Privacy Policy

1. Verantwortlicher Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Bestimmungen ist: SideKIC Deutschland E-Mail: ceo@sidekic.de

(nachfolgend „sideKIC" oder „wir")

2. Datenschutzbeauftragter [Sofern ein Datenschutzbeauftragter benannt ist: Name und Kontaktdaten des Datenschutzbeauftragten. Andernfalls: Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Benennungspflicht besteht.]

3. Allgemeine Hinweise zur Datenverarbeitung sideKIC ist eine Plattform für Studierendenvertretungen. Sie bündelt Sitzungsverwaltung, Abstimmungen, Finanzbuchhaltung mit Audit-Trail, Event-Ticketing und Schichtplanung in einem mandantenfähigen Arbeitsbereich. Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der DSGVO und des Bundesdatenschutzgesetzes (BDSG).

Diese Datenschutzerklärung informiert über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten durch die sideKIC-Plattform.

4. Rechtsgrundlagen der Verarbeitung Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

- Art. 6 Abs. 1 lit. a DSGVO – Einwilligung - Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung und vorvertragliche Maßnahmen - Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung, insbesondere handels- und steuerrechtliche Aufbewahrungspflichten nach § 147 AO und § 257 HGB - Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen, etwa IT-Sicherheit und Missbrauchsprävention

5. Datenkategorien und Aufbewahrungsfristen Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten dies verlangen (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Die Aufbewahrungsfristen sind je Datenkategorie konfigurierbar und werden automatisiert durchgesetzt:

- Nutzerkonten: für die Dauer der aktiven Nutzung; inaktive oder gesperrte Konten werden nach 180 Tagen ohne Anmeldung anonymisiert. - Finanzanträge: Entwürfe, abgelehnte und stornierte Anträge können entfernt werden; genehmigte und ausgezahlte Anträge bleiben als institutionelle Unterlagen erhalten. - Berichte: Entwürfe, abgelehnte und stornierte Berichte können entfernt werden; abgeschlossene Berichte bleiben erhalten. - Anhänge zu Finanzanträgen und Berichten: automatische Löschung nach 365 Tagen. - Dokumente: automatische Löschung nach 730 Tagen; workflowgebundene Dokumente bleiben erhalten. - Chat-Unterhaltungen und -Nachrichten: Löschung nach 730 beziehungsweise 365 Tagen. - Kalenderereignisse: Löschung nach 730 Tagen. - Medienelemente: Löschung nach 180 Tagen. - Demo-Anfragen: Löschung nach 365 Tagen. - Einladungen: Löschung nach 365 Tagen. - Audit-Protokolle: werden dauerhaft aufbewahrt und können nicht gelöscht oder anonymisiert werden. - Buchhaltungsunterlagen: gesetzlich gesperrt nach § 147 AO und § 257 HGB; Aufbewahrung unverändert für zehn Jahre.

6. Anonymisierung statt Löschung Wo Datensätze aufgrund gesetzlicher oder auditbezogener Pflichten aufbewahrt werden müssen, eine Person jedoch nicht mehr identifizierbar sein soll, anonymisieren wir die Daten, statt sie zu löschen (Art. 17 Abs. 3 DSGVO). Die Anonymisierung trennt insbesondere die Verknüpfung des Kontos zum Anmeldedienst, sodass ein deaktiviertes Konto keinen Zugriff mehr erhalten kann.

7. Unveränderliche Audit-Protokolle Finanzanträge, Berichte, Dokumentzugriffe und Sitzungsereignisse werden in append-only-Protokollen auf Datenbankebene geführt. Diese Protokolle können nicht verändert oder gelöscht werden und dienen der Nachvollziehbarkeit sowie der Erfüllung gesetzlicher Prüfpflichten.

8. Speicherung und Auftragsverarbeiter Wir setzen folgende Auftragsverarbeiter ein, die personenbezogene Daten in unserem Auftrag verarbeiten können:

- Amazon Web Services (S3): Speicherung von Dokumenten, Belegen, Berichten und Backups. Region: eu-central-1 (Frankfurt). Der Bucket ist privat; Dateien werden ausschließlich über kurzlebige, signierte URLs bereitgestellt. - Cloudinary: ausschließlich öffentliche Medien (Profilfotos, Logos) über den EU-Endpunkt (api-eu.cloudinary.com). - Neon: verwaltete PostgreSQL-Datenbank. - Neon Auth: Authentifizierung, Sitzungen und Transaktions-E-Mails. - Render: Hosting der Anwendung.

Eine aktuelle Übersicht der eingesetzten Auftragsverarbeiter wird im Subprozessor-Register der Plattform geführt.

9. Datensicherheit (Art. 32 DSGVO) Wir setzen geeignete technische und organisatorische Maßnahmen um, darunter: mandantenbezogene Trennung sämtlicher Abfragen, rollenbasierte Zugriffskontrolle, Rate-Limits auf öffentlichen Endpunkten, kurzlebige signierte URLs für Dateizugriffe sowie ein dokumentiertes Incident-Management mit unveränderlicher Historie.

10. Rechte der betroffenen Personen Ihnen stehen nach Art. 15 bis 21 DSGVO folgende Rechte zu:

- Recht auf Auskunft (Art. 15 DSGVO) - Recht auf Berichtigung (Art. 16 DSGVO) - Recht auf Löschung (Art. 17 DSGVO) - Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) - Recht auf Datenübertragbarkeit (Art. 20 DSGVO) - Widerspruchsrecht (Art. 21 DSGVO)

11. Ausübung Ihrer Rechte Zur Ausübung Ihrer Rechte wenden Sie sich an [Kontakt-E-Mail]. Jede Anfrage wird in einem eigenen, unveränderlichen Bearbeitungsverlauf dokumentiert. Bitte beachten Sie, dass bestimmte Daten aus rechtlichen oder prüfungsbezogenen Gründen nicht gelöscht, sondern ausschließlich anonymisiert werden können.

12. Datenübermittlung in Drittländer Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums findet nur statt, soweit geeignete Garantien bestehen, etwa Standardvertragsklauseln. Die eingesetzten Auftragsverarbeiter verarbeiten die Daten innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums.

13. Beschwerderecht bei der Aufsichtsbehörde Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

14. Änderungen dieser Datenschutzerklärung Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitungstätigkeiten oder die rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.

Stand: Oktober 2026