1. Verantwortliche Stelle
Verantwortlich für die Datenverarbeitung ist:
Charlotte Hoell Retrogames
Donauwörther Str. 56a
86633 Neuburg an der Donau
E-Mail: info@retrogamesboerse-neuburg.de
Diese Erklärung gilt für retrogamesboerse-neuburg.de, die Retrogames-Börse-App für iOS und Android sowie den Ticketservice unter ticket.retrogamesboerse-neuburg.de. Für das gesonderte Händlerportal unter aussteller.retrogamesboerse-neuburg.de gelten dessen eigene Datenschutzhinweise.
2. Aufruf unserer Dienste
Bei einem Aufruf unserer Website, der App-Inhalte oder des Ticketservice werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu können insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, HTTP-Statuscode und Angaben zum verwendeten Browser oder zur App gehören.
Unsere Website wird über das Content Delivery Network von BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien („bunny.net“), ausgeliefert. Bunny verarbeitet die für Übertragung, Zwischenspeicherung und Absicherung erforderlichen Verbindungsdaten. Die IP-Adresse wird in den Protokollen von bunny.net anonymisiert; diese Protokolle werden nach drei Tagen automatisch gelöscht. Mit bunny.net haben wir einen Vertrag zur Auftragsverarbeitung geschlossen.
Die Anwendungsserver betreiben wir selbst. Unser Nginx-Webserver protokolliert Zugriffe mit gekürzter IP-Adresse und ohne URL-Parameter. Diese Protokolle werden nach 14 Tagen gelöscht. Wir verarbeiten die Daten, um unsere Dienste bereitzustellen, Fehler zu beheben und Angriffe zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und zuverlässiger Betrieb.
Cloudflare verwaltet die DNS-Einträge unserer Domain, ist aber nicht als Proxy für Seitenaufrufe konfiguriert. Den gesonderten Einsatz von Cloudflare Turnstile beschreiben wir in Abschnitt 5.
3. Kontaktaufnahme
Wenn du uns über das Kontaktformular oder per E-Mail schreibst, verarbeiten wir deinen Namen, deine E-Mail-Adresse und den Inhalt deiner Nachricht, um dein Anliegen zu bearbeiten und dir zu antworten. Die Nachricht wird dazu in unserem E-Mail-Posteingang gespeichert.
Betrifft deine Anfrage einen bestehenden oder geplanten Vertrag, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Bei sonstigen Anfragen ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Bearbeitung eingehender Anliegen.
Allgemeine Anfragen löschen wir spätestens zwölf Monate nach Abschluss der Bearbeitung. Soweit eine Nachricht als Geschäfts- oder Steuerunterlage aufbewahrt werden muss oder zur Klärung eines konkreten Anspruchs benötigt wird, speichern wir sie für die jeweils erforderliche Dauer und löschen sie danach.
4. Benutzerkonto und Anmeldung auf Website und App
Du kannst dich mit deiner E-Mail-Adresse und einem einmaligen Code anmelden. Wenn noch kein Konto zu dieser Adresse besteht, wird ein WordPress-Benutzerkonto angelegt. Rechtsgrundlage für die Bereitstellung des Kontos und der Anmeldung ist Art. 6 Abs. 1 lit. b DSGVO.
Der Anmeldecode wird nur als Hash gespeichert und ist zehn Minuten gültig. Zum Schutz vor Missbrauch speichern wir für eine Stunde die Anzahl der Code-Anfragen, zugeordnet zu einem Hash deiner E-Mail- und IP-Adresse.
Bei der Anmeldung in der App speichern wir außerdem einen Anmeldeschlüssel nur als Hash sowie die Gerätebezeichnung, den Erstellungszeitpunkt und den Zeitpunkt der letzten Nutzung. Der Anmeldeschlüssel wird beim Abmelden oder bei Löschung des Kontos gelöscht. Rechtsgrundlage für die Schutzmaßnahmen ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Anmeldung vor Missbrauch.
Die Anmelde-E-Mail wird durch WordPress über einen von uns selbst betriebenen SMTP-Server versendet. Wir verarbeiten dafür deine E-Mail-Adresse und den Nachrichteninhalt zur Zustellung des Codes.
Ungenutzte WordPress-Konten werden nicht automatisch gelöscht. Du kannst dein Konto in der App oder auf der Website selbst löschen. Dabei werden deine Kommentare anonymisiert und als Beiträge von „Gelöschter Nutzer“ angezeigt. Bestellungen werden vom Konto getrennt; erforderliche Bestelldaten bleiben für die Dauer gesetzlicher Aufbewahrungspflichten erhalten.
5. Schutz der Anmeldung mit Cloudflare Turnstile
Beim Anfordern eines Anmeldecodes auf der Website und in der App verwenden wir Cloudflare Turnstile von Cloudflare, Inc., USA. Der Dienst hilft uns, automatisierte und missbräuchliche Anfragen zu erkennen. Dabei werden technische Informationen über die Anfrage und das verwendete Gerät beziehungsweise den Browser an Cloudflare übermittelt und ausgewertet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz unserer Anmeldefunktion.
Auch im Ticketportal verwenden wir Turnstile. Dort wird das Skript beim Aufruf der Portalseiten geladen und beim Anfordern eines Codes zur Prüfung der Anfrage einschließlich der IP-Adresse eingesetzt. Weitere Informationen zur Verarbeitung durch Cloudflare findest du unter https://www.cloudflare.com/de-de/turnstile-privacy-policy/.
6. Kommentare und Moderation
Nur angemeldete Nutzer können Beiträge auf der Website und in der App kommentieren. Wir speichern Kommentartext, Konto-ID, Anzeigename, E-Mail-Adresse, IP-Adresse, Zeitpunkt und eine Browser-Kennung. Bei Kommentaren aus der App wird anstelle einer Browser-Kennung „Retrobörse App“ gespeichert.
Öffentlich sichtbar sind dein Kommentar, dein selbst gewählter Anzeigename sowie Datum und Uhrzeit. Neue Konten erhalten zunächst den Anzeigenamen „Retro-Fan“.
Wenn du einen Kommentar meldest, speichern wir die Meldung zusammen mit deiner Konto-ID. Nach drei Meldungen wird der Kommentar automatisch zur Prüfung zurückgehalten und wir werden per E-Mail informiert. Nutzer, die du blockierst, werden als Einstellung in deinem Konto gespeichert.
Rechtsgrundlage für die Bereitstellung der Kommentarfunktion ist Art. 6 Abs. 1 lit. b DSGVO. Die Moderation und Missbrauchsabwehr erfolgen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine funktionierende und sichere Diskussion. Kommentare bleiben veröffentlicht, bis sie entfernt oder bei einer Kontolöschung anonymisiert werden.
7. Push-Benachrichtigungen in der App
Push-Benachrichtigungen sind zunächst ausgeschaltet. Unter „Mehr → Benachrichtigungen“ kannst du einzelne Themen aktivieren. Erst danach fragt dein Gerät nach der Berechtigung und die App übermittelt die für den Versand erforderliche Push-Kennung an uns.
Du kannst Benachrichtigungen zu freigegebenen Beitragskategorien auswählen. Wenn du angemeldet bist, kannst du zusätzlich Benachrichtigungen zum Ticket- und Bestellstatus aktivieren. Wir speichern dafür den Expo Push Token, die Plattform (iOS oder Android), deine gewählten Themen und Benachrichtigungseinstellungen sowie Erstellungszeitpunkt und Zeitpunkt der letzten Meldung. Bei angemeldeten Nutzern speichern wir zusätzlich die Zuordnung zum Benutzerkonto.
Rechtsgrundlage für die von dir aktivierten Benachrichtigungen ist Art. 6 Abs. 1 lit. a DSGVO. Du kannst deine Auswahl jederzeit in der App ändern und die Anzeige von Benachrichtigungen zusätzlich in den Einstellungen deines Geräts deaktivieren.
Für den Versand übermitteln wir den Push Token und den Nachrichteninhalt an den Expo Push Service. Expo leitet die Benachrichtigung über den Apple Push Notification Service bei iOS beziehungsweise Firebase Cloud Messaging von Google bei Android an dein Gerät weiter. Weitere Informationen findest du unter https://expo.dev/privacy.
Wenn du alle Benachrichtigungen in der App ausschaltest, löschen wir den bei uns gespeicherten Token sofort. Wir löschen ihn auch, wenn Expo meldet, dass das Gerät nicht mehr erreichbar ist, oder wenn sich die App 90 Tage nicht gemeldet hat. Bei Löschung deines Kontos entfernen wir die Kontozuordnung und deaktivieren Ticket- und Bestellbenachrichtigungen.
8. Bestellungen im Onlineshop
Bei Bestellungen von Merchandise und Tickets verarbeiten wir die zur Durchführung des Vertrags erforderlichen Angaben. Dazu gehören insbesondere Name, Anschrift, E-Mail-Adresse, Bestell- und Vertragsdaten sowie für die gewählte Zahlungsart erforderliche Zahlungsdaten. Tickets können per E-Mail zugestellt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Zur Zustellung von Waren übermitteln wir die dafür erforderlichen Daten, insbesondere Name und Lieferanschrift, an das jeweils beauftragte Versandunternehmen. Wir nutzen hierfür insbesondere DHL Paket GmbH und Deutsche Post AG.
Soweit Merchandise durch Spreadconnect hergestellt und versandt wird, übermitteln wir die erforderlichen Bestell- und Adressdaten an Spreadshirt Manufacturing Deutschland GmbH. Dies dient der Herstellung und Zustellung der bestellten Artikel.
Je nach gewählter Zahlungsart erfolgt die Zahlungsabwicklung über PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg), Stripe (Stripe Payments Europe Ltd., Irland) oder Klarna (Klarna Bank AB, Schweden). Wir übermitteln jeweils die für die Abwicklung erforderlichen Daten. Rechtsgrundlage für Versand, Herstellung und Zahlungsabwicklung ist Art. 6 Abs. 1 lit. b DSGVO.
Ausstehende und fehlgeschlagene Bestellungen werden in WooCommerce nach 90 Tagen automatisch bereinigt. Für abgeschlossene, erstattete und stornierte Bestellungen ist dort keine pauschale automatische Löschfrist eingestellt. Bestell- und Rechnungsdaten, die wir zur Vertragserfüllung oder aufgrund gesetzlicher Aufbewahrungspflichten benötigen, bewahren wir für die jeweils erforderliche Dauer auf und löschen sie danach, sofern kein anderer rechtlicher Grund für die weitere Speicherung besteht.
9. Ticketservice und Einlasskontrolle
Der Ticketservice übernimmt aus WooCommerce Bestellnummer, E-Mail-Adresse, Vor- und Nachnamen, Betrag und Bestellstatus. Eingehende WooCommerce-Webhooks können vorübergehend auch die vollständige Rechnungsadresse enthalten, insbesondere Firma, Straße, Postleitzahl, Ort und Land. Bei erfolgreich verarbeiteten Webhooks wird die vollständige Rohnachricht nicht dauerhaft gespeichert.
Für die Anmeldung im Ticketportal speichern wir deine E-Mail-Adresse, die IP-Adresse und einen Hash des Einmalcodes. Die Sitzung wird über das technisch erforderliche Cookie rtb_session mit einer Gültigkeit von 30 Tagen verwaltet. In der Datenbank speichern wir nur einen Hash des Sitzungsschlüssels. Login-E-Mails werden per SMTP versendet; Ticket-PDFs und Apple-Wallet-Dateien werden auf unserem Server erzeugt.
Beim Scannen eines Tickets am Einlass protokollieren wir die Ticket-ID aus dem QR-Code, das Prüfergebnis, den Zeitpunkt, die Kennung des Scan-Geräts und eine gekürzte Kennung des Mitarbeiter-Zugangs. Am Ticket speichern wir zusätzlich den Einlasszeitpunkt, die entwertete Anzahl und den Mitarbeiter-Zugang. Diese Daten dienen der Prüfung der Gültigkeit, der Verhinderung mehrfacher Einlösung und der Nachvollziehbarkeit des Einlasses.
Rechtsgrundlage für Ticketbereitstellung und Einlass ist Art. 6 Abs. 1 lit. b DSGVO. Die zusätzliche Protokollierung zur Missbrauchsabwehr erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer Einlass.
Für die technischen und operativen Daten des Ticketservice gelten folgende Löschregeln:
- Abgelaufene Login-Codes samt IP-Adresse werden spätestens 24 Stunden nach Ablauf gelöscht.
- Abgelaufene oder abgemeldete Sitzungen werden spätestens nach weiteren 24 Stunden gelöscht.
- Ältere vollständige Rohnachrichten erfolgreich verarbeiteter Webhooks werden nach 30 Tagen gelöscht. Bei neuen erfolgreich verarbeiteten Webhooks bleibt die vollständige Rohnachricht nicht dauerhaft gespeichert.
- Fehlgeschlagene Webhooks einschließlich ihrer Rohnachrichten werden nach 90 Tagen gelöscht.
- Webhook-Metadaten und Protokolle der Aufräum-Läufe werden nach 365 Tagen gelöscht.
- Einlassprotokolle und rein operative Einlassangaben am Ticket werden 90 Tage nach Ende der zugeordneten Veranstaltung gelöscht. Scans ohne gefundenes Ticket werden 90 Tage nach dem Scan gelöscht.
- Die Anwendungslogdatei des Ticketservice wird täglich rotiert und nach 14 Tagen gelöscht.
Bei einem konkreten Streitfall oder Sicherheitsvorfall kann die Löschung der betroffenen Einlassdaten vorübergehend ausgesetzt werden. Erforderliche Bestell- und Ticket-Kerndaten bleiben für die Vertragsabwicklung und gesetzliche Aufbewahrung erhalten.
Ticket-PDFs werden in WordPress vorübergehend gespeichert und nach sieben Tagen automatisch gelöscht. Bei Stornierung, Erstattung oder Anonymisierung einer Bestellung löschen wir die zugehörigen PDF-Dateien sofort; bei der Anonymisierung entfernen wir außerdem die Ticketdaten an der Bestellung. Wenn du innerhalb der Gültigkeit des Versandlinks erneut eine Ticket-E-Mail anforderst, wird das PDF frisch vom Ticketservice abgerufen. Der Versandlink ist 30 Tage gültig.
10. Wallet-Tickets
Wenn du „Zu Google Wallet hinzufügen“ auswählst, werden Name des Ticketinhabers, Ticket-ID beziehungsweise QR-Code und Veranstaltungsdaten zur Bereitstellung des Wallet-Tickets an Google übermittelt. Für Nutzer im Europäischen Wirtschaftsraum ist Google Ireland Limited zuständig. Die Funktion ist freiwillig und wird nur auf deinen Wunsch ausgeführt. Weitere Informationen zur Verarbeitung durch Google findest du unter https://policies.google.com/privacy.
Eine Datei für Apple Wallet erzeugen und signieren wir auf unserem Server. Das Hinzufügen zu Apple Wallet erfolgt auf deinem Gerät.
11. Cookies und ähnliche Technologien
Auf unserer Website verwenden wir Cookies und ähnliche Technologien, unter anderem für Anmeldung, Warenkorb und Speicherung deiner Datenschutzeinstellungen. Für nicht erforderliche Zwecke holen wir, soweit gesetzlich erforderlich, vor dem Einsatz deine Einwilligung ein. Du kannst deine Auswahl jederzeit über „Zustimmung verwalten“ ändern oder widerrufen.
Die eingesetzten Website-Dienste, Cookies, Zwecke und Speicherzeiten erläutern wir in unserer Cookie-Richtlinie. Das Sitzungscookie des gesonderten Ticketportals ist in Abschnitt 9 beschrieben.
12. Übermittlung an Empfänger außerhalb der EU und des EWR
Einige der genannten Dienste können Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeiten. Das betrifft insbesondere Dienste für Missbrauchsschutz und Push-Benachrichtigungen. Soweit personenbezogene Daten in ein Drittland übermittelt werden, beachten wir die Voraussetzungen der Art. 44 ff. DSGVO. Je nach Empfänger kommen ein anwendbarer Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln in Betracht. Informationen zu den jeweils verwendeten Garantien kannst du unter der oben genannten E-Mail-Adresse anfordern.
13. Backups
Wir erstellen Backups, um unsere Systeme nach einem technischen Ausfall wiederherstellen zu können. Diese Backups werden 30 Tage aufbewahrt und danach gelöscht. Daten, die im laufenden System bereits gelöscht wurden, können während dieser Frist noch in einem Backup enthalten sein. Backups werden ausschließlich zur Wiederherstellung der Systeme verwendet.
14. Deine Rechte
Du hast nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft über deine personenbezogenen Daten, Berichtigung unrichtiger Daten, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kannst du aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben.
Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Für Website-Cookies kannst du „Zustimmung verwalten“ verwenden; Push-Benachrichtigungen verwaltest du in der App. Du kannst dich außerdem jederzeit an info@retrogamesboerse-neuburg.de wenden.
Du hast das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für private Unternehmen in Bayern ist grundsätzlich das Bayerische Landesamt für Datenschutzaufsicht zuständig.