Datenschutz im Einwilligungsportal

1. Verantwortlicher

2. Datenschutzbeauftragte

3. Zwecke und Rechtsgrundlagen

Das Portal dient der Einladung, Identitätsprüfung, freiwilligen Einwilligung oder Ablehnung, Dokumentation der elektronischen Erklärung, Verwaltung eines späteren Widerrufs sowie dem Nachweis gegenüber der betroffenen Person und der verantwortlichen Stelle.

Die Aufnahme in eine konkrete WhatsApp-Veranstaltungsgruppe und die dafür notwendige Weitergabe der Mobiltelefonnummer beruhen auf Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; für Beschäftigte zusätzlich auf § 26 Abs. 2 BDSG. Die Teilnahme ist nicht Voraussetzung für Beschäftigung, Auftrag oder Veranstaltungseinsatz. Betrieb, Zugriffsschutz und Sicherheitsprotokolle beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und nachvollziehbarer Betrieb.

3a. Optionale Rahmeneinwilligung

Sie können anstelle wiederholter Einzelentscheidungen freiwillig eine befristete Rahmeneinwilligung für gleichartige, von u-motions organisierte Veranstaltungsgruppen erteilen. Sie gilt höchstens zwölf Monate und nur bei identischem standardisierten Zweck sowie unveränderter Einwilligungsfassung. Andere Zwecke, geänderte Fassungen, fremde Gruppen und besonders sensible oder vertrauliche Inhalte sind nicht umfasst. Jede Anwendung auf eine konkrete Veranstaltung wird weiterhin einzeln protokolliert und ist im persönlichen Bereich sichtbar.

Die Rahmeneinwilligung kann zentral mit Wirkung für alle daraus abgeleiteten laufenden und künftigen Freigaben widerrufen werden. Alternativ können Sie auch nur eine einzelne Veranstaltungsfreigabe widerrufen. Ohne Rahmeneinwilligung bleibt die Entscheidung je Veranstaltung möglich; daraus entstehen keine Nachteile.

4. Verarbeitete Daten

• Microsoft-Entra-Konto-ID, Name, E-Mail-Adresse, Kontoart, Rolle und Anmeldestatus;
• Veranstaltung, Einladung, Personenart, Entscheidungs- und Gruppenmitgliedschaftsstatus;
• bei Zustimmung: Mobiltelefonnummer, Signaturbild, genaue Einwilligungsfassung, Zeitpunkte und kryptografische Prüfsummen;
• bei Ablehnung oder Widerruf: Status, Zeitpunkt und ein optionaler Widerrufsgrund;
• technisch notwendige Sitzungs-, Browser-, Zugriffs- und Sicherheitsdaten; die IP-Adresse wird im Anwendungsprotokoll nur als geheimnisgeschützter Hash gespeichert.

Es findet keine automatisierte Entscheidung oder Profilbildung statt. Die gezeichnete Signatur wird ausschließlich als einfache elektronische Unterschrift genutzt, nicht zur biometrischen Identifizierung.

5. Microsoft-Anmeldung und Gäste

Die Anmeldung erfolgt über Microsoft Entra ID. Externe Personen werden als B2B-Gäste eingeladen. Verfügt ein Gast über kein passendes Microsoft- oder Organisationskonto, kann Microsoft – abhängig von der Mandantenkonfiguration – einen zeitlich begrenzten Einmalcode an die E-Mail-Adresse senden. Empfänger ist Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Microsoft kann Daten unter vertraglichen Garantien auch außerhalb des EWR verarbeiten. Weitere Informationen: Microsoft-Datenschutzerklärung.

6. WhatsApp-Gruppe

Nach erteilter Einwilligung erhält ausschließlich die benannte Gruppenadministration die Mobiltelefonnummer, um die Person manuell in die konkrete Veranstaltungsgruppe aufzunehmen. In der Gruppe sind Mobiltelefonnummer und Profilname, abhängig von den eigenen Einstellungen gegebenenfalls auch Profilbild und weitere Kontoinformationen, für andere Gruppenmitglieder sichtbar. Kommunikationsinhalte können von Empfängern gespeichert oder weitergegeben werden.

WhatsApp Ireland Limited verarbeitet Konto-, Geräte-, Nutzungs-, Verbindungs-, Gruppen- und weitere Metadaten nach eigener Verantwortlichkeit. Eine Verarbeitung außerhalb des EWR kann stattfinden. Die persönlichen Nachrichten sind nach Anbieterangaben Ende-zu-Ende verschlüsselt; das gilt nicht in gleicher Weise für sämtliche Meta-, Konto- und Gruppeninformationen. Maßgeblich ist die Datenschutzrichtlinie von WhatsApp.

7. Empfänger

Zugriff auf das Portal erhalten nur eingeladene Personen und berechtigte u-motions-Administratoren. Empfänger sind im erforderlichen Umfang Microsoft für Identität und Einladung, die benannte WhatsApp-Gruppenadministration, die übrigen Gruppenmitglieder sowie WhatsApp Ireland Limited und deren benannte Dienstleister. Behörden oder Gerichte erhalten Daten nur bei gesetzlicher Pflicht oder zulässiger Anforderung.

8. Freiwilligkeit und Widerruf

Sie können die Einwilligung verweigern oder jederzeit mit Wirkung für die Zukunft im Portal beziehungsweise per E-Mail an datenschutz@u-motions.de widerrufen. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt. Nach dem Widerruf veranlasst die Gruppenadministration die Entfernung aus der Gruppe. Bereits auf Geräten anderer Gruppenmitglieder gespeicherte oder weitergeleitete Inhalte können dadurch technisch nicht automatisch zurückgerufen werden.

9. Speicherung und Löschung

Produktivdaten liegen auf der u-motions-Serverinfrastruktur. Die konkrete Frist wird je Veranstaltung vor der Erklärung angezeigt. Standardmäßig werden Mobiltelefonnummer und operativer Mitgliedschaftsstatus spätestens sieben Tage nach Veranstaltungsende gelöscht. Der Nachweis über Einwilligung, Ablehnung oder Widerruf wird standardmäßig bis zu 36 Monate nach Veranstaltungsende gespeichert. Ein Rahmennachweis wird bis zu 36 Monate nach Ablauf oder Widerruf gespeichert. Danach werden die personenbezogenen Nachweisdaten gelöscht oder anonymisiert, sofern keine gesetzliche Pflicht oder ein konkreter Rechtsanspruch eine längere Aufbewahrung erfordert. Sicherheitsprotokolle werden gelöscht, sobald sie nicht mehr erforderlich sind; relevante Auszüge können bei einem konkreten Vorfall bis zur Klärung aufbewahrt werden. Backups unterliegen einem geschützten Überschreibungszyklus.

10. Erforderlichkeit

Name, E-Mail-Adresse und Anmeldekennung sind für den geschützten Portalzugang erforderlich. Eine Mobiltelefonnummer und Signatur sind nur erforderlich, wenn Sie der WhatsApp-Gruppe zustimmen. Ohne Zustimmung erhalten Sie die Veranstaltungsinformationen über den angegebenen alternativen Kanal.

11. Ihre Rechte

Sie haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen. Kontakt: datenschutz@u-motions.de.

12. Beschwerde

13. Technische Schutzmaßnahmen

Die Anwendung nutzt TLS, Microsoft-basierte Identitätsprüfung, serverseitige Rollen, sichere Sitzungscookies, CSRF-Schutz, restriktive Browserrichtlinien, Eingabevalidierung, getrennte Datenbankberechtigungen, Integritätsprüfsummen, ein Audit-Protokoll und definierte Aufbewahrungsfristen. Diese Maßnahmen unterstützen das Informationssicherheitsmanagement; sie stellen für sich allein keine Zertifizierung der Anwendung nach ISO/IEC 27001 dar.