Stand: 29. September 2026
Als katholischer Jugendverband unterliegt der Stamm dem Gesetz über den Kirchlichen Datenschutz (KDG). Soweit es im Einzelfall nicht anwendbar sein sollte, gilt die Datenschutz-Grundverordnung (DSGVO) entsprechend. Diese Information gilt für leiter.dpsg-serm.de.
Verantwortlich nach dem Gesetz über den Kirchlichen Datenschutz (KDG) ist:
DPSG Stamm Herz Jesu Duisburg-Serm
Nicht eingetragener Verein; Untergliederung der DPSG, Diözesanverband Essen
Dorfstraße 119a
47259 Duisburg
Vertreten durch den Stammesvorstand: Maja Hümbs, Johannes Seuthe
E-Mail: info@dpsg-serm.de
Datenschutzfragen können an den Stammesvorstand unter info@dpsg-serm.de gerichtet werden. Soweit kein Datenschutzbeauftragter bestellt werden muss, nimmt der Stamm die Aufgaben nach § 36 Abs. 8 KDG anderweitig wahr.
Katholisches Datenschutzzentrum (KDSZ), Brackeler Hellweg 144, 44309 Dortmund. E-Mail: info@kdsz.de. Dort besteht ein Beschwerderecht nach § 48 KDG.
Für Einladung, Registrierung und Nutzung verarbeiten wir insbesondere Namen, E-Mail-Adresse, Zugangsdaten als Passwort-Hash, Berechtigungen und Funktion. Anmeldeversuche umfassen IP-Adresse, Kennung, Zeit und Erfolg. Die Zwei-Faktor-Authentifizierung ist per E-Mail-Code oder TOTP-App mit Backup-Codes möglich. Ein vertrauenswürdiges Gerät kann für 30 Tage hinterlegt werden. Optional kannst du Passkeys hinterlegen. Dafür speichern wir je Passkey den öffentlichen Schlüssel, eine technische Kennung, einen Nutzungszähler, den aus der Browserkennung abgeleiteten Gerätenamen sowie den Zeitpunkt der Einrichtung und der letzten Nutzung. Biometrische Daten wie Face ID oder Fingerabdruck verlassen dein Gerät nicht und werden von uns nicht verarbeitet. Passkeys werden gelöscht, wenn du sie entfernst, die Zwei-Faktor-Authentifizierung zurückgesetzt wird oder dein Konto gelöscht wird. Grundlage für das Zugangskonto ist § 6 Abs. 1 Buchst. c KDG (Nutzungsverhältnis der ehrenamtlichen Tätigkeit); für Schutzmaßnahmen unser berechtigtes Interesse nach § 6 Abs. 1 Buchst. g KDG.
Das technisch erforderliche, HTTP-only-Session-Cookie dpsg-serm-session läuft nach zehn Tagen ohne Nutzung ab. Wenn du „Gerät merken“ auswählst, wird zusätzlich dpsg-serm-trusted-device für 30 Tage gesetzt. Der zugehörige Token-Hash und die Browserkennung werden serverseitig gespeichert. Im localStorage können pwa-install-dismissed-at, pwa-notification-banner-dismissed, dpsg-auspacken-hinweis-gesehen und die Kalenderansicht dpsg-kalender-view als Bedienpräferenzen liegen; diese bleiben bis zum Löschen der Browserdaten. Ein Service Worker (/sw.js) wird nur installiert, wenn du Push-Benachrichtigungen aktivierst und die Browser-Erlaubnis erteilst; er speichert keine Seiteninhalte zwischen.
Diese Speicherungen sind für den von dir gewünschten Dienst unbedingt erforderlich oder merken nur deine eigenen Bedieneinstellungen. Rechtsgrundlage für den Zugriff auf dein Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht nötig. Tracking- oder Werbe-Cookies setzen wir nicht.
Unser selbst betriebener nginx-proxy-manager protokolliert bei Abrufen Zeit, URL, Status, Datenmenge, Referrer, Browserkennung und die IP-Adresse. Zweck ist das berechtigte Interesse am sicheren Betrieb und an der Abwehr von Angriffen (§ 6 Abs. 1 Buchst. g KDG). Access-Logs speichern seit dem 28. September 2026 die IP-Adresse gekürzt (bei IPv4 letzter Block auf 0, bei IPv6 nur die ersten drei Blöcke); früher geschriebene Archive mit voller IP werden durch die Rotation spätestens am 26. Oktober 2026 gelöscht. Error-Logs enthalten aus technischen Gründen weiterhin die volle IP-Adresse. Beide rotieren wöchentlich; es werden höchstens vier Archive aufbewahrt, keines älter als 28 Tage. Logs inaktiver Proxy-Hosts können länger bestehen, weil leere, nie rotierte Dateien nicht weiter rotieren. Die Container-Logs der Anwendung sind auf höchstens 3 Dateien à 10 MB begrenzt.
Im Profil und in der Planung können Namen, Kontaktdaten, Avatar, Gruppen- und Rollen-Zuordnung, Termine, Verfügbarkeiten, Anwesenheit, Protokolle, Dokumente und E-Mail-Kommunikation verarbeitet werden. Sichtbar sind diese Daten im Portal abhängig von Funktion und Berechtigung; persönliche Kalender-Abos werden über eine widerrufbare Token-URL an den von dir gewählten Kalender-Client ausgeliefert. Wer diese URL besitzt, kann die freigegebenen Kalenderdaten abrufen; teile sie daher nicht weiter. Grundlage ist § 6 Abs. 1 Buchst. c KDG für die Organisation der ehrenamtlichen Tätigkeit und § 6 Abs. 1 Buchst. g KDG für betriebliche Nachvollziehbarkeit.
Nicht unmittelbar bei dir erhobene Daten nach § 16 KDG (entspricht Art. 14 DSGVO) stammen aus der DPSG-Mitgliederverwaltung NaMi, aus Einträgen durch Leitende und aus öffentlichen Anmeldungen. Kategorien sind Namen, Geburts- und Kontaktdaten, Mitgliedschafts- und Gruppenzuordnung, Teilnahme- und Planungsangaben sowie bei Veranstaltungen ggf. Gesundheits- und Ermäßigungsangaben von Kindern. Zwecke sind Stammesarbeit, Mitgliederverwaltung und Veranstaltungsorganisation. Grundlage für erforderliche Mitgliedschafts- und Veranstaltungsdaten ist § 6 Abs. 1 Buchst. c KDG; für organisatorische Einträge das berechtigte Interesse nach § 6 Abs. 1 Buchst. g KDG, für Gesundheitsdaten zusätzlich § 11 KDG. Die Quelle und die einschlägigen Hinweise für Kinder und Eltern stehen außerdem auf mitglied.dpsg-serm.de. Interne Zugriffe richten sich nach den vergebenen Rechten, nicht pauschal nach der Bezeichnung „Leitung“.
Administrierende können zur Unterstützung zeitweise „Rolle annehmen“. Beginn und Ende werden mit handelndem und betroffenem Konto im Audit protokolliert. Das Audit erfasst Änderungen, nicht jeden Lesezugriff.
Ausgehende E-Mails werden mit Empfänger, Betreff, Zeit und Versandstatus protokolliert. Der Nachrichteninhalt wird nach 30 Tagen aus dem Mail-Log entfernt; Empfänger, Betreff, Zeit und Status werden ein Jahr nach dem Versand automatisch gelöscht. Berechtigte können das Postfach info@dpsg-serm.de beim E-Mail-Anbieter abrufen; intern wird der Bearbeitungsstatus gespeichert. Grundlage ist § 6 Abs. 1 Buchst. g KDG (nachvollziehbare Kommunikation).
Wenn du Push-Benachrichtigungen selbst aktivierst, werden eine Geräte-Subscription und verschlüsselte Nachrichten an den Push-Dienst deines Browsers übertragen (je nach Gerät Google, Apple, Mozilla oder Microsoft). Der Inhalt ist auf dem Transportweg für den Push-Dienst Ende-zu-Ende verschlüsselt. Du kannst die Subscription in den Einstellungen entfernen. Eine aktivierte Subscription ist keine Garantie, dass derzeit jeder Anlass tatsächlich einen Push auslöst.
Freiwillige Funktionen für Protokoll-Textkorrektur, Bon-Erkennung sowie Beladen und Auspacken verwenden Groq Inc. in den USA (api.groq.com). Dabei werden die zur jeweiligen Aufgabe übergebenen Texte oder Bilder an Groq gesendet; Protokolltexte und Bons können personenbezogene Angaben enthalten. Vor jeder dieser Funktionen steht der Hinweis „Wird zur Verarbeitung an Groq (USA) übermittelt.“ Ein Auftragsverarbeitungsvertrag (DPA), eine Zusage zu Zero Data Retention und Standardvertragsklauseln sind derzeit nicht nachgewiesen. Die Übermittlung erfolgt dennoch, weil der Stammesvorstand am 29. September 2026 ausdrücklich so entschieden hat; die Voraussetzungen des § 40 KDG für eine Drittlandübermittlung sind damit nicht abschließend geklärt. Gib deshalb möglichst keine personenbezogenen Inhalte in diese Funktionen ein. Ansprechpartner ist der Stammesvorstand. Die übrige Nutzung des Portals ist nicht von diesen KI-Funktionen abhängig.
Technische Dienstleister sind IONOS SE, Elgendorfer Str. 57, 56410 Montabaur (Hosting), und STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (E-Mail). Für die genannten freiwilligen Funktionen kommt Groq Inc. (USA) hinzu; bei aktiviertem Push der jeweilige Browser-Push-Dienst. Fachliche Mitgliedsdaten können an die DPSG übermittelt werden, insbesondere bei der NaMi-Verwaltung. Weitere fachliche Empfänger sind hier nicht als regelmäßige Weitergabe bestätigt.
Zur Ausübung der Rechte genügt eine E-Mail an info@dpsg-serm.de.
Für ein persönliches Leiterkonto sind die bei der Registrierung als Pflichtfelder markierten Angaben und ein sicheres Anmeldeverfahren nötig; ohne sie ist der Portalzugang nicht möglich. Freiwillige Push- und KI-Funktionen sind dafür nicht erforderlich. Es findet keine automatisierte Entscheidung über die Aufnahme oder eine rechtlich erhebliche Bewertung deiner Person statt. Auch Juniorleitende im Alter von 16 oder 17 Jahren können betroffen sein.
Bei Änderungen der Verarbeitung wird diese Information angepasst. Die aktuelle Fassung steht auf dieser Seite.
Für die öffentliche Website gilt die Datenschutzerklärung von dpsg-serm.de; für Token-Anmeldungen und Abfragen die Datenschutzinformation des Mitgliederbereichs.