Geltungsbereich. Diese Hinweise gelten für durch den im Impressum genannten Anbieter betriebene Websites, Progressive Web Apps (PWA) sowie ggf. bereitgestellte native Apps („Dienste“). Funktionen können je Projekt variieren. Bitte gib bei Datenschutzanfragen immer die konkrete URL/Bezeichnung der betroffenen Website/App an.
1. Verantwortlicher & Kontakt
1. Verantwortlicher, technischer Betrieb & Kontakt
Verantwortlicher im Sinne der DSGVO für die jeweilige Website/App ist der
im Impressum des betreffenden Dienstes genannte Anbieter
(nachfolgend „Verantwortlicher"). Datenschutzanfragen richten Sie bitte an
die im Impressum genannten Kontaktdaten des Verantwortlichen.
Der technische Betrieb, die Wartung und Pflege der Dienste erfolgt im Auftrag
des Verantwortlichen durch Heuken Webservice (Auftragsverarbeiter nach
Art. 28 DSGVO). Technische Datenschutzanfragen können auch direkt gerichtet
werden an: mail@heuken-webservice.com
2. Rechtsgrundlagen (Überblick)
Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Anbahnung)
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Betrieb/IT-Sicherheit, Support, Reichweitenmessung ohne Profilbildung)
Art. 6 Abs. 1 lit. c DSGVO (rechtliche Pflichten)
Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, z. B. Push-Benachrichtigungen, optionale Analyse, optionale App-Berechtigungen)
TTDSG (§ 25): Unbedingt erforderliche Techniken (z. B. Session, Service-Worker-Cache) sind einwilligungsfrei.
Zweck: Betrieb, Sicherheit, Fehleranalyse. Daten: (anonymisierte) IP, Datum/Uhrzeit, URL/Datei, Referrer, HTTP-Status, User-Agent. Grundlage: Art. 6 Abs. 1 lit. f DSGVO. Dauer: i. d. R. 7 Tage (länger bei Vorfällen). Empfänger: Hosting-/Infra-Dienstleister (AVV).
3.2 PWA-Caching / Service-Worker / LocalStorage
Zweck: Offline-Funktion, Performance. Grundlage: § 25 Abs. 2 Nr. 2 TTDSG i. V. m. Art. 6 Abs. 1 lit. f DSGVO. Dauer: bis Update/Invalidierung oder manuelles Löschen. Empfänger: keine (clientseitig). Inhalte hinter Zugriffsschutz werden nicht gecacht.
3.3 Kontaktformulare & E-Mail
Zweck: Kommunikation/Bearbeitung. Daten: Kontaktdaten, Inhalte, Metadaten. Grundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Dauer: 6–24 Monate (vorgangsabhängig). Empfänger: ggf. IT-/Support-Dienstleister (AVV).
Vorzugsweise lokal, ohne Cookies, Do-Not-Track wird respektiert, IP-Anonymisierung. Grundlage: Art. 6 Abs. 1 lit. f DSGVO. Dauer: bis zu 13 Monate (oder kürzer). Empfänger: keine (bei lokalem Betrieb) bzw. AVV.
Zweck: Zugangsschutz, Sessions, Rollen. Daten: Registrierungs-/Profildaten, gehashte Kennungen, Session-Tokens, Sicherheitslogs. Grundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Dauer: Accountdauer; Logs 90–180 Tage. Empfänger: Hosting/IT (AVV).
3.7 Push-Benachrichtigungen (optional)
Zweck: Mitteilungen. Daten: Push-Token/Abonnements, Zustelldaten. Grundlage: Art. 6 Abs. 1 lit. a DSGVO; Widerruf über App/Browser/OS. Dauer: bis Widerruf/Invalidierung. Empfänger: ggf. Push-Infrastruktur (AVV).
3.8 App-Berechtigungen (optional, je Feature)
Zweck: Funktionalität (z. B. Kamera, Mikrofon, Dateien, Standort, Benachrichtigungen). Grundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. lit. f (zwingend erforderliche Funktionen). Dauer: nur solange erforderlich. Empfänger: keine Dritten.
3.9 Datei-Uploads & Malware-Prüfung (optional)
Zweck: IT-Sicherheit. Daten: Datei/Hash/Metadaten. Grundlage: Art. 6 Abs. 1 lit. f DSGVO. Drittland: Bei externen Prüfdiensten (z. B. VirusTotal) kann ein Transfer in Drittländer (u. a. USA) erfolgen; Schutz nach Art. 46 DSGVO (SCC) zzgl. techn./org. Maßnahmen. Dauer: systemseitig z. B. bis 90 Tage bzw. bis Löschung; beim Prüfdienst nach dessen Policy.
3.10 Ticket-/Bestellabwicklung (sofern angeboten)
Zweck: Abwicklung von Bestellungen, Reservierungen bzw. Ticketverkäufen
einschließlich Zahlungszuordnung, Versand von Bestätigungen/Tickets und
Kundenkommunikation. Daten: Vor- und Nachname, Anschrift, E-Mail-Adresse,
ggf. Telefonnummer, Bestell- und Buchungsdaten, ausgewählte Positionen,
Beträge, Zahlungsstatus, Bestell-/Vorgangsnummer. Grundlage:
Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Anbahnung); zur Betrugs-/Missbrauchs-
prävention sowie zur technischen Begrenzung von Bestellvorgängen kann die
IP-Adresse befristet verarbeitet werden (Art. 6 Abs. 1 lit. f DSGVO).
Dauer: für die Vertragsabwicklung erforderliche Zeit; darüber hinaus
gelten gesetzliche Aufbewahrungspflichten (insb. §§ 147 AO, 257 HGB,
i. d. R. bis zu 10 Jahre für Rechnungs-/Buchungsbelege). Empfänger:
Hosting-/IT-Dienstleister sowie E-Mail-/Versanddienstleister (jeweils AVV);
eine Weitergabe an unbeteiligte Dritte erfolgt nicht.
3.11 Versand von Bestätigungen, Tickets & Kalenderdateien (sofern angeboten)
Zweck: Darstellung von Veranstaltungs-/Standorten und Anfahrtshilfen.
Sofern Kartenmaterial eingebunden ist (z. B. über OpenStreetMap oder
vergleichbare Dienste), kann beim Laden der Kartenkacheln die IP-Adresse
an den jeweiligen Kartenanbieter übermittelt werden. Verlinkte
Navigationsangebote (z. B. Google Maps, Apple Maps, Waze, HERE WeGo,
Bing Maps, OpenStreetMap, NUNAV) werden erst durch aktives Anklicken
aufgerufen; es gelten dann die Datenschutzhinweise des jeweiligen
Anbieters. Grundlage: Art. 6 Abs. 1 lit. f DSGVO (informative Darstellung,
Nutzerkomfort). Empfänger: jeweiliger Karten-/Navigationsanbieter;
hierbei kann eine Drittlandübermittlung erfolgen (siehe Ziffer 6).
4. Pflichtangaben
Ohne erforderliche Daten kann der gewünschte Dienst nicht bereitgestellt werden (z. B. Session, Kontaktdaten).
5. Empfänger & Auftragsverarbeiter
Einsatz sorgfältig ausgewählter AV-Dienstleister mit Verträgen nach Art. 28 DSGVO; keine Weitergabe an Dritte ohne Rechtsgrundlage.
6. Drittlandübermittlungen
Bei Übermittlungen außerhalb EU/EWR: geeignete Garantien nach Art. 46 DSGVO (insb. SCC), ergänzende Schutzmaßnahmen, TIA. Kopien auf Anfrage.
7. Speicherdauern & Löschung
Personenbezogene Daten werden nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist; danach erfolgt Löschung oder Anonymisierung. Hiervon ausgenommen sind Daten, die gesetzlichen Aufbewahrungspflichten unterliegen: Insbesondere unterliegen Buchungs-,
Rechnungs- und Bestellbelege den steuer- und handelsrechtlichen Aufbewahrungsfristen (§§ 147 AO, 257 HGB), die regelmäßig bis zu 10 Jahre betragen. Für diese Dauer wird die Verarbeitung auf die
Erfüllung der Aufbewahrungspflicht beschränkt.
