Datenschutzerklärung
Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten die Web-App „AK-Verwaltung“ unter https://www.acon-ak.de verarbeitet, wofür und wie lange. Sie richtet sich an Teilnehmerinnen und Teilnehmer der ACON-Arbeitskreise sowie an die Arbeitskreisleitungen, die die App nutzen.
1. Verantwortlicher und Kontakt
Verantwortlich für die Daten eines Arbeitskreises ist die jeweilige Arbeitskreisleitung. Die App selbst wird von Heiko Eulenberger betrieben, der für die anderen Arbeitskreise als Auftragsverarbeiter tätig ist.
| Rolle | Wer | Kontakt |
|---|---|---|
| Verantwortlicher (je Arbeitskreis) | Leitung des Arbeitskreises Hamburg, Heiko Eulenberger | Hamburger Straße 97a, 22949 Ammersbek, praxis@osteopathie-eulenberger.de |
| Verantwortlicher (je Arbeitskreis) | Leitung des Arbeitskreises Recklinghausen, Julia Maaß | Hirtenstr. 29, 45665 Recklinghausen, info@naturheilpraxis-maass.de |
| Betreiber der App (Auftragsverarbeiter) | Heiko Eulenberger | Hamburger Straße 97a, 22949 Ammersbek, praxis@osteopathie-eulenberger.de |
2. Welche Daten verarbeitet werden
Die App verarbeitet nur Daten, die für die Organisation der Arbeitskreise, Einladungen und Fortbildungsnachweise nötig sind. Gesundheits- oder Patientendaten werden nicht gespeichert.
| Personengruppe | Daten | Herkunft |
|---|---|---|
| Teilnehmende | Vorname, Nachname, optional Rufname, E-Mail-Adresse, optional Anschrift (Straße, PLZ, Ort), Wunsch nach Einladungs-E-Mails (ja/nein), Kennzeichen „Arbeitskreisleitung“ | Anmeldung bei der AK-Leitung, ggf. CSV-Import |
| Teilnehmende je Termin | Anmeldung, Vermerk „bezahlt“, kurze Notiz der AK-Leitung (z. B. „kommt später“), Teilnahme, Rolle (Teilnehmer/Referent), Fortbildungspunkte | Erfassung durch die AK-Leitung |
| Teilnehmende je Jahr | Teilnahmebescheinigung als PDF (Name, Termine, Punkte) | von der App erzeugt |
| Teilnehmende | eingescannte Anwesenheitslisten als PDF (mit Namen und Unterschriften) | Upload durch die AK-Leitung |
| Externe Referentinnen/Referenten | Name | Erfassung durch die AK-Leitung |
| Arbeitskreisleitungen | Benutzername, Vor- und Nachname, Rufname, Passwort (nur als Hash), E-Mail-Adresse, optional Zugangsdaten zum eigenen Mailserver (Passwort verschlüsselt), Signatur, Logo | Registrierung und Konto-Einstellungen |
| Alle Nutzenden der Anmeldeseite | IP-Adresse und Benutzername bei Anmeldeversuchen und Passwort-Zurücksetzungen, IP-Adresse bei Registrierungsversuchen | automatisch |
| Empfänger von E-Mails | Versandprotokoll: Datum, Empfänger, Betreff, Status, ggf. Fehlermeldung des Mailservers | automatisch |
| Alle Aufrufe der App | Server-Protokoll: IP-Adresse, Zeitpunkt, aufgerufene Seite, Status, Browserkennung | automatisch |
| Aufrufe von acon-ak.de ohne „www“ | gekürzte IP-Adresse, Zeitpunkt, aufgerufene Adresse (bei ALL-INKL.COM, siehe Abschnitt 5) | automatisch |
| Arbeitskreisleitungen | Ereignisprotokoll: Anmeldungen, Abmeldungen, Passwort- und Einstellungsänderungen mit Zeitpunkt, Benutzername, IP-Adresse | automatisch |
3. Zwecke und Rechtsgrundlagen
Die Daten dienen ausschließlich der Durchführung der Arbeitskreise. Es gibt kein Tracking, keine Werbung und keine Weitergabe zu Marketingzwecken.
| Zweck | Rechtsgrundlage (DSGVO) |
|---|---|
| Verwaltung der Teilnehmenden, Anmeldungen, Teilnahmen und Punkte | Art. 6 Abs. 1 lit. b (Teilnahme am Arbeitskreis) |
| Ausstellen und Versenden der Teilnahmebescheinigungen | Art. 6 Abs. 1 lit. b; ggf. lit. c, soweit Fortbildungsnachweise gefordert sind |
| Einladungen, Terminübersichten und Rundschreiben per E-Mail | Art. 6 Abs. 1 lit. f (berechtigtes Interesse an der Organisation); Widerspruch jederzeit über den Abmeldelink in den E-Mails |
| Weitergabe der Anwesenheitslisten an die ACON e.V. | Art. 6 Abs. 1 lit. b bzw. f (Nachweis gegenüber dem Verband) |
| Konten der AK-Leitungen | Art. 6 Abs. 1 lit. b (Nutzung der App) |
| Schutz vor Missbrauch und Angriffen (Anmeldeversuche, Passwort-Zurücksetzung, Versandprotokoll, automatische Angriffserkennung) | Art. 6 Abs. 1 lit. f (IT-Sicherheit) |
| Weiterleitung von acon-ak.de auf www.acon-ak.de | Art. 6 Abs. 1 lit. f (Erreichbarkeit der App) |
Eine automatisierte Entscheidungsfindung oder Profilbildung findet nicht statt.
4. E-Mail-Versand und Empfänger
Jede E-Mail geht einzeln an genau eine Person; andere Empfänger sind nicht sichtbar. Vor dem Versand prüft die App per DNS-Abfrage, ob die Domain der E-Mail-Adresse existiert.
- Mailserver: Die E-Mails werden entweder über den Mailserver des Betreibers bei ALL-INKL.COM (Neue Medien Münnich, Friedersdorf, Deutschland) oder über das E-Mail-Postfach versendet, das die jeweilige AK-Leitung selbst nutzt. Der jeweilige E-Mail-Anbieter erhält dabei Empfängeradresse, Betreff und Inhalt. Welchen Anbieter Ihre AK-Leitung nutzt, erfahren Sie auf Nachfrage bei ihr.
- Antworten: Antworten gehen an die E-Mail-Adresse der AK-Leitung.
- ACON e.V.: Erhält auf Auslösen der AK-Leitung die Anwesenheitslisten eines Jahres als PDF.
- Andere Arbeitskreise: Sehen keine Daten fremder Arbeitskreise. Der Systemadministrator sieht nur Name und Leitung jedes Arbeitskreises, keine Teilnehmerdaten.
- Domain-Anbieter (ALL-INKL.COM): Verwaltet die Domain acon-ak.de und leitet Aufrufe ohne „www“ weiter (siehe Abschnitt 5). Dabei erhält ALL-INKL.COM die IP-Adresse der Aufrufenden. Inhalte der App oder Teilnehmerdaten erhält ALL-INKL.COM dadurch nicht.
- Angriffserkennung (CrowdSec): Fällt eine IP-Adresse durch typische Angriffsmuster auf (siehe Abschnitt 5), meldet der Server IP-Adresse, Zeitpunkt und Art des Angriffs an die CrowdSec SAS, Paris (Frankreich). Daraus entsteht eine gemeinsame Sperrliste, die der Server im Gegenzug bezieht. Bei normaler Nutzung der App wird nichts übermittelt.
- Drittländer: Die App selbst übermittelt keine Daten in Länder außerhalb der EU. Nutzt eine AK-Leitung einen E-Mail-Anbieter außerhalb der EU, ist sie dafür verantwortlich, dass dies zulässig ist.
5. Hosting, Sicherheit, Cookies und Protokolle
Die App läuft auf einem eigenen Server des Betreibers in Deutschland, nicht bei einem Cloud-Anbieter. Externe Dienste wie Schriftarten, Statistik oder Tracking werden nicht eingebunden.
- Adresse und Weiterleitung: Die App ist unter https://www.acon-ak.de erreichbar. Die Domain acon-ak.de wird bei ALL-INKL.COM verwaltet. Wer acon-ak.de ohne „www“ aufruft, wird von einem Server von ALL-INKL.COM in Deutschland auf www.acon-ak.de weitergeleitet. ALL-INKL.COM protokolliert dabei den Aufruf; die IP-Adresse wird dort nur gekürzt gespeichert, und diese Protokolle werden nach 180 Tagen gelöscht. Alle weiteren Aufrufe gehen direkt an den Server des Betreibers.
- Verbindung: Der Zugriff erfolgt ausschließlich verschlüsselt über HTTPS.
- Cookies: Es wird nur ein technisch notwendiges Sitzungs-Cookie gesetzt, das die Anmeldung hält und beim Schließen des Browsers verfällt. Eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 TDDDG).
- Zugriff: Jede AK-Leitung sieht nur die Daten des eigenen Arbeitskreises. Passwörter werden nur als Hash gespeichert, Mailserver-Passwörter verschlüsselt.
- Server-Protokolle: Der Webserver protokolliert bei jedem Aufruf IP-Adresse, Zeitpunkt, aufgerufene Seite (ohne Link-Parameter), Status und Browserkennung; technische Fehler werden ebenfalls protokolliert. Diese Protokolle werden nach 30 Tagen gelöscht.
- Ereignisprotokoll: Die App protokolliert Anmeldungen und Anmeldeversuche, Abmeldungen, Passwort-Änderungen, Änderungen an Einstellungen und fehlgeschlagene E-Mails mit Zeitpunkt, Benutzername und IP-Adresse – ohne Teilnehmerdaten. Einsehen kann es nur der Betreiber. Es wird nach 30 Tagen gelöscht.
- Angriffsabwehr: Ein Schutzprogramm (CrowdSec) wertet die Zugriffsprotokolle auf dem Server aus und sperrt IP-Adressen, die durch Angriffsmuster auffallen – etwa die Suche nach Zugangsdaten, das Ausnutzen bekannter Sicherheitslücken oder das Erraten von Passwörtern – automatisch für einige Stunden. Zusätzlich werden IP-Adressen gesperrt, die auf der Sperrliste der CrowdSec-Gemeinschaft stehen.
- Datensicherung: Die Datenbank wird täglich verschlüsselt gesichert (am Standort des Servers und dezentral in der Praxis über eine gesicherte VPN-Verbindung). Gelöschte Daten bleiben in Sicherungen bis zu 6 Monate erhalten.
6. Speicherdauer und Löschung
Daten werden gelöscht, sobald sie für den Zweck nicht mehr nötig sind. Wird eine Person gelöscht, entfernt die App automatisch auch ihre Anmeldungen, Teilnahmen, Bescheinigungen und Versandprotokolle.
| Daten | Speicherdauer |
|---|---|
| Anmeldeversuche, Versuche zur Passwort-Zurücksetzung und Registrierungsversuche (IP, Benutzername) | 1 Tag |
| Server-Protokolle und Ereignisprotokoll (IP, Zeitpunkt, Benutzername, Vorgang) | 30 Tage |
| Protokolle der Weiterleitung bei ALL-INKL.COM (gekürzte IP-Adresse, Zeitpunkt, Adresse) | 180 Tage |
| Links zur Passwort-Zurücksetzung | 1 Stunde gültig, nach spätestens 2 Tagen gelöscht |
| Fehlgeschlagene E-Mail-Sendungen (Protokoll) | 90 Tage |
| Erfolgreiche E-Mail-Sendungen (Protokoll) | 2 Jahre |
| Teilnehmerdaten, Teilnahmen, Bescheinigungen | bis zum Austritt aus dem Arbeitskreis; die AK-Leitung löscht sie spätestens 6 Monate danach |
| Eingescannte Anwesenheitslisten | für die Dauer des Bestehens des Arbeitskreises, als dauerhafter Nachweis der Teilnahme an Fortbildungen (z. B. für spätere Nachfragen zu Fortbildungspunkten); bei Auflösung des Arbeitskreises werden sie gelöscht |
| Konten der AK-Leitungen | bis zur Löschung des Arbeitskreises |
| Datensicherungen | gelöschte Daten bleiben bis zu 6 Monate in Sicherungen erhalten |
| Sperren auffälliger IP-Adressen (Angriffsabwehr) | 4 Stunden; Erkennungsprotokoll auf dem Server höchstens 7 Tage |
Der Wunsch, keine E-Mails aus dem Arbeitskreis mehr zu erhalten, wird dauerhaft gespeichert, damit er beachtet werden kann.
7. Ihre Rechte
Sie können jederzeit Auskunft über Ihre gespeicherten Daten verlangen und deren Berichtigung, Löschung oder Einschränkung fordern. Wenden Sie sich dazu formlos an die Leitung Ihres Arbeitskreises.
- Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20)
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21), insbesondere gegen E-Mails aus dem Arbeitskreis – am einfachsten über den Abmeldelink in den E-Mails
- Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77), z. B. beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit oder der Behörde Ihres Wohnorts
8. Stand und Änderungen
Stand: 06.11.2026. Bei neuen Funktionen der App wird diese Erklärung angepasst; die jeweils aktuelle Fassung ist in der App und über den Link in jeder E-Mail abrufbar.