DSGVO und personenbezogene Daten in Crewstack

Wenn ihr Crewstack nutzt, verarbeitet ihr personenbezogene Daten eurer Crew. Hier siehst du, wer wofür verantwortlich ist, welche Werkzeuge Crewstack dir gibt und wie du vorgehst, wenn ein Crew-Mitglied Auskunft über seine Daten oder deren Löschung verlangt.

Wer ist verantwortlich?

Ihr seid Verantwortliche. Ihr entscheidet, welche Daten ihr über eure Crew erhebt, wozu und wie lange ihr sie aufbewahrt.
Crewstack ist Auftragsverarbeiter. Wir speichern und verarbeiten die Daten in eurem Auftrag und nach euren Weisungen.

Das Verhältnis ist in einem Auftragsverarbeitungsvertrag geregelt, der Teil eures Vertrags mit Crewstack ist. Meldet euch bei uns, wenn ihr ihn nicht habt.

Wo liegen die Daten?

Alles läuft bei Amazon Web Services in Frankfurt (eu-central-1), auch die Datenbank (Aurora PostgreSQL). Backups werden täglich erstellt, 7 Tage aufbewahrt und sind verschlüsselt.

Crewstack nutzt diese Unterauftragsverarbeiter:

Amazon Web Services: Hosting, Datenbank und Dateien
Cloudflare: Domains und Zertifikate
Mailchimp Transactional (Mandrill): Versand von E-Mails
Twilio: Versand von SMS
Rollbar: Fehlerüberwachung

Nutzt ihr selbst Integrationen wie Mailchimp, Corego oder EventPos, schickt Crewstack Daten an euer eigenes Konto dort. Diese sind dann eure eigenen Auftragsverarbeiter.

Endet der Vertrag, gehen wir mit euren Daten so um, wie es im Auftragsverarbeitungsvertrag vereinbart ist.

Steuern, wer was sieht

Rollen. Jede Person in einem Event hat eine Rolle:

Super-Admin: alles im Event, einschließlich Einstellungen und Rollen. Nur Super-Admins können Rollen vergeben und ändern, und nur sie können eine Person löschen.
Admin: alle Personen und Daten im Event. Datenfelder, die nur für Superadministratoren sichtbar sind, sind für Admins ausgeblendet. Nicht die Einstellungen.
Gästeliste-Admin: Gästelisten.
Teamleiter und Leiter von Teamgruppen haben keine Admin-Rolle, haben aber Zugriff auf Mitglieder. Dort können sie alle Personen im Event nachschlagen, nicht nur die in ihren eigenen Teams und Teamgruppen.

Veranstalter-Administratoren (unter Benutzer beim Veranstalter) haben in allen euren Events, in denen sie ein Profil haben, denselben Zugriff wie ein Super-Admin. Rollen können sie aber nur ändern, wenn ihr eigenes Profil im Event die Rolle Super-Admin hat. Siehe Administratoren und Rollen.

Visible to. Bei jedem Datenfeld unter Einstellungen > Datenfelder für Helfer wählst du unter Visible to, wer die Antwort sehen darf, z. B. Mitglied selbst + Administratoren oder Mitglied selbst + Superadministratoren. Nutze das zum Beispiel für Bankverbindungen und für Datenfelder, die ihr selbst für Gesundheitsangaben und Ähnliches anlegt. Ändern kann das nur ein Super-Admin.

Visible to gilt im Profil der Person, in der Liste unter Mitglieder, bei Nach Excel exportieren und in der KI-Mitgliederanalyse. Niemand kann über den Export oder die Analyse eine Antwort sehen, die er im Profil nicht sehen darf.

Export. Standardmäßig können sowohl Admins als auch Teamleiter Personen nach Excel exportieren. Unter Einstellungen > Allgemeine Einstellungen > Admins kann ein Super-Admin Nur Administratoren erlauben, Mitgliederdaten zu exportieren und Nur Administratoren erlauben, Schichtplan-/Schichtdaten zu exportieren einschalten. Siehe Personen nach Excel exportieren.

Zwei-Faktor-Authentifizierung. Admins können ihre Anmeldung mit einem Code aus einer Authenticator-App schützen. Öffne das Menü mit deinem Namen oben rechts und wähle Zwei-Faktor-Authentifizierung > Zwei-Faktor-Authentifizierung aktivieren. Jeder Admin schaltet sie für sich selbst ein. Ihr könnt sie nicht verpflichtend machen. Siehe Zwei-Faktor-Authentifizierung für Admins.

So wenig wie möglich erheben

Überlegt, ob ihr jedes Datenfeld wirklich braucht. Das gilt besonders für Gesundheitsangaben, die zusätzliche Anforderungen an euch stellen. Fragt zum Beispiel „Kannst du körperlich schwere Arbeit leisten?“ statt „Hast du Rücken- oder Knieprobleme?“.

Dokumente zur Genehmigung. Müsst ihr zum Beispiel ein erweitertes Führungszeugnis sehen, nutzt das Feld Dokument zur Genehmigung, statt eine Kopie per E-Mail anzufordern:

Sobald das Dokument genehmigt oder abgelehnt ist, wird die Datei sofort gelöscht. Nur das Ergebnis bleibt: das Datum und wer genehmigt hat.
Mit Ungeprüfte Dokumente löschen nach kannst du ein Datum wählen, nach dem Dokumente, die sich niemand angesehen hat, automatisch gelöscht werden.

Siehe Dokumente zur Genehmigung.

Zurücktreten, schwarze Liste und löschen

Die drei klingen ähnlich, tun aber Unterschiedliches:

Zurücktreten: Die Person ist nicht mehr Teil des Events, aber alle Daten bleiben erhalten, und ein Admin kann die Person mit Restore zurückholen. Das ist keine Löschung. Crew-Mitglieder können selbst zurücktreten, wenn Mitglieder können zurücktreten eingeschaltet ist.
Schwarze Liste: Die Person wird wie beim Zurücktreten aus dem Event entfernt und kann sich weder einloggen noch bei einem eurer Events registrieren. Die schwarze Liste gilt für alle eure Events, und die E-Mail-Adresse wird gespeichert, damit sie wiedererkannt wird.
Delete: Die Person sowie ihre Antworten, Teamzugehörigkeiten, Schichten und gesendeten Nachrichten werden in allen euren Events endgültig gelöscht. Das lässt sich nicht rückgängig machen. Zahlungen bleiben für die Buchführung erhalten, das Aktivitätsprotokoll aus Sicherheitsgründen.

Was Crewstack nicht hat

Gut zu wissen, wenn ihr eure eigenen Abläufe beschreibt:

Es gibt keine Schaltfläche, die alle Daten zu einer Person in einer Datei sammelt. Siehe die Anleitung unten.
Crewstack löscht oder anonymisiert alte Daten nicht automatisch. Frühere Jahre und zurückgetretene Personen bleiben, bis ihr sie löscht. Die einzige automatische Löschung betrifft Dokumente zur Genehmigung.
Es gibt kein Gesamtprotokoll über Anmeldungen oder darüber, wer was angesehen hat. Unter Mitglieder kannst du die Spalte Letzte Anmeldung einblenden, und Admins sehen Aktivität im Profil der Person.
Admins sehen nur Nachrichten, die sie selbst gesendet oder empfangen haben.

Ein ganzes Event anonymisieren

Ist ein Jahr abgeschlossen und wollt ihr keine personenbezogenen Daten mehr daraus aufbewahren, können wir das Event für euch anonymisieren. Meldet euch bei uns.

Die Anonymisierung überschreibt Namen, Telefonnummern, Adressen, CPR-Nummern und Bankverbindungen und entfernt Profilbilder für alle im Event. Andere Datenfelder, Nachrichten und Notizen werden nicht verändert. Das lässt sich nicht rückgängig machen.

Wenn ein Crew-Mitglied Auskunft verlangt

Suche die Person unter Mitglieder. Unter Veranstaltungshistorie im Profil siehst du, bei welchen eurer Events die Person dabei war. Wiederhole die nächsten Schritte in jedem Event.
Im Profil siehst du die Antworten der Person (Merkmalswerte) sowie Teams und Schichten.
Willst du der Person eine Datei geben, suche sie unter Mitglieder, blende die gewünschten Spalten ein und klicke auf Nach Excel exportieren.
Prüfe den Export, bevor du ihn weitergibst. Interne Notizen sind immer als Spalte enthalten, wenn du sie sehen darfst, also entscheide, was du herausgibst. Dokumentfelder zeigen nur den Status, nicht wer genehmigt hat und wann. Nachrichten sind nicht enthalten, und du siehst nur solche, die du selbst gesendet oder empfangen hast.

Wenn ein Crew-Mitglied seine Löschung verlangt

Dafür brauchst du einen Super-Admin.

Prüft, ob ihr etwas aufbewahren müsst, zum Beispiel für die Buchführung von Zahlungen. Das entscheidet ihr als Verantwortliche.
Besitzt die Person eine Gästeliste, verschiebe oder lösche sie zuerst. Sonst kann die Person nicht gelöscht werden.
Öffne das Profil der Person und wähle Delete.
Tippe zur Bestätigung DELETE in Großbuchstaben. Steht die Person auf der schwarzen Liste, wählst du, ob die E-Mail-Adresse dort bleibt (Keep the email on the blacklist) oder entfernt wird (Remove from the blacklist as well).

Die Person wird in allen euren Events gelöscht, zusammen mit allen Antworten in Datenfeldern, Teamzugehörigkeiten, Schichten und gesendeten Nachrichten. Zahlungen und das Aktivitätsprotokoll bleiben erhalten.

Die Person kann noch bis zu 7 Tage in unseren Backups und 30 Tage in den Zustellprotokollen des E-Mail-Anbieters vorkommen. Danach ist sie weg.

Datenschutzerklärung

Ihr müsst eurer Crew sagen, wie ihr ihre Daten verarbeitet. Das geht direkt in der Anmeldung. Dafür brauchst du einen Super-Admin:

Schreibe eure Datenschutzerklärung in die Designvorlage AGB unter Anpassen > Designvorlagen.
Lege unter Einstellungen > Datenfelder für Helfer ein Datenfeld vom Typ Terms and conditions an und füge es den Mitgliedstypen hinzu, die zustimmen müssen. Das Feld ist immer Pflicht.

Das Crew-Mitglied sieht dann I accept the terms and conditions (click to read). mit einem Link zur Seite und muss den Haken setzen, um weiterzukommen.

Vorlage

Wir haben von einem Anwalt eine allgemeine Datenschutzerklärung für Vereine erstellen lassen, die Crewstack nutzen. Du kannst sie hier als Word-Datei herunterladen: Datenschutzerklärung - Vorlage

Die Vorlage ist auf Dänisch. Passe sie an euren Verein an, und lasst sie von eurem eigenen Anwalt oder eurer Beratung prüfen.