Datenschutz

1. Verantwortliche Stelle

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Verein:

Tax Law Clinic Hannover e.V. i.G.
Königsworther Platz 1
30167 Hannover
E-Mail: kontakt@taxlawclinic.de

Der Verein ist noch nicht im Vereinsregister eingetragen. Er wird vertreten durch den Vorstand: Lennart Sindermann, Prof. Dr. Kay Blaufus und Jacques Blum. Betreiber dieser Website ist der Verein, nicht die Leibniz Universität Hannover.

2. Aufruf dieser Website (Server-Logs)

Beim Aufruf unserer Seiten werden automatisch Daten in Server-Protokolldateien gespeichert: aufgerufene Adresse, Zeitpunkt, übertragene Datenmenge, Browsertyp und Betriebssystem sowie die IP-Adresse. Diese Daten dienen ausschließlich dem sicheren und stabilen Betrieb. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im technisch fehlerfreien Betrieb. Die Protokolle werden nach spätestens acht Tagen gelöscht; der Webserver beginnt täglich eine neue Protokolldatei und bewahrt die sieben vorangegangenen auf.

Daneben führt die Anwendung ein Fehlerprotokoll. Es hält technische Fehler fest und kann dabei die aufgerufene Adresse und, wenn der Versand einer E-Mail scheitert, die betroffene E-Mail-Adresse enthalten. Das Protokoll ist in der Größe begrenzt; ältere Einträge werden überschrieben.

3. Cookies

Diese Website setzt keine Cookies zu Analyse- oder Werbezwecken. Technisch notwendig sind zwei Cookies: Beim Aufruf einer Seite mit Formular wird ein Cookie gesetzt, das vor websiteübergreifender Anfragenfälschung schützt (csrftoken). Beim Absenden eines Formulars kommt ein Sitzungs-Cookie hinzu (sessionid), über das wir die Bestätigungsseite anzeigen. Beide verfallen mit dem Schließen des Browsers. Seiten ohne Formular setzen kein Cookie. Eine Einwilligung ist dafür nicht erforderlich.

Wer die Website vor ihrer Veröffentlichung über einen Vorschau-Link aufruft, erhält zusätzlich ein Cookie, das diesen Zugang 30 Tage lang merkt.

4. Kontakt- und Antragsformulare

Über unsere Formulare übermittelte Angaben speichern wir, um Ihr Anliegen zu bearbeiten. Im Einzelnen:

Formular	Zweck	Rechtsgrundlage	Löschung
Beratungsanfrage	Terminvereinbarung, Prüfung, ob Sie zum Beratungskreis gehören (Studierende in Hannover oder mit Wohnsitz in der Region Hannover) und Vorprüfung des Anliegens	Art. 6 Abs. 1 lit. b DSGVO	12 Monate nach Abschluss
Spendenanfrage	Abwicklung der Spende, Zuwendungsbestätigung	Art. 6 Abs. 1 lit. b und lit. c DSGVO	12 Monate nach Abschluss, wenn keine Spende eingeht; sonst bis zum Ablauf der steuerrechtlichen Aufbewahrungsfristen
Bewerbung Studierender	Auswahl der Beratenden	Art. 6 Abs. 1 lit. b DSGVO	6 Monate nach Abschluss
Kooperationsanfrage	Anbahnung und Pflege der Zusammenarbeit	Art. 6 Abs. 1 lit. b und lit. f DSGVO; unser berechtigtes Interesse liegt in der Zusammenarbeit mit Partnern aus der Praxis	24 Monate nach Abschluss
Allgemeine Anfrage	Beantwortung Ihrer Nachricht	Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Ihre Nachricht zu beantworten	6 Monate nach Abschluss

Die Fristen laufen ab dem Abschluss der Bearbeitung. Anfragen, die aus irgendeinem Grund nie abgeschlossen wurden, löschen wir spätestens 24 Monate nach ihrem Eingang.

Gespeichert werden die Angaben, die das jeweilige Formular abfragt:

• Beratungsanfrage: Name, E-Mail-Adresse, Telefonnummer, ob und wo Sie studieren, Themenfeld und Wunschtermin innerhalb unserer Sprechzeiten
• Bewerbung Studierender: Name, E-Mail-Adresse, Studiengang, Fachsemester, belegte steuerrechtliche Veranstaltungen und Motivation
• Spendenanfrage: Anrede, Name oder Organisation, E-Mail-Adresse, Betrag, Häufigkeit, der Wunsch nach einer Zuwendungsbestätigung samt der dafür nötigen Anschrift sowie Ihre Nachricht
• Kooperationsanfrage: Organisation, Ansprechperson, E-Mail-Adresse, Telefonnummer, Website, Art des Interesses und Ihre Nachricht
• Allgemeine Anfrage: Name, E-Mail-Adresse, Organisation, Betreff und Ihre Nachricht

Hinzu kommen zu jeder Einsendung der Eingangszeitpunkt, der Bearbeitungsstand, die zuständige Person, eine interne Notiz, der Erledigungszeitpunkt, der errechnete Löschzeitpunkt und die im Formular gesetzten Bestätigungen. Zahlungsdaten wie IBAN erheben wir über die Website nicht.

Die Angaben in unseren Formularen sind freiwillig. Ohne die als Pflichtfeld gekennzeichneten Angaben können wir die jeweilige Anfrage allerdings nicht bearbeiten.

Zur Beratungsanfrage im Besonderen: Das Formular fragt bewusst nur Kontaktdaten, ob und wo Sie studieren, ein grobes Themenfeld und einen Wunschtermin innerhalb unserer Sprechzeiten ab – alles außer den Kontaktdaten als Auswahl, ohne Freitext. Wer an einer Hochschule außerhalb von Hannover studiert, wird zusätzlich gefragt, ob er oder sie in der Region Hannover wohnt; diese Antwort speichern wir nicht. Einzelheiten Ihres steuerlichen Sachverhalts erfassen wir nicht über die Website, sondern erst im persönlichen Gespräch.

Zu jeder Einsendung versenden wir zwei E-Mails: eine Eingangsbestätigung an die angegebene Adresse und eine Benachrichtigung an unser Vereinspostfach. Die Bestätigung spricht Sie mit Ihrem Namen an und wiederholt Ihre Auswahlangaben, nicht aber Kontaktdaten und frei formulierte Texte. Die Benachrichtigung an uns enthält keine Angaben aus dem Formular; sie weist nur auf den Eingang hin. Bei uns liegen Ihre Angaben damit allein in der geschützten Verwaltung dieser Website und unterliegen den oben genannten Löschfristen.

Zusätzlich speichern wir zu jeder Einsendung einen mit einem Geheimnis gesalzenen Hashwert Ihrer IP-Adresse. An ihm lässt sich erkennen, ob mehrere Einsendungen von derselben Quelle stammen; er dient allein der Abwehr von Missbrauch und lässt sich ohne dieses Geheimnis nicht auf die IP-Adresse zurückrechnen. Die IP-Adresse selbst wird nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz der Formulare vor missbräuchlicher Nutzung. Der Hashwert wird zusammen mit der jeweiligen Einsendung gelöscht.

5. Schutz vor automatisierten Zugriffen (Cloudflare Turnstile)

Zum Schutz unserer Formulare vor missbräuchlicher Nutzung setzen wir Turnstile der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, ein. Der Dienst prüft, ob eine Einsendung von einem Menschen stammt. Dabei werden Daten an Cloudflare übermittelt: die IP-Adresse, der TLS-Fingerabdruck der Verbindung, die Browserkennung sowie die Kennung und Adresse unserer Website. Nach Angaben des Anbieters werden dabei keine Profile zu Werbezwecken gebildet.

Nach den Bedingungen von Cloudflare verarbeitet der Anbieter diese Daten in unserem Auftrag; daneben nutzt er sie in eigener Verantwortung, um Turnstile zu verbessern. Die Daten können in die USA übermittelt werden. Cloudflare, Inc. ist nach eigenen Angaben nach dem EU-US Data Privacy Framework zertifiziert und stützt sich ergänzend auf Standardvertragsklauseln.

Das Ergebnis der Prüfung speichern wir nicht. Festgehalten wird allein, wenn unser Server Cloudflare nicht erreichen konnte — dann bearbeiten wir Ihre Einsendung trotzdem und sehen sie gesondert durch, statt sie abzuweisen. Lässt sich die Prüfung dagegen in Ihrem Browser nicht ausführen, etwa weil das Skript blockiert wird, kann das Formular nicht abgesendet werden.

Turnstile wird erst geladen, nachdem Sie im jeweiligen Formular das Häkchen zur Einwilligung gesetzt haben; der Text an diesem Kästchen weist auf Cloudflare hin. Wer unsere Seiten nur liest oder ein Formular ausfüllt, ohne das Häkchen zu setzen, baut keine Verbindung zu Cloudflare auf. Ohne das Häkchen lässt sich das Formular nicht absenden; Sie erreichen uns dann über die oben genannten Kontaktdaten.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Näheres unter cloudflare.com/privacypolicy.

6. Newsletter

Für den Newsletter verwenden wir das Double-Opt-in-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach dem Klick nehmen wir Ihre Adresse in den Verteiler auf. Wir speichern Ihre E-Mail-Adresse und, falls angegeben, Ihren Namen. Wir protokollieren Anmelde- und Bestätigungszeitpunkt sowie jeweils einen gesalzenen Hashwert der IP-Adresse, um die Einwilligung nachweisen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit über den Abmeldelink am Ende jedes Newsletters widerrufen. Ihre Daten speichern wir, solange Sie den Newsletter beziehen. Nicht bestätigte Anmeldungen löschen wir nach 14 Tagen. Nach einer Abmeldung bewahren wir Adresse und Protokolldaten noch drei Jahre auf, um die frühere Einwilligung nachweisen zu können, und löschen sie dann; Newsletter erhalten Sie in dieser Zeit nicht mehr.

7. Empfänger und Auftragsverarbeitung

Den technischen Betrieb der Website besorgt für uns Dr. Michael Milde (Einzelunternehmen) als Auftragsverarbeiter; darüber besteht ein Vertrag nach Art. 28 DSGVO. Er setzt dafür als weiteren Auftragsverarbeiter die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, ein, auf deren Server die Website läuft; der Standort des Servers liegt in Deutschland.

Unsere E-Mails versenden wir über die IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, die wir dafür selbst beauftragt haben.

Die Website wird täglich gesichert. Wo diese Erklärung eine Löschung nennt, löschen wir sofort im laufenden Betrieb; in den Sicherungen bleiben die gelöschten Angaben noch bis zu 21 Tage erhalten. Sie werden dort allein zur Wiederherstellung nach einem technischen Fehler vorgehalten und danach überschrieben.

Eine darüber hinausgehende Weitergabe Ihrer Daten findet nicht statt, soweit wir nicht gesetzlich dazu verpflichtet sind.

8. Einbindung fremder Inhalte

Bilder und Skripte liefern wir ausschließlich von unserem eigenen Server aus. Schriften laden wir gar nicht nach; die Seiten verwenden die Schriften, die auf Ihrem Gerät vorhanden sind. Diese Website bindet keine Inhalte fremder Netze ein — weder Schriftdienste noch Kartendienste noch Netzwerke sozialer Medien. Beim bloßen Lesen unserer Seiten entsteht deshalb keine Verbindung zu Dritten. Einzige Ausnahme ist das unter Nummer 5 beschriebene Turnstile, das erst nach Ihrer Einwilligung in einem Formular geladen wird.

9. Verwaltungsbereich

Der interne Bereich dieser Website ist nur einem begrenzten Kreis zugänglich. Für diese Konten verarbeiten wir Anmeldename, E-Mail-Adresse, Rolle, einen Nachweis des Kennworts und, wo eine Zwei-Faktor-Anmeldung eingerichtet ist, deren Geheimnis. Änderungen, die ein Konto in der Verwaltung vornimmt, werden mit Zeitpunkt und Konto protokolliert.

Anmeldungen an diesem Bereich protokollieren wir. Festgehalten werden jeweils der Zeitpunkt, der verwendete Anmeldename, die Browserkennung, die aufgerufene Adresse und ein mit einem Geheimnis gesalzener Hashwert der IP-Adresse; bei Fehlversuchen zusätzlich die übermittelten Anmeldedaten ohne das Kennwort. Der Hashwert lässt sich ohne dieses Geheimnis nicht auf die IP-Adresse zurückrechnen; die IP-Adresse selbst wird nicht gespeichert.

Nach mehreren Fehlversuchen sperren wir die Anmeldung vorübergehend. Gesperrt wird dabei der Absender, von dem die Fehlversuche kamen, nicht das Konto. Einträge zu Fehlversuchen löschen wir nach einer erfolgreichen Anmeldung desselben Absenders, sonst spätestens am Tag nach Ablauf der Sperre. Erfolgreiche Anmeldungen und Abmeldungen bewahren wir 90 Tage auf, um einen unbefugten Zugriff auch im Nachhinein erkennen zu können, und löschen sie dann.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz der gespeicherten Anfragen vor unbefugtem Zugriff.

10. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt. Unabhängig davon weisen wir Einsendungen in folgenden Fällen automatisch ab:

• wenn die unter Nummer 5 beschriebene Prüfung sie als maschinell erzeugt einstuft
• wenn ein für Menschen unsichtbares Feld des Formulars ausgefüllt ist
• wenn das Formular wenige Sekunden nach dem Aufruf schon abgesendet wird
• wenn von derselben IP-Adresse in kurzer Zeit auffällig viele Einsendungen kommen

Wird Ihre Einsendung zurückgewiesen, erhalten Sie eine Meldung und können sich stattdessen per E-Mail an uns wenden.

Die Beratung richtet sich an Studierende der Hochschulen in Hannover und an Studierende auswärtiger Hochschulen, die in der Region Hannover wohnen. Geben Sie im Beratungsformular an, nicht dazuzugehören, schicken wir Ihnen an die angegebene Adresse eine kurze Absage per E-Mail. Die Anfrage wird dann nicht gespeichert.

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Widerspruchsrecht: Soweit wir Ihre Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie dieser Verarbeitung jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO).

Wenden Sie sich dafür an kontakt@taxlawclinic.de. Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu, für uns bei der Landesbeauftragten für den Datenschutz Niedersachsen.

12. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt jeweils die hier abrufbare Fassung.