Datenschutzerklärung und DSGVO-Zusagen

BCN Student (der „Verantwortliche“) legt fest, wie und zu welchem Zweck Ihre personenbezogenen Daten verarbeitet werden. Kontakt für alle datenschutzrechtlichen Angelegenheiten, einschließlich der Ausübung der unten genannten Rechte: [email protected].

Ihre E-Mail-Adresse, um Sie anzumelden. Die Angaben, die Sie für jeden Antrag eintragen: Namen, Reisepassnummer, NIE falls vorhanden, Geschlecht, Geburtsdaten, Staatsangehörigkeit, Familienstand, Vornamen der Eltern, Ihre Adresse in Spanien, Telefonnummer und E-Mail, Ihr Einreisedatum nach Spanien und welche Dokumente Sie nach eigener Angabe besitzen. Wenn Sie einen Antrag bezahlen: Ihren Namen, Ihre Rechnungsadresse und bei einem Unternehmen die Steuernummer, die Stripe für die Rechnung erhebt.

Sie tippen Ihre Daten selbst ein. Wenn Sie möchten, können Sie stattdessen die Datenseite Ihres Reisepasses fotografieren: Mit Ihrer ausdrücklichen Einwilligung wird das Foto auf unserem eigenen Server gelesen (nichts geht an Dritte), die maschinenlesbaren Zeilen dienen dazu, Ihnen Ihre Angaben vorzuschlagen, und das Foto wird weder gespeichert noch protokolliert. Gespeichert werden nur die Werte, die Sie bestätigen. Sonst wird nichts hochgeladen.

Rechtsgrundlage: Erfüllung eines Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Wir erheben diese Daten, weil spanische Aufenthaltsformulare sie verlangen – nicht, weil wir sie wollen. Wir erheben keine Gesundheitsdaten, keine biometrischen Daten und keine besonderen Kategorien personenbezogener Daten nach Art. 9.

Ihre Angaben werden im Ruhezustand mit AES-256-GCM verschlüsselt, jeder Antrag mit einem eigenen Schlüssel und an diesen Antrag gebunden. Diese Schlüssel sind ihrerseits mit einem Hauptschlüssel verschlüsselt, der getrennt von der Datenbank und ihren Sicherungen aufbewahrt wird – eine Kopie der Datenbank oder einer Sicherung entschlüsselt für sich allein also nichts, und ein kompromittierter Datensatz legt nie einen anderen offen. Auch Ihre E-Mail-Adresse ist verschlüsselt; ein separater Schlüssel-Hash lässt uns Ihr Konto bei der Anmeldung finden, ohne die Adresse im Klartext zu speichern.

Der gesamte Datenverkehr läuft ausschließlich über TLS 1.3 mit HTTP Strict Transport Security. Zahlungskartendaten verarbeitet allein Stripe; sie erreichen unsere Server nie.

Eine ehrliche Einschränkung: Dies ist eine starke Verschlüsselung im Ruhezustand, aber keine Ende-zu-Ende-Verschlüsselung. Unsere Software entschlüsselt Ihre Angaben, um Ihre Formulare auszufüllen, und die Schlüssel liegen auf demselben Server. Im Rahmen des Dienstes zeigt kein Bildschirm einer Person Ihre Angaben, und das Betreiber-Dashboard zählt nur Anträge. Jeder Dienst, der Ihnen sagt, er verwahre Ihren Reisepass Ende-zu-Ende-verschlüsselt und fülle zugleich Ihre Unterlagen aus, beschreibt etwas, das nicht wahr sein kann.

Ein Antrag, der 30 Tage lang nicht bearbeitet wurde, wird automatisch und dauerhaft gelöscht. Das läuft als geplante Aufgabe, nicht als manuelles Versprechen, und die Löschung ist unumkehrbar. Sie können außerdem jederzeit selbst einen Antrag oder Ihr gesamtes Konto über Ihr Dashboard löschen; die Löschung erfolgt sofort.

Ein Konto ohne Anträge wird zwei Jahre nach Ihrer letzten Anmeldung gelöscht. Ein Konto, dessen Anmeldelink nie verwendet wurde, wird nach einer Woche gelöscht.

Nur eines überdauert die Löschung: Rechnungsdaten. Das spanische Handels- und Steuerrecht (Código de Comercio Art. 30; Ley General Tributaria) verlangt, Rechnungsunterlagen mehrere Jahre aufzubewahren, und diese Pflicht geht Löschverlangen für genau diese Datensätze nach Art. 17 Abs. 3 lit. b DSGVO vor. Eine Rechnung enthält den Namen des Zahlenden, die Rechnungsadresse und bei einem Unternehmen die Steuernummer – verschlüsselt gespeichert – sowie die Beträge. Sie enthält nie Ihre Reisepassnummer oder Ihre Angaben.

Stripe (Zahlungsabwicklung, Irland/USA im Rahmen des EU-US Data Privacy Framework); Resend (Versand unserer E-Mails, etwa Ihrer Anmeldelinks); und der in der EU ansässige Anbieter unseres Servers – jeweils auf Grundlage eines Auftragsverarbeitungsvertrags. Wir verkaufen Ihre Daten nicht, geben sie nicht an Werbetreibende weiter und übermitteln sie nicht außerhalb des EWR, außer wie hier angegeben.

Behörden erhalten nur, was Sie ihnen selbst in eigenem Namen einreichen.

Sie können Auskunft über Ihre Daten, Berichtigung, Löschung, Einschränkung der Verarbeitung und Übertragbarkeit in einem maschinenlesbaren Format verlangen und der Verarbeitung widersprechen. In Ihrem Dashboard können Sie alles, was wir über Sie speichern, als Datei herunterladen und löschen. Beruht die Verarbeitung auf einer Einwilligung, können Sie diese jederzeit widerrufen.

Wir antworten innerhalb eines Monats. Wenn Sie nicht zufrieden sind, können Sie sich bei der Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, oder unter aepd.es beschweren.

Tritt eine Verletzung ein, die voraussichtlich ein Risiko für Ihre Rechte zur Folge hat, melden wir sie binnen 72 Stunden der AEPD und informieren Sie unverzüglich direkt. Wir sagen Ihnen, worauf zugegriffen wurde – keine vage Beruhigung.

Diese Website setzt keine Werbe-Cookies und nutzt keine Tracker von Dritten. Besuche misst sie mit einem selbst gehosteten Analysetool, das keine Cookies setzt und Sie nicht identifiziert. Die Cookies, die sie setzt: bcn_user, das Sie bis zu 30 Tage angemeldet hält; bcn_app, das den Antrag, an dem Sie arbeiten, bis zu 7 Tage geöffnet hält; und beim Bezahlen Cookies, die Stripe zur Betrugsprävention setzt.

Zwei weitere eigene Cookies werden nur gesetzt, wenn Sie einem Ratgeber-Link folgen oder unseren Ratgeber herunterladen: bcn_src, das den Schul-Link speichert, über den Sie gekommen sind, und bcn_guide, eine anonyme Download-Kennung. Jedes gilt 30 Tage, enthält weder Namen noch E-Mail noch andere Angaben zu Ihnen und dient ausschließlich dazu zu zählen, wie viele Leser des Ratgebers anschließend einen Antrag beginnen.