Xsunder HausverstandDatenschutz

Datenschutzerklärung

Verantwortlicher

Justin Bernberger, für den Verein Forum Demokratie Österreich (in Gründung)
Bahnhofplatz 2, 4600 Wels, Österreich
E-Mail: info@forum-demokratie.at · oder über das Kontaktformular
ZVR-Zahl: Verein in Gründung – wird nach der Eintragung veröffentlicht

Verantwortlich ist bis zur Entstehung des Vereins die oben genannte natürliche Person für den Verein in Gründung, danach der Verein selbst.

Welche Daten wir verarbeiten

Paragrafen nach dem Statutenentwurf in der Fassung vom 15. Oktober 2026, den die Gründungsversammlung beschließt.

Anmeldung über das Formular: Vor- und Nachname, E-Mail-Adresse, Bundesland, auf Wunsch Telefonnummer, die gewählte Beteiligungsform und – wenn du eines vergibst – dein Passwort in verschlüsselter Form. Ebenfalls nur auf Wunsch: Postleitzahl und Gemeinde – keine Anschrift, Straße und Hausnummer nehmen wir gar nicht an – und wie du mithelfen möchtest (etwa Abende organisieren, einen Infostand betreuen oder Fachwissen einbringen). Aus der Postleitzahl ordnen wir dich einer Regionalgruppe zu, wenn der Vorstand für deine Gegend eine eingerichtet hat (§ 1 Abs. 3 der Statuten); ohne Postleitzahl geschieht das nicht, und aus dem Bundesland wird nichts geraten. Für diese Zuordnung fragen wir keinen fremden Dienst ab – die Postleitzahl-Bereiche trägt der Vorstand selbst ein. Postleitzahl, Gemeinde und Hilfe-Angaben änderst oder leerst du jederzeit in „Mein Forum“. Kommst du über einen unserer QR-Codes, eine unserer Seiten oder die Anmeldung zu einem Termin zum Formular, speichern wir außerdem diese Herkunft (etwa „Flyer“ oder den Termin) bei deinem Eintrag. Der Vorstand sieht sie dort in der Personenliste des Back-Office und im Export, eine Landeskoordination ebenso für die Personen ihres Bundeslands; darüber hinaus wertet der Vorstand sie nur als Summe aus, um zu sehen, welcher Weg Menschen zu uns bringt. Hat der Vorstand für dein Bundesland eine Landeskoordination bestellt (siehe „Mitgliederverwaltung“), sieht sie deinen Eintrag, wenn du dieses Bundesland angegeben hast – auch als Unterstützer:in und auch, wenn du nur Neuigkeiten oder Einladungen bestellt hast –, und zwar Name, E-Mail-Adresse, Telefonnummer, Bundesland, Postleitzahl, Gemeinde, Hilfe-Angaben, Beteiligungsform, Mitgliedsnummer und -art, ob du Neuigkeiten bekommst, welche Listen du bestellt hast (ohne Zeitpunkt) und die Herkunft – war das ein Abend in einem anderen Bundesland oder einer ohne Angabe des Bundeslands, steht dort nur „Abend in einem anderen Bundesland oder ohne Angabe“, nicht welcher; diese Liste erhält sie auch als Datei. Abgelehnte, unbestätigte und beendete Einträge sieht sie nicht, und zu welchen Abenden du dich angemeldet hast, auch nicht. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO): aus der Anmeldung bei einem politisch tätigen Verein lässt sich deine politische Meinung ableiten, und solche Daten sind besonders geschützt. Widerrufen kannst du jederzeit mit Wirkung für die Zukunft – formlos an info@forum-demokratie.at oder selbst: Bevor du als Mitglied aufgenommen bist, löschen der Abmeldelink in jeder E-Mail und „Konto und Daten löschen“ in „Mein Forum“ deinen Eintrag samt Daten; als Mitglied bestellt der Abmeldelink nur die Neuigkeiten ab. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO). Wirst du als Mitglied aufgenommen, stützt sich die Verarbeitung ab der Entstehung des Vereins auf die Mitgliedschaft (Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. d DSGVO, § 7 Abs. 9 der Statuten); sie endet dann mit dem Austritt nach § 6 Abs. 2 der Statuten, ein Widerruf beendet die Mitgliedschaft nicht (siehe „Mitgliederverwaltung“).
Neuigkeiten per E-Mail: nur, wenn du dem gesondert zugestimmt hast (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021). Diese Zustimmung ist freiwillig und für die Anmeldung nicht erforderlich. Du kannst sie jederzeit widerrufen: Der Link am Ende jeder E-Mail führt auf eine Seite, auf der du entweder nur die Neuigkeiten abbestellst – dein Eintrag und deine Mitgliedschaft bleiben dann bestehen – oder – solange du nicht als Mitglied aufgenommen bist – deinen gesamten Eintrag löschst. Bist du ausschließlich für Neuigkeiten eingetragen, löschen wir beim Abbestellen den Eintrag mit, weil es dann keinen Grund mehr gibt, deine Adresse zu speichern – es sei denn, du hast noch Einladungen aus einem Bundesland bestellt (nächster Punkt).
Einladungen aus einem Bundesland: nur, wenn du sie gesondert bestellt hast – beim Eintragen für das Bundesland, das du dort angibst, oder in „Mein Forum“ für jedes Bundesland, das du möchtest. Jede dieser Listen ist eine eigene, freiwillige Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021); wir speichern, welche Liste du wann bestellt hast und in welcher Fassung der Text lautete. Eine Einladung an eine Liste bekommen nur die Personen, die genau diese Liste bestellt haben – nicht alle, die in diesem Bundesland eingetragen sind. Du kannst sie auch ohne die Neuigkeiten bestellen. Widerrufen kannst du jede Liste einzeln: über den Link in jeder Einladung (er bestellt nur diese Liste ab; solange du nicht als Mitglied aufgenommen bist, kannst du dort auch deinen ganzen Eintrag löschen) oder, wenn du ein Konto hast, in „Mein Forum“; deine übrigen Listen und die Neuigkeiten bleiben davon unberührt. Bist du nur für Neuigkeiten eingetragen und bestellst du die letzte Liste ab, ohne die Neuigkeiten noch zu bekommen, löschen wir deinen Eintrag. Lädt der Verein über eine Liste zu einem Abend ein, für den noch Helferinnen und Helfer gesucht werden, trägt deine Einladung einen persönlichen Link: Mit ihm kannst du dich ohne Konto für eine Schicht eintragen – als du selbst, mit Name und E-Mail-Adresse aus deinem Eintrag (siehe „Mithelfen bei Einsätzen“). Er gilt 60 Tage und nur für dich; leite die Einladung deshalb bitte nicht weiter.
Betriebsdaten: Unsere Anwendung führt kein klassisches Zugriffsprotokoll. Abgewehrte automatisierte Zugriffe (z. B. ausgefüllte Bot-Fallen im Formular) werden kurzzeitig mit IP-Adresse im Anwendungslog festgehalten (Art. 6 Abs. 1 lit. f DSGVO – Abwehr missbräuchlicher Nutzung). Beim Transport können beim Hoster technische Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite) kurzzeitig anfallen – Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Reichweitenmessung: Damit wir sehen, welche Seiten gelesen werden, zählt unser Server je Tag und Seite die Aufrufe und – näherungsweise – wie viele verschiedene Browser die Seite geöffnet haben. Dazu bildet er aus deiner IP-Adresse, der Kennung deines Browsers (User-Agent) und einem Zufallswert, der jeden Tag neu entsteht und nirgends gespeichert wird, eine gekürzte Prüfsumme. Sie bleibt nur im Arbeitsspeicher und verfällt spätestens mit dem Tageswechsel; gespeichert werden ausschließlich die Summen je Seite und Tag – keine IP-Adresse, keine Kennung. Wir setzen dafür kein Cookie und speichern nichts auf deinem Gerät; über mehrere Tage hinweg lässt sich niemand wiedererkennen. Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot danach auszurichten, was gelesen wird (Art. 6 Abs. 1 lit. f DSGVO). Die Summen haben keinen Bezug zu einer Person mehr.
Back-Office-Protokoll: Sicherheitsrelevante Vorgänge im Vereins-Back-Office werden mitgeschrieben: Zeitpunkt, Art der Aktion, Name und E-Mail-Adresse des handelnden Vorstandsmitglieds, dessen IP-Adresse sowie – in gekürzter Form (z. B. „m***@example.at“) – die betroffene Mitgliederakte. Das dient der Nachvollziehbarkeit bei Mitglieder- und Bankdaten und der Erfüllung unserer Rechenschaftspflicht (Art. 6 Abs. 1 lit. f, Art. 5 Abs. 2 DSGVO; berechtigtes Interesse: Schutz der Mitgliederdaten vor unbefugter Änderung). Automatische Vorgänge, die du selbst auslöst – etwa der Klick auf den Bestätigungs- oder Abmeldelink in einer E-Mail oder das Löschen deines Kontos – werden ohne IP-Adresse und mit gekürzter E-Mail-Adresse festgehalten. Einträge löschen wir nach 24 Monaten, früher, sobald 5.000 neuere vorliegen.
Mitgliederbereich („Mein Forum“): E-Mail-Adresse und ein verschlüsselt gespeichertes Passwort (Hash-Verfahren – im Klartext niemandem zugänglich, auch uns nicht) sowie eine technisch notwendige Anmelde-Sitzung (Cookie). Keine Tracking-Cookies.
Lichtbild auf dem Mitgliedsausweis: Wenn du im Mitgliederbereich („Mein Forum“) ein Foto von dir hinterlegst, speichern wir dieses Bild und den Zeitpunkt, zu dem du es hochgeladen hast. Das Hochladen ist vollkommen freiwillig: Dein Mitgliedsausweis funktioniert ohne Foto genauso – am Bildschirm wie im Ausdruck –, und es entsteht dir kein Nachteil, wenn du keines hinterlegst. Rechtsgrundlage ist deine gesonderte, ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO). Wir stützen das Foto bewusst nicht auf das Mitgliedschaftsverhältnis, denn für die Mitgliedschaft brauchen wir kein Bild von dir; und weil ein Lichtbild zusammen mit der Mitgliedschaft bei einem politisch tätigen Verein deine politische Ausrichtung unmittelbar erkennbar macht, behandeln wir es mit demselben erhöhten Schutz wie deine übrigen Mitgliedsdaten. Das Bild sehen ausschließlich du selbst und der Vorstand; jeder Aufruf durch den Vorstand wird im Back-Office-Protokoll festgehalten. Es erscheint in keiner Mitgliederliste, in keinem Datenexport und in keiner E-Mail, und es wird niemals veröffentlicht oder an Dritte weitergegeben. Das Bild verlässt deinen Browser bereits verkleinert und quadratisch zugeschnitten; Aufnahmedaten wie Ort und Zeitpunkt aus der Kamera (EXIF) werden dabei entfernt und erreichen uns nicht. Du kannst das Foto jederzeit im Mitgliederbereich löschen – es wird dann sofort und rückstandslos entfernt; das ist zugleich der Widerruf deiner Einwilligung und wirkt für die Zukunft.
Kontaktformular: Name, E-Mail-Adresse, Betreff und Nachricht, um deine Anfrage zu beantworten. Rechtsgrundlage ist unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO); betrifft deine Anfrage eine Anmeldung oder Mitgliedschaft, deren Anbahnung (Art. 6 Abs. 1 lit. b DSGVO). Wir löschen Anfragen spätestens ein Jahr nach Eingang.
Sorgentelefon: Deinen Text und, wenn du sie angibst, eine grobe Altersgruppe, ein Geschlecht, ein Thema aus einer festen Liste und ein Bundesland – keinen Namen, keine Mailadresse, keine IP-Adresse. Thema und Bundesland werten wir im Back-Office nur als Summe je Monat aus, zusammen mit allen anderen Einträgen; Zahlen unter fünf fassen wir dabei zusammen. Zweck dieser Auswertung ist, zu sehen, was die Menschen beschäftigt, und Veranstaltungen und Stellungnahmen des Vereins danach auszurichten. Die Zahlen bleiben im Verein – an Parteien, Komitees und Wahlwerber geben wir sie nicht weiter (§ 3 Abs. 6 der Statuten). Dass ein neuer Eintrag wartet, erfährt der Vorstand per E-Mail – ohne deinen Text und ohne deine Angaben. Bitte schreib auch im Text keine Namen, Adressen oder Telefonnummern – weder deine noch die anderer Menschen. Weil ein solcher Text Angaben zu deiner Gesundheit oder politischen Meinung enthalten kann, ist Rechtsgrundlage deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO), die du vor dem Absenden mit einem eigenen Kästchen erteilst. Das Sorgentelefon ist für Menschen ab 14 Jahren. Für eine Rückmeldung erhältst du einen zufälligen Code, mit dem du später ohne Konto nachschauen kannst, ob es eine Antwort gibt; ohne diesen Code lässt sich ein Eintrag niemandem zuordnen, auch uns nicht. Deine Einwilligung widerrufst du jederzeit mit diesem Code auf der Seite des Sorgentelefons unter „Antwort abrufen“ („Eintrag löschen“): Der Eintrag wird dann sofort gelöscht; was bis dahin geschah, bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO). Du kannst uns stattdessen auch über das Kontaktformular schreiben – dort brauchst du aber Namen und E-Mail-Adresse. Wir löschen jeden Eintrag zwölf Monate nach Eingang automatisch. Bei einer echten Krise ersetzt das Sorgentelefon keine Akutbetreuung – der Hinweis dazu steht auf der Seite selbst.
Anmeldung zu Veranstaltungen: Wenn du dich – auch ohne Konto – zu einem Termin anmeldest, speichern wir Name, E-Mail-Adresse und die Personenzahl, schicken dir eine Bestätigung mit Absagelink und Kalendereintrag und zählen die Anmeldungen für die Planung des Abends. Findet der Abend online statt, steht der Zugangslink in dieser Bestätigung, im Kalendereintrag und – wenn du ein Konto hast – in „Mein Forum“; auf der Website steht er nur, wenn wir ihn ausdrücklich für alle freigeben. Beim Einlass vermerken wir an deiner Anmeldung, ob du gekommen bist, damit wir sehen, wie viele der Angemeldeten wirklich kommen; die Einlassliste sieht nur, wer im Back-Office Personendaten sehen darf. Rechtsgrundlage ist die Durchführung deiner Anmeldung (Art. 6 Abs. 1 lit. b DSGVO); weil die Teilnahme an einer politischen Veranstaltung Rückschlüsse auf deine politische Meinung zulassen kann, behandeln wir diese Daten mit demselben erhöhten Schutz wie Mitgliedsdaten und stützen uns zusätzlich auf deine ausdrückliche Einwilligung, die du beim Anmelden auf der Terminseite gesondert erteilst (Art. 9 Abs. 2 lit. a DSGVO); Zeitpunkt und Fassung dieser Einwilligung speichern wir an der Anmeldung (Art. 7 Abs. 1 DSGVO). Meldest du dich als Mitglied in „Mein Forum“ an, speichern wir nur, dass du kommst und – beim Einlass – ob du gekommen bist; dafür gilt dieselbe Rechtsgrundlage wie für deine Mitgliedsdaten (siehe „Mitgliederverwaltung“). Du kannst jederzeit über den Link in der Bestätigung absagen – dann wird der Eintrag sofort gelöscht. Spätestens acht Wochen nach dem Termin löschen wir alle Anmeldungen zu diesem Termin automatisch, samt dem Vermerk vom Einlass. Am Termin bleibt danach nur die Zahl der Angemeldeten und der Erschienenen, ohne Namen; in Auswertungen stehen Zahlen unter fünf nicht einzeln da. Meldest du dich im Anschluss an eine Terminanmeldung als Mitglied oder Unterstützer:in an, vermerken wir, über welchen Termin du gekommen bist.
Mithelfen bei Einsätzen (Helferschichten): Für einen Infostand, einen Abend oder eine Verteilaktion kannst du dich für eine Schicht eintragen – angemeldet in „Mein Forum“ oder über den persönlichen Link aus einer Einladung (siehe „Einladungen aus einem Bundesland“). Wir speichern dafür an der Schicht nur, dass du dich eingetragen hast (eine Kennung deines Eintrags), auf welchem Platz der Schicht, wann, einen zufälligen Absageschlüssel für deinen Absagelink, die Fassung deiner Einwilligung und ob die Erinnerung verschickt ist; Name und E-Mail-Adresse kommen aus deinem Eintrag und werden nicht noch einmal abgelegt. Zu einer Schicht kann eine Ansprechperson vor Ort genannt sein – nur mit Vornamen und mit ihrem Einverständnis, ohne Telefonnummer oder E-Mail-Adresse; sie sehen alle, die sich für den Einsatz eintragen können (in „Mein Forum“ und über den Link aus einer Einladung), und sie steht in Bestätigung und Erinnerung. Wird der Abend abgesagt, an dem ein Einsatz hängt, wird er nicht mehr zum Eintragen angeboten. Du bekommst eine Bestätigung mit einem Absagelink und am Vortag eine kurze Erinnerung; fällt dein Einsatz weg oder ändern sich Datum, Ort oder Uhrzeit, schreiben wir dir kurz. Im Back-Office-Protokoll steht deine Eintragung ohne IP-Adresse und mit gekürzter E-Mail-Adresse, mit dem Weg („Mein Forum“ oder Link) und der Fassung deiner Einwilligung – nicht, für welchen Einsatz und welche Aufgabe. Die Namen der Eingetragenen sieht, wer im Back-Office Personendaten sehen darf, und eine Landeskoordination für Einsätze in ihrem Bundesland (Name und E-Mail-Adresse); Büro und Presse sehen nur, wie viele Plätze belegt sind. Weil die Mithilfe bei einem politisch tätigen Verein Rückschlüsse auf deine politische Meinung zulassen kann, ist Rechtsgrundlage deine ausdrückliche Einwilligung, die du beim Eintragen mit einem eigenen Kästchen erteilst (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO); Zeitpunkt und Fassung speichern wir (Art. 7 Abs. 1 DSGVO). Widerrufen kannst du jederzeit über den Absagelink oder in „Mein Forum“ – die Eintragung ist dann sofort weg und der Platz frei. Ausgewählt, wer zum Mithelfen eingeladen wird, wird nie nach deinen Hilfe-Angaben, sondern nur nach den Einladungslisten, die du selbst bestellt hast. Acht Wochen nach dem Einsatz löschen wir den Einsatz samt allen Eintragungen automatisch.
Änderungsvorschläge zu Terminen: Wer vorschlägt, einen Termin anzulegen, zu ändern oder zu streichen, übermittelt die Art des Vorschlags, die vorgeschlagenen Angaben zum Termin und eine Begründung – ohne Namen und ohne IP-Adresse; im Back-Office-Protokoll stehen nur die Art und eine Kennung des Vorschlags, nicht die Begründung. Rechtsgrundlage ist unser berechtigtes Interesse, die Terminangaben aktuell zu halten (Art. 6 Abs. 1 lit. f DSGVO). Entschiedene Vorschläge löschen wir 30 Tage nach der Entscheidung, nicht entschiedene 90 Tage nach Eingang.
Mitgliederverwaltung: Daten laut Beitrittserklärung – zusätzlich zur Anmeldung die Mitgliedsart (§ 4 der Statuten), bei ordentlicher Mitgliedschaft der Name des befürwortenden Mitglieds (§ 5 Abs. 2 lit. b), ob du 16 oder 17 bist (§ 5 Abs. 2 lit. a), eine Postanschrift, falls du Mitteilungen per Post willst (§ 7 Abs. 8), und Zeitpunkt und Fassung deiner Erklärung. Dazu halten wir fest, was der Vorstand entscheidet: dass Befürwortung und gegebenenfalls Zustimmung deiner gesetzlichen Vertretung vorliegen, worauf die Aufnahme beruht (Beschluss des Vorstands oder Übertragung nach § 5 Abs. 3, jeweils mit Datum und dem Namen des Vorstandsmitglieds, das aufgenommen oder den Beschluss eingetragen hat), das Datum eines Ablehnungsbeschlusses, bei einer Ehrenmitgliedschaft das Datum des Beschlusses der Generalversammlung (§ 5 Abs. 5), bei einem Ausschluss Beschluss, Gelegenheit zur Stellungnahme und gegebenenfalls Mahnungen und Nachfrist (§ 6 Abs. 3 bis 4a) und bei jeder Beendigung Grund, Zeitpunkte und einen Vermerk, worauf sie beruht. Den Namen des befürwortenden Mitglieds erfahren wir von der Person, die den Antrag stellt (Art. 14 Abs. 2 lit. f DSGVO). Solange der Verein nicht entstanden ist, gibt es noch keine wirksame Mitgliedschaft, sondern nur eine vorläufige Aufnahme. Bis dahin ist Rechtsgrundlage allein deine ausdrückliche Einwilligung aus der Anmeldung (siehe oben; Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO). Widerrufst du sie – über „Mitgliedschaft beenden“ in „Mein Forum“ oder formlos an uns –, wirkt das sofort: Die vorläufige Aufnahme entfällt. Ab der Entstehung des Vereins ist Rechtsgrundlage das Mitgliedschaftsverhältnis (Art. 6 Abs. 1 lit. b DSGVO) samt gesetzlicher Pflichten (Vereinsgesetz, Bundesabgabenordnung). Da wir ein politisch ausgerichteter Verein sind, stützen wir die Verarbeitung der Daten unserer Mitglieder ab der Entstehung des Vereins zusätzlich auf Art. 9 Abs. 2 lit. d DSGVO: Sie findet nur im Rahmen unserer Vereinstätigkeit statt, betrifft ausschließlich Mitglieder und ehemalige Mitglieder, und die Daten werden nicht ohne deine Einwilligung nach außen gegeben. Ab dann gilt: Ein Widerruf der Einwilligung beendet deshalb nicht automatisch die Mitgliedschaft. Sie endet nach § 6 der Statuten durch freiwilligen Austritt (Abs. 2), Ausschluss (Abs. 3 bis 4a), Tod und in den übrigen Fällen des Abs. 1 – und der Austritt wirkt zum Jahresende, wenn er einen Monat vorher schriftlich erklärt wird. Im Mitgliederbereich („Mein Forum“) gibt es dafür „Mitgliedschaft beenden“; wir rechnen das Datum aus und bestätigen die Erklärung schriftlich. Zugang zu den Mitgliedsdaten haben die Vorstandsmitglieder sowie, soweit es ihre Aufgabe erfordert, die Rechnungsprüferinnen und Rechnungsprüfer, die Leitungen der Regionalgruppen und vom Vorstand beauftragte Personen, die an seine Weisungen gebunden und zur Vertraulichkeit verpflichtet sind (§ 7 Abs. 9 lit. c der Statuten). Dazu kann eine vom Vorstand durch Beschluss bestellte Landeskoordination gehören: Sie sieht nur die Personen, die ihr Bundesland angegeben haben, und von ihnen nur, was die Arbeit vor Ort braucht (siehe „Anmeldung über das Formular“) – keine Angaben zu Befürwortung, Alter oder Zustellanschrift, keine Einwilligungsnachweise, keine Anmeldungen zu Terminen, nichts zu Austritt oder Ausschluss (wer den Austritt erklärt hat, steht für sie bis zu dessen Wirksamwerden als Mitglied da). Sie ändert nichts an diesen Personen. Für Einsätze in ihrem Bundesland sieht sie außerdem, wer sich für eine Schicht eingetragen hat (siehe „Mithelfen bei Einsätzen“). Sie ist angewiesen, die Daten nur für die Arbeit in ihrem Bundesland zu verwenden und nur an die Einladungsliste ihres Bundeslands zu schreiben – über das Back-Office kann sie auch nur diese Liste anschreiben – und schriftlich zum Datengeheimnis verpflichtet (§ 6 DSG).
Spenden und Mitgliedsbeiträge: siehe den eigenen Abschnitt „Spenden und Beiträge“.

Hinweis: Daten über politische Meinungen sind besonders geschützt (Art. 9 DSGVO). Eine Anmeldung oder Mitgliedschaft bei uns kann eine politische Überzeugung nahelegen. Wir verarbeiten diese Daten auf zwei Grundlagen: bei der Anmeldung über das Formular auf deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), bei Mitgliedschaften ab der Entstehung des Vereins zusätzlich als politisch ausgerichtete Vereinigung im Rahmen unserer Vereinstätigkeit (Art. 9 Abs. 2 lit. d DSGVO). Wir geben sie nicht an Dritte weiter – ausgenommen die unten genannten Auftragsverarbeiter und Behörden, wenn ein Gesetz es verlangt; an Parteien, Komitees und Wahlwerber in keinem Fall (§ 7 Abs. 9 lit. b der Statuten). Technisch sichern wir sie ab: verschlüsselte Übertragung, Passwörter nur als Hash, Zwei-Faktor-Anmeldung für persönliche Back-Office-Konten, Protokollierung der Vorstandsentscheidungen über Mitgliederakten. Für den Notfall besteht ein Master-Zugang, der ohne persönliches Konto arbeitet; auch seine Handlungen werden protokolliert.

Spenden und Beiträge

Spenden und Mitgliedsbeiträge verbuchen wir erst, wenn der Verein entstanden ist: Das erste Rechnungsjahr beginnt mit der Entstehung (§ 12 lit. a der Statuten), vorher gibt es niemanden, der etwas annehmen könnte.

Was wir festhalten: Bei einer Spende deinen Namen, Betrag, Datum und Art der Zuwendung (Geld, Sachleistung oder zur Verfügung gestellte Arbeitskraft) und die Antworten auf die Fragen, die die Statuten für die Annahme vorgeben – etwa ob die Spende anonym, mit Auflagen verbunden, welche die Unabhängigkeit des Vereins beeinträchtigen, oder von einer Partei ist (§ 3 Abs. 6 der Statuten). Gibst du mehr als einmal, führen wir dich als eine Geberin oder einen Geber: Beim Erfassen vergleichen wir den Namen mit den bisherigen, damit die Summe im Rechnungsjahr stimmt. Hast du der Nennung im Bericht zugestimmt, halten wir den Tag fest – und den Tag eines Widerrufs. Mit einer Überweisung erhalten wir über unsere Bank außerdem IBAN und Verwendungszweck. Eine Postanschrift halten wir für Spenden nicht fest; die Statuten verlangen sie nicht. Bei Mitgliedsbeiträgen halten wir die Vorschreibung fest (Jahr, Betrag, Fälligkeit und den Beschluss, auf dem sie beruht) und deine Zahlungen. Zahlst du mehr als vorgeschrieben, ist der Rest eine Spende und wird wie eine solche geprüft und verbucht.
Wozu: für die laufende Aufzeichnung der Einnahmen und Ausgaben und die Einnahmen- und Ausgabenrechnung (§ 21 Vereinsgesetz 2002), für die Prüfung, ob der Verein eine Zuwendung annehmen darf (§ 3 Abs. 6), für die Beiträge (§ 7 Abs. 7), den jährlichen Tätigkeits- und Finanzbericht (§ 12 lit. i) und die Rechnungsprüfung (§ 14).
Rechtsgrundlage: Aufzeichnung und Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO (§ 21 Vereinsgesetz 2002, § 132 Abs. 1 Bundesabgabenordnung); Vorschreibung und Zahlung der Beiträge Art. 6 Abs. 1 lit. b DSGVO (deine Mitgliedschaft). Weil auch eine Spende an einen politisch tätigen Verein auf eine Haltung schließen lassen kann, behandeln wir diese Angaben wie besonders geschützte Daten (Art. 9 DSGVO).
Wer sie sieht: der Vorstand, die Rechnungsprüfung und vom Vorstand beauftragte Personen, die an seine Weisungen gebunden und zur Vertraulichkeit verpflichtet sind (§ 7 Abs. 9 lit. c der Statuten; im Back-Office die Rolle „Stabstelle“, die lesen und die Buchungen exportieren kann) – jeweils nur über Konten mit Recht auf Personendaten. Buchen darf nur der Vorstand mit Verwaltungsrecht. Technisch liegen die Daten bei unseren Auftragsverarbeitern Railway und Supabase (siehe unten). Nach außen gehen sie nur, wenn ein Gesetz es verlangt – oder im Bericht:
Nennung im Bericht: Wer uns in einem Rechnungsjahr insgesamt mehr als 3.500 € zuwendet, steht im Tätigkeits- und Finanzbericht mit Namen und Betrag (§ 3 Abs. 6 und § 12 lit. i der Statuten). Eine Privatperson nennen wir nur mit ihrer vorher erteilten ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); ohne sie nimmt der Verein eine solche Zuwendung nicht an. Wer darunter bleibt, steht in keinem Bericht. Zuwendungen von Todes wegen stehen ohne Namen da. Der Bericht geht an die Mitglieder; auf der Website erscheint er nur, wenn der Vorstand es beschließt. Deine Einwilligung kannst du jederzeit widerrufen (Art. 7 Abs. 3 DSGVO); was bis dahin veröffentlicht war, bleibt davon unberührt. Sobald wir den Widerruf eintragen, steht auf der Website und in jedem neuen Bericht statt deines Namens „natürliche Person, Nennung nicht freigegeben“. Im Finanzbuch selbst – für Vorstand und Rechnungsprüfung – bleibt der Name, weil die Buchung ihn braucht. Den Tag deiner Zustimmung löschen wir dabei nicht: Er belegt, dass sie vor der Annahme der Spende da war.
Wie lange: sieben Jahre ab Ende des Kalenderjahres, auf das sich die Buchung bezieht (§ 132 Abs. 1 Bundesabgabenordnung). Danach entfernen wir automatisch Namen, Buchungstexte und bei Beiträgen den Bezug zum Mitglied (Pseudonymisierung); Betrag, Datum und Art bleiben ohne Bezug zu einer Person, damit die Summen früherer Berichte stimmen. Länger nur, solange ein Abgabenverfahren anhängig ist, für das die Aufzeichnungen von Bedeutung sind (§ 132 Abs. 1 Bundesabgabenordnung); dann hält der Vorstand die automatische Bereinigung an und vermerkt, warum.

Fotos, Videos und soziale Medien

Bei unseren Veranstaltungen fotografieren und filmen wir, um darüber zu berichten – auf forum-demokratie.at und, sobald wir sie betreiben, auf Facebook, Instagram und X. Erkennbare Besucherinnen und Besucher veröffentlichen wir nur mit ihrer Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO); Rednerinnen und Redner, die sich auf dem Podium selbst öffentlich äußern, auch ohne (berechtigtes Interesse an der Berichterstattung, Art. 6 Abs. 1 lit. f, und Art. 9 Abs. 2 lit. e DSGVO). Fotos und Clips speichern wir bei Supabase in der EU. Mit der Veröffentlichung erhalten die Plattformbetreiber (Meta Platforms Ireland Ltd. für Facebook und Instagram, der Betreiber von X) die Aufnahmen; sie können Daten in die USA übermitteln. Für die Statistiken unserer Facebook-Seite sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO); deine Rechte kannst du auch direkt bei Meta geltend machen. Deine Einwilligung kannst du jederzeit an info@forum-demokratie.at widerrufen; wir nehmen die Aufnahme dann von unseren Kanälen und löschen sie. Veröffentlichte Aufnahmen bleiben bis dahin Teil unserer Berichterstattung. Nicht veröffentlichte Aufnahmen löschen wir spätestens zwölf Monate nach der Veranstaltung bzw., wenn keine Veranstaltung hinterlegt ist, nach dem Hochladen.

KI-erzeugte Hintergrundbilder. Für manche Beiträge lassen wir kurze Hintergrundaufnahmen ohne Menschen – etwa eine Landschaft oder Licht in einem Raum – von einer künstlichen Intelligenz erzeugen. Dafür erhält die Higgsfield Inc. (535 Mission St, San Francisco, USA) nur die Beschreibung des gewünschten Motivs. Personenbezogene Daten von Besucherinnen und Besuchern, Mitgliedern oder anderen Menschen gehen dabei nicht an Higgsfield: Beschreibungen, die Personen nennen oder beschreiben oder persönliche Angaben enthalten, weist unsere Software vor dem Absenden ab. Laut seiner Datenschutzerklärung kann Higgsfield Beschreibungen und Ergebnisse zur Verbesserung seiner KI-Modelle verwenden. Beiträge mit solchen Aufnahmen sind im Video und im Text mit „Enthält KI-generierte Bilder“ gekennzeichnet.

Auftragsverarbeiter (technische Dienstleister)

Für den Betrieb der Website setzen wir folgende Dienstleister ein, mit denen jeweils ein Auftragsverarbeitungsvertrag besteht bzw. abgeschlossen wird:

Railway – Hosting der Website und der Anwendung.
Supabase – Datenbank (Speicherung der Mitglieder-, Termin- und Nachrichtendaten) und Ablage für Fotos und Clips, Serverstandort EU.
Resend, Inc. (USA) – Versand unserer E-Mails (Bestätigungen, Termine, Neuigkeiten). Dabei werden deine E-Mail-Adresse, dein Name und der Inhalt der Nachricht in die USA übermittelt. Grundlage sind die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO); sie sind Teil des Auftragsverarbeitungsvertrags. Eine Kopie schicken wir dir auf Anfrage.
Microsoft (Microsoft 365) – unser E-Mail-Postfach info@forum-demokratie.at. Schreibst du uns oder antwortest du auf eine unserer E-Mails, liegt deine Nachricht dort. Ob und auf welcher Grundlage Microsoft dabei Daten in die USA übermittelt, tragen wir nach Prüfung des Vertrags hier ein.

Serverstandort. Die Website und die Anwendung laufen auf Servern in den Niederlanden (Amsterdam, Region europe-west4) und damit innerhalb der Europäischen Union. Die Verarbeitung deiner Anfrage – unter anderem IP-Adresse und die von dir übermittelten Formulareingaben – findet dort statt. Betreiber dieser Infrastruktur ist Railway Corporation, ein Unternehmen mit Sitz in den USA. Ein Zugriff durch das Mutterunternehmen oder durch US-Behörden lässt sich deshalb nicht mit letzter Sicherheit ausschließen, auch wenn die Daten die EU nicht verlassen. Für diesen Fall gelten der Auftragsverarbeitungsvertrag und die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Standort der Datenbank. Deine Mitgliederdaten liegen nicht auf dem Webserver, sondern in einer Datenbank bei Supabase – und deren Standort ist der wichtigere: Dort sind die Angaben gespeichert, die auf eine politische Meinung schließen lassen (Art. 9 DSGVO). Diese Datenbank läuft in einer EU-Region. Auch hier gilt: Der Anbieter ist kein europäisches Unternehmen, weshalb Auftragsverarbeitungsvertrag und Standardvertragsklauseln ebenfalls zur Anwendung kommen.

Daten über politische Meinungen sind besonders geschützt (Art. 9 DSGVO). Deshalb haben wir das Hosting am 23. August 2026 aus den USA in die EU verlegt; bis dahin lief es in den Vereinigten Staaten, was an dieser Stelle offengelegt war. Wer seine Daten grundsätzlich nicht bei einem Anbieter mit US-Mutterunternehmen wissen möchte, kann uns stattdessen auf dem Postweg erreichen – die Anschrift steht im Impressum.

Eine Kopie der Standardvertragsklauseln zu Railway, Supabase und Resend schicken wir dir auf Anfrage.

Keine Weitergabe, keine Profilbildung

Wir verkaufen keine Daten, betreiben kein Tracking zu Werbezwecken und setzen keine Analyse- oder Werbe-Cookies von Drittanbietern ein. Unsere Rundmails wählen ihre Empfänger nie nach Bundesland, Postleitzahl, Hilfe-Angaben, Mitgliedsart oder anderen gespeicherten Merkmalen aus, sondern allein nach deiner eigenen Einwilligung: zu den Neuigkeiten oder zu einer Einladungsliste, die du selbst bestellt hast. Das gilt auch für die Einladung zu einem Abend und zum Mithelfen. Anmelde-Cookies setzen wir nur für „Mein Forum“ und für das Back-Office des Vorstands. Außerdem merkt sich dein Browser – nur auf deinem Gerät, ohne Übertragung an uns – die gewählte Sprache, nach einer Terminanmeldung bis zum Schließen des Tabs Name und E-Mail für das Beitrittsformular und in „Mein Forum“, welche Meldungen du gelesen und welche Schritte du erledigt hast.

Speicherdauer

Unterstützer- und Newsletter-Einträge bis zum Widerruf. Mitgliederdaten speichern wir für die Dauer der Mitgliedschaft zuzüglich gesetzlicher Aufbewahrungsfristen. Lehnt der Vorstand einen Antrag ab, löschen wir ihn nach zwölf Monaten. Lehnt er den Antrag einer Unterstützerin oder eines Unterstützers aus „Mein Forum“ ab, löschen wir die Angaben der Beitrittserklärung sofort; der Eintrag als Unterstützer:in bleibt. Für Mitglieder heißt das konkret: Die Mitgliedschaft endet nach § 6 Abs. 2 der Statuten zum Jahresende, wenn der Austritt einen Monat vorher erklärt wurde. Vor der Entstehung des Vereins endet die vorläufige Aufnahme dagegen sofort (siehe „Mitgliederverwaltung“); wir löschen dann im selben Schritt Name, E-Mail-Adresse, Telefonnummer, Passwort, Bundesland, Postleitzahl, Gemeinde, Hilfe-Angaben, Einladungslisten, Postanschrift und den Namen des befürwortenden Mitglieds sowie die Terminanmeldungen aus deinem Konto. Mitgliedsnummer, Mitgliedsart, Ein- und Austrittsdatum, die Grundlage der Aufnahme, den Grund sowie Zeitpunkt und Fassung deiner Erklärungen bewahren wir in diesem Fall auf, damit nachweisbar bleibt, dass und wann du widerrufen hast, und löschen sie nach derselben Frist wie unten. Endet eine Mitgliedschaft nach der Entstehung, löschen wir Name, E-Mail-Adresse, Postanschrift, Telefonnummer, Bundesland, Postleitzahl, Gemeinde, Hilfe-Angaben, Einladungslisten, den Namen des befürwortenden Mitglieds, die Angaben zum Ausschluss und den Zugang zum Mitgliederbereich; erhalten bleiben Mitgliedsnummer, Mitgliedsart, Ein- und Austrittsdatum, die Grundlage der Aufnahme und der Beendigungsgrund sowie Zeitpunkt und Fassung deiner Beitritts- und Einwilligungserklärung. Bei einem Ausschluss warten wir mit dieser Löschung, solange ein Verfahren laufen kann: Gegen den Ausschluss kann das Mitglied binnen vier Wochen das vereinsinterne Schiedsgericht anrufen (§ 6 Abs. 4 und § 15 der Statuten), das sein Verfahren binnen drei Monaten ab seiner vollständigen Bildung abschließt (§ 15 Abs. 5). Den ordentlichen Rechtsweg öffnet § 8 Abs. 1 Vereinsgesetz 2002, sobald das Verfahren beendet ist, spätestens sechs Monate nach Anrufung des Schiedsgerichts; gesetz- oder statutenwidrige Beschlüsse können zudem binnen eines Jahres gerichtlich angefochten werden (§ 7 Vereinsgesetz 2002). Ohne diese Wartezeit wären die Daten der ausgeschlossenen Person verschwunden, bevor über den Ausschluss entschieden wurde. Sobald das Verfahren beendet ist oder die Frist für das Schiedsgericht ungenutzt verstrichen ist, gibt der Vorstand die Daten zur Löschung frei, und wir löschen sie eine Woche danach. Ohne Freigabe löschen wir spätestens drei Jahre nach dem Ausscheiden: So lange kann wegen des Ausschlusses auf Schadenersatz geklagt werden – der Anspruch verjährt drei Jahre, nachdem Schaden und Schädiger bekannt wurden (§ 1489 ABGB). Läuft zu diesem Zeitpunkt noch ein Verfahren, bewahren wir die Daten bis zu dessen Ende auf. Rechtsgrundlage ist Art. 17 Abs. 3 lit. e DSGVO (Rechtsansprüche). Diese Angaben brauchen wir für die Rechnungslegung (§ 21 Vereinsgesetz 2002, § 132 Bundesabgabenordnung) und für die Nachvollziehbarkeit von Vereinsbeschlüssen; Art. 17 Abs. 3 lit. b und lit. e DSGVO nehmen die Löschpflicht dafür ausdrücklich zurück. Nach Ablauf des siebenten Jahres ab Ende des Kalenderjahres des Ausscheidens löschen wir auch den gekürzten Eintrag – das ist die Aufbewahrungsfrist des § 132 Abs. 1 Bundesabgabenordnung. Eine sofortige vollständige Löschung ist für bestehende Mitgliedschaften daher nicht möglich – für Newsletter-Eintragungen und Unterstützer:innen ohne Mitgliedschaft dagegen jederzeit. Einträge im Back-Office-Protokoll löschen wir nach 24 Monaten, früher, sobald 5.000 neuere Einträge vorliegen. Anfragen über das Kontaktformular werden spätestens ein Jahr nach Eingang automatisch gelöscht. Zusätzlich bewahren wir höchstens rund 5.000 Anfragen auf: liegen mehr vor, werden die ältesten verworfen – zuerst die bereits gelesenen. Vorher kann sie der Vorstand jederzeit selbst löschen. Einträge im Sorgentelefon löschen wir zwölf Monate nach Eingang automatisch, auf deinen Widerruf mit dem Code sofort; Thema und Bundesland gehen mit dem Eintrag. Die Prüfsummen der Reichweitenmessung verfallen spätestens mit dem Tageswechsel; die Summen je Seite und Tag haben keinen Personenbezug. Änderungsvorschläge zu Terminen löschen wir 30 Tage nach der Entscheidung, nicht entschiedene 90 Tage nach Eingang. Einsätze samt Eintragungen in Helferschichten löschen wir acht Wochen nach dem Einsatz automatisch, eine Eintragung bei deiner Absage sofort; den Vermerk vom Einlass mit der Anmeldung (acht Wochen nach dem Termin). Spendenbelege bewahren wir sieben Jahre ab Ende des Kalenderjahres auf, auf das sie sich beziehen (§ 132 Abs. 1 Bundesabgabenordnung), und löschen sie danach. Für Fotos und Videos von Veranstaltungen gilt der eigene Abschnitt. Das Lichtbild auf dem Mitgliedsausweis speichern wir nur, solange du es dort hinterlegt hast. Es wird gelöscht, sobald du es selbst entfernst, sobald du dein Konto löschst und spätestens dann, wenn deine Mitgliedschaft endet und wir deinen Eintrag auf die Angaben kürzen, die wir für den Rechnungsabschluss aufbewahren müssen. Von der dreijährigen Aufbewahrung bei einem Ausschluss ist das Lichtbild ausdrücklich nicht erfasst – es wird auch in diesem Fall sofort mit dem Ausscheiden gelöscht, weil es für ein Verfahren und für die Rechnungslegung ohne jede Bedeutung ist.

Wir sichern die Datenbank regelmäßig verschlüsselt; die Sicherung geht an ein Postfach des Vereins. Rechtsgrundlage ist unser berechtigtes Interesse, die Daten nach einem technischen Zwischenfall rasch wiederherstellen zu können (Art. 6 Abs. 1 lit. f und Art. 32 Abs. 1 lit. c DSGVO). Sicherungen bewahren wir acht Wochen auf; bis dahin können darin auch schon gelöschte Daten enthalten sein.

Deine Rechte

Selbst löschen: Unterstützer:innen und Vorgemerkte mit Zugang zu „Mein Forum“ können Konto und Daten dort jederzeit selbst endgültig löschen (Profil, dann „Konto und Daten löschen“); das wirkt sofort. Für aufgenommene Mitglieder führt der Weg über „Mitgliedschaft beenden“ – vor der Entstehung des Vereins wirkt das sofort, danach endet die Mitgliedschaft nach § 6 Abs. 2 der Statuten zum Jahresende (siehe Speicherdauer); dann kürzen wir deine Daten automatisch. Newsletter-Eintragungen lassen sich über den Abmeldelink in jeder E-Mail entfernen.

Kopie deiner Daten: Wer ein Konto in „Mein Forum“ hat, lädt dort unter „Meine Daten herunterladen“ seine Konto-Daten samt Einwilligungen, Terminanmeldungen und Eintragungen in Helferschichten als Datei herunter (Art. 15 Abs. 3 und Art. 20 Abs. 1 DSGVO), dazu kurz die Angaben nach Art. 15 Abs. 1 DSGVO – Zwecke, Empfänger, Speicherdauer, Rechte. Dein Passwort ist nicht dabei, ebenso wenig Vermerke des Vorstands, Kontaktnachrichten und Antworten in „Mitreden“. Was die Datei nicht enthält, steht in ihr; auch darüber geben wir auf Anfrage Auskunft.

Foto entfernen: Ein hinterlegtes Lichtbild löschst du in „Mein Forum“ direkt unter deinem Ausweis mit einem Klick. Das wirkt sofort, gilt als Widerruf deiner Einwilligung und hat auf deine Mitgliedschaft keinerlei Einfluss.

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf erteilter Einwilligungen – formlos an info@forum-demokratie.at oder über das Kontaktformular – der zweite Weg braucht kein eigenes Postfach und landet direkt beim Vorstand. Beschwerderecht bei der österreichischen Datenschutzbehörde (dsb.gv.at).

Widerspruchsrecht

Soweit wir Daten auf unser berechtigtes Interesse stützen (Art. 6 Abs. 1 lit. f DSGVO), etwa bei Betriebsdaten, Reichweitenmessung, Back-Office-Protokoll, Kontaktformular, Änderungsvorschlägen zu Terminen, Sicherungen und Aufnahmen von Rednerinnen und Rednern, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Der Zusendung von Neuigkeiten kannst du jederzeit ohne Begründung widersprechen (Art. 21 Abs. 2 DSGVO) – über den Link in jeder E-Mail.

Der Verein befindet sich in Gründung; die ZVR-Zahl wird nach der Eintragung hier veröffentlicht. Für Auskünfte nach Art. 15 DSGVO und für jeden Widerruf genügt bis dahin eine formlose Nachricht an die oben genannte Adresse – daran ändert die noch ausstehende Eintragung nichts.