fepli Handbuch

fepli speichert personenbezogene Daten von Familien. Der Datenschutz verlangt, sie zu löschen, sobald sie nicht mehr gebraucht werden. Belege dagegen müssen nach dem Steuerrecht aufbewahrt werden, und eine Einwilligung gilt, bis sie widerrufen wird. Wer weiß, wie fepli beides verbindet, versteht, was nach einer Löschung bleibt.

Löschen nach Frist

Personenbezogene Daten sollen nur so lange bleiben, wie sie gebraucht werden. Super-Admins legen dafür eine Aufbewahrungsfrist fest. Ist sie abgelaufen, merkt fepli die Teilnehmer:innen zur Löschung vor oder löscht sie nachts selbst, je nach Einstellung.

Ist keine Frist eingetragen, gelten zwei Jahre nach der letzten Saison. So ist eine Familie, die einen Sommer aussetzt, im nächsten noch da. Diese Standardfrist merkt nur vor: Sie verschickt keine Hinweis-Mail und löscht nichts von selbst. Sonst würde fepli Familien anschreiben oder löschen, ohne dass jemand eine Frist gewählt hat.

Die Vormerkung ist der vorsichtigere Weg. Jemand prüft die Liste und bestätigt den Löschlauf. Das Protokoll hält fest, wer wann was gelöscht hat.

Auf Wunsch erhalten Familien vorher eine Hinweis-Mail. Wer sich danach wieder anmeldet, startet die Frist neu. So verschwindet niemand, der das Programm noch nutzt.

Hinweis-Mail und Vormerken schließen sich aus. Ein Hinweis kündigt eine Löschung zu einem Datum an, und eine Liste, die jemand bestätigt, hat keins. Darum ist es eine Wahl mit drei Möglichkeiten: vormerken, Hinweis-Mail mit anschließendem automatischem Löschen oder automatisches Löschen ohne Hinweis. Bei der Vormerkung geht keine E-Mail an die Familie.

Dateien, die Familien mit einer Anmeldung hochladen oder per E-Mail schicken, haben ebenfalls eine eigene Frist: ohne Eintrag ein Jahr nach dem Ende ihrer Saison. Ein Schwimmabzeichen wird gebraucht, solange das Angebot bevorsteht und für Rückfragen danach, aber nicht so lange wie die Anmeldung selbst. Die Anmeldung und die Nachricht bleiben, nur die Datei wird gelöscht. Anders als bei Belegen und Einwilligungsnachweisen löscht fepli diese Dateien ohne weitere Einstellung nachts: An ihnen hängt keine Pflicht zur Aufbewahrung, die jemand vorher prüfen müsste.

Kopien versendeter E-Mails und SMS haben eine eigene Frist, ohne Eintrag zwei Jahre ab dem Versand. So lässt sich eine Zustellung noch klären, wenn eine Familie Monate später nachfragt. Auch hier löscht fepli nichts von selbst; nachts gelöscht wird erst, wenn jemand in der Zeile E-Mails und SMS Automatisch wählt. Unterhaltungen am Vorgang und das Versandprotokoll bleiben dabei.

Das Versandprotokoll hält ohne Texte fest, wer wann welche Nachricht erhalten hat. Daran erkennen die nächtlichen Läufe, ob eine Erinnerung oder Liste schon verschickt ist; fehlte der Eintrag, schickten sie sie erneut. Einträge zu laufenden Angeboten und Saisons bleiben deshalb über die Frist hinaus, ebenso Einträge zu Nachrichten im Postausgang. Ohne eigene Frist gelten drei Jahre, ein Jahr länger als für die Kopien, damit der Nachweis des Versands seinen Text überdauert; nachts gelöscht wird auch hier erst mit Automatisch.

Warum Anmeldungen und Belege bleiben

Hat eine Familie bezahlt, gibt es einen Beleg. Belege müssen nach Steuer- und Handelsrecht jahrelang unverändert bleiben, ohne eigene Einstellung sind es acht Jahre. Ihre Positionen verweisen auf Anmeldungen mit Angebot und Beitrag. Deshalb löscht fepli mit einer Person nie ihre Anmeldungen.

fepli pseudonymisiert sie: Eine Anmeldung verliert den Bezug zur Teilnehmer:in sowie ihre Antworten, Dateien und Kommentare. Bei einer Anmeldung ohne Konto fällt auch die Anschrift weg. Angebot, Status, Beitrag und Alter bleiben, damit Belege, Plätze und Statistik weiter stimmen. Die Rechnungsangaben auf dem Beleg selbst bleiben wegen der Aufbewahrungspflicht erhalten.

Das Pseudonym hält die Anmeldungen einer gelöschten Person zusammen, damit die Statistik einer Saison Kinder zählen kann. Ist in der Zeile Pseudonyme eine Frist eingetragen, entfernt fepli es so viele Jahre nach dem Ende der Saison. Die Anmeldungen bleiben dann erhalten, gehören aber niemandem mehr. Ab Werk ist das abgeschaltet, weil die Statistik dieser Saisons danach keine einzelnen Kinder mehr zählt.

Nach Ablauf der Aufbewahrungsfrist entfernt ein Lauf unter Betroffenenrechte Name, Anschrift und E-Mail-Adresse von den Belegen. Betrag, Nummer und Positionen bleiben, denn Buchhaltung und Statistik greifen auf sie zu, und in der Nummernfolge soll keine Lücke entstehen. Mit den Angaben löscht der Lauf das gespeicherte PDF des Belegs, denn es nennt die Zahler:in ebenso. Den Lauf startet ein Super-Admin; nachts läuft er erst, wenn jemand in der Zeile Belege Automatisch wählt.

Warum Einwilligungen bleiben

Eine Einwilligung erlaubt etwas, das über die Teilnahme hinausreicht. Die Fotos vom Zeltlager stehen noch auf der Website des Vereins, wenn die Familie ihr Konto längst gelöscht hat. Solange niemand widerruft, gilt die Einwilligung weiter, und der Verein muss sie nachweisen können.

Deshalb löscht fepli eine erteilte Einwilligung nicht mit der Person. Der Eintrag verliert die Verbindung zu Konto und Teilnehmer:in und behält den Namen. Ohne Namen wäre er kein Nachweis, und niemand könnte die Einwilligung später widerrufen.

Wer seine Daten löschen lässt, meint damit oft auch den Widerruf, aber nicht immer. Manche Familie will ihr Konto loswerden und hat nichts gegen die Fotos des letzten Sommers. fepli entscheidet das nicht für sie: Jeder Löschdialog fragt nach, und ohne Antwort bleibt die Einwilligung bestehen. Der Löschlauf fragt niemanden und widerruft deshalb nichts.

Ein Widerruf nützt der Familie nur, wenn ihn erfährt, wer die Fotos hat. Deshalb schickt fepli nach jedem Widerruf eine E-Mail an die Veranstalter:innen, bei einer Einwilligung der Saison auch an das Team. Die E-Mail nennt den Namen, anders als die übrigen E-Mails an Veranstalter:innen. Nach einer Löschung steht in der Teilnahmeliste nur noch ein Pseudonym.

Nicht jede Einwilligung reicht so weit. Eine Badeerlaubnis hat sich erledigt, wenn das Angebot vorbei ist. Die Geltungsdauer einer Erklärung legt fest, wann das der Fall ist.

Nach dem Ende einer Einwilligung wird ihr Nachweis noch gebraucht, falls jemand die Verarbeitung später anzweifelt. Nach der Frist in der Zeile Einwilligungsnachweise löscht fepli auch ihn. Ohne eigene Einstellung sind das drei Jahre ab Jahresende, denn so lange lassen sich Ansprüche in der Regel geltend machen.

Eine abgelehnte Erklärung hat nichts erlaubt und beweist nichts. Sie gehört zu den Daten der Person und wird mit ihr gelöscht.

Warum jede Löschung gleich verläuft

Eine Person lässt sich an fünf Stellen löschen: auf der Website durch die Familie selbst, unter Konten oder Teilnehmer:innen, in der Akte der Betroffenenrechte, über die API und im Löschlauf. Alle Wege löschen dieselben Daten. So bleibt von einer Person dasselbe übrig, gleich wer sie löscht, und Belege und Statistik stimmen danach.

Anmeldungen für Angebote, die noch bevorstehen, setzt fepli zuerst auf abgemeldet. Die Plätze gehen dann an die Warteliste wie nach jeder Abmeldung; sonst hielte eine gelöschte Person Plätze fest. Erst danach werden die Anmeldungen pseudonymisiert und Konto und Teilnehmer:innen gelöscht, mit Kontaktdaten, Anschriften, Passkeys und E-Mails.

Für die Zahllast gelten dabei die Regeln der Abmeldung durch die Familie. In der kostenfreien Zeit und bei einer Sofortstornierung entfällt sie. Nach der Frist Kostenfrei bis vor Beginn bleibt sie, ebenso dort, wo Nach der Frist gar nicht mehr oder Nicht nach Anmeldeschluss die Abmeldung sperren. Sonst wäre das Löschen des Kontos ein Weg, einem Beitrag zu entgehen.

Bezahlte Beiträge, deren Zahllast entfällt, zahlt fepli nicht selbst zurück. Jeder Löschdialog nennt sie deshalb vorher, und danach stehen die Anmeldungen unter Erstattung fällig, bis das Team erstattet hat.

Ein Beitrag, der nach der Löschung noch offen wäre, ließe sich niemandem mehr in Rechnung stellen, denn die Anmeldung gehört dann zu keinem Konto mehr. Deshalb löscht eine Familie ihr Konto erst, wenn sie bezahlt hat. Bis dahin zeigt die Website ihr die offenen Beiträge.

Das Team entscheidet selbst. Seine Löschdialoge nennen offene Beiträge vorher, damit es sie abrechnen oder die Zahllast entfernen kann; löschen kann es trotzdem. Auch Löschungen über die API und im Löschlauf warten nicht auf offene Beiträge.

Jede Löschung steht im Protokoll der Betroffenenrechte, mit dem Weg, auf dem sie ausgelöst wurde. Das Protokoll behält die Kennung der Person, ihren Namen entfernt es auch aus früheren Einträgen. Sonst bliebe das Protokoll das Letzte, was die Person noch erkennbar macht.

Löschen oder einschränken?

Wer die Verarbeitung einschränkt, löscht nichts. Die Daten bleiben gespeichert, aber fepli bezieht sie weder in Verlosungen noch in Rundmails oder Löschläufe ein. Das passt, solange eine Person die Richtigkeit ihrer Daten bestreitet oder die Löschung ablehnt und die Aufbewahrung verlangt.

Eine Einschränkung bedeutet deshalb oft, dass die Person ihre Daten behalten will. fepli sperrt dann jede Löschung außer der Löschung über eine Anfrage unter Betroffenenrechte. Auch auf der Website kann die Familie ihr Konto dann nicht selbst löschen; sie muss sich an das Team wenden.

Die Einschränkung einer Teilnehmer:in sperrt auch das Löschen ihres Kontos, denn das Konto nähme sie beim Löschen mit. Die Einschränkung eines Kontos sperrt das Löschen seiner Teilnehmer:innen, so wie sie auch bei Verlosung und Nachrücken für sie gilt.

Warum der Weg über die Betroffenenrechte führt

Das Protokoll verzeichnet jede Löschung, doch erst die Akte der Betroffenenrechte verbindet sie mit einer Anfrage. Dort sind die Identität geprüft und die Frist sichtbar, und der Protokolleintrag verweist auf die Vorgangsnummer. Die Anfrage behält den Namen als Nachweis, das Protokoll nur die Kennung.

Die Akte zeigt außerdem vorher, was mit den Daten jeder Kategorie geschieht. Sie ist der einzige Weg, der eine eingeschränkte Verarbeitung übergeht, weil nur hier eine geprüfte Anfrage der Person vorliegt. Verlangt eine Person die Löschung ihrer Daten, führt der Weg deshalb über ihre Anfrage.