Datenschutzerklärung – Mitglieder-App
Diese Erklärung informiert Mitglieder, Antragstellerinnen und Antragsteller sowie alle Personen mit einem Konto über die Verarbeitung personenbezogener Daten in der Mitglieder-App „BMZ Vorarlberg“ und im zugehörigen Verwaltungsbereich.
Verantwortliche Stelle
Verantwortlich für die Datenverarbeitung in der App ist die Bosniakisch-muslimische Gemeinschaft Vorarlberg (Bošnjački Džemat Vorarlberg, kurz BMZ Vorarlberg), Churer Straße 32, 6830 Rankweil, Österreich (ZVR 781166610). Kontakt: office@bmzvorarlberg.com. Die Ansprechpersonen des Vorstands (Präsident, Imam, Sekretär) finden Sie in der App unter „Profil“ → „Kontakt“.
Welche Daten wir verarbeiten
Kontodaten: E-Mail-Adresse, Ihr Passwort (gespeichert nur als nicht umkehrbarer Hashwert) sowie ein Anmeldeprotokoll (Zeitpunkt und technische Angaben wie die IP-Adresse Ihrer Anmeldungen). Mitgliedsantrag und Mitgliedsdaten: Vor- und Nachname, Geburtsdatum, Anschrift, Telefonnummer, E-Mail, Familienstand, Name des Ehepartners, Kinder als Haushaltsangehörige (Name und Geburtsdatum), Herkunft (Land und Ort), gewünschter Beginn der Mitgliedschaft, eine optionale Nachricht, Ihr Interesse an Informationen zum Mekteb, die bevorzugte Sprache sowie Ihre Zustimmung zu den Bedingungen der Mitgliedschaft und zur Datenschutzerklärung. Die Angaben zu Ehepartner und Kindern erhalten wir von Ihnen als antragstellender Person. Mitgliedschaft: Mitgliedsnummer (BMZ-####), Status, Beginn und Freigabedatum der Mitgliedschaft sowie der digitale Mitgliedsausweis. Änderungswünsche: Anträge auf Änderung Ihrer Daten, die Sie in der App stellen. Beiträge: freiwillige monatliche Beiträge je Haushalt, die das Finanzteam erfasst (Betrag, Datum, Zahlungsart). Die App wickelt selbst keine Zahlungen ab; die angezeigte Bankverbindung dient nur Ihrer eigenen Überweisung. Mitteilungen: an Sie gerichtete Dokumente, Ihre Benachrichtigungen und Ihre Zugehörigkeit zu Gruppen. Push-Token Ihres Geräts und das Betriebssystem (iOS oder Android), nur wenn Sie Benachrichtigungen zulassen. Änderungsprotokoll: Im Verwaltungsbereich wird festgehalten, wer wann welche Angaben geändert hat (alter und neuer Wert). Kalender (nur mit Ihrer Berechtigung; siehe „Kalenderzugriff“). Die App enthält keine Werbung, keine Analyse- oder Absturzberichts-Dienste und kein Tracking.
Zwecke und Rechtsgrundlagen
Wir verarbeiten diese Daten zur Bearbeitung Ihres Mitgliedsantrags und zur Verwaltung Ihrer Vereinsmitgliedschaft einschließlich der Erfassung freiwilliger Beiträge (Art. 6 Abs. 1 lit. b DSGVO – Mitgliedschaftsverhältnis bzw. vorvertragliche Maßnahmen), zur Erfüllung rechtlicher Pflichten, insbesondere der Aufbewahrung von Zahlungsbelegen (Art. 6 Abs. 1 lit. c DSGVO), zum Schutz Ihres Kontos und zur Abwehr von Missbrauch über das Anmeldeprotokoll sowie zur Nachvollziehbarkeit von Änderungen im Verwaltungsbereich (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren und nachvollziehbaren Betrieb) sowie – für optionale Funktionen wie Push-Benachrichtigungen und Kalenderzugriff – auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können. Da die Mitgliedschaft in unserer Glaubensgemeinschaft Rückschlüsse auf Ihre religiöse Überzeugung zulässt, stützen wir die Verarbeitung zusätzlich auf Art. 9 Abs. 2 lit. d DSGVO (Verarbeitung durch eine Organisation ohne Gewinnerzielungsabsicht mit religiöser Ausrichtung im Rahmen ihrer rechtmäßigen Tätigkeiten). Ohne Ihre Einwilligung geben wir diese Daten nicht an Stellen außerhalb des Vereins weiter; ausgenommen sind nur die unten genannten Auftragsverarbeiter, die ausschließlich in unserem Auftrag tätig sind.
Empfänger und Auftragsverarbeiter
Datenbank, Anmeldung und Dateispeicher: Supabase, gehostet in der Europäischen Union (Rechenzentrum in Stockholm, Schweden). Verwaltungsbereich des Vorstands (Web): Vercel Inc.; die Serverfunktionen laufen im Rechenzentrum Frankfurt am Main (Deutschland). E-Mail-Versand (z. B. Bestätigungscodes bei der Registrierung und beim Zurücksetzen des Passworts, die Bestätigung Ihrer Aufnahme): Resend, Inc.; der Versand erfolgt über Rechenzentren in der EU (Irland). Hinweise an den Vorstand über einen neuen Antrag oder eine neue Anfrage enthalten nur Vorname, Ort und einen Link in den Verwaltungsbereich. E-Mail-Postfach des Vereins (office@bmzvorarlberg.com): Namecheap, Inc. Bereitstellung der App und – sofern Sie diese zulassen – Push-Benachrichtigungen: Expo (650 Industries, Inc.). Expo erhält dafür das Push-Token, eine zufällige Kennung der App-Installation und den Text der Benachrichtigung; die Zustellung erfolgt über den Apple Push Notification service (Apple Inc., iOS) bzw. Firebase Cloud Messaging (Google, Android). Mit diesen Dienstleistern bestehen bzw. werden Auftragsverarbeitungsverträge geschlossen; eine Übermittlung erfolgt nur im erforderlichen Umfang. Soweit einzelne Anbieter Daten außerhalb der EU (insbesondere in den USA) verarbeiten, geschieht dies auf Grundlage geeigneter Garantien (EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln). Innerhalb des Vereins sehen nur die zuständigen Personen mit der jeweils erforderlichen Rolle Ihre Daten (siehe „Datensicherheit“).
Speicherdauer
Wir speichern Ihre Daten für die Dauer Ihrer Mitgliedschaft. Nach dem Ende der Mitgliedschaft bleibt Ihr Datensatz als ehemaliges Mitglied gespeichert, bis Sie die Löschung beantragen (siehe „Konto und Daten löschen“). Abgelehnte Mitgliedsanträge, zu denen keine Beiträge erfasst sind, werden sechs Monate nach der Ablehnung automatisch anonymisiert. Ein Konto, aus dem nie eine Mitgliedschaft geworden ist, bleibt bestehen, bis Sie es löschen; das können Sie jederzeit selbst sofort tun. Das Anmeldeprotokoll (Zeitpunkt und IP-Adresse Ihrer Anmeldungen) wird nach 90 Tagen automatisch gelöscht. Für jede aktive Anmeldung (Sitzung) werden IP-Adresse und Gerätetyp gespeichert, bis Sie sich abmelden oder Ihr Konto gelöscht wird. Technische Server-Protokolle unserer Dienstleister werden nur kurzfristig gespeichert. Das Änderungsprotokoll bleibt bestehen, solange Ihr Datensatz besteht. Mit der Löschung Ihres Kontos werden Ihr Anmeldekonto samt Anmeldeprotokoll, Ihre Mitglieds- und Familiendaten (einschließlich Familienstand), Ihre Push-Tokens, an Sie gerichtete Dokumente, Ihre Benachrichtigungen, Ihre Gruppenzugehörigkeiten und die Angaben über Sie im Änderungsprotokoll entfernt. Beitragsdatensätze (Betrag, Monat, Datum, Zahlungsart), die wir gesetzlich aufbewahren müssen, bleiben ohne Namen und Kontaktdaten nur unter der Mitgliedsnummer erhalten, solange diese Aufbewahrungspflicht besteht.
Push-Benachrichtigungen
Wenn Sie Push-Benachrichtigungen auf Ihrem Gerät erlauben, speichern wir das Push-Token Ihres Geräts verknüpft mit Ihrem Konto – das Token ist also nicht anonym. Wir verwenden es ausschließlich, um Ihnen Mitteilungen des Vereins zuzustellen: Neuigkeiten, Veranstaltungen, Erinnerungen und Bestätigungen erfasster Beiträge. Das Token wird gelöscht, wenn Sie sich in der App abmelden oder Ihr Konto gelöscht wird. Benachrichtigungen können Sie jederzeit in den Systemeinstellungen Ihres Geräts deaktivieren.
Kalenderzugriff
Die App greift nur auf Ihren Kalender zu, wenn Sie dies erlauben und einen Vereinstermin in Ihren Kalender übernehmen möchten. Dabei liest die App Ihren Kalender ausschließlich auf Ihrem Gerät, um doppelte Einträge zu vermeiden. Kalenderdaten werden nicht hochgeladen und weder an uns noch an Dritte übermittelt. Die Berechtigung können Sie jederzeit in den Systemeinstellungen Ihres Geräts widerrufen.
Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch und Widerruf erteilter Einwilligungen. Änderungen Ihrer Daten beantragen Sie direkt in der App; der Vorstand prüft den Antrag und übernimmt die Änderung. Über Ihre Aufnahme entscheidet der Vorstand; eine ausschließlich automatisierte Entscheidung findet nicht statt. Zudem haben Sie das Recht auf Beschwerde bei der Österreichischen Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, www.dsb.gv.at). Für alle Anliegen erreichen Sie uns unter office@bmzvorarlberg.com.
Konto und Daten löschen
Solange Sie nicht Mitglied geworden sind (kein Antrag, Antrag in Prüfung oder abgelehnt ohne erfasste Beiträge), können Sie Ihr Konto sofort selbst löschen: mit „Konto löschen“ direkt auf dem Bildschirm, den Ihnen die App nach der Anmeldung zeigt. Als Mitglied stellen Sie unter „Profil“ → „Konto löschen“ einen Löschantrag, als ehemaliges Mitglied mit „Konto löschen“ auf dem Bildschirm nach der Anmeldung; der Vorstand bearbeitet ihn innerhalb von 30 Tagen. Ist die App nicht verfügbar, genügt eine E-Mail an office@bmzvorarlberg.com. Einzelheiten finden Sie auf der Seite „Konto und Daten löschen“.
Kinder
Die App richtet sich an Erwachsene und nicht an Kinder. Daten von Kindern werden ausschließlich von ihren Eltern als Haushaltsangehörige im Mitgliedsantrag angegeben.
Datensicherheit
Die Übertragung erfolgt verschlüsselt (TLS). Der Zugriff auf Mitgliedsdaten ist durch Anmeldung, rollenbasierte Berechtigungen und Zugriffsregeln auf Datenbankebene geschützt. Im Verwaltungsbereich gibt es getrennte Rollen (Hauptverwaltung, Mitgliederverwaltung, Finanzen, Inhalte); jede Rolle sieht nur die Daten, die sie für ihre Aufgabe benötigt.
Änderungen
Wir passen diese Erklärung an, wenn sich die Datenverarbeitung oder die Rechtslage ändert. Es gilt die jeweils aktuelle Fassung.