Datenschutzerklärung

1. Verantwortlicher

Ewald Schliep
Kirchstr. 201
26842 Ostrhauderfehn

E-Mail: info@flybu.de
Für Fragen zum Datenschutz: info@flybu.de

Ein Datenschutzbeauftragter ist nicht benannt; eine Pflicht dazu besteht nach § 38 BDSG nicht.

2. Zwei Rollen – wer wofür verantwortlich ist

FlyBu ist ein Reservierungssystem, das Vereine, Haltergemeinschaften und Flugschulen für ihre Mitglieder betreiben. Daraus ergeben sich zwei Rollen, die diese Erklärung getrennt behandelt:

• Für die Website, die Registrierung eines Vereins und den Betrieb der Plattform sind wir Verantwortlicher im Sinne der DSGVO. Das betrifft Besucher der Website, die Ansprechpartner registrierender Vereine und die technischen Daten, die beim Betrieb anfallen.
• Für die Daten innerhalb eines Vereins – Mitglieder, Lizenzen, Reservierungen, Flugbücher, Fotos – ist der jeweilige Verein Verantwortlicher. Er entscheidet, welche Daten er einträgt und wie lange er sie behält. Wir verarbeiten diese Daten in seinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO, auf Grundlage eines Auftragsverarbeitungsvertrags, den der Verein beim Anlegen seines Zugangs mit uns schließt.

Wer als Mitglied eines Vereins Auskunft, Berichtigung oder Löschung seiner Daten verlangt, wendet sich deshalb an den Vorstand seines Vereins. Wir unterstützen den Verein dabei und leiten Anfragen, die uns direkt erreichen, an ihn weiter.

3. Hosting und Infrastruktur

Die Anwendung läuft bei Vercel Inc. (USA). Die Serverfunktionen, die Vereinsdaten verarbeiten, werden im Rechenzentrum Frankfurt am Main ausgeführt; statische Dateien wie Schriften und Skripte liefert Vercel über ein weltweites Netz von Auslieferungsknoten aus. Die Datenbank betreibt Neon Inc. (USA) in einem Rechenzentrum in Frankfurt am Main. Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge; soweit Daten in die USA gelangen, geschieht das auf Grundlage der EU-Standardvertragsklauseln und, soweit der Anbieter dort zertifiziert ist, des EU-US Data Privacy Framework.

Bei jedem Aufruf entstehen technische Protokolldaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browserkennung. Sie dienen der Sicherheit und der Fehlersuche und werden von Vercel nach kurzer Zeit gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionierenden Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Alle Verbindungen sind verschlüsselt (TLS). Die Daten der Vereine sind in der Datenbank durch Zeilentrennung (Row Level Security) voneinander getrennt: Ein Verein kann Daten eines anderen technisch nicht abrufen.

4. Cookies

FlyBu setzt zwei Cookies, beide ohne Zustimmungsabfrage, weil sie für den Dienst erforderlich sind bzw. eine ausdrücklich gewünschte Einstellung speichern (§ 25 Abs. 2 TDDDG):

• flybu_session – hält die Anmeldung. Gültig 30 Tage, danach ist eine neue Anmeldung nötig. Ohne dieses Cookie funktioniert der angemeldete Bereich nicht.
• flybu_theme – merkt sich die gewählte Darstellung (hell oder dunkel), wenn sie von Hand umgeschaltet wurde.

Es gibt keine Analyse-, Werbe- oder Tracking-Cookies, keine eingebetteten Dienste Dritter und keine Weitergabe des Nutzungsverhaltens.

5. Registrierung eines Vereins

Wer einen Verein anmeldet, gibt dessen Namen, ein Kürzel, den Heimatflugplatz sowie Name und E-Mail-Adresse einer Ansprechperson an. Wir speichern diese Angaben zunächst als Vormerkung und verschicken einen Bestätigungslink; erst dessen Aufruf legt Verein und Konto an. Der Link ist 48 Stunden gültig; nicht bestätigte Vormerkungen werden danach gelöscht. Mit der Bestätigung beginnt eine Testphase von 30 Tagen.

Rechtsgrundlage ist die Anbahnung und Durchführung des Vertrags mit dem Verein (Art. 6 Abs. 1 lit. b DSGVO).

6. Konto und Anmeldung

Zu jedem Konto speichern wir Name, E-Mail-Adresse und das Passwort als Argon2-Hash. Ein Passwort ist zu keinem Zeitpunkt im Klartext gespeichert oder für uns oder den Vereinsvorstand einsehbar.

Bei der Anmeldung entsteht eine Sitzung, zu der wir IP-Adresse und Browserkennung speichern, um Missbrauch erkennen zu können. Sitzungen laufen nach 30 Tagen ab und werden dann automatisch gelöscht. Fehlgeschlagene Anmeldeversuche merken wir uns mit E-Mail-Adresse und IP-Adresse für 15 Minuten; nach sechs Fehlversuchen in diesem Zeitraum ist die Anmeldung vorübergehend gesperrt. Ältere Einträge werden fortlaufend gelöscht.

Für „Passwort vergessen“ und für Einladungen erzeugen wir einmalige Links. Wir speichern nur deren Hash sowie die IP-Adresse, von der aus sie angefordert wurden. Rücksetz-Links werden nach Ablauf oder Gebrauch gelöscht; Einladungen bleiben sichtbar, damit der Vorstand erkennt, wer noch nicht reagiert hat.

Rechtsgrundlage ist die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Sicherheit der Konten (Art. 6 Abs. 1 lit. f DSGVO).

7. Daten innerhalb eines Vereins

Innerhalb seines Zugangs führt ein Verein die Daten, die er für den Flugbetrieb braucht. Wir verarbeiten sie ausschließlich in seinem Auftrag und nach seinen Weisungen. Dazu gehören:

• Mitglieder mit Name, E-Mail-Adresse, Rollen im Verein und Status der Mitgliedschaft
• Nachweise der Mitglieder: Lizenzen, Einweisungen auf Muster und Ablaufdaten von Medicals. Das Ablaufdatum eines Medicals kann als Gesundheitsdatum gelten (Art. 9 DSGVO). Ob und auf welcher Grundlage der Verein es erfasst, entscheidet der Verein; FlyBu prüft beim Buchen lediglich, ob ein eingetragenes Datum überschritten ist.
• Reservierungen, Wartelisten, Flugbuch- und Bordbucheinträge, Wartungsfälligkeiten
• Defektmeldungen samt Fotos, Bilder und Dokumente zu Flugzeugen, Profilbilder, Anhänge an Mitteilungen
• Mitteilungen des Vorstands und die Kenntnisnahme durch Mitglieder
• ein Protokoll der Handlungen im Verein (wer hat wann was geändert), das nur der Vorstand einsehen kann

Speicherdauer: Über sie entscheidet der Verein. Mitglieder und Flugzeuge werden auf Wunsch deaktiviert, nicht gelöscht, damit Bordbücher und Flugbücher als historische Dokumente vollständig bleiben; eine Löschung personenbezogener Daten nimmt der Verein auf Verlangen des Mitglieds vor oder beauftragt uns damit. Fotos behobener Defekte verfallen automatisch nach einer vom Verein einstellbaren Frist, in der Voreinstellung nach zwölf Monaten – die Meldung selbst bleibt erhalten. Beendet ein Verein seinen Vertrag, löschen wir seine Daten nach Ablauf einer Übergangsfrist, deren Länge im Auftragsverarbeitungsvertrag festgelegt ist.

8. E-Mails

FlyBu verschickt E-Mails, die für den Dienst erforderlich sind: Bestätigung der Registrierung, Einladungen, Rücksetz-Links, Benachrichtigungen über Stilllegungen, Wartelisten und ablaufende Nachweise sowie Rundmails, die der Vorstand an seine Mitglieder richtet. Jeder Empfänger erhält eine eigene Nachricht; Adressen werden nie in einem gemeinsamen Empfängerfeld sichtbar.

Der Versand läuft über Resend Inc. (USA), die dazu Empfängeradresse, Betreff und Inhalt der Nachricht erhält. Mit Resend besteht ein Auftragsverarbeitungsvertrag auf Grundlage der EU-Standardvertragsklauseln. Werbliche E-Mails versenden wir nicht.

9. Kalenderabonnement

Mitglieder können die Reservierungen ihres Vereins als Kalenderabonnement (ICS) in ihre Kalender-App übernehmen. Dafür erzeugt FlyBu eine persönliche, signierte Adresse. Die Kalender-App ruft diese Adresse in regelmäßigen Abständen selbstständig ab; welche App das ist und wo sie die Daten speichert, liegt beim Mitglied. Wer die Adresse weitergibt, gibt damit Einblick in den Vereinskalender; sie lässt sich in den eigenen Einstellungen jederzeit ungültig machen.

10. Wetterdaten

Flugwetter (METAR und TAF) beziehen wir von aviationweather.gov, einem Dienst der National Oceanic and Atmospheric Administration (NOAA) der Vereinigten Staaten. Der Abruf erfolgt von unserem Server aus im Hintergrund, in der Regel alle 15 Minuten; übermittelt wird ausschließlich die ICAO-Kennung des Flugplatzes. Personenbezogene Daten gelangen dabei nicht an die NOAA.

11. KI-Copilot

FlyBu enthält einen Assistenten, der Fragen zum Flugbetrieb beantwortet und Reservierungen vorschlägt. Er ist derzeit nicht freigeschaltet.Sobald er es ist, gilt: Der Assistent nutzt ein Sprachmodell von Anthropic PBC (USA). Dorthin werden die gestellte Frage sowie die Vereinsdaten übermittelt, die zu ihrer Beantwortung nötig sind – etwa Reservierungen und Zustände der Flugzeuge –, jeweils nur mit den Rechten des angemeldeten Mitglieds. Der Assistent kann ausschließlich lesen; buchen, ändern oder löschen kann er nicht. Jeder Verein kann ihn in seinen Einstellungen abschalten. Vor der Freischaltung schließen wir mit Anthropic einen Auftragsverarbeitungsvertrag und ergänzen diesen Abschnitt um die Rechtsgrundlage der Übermittlung.

12. Zugriff durch uns

Zum Betrieb der Plattform sehen unsere Mitarbeiter Vertragsdaten der Vereine: Name, Ansprechpartner, Status, Anzahl der Mitglieder und Flugzeuge. Reservierungen, Flugbücher und Defektmeldungen sehen wir nicht. Die Mitgliederliste eines Vereins können wir nur auf ausdrücklichen Knopfdruck öffnen, etwa zur Unterstützung bei einer Anfrage – jeder solche Zugriff wird im Protokoll des Vereins mit unserem Namen vermerkt und ist für den Vorstand nachlesbar.

13. Empfänger und Auftragsverarbeiter

• Vercel Inc., USA – Betrieb der Anwendung (Serverfunktionen in Frankfurt am Main)
• Neon Inc., USA – Datenbank (Rechenzentrum Frankfurt am Main)
• Resend Inc., USA – Versand von E-Mails
• Anthropic PBC, USA – Sprachmodell für den Copiloten, erst nach Freischaltung

Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind. Eine Weitergabe zu Werbezwecken findet nicht statt.

14. Ihre Rechte

Sie haben das Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Für Daten, die wir als Verantwortlicher verarbeiten (Website, Registrierung, Betrieb), wenden Sie sich an info@flybu.de. Für Ihre Daten innerhalb eines Vereins ist dessen Vorstand Ihr Ansprechpartner.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist [Aufsichtsbehörde am Sitz der Gesellschaft].

15. Änderungen

Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Maßgeblich ist die jeweils hier veröffentlichte Fassung; das Datum steht oben.