Datenschutzerklärung
Diese Erklärung gilt für die Website test.hiclub.io, für die Web-App, für die iOS- und Android-Apps und für das Verwaltungs-Panel. Die Abschnitte sind entsprechend gekennzeichnet.
Die deutsche Fassung ist rechtlich verbindlich. An English convenience translation is available — English version.
1. Verantwortlicher
Pale Blue Dot GmbHAlte Kasseler Straße 52
35039 Marburg
Deutschland
Geschäftsführerin: Yasaman Serajian Moghaddam
E-Mail: info@palebluedot.de
Für alle Fragen zum Datenschutz und für die Ausübung Ihrer Rechte nach Art. 15–21 DSGVO: datenschutz@marburg.club. Diese Adresse gilt für alle Clubs des Betreibers — es gibt einen Verantwortlichen und einen Kanal.
Wir haben keinen Datenschutzbeauftragten benannt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor: es sind nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt, und unsere Kerntätigkeit besteht weder in einer umfangreichen regelmäßigen und systematischen Überwachung noch in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten. Die Prüfung ist Teil unseres Verarbeitungsverzeichnisses nach Art. 30 DSGVO.
2. Aufsichtsbehörde und Beschwerderecht
Zuständig ist die Aufsichtsbehörde am Sitz des Verantwortlichen. Der Sitz ist Marburg, daher ist für alle Clubs — unabhängig davon, in welcher Stadt Sie teilnehmen — zuständig:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)Gustav-Stresemann-Ring 1
65189 Wiesbaden
Deutschland
E-Mail: poststelle@datenschutz.hessen.de
https://datenschutz.hessen.de
Unabhängig davon können Sie sich nach Art. 77 DSGVO auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder des Orts des mutmaßlichen Verstoßes wenden.
3. Was wir grundsätzlich nicht tun
Wir setzen kein Tracking ein, keine Webanalyse, keine Werbenetzwerke, keine Social-Media-Plugins und kein Profiling. Wir verkaufen keine Daten und führen keine Daten aus verschiedenen Quellen zu einem Profil zusammen. Es gibt keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO.
4. Website (test.hiclub.io)
4.1 Server-Protokolle
Bei jedem Abruf protokolliert unser Webserver automatisch:
- Datum und Uhrzeit der Anfrage,
- die vollständige angefragte Adresse einschließlich der Parameter hinter dem Fragezeichen,
- die Methode, den HTTP-Statuscode und die übertragene Datenmenge,
- die zuvor besuchte Seite (Referer), sofern der Browser sie mitsendet,
- die vollständige Browserkennung (User-Agent) einschließlich Gerätemodell und Betriebssystemversion,
- eine IP-Adresse — siehe den folgenden Absatz.
Welche IP-Adresse gespeichert wird, hängt vom Hostnamen ab. Ein Teil unserer Hostnamen wird über das Content-Delivery-Netz von Cloudflare ausgeliefert. Bei diesen Hostnamen steht in unseren Protokollen nicht Ihre IP-Adresse, sondern die eines Cloudflare-Servers — Ihre IP-Adresse wird in diesem Fall von Cloudflare verarbeitet (Abschnitt 8). Bei den übrigen Hostnamen wird Ihre IP-Adresse bei uns protokolliert. Wir arbeiten daran, diesen Unterschied zu vereinheitlichen.
Zur Speicherdauer machen wir bewusst keine Angabe in Tagen, weil es keine gibt. Die Protokolle werden nicht nach Zeit, sondern nach Volumen rotiert: pro Dienst werden die aktuelle Datei und einige wenige ältere Generationen vorgehalten, und alles zu einem Dienst wird gelöscht, sobald dieser neu gestartet oder ersetzt wird — was bei jedem Software-Update geschieht. Je nach Zugriffsaufkommen ergibt sich daraus in der Praxis ein Zeitraum von wenigen Tagen bis zu einigen Wochen. Die Protokolle werden nicht an Dritte ausgeleitet und nicht zu einem Profil zusammengeführt. Eine zeitbasierte Aufbewahrungsregel wird derzeit eingeführt und wird hier genannt, sobald sie greift.
Auf Ebene der Server selbst führt das Betriebssystem zusätzlich ein Systemprotokoll (unter anderem über administrative Zugriffe), das etwa vier Monate umfasst. Es enthält keine Besucherzugriffe auf die Website.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der technische Betrieb, die Fehlersuche und die Abwehr von Angriffen.
4.2 Inhalte von Drittanbietern auf unseren Seiten
Die drei Rechtstexte — Impressum, Datenschutzerklärung und Teilnahmebedingungen — laden nichts von fremden Servern. Keine Schriftart, kein Skript, kein Symbolsatz, keine Karte. Sie können diese Seiten lesen, ohne dass Ihr Browser einen anderen Anbieter kontaktiert.
Für die übrigen Seiten gilt das derzeit noch nicht. Unsere Startseiten binden Schriftarten von Google Fonts (fonts.googleapis.com, fonts.gstatic.com) sowie Stil- und Skriptdateien von den Verteilnetzen jsDelivr (cdn.jsdelivr.net) und cdnjs (cdnjs.cloudflare.com) ein. Beim Abruf dieser Dateien übermittelt Ihr Browser technisch notwendig Ihre IP-Adresse und Ihre Browserkennung an den jeweiligen Anbieter. Es werden dabei keine Cookies gesetzt und keine Konten zugeordnet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — unser Interesse an einer einheitlichen Darstellung. Wir stellen diese Dateien auf eigene Server um. Bis dahin nennen wir sie hier, statt so zu tun, als gäbe es sie nicht.
4.3 Speicherung auf Ihrem Endgerät beim reinen Besuch der Website
Die öffentlichen Informationsseiten setzen keine Cookies und speichern nichts in Ihrem Browser. Die Speicherung, die beim Benutzen der App stattfindet, ist in Abschnitt 6 beschrieben.
5. Web-App und Apps für iOS und Android
Die Web-App unter app.test.hiclub.io und die nativen Apps für iOS und
Android sind dasselbe Angebot mit derselben Datenverarbeitung. Unterschiede
bestehen nur dort, wo das Betriebssystem eine eigene Berechtigung verlangt
(Kamera, Standort, Mitteilungen). Wo es einen Unterschied gibt, steht er dabei.
5.1 Verarbeitete Daten
| Daten | Wann | Rechtsgrundlage |
|---|---|---|
| E-Mail-Adresse | Bei der Registrierung und bei jeder Anmeldung (Einmalcode). Die einzige Pflichtangabe. Weitere Adressen können hinzugefügt und wieder entfernt werden. | Art. 6 Abs. 1 lit. b |
| Anzeigename | Freiwillig im Profil. Er wird dem Personal des Betriebs auf dessen Tablet angezeigt, wenn Sie einen Stempel anfragen — damit erkennbar ist, wer gerade an der Theke steht. Es ist die eine Angabe, die im täglichen Betrieb an einen Dritten gelangt. | Art. 6 Abs. 1 lit. b |
| Geburtsdatum | Freiwillig im Profil. Bei der Registrierung wird es nicht erhoben. | Art. 6 Abs. 1 lit. a / b |
| Sprache, Darstellung (hell/dunkel) | Einstellungen in der App. | Art. 6 Abs. 1 lit. b |
| Kundenkartennummer | Wird je Konto erzeugt und kann als Karte gedruckt oder gescannt werden. Sie steht in der Adresse der Kartenseite und damit auch in den Server-Protokollen (Abschnitt 4.1). | Art. 6 Abs. 1 lit. b |
| Besuche, Stempel, Prämien, Angebotsreservierungen | Bei jedem Scan und jeder Einlösung. Das ist der Inhalt des Programms. | Art. 6 Abs. 1 lit. b |
| Genauer Standort | Nur wenn Sie die Berechtigung im Betriebssystem erteilen. Die Koordinaten werden als Parameter an die Abrufe der Startseite und der Entdecken-Seite angehängt, um Betriebe nach Entfernung zu sortieren. Sie werden nicht in unserer Datenbank gespeichert. Sie stehen aber, weil sie Teil der Adresse sind, in den Server-Protokollen — für deren Dauer siehe Abschnitt 4.1. | Art. 6 Abs. 1 lit. a |
| Kamera | Nur zum Lesen von QR-Codes. Es verlässt ausschließlich die decodierte Zeichenkette Ihr Gerät. Es wird kein Bild übertragen und keines gespeichert. | Art. 6 Abs. 1 lit. b |
| Technische Scan-Protokolle | Bei jedem Check-in wird festgehalten, an welchem Betrieb gescannt wurde und ob dabei eine bestehende Sitzung vorlag. Zur Missbrauchserkennung und Fehlersuche. | Art. 6 Abs. 1 lit. f |
| Apple-Wallet-Karte | Nur wenn Sie eine erstellen. Die Datei enthält Ihren Anzeigenamen und Ihre Kundenkartennummer und liegt auf unserem Server. | Art. 6 Abs. 1 lit. b |
| Einwilligungsnachweis | Wenn Sie die Teilnahmebedingungen annehmen, speichern wir Zeitpunkt, Dokumentversion und einen Hashwert Ihrer IP-Adresse — nie die Adresse selbst. Ein Nachweis muss zuordenbar sein, aber ein Register der IP-Adressen aller Mitglieder wäre ein schlimmeres Datenschutzproblem als das, das es absichern soll. | Art. 7 Abs. 1 |
5.2 Gastkonten — bitte lesen, wenn Sie ohne Anmeldung gescannt haben
Sie können an einer Theke einen QR-Code scannen, ohne sich zuvor registriert zu haben. In diesem Fall legen wir automatisch ein Gastkonto an, damit Ihr Stempel überhaupt jemandem zugeordnet werden kann. Das geschieht ohne Anmeldeformular und ohne weitere Eingabe.
Zu einem Gastkonto gehören: eine interne Nummer, Ihre Stempel und Besuche und eine Sitzungskennung in Ihrem Browser beziehungsweise in der App. Kein Name, keine E-Mail-Adresse. Die Sitzungskennung ist bei Gastkonten bis zu 180 Tage gültig — deutlich länger als bei angemeldeten Konten (30 Tage) — damit Ihre Stempel nicht verloren gehen, wenn Sie erst Wochen später wiederkommen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Sie haben die Leistung durch den Scan angefordert. Als Gast haben Sie alle Betroffenenrechte, einschließlich der Löschung — siehe Abschnitt 10. Sie können das Gastkonto jederzeit in ein reguläres Konto überführen, indem Sie eine E-Mail-Adresse hinterlegen.
5.3 Speicherung auf Ihrem Endgerät (§ 25 TDDDG)
Die App speichert Folgendes in Ihrem Browser beziehungsweise auf Ihrem Gerät:
| Bezeichnung | Art | Dauer | Zweck |
|---|---|---|---|
mc_jwt | Cookie | 30 Tage (angemeldet) / 180 Tage (Gast) | Ihre Sitzung |
mc_jwt_guest | Lokaler Speicher | wie oben | Zweitkopie der Sitzung. Safari begrenzt die Lebensdauer von Cookies, die eine Seite selbst schreibt, auf 24 Stunden. Ohne diese Kopie verlören Gäste ihre Stempel. |
mc_intro_seen | Lokaler Speicher | dauerhaft | Einführung nur einmal zeigen |
mc_language | Lokaler Speicher | dauerhaft | Gewählte Sprache |
mc_theme | Lokaler Speicher | dauerhaft | Helle oder dunkle Darstellung |
mc_guest_email_prompt_snoozed_at | Lokaler Speicher | 14 Tage | Hinweis „Stempel sichern“ nicht zu oft zeigen |
PHPSESSID | Cookie, nur Verwaltungs-Panel | 30 Tage | Anmeldung von Mitarbeitenden |
Alle diese Einträge sind unbedingt erforderlich, damit der von Ihnen ausdrücklich gewünschte Dienst funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG). Keiner davon dient der Analyse, der Profilbildung oder der Werbung. Deshalb fragen wir Sie nicht nach einer Einwilligung für Cookies — es gibt keine, für die eine Einwilligung nötig wäre. Sie können sie jederzeit über die Einstellungen Ihres Browsers oder durch Abmelden entfernen. Dann verlieren Gastkonten allerdings den Zugang zu ihren Stempeln.
5.4 Anmeldung per Einmalcode
Zur Anmeldung senden wir einen sechsstelligen Code an Ihre E-Mail-Adresse. Der Code ist 15 Minuten gültig und wird in dieser Zeit in unserem Zwischenspeicher gehalten — nicht unter Ihrer E-Mail-Adresse, sondern unter einem Hashwert davon, so dass der Zwischenspeicher kein Verzeichnis von Adressen ist. Der Versand erfolgt über Mailgun (Abschnitt 8).
5.5 Anmeldung über Apple oder Google
Wenn die App eine Anmeldung über Apple oder Google anbietet und Sie sie nutzen, erhalten wir von dem Anbieter eine Kennung und — je nach Ihrer Auswahl dort — Ihre E-Mail-Adresse. Zur Prüfung der Echtheit ruft unser Server den öffentlichen Signaturschlüssel des Anbieters ab. Dabei werden nur die IP-Adresse unseres Servers und keine Ihrer Daten übertragen — die Prüfung selbst findet bei uns statt. Ihr Gerät kontaktiert den Anbieter unabhängig davon beim Anmeldevorgang selbst.
5.6 Mitteilungen
Wenn Sie Push-Mitteilungen zulassen, speichern wir die Gerätekennung, die uns Apple beziehungsweise Google dafür bereitstellt. Sie können die Erlaubnis jederzeit im Betriebssystem widerrufen.
6. Teilnehmende Betriebe
Wenn Sie an einer Theke einen Stempel anfragen, sieht das Personal auf dem Tablet des Betriebs Ihren Anzeigenamen (sofern Sie einen gesetzt haben), Ihren aktuellen Stempelstand in dem Programm dieses Betriebs und die Tatsache, dass Sie gerade einen Besuch anfragen. Über das Verwaltungs-Panel kann ein Betrieb die bei ihm angefallenen Besuche und Einlösungen einsehen.
Der Betrieb ist insoweit ein eigener Verantwortlicher für das, was er mit diesen Angaben in seinem eigenen Geschäftsbetrieb tut. Was er im Rahmen unseres Programms verarbeitet, ist in der Teilnahmevereinbarung geregelt. Betriebe erhalten keine Listen unserer Mitglieder, keine E-Mail-Adressen und keine Daten über Besuche bei anderen Betrieben.
7. Verwaltungs-Panel (nur Mitarbeitende und Partnerbetriebe)
Unter panel.test.hiclub.io melden sich Mitarbeitende und
Partnerbetriebe an. Verarbeitet werden Benutzername, Passwort-Hashwert und die
Sitzungskennung PHPSESSID. Die Seiten des Panels laden — anders
als diese Rechtstexte — Stil- und Skriptdateien von jsDelivr und
unpkg. Auf den Formularen mit Kartenansicht werden zusätzlich
Kartenkacheln und Adresssuchen von OpenStreetMap
(nominatim.openstreetmap.org, overpass-api.de) abgerufen, und die
Veranstaltungsansicht bindet eine Karte von Google Maps ein. Dabei
wird die IP-Adresse der aufrufenden Person an den jeweiligen Anbieter
übermittelt. Auch diese Einbindungen werden auf eigene Server umgestellt.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
8. Empfänger und Auftragsverarbeiter
| Empfänger | Wozu | Ort |
|---|---|---|
| Hetzner Online GmbH | Betrieb der Server und der Datenbank | Deutschland |
| Cloudflare | Namensauflösung (DNS) für alle unsere Hostnamen und
Auslieferung über ein Content-Delivery-Netz für einen Teil davon
(Abschnitt 4.1). Cloudflare weist die betroffenen Hostnamen außerdem
Ihren Browser an, Netzwerkfehler an a.nel.cloudflare.com zu
melden (Network Error Logging). Das ist eine Voreinstellung des
Anbieters, keine Einstellung von uns; wir schalten sie ab, nennen sie
aber bis dahin hier. |
EU/USA, auf Grundlage von Standardvertragsklauseln |
| Mailgun (Sinch) | Versand der Anmelde-E-Mails. Wir nutzen ausdrücklich den EU-Endpunkt des Dienstes. Übermittelt werden Ihre E-Mail-Adresse und der Inhalt der Nachricht. | EU |
| Teilnehmende Betriebe | Anzeigename und die Tatsache eines Besuchs, auf dem Tablet an der Theke (Abschnitt 6) | Deutschland |
| Apple, Google | Verteilung der Apps über die App-Stores und Zustellung von Push-Mitteilungen | nach den Bedingungen der Anbieter |
Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Eine Übermittlung in ein Drittland findet nur auf Grundlage der Standardvertragsklauseln der EU-Kommission statt.
9. Speicherdauer
| Daten | Dauer |
|---|---|
| Konto, Profil, E-Mail-Adressen | Bis Sie es löschen. Automatisch nach 24 Monaten ohne Anmeldung und ohne Besuch. |
| Gastkonten, die nie mit einer E-Mail-Adresse verknüpft wurden | 12 Monate nach dem letzten Besuch |
| Besuche und Stempel | Nach 24 Monaten anonymisiert: der Besuch bleibt als Statistik des Betriebs erhalten, die Verbindung zu Ihnen nicht |
| Eingelöste Prämien | 36 Monate, dann anonymisiert — die regelmäßige Verjährungsfrist des § 195 BGB für Streitigkeiten über eine Prämie |
| Technische Scan-Protokolle | 90 Tage |
| Anmeldecodes | 15 Minuten |
| Apple-Wallet-Karten | Mit dem Konto. Verwaiste Dateien nach 30 Tagen |
| Server-Protokolle | Siehe Abschnitt 4.1 — volumen-, nicht zeitbasiert |
| Einwilligungsnachweise | Für die Dauer des Kontos und darüber hinaus, solange sie als Nachweis benötigt werden |
10. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).
Zwei davon müssen Sie nicht beantragen — sie sind in der App eingebaut. Unter Profil → Konto finden Sie:
- Daten herunterladen — Ihr Profil, Ihre E-Mail-Adressen, Ihre Karte, Ihre Einwilligungen, Ihre Stempel, Besuche, Einlösungen und Reservierungen als eine Datei.
- Konto löschen — sofort, ohne Nachfrage bei uns.
Die Löschung bewirkt genau Folgendes:
Ihr Konto, Ihr Profil, Ihre E-Mail-Adressen, Ihre Kundenkarte und Ihr aktueller Stempelstand werden gelöscht. Bereits erfolgte Besuche und eingelöste Prämien bleiben als anonymisierte Statistik für die teilnehmenden Betriebe erhalten und lassen sich Ihnen nicht mehr zuordnen.
Der Grund für diese Trennung: ein Café hat eine bestimmte Zahl von Stempeln ausgegeben, und Ihr Recht zu verschwinden ist kein Recht, die Bücher dieses Cafés rückwirkend zu ändern. Nach der Anonymisierung nennen diese Datensätze niemanden mehr.
Alles Übrige richten Sie bitte an datenschutz@marburg.club. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).
11. Pflicht zur Bereitstellung
Die Angabe einer E-Mail-Adresse ist erforderlich, um ein dauerhaftes Konto zu führen — ohne sie können wir Ihnen keinen Anmeldecode senden. Alle anderen Angaben sind freiwillig. Ohne Standortfreigabe funktioniert die App vollständig, nur die Sortierung nach Entfernung entfällt.
12. Sicherheit
Die Übertragung erfolgt ausschließlich verschlüsselt (TLS). Passwörter von Mitarbeitenden werden nur als Hashwert gespeichert. Gerätekennungen der Tablets werden vor der Speicherung gehasht. E-Mail-Adressen in unserem Zwischenspeicher und IP-Adressen in Einwilligungsnachweisen werden ausschließlich als HMAC abgelegt, nie im Klartext.
13. Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Maßgeblich ist die hier veröffentlichte Fassung mit dem unten genannten Stand. Bei wesentlichen Änderungen weisen wir in der App darauf hin.