Datenschutzerklärung

1. Verantwortlicher

Gleis4 gUG (haftungsbeschränkt)
Eisenbahnstraße 82, 67227 Frankenthal (Pfalz)
Vertreten durch den Geschäftsführer Tiemo Feldmann
E-Mail: tiemo.feldmann@kuz-gleis4.de

2. Überblick

cultureOS ist eine interne Plattform für Mitarbeitende und Partner von GLEIS4. Diese Erklärung beschreibt, welche personenbezogenen Daten beim Betrieb der Plattform verarbeitet werden. Die App ist im Wesentlichen angemeldeten Nutzer:innen vorbehalten; öffentlich zugänglich sind unter anderem die niedrigschwellige Mängelmeldung und die persönlichen Anmeldeseiten zu Einladungen für Sponsoren (Ziffer 3 e).

3. Verarbeitete Daten & Zwecke

a) Mitarbeiter:innen-Konten

Name, E-Mail-Adresse, Rolle und Mandanten-Zugehörigkeit sowie technische Anmeldedaten (Session). Zweck: Bereitstellung der Plattform, Authentifizierung und Rechteverwaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Durchführung des Beschäftigungs-/Nutzungsverhältnisses, berechtigtes Interesse am sicheren Betrieb).

b) Inhaltsdaten der Anwendung

Im Rahmen der Nutzung erfasste Arbeitsdaten (z. B. Inventur-Zählungen, Bestellungen). Bei Zählungen wird festgehalten, welche angemeldete Person erfasst hat. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

c) Öffentliche Mängelmeldung

Über die Melde-Seite können – ohne Anmeldung – ein Freitext und optional ein Name angegeben werden. Die Angabe des Namens ist freiwillig. Zweck: Bearbeitung der Meldung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a und f DSGVO (Einwilligung durch freiwillige Angabe bzw. berechtigtes Interesse an der Bearbeitung).

d) Server- und Protokolldaten

Beim Aufruf fallen technisch notwendige Daten an (z. B. IP-Adresse, Zeitpunkt, aufgerufene Seite), die zur Auslieferung und Absicherung erforderlich sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

e) Einladungen für Sponsoren (Anmeldeseite)

Lädt GLEIS4 Sponsoren zu einer Veranstaltung ein (z. B. zu einem Konzertabend mit Empfang), erhält jede eingeladene Person per E-Mail einen persönlichen Link zu einer Anmeldeseite, die ohne Anmeldung erreichbar ist. Gespeichert werden die Zusage oder Absage, die Zahl der Personen und – nur wenn angegeben – der Name der Begleitung und eine Anmerkung, dazu der Zeitpunkt der Antwort. Das bloße Öffnen der Seite speichert keine Antwort; zu- oder abgesagt wird nur über die Knöpfe auf der Seite. Zweck: Planung des Abends, Reservierung der Plätze und die Gästeliste am Einlass, auf der bei einer Zusage der Name des Gastes (bei Firmen mit dem Firmennamen) und die Personenzahl stehen. Nach jeder Antwort erhält der Gast eine Bestätigung per E-Mail. Die Anmeldeseite setzt keine Cookies und verwendet kein Tracking. Name der Begleitung und Anmerkung werden 30 Tage nach der Veranstaltung gelöscht; Zusage oder Absage und Personenzahl bleiben für die Dokumentation des Sponsorings erhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. a und f DSGVO (Einwilligung durch freiwillige Angabe von Begleitung und Anmerkung bzw. berechtigtes Interesse an der Planung der Veranstaltung und an der Pflege der Sponsoring-Partnerschaft).

f) Anmeldung zur Jazz Session (Musiker:innen)

Wer bei der Jazz Session im GLEIS4 mitspielen möchte, meldet sich über eine öffentliche Seite ohne Konto an. Gespeichert werden Name, E-Mail-Adresse, Instrument, eine freiwillige Notiz und die gewählten Songs mit Tonart (optional mit einer Referenzaufnahme oder einem selbst angegebenen Link), dazu die Zeitpunkte der Anmeldung und der Mails. Zweck: Auswahl der Songs und Planung der Setliste durch die Stammbesetzung der Session (präsentiert von der IG Jazz Frankenthal e.V.) und die Mails an die Musiker:innen (Eingangsbestätigung mit persönlichem Link zum Ändern, später die ausgewählten Songs mit ungefährer Uhrzeit). Die Stammbesetzung sieht Namen, Instrument, Notiz und Songs über einen geheimen Link, aber keine E-Mail-Adressen. Wer mit anderen Musiker:innen für denselben Song eingeplant ist, erfährt in der Mail mit den ausgewählten Songs deren Namen (keine E-Mail-Adressen). Für die Suche nach einer Referenzaufnahme fragt unser Server die Musikdatenbank von Deezer ab und liefert Cover und 30-Sekunden-Hörproben selbst aus — dabei werden keine personenbezogenen Daten an Deezer übermittelt. Die Seite setzt keine Cookies und verwendet kein Tracking. Name, E-Mail-Adresse, Instrument und Notiz werden 30 Tage nach der Session gelöscht; die Songs mit Tonart bleiben ohne Personenbezug erhalten. Bis zum Anmeldeschluss kann die Anmeldung über den persönlichen Link jederzeit zurückgezogen werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Teilnahme an der Session auf eigenen Wunsch).

4. Cookies

Es werden ausschließlich technisch notwendige Cookies für die Anmelde-Session gesetzt. Es findet kein Tracking und keine Analyse zu Werbezwecken statt.

5. Empfänger / Auftragsverarbeiter

Zur Bereitstellung setzen wir sorgfältig ausgewählte Dienstleister ein, mit denen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) bestehen:

• Supabase – Datenbank- und Authentifizierungs-Hosting (Verarbeitung in der EU [Region bestätigen]).
• Mailjet (Sinch) – Versand von E-Mails (z. B. Bestellungen, Passwort-Zurücksetzen).
• Amazon Web Services EMEA SARL (Luxemburg) – Versand von E-Mails über Amazon SES (Rechenzentrum Stockholm, EU), z. B. Ticket-, Einsatz- und Zugangsmails. Ein Zugriff durch die Konzernmutter in den USA ist möglich; Rechtsgrundlage für den Drittlandtransfer: EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework.
• Hetzner Online GmbH – Server-Hosting der Anwendung (Deutschland).
• Anthropic PBC (USA) – Sprachmodell „Claude“ für die KI-Funktionen (KI-Hilfe, Einlesen von Vermietungs-Anfragen, Kalkulationsvorschlag, Auslesen von GEMA-Setlisten, Entwürfe für Rundschreiben und Vereinsberichte der Geschäftsführung). Übermittlung nur bei aktiver Nutzung dieser Funktionen; Textfunktionen ausschließlich pseudonymisiert, Setlisten als Bild bzw. PDF mit den in Ziffer 6 beschriebenen Schutzmaßnahmen. Rechtsgrundlage für den Drittlandtransfer: EU-Standardvertragsklauseln. [Auftragsverarbeitungsvertrag bestätigen]

6. Einsatz von KI-Funktionen

cultureOS enthält sechs optionale KI-Funktionen: die KI-Hilfe(beantwortet Fragen aus den Hilfe-Artikeln), das Einlesen von Vermietungs-Anfragen (Freitext → strukturierter Vorgang), den Kalkulationsvorschlag für Angebote und das Auslesen von GEMA-Setlisten (Foto oder PDF einer gespielten Titelliste → Titel, Urheber:innen, Dauer für die GEMA-Meldung) sowie Entwürfe für Rundschreiben der Geschäftsführung (z. B. Updates an das Team): Grundlage sind ausschließlich Notizen, die die Geschäftsführung dafür selbst angelegt und freigegeben hat; Beträge werden vor der Übermittlung zusätzlich maskiert, und jeder Entwurf wird vor dem Versand von der Geschäftsführung geprüft und freigegeben. Dazu kommen Berichte aus Protokollen von Treffen des Fördervereins (Website-Beitrag, Newsletter-Auszug, Nachbericht für die Vereinsgruppe): Vor der Übermittlung prüft die Geschäftsführung die im Protokoll erkannten Namen und ergänzt fehlende; sie werden wie alle übrigen Personendaten durch Platzhalter ersetzt, Beträge maskiert. Das hochgeladene Protokoll wird nach Abschluss gelöscht; veröffentlicht wird nur, was die Geschäftsführung selbst freigibt. Sie werden ausschließlich durch eine bewusste Eingabe bzw. einen Klick ausgelöst — es findet keine automatische Hintergrundverarbeitung statt.

Vor jeder Übermittlung werden personenbezogene Daten durch Platzhalter ersetzt (Pseudonymisierung nach Art. 25 DSGVO): Namen, E-Mail-Adressen, Telefonnummern, Anschriften und IBAN. Der Dienstleister erhält damit nur den sachlichen Gehalt (z. B. Anlass, Datum, Personenzahl, Preisbausteine), nicht die dahinterstehende Person. Die Zuordnung der Platzhalter zu den Klardaten verbleibt auf unserem Server und wird nur für die Dauer der jeweiligen Anfrage im Arbeitsspeicher gehalten.

Ausnahme Setlisten: Eine Setliste wird als Bild bzw. PDF übermittelt und lässt sich deshalb nicht vorab pseudonymisieren. Sie enthält die für die GEMA-Meldung ohnehin nötigen Werkangaben (Songtitel und Namen der Urheber:innen), kann aber auch Handschrift oder Kontaktangaben der Band enthalten. Schutzmaßnahmen: Fotos werden vor dem Versand neu kodiert und verkleinert, Standort- und Kameradaten (EXIF/GPS) entfallen; PDFs werden unverändert übermittelt. Das Modell wird angewiesen, ausschließlich Werkangaben auszugeben; jedes Ergebnisfeld wird auf E-Mail-Adressen, Telefonnummern und IBAN geprüft und bei einem Treffer verworfen. Gespeichert wird nur die geprüfte Titelliste, im Protokoll nur Anzahl und Modell. Zweck ist die gesetzlich vorgesehene Meldung der gespielten Werke an die GEMA (Art. 6 Abs. 1 lit. c und f DSGVO).

Nicht an KI-Dienste übermittelt werden insbesondere: Personalstammdaten, Lohn- und Gehaltsdaten, Gesundheits- bzw. IfSG-Nachweise, Arbeitszeiten sowie Daten von Ticketkäufer:innen und Gästen.

Nach Angaben des Anbieters werden Inhalte aus der geschäftlichen Nutzung nicht zum Training der Modelle verwendet. Die KI-Funktionen lassen sich serverseitig vollständig abschalten; sie sind dann in der Anwendung nicht sichtbar.

7. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Konten werden nach Ende der Tätigkeit deaktiviert/gelöscht [konkrete Fristen ergänzen]. Meldungen werden nach Bearbeitung [Aufbewahrungsdauer ergänzen] gelöscht. Bei Einladungen für Sponsoren (Ziffer 3 e) werden Name der Begleitung und Anmerkung 30 Tage nach der Veranstaltung automatisch gelöscht; Zusage oder Absage und Personenzahl bleiben für die Dokumentation des Sponsorings erhalten. Bei der Anmeldung zur Jazz Session (Ziffer 3 f) werden Name, E-Mail-Adresse, Instrument und Notiz 30 Tage nach der Session automatisch gelöscht.

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Wende dich dazu an den oben genannten Verantwortlichen.

Außerdem besteht ein Beschwerderecht bei einer Aufsichtsbehörde, z. B. dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.

9. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die unter Ziffer 6 beschriebenen KI-Funktionen erzeugen ausschließlich Vorschläge, die von Mitarbeitenden geprüft, geändert oder verworfen werden; jede Entscheidung (z. B. ein Angebot) trifft ein Mensch.

10. Stand

Diese Datenschutzerklärung wird bei Bedarf angepasst. Es gilt die jeweils hier veröffentlichte Fassung.