IP-Adresse ist keine Verbindung möglich; ein Widerspruch ist deshalb technisch ausgeschlossen. Wir ziehen aus diesen Daten keine Rückschlüsse auf einzelne Personen. 4. Cookies und lokale Speicherung Wir setzen ausschließlich technisch notwendige Cookies bzw. lokalen Speicher ein: Sitzung und Anmeldung, Sicherheits-Token gegen Formularfälschung (CSRF), deine Anzeige-Einstellungen wie Thema und Schriftgröße. Es gibt kein Tracking, keine Analyse- oder Werbedienste Dritter, keine Werbe-Kennungen und kein Profiling über Websites hinweg. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); deshalb siehst du bei uns auch keinen Zustimmungsbanner. Speicherdauer: Sitzungs-Cookies bis zum Schließen des Browsers bzw. bis zur Abmeldung; Anzeige-Einstellungen bis du sie änderst oder die Browserdaten löschst. 5. Konto und Registrierung Zweck: Anlegen und Betrieb deines Zugangs. Daten: Name, E-Mail-Adresse, Geburtsdatum, Passwort (ausschließlich als nicht umkehrbarer Hash), je nach Verein zusätzlich Anschrift und Telefonnummer. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis); das Geburtsdatum zusätzlich Art. 6 Abs. 1 lit. c DSGVO wegen der Altersgrenze des KCanG. Speicherdauer: bis zur Löschung des Kontos, danach nur, was gesetzlich aufbewahrt werden muss (Nr. 15). Bereitstellung: Diese Angaben sind erforderlich. Ohne sie können wir kein Konto führen, und ohne Geburtsdatum darf dir kein Verein etwas abgeben. 6. Mitgliedschaft in einem Club – wer wofür verantwortlich ist Trittst du über die Plattform einer Anbauvereinigung bei, ist der jeweilige Verein der datenschutzrechtlich Verantwortliche für deine Mitglieds-, Bestell- und Abgabedaten. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag und nach seiner Weisung (Art. 28 DSGVO); mit jedem Verein besteht dazu ein Auftragsverarbeitungsvertrag. Abgabemengen behandeln wir als Gesundheitsdaten im Sinne von Art. 9 DSGVO, weil sie Rückschlüsse auf Konsumverhalten zulassen. Sie sind nur für dich und die Verwaltung deines Vereins sichtbar. Rechtsgrundlage ist Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit den Dokumentationspflichten des KCanG. Herkunft der Daten (Art. 14 DSGVO): Nicht alle Daten stammen von dir selbst. Trägt dein Verein dich als Mitglied ein – etwa nach einem Aufnahmeantrag auf Papier oder nach der Ausweisprüfung vor Ort –, kommen Stammdaten, Mitgliedsnummer und Prüfvermerk aus dem Aufnahmeverfahren des Vereins. Spätestens bei deiner ersten Anmeldung erhältst du diese Information; verantwortlich für die Rechtmäßigkeit der Übermittlung ist der Verein. 7. Gemeinschaftsfunktionen: Feed, Chat, Stories, Gewinnspiele Zweck: Austausch innerhalb deines Vereins – Beiträge und Kommentare im Feed, Nachrichten in Club-Kanälen und Einzelchats, kurzlebige Stories, Teilnahme an Gewinnspielen deines Vereins. Daten: die Inhalte, die du selbst schreibst oder hochlädst, dein Anzeigename, Zeitpunkt, Reaktionen, bei Gewinnspielen die Teilnahme und ggf. der Gewinn. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis); für Gewinnspiele Art. 6 Abs. 1 lit. a DSGVO (deine freiwillige Teilnahme). Sichtbarkeit: nur für Mitglieder deines Vereins und dessen Verwaltung – nie öffentlich, nie für andere Vereine. Speicherdauer: bis du den Inhalt selbst löschst oder dein Verein ihn entfernt; Stories laufen automatisch ab. Bereitstellung: vollständig freiwillig. Du kannst die Plattform ohne einen einzigen Beitrag nutzen. Melden und Blockieren: Du kannst Beiträge und Kommentare melden und einzelne Mitglieder blockieren. Eine Meldung geht mit dem gemeldeten Inhalt, dem Zeitpunkt und deiner Mitgliedsnummer an die Verwaltung deines Vereins – sie entscheidet, nicht wir. Eine Blockierung wirkt nur für dich und wird der blockierten Person nicht mitgeteilt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Mitglieder vor rechtswidrigen oder belästigenden Inhalten). Meldungen bleiben bis zur Bearbeitung und danach für die Dauer eines eventuellen Verfahrens gespeichert. 8. Automatisierte Entscheidungen: die Limitkontrolle Die Plattform entscheidet in einem Punkt automatisch: Sie verweigert eine Bestellung oder Abgabe, wenn die gesetzlichen Grenzen erreicht sind – die Tages- und Monatsmenge nach § 9 KCanG und der niedrigere Grenzwert für Mitglieder unter 21 Jahren. Das ist eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO. Zulässig ist sie nach Art. 22 Abs. 2 lit. b DSGVO, weil das KCanG diese Prüfung ausdrücklich vorschreibt. Logik: Die Plattform addiert deine dokumentierten Abgaben im laufenden Tag bzw. Monat und vergleicht sie mit dem gesetzlichen Grenzwert. Es fließen keine Bewertungen, keine Prognosen und keine Daten Dritter ein – nur deine eigenen dokumentierten Mengen und dein Alter. Wenn du eine Sperre für falsch hältst, wende dich an die Verwaltung deines Vereins. Sie kann den zugrunde liegenden Eintrag prüfen und berichtigen; ein Mensch sieht sich den Fall also an. 9. Besondere Funktionen der Apps Kamera: Zum Scannen des QR-Codes bei der Abgabe fragen die Apps beim ersten Mal die Kamera-Freigabe deines Geräts ab. Die Auswertung geschieht direkt auf dem Gerät; es werden keine Kamerabilder an uns übertragen oder gespeichert. Entsperren mit Face ID / Touch ID / Gerätecode: Auf Wunsch sichern die Apps den Zugang biometrisch. Das übernimmt vollständig das Betriebssystem deines Geräts – biometrische Daten (Gesicht, Fingerabdruck) verlassen das Gerät nie und erreichen uns zu keinem Zeitpunkt. Wir erfahren nur, ob die Entsperrung erfolgreich war. Push-Mitteilungen in der App: Aktivierst du sie, meldet die App eine Geräte-Kennung (Push-Token von Apple bzw. Google) an unseren Server, damit wir dir Mitteilungen deines Vereins senden können. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Du kannst Push jederzeit in den Systemeinstellungen deines Geräts abschalten; der Token wird dann ungültig und von uns entfernt. Push-Mitteilungen im Browser (Web-Push): Auch ohne App kannst du Mitteilungen erhalten. Dein Browser erzeugt dafür eine Adresse beim Push-Dienst deines Browser-Herstellers und legt einen Schlüssel auf deinem Gerät ab – das ist zugleich eine Speicherung im Sinne von § 25 Abs. 1 TDDDG und geschieht deshalb nur nach deiner ausdrücklichen Zustimmung im Browser. Du widerrufst sie in den Website-Einstellungen deines Browsers. Datei-Uploads und Downloads erfolgen nur, wenn du sie selbst auslöst. Apple Wallet: Nur wenn du „Zu Apple Wallet hinzufügen“ antippst, wird deine Ausweiskarte an Apple Wallet übergeben (Name, Mitgliedsnummer, Vereinsname). Die Apps enthalten keine Werbung, kein Tracking, keine Analyse- oder Absturzberichts-SDKs Dritter. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. 10. Karten Auf der Club-Karte und im Registrierungsformular zeigen wir eine Karte. Das Kartenmaterial wird dabei direkt aus deinem Browser von der OpenStreetMap Foundation geladen; dabei erfährt diese deine IP-Adresse und welchen Kartenausschnitt du ansiehst. Die Kartensoftware selbst (Leaflet) liegt auf unserem Server, es wird also kein weiterer Dienst eingebunden. Zweck: Vereine in deiner Nähe auffindbar machen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Empfänger: OpenStreetMap Foundation, Vereinigtes Königreich – ein Land mit Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Datenschutzerklärung: osmfoundation.org/wiki/Privacy_Policy 11. Unterstützung durch künstliche Intelligenz An zwei Stellen kann die Plattform ein KI-Modell einsetzen. Beides ist optional und läuft nur, wenn der Betreiber die Funktion freigeschaltet hat. Hilfe-Assistent: Stellst du im Hilfebereich eine Frage, können deine Frage und passende Hilfe-Artikel an den KI-Anbieter übermittelt werden, um eine Antwort zu formulieren. Bitte gib dort keine personenbezogenen Angaben ein – für die Antwort werden sie nicht gebraucht. Belegerkennung (nur in der Vereinsverwaltung): Lädt die Verwaltung eine Eingangsrechnung hoch, kann die Datei zur Auswertung von Lieferant, Nummer, Datum und Beträgen an den KI-Anbieter übermittelt werden. Mitgliederdaten werden dabei nicht verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. lit. b für die Verwaltung des Vereins. Empfänger: Anthropic PBC, USA – als Auftragsverarbeiter, mit Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die übermittelten Inhalte werden dort nicht zum Training von Modellen verwendet. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt: Die KI schlägt Werte vor, bestätigt werden sie von einem Menschen. 12. E-Mails und Mitteilungen System-Mails (Bestellbestätigungen, Rechnungen, Erinnerungen, Sicherheitshinweise) dienen der Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) und lassen sich nicht abbestellen, solange dein Konto besteht. Freiwillige Mitteilungen deines Vereins kannst du in deinem Profil einzeln abschalten. Der Versand läuft über den Mailserver der Plattform oder – wenn dein Verein das eingerichtet hat – über dessen eigenen Mailserver. Ein Protokoll des Versands (Empfänger, Betreff, Zeitpunkt, Zustellstatus) bewahren wir 12 Monate auf, um Zustellprobleme nachvollziehen zu können. 13. Empfänger Über die in den einzelnen Abschnitten genannten Stellen hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind. Regelmäßig eingesetzt werden: - Contabo GmbH, München (Hosting): Betrieb der Server und der Datenbank. Serverstandort Deutschland. Auftragsverarbeiter. - Cloudflare, Inc., USA (Netzwerk- und Angriffsschutz): sitzt technisch vor der Plattform; jede Anfrage samt IP-Adresse läuft darüber. Auftragsverarbeiter. - Apple Inc., USA: Push-Mitteilungen über APNs (Geräte-Kennung und Mitteilungstext) sowie Apple Wallet, wenn du die Karte hinzufügst. - Google LLC, USA: Push-Mitteilungen an Android-Geräte über Firebase Cloud Messaging (Geräte-Kennung und Mitteilungstext). - OpenStreetMap Foundation, Vereinigtes Königreich: Kartenmaterial (Nr. 10). - Anthropic PBC, USA: KI-Funktionen, sofern freigeschaltet (Nr. 11). - fiskaly GmbH, Wien/München: zertifizierte technische Sicherheitseinrichtung für die Kasse, sofern dein Verein bar abrechnet (Nr. 16). Serverstandort EU. - DATEV eG, Nürnberg: nur wenn dein Verein die Buchhaltungs-Anbindung aktiviert – Rechnungsdaten, keine Abgabemengen. Eine jederzeit aktuelle Liste führen wir als Anlage 2 zum Auftragsverarbeitungsvertrag; Änderungen teilen wir den Vereinen vorab mit. 14. Übermittlung in Drittländer Vier der oben genannten Empfänger sitzen in den USA: Cloudflare, Apple, Google und – sofern freigeschaltet – Anthropic. Damit findet eine Übermittlung in ein Drittland statt. Für Cloudflare, Apple und Google stützt sie sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO); diese Unternehmen sind dort zertifiziert. Für Anthropic gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Für das Vereinigte Königreich (OpenStreetMap) besteht ebenfalls ein Angemessenheitsbeschluss. Dir ist bekannt, dass in den USA trotz dieser Grundlagen ein Zugriff staatlicher Stellen nicht vollständig ausgeschlossen werden kann. Deshalb übermitteln wir dorthin nur, was für die jeweilige Funktion nötig ist – insbesondere keine Abgabemengen, keine Bestelldaten und keine Gesundheitsdaten. 15. Speicherdauer Grundsatz: Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht. Die wichtigsten Fristen: - Zugriffsprotokolle des Servers: 7 Tage; Sicherheitsprotokolle bis 30 Tage. - Konto- und Stammdaten: bis zur Löschung des Kontos. - Feed-, Chat- und Story-Inhalte: bis zur Löschung durch dich oder deinen Verein. - Abgabe- und Bestelldokumentation: nach den Fristen des KCanG. - Rechnungen und Buchungsdaten: 8 bzw. 10 Jahre (HGB, AO). - Abgesicherte Kassenvorgänge, TSE-Protokolle und DSFinV-K-Exporte: 10 Jahre (§ 147 Abs. 3 AO). - Protokoll des E-Mail-Versands: 12 Monate. - Sicherungskopien: rollierend; gelöschte Daten fallen spätestens mit dem Sicherungszyklus aus den Sicherungen. Die vollständige Aufstellung steht in unserem Löschkonzept, das du bei uns anfordern kannst; dein Verein hat es in seiner Verwaltung vorliegen. 16. Kasse und technische Sicherheitseinrichtung Rechnet dein Verein an der Theke bar ab, muss seine Kasse jeden Vorgang von einer zertifizierten technischen Sicherheitseinrichtung (TSE) absichern lassen – das schreibt § 146a der Abgabenordnung vor. Dabei gehen an den TSE-Anbieter nur die Beträge deines Belegs (aufgeteilt nach Steuersatz und Zahlart) und Zeitstempel. Dein Name geht nicht mit, ebenso wenig deine Anschrift, die Sorten oder die Mengen; zugeordnet wird der Vorgang nur über die interne Nummer deiner Mitgliedschaft. Zurück kommen Transaktionsnummer, Signaturzähler und eine Signatur – die stehen als Prüfangaben auf deinem Bon. Diese Aufzeichnungen sind zehn Jahre aufzubewahren (§ 147 Abs. 3 AO) und dürfen in dieser Zeit nicht verändert oder gelöscht werden. Verlangst du die Löschung deines Kontos, bleiben sie deshalb bestehen; Art. 17 Abs. 3 lit. b DSGVO nimmt solche gesetzlichen Pflichten von der Löschpflicht aus. Bei einer Kassennachschau oder Betriebsprüfung darf die Finanzverwaltung diese Daten einsehen. 17. Konto löschen Du kannst die Löschung jederzeit verlangen: in der App unter Profil → Konto, per E-Mail an uns (E-Mail: support@bud-one.com · Telefon: +49 156 79827790) oder direkt bei deinem Verein. Was wir selbst löschen: dein Zugangskonto auf der Plattform mit Anmeldedaten, Einstellungen und Geräte-Kennungen für Push. Was dein Verein entscheidet: alle Daten deiner Mitgliedschaft – Stammdaten, Bestellungen, Abgabe-Dokumentation, Beiträge im Feed. Für diese Daten ist er der Verantwortliche; wir führen die Löschung nur auf seine Weisung aus und leiten deinen Antrag unverzüglich an ihn weiter. Bitte hab Verständnis, dass wir hier nicht über seinen Kopf hinweg entscheiden dürfen. Was bleiben muss, siehst du vor dem Löschen aufgelistet: Abgabe-Dokumentation nach KCanG, Rechnungen und – wenn dein Verein bar abrechnet – die abgesicherten Kassenvorgänge. 18. Deine Rechte Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die bisherige Verarbeitung dadurch unrechtmäßig wird. Für Daten deiner Club-Mitgliedschaft wende dich bevorzugt an deinen Verein – wir unterstützen ihn bei der Beantwortung und leiten Anfragen, die bei uns eingehen, an ihn weiter. Beschwerderecht: Du kannst dich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der Behörde deines Wohnsitzlandes oder bei der für uns zuständigen Stelle. Für den Sitz des Betreibers ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Postfach 20 04 44, 40102 Düsseldorf. Eine Liste aller Aufsichtsbehörden führt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit unter bfdi.bund.de. 19. Datenschutzbeauftragter und Folgenabschätzung Weil die Plattform Abgabemengen als Gesundheitsdaten verarbeitet, haben wir eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 3 lit. b DSGVO durchgeführt und halten sie aktuell; sie wird bei wesentlichen Änderungen – neuen Datenarten oder neuen Empfängern – überprüft. Einen eigenen Datenschutzbeauftragten haben wir bislang nicht bestellt. Wir prüfen fortlaufend, ob die Pflicht dazu nach Art. 37 Abs. 1 lit. c DSGVO und § 38 BDSG eintritt, und benennen ihn, sobald der Umfang der Verarbeitung das erfordert. Bis dahin ist der oben genannte Datenschutz-Kontakt für alle Anliegen zuständig. 20. Änderungen dieser Erklärung Wir passen diese Erklärung an, wenn sich die Plattform oder die Rechtslage ändert. Maßgeblich ist die Fassung mit dem oben genannten Stand. Ändert sich etwas Wesentliches – neue Empfänger, neue Zwecke –, weisen wir dich beim nächsten Anmelden darauf hin.