Datenschutzerklärung

Entwurf. Diese Fassung bildet den Stand der Gründungsphase ab und steht unter dem Vorbehalt anwaltlicher Prüfung.

Diese Erklärung gilt für die sur.plus-Anwendung (app.surpluspurpose.com). Die Marketing-Website (surpluspurpose.com) hat eine eigene Datenschutzerklärung.

Verantwortlicher

Florian Lechner, Landsberger Straße 57, 82266 Inning am Ammersee-Stegen. service@surpluspurpose.com. Nach Eintragung der sur.plus UG (haftungsbeschränkt) tritt diese an seine Stelle; wir aktualisieren die Erklärung dann.

Was wir verarbeiten

Demo-Arbeitsbereich (/demo): kein Konto, kein Tracking, keine Cookies. Nur Beispieldaten; nichts, was Sie eingeben, wird gespeichert.

Arbeitsbereich nach Anmeldung: E-Mail-Adresse des Kontos und Profilangaben (Rolle, Organisation), die von Ihrer Organisation eingegebenen operativen Daten (Angebote, Bedarfe, Matches, Nachrichten, Dokumente) sowie ein sicherheitsbezogenes Protokoll. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse an der Sicherheit der Plattform (Art. 6 Abs. 1 lit. f DSGVO). Aufbewahrung: für die Vertragsdauer; der Arbeitsbereich ist vor Schließung exportierbar und wird 30 Tage danach gelöscht, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

Nachrichten zwischen den Parteien: Chat-Verläufe zu einem Match speichern wir, damit beide Seiten die Absprachen nachvollziehen können. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Aufbewahrung: 24 Monate nach Abschluss des Matches, danach Löschung; auf Wunsch früher, soweit keine Nachweispflicht entgegensteht. Beide Seiten können den vollständigen Verlauf jederzeit als Datei exportieren, mit Zeitstempel und Beteiligten. Das ist für Unternehmen gedacht, die geschäftliche Kommunikation nicht ausschließlich auf einer externen Plattform führen dürfen; auf Wunsch richten wir eine automatische Kopie an eine von Ihnen benannte Adresse ein.

Verifizierungsnachweise: Zur Prüfung von Empfängern verarbeiten wir die eingereichten Unterlagen: Freistellungsbescheid, Registerauszug, Trägerschaftsnachweis oder, bei Privatpersonen und kleinen Unternehmen, Belege zur Gemeinwohlorientierung wie Projektpräsenzen, Referenzen und Wirkungsnachweise. Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse am Schutz der abgebenden Unternehmen und der übrigen Empfänger (Art. 6 Abs. 1 lit. f DSGVO). Ergeben sich aus Ihrem Projekt besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO, etwa bei religiösen, politischen oder gesundheitsbezogenen Vorhaben, stützen wir die Verarbeitung auf Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) oder darauf, dass Sie die Angaben offensichtlich öffentlich gemacht haben (Art. 9 Abs. 2 lit. e DSGVO). Bitte reichen Sie nur ein, was für die Prüfung erforderlich ist. Aufbewahrung: bei Aufnahme für die Dauer der Partnerschaft, bei Ablehnung sechs Monate.

Verifizierungsbeitrag: Zahlen kleine Unternehmen oder Privatpersonen den einmaligen Beitrag, verarbeiten wir die zur Abwicklung und Rechnungsstellung nötigen Daten. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO). Aufbewahrung: Rechnungsdaten zehn Jahre nach den handels- und steuerrechtlichen Fristen.

Abwicklung eines Matches: Damit die Übergabe stattfinden kann, geben wir Ihre Kontaktdaten an die jeweils andere Seite weiter, bei einer entgeltlichen Übernahme zusätzlich die für die Rechnung nötigen Angaben an das abgebende Unternehmen. Dieses ist für die weitere Verarbeitung eigenständig verantwortlich; es handelt sich um eine Übermittlung, nicht um eine Auftragsverarbeitung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Cookies

Die Anwendung setzt ausschließlich technisch notwendige Cookies: die Authentifizierungs-Sitzung (Supabase), Cloudflare Turnstile zum Botschutz bei Anmeldung und Registrierung sowie einen Merker für die gewählte Sprache. Keine Analyse, keine Werbung, keine Tracker von Dritten, deshalb gibt es kein Cookie-Banner (§ 25 Abs. 2 TDDDG / Art. 6 Abs. 1 lit. f DSGVO).

Auftragsverarbeiter und Hosting

Auslieferung, DNS und Botschutz (Turnstile): Cloudflare. Hosting und Server-Funktionen: Netlify. Datenbank und Authentifizierung: Supabase, EU-Region (Frankfurt). E-Mail-Versand: Resend, EU-Region (Irland). Mit diesen Anbietern bestehen Verträge zur Auftragsverarbeitung. Für die Zahlungsabwicklung ist Stripe vorgesehen; sobald dies aktiv ist, ergänzen wir diese Erklärung, bevor die erste Zahlung verarbeitet wird.

Übermittlung in Drittländer

Einige Anbieter sind US-Unternehmen oder haben US-Muttergesellschaften (Cloudflare, Inc.; Netlify, Inc.; Supabase, Inc.; Resend, Inc.), auch wenn die Daten in einer EU-Region liegen. Soweit personenbezogene Daten in die USA übermittelt werden, stützen wir uns auf geeignete Garantien: EU-Standardvertragsklauseln und, wo vorhanden, die Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework. Die abschließende Prüfung dieser Grundlagen ist Teil unserer rechtlichen Vorbereitung auf den Go-Live.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Für uns ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Ansbach, zuständig. Kontakt für alle Anliegen: service@surpluspurpose.com.

Fassung 2026-08 · Stand der Vorbereitungsphase vor dem Launch. Maßgeblich ist die deutsche Fassung; die englische ist eine Übersetzung zur Information.