Informationen zur Verarbeitung personenbezogener Daten

1. Verantwortlicher

Verantwortlicher für die Verarbeitung ist:

Anfragen zum Schutz personenbezogener Daten können gerichtet werden an:

privacy@onirion.it

Der Verein kann eine oder mehrere interne Ansprechpersonen mit der operativen Bearbeitung von Datenschutzfragen beauftragen, ohne deren Namen veröffentlichen zu müssen, sofern nicht in den gesetzlich vorgesehenen Fällen ein Datenschutzbeauftragter förmlich bestellt wird.

2. Kategorien verarbeiteter Daten

Im Rahmen der Vorregistrierung können folgende Datenkategorien verarbeitet werden:

• Vorname, Nachname, Geburtsdatum und Geburtsort;
• Staatsangehörigkeit, Wohnsitz und Anschrift;
• Steuernummer für italienische Staatsangehörige oder Nummer des Identitätsdokuments für ausländische Staatsangehörige, einschließlich nationalem Dokument des Staats der Staatsangehörigkeit, Personalausweis, Reisepass, Führerschein oder gegebenenfalls Aufenthaltstitel;
• E-Mail-Adresse und Telefonnummer;
• Angaben zur Volljährigkeit;
• Geschlecht, angegebene Präferenzen und freiwillig in das Formular eingetragene Informationen;
• von der betroffenen Person mitgeteilte besondere Bedürfnisse;
• Antworten auf den Fragebogen;
• zur Identitätsprüfung hochgeladene Dokumente und Bilder;
• Informationen zum Aufnahmeantrag und dessen Status;
• freiwillige Einwilligungen und Nachweis der Kenntnisnahme der Datenschutzerklärung;
• technische Verfahrensdaten wie Datum und Uhrzeit, IP-Adresse, Sicherheitsprotokolle, technische Kennungen und Einmal-Token;
• Daten, die für die spätere Formalisierung und im Fall der Aufnahme für die Verwaltung des Mitgliedschaftsverhältnisses erforderlich sind.

3. Zwecke und Rechtsgrundlagen

3.1 Entgegennahme und Prüfung des Antrags

Die Daten werden verarbeitet, um:

• die Vorregistrierung entgegenzunehmen;
• ihre Vollständigkeit zu prüfen;
• den Aufnahmeantrag zu beurteilen;
• gegebenenfalls Berichtigungen oder Ergänzungen anzufordern;
• eine etwaige Überprüfung des Vorgangs zu verwalten;
• die Formalisierung des Antrags vorzubereiten;
• die abschließende Entscheidung durch die zuständigen Organe oder befugten Personen zu ermöglichen.

Rechtsgrundlage ist die Durchführung vorvertraglicher beziehungsweise auf die Mitgliedschaft gerichteter Maßnahmen auf Anfrage der betroffenen Person gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO.

3.2 Prüfung der Identität und Volljährigkeit

Identifikationsdaten und etwaige Dokumente werden verarbeitet, um die angegebene Identität, die Volljährigkeit und die Richtigkeit der für den Antrag erforderlichen Angaben zu prüfen.

Rechtsgrundlage sind die Durchführung der von der betroffenen Person verlangten Maßnahmen und, soweit anwendbar, die Erfüllung rechtlicher Verpflichtungen gemäß Artikel 6 Absatz 1 Buchstaben b und c DSGVO.

3.3 Betriebliche Mitteilungen

Die E-Mail-Adresse und andere Kontaktdaten können für Mitteilungen verwendet werden, die unmittelbar mit dem Vorgang zusammenhängen, beispielsweise:

• Eingangsbestätigung;
• Anforderungen von Ergänzungen oder Berichtigungen;
• Mitteilung des Ergebnisses;
• Versand persönlicher Links zur Überprüfung;
• Hinweise zur Formalisierung;
• Mitteilungen, die für die Verwaltung des Mitgliedschaftsverhältnisses erforderlich sind.

Rechtsgrundlage sind die Durchführung der von der betroffenen Person verlangten Maßnahmen und die Verwaltung des vorläufigen oder bestehenden Mitgliedschaftsverhältnisses gemäß Artikel 6 Absatz 1 Buchstabe b DSGVO.

Die Entscheidung, diese Mitteilungen per E-Mail zu erhalten, betrifft ausschließlich den verwendeten Kanal und stellt keine Einwilligung in Werbemitteilungen dar.

3.4 Verwaltung des Mitgliedschaftsverhältnisses

Wird der Antrag angenommen, werden die erforderlichen Daten verarbeitet für:

• Verwaltung der Mitgliederdaten;
• Ausstellung und Verwaltung des Mitgliedsausweises;
• Verwaltung von Zutritten und Dienstleistungen;
• verwaltungsrechtliche, zivilrechtliche, steuerliche und buchhalterische Pflichten;
• institutionelle Mitteilungen im Zusammenhang mit dem Vereinsleben.

Rechtsgrundlagen sind die Durchführung des Mitgliedschaftsverhältnisses und die Erfüllung rechtlicher Verpflichtungen gemäß Artikel 6 Absatz 1 Buchstaben b und c DSGVO.

3.5 Sicherheit und Schutz des Vereins

Bestimmte Daten und Protokolle können verarbeitet werden, um:

• betrügerische Nutzungen des Systems zu verhindern;
• Konten, Dokumente und IT-Infrastruktur zu schützen;
• ungewöhnliche Zugriffe und Vorgänge zu prüfen;
• Rechte des Vereins festzustellen, auszuüben oder zu verteidigen.

Rechtsgrundlage ist das berechtigte Interesse des Vereins an der Sicherheit seiner Systeme, Personen und Vermögenswerte gemäß Artikel 6 Absatz 1 Buchstabe f DSGVO, unter Beachtung des Grundsatzes der Verhältnismäßigkeit und nach Abwägung mit den Rechten der betroffenen Personen.

3.6 Werbliche Mitteilungen

Nur mit gesonderter und freiwilliger Einwilligung dürfen Kontaktdaten für werbliche oder informative Mitteilungen über Tätigkeiten, Initiativen und Veranstaltungen des Vereins verwendet werden, die für die Verwaltung des Verhältnisses nicht unbedingt erforderlich sind.

Rechtsgrundlage ist die Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a DSGVO.

Die Einwilligung:

• ist nicht verpflichtend;
• ist nicht vorausgewählt;
• kann jederzeit widerrufen werden;
• beeinflusst weder die Einreichung noch die Prüfung des Antrags;
• berührt notwendige betriebliche Mitteilungen nicht.

4. Fragebogen

Die im Fragebogen gegebenen Antworten dürfen nur bei Vorliegen der vom Verein bestimmten Rechtsgrundlage und der anwendbaren Garantien mit IT-Werkzeugen, auch KI-basierten Werkzeugen, verarbeitet werden.

Die Verarbeitung dient dazu, befugten Personen Indikatoren zur Unterstützung bei der Auswertung der Antworten und der Gesamtbeurteilung des Antrags bereitzustellen.

Die Analyse:

• führt nicht automatisch zur Annahme oder Ablehnung;
• ändert den Status des Vorgangs nicht automatisch;
• ersetzt nicht die Beurteilung durch das Personal;
• führt bisin zu keiner endgültigen Entscheidung;
• erfolgt soweit möglich, ohne dem Anbieter unmittelbar identifizierende Daten zu übermitteln;
• unterliegt menschlicher Kontrolle.

Die endgültige Entscheidung wird stets von befugten Personen des Vereins getroffen.

5. Art der Bereitstellung

Die Bereitstellung der als verpflichtend gekennzeichneten Daten ist erforderlich, um den Antrag einzureichen und zu prüfen.

Die Nichtbereitstellung kann verhindern:

• die Identifizierung der antragstellenden Person;
• die Prüfung der Volljährigkeit;
• die Beurteilung des Antrags;
• die Verwaltung des Verfahrens;
• die Formalisierung eines etwaigen Mitgliedschaftsverhältnisses.

Die Kenntnisnahme der Datenschutzerklärung sowie die Erklärung der Vollständigkeit und Richtigkeit der Daten sind für den Abschluss des Verfahrens erforderlich.

Die Diketing-Einwilligung ist freiwillig.

Eine etwaige Einwilligung in KI-Unterstützung beeinträchtigt, sofern sie freiwillig vorgesehen ist, nicht die Möglichkeit, den Antrag einzureichen; dieser wird unmittelbar von befugten Personen geprüft.

6. Verarbeitungsweise und Sicherheit

Die Daten werden mit elektronischen Mitteln und, soweit erforderlich, anhand von Verwaltungsunterlagen verarbeitet.

Der Verein trifft technische und organisatorische Maßnahmen, um:

• den Zugang auf befugtes Personal zu beschränken;
• Dokumente vor unmittelbarem öffentlichem Zugriff zu schützen;
• Rollen und Berechtigungen zu verwalten;
• Mitteilungen durch sichere Verbindungen zu schützen;
• unbefugte Zugriffe, Verluste, Änderungen oder Offenlegungen zu vermeiden;
• Sicherungen und Sicherheitskontrollen durchzuführen;
• relevante Verwaltungsvorgänge zu protokollieren, soweit vorgesehen.

Die Maßnahmen werden unter Berücksichtigung der Art der Daten, der Zwecke, des Stands der Technik und der Risiken für die betroffenen Personen aktualisiert.

7. Empfänger und befugte Personen

Daten können verarbeitet werden durch:

• Mitglieder des Vorstands im Rahmen ihrer jeweiligen Zuständigkeiten;
• befugtes Personal und befugte Mitarbeitende;
• mit der Verwaltung von Vorregistrierungen und Mitgliedern beauftragte Personen;
• mit der Sicherheit und Systemadministration beauftragtes Personal;
• Verwaltungs-, Steuer- und Rechtsberater, soweit erforderlich;
• technische Anbieter, die mit dem Betrieb des Verwaltungssystems, Hosting, Kommunikation, OTP, Sicherungen und etwaigen KI-Diensten beauftragt sind.

Interne Personen dürfen ausschließlich auf die für ihre jeweiligen Aufgaben erforderlichen Daten zugreifen.

Die Daten werden nicht öffentlich verbreitet.

8. Externe Auftragsverarbeiter und Anbieter

Bestimmte Anbieter können Daten im Auftrag des Vereins als Auftragsverarbeiter gemäß Artikel 28 DSGVO verarbeiten.

Zu den Anbieterkategorien können gehören:

• Hosting- und Datenbankanbieter;
• E-Mail-Anbieter;
• SMS- oder OTP-Anbieter;
• IT-Dienstleister;
• Anbieter von Werkzeugen künstlicher Intelligenz;
• Anbieter von Sicherungs- und technischen Unterstützungsleistungen;
• Berater mit Zugang zu personenbezogenen Daten.

Eine aktuelle Liste der externen Auftragsverarbeiter kann angefordert werden unter:

privacy@onirion.it

9. Speicherdauer

Die Daten werden für Zeiträume gespeichert, die den Zwecken entsprechen, für die sie erhoben wurden.

Vorbehaltlich gesetzlicher Pflichten, Streitigkeiten oder der Notwendigkeit, Rechte zu schützen, gelten folgende Kriterien:

• unvollständige Vorregistrierungen: 30 Tage ab der letzten Aktivität;
• endgültig abgelehnte Vorregistrierungen: 6 Monate ab Abschluss des Vorgangs;
• Unterlagen abgelehnter Vorgänge: 60 Tage ab der endgültigen Ablehnung;
• Überprüfungs-Token und zugehörige Metadaten: 6 Monate ab Nutzung, Widerruf oder Ablauf;
• doppelte Daten aus in Mitgliedschaften umgewandelten Vorregistrierungen: Minimierung innerhalb von 30 Tagen nach der Umwandlung;
• Daten aktiver Mitglieder: für die Dauer des Mitgliedschaftsverhältnisses;
• gewöhnliche Daten ausgeschiedener Mitglieder: bis zu 12 Monate nach Beendigung, sofern nichts anderes erforderlich ist;
• Verwaltungs- und Buchhaltungsdaten und -unterlagen: für den nach anwendbarem Recht vorgeschriebenen Zeitraum, in der Regel bis zu 10 Jahre;
• Kopien der Identitätsdokumente ausgeschiedener Mitglieder: Löschung innerhalb von 60 Tagen nach Beendigung, sofern keine Verpflichtungen oder Streitigkeiten entgegenstehen;
• Fragebögen und KI-Ergebnisse abgelehnter Vorgänge: 6 Monate ab der endgültigen Entscheidung;
• Fragebögen und KI-Ergebnisse angenommener Vorgänge: 12 Monate ab der Aufnahme, sofern kein begründeter Bedarf besteht;
• für Werbemitteilungen verwendete Daten: bis zum Widerruf der Einwilligung, mit Prüfung mindestens bis 24 Monate;
• Sicherheits- und Zugriffsprotokolle: in der Regel 6 Monate, bei Vorfällen oder Ermittlungsbedarf verlängerbar.

Nach Ablauf werden die Daten gelöscht, anonymisiert oder auf das unbedingt Erforderliche reduziert.

Die Löschung kann ausschließlich für erforderliche Daten ausgesetzt werden, wenn Folgendes vorliegt:

• gesetzliche Pflichten;
• Streitigkeiten;
• Anfragen von Behörden;
• Notwendigkeit, ein Recht festzustellen, auszuüben oder zu verteidigen.

10. Übermittlungen außerhalb des Europäischen Wirtschaftsraums

Die Daten werden soweit möglich innerhalb des Europäischen Wirtschaftsraums verarbeitet.

Führt ein Anbieter zu einer Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums, prüft der Verein das Vorliegen einer der in der DSGVO vorgesehenen Garantien, beispielsweise:

• Angemessenheitsbeschluss der Europäischen Kommission;
• Standardvertragsklauseln;
• zusätzliche technische und organisatorische Maßnahmen;
• eine andere gesetzlich vorgesehene Voraussetzung.

Eine Liste der betroffenen Anbieter und der angewandten Garantien kann angefordert werden bei privacy@onirion.it.

Hinweis: Vor der endgültigen Veröffentlichung ist dieser Abschnitt anhand des tatsächlich eingesetzten KI-Anbieters, E-Mail-Anbieters und der sonstigen Anbieter zu prüfen.

11. Rechte der betroffenen Person

In den gesetzlich vorgesehenen Fällen kann die betroffene Person folgende Rechte ausüben:

• Auskunft über personenbezogene Daten;
• Berichtigung unrichtiger Daten;
• Vervollständigung unvollständiger Daten;
• Löschung;
• Einschränkung der Verarbeitung;
• Widerspruch;
• Datenübertragbarkeit, soweit anwendbar;
• Widerruf freiwilliger Einwilligungen;
• Anforderung von Informationen über durchgeführte Verarbeitungen;
• menschliches Eingreifen bei etwaigen anwendbaren automatisierten Verfahren.

Anfragen können gesendet werden an:

privacy@onirion.it

Der Verein kann Informationen anfordern, die zur Prüfung der Identität der anfragenden Person erforderlich sind.

Der Widerruf der Einwilligung berührt nicht die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitungen. Der Widerruf der Diketing-Einwilligung berührt betriebliche Mitteilungen zum Antrag oder Mitgliedschaftsverhältnis nicht.

Der Verantwortliche muss die Ausübung der Rechte betroffener Personen wirksam erleichtern und darf sich nicht darauf beschränken, sie in der Erklärung aufzuführen.

12. Übermittlung und Verbreitung

Die Daten werden weder verkauft noch öffentlich verbreitet.

Sie können übermittelt werden an:

• unbedingt erforderliche Anbieter und Berater;
• zuständige Behörden, soweit gesetzlich vorgesehen;
• Personen, denen die Übermittlung zur Erfüllung gesetzlicher Pflichten oder zum Schutz von Rechten erforderlich ist.

13. Aktualisierungen der Datenschutzerklärung

Diese Datenschutzerklärung wird durch einen Code, eine Version, ein Wirksamkeitsdatum und einen Hash des Inhalts gekennzeichnet.

Für jede Vorregistrierung erfasst das System:

• Code der Datenschutzerklärung;
• Version;
• Hash;
• Datum und Uhrzeit der Kenntnisnahme;
• verwendete IP-Adresse innerhalb der vorgesehenen Grenzen;
• abgegebene Erklärungen und freiwillige Einwilligungen.

Künftige Änderungen verändern die zuvor bereitgestellte Version der Datenschutzerklärung nicht.

Bei wesentlichen Änderungen der Verarbeitung stellt der Verein eine neue Version bereit und informiert die betroffenen Personen, soweit erforderlich, erneut oder holt eine neue Willenserklärung ein.