Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf Europolix ist die im Impressum genannte Person bzw. Stelle. Kontaktmöglichkeiten für Anfragen zum Datenschutz findest du dort.

2. Welche Daten wir verarbeiten

• Kontodaten: Nutzername und E-Mail-Adresse. Wenn du ein Passwort vergibst, wird es nicht gespeichert, sondern nur ein daraus berechneter Hashwert (bcrypt); aus ihm lässt sich das Passwort nicht zurückrechnen. Bei Anmeldung über Google verarbeiten wir die von Google bereitgestellten Basisdaten (Name, E-Mail, Profilbild).
• Profildaten: Anzeigename, Biografie, Profilbild und, falls angegeben, Parteizugehörigkeit samt Beleg-Link (freiwillige Selbstauskunft).
• Inhalte: von dir erstellte Beiträge, Kommentare, Storys, Likes, Follows, Nachrichten und hochgeladene Bilder oder Videos. Aus Bildern und Videos entfernen wir beim Hochladen die eingebetteten Kameradaten (EXIF) — darunter die GPS-Koordinaten, die Smartphones standardmäßig mitschreiben.
• Nutzungsdaten: technische Protokolldaten (z. B. IP-Adresse), die zur Absicherung gegen Missbrauch verarbeitet werden — Einzelheiten und Speicherdauer unter Punkt 6 („Anmeldung und Geräteerkennung“).
• Meldungen/Moderation: Inhalte und Begründungen im Zusammenhang mit Melde- und Moderationsvorgängen, sofern du daran beteiligt bist.

3. Zweck & Rechtsgrundlage

• Betrieb der Plattform — Konto, Profil, Beiträge, Kommentare, Nachrichten, Umfragen und Tagesfragen: Erfüllung des Nutzungsvertrags, Art. 6 Abs. 1 lit. b DSGVO.
• Sicherheit — Rate-Limiting, Missbrauchserkennung, Hinweis auf Anmeldungen von neuen Geräten: berechtigtes Interesse an einem störungsfreien und sicheren Betrieb, Art. 6 Abs. 1 lit. f DSGVO.
• Reichweitenmessung — wir zählen, welche Seiten aufgerufen und welche Funktionen genutzt werden, um zu erkennen, was funktioniert und wo Nutzer:innen hängenbleiben. Dafür werden keine Cookies gesetzt und keine Profile gebildet. Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung der Plattform, Art. 6 Abs. 1 lit. f DSGVO. Du kannst dem jederzeit widersprechen (Art. 21 DSGVO).
• Parteizugehörigkeit — nur, wenn du sie selbst angibst. Weil es sich dabei um Daten über politische Meinungen handelt, stützen wir die Verarbeitung auf deine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen; die Angabe wird dann entfernt.
• Antworten auf Umfragen und Tagesfragen — ebenfalls ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, siehe Abschnitt 7.
• Red Flag / Green Flag — deine Flags werden gespeichert, damit du das Spiel fortsetzen kannst. Verglichen mit Parteien und anderen Personen werden sie nur, wenn du die Auswertung ausdrücklich freigibst (Art. 9 Abs. 2 lit. a DSGVO). Andere sehen dich in ihrem Vergleich nur, wenn du das zusätzlich einschaltest; deine einzelnen Flags sieht niemand. Beides kannst du im Spiel jederzeit zurücknehmen.
• Klartext — deine Meinung zum Statement des Tages ist ein öffentlicher euroX-Beitrag mit der Seite, die du gewählt hast. Du veröffentlichst sie selbst und kannst sie jederzeit löschen.
• Zugehörigkeit zu Partei oder Jugendorganisation — tragen wir bei der Verifizierung nur ein, wenn du zustimmst oder die Mitgliedschaft selbst öffentlich gemacht hast (Art. 9 Abs. 2 lit. a und e DSGVO). Sie steht dann als Abzeichen in deinem Profil und wird mit der Verifizierung wieder entfernt.
• Aufrufe — wenn du angemeldet einen Beitrag oder ein Reel ansiehst, zählen wir das einmal. Die Zahl sieht nur die Person, die den Beitrag veröffentlicht hat; wer genau geschaut hat, zeigen wir niemandem.

4. Cookies

Europolix verwendet ausschließlich technisch notwendige Cookies, insbesondere ein Session-Cookie zur Anmeldung (bereitgestellt über NextAuth.js). Diese sind für den Betrieb der Plattform erforderlich; eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG (bis Mai 2024: TTDSG) nicht erforderlich. Es werden keine Tracking- oder Werbe-Cookies eingesetzt.

Wer über einen Einladungslink (europolix.de/e/…) oder einen Link aus unserer Werbung (europolix.de/start/…) kommt, bekommt für höchstens 14 bzw. 7 Tage ein eigenes Cookie von Europolix. Es merkt sich nur, wer eingeladen hat bzw. über welchen Link du gekommen bist (z. B. „instagram“), damit du nach der Anmeldung an der richtigen Stelle landest. Bei der Anmeldung wird dieses eine Wort an deinem Konto gespeichert, damit wir zählen können, welche Werbung funktioniert; danach wird das Cookie gelöscht. An Instagram, Reddit oder andere Anbieter wird dabei nichts übermittelt.

5. Empfänger & Auftragsverarbeiter

Zum Betrieb der Plattform werden folgende Dienstleister eingesetzt, die als Auftragsverarbeiter ausschließlich nach unseren Weisungen tätig werden:

• Vercel Inc. — Hosting der Anwendung sowie Reichweiten- und Ladezeitmessung („Web Analytics“ und „Speed Insights“). Dabei werden aufgerufene Seiten und technische Kennwerte wie Ladezeit, Gerätetyp und Herkunftsland erfasst. Es werden keine Cookies gesetzt, keine Profile gebildet und Besucher:innen nicht seitenübergreifend wiedererkannt.
• PostHog — Nutzungsstatistik, gehostet in der EU (eu.posthog.com). Erfasst werden aufgerufene Seiten und ausgelöste Aktionen. Es werden keine Cookies gesetzt; die Wiedererkennung innerhalb eines Besuchs erfolgt ohne dauerhafte Kennung, eine seitenübergreifende Wiedererkennung findet nicht statt.
• Resend — Versand von E-Mails (Anmeldecodes, Hinweise auf Anmeldungen von neuen Geräten, Benachrichtigungen). Verarbeitet werden dabei deine E-Mail-Adresse und der Inhalt der jeweiligen Nachricht.
• Neon — Hosting der Datenbank.
• Cloudinary — Hosting von hochgeladenen Bildern und Videos (Beiträge, Storys, Reels).
• Google LLC — ausschließlich, wenn du dich per Google anmeldest.
• Translated S.r.l. (MyMemory) — Übersetzungsdienst mit Sitz in Italien, für die Übersetzen-Funktion. Bei „Übersetzen“ wird nur der eine Text (Bio, Kommentar oder Beitrag) übertragen, den du übersetzen lässt, ohne deinen Namen oder dein Konto. Ist ein KI-Anbieter eingerichtet (Google LLC oder Anthropic PBC), übersetzt stattdessen dieser, ebenso wie er den Hilfe-Assistenten und die Prüfung gemeldeter Inhalte übernimmt. Übersetzungen werden kurz zwischengespeichert, damit sie nicht mehrfach angefragt werden.

Wo diese Anbieter verarbeiten

Eine pauschale Aussage wäre hier wenig wert, deshalb einzeln:

• Neon — die Datenbank liegt in der Region Frankfurt am Main (Deutschland). Der Anbieter hat seinen Sitz in den USA, sodass ein Zugriff zu Supportzwecken nicht ausgeschlossen ist.
• PostHog — EU-Hosting (eu.posthog.com), Rechenzentrum in Frankfurt am Main.
• Vercel Inc. — Sitz in den USA. Die Anwendung wird in der Region Frankfurt ausgeliefert; eine Verarbeitung in den USA (etwa Protokolle, Support) findet statt.
• Cloudinary — Sitz in den USA, Verarbeitung auch dort.
• Resend — Sitz in den USA, Verarbeitung auch dort.
• Google LLC — Sitz in den USA, Verarbeitung auch dort.
• Translated S.r.l. (MyMemory) — Sitz in Italien (EU). Ein eingerichteter KI-Anbieter hat seinen Sitz in den USA, Verarbeitung auch dort.

Für die Anbieter mit Sitz in den USA stützen wir die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der jeweilige Anbieter dort zertifiziert ist, ansonsten auf die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Mit allen genannten Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Ein Restrisiko bleibt: US-Behörden können unter dortigem Recht Zugriff verlangen, und ein europäisches Gericht hat solche Beschlüsse schon zweimal gekippt.

6. Anmeldung und Geräteerkennung

Anmelden kannst du dich mit Nutzername und Passwort oder mit Nutzername und einem Code, den wir an deine E-Mail-Adresse schicken. Eine Anmeldung endet 30 Minuten nach der letzten Nutzung, sofern du nicht „Angemeldet bleiben“ gewählt hast (dann bis zu 30 Tage).

Meldest du dich von einem Gerät an, das dein Konto noch nie benutzt hat, erhältst du darüber eine E-Mail. Dafür speichern wir zu deinem Konto eine Prüfsumme (SHA-256-Hash) aus einer groben Angabe zum Netz und einer Gerätebezeichnung (etwa „iPhone · Safari“) sowie den Zeitpunkt der letzten Anmeldung. Die Einträge sind in den Einstellungen einsehbar und werden gelöscht, sobald du dich auf allen Geräten abmeldest. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Absicherung deines Kontos.

IP-Adressen zum Schutz vor Missbrauch. Bei der Registrierung, bei jeder Anmeldung und höchstens einmal am Tag während der Nutzung speichern wir zu deinem Konto die IP-Adresse, den Zeitpunkt, die Art des Vorgangs (z. B. Anmeldung mit Code) und die grobe Gerätebezeichnung (etwa „iPhone · Safari“). Beim Anfordern eines Anmeldecodes oder eines Links zum Zurücksetzen des Passworts wird die IP-Adresse außerdem zur Begrenzung massenhafter Anfragen gespeichert.

Bei der Registrierung prüfen wir zusätzlich, aus welchem Land die Anfrage kommt (diese Angabe ermittelt unser Hosting-Anbieter Vercel aus der IP-Adresse) und ob die IP-Adresse zu einem bekannten VPN-Anbieter gehört. Für Letzteres gleichen wir sie mit einer Liste ab, die auf unserem Server liegt; dabei werden keine Daten an Dritte übermittelt. Das hilft uns, Fake-Konten und die Rückkehr gesperrter Personen zu erkennen; eine Registrierung wird deswegen nicht abgelehnt. Land und VPN-Kennzeichen speichern wir zusammen mit den Anmeldedaten und mit denselben Fristen.

Zweck ist ausschließlich die Sicherheit der Plattform: Missbrauch erkennen und abwehren (etwa Spam, gefälschte Mehrfachkonten oder die Rückkehr gesperrter Personen unter neuem Namen), Konten vor Übernahme schützen und — bei strafbaren Inhalten — Hinweise an Strafverfolgungsbehörden geben zu können. Einsehen können die Daten nur die Administratorinnen und Administratoren von Europolix. Eine Weitergabe erfolgt nur an Behörden, wenn wir dazu gesetzlich verpflichtet sind oder eine Straftat anzeigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, missbrauchsfreien Betrieb), bei Auskunftspflichten Art. 6 Abs. 1 lit. c DSGVO.

Die Einträge werden nach 30 Tagen automatisch gelöscht. Wurde ein Konto wegen eines Verstoßes gesperrt, bewahren wir sie bis zu 180 Tage auf, damit sie für eine mögliche Anzeige noch vorliegen. Du kannst der Verarbeitung nach Art. 21 DSGVO widersprechen; wir prüfen dann, ob unser Interesse an der Sicherheit der Plattform im Einzelfall überwiegt.

7. Politische Meinungen

Antworten auf Umfragen und auf die täglichen Fragen können politische Meinungen im Sinne von Art. 9 DSGVO sein. Sie werden ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO verarbeitet, die du mit der Abgabe der jeweiligen Antwort erteilst.

In die angezeigten Auswertungen fließen deine Antworten ausschließlich als Teil einer Gesamtzahl ein, ohne deinen Namen. Namentlich sichtbar wird deine Antwort nur, wenn du dies in den Einstellungen ausdrücklich freigibst („Freunde sehen meine Antworten“); sichtbar ist sie dann für Personen, denen du folgst und die dir zurückfolgen. Diese Freigabe ist standardmäßig ausgeschaltet und jederzeit widerrufbar.

8. Speicherdauer

Kontobezogene Daten werden gespeichert, solange dein Konto besteht. Nach Löschung des Kontos werden personenbezogene Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Protokolldaten für das Rate-Limiting werden automatisiert nach kurzer Zeit (Minuten) verworfen.

9. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung deiner Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO) sowie
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft.

Zwei dieser Rechte kannst du direkt selbst ausüben, ohne uns zu schreiben: unter Einstellungen findest du unter „Deine Daten“ einen Download deiner Daten in einem maschinenlesbaren Format (Art. 20 DSGVO) und unter „Konto löschen“ die endgültige Löschung deines Kontos (Art. 17 DSGVO).

Alle übrigen Anfragen zu diesen Rechten richtest du an die im Impressum genannte Kontaktadresse. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde; zuständig ist die Aufsichtsbehörde deines Wohnsitzlandes oder die des Sitzes des Verantwortlichen.

10. Öffentlich sichtbare Angaben

Beachte, dass Profildaten (Nutzername, Anzeigename, Beiträge, ggf. angegebene Parteizugehörigkeit mit Quelle) für andere Nutzer:innen der Plattform öffentlich sichtbar sind — das ist der Zweck eines sozialen Netzwerks. Gib entsprechend keine Informationen an, die nicht öffentlich sichtbar sein sollen.

11. Minderjährige

Europolix richtet sich an Personen ab 16 Jahren (siehe § 2 der Nutzungsbedingungen). Das ist zugleich die Altersgrenze, ab der eine Einwilligung in die Verarbeitung personenbezogener Daten nach § 25 Abs. 1 TDDDG und Art. 8 DSGVO ohne Zustimmung der Sorgeberechtigten wirksam ist. Erfahren wir, dass ein Konto von einer jüngeren Person geführt wird, löschen wir es.