1. Kurz erklärt

2. Verantwortliche Stelle und Datenschutzbeauftragte

Verantwortlich für die Verarbeitung Ihrer Daten in CIVITAS ist die Kirchengemeinde, bei der Ihr Konto besteht. Ihre Anschrift und die Kontaktdaten ihrer/ihres Datenschutzbeauftragten stehen an dieser Stelle, sobald Sie angemeldet sind oder diese Seite aus der App bzw. über den Link Ihrer Gemeinde öffnen.

Weil die verantwortliche Stelle eine evangelische Kirchengemeinde ist, gilt statt der Datenschutz-Grundverordnung (DSGVO) das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD, Art. 91 DSGVO). Es entspricht inhaltlich weitgehend der DSGVO.

3. Betrieb von CIVITAS und Dienstleister

Betreiber (Auftragsverarbeiter)
CIVITAS wird von der Bach & Engel Software GbR betrieben (siehe Impressum). Sie verarbeitet die Daten ausschließlich im Auftrag und nach Weisung der Gemeinde auf Grundlage eines Vertrags zur Auftragsverarbeitung (§ 30 DSG-EKD) und nutzt sie nie für eigene Zwecke. Zugriff auf Inhalte hat sie nur, soweit es für Betrieb, Wartung und Fehlerbehebung unvermeidbar ist.

Rechenzentrum
Server und Datenbank betreibt die Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland (Falkenstein). E-Mails verschickt CIVITAS über die ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, ebenfalls aus Rechenzentren in Deutschland. Beide sind Unterauftragsverarbeiter.

Weitere Dienste – nur für Push-Benachrichtigungen
Nur wenn Sie Push-Benachrichtigungen einschalten, werden Apple bzw. Google für die Zustellung eingebunden (siehe Push-Benachrichtigungen). Diese Nachrichten enthalten keine Namen und keine Inhalte.

KI-Assistent civi – nur für das Team und nur, wenn die Gemeinde ihn einschaltet
Fragen, die Mitarbeitende an civi stellen, verarbeitet OpenAI im Auftrag des Betreibers (Unterauftragsverarbeiter, siehe civi). Namen und Kontaktdaten entfernt CIVITAS vor dem Senden; Daten von Konfis und Eltern erhält OpenAI nicht.

Bibeltexte
Die Texte der Bibel holt der Server von CIVITAS bei der Free Use Bible API (AO Lab, bible.helloao.org) und speichert sie selbst. Dabei werden keine Daten über Sie übermittelt; Ihr Gerät verbindet sich nie mit diesem Dienst.

Keine Weitergabe
Darüber hinaus gibt niemand Ihre Daten weiter – außer die Gemeinde ist gesetzlich dazu verpflichtet. Es gibt keine Werbung, keine Analyse- oder Tracking-Dienste, keine Nutzungsprofile und keine automatisierten Entscheidungen.

4. Welche Daten, wofür und wie lange

Rechtsgrundlage ist, soweit nicht anders angegeben, § 6 Nr. 3 DSG-EKD: Die Verarbeitung ist für die Aufgabe der Gemeinde erforderlich, Jugendliche auf die Konfirmation vorzubereiten. Für freiwillige Funktionen (z. B. Push-Benachrichtigungen) ist es Ihre Einwilligung (§ 6 Nr. 2, § 11 DSG-EKD), die Sie jederzeit widerrufen können, ohne dass die bisherige Verarbeitung dadurch unrechtmäßig wird.

Bereich	Daten	Wofür	Wie lange
Konto und Profil	Name, E-Mail, Kennwort (nur als sicherer Hash), Geburtsdatum, Geschlecht, Anschrift, Handynummer, Schule und Klasse, KU-Gruppe, Kirche	Anmeldung, Einteilung in Gruppen, Kontakt, Organisation der Konfizeit	bis zur Löschung des Kontos – spätestens nach der Konfizeit (mit Ankündigung von 3 bis 60 Tagen auf der Startseite), dann noch 30 Tage im Papierkorb der Gemeinde (Schutz vor versehentlichem Löschen)
Taufe und Familie	Taufdatum und -ort, Namen der Eltern, Telefonnummer der Eltern, Konfession der Eltern	Vorbereitung der Konfirmation, Kontakt zu den Eltern. Angaben zur Religion sind besonders geschützt; die Kirchengemeinde verarbeitet sie nur für ihre kirchlichen Aufgaben (§ 13 DSG-EKD).	wie Konto und Profil
Einladung per E-Mail	E-Mail-Adresse, an die die Einladung ging, und – wenn die Gemeinde sie angegeben hat – Vor- und Nachname; KU-Gruppe, Gültigkeit, wann sie verschickt wurde, eine persönliche Nachricht des Teams und nach der Registrierung, welches Konto daraus entstand	Einladung zur Konfizeit; Name und Adresse sind beim Registrieren über den Link schon eingetragen	bis zur Registrierung oder zum Ablauf der Einladung (höchstens 6 Monate), danach noch 30 Tage; widerrufene Einladungen sofort
Konfizeit	Anmeldungen zu Terminen, Anwesenheit, Fortschritt bei den Themen, Abzeichen, Konfispruch (gibt dein Team ihn zurück, auch wann und sein Hinweis dazu – bis du ihn neu einreichst)	Planung, Nachweis der Teilnahme, dein Weg zur Konfirmation	wie das Konto
Kalender-Abo (nur wenn du es einschaltest)	ein Prüfwert deines geheimen Kalender-Links (nicht der Link selbst), wann er erstellt und zuletzt abgerufen wurde	damit deine Kalender-App deine Termine abrufen kann; die Abrufe sind begrenzt, um Missbrauch zu verhindern	bis du das Abo beendest oder einen neuen Link erzeugst, spätestens mit dem Konto
Bibel	auf dem Server nichts: was du liest, suchst und dir merkst (gemerkte Verse, zuletzt gelesenes Kapitel, Darstellung), bleibt auf deinem Gerät. Übernimmst du einen Vers als Konfirmationsspruch, wird er wie sonst auch als Entwurf in deinem Profil gespeichert.	Bibel lesen, auch ohne Internet	auf dem Gerät bis zum Abmelden; geladene Bibeltexte enthalten nichts Persönliches und bleiben zum Lesen ohne Internet, bis du sie löschst
Interne Notiz des Teams	ein kurzer Notizzettel (höchstens 2 000 Zeichen) zu dir, z. B. wer dich abholt, dazu wer ihn zuletzt geändert hat und wann. Gesundheitsangaben und Inhalte aus Seelsorgegesprächen gehören nicht hinein.	damit das zuständige Team weiß, was für die Arbeit mit dir in der Konfizeit wichtig ist. Lesen und ändern kann sie nur das Team, das für deine Gruppe zuständig ist (die Gemeinde kann das auf die Gruppenleitung beschränken) – du selbst siehst sie nicht. Auf Anfrage gibt deine Gemeinde sie dir heraus.	bis das Team sie löscht, spätestens wenn deine Konfizeit endet (Jahrgangswechsel), wenn du eine andere Rolle bekommst oder mit dem Konto
Briefe und Formulare	Entwürfe und Vorlagen für Briefe des Teams; beim Ausdrucken werden Name, Anschrift, Gruppe und ähnliche Angaben eingesetzt. Fertige Briefe speichert CIVITAS nicht. Für Rückmeldezettel merkt sich CIVITAS auf Wunsch, ob deiner zurück ist.	Elternbriefe, Anmeldungen und Formulare der Konfizeit	Entwürfe 18 Monate nach der letzten Änderung, danach noch 30 Tage im Papierkorb; Rücklauf-Listen 3 Monate nach der Rückgabefrist, spätestens mit dem Konto
Entschuldigungen	Termin, Status und Grund	Entschuldigen und Nachfragen durch das Team	Grund: 12 Monate, Rest wie das Konto
Umfragen	Antworten	Meinungsbild in der Gruppe. Bei anonymen Umfragen wird technisch nicht gespeichert, wer geantwortet hat.	bis die Umfrage gelöscht wird; beim Löschen des Kontos bleiben Antworten nur anonym im Ergebnis
Dateien	hochgeladene Dateien und Fotos (Metadaten wie der Aufnahmeort werden entfernt), bei Fotos ein kleines Vorschaubild; eine Prüfsumme der Datei, damit dieselbe Datei nicht versehentlich doppelt gespeichert wird	Material und Aufgaben der Konfizeit	bis zur Löschung, danach noch 30 Tage im Papierkorb; eigene Einreichungen spätestens mit dem Konto; die Prüfsumme nach einem Tag
Chat	siehe Chat	Kommunikation in der Konfiarbeit	standardmäßig 12 Monate (Dateien 6 Monate)
E-Mails	E-Mail-Adresse, Inhalt der Nachricht	Registrierung, Kennwort zurücksetzen, Anmeldecode, Terminerinnerungen, Hinweise an das Team	werden nicht in CIVITAS gespeichert; gesendete Terminerinnerungen merkt sich CIVITAS 90 Tage, damit keine doppelt kommt
Anmeldung und Sicherheit	fehlgeschlagene und erfolgreiche Anmeldeversuche und Sicherheitsereignisse mit IP-Adresse, E-Mail und Browser; Zeitpunkt der letzten Anmeldung	Schutz vor Angriffen (berechtigtes Interesse, § 6 Nr. 4 DSG-EKD, und Datensicherheit)	30 Tage
Audit-Log	wer im Team wann welche sensible Änderung vorgenommen hat, mit IP-Adresse	Nachvollziehbarkeit und Schutz vor Missbrauch der Verwaltungsrechte	400 Tage, die IP-Adresse 90 Tage
civi – KI-Assistent (nur Team)	siehe civi; Daten von Konfis und Eltern gibt CIVITAS nie an civi	Hilfe für Mitarbeitende bei der Bedienung von CIVITAS	Gespräche 30 Tage nach der letzten Nachricht
Feedback	Bewertung und Bemerkung, die Sie selbst senden	Verbesserung von CIVITAS	12 Monate
Antrag auf Kontolöschung	Zeitpunkt, freiwillig angegebener Grund	Bearbeitung durch die Gemeinde	bis zur Löschung des Kontos, zurückgezogene Anträge 12 Monate

Pflichtfelder bei der Registrierung braucht die Gemeinde für die Organisation der Konfizeit. Ohne sie ist ein Konto in CIVITAS nicht möglich. Wer CIVITAS nicht nutzen möchte, spricht bitte mit der Gemeinde. Gesetzliche Aufbewahrungspflichten der Gemeinde (z. B. für das Kirchenbuch) erfüllt die Gemeinde außerhalb von CIVITAS.

5. Chat

Zweck und Umfang
Der Chat dient der Kommunikation in der Konfirmandenarbeit der Kirchengemeinde: Gruppenchats (z. B. automatisch für jede KU-Gruppe), Privatchats zwischen Konfis und dem zuständigen Team sowie – nur wenn die Gemeinde es einschaltet – Privatchats zwischen Konfis derselben KU-Gruppe. Die Nutzung ist freiwillig. Vor der ersten Nutzung werden die Chat-Regeln bestätigt; dieser Zeitpunkt wird gespeichert.

Verarbeitete Daten
Anzeigename (Vorname und erster Buchstabe des Nachnamens), Kennzeichnung als Team-Mitglied, Inhalte von Nachrichten und geteilten Dateien, Zeitpunkte, Antwort-Bezüge, Reaktionen (Daumen hoch/runter), angepinnte Nachrichten, der Lesestand (bis zu welcher Nachricht gelesen wurde – Grundlage der Lesebestätigung), Stummschaltungen, Blockierungen und Meldungen. Zu Nachrichten werden keine IP-Adressen gespeichert. Fotos werden beim Hochladen neu erzeugt; dabei werden Metadaten wie GPS-Standort oder Gerätedaten entfernt. Es werden keine Link-Vorschauen erzeugt und keine externen Dienste eingebunden.

Wer sieht was?
Inhalte einer Unterhaltung sehen ausschließlich deren Mitglieder. In Gruppen sehen Konfis bei eigenen Nachrichten nur, wie viele Mitglieder sie gelesen haben; wer genau gelesen hat, sieht nur das Team. Team-Mitglieder, die eine Gruppe verwalten, können dort Nachrichten entfernen und Schreibpausen setzen. Gemeldete Nachrichten (mit bis zu fünf vorherigen Nachrichten als Zusammenhang) sehen ausschließlich Personen mit Vollzugriff in der Gemeinde – nie die gemeldete Person selbst. Die gemeldete Person erfährt nicht, wer gemeldet hat. Bei einer neuen Meldung erhalten Personen mit Vollzugriff eine E-Mail ohne jeden Inhalt (und, sofern eingeschaltet, eine Push-Benachrichtigung ohne Inhalt). Die technische Bereitstellung erfolgt durch den Betreiber von CIVITAS als Auftragsverarbeiter; eine Weitergabe an sonstige Dritte findet nicht statt.

Verschlüsselung
Die Übertragung erfolgt verschlüsselt (TLS). Nachrichtentexte, Dateinamen, Dateien und Meldungen werden zusätzlich verschlüsselt gespeichert (AES-256); der Schlüssel liegt getrennt von der Datenbank. Es handelt sich nicht um eine Ende-zu-Ende-Verschlüsselung, weil gemeldete Nachrichten zum Schutz der Beteiligten geprüft werden können müssen.

Speicherdauer
Nachrichten werden standardmäßig nach 12 Monaten, geteilte Dateien nach 6 Monaten automatisch gelöscht (die Gemeinde kann andere Fristen zwischen 1 und 36 Monaten festlegen). Gelöschte Nachrichten bleiben 30 Tage gesperrt gespeichert und sind in dieser Zeit nur über eine Meldung einsehbar; danach werden sie endgültig gelöscht. Erledigte Meldungen werden nach 12 Monaten gelöscht, sofern keine Beweissicherung läuft. Gruppenchats abgeschlossener KU-Gruppen werden archiviert und nach Ablauf der Fristen gelöscht.

Browser-Benachrichtigungen
Benachrichtigungen gibt es nur, wenn Sie sie selbst einschalten und im Browser erlauben. Sie enthalten nur den Namen der Gruppe bzw. der schreibenden Person – keinen Nachrichteninhalt. Ohne Push-Benachrichtigungen (siehe unten) erscheinen sie nur, solange CIVITAS in einem Browser-Tab geöffnet ist; dafür wird kein externer Dienst genutzt. Für Konfis gilt eine Nachtruhe (standardmäßig 22 bis 7 Uhr), in der keine Benachrichtigungen erscheinen, außer das Team markiert eine Nachricht ausdrücklich als dringend. Sie können Benachrichtigungen jederzeit wieder ausschalten.

Ihre Rechte
Es gelten die oben beschriebenen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie das Beschwerderecht. Eine Kopie der eigenen Chatnachrichten kann jederzeit im Chat unter „Hilfe“ heruntergeladen werden. Einzelne eigene Nachrichten können jederzeit gelöscht werden.

6. Push-Benachrichtigungen

Freiwillig und jederzeit abschaltbar
Push-Benachrichtigungen (z. B. bei neuen Chatnachrichten, neuen Umfragen, als Erinnerung vor einem Termin, wenn das Team einen Termin absagt oder verschiebt oder einen Konfirmationsspruch zurückgibt) erhalten Sie nur, wenn Sie sie auf einem Gerät selbst einschalten und im Browser bzw. auf dem Smartphone erlauben (Einwilligung, § 6 Nr. 2, § 11 DSG-EKD). Sie können sie jederzeit im Profil, im Chat, in der App oder in den Einstellungen des Geräts wieder ausschalten – auch getrennt für Chat, Terminerinnerungen und Umfragen – oder andere Ihrer Geräte abmelden.

Eingesetzte Dienste
App für iPhone und iPad: CIVITAS nutzt direkt den Apple Push Notification Service (APNs) der Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland.
Browser und Android: CIVITAS nutzt Firebase Cloud Messaging der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und – je nach Browser – den Push-Dienst des Browser-Herstellers (z. B. Apple bei Safari).
Beim Einschalten erhält das Gerät dafür eine zufällige Geräte-Kennung (Token). Eine Übermittlung an die Muttergesellschaften Apple Inc. bzw. Google LLC in den USA ist nicht auszuschließen; beide sind nach dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission).

Welche Daten?
Bei CIVITAS gespeichert werden die Geräte-Kennung, eine Gerätebezeichnung (z. B. „iPhone · App“), der Zeitpunkt der letzten Nutzung und Ihre Auswahl, welche Benachrichtigungen Sie möchten. Die Push-Nachricht selbst enthält nur technische Kennziffern (Art der Benachrichtigung und Nummern) und einen neutralen Text wie „Neue Nachricht“ – keine Namen und keine Inhalte. Apple und Google erfahren also nicht, wer wem was geschrieben hat. Den angezeigten Text (z. B. „Anna S. – Neue Nachricht“ oder den Titel einer Umfrage, niemals einen Nachrichteninhalt) ruft Ihr Gerät anschließend verschlüsselt direkt bei CIVITAS ab. In der Einstellung „diskret“ werden auch Namen und Titel nicht angezeigt – empfehlenswert, wenn andere Ihren Sperrbildschirm sehen können.

Zeitpunkte und Speicherdauer
Für Konfis gilt die Nachtruhe (standardmäßig 22 bis 7 Uhr): In dieser Zeit gibt es keine Chat-Benachrichtigungen, außer das Team markiert eine Nachricht ausdrücklich als dringend; nach der Nachtruhe kommt höchstens ein kurzer Hinweis. Terminerinnerungen kommen einmalig vor einem Termin, für den Sie angemeldet sind – je nach Art des Termins zwei Stunden vorher, am Vorabend oder ein bis zwei Tage vorher (nie während der Nachtruhe). Gibt das Team einen Konfirmationsspruch während der Nachtruhe zurück, kommt die Benachrichtigung erst danach. Ist ein Chat gerade geöffnet, gibt es für ihn keine Push-Benachrichtigung; dafür wird kurzzeitig gespeichert, welche Unterhaltung in einem sichtbaren Fenster offen ist. Geräte werden beim Ausschalten, beim Abmelden von CIVITAS, wenn die Kennung ungültig wird (z. B. weil die App gelöscht wurde) und nach 60 Tagen ohne Nutzung automatisch entfernt.

7. civi – der KI-Assistent für das Team

Zweck und Rechtsgrundlage
civi hilft Mitarbeitenden, CIVITAS einzurichten und zu bedienen. Die Gemeinde schaltet civi in den Einstellungen ein und legt fest, welche Rollen ihn nutzen dürfen; die Nutzung ist für jede Person freiwillig. Vor der ersten Frage stimmen Sie dem Hinweis zu civi zu; ohne Zustimmung werden keine Fragen gesendet. Rechtsgrundlage ist Ihre Einwilligung (§ 6 Nr. 2, § 11 DSG-EKD), die Sie jederzeit widerrufen können, indem Sie civi nicht mehr nutzen und Ihre Gespräche löschen. civi ist als KI-System gekennzeichnet (Art. 50 KI-Verordnung): im Kopf des Fensters, beim ersten Öffnen und an jeder Antwort.

Welche Daten an den KI-Anbieter gehen
Ihre Frage und – im selben Gespräch – die vorherigen Fragen und Antworten. Vor dem Senden entfernt CIVITAS Namen, E-Mail-Adressen, Telefonnummern und andere erkennbare Angaben zu Personen und zeigt Ihnen, wenn es etwas entfernt hat. Dazu kommen Angaben ohne Personenbezug: Ihre Rolle, die Seite, auf der Sie gerade sind, die Einstellungen und Kennzahlen Ihrer Gemeinde (zum Beispiel wie viele KU-Gruppen es gibt oder ob der Chat eingeschaltet ist – diese Angaben kann die Gemeinde abschalten) und eine pseudonyme Kennung, mit der sich Missbrauch erkennen lässt, ohne dass der Anbieter erfährt, wer Sie sind. Nie gesendet werden Namen, Kontaktdaten, Geburtsdaten, Taufangaben, Notizen, Chatinhalte, Dateien, Anwesenheiten einzelner Personen, Ihre E-Mail-Adresse, Ihre IP-Adresse und Daten anderer Gemeinden.

Empfänger und Ort
Die Antworten erzeugt OpenAI als Unterauftragsverarbeiter des Betreibers (Vertragspartner ist die OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland). OpenAI kann die Daten auch in den USA verarbeiten; die Übermittlung ist durch Standardvertragsklauseln der EU-Kommission abgesichert (§ 10 DSG-EKD, Art. 46 DSGVO). OpenAI verwendet die Daten nicht zum Training von KI-Modellen und speichert sie höchstens 30 Tage, um Missbrauch zu erkennen; danach werden sie gelöscht.

Was bei CIVITAS gespeichert wird
Ihre Gespräche mit civi – Fragen nur in der Form ohne Namen, dazu die Antworten – verschlüsselt gespeichert (AES-256). In CIVITAS sieht sie nur die Person, die das Gespräch führt – weder das Team noch die Leitung Ihrer Gemeinde. Der Betreiber greift auf Inhalte nur zu, soweit es für Betrieb und Fehlerbehebung unvermeidbar ist. Außerdem: ob Sie dem Hinweis zugestimmt haben, Ihre Bewertungen (👍/👎) und für die Abrechnung die Zahl der Fragen und der verbrauchten Einheiten je Gemeinde und Monat – ohne Bezug zu Personen. Geben Sie bei 👎 einen Grund an oder melden Sie eine Antwort, erhält der Betreiber den Grund und das Thema ohne Ihren Namen und ohne Ihre Gemeinde; Frage und Antwort (ohne Namen) nur, wenn Sie das ausdrücklich ankreuzen oder eine Antwort melden.

Speicherdauer
Gespräche: 30 Tage nach der letzten Nachricht, sofort wenn Sie ein Gespräch löschen, wenn die Gemeinde civi ausschaltet oder Ihr Konto gelöscht wird; höchstens 20 Gespräche je Person. Zustimmung: bis zur Löschung des Kontos. Geteilte Rückmeldungen: 90 Tage, gemeldete Antworten 30 Tage nach der Bearbeitung. Nutzungszahlen je Gemeinde: 24 Monate. Sicherheitsereignisse ohne Inhalt: 12 Monate.

Ihre Rechte
Unter „Was civi gerade weiß“ im civi-Fenster sehen Sie genau, welche Angaben zu Ihrer nächsten Frage gesendet würden. Ihre Gespräche können Sie unter „Frühere Gespräche“ einzeln oder alle löschen; sie stehen auch in der Kopie Ihrer Daten („Meine Daten herunterladen“). Im Übrigen gelten die Rechte unter Ihre Rechte. civi trifft keine Entscheidungen über Personen und bewertet weder Konfis noch Mitarbeitende.

8. Die App für iPhone und iPad

Anbieter im App Store
Die App wird im App Store von der Bach & Engel Software GbR angeboten (siehe Impressum). Für die Daten in CIVITAS verantwortlich ist Ihre Gemeinde (siehe oben). Beim Laden und Aktualisieren der App verarbeitet Apple Daten wie Ihre Apple-ID nach den Datenschutzbestimmungen von Apple; darauf haben weder die Gemeinde noch der Betreiber Einfluss.

Anmeldung und angemeldete Geräte
Beim Anmelden erzeugt die App auf Ihrem Gerät einen Geräteschlüssel. Den privaten Teil verwahrt der Sicherheitschip des Geräts (Secure Enclave), er verlässt das Gerät nie. CIVITAS speichert den öffentlichen Teil, eine Gerätebezeichnung (Modell und Betriebssystem, z. B. „iPhone (iOS 26.0)“), die App-Version und den Zeitpunkt der letzten Nutzung – für die sichere Anmeldung und die Liste „Angemeldete Geräte“, in der Sie Geräte jederzeit abmelden können. Eine Anmeldung endet bei Konfis nach 60 Tagen ohne Nutzung (spätestens nach einem Jahr), beim Team nach 30 Tagen ohne Nutzung (spätestens nach 180 Tagen), außerdem beim Abmelden, beim Ändern des Kennworts, mit dem Antrag auf Löschung des Kontos und beim Löschen des Kontos. Abgelaufene Anmeldungen löscht CIVITAS automatisch.

Kamera (Gottesdienst-Nachweis)
Nutzt deine Gemeinde den Gottesdienst-Nachweis, kannst du in der App den QR-Code auf dem Blatt im Gottesdienst scannen. Die Kamera ist nur während des Scannens aktiv und nur, wenn du es erlaubst. Die App liest ausschließlich den Code; Bilder werden weder gespeichert noch übertragen. Statt zu scannen kannst du den Code auch eintippen.

Face ID, Touch ID und Gerätecode (Team)
Für Team-Mitglieder sperrt sich der Team-Bereich mit Face ID, Touch ID oder dem Gerätecode. Die Prüfung übernimmt ausschließlich iOS; die App erfährt nur, ob sie erfolgreich war. Biometrische Daten gelangen weder an CIVITAS noch an den Betreiber.

Daten auf dem Gerät
Damit die App ohne Internet lesbar bleibt, speichert sie für Konfis den zuletzt geladenen Stand der eigenen Seiten und des Chats (die zehn zuletzt geöffneten Unterhaltungen), für das Team Termine und Teilnehmerlisten der eigenen Gruppen von 14 Tagen zurück bis 60 Tage voraus, damit die Anwesenheit auch ohne Netz erfasst werden kann – beim Team nur, wenn das Gerät mit einem Code geschützt ist. Gründe von Entschuldigungen und Angaben zu Religion, Taufe oder Eltern speichert die App nie. Alles ist zusätzlich verschlüsselt (AES-256), der Schlüssel liegt nur im Schlüsselbund dieses Geräts; nichts davon gelangt in iCloud- oder Computer-Backups. Beim Abmelden, beim Wechsel der Person und nach „Alle Geräte abmelden“ löscht die App diese Daten. Fotos und Dateien aus Chat und Dateibereich bleiben nur zum Ansehen kurz im geschützten Zwischenspeicher. Aus der Bibel liegen gemerkte Verse, das zuletzt gelesene Kapitel und die Darstellung ebenso verschlüsselt auf dem Gerät und werden beim Abmelden gelöscht. Die gelesenen Bibeltexte selbst enthalten nichts Persönliches; sie bleiben auch nach dem Abmelden zum Lesen ohne Internet auf dem Gerät und lassen sich unter „Bibel → Für unterwegs speichern“ löschen.

Fotos und Dateien
Fotos wählen Sie in der Auswahl von iOS aus. Die App erhält nur die ausgewählten Fotos, keinen Zugriff auf die Mediathek, und fragt deshalb auch nicht nach einer Erlaubnis. Vor dem Hochladen rechnet die App Fotos neu; dabei entfallen alle Metadaten, auch der Aufnahmeort. Dateien aus der App „Dateien“ werden als Kopie gelesen, die gleich danach gelöscht wird.

Widget „Nächster Termin“
Richten Sie das Widget ein, legt die App den nächsten Termin (Titel, Zeit, Ort) in einem nur für CIVITAS zugänglichen Bereich des Geräts ab. Im Modus „diskret“ zeigt das Widget keinen Titel und keinen Ort.

Nachdenk-Hinweis im Chat
Bevor eine Nachricht gesendet wird, prüft der Server sie gegen eine Liste verletzender Wörter. Enthält sie ein solches Wort, fragt die App bzw. der Browser einmal nach, ob Sie sie trotzdem senden möchten. Die Nachricht wird dadurch weder blockiert noch gemeldet, und das Ergebnis der Prüfung wird nicht gespeichert.

Keine Werbung, keine Analyse, kein Tracking
Die App enthält keine Werbe-, Analyse- oder Tracking-Bausteine anderer Anbieter und nutzt keine Werbe-ID. Absturzberichte erhält der Betreiber nur über Apple und nur, wenn Sie in den iOS-Einstellungen „Analyse & Verbesserungen“ mit App-Entwicklern teilen; sie enthalten keine Inhalte aus CIVITAS.

9. Offline-Nutzung im Browser

Damit CIVITAS auch im Browser ohne Internetverbindung lesbar bleibt, speichert der Browser den zuletzt geladenen Stand der besuchten Seiten des Konfi-Bereichs sowie des Chats (Chatliste und die neuesten Nachrichten der zuletzt geöffneten Unterhaltungen). Fotos und Dateien aus dem Chat sowie Verwaltungsseiten werden nicht gespeichert. Diese Daten verbleiben ausschließlich auf Ihrem Gerät, werden höchstens 14 Tage aufbewahrt, bei der Anmeldung einer anderen Person auf demselben Gerät verworfen und beim Abmelden gelöscht. Bitte melden Sie sich auf gemeinsam genutzten Geräten nach der Nutzung ab.

10. Server-Protokolle, Cookies und Speicher im Browser

Server-Protokolle
Beim Aufruf jeder Seite verarbeitet der Webserver technisch notwendig Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, Browser und Betriebssystem. Der Server speichert diese Angaben in Protokollen höchstens 14 Tage, um Störungen und Angriffe erkennen zu können (§ 6 Nr. 4 DSG-EKD, Datensicherheit); in den Zugriffsprotokollen steht die IP-Adresse nur gekürzt. Die Angaben werden nicht mit anderen Daten zusammengeführt.

Cookies und Speicher im Browser
CIVITAS setzt nur Cookies und Speicher, die für die von Ihnen genutzten Funktionen technisch erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig, und es gibt deshalb auch keinen Cookie-Banner:

• ein Sitzungs-Cookie, solange Sie angemeldet sind (wird mit dem Abmelden bzw. Schließen des Browsers ungültig),
• nur wenn Sie „Angemeldet bleiben“ wählen: ein Cookie für 30 Tage,
• im Speicher des Browsers: Ihre Einstellungen für Benachrichtigungen, welche Hinweise schon gezeigt wurden, und der Offline-Stand (siehe oben),
• für die Bibel: gemerkte Verse, das zuletzt gelesene Kapitel und die Darstellung (beim Abmelden gelöscht) sowie geladene Bibeltexte zum Lesen ohne Internet (ohne persönliche Daten).

Es gibt keine Cookies oder Speicher für Werbung, Statistik oder Analyse.

Schriftarten und externe Inhalte
Schriftarten und alle Programmteile lädt CIVITAS ausschließlich vom eigenen Server. Beim Aufruf der Seiten wird keine Verbindung zu Servern von Google oder anderen Anbietern aufgebaut.

Verschlüsselung und Sicherheit
Alle Verbindungen sind verschlüsselt (TLS). Kennwörter werden nur als sicherer Hash gespeichert. Das Team kann eine Anmeldung in zwei Schritten einschalten. Zugriffsrechte richten sich nach der Aufgabe im Team: Team-Mitglieder sehen nur die Konfis ihrer eigenen Gruppen, Taufangaben und die Konfession der Eltern sehen nur Personen mit Gruppenleitung oder Vollzugriff (das Taufdatum steht außerdem auf der Konfirmationsurkunde). Jede Gemeinde sieht nur ihre eigenen Daten.

11. Kinder und Jugendliche

CIVITAS richtet sich an Konfirmandinnen und Konfirmanden, in der Regel zwischen 12 und 16 Jahren. Ein Konto entsteht nur mit dem Registriercode der Gemeinde, den es mit der Anmeldung zur Konfizeit gibt – auf Papier oder als persönliche Einladung per E-Mail. Soweit die Nutzung auf einer Einwilligung beruht (z. B. Push-Benachrichtigungen) und Jugendliche jünger als 16 Jahre sind, ist die Einwilligung der Eltern nötig (§ 12 DSG-EKD). Bitte besprecht die Anmeldung deshalb gemeinsam. Eltern können sich mit allen Fragen und Anliegen an die Gemeinde wenden.

12. Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre gespeicherten Daten (§ 19 DSG-EKD), auf Berichtigung (§ 20), Löschung (§ 21), Einschränkung der Verarbeitung (§ 22), Datenübertragbarkeit (§ 24) und auf Widerspruch gegen eine Verarbeitung, die auf § 6 Nr. 3 oder 4 DSG-EKD beruht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (§ 25). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

• Selbst erledigen: Im Profil können Sie Ihre Angaben ansehen und korrigieren, unter „Meine Daten herunterladen“ eine Kopie Ihrer Daten laden (maschinenlesbar) und die Löschung Ihres Kontos beantragen (im Web unter „Profil“, in der App unter „Mehr → Mein Profil“). Eine Kopie Ihrer Chatnachrichten gibt es im Chat unter „Hilfe“.
• Bei der Gemeinde: Für alle weiteren Anliegen wenden Sie sich an Ihre Gemeinde oder deren Datenschutzbeauftragte/n (siehe oben). Die Gemeinde antwortet innerhalb eines Monats.

Beschwerderecht
Sie können sich bei der zuständigen kirchlichen Datenschutzaufsicht beschweren (§ 46 DSG-EKD):
Der Beauftragte für den Datenschutz der EKD, Lange Laube 20, 30159 Hannover, datenschutz.ekd.de

13. Impressum

Anbieter der Plattform CIVITAS und der App
Bach & Engel Software GbR, vertreten durch Marcel Bach und Moritz Engel
E-Mail: info@bach-engel.de
Vollständige Anbieterkennzeichnung: www.bach-engel.de/impressum

Stand dieser Datenschutzerklärung: 25. September 2026