Unser Verwaltungs­system –
offen erklärt

Kein kommerzielles Tool – sondern ein Werkzeug für gute Arbeit

CRM steht für Customer Relationship Management – ein Begriff aus der Geschäftswelt. In unserem Projekt bedeutet das jedoch etwas anderes: Es ist kein Verkaufstool, sondern ein System, das uns hilft, Anfragen strukturiert, sorgfältig und DSGVO-konform zu bearbeiten.

Wenn Sie uns eine Hilfeanfrage schicken, eine Datenschutzanfrage stellen oder einfach eine E-Mail schreiben, landet das nicht in einem anonymen Postfach – sondern wird in unserem System erfasst, damit wir nichts vergessen und jede Anfrage ordentlich bearbeiten können.

CiviCRM – Open Source, speziell für gemeinnützige Projekte

Wir nutzen CiviCRM, eine freie Open-Source-Software, die weltweit von Non-Profit-Organisationen, Vereinen und sozialen Projekten eingesetzt wird. Sie wurde von Anfang an für genau diesen Zweck entwickelt: verantwortungsvoller Umgang mit Kontakten und Anfragen ohne kommerzielles Interesse.

Der Quellcode ist öffentlich einsehbar – jeder kann nachschauen, was die Software tut. Das ist uns wichtig.

Innerhalb von CiviCRM nutzen wir zusätzlich die ebenfalls quelloffene Erweiterung „General Data Protection Regulation“ (GDPR-Extension). Sie automatisiert den datenschutzkonformen Umgang mit Aufbewahrungsfristen und Löschanträgen – mehr dazu im Abschnitt „Datenpflege & Anonymisierung“.

Struktur, Verlässlichkeit und Rechenschaftspflicht

Gerade weil wir ehrenamtlich arbeiten, brauchen wir ein verlässliches System. Ohne strukturierte Verwaltung würden Anfragen untergehen, Kommunikationsverläufe gehen verloren und wir könnten unserer Sorgfaltspflicht nicht nachkommen.

• Bearbeitung von Hilfeanfragen auf nachvollziehbare und strukturierte Weise
• Vollständige Dokumentation von Kommunikationsverläufen
• Schutz vor Datenverlust durch organisierte Speicherung
• Verwaltung wiederkehrender Anfragen ohne Mehraufwand
• Einhaltung der Dokumentationspflichten gem. Art. 5 Abs. 2 DSGVO

Eigene Hardware – kein Cloud-Anbieter

Das Wichtigste vorab: Wir nutzen keine externe Cloud-CRM-Lösung. Ihre Daten landen nicht bei Salesforce, HubSpot oder einem anderen kommerziellen Anbieter.

Stattdessen betreiben wir unser System vollständig selbst – auf eigener Hardware, in einer privaten Serverumgebung in Deutschland. Das gibt uns maximale Kontrolle darüber, wer Zugriff hat und was mit den Daten passiert. Auch die GDPR-Extension läuft ausschließlich auf unserem eigenen Server – es findet keine Datenübermittlung an Dritte statt.

Ein kleiner Blick hinter die Kulissen: So sieht unsere Proxmox-Übersicht aus – die Schaltzentrale unserer selbstverwalteten Serverumgebung.

Blick hinter die Kulissen: Unsere selbst verwaltete Proxmox-Serverumgebung. (Zum Vergrößern klicken)

Was wir speichern – und was nicht

Wir speichern nur, was für die Bearbeitung Ihrer Anfrage notwendig ist. Kein Tracking, keine Analyse, keine Weitergabe an Dritte.

• Name und E-Mail-Adresse
• Inhalte von Hilfeanfragen
• Kommunikationsverlauf
• Bearbeitungsnotizen (intern)
• Dokumentation von Datenschutzanfragen

Alle Daten werden nach Ablauf der jeweiligen Aufbewahrungsfrist anonymisiert: Name, E-Mail und Telefon werden durch Platzhalter ersetzt, identifizierende Kommunikationsinhalte werden gelöscht. Statistische Metadaten (Datum, Art der Anfrage) bleiben anonym erhalten – zur Erfüllung unserer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Zur Veranschaulichung: So sieht ein strukturierter Kontaktdatensatz in CiviCRM aus. Die gezeigten Daten sind vollständig fiktiv.

Beispiel einer Kontaktansicht in CiviCRM – ausschließlich fiktive Dummy-Daten. (Zum Vergrößern klicken)

DSGVO-konform – das ist kein Marketing

Die Verarbeitung erfolgt ausschließlich auf Basis der geltenden Datenschutzgesetze, insbesondere der DSGVO. Für uns ist das keine Pflichtübung, sondern ein Grundsatz: Wer mit vulnerablen Menschen arbeitet, trägt besondere Verantwortung.

Die Speicherung bestimmter Daten kann auch erforderlich sein, um unserer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachzukommen – also um nachzuweisen, dass wir Anfragen ordnungsgemäß bearbeitet haben.

Wie und wann wir Daten anonymisieren

Statt Daten zu löschen, setzen wir auf Anonymisierung. Das ist datenschutzrechtlich gleichwertig: Nach der Anonymisierung gelten die Daten nicht mehr als personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO, da die betroffene Person nicht mehr identifizierbar ist. (Erwägungsgrund 26 DSGVO).

Der Vorteil für Sie: Wir können nachweisen, dass Ihre Anfrage bearbeitet wurde – ohne dass dabei noch Rückschlüsse auf Sie möglich sind.

Aufbewahrungsfristen im Überblick

Die Datenpflege führen wir monatlich durch. Dabei prüfen wir, welche Datensätze ihre Frist überschritten haben, und lösen die Anonymisierung über die GDPR-Extension aus. Den Vorgang protokollieren wir intern zur Rechenschaftspflicht.

Besonderheit: Teilnahmevertrag „Die Stimme der Straße“

Für Teilnehmer unseres Videoprojekts, mit denen ein schriftlicher Teilnahmevertrag abgeschlossen wurde, gilt eine abweichende Aufbewahrungsfrist: Der Vertrag und die damit verknüpften Kontaktdaten werden für die gesamte Dauer der Videoveröffentlichung aufbewahrt – zuzüglich 3 Jahre nach vollständiger Entfernung aller veröffentlichten Inhalte. Eine Anonymisierung ist während dieser Zeit nicht möglich, da der Vertrag den rechtlichen Nachweis der erteilten Einwilligung und Nutzungsrechte darstellt. Der Scan des Vertrags wird als Anhang im CiviCRM-Datensatz gespeichert und entsprechend gekennzeichnet.

Wichtiger Hinweis zu Löschanträgen (Art. 17 DSGVO): Stellt ein Teilnehmer des Videoprojekts einen Antrag auf Löschung seiner Daten, hat dies unmittelbar die vollständige Entfernung aller veröffentlichten Videoinhalte zur Folge, in denen die Person erkennbar ist. Ohne den Nachweis der erteilten Einwilligung dürfen wir die Aufnahmen nicht weiter verwenden. Wir entfernen das Video in diesem Fall unverzüglich von YouTube, allen Social-Media-Kanälen und unseren eigenen Servern und anonymisieren anschließend den Kontaktdatensatz mithilfe der GDPR-Extension. Auf bereits durch Dritte gespeicherte Kopien haben wir keinen Einfluss.

Hinweis zu Backups: Unsere Datensicherungen können Daten technisch bedingt noch für einen begrenzten Zeitraum enthalten. Diese Backups werden nach spätestens 3 Monaten überschrieben. In dieser Zeit findet keine weitere aktive Verarbeitung statt.