1.Das Wichtigste in Kürze
- Lesen ist anonym: keine Anmeldung, keine Werbung, kein Tracking durch Dritte. Seitenaufrufe zählt Cloudflare Web Analytics ohne Cookies und ohne Fingerprinting.
- Es gibt keinen Cookie-Banner, weil wir nur funktionale Cookies setzen (Gerät, Verifikation, Vertrauenscode, Betreiber-Anmeldung, Vorschau-Passwort).
- Wer Freitagszeiten oder Unterrichte bestätigt oder ändert, bestätigt einmal seine E-Mail-Adresse (Link oder 6-stelliger Code aus unserer E-Mail). Die Adresse wird verschlüsselt gespeichert, nie veröffentlicht und nur für Verifikations- und Statusmeldungen verwendet; weitere E-Mails (E-Mail-Rundbrief, „Moschee folgen“) bekommst du nur, wenn du das eigene Häkchen dafür setzt.
- E-Mail-Rundbrief und „Moschee folgen“ sind freiwillig. Jede dieser E-Mails enthält einen Abmeldelink; alle anderen Einwilligungen widerrufst du per E-Mail oder über die Kontaktseite.
- Wer beiträgt, setzt dafür einmal ein Häkchen: Altersbestätigung ab 14 Jahren und Einwilligung nach dieser Datenschutzerklärung. Vertrauenspersonen geben stattdessen ihren Vertrauenscode ein.
- IP-Adresse und Browserkennung werden nur als Hashes für den Missbrauchsschutz gespeichert: als Prüfsignal mit täglich neuem Salz, nach 48 Stunden gelöscht; in den Zählern für Limits nur die IP-Adresse, mit einem geheimen Schlüssel gehasht und spätestens nach 2 Tagen gelöscht.
- A/B-Tests (etwa zwei Wortlaute eines Knopfs) kommen ohne Cookie aus: Die Variante ergibt sich aus den täglich neu gesalzenen Hashes, gespeichert werden nur der Variantenname und Tageszahlen ohne Personenbezug.
- Auskunft, Löschung und Widerruf: eine E-Mail an [email protected] genügt; wir antworten innerhalb von 30 Tagen.
2.Verantwortlicher
Verantwortlich im Sinne der DSGVO ist der Betreiber dieser Seite (vollständige Anbieterangaben im Impressum).
- Name
- Ebubekir Şahan
- Anschrift
- Pastorstraße 33-39/53/6, 1210 Wien, Österreich
- [email protected]
- Datenschutzbeauftragte Person
- Derzeit nicht bestellt.
3.Grundsätze
- Datensparsamkeit: Wir speichern nur, was der jeweilige Zweck braucht, und löschen nach festen Fristen (siehe Speicherdauer).
- Pseudonymisierung: Wo möglich arbeiten wir mit Hashes und Zufallskennungen statt mit Klardaten.
- Keine Weitergabe zu Werbezwecken, keine Profilbildung, keine Drittanbieter-Tracker.
- Verschlüsselung: Übertragung nur über TLS; E-Mail-Adressen und Kontaktdaten liegen verschlüsselt in der Datenbank.
- Transparenz: Jede angezeigte Zeit trägt ihre Herkunft; jede Einwilligung ist versioniert.
4.Zwecke und Rechtsgrundlagen
Die Rechtsgrundlagen ergeben sich aus der Datenschutz-Grundverordnung (DSGVO), dem österreichischen Datenschutzgesetz (DSG) und dem Telekommunikationsgesetz 2021 (TKG 2021).
| Zweck | Rechtsgrundlage | Erläuterung |
|---|---|---|
| Bereitstellung der Website, Sicherheit, Fehleranalyse | Art. 6 Abs. 1 lit. f DSGVO | Berechtigtes Interesse an einem sicheren, stabilen Betrieb. Die Anwendung führt kein Zugriffsprotokoll mit IP-Adressen; Verbindungsdaten in den Protokollen der Hosting- und Netzwerkanbieter werden dort nach kurzer Zeit gelöscht (höchstens 30 Tage). Fehlermeldungen der Anwendung (ohne IP- und E-Mail-Adressen) bewahren wir 90 Tage auf. |
| Verifikations-E-Mails (6-stelliger Code oder Link) | Art. 6 Abs. 1 lit. a DSGVO | Einwilligung im Verifikationsfluss (Häkchen „Ich bin mindestens 14 Jahre alt und akzeptiere die Datenschutzerklärung.“). Ohne Einwilligung kannst du die Seite weiterhin lesen, aber keine Zeiten bestätigen oder ändern. |
| Beiträge: Bestätigungen, Änderungsvorschläge, neue Moscheen, Schließungsmeldungen | Art. 6 Abs. 1 lit. a DSGVO | Einwilligung im selben Häkchen wie die Verifikation, mit Altersbestätigung (mindestens 14 Jahre, § 4 Abs. 4 DSG). Widerruf jederzeit. |
| Bestätigungen und Änderungsvorschläge zu Unterrichten per E-Mail-Verifikation | Art. 6 Abs. 1 lit. a DSGVO | Wie bei den Freitagszeiten: Einwilligung mit Altersbestätigung; dieselben Beitragsnachweise, dieselbe Zählung und dieselben Statusmeldungen zu deinen eigenen Vorschlägen. |
| Missbrauchsschutz: Geräte-Cookie, IP- und User-Agent-Hashes, Rate-Limits, Prüfung der Unabhängigkeit von Bestätigungen | Art. 6 Abs. 1 lit. f DSGVO | Berechtigtes Interesse an richtigen Daten und an der Integrität des Dienstes; im Zusammenhang mit Beiträgen ist dieser Missbrauchsschutz von deiner ausdrücklichen Einwilligung mitumfasst. Die Daten sind pseudonym; Hashes in Beitragsnachweisen werden nach 48 Stunden gelöscht, Zähler für Limits spätestens 2 Tage nach Beginn ihres Zählfensters, Gerätekennungen nach 12 Monaten entkoppelt. Prüfsignale führen nie allein zu einer Ablehnung; Limits begrenzen nur die Zahl der Anfragen und werden nie zur Bewertung von Beiträgen verwendet. |
| Reichweitenmessung (Cloudflare Web Analytics) | Art. 6 Abs. 1 lit. f DSGVO | Berechtigtes Interesse zu wissen, welche Seiten wie oft aufgerufen werden. Ohne Cookies, ohne Fingerprinting, nur aggregiert. |
| A/B-Tests (Zuweisung einer von zwei Varianten, etwa des Wortlauts eines Knopfs) | Art. 6 Abs. 1 lit. f DSGVO | Berechtigtes Interesse, die Seite verständlicher zu machen. Die Zuweisung ist pseudonym und wird server-seitig aus den ohnehin gebildeten, täglich gesalzenen Hashes berechnet; kein Cookie, kein gespeicherter Wert zu deiner Person. Details unter A/B-Tests. |
| Vertrauenscodes: Kontaktdaten der Vertrauenspersonen | Art. 9 Abs. 2 lit. a DSGVO | Ausdrückliche Einwilligung zu den Zwecken Verwaltung des Codes und optional Erinnerung. Vertrauenspersonen werden nie namentlich veröffentlicht. |
| Karte auf den Bundesland-Seiten (Abruf von Kartenkacheln bei OpenFreeMap) | Art. 6 Abs. 1 lit. f DSGVO | Die Karte lädt erst, wenn du auf „Karte öffnen“ tippst. Berechtigtes Interesse an einer Kartenansicht ohne eigenen Kartenserver; die Übertragung deiner IP-Adresse an den Anbieter löst du mit dem Tipp selbst aus. Details unter Karten. |
| Kontaktformular und E-Mail-Anfragen | Art. 6 Abs. 1 lit. f DSGVO | Beantwortung deiner Anfrage. Nachricht und Adresse werden nach 12 Monaten gelöscht. |
| Feedback zur Seite | Art. 6 Abs. 1 lit. f DSGVO | Verbesserung der Seite. Eine E-Mail-Adresse speichern wir nur, wenn du sie freiwillig angibst. Löschung nach 12 Monaten. |
| E-Mail-Rundbrief (Newsletter) | Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO; § 174 TKG 2021 | Eigenes, standardmäßig leeres Häkchen im Verifikationsfluss, getrennt von der Verifikation; die Anmeldung gilt erst, wenn du deine Adresse bestätigt hast (Double-Opt-in). Etwa dreimal im Jahr, ohne Öffnungs- oder Klickmessung, mit Abmeldelink in jeder Ausgabe. Eine Verifikationsadresse wird nie automatisch zum Newsletter angemeldet. Details unter E-Mail-Rundbrief. |
| Sperrliste nach Unzustellbarkeit oder Beschwerde (nur HMAC der Adresse) | Art. 6 Abs. 1 lit. f DSGVO | Berechtigtes Interesse, keine E-Mails an Adressen zu schicken, die dauerhaft nicht zustellbar sind oder deren Inhaberin sich über eine E-Mail beschwert hat; das liegt auch in deinem Interesse. Wir speichern dafür nur einen HMAC der Adresse, keine Adresse im Klartext. |
| Moschee folgen (E-Mail bei Änderungen) | Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO; § 174 TKG 2021 | Ausdrückliche Einwilligung mit eigenem Häkchen; höchstens eine Zusammenfassung pro Tag, Abmeldelink in jeder E-Mail. Details unter Moschee folgen. |
| Erfahrungsberichte auf der Startseite (Name, Zitat, wahlweise Foto) | Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO | Nur mit dokumentierter Einwilligung der Person. Widerruf jederzeit per E-Mail; dann nehmen wir den Bericht herunter. |
5.Welche Daten wir je Funktion verarbeiten
Lesen der Seite
Beim Aufruf verarbeiten unser Hosting-Anbieter (Render) und unser Netzwerkanbieter (Cloudflare) technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserkennung) in ihren Protokollen. Sie dienen nur der Fehlersuche und der Abwehr von Angriffen und werden dort nach kurzer Zeit gelöscht (höchstens 30 Tage). Unsere Anwendung selbst schreibt keine IP-Adressen in Protokolle; ihr Fehlerprotokoll enthält Meldungen ohne IP- und E-Mail-Adressen und wird nach 90 Tagen gelöscht.
Verifikation per E-Mail
- Deine E-Mail-Adresse, normalisiert (Kleinschreibung, ohne Plus-Zusatz, bei Gmail-Adressen ohne Punkte) und verschlüsselt gespeichert (AES-256-GCM). Sie wird nur für Verifikationscodes und Statusmeldungen zu deinen eigenen Vorschlägen verwendet und nie veröffentlicht.
- Ein HMAC-SHA-256-Hash der normalisierten Adresse mit einem Server-Schlüssel: für die Dublettenprüfung und die Begrenzung von Code-Anforderungen (höchstens 3 pro Adresse in 24 Stunden). Bei Löschung wird der Hash durch einen Zufallswert ersetzt.
- Der 6-stellige Code und das Link-Token: nur als SHA-256-Hash gespeichert; der Code gilt 10 Minuten (höchstens 5 Eingabeversuche), der Link 24 Stunden.
- Was du vor der Bestätigung abschickst (etwa dein „Stimmt noch“ oder eine neue Uhrzeit), speichern wir noch nicht: Es steht nur im Link der E-Mail und wird erst gespeichert, wenn du den Link antippst und dort bestätigst oder den Code eingibst. Tippst du nicht darauf, verfällt es.
- Das Geräte-Cookie fg_device (zufällige Kennung) und, mit „Gerät merken“, das Verifikations-Cookie fg_contrib.
- IP-Adresse und Browserkennung als SHA-256-Hashes mit täglich neuem Salz; sie dienen als Prüfsignal gegen Missbrauch, führen nie allein zu einer Ablehnung und werden nach 48 Stunden gelöscht.
- Der Zeitpunkt und die Version deiner Einwilligung sowie die Altersbestätigung (sie ist Teil des Einwilligungshäkchens). Im Formular steht nur die Kurzfassung mit Link; den vollständigen Text findest du im Anhang: Verifikation von Beiträgen, den zum E-Mail-Rundbrief unter E-Mail-Rundbrief (Newsletter).
Beiträge und Änderungsprotokoll
- Zu jeder Bestätigung oder Änderung (Freitagszeiten, Unterrichte) speichern wir Moschee, Wert, Zeitpunkt, deine pseudonyme Beitragenden-Kennung, die Gerätekennung und für 48 Stunden die oben genannten Hashes (Tabelle „evidence“).
- Das Änderungsprotokoll (Tabelle „change_event“) enthält Art und Inhalt der Änderung und die pseudonyme Kennung, aber nie IP-Adresse oder Browserkennung. Es wird unbefristet aufbewahrt, damit Änderungen nachvollziehbar und rückgängig zu machen sind.
- Unterrichte bestätigst oder änderst du genauso wie Freitagszeiten: gleiche Verifikation, gleiche Beitragsnachweise, gleiche Zählung (eine gezählte Bestätigung pro Person und Moschee in 30 Tagen) und Statusmeldungen zu deinen eigenen Vorschlägen.
Vertrauenscodes
- Vertrauenscodes vergibt der Betreiber persönlich an Vertrauenspersonen. Mit einem solchen Code gelten Änderungen für die freigegebenen Moscheen sofort.
- Der Code selbst wird nur als SHA-256-Hash gespeichert; dazu eine Bezeichnung, der Gültigkeitszeitraum, Fehlversuche und der Zeitpunkt der letzten Bestätigung.
- Ein Kontaktkanal (E-Mail oder Telefonnummer) nur mit Einwilligung, verschlüsselt gespeichert und 30 Tage nach Widerruf oder Ablauf des Codes gelöscht.
- Ein Antragsformular gibt es nicht: Wer Vertrauensperson werden möchte, schreibt uns über die Kontaktseite; dafür gilt, was unter „Kontaktformular“ steht.
- Erinnerung: Etwa am 23. Tag nach der letzten Bestätigung schicken wir eine kurze Erinnerung per E-Mail, aber nur mit der eigenen Einwilligung dafür (Häkchen, siehe Anhang). Ohne diese Einwilligung verschicken wir keine Erinnerung; fällige Moscheen erscheinen dann nur in einer internen Erinnerungsliste des Betreibers, ohne Mailversand.
- Nach der Eingabe eines Vertrauenscodes das Code-Cookie fg_code für 12 Monate (funktionales Cookie, ohne eigenes Häkchen).
Änderungsvorschläge
Ein Vorschlag (zu Freitagszeiten oder Unterrichten) enthält den vorgeschlagenen Wert, den Zeitpunkt, deine pseudonyme Kennung und später die Kennung der zweiten bestätigenden Person. Vorschläge verfallen nach 30 Tagen, wenn keine zweite unabhängige Bestätigung eintrifft. Statusmeldungen zu deinen eigenen Vorschlägen schicken wir an deine verifizierte Adresse.
E-Mail-Rundbrief (Newsletter)
Setzt du das Newsletter-Häkchen, speichern wir deine Einwilligung mit Version und Zeitpunkt. In die Versandliste kommt deine Adresse erst, wenn du sie über den Link in unserer E-Mail bestätigt hast; sie bleibt verschlüsselt gespeichert. Zu jeder Ausgabe speichern wir, an wen sie verschickt wurde (pseudonyme Kennung, Zeitpunkt, Status), und zählen nur, wie viele Ausgaben verschickt, abgemeldet und als unzustellbar gemeldet wurden. Wir messen weder, ob du eine Ausgabe öffnest, noch, was du anklickst: keine Zählpixel, keine umgeschriebenen Links.
Jede Ausgabe enthält einen persönlichen Abmeldelink mit einem signierten Token (ohne deine Adresse); die Abmeldung wirkt sofort. Zusätzlich trägt jede Ausgabe die Kopfzeilen für die Abmeldung mit einem Klick (List-Unsubscribe nach RFC 8058), sodass dein E-Mail-Programm einen Abmeldeknopf anzeigen kann. Die Ausgaben nennen den Betreiber als Absender mit den Angaben aus dem Impressum.
Meldet unser E-Mail-Versanddienstleister, dass eine E-Mail dauerhaft nicht zustellbar war (Bounce) oder dass sich die Empfängerin darüber beschwert hat (Beschwerde, etwa über „Spam melden“), schickt er uns eine signierte Zustellmeldung (Webhook), deren Signatur wir prüfen. Wir setzen die Adresse dann auf eine Sperrliste, die nur einen HMAC der Adresse enthält, und schicken an sie keine E-Mails mehr, abgesehen von Meldungen an den Betreiber selbst. Bei einer Beschwerde widerrufen wir außerdem alle Einwilligungen in E-Mail-Rundbrief und „Moschee folgen“. Die Meldung zählen wir nur als Ereignis ohne Personenbezug („mail_bounced“ oder „mail_complaint“).
Moschee folgen
Folgst du einer Moschee, speichern wir deine pseudonyme Kennung, die Moschee und den Zeitpunkt der letzten Benachrichtigung (höchstens 20 Moscheen je Person). Ein täglicher Job prüft, ob sich Freitagszeiten oder Unterrichte der Moschee seit der letzten Benachrichtigung geändert haben, und schickt dann höchstens eine Zusammenfassung pro Tag per E-Mail. Jede dieser E-Mails enthält einen Abmeldelink (für diese Moschee oder alle) und die Kopfzeilen für die Abmeldung mit einem Klick (RFC 8058). Nach dem Abmelden löschen wir die Verbindung zur Moschee. Wir messen nicht, ob du die E-Mails öffnest oder anklickst.
A/B-Tests
Manchmal zeigen wir zwei Varianten eines Details, um herauszufinden, welche verständlicher ist; der erste Test betrifft den Wortlaut des Bestätigen-Knopfs in den Moscheelisten der Bundesländer. Welche Variante du siehst, berechnet unser Server aus den täglich neu gesalzenen Hashes deiner IP-Adresse und Browserkennung, die ohnehin für den Missbrauchsschutz gebildet werden. Dafür wird kein Cookie gesetzt und nichts auf deinem Gerät gespeichert oder ausgelesen; auch der Hash wird dafür nicht gespeichert. Weil das Salz um Mitternacht wechselt, kann sich deine Variante am nächsten Tag ändern.
Gespeichert werden nur der Name der Variante bei Ereignissen wie „Verifikation gestartet“ oder „bestätigt“ und ein Tageszähler, wie oft jede Variante angezeigt wurde, beides ohne Personen-, Geräte- oder IP-Bezug. Wir können daraus keine Person wiedererkennen und bilden keine Profile. Rechtsgrundlage ist unser berechtigtes Interesse an einer verständlichen Seite (Art. 6 Abs. 1 lit. f DSGVO).
Teilen
Die Knöpfe zum Teilen über WhatsApp und Telegram sind einfache Links; sie laden keine Skripte oder Inhalte dieser Dienste. Erst wenn du einen Knopf antippst, öffnet sich der jeweilige Dienst mit dem Link zur Seite, und es gelten dessen Datenschutzbestimmungen. „Link kopieren“ legt den Link nur in deine Zwischenablage. Wir zählen jedes Teilen als Ereignis ohne Personenbezug, nur mit dem Kanal (WhatsApp, Telegram oder Link kopiert).
E-Mail-Versand
Alle E-Mails (Verifikation, Statusmeldungen, E-Mail-Rundbrief, „Moschee folgen“, Kopien von Kontaktanfragen) laufen über eine Versandwarteschlange in unserer Datenbank; die Empfängeradresse ist darin verschlüsselt. Einträge zu versendeten E-Mails werden nach 30 Tagen gelöscht. Den eigentlichen Versand übernimmt unser E-Mail-Versanddienstleister (siehe Empfänger). Verifikations-E-Mails enthalten nur den Code und den Link, keine Zeiten oder Beiträge. Statusmeldungen nennen die Moschee, deinen Vorschlag (etwa die vorgeschlagene Uhrzeit) und einen Link zur Moschee; Kopien von Kontaktanfragen enthalten Name, Adresse und Nachricht der anfragenden Person. Adressen auf der Sperrliste (siehe E-Mail-Rundbrief) bekommen keine E-Mails mehr.
Erfahrungsberichte
Auf der Startseite zeigen wir Erfahrungsberichte mit Vorname und abgekürztem Nachnamen, Zitat und wahlweise Foto oder neutralem Symbol, nur mit dokumentierter Einwilligung der Person und ohne Bewertungssterne.
Angaben zu Moscheen und Unterrichten
Die Seite veröffentlicht Angaben zu Moscheen als Einrichtungen (Name, Adresse, Website, Gebetszeiten, Unterrichte, Quelle und Bestätigungsdatum). Namen von Ansprechpersonen oder private Telefonnummern nehmen wir nicht auf. Nennt ein Unterrichtstitel eine vortragende Person, stammt die Angabe aus der öffentlichen Ankündigung der Moschee; auf Wunsch der Person entfernen wir den Namen. Die Zeiten stammen aus öffentlich einsehbaren Gebetszeiten-Diensten (Mawaqit, Masjidbox), von Vertrauenspersonen mit ihrem Vertrauenscode und von Besucherinnen und Besuchern mit bestätigter E-Mail-Adresse. Flyer zu Vorträgen und Events zeigen wir als Bild beim jeweiligen Eintrag; wird der Eintrag gelöscht, ist das Bild ab sofort nicht mehr abrufbar (Zwischenspeicher höchstens einen Tag), und die Datei selbst löschen wir 30 Tage nach der Löschung des Eintrags.
Kontaktformular
Name (optional), E-Mail-Adresse (verschlüsselt gespeichert) und Nachricht, dazu der Zeitpunkt. Eine Kopie geht an unser Postfach, damit wir antworten können. Ein verstecktes Formularfeld und ein Limit pro Netz schützen vor Spam; dafür wird ein mit einem geheimen Schlüssel gebildeter Hash deiner IP-Adresse in einem Zähler gespeichert und spätestens 2 Tage nach Beginn des Zählfensters gelöscht.
Feedback
Dein Text, die Seite, auf der du Feedback gegeben hast, und der Zeitpunkt; die E-Mail-Adresse nur, wenn du sie angibst (verschlüsselt). Zusätzlich zählen wir das Ereignis „Feedback“ ohne Personenbezug (nur Tag und Seite).
Produktereignisse ohne Personenbezug
Um zu sehen, ob die Seite ihren Zweck erfüllt, zählen wir Ereignisse wie „Verifikation gestartet“, „Verifikation abgeschlossen“, „bestätigt“, „geändert“, „geteilt“ (mit Kanal) oder „E-Mail unzustellbar“ nur als Tageszahlen ohne Personen-, Geräte- oder IP-Bezug; bei A/B-Tests zusätzlich den Namen der Variante.
6.Empfänger und Auftragsverarbeiter
Die Dienstleister in der folgenden Tabelle setzen wir als Auftragsverarbeiter ein (Verträge nach Art. 28 DSGVO), mit Ausnahme von OpenFreeMap. Wo möglich, nutzen wir eine Region in der Europäischen Union; wo Daten trotzdem in den USA gespeichert werden, steht das in der Tabelle. OpenFreeMap ist kein Auftragsverarbeiter, sondern ein eigenständiger Anbieter, von dem dein Browser Kartenkacheln abruft, wenn du eine Karte öffnest (siehe Karten).
| Dienstleister | Zweck | Standort der Daten | Drittlandübermittlung |
|---|---|---|---|
| Render Services Inc. (USA) | Hosting der Anwendung, Datenbank, geplante Aufgaben (Scraper, Tagesjob) | Region Frankfurt (EU) | Support-Zugriff aus den USA möglich; Grundlage: Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Art. 45 DSGVO), ersatzweise Standardvertragsklauseln (Art. 46 DSGVO) |
| Cloudflare, Inc. (USA) | DNS, TLS-Verschlüsselung, Zwischenspeicher für statische Dateien, Schutz vor Angriffen und Fluten (Rate-Limiting), Web Analytics, Speicher für Sicherungskopien (R2) | Weltweites Netz mit Standorten in der EU; Sicherungskopien in einem Speicher mit EU-Jurisdiktion (R2) | Grundlage: Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Art. 45 DSGVO), ersatzweise Standardvertragsklauseln (Art. 46 DSGVO) |
| Plus Five Five, Inc. (Resend), USA | Versand von Verifikations-, Status- und Betreiber-E-Mails, des E-Mail-Rundbriefs und der E-Mails zu „Moschee folgen“. Zustellmeldungen (Bounce, Beschwerde) per Webhook an uns; wir speichern davon nur einen HMAC der Adresse | Versand aus der EU-Region Irland. Kontodaten, die E-Mails mit ihren Metadaten (Empfängeradresse, Betreff, Zustellstatus) und Protokolle speichert der Anbieter in den USA; E-Mails, Metadaten und Protokolle werden dort nach 30 Tagen gelöscht | Grundlage: Standardvertragsklauseln im Auftragsverarbeitungsvertrag und die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Art. 45 und 46 DSGVO) |
| OpenFreeMap (Hyperknot Software Kft., Ungarn); eigenständiger Anbieter, kein Auftragsverarbeiter | Kartenkacheln, Schriften und Symbole der Karte, nur nach Tipp auf „Karte öffnen“; übertragen werden dabei nur IP-Adresse und Browserkennung (User-Agent) deines Geräts | Sitz des Anbieters in der EU (Ungarn); einen Serverstandort nennt der Anbieter nicht | Von uns keine. Nach Angaben des Anbieters kann Cloudflare als Netzwerkdienst vorgeschaltet sein |
Render, Cloudflare und Resend sind nach dem EU-US Data Privacy Framework zertifiziert (geprüft am 30.09.2026); für Übermittlungen an sie stützen wir uns auf den Angemessenheitsbeschluss dazu (Art. 45 DSGVO) und auf die Standardvertragsklauseln der EU-Kommission in den Auftragsverarbeitungsverträgen (Art. 46 DSGVO). Eine Kopie der jeweils verwendeten Standardvertragsklauseln stellen wir auf Anfrage zur Verfügung.
Karten
Auf den Bundesland-Seiten gibt es eine Karte. Sie wird erst geladen, wenn du auf „Karte öffnen“ tippst; vorher sendet die Seite keine Anfrage an den Kartenanbieter. Nach dem Tipp ruft dein Browser Vektorkacheln, Schriften und Symbole von OpenFreeMap ab (tiles.openfreemap.org, betrieben von Hyperknot Software Kft., Ungarn). Dabei werden, wie bei jedem Abruf im Internet, deine IP-Adresse und die Browserkennung (User-Agent) an diesen Anbieter übertragen. Die Karte setzt keine Cookies und legt nichts im Speicher deines Browsers ab (abgesehen vom üblichen Browser-Zwischenspeicher für geladene Dateien); auch OpenFreeMap verwendet nach eigenen Angaben keine Cookies. Nach Angaben des Anbieters werden IP-Adressen standardmäßig nicht protokolliert, bei Sicherheitsvorfällen höchstens 30 Tage; der Anbieter kann Cloudflare als Netzwerkdienst vorschalten. Wir selbst erfahren nicht, ob und wo du die Karte öffnest, und speichern dazu nichts.
Rechtsgrundlage ist unser berechtigtes Interesse an einer Kartenansicht ohne eigenen Kartenserver (Art. 6 Abs. 1 lit. f DSGVO); die Übertragung löst du mit dem Tipp selbst aus. Ohne Tipp kannst du alle Adressen in der Liste lesen. Mehr dazu in der Datenschutzerklärung von OpenFreeMap. Kartendaten © OpenMapTiles und OpenStreetMap-Mitwirkende.
Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind. Es findet keine Weitergabe zu Werbezwecken statt.
9.Cloudflare Web Analytics und A/B-Tests
Zur Reichweitenmessung nutzen wir Cloudflare Web Analytics. Ein kleines Skript meldet Seitenaufrufe an Cloudflare; dabei werden keine Cookies gesetzt, kein Fingerprinting durchgeführt und keine Nutzerprofile gebildet. Wir sehen nur aggregierte Werte: Seitenaufrufe, Verteilung nach Wochentag, ungefähre Herkunft nach Land, Browsertyp und die verweisende Seite. Die IP-Adresse wird von Cloudflare zur Auslieferung verarbeitet und nicht in den Statistiken gespeichert.
Mehr dazu in der Datenschutzerklärung von Cloudflare: cloudflare.com/privacypolicy. Ein früher eingesetztes Google Analytics ist abgeschaltet.
A/B-Tests laufen ohne Cloudflare und ohne Cookie auf unserem eigenen Server: Die Zuweisung zu einer Variante ist pseudonym (aus täglich neu gesalzenen Hashes berechnet, nicht gespeichert), und wir speichern nur den Variantennamen bei Ereignissen und einen Tageszähler je Variante, ohne Personenbezug. Einzelheiten unter A/B-Tests.
10.Speicherdauer
| Daten | Speicherdauer |
|---|---|
| IP- und User-Agent-Hashes in Beitragsnachweisen (evidence) | 48 Stunden (Vergleichsfenster), danach gelöscht |
| Gerätekennung (device_id) in Beitragsnachweisen | 12 Monate nach der letzten Aktivität des Geräts; danach durch einen Zufallswert ersetzt, ebenso bei der Löschung einer Person |
| Verifikationscodes und Link-Tokens (nur Hashes) | Code 10 Minuten, Link 24 Stunden gültig; alle Einträge werden 2 Tage nach der Anforderung gelöscht |
| E-Mail-Adresse und Hash von Beitragenden (contributor) | Bis zu deiner Löschanfrage oder nach 24 Monaten Inaktivität: E-Mail gelöscht, Hash durch Zufallswert ersetzt, Beiträge dadurch nicht mehr zuordenbar |
| Änderungsprotokoll (change_event, ohne IP und User-Agent) | Unbefristet |
| Kontaktnachrichten | 12 Monate |
| Feedback | 12 Monate |
| Kontaktdaten von Vertrauenspersonen | 30 Tage nach Widerruf oder Ablauf des Codes |
| Flyer-Bilder zu Einträgen | Bis zur Löschung des Eintrags (ab da nicht mehr abrufbar, Zwischenspeicher höchstens einen Tag); die Datei wird 30 Tage nach der Löschung des Eintrags entfernt |
| E-Mail-Rundbrief: Einwilligung und Versandliste | Bis zum Widerruf (Abmeldelink in jeder Ausgabe); der Nachweis der Einwilligung bleibt mit Widerrufsdatum gespeichert, bis die Person gelöscht wird |
| Sperrliste nach Bounce oder Beschwerde (nur HMAC der Adresse) | Bis zur Löschung der Person oder bis du uns bittest, die Sperre aufzuheben, höchstens 24 Monate nach dem Eintrag |
| Moschee folgen: Verbindung zur Moschee und Zeitpunkt der letzten Benachrichtigung (follows) | Bis zur Abmeldung oder zum Widerruf; bei Löschung der Person sofort |
| Variantenname in Produktereignissen und Tageszähler je Variante (A/B-Tests) | Ohne Personenbezug; der Hash für die Zuweisung wird nicht gespeichert |
| Einwilligungsnachweise (Version, Zeitpunkt, Widerruf) | Bis zur Löschung der Person; danach ohne Personenbezug |
| Versandwarteschlange (Empfänger verschlüsselt) | 30 Tage nach dem Versand |
| Zähler für Limits (IP-Adresse nur als Hash mit geheimem Schlüssel, E-Mail-Adresse als HMAC, bei der Code-Eingabe die Gerätekennung) | Spätestens 2 Tage (48 Stunden) nach Beginn des Zählfensters gelöscht |
| Protokolle der Hosting- und Netzwerkanbieter | Kurzfristig, höchstens 30 Tage |
| Fehlerprotokoll der Anwendung (ohne IP- und E-Mail-Adressen) | 90 Tage |
| Sicherungskopien der Datenbank | Tägliche Sicherungen des Hosting-Anbieters und eine wöchentliche Kopie in einem Speicher von Cloudflare (R2) mit EU-Jurisdiktion, den der Anbieter verschlüsselt ablegt; wir behalten die acht neuesten wöchentlichen Kopien, ältere werden gelöscht (nach etwa acht Wochen). Gelöschte Daten verschwinden mit dem Überschreiben oder Löschen der Sicherungen |
11.Datensicherheit
- Verschlüsselte Übertragung (TLS) für alle Seiten und E-Mails, soweit der empfangende Server es unterstützt.
- E-Mail-Adressen und Kontaktdaten sind in der Datenbank verschlüsselt (AES-256-GCM); Codes und Tokens liegen nur als Hashes vor.
- IP-Adressen und Browserkennungen in Beitragsnachweisen werden nur mit täglich wechselndem Salz gehasht; alte Salze werden verworfen, sodass ältere Hashes nicht mehr zuordenbar sind.
- Zähler für Limits verwenden einen mit einem geheimen Schlüssel gebildeten Hash der IP-Adresse (kein täglich wechselndes Salz, damit ein Missbrauchsfenster nicht um Mitternacht endet); die Zähler werden spätestens nach 2 Tagen gelöscht, dienen nur der Abwehr von Missbrauch und werden nie zur Bewertung von Beiträgen verwendet.
- Zugriff auf die Verwaltung nur für den Betreiber mit E-Mail-Code und zweitem Faktor; jede Anmeldung von einem neuen Gerät löst eine Meldung aus.
- Der Anwendungsserver ist nur über Cloudflare erreichbar; Formulare sind durch Limits und versteckte Prüffelder gegen automatisierten Missbrauch geschützt.
12.Deine Rechte
Du hast gegenüber uns die folgenden Rechte aus der DSGVO:
- Auskunft über die zu deiner Person gespeicherten Daten (Art. 15).
- Berichtigung unrichtiger Daten (Art. 16).
- Löschung (Art. 17): Wir löschen deine E-Mail-Adresse, ersetzen den Hash durch einen Zufallswert und entkoppeln deine Beiträge, sodass sie dir nicht mehr zugeordnet werden können. Das geht per E-Mail an uns oder über die Kontaktseite.
- Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20).
- Widerspruch gegen Verarbeitungen auf Basis berechtigten Interesses (Art. 21).
- Widerruf jeder Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3): per E-Mail an uns oder über die Kontaktseite; für den E-Mail-Rundbrief und „Moschee folgen“ außerdem über den Link in jeder dieser E-Mails.
So übst du deine Rechte aus: Schreib eine E-Mail an [email protected], am besten von der Adresse, die du bei uns verwendet hast, damit wir dich zuordnen können. Wir antworten innerhalb von 30 Tagen. Für die Zuordnung brauchen wir keine weiteren Daten; bei Zweifeln an deiner Identität fragen wir nach.
Die Angabe deiner E-Mail-Adresse ist freiwillig: Ohne sie kannst du alles lesen, aber keine Zeiten bestätigen oder ändern. Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung dir gegenüber (Art. 22 DSGVO); ob eine Zeit angezeigt wird, entscheidet sich nach den auf der Seite beschriebenen Regeln über Beiträge, nicht über Personen.
Außerdem kannst du dich bei der Aufsichtsbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, [email protected], www.dsb.gv.at.
13.Minderjährige
Die Seite darf jede Person lesen. Beiträge (Bestätigen, Ändern, neue Moscheen) und alle Funktionen, für die du deine E-Mail-Adresse bestätigst (etwa der E-Mail-Rundbrief), sind Personen ab 14 Jahren vorbehalten; im Verifikationsfluss bestätigst du dein Alter (§ 4 Abs. 4 DSG). Wenn wir erfahren, dass eine jüngere Person Daten übermittelt hat, löschen wir sie.
14.Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich die Seite oder die Rechtslage ändert, etwa wenn weitere Funktionen oder Sprachen dazukommen. Die jeweils gültige Fassung steht mit Datum auf dieser Seite; frühere Einwilligungstexte bleiben mit ihrer Version nachvollziehbar.
15.Anhang: Einwilligungstexte (versioniert)
Jede Einwilligung hat einen eigenen, versionierten Text. Die Version wird zusammen mit dem Zeitpunkt deiner Einwilligung gespeichert (Tabelle „consent“), damit jederzeit nachvollziehbar ist, wozu du eingewilligt hast. Ändert sich ein Text, bekommt er eine neue Version. Die Einwilligung kannst du jederzeit per E-Mail an uns oder über die Kontaktseite widerrufen, beim E-Mail-Rundbrief und bei „Moschee folgen“ außerdem über den Link in jeder dieser E-Mails; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt davon unberührt.
Verifikation von Beiträgen
- Version
- verify-2026-10-02-1
- Einwilligung (Häkchen)
- Ich bin mindestens 14 Jahre alt und akzeptiere die Datenschutzerklärung.
- Erläuterung
- Deine E-Mail-Adresse wird ausschließlich verwendet, um dir einen Bestätigungslink mit Code und Statusmeldungen zu deinen eigenen Vorschlägen zu schicken. Sie wird verschlüsselt gespeichert, nie veröffentlicht und nicht für Werbung genutzt. Was du vor der Bestätigung abgeschickt hast (etwa dein „Stimmt noch“), wird erst gespeichert, wenn du deine Adresse über den Link oder den Code bestätigt hast; bis dahin steht es nur im Link. Zum Schutz vor Missbrauch speichern wir außerdem eine zufällige Gerätekennung (Cookie) und für 48 Stunden gehashte Verbindungsdaten; Zeitpunkt und Version deiner Einwilligung werden gespeichert. Im Formular steht nur die Kurzfassung (Häkchen mit Altersbestätigung ab 14 Jahren und Link); dieser vollständige Text steht in der Datenschutzerklärung, Anhang „Verifikation von Beiträgen“. Du kannst diese Einwilligung jederzeit über die Kontaktadresse oder unter „Deine Beiträge“ widerrufen; dann löschen wir deine Adresse und entkoppeln deine bisherigen Beiträge von ihr.
E-Mail-Rundbrief (Newsletter)
- Version
- newsletter-2026-10-21-3
- Einwilligung (Häkchen)
- E-Mail-Rundbrief von freitagsgebet.com (etwa dreimal im Jahr, jederzeit abbestellbar); ich willige ausdrücklich ein.
- Erläuterung
- Was Österreichs Muslime bewegt: neue Moscheen, Gebetszeiten, Unterrichte, Events, Ramadan und Eid, etwa dreimal im Jahr. Die Anmeldung gilt erst, wenn deine Adresse verifiziert ist (Double-Opt-in). Jede Ausgabe enthält einen Abmeldelink; die Abmeldung wirkt sofort. Wir messen nicht, ob du eine Ausgabe öffnest oder anklickst. Ohne dieses Häkchen bekommst du keinen Rundbrief; Statusmeldungen zu deinen eigenen Vorschlägen bleiben davon unberührt.
Auf der Startseite (Block „Was Österreichs Muslime bewegt“) genügt ein einziges Häkchen: Es umfasst die Einwilligung in den E-Mail-Rundbrief und die Einwilligung in die Verifikation deiner Adresse samt Altersbestätigung ab 14 Jahren und wird mit der folgenden Version zweimal gespeichert, als Einwilligung „E-Mail-Rundbrief (Newsletter)“ und als Einwilligung „Verifikation von Beiträgen“.
- Version
- newsletter-home-2026-10-22-1
- Einwilligung (Häkchen)
- Ich bin mindestens 14 Jahre alt, möchte etwa dreimal im Jahr die E-Mail von freitagsgebet.com (jederzeit abbestellbar) und akzeptiere die Datenschutzerklärung.
- Erläuterung
- Dieses eine Häkchen umfasst zwei Einwilligungen: die ausdrückliche Einwilligung in den E-Mail-Rundbrief von freitagsgebet.com (was Österreichs Muslime bewegt: was sich in den Gemeinden tut, neue Angebote und Entwicklungen, wichtige Termine, etwa dreimal im Jahr; aus der Anmeldung lässt sich auf deine religiöse Überzeugung schließen, Art. 9 DSGVO) und die Einwilligung in die Verifikation deiner E-Mail-Adresse samt Altersbestätigung ab 14 Jahren, wie sie im Anhang „Verifikation von Beiträgen“ beschrieben ist. Wir schicken dir zuerst eine E-Mail mit Link und Code (Double-Opt-in); erst mit der Bestätigung kommt deine Adresse in die Versandliste. Sie wird verschlüsselt gespeichert, nie veröffentlicht und nicht für anderes verwendet. Jede Ausgabe enthält einen Abmeldelink; die Abmeldung wirkt sofort. Wir messen nicht, ob du eine Ausgabe öffnest oder anklickst. Du kannst beide Einwilligungen jederzeit über den Abmeldelink, die Kontaktadresse oder unter „Deine Beiträge“ widerrufen.
Bundesland-Übersicht der Beitragenden
- Version
- leaderboard-2026-09-30-3
- Einwilligung (Häkchen)
- Mein Anzeigename darf in der Bundesland-Übersicht der Beitragenden erscheinen; ich willige ausdrücklich in diese Veröffentlichung ein.
- Erläuterung
- Angezeigt werden nur dein Anzeigename und die Zahl deiner gezählten Beiträge, in einer Wertung der letzten 90 Tage und einer Gesamtwertung, nie deine E-Mail-Adresse. Standardmäßig erscheinst du pseudonym (etwa „Beitragende·r 7f3a“); einen eigenen Anzeigenamen kannst du frei wählen. Du kannst die Anzeige jederzeit unter „Deine Beiträge“ abschalten.
Moschee folgen
- Version
- follow-2026-10-22-1
- Einwilligung (Häkchen)
- Ich möchte Änderungen dieser Moschee per E-Mail erhalten und willige ausdrücklich ein, dass meine E-Mail-Adresse dafür verarbeitet wird.
- Erläuterung
- Du bekommst eine E-Mail, wenn sich Freitagszeiten oder Unterrichte dieser Moschee ändern, höchstens eine Zusammenfassung pro Tag. Abmeldung jederzeit über den Link in jeder E-Mail oder unter „Deine Beiträge“.
Erinnerung für Vertrauenspersonen
- Version
- code-reminder-2026-10-01-1
- Einwilligung (Häkchen)
- Erinnert mich per E-Mail, wenn die Zeiten der Moscheen meines Vertrauenscodes bald als unbestätigt gelten; ich willige ausdrücklich in diese Verarbeitung meiner Kontaktdaten ein.
- Erläuterung
- Etwa am 23. Tag nach der letzten Bestätigung schicken wir eine kurze Erinnerung. Ohne diese Einwilligung gibt es keine Erinnerung.
Verwaltung des Vertrauenscodes
- Version
- code-mgmt-2026-10-01-1
- Einwilligung (Häkchen)
- Ich willige ausdrücklich ein, dass meine Kontaktdaten für die Verwaltung meines Vertrauenscodes gespeichert werden.
- Erläuterung
- Wir speichern einen Kontaktkanal, um dich bei Fragen zu deinem Vertrauenscode zu erreichen (z. B. Widerruf oder Rotation). Die Daten werden verschlüsselt gespeichert und 30 Tage nach Widerruf oder Ablauf des Codes gelöscht. Vertrauenspersonen werden nie namentlich veröffentlicht.