Datenschutzerklärung

1. Verantwortlicher und Geltungsbereich

Diese Erklärung gilt für die Wolkenworte-Website, die Erstellung und Nutzung von Veranstaltungen, die Live-Wortwolke sowie die Konfiguration und optionale Bestellung personalisierter Produkte. Für die öffentliche JUSA-Website gilt die dort veröffentlichte allgemeine Datenschutzerklärung.

2. Hosting und Server-Protokolle

Wolkenworte wird unter wolkenworte.io über Fly.io, Inc. bereitgestellt. Die derzeitige Anwendungsinstanz läuft in Frankfurt am Main. Fly.io verarbeitet zur Auslieferung und Absicherung technisch erforderliche Verbindungs- und Protokolldaten, insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, Browser- und Geräteinformationen sowie Fehler- und Sicherheitsdaten.

Anwendungsdaten sowie private Bild- und Druckdateien werden in einer von Supabase, Inc. bereitgestellten Postgres-Datenbank beziehungsweise einem privaten Objektspeicher gespeichert. Die Anwendung verwendet verschlüsselte Verbindungen und greift mit einer eingeschränkten technischen Datenbankrolle zu.

Unsere strukturierten Anwendungsprotokolle enthalten nur freigegebene technische Kennungen, Status-, Dauer- und Fehlerangaben. Lieferadressen, Käufer-E-Mail-Adressen, Nachrichteninhalte und rohe IP-Adressen werden dort nicht protokolliert. Fly.io und Supabase führen zusätzlich eigene Betriebs- und Sicherheitsprotokolle nach ihren Bedingungen. Die Verarbeitung ist zur Bereitstellung der angeforderten Funktionen nach Art. 6 Abs. 1 lit. b DSGVO und zum sicheren, stabilen Betrieb nach Art. 6 Abs. 1 lit. f DSGVO erforderlich.

Weitere Informationen findest du in den Datenschutzhinweisen von Fly.io und Supabase.

3. Veranstaltungen und Organisator-PIN

Beim Erstellen einer Wortwolke verarbeiten wir den gewählten Titel, die daraus erzeugte Veranstaltungsadresse sowie Erstellungs- und Ablaufzeitpunkt.

Die Organisator-PIN wird nicht im Klartext gespeichert, sondern mit einem individuellen Salt kryptografisch abgeleitet. Sie wird nur für die jeweils angeforderte administrative Aktion übertragen, geprüft und danach verworfen; Wolkenworte stellt kein wiederverwendbares Organisator-Token aus.

Zum Schutz vor automatisierten PIN-Versuchen wird die normalisierte IP-Adresse mit einem geheimen Schlüssel pseudonymisiert. Gespeichert werden nur dieser nicht rückrechenbare Prüfwert, die Anzahl fehlgeschlagener Versuche und die zeitlich begrenzte Sperre.

Die Verarbeitung erfolgt zur Bereitstellung und Verwaltung der gewünschten Veranstaltung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und zur Absicherung administrativer Funktionen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

4. Teilnehmende, Wörter und Live-Anzeige

Teilnehmende benötigen kein Konto. Beim Aufruf einer Veranstaltung wird eine Echtzeitverbindung hergestellt und der verwendete Veranstaltungs-Code technisch verarbeitet. Übermittelte Wörter werden normalisiert, der Veranstaltung zugeordnet und zusammen mit ihrer Häufigkeit und dem letzten Aktualisierungszeitpunkt gespeichert. Damit Teilnehmende einen eigenen Beitrag wieder entfernen können, wird der einzelne Beitrag zusätzlich einer zufälligen technischen Browser-Sitzungskennung zugeordnet. Wolkenworte speichert dabei keine Zuordnung zu einer namentlich identifizierten Person und erstellt keine Profile von Teilnehmenden.

Der Titel und die Wortwolke sind für alle Personen sichtbar, die den Veranstaltungslink kennen. Die zufällig erzeugte Kennung in der Adresse erschwert ein Erraten, ersetzt aber keine Zugangskontrolle. Bitte übermittelt deshalb keine vertraulichen Angaben, besonderen Kategorien personenbezogener Daten oder Inhalte über andere Personen ohne die erforderliche Berechtigung.

Setzt die verwaltende Person die Wortwolke zurück, wird der aktuelle Wortbestand als Archiv gespeichert und die sichtbare Wortwolke geleert. Die Verarbeitung dient der gewünschten Live-Funktion und der gemeinsamen Gestaltung der Veranstaltung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

5. Produktgestaltung und Druckdateien

Wenn eine Wortwolke als Produkt gestaltet wird, speichern wir eine unveränderliche Momentaufnahme der Wörter sowie Produkt, Stückzahl, Farbthema, Platzierung, Bearbeitungen und technische Druckmaße. Daraus wird eine Druckdatei erzeugt. Die Konfiguration bleibt unabhängig von später eingehenden Beiträgen bestehen, damit Vorschau, Zahlung und Herstellung dasselbe Design verwenden.

Die Verarbeitung erfolgt zur Vorbereitung und Durchführung der gewünschten Bestellung gemäß Art. 6 Abs. 1 lit. b DSGVO.

6. Lieferadresse, Preisberechnung und Printful

Wenn du eine Produktvorschau anforderst, übermitteln wir das gespeicherte Design bereits vor einer Bestellung an Printful.

Für die Preisberechnung verarbeiten wir Vor- und Nachname, Straße und Hausnummer, optionalen Adresszusatz, Postleitzahl, Ort, Land und – soweit erforderlich – Bundesstaat oder Region. Außerdem speichern wir Produkte, Stückzahlen je Lieferadresse, Preisbestandteile, Währung, Gültigkeitszeitraum und eine zufällige Angebotskennung.

Wenn du die Lieferung prüfen lässt, übermitteln wir Lieferadresse, Produktvarianten und Stückzahlen an Printful, um Produktions-, Versand- und Steuerkosten sowie Liefermöglichkeiten zu ermitteln. Dies geschieht bereits vor einer Bestellung. Nach einer echten bezahlten Bestellung erhält Printful außerdem die zur Herstellung und Zustellung erforderlichen Bestell- und Druckdaten.

Anbieter ist Printful. Printful kann je nach Verarbeitung als Auftragsverarbeiter oder in eigener Verantwortung handeln. Weitere Informationen enthält die Datenschutzerklärung von Printful. Die Verarbeitung ist zur Angebotserstellung und Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO erforderlich.

7. Zahlung über Stripe und PayPal

Wenn du „Preise und Lieferung prüfen“ auswählst, übermitteln wir Name und Lieferadresse, Produkt- und Versandbeträge, Währung, Produktbeschreibung sowie technische Bestellkennungen an Stripe, um Steuern und den endgültigen Gesamtbetrag zu berechnen und die Zahlungsseite vorzubereiten. Stripe nutzt die Lieferadresse auch zur Steuerberechnung. Beim späteren Öffnen der Zahlungsseite verarbeitet Stripe außerdem Zahlungsinstrumentdaten, IP-Adresse, Geräte- und Betrugspräventionsdaten sowie Kontakt- und gegebenenfalls Rechnungsdaten. Vollständige Kartendaten erhalten wir nicht.

Wir erhalten von Stripe insbesondere die Checkout- und Zahlungsreferenzen, Zahlungsstatus, Betrag, Währung und Zahlungszeitpunkt. Stripe kann Daten für gesetzliche, regulatorische, sicherheitsbezogene und betrugspräventive Zwecke auch in eigener Verantwortung verarbeiten.

Nach einer signaturgeprüften erfolgreichen Zahlung übernehmen wir die von Stripe bestätigte Käufer-E-Mail-Adresse. Wir verwenden sie ausschließlich für erforderliche Bestell-, Versand-, Erstattungs- und Stornierungsnachrichten. Lieferempfänger erhalten dadurch keine Käufer-E-Mail-Adresse.

Für Kunden im Europäischen Wirtschaftsraum sind insbesondere irische Stripe-Gesellschaften beteiligt. Einzelheiten findest du in der Datenschutzrichtlinie und im Privacy Center von Stripe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; gesetzlich erforderliche Nachweise verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO.

Wenn du PayPal als Zahlungsmethode auswählst, erhält PayPal über Stripe die zur Zahlung erforderlichen Bestelldaten, insbesondere Betrag, Währung und Bestellreferenz. PayPal verarbeitet außerdem deine PayPal-Kontodaten, die bei PayPal angegebenen Kontakt- und Adressdaten, Zahlungs- und Transaktionsdaten sowie technische Verbindungs- und Gerätedaten in eigener Verantwortung. Deine PayPal-Zugangsdaten erhalten wir nicht.

Anbieter ist PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg. Einzelheiten findest du in der Datenschutzerklärung von PayPal. Die Verarbeitung zur Zahlung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

8. Speicherung im Browser

Links zu angeforderten Produktvorschauen werden für bis zu zwölf Stunden im Local Storage gespeichert, damit erneutes Öffnen keine neue Vorschau erzeugt. Die Bilder werden direkt von Printful geladen.

Wolkenworte verwendet ein funktionales Sprachpräferenz-Cookie. Daneben bieten wir eine freiwillige Nutzungsanalyse mit Google Analytics 4 an. Ohne deine ausdrückliche Einwilligung laden wir keinen Google-Analytics-Code und senden keine Analysedaten an Google.

Im Session Storage wird eine zufällige, veranstaltungsbezogene Sitzungskennung gespeichert. Sie dient ausschließlich dazu, diesem Browser seine eigenen Wortbeiträge anzuzeigen und nur deren Entfernung zu erlauben.

Die gewählte Sprache wird in einem funktionalen Cookie gespeichert. Die persönliche Farbpalette der Wortwolke, zuletzt verwendete Emojis und Entwürfe im Warenkorb werden lokal gespeichert, damit sie bei weiteren Seitenaufrufen beziehungsweise beim Wechsel zwischen Wortwolke, Konfiguration und Lieferadresse erhalten bleiben. Die Organisator-PIN wird nicht im Browser gespeichert.

Lokale Designentwürfe können sieben Tage lang wiederhergestellt werden; abgelaufene Einträge werden beim nächsten Besuch bereinigt. Lieferangaben und Mengen werden im Browser-Tab für bis zu 24 Stunden zur Wiederherstellung gespeichert. Daraus entsteht keine Bestellung.

Bei der freiwilligen Anmeldung wird eine zufällige, geschützte Sitzungskennung in einem HttpOnly-Cookie für höchstens 30 Tage gespeichert. Eine Anmeldung zur Passwortwiederherstellung ist auf zehn Minuten beschränkt; die Kennung für die Google-Anmeldung ebenfalls. Zugangstokens bleiben verschlüsselt auf dem Server. Kontoentwürfe in diesem Browser sind an das jeweilige Konto gebunden und werden beim Abmelden oder Löschen in diesem Browser entfernt.

Für den Wiedereinstieg merkt sich dieser Browser die zuletzt geöffnete Wortwolke für sieben Tage. Technische Kennungen bereits gekaufter Designs werden ebenfalls bis zu sieben Tage gespeichert, damit sie beim Zurückgehen nicht wieder im Warenkorb erscheinen.

Diese Speicherung ist für die ausdrücklich gewünschten Funktionen erforderlich. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. f DSGVO.

Freiwillige Nutzungsanalyse

Wenn du zustimmst, verarbeitet Google Analytics 4 Seitenaufrufe und ausgewählte Schritte wie Produktwahl, Warenkorb, Preisprüfung und bestätigte Bestellung. Wir übermitteln dafür allgemeine Seitentypen statt individueller Veranstaltungslinks oder Namen. Wörter, Lieferadressen, E-Mail-Adressen, PINs und Stripe-Sitzungskennungen senden wir nicht an Google.

Google Analytics setzt die Cookies _ga und _ga_* zur Unterscheidung von Browsern und Besuchen; sie laufen spätestens nach 180 Tagen ab. Deine Entscheidung speichern wir für 180 Tage in einem eigenen Cookie ohne Nutzerkennung. Google verarbeitet außerdem technische Verbindungs- und Gerätedaten sowie die ungefähre Herkunft des Aufrufs. Eine Weiterverarbeitung außerhalb des Europäischen Wirtschaftsraums ist möglich.

Anbieter ist Google Ireland Limited. Wir nutzen Google Analytics ausschließlich zur Auswertung der Nutzung unseres Angebots und nicht für personalisierte Werbung. Rechtsgrundlage für die Analyse und den Zugriff auf dein Gerät ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit über „Datenschutz-Einstellungen“ auf jeder Seite widerrufen; danach unterbinden wir weitere Analyse und löschen die Analytics-Cookies in diesem Browser. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.

Die Aufbewahrung einzelner Ereignis- und Nutzerdaten in Google Analytics ist auf zwei Monate eingestellt; zusammengefasste Berichte können länger verfügbar sein. Weitere Informationen findest du in den Datenschutzhinweisen von Google.

9. Bestell-E-Mails über Resend

Für erforderliche Bestell-, Versand-, Erstattungs- und Stornierungsnachrichten nutzen wir Resend, einen Dienst der Plus Five Five, Inc. Dabei werden Absender, Käufer-E-Mail-Adresse, Betreff sowie der unveränderliche HTML- und Textinhalt der Nachricht an Resend übermittelt. Wir verarbeiten außerdem die von Resend gemeldete Nachrichtenkennung und Zustellereignisse, um den Versand nachvollziehen und Fehler behandeln zu können. Öffnungs- und Klicktracking ist deaktiviert.

Resend speichert Nachrichtendaten und Zustellprotokolle in den USA. Die EU-Versandregion bestimmt den technischen Versandweg, nicht den Speicherort. Resend nennt EU-Standardvertragsklauseln und das EU-US Data Privacy Framework als Grundlagen für Übermittlungen. Weitere Informationen und Angaben zu den Schutzmaßnahmen enthält die Datenschutzerklärung von Resend.

Die Verarbeitung ist für die Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO sowie für den zuverlässigen Nachweis und die technische Absicherung der Zustellung nach Art. 6 Abs. 1 lit. f DSGVO erforderlich.

10. Empfänger und Drittlandübermittlungen

Empfänger sind Fly.io für Hosting, Supabase für Datenbank, Anmeldung und privaten Dateispeicher, Printful und Versanddienstleister für Herstellung und Lieferung, Stripe für Zahlung und Steuerberechnung sowie Resend für Bestell- und Kontonachrichten. Bei einer PayPal-Zahlung ist auch PayPal beteiligt, bei der Google-Anmeldung Google. Die für die Bestellung erforderlichen Liefer- und Kontaktdaten musst du bereitstellen, damit wir die Bestellung abwickeln können.

Bei erteilter Einwilligung ist Google Empfänger der Analysedaten.

Soweit Anbieter Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, gelten die Anforderungen der Art. 44 ff. DSGVO. Je nach Anbieter stützen sich Übermittlungen insbesondere auf einen Angemessenheitsbeschluss wie das EU-US Data Privacy Framework oder auf EU-Standardvertragsklauseln mit ergänzenden Schutzmaßnahmen.

Informationen zu den jeweiligen Übermittlungsgrundlagen und eine Kopie der einschlägigen Garantien kannst du unter kontakt@jusa.io anfordern; weitere Angaben enthalten die oben verlinkten Anbieterinformationen.

11. Speicherdauer und Löschung

Veranstaltungen, aktuelle und archivierte Wörter sowie technische Beitragsnachweise werden nach drei Kalendermonaten ohne Bearbeitung zur Löschung vorgemerkt und im täglichen Aufräumlauf entfernt. Jede erfolgreiche Bearbeitung verlängert diese Frist; bloßes Anschauen nicht. Unbezahlte Produktkonfigurationen werden dabei ebenfalls entfernt, sofern sie nicht noch für eine aufzuklärende Bestellung benötigt werden.

Unvollendete Adress- und Preisangebote sind zwischen 5 und 120 Minuten gültig, standardmäßig 30 Minuten. Abgelaufene, nicht verwendete Angebote werden nach einer technischen Nachfrist von einem Tag automatisch entfernt. Bezahlte Druckdateien werden mindestens 90 Tage ab Einreichung beziehungsweise 60 Tage nach Zustellung vorgehalten; eine Support-Sperre kann die Löschung verlängern.

Steuerlich erforderliche Bestell- und Zahlungsnachweise einschließlich der notwendigen Adressangaben bewahren wir grundsätzlich acht Jahre nach Ablauf des maßgeblichen Kalenderjahres auf. Bestell- und Erstattungsbestätigungen dienen ebenfalls als Belege und werden acht Jahre aufbewahrt, Versand- und Stornierungsnachrichten grundsätzlich sechs Jahre ab Jahresende. Besondere gesetzliche Pflichten können eine Aufbewahrung von zehn Jahren oder länger erfordern.

Zusätzliche betriebliche Kopien von Liefer- und Kontaktdaten sowie gespeicherte Produktentwürfe entfernen wir drei Jahre nach Ablauf des Jahres der abgeschlossenen Abwicklung. Nicht mehr benötigte technische Fehler- und Anbieterdetails werden nach 90 Tagen entfernt. Sicher unbezahlte Kaufvorgänge werden 30 Tage nach ihrem bestätigten Ablauf gelöscht; unklare Zahlungsfälle bleiben bis zur Klärung geschützt. Gesetzlich erforderliche Nachweise bleiben von diesen kürzeren Fristen unberührt.

Offene Reklamationen, Erstattungen, Rechtsstreitigkeiten oder Prüfungen können die Löschung erforderlicher Daten verlängern. Entsprechende Löschsperren werden regelmäßig überprüft. Für Daten bei Fly.io, Supabase, Stripe, PayPal, Printful und Resend gelten ergänzend deren jeweilige Speicher- und Löschfristen; unsere lokale Löschung entfernt dort gespeicherte Kopien nicht automatisch.

Optionales Konto und gespeicherte Designs

Gestaltung, Teilnahme und Bestellung funktionieren ohne Konto. Wenn du ein Konto erstellst, verarbeiten wir E-Mail-Adresse, Authentifizierungsdaten, gewählte Sprache sowie Erstellungs-, Anmelde- und Nutzungszeitpunkte. Supabase übernimmt die Anmeldung und speichert Passwörter kryptografisch abgeleitet. Resend versendet Bestätigungs-, Wiederherstellungs- und Sicherheitsnachrichten.

Bei „Mit Google fortfahren“ erhalten Supabase und Wolkenworte die Google-Kontokennung, E-Mail-Adresse und grundlegende Profilinformationen wie Name und Profilbild. Wir fordern keinen Zugriff auf Gmail oder andere Google-Inhalte an. Für Google gilt zusätzlich dessen Datenschutzerklärung unter policies.google.com/privacy.

Nur beim ausdrücklichen Speichern übertragen wir dein bearbeitbares Design mit Namen, Produkt, Wörtern, Farben, Schriften, Anordnung, Bildern und Vorschau in einen privaten Dateispeicher. Weitere Änderungen werden nicht automatisch im Konto gespeichert. Pro Konto sind höchstens 20 Designs und insgesamt 100 MB vorgesehen. Die Verarbeitung dient der von dir angeforderten Kontofunktion nach Art. 6 Abs. 1 lit. b DSGVO; Sicherheitsmaßnahmen und begrenzte technische Nachweise beruhen auf Art. 6 Abs. 1 lit. f DSGVO.

Ein Design läuft drei Kalendermonate nach dem letzten vollständigen Öffnen, ausdrücklichen Speichern oder bestätigten erfolgreichen Kauf ab. Das Ablaufdatum wird beim Design angezeigt. Anmeldung, Übersicht und Hinzufügen zum Warenkorb verlängern die Frist nicht. Nicht bestätigte Registrierungen löschen wir nach sieben Tagen; bestätigte Konten ohne Designs nach zwölf Monaten ohne Kontonutzung.

Du kannst Designs oder dein Konto dauerhaft löschen. Der Zugriff endet sofort; Dateien und Authentifizierungsdaten werden unmittelbar zur Löschung übergeben. Bei einer Anbieter-Störung wiederholen wir die technische Löschung. Es gibt keinen Papierkorb. Eine technische Kontokennung bleibt höchstens 35 Tage als Sperrvermerk bestehen, damit bereits laufende Anmeldungen ein gelöschtes Konto nicht wiederherstellen. Kurzlebige Speicher- und Versandnachweise werden nach einem Tag bereinigt. Unabhängige Warenkorbkopien und erforderliche Bestellnachweise unterliegen ihren eigenen Fristen.

In „Mein Konto“ kannst du E-Mail-Adresse und Passwort ändern, deine Kontodaten und bearbeitbaren Designs herunterladen sowie dein Konto nach erneuter Identitätsbestätigung löschen. Weitere Datenschutzrechte kannst du unter kontakt@jusa.io geltend machen. Anbieter-Protokolle und vorhandene Sicherungskopien unterliegen deren gesonderten Löschfristen; daraus werden gelöschte Konten und Designs nicht wieder für den normalen Betrieb freigeschaltet.

12. Deine Rechte

Nach Maßgabe der DSGVO hast du insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Beruht eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen.

Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig für uns ist insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

13. Datenschutzanfragen und Änderungen

Richte Datenschutzanfragen bitte an kontakt@jusa.io. Nenne nach Möglichkeit den Veranstaltungslink und übermittle die Organisator-PIN nicht per E-Mail. Zur Vermeidung unbefugter Auskünfte können wir einen geeigneten Nachweis deiner Berechtigung oder Identität verlangen.

Wir aktualisieren diese Erklärung, wenn Wolkenworte, die eingesetzten Anbieter oder die rechtlichen Anforderungen wesentlich geändert werden.