Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist das Projekt Yggdrasil, vertreten durch Fynn Schur, Iburgsweg 12, 26203 Wardenburg, erreichbar unter contribute@yggdrasil-worlds.de. Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

2. Zweck der Verarbeitung

Diese Website dient ausschließlich dazu, die Mitwirkung am Projekt Yggdrasil rechtssicher zu dokumentieren. Erfasst werden die Zustimmung zum Contributor License Agreement (CLA) und zur Geheimhaltungsvereinbarung (NDA), ein etwaiger Widerruf, bei Minderjährigen die Einwilligung der Erziehungsberechtigten sowie die Freigabe durch einen Administrator und die daran anschließende Einrichtung von Projektzugängen. Eine darüber hinausgehende Nutzung der Daten, insbesondere zu Werbezwecken, findet nicht statt. Es erfolgt kein Profiling und keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO.

3. Verarbeitete Daten

Identität: Discord User ID als dauerhafte Kennung, Discord-Benutzername und Discord-Anzeigename als Momentaufnahme zum Zeitpunkt der Erklärung, ein selbst gewählter Anzeigename sowie eine freiwillig angegebene E-Mail-Adresse.

Vertragsbezogene Angaben: rechtlicher Name, Land, Altersstufe sowie die Bestätigungen zur Geschäftsfähigkeit und zur Berechtigung, die eingeräumten Rechte zu gewähren. Ferner die Fassung und der Wortlaut der jeweils akzeptierten Dokumente, der Zeitpunkt der Zustimmung, der Zeitpunkt der Kenntnisnahme dieser Datenschutzerklärung und der Nutzungsbedingungen sowie gegebenenfalls Zeitpunkt und Grund eines Widerrufs.

Signaturdaten: Für die kryptografisch signierte Zustimmung werden je registriertem Authenticator dessen Kennung, der öffentliche Schlüssel, ein Signaturzähler, die Übertragungsart und die Gerätekennung (AAGUID) gespeichert. Zu jeder Erklärung werden zusätzlich die signierte Datenstruktur, die Signatur selbst, die zugehörige Challenge, ein Einmalwert sowie die Prüfsumme des Dokumentwortlauts abgelegt. Der private Schlüssel verbleibt ausschließlich auf dem Gerät des Nutzers und wird zu keinem Zeitpunkt übertragen.

Angaben zu Erziehungsberechtigten: bei Nutzern zwischen 13 und 17 Jahren Name, E-Mail-Adresse und Verhältnis der erziehungsberechtigten Person, der Status der Einwilligung, der Zeitpunkt der Bestätigung, die dabei verwendete IP-Adresse sowie ein optional hochgeladenes Formular (bis 5 MB).

Verwaltung: Prüfstatus, Zeitpunkt und Kennung des freigebenden Administrators, ein etwaiger Prüfvermerk, die Kennung des angelegten Projektkontos sowie personengebundene Einladungen samt Herkunft, Gültigkeit und letzter Verwendung.

4. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Durchführung des durch CLA und NDA begründeten Rechtsverhältnisses, auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung rechtlicher Nachweis- und Aufbewahrungspflichten sowie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aufgrund des berechtigten Interesses an einer rechtssicheren, überprüfbaren und gegen nachträgliche Veränderung geschützten Dokumentation. Bei Minderjährigen stützt sich die Verarbeitung zusätzlich auf die nach den Vorschriften des Bürgerlichen Gesetzbuchs erforderliche Einwilligung der Erziehungsberechtigten.

5. Anmeldung über Discord

Die Anmeldung erfolgt über Discord im Umfang „identify". Übermittelt werden ausschließlich die zur Identifikation erforderlichen Grunddaten; ein Zugriff auf Nachrichten, Server- oder Kontaktdaten findet nicht statt. Anbieter ist Discord Netherlands BV beziehungsweise Discord Inc.; es gelten ergänzend deren Datenschutzbestimmungen. Mit der Anmeldung werden Daten in die Vereinigten Staaten übermittelt.

6. Zeitstempel bei einer externen Stelle

Um den Zeitpunkt einer Erklärung unabhängig vom Betreiber nachweisbar zu machen, wird zu jeder Signatur ein Zeitstempel nach RFC 3161 eingeholt. Übermittelt wird dabei ausschließlich ein Hashwert der Signatur an die Zeitstempelstelle, standardmäßig freetsa.org. Der Inhalt der Erklärung, der Name und sonstige Angaben zur Person werden nicht übertragen; aus dem Hashwert lassen sich keine personenbezogenen Daten ableiten. Der zurückgegebene Zeitstempel wird zusammen mit der Erklärung gespeichert.

7. Zusätzliche Sicherung in der Projektinfrastruktur

Zur Absicherung gegen nachträgliches Löschen oder Verändern werden Prüfsummen und Metadaten der Erklärungen zusätzlich in einer vom Anbieter selbst betriebenen GitLab-Instanz fortgeschrieben. Diese Instanz wird auf eigener Infrastruktur betrieben; eine Weitergabe an Dritte erfolgt dadurch nicht.

8. E-Mail an Erziehungsberechtigte

Gibt ein minderjähriger Nutzer die Kontaktdaten einer erziehungsberechtigten Person an, versendet das Portal an diese Adresse eine Nachricht mit einem befristeten Bestätigungslink. Der Versand erfolgt über einen vom Anbieter selbst betriebenen Mailserver. Da diese Daten nicht bei der erziehungsberechtigten Person selbst erhoben wurden, enthält die Nachricht die nach Art. 14 DSGVO erforderlichen Hinweise. Bestätigt die Person die Einwilligung, werden Zeitpunkt und IP-Adresse der Bestätigung als Nachweis gespeichert.

9. Einrichtung von Projektzugängen

Nach der Freigabe durch einen Administrator wird in der vom Anbieter betriebenen Benutzerverwaltung (Keycloak) ein Konto angelegt und mit der Discord-Identität des Nutzers verknüpft. Gespeichert werden die Kennung und der Benutzername dieses Kontos sowie der Zeitpunkt der Einrichtung.

10. Empfänger

Personenbezogene Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben. Empfänger sind Discord im Rahmen der Anmeldung, die Zeitstempelstelle im Umfang des übermittelten Hashwerts sowie die erziehungsberechtigte Person im Rahmen der Einwilligung. Alle übrigen Bestandteile — Website, Datenbank, Mailserver, GitLab und Benutzerverwaltung — werden auf Servern innerhalb der Europäischen Union betrieben, die der Anbieter selbst verwaltet. Eine Weitergabe darüber hinaus erfolgt nur, soweit dies gesetzlich vorgeschrieben ist oder im Falle einer Übertragung des Projekts auf eine juristische Person erforderlich wird, die den Betrieb oder die Weiterentwicklung übernimmt.

11. Schriftarten und Tracking

Die verwendeten Schriftarten werden vom eigenen Server ausgeliefert. Externe Schriftdienste, Analysewerkzeuge, Werbenetzwerke oder Einbindungen sozialer Netzwerke werden nicht eingesetzt. Es werden keine Cookies zu Analyse- oder Werbezwecken gesetzt; technisch notwendig ist allein das Sitzungscookie der Anmeldung. Über die in dieser Erklärung genannten Fälle hinaus werden keine IP-Adressen dauerhaft gespeichert.

12. Speicherdauer

Die Daten werden für die Dauer des Projekts und darüber hinaus so lange gespeichert, wie dies zur Erfüllung rechtlicher Verpflichtungen oder zur Wahrung berechtigter Interessen erforderlich ist. Ein Widerruf der Zustimmung führt nicht zur Löschung bereits dokumentierter Erklärungen: Sie bleiben erforderlich, um die Rechtslage für bereits eingereichte Beiträge nachweisen zu können. Bestätigungen der Erziehungsberechtigten werden aus demselben Grund aufbewahrt; abgelaufene Einladungen werden nicht länger als für den Nachweis der Zugangsvergabe nötig vorgehalten.

13. Rechte der betroffenen Personen

Betroffene Personen haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 21). Ein Recht auf Löschung besteht nicht, soweit gesetzliche Aufbewahrungspflichten oder überwiegende berechtigte Interessen an der Nachweisführung entgegenstehen. Anfragen richten Sie an die oben genannte Kontaktadresse. Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde; für den Anbieter ist die Landesbeauftragte für den Datenschutz Niedersachsen zuständig.

14. Eigene Nachweise

Jeder Nutzer kann die ihn betreffende signierte Quittung im Portal herunterladen und aufbewahren. Der Nachweis über die abgegebenen Erklärungen liegt damit nicht ausschließlich beim Anbieter.

15. Sicherheit und Änderungen

Der Zugriff auf das Portal erfolgt ausschließlich verschlüsselt. Die Verarbeitung erfolgt unter Einsatz geeigneter technischer und organisatorischer Maßnahmen; der Zugang zur Verwaltungsoberfläche ist auf benannte Administratoren beschränkt. Diese Datenschutzerklärung wird angepasst, wenn sich die Verarbeitung oder die Rechtslage ändert; es gilt jeweils die im Portal veröffentlichte Fassung.