Datenschutzinformation

Informationen nach Art. 13 und 14 DSGVO für Mitglieder und für alle, die einen Aufnahmeantrag stellen (Fassung 1.3 vom 04.11.2026)

Liebe Mitglieder, liebe Interessierte, uns ist wichtig, dass ihr wisst, was mit euren Daten passiert. Hier steht in einfachen Worten, welche Daten wir als Verein verarbeiten, wofür, wie lange und welche Rechte ihr habt. Das gilt auch schon, wenn du einen Aufnahmeantrag stellst.

1. Wer ist verantwortlich?

Mariana Cannabis Social Club Marburg e.V. (künftig CSC (Un)Kraut Marburg e.V.), Magdeburger Straße 47, 35041 Marburg, eingetragen im Vereinsregister beim Amtsgericht Marburg unter VR 5863, vertreten durch den Vorstand nach § 26 BGB.

Kontakt für alle Fragen zum Datenschutz: datenschutz@unkraut-marburg.de. Die Nachricht geht an den Vorstand.

Wir haben vorsorglich eine Datenschutz-Folgenabschätzung durchgeführt. Deshalb benennen wir vorsorglich eine Datenschutzbeauftragte Person aus dem Kreis unserer Mitglieder, so wie es § 38 Abs. 1 Satz 2 BDSG für eine verpflichtende Folgenabschätzung verlangt; die Mitgliederversammlung wählt sie am 12.12.2026. Bis dahin beantwortet der Vorstand alle Fragen unter datenschutz@unkraut-marburg.de. Den Namen und die Kontaktadresse ergänzen wir dann hier.

2. Welche Daten wir verarbeiten

Bereich	Daten
Mitgliedschaft	Name, Vorname, Geburtsdatum, Anschrift, E-Mail, Telefon (freiwillig), Mitgliedsnummer, Eintritt, Austritt, Status, gewählte Beitragsbausteine, deine Erklärung, dass du in keiner anderen Anbauvereinigung Mitglied bist (§ 16 Abs. 2 KCanG)
Daten aus TerpTrain	Mitgliedsnummer, Name, Kontaktdaten, Status, Eintritt und Austritt, Beiträge, Rechnungen und Zahlungen, Notizen des Vorstands und deine Anfragen an den Support aus dem bisherigen Verwaltungsprogramm, nur für unseren Verein, damit Mitgliederliste und Beitragskonto vollständig bei uns liegen
Altersnachweis und Wohnsitz	Nachweis der Volljährigkeit und des Wohnsitzes oder gewöhnlichen Aufenthalts in Deutschland: Prüfung deines Ausweises im Original spätestens bei der ersten Weitergabe, gespeichert wird nur ein Vermerk, wer wann geprüft hat (keine Ausweiskopie und kein Foto)
Beiträge	Beitragssoll, Beitragsrechnungen des Vereins (Nummer, Zeitraum, Betrag, Zahlungsstand), Zahlungen, fester Verwendungszweck (BEITRAG, Mitgliedsnummer und Prüfziffer), Guthaben
SEPA-Lastschriftmandat (wenn erteilt)	IBAN, Name der Kontoinhaberin oder des Kontoinhabers, Mandatsreferenz, Datum der Unterschrift, ob online oder auf Papier erteilt; IBAN und Name werden verschlüsselt gespeichert. Vor jedem Einzug bekommst du eine Vorabankündigung mit Betrag und Datum.
Umsätze des Vereinskontos	Name, IBAN und Verwendungszweck der zahlenden Person, Betrag und Datum, abgerufen über den Server des Vereins, damit Zahlungen dem richtigen Mitglied zugeordnet werden
Weitergabe von Cannabis	Name, Vorname, Geburtsjahr, Menge in Gramm, durchschnittlicher THC-Gehalt und Datum jeder Weitergabe (§ 26 Abs. 1 Nr. 5 KCanG); bei Mitgliedern unter 21 zusätzlich die Monatsmenge (§ 19 Abs. 3 KCanG)
Prävention	Wenn du dich an unsere präventionsbeauftragte Person wendest: deine Nachricht und, falls du sie nennst, Angaben zu deinem Konsum und deiner Gesundheit, nur für die Beratung und vertraulich
Mitgliederkonto und Ausweis	Anmeldeadresse, Anmeldezeitpunkte, digitaler Mitgliedsausweis mit Zeitcode
Versammlungen	Einladung, Teilnahme, Stimmabgabe (bei geheimer Wahl ohne Bezug zur Person gespeichert), Protokolle
Discord (freiwillig)	Discord-Kennung und Anzeigename, Zeitpunkt der Bestätigung, vergebene Rollen; keine Nachrichteninhalte. Gibst du bei der Bestätigung eine Mitgliedsnummer ein, die nicht zu unserem Verein gehört, laden wir dich nur zur Mitgliedschaft ein; die Nummer speichern wir nicht.
Kommunikation	Rundmails und Antworten, Anfragen an den Vorstand
Fotos (nur mit Einwilligung)	Fotos von Vereinsveranstaltungen, auf denen du zu sehen bist, wenn du im Aufnahmeantrag eingewilligt hast; gezeigt nur im Verein (bei Treffen und auf dem Discord-Server des Vereins), nicht öffentlich
Aufnahmeantrag	Angaben aus dem Antrag (online, vor Ort oder auf Papier): Name, Geburtsdatum, Anschrift, E-Mail, freiwillig Telefon und Discord-Name, die Bestätigungen nach dem KCanG und deine freiwilligen Einwilligungen; bei der Aufnahme ein Vermerk, dass der Ausweis im Original geprüft wurde (keine Kopie, kein Foto); wenn du sie nutzt, das Ergebnis der freiwilligen Stimmigkeitsprüfung deines Ausweises im Browser (wir speichern nur das Ergebnis: stimmig oder nicht stimmig mit Grund, und den Zeitpunkt; Foto und Angaben aus dem Ausweis verlassen dein Gerät nicht); beim Online-Antrag für zwei Tage verschlüsselte Abdrücke von Mail- und Netzadresse gegen massenhafte Anträge. Der Antrag geht an den Vorstand, der darüber entscheidet; eine automatische Aufnahme gibt es nicht. Nach dem Absenden schicken wir dir eine Eingangsbestätigung per Mail; der Vorstand bekommt eine Meldung ohne deine Angaben.
Umfragen (freiwillig)	Antworten ohne Bezug zu deiner Person, hochgeladene Bilder und Dateien (Angaben wie Ort und Kamera werden vor dem Speichern entfernt), freiwillige Angebote zur Mithilfe getrennt von den Antworten, ein Einmal-Zeichen gegen doppelte Teilnahme

3. Wofür und auf welcher Grundlage

Zweck	Rechtsgrundlage
Mitgliedschaft führen, Beiträge erheben, zu Versammlungen einladen	Art. 6 Abs. 1 lit. b DSGVO (Mitgliedschaft nach der Satzung)
Übernahme der Daten aus TerpTrain	Art. 6 Abs. 1 lit. b, lit. c (Aufbewahrung nach § 147 AO und § 26 KCanG) und lit. f DSGVO (berechtigtes Interesse: vollständige Mitglieder- und Beitragsakte beim eigenen Verein); für Gesundheitsbezug Art. 9 Abs. 2 lit. g DSGVO wie unten
Beitragseinzug per Lastschrift, Beitragsrechnungen, Zuordnung von Zahlungen, Abruf der Kontoumsätze	Art. 6 Abs. 1 lit. b DSGVO (Mitgliedschaft); Aufbewahrung nach lit. c in Verbindung mit § 147 AO
Bearbeitung eines Aufnahmeantrags	Art. 6 Abs. 1 lit. b DSGVO (Beginn der Mitgliedschaft) und lit. c in Verbindung mit § 16 KCanG; Schutz vor massenhaften Anträgen lit. f
Freiwillige Stimmigkeitsprüfung des Ausweises im Antrag (nur das Ergebnis)	Art. 6 Abs. 1 lit. a DSGVO, bei einem Foto des Personalausweises in Verbindung mit § 20 Abs. 2 PAuswG (deine Einwilligung, die du durch die Nutzung des Schritts erteilst). Ohne sie geht der Antrag genauso. Du kannst die Einwilligung jederzeit widerrufen: vor dem Absenden mit „Ergebnis verwerfen“, danach mit einer Mail an datenschutz@unkraut-marburg.de; dann löschen wir das Ergebnis.
Prüfung des Ausweises im Original bei der ersten Weitergabe	Art. 6 Abs. 1 lit. c und Art. 9 Abs. 2 lit. g DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. d und Abs. 2 BDSG sowie §§ 16, 19, 26 KCanG (Alters- und Wohnsitzprüfung)
Eingangsbestätigung und Meldung an den Vorstand	Art. 6 Abs. 1 lit. b DSGVO
Fotos von Vereinsveranstaltungen im Verein zeigen	Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung im Aufnahmeantrag, freiwillig und jederzeit widerrufbar beim Vorstand oder unter datenschutz@unkraut-marburg.de)
Auslieferung unserer Webseiten (Cloudflare, jsDelivr)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Seiten zuverlässig und sicher ausliefern)
Umfragen unter Mitgliedern	Art. 6 Abs. 1 lit. f DSGVO (Meinung der Mitglieder einholen); Angebot zur Mithilfe lit. a (freiwillig)
Mitgliedschaft, Alters- und Wohnsitzprüfung, Erklärung über keine weitere Mitgliedschaft, Dokumentation der Weitergabe (Menge, THC-Gehalt, Datum), weil sich daraus ein Cannabiskonsum ergeben kann	Art. 6 Abs. 1 lit. c und Art. 9 Abs. 2 lit. g DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. d und Abs. 2 BDSG sowie §§ 16, 19, 26 KCanG (gesetzlich vorgeschriebene Verarbeitung zum Gesundheits- und Jugendschutz)
Freiwillige Angaben zu Gesundheit oder Konsum, zum Beispiel in der Präventionsberatung	Art. 9 Abs. 2 lit. a DSGVO (deine ausdrückliche Einwilligung, jederzeit widerrufbar)
Steuerrechtliche Aufbewahrung von Büchern, Buchungen und Belegen	Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO
Mitgliederkonto, Ausweis, Archiv, sichere Technik	Art. 6 Abs. 1 lit. b und lit. f DSGVO (sicherer und verlässlicher Betrieb)
Discord: Bestätigung der Mitgliedschaft und Rollen	Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO (deine ausdrückliche Einwilligung durch die freiwillige Bestätigung; sie zeigt Discord, dass du Mitglied einer Anbauvereinigung bist), jederzeit widerrufbar durch Lösen der Verknüpfung

4. Wer deine Daten bekommt

Der Vorstand und die vom Vorstand beauftragten Personen, jeweils nur im Umfang ihrer Aufgabe (Rechte im Archiv je Rolle). Die präventionsbeauftragte Person sieht nur, was du ihr selbst schreibst.
Die zuständige Behörde nach dem KCanG, wenn das Gesetz es verlangt (zum Beispiel bei Kontrollen oder Meldungen).
Die Personen, die bei uns Cannabis weitergeben, sehen bei der Abholung deinen Namen, ob dein Ausweis im Original geprüft ist, und die Menge, die du im Monat schon bekommen hast.
Wenn du dich auf unserem Discord-Server als Mitglied bestätigst, sehen die anderen Mitglieder und die Moderation deine Rollen und damit, dass du Mitglied bist. Die Moderation bekommt dazu eine Meldung mit deinem Discord-Namen, aber keine Daten aus deiner Mitgliedsakte.
Die Bank des Vereins (Deutsche Skatbank) für den Beitragseinzug per Lastschrift und für die Kontoumsätze. Die Bank verarbeitet diese Daten in eigener Verantwortung; sie ist kein Auftragsverarbeiter des Vereins.
Dienstleister, die für uns arbeiten (Auftragsverarbeiter, Art. 28 DSGVO): der Betreiber unseres gemieteten Servers in Deutschland (netcup GmbH, Karlsruhe), über den auch die Vereinsmail (@unkraut-marburg.de) läuft, Cloudflare, Inc. für die Auslieferung unserer Webseiten für Mitglieder (Antrag, Mitgliederbereich, Abgabe, Ausweisprüfung, Umfragen und diese Information) und, bis zur Umstellung auf unseren eigenen Mailserver, MXroute für den Versand von Rundmails. Unser Vereinsarchiv läuft auf einem vereinseigenen Rechner in Deutschland. Die aktuelle Liste führt der Vorstand in Anlage 5 des Datenschutzpakets.

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

5. Drittland: USA

Cloudflare: Die Seiten für Mitglieder (Antrag, Mitgliederbereich, Abgabe, Ausweisprüfung, Umfragen und diese Information) werden über Cloudflare ausgeliefert. Dabei verarbeitet Cloudflare deine IP-Adresse, damit die Seite bei dir ankommt. Cloudflare, Inc. sitzt in den USA und ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten Standardvertragsklauseln.

jsDelivr: Einige dieser Seiten (Antrag, Mitgliederbereich, Abgabe, Ausweisprüfung, Umfrage) laden eine Programmbibliothek über das Auslieferungsnetz jsDelivr. Dabei erhält jsDelivr deine IP-Adresse und die Angabe, welche Datei geladen wird; die Datei ist mit einer Prüfsumme gegen Veränderung gesichert. jsDelivr nutzt Server auch außerhalb der EU, auch in den USA. Einen Vertrag mit jsDelivr haben wir nicht. Wir stellen die Seiten so um, dass sie die Bibliothek von unserem eigenen Server laden; dann entfällt dieser Weg.

MXroute: Bis wir den Versand ganz auf unseren eigenen Mailserver umgestellt haben, verschicken wir Rundmails, Code-Mails des Discord-Bots und Umfrage-Einladungen über ein Postfach des Anbieters MXroute in den USA. Dabei sieht der Anbieter deine Mailadresse und den Inhalt der Mail. Für diese Übermittlung haben wir mit MXroute noch keine Standardvertragsklauseln abgeschlossen; wir holen das nach oder stellen den Versand bis zur Mitgliederversammlung auf unseren eigenen Mailserver um. Danach entfällt dieser Weg.

Discord: Die Nutzung unseres Discord-Servers ist freiwillig. Discord Inc. sitzt in den USA. Wenn du dich dort als Mitglied bestätigst, sieht Discord deine Kennung und die Rollen, die unser Bot dir gibt. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit Discord dort zertifiziert ist, sonst auf Standardvertragsklauseln. Nachrichteninhalte speichert unser Archiv nicht. Für den Betrieb unseres Servers sind wir und Discord möglicherweise gemeinsam verantwortlich (Art. 26 DSGVO). Eine Vereinbarung dazu bietet Discord nicht an. Deine Rechte kannst du jederzeit bei uns geltend machen; was nur Discord erfüllen kann, leiten wir weiter.

6. Wechsel des Verantwortlichen

Bisher hat der Gesamtverein eure Daten in seinem Vereinsarchiv und über das Programm TerpTrain geführt. Unser Verein übernimmt diese Aufgabe selbst auf einem eigenen Server in Deutschland. Während des Übergangs gleichen wir die Mitgliederliste täglich mit TerpTrain ab, nur für unseren Verein, damit Eintritte und Austritte stimmen. Danach verarbeitet nur noch unser Verein eure Daten für die Mitgliedschaft; der Gesamtverein bewahrt sie nur noch auf, soweit er selbst gesetzlich dazu verpflichtet ist. Den Zeitpunkt teilen wir euch mit.

Diese Daten haben wir nicht bei dir erhoben, sondern vom Mariana Cannabis Gesamtverein (Programm TerpTrain) erhalten.

7. Wie lange wir speichern

Wir löschen Daten, sobald der Zweck entfällt und keine gesetzliche Pflicht mehr besteht. Die Einzelheiten stehen im Löschkonzept (Anlage 6). Die wichtigsten Fristen:

Mitgliedsdaten: drei Jahre nach dem Austritt kürzen wir sie auf Mitgliedsnummer, Name, Eintritt, Austritt und Status; auch diese Angaben löschen wir, sobald die letzte Aufbewahrungspflicht endet, spätestens zehn Jahre nach dem Ende des Jahres des Austritts.
Erklärung, dass du in keiner anderen Anbauvereinigung Mitglied bist: drei Jahre (§ 16 Abs. 3 KCanG).
Dokumentation der Weitergabe nach KCanG: fünf Jahre (§ 26 Abs. 2 KCanG), danach Löschung.
Bücher, Buchungen und Belege: Bücher und Jahresabschlüsse 10 Jahre, Buchungsbelege 8 Jahre, sonstiger Schriftverkehr 6 Jahre (§ 147 Abs. 3 AO).
Daten aus TerpTrain: wie die entsprechenden Daten bei uns (Beiträge, Rechnungen und Zahlungen: Buchungsbelege 8 Jahre, Bücher 10 Jahre nach § 147 Abs. 3 AO; Notizen mit der Mitgliedsakte; Anfragen an den Support drei Jahre nach Abschluss).
Lastschriftmandat: bis 36 Monate nach der letzten Nutzung, danach Löschung; die Buchungsbelege dazu wie oben.
Aufnahmeanträge: abgelehnt oder zurückgenommen 90 Tage nach der Entscheidung; angenommen gehen die Angaben in die Mitgliedsdaten über. Eingangsbestätigung: mit dem Antrag. Ergebnis der freiwilligen Stimmigkeitsprüfung des Ausweises: gelöscht, sobald der Antrag angenommen ist (dann ist dein Ausweis im Original geprüft), sonst mit dem Antrag; nach deinem Widerruf sofort.
Nachrichten an die präventionsbeauftragte Person: 12 Monate nach dem letzten Kontakt.
Umfragen: Antworten, Dateien und Angebote zur Mithilfe 12 Monate nach dem Schließen der Umfrage; Einmal-Zeichen beim Schließen.
Discord-Daten: Verknüpfung bis du sie selbst löst oder austrittst; Protokolle des Bots werden nach 90 Tagen auf Zahlen gekürzt.
Protokoll der Zugriffe auf Mitgliedsakten im Archiv: ein Jahr.
Fotos von Vereinsveranstaltungen: bis zu deinem Widerruf oder bis der Verein sie nicht mehr zeigt.
Code-Mails des Discord-Bots (mit deiner Mailadresse): 30 Tage nach dem Versand. Versandvermerke von Rundmails: 12 Monate nach dem Versand.
Technische Protokolle der Server: das Systemprotokoll löschen wir nach 30 Tagen. Die Protokolle der einzelnen Dienste enthalten nur Fehlermeldungen, sind nach Größe begrenzt und werden laufend überschrieben.
Aufnahmen in Sprachkanälen unseres Discord-Servers gibt es derzeit nicht. Bevor wir sie einführen, ergänzen wir diese Information.

Dein Widerspruchsrecht: Wo wir Daten wegen berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Eine Mail an datenschutz@unkraut-marburg.de genügt.

8. Deine Rechte

Auskunft über deine Daten (Art. 15 DSGVO)
Berichtigung falscher Daten (Art. 16)
Löschung (Art. 17), soweit keine Aufbewahrungspflicht besteht
Einschränkung der Verarbeitung (Art. 18)
Datenübertragbarkeit (Art. 20)
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3), zum Beispiel für Discord

Eine automatisierte Entscheidung oder Profilbildung nach Art. 22 DSGVO findet nicht statt.

Schreib uns einfach an datenschutz@unkraut-marburg.de. Wir antworten innerhalb eines Monats.

9. Beschwerde bei der Aufsichtsbehörde

Du kannst dich jederzeit beschweren beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, www.datenschutz.hessen.de. Wir freuen uns aber, wenn du zuerst mit uns sprichst.

10. Pflicht zur Angabe

Ohne Name, Geburtsdatum, Anschrift und den Nachweis von Alter und Wohnsitz ist eine Mitgliedschaft nach dem KCanG nicht möglich. Die E-Mail-Adresse brauchen wir für die Rückmeldung zu deinem Antrag und für die Einladungen zur Mitgliederversammlung. Alle anderen Angaben (Telefon, Discord, Lastschrift, Fotos) sind freiwillig.

Fassung 1.3 vom 04.11.2026 · Als PDF herunterladen · Zurück zum Aufnahmeantrag