Datenschutz

Diese Erklärung gilt für die Website www.spenden.live und für die Plattform unter app.spenden.live. Sie beschreibt, welche personenbezogenen Daten wir verarbeiten, wofür, auf welcher Rechtsgrundlage und wie lange — und welche Rechte Sie haben.

spenden.live hat dabei zwei Rollen: Für die Website, die Konten der Vereine, die Abrechnung und unsere eigene Werbung sind wir Verantwortlicher. Für die Spenden, die ein Verein über spenden.live sammelt, ist der Verein verantwortlich; wir verarbeiten diese Daten nur in seinem Auftrag (Abschnitt 6).

1. Verantwortlicher

Klaus Pampuch
Frankenforster Str. 44
51427 Bergisch Gladbach
Telefon: +49 155 69546007
E-Mail: info@spenden.live

Für alle Fragen zum Datenschutz genügt eine formlose Nachricht an diese Adresse.

2. Aufruf der Website www.spenden.live

Die Website kommt ohne Cookies, ohne Tracking-Skripte, ohne Analyse-Werkzeuge und ohne eingebundene Inhalte Dritter aus. Schriften, Bilder, Stilvorlagen und die Filme liegen auf unserem eigenen Speicher; Videoplattformen wie YouTube sind nicht eingebunden.

Beim Aufruf überträgt Ihr Browser technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, die zuvor besuchte Seite (Referrer) sowie Angaben zu Browser und Betriebssystem. Wir verarbeiten sie, um die Seite auszuliefern und um Betrieb und Sicherheit zu gewährleisten (Art. 6 Abs. 1 Buchst. f DSGVO). Die IP-Adresse verarbeiten wir nur für die Dauer der Auslieferung; sie wird nicht gespeichert.

Zählung der Aufrufe. Um zu wissen, wie oft welche Seite aufgerufen wird, erstellt Amazon CloudFront für uns ein Zugriffsprotokoll ohne IP-Adresse. Es enthält je Aufruf Datum und Uhrzeit, die aufgerufene Seite, den Statuscode, die zuvor besuchte Seite (Referrer), die Kennung Ihres Browsers und das Land, das CloudFront aus der IP-Adresse ableitet; die IP-Adresse selbst, Abfrageparameter und Cookies enthält es nicht. Einmal pro Stunde bilden wir daraus Summen je Tag – Aufrufe je Seite, Aufrufe von außerhalb der Website, verweisende Website (nur deren Adresse, ohne Pfad), Land und Geräteart (Computer, Smartphone, Tablet, Programm) – und löschen das Protokoll gleich danach, spätestens nach zwei Tagen. Die Summen lassen keinen Rückschluss auf einzelne Besucher zu. Auf Ihrem Gerät wird dafür nichts gespeichert oder ausgelesen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist, die Reichweite unserer Website und unserer Werbung zu kennen und die Website zu verbessern.

Herkunft aus unseren Anzeigen. Links in unseren Anzeigen (etwa bei Google, Instagram oder Facebook) tragen ein kurzes Kürzel in der Adresse, zum Beispiel ?von=instagram. Ein kleines Skript auf der Website hängt dieses Kürzel an die Links zur Registrierung und zu anderen Seiten der Website, damit es beim Weiterklicken erhalten bleibt; es setzt kein Cookie und speichert nichts auf Ihrem Gerät. Registrieren Sie einen Verein, speichern wir das Kürzel zusammen mit der Registrierung, damit wir sehen, welche Anzeige zu Registrierungen führt. Ohne Registrierung speichern wir es nicht; das Zugriffsprotokoll enthält keine Abfrageparameter. Die Website lädt keine Pixel oder Skripte von Google oder Meta. Google erfährt von uns nicht, ob Sie sich registriert haben. Kommen Sie über eine Anzeige bei Instagram oder Facebook, hängt Meta an den Link zusätzlich eine Klick-Kennung (fbclid) an; das Skript reicht auch sie nur bis zur Registrierung weiter. Was wir damit an Meta melden, steht in Abschnitt 4 unter „Erfolgsmessung unserer Anzeigen bei Meta“. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist, den Erfolg unserer Werbung zu messen. Wir löschen das Kürzel mit den übrigen Kontodaten des Vereins (Abschnitt 9).

Die beiden Filme auf der Startseite sind mit künstlicher Intelligenz erzeugt; Verein, Personen und Beträge darin sind erfunden. Der Hintergrundfilm läuft stumm, der Werbefilm startet erst, wenn Sie ihn abspielen.

Anfrage zu Sonderkonditionen. Von der Preisseite führt ein Link zu einem Formular auf app.spenden.live. Schicken Sie es ab, speichern wir den Namen Ihres Vereins oder Verbands, Ort und Website, Ihre Angaben zum Vorhaben (Zahl der Spendenaktionen, erwartetes und bisheriges Spendenaufkommen, bei Verbänden die Zahl der Mitgliedsvereine), Ihre Nachricht sowie Name, Funktion, E-Mail-Adresse und Telefonnummer der Ansprechperson (Art. 6 Abs. 1 Buchst. b DSGVO, Maßnahmen auf Ihre Anfrage vor einem Vertrag). Sind Sie dabei bei spenden.live angemeldet, ordnen wir die Anfrage Ihrem Verein zu. Die Angaben und unsere Notizen dazu sehen nur wir in unserer Verwaltung; unsere Admins erhalten einen Hinweis per E-Mail ohne Ihre Kontaktdaten. Ordnen wir die Anfrage einem Verein in unserer Kontaktverwaltung zu (Abschnitt 4), steht sie dort im Verlauf. Wir löschen die Anfrage zwei Jahre nach dem Eingang.

Gespräch per Zoom buchen. Von der Website führt ein Link zu einer Seite auf app.spenden.live, auf der Sie einen Termin für ein Gespräch per Zoom wählen. Dafür speichern wir die gewählte Zeit, Ihren Namen, Ihre E-Mail-Adresse und, wenn Sie sie angeben, den Namen Ihres Vereins und worum es gehen soll (Art. 6 Abs. 1 Buchst. b DSGVO, Maßnahmen auf Ihre Anfrage vor einem Vertrag). An Ihre E-Mail-Adresse schicken wir einen Link zum Bestätigen; erst danach steht der Termin, und Sie bekommen den Zoom-Link mit einem Kalendereintrag. Über denselben Link verlegen Sie den Termin oder sagen ihn ab. Unsere Admins erhalten einen Hinweis per E-Mail ohne Ihren Namen und Ihre Adresse. Ist Ihre E-Mail-Adresse in unserer Kontaktverwaltung genau einem Verein zugeordnet (Abschnitt 4), ordnen wir den Termin diesem Verein zu, sonst tun wir das gegebenenfalls von Hand; er steht dann dort im Verlauf (Art. 6 Abs. 1 Buchst. f DSGVO, unser berechtigtes Interesse ist, Vereine im Zusammenhang zu betreuen). Zum Termin selbst und zu Zoom siehe Abschnitt 4 unter „Termine per Zoom“. Bestätigen Sie den Termin nicht, löschen wir die Angaben einen Tag nach Ablauf der Reservierung, sonst zwölf Monate nach dem Termin. Damit die Startseite die nächsten freien Zeiten zeigen kann, ruft Ihr Browser sie beim Laden von app.spenden.live ab; übertragen werden dabei nur die Zeiten, keine Angaben über Sie. Wie jeder Aufruf der Plattform erscheint auch dieser mit IP-Adresse im Serverprotokoll (Abschnitt 5.9).

3. Kurzlinks aus unseren Postkarten und E-Mails

Adressen der Form www.spenden.live/t/CODE führen zur Plattform. Beim Aufruf speichern wir zum Code den Zeitpunkt und eine auf 200 Zeichen gekürzte Kennung Ihres Browsers (User-Agent), nicht Ihre IP-Adresse. Danach zeigt die Plattform Seiten zu der Karte: eine Begrüßung mit dem Namen des angeschriebenen Vereins, eine Beispiel-Spendenseite, auf der eine Zahlung nur simuliert wird, eine Beispiel-Leinwand, eine Muster-Zuwendungsbestätigung mit den Angaben des Vereins aus dem Register und die nächsten Schritte. Zum Code halten wir fest, welche dieser Seiten aufgerufen wurden und ob sich der Verein danach registriert hat. So erkennen wir, ob und wie eine Karte genutzt wurde. Ein Cookie setzen wir dabei nicht; der Code steht nur in der Adresse. Einen Namen, den Sie auf der Beispielseite eingeben, behält Ihr Browser für die Dauer der Sitzung; an uns wird er nicht übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse liegt darin, den Erfolg unserer Werbung zu messen. Wir löschen diese Angaben zwölf Monate nach dem Versand der Karte, spätestens zwölf Monate nach dem Aufruf. Wie jeder Aufruf der Plattform erscheint auch dieser mit IP-Adresse im Serverprotokoll (Abschnitt 5.9), dort ohne den Code.

Kurzlinks in unseren E-Mails. Der Knopf in unseren Werbe- und Informations-Mails (Abschnitte 4 und 5.10) führt über einen solchen Kurzlink mit eigenem Code je Empfänger. Beim Klick speichern wir wie oben Zeitpunkt und gekürzte Browserkennung zum Code und leiten direkt zu der Seite weiter, auf die die Mail verweist. Ob Sie eine Mail öffnen, messen wir nicht: Unsere Mails enthalten keine Zählpixel und laden keine Inhalte nach. Rechtsgrundlage und Löschfrist wie oben.

Link per E-Mail. Auf Wunsch schicken wir den Link zu der Karte an eine E-Mail-Adresse, die Sie angeben (Art. 6 Abs. 1 Buchst. b DSGVO). Die Adresse nutzen wir nur für diese eine Mail (Versand über Amazon Simple Email Service, Abschnitt 5.10); sie steht bis dahin in unserer Versandwarteschlange und wird eine Stunde nach dem Versand gelöscht. Im Mailprotokoll bleibt, wie bei jeder Mail, nur eine Prüfsumme der Adresse.

Rückruf. Wenn Sie einen Rückruf vereinbaren, speichern wir Ihren Namen, Ihre Telefonnummer und, falls angegeben, Ihren Wunsch mit dem Code der Karte und rufen Sie an (Art. 6 Abs. 1 Buchst. b DSGVO, Maßnahmen auf Ihre Anfrage vor einem Vertrag). Die Angaben und unsere Notizen zum Gespräch sehen nur wir in unserer Verwaltung. Wir löschen sie zwölf Monate nach Ihrer Anfrage.

Keine Post mehr. Mit „Keine Post mehr von uns“ auf diesen Seiten widersprechen Sie unserer Werbung (Abschnitt 4). Als Nachweis halten wir den Widerspruch mit Zeitpunkt und IP-Adresse im Änderungsprotokoll fest (Abschnitt 5.9).

4. Unsere Werbung an steuerbegünstigte Vereine (Information nach Art. 14 DSGVO)

Wir schreiben gemeinnützige Vereine per Post an, um spenden.live vorzustellen. Die Anschriften stammen aus dem öffentlichen Zuwendungsempfängerregister des Bundeszentralamts für Steuern (§ 60b AO). Wir übernehmen daraus Name, Anschrift, steuerbegünstigte Zwecke, zuständiges Finanzamt, Registerkennung und die dort genannte Website; zu jedem Anschreiben speichern wir einen Code, den Versandstand und Notizen. Angaben über Vereine sind meist keine personenbezogenen Daten; sie können es sein, wenn der Name des Vereins eine Person nennt.

Angaben von der Website des Vereins. Für Vereine, die zu unserem Angebot passen, suchen wir die Website des Vereins in OpenStreetMap und über eine Suchmaschine und lesen dort öffentlich zugängliche Angaben: welche Veranstaltungen der Verein ausrichtet, wann er zuletzt aktiv war, ob er um Spenden bittet und welches Spendenwerkzeug er nutzt. Aus dem Impressum übernehmen wir Name und Funktion der vertretungsberechtigten Person, damit wir unsere Post an sie richten können; Telefonnummern und E-Mail-Adressen übernehmen wir von dort nicht. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist, die Vereine, für die unser Angebot gedacht ist, gezielt und persönlich anzusprechen. Wir löschen die Angaben mit den übrigen Angaben zum Verein zwei Jahre nach der letzten Änderung oder sobald der Verein widerspricht.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist die Werbung für unser Angebot bei Vereinen, für die es gedacht ist. Für Druck und Versand setzen wir einen Dienstleister ein, der die Anschriften nur in unserem Auftrag verarbeitet. Die Registerdaten gleichen wir mit dem Register ab und löschen, was dort nicht mehr steht; Angaben zu einem Anschreiben löschen wir zwölf Monate nach dem Versand.

Kommen wir mit einem Verein ins Gespräch, halten wir die Ansprechperson mit Funktion, Telefonnummer und E-Mail-Adresse fest, so wie sie uns genannt wurden, dazu den Stand des Kontakts, eigene Schlagworte, mit denen wir Vereine gruppieren, und Notizen zu Gesprächen, Mails und Briefen. Mit dem Versand einer Karte nehmen wir den angeschriebenen Verein in diese Kontaktverwaltung auf. Registriert sich ein Verein bei spenden.live, ordnen wir die Registrierung seinem Eintrag zu, damit wir sehen, ob unsere Werbung dazu geführt hat. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist die Pflege unserer Kontakte zu den Vereinen, für die unser Angebot gedacht ist. Diese Angaben löschen wir zwei Jahre nach der letzten Änderung.

E-Mails mit Vereinen. Schreiben wir einem Verein aus unserer Kontaktverwaltung eine E-Mail, geht sie über unser Postfach bei IONOS. Das ist entweder eine Antwort auf eine Anfrage des Vereins oder Werbung mit Ihrer Einwilligung. Die Mail speichern wir beim Eintrag des Vereins, mit Absender, Empfänger, Betreff, Text und der Grundlage, auf der wir schreiben. Mails, die wir direkt im Postfach schreiben (etwa am Handy), übernehmen wir ebenso, wenn sie an eine Adresse gehen, die wir für einen Verein gespeichert haben, oder auf eine Mail antworten, die wir einem Verein zugeordnet haben; andere übernehmen wir nicht. Eingehende Mails an unser Postfach übernehmen wir mit Absender (Name und Adresse), Betreff, Text und den Namen von Anhängen; die Anhänge selbst bleiben im Postfach. Bezieht sich eine Mail auf eine unserer Mails oder kommt sie von einer Adresse, die wir für einen Verein gespeichert haben, ordnen wir sie diesem Verein zu. Sonst ordnen wir sie von Hand zu und können dabei die Absenderadresse beim Verein vermerken, damit spätere Mails von dort von selbst zugeordnet werden. Mails, die wir keinem Verein zuordnen, löschen wir nach 90 Tagen; solche, die wir als unerheblich markieren, und automatische Mails wie Abwesenheitsnotizen, Newsletter und Zustellberichte nach 30 Tagen. Bei registrierten Vereinen sehen wir beim Eintrag auch die Anfragen, die der Verein über die Hilfe in der Verwaltung an uns gerichtet hat. Links in unseren Mails tragen einen Herkunftsvermerk; ob und wann Sie eine Mail öffnen, erfassen wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, wenn wir auf Ihre Anfrage antworten, sonst Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist, den Austausch mit einem Verein vollständig an einer Stelle zu haben. Für Werbung per E-Mail gilt der übernächste Absatz. Wir löschen diese Mails mit den übrigen Angaben zum Verein zwei Jahre nach der letzten Änderung.

Entwürfe mit einem Sprachmodell. Für die Antwort auf eine E-Mail können wir uns einen Entwurf von einem Sprachmodell schreiben lassen (Claude von Anthropic). Dazu übermitteln wir im Einzelfall den Mailwechsel mit dem Verein – Absender, Empfänger, Betreff und Text, ohne Anhänge – und die Angaben aus unserer Kontaktverwaltung zum Verein: Name, Ort, Stand des Kontakts und den Verlauf mit unseren Notizen, ohne Telefonnummern. Dasselbe gilt für Anfragen, die ein registrierter Verein über die Hilfe in der Verwaltung stellt: Dann übermitteln wir den Verlauf der Anfrage – Betreff, Texte, die E-Mail-Adresse der fragenden Person und die Namen von Anhängen, ohne die Anhänge selbst –, dazu Name, Ort und Stand der Freischaltung des Vereins sowie unsere internen Notizen zur Anfrage. Das geschieht nur, wenn wir es für eine einzelne Mail oder Anfrage auslösen; eingehende Mails und Anfragen gehen nicht von selbst an das Modell. Jeden Entwurf lesen und ändern wir, bevor wir ihn senden; das Modell sendet nichts und entscheidet nichts. Anthropic verarbeitet die Daten in unserem Auftrag, verwendet sie nicht zum Trainieren von Modellen und löscht sie nach eigenen Angaben in der Regel binnen 30 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, wenn wir auf Ihre Anfrage antworten, sonst Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist, Anfragen von Vereinen zügig und richtig zu beantworten.

Termine per Zoom. Bei einer Anfrage über die Hilfe in der Verwaltung können wir einen Termin per Videokonferenz anbieten, etwa um gemeinsam auf eine Einstellung zu schauen, oder der Verein bucht ihn dort selbst; Interessenten buchen ein Gespräch über die Seite app.spenden.live/termin (Abschnitt 2). Dafür nutzen wir Zoom. Beim Anlegen des Termins übermitteln wir Zoom nur die Nummer der Anfrage bzw. ein allgemeines Thema, Beginn und Dauer; Namen und Adressen gehen nicht an Zoom. Damit wir nur freie Zeiten anbieten, gleichen wir mit unserem eigenen Kalender ab: Wir lesen dort nur, wann wir belegt sind, und tragen einen gebuchten Termin nur als belegte Zeit ein, ohne Nummer der Anfrage, Namen, Adressen oder Zoom-Link. Wer am Termin teilnimmt, gibt Zoom den angezeigten Namen, auf Wunsch Bild und Ton und, wenn der Bildschirm geteilt wird, dessen Inhalt; dazu verarbeitet Zoom technische Daten wie IP-Adresse und Gerät. Wir bitten darum, nur das Browserfenster mit spenden.live zu teilen. Der Termin wird nicht aufgezeichnet, nicht transkribiert und nicht von einer KI zusammengefasst. Die Teilnahme ist freiwillig; jede Anfrage lässt sich auch schriftlich klären. Zoom verarbeitet die Daten in unserem Auftrag. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, wenn wir eine Anfrage eines Vereins oder Interessenten bearbeiten, sonst Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist, Fragen zur Bedienung schnell und verständlich zu klären. Sind auf einem geteilten Bildschirm Daten zu sehen, die wir im Auftrag des Vereins verarbeiten, gilt dafür die Vereinbarung zur Auftragsverarbeitung mit dem Verein.

Werbung per E-Mail. Per E-Mail werben wir nur mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO, § 7 Abs. 2 Nr. 2 UWG), etwa wenn Sie sich per Mail bei uns vormerken lassen, und bei den Admins registrierter Vereine (Abschnitt 5.10). Zur Einwilligung speichern wir Ihre E-Mail-Adresse sowie Datum und Nachweis der Einwilligung. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), über den Abmeldelink in jeder Mail oder mit einer Nachricht an info@spenden.live. Den Widerruf halten wir mit Zeitpunkt und IP-Adresse im Änderungsprotokoll fest (Abschnitt 5.9). Meldet unser Versanddienst eine Adresse als unzustellbar oder als Beschwerde über unerwünschte Post, vermerken wir das und schreiben diese Adresse nicht mehr an; eine Beschwerde behandeln wir wie einen Widerruf.

Sie können dieser Werbung jederzeit widersprechen (Art. 21 Abs. 2 DSGVO). Eine Nachricht an info@spenden.live genügt. Wir nehmen den Verein dann in eine Sperrliste auf und schreiben ihn nicht mehr an; die Sperrliste bewahren wir auf, damit Ihr Widerspruch dauerhaft wirkt. Per Post schreiben wir einen Verein unabhängig davon höchstens alle 90 Tage werblich an.

Unser Auftritt und unsere Anzeigen bei Instagram und Facebook

spenden.live hat ein Profil bei Instagram und eine Seite bei Facebook und wirbt dort mit Anzeigen. Beide Dienste betreibt die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland („Meta“). Was Meta beim Besuch dieser Dienste und beim Ansehen einer Anzeige verarbeitet, verantwortet Meta selbst; Näheres steht in der Datenschutzrichtlinie von Meta (facebook.com/privacy/policy). Für die Statistiken zu unserer Seite und unserem Profil (Seiten-Insights) sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); Meta übernimmt dafür nach der Seiten-Insights-Ergänzung die Hauptverantwortung und ist für Ihre Anfragen erste Anlaufstelle. Wir erhalten nur zusammengefasste Zahlen. Bei Anzeigen legen wir fest, wem Meta sie zeigt (etwa Alter, Region und Interessen); die Auswahl der einzelnen Personen trifft Meta. Von Meta erhalten wir zu unseren Anzeigen nur Summen je Tag – Einblendungen, Reichweite, Klicks, Anzahl der Anfragen und Kosten –, keine Angaben zu einzelnen Personen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist, unser Angebot bekannt zu machen und den Erfolg unserer Werbung zu messen. Die Summen enthalten keine personenbezogenen Daten; wir löschen sie nach zwei Jahren.

Anfragen über ein Formular in einer Anzeige. Manche unserer Anzeigen enthalten ein Formular, mit dem Sie mehr über spenden.live erfahren möchten (Lead-Formular). Schicken Sie es ab, erhalten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefonnummer, den Namen, die Postleitzahl und den Ort Ihres Vereins, Ihre Antworten auf die Fragen im Formular (etwa Ihre Rolle im Verein, wann Ihre nächste Spendenaktion stattfindet und ob wir Sie anrufen dürfen), Zeitpunkt, Plattform (Instagram oder Facebook) und die Anzeige, über die die Anfrage kam. Meta verarbeitet diese Angaben für uns nach den Bedingungen von Meta für Lead-Formulare; wir holen sie über die Schnittstelle von Meta ab und nehmen den Verein mit Ihnen als Ansprechperson in unsere Kontaktverwaltung auf (Abschnitt 4). Wir melden uns daraufhin einmal per E-Mail bei Ihnen und rufen Sie an, wenn Sie das im Formular gewünscht haben (Art. 6 Abs. 1 Buchst. b DSGVO, Maßnahmen auf Ihre Anfrage). Werbung per E-Mail schicken wir nur, wenn Sie im Formular das Kästchen dafür angekreuzt haben (Art. 6 Abs. 1 Buchst. a DSGVO, § 7 Abs. 2 Nr. 2 UWG); als Nachweis speichern wir Zeitpunkt, Formular und Anfrage. Widerruf und Widerspruch wie oben unter „Werbung per E-Mail“. Die Anfrage selbst löschen wir zwei Jahre nach dem Eingang, die Angaben in der Kontaktverwaltung zwei Jahre nach der letzten Änderung.

Erfolgsmessung unserer Anzeigen bei Meta (Conversions API). Damit wir wissen, welche Anzeigen zu Registrierungen führen, und Meta unsere Anzeigen den Personen zeigen kann, die sich wahrscheinlich registrieren, melden wir Meta von unserem Server aus zwei Ereignisse: die Registrierung eines Vereins auf app.spenden.live und seine spätere Freischaltung mit dem Betrag der Jahresgebühr. Dabei übermitteln wir die E-Mail-Adresse der registrierenden Person nur als SHA-256-Prüfsumme (Meta kann sie nur mit einer Adresse abgleichen, die Meta bereits kennt), die Klick-Kennung aus dem Anzeigenlink (fbclid), falls Sie über eine Anzeige bei Instagram oder Facebook gekommen sind, die IP-Adresse und die Browserkennung der Registrierung sowie den Zeitpunkt. Wir setzen dafür kein Pixel und kein Cookie und laden keine Skripte von Meta; die Meldung geschieht ausschließlich zwischen unserem Server und Meta, auch dann, wenn Sie nicht bei Instagram oder Facebook angemeldet sind. Klick-Kennung, IP-Adresse und Browserkennung speichern wir nur für diese Meldungen und löschen sie 90 Tage nach der Registrierung, die IP-Adresse und die Browserkennung spätestens mit der Meldung der Freischaltung. Meta verwendet die Angaben, um die Ereignisse einem Klick auf unsere Anzeige zuzuordnen und unsere Anzeigen zu steuern; für diese Zuordnung sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO, Zusatz für Verantwortliche von Meta), für alles Weitere ist Meta allein verantwortlich. Wir erhalten von Meta nur Summen je Anzeige. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist, den Erfolg unserer Werbung zu messen und sie wirksam zu steuern. Sie können dieser Übermittlung jederzeit widersprechen (Art. 21 DSGVO), auch schon bei der Registrierung: Eine Nachricht an info@spenden.live genügt; wir melden dann nichts (mehr) zu Ihrem Verein und löschen die Klick-Kennung. Wie Meta die Angaben weiter verarbeitet, steht in der Datenschutzrichtlinie von Meta (siehe oben).

5. Die Plattform für Vereine (app.spenden.live)

5.1 Registrierung und Benutzerkonto

Bei der Registrierung verarbeiten wir Name, Rechtsform, Gemeinnützigkeit und Anschrift des Vereins, einen Aktions- oder Verbandscode, falls Sie einen angeben, sowie E-Mail-Adresse und Passwort der registrierenden Person. Passwörter und der zweite Anmeldefaktor der Zugänge von Vereinen werden bei Amazon Cognito (Amazon Web Services EMEA SARL, Rechenzentrum Frankfurt) verarbeitet. Gespeichert werden E-Mail-Adresse, ein Hash des Passworts und, falls eingerichtet, der Schlüssel der Authenticator-App (Art. 6 Abs. 1 Buchst. b und f DSGVO). Wer einen Passkey anlegt, für den speichert Amazon Cognito den öffentlichen Schlüssel und wir einen Gerätenamen; der private Schlüssel verlässt das Gerät bzw. den Passwort-Manager nicht. Wer in mehreren Vereinen mitarbeitet, kann dafür einen einzigen Zugang nutzen; Rolle und Daten bleiben dabei je Verein getrennt. Um die E-Mail-Adresse zu bestätigen, senden wir einen Link, der 48 Stunden gilt; dabei speichern wir die IP-Adresse der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO (Vertrag über die Nutzung der Plattform). Wir speichern die Kontodaten, solange das Konto besteht. Wird die E-Mail-Adresse nie bestätigt und ist im Konto noch nichts angelegt, löschen wir die Registrierung nach 30 Tagen; Bestätigungslinks löschen wir 30 Tage nach dem Versand.

5.2 Anmeldung und Cookie

Nach der Anmeldung setzt die Plattform ein Sitzungs-Cookie (sid), das Sie 14 Tage angemeldet hält und beim Abmelden gelöscht wird; abgelaufene Sitzungen löschen wir täglich. Es ist technisch erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 Buchst. b DSGVO). Während der Anmeldung mit zweitem Faktor hält ein weiteres technisch erforderliches Cookie (pend) den Zwischenschritt höchstens zehn Minuten fest. Außer diesen und einem entsprechenden Anmelde-Cookie für unsere eigenen Administratoren setzt die Plattform keine Cookies. Nach zehn Fehlversuchen in 15 Minuten sperren wir die Anmeldung vorübergehend und informieren Sie per E-Mail. Links aus „Passwort vergessen“ gelten eine Stunde; wir löschen sie 30 Tage nach der Anforderung.

5.3 Team und Einladungen

Wer einen Verein verwaltet, kann weitere Personen einladen und ihnen eine Rolle und Spendenaktionen zuweisen. Diese Teamdaten – E-Mail-Adresse, gegebenenfalls Name, Rolle, zugewiesene Spendenaktionen und die einladende Person – verarbeiten wir im Auftrag des Vereins nach der Vereinbarung zur Auftragsverarbeitung; verantwortlich ist der Verein. Die Einladung gilt sieben Tage; wir löschen sie 30 Tage nach Annahme, Widerruf oder Ablauf. Für Anmeldung und Sicherheit der Zugänge – Passwort, zweiter Faktor, Sitzungen und Sperren nach Fehlversuchen – sind wir selbst verantwortlich (Abschnitt 5.1).

5.4 Verträge

Wenn ein Verein unsere AGB oder die Vereinbarung zur Auftragsverarbeitung annimmt, speichern wir Fassung, Zeitpunkt, handelnde Person und IP-Adresse als Nachweis (Art. 6 Abs. 1 Buchst. c und f DSGVO), solange der Vertrag besteht und darüber hinaus bis zum Ende der gesetzlichen Aufbewahrungsfristen.

5.5 Jahresgebühr und Rechnungen

Die Jahresgebühr zahlt der Verein über eine Zahlungsseite von Stripe auf unserem eigenen Stripe-Konto; dabei geben wir die E-Mail-Adresse der zahlenden Person weiter. Für die jährliche Verlängerung legen wir bei Stripe einen Kunden mit Name und E-Mail-Adresse des Vereins an und lassen die Zahlungsart dort speichern (Karte, SEPA-Lastschriftmandat oder Amazon Pay); wir selbst sehen nur die Art und die letzten Ziffern. Damit ziehen wir die Jahresgebühr der folgenden Vertragsjahre nach vorheriger Ankündigung ein. Rechnungen erstellen wir selbst und bewahren sie zehn Jahre auf (§ 147 AO, § 257 HGB). Rechtsgrundlagen: Art. 6 Abs. 1 Buchst. b und c DSGVO.

5.6 Zahlungskonto des Vereins

Spenden fließen direkt auf ein eigenes Konto des Vereins bei Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Beim Einrichten übermitteln wir Stripe Name und Anschrift des Vereins sowie die E-Mail-Adresse der Person, die das Konto einrichtet. Die Prüfung des Vereins und seiner Vertretungsberechtigten nimmt Stripe als eigener Verantwortlicher vor; die dafür erfassten Angaben sieht nur Stripe. Die Einrichtungsseite bindet dazu ein Formular von Stripe ein (connect-js.stripe.com). Ebenso zeigen die Seiten zu Kontostand, Auszahlungen und Zahlungen in der Verwaltung des Vereins Ansichten von Stripe; was der Verein dort sieht oder ändert, etwa die Bankverbindung oder den Auszahlungsrhythmus, läuft direkt zwischen seinem Browser und Stripe und kommt nicht bei uns an. Es gilt die Datenschutzerklärung von Stripe: stripe.com/de/privacy. Verbindet ein Verein zusätzlich PayPal, gilt Entsprechendes für PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg. Nachrichten, mit denen Stripe und PayPal uns über Zahlungen und Konten informieren (Webhooks), speichern wir 90 Tage, um sie genau einmal zu verarbeiten und Fehler nachvollziehen zu können (Art. 6 Abs. 1 Buchst. b und f DSGVO).

5.7 Steuerprofil und Freistellungsbescheid

Damit Vereine Zuwendungsbestätigungen ausstellen können, tragen sie im Steuerprofil die Angaben aus ihrem Freistellungs- oder Feststellungsbescheid ein: Art und Datum des Bescheids, Finanzamt, Steuernummer, Veranlagungszeitraum oder Beginn der Steuerbegünstigung und die begünstigten Zwecke, dazu das Datum der Anzeige beim Finanzamt sowie Name und Funktion der Person, die für den Verein unterzeichnet. Den Bescheid selbst laden Vereine nicht hoch. Ist der Verein im Zuwendungsempfängerregister des Bundeszentralamts für Steuern (§ 60b AO) verzeichnet und seinem Eintrag zugeordnet, füllen wir Art und Datum des Bescheids, Finanzamt und Zwecke daraus vor und weisen auf Abweichungen hin; gesperrt wird dadurch nichts. Wir prüfen die Angaben und halten das Ergebnis fest; beanstanden wir sie, stellt die Plattform bis zur Korrektur keine Zuwendungsbestätigungen aus. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Vor Ablauf des Bescheids erinnern wir den Verein per E-Mail. Wir speichern die Angaben und das Ergebnis unserer Prüfung, solange das Konto besteht, und darüber hinaus, soweit Zuwendungsbestätigungen darauf beruhen, für die Dauer der Aufbewahrungspflichten des Vereins.

5.8 Hilfe und Support

Anfragen über den Hilfebereich speichern wir mit Betreff, Text, E-Mail-Adresse der schreibenden Person und gegebenenfalls einem Anhang (PDF oder Bild bis 5 MB), um sie zu beantworten (Art. 6 Abs. 1 Buchst. b DSGVO). Wir löschen sie zwei Jahre nach Abschluss.

5.9 Protokolle und Sicherheit

Die Plattform protokolliert jede Anfrage mit Methode, Adresse ohne Abfrageparameter (Zugangscodes aus Links erscheinen dort also nicht), IP-Adresse und Zeitpunkt, um Fehler und Angriffe zu erkennen. Diese Protokolle löschen wir nach 30 Tagen. Sicherheitsrelevante Vorgänge — etwa Anmeldungen, fehlgeschlagene Anmeldungen, Änderungen an Konto, Team oder Kampagnen, Exporte — halten wir mit handelnder Person und IP-Adresse in einem Änderungsprotokoll fest, das nicht nachträglich verändert werden kann, und löschen die Einträge nach zwei Jahren. Um Missbrauch zu verhindern, zählen wir Anfragen je IP-Adresse; diese Zähler löschen wir spätestens eine Stunde nach Ablauf des Zeitfensters. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse liegt in der Sicherheit der Plattform und der Daten unserer Kunden.

5.10 E-Mails der Plattform

Die Plattform versendet E-Mails über Amazon Simple Email Service in Frankfurt am Main, Absender info@spenden.live: an Vereine etwa Einladungen, Bestätigungs- und Passwortlinks, Rechnungen, Hinweise zum Bescheid und Berichte zu Spendenaktionen; an Spender im Auftrag des Vereins Belege und Zuwendungsbestätigungen. Zu jeder E-Mail speichern wir Art, Zeitpunkt und Zustellstatus, die Empfängeradresse nur als Prüfsumme.

Den Admins registrierter Vereine schicken wir außerdem Hinweise zur Einrichtung und Nutzung, ausgelöst durch den Stand ihres Vereins: eine Erinnerung an die Bestätigung der E-Mail-Adresse und an die Löschung unbestätigter Registrierungen, Hinweise zur ersten Spendenaktion, zum Probelauf und zu den Schritten bis zur Freischaltung, eine Checkliste, wenn eine Spendenaktion aktiv wird, und nach längerer Pause eine Anregung zur nächsten Spendenaktion. Jede dieser Mails geht höchstens einmal je Anlass. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO für die Hinweise zu Bestätigung, Löschung und Checkliste, sonst Art. 6 Abs. 1 Buchst. f DSGVO in Verbindung mit § 7 Abs. 3 UWG; unser berechtigtes Interesse ist, dass registrierte Vereine unser Angebot nutzen können. Hinweise zur Nutzung und Anregungen tragen einen Abmeldelink; Mails zu Vertrag und Rechnungen sowie Sicherheitshinweise kommen weiter.

Außerdem informieren wir die Admins registrierter Vereine gelegentlich über neue Funktionen und Angebote von spenden.live, solange sie sich nicht abgemeldet haben (Art. 6 Abs. 1 Buchst. f DSGVO in Verbindung mit § 7 Abs. 3 UWG). Darauf weisen wir schon bei der Registrierung hin. Jede dieser Mails trägt einen Abmeldelink; einen Klick auf ihren Knopf zählen wir wie in Abschnitt 3 beschrieben. Meldet der Versanddienst eine Beschwerde über eine solche Mail, gilt das als Abmeldung.

6. Spenden über spenden.live

Wer über eine Spendenseite spendet, gibt seine Daten dem jeweiligen Verein. Der Verein ist Verantwortlicher; wir verarbeiten die Daten nur in seinem Auftrag und nach seinen Weisungen (Art. 28 DSGVO). Welche Daten das sind, wofür und wie lange sie gespeichert werden, steht in den Datenschutzhinweisen des Vereins, die jede Spendenseite unten unter „Datenschutz“ verlinkt. Die Zahlung wickeln Stripe oder PayPal als eigene Verantwortliche ab.

7. Empfänger und Dienstleister

8. Übermittlung in Drittländer

Wir speichern und verarbeiten die Daten in der EU. Soweit Amazon Web Services oder Stripe im Einzelfall aus den USA auf Daten zugreifen können, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, unter dem beide Unternehmen zertifiziert sind, sowie auf Standardvertragsklauseln. Meta übermittelt Daten aus Instagram, Facebook, Lead-Formularen und aus unseren Meldungen über die Conversions API auch an die Meta Platforms, Inc. in den USA; Meta stützt sich dafür nach eigenen Angaben auf dieselbe Zertifizierung und auf Standardvertragsklauseln. Anthropic verarbeitet die Daten für Entwürfe unserer E-Mails und Antworten auch in den USA; die Übermittlung stützt sich auf Standardvertragsklauseln. Zoom verarbeitet die Daten aus Terminen auch in den USA; die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, unter dem Zoom zertifiziert ist, und auf Standardvertragsklauseln.

9. Wie lange wir Daten speichern

10. Sicherheit

Alle Verbindungen sind verschlüsselt (TLS). Datenbank, Speicher und Sicherungen sind verschlüsselt, die Datenbank ist aus dem Internet nicht erreichbar. Passwörter liegen nur als Hash vor. Admins freigeschalteter Vereine und unsere eigenen Administratoren melden sich zusätzlich mit einem zweiten Faktor an.

11. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen (Art. 22 DSGVO), und bilden keine Profile.

12. Ihre Rechte

Sie haben nach der DSGVO das Recht auf

Eine formlose Nachricht an info@spenden.live genügt. Für Spenden wenden Sie sich am besten an den Verein, an den Sie gespendet haben; wir unterstützen ihn dabei.

13. Beschwerde bei einer Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

Stand: 5. November 2026.