Verarbeitungsverzeichnis (Art. 30 DSGVO)

Zuletzt aktualisiert: 1. März 2026

Gemäß Art. 30 Abs. 1 DSGVO führt OpenHospi als Verantwortlicher dieses Verzeichnis aller Verarbeitungstätigkeiten personenbezogener Daten.

Auf dieser Seite

1. Nutzerprofile
2. Profilfotos
3. Zimmeranzeigen
4. Bewerbungen
5. Chatnachrichten
6. Sitzungsdaten
7. Moderationsdaten
8. Einwilligungsdatensätze
9. Push-Benachrichtigungs-Abonnements
10. Kalenderabonnement-Feed
11. Fehlerberichterstattung & Crash-Monitoring

1. Nutzerprofile

Zweck	Bereitstellung der Studentenzimmerplattform
Kategorien betroffener Personen	Registrierte Studierende
Datenkategorien	Name, E-Mail-Adresse, Geburtsdatum, Geschlecht, Studiengang, Bildungseinrichtung, Bio, Lebensstil-Tags, bevorzugte Stadt, verfügbar ab, maximale Miete
Rechtsgrundlage	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Empfänger	Andere Plattformnutzer (eingeschränkte Profilansicht)
Übermittlungen außerhalb des EWR	Nein, alle Verarbeitung innerhalb der EU/des EWR
Aufbewahrung	Bis zur Kontolöschung
Sicherheit	Row-Level Security (RLS), verschlüsselter Transport (TLS), rollenbasierte Zugriffskontrolle

2. Profilfotos

Zweck	Profilidentifikation und visuelle Wiedererkennung
Kategorien betroffener Personen	Registrierte Studierende
Datenkategorien	bis zu 5 Fotos pro Nutzer
Rechtsgrundlage	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Empfänger	Andere Plattformnutzer (authentifiziert)
Übermittlungen außerhalb des EWR	Nein, alle Verarbeitung innerhalb der EU/des EWR
Aufbewahrung	Bis zur Löschung durch den Nutzer oder Kontolöschung
Sicherheit	Supabase Storage mit Zugriffsrichtlinien, verschlüsselte Speicherung

3. Zimmeranzeigen

Zweck	Wohnungsmarktplatz-Funktionalität und geografische Suche
Kategorien betroffener Personen	Registrierte Studierende (Zimmeranbieter)
Datenkategorien	Adresse, Stadt, Koordinaten, Mietpreis, Zimmerdetails, Fotos, Verfügbarkeit
Rechtsgrundlage	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Empfänger	Alle authentifizierten Nutzer
Übermittlungen außerhalb des EWR	Nein, alle Verarbeitung innerhalb der EU/des EWR
Aufbewahrung	Bis zur Löschung durch den Eigentümer oder Kontolöschung
Sicherheit	RLS-Richtlinien (nur Eigentümer kann bearbeiten), verschlüsselter Transport

4. Bewerbungen

Zweck	Vermittlung von Suchenden und Zimmern sowie Verwaltung des Hospiteerprozesses
Kategorien betroffener Personen	Registrierte Studierende (Zimmersuchende)
Datenkategorien	persönliche Nachricht, Bewerbungsstatus
Rechtsgrundlage	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Empfänger	Zimmereigentümer und Hausmitglieder der betreffenden Wohnung
Übermittlungen außerhalb des EWR	Nein, alle Verarbeitung innerhalb der EU/des EWR
Aufbewahrung	Bis zum Zurückziehen durch den Suchenden oder Kontolöschung
Sicherheit	RLS-Richtlinien beschränkt auf beteiligte Parteien

5. Chatnachrichten

Zweck	Kommunikation zwischen Suchenden und Hausmitgliedern
Kategorien betroffener Personen	Registrierte Studierende (Gesprächsteilnehmer)
Datenkategorien	Ende-zu-Ende verschlüsselter Nachrichteninhalt, Zeitstempel, verschlüsselte Sitzungsschlüssel
Rechtsgrundlage	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Empfänger	Nur Gesprächsteilnehmer (Inhalt für OpenHospi nicht lesbar)
Übermittlungen außerhalb des EWR	Nein, alle Verarbeitung innerhalb der EU/des EWR
Aufbewahrung	Bis zur Kontolöschung
Sicherheit	Ende-zu-Ende-Verschlüsselung (AES-256-GCM mit ECDH-Schlüsselaustausch), nur Teilnehmer können entschlüsseln

6. Sitzungsdaten

Zweck	Authentifizierung und Sicherheitsüberwachung
Kategorien betroffener Personen	Registrierte Studierende
Datenkategorien	IP-Adresse, User Agent, Sitzungstoken
Rechtsgrundlage	Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)
Empfänger	Keine (ausschließlich interne Verwendung)
Übermittlungen außerhalb des EWR	Nein, alle Verarbeitung innerhalb der EU/des EWR
Aufbewahrung	IP-Adresse anonymisiert 30 Tage nach Sitzungsablauf; Sitzungsdatensatz gelöscht nach 90 Tagen
Sicherheit	Ausschließlich serverseitige Verarbeitung, verschlüsselte Speicherung

7. Moderationsdaten

Zweck	Plattformsicherheit und Missbrauchsprävention
Kategorien betroffener Personen	Registrierte Studierende (Melder und gemeldete Nutzer)
Datenkategorien	Meldungen, Sperrungen, temporär entschlüsselter Nachrichtentext (durch den Melder bereitgestellt)
Rechtsgrundlage	Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)
Empfänger	Ausschließlich das Admin-Team
Übermittlungen außerhalb des EWR	Nein, alle Verarbeitung innerhalb der EU/des EWR
Aufbewahrung	Entschlüsselter Nachrichtentext automatisch gelöscht 90 Tage nach Abschluss
Sicherheit	Ausschließlich Admin-Zugriff, vollständige Audit-Protokollierung

8. Einwilligungsdatensätze

Zweck	Nachweis einer gültigen Einwilligung (Art. 7 DSGVO)
Kategorien betroffener Personen	Registrierte Studierende und Websitebesucher
Datenkategorien	Einwilligungszweck, erteilt/widerrufen Status, IP-Adresse, User Agent, Datenschutzerklärungsversion, Zeitstempel
Rechtsgrundlage	Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)
Empfänger	Keine (ausschließlich interne Auditzwecke)
Übermittlungen außerhalb des EWR	Nein, alle Verarbeitung innerhalb der EU/des EWR
Aufbewahrung	IP-Adresse anonymisiert nach 365 Tagen; Einwilligungsdatensätze aufbewahrt, solange für Nachweiszwecke erforderlich
Sicherheit	Unveränderliches Auditprotokoll, verschlüsselte Speicherung

9. Push-Benachrichtigungs-Abonnements

Zweck	Zustellung von Push-Benachrichtigungen an Nutzer
Kategorien betroffener Personen	Registrierte Studierende, die Push-Benachrichtigungen aktiviert haben
Datenkategorien	Endpunkt-URL, Verschlüsselungsschlüssel für Push-Dienst
Rechtsgrundlage	Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
Empfänger	Browser-Push-Dienst (technisch für die Zustellung erforderlich)
Übermittlungen außerhalb des EWR	Nein, alle Verarbeitung innerhalb der EU/des EWR
Aufbewahrung	Bis zur Abmeldung durch den Nutzer oder Kontolöschung
Sicherheit	Web-Push-Protokoll mit Ende-zu-Ende-Verschlüsselung

10. Kalenderabonnement-Feed

Zweck	Synchronisation von Hospi-Veranstaltungen mit der Kalender-App des Nutzers
Kategorien betroffener Personen	Registrierte Studierende, die das Kalenderabonnement aktiviert haben
Datenkategorien	Kalender-Token (UUID), Hospi-Veranstaltungstitel, Daten, Zeiten, Orte
Rechtsgrundlage	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Nutzer aktiviert das Abonnement selbst
Empfänger	Kalender-App-Anbieter des Nutzers (Google, Apple, Microsoft usw.)
Übermittlungen außerhalb des EWR	Nein, alle Verarbeitung innerhalb der EU/des EWR
Aufbewahrung	Token besteht, solange das Konto aktiv ist; wird bei Kontolöschung gelöscht
Sicherheit	Nicht erratbares UUID-Token, nur HTTPS, durch Nutzer widerrufbar

11. Fehlerberichterstattung & Crash-Monitoring

Zweck	Sicherstellung der App-Stabilität, Identifizierung und Behebung technischer Fehler
Kategorien betroffener Personen	Alle App-Nutzer (anonymisiert, keine Nutzeridentifizierung möglich)
Datenkategorien	Stack-Traces, Gerätemodell, Betriebssystemversion, App-Version, Fehlerkontext
Rechtsgrundlage	Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)
Empfänger	Sentry (Functional Software Inc.): Auftragsverarbeitungsvertrag mit SCCs abgeschlossen
Übermittlungen außerhalb des EWR	Keine Endnutzerdaten übermittelt. Interne organisatorische Metadaten von Sentry können in die USA repliziert werden
Aufbewahrung	90 Tage
Sicherheit	Keine personenbezogenen Daten erhoben, Daten durch Design anonymisiert, EU-Speicherung (Frankfurt)