Datenschutzerklärung

1. Verantwortlicher und Datenschutzbeauftragter

Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO

FDP Kreisverband Kleve-Geldern
Hoffmannallee 118
47533 Kleve
Deutschland

Vertreten durch: Roman Straub (Kreisvorsitzender)
E-Mail: info@fdp-kreiskleve.de
Website: www.fdp-kreiskleve.de

Datenschutzbeauftragter

Roman Straub
FDP Kreisverband Kleve-Geldern
Hoffmannallee 118
47533 Kleve
E-Mail: info@fdp-kreiskleve.de

---

2. Grundsätze der Datenverarbeitung

Diese Webanwendung dient ausschließlich der internen Inventarverwaltung des FDP Kreisverbandes Kleve-Geldern und ist nicht öffentlich zugänglich. Der Zugang ist auf autorisierte Mitglieder und Beauftragte des Kreisverbandes beschränkt, die sich mit persönlichen Zugangsdaten anmelden.

Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb dieser Anwendung erforderlich ist. Rechtsgrundlagen sind:

• Art. 6 Abs. 1 lit. b DSGVO – Verarbeitung zur Erfüllung eines Vertrages bzw. zur Durchführung vorvertraglicher Maßnahmen
• Art. 6 Abs. 1 lit. f DSGVO – Verarbeitung auf Basis eines berechtigten Interesses des Kreisverbandes (ordnungsgemäße Inventarverwaltung, Zugriffskontrolle)
• Art. 6 Abs. 1 lit. c DSGVO – Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, soweit zutreffend

---

3. Zugang und Authentifizierung (Login, Session)

Art. 6 Abs. 1 lit. b und f DSGVO

Für den Zugang zur Anwendung ist eine Anmeldung mit E-Mail-Adresse und Passwort erforderlich. Beim Login werden folgende Daten verarbeitet:

• E-Mail-Adresse (als Benutzername)
• Passwort (wird serverseitig nur als bcrypt-Hash gespeichert; das Klartext-Passwort wird niemals persistiert)
• Letzter Login-Zeitstempel (last_login), gespeichert in der Datenbank
• Session-Daten (Benutzer-ID, E-Mail, Rolle, Ortsverband-ID), gespeichert in der PHP-Session für die Dauer der Sitzung

Sessions werden beim Logout (modules/logout.php) vollständig gelöscht. Eine Persistierung der Session über den Browser-Tab hinaus findet nicht statt.

Admin-Codes

In der Datenbank werden temporäre Admin-Registrierungscodes gespeichert (admin_codes-Tabelle). Diese Codes enthalten keine personenbezogenen Daten, werden jedoch zur Zugriffskontrolle eingesetzt.

---

4. Nutzerdaten und Registrierung

Art. 6 Abs. 1 lit. b und f DSGVO

Bei der Registrierung eines neuen Benutzerkontos werden folgende Daten erfasst und in der Tabelle users gespeichert:

• E-Mail-Adresse – dient als eindeutiger Benutzername und Kommunikationskanal
• Passwort-Hash – das Passwort wird ausschließlich als bcrypt-Hash (password_hash()) gespeichert
• Registrierungsdatum (registration_date) – automatisch gesetzter Zeitstempel der Kontoerstellung
• Letztes Login (last_login) – Zeitstempel des zuletzt erfolgreichen Logins
• Ortsverband-Zuordnung (ortsverband_id) – Zuordnung zum jeweiligen FDP-Ortsverband (kein personenbezogenes Datum im engeren Sinne, aber im Nutzerprofil hinterlegt)
• Rolle – Flags admin und ov_verwalter zur Rechtezuweisung innerhalb der Anwendung

Die Registrierung erfolgt ausschließlich durch autorisierte Personen im Rahmen des Kreisverbandsbetriebs. Keine Registrierung ohne Kenntnis des Verantwortlichen ist vorgesehen.

---

5. Ausleihen und Buchungen

Art. 6 Abs. 1 lit. b DSGVO

Für die Verwaltung von Ausleihen und Reservierungen werden in der Tabelle bookings folgende Daten gespeichert:

• Benutzerreferenz (user_id) – Verknüpfung mit dem ausleihenden Benutzerkonto (E-Mail-Adresse des Nutzers ist über JOIN abrufbar)
• Ausleihzeitraum (start_date, end_date) – gewünschter Ausleihzeitraum
• Erfassungszeitpunkt (created_at) – automatischer Zeitstempel der Buchungserstellung
• Bemerkungen (remarks) – optionale Freitextnotizen zur Ausleihe (vom Benutzer selbst eingegeben)
• Buchungsstatus (ausgeliehen, accepted) – Status der Ausleihe (reserviert / ausgeliehen / abgeschlossen)

Buchungsdaten werden für den Betrieb der Ausleihe und zur Konfliktprüfung (Überbuchungsschutz) benötigt. Sie sind für Admins und OV-Verwalter innerhalb der Anwendung einsehbar.

---

6. Inventarverwaltung

Art. 6 Abs. 1 lit. f DSGVO

Im Rahmen der Inventarverwaltung werden Sachdaten zu Materialien des Kreisverbandes gespeichert (Tabelle inventory):

• Kategorie, Lagerbestand, Ortsverband-Zuordnung, Ausleihbarkeit
• Branding-Merkmale (FDP- / OV-Branding)
• Produktfotos (als BLOB in der Datenbank, optional)
• Abholadresse (sofern abweichend von der Standardadresse des Ortsverbandes)
• Erstellungszeitpunkt (created_at)

Diese Daten beziehen sich auf Sachinformationen zu Gegenständen und enthalten in der Regel keine personenbezogenen Daten. Eine mittelbare Zuordnung zu Personen (über den Ortsverband) ist möglich.

---

7. Server-Logdateien und Hosting

Art. 6 Abs. 1 lit. f DSGVO

Diese Anwendung wird auf einem Webserver von ALL-INKL.COM – Neue Medien Münnich (René Münnich, Hauptstraße 68, 02742 Friedersdorf) gehostet. Die Serverinfrastruktur befindet sich in Deutschland.

Beim Aufruf der Anwendung werden durch den Webserver automatisch sogenannte Server-Logdateien erfasst, die folgende Informationen enthalten können:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und HTTP-Methode
• Übertragene Datenmenge
• Browsertyp und Betriebssystem (User-Agent)
• HTTP-Statuscode

Diese Daten werden ausschließlich zur technischen Fehlerdiagnose und zur Sicherstellung des Betriebs ausgewertet. Sie werden nicht mit anderen personenbezogenen Daten zusammengeführt. Die Speicherdauer richtet sich nach den Einstellungen des Hosters; in der Regel werden Logdateien nach 7 bis 30 Tagen automatisch gelöscht.

---

8. E-Mail-Kommunikation (geplant)

Art. 6 Abs. 1 lit. b und f DSGVO

Die Anwendung wird künftig eine E-Mail-Funktion erhalten. Diese wird voraussichtlich für folgende Zwecke eingesetzt:

• Benachrichtigungen bei Buchungsbestätigungen und -stornierungen
• Erinnerungen an bevorstehende Ausleihen und Rückgabetermine
• Systemnachrichten an Administratoren (z. B. neue Registrierungen)

Beim Versand von E-Mails werden die E-Mail-Adresse des Empfängers sowie die für die Benachrichtigung relevanten Buchungs- oder Nutzerdaten an den eingesetzten E-Mail-Dienst übermittelt. Dabei wird kein kommerzieller Drittanbieter eingesetzt; der Versand erfolgt über den SMTP-Server des Hostinganbieters ALL-INKL.COM, dessen Infrastruktur sich in Deutschland befindet.

Diese Datenschutzerklärung wird bei Einführung der E-Mail-Funktion entsprechend aktualisiert und um konkrete Angaben zum Versandverfahren und zu den Empfängern ergänzt.

---

9. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist:

• Benutzerdaten – bis zur Löschung des Benutzerkontos durch den Administrator oder auf Anfrage der betroffenen Person. Bei Austritt aus dem Kreisverband oder Beendigung der Tätigkeit werden Konten zeitnah deaktiviert bzw. gelöscht.
• Buchungsdaten – für die Dauer der organisatorischen Notwendigkeit, mindestens jedoch bis zum Ablauf des jeweiligen Buchungszeitraums. Danach können sie auf Anfrage gelöscht werden, soweit keine handels- oder vereinsrechtlichen Aufbewahrungspflichten entgegenstehen.
• Session-Daten – werden spätestens beim Logout oder nach Ablauf der Session-Timeout-Frist des PHP-Servers vollständig gelöscht.
• Server-Logdateien – gemäß den Einstellungen des Hosters, in der Regel nach 7–30 Tagen.

---

10. Datenweitergabe an Dritte

Eine Weitergabe personenbezogener Daten an Dritte erfolgt grundsätzlich nicht, es sei denn:

• dies ist zur Vertragserfüllung oder auf Grundlage berechtigter Interessen erforderlich (z. B. Übermittlung an den Hostinganbieter ALL-INKL.COM im Rahmen der technischen Bereitstellung der Anwendung),
• die betroffene Person hat ausdrücklich eingewilligt (Art. 6 Abs. 1 lit. a DSGVO),
• eine gesetzliche Verpflichtung zur Weitergabe besteht (Art. 6 Abs. 1 lit. c DSGVO).

Die für das Hosting eingesetzten Dienste von ALL-INKL.COM fungieren als Auftragsverarbeiter gemäß Art. 28 DSGVO. Ein entsprechender Auftragsverarbeitungsvertrag (AVV) ist mit dem Hostinganbieter abzuschließen bzw. liegt vor.

---

11. Ihre Rechte als betroffene Person

Als betroffene Person stehen Ihnen gemäß der DSGVO folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO) – Sie können Auskunft über die zu Ihrer Person gespeicherten Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO) – Sie können die Berichtigung unrichtiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO) – Sie können unter bestimmten Voraussetzungen die Löschung Ihrer Daten verlangen ("Recht auf Vergessenwerden").
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) – Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO) – Sie können verlangen, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO) – Sie können der Verarbeitung Ihrer Daten, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, jederzeit widersprechen.
• Beschwerderecht (Art. 77 DSGVO) – Sie haben das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an den Datenschutzbeauftragten unter: info@fdp-kreiskleve.de

Zuständige Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
Website: www.ldi.nrw.de

---

12. Technische und organisatorische Maßnahmen

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Manipulation zu schützen:

• Passwortsicherung – Passwörter werden ausschließlich als bcrypt-Hash (password_hash(), PASSWORD_DEFAULT) in der Datenbank gespeichert; Klartextpasswörter werden niemals persistiert.
• Zugriffskontrolle – Die Anwendung unterscheidet zwischen den Rollen Admin, OV-Verwalter und regulärem Benutzer; jeder Zugriff wird serverseitig geprüft (modules/auth.php).
• Session-Sicherheit – PHP-Sessions werden beim Logout vollständig invalidiert (session_destroy()).
• Eingabevalidierung – Alle Benutzereingaben werden mit htmlspecialchars() und PDO Prepared Statements gegen XSS- und SQL-Injection-Angriffe abgesichert.
• HTTPS – Die Anwendung ist über eine verschlüsselte HTTPS-Verbindung erreichbar (TLS/SSL durch den Hostinganbieter).
• Zugangsbeschränkung – Die Anwendung ist nur für angemeldete Benutzer zugänglich; eine öffentliche Registrierung ohne Genehmigung ist systemseitig nicht vorgesehen.

---

13. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung entspricht dem Stand April 2026. Wir behalten uns vor, diese Erklärung bei technischen oder rechtlichen Änderungen der Anwendung anzupassen. Die jeweils aktuelle Version ist stets unter datenschutz.html innerhalb der Anwendung abrufbar. Wesentliche Änderungen werden den Nutzern im Rahmen der Anmeldung kommuniziert.