Datenschutz im Ticketshop

Der Ticketshop unter event.rsc-ueberherrn.de ist eine eigene Anwendung und nicht Teil unseres Vereinsauftritts: über ihn melden Sie sich zu unseren Veranstaltungen an, kaufen Startplätze und Eintrittskarten oder tragen sich auf eine Warteliste ein. Für www.rsc-ueberherrn.de und rennen.rsc-ueberherrn.de gilt die Datenschutzerklärung dieser Seiten, für den Mitgliedsantrag die Erklärung zum Mitgliedsantrag.

Verantwortlicher

RSC Überherrn e.V. Überherrn-Saar

Im Sand 16

66802 Überherrn

E-Mail: info@rsc-ueberherrn.de

Welche Daten wir erheben

Bei einer Bestellung:

von Ihnen als Besteller: Name und E-Mail-Adresse, die gewählte Sprache
je Teilnehmerin und Teilnehmer: Vor- und Nachname, je nach Veranstaltung zusätzlich E-Mail-Adresse, Telefonnummer und Geburtsdatum
die Antworten auf Fragen, die wir für eine Veranstaltung stellen, etwa nach Strecke, Verpflegung oder Unterkunft; welche das sind, sehen Sie im Bestellformular
bei Teilnehmenden, die am ersten Veranstaltungstag noch nicht 18 sind: Name der oder des Erziehungsberechtigten und der Zeitpunkt, zu dem das Einverständnis bestätigt wurde
die Zustimmung zu den Teilnahmebedingungen: welche Fassung, und wann
Bestellnummer, gekaufte Leistungen, Preise, ein eingelöster Code, Zahlart und Zahlungsstatus

Auf der Warteliste: Name, E-Mail-Adresse, Sprache und die Leistung, auf die Sie warten.

Beim Anmelden als Mitglied: Ihre E-Mail-Adresse und ein Bestätigungscode. Siehe dazu den Abschnitt zum Mitglieder-Login.

Dazu, was beim Aufruf technisch anfällt: IP-Adresse, Zeitpunkt und Adresse des Aufrufs. Ohne Name und E-Mail-Adresse und ohne die Pflichtangaben einer Veranstaltung können wir eine Bestellung nicht annehmen.

Bestellen Sie für andere Personen, geben Sie deren Daten an uns weiter. Bitte sagen Sie ihnen, dass sie hier nachlesen können, was wir damit tun.

Wozu und auf welcher Grundlage

Wir verarbeiten die Angaben, um Ihre Bestellung abzuwickeln und die Veranstaltung durchzuführen: Startplätze vergeben, Starterlisten führen, Sie über Änderungen und Absagen informieren, Erstattungen leisten (Art. 6 Abs. 1 lit. b DSGVO). Für Teilnehmende, die nicht selbst bestellen, stützen wir uns auf unser berechtigtes Interesse, die Veranstaltung zu organisieren (Art. 6 Abs. 1 lit. f DSGVO). Das Geburtsdatum fragen wir ab, wo es ein Mindestalter gibt oder die Wertung davon abhängt; bei Minderjährigen halten wir fest, wer eingewilligt hat, damit wir es nachweisen können (Art. 6 Abs. 1 lit. f DSGVO).

Die Zustimmung zu den Teilnahmebedingungen speichern wir mit Fassung und Zeitpunkt, damit klar ist, welche Bedingungen für Ihre Anmeldung gelten (Art. 6 Abs. 1 lit. b und f DSGVO). Bestätigungscode, Bot-Schutz und die Begrenzung der Anfragen je Zeitraum sollen falsche Bestellungen und den Missbrauch des Shops verhindern (Art. 6 Abs. 1 lit. f DSGVO). Belege bewahren wir auf, weil das Gesetz es verlangt (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 257 HGB).

Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO findet nicht statt. Werbung schicken wir Ihnen über den Shop nicht.

Was mit Ihrer Bestellung geschieht

Nach dem Absenden reservieren wir die Plätze für eine begrenzte Zeit und leiten Sie zur Zahlung an Stripe weiter. Ist die Zahlung eingegangen, oder kostet die Bestellung nichts, erhalten Sie eine Bestätigung per E-Mail mit einem persönlichen Bestell-Link. Über ihn sehen Sie Ihre Bestellung, rufen den Beleg ab und können, soweit die Veranstaltung es vorsieht, Teilnehmende umschreiben oder selbst stornieren. Der Link ist 550 Tage gültig; wer ihn hat, sieht die Bestellung, geben Sie ihn also nicht weiter.

Für Radveranstaltungen übernehmen wir Name, Geburtsdatum, Kontaktdaten und Antworten der Teilnehmenden in die Starterliste der Veranstaltung. Gedruckte Tickets, QR-Codes oder einen elektronischen Einlass gibt es nicht; vor Ort gilt die Starterliste.

Für die Veranstaltung erhalten Sie von uns nur Nachrichten, die mit ihr zu tun haben: Bestätigung, Storno, Erstattung, Absage und organisatorische Hinweise der Veranstaltungsleitung an alle Teilnehmenden.

Für Mitgliederpreise können Sie sich im Shop als Mitglied anmelden. Dazu geben Sie Ihre E-Mail-Adresse ein. Gehört sie zu einem aktiven Mitglied unseres Vereins, schicken wir einen sechsstelligen Code, der 15 Minuten gilt; die Antwort auf Ihre Eingabe sieht in jedem Fall gleich aus. Nach der Anmeldung füllt der Shop Name, E-Mail-Adresse, Telefonnummer und Geburtsdatum aus Ihren Mitgliedsdaten vor, und wir vermerken an der Bestellung, dass sie von einem Mitglied stammt. Haben mehrere Mitglieder dieselbe E-Mail-Adresse, etwa in einer Familie, sind sie gemeinsam angemeldet.

Warteliste

Ist eine Leistung ausverkauft, können Sie sich auf die Warteliste setzen. Sie erhalten eine Bestätigung mit einem Link zum Austragen. Wird ein Platz frei, schicken wir Ihnen einen persönlichen Code, mit dem Sie innerhalb einer genannten Frist bestellen können. Tragen Sie sich aus, nehmen wir Sie von der Liste; gelöscht wird der Eintrag mit der Anonymisierung der Veranstaltung (siehe unten).

Zahlung über Stripe

Bezahlt wird auf einer Zahlungsseite der Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Welche Zahlarten zur Wahl stehen, etwa Karte, PayPal, Apple Pay, Google Pay oder Link, sehen Sie dort. Ihre Karten- oder Kontodaten geben Sie bei Stripe ein; sie erreichen uns nicht.

An Stripe übermitteln wir Ihre E-Mail-Adresse, die Bestellnummer, die bestellten Leistungen mit den Namen der Teilnehmenden und die Beträge. Von Stripe erhalten wir zurück, ob und wie bezahlt wurde, eine Kennung der Zahlung und die angefallene Gebühr. Stripe verarbeitet die Daten teils in unserem Auftrag, teils in eigener Verantwortung, etwa zur Betrugsprävention und zur Erfüllung seiner Pflichten als Zahlungsdienstleister; dafür gilt die Datenschutzerklärung von Stripe. Eine Verarbeitung außerhalb der EU ist nicht ausgeschlossen; Grundlage sind die Standardvertragsklauseln und der Angemessenheitsbeschluss zum „EU-US Data Privacy Framework“.

Wählen Sie PayPal, gehen Name, E-Mail-Adresse und Zahlbetrag zusätzlich an die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, die die Zahlung in eigener Verantwortung abwickelt. Nutzen Sie Apple Pay, Google Pay oder Link, gilt für diesen Teil die Datenschutzerklärung des jeweiligen Anbieters.

Bestellungen, die die Veranstaltungsleitung von Hand anlegt, etwa bei Barzahlung vor Ort, laufen nicht über Stripe.

Schutz vor Missbrauch

Bestellformular, Warteliste und Mitglieder-Login schützen wir mit Cloudflare Turnstile, einem Dienst der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Beim Aufruf dieser Formulare lädt Ihr Browser ein Programm von Cloudflare, das prüft, ob ein Mensch das Formular bedient. Dazu erhält Cloudflare Ihre IP-Adresse und technische Merkmale Ihres Browsers und Geräts; beim Absenden übermittelt auch unser Server Ihre IP-Adresse an Cloudflare, um das Ergebnis zu bestätigen. Cloudflare ist dabei für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig und nutzt die Daten nach eigener Aussage nur, um Bots zu erkennen und den Dienst zu verbessern. Eine Verarbeitung in den USA ist möglich; Grundlage sind die Standardvertragsklauseln und der Angemessenheitsbeschluss zum „EU-US Data Privacy Framework“. Der Schutz ist für den sicheren Betrieb des Shops erforderlich (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG).

Zusätzlich begrenzen wir, wie oft von einer IP-Adresse oder für eine E-Mail-Adresse bestellt, ein Code angefordert oder ein Wartelisteneintrag angelegt werden kann. Dafür speichern wir weder die IP-Adresse noch die E-Mail-Adresse selbst, sondern nur einen daraus berechneten, nicht umkehrbaren Wert. Er wird nach Ablauf des Zeitraums, spätestens nach einem Tag, gelöscht.

Wer die Daten außer uns verarbeitet

Neben Stripe und Cloudflare sind für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig:

STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Dort läuft die Anwendung, Standort Deutschland, und dort liegt die Datenbank.
Microsoft Ireland Operations Limited, One Microsoft Place, Dublin 18, Irland. Über die Postfächer des Vereins bei Microsoft 365 gehen die Nachrichten des Shops hinaus. Eine Verarbeitung außerhalb der EU ist dabei nicht ausgeschlossen; Grundlage sind die Standardvertragsklauseln und der Angemessenheitsbeschluss zum „EU-US Data Privacy Framework“.
BuchhaltungsButler GmbH, c/o Factory Berlin, Rheinsberger Straße 76/77, 10115 Berlin, Anbieter unserer Buchhaltungssoftware. Zu jeder Zahlung und jeder Erstattung erzeugt der Shop einen Beleg mit Name und E-Mail-Adresse des Bestellers, den Leistungen samt Namen der Teilnehmenden und dem Betrag und übergibt ihn über eine Schnittstelle an unsere Buchhaltung dort.

Im Übrigen geben wir Ihre Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

Cookies und Protokolle

Der Shop setzt höchstens zwei Cookies, beide nur für seinen Betrieb: eines, das Sie nach dem Mitglieder-Login einen Tag lang angemeldet hält und beim Abmelden gelöscht wird, und eines, das sich ein Jahr lang die Sprache merkt, wenn Sie sie umstellen. Eine Einwilligung braucht es dafür nicht (§ 25 Abs. 2 Nr. 2 TDDDG). Analyse, Tracking und Werbung gibt es nicht. Inhalte anderer Anbieter lädt der Shop nur für den beschriebenen Bot-Schutz; die Schrift liefern wir selbst aus.

Ein Zugriffsprotokoll mit IP-Adressen führt der Server nicht. Die Anwendung schreibt ein Betriebsprotokoll, das dem sicheren Betrieb dient (Art. 6 Abs. 1 lit. f DSGVO). Es wird fortlaufend überschrieben, sobald ein festgelegter Umfang erreicht ist, und nicht ausgewertet.

Wie lange wir die Daten aufbewahren

Bestellungen, Teilnehmende und Warteliste: Nach Ablauf der Frist, die im Shop beim Bestellen und beim Eintrag in die Warteliste mit Datum steht, in der Regel zwölf Monate nach ihrem Ende, anonymisieren wir die Bestellungen, auch nicht bezahlte und stornierte. Namen, Kontaktdaten, Geburtsdatum, Erziehungsberechtigte, freie Antworten, der Mitgliedsbezug, die Zustimmungen und die Bestell-Links werden gelöscht, die Warteliste der Veranstaltung ganz. Dasselbe gilt für die Einträge in der Starterliste: Name, Kontaktdaten, Verein, Lizenz, Jahrgang und freie Antworten werden gelöscht. Es bleiben Bestellnummer, Leistungen, Preise, Startnummer, Platzierung und ausgewählte Antworten, ohne Bezug zu einer Person, für die Auswertung.
Zahlungen: Mit der Anonymisierung verlieren sie E-Mail-Adresse und Namen; wir löschen dann auch die Nachrichten, die Stripe uns zu der Zahlung geschickt hat. Betrag, Zahlart und Kennung der Zahlung bleiben.
Belege: bis zum Ablauf der gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB), derzeit bis zu zehn Jahre. Sie tragen weiter Name und E-Mail-Adresse des Bestellers und die Namen der Teilnehmenden.
Kopien versandter Nachrichten im Versandsystem des Shops: 90 Tage, nicht zustellbare 180 Tage.
Der Code für den Mitglieder-Login: bis er benutzt oder ein neuer angefordert ist, höchstens 15 Minuten gültig.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Herausgabe der von Ihnen bereitgestellten Daten (Art. 20). Soweit wir auf Grundlage berechtigter Interessen verarbeiten, können Sie widersprechen (Art. 21). Wenden Sie sich an info@rsc-ueberherrn.de oder an die oben genannte Anschrift.

Sie können sich außerdem bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist das Unabhängige Datenschutzzentrum Saarland, Fritz-Dobisch-Straße 12, 66111 Saarbrücken.