Datenschutzerklärung

Kurz gefasst

• Die öffentliche Website verwendet keine Cookies, keine Analyse- oder Tracking-Werkzeuge und keine Ressourcen von Dritten.
• Im geschützten Bereich sind die Inhalte (Baustücke, Protokolle, Schatzmeisterei, Akten) Ende-zu-Ende im Browser verschlüsselt: der Server bewahrt Geheimtext auf, den er nicht lesen kann.
• Auch während einer Online-Tempelarbeit sind das Bild und der Ton der Anwesenden Ende-zu-Ende verschlüsselt (hohe Verschwiegenheit): bei unserem Medienserver kommen opake Umschläge an, die er verteilt, ohne sie öffnen zu können, und die nicht aufgezeichnet werden. Der Server sieht weiterhin nur die Metadaten des Saals (wer verbunden ist, die Uhrzeiten, wer spricht); die Einzelheiten, einschließlich des Falls zu alter Browser, stehen weiter unten.
• Der Server bewahrt weder den Namen noch die E-Mail-Adresse der Mitglieder auf: die Arbeitsidentität ist ein Pseudonym.
• Kein Marketing, keine Profilbildung, keine künstliche Intelligenz im Produkt.

Der Verantwortliche

Der Verantwortliche ist das italienische Einzelunternehmen, das den Dienst betreibt (nachfolgend auch der Anbieter), erreichbar unter der Adresse info@adogma.it: die vollständigen Identifikationsdaten (Bezeichnung, Sitz und Umsatzsteuer-Identifikationsnummer) werden jeder Person mitgeteilt, die sie unter dieser Adresse anfragt, und sind stets in den Vertragsunterlagen angegeben. Der Verantwortliche hat keinen Datenschutzbeauftragten (DPO) benannt: ob eine Benennung angesichts der Art der von den Logen verarbeiteten Daten angezeigt ist, wird derzeit mit dem Rechtsberater geprüft.

Zwei getrennte Rollen: wann wir Verantwortlicher sind und wann Auftragsverarbeiter

• Adogma als Verantwortlicher. Für die öffentliche Website, für die per E-Mail eingehenden Anfragen und für das vertragliche und verwaltungsbezogene Verhältnis mit den Kundenlogen (Aktivierung, Rechnungsstellung, Unterstützung) ist der Anbieter der Verantwortliche.
• Die Loge als Verantwortlicher, Adogma als Auftragsverarbeiter. Für die von jeder Loge in ihrem eigenen geschützten Bereich verarbeiteten Daten (Daten der Mitglieder und der Kandidaten) ist die Loge der Verantwortliche, oder die Körperschaft, die sie vertritt; der Anbieter verarbeitet sie als Auftragsverarbeiter im Sinne von Art. 28 DSGVO, auf der Grundlage der Vereinbarung, die Teil des Dienstvertrags ist.

In der Praxis: für das, was innerhalb Ihrer Loge geschieht, ist die erste Ansprechpartnerin die Loge selbst, die als Einzige die Inhalte lesen kann.

Öffentliche Website: keine Erhebung

Der bloße Besuch der öffentlichen Website führt zu keiner Erhebung personenbezogener Daten durch uns: keine Cookies, kein Formular, kein Newsletter, keine von Dritten geladene Ressource. Die Infrastruktur zeichnet die minimalen technischen Protokolle der Anfragen auf (IP-Adresse, angefragte Ressource, Datum und Uhrzeit), die für die Sicherheit und die Diagnose erforderlich sind und für die zu diesen Zwecken unbedingt erforderliche Zeit aufbewahrt werden. Wer uns unter der Adresse info@adogma.it schreibt, teilt uns die Daten mit, die er uns mitteilen möchte: wir verwenden sie nur, um zu antworten.

Geschützter Bereich: was wir nicht lesen können

Die Inhalte des geschützten Bereichs sind Ende-zu-Ende im Browser dessen verschlüsselt, der sie verfasst, mit Schlüsseln, die wir nicht besitzen. Wir können Folgendes nicht lesen und verarbeiten es daher nicht im Klartext:

• Name und E-Mail-Adresse der Mitglieder: sie existieren auf dem Server gar nicht;
• den Inhalt von Baustücken, Protokollen und Archivdokumenten;
• die Schatzmeisterei: Beträge, Verwendungszwecke, Einzahlungen und persönliche Beitragsstände;
• wer welches Amt bekleidet, das Mitgliederblatt und die Daten des Weges;
• die Akten der Kandidaten (Name, Kontakt, Notizen der Gespräche);
• Katalog und Ausleihen der Bibliothek, Einträge des Terminplans.

Auch die Online-Tempelarbeit fällt nun in diesen Rahmen: das Bild und der Ton der Anwesenden sind mit der hohen Verschwiegenheit Ende-zu-Ende verschlüsselt, und der Medienserver verteilt sie, ohne sie öffnen zu können (siehe weiter unten, «Online-Tempelarbeiten»). Sichtbar bleiben die Metadaten des Saals, und wenn ein Browser zu alt für die Live-Verschlüsselung ist, fällt jener Datenstrom auf den Klartext zurück, und der Saal erklärt es allen.

Geschützter Bereich: was wir verarbeiten (Metadaten)

Damit der Dienst funktioniert, verarbeitet der Server einige Metadaten, die personenbezogene Daten bleiben (pseudonymisiert, nicht anonym) und als solche geschützt sind:

• einen vom System erzeugten opaken Benutzernamen (nie gewählt, nicht aus realen Daten abgeleitet) und die Zugangsdaten in nicht umkehrbarer Form;
• die Zugehörigkeit zur Loge mit Rolle, Grad und Stand des Weges;
• Titel, Zusammenfassung und Etiketten der Baustücke, im Klartext, um die Suche zu ermöglichen;
• die Anwesenheiten bei den Arbeiten, wenn die Loge sie erfassen will;
• die Vorgangsprotokolle (wer was und wann getan hat, anhand des Benutzernamens identifiziert), zur Sicherheit und Nachvollziehbarkeit;
• das Bestehen und den Stand der Verfahren (zum Beispiel wie viele Kandidaturen offen sind), nie ihren Inhalt.

Der geschützte Bereich verwendet nur technisch notwendige Cookies (Sitzung und Schutz der Anfragen), ohne jeden Tracking-Zweck: deshalb ist kein Einwilligungsbanner erforderlich. Die entsperrten Verschlüsselungsschlüssel leben nur im Speicher des Browsers und werden beim Schließen oder bei Inaktivität gelöscht.

Online-Tempelarbeiten: der Bild- und Tonstrom

Eine Loge kann eine Tempelarbeit außer in Präsenz auch per Videokonferenz halten, in einem virtuellen Saal: sie wird im Kalender wie eine gewöhnliche Tempelarbeit geplant, und der Saal öffnet kurz vor der Uhrzeit. Wer teilnimmt, aktiviert die eigene Webcam und das Mikrofon, und Bild und Stimme sind personenbezogene Daten: ihre Verarbeitung muss offen ausgesprochen werden, denn hier verschiebt sich die Grenze dessen, was wir sehen können.

• Wie Baustücke, Protokolle und Schatzmeisterei sind auch das Bild und der Ton einer Online-Tempelarbeit auf den Geräten der Anwesenden Ende-zu-Ende verschlüsselt (Profil der hohen Verschwiegenheit): der Schlüssel der Sitzung entsteht und bleibt auf ihren Browsern, und bei unserem Medienserver kommen opake Umschläge an. Der Server verteilt die verschlüsselten Datenströme in Echtzeit, damit jeder die anderen sieht und hört, ohne ihren Inhalt lesen zu können.
• Der Datenstrom wird weder aufgezeichnet noch aufbewahrt: er endet mit der Sitzung. Der Medienserver befördert ihn im Augenblick, er archiviert ihn nicht.
• Die Medieninfrastruktur ist unsere eigene und selbst gehostet (ein eigener Verteilserver, ein sogenannter SFU), auf derselben europäischen Infrastruktur wie der übrige Dienst: kein Videokonferenzanbieter von Dritten wird eingebunden.
• Der Eingang ist bewacht: ein digitaler Wächter empfängt an der Tür und lässt zu oder weist ab (das Aufnahmegespräch bleibt ein menschlicher Akt in Echtzeit), ohne Selbstzulassung. Den Namen, mit dem man im Saal erscheint, vergibt der Wächter an der Tür, und er reist nicht im technischen Verbindungstoken mit; während der Sitzung kennt der Medienserver nur, welche flüchtigen Verbindungen verbunden sind, und befördert deren Datenströme.
• Schon die Tatsache, dass eine Tempelarbeit online stattfindet, und die Angaben des Saals leben im verschlüsselten Datensatz der Einladung: der Server weiß nicht, welche Tempelarbeiten online stattfinden.

Rechtsgrundlage: Erfüllung des Dienstvertrags (Art. 6 Abs. 1 lit. b) für den Anbieter, der den verschlüsselten Datenstrom als Auftragsverarbeiter befördert, soweit die Loge sich entscheidet, die Tempelarbeit online zu halten; für die Loge als Verantwortlicher fallen das Bild und die Stimme der Anwesenden einer Tempelarbeit unter die besonderen Kategorien personenbezogener Daten (Art. 9), verarbeitet im Rahmen des Vereinslebens ihrer eigenen Mitglieder. Es gibt keine Aufzeichnung. Der Live-Datenstrom ist Ende-zu-Ende verschlüsselt (Profil der hohen Verschwiegenheit): der Medienserver verteilt opake Umschläge, die er nicht lesen kann. Die Verschlüsselung verbirgt den Inhalt, nicht die Metadaten (wer mit temporären Kennungen verbunden ist, die Uhrzeiten, wer spricht); und sie setzt einen aktuellen Browser voraus: nutzt jemand einen zu alten Browser, fällt sein Datenstrom auf den Klartext zurück, und der Saal erklärt es allen, sodass niemand für geschützt hält, was es in jenem Moment nicht ist.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Die Zugehörigkeit zu einer Loge kann philosophische Überzeugungen offenbaren und fällt daher unter die besonderen Kategorien personenbezogener Daten. Diese Daten werden von jeder Loge als Verantwortlicher im Rahmen der Garantien verarbeitet, die für Vereinigungen mit philosophischer Zielsetzung in Bezug auf ihre eigenen Mitglieder vorgesehen sind (Art. 9 Abs. 2 lit. d); der Anbieter verarbeitet sie als Auftragsverarbeiter mit den auf dieser Seite beschriebenen technischen Maßnahmen und übermittelt sie nicht an Dritte. Die genaue Einordnung wird derzeit rechtlich geprüft.

Zwecke und Rechtsgrundlagen

• Erbringung des Dienstes und Verwaltung der Konten: Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b);
• Durchführung der von der Loge gewählten Online-Tempelarbeiten (nicht aufgezeichnete Live-Übertragung von Bild und Ton der Anwesenden): Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b);
• Verwaltung, Rechnungsstellung und steuerliche Pflichten: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c);
• Sicherheit der Plattform, Missbrauchsprävention und Vorgangsprotokolle: berechtigtes Interesse (Art. 6 Abs. 1 lit. f);
• Beantwortung der per E-Mail eingegangenen Anfragen: vorvertragliche Maßnahmen oder berechtigtes Interesse.

Wir betreiben kein Marketing, wir profilieren nicht, wir verkaufen keine Daten, wir treffen keine automatisierten Entscheidungen über Personen und wir verwenden die Daten nicht, um Systeme künstlicher Intelligenz zu trainieren.

Aufbewahrung und Löschung

• Konten und Metadaten des geschützten Bereichs: für die Dauer des Vertrags mit der Loge;
• Online-Tempelarbeiten: der Bild- und Tonstrom wird weder aufgezeichnet noch aufbewahrt, er endet mit der Sitzung;
• bei Beendigung: ein Nur-Lese-Fenster für den Export des Archivs (30 Tage, sofern nicht anders vereinbart), danach macht die Zerstörung der Schlüssel (Crypto-Shredding) die verschlüsselten Inhalte endgültig unlesbar;
• Sicherungskopien: verschlüsselt, 30 Tage aufbewahrt; ein gelöschtes Datum kann daher in den Kopien bis zu 30 Tage überdauern, bevor es auch dort verschwindet;
• Kandidaturen: ungünstige Ausgänge und Rückzüge werden 6 Monate nach dem Ausgang gelöscht; mit der Aufnahme wird die Akte gleichzeitig gelöscht;
• Vertrags- und Steuerdaten: 10 Jahre, wie gesetzlich vorgeschrieben;
• Vorgangsprotokolle: zu Sicherheitszwecken aufbewahrt; die genaue Dauer wird derzeit mit dem Rechtsberater festgelegt.

Wo die Daten liegen und wer uns bei ihrer Verarbeitung hilft

Die Daten liegen in der Europäischen Union: Rechenzentrum in Frankfurt (Deutschland) für den Dienst und Amsterdam (Niederlande) für die Sicherungskopien. Die Infrastruktur wird von DigitalOcean bereitgestellt, benannt als Unterauftragsverarbeiter; da der Konzern seinen Sitz in den Vereinigten Staaten hat, erfolgen etwaige Übermittlungen außerhalb der EU mit den in der DSGVO vorgesehenen Garantien (Standardvertragsklauseln und anwendbare Angemessenheitsbeschlüsse): auch dieser Punkt wird rechtlich geprüft. Es gibt keine weiteren Anbieter: die Website und der geschützte Bereich laden keine Ressourcen von Dritten, und es gibt keinen Anbieter für den E-Mail-Versand.

Rechte der betroffenen Person

Die DSGVO erkennt die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit an (Art. 15-22), neben der Beschwerde bei der italienischen Datenschutzbehörde (Garante per la protezione dei dati personali, garanteprivacy.it). Wie man sie hier ausübt:

• für die innerhalb der eigenen Loge verarbeiteten Daten (einschließlich der Akten der Kandidaten): sich an die Loge wenden, die dafür Verantwortliche ist und als Einzige die Inhalte lesen kann; der Export des Archivs ist im geschützten Bereich verfügbar;
• für alles Übrige: an info@adogma.it schreiben; jedes Mitglied kann zudem die eigenen Metadaten im Profil exportieren und den eigenen Anzeigenamen selbst berichtigen.

Eine offen erklärte Grenze: der Anbieter kann die verschlüsselten Inhalte weder lesen noch auswählen, daher laufen Auskunft und Datenübertragbarkeit über diese Inhalte notwendigerweise über die Loge. Die Löschung einer Person widerruft jeden Zugang, entfernt ihr kryptografisches Material und macht die Zugangsdaten unbrauchbar; die Vorgangsprotokolle bleiben aus Sicherheitsgründen erhalten, mit dem alleinigen historischen Pseudonym.

Sicherheitsmaßnahmen

Ende-zu-Ende-Verschlüsselung im Browser mit Schlüsseln, die wir nicht besitzen; kein Name und keine E-Mail-Adresse auf dem Server; Datenbank nicht aus dem Internet erreichbar; Sicherungskopien verschlüsselt und in einer getrennten Region aufbewahrt; unveränderbare Vorgangsprotokolle; begrenzte und protokollierte Zugänge für die Unterstützung. Wir versprechen nicht das Unmögliche: kein System ist absolut sicher, aber dieses ist so gebaut, dass eine Kompromittierung des Servers so wenig wie möglich preisgibt. Auch der Live-Datenstrom der Online-Tempelarbeiten ist Ende-zu-Ende verschlüsselt (hohe Verschwiegenheit): der Medienserver befördert opake Umschläge, die er nicht lesen kann, und zeichnet sie nicht auf. Ausgesetzt bleiben allein die Metadaten des Saals, und ein für die Live-Verschlüsselung zu alter Browser lässt jenen Datenstrom auf den Klartext zurückfallen, mit einem allen im Saal erklärten Hinweis (siehe «Online-Tempelarbeiten»).

Minderjährige

Der Dienst ist für volljährige Personen bestimmt.

Aktualisierungen

Diese Erklärung kann sich mit dem Dienst oder den Vorschriften ändern: die hier veröffentlichte Fassung, mit dem Datum am Anfang, ist die geltende.