1. Verantwortliche Stelle

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) ist:
Felix Peierl
Hauptstraße 45, 69221 Dossenheim, Deutschland
E-Mail: felix(at)peierl(dot)xyz

Bei datenschutzrechtlichen Anfragen wenden Sie sich bitte direkt per E-Mail an die oben genannte Adresse.

2. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Plattform, der Abwicklung von Ticketbuchungen, der Veranstaltungsdurchführung oder zur Erfüllung gesetzlicher Pflichten (insbesondere § 9 JuSchG) erforderlich ist. Eine darüber hinausgehende Nutzung oder Weitergabe an Dritte findet nicht statt, es sei denn, diese ist gesetzlich vorgeschrieben oder der Nutzer hat ausdrücklich eingewilligt.

3. Verarbeitete Datenkategorien, Zwecke und Rechtsgrundlagen

3.1 Registrierung und Benutzerkonto

Beim Anlegen eines Benutzerkontos erheben wir: Vollständiger Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Passwort (Argon2id-Hash), IBAN für Wallet-Rückerstattung (optional). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

3.2 Daten Erziehungsberechtigter

Für Nutzer, die am 17.07.2027 noch minderjährig sind, erheben wir Name, Telefonnummer und E-Mail-Adresse der Erziehungsberechtigten. Dies dient der Erfüllung gesetzlicher Pflichten nach dem JuSchG (Jugendschutzgesetz). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.

3.3 Ticketbuchung und Zahlungsabwicklung

Bei der Buchung eines Tickets speichern wir: Ticketreferenz, Zahlungsstatus, Überweisungszeitpunkt, bestätigender Administrator. Diese Daten sind zur Vertragserfüllung und zur Buchführungspflicht erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

3.4 Dynamischer QR-Code und Einlasskontrolle

Für die Einlasskontrolle wird ein TOTP-Geheimnis (Einmal-Schlüssel) pro Ticket generiert. Beim Scannen des QR-Codes werden Name, Geburtsdatum, Altersberechnung und Einlasszeitpunkt protokolliert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO (JuSchG).

3.5 Digitales Wallet und Bar-Transaktionen

Für das Wallet speichern wir: Guthabenstand, Aufladungsbeträge und -zeitpunkte, alle Bar-Transaktionen (Betrag, Beschreibung, Bartender-ID, Zeitstempel, Alkohol-Flag). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.6 Ausweisdokumente (Freiwillig)

Nutzer können freiwillig ein Foto ihres Ausweisdokuments (Personalausweis, Schülerausweis) hochladen. Diese Daten werden ausschließlich zur Vorab-Verifikation durch den Veranstalter genutzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung kann jederzeit widerrufen werden.

3.7 Server-Logdateien

Beim Aufruf der Plattform werden automatisch Logdateien erstellt, die IP-Adresse, Datum, Uhrzeit, aufgerufene Seite, Browser-Typ und Betriebssystem enthalten. Diese Daten werden maximal 7 Tage gespeichert und ausschließlich zur Fehlerdiagnose und Sicherheitsanalyse verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

3.8 E-Mail-Kommunikation

Transaktions-E-Mails (Buchungsbestätigung, Zahlungsbestätigung, digitales Ticket, 2FA-Codes, Passwort-Reset) werden über den SMTP-Dienst bunsentechnik.de versendet. Der Dienstleister fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO.

3.9 Zwei-Faktor-Authentifizierung

Sofern 2FA aktiviert ist, wird entweder ein TOTP-Geheimnis (verschlüsselt gespeichert) oder ein temporärer E-Mail-Code (Hash, 10 Minuten gültig, dann gelöscht) verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4. Cookies und lokale Speicherung

Die Plattform verwendet ausschließlich technisch notwendige Session-Cookies zur Aufrechterhaltung der Anmeldesitzung. Diese Cookies werden beim Abmelden oder nach Ablauf der Sitzung automatisch gelöscht. Es werden keine Tracking-Cookies, Werbe-Cookies oder Cookies von Drittanbietern gesetzt. Externe Schriftarten (Google Fonts) werden zum Datenschutz direkt aus unserem Netzwerk ausgeliefert oder können durch das Browser-Caching bereits vorgehalten sein.

5. Datenweitergabe und Auftragsverarbeitung

(1) Eine Weitergabe personenbezogener Daten an Dritte erfolgt nicht, außer in folgenden Fällen:

• E-Mail-Versand: Der SMTP-Anbieter (bunsentechnik.de) verarbeitet E-Mail-Adressen und Nachrichteninhalte ausschließlich zum Versand der transaktionalen E-Mails.
• Hosting: Der Hosting-Anbieter des Servers speichert die Datenbankdateien als Teil des Serverbetriebs.
• Gesetzliche Verpflichtung: Bei behördlichen Anfragen oder richterlichen Anordnungen können Daten weitergegeben werden.

(2) Mit allen Auftragsverarbeitern wurde oder wird ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen.

6. Speicherdauer und Löschung

(1) Alle personenbezogenen Daten, Transaktionsprotokolle, Einlass-Logs, Bar-Transaktionen und hochgeladenen Ausweisdokumente werden spätestens 60 Tage nach Durchführung der Veranstaltung (17.07.2027) vollständig und unwiderruflich gelöscht, sofern nicht eine gesetzliche Aufbewahrungspflicht dem entgegensteht.

(2) Zahlungsbelege und buchhalterisch relevante Daten können gemäß § 147 AO für bis zu 10 Jahre aufbewahrt werden. In diesem Fall werden die Datensätze auf das steuerlich relevante Minimum reduziert (Betrag, Datum, Verwendungszweck).

(3) Server-Logdateien werden nach maximal 7 Tagen automatisch überschrieben.

(4) Session-Cookies und temporäre 2FA-E-Mail-Codes werden nach Ablauf automatisch gelöscht (spätestens nach 10 Minuten bzw. nach der Sitzung).

7. Technische und organisatorische Sicherheitsmaßnahmen

Folgende Maßnahmen schützen Ihre Daten:

• Verschlüsselte Übertragung via HTTPS (TLS 1.2/1.3) mit automatischer Erneuerung des SSL-Zertifikats (Let's Encrypt);
• Passwörter werden mit Argon2id gehasht, niemals im Klartext gespeichert;
• CSRF-Schutz auf allen Formularen;
• Rate Limiting für Anmeldeversuche und 2FA-Codes;
• SQL-Injection-Schutz durch ORM (Laravel Eloquent);
• XSS-Schutz durch automatische Ausgabe-Escaping (Blade Templates);
• Ausweisdokumente werden in einem nicht öffentlich zugänglichen Verzeichnis gespeichert (privater Storage);
• Strikte HTTP-Security-Header (HSTS, X-Frame-Options, CSP, X-Content-Type-Options).

8. Betroffenenrechte (Art. 15–22 DSGVO)

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO): Welche Daten über Sie gespeichert sind;
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten;
• Löschung (Art. 17 DSGVO): Löschung Ihrer Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht;
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung unter bestimmten Voraussetzungen;
• Datenübertragbarkeit (Art. 20 DSGVO): Erhalt Ihrer Daten in einem maschinenlesbaren Format;
• Widerspruch (Art. 21 DSGVO): Widerspruch gegen die Verarbeitung auf Basis berechtigter Interessen;
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Jederzeit, ohne Einfluss auf die Rechtmäßigkeit vorhergehender Verarbeitung.

Zur Ausübung Ihrer Rechte wenden Sie sich an: felix(at)peierl(dot)xyz. Wir bearbeiten Ihre Anfrage innerhalb von 30 Tagen.

9. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist für Baden-Württemberg:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
E-Mail: poststelle@lfdi.bwl.de · Web: www.lfdi.bwl.de

10. Haftungsausschluss für externe Plattformen

Falls Gäste auf externen Plattformen (sozialen Medien, Messengern) Informationen zum Abiball teilen, erfolgt dies außerhalb dieser Plattform und unterliegt den Datenschutzbestimmungen der jeweiligen Anbieter. Der Veranstalter hat darauf keinen Einfluss und übernimmt keine Verantwortung.