Datenschutzerklärung

Verantwortlicher im Sinne der DSGVO ist:
TownHall UG (haftungsbeschränkt)
vertreten durch den Geschäftsführer Kai Ebert
Martin-Luther-Straße 52, 55131 Mainz
E-Mail: datenschutz@townhall.city

Bei Registrierung: E-Mail-Adresse und Passwort (gespeichert als bcrypt-Hash). Optionale Angaben: Name, Rolle (Bürger, Politiker, Unternehmen).

Bei Nutzung: Postleitzahl und Wohnort (für lokale Inhaltsfilterung), von dir erstellte Beiträge, Fragen, Kommentare und Abstimmungen.

Benachrichtigungen: In-App-Benachrichtigungen werden gespeichert (z. B. wenn ein Politiker deine Frage beantwortet). E-Mail-Benachrichtigungen werden über den Dienst Brevo (Sendinblue GmbH, Berlin) versandt. Aktivierst du Push-Benachrichtigungen, wird eine Push-Registrierung deines Browsers gespeichert; die Zustellung erfolgt technisch bedingt über den Push-Dienst deines Browser-Anbieters (z. B. Google bei Chrome, Mozilla bei Firefox, Apple bei Safari). Push-Benachrichtigungen sind optional und jederzeit in den Einstellungen deaktivierbar.

Interne Nutzungsstatistiken (nur mit Einwilligung): Stimmst du der Nutzungsdatenerfassung zu, speichern wir Interaktionsereignisse (z. B. Seitenaufrufe, geöffnete Beiträge) auf unseren eigenen Servern, um die Plattform zu verbessern und Werbung relevanter auszuspielen. Diese Daten werden nicht an Dritte weitergegeben. Ohne Einwilligung findet keine Erfassung statt — das prüfen wir auch serverseitig.

Warteliste: Trägst du dich vor dem Start in die Warteliste ein, speichern wir E-Mail-Adresse, PLZ und Rolle (Double-Opt-in per Bestätigungscode). Jede Wartelisten-E-Mail enthält einen Abmeldelink; mit der Abmeldung werden deine Wartelisten-Daten gelöscht.

Missbrauchsschutz (Rate Limiting): Zum Schutz vor automatisierten Angriffen und Spam zählen wir Anfragen pro IP-Adresse bzw. Account (z. B. Registrierungsversuche pro Stunde). Diese Zähler werden ausschließlich auf unserem eigenen Server in Deutschland verarbeitet und automatisch nach 60 Minuten gelöscht (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO).

Freiwilliges Werbeprofil (nur mit Einwilligung): Optional kannst du demografische Angaben machen, um Werbung relevanter zu gestalten: Altersgruppe, Haushaltssituation, Wohnsituation, Bildungsstand, Beschäftigungsstatus und ob Kinder im Haushalt leben. Diese Angaben sind vollständig freiwillig und jederzeit löschbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Technische Daten: Beim Besuch werden Server-Logs mit IP-Adresse, Zeitstempel und aufgerufener URL für max. 7 Tage gespeichert. Diese Daten sind zur Sicherstellung des Betriebs erforderlich.

Die Verarbeitung deiner Daten erfolgt auf Basis folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung der Plattform, Authentifizierung)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (E-Mail-Benachrichtigungen, Analyse, KI-Funktionen)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigte Interessen (Betriebssicherheit, Missbrauchsschutz)
• Art. 9 Abs. 2 lit. a DSGVO — Ausdrückliche Einwilligung (KI-Verarbeitung von Bürgerfragen mit politischem Inhalt)

Google Analytics: Nur nach deiner ausdrücklichen Einwilligung nutzt TownHall Google Analytics 4 (Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA) zur Analyse des Nutzungsverhaltens. Google Analytics verwendet Cookies und verarbeitet IP-Adressen anonymisiert. Die Datenübermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Google LLC ist zertifiziert) sowie ergänzend der EU-Standardvertragsklauseln (SCC gemäß Art. 46 Abs. 2 lit. c DSGVO). Deine Einwilligung kannst du jederzeit in den Einstellungen → Datenschutz widerrufen.

Anmeldung mit Google (optional): Du kannst dich alternativ zur E-Mail-Registrierung mit deinem Google-Konto anmelden (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Wählst du diese Option, übermittelt Google uns deinen Namen, deine E-Mail-Adresse und dein Profilbild. Google erfährt dabei, dass du dich bei TownHall anmeldest. Google agiert hierbei als eigenständiger Verantwortlicher; es gelten ergänzend die Datenschutzbestimmungen von Google. Eine etwaige Datenübermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln. Die Nutzung des Google-Logins ist freiwillig — die Registrierung per E-Mail und Passwort steht gleichwertig zur Verfügung (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO).

Mistral AI (KI-Funktionen): KI-gestützte Funktionen (Klara-Assistent, Fragenverbesserung, Inhaltsmoderation, KI-Analysen) werden über die API von Mistral AI, SAS (15 rue des Halles, 75001 Paris, Frankreich) verarbeitet. Die Verarbeitung erfolgt ausschließlich auf EU-Servern in Frankreich. Es findet kein Drittlandtransfer statt. Die Nutzung dieser Funktionen ist freiwillig und erfordert deine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO, da Bürgerfragen als politische Meinungsäußerungen besondere Datenkategorien nach Art. 9 DSGVO darstellen können. Deine Einwilligung kann jederzeit widerrufen werden. Mit dem Widerruf werden keine weiteren Daten an Mistral AI übermittelt. Mit Mistral AI besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Brevo (Sendinblue GmbH): E-Mail-Benachrichtigungen werden über Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin) versendet. Dabei wird deine E-Mail-Adresse an Brevo übermittelt. Die Verarbeitung erfolgt auf EU-Servern. Mit Brevo besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

netcup GmbH (Hosting): Die Plattform wird auf Servern der netcup GmbH (Daimlerstraße 25, 76185 Karlsruhe) betrieben. Die Server stehen im Rechenzentrum Nürnberg, Deutschland. Technische Anfragedaten (Server-Logs, IP-Adressen) werden ausschließlich auf deutschem Boden verarbeitet. Ein Drittlandtransfer findet nicht statt. Mit netcup besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Sentry (Fehler-Monitoring): Zur Erkennung und Behebung technischer Fehler nutzt TownHall Sentry (Functional Software, Inc., 45 Fremont St, San Francisco, CA 94105, USA). Fehlerberichte (Stack Traces, betroffene Seiten) werden auf EU-Servern (Frankfurt) gespeichert — ein Drittlandtransfer findet nicht statt. Es werden keine personenbezogenen Nutzerdaten aktiv an Sentry übermittelt. Die Nutzung erfolgt auf Basis von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebsstabilität). Mit Sentry besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Cloudflare R2 (Datei-Uploads): Hochgeladene Dateien (z. B. Profilbilder, Anhänge zu Beiträgen) werden über Cloudflare R2 (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94043, USA) gespeichert. Die Ablage erfolgt ausschließlich im EU-Speicherbereich (Region Europa). Die Datenübermittlung in die USA (Verwaltungsebene) erfolgt auf Basis der EU-Standardvertragsklauseln (SCC gemäß Art. 46 Abs. 2 lit. c DSGVO). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Deine Accountdaten werden gespeichert, solange dein Konto aktiv ist. Nach Löschung deines Kontos werden alle persönlichen Daten sofort und unwiderruflich gelöscht. Öffentliche Beiträge werden anonymisiert (Autor: „Gelöschter Nutzer") und bleiben für den Diskussionszusammenhang erhalten. Server-Logs werden nach 7 Tagen gelöscht.

Weitere automatische Löschfristen: E-Mail-Verifikationscodes verfallen nach 60 Minuten, Missbrauchsschutz-Zähler (Rate Limiting) nach 60 Minuten, zwischengespeicherte KI-Antworten (Cache) nach spätestens 30 Tagen.

Technisch notwendige Cookies: TownHall setzt Session-Cookies zur Authentifizierung (NextAuth.js). Diese sind für den Betrieb erforderlich und können nicht deaktiviert werden.

Analyse-Cookies (nur mit Einwilligung): Wenn du der Nutzungsdatenerfassung zustimmst, werden Google-Analytics-Cookies (_ga, _ga_*) gesetzt. Google Analytics 4 (Google LLC, USA) ermöglicht uns die Analyse von Nutzungsmustern. Die Datenübermittlung in die USA erfolgt auf Basis der EU-Standardvertragsklauseln (SCC). Ohne deine Einwilligung werden keine Analyse-Cookies gesetzt.

Bürgerfragen & KI-Verarbeitung: Bürgerfragen an Politiker können politische Meinungsäußerungen enthalten und fallen damit unter Art. 9 Abs. 1 DSGVO. Wenn du KI-Funktionen (Klara, Fragenverbesserung) nutzt, werden diese Inhalte an Mistral AI (Frankreich, EU) übermittelt. Hierfür ist deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO erforderlich, die beim ersten Verwenden einer KI-Funktion eingeholt und mit Zeitstempel gespeichert wird. Zur Verwaltung fairer Nutzungskontingente protokollieren wir außerdem, welche KI-Funktion du wie oft genutzt hast (ohne Inhalte). Du kannst KI-Funktionen vollständig ablehnen — TownHall ist ohne KI-Features vollständig nutzbar.

Freiwilliges Werbeprofil: Optional kannst du deine politische Affinität (Partei-Präferenzen) angeben. Diese Angaben werden nur zur Personalisierung von Werbung auf TownHall genutzt und nicht an Dritte weitergegeben.

Du kannst beide Einwilligungen jederzeit widerrufen: KI-Features über Einstellungen → Datenschutz → KI-Einwilligung, Werbeprofil über Einstellungen → Freiwilliges Werbeprofil → Einwilligung widerrufen.

Du hast nach DSGVO folgende Rechte gegenüber uns:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)

Einige Rechte kannst du direkt selbst ausüben: Die vollständige Löschung deines Kontos findest du unter Einstellungen → Konto löschen. Einen Export aller deiner Daten (Art. 20 DSGVO) erhältst du als maschinenlesbare JSON-Datei, wenn du eingeloggt /api/user/data-export aufrufst.

Für alle weiteren Anliegen wende dich an: datenschutz@townhall.city

Du hast außerdem das Recht, dich bei der zuständigen Datenschutzbehörde zu beschweren. Für Rheinland-Pfalz ist dies der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

Alle Datenübertragungen erfolgen über HTTPS/TLS. Passwörter werden ausschließlich als bcrypt-Hash gespeichert und sind nicht im Klartext einsehbar. Wir treffen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zum Schutz deiner Daten.

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen. Die jeweils aktuelle Version ist unter /datenschutz abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.