Datenschutz

1. Datenschutz auf einen Blick

Hier erklären wir, welche Daten beim Besuch unserer Website anfallen, wer sie bekommt und welche Rechte Sie haben. Das Wichtigste in Kürze:

Kein Tracking: Wir binden keine Analyse- oder Werbedienste ein und erstellen keine Nutzerprofile.
Andere Anbieter: Einige Inhalte lädt Ihr Browser direkt von anderen Anbietern: Kartenbilder von CARTO auf der Startseite und der Seite „Standorte“ und je nach Browser Emoji-Grafiken von WordPress.org. Der Google Übersetzer kommt dazu, sobald Sie den Sprachumschalter mit der Maus ansteuern oder antippen, und automatisch, wenn Ihr Browser auf eine der angebotenen Fremdsprachen eingestellt ist. Diese Anbieter erhalten dabei Ihre IP-Adresse. Eine Einwilligung fragen wir dafür nicht ab (Abschnitte 5 bis 8).
Formulare und E-Mail: Was Sie uns über ein Formular oder per E-Mail schicken, landet in unseren E-Mail-Postfächern bei Microsoft 365. Von Formularnachrichten bleibt außerdem rund zwei Wochen eine Kopie im E-Mail-Protokoll unserer Website (Abschnitt 9).
Internes Portal: Für unsere Mitarbeitenden gibt es ein Portal mit Anmeldung. Dort setzen wir Cookies für die Anmeldung und halten fest, wer wann welche Seiten öffnet. Wer einen Dienstausweis von uns prüft, sieht dafür eine Seite auf unserer Website. Über die prüfende Person speichern wir nichts (Abschnitt 13).
Ihre Rechte: Sie können jederzeit Auskunft verlangen und haben weitere Rechte (Abschnitte 17 und 18).

2. Verantwortlicher und Datenschutzbeauftragter

Verantwortlicher:
Zwischenschritt Jugendhilfe
vertreten durch Christian Scharkin
Hauptstr. 28, 40699 Erkrath
Telefon: 02104 5082 967
E-Mail: info@zwischenschritt-jugendhilfe.de

Datenschutzbeauftragter:
Jesse Scharkin
E-Mail: datenschutz@zwischenschritt-jugendhilfe.de

3. Hosting, Server-Logfiles und Sicherheit

Hosting:
Unsere Website läuft mit WordPress bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. STRATO betreibt die Server in Rechenzentren in Berlin und Karlsruhe und verarbeitet die Daten in unserem Auftrag. Alles, was Ihr Browser an unseren Server schickt, zum Beispiel Formulareingaben, wird dort verarbeitet. Was Ihr Browser direkt von anderen Anbietern lädt, beschreiben wir in den Abschnitten 5 bis 8.

Server-Logfiles:
Bei jedem Seitenaufruf protokolliert der Server automatisch: aufgerufene Adresse, Datum und Uhrzeit, Ihre IP-Adresse, Statuscode und Datenmenge der Antwort, die zuvor besuchte Seite (Referrer) sowie Angaben zu Browser und Betriebssystem. Nach Angaben von STRATO werden die IP-Adressen höchstens sieben Tage gespeichert, um Angriffe zu erkennen und abzuwehren. In den Logfiles, die wir selbst abrufen können, sind die IP-Adressen anonymisiert. STRATO stellt uns diese Logfiles für die letzten sechs Wochen bereit und erstellt daraus außerdem eine zusammengefasste Zugriffsstatistik.

Sicherheit:
Alle Seiten werden verschlüsselt übertragen (HTTPS/TLS). Daten, die Sie an uns senden, sind so auf dem Weg zu unserem Server gegen Mitlesen geschützt. Zum Schutz vor Angriffen nutzen wir außerdem das Sicherheits-Plugin „All-In-One Security“. Es kann IP-Adresse und Zeitpunkt auffälliger Zugriffe speichern, zum Beispiel von fehlgeschlagenen Anmeldeversuchen. Das Plugin löscht diese Einträge automatisch, sobald sie älter als 90 Tage sind.

Rechtsgrundlage:
Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine sichere und funktionierende Website.

4. Cookies und Speicher im Browser

Cookies sind kleine Textdateien, die Ihr Browser speichert. Ähnlich arbeiten der lokale Speicher und der Sitzungsspeicher des Browsers. Bei Ihrem Besuch werden dort diese Einträge abgelegt:

zs-hinweis (lokaler Speicher, bis Sie Ihre Browserdaten löschen): merkt sich, dass Sie den Datenschutz-Hinweis mit „Verstanden“ geschlossen haben, damit er nicht auf jeder Seite wieder erscheint.
googtrans (Cookie, bis zum Schließen des Browsers): wird vom Google Übersetzer gesetzt, wenn eine Seite übersetzt wird, und merkt sich die Sprache (siehe Abschnitt 6). Google kann zusätzlich das Cookie „googtransopt“ setzen.
gt_autoswitch (lokaler Speicher, bis Sie Ihre Browserdaten löschen): wird beim ersten Besuch gesetzt, egal welche Sprache Ihr Browser nutzt, und merkt sich, dass die automatische Spracherkennung schon gelaufen ist.
zs-view (lokaler Speicher, bis Sie Ihre Browserdaten löschen): wird bei jedem Aufruf der Startseite gesetzt und merkt sich, ob Sie die Ansprechpartner als „Galerie“ oder „Kompakt“ sehen.
wpEmojiSettingsSupports (Sitzungsspeicher, bis zum Schließen des Tabs): merkt sich, ob Ihr Browser Emoji selbst darstellen kann (siehe Abschnitt 8).
elementor (lokaler Speicher, bis Sie Ihre Browserdaten löschen): wird auf jeder Seite von unserem Seitenbaukasten Elementor angelegt. Er zählt, wie viele Seiten Sie bei uns aufgerufen haben und wie viele Besuche es waren, und nach dem Öffnen des Bewerbungsformulars, wie oft Sie es geöffnet haben. Elementor braucht diese Zähler für Einblendungen, die erst nach einer bestimmten Zahl von Aufrufen erscheinen. Solche Einblendungen nutzen wir nicht. Die Zähler bleiben in Ihrem Browser und werden weder an uns noch an andere geschickt.
elementor (Sitzungsspeicher, bis zum Schließen des Tabs): merkt sich für diese Zähler, dass gerade ein Besuch läuft.

Nur im internen Portal:
Diese Cookies setzt unser Portal für Mitarbeitende (Abschnitt 13). Wer nur die Website besucht, bekommt sie nicht.

zs_portal (Cookie, bis 90 Tage nach der letzten Nutzung): hält die Anmeldung im Portal. Er enthält eine Zufallszahl. Auf unserem Server steht davon nur ein Prüfwert.
zs_portal_ms (Cookie, 400 Tage): merkt sich nur, dass in diesem Browser schon einmal mit Microsoft angemeldet wurde. So lässt sich eine abgelaufene Anmeldung ohne neue Eingabe erneuern.
zs_portal_aus (Cookie, 30 Tage): merkt sich das Abmelden, damit man beim nächsten Mal das Konto auswählen kann.
zs_portal_oidc, zs_portal_still und zs_portal_code (Cookies, höchstens 15 Minuten): nur während einer Anmeldung.
zs_portal_ansicht (Cookie, 30 Tage): nur bei der Verwaltung des Portals. Merkt sich, welche Ansicht des Portals gewählt ist.

Rechtsgrundlage:
Die Einträge außer den Zählern von Elementor halten wir für unbedingt erforderlich, damit die jeweilige Funktion arbeitet (§ 25 Abs. 2 Nr. 2 TDDDG). Für die damit verbundene Verarbeitung gilt Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, dass diese Funktionen so arbeiten, wie Sie es erwarten.

Datenschutz-Hinweis:
Beim ersten Besuch zeigen wir unten auf der Seite einen kurzen Hinweis zum Datenschutz. Er fragt keine Einwilligung ab, weil wir keine Cookies für Werbung oder Statistik nutzen, und er schickt nichts an unseren Server. Schließen Sie ihn mit „Verstanden“, merkt sich Ihr Browser das im Eintrag „zs-hinweis“. Die Einwilligungsnachweise, die unser früherer Cookie-Banner in unserer Datenbank gespeichert hat, löschen wir.

5. Schriftarten

Unsere Website verwendet die Schriftarten „Quicksand“ und „Rounded Elegance“. Beide liegen auf unserem eigenen Webserver und werden von dort geladen. Dabei werden keine Daten an andere Anbieter übermittelt.

6. Sprachumschalter (Google Übersetzer)

Unten links auf jeder Seite gibt es einen Sprachumschalter mit 21 Sprachen (Plugin „GTranslate“). Das Plugin liegt auf unserem Server. Die Übersetzung selbst übernimmt der Website-Übersetzer von Google: Ihr Browser lädt dafür Programmcode von Google und schickt die Texte der Seite zum Übersetzen an Google. Google erhält dabei Ihre IP-Adresse, Angaben zu Browser und Betriebssystem, die Adresse der Seite und ihren Text.

Wann das passiert:
Der Google Übersetzer wird in drei Fällen geladen:

Beim Sprachumschalter: sobald Sie mit der Maus darauf zeigen oder ihn antippen, also schon bevor Sie eine Sprache wählen.
Automatisch beim ersten Besuch: wenn Ihr Browser auf eine der angebotenen Sprachen außer Deutsch eingestellt ist, zum Beispiel Englisch, Arabisch, Türkisch oder Ukrainisch. Dafür liest der Sprachumschalter beim ersten Besuch die Spracheinstellung Ihres Browsers aus. Die Seite wird dann ohne Klick übersetzt.
Bei weiteren Seitenaufrufen: solange eine Übersetzung aktiv ist.

Ist Ihr Browser auf Deutsch oder auf eine nicht angebotene Sprache eingestellt und nutzen Sie den Umschalter nicht, wird der Google Übersetzer nicht geladen. Bei einer Übersetzung setzt Googles Programmcode das Cookie „googtrans“ und gegebenenfalls „googtransopt“ auf unserer Domain (siehe Abschnitt 4). Je nach Browser kann Google dabei auch eigene Cookies auf Google-Domains setzen oder auslesen.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Einen Vertrag zur Auftragsverarbeitung gibt es für diesen kostenlosen Dienst nicht. Eigene Angaben speziell zum Website-Übersetzer, etwa zur Speicherdauer, macht Google nicht. Es gilt die allgemeine Datenschutzerklärung von Google.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, dass Familien und junge Menschen, die (noch) wenig Deutsch sprechen, unsere Informationen in ihrer Sprache lesen können. Für das Auslesen der Spracheinstellung Ihres Browsers, die Cookies und den Eintrag „gt_autoswitch“ gilt § 25 Abs. 2 Nr. 2 TDDDG.
Übermittlung in die USA: möglich, wie in Abschnitt 5 beschrieben.
Mehr dazu: Datenschutzerklärung von Google

7. Karte (CARTO)

Auf der Startseite und auf der Seite „Standorte“ zeigen wir unsere Standorte auf einer Karte. Die Kartensoftware liegt auf unserem Server. Die Kartenbilder lädt Ihr Browser aber von Servern des Anbieters CARTO (basemaps.cartocdn.com). Das passiert automatisch, spätestens wenige Sekunden nach dem Aufruf der Seite, auch ohne Klick. Dabei erhält CARTO Ihre IP-Adresse, Angaben zu Browser und Betriebssystem, die Adresse unserer Website und den Zeitpunkt. Andere Seiten laden keine Karte.

Anbieter: CartoDB Inc., 307 Fifth Avenue, Floor 9, New York, NY 10016, USA. CARTO verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Dafür gilt der Auftragsverarbeitungsvertrag von CARTO (Personal Data Processing Agreement), auf den die Nutzungsbedingungen der CARTO-Karten verweisen. CARTO darf aus den Abrufen außerdem zusammengefasste Statistiken ohne Personenbezug für eigene Zwecke erstellen.
Speicherdauer: Nach eigenen Angaben kürzt CARTO die IP-Adresse sofort beim Eingang und speichert die gekürzten Protokolle 30 Tage in den USA.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, unsere Standorte anschaulich zu zeigen.
Übermittlung in die USA: findet statt, weil CARTO seinen Sitz in den USA hat. Grundlage sind EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). CARTO gibt außerdem an, nach dem EU-US Data Privacy Framework zertifiziert zu sein.
Mehr dazu: Datenschutzerklärung von CARTO und Nutzungsbedingungen der CARTO-Karten

8. Emoji-Grafiken (WordPress.org)

WordPress prüft beim Seitenaufruf, ob Ihr Browser Flaggen und die neuesten Emoji selbst darstellen kann. Kann er das nicht, ersetzt die Seite Emoji durch kleine Grafiken von s.w.org, einem Server von WordPress.org. Dabei erhält der Betreiber dieses Servers Ihre IP-Adresse, Angaben zu Browser und Betriebssystem, die Adresse unserer Website und den Zeitpunkt. Ob das passiert, hängt von Ihrem Browser ab und davon, ob auf einer Seite Emoji stehen. Derzeit enthalten unsere Seiten keine Emoji, deshalb werden in der Regel keine solchen Grafiken geladen.

Anbieter: WordPress.org. Die Grafiken werden über das Netzwerk der Automattic Inc., 60 29th Street #343, San Francisco, CA 94110, USA, ausgeliefert. WordPress.org nennt in seiner Datenschutzerklärung keine Firmenanschrift, nur die Adresse dpo@wordpress.org für Datenschutzfragen.
Speicherdauer: Nach eigenen Angaben löscht WordPress.org Protokolldaten, die für den Betrieb nötig sind, nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, dass Emoji in allen Browsern richtig angezeigt werden.
Übermittlung in die USA: möglich. Einen Vertrag mit WordPress.org haben wir nicht. Die Automattic Inc. ist zwar nach dem EU-US Data Privacy Framework zertifiziert, laut der offiziellen Liste aber nur für bestimmte Unternehmensdienste (WordPress VIP, Parse.ly), nicht für WordPress.org. Für diese Übermittlung können wir uns daher weder auf einen Angemessenheitsbeschluss noch auf andere Garantien nach Art. 46 DSGVO stützen.
Mehr dazu: Datenschutzerklärung von WordPress.org

9. Kontaktformular

Über das Formular auf der Seite „Kontakt“ können Sie uns eine Nachricht schicken. Pflichtangaben sind Name, E-Mail-Adresse und Nachricht. Freiwillig sind Ihre Telefonnummer und die Angabe, als wer Sie uns schreiben (zum Beispiel als Familie, als Jugendlicher oder als Fachkraft).

So läuft es ab:
Ihre Angaben gehen verschlüsselt an unseren Server und werden von dort als E-Mail an info@zwischenschritt-jugendhilfe.de geschickt. Den Versand übernimmt Microsoft 365 (siehe Abschnitt 11). Technische Daten wie Ihre IP-Adresse oder Ihren Browser fügen wir der E-Mail nicht hinzu. Gegen Spam nutzen wir ein unsichtbares Formularfeld, kein Captcha und keinen externen Dienst.

E-Mail-Protokoll:
Unsere Website speichert von jeder E-Mail, die sie verschickt, eine Kopie mit Empfänger, Betreff und Inhalt in ihrer Datenbank. So können wir Versandfehler erkennen. Die Kopien werden automatisch gelöscht, sobald sie älter als 14 Tage sind. Die Löschung läuft einmal täglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein zuverlässiger Versand.

Rechtsgrundlage:
Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie mit dem Pflicht-Häkchen im Formular erteilen. Schreiben Sie uns auch über andere Personen, zum Beispiel über Ihr Kind, gilt für deren Angaben Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Ihre Anfrage zu beantworten.

Besonders sensible Angaben:
Schreiben Sie uns besonders sensible Angaben, etwa zur Gesundheit, auch über Ihr Kind oder eine andere Person, nutzen wir sie nur, soweit es für Ihre Anfrage und eine mögliche Hilfe nötig ist (Art. 9 Abs. 2 lit. h DSGVO, § 22 Abs. 1 Nr. 1 lit. b BDSG). Unsere Fachkräfte unterliegen der Schweigepflicht. Bitte schreiben Sie nur, was für den ersten Kontakt nötig ist. Alles Weitere besprechen wir gern persönlich.

Widerruf und Speicherdauer:
Sie können Ihre Einwilligung jederzeit widerrufen, zum Beispiel per E-Mail an datenschutz@zwischenschritt-jugendhilfe.de. Was bis dahin geschehen ist, bleibt rechtmäßig. Wir löschen Ihre Anfrage nach einem Widerruf oder sobald sie erledigt ist, außer eine gesetzliche Aufbewahrungspflicht steht dem entgegen (Art. 6 Abs. 1 lit. c DSGVO). Wird aus Ihrer Anfrage eine Hilfe oder eine Zusammenarbeit, nehmen wir die nötigen Angaben in die Unterlagen dazu auf. Wie wir dann mit Ihren Daten umgehen, erklären wir Ihnen gesondert.

10. Bewerbungen

Auf der Seite „Jobs“ können Sie sich über ein Formular bewerben. Pflichtangaben sind Name, E-Mail-Adresse, die gewünschte Stelle und eine Datei mit Ihrer Bewerbung, Ihrem Lebenslauf und Ihren Zeugnissen. Freiwillig sind Telefonnummer und Nachricht. Sie können sich auch per E-Mail an info@zwischenschritt-jugendhilfe.de bewerben.

So läuft es ab:
Ihre Datei wird kurz auf unserem Server abgelegt, als Anhang einer E-Mail an uns geschickt und direkt danach automatisch dort gelöscht. Den Versand übernimmt Microsoft 365 (siehe Abschnitt 11). Im E-Mail-Protokoll unserer Website (siehe Abschnitt 9) stehen Ihre Formularangaben und der Dateiname, nicht die Datei selbst.

Rechtsgrundlage:
Bei Bewerbungen über das Formular Ihre Einwilligung, die Sie mit dem Pflicht-Häkchen erteilen (Art. 6 Abs. 1 lit. a DSGVO). Bei Bewerbungen per E-Mail Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Arbeitsverhältnisses). Besonders sensible Angaben, die Sie uns von sich aus mitteilen, zum Beispiel eine Schwerbehinderung, verarbeiten wir nur, soweit es für das Bewerbungsverfahren nötig ist (Art. 9 Abs. 2 lit. b DSGVO, § 26 Abs. 3 BDSG). Ihre Einwilligung können Sie jederzeit widerrufen, zum Beispiel per E-Mail an datenschutz@zwischenschritt-jugendhilfe.de. Wir beenden dann das Bewerbungsverfahren und löschen Ihre Unterlagen.

Speicherdauer:
Stellen wir Sie ein, kommen Ihre Unterlagen in die Personalakte (Art. 6 Abs. 1 lit. b DSGVO). Sagen wir Ihnen ab, löschen wir Ihre Unterlagen spätestens sechs Monate nach der Absage, egal ob Sie sich über das Formular oder per E-Mail beworben haben. So lange bewahren wir sie auf, um uns gegen mögliche Ansprüche, etwa nach dem Allgemeinen Gleichbehandlungsgesetz, verteidigen zu können (Art. 6 Abs. 1 lit. f DSGVO). Möchten wir Ihre Bewerbung für spätere Stellen behalten, fragen wir Sie vorher.

11. Kontakt per E-Mail und Microsoft 365

E-Mail:
Wenn Sie uns eine E-Mail schreiben, verarbeiten wir Ihre Nachricht und Ihre Kontaktdaten, um Ihnen zu antworten. Geht es um einen Vertrag mit Ihnen, etwa eine Zusammenarbeit oder eine Bewerbung, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, sonst Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Ihre Anfrage zu beantworten. Für besonders sensible Angaben gilt Abschnitt 9 entsprechend. Wir löschen die E-Mail, sobald Ihr Anliegen erledigt ist und keine Aufbewahrungspflicht besteht. Für Bewerbungen gilt Abschnitt 10.

Microsoft 365:
Alle unsere E-Mail-Postfächer liegen bei Microsoft 365 (Exchange Online). Auch die Formulare unserer Website verschicken ihre E-Mails darüber. Microsoft verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

Anbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland.
Speicherort: Nach Angaben von Microsoft werden die Daten in Rechenzentren in der EU und der EFTA gespeichert und verarbeitet (EU-Datengrenze).
Übermittlung außerhalb der EU: in begrenzten Fällen möglich, vor allem in die USA. Die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert, es gilt also der Angemessenheitsbeschluss vom 10. Juli 2023 (siehe Abschnitt 5). Zusätzlich nutzt Microsoft EU-Standardvertragsklauseln.
Mehr dazu: Datenschutzerklärung von Microsoft

Vertrauliche Inhalte:
E-Mails sind nicht Ende-zu-Ende verschlüsselt. Sehr persönliche Dinge besprechen wir deshalb lieber am Telefon oder persönlich.

12. Sichere Nachrichten

Für vertrauliche Inhalte, zum Beispiel Unterlagen zu einer Hilfe, können unsere Mitarbeitenden Ihnen eine verschlüsselte Nachricht schicken. Sie bekommen dafür einen Link, meist per E-Mail. Er führt zur Seite „Sichere Nachricht“ auf unserer Website (zwischenschritt-jugendhilfe.de/nachricht/). Dort lässt sich die Nachricht genau einmal öffnen. Wenn die absendende Person es erlaubt, können Sie einmal verschlüsselt antworten und Dateien anhängen. Eine Antwort ist freiwillig.

Verschlüsselung:
Text und Anhänge werden schon im Browser unserer Mitarbeiterin oder unseres Mitarbeiters verschlüsselt (AES-256) und erst in Ihrem Browser wieder entschlüsselt. Man nennt das Ende-zu-Ende-Verschlüsselung. Der Schlüssel steht nur im Link, und zwar hinter dem Zeichen „#“. Diesen Teil schickt Ihr Browser nicht an unseren Server. Auf dem Server liegt deshalb nur Verschlüsseltes, das weder wir noch unser Hoster lesen können. Hat die Nachricht ein Zusatz-Passwort, bekommen Sie es auf einem anderen Weg, zum Beispiel am Telefon. Ihre Antwort wird genauso verschlüsselt. Abrufen kann sie bei uns nur die Person, die Ihnen die Nachricht geschickt hat. Bitte beachten Sie: Wer den vollständigen Link und gegebenenfalls das Passwort hat, kann die Nachricht öffnen. Geben Sie den Link deshalb nicht weiter.

Was auf unserem Server gespeichert wird:

Nachricht und Antwort: nur verschlüsselt, jeweils als Datei. Auch Anhänge und Dateinamen sind verschlüsselt. Erkennbar ist nur die Größe.
Statuseintrag: eine zufällige Kennnummer der Nachricht, wer bei uns sie erstellt hat, wann sie erstellt wurde und bis wann sie gilt, ob und wann sie geöffnet wurde, ob und wann Sie geantwortet haben, ob es ein Passwort gibt und wie oft ein falsches Passwort eingegeben wurde. Dazu kommen Prüfwerte, mit denen der Server einen richtigen Link erkennt, ohne den Schlüssel zu kennen, und eine verschlüsselte Notiz, die nur die absendende Person für ihre eigene Übersicht lesen kann.
Nicht gespeichert: Ihr Name, Ihre E-Mail-Adresse und Ihre IP-Adresse. Wie bei jedem Seitenaufruf entstehen aber die Server-Logfiles aus Abschnitt 3. Der Schlüssel aus dem Link steht nicht darin.

Lesebestätigung:
Die Person, die Ihnen die Nachricht geschickt hat, sieht in ihrer Übersicht, ob und wann die Nachricht geöffnet wurde und wann Ihre Antwort eingegangen ist. So weiß sie, dass die Nachricht angekommen ist. Wird der Link später noch einmal aufgerufen, zeigt die Seite an, wann die Nachricht geöffnet wurde. So fällt auf, wenn jemand anderes den Link benutzt hat.

Keine anderen Anbieter, kein Tracking, keine Cookies:
Die Seite „Sichere Nachricht“ lädt nur Dateien von unserem eigenen Server. Den Sprachumschalter, die Karte, die Emoji-Grafiken und den Datenschutz-Hinweis (Abschnitte 4 bis 8) gibt es auf dieser Seite nicht. Sie setzt keine Cookies und wertet nicht aus, wie Sie sie nutzen. Nach dem Öffnen merkt sie sich im Sitzungsspeicher dieses Browser-Tabs nur die Kennnummer der Nachricht (nicht den Schlüssel), damit sie Ihnen nach einem Neuladen richtig Bescheid geben kann. Der Eintrag verschwindet, wenn Sie den Tab schließen (§ 25 Abs. 2 Nr. 2 TDDDG). Wechseln Sie von dort auf andere Seiten unserer Website, gelten wieder die Abschnitte 4 bis 8.

Was auf Ihrem Gerät bleibt:
Der Link bleibt in Ihrem E-Mail-Postfach und im Verlauf Ihres Browsers. Nach dem Öffnen lässt sich die Nachricht damit nicht mehr abrufen. Heruntergeladene Anhänge liegen unverschlüsselt auf Ihrem Gerät. Lassen Sie die Seite von Ihrem Browser übersetzen, schickt er den angezeigten Text an den Übersetzungsdienst seines Herstellers, zum Beispiel Google oder Microsoft. Das liegt nicht in unserer Hand.

Speicherdauer:

Nachricht: Wir löschen sie vom Server, sobald sie geöffnet wird. Wird sie nicht geöffnet, löschen wir sie nach Ablauf der Gültigkeit, die die absendende Person gewählt hat (eine Stunde bis 30 Tage). Nach zehn falschen Passwörtern wird sie sofort gelöscht.
Ihre Antwort: 7 Tage nach Eingang, oder früher, wenn die absendende Person sie löscht.
Statuseintrag: 7 Tage nach Ablauf der Gültigkeit oder 7 Tage nach Ihrer Antwort, je nachdem, was später ist.
Sicherungskopien: Die verschlüsselten Nachrichten und Antworten liegen außerhalb unserer wöchentlichen Website-Sicherung. Die Statuseinträge sind Teil der Datenbank und damit in dieser Sicherung enthalten, die wir drei Wochen aufbewahren. Unser Hoster STRATO sichert Webspace und Datenbank zusätzlich selbst, nach seinen Angaben höchstens vier Wochen lang. Dort können auch verschlüsselte Nachrichten und Antworten enthalten sein. Den Schlüssel enthält keine Sicherung. Wir nutzen Sicherungen nur, um die Website nach einem Ausfall wiederherzustellen.

Empfänger:
Die verschlüsselten Daten und die Statuseinträge liegen bei unserem Hoster STRATO, der sie in unserem Auftrag verarbeitet (Abschnitt 3). Den Link verschicken unsere Mitarbeitenden meist per E-Mail über Microsoft 365 (Abschnitt 11). Andere Empfänger gibt es nicht.

Im Browser unserer Mitarbeitenden:
Damit die absendende Person Ihre Antwort lesen kann, merkt sich ihr Browser zu jeder Nachricht mit Antwortmöglichkeit oder Notiz einen Schlüssel im lokalen Speicher. Mit ihm lassen sich nur die Antwort und die Notiz entschlüsseln, nicht die Nachricht selbst. Das ist für diese Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Ist die Nachricht gelöscht, entfernt die Übersicht auch diesen Eintrag.

Rechtsgrundlage:
Gehört die Nachricht zu einer Hilfe oder einem Vertrag mit Ihnen, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, sonst Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, vertrauliche Inhalte sicher zu übermitteln und zu wissen, ob sie angekommen sind. Enthält die Nachricht oder Ihre Antwort besonders sensible Angaben, etwa zur Gesundheit, nutzen wir sie nur, soweit es für die Hilfe nötig ist (Art. 9 Abs. 2 lit. h DSGVO, § 22 Abs. 1 Nr. 1 lit. b BDSG). Für Sozialdaten gilt außerdem der Abschnitt „Sozialdatenschutz“. Für die Sicherungskopien gilt Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, die Website nach einem Ausfall wiederherstellen zu können.

Auskunft und vorzeitige Löschung:
Den Inhalt können wir auf dem Server nicht lesen, und im Statuseintrag steht Ihr Name nicht. Damit wir eine Nachricht zuordnen können, sagen Sie uns bitte, wer Ihnen wann geschrieben hat. Soll eine Nachricht oder Antwort früher gelöscht werden, wenden Sie sich an die absendende Person oder an datenschutz@zwischenschritt-jugendhilfe.de. Ihre weiteren Rechte stehen in den Abschnitten „Ihre Rechte“ und „Ihr Widerspruchsrecht“.

13. Internes Portal für Mitarbeitende

Unter zwischenschritt-jugendhilfe.de/portal/ betreiben wir ein Portal für unsere Mitarbeitenden und freien Mitarbeitenden. Dort stehen Anleitungen, Vorlagen, interne Dateien, Termine, Meldungen und Umfragen. Öffentlich ist nur die Anmeldeseite. Das Portal lädt nur Dateien von unserem eigenen Server. Den Sprachumschalter, die Karte und die Emoji-Grafiken (Abschnitte 6 bis 8) gibt es dort nicht.

Anmeldung:
Mit einem Dienstkonto meldet man sich über Microsoft 365 an (Microsoft Entra ID, siehe Abschnitt 11). Microsoft teilt uns dabei Name, Dienstadresse und eine Kennnummer des Kontos mit, aber kein Passwort. Einmal am Tag fragen wir bei Microsoft ab, welche Dienstkonten noch aktiv sind. Ist ein Konto gesperrt, endet die Anmeldung im Portal. Ohne Dienstkonto meldet man sich mit der E-Mail-Adresse an, die bei uns hinterlegt ist. Dann schicken wir einen Code über unser Postfach bei Microsoft 365. Code und Link gelten 15 Minuten und nur einmal.

Was wir speichern:

Konto: Name, Dienstadresse oder hinterlegte E-Mail-Adresse, die Kennnummer des Microsoft-Kontos, die Rollen (zum Beispiel Festanstellung, Minijob, Leitung oder freie Mitarbeit) und wann das Portal zuletzt genutzt wurde.
Anmeldungen: je Anmeldung Beginn, Ablauf und eine grobe Gerätebeschreibung, zum Beispiel „iPhone · Safari“.
Protokoll: wann sich jemand angemeldet hat und wer wann welche Seiten, internen Dateien und verlinkten Dienste aus dem Portal geöffnet hat. Das sieht nur die Verwaltung des Portals. Wir nutzen es, um Fragen zum Zugang zu klären und um zu sehen, ob Informationen ankommen. Die Einträge werden nach 90 Tagen automatisch gelöscht.
Umfragen: Bei anonymen Umfragen speichern wir nur, dass jemand teilgenommen hat, nicht die Antwort. Bei Umfragen mit Namen sieht die Verwaltung des Portals, wer was gewählt hat. Was gilt, steht an jeder Umfrage.
E-Mail-Signatur: Wer den Signatur-Generator im Portal nutzt, kann die Angaben für die eigene Signatur dort speichern (Name, Pronomen, Funktion, dienstliche E-Mail, Mobilnummer, Grußformel). Nur die Person selbst sieht und ändert sie. Mit „Gespeicherte Angaben löschen“ sind sie sofort weg.
Eingereichte Dateien: Mitarbeitende können Dateien einreichen, zum Beispiel Vorlagen. Wir speichern die Datei, den Titel, eine freiwillige Notiz, Name und E-Mail der einreichenden Person und den Zeitpunkt. Bis zur Entscheidung sieht das nur die Verwaltung des Portals. Lehnt sie ab, löschen wir die Datei sofort. Gibt sie frei, wird die Datei eine interne Datei für die gewählten Rollen. Klientendaten dürfen nicht eingereicht werden. Das bestätigt man beim Einreichen.

IP-Adressen:
Das Portal speichert keine IP-Adressen. Damit niemand massenhaft Anmeldungen ausprobieren kann, zählt es Anmeldeversuche je Internetanschluss für höchstens 15 Minuten. Dafür steht nur ein verschlüsselter Prüfwert in der Datenbank, nicht die Adresse selbst. Es gelten außerdem die Server-Logfiles aus Abschnitt 3.

Digitaler Dienstausweis:
Im Portal stellen wir Mitarbeitenden einen digitalen Dienstausweis aus. Freie Mitarbeitende bekommen einen Ausweis „Freie Mitarbeit“.

Gespeichert: Foto, Funktion, Ausweisnummer, Gültigkeit und wann der Ausweis zuletzt geprüft wurde. Den Namen nehmen wir aus dem Portal-Konto. Ein neues Foto oder eine neue Funktion schlägt die Person selbst vor. Beides gilt erst, wenn die Verwaltung es freigibt. Lehnt sie ab, löschen wir den Vorschlag sofort.
Führungszeugnis: Haben wir das erweiterte Führungszeugnis eingesehen (§ 72a SGB VIII), vermerken wir am Ausweis nur den Tag dieses Vermerks, nichts aus dem Zeugnis. Die Prüfseite zeigt diesen Vermerk nicht.
Prüfseite: Wer den Code auf dem Ausweis scannt, kommt auf eine Seite unter zwischenschritt-jugendhilfe.de/ausweis/. Sie zeigt, ob der Ausweis gilt, dazu Name, Funktion, Ausweisnummer und Gültigkeit. Das Foto zeigt sie nur beim Code auf dem Handy. Dieser Code ändert sich jede Minute und gilt nur wenige Minuten. Beim festen Code auf einem Ausdruck zeigt sie kein Foto. Ist ein Ausweis gesperrt oder abgelaufen, zeigt sie keine Angaben zur Person.
Wer prüft: Über die prüfende Person speichern wir nichts. Die Prüfseite setzt keine Cookies und lädt nichts von anderen Anbietern. Es gelten nur die Server-Logfiles aus Abschnitt 3.
Sperren und Löschen: Ein gesperrter Ausweis gilt sofort nicht mehr. 30 Tage danach löschen wir Foto, Funktion, den Vermerk zum Führungszeugnis und die Zuordnung zur Person. Wird die Person aus dem Portal entfernt, löschen wir das sofort. Nur die Nummer bleibt als „nicht gültig“ stehen, damit alte Ausdrucke erkannt werden.

Abgleich mit unserer Personalverwaltung:
Ob jemand gerade bei uns tätig ist, gleichen wir mit unserer Personalverwaltung (JugendHilfeManager) ab. Ein Rechner unserer Verwaltung schickt dem Portal dafür nur Prüfwerte (Hashwerte) von E-Mail-Adresse und Name der aktiven Personen und das Ende der Beschäftigung. Weitere Personaldaten bekommt das Portal nicht. So kann, wer aktiv ist, den Ausweis selbst anfordern, und der Ausweis wird gesperrt, wenn die Beschäftigung endet. Meldet sich jemand mit einer privaten E-Mail-Adresse an, die zu einer aktiven Person gehört, legt das Portal ein Konto ohne Rolle an und schickt den Code. Die Verwaltung des Portals bekommt dann einen Hinweis per E-Mail und vergibt die Rolle.

Rechtsgrundlage:
Art. 6 Abs. 1 lit. b DSGVO (Arbeits- oder Honorarvertrag) und Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine sichere und einfache interne Kommunikation und dass sich unsere Mitarbeitenden gegenüber Familien, Schulen und Ämtern nachprüfbar ausweisen können. Für den Vermerk zum Führungszeugnis gilt § 72a SGB VIII. Für die Cookies gilt Abschnitt 4.

Speicherdauer:
Eine Anmeldung endet 90 Tage nach der letzten Nutzung, beim Abmelden oder wenn das Konto gesperrt wird. Das Protokoll löschen wir nach 90 Tagen. Konto, gespeicherte Signatur-Angaben und Einreichungen löschen wir, wenn die Person aus dem Portal entfernt wird. Das tun wir, wenn die Zusammenarbeit endet. Für den Ausweis gelten die Fristen oben.

14. Links zu anderen Websites

Auf unseren Seiten gibt es Links zu anderen Websites, zum Beispiel zu Instagram, LinkedIn, kununu, Indeed, Google Maps, zu unserer Webagentur Rheinisches Systemhaus, zum LVR und zur Ombudschaft NRW. Das sind normale Links und E-Mail-Adressen: Erst wenn Sie darauf klicken, erhält der andere Anbieter Daten von Ihnen. Das gilt auch für die Schaltfläche „Route planen“ auf der Seite „Standorte“: Sie öffnet Google Maps oder Apple Karten erst nach Ihrem Klick. Für den Umgang mit Ihren Daten ist dann dieser Anbieter verantwortlich.

15. Sozialdatenschutz

Als Träger der Kinder- und Jugendhilfe unterliegen wir der DSGVO und dem Bundesdatenschutzgesetz (BDSG). Wenn wir im Auftrag eines Jugendamts oder gemeinsam mit ihm Hilfen leisten, schützen wir Sozialdaten (also persönliche Daten aus einer Hilfe) so, wie es das Sozialgesetzbuch für diese Zusammenarbeit verlangt (§ 61 Abs. 3 SGB VIII). Maßstab sind die Vorschriften zum Sozialdatenschutz (§ 35 SGB I, §§ 67 ff. SGB X). Sozialdaten, die uns ein Jugendamt übermittelt, verwenden wir nur für den Zweck, für den sie übermittelt wurden, und halten sie im gleichen Umfang geheim wie das Jugendamt selbst (§ 78 SGB X). Unsere Fachkräfte unterliegen außerdem der Schweigepflicht (unter anderem nach § 203 StGB).

Diese Datenschutzerklärung betrifft unsere Website. Wie wir mit Daten im Rahmen einer Hilfe umgehen, erklären wir Ihnen gesondert zu Beginn der Hilfe. Fragen dazu beantwortet gern unser Datenschutzbeauftragter: datenschutz@zwischenschritt-jugendhilfe.de.

16. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie wir sie für den jeweiligen Zweck brauchen. Wo es feste Fristen gibt, stehen sie in den einzelnen Abschnitten. Danach löschen wir die Daten, außer gesetzliche Aufbewahrungspflichten (zum Beispiel aus dem Steuerrecht oder dem Sozialgesetzbuch) verlangen eine längere Speicherung. Dann bewahren wir sie nur noch dafür auf (Art. 6 Abs. 1 lit. c DSGVO) und nutzen sie für nichts anderes.

17. Ihre Rechte

Sie haben jederzeit und kostenlos diese Rechte. Schreiben Sie uns dafür einfach an datenschutz@zwischenschritt-jugendhilfe.de.

Auskunft: welche Daten wir über Sie speichern (Art. 15 DSGVO).
Berichtigung: falscher oder unvollständiger Daten (Art. 16 DSGVO).
Löschung: Ihrer Daten, außer wir müssen sie noch aufbewahren oder zur Abwehr von Ansprüchen brauchen (Art. 17 DSGVO).
Einschränkung: der Verarbeitung, zum Beispiel solange die Richtigkeit geprüft wird (Art. 18 DSGVO).
Datenübertragbarkeit: Herausgabe der Daten, die Sie uns gegeben haben, in einem gängigen Format (Art. 20 DSGVO).
Widerruf: einer Einwilligung jederzeit mit Wirkung für die Zukunft. Was bis dahin geschehen ist, bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO).
Beschwerde: bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Postfach 20 04 44, 40102 Düsseldorf, Telefon 0211 38424-0, E-Mail poststelle@ldi.nrw.de, www.ldi.nrw.de.

18. Ihr Widerspruchsrecht

Widerspruch nach Art. 21 DSGVO:
Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie dem jederzeit widersprechen, wenn Sie dafür Gründe haben, die sich aus Ihrer besonderen Situation ergeben. Auf dieser Website betrifft das die Server-Logfiles, die Einträge des Sicherheits-Plugins, die Einträge im Browser (Abschnitt 4), den Sprachumschalter, die Karte, die Emoji-Grafiken, das E-Mail-Protokoll, Angaben über andere Personen im Kontaktformular, Anfragen per E-Mail, sichere Nachrichten außerhalb einer Hilfe, das Protokoll und den Abgleich im internen Portal und die Aufbewahrung von Bewerbungen nach einer Absage. Wir verarbeiten Ihre Daten dann nicht mehr, außer wir haben zwingende schutzwürdige Gründe, die Ihre Interessen überwiegen, oder wir brauchen die Daten, um Rechtsansprüche durchzusetzen oder abzuwehren. Eine formlose Nachricht an datenschutz@zwischenschritt-jugendhilfe.de genügt. Bei den Server-Logfiles und bei Inhalten, die Ihr Browser direkt von anderen Anbietern lädt, können wir die Verarbeitung technisch nicht für einzelne Besucher abschalten.

Selbst verhindern:
Inhalte, die Ihr Browser direkt von anderen Anbietern lädt (Google, CARTO, WordPress.org), können Sie selbst blockieren, zum Beispiel mit einem Inhaltsblocker in Ihrem Browser. Die Website bleibt nutzbar. Schriftart, Karte, Emoji-Grafiken oder Übersetzung fehlen dann.

19. Weitere Hinweise

Pflicht zur Angabe von Daten:
Gesetzlich oder vertraglich sind Sie nicht verpflichtet, uns Daten zu geben. Ohne die Pflichtangaben können wir ein Formular aber nicht bearbeiten. Technische Daten wie die IP-Adresse fallen beim Besuch der Website automatisch an. Ohne sie lassen sich die Seiten nicht ausliefern.

Keine automatisierten Entscheidungen:
Wir treffen keine automatisierten Entscheidungen und erstellen keine Profile (Art. 22 DSGVO).

Änderungen:
Wir passen diese Datenschutzerklärung an, wenn sich unsere Website oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: Oktober 2026