Datenschutzerklärung

Diese Datenschutzerklärung informiert dich nach Art. 13 DSGVO darüber, welche personenbezogenen Daten FreierTermin verarbeitet, wofür, auf welcher Rechtsgrundlage und wie lange. Kurz gesagt:

• Kein Tracking und keine Werbung. Optionale Dienste (Google Maps, Statistik) laden wir nur, wenn sie aktiviert sind und du zustimmst.
• Wir verkaufen keine Daten und übermitteln keine personenbezogenen Daten an Behörden oder deren Terminsysteme. Die Buchung findet immer auf der offiziellen Seite statt.
• Du kannst deine Daten jederzeit exportieren und dein Konto vollständig löschen.

• Ferhat Mert Kaya (Kaya Bytes)
• c/o SourceArt · VM-00001706, Fritz-Thiele-Straße 3, 28279 Bremen-Obervieland, Deutschland
• Telefon: 01522 2486244
• E-Mail: [email protected]

Datenschutzbeauftragter: Derzeit ist keine Person benannt. [PRÜFEN]

Wenn du FreierTermin aufrufst, verarbeitet unser Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser-Kennung (User-Agent) und Fehlermeldungen. Ohne diese Daten können wir die Seite nicht ausliefern und nicht gegen Angriffe schützen.

Zur Abwehr von Missbrauch zählen wir Anfragen pro Absender. Dafür verwenden wir nicht die IP-Adresse selbst, sondern einen mit einem geheimen Schlüssel gebildeten Hashwert, der nach wenigen Minuten automatisch verfällt.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Angebot).
• Speicherdauer der Server-Protokolle beim Hosting-Anbieter: [Frist einfügen] [PRÜFEN]

Für ein Konto verarbeiten wir Vorname, Nachname, E-Mail-Adresse, Sprache und dein Passwort – das Passwort nur als Argon2id-Hashwert, nie im Klartext. Zur Bestätigung deiner E-Mail-Adresse und nach dem Abmelden senden wir dir einen sechsstelligen Code; Codes speichern wir nur gehasht und nur für wenige Minuten.

Wenn du einen Passkey einrichtest, speichern wir nur den öffentlichen Schlüssel und technische Merkmale. Fingerabdruck oder Gesichtsbild verlassen dein Gerät nie.

Für jede angemeldete Sitzung speichern wir die IP-Adresse und die Browser-Kennung, damit du deine aktiven Sitzungen sehen und einzeln beenden kannst. Die IP-Adresse einer Sitzung entfernen wir automatisch nach 7 Tagen; Sitzungen laufen nach spätestens 30 Tagen ab und werden danach gelöscht.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag); Sicherheitsmaßnahmen zusätzlich Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: bis zur Löschung deines Kontos; Sitzungen höchstens 30 Tage.

Für einen Alarm speichern wir, wofür und wo du einen Termin suchst (Dienstleistung, Ort oder Behörde, optional Startpunkt und Umkreis), Zeitraum, Wochentage, Uhrzeiten und die gewünschten Kanäle. Unser System prüft offizielle Terminseiten gebündelt pro Behörde – nicht pro Person – und gleicht neue Termine serverseitig mit deinen Alarmen ab. Deine Daten werden dabei nie an die Behörde oder deren Terminsystem übermittelt.

Bitte gib keine Angaben zu Staatsangehörigkeit, Aufenthaltsstatus oder Gesundheit ein. Für die Benachrichtigung benötigen wir diese nicht. Bestimmte Anliegen (etwa bei der Ausländerbehörde) können dennoch Rückschlüsse zulassen; wir behandeln Alarme deshalb vertraulich und werten sie nicht für Statistik oder Werbung aus.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. [PRÜFEN: ob für bestimmte Anliegen Art. 9 DSGVO berührt ist und eine ausdrückliche Einwilligung nötig wäre]
• Speicherdauer: Alarme und gespeicherte Behörden bis du sie oder dein Konto löschst; abgelaufene Alarme bleiben in deinem Konto sichtbar, bis du sie löschst. Deine letzten Suchanfragen löschen wir nach 90 Tagen automatisch.

Wenn du einen gebuchten Termin bei FreierTermin hinterlegst, speichern wir Behörde, Ort, Dienstleistung, Datum, Uhrzeit, deine Notizen und optional Buchungsnummer und Storno-Link. Buchungsnummer und Storno-Link speichern wir verschlüsselt (AES-256-GCM). Aus diesen Angaben planen wir Erinnerungen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: bis du den Termin oder dein Konto löschst. Vergangene Termine werden als „vergangen“ markiert und 12 Monate nach dem Termindatum automatisch gelöscht.

Wir senden dir die E-Mails, die du angefordert hast: Bestätigungscodes, Sicherheitshinweise, Alarme und Erinnerungen. Werbung enthalten diese E-Mails nicht. Einen Newsletter senden wir nur, wenn du ihn ausdrücklich bestellt hast; abbestellen kannst du ihn jederzeit über den Link in jeder E-Mail oder in deinem Profil.

Für jede versendete E-Mail protokollieren wir Empfängeradresse, Vorlage, Betreff und Zustellstatus, um doppelte Sendungen zu vermeiden und Fehler zu beheben. Adressen, an die E-Mails dauerhaft nicht zugestellt werden können oder die sich beschwert haben, setzen wir auf eine Sperrliste.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Newsletter: Art. 6 Abs. 1 lit. a DSGVO; Sperrliste: Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: E-Mail-Protokoll 90 Tage, bei fehlgeschlagener oder unzustellbarer Sendung 180 Tage. Benachrichtigungen in der App: gelesene 90 Tage nach dem Lesen; ungelesene spätestens nach 12 Monaten. [PRÜFEN: Höchstfrist für die Sperrliste festlegen]

Je nach Konfiguration versenden wir E-Mails über einen SMTP-Dienstleister oder über Resend (Resend, Inc., USA). Der Dienstleister verarbeitet Empfängeradresse und Inhalt der E-Mail in unserem Auftrag (Art. 28 DSGVO).

• SMTP-Dienstleister: [Name, Sitz und AV-Vertrag einfügen]
• Resend: Übermittlung in die USA möglich. [PRÜFEN: Serverregion, Zertifizierung nach dem EU-US Data Privacy Framework oder Standardvertragsklauseln, AV-Vertrag]

Push-Benachrichtigungen erhältst du nur, wenn du sie in deinem Browser ausdrücklich erlaubst. Wir speichern dann die vom Browser erzeugte Push-Adresse (Endpoint), die zugehörigen Schlüssel, Browser-Kennung und Plattform. Der Inhalt wird nach dem Web-Push-Standard verschlüsselt und über den Push-Dienst deines Browser-Herstellers zugestellt – zum Beispiel Google (Chrome), Mozilla (Firefox), Apple (Safari) oder Microsoft (Edge). Diese Dienste können ihren Sitz außerhalb der EU haben.

Benachrichtigungen können den Namen der Dienstleistung und der Behörde enthalten und auf dem Sperrbildschirm sichtbar sein.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Zugriff auf dein Endgerät: § 25 Abs. 2 Nr. 2 TDDDG (von dir angeforderter Dienst). [PRÜFEN]
• Speicherdauer: bis du Push abbestellst, dein Konto löschst oder der Push-Dienst die Adresse als ungültig meldet.

Für die Suche reicht eine Postleitzahl oder ein Ort. Einen Heimatstandort in deinem Profil speichern wir nur mit deiner ausdrücklichen Einwilligung; du kannst ihn jederzeit entfernen. Eine dauerhafte Ortung findet nicht statt.

Postleitzahlen und Orte lösen wir zuerst über unser eigenes Verzeichnis auf. Je nach Konfiguration fragen wir einen Geocoding-Dienst an. Diese Anfrage stellt unser Server: Der Dienst erhält nur den Suchbegriff, nicht deine IP-Adresse.

• Rechtsgrundlage: Ortssuche Art. 6 Abs. 1 lit. b DSGVO; gespeicherter Heimatstandort Art. 6 Abs. 1 lit. a DSGVO (Widerruf jederzeit).
• Mögliche Geocoding-Dienste: Nominatim (OpenStreetMap Foundation, Vereinigtes Königreich), Photon (komoot) oder Google Geocoding (Google, auch USA). [PRÜFEN: Angemessenheitsbeschluss Vereinigtes Königreich, Rolle der Anbieter]

Standardmäßig zeigen wir Karten mit MapLibre und Kartendaten von OpenStreetMap. Die Kartenkacheln lädt dein Browser direkt von OpenFreeMap; dabei erhält der Betreiber technisch bedingt deine IP-Adresse. Cookies werden dafür nicht gesetzt.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Darstellung der Behördenstandorte). [PRÜFEN: Betreiberangaben OpenFreeMap, ob eine Einwilligung oder eine selbst gehostete Lösung vorzuziehen ist]

Falls wir Google Maps als Kartenanbieter aktiviert haben, laden wir die Karte erst, nachdem du der Kategorie „Karten“ zugestimmt hast. Dann werden unter anderem deine IP-Adresse, Geräteinformationen und der angezeigte Kartenausschnitt an Google übermittelt. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Übermittlung an Google LLC in den USA ist möglich.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; Widerruf jederzeit unter „Cookie-Einstellungen“.
• Drittlandübermittlung: auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (10. Juli 2023), soweit Google zertifiziert ist. [PRÜFEN: aktuelle Zertifizierung, Rolle von Google nach den Google Maps Platform EEA Terms]

Falls aktiviert, zählen wir Seitenaufrufe mit Plausible Analytics – ohne Cookies, ohne geräteübergreifende Profile und ohne Speicherung vollständiger IP-Adressen. Das Skript laden wir erst nach deiner Zustimmung zur Kategorie „Statistik“. Anliegen, Alarme oder Behördenbesuche einzelner Personen werten wir nicht aus.

• Anbieter: Plausible Insights OÜ, Estland [PRÜFEN: Anbieterangaben, Serverstandort, AV-Vertrag]
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit unter „Cookie-Einstellungen“.

Sicherheitsrelevante Ereignisse in deinem Konto (z. B. Anmeldung, fehlgeschlagene Anmeldung, Passwortänderung, neue Passkeys, beendete Sitzungen) protokollieren wir mit Ereignistyp, Zeitpunkt, Browser-Kennung und einem Hashwert deiner IP-Adresse. Passwörter, Codes und Tokens landen nie in diesem Protokoll.

Ein externer Dienst zur Fehlerüberwachung (z. B. Sentry) ist derzeit nicht eingebunden. Sollte sich das ändern, ergänzen wir diese Erklärung vorher.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO und Art. 32 DSGVO (Sicherheit der Verarbeitung).
• Speicherdauer: 180 Tage.

Bei der Registrierung bestätigst du die Nutzungsbedingungen und die Kenntnisnahme dieser Datenschutzerklärung. Einwilligungen (z. B. Newsletter, Heimatstandort, Statistik) speichern wir mit Art, Version, Zeitpunkt, Hashwert der IP-Adresse und Browser-Kennung, damit wir sie nachweisen können. Einen Widerruf vermerken wir ebenfalls.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO.
• Speicherdauer: bis zur Löschung deines Kontos. [PRÜFEN: ob Nachweise über die Kontolöschung hinaus aufbewahrt werden müssen]

In deinem Profil kannst du einen Export aller zu dir gespeicherten Daten (JSON) anfordern. Der Download steht 7 Tage bereit; danach löschen wir den Inhalt des Exports.

Wenn du dein Konto löschst, entfernen wir dein Konto mit allen zugehörigen Daten: Sitzungen, Passkeys, Profil, Einwilligungen, Alarme, Benachrichtigungen, gespeicherte Termine und Erinnerungen, Push-Abonnements, Exporte und Sicherheitsereignisse. Geplante Erinnerungen werden storniert. Wir senden dir eine Bestätigung per E-Mail; deren Versandprotokoll (mit deiner Adresse) wird nach 90 Tagen gelöscht. Zurück bleibt ein Sicherheitsereignis „Konto gelöscht“ ohne Bezug zu deinem Konto, das nach 180 Tagen gelöscht wird.

Datensicherungen der Datenbank werden nach [Frist einfügen] überschrieben. [PRÜFEN]

Wenn du uns schreibst, verarbeiten wir deine Nachricht und deine Kontaktdaten, um dir zu antworten. Unser Kontaktformular öffnet nur dein eigenes E-Mail-Programm; auf unserer Website wird dabei nichts gespeichert.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder lit. f DSGVO.
• E-Mail-Postfach-Anbieter: [Anbieter einfügen] [PRÜFEN]
• Speicherdauer: bis die Anfrage erledigt ist, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

Wir geben personenbezogene Daten nur weiter, soweit es für den Betrieb nötig ist. Behörden und Betreiber von Terminsystemen erhalten von uns keine personenbezogenen Daten.

Grundsätzlich verarbeiten wir Daten in der EU. In Drittländer (insbesondere die USA) können Daten gelangen, wenn du Google Maps erlaubst, Push-Benachrichtigungen über den Dienst deines Browser-Herstellers erhältst oder wir Resend oder Google Geocoding einsetzen. Grundlage ist dann der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, sonst Standardvertragsklauseln (Art. 46 DSGVO). [PRÜFEN]

Nicht personenbezogene Verfügbarkeitsdaten der Behörden speichern wir kurz: Abfrageergebnisse 7 Tage, einzelne Terminslots 48 Stunden.

• Auskunft (Art. 15 DSGVO) – auch direkt über den Datenexport in deinem Profil
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) – auch direkt über die Kontolöschung in deinem Profil
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), z. B. unter „Cookie-Einstellungen“

Schreib uns dazu an [email protected]. Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Du kannst dich an jede Aufsichtsbehörde wenden, insbesondere an die deines Wohnorts. [PRÜFEN: Für uns zuständige Behörde nach Hauptniederlassung bestimmen – Köln (LDI NRW) oder Bremen (LfDI Bremen) – und hier mit Anschrift nennen.]

Wir setzen nur Cookies und lokale Speicher, die für den von dir gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Optionale Dienste laden wir erst nach deiner Einwilligung (§ 25 Abs. 1 TDDDG). Die vollständige Liste findest du unter „Cookie-Einstellungen“.

Du bist nicht verpflichtet, uns Daten bereitzustellen. Ohne E-Mail-Adresse und Passwort können wir aber kein Konto anlegen und dich nicht benachrichtigen. Das Abgleichen deiner Alarme mit neuen Terminen geschieht automatisiert, hat aber keine rechtliche oder ähnlich erhebliche Wirkung im Sinne von Art. 22 DSGVO. Profiling findet nicht statt.

Wir passen diese Erklärung an, wenn sich FreierTermin oder die Rechtslage ändert. Bei wesentlichen Änderungen informieren wir registrierte Nutzerinnen und Nutzer vorab.