Diese Erklärung gilt für die Rössing-App für Android (Paketname
de.roessing.app). Für die Internetseite rössing.de gilt die
Datenschutzerklärung der Website.
Die App ist ein ehrenamtliches Dorfprojekt: kostenlos, ohne Werbung und ohne Gewinnabsicht. Sie ist bewusst datensparsam gebaut – keine Analyse- oder Tracking-Bausteine, kein Verkauf und keine Weitergabe von Daten an Dritte zu Werbezwecken. Trotzdem werden für den Betrieb einige Daten verarbeitet. Was das ist, steht hier.
Eine Ausnahme von „alles bleibt im Dorf“ gibt es seit der Version 0.1.7: Die Benachrichtigungen aufs Handy laufen über Google. Dafür entsteht eine Kennung dieser App-Installation – seit Version 0.1.8 erst dann, wenn du Mitteilungen erlaubt hast; in älteren Versionen entstand sie schon beim Start der App. Was das genau bedeutet, steht im Abschnitt Benachrichtigungen aufs Handy.
Daneben gibt es auf dem Anmeldebildschirm den Knopf „Mit Google anmelden“. Wer ihn nutzt, geht dabei über Google – das ist aber freiwillig: Mit einem selbst angelegten Konto und Passwort funktioniert alles genauso, ganz ohne Google. Näheres steht im Abschnitt Anmeldung mit der Rössing-ID.
Levin Keller Hohenzollerndamm 152 14199 Berlin
Telefon: +4915156041082 E-Mail: post@levinkeller.de
Die App und der dazugehörige Server werden derzeit privat von Levin Keller betrieben – so wie die übrigen Dienste des digitalen Dorfs. Geplant ist, den Betrieb an eine noch zu gründende Dorfentwicklungsgesellschaft (DEG) zu übergeben; diese Erklärung wird dann angepasst.
Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben und daher nicht bestellt.
Die App lässt sich nur mit einem Konto der Rössing-ID nutzen. Das ist die gemeinsame Anmeldung für die Dorf-Dienste unter id.rössing.de. Sie läuft auf der selbst betriebenen Software Zitadel auf einem eigenen Server – nicht bei einem großen Anmelde-Anbieter.
Der Anmeldevorgang findet im Browser des Geräts statt (OAuth 2.0 mit PKCE). Dabei werden die Zugangsdaten ausschließlich bei der Rössing-ID eingegeben, nicht in der App. Verarbeitet werden dabei die Kontodaten der Rössing-ID (insbesondere Benutzername, Anzeigename und E-Mail-Adresse) sowie technische Verbindungsdaten.
Nach erfolgreicher Anmeldung speichert die App die Anmelde-Nachweise (Tokens) nur lokal auf dem Gerät. Beim Abmelden in der App werden sie gelöscht.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzung der von der betroffenen Person angefragten Funktion) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden, missbrauchssicheren Zugang).
Ein Konto für die Rössing-ID legt man sich selbst an – früher musste das jemand für einen tun, inzwischen geht es direkt auf dem Anmeldebildschirm. Angegeben werden dabei:
Die E-Mail-Adresse wird anschließend mit einem Bestätigungslink geprüft; das Passwort wird nicht im Klartext gespeichert. Diese Daten liegen auf dem selbst betriebenen Server (Zitadel) – nicht bei einem Dienstleister und nicht bei einem großen Anmelde-Anbieter. Die E-Mail-Adresse dient der Anmeldung, der Bestätigung des Kontos und Nachrichten zum Konto, etwa wenn ein Passwort zurückgesetzt werden soll.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO – ohne Konto lässt sich die App nicht nutzen.
Auf dem Anmeldebildschirm steht zusätzlich der Knopf „Mit Google anmelden“. Wer ihn benutzt, wird zu Google weitergeleitet und meldet sich dort an. Google erfährt dabei, dass du dich bei der Rössing-ID anmeldest, und verarbeitet den Vorgang nach seinen eigenen Bestimmungen; dabei können Daten auch außerhalb der EU verarbeitet werden.
An die Rössing-ID übermittelt Google anschließend:
Ehrlich dazugesagt: Bei diesem Weg wird das Konto in der Rössing-ID automatisch angelegt. Gibt es dort bereits ein Konto mit derselben E-Mail-Adresse, wird die Google-Anmeldung mit diesem vorhandenen Konto verknüpft – es entsteht also kein zweites Konto.
Dieser Weg ist vollständig freiwillig: Mit einem selbst angelegten Konto und Passwort funktioniert die App genauso, ganz ohne Google. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Drücken des Knopfes erteilst; sie lässt sich für die Zukunft widerrufen, indem du dich künftig mit Passwort anmeldest bzw. das Konto löschen lässt (siehe Konto und Daten löschen). Was Google mit den Daten macht, steht in dessen Datenschutzerklärung.
Bestätigungs- und Benachrichtigungsmails der Rössing-ID – etwa der
Bestätigungslink für die E-Mail-Adresse oder das Zurücksetzen des Passworts –
werden über Amazon Simple Email Service (SES) verschickt, einen Dienst der
Amazon Web Services EMEA SARL (38 Avenue John F. Kennedy, 1855 Luxemburg;
Mutterkonzern: Amazon Web Services, Inc., USA). Der Versand läuft über die
Region Frankfurt (eu-central-1), die Nachrichten werden also in Deutschland
verarbeitet. Absender ist
noreply@rössing.de. Amazon verarbeitet dabei die Empfängeradresse sowie
Betreff und Inhalt der Nachricht – ausschließlich in unserem Auftrag als
Auftragsverarbeiter (Art. 28 DSGVO) und nur zur Zustellung. Rechtsgrundlage
ist Art. 6 Abs. 1 lit. b DSGVO (Zustellung der für den Betrieb des Kontos
notwendigen Nachrichten).
Der Server der App ist unter app.rössing.de erreichbar und läuft auf
demselben selbst betriebenen Server wie die übrigen Dienste des digitalen
Dorfs. Gespeichert werden:
Die Erledigungsmeldungen sind für alle angemeldeten Nutzerinnen und Nutzer der App als Historie sichtbar („zuletzt gegossen am … von …“). Genau dafür sind sie da: Ohne diese Information wüsste niemand, ob ein Kasten schon versorgt ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nachvollziehbaren gemeinschaftlichen Pflege der Blumenkästen und Beete im Dorf).
Beim Abruf können zusätzlich technisch bedingte Verbindungsdaten anfallen – etwa IP-Adresse, Zeitpunkt und aufgerufene Adresse. Solche Daten entstehen bei jeder Verbindung im Internet und werden, soweit sie protokolliert werden, ausschließlich zum Betrieb und zur Abwehr von Missbrauch verwendet. Die Anwendung selbst legt darüber keine Protokolle an.
Die Erledigungsmeldungen bleiben gespeichert, solange sie für die Historie eines Ortes gebraucht werden; auf Wunsch werden sie vorher gelöscht oder anonymisiert (siehe Konto und Daten löschen). Eine feste Löschfrist ist bisher nicht festgelegt – sobald es eine gibt, steht sie hier.
In der App gibt es eine Profilverwaltung. Alles, was du dort einträgst, ist freiwillig – die App funktioniert auch mit leerem Profil. Gespeichert werden können:
Für jedes Feld einzeln stellst du ein, wer es sehen darf: „für alle angemeldeten Dorfbewohner“ oder „nur für Verwaltende“. Vorbelegt sind Anzeigename und Nickname als sichtbar, Telefonnummer, E-Mail-Adresse und Notiz als nicht sichtbar. Kontaktdaten werden also nie still veröffentlicht – sichtbar werden sie erst, wenn du den Schalter selbst umlegst. Felder, die du nicht freigegeben hast, verlassen den Server gar nicht.
Zweck der freigegebenen Angaben ist die nachbarschaftliche Erreichbarkeit im Dorf. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Umlegen des Schalters erteilst; du kannst sie jederzeit widerrufen, indem du den Schalter zurückstellst. Empfänger sind – je nach Einstellung – andere angemeldete Dorfbewohnerinnen und Dorfbewohner (und dann nur die freigegebenen Felder) oder ausschließlich die Verwaltenden. Die Angaben bleiben gespeichert, bis du sie änderst oder löschst (siehe Konto und Daten löschen).
Aus den Erledigungsmeldungen berechnet die App eine Rangliste – wahlweise für die laufende Woche, den Monat, die Gieß-Saison, das Jahr oder insgesamt. Sie enthält den Anzeigenamen bzw. Nickname, die Zahl der Erledigungen, die gemeldete Wassermenge und daraus abgeleitete Abzeichen, dazu die Gesamtsumme aller Beteiligten. Die Rangliste ist für alle angemeldeten Nutzerinnen und Nutzer der App sichtbar; eine Veröffentlichung im offenen Internet findet nicht statt.
Wer dort nicht mit dem eigenen Namen erscheinen möchte, trägt im Profil einen frei gewählten Nickname ein – er tritt dann in Rangliste und Erledigungshistorie an die Stelle des Anzeigenamens. Ganz ohne Namen geht es nicht: Ohne eine Zuordnung ließe sich weder erkennen, ob ein Kasten schon versorgt ist, noch eine Rangliste bilden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nachvollziehbaren und motivierenden gemeinschaftlichen Pflege im Dorf); dem kann nach Art. 21 DSGVO widersprochen werden.
Die Liste der Dorfbewohner zeigt, wer in der App mitmacht, und dazu ausschließlich die Angaben, die im Profil freigegeben wurden (siehe oben).
Bei jedem Ort kann man sich in der App als Helfer
eintragen („Hier als Helfer eintragen“). Das ist freiwillig – die App funktioniert auch ohne. Gespeichert werden dabei:Steht an diesem Ort etwas an, entsteht daraus eine Anfrage an eine eingetragene Person. Zu jeder Anfrage werden die Kennung der gefragten Person, der Anlass (welcher Ort, welche Aufgabe), der Zeitpunkt und der Vermerk gespeichert, ob sie gelesen bzw. beantwortet wurde. Gefragt wird nacheinander, damit nicht alle gleichzeitig losziehen.
Wer eine Anfrage annimmt, hält die Aufgabe für 24 Stunden. Diese Zusage ist mit Namen und Frist für die übrigen Eingetragenen sichtbar – sonst gießen zwei Leute denselben Kasten. Angezeigt wird dabei derselbe Name wie sonst in der App: der Anzeigename oder, falls hinterlegt, der Nickname.
Der Eintrag lässt sich jederzeit wieder zurücknehmen, indem man den Schalter am Ort umlegt; danach wird man dort nicht mehr gefragt. Rechtsgrundlage ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die mit dem Eintragen erteilt und mit dem Austragen widerrufen wird. Anfragen und Vorgänge hängen an der jeweiligen Pflegeaufgabe und werden mit ihr gelöscht.
Anfragen stehen immer in der App selbst, unter „Benachrichtigungen“. Wer möchte, kann sie zusätzlich als Mitteilung aufs Handy bekommen. Dafür fragt Android um Erlaubnis – und zwar erst dann, wenn man sich irgendwo als Helfer
eingetragen hat.Die Zustellung läuft über Firebase Cloud Messaging, einen Dienst von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (bzw. Google LLC, USA). Das lässt sich nicht vermeiden: Auf Android führt der einzige zuverlässige Weg zu einer Mitteilung auf dem Sperrbildschirm über diesen Dienst.
Seit Version 0.1.8 entsteht die Kennung erst, wenn du Mitteilungen erlaubt hast. Vorher fragt die App Google gar nicht erst danach, und auch das Firebase-SDK selbst bleibt bis dahin stumm: Es meldet sich nicht von sich aus bei Google an (der sogenannte Auto-Init ist abgeschaltet). Erst mit der Erlaubnis wird es scharf gestellt, die Kennung angelegt und dem Dorfserver gemeldet. Nimmst du die Erlaubnis später in den Android-Einstellungen wieder zurück, wird die Kennung beim nächsten Öffnen der App vom Dorfserver gelöscht und auf dem Gerät verworfen; Firebase wird wieder stillgestellt.
Zwei Dinge gehören ehrlich dazu:
Im Einzelnen:
Das Firebase-SDK steckt ausschließlich für diesen Zweck in der App. Eine Analyse- oder Absturz-Bibliothek von Google ist bewusst nicht eingebunden.
Bis einschließlich Version 0.1.7 entstand die Kennung beim Start der App und wurde dem Dorfserver gemeldet – auch dann, wenn die Erlaubnis für Mitteilungen nicht erteilt war; die Erlaubnis entschied dort nur darüber, ob Android eine Mitteilung anzeigt. Solange diese Versionen noch im Umlauf sind, gilt für sie: Grundlage für das Anlegen und Melden der Kennung ist das berechtigte Interesse am Betrieb der Benachrichtigungsfunktion (Art. 6 Abs. 1 lit. f DSGVO); dem kann nach Art. 21 DSGVO widersprochen werden – das Abmelden in der App genügt. Für das Anzeigen der Mitteilungen galt auch dort die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
Wer auf 0.1.8 aktualisiert, muss nichts weiter tun: Eine aus der alten Version stammende Kennung wird beim ersten Start der neuen Version gelöscht, sofern keine Erlaubnis für Mitteilungen vorliegt. Dieser Abschnitt entfällt, sobald die älteren Versionen nicht mehr im Umlauf sind.
Auf der Seite rössing.de/app und in der App selbst lässt sich ein Wunsch für die Weiterentwicklung der Dorf-App einreichen. Gespeichert wird dabei:
Zweck ist ausschließlich die Weiterentwicklung der Dorf-App und – falls eine E-Mail-Adresse angegeben wurde – die Rückfrage zu der eingereichten Idee.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), erteilt durch das bewusste Absenden des Formulars.
Empfänger sind ausschließlich die Personen, die die Dorf-App verwalten (Dorfentwicklungskreis Rössing). Eingereichte Ideen werden nicht veröffentlicht, nicht in der App angezeigt und nicht an Dritte weitergegeben.
Speicherdauer: Ideen werden aufbewahrt, bis sie umgesetzt oder verworfen sind, längstens bis zum Widerruf. Der Widerruf ist jederzeit formlos möglich – eine Nachricht an post@levinkeller.de genügt, die Idee wird dann samt Name und E-Mail gelöscht. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.
Schutz vor Missbrauch: Weil das Formular öffentlich erreichbar ist, gilt für den Eingang eine Zugriffsgrenze je aufrufendem Anschluss, es gibt ein verstecktes Feld, das nur automatisierte Skripte ausfüllen, und eine Mindestzeit zwischen Seitenaufruf und Absenden. Ein Captcha oder ein Dienst eines Dritten kommt dabei nicht zum Einsatz, und die IP-Adresse wird nicht gespeichert – sie wird für die Zugriffsgrenze nur flüchtig im Arbeitsspeicher gehalten.
Die App kann dich um Zugriff auf deinen Standort bitten. Er wird ausschließlich auf dem Gerät verwendet: um die Karte bei dir starten zu lassen und deine Position darauf anzuzeigen, um anzuzeigen, wie weit ein Blumenkasten entfernt ist, und um die Liste nach Entfernung zu sortieren.
Der Standort wird nicht an den Server übertragen und dort auch nicht gespeichert – die Schnittstelle der App kennt dafür überhaupt kein Feld. Die Berechtigung ist freiwillig: Wird sie verweigert oder in den Android-Einstellungen wieder entzogen, funktioniert die App weiter, nur ohne Entfernungsangaben.
Darüber hinaus fordert die App die Berechtigungen für Internetzugriff, zum Abfragen des Netzwerkstatus und – nur, wenn du Benachrichtigungen erlaubst – zum Anzeigen von Mitteilungen an. Mehr nicht.
Die Verbindung zwischen App und Server läuft ausschließlich verschlüsselt über HTTPS.
Die Dorfkarte in der App wird mit Kartenkacheln von OpenFreeMap dargestellt; die zugrunde liegenden Daten stammen aus OpenStreetMap. Beim Anzeigen der Karte ruft das Gerät diese Kacheln direkt von den Servern von OpenFreeMap ab. Dabei wird – wie bei jedem Abruf im Internet – die IP-Adresse des Geräts an diesen Dienst übertragen. Ein Konto oder ein Zugangsschlüssel ist dafür nicht nötig; Werbe-Tracking findet nicht statt.
Die App wird über den internen Test im Google Play Store verteilt (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland bzw. Google LLC, USA). Wer mittesten möchte, teilt uns dafür die Google-Adresse mit, mit der das Android-Gerät angemeldet ist; diese wird im Testerkreis der Play Console hinterlegt, damit die Einladung zugestellt und die App installiert werden kann.
Beim Herunterladen, Installieren und Aktualisieren verarbeitet Google eigene Nutzungsdaten – wie bei jeder App aus dem Play Store – nach seinen eigenen Bestimmungen (Google-Datenschutzerklärung). Darauf haben wir keinen Einfluss.
Wer nicht am Test teilnehmen möchte, gibt uns einfach keine Adresse; die Teilnahme lässt sich jederzeit formlos beenden.
Die App selbst enthält keine Analyse-, Absturz- oder Werbe-Bibliotheken: In der installierten App läuft nichts mit, das Nutzungsverhalten auswertet. Der einzige Baustein von Google in der App ist Firebase Cloud Messaging, und der ist ausschließlich für die Benachrichtigungen da.
Gegenüber dem Verantwortlichen bestehen folgende Rechte:
Für alle Anliegen genügt eine formlose Nachricht an post@levinkeller.de. Wie die Löschung des Kontos und der eigenen Daten abläuft, steht auf einer eigenen Seite: Konto und Daten löschen.
Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.
Die App wird laufend weiterentwickelt. Diese Erklärung wird angepasst, sobald sich die Verarbeitung ändert – etwa wenn neue Bereiche in der App dazukommen oder die App öffentlich veröffentlicht wird. Es gilt jeweils die hier veröffentlichte Fassung.
Mehr zur App: Die Rössing-App