stadtwerke/innungsapp/apps/admin/app/datenschutz/page.tsx

import LegalPageShell from '../components/LegalPageShell'

export default function DatenschutzPage() {
  return (
    <LegalPageShell
      title="Datenschutzerklaerung"
      subtitle="Informationen zur Verarbeitung personenbezogener Daten fuer Website, Admin-Portal und App-Dienste."
    >
      <div className="legal-sections">
        <section className="legal-section">
          <h2>1. Verantwortlicher</h2>
          <p>Johannes Tils, Zeppelinstr. 21, 42781 Haan, Deutschland</p>
          <p>
            E-Mail:{' '}
            <a className="legal-link" href="mailto:johannestils@aol.com">
              johannestils@aol.com
            </a>
          </p>
          <p className="muted">
            Diese Erklaerung gilt fuer die Nutzung von innungsapp.com und den dazugehoerigen App-Diensten.
          </p>
        </section>

        <section className="legal-section">
          <h2>2. Rollen nach DSGVO</h2>
          <p>
            Bei der Bereitstellung der Plattform fuer Innungen gilt regelmaessig: Die jeweilige Innung bzw.
            Organisation ist Verantwortlicher, InnungsApp ist Auftragsverarbeiter.
          </p>
          <p>
            Fuer diese Verarbeitung wird vor dem Go-Live ein Auftragsverarbeitungsvertrag (AVV) gemaess Art.
            28 DSGVO abgeschlossen.
          </p>
          <p>
            Bei reinem Besuch der Landingpage (ohne Kundenkonto) verarbeiten wir Daten als eigener
            Verantwortlicher.
          </p>
        </section>

        <section className="legal-section">
          <h2>3. Zwecke und Rechtsgrundlagen</h2>
          <p>Wir verarbeiten personenbezogene Daten insbesondere fuer folgende Zwecke:</p>
          <ul className="legal-list">
            <li>Bereitstellung der Plattform und Nutzerkonten</li>
            <li>Mitgliederverwaltung, Kommunikation und Terminfunktionen</li>
            <li>Versand von E-Mails, z. B. Einladungen und Login-Links</li>
            <li>Sicherheits-, Betriebs- und Missbrauchspraevention</li>
            <li>Optionale KI-Unterstuetzung ueber OpenRouter</li>
            <li>Optionale Reichweitenmessung der Landingpage ueber PostHog (nur nach Einwilligung)</li>
          </ul>
          <p className="muted">
            Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Vertragsanbahnung), lit.
            c DSGVO (rechtliche Pflicht), lit. f DSGVO (berechtigtes Interesse) und soweit erforderlich lit.
            a DSGVO (Einwilligung).
          </p>
        </section>

        <section className="legal-section">
          <h2>4. Verarbeitete Datenkategorien</h2>
          <ul className="legal-list">
            <li>Stammdaten, z. B. Name, E-Mail, Telefonnummer, Organisation</li>
            <li>Nutzungsdaten und technische Protokolldaten, z. B. IP-Adresse, Zeitstempel, Events</li>
            <li>Inhaltsdaten, z. B. Nachrichten, Termine, hochgeladene Dateien und Dokumente</li>
            <li>Push-Token fuer Benachrichtigungen</li>
          </ul>
        </section>

        <section className="legal-section">
          <h2>5. Empfaenger und Dienstleister</h2>
          <p>Wir setzen folgende Kategorien von Empfaengern bzw. Unterauftragsverarbeitern ein:</p>
          <ul className="legal-list">
            <li>Hosting-Infrastruktur in den USA (Texas); Administration erfolgt durch uns aus der EU unter strengen Zugriffsbeschraenkungen</li>
            <li>E-Mail-Infrastruktur in den USA (Texas); Administration erfolgt durch uns aus der EU unter strengen Zugriffsbeschraenkungen</li>
            <li>OpenRouter fuer optionale KI-Funktionen, sofern von der Innung aktiviert</li>
            <li>PostHog fuer optionale Webanalyse der Landingpage (nur nach Einwilligung)</li>
            <li>Apple APNs und Google FCM fuer Push-Benachrichtigungen</li>
          </ul>
          <p className="muted">
            Eine aktuelle Liste eingesetzter Unterauftragsverarbeiter stellen wir auf Anfrage bzw. im AVV
            bereit.
          </p>
        </section>

        <section className="legal-section">
          <h2>6. Drittlanduebermittlung</h2>
          <p>
            Eine Verarbeitung personenbezogener Daten kann in den USA stattfinden. Soweit
            Drittlanduebermittlungen an externe Empfaenger erfolgen (z. B. Anbieter/Provider in den USA),
            schliessen wir EU-Standardvertragsklauseln (SCC) als geeignete Garantien nach Art. 44 ff. DSGVO
            ab.
          </p>
          <p>
            Sofern Daten in den USA verarbeitet werden, dokumentieren wir zusaetzlich Transfer Impact
            Assessments (TIA) und setzen technische sowie organisatorische Schutzmassnahmen um, insbesondere
            Verschluesselung bei Uebertragung (TLS) und Speicherung, Zugriffsbeschraenkungen (MFA,
            rollenbasiert), Protokollierung sowie regelmaessige Berechtigungspruefungen. Details und aktuelle
            Unterauftragsverarbeiter sind im AVV dokumentiert.
          </p>
        </section>

        <section className="legal-section">
          <h2>7. KI-Funktionen ueber OpenRouter (optional)</h2>
          <p>
            KI-Funktionen sind optional und werden nur genutzt, wenn die jeweilige Innung diese Funktion
            aktiviert.
          </p>
          <ul className="legal-list">
            <li>Verarbeitete Daten: Texteingaben, Prompts und generierte Antworten</li>
            <li>Zweck: Formulierungshilfen und inhaltliche Unterstuetzung in der Plattform</li>
            <li>Rechtsgrundlage: je nach Einsatz Art. 6 Abs. 1 lit. b, lit. f oder lit. a DSGVO</li>
            <li>Drittlandbezug: kann je nach Modellanbieter bestehen</li>
          </ul>
          <p className="muted">
            Es sollten keine besonderen Kategorien personenbezogener Daten in KI-Prompts eingegeben werden,
            sofern dies nicht ausdruecklich freigegeben und vertraglich geregelt ist.
          </p>
        </section>

        <section className="legal-section">
          <h2>8. Push-Benachrichtigungen</h2>
          <p>
            Fuer Push-Benachrichtigungen nutzen wir die Plattformdienste Apple Push Notification Service (APNs)
            und Firebase Cloud Messaging (FCM). Dabei werden technische Push-Token verarbeitet.
          </p>
          <p>
            Dabei kann eine Uebermittlung in Drittlaender (insb. USA) nicht ausgeschlossen werden; in der Regel
            werden jedoch nur technische Token und Zustellinformationen verarbeitet.
          </p>
        </section>

        <section className="legal-section">
          <h2>9. Sicherheit und Protokollierung (TOMs)</h2>
          <ul className="legal-list">
            <li>Transportverschluesselung (TLS) und abgesicherte Admin-Zugaenge</li>
            <li>Rollen- und Berechtigungskonzepte nach dem Need-to-know-Prinzip</li>
            <li>Protokollierung sicherheitsrelevanter Zugriffe und Systemereignisse</li>
            <li>Backup- und Wiederherstellungsprozesse</li>
          </ul>
        </section>

        <section className="legal-section">
          <h2>10. Speicherdauer und Loeschung</h2>
          <p>
            Wir speichern personenbezogene Daten nur so lange, wie es fuer die genannten Zwecke erforderlich
            ist oder gesetzliche Aufbewahrungspflichten bestehen.
          </p>
          <p>
            Konkrete Loesch- und Aufbewahrungsfristen werden im AVV, im Loeschkonzept und in den vertraglichen
            Vereinbarungen mit der jeweiligen Innung geregelt.
          </p>
          <p>
            System- und Sicherheitsprotokolle speichern wir in der Regel fuer 90 Tage. Technische
            Debug-/Fehlerprotokolle speichern wir in der Regel fuer 30 Tage.
          </p>
          <p>
            Backups werden als Rolling-Backups in der Regel nach 90 Tagen ueberschrieben, sofern keine
            gesetzlichen Aufbewahrungspflichten entgegenstehen.
          </p>
        </section>

        <section className="legal-section">
          <h2>11. Cookies, Consent und Webanalyse</h2>
          <p>
            Auf der Landingpage setzen wir optionale Analyse mit PostHog nur nach vorheriger Einwilligung ein.
            Vor Einwilligung wird PostHog nicht gestartet.
          </p>
          <p>
            Im Rahmen der Webanalyse koennen Nutzungsdaten (z. B. Seitenaufrufe, Interaktionen und technische
            Metadaten) verarbeitet werden. Die Speicherdauer der Analysedaten betraegt 12 Monate.
          </p>
          <p>
            PostHog wird in der EU-Region betrieben. Sollte im Einzelfall eine abweichende Region genutzt
            werden, informieren wir darueber vorab und holen ggf. erforderliche Einwilligungen ein.
          </p>
          <p>
            Ihre Consent-Entscheidung wird lokal auf Ihrem Geraet gespeichert und kann jederzeit ueber den Link
            "Cookie-Einstellungen" im Footer geaendert werden.
          </p>
        </section>

        <section className="legal-section">
          <h2>12. Ihre Rechte</h2>
          <p>
            Ihnen stehen insbesondere die Rechte auf Auskunft, Berichtigung, Loeschung, Einschraenkung der
            Verarbeitung, Datenuebertragbarkeit sowie Widerspruch zu.
          </p>
          <p className="muted">
            Wenn Daten im Auftrag einer Innung verarbeitet werden, richten Sie Anfragen bitte primaer an die
            jeweilige Innung als Verantwortliche.
          </p>
          <p className="muted">
            Als Auftragsverarbeiter unterstuetzen wir die jeweilige Innung bei der Erfuellung von
            Betroffenenrechten gemaess den Regelungen im AVV.
          </p>
        </section>

        <section className="legal-section">
          <h2>13. Konto- und Datenloeschung</h2>
          <p>
            Loeschanfragen koennen per E-Mail an{' '}
            <a className="legal-link" href="mailto:johannestils@aol.com">
              johannestils@aol.com
            </a>{' '}
            gestellt werden. Zur Sicherheit kann eine Identitaetspruefung erforderlich sein. Die Bearbeitung
            erfolgt in der Regel innerhalb von 30 Tagen.
          </p>
        </section>

        <section className="legal-section">
          <h2>14. Beschwerderecht</h2>
          <p>Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehoerde zu beschweren.</p>
        </section>
      </div>
    </LegalPageShell>
  )
}