Datenschutzerklärung

Diese Datenschutzerklärung gilt für unsere Website thecrafthub.de und für unsere App „The Craft Hub“ für iPhone und Android. Sie erklärt, welche personenbezogenen Daten wir verarbeiten, wofür und auf welcher Rechtsgrundlage, an wen wir sie weitergeben, wie lange wir sie speichern und welche Rechte du hast. Eine englische Fassung findest du hier.

Das Wichtigste in Kürze

• Wir verkaufen deine Daten nicht.
• Die App enthält keine Werbung, kein Tracking und kein Analyse-SDK.
• Bezahlt wird über Stripe. Deine Kartendaten erreichen uns nie.
• Dein Konto kannst du jederzeit selbst löschen: in der App unter Konto → Profil → Konto löschen, auf der Website unter Profil → Konto löschen. Details unter Konto löschen.
• Auf der Website nutzen wir PostHog zur Analyse sowie den Meta Pixel und die Meta Conversions API, um unsere Werbung zu messen, aber nur, wenn du im Cookie-Banner einwilligst. Details unter Website: Cookies, Analyse und Werbung.
• Fragen und Anträge zum Datenschutz: [email protected].

Verantwortliche Stelle und Kontakt

The Craft Hub
Iva Gjolli
Siegfriedstraße 6
10365 Berlin
E-Mail: [email protected]

Für alle Fragen zum Datenschutz, für Anträge auf Auskunft oder Löschung und für den Widerruf einer Einwilligung schreib uns an [email protected].

Welche Daten wir verarbeiten und wofür

Aufruf der Website und Nutzung der App

Bei jedem Aufruf unserer Website und bei jeder Anfrage der App an unseren Server fallen technische Daten an (Server-Logfiles): IP-Adresse, Datum und Uhrzeit, aufgerufene Seite bzw. Schnittstelle, Browser bzw. App-Version, Betriebssystem und Spracheinstellung. Wir brauchen sie, um Website und App auszuliefern, Fehler zu finden und Angriffe abzuwehren. Unsere Server stehen bei Hetzner in der EU, der Datenverkehr läuft über Cloudflare (siehe Empfänger). Logfiles löschen wir, sobald wir sie für diese Zwecke nicht mehr brauchen, in der Regel nach spätestens 30 Tagen, es sei denn, wir brauchen sie, um einen konkreten Sicherheitsvorfall aufzuklären.

Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Konto und Anmeldung

Für dein Konto speichern wir deine E-Mail-Adresse, deinen Vor- und Nachnamen und, wenn du eins hochlädst, ein Profilbild.

• In der App meldest du dich mit einem 6-stelligen Code an, den wir dir per E-Mail schicken. Er ist 10 Minuten gültig.
• Auf der Website meldest du dich über einen Anmeldelink per E-Mail an, der 5 Minuten gültig ist, oder mit deinem Google-Konto. Bei der Anmeldung mit Google erhalten wir von Google deinen Namen, deine E-Mail-Adresse und gegebenenfalls dein Google-Profilbild.
• Solange du angemeldet bist, speichern wir eine Sitzung mit IP-Adresse und Angaben zu Browser bzw. Gerät (User-Agent). Eine Sitzung läuft spätestens 7 Tage nach ihrer letzten Nutzung ab.

Wenn du ein Konto anlegst, bekommt unser Team eine interne Benachrichtigung mit deinem Namen und deiner E-Mail-Adresse, und wir legen dich als Kontakt in unserem E-Mail-Tool Loops an (siehe E-Mails und Newsletter).

Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

Buchungen, Mitgliedschaften, Gutscheine und Zahlungen

• Buchungen: Veranstaltung, Anzahl der Tickets, Preis, Rabatte, eingelöste Gutscheine oder Mitgliedschaftsguthaben und der Status deiner Buchung (zum Beispiel bestätigt, storniert oder eingecheckt).
• Wartelisten und Anfragen: Wenn du dich auf eine Warteliste setzt oder für eine Veranstaltung mit Freigabe anfragst, speichern wir das, bei Anfragen auch deine Nachricht an den Host.
• Mitgliedschaften: Tarif, Beginn, Status, Pausen und Kündigung. Mitgliedschaften sind Abonnements bei Stripe.
• Gutscheine: Käuferin bzw. Käufer, Name der beschenkten Person, deine persönliche Nachricht sowie Gutscheincode und Guthaben. Wenn du den Gutschein direkt verschicken lässt, senden wir ihn an die E-Mail-Adresse der beschenkten Person.
• Zahlungen: Wir nutzen Stripe Checkout. Du gibst deine Zahlungsdaten direkt auf den Seiten von Stripe ein, deine Kartendaten erreichen uns nie. Stripe kann dort auch deine Rechnungsadresse abfragen (zum Beispiel Land und Postleitzahl). Von Stripe erhalten wir Betrag, Zahlungsstatus, eine Kundennummer, die bei Stripe eingegebenen Rechnungsangaben sowie Rechnungen und Belege.
• Host der Veranstaltung: Der Host einer Veranstaltung erfährt von deiner Buchung und erhält deinen Namen, per E-Mail und auf der Gästeliste. Partner-Hosts (unabhängige Kursleitungen) sehen in der App nur deinen Vornamen und den ersten Buchstaben deines Nachnamens und nie deine E-Mail-Adresse.
• Benachrichtigungen: Bestätigungen, Erinnerungen und Änderungen zu deinen Buchungen schicken wir per E-Mail und, wenn du es in der App erlaubst, per Push.

Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Buchungs-, Zahlungs- und Rechnungsdaten bewahren wir auf, weil wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO).

DIY-Kits

Wenn du ein DIY-Kit bestellst, verarbeiten wir zusätzlich deine Liefer- und Rechnungsadresse und gegebenenfalls deine Telefonnummer. Kits verkaufen und versenden unabhängige Maker. Der jeweilige Maker erhält die Angaben, die er für Versand und Abwicklung braucht, zum Beispiel deinen Namen, deine Lieferadresse und die bestellten Artikel. Wenn du im Kit-Warenkorb auf der Website die Straße deiner Liefer- oder Rechnungsadresse eintippst, schlägt dir das Formular Adressen vor: Ab dem dritten Zeichen schickt dein Browser den eingegebenen Text direkt an den Adressdienst Photon der komoot GmbH (Deutschland), die dabei auch deine IP-Adresse und Angaben zu deinem Browser erhält. Weitere Angaben zu deiner Bestellung erhält sie nicht.

Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO); für die Adressvorschläge unser berechtigtes Interesse an korrekten Lieferadressen (Art. 6 Abs. 1 lit. f DSGVO).

Community

Die Community ist freiwillig. Bevor du sie nutzt, bestätigst du unsere Community-Regeln. Wir speichern, welche Version du wann akzeptiert hast.

• Community-Profil: Anzeigename, Stadt und Kiez, Interessen, „Vibes“, Erfahrungslevel, Verfügbarkeit, Vorstellungstext und dein Profilbild. Dein Profil ist für andere angemeldete Mitglieder der Community sichtbar. Ob du in Vorschlägen erscheinst, stellst du selbst ein.
• Profilbild: Wir speichern es bei Cloudflare R2 (in der EU) unter einer öffentlichen, nicht erratbaren Adresse. Wer diese Adresse kennt, kann das Bild ansehen.
• Verbindungen und Nachrichten: Kontaktanfragen, Verbindungen und Blockierungen sowie die Nachrichten, die du mit verbundenen Mitgliedern austauschst, mit Lesestatus. Nachrichten werden verschlüsselt übertragen, aber nicht Ende-zu-Ende-verschlüsselt gespeichert. Unser Team sieht Nachrichten im Rahmen der Moderation, zum Beispiel wenn sie gemeldet werden.
• Automatischer Wortfilter: Profiltexte und Nachrichten prüft ein Filter auf unserem eigenen Server auf beleidigende, sexuelle und betrügerische Begriffe. Texte, die dagegen verstoßen, werden nicht gespeichert und nicht verschickt.
• Melden, Blockieren und Moderation: Du kannst Nachrichten und Personen melden und blockieren. Meldungen (Grund, deine Angaben und gegebenenfalls die gemeldete Nachricht) gehen an unser Team. Wir prüfen sie innerhalb von 24 Stunden. Bei Verstößen entfernen wir Inhalte, blenden Profile aus oder sperren Konten. Meldungen, Entscheidungen und Sperren dokumentieren wir.

Rechtsgrundlage: Vertrag für die Community-Funktionen (Art. 6 Abs. 1 lit. b DSGVO). Wortfilter, Meldungen, Moderation und Sperren beruhen auf unserem berechtigten Interesse an einer sicheren Community und am Schutz unserer Mitglieder (Art. 6 Abs. 1 lit. f DSGVO).

Host-Modus

Für Hosts (unser Team und Partner-Hosts) hat die App einen Host-Modus mit Gästelisten, Beitrittsanfragen samt Nachricht der anfragenden Person und Check-in per Ticket-Scan. Partner-Hosts sehen Vorname und Anfangsbuchstaben des Nachnamens der Gäste, unser Team zusätzlich den vollen Namen und die E-Mail-Adresse. Beim Scannen wertet die App nur den Code auf dem Ticket aus, Kamerabilder werden nicht gespeichert. Den Zeitpunkt des Check-ins speichern wir bei der Buchung.

Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem reibungslosen Ablauf der Veranstaltungen (Art. 6 Abs. 1 lit. f DSGVO).

E-Mails und Newsletter

• Service-E-Mails wie Anmeldecodes und -links, Buchungsbestätigungen, Erinnerungen, Gutscheine und Änderungen verschicken wir über Resend. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
• E-Mails zu ähnlichen Workshops (Loops): Jedes neue Konto legen wir als Kontakt bei unserem E-Mail-Tool Loops an, mit Name, E-Mail-Adresse und Nutzer-ID. Bei Buchungen und Mitgliedschaften übermitteln wir Loops außerdem Angaben wie Zeitpunkt und Betrag deiner letzten Buchung, ob du schon einen Workshop gebucht hast und den Status deiner Mitgliedschaft (Beginn, Kündigung). Als Kundin bzw. Kunde bekommst du von uns gelegentlich E-Mails zu ähnlichen Workshops und Angeboten von The Craft Hub; diese Angaben helfen uns, passende auszuwählen. Rechtsgrundlage: unser berechtigtes Interesse an Direktwerbung (Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG). Du kannst jederzeit widersprechen, über den Abmeldelink in jeder E-Mail oder per E-Mail an [email protected], ohne dass dafür andere als die Übermittlungskosten nach den Basistarifen entstehen.
• Newsletter: Wenn du unseren Newsletter abonnierst, schicken wir deine E-Mail-Adresse und die Quelle der Anmeldung an Loops, um dein Abo zu verwalten und dir Neuigkeiten zu Workshops, kreative Ideen und Community-Updates zu schicken. Das Formular verbindet sich beim Absenden direkt mit Loops, deshalb erhält Loops auch die technischen Daten der Anfrage, zum Beispiel deine IP-Adresse. Das Abo ist freiwillig und setzt weder ein Konto noch eine Buchung voraus. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit über den Abmeldelink in jedem Newsletter oder per E-Mail widerrufen. E-Mails zu deinen Buchungen und deinem Konto bekommst du weiterhin. Mehr dazu in der Datenschutzerklärung von Loops.

Kontaktanfragen

Wenn du uns über das Kontaktformular (zum Beispiel für ein Teamevent) oder per E-Mail schreibst, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten: Name, E-Mail-Adresse und, falls angegeben, Firma, Telefonnummer, Anlass, Wunsch-Workshop, Ort, Wunschtermin, Budget und Nachricht. Anfragen über das Formular speichern wir in unserer Datenbank und leiten sie per E-Mail (über Resend) an unser Postfach (Google Workspace) weiter. Hast du in „Marketing“ eingewilligt, melden wir eine Anfrage über die Website außerdem als „Lead“ an Meta (siehe Meta Pixel und Conversions API).

Rechtsgrundlage: Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse an der Beantwortung deiner Anfrage (Art. 6 Abs. 1 lit. f DSGVO).

Partner

Wenn du als Partner mit uns zusammenarbeitest, zum Beispiel als Kursleitung oder Maker, verarbeiten wir deine Kontakt- und Organisationsdaten, deine Veranstaltungen bzw. Produkte und Abrechnungsdaten. Laufen Auszahlungen über Stripe Connect, erhebt Stripe die dafür gesetzlich nötigen Angaben direkt bei dir.

Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Die App

Die App nutzt dasselbe Konto und dieselben Daten wie die Website, die oben beschrieben sind. Sie enthält keine Werbung, verfolgt dich nicht über Apps und Websites anderer Unternehmen hinweg und hat kein eigenes Analyse- oder Absturzbericht-Tool. Was du in der App tust, senden wir nicht an Meta oder andere Werbenetzwerke.

Ein Kauf, den du in der App abschließt (Ticket, Mitgliedschaft oder Gutschein), wird auf unserem Server als Kaufereignis in PostHog erfasst, mit deiner Nutzer-ID, Produkt, Betrag und der Plattform (iOS oder Android). So werten wir unsere Umsätze aus. Rechtsgrundlage: unser berechtigtes Interesse an der Auswertung unseres Geschäfts (Art. 6 Abs. 1 lit. f DSGVO).

Berechtigungen

Die App fragt nur nach einer Berechtigung, wenn du die passende Funktion nutzt. Du kannst jede Berechtigung jederzeit in den Einstellungen deines Geräts widerrufen.

Push-Benachrichtigungen

Wenn du Mitteilungen erlaubst, speichern wir für dein Gerät den Push-Token, die Plattform (iOS oder Android), die Sprache der App und deine Einstellungen je Kategorie: Buchungen, Erinnerungen, Community und, nur für Hosts, Hosting.

Wir versenden Benachrichtigungen über den Push-Dienst von Expo (USA). Expo leitet sie an den Apple Push Notification Service bzw. Google Firebase Cloud Messaging weiter. Eine Benachrichtigung kann personenbezogene Daten enthalten, zum Beispiel bei einer neuen Nachricht den Namen der absendenden Person und eine Vorschau der Nachricht oder bei einer Beitrittsanfrage den Namen der anfragenden Person.

Einzelne Kategorien schaltest du in der App unter Konto → Benachrichtigungen aus, ganz abschalten kannst du Push in den Einstellungen deines Geräts. Wenn du dich abmeldest, löschen wir den Token deines Geräts.

Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Ob wir dir überhaupt Mitteilungen schicken dürfen, entscheidest du über den Systemdialog und die Einstellungen.

Daten auf deinem Gerät

Die App speichert deine Anmeldung im geschützten Speicher deines Geräts (Schlüsselbund bzw. Keystore). Außerdem speichert sie geladene Inhalte wie Veranstaltungen und Tickets zwischen, damit sie schnell startet und auch ohne Netz funktioniert, und merkt sich kleine Einstellungen, zum Beispiel ob du einen Hinweis schon geschlossen hast. Wenn du dich abmeldest, entfernt die App deine Anmeldung und die zwischengespeicherten Inhalte deines Kontos.

Website-Seiten in der App

Manche Seiten, zum Beispiel die Bezahlseiten von Stripe, das Kit-Sortiment oder unsere Rechtstexte, öffnet die App in einem eingebauten Browser. Seiten unserer Website laden dort weder den Meta Pixel noch PostHog und setzen keine Marketing-Cookies. Damit das für den ganzen Besuch gilt, setzen wir das technische Cookie ch_in_app, das mit dem Ende der Sitzung gelöscht wird.

Wenn du dir den Weg zu einem Veranstaltungsort anzeigen lässt, übergibt die App die Adresse an deine Karten-App (Apple Karten bzw. Google Maps).

App Store und Google Play

Für Download und Updates der App gelten die Datenschutzbestimmungen von Apple bzw. Google. Wenn du in den Einstellungen deines Geräts zustimmst, Analysedaten mit App-Entwicklern zu teilen, stellt Apple uns Absturzberichte und zusammengefasste Nutzungsstatistiken zur Verfügung.

Website: Cookies, Analyse und Werbung

Informationen auf deinem Gerät zu speichern oder von dort auszulesen, erfordert deine Einwilligung (§ 25 Abs. 1 TDDDG), es sei denn, es ist für einen von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Deshalb fragen wir dich beim ersten Besuch mit einem Cookie-Banner, welche nicht notwendigen Cookies und vergleichbaren Techniken, etwa den lokalen Speicher deines Browsers, wir nutzen dürfen. Das gilt für alle Besucher, egal aus welchem Land. Du kannst alles akzeptieren oder unter „Anpassen“ einzeln wählen und dort auch alles außer den notwendigen abschalten: Statistik (PostHog und die Herkunft deines Besuchs), Marketing (Meta Pixel und Conversions API) und Externe Medien (Google Maps, Instagram und andere eingebettete Beiträge). Bevor du dich entschieden hast, läuft davon nichts. Deine Auswahl kannst du jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite oder oben auf dieser Seite ändern oder widerrufen. Ein Widerruf gilt für die Zukunft. Danach lädt die Seite neu, und wir löschen die betroffenen Cookies, soweit sie auf unserer Domain liegen. Deine Auswahl gilt 12 Monate, danach fragen wir erneut, ebenso, wenn sich Anbieter oder Zwecke ändern.

In unserem App-Browser (siehe Website-Seiten in der App) erscheint kein Banner, weil dort ohnehin nichts davon geladen wird.

Einwilligungsnachweise

Wenn du eine Auswahl speicherst, legen wir in unserer eigenen Datenbank (Hetzner, Deutschland) einen Nachweis darüber an. Unser Einwilligungs-Tool (c15t) läuft auf unserem eigenen Server, kein anderes Unternehmen erhält deine Auswahl. Der Nachweis enthält die gewählten Kategorien, die zufällige ID aus dem Cookie c15t, die Aktion (alle akzeptieren, nur notwendige oder eigene Auswahl), wo du gewählt hast (im Banner, in den Einstellungen oder im Platzhalter eines eingebetteten Inhalts), den Zeitpunkt, die Version unserer Einwilligungseinstellungen und ihre Prüfsumme, die Spracheinstellung deines Browsers und, wenn du dabei angemeldet warst, deine Nutzer-ID. IP-Adresse und User-Agent enthält er nicht.

Rechtsgrundlage: unsere rechtliche Pflicht, Einwilligungen nachweisen zu können (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO), und unser berechtigtes Interesse, deine Auswahl zu dokumentieren und Ansprüche abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Wir bewahren einen Nachweis so lange auf, wie die Auswahl gilt (12 Monate), und weitere drei Jahre (regelmäßige Verjährungsfrist) und löschen ihn dann.

Cookies und vergleichbare Techniken

Rechtsgrundlage: für notwendige Cookies und Speicher § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b bzw. f DSGVO, für alle anderen deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Cookies und den lokalen Speicher kannst du außerdem jederzeit in den Einstellungen deines Browsers löschen.

Herkunft deines Besuchs

Um zu verstehen, welche Kanäle (zum Beispiel Instagram, Suchmaschinen oder Newsletter) zu Buchungen führen, setzt unser Server beim Aufruf der Website diese Cookies, ch_ft und ch_lt nur mit deiner Einwilligung in „Statistik“ (die Klick-ID einer Anzeige darin nur zusätzlich mit „Marketing“), _fbp und _fbc nur mit deiner Einwilligung in „Marketing“:

Wenn du ein Konto anlegst oder etwas kaufst, speichern wir diese Angaben zusammen mit deinem Konto bzw. deiner Bestellung, auch in den Bestelldaten bei Stripe, ebenso, welche Kategorien du beim Bezahlen erlaubt hattest. Öffnest du einen Anmeldelink in einem anderen Browser, gibt der Link diese Angaben dorthin weiter; dort setzen wir sie erst, wenn du auch in diesem Browser eingewilligt hast.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

PostHog

Wir nutzen PostHog (PostHog, Inc., USA), um zu verstehen, wie unsere Website genutzt wird, und um sie zu verbessern. PostHog speichert die Daten in seiner EU-Cloud in Deutschland (Frankfurt). Die Anfragen laufen über unsere eigene Domain (/ingest): Unser Server gibt nur die technischen Angaben weiter, die PostHog braucht, etwa IP-Adresse, Browser und Sprache, und keine unserer Cookies. PostHog erfasst Seitenaufrufe, Klicks und Interaktionen, Ladezeiten, die Herkunft deines Besuchs und erstellt Heatmaps und Sitzungsaufzeichnungen, also Aufzeichnungen deiner Mausbewegungen, Klicks und Seitenwechsel. Eingaben in Formularfelder werden dabei ausgeblendet. PostHog speichert dafür eine Kennung in einem Cookie und im lokalen Speicher deines Browsers.

Wenn du angemeldet bist, verknüpfen wir diese Daten mit deinem Konto (Nutzer-ID, Name, E-Mail-Adresse). PostHog lädt nur mit deiner Einwilligung in „Statistik“. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Käufe erfasst unser Server außerdem als Kaufereignis in PostHog, mit Nutzer-ID, Produkt und Betrag, auch ohne diese Einwilligung, so wie Käufe in der App. Dafür wird nichts auf deinem Gerät gespeichert oder ausgelesen. Rechtsgrundlage: unser berechtigtes Interesse an der Auswertung unseres Geschäfts (Art. 6 Abs. 1 lit. f DSGVO). Nur mit Einwilligung in „Statistik“ enthält das Ereignis auch die Herkunft deines Besuchs und die Kennung deines Browsers bei PostHog.

Meta Pixel und Conversions API

Wir nutzen den Meta Pixel und die Conversions API von Meta (Instagram, Facebook), um zu messen, wie gut unsere Anzeigen funktionieren, und um sie an passende Personen auszuspielen.

• Meta Pixel: Der Pixel lädt bei deiner ersten Interaktion mit der Seite, oder sofort, wenn du über eine Meta-Anzeige kommst. Er meldet Seitenaufrufe und Ereignisse wie den Beginn eines Bezahlvorgangs, einen Kauf oder eine Kontaktanfrage an Meta, zusammen mit deiner IP-Adresse, Angaben zu deinem Browser und den Cookies _fbp/_fbc.
• Conversions API: Bei Registrierungen, begonnenen Bezahlvorgängen, Käufen, dem Start einer Mitgliedschaft und Kontaktanfragen über die Website sendet unser Server ein Ereignis an Meta. Es enthält, soweit vorhanden, E-Mail-Adresse, Vor- und Nachname, Land und Postleitzahl (jeweils gehasht, also als nicht direkt lesbare Prüfsumme), deine Nutzer- oder Anfrage-ID, IP-Adresse, User-Agent, die Cookies _fbp/_fbc sowie Wert und Inhalt des Kaufs.

Meta kann diese Daten deinem Meta-Konto zuordnen und auch für eigene Zwecke nutzen. Für das Erheben der Daten auf unserer Website und ihre Übermittlung an Meta sind wir gemeinsam mit der Meta Platforms Ireland Limited verantwortlich (Art. 26 DSGVO). Die Regeln dafür stehen in den Nutzungsbedingungen für Meta Business Tools und im Zusatz für Verantwortliche (Controller Addendum). Für alles, was Meta nach der Übermittlung mit den Daten macht, ist Meta allein verantwortlich. Deine Rechte zu den Daten, die Meta speichert, kannst du direkt bei Meta Ireland geltend machen; du kannst dich aber auch an uns wenden. Meta übermittelt Daten auch in die USA, auf Grundlage des EU-US Data Privacy Framework (Meta Platforms, Inc. ist danach zertifiziert). Mehr dazu in der Datenschutzrichtlinie von Meta.

Beides nutzen wir nur mit deiner Einwilligung in „Marketing“: Ohne sie lädt der Pixel nicht, und unser Server sendet keine Ereignisse an Meta. Ob du beim Bezahlen eingewilligt hattest, merken wir uns in den Bestelldaten, damit auch der spätere Kauf nur dann gemeldet wird. Aktionen in der App und Seiten, die die App öffnet, senden wir nie an Meta.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Eingebettete Inhalte

• Google Maps: Auf Veranstaltungsseiten zeigen wir den Veranstaltungsort auf einer Karte von Google. Sobald die Karte lädt, erhält Google deine IP-Adresse und Angaben zu deinem Browser.
• Instagram: Auf unserer Startseite und in Blogartikeln zeigen wir Beiträge von Instagram. Sobald sie laden, erhält Meta deine IP-Adresse und Angaben zu deinem Browser und kann Cookies setzen.
• YouTube: Auf unseren Anleitungsseiten (Tutorials) binden wir Videos von YouTube im erweiterten Datenschutzmodus ein (youtube-nocookie.com). Das Vorschaubild lädt von den Servern von YouTube, das Video selbst erst, wenn du es startest. Google erhält dann deine IP-Adresse und Angaben zu deinem Browser.

Für Maps und YouTube ist Google selbst verantwortlich, für Instagram Meta (siehe Empfänger). Karten, Beiträge und Videos laden nur mit deiner Einwilligung in „Externe Medien“. Ohne sie siehst du einen Platzhalter und kannst einzelne Inhalte per Klick laden. Rechtsgrundlage: deine Einwilligung, im Banner oder durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Empfänger und Dienstleister

Wir geben deine Daten nur weiter, wenn es für die in dieser Erklärung beschriebenen Zwecke nötig ist oder eine andere Rechtsgrundlage es erlaubt. Empfänger sind insbesondere Hosting- und Infrastruktur-Anbieter, Zahlungsdienstleister, E-Mail- und Push-Dienste, Analyse- und Werbeanbieter, Anbieter eingebetteter Inhalte, unsere Buchhaltungssoftware und Steuerberatung sowie die Hosts und Maker deiner Buchungen und Bestellungen. Soweit Dienstleister in unserem Auftrag verarbeiten, bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Für einen Teil der Verarbeitung sind manche Anbieter selbst verantwortlich, wie in der Tabelle angegeben.

Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind. Strafbare Inhalte aus der Community können wir an die zuständigen Behörden weitergeben.

Übermittlung in Drittländer

Einige Dienstleister sitzen in den USA oder verarbeiten Daten dort. Daten in Länder außerhalb der EU bzw. des EWR übermitteln wir nur auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission oder mit geeigneten Garantien:

• EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission) für danach zertifizierte Anbieter: Stripe, LLC, Plus Five Five, Inc. (Resend), Astrodon (Loops), PostHog, Inc., Meta Platforms, Inc., Google LLC, Cloudflare, Inc. und 650 Industries, Inc. (Expo).
• Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO): Stripe, Resend, Loops, PostHog, Cloudflare und Expo haben sie zusätzlich in ihren Bedingungen zur Auftragsverarbeitung vereinbart. Push-Benachrichtigungen an iPhones über Apple beruhen auf ihnen.

Eine Kopie der Garantien bekommst du auf Anfrage unter [email protected].

Wie lange wir Daten speichern

Wir speichern personenbezogene Daten nur so lange, wie wir sie für die in dieser Erklärung beschriebenen Zwecke brauchen oder wie es gesetzlich vorgeschrieben ist. Im Einzelnen:

• Kontodaten (Konto, Profil, Community-Profil, Verbindungen und Nachrichten): solange dein Konto besteht. Wenn du es löschst, löschen oder anonymisieren wir die Daten wie unter Konto löschen beschrieben.
• Abrechnungsdaten, Buchungen und Rechnungen: für die gesetzlichen Aufbewahrungsfristen von 6, 8 bzw. 10 Jahren (§ 257 HGB, § 147 AO).
• Anmeldecodes und -links: Codes sind 10 Minuten gültig, Links 5 Minuten. Sitzungen laufen nach 7 Tagen ohne Nutzung ab.
• Push-Token: bis du dich abmeldest, dein Konto löschst oder das Gerät beim Push-Dienst nicht mehr erreichbar ist.
• Server-Logfiles: Wir löschen sie, sobald wir sie nicht mehr brauchen, in der Regel nach spätestens 30 Tagen, es sei denn, wir brauchen sie, um einen konkreten Sicherheitsvorfall aufzuklären.
• Cookies und vergleichbare Techniken: für die in der Tabelle genannte Dauer.
• Einwilligungsnachweise: so lange, wie die Auswahl gilt (12 Monate), und weitere drei Jahre, danach löschen wir sie (siehe Einwilligungsnachweise).
• Newsletter-Daten: bis du dich abmeldest.

Konto löschen

Du kannst dein Konto jederzeit selbst löschen:

• In der App: Konto → Profil → Konto löschen
• Auf der Website: Profil → Konto löschen
• Per E-Mail: an [email protected]

Was wir löschen: deine Sitzungen und Anmeldungen, dein Profil und Profilbild, dein Community-Profil, Kontaktanfragen, Verbindungen und Blockierungen, deine Push-Tokens und Benachrichtigungseinstellungen, die Nachrichten, die du gesendet hast, Wartelisten-Einträge, Beitrittsanfragen, Angaben zur Herkunft deiner Besuche, offene Warenkörbe und deinen Kontakt bei Loops. Dein Nutzerkonto wird anonymisiert: Name und E-Mail-Adresse werden entfernt, eine Anmeldung ist danach nicht mehr möglich.

Was wir aufbewahren: Buchungen, Bestellungen, Zahlungen, Gutscheine und Mitgliedschaften, weil wir gesetzlich dazu verpflichtet sind. Sie hängen danach nur noch am anonymisierten Konto. Bei Stripe bleiben Kundennummer und Rechnungen erhalten. Außerdem bewahren wir Moderationsunterlagen auf: Meldungen, Sperren, den Nachweis, dass du die Community-Regeln akzeptiert hast, und den Text von Nachrichten, die gemeldet oder von unserem Team entfernt wurden. Diese Nachrichten sind für andere Mitglieder nicht mehr sichtbar. Rechtsgrundlage: gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO) und unser berechtigtes Interesse, Meldungen nachvollziehen und Rechtsansprüche verteidigen zu können (Art. 6 Abs. 1 lit. f DSGVO).

Gut zu wissen:

• Eine laufende Mitgliedschaft wird beim Löschen sofort beendet.
• Buchungen für spätere Termine bleiben bestehen und werden nicht automatisch erstattet. Storniere Buchungen, die du nicht mehr wahrnehmen möchtest, bitte vor dem Löschen.
• Wenn eine gebuchte Veranstaltung gerade läuft oder in den nächsten 48 Stunden beginnt, kannst du dein Konto erst danach löschen.
• Wenn dein Konto eine Partner-Organisation verwaltet, schreib uns. Wir schließen die Organisation dann gemeinsam mit dir.

Deine Rechte

Du hast das Recht auf:

• Auskunft über deine Daten (Art. 15 DSGVO)
• Berichtigung falscher Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 DSGVO). Gegen Direktwerbung kannst du jederzeit ohne Begründung widersprechen.
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die Verarbeitung bis zum Widerruf bleibt rechtmäßig.

Schreib uns dafür an [email protected].

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61
10555 Berlin
www.datenschutz-berlin.de, [email protected]

Musst du uns Daten geben?

Du bist nicht verpflichtet, uns Daten zu geben. Ohne E-Mail-Adresse und Namen können wir dir aber kein Konto anlegen, und ohne die Angaben im Bestellvorgang keine Buchung annehmen. Community, Profilbild, Push-Benachrichtigungen und alle Berechtigungen der App sind freiwillig.

Automatisierte Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich automatisiert sind und dir gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Der Wortfilter der Community hält nur einzelne Texte zurück. Über Sperren entscheidet immer ein Mensch aus unserem Team.

Sicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen, zum Beispiel verschlüsselter Übertragung (HTTPS) und Zugriffsbeschränkungen. In der App liegt deine Anmeldung im geschützten Speicher deines Geräts.

Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Angebote oder die Rechtslage ändern. Die aktuelle Fassung findest du immer auf dieser Seite und in der App.

Stand: Oktober 2026