Wird geladen…
Wird geladen…
Stand: März 2026
Marc-Andre Terhorst
Ludwig-Erhard-Str. 3a, 41564 Kaarst, Deutschland
E-Mail: hallo@commonvote.de
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestr. 2–4, 40213 Düsseldorf
www.ldi.nrw.de
Du hast das Recht, dich jederzeit bei der Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).
Wir prüfen laufend, ob nach § 38 BDSG eine Benennungspflicht für einen Datenschutzbeauftragten besteht — insbesondere im Hinblick auf die Verarbeitung sensibler demografischer Daten und den Charakter der Plattform als Meinungsforschungsangebot. Sofern eine Benennungspflicht entsteht, werden wir die Kontaktdaten des Datenschutzbeauftragten hier ergänzen.
4.1 Account und Login
Bei der Registrierung erheben wir E-Mail-Adresse, Passwort (ausschließlich als bcrypt-Hash gespeichert, kein Klartext) und optionalen Anzeigenamen. Diese Daten sind zur Bereitstellung des Dienstes und zur Absicherung des Accounts erforderlich.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsprävention).
4.2 Abstimmungen und Ergebnisdarstellung
Wenn du abstimmst, verarbeiten wir deine Stimmabgabe zur Bereitstellung der Kernfunktion (Ergebnisanzeige, demografische Auswertung). Je nach Abstimmungsgegenstand kann die Stimmabgabe Rückschlüsse auf politische Meinungen zulassen; solche Daten können unter Art. 9 DSGVO fallen. Wir treffen ausdrücklich keine automatisierten Einzelentscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit Art. 9 einschlägig ist: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung).
4.3 Freiwillige demografische Angaben
Demografische Angaben sind vollständig freiwillig. Wir unterscheiden zwischen zwei Kategorien:
Standard-Demografie (Geburtsjahr, grobe Region, Bildungsabschluss, Einkommensbereich, Beziehungsstatus, Elternschaft): Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
Sensible Angaben nach Art. 9 DSGVO (Religion, Migrationshintergrund, Geburtsland): Diese Angaben können Rückschlüsse auf ethnische Herkunft oder religiöse Überzeugungen ermöglichen und unterliegen dem besonderen Schutz von Art. 9 DSGVO. Verarbeitung nur auf Basis einer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO zusätzlich zu Art. 6 Abs. 1 lit. a DSGVO.
Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf ist so einfach wie die Einwilligungserteilung: Du kannst alle demografischen Angaben jederzeit in deinem Profil ändern oder löschen.
4.4 Aggregation, Anonymisierung und technische Schutzmaßnahmen
Wir veröffentlichen keine Einzelstimmen. Ergebnisse werden ausschließlich aggregiert dargestellt. Wir setzen mehrere technische Schutzmaßnahmen ein, die gemeinsam sicherstellen, dass Personen in Ergebnissen nicht identifizierbar werden (Privacy by Design und by Default, Art. 25 DSGVO):
Mindestgruppengröße: Ergebnisse für gefilterte Gruppen werden nur angezeigt, wenn eine ausreichende Anzahl von Personen in der jeweiligen Gruppe vorhanden ist. Unterhalb dieser Schwelle werden keine Ergebnisse ausgegeben. Die Schwelle ist bewusst konservativ gewählt, um auch bei kombinierten Filtern eine Identifizierung einzelner Personen auszuschließen.
Filter-Komplexitätslimit: Die gleichzeitige Kombination von Filtermerkmalen ist technisch begrenzt. Merkmale, die nach Art. 9 DSGVO besonderen Schutz genießen (insbesondere Religion und Migrationshintergrund), werden dabei höher gewichtet, so dass ihre Kombination mit weiteren Merkmalen früher an eine Grenze stößt. Dies reduziert das Risiko sogenannter Differencing-Angriffe, bei denen durch sukzessive Filteränderungen auf Einzelpersonen geschlossen werden könnte.
Hinweis: Daten gelten datenschutzrechtlich nur dann als anonym, wenn eine Identifizierung nicht mehr vernünftigerweise wahrscheinlich ist (Erwägungsgrund 26 DSGVO). Wir behandeln demografische Snapshots daher als personenbezogene Daten und wenden entsprechende Schutzmaßnahmen an.
4.5 E-Mail-Kommunikation
Wir versenden transaktionale E-Mails (Bestätigung der E-Mail-Adresse, Willkommensnachricht). Werbliche E-Mails versenden wir nur nach vorheriger ausdrücklicher Einwilligung; die Einwilligung kann jederzeit widerrufen werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für transaktionale E-Mails; Art. 6 Abs. 1 lit. a für werbliche Kommunikation.
4.6 Cookies und lokale Speicherung
Für den Login setzen wir ein technisch notwendiges httpOnly-Cookie (commonvote_token), das einen signierten JWT enthält und nach 7 Tagen automatisch ungültig wird. Dieses Cookie ist unbedingt erforderlich, um den von dir ausdrücklich gewünschten Dienst (eingeloggter Account) bereitzustellen.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (keine Einwilligung erforderlich für technisch notwendige Cookies). Wir setzen keine Tracking-Cookies oder Werbe-Cookies ein.
Wir setzen folgende Auftragsverarbeiter ein, mit denen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO bestehen:
Railway Inc. (Hosting) — 340 Pine Street, Suite 1001, San Francisco, CA 94104, USA. Die primäre Verarbeitung erfolgt auf Servern in der EU. Railway ist nach dem EU-U.S. Data Privacy Framework (DPF) zertifiziert; ergänzend gelten EU-Standardvertragsklauseln (SCC) als Transfermechanismus. Datenschutzinformationen: railway.app/legal/privacy
Resend Inc. (E-Mail-Versand) — 2261 Market Street #5039, San Francisco, CA 94114, USA. Transaktionale E-Mails werden über Resend in der EU-Region (eu-west-1) versendet. Resend verweist in seinem DPA auf das EU-U.S. Data Privacy Framework sowie EU-Standardvertragsklauseln als Transfermechanismen. Datenschutzinformationen: resend.com/legal/privacy-policy
In Einzelfällen kann ein Zugriff von außerhalb der EU nicht vollständig ausgeschlossen werden (z.B. Support, Billing). Geeignete Garantien (DPF und/oder SCC) sind in diesen Fällen vereinbart.
Accountdaten speichern wir, solange das Konto aktiv ist. Nach Löschung des Kontos werden personenbezogene Daten innerhalb von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Aggregierte Statistikdaten, die tatsächlich anonym sind, können davon unabhängig gespeichert bleiben.
Aufgrund der Verarbeitung sensibler demografischer Daten (Art. 9 DSGVO) in Verbindung mit der systematischen Auswertung nach Personengruppen prüfen wir laufend, ob und in welchem Umfang eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO erforderlich ist. Bei einer Skalierung der Plattform oder Ausweitung der Verarbeitungstätigkeiten wird eine formale DSFA durchgeführt.
Als betroffene Person hast du folgende Rechte:
Zur Ausübung deiner Rechte wende dich an: hallo@commonvote.de
Wir setzen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen umfassen unter anderem:
Wir überprüfen und aktualisieren diese Maßnahmen regelmäßig im Rahmen unserer laufenden Sicherheitsbewertung.
CommonVote ermöglicht Nutzern das Einreichen von Abstimmungsvorschlägen und die Abgabe von Stimmen. Für Anfragen von Behörden und zugelassenen Forschern im Sinne der DSA-Verordnung (EU) 2022/2065 steht folgender Kontakt bereit: hallo@commonvote.de