Datenschutzerklärung

Stand: September 2026

1. Verantwortlicher

Institut des Blutes Christi gemeinnützige GmbH
Hofmark 6, D-93089 Aufhausen
Telefon: +49 9454 949053-0
E-Mail: institut@blut-christi.de

Datenschutzbeauftragte (Schwesterngemeinschaft SAS): Sr. M. Ancilla Holzer SAS

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die Inhaltsverwaltung („CMS“) sowie für die mobile Gebets-App „Blut Christi Gebete“ (Android und iOS) der Geistlichen Familie vom Heiligen Blut.

3. Welche Daten wir verarbeiten

Inhaltsverwaltung (CMS, Web)

• Anmeldedaten: Name und E-Mail-Adresse der berechtigten Person sowie ein gehashtes Passwort (bcrypt). Konten werden ausschließlich durch einen Administrator auf Einladung angelegt.
• Einladungstoken: Wird nur als SHA-256-Hash gespeichert, ist 48 Stunden einmalig gültig.
• Session-Cookie: Eine signierte Session-Cookie hält den Login (technisch notwendig).
• Server-Logs: IP-Adresse, Datum/Uhrzeit, aufgerufene Ressource. Werden nur kurzzeitig zur Sicherheit und Fehleranalyse vorgehalten und automatisch rotiert (in der Regel innerhalb weniger Tage).

Gebetsanliegen (Webseite und App)

• Anliegen-Text: Der von Ihnen formulierte Text wird gespeichert. Er wird vor der Veröffentlichung durch eine Schwester oder einen Bruder in Aufhausen redaktionell gesichtet.
• Name (optional): Wenn angegeben, wird er der Gemeinschaft im internen Bereich angezeigt – nicht öffentlich.
• E-Mail-Adresse (optional): Nur, falls Sie eine persönliche Antwort wünschen. Nicht öffentlich, nicht für Newsletter o.ä. verwendet.
• Rechtsgrundlage: Einwilligung (§ 6 Abs. 1 lit. a KDG) durch das Absenden des Formulars.
• Speicherdauer: Bis zur Erledigung des Anliegens, längstens 12 Monate. Auf Wunsch jederzeit Löschung möglich (E-Mail an institut@blut-christi.de).

Mobile App

• Nutzung ohne Konto: Die App ist ohne Konto nutzbar. Personenbezogene Daten gibt sie nur weiter, wenn Sie selbst ein Gebetsanliegen absenden (siehe oben).
• Lokale Speicherung: Einstellungen (Schriftgröße, Schriftart, Darstellung), Favoriten, zwischengespeicherte Gebetstexte sowie heruntergeladene Tonaufnahmen, Videos und PDF-Anhänge werden nur auf dem Gerät gespeichert, damit sie auch offline verfügbar sind.
• Inhalte und Medien: Die App ruft Gebetstexte, Tonaufnahmen, Videos, PDF-Anhänge und das Bild für den Sperrbildschirm von unserem Server ab (api.gebet-blut-christi.de, Hetzner, Deutschland). Dabei wird die IP-Adresse nur zur technischen Auslieferung verarbeitet; Zugriffe werden nicht protokolliert.
• App-Aktualisierungen (Expo, USA): Beim Start und bei der Rückkehr in die App fragt die App beim Update-Dienst EAS Update der Expo (650 Industries, Inc., USA) nach Aktualisierungen. Übermittelt werden die IP-Adresse, eine zufällige, je Installation erzeugte Kennung, Plattform- und Versionsangaben sowie nach einem fehlgeschlagenen Start eine gekürzte Fehlermeldung. Zweck ist die Auslieferung von Fehlerbehebungen (berechtigtes Interesse, § 6 Abs. 1 lit. f KDG). Expo ist nach dem EU-U.S. Data Privacy Framework zertifiziert.
• Mitteilungen (nur Android): Beim ersten Abspielen einer Aufnahme fragt die App nach der Berechtigung für Mitteilungen. Sie dient nur der Wiedergabesteuerung (Benachrichtigung mit Wiedergabe/Pause). Push-Benachrichtigungen versendet die App nicht.

4. Zwecke und Rechtsgrundlagen

• Vertragserfüllung (§ 6 Abs. 1 lit. b KDG): Anmeldung und Inhaltspflege durch berechtigte Personen.
• Berechtigtes Interesse (§ 6 Abs. 1 lit. f KDG): Server-Logs zur Sicherheit und Missbrauchs­prävention, redaktionelle Sichtung von Anliegen sowie der Update-Dienst der App.
• Einwilligung (§ 6 Abs. 1 lit. a KDG): Einreichung von Gebetsanliegen.

Da es sich um eine kirchliche Einrichtung handelt, gilt das Kirchliche Datenschutzgesetz (KDG) – nicht primär die staatliche DSGVO. Aufsicht ist das Katholisches Datenschutzzentrum (KDSZ) (Aufsichtsbehörde der süddeutschen (Erz-)Diözesen), siehe Abschnitt 9.

5. Hosting

Server und Datenbank werden in Deutschland betrieben (Hetzner Online GmbH, Gunzenhausen). Die Verbindung erfolgt verschlüsselt über HTTPS (TLS). Eine Übermittlung in Drittländer erfolgt nur beim Update-Dienst der App (Expo, USA – siehe Abschnitte 3 und 7). Mit Hetzner besteht ein Auftragsverarbeitungs­vertrag (Art. 28 DSGVO / § 29 KDG).

6. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies und lokale Speicherung. Es findet kein Tracking statt, keine Profilbildung, keine Werbung. Eine Einwilligung ist nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich.

7. Empfänger / Auftragsverarbeitung

• Hetzner Online GmbH (DE) – Hosting der Server und Datenbank. Auftragsverarbeitungs­vertrag nach Art. 28 DSGVO / § 29 KDG.
• Brevo (Sendinblue GmbH) (DE/FR) – Versand der Einladungs-E-Mails. Übermittelt wird ausschließlich die E-Mail-Adresse.
• Expo (650 Industries, Inc.) (USA) – Update-Dienst der App (EAS Update). Zertifiziert nach dem EU-U.S. Data Privacy Framework.
• MH Software (Max Halbritter) (DE) – Technische Wartung im Rahmen eines Auftragsverarbeitungs­vertrages.

8. Speicherdauer

• Anmeldedaten: bis zur Löschung des Kontos durch den Admin.
• Server-Logs: kurzfristig (in der Regel innerhalb weniger Tage rotiert).
• Einladungstoken: nach Annahme oder Ablauf (48 h) gelöscht.
• Anliegen: bis zur Erledigung, längstens 12 Monate.

9. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Daten­übertragbarkeit und Widerspruch (entsprechend §§ 17–20 KDG bzw. Art. 15–21 DSGVO). Bei Beschwerden können Sie sich an die zuständige kirchliche Datenschutz­aufsicht wenden:

Katholisches Datenschutzzentrum (KDSZ)
Aufsichtsbehörde der süddeutschen (Erz-)Diözesen
Kapellenstraße 4, 80333 München
Telefon: +49 89 2137-1796
E-Mail: poststelle@kdsz-bayern.de
Web: www.kdsz-bayern.de

10. Kontakt

Anfragen zum Datenschutz richten Sie bitte an: institut@blut-christi.de.