Datenschutzerklärung

Verantwortlich für die Verarbeitung personenbezogener Daten auf heldby.me im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die Christian Feuerbacher und Peter Juras GbR, Mainzer Str. 18, 80804 München, Deutschland, E-Mail: info@heldby.me ("heldby.me", "wir").

Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu nicht verpflichtet sind. Bei Fragen zum Datenschutz erreichst Du uns unter der oben genannten E-Mail-Adresse oder über unser Kontaktformular.

heldby.me ist eine Plattform, auf der Hosts Veranstaltungen anbieten und Teilnehmer sie buchen. Für den Betrieb der Plattform, die Konten der Hosts und die Buchungs- und Zahlungsinfrastruktur sind wir verantwortlich.

Vertragspartner eines Teilnehmers für die Veranstaltung ist der jeweilige Host. Der Host erhält die Daten, die er für die Durchführung seiner Veranstaltung braucht (Abschnitt 6), und ist für deren weitere Verwendung selbst verantwortlich. E-Mails, die ein Host über heldby.me an seine Teilnehmer schreibt, versenden wir in seinem Auftrag; für deren Inhalt ist der Host verantwortlich.

Zahlungen werden über das Konto des Hosts beim Zahlungsdienstleister Stripe abgewickelt. Stripe verarbeitet die Zahlungsdaten als eigenständiger Verantwortlicher (Abschnitt 9).

Wenn Du heldby.me aufrufst, verarbeiten unsere Server technisch notwendige Daten: Deine IP-Adresse, Datum und Uhrzeit des Abrufs, die aufgerufene Adresse, die übertragene Datenmenge, den Browser und das Betriebssystem sowie die Seite, von der Du kommst. Diese Daten brauchen wir, um die Website auszuliefern, ihre Sicherheit zu gewährleisten und Störungen zu beheben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und funktionsfähigen Betrieb. Server-Protokolle werden nach 30 Tagen gelöscht.

Wir setzen keine Analyse-, Tracking- oder Werbewerkzeuge ein und binden keine Social-Media-Plugins ein. Schriftarten werden von unseren eigenen Servern geladen.

Die Website, die Datenbank und unser E-Mail-Versand laufen bei Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, in Rechenzentren in Frankfurt am Main. Für die schnelle Auslieferung der Seiten nutzen wir das Content-Delivery-Netzwerk Amazon CloudFront, dessen Server auch außerhalb der EU stehen können.

Mit AWS besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Soweit Daten an die Amazon Web Services, Inc. in den USA übermittelt werden, stützt sich dies auf das EU-US Data Privacy Framework, unter dem das Unternehmen zertifiziert ist, und ergänzend auf Standardvertragsklauseln der EU-Kommission.

Wir verwenden nur Cookies und Einträge im Speicher Deines Browsers, die für die von Dir genutzten Funktionen unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht nötig, deshalb zeigen wir kein Cookie-Banner.

Anmeldung als Host: ein Sitzungs-Cookie, solange Du angemeldet bist. Anmeldung als Teilnehmer: das Cookie "student_session" für 24 Stunden, nachdem Du Dich mit einem E-Mail-Code angemeldet hast. Sprache: das Cookie "heldbyme_locale" merkt sich die gewählte Sprache. Mission Control: ein Cookie für die interne Betriebsansicht, nur für die Betreiber.

Im Browser gespeichert: Nach einer Buchung merkt sich Dein Browser, welche Events Du gebucht hast ("heldbyme_bookings"), Deinen Namen und Deine E-Mail-Adresse zum Vorausfüllen der nächsten Buchung ("heldbyme_student") und welchen Hosts Du folgst. Diese Daten verlassen Dein Gerät nicht und lassen sich jederzeit über die Einstellungen Deines Browsers löschen.

Für eine Buchung verarbeiten wir Deinen Namen, Deine E-Mail-Adresse, die gebuchte Veranstaltung, den Preis, einen eingelösten Rabattcode, die gewählte Zahlungsart, den Zahlungsstatus, die Sprache, in der Du gebucht hast, sowie Deine Angaben zum Widerrufsrecht. Wir bestätigen die Buchung per E-Mail und zeigen sie Dir auf Deiner Buchungsseite.

Der Host erhält Deinen Namen, Deine E-Mail-Adresse, den Buchungs- und Zahlungsstatus und den gezahlten Betrag. Er kann Deine Anwesenheit eintragen und Dir veranstaltungsbezogene Nachrichten schicken. Auf Deine Buchungen bei anderen Hosts hat er keinen Zugriff.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags mit uns und des Veranstaltungsvertrags mit dem Host). Buchungs- und Zahlungsdaten bewahren wir auf, solange es die handels- und steuerrechtlichen Aufbewahrungspflichten verlangen, in der Regel bis zu acht Jahre (Art. 6 Abs. 1 lit. c DSGVO).

Teilst Du ein Event über Deinen persönlichen Link oder buchst Du über einen Link aus einer E-Mail des Hosts, speichern wir, über welchen Link die Buchung kam. Der Host sieht daraus, welche Teilnehmer jemanden mitgebracht haben und welche E-Mails zu Buchungen geführt haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, dass der Host nachvollziehen kann, wie Teilnehmer zu ihm finden.

Rund um eine gebuchte Veranstaltung bekommst Du E-Mails, die für die Buchung nötig sind: die Bestätigung, Änderungen, Absagen und Erstattungen sowie, wenn der Host sie eingerichtet hat, eine Vorbereitungs-E-Mail vor und eine Follow-up-E-Mail nach der Veranstaltung. Die Follow-up-E-Mail enthält nur Informationen zu dieser Veranstaltung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die E-Mails versenden wir über Amazon Web Services (Abschnitt 4).

Du kannst einem Host folgen, beim Buchen oder auf seiner Seite. Mit Deiner Einwilligung schickt Dir der Host über heldby.me Einladungen zu neuen Veranstaltungen und gegebenenfalls Rabatte per E-Mail. Nur wer eingewilligt hat, bekommt solche Einladungen.

Eine Einwilligung, die Du auf einer Seite gibst, bestätigst Du über einen Link, den wir Dir per E-Mail schicken (Double-Opt-in). Als Nachweis speichern wir den Wortlaut, dem Du zugestimmt hast, Zeitpunkt, Sprache, IP-Adresse und Browserkennung.

Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG); den Nachweis speichern wir nach Art. 6 Abs. 1 lit. c und f DSGVO. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder Einladung oder über eine Nachricht an uns. Nach dem Widerruf bekommst Du keine Einladungen mehr; Informationen zu einer Buchung erhältst Du weiterhin.

Bezahlte Buchungen werden über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, abgewickelt, und zwar über das Stripe-Konto des Hosts. Auf der Zahlungsseite lädt Dein Browser Programmcode von Stripe; Deine Kartendaten, Kontodaten oder Wallet-Daten gibst Du direkt bei Stripe ein, wir sehen sie nicht. Stripe erhebt dabei auch Geräte- und Nutzungsdaten, um Betrug zu verhindern.

Wir erhalten von Stripe nur, was für die Buchung nötig ist: ob und wie viel bezahlt wurde, die Zahlungsart, Gebühren und Erstattungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO. Stripe ist für die Zahlungsdaten selbst verantwortlich; Stripe kann Daten an die Stripe, Inc. in den USA übermitteln, die unter dem EU-US Data Privacy Framework zertifiziert ist. Näheres findest Du in der Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

Hosts schließen für den Empfang von Zahlungen selbst einen Vertrag mit Stripe. Stripe prüft dabei unter anderem Identität und Bankverbindung des Hosts.

Für ein Host-Konto verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als sicherer Hash), die Adresse Deiner Seite, Zeitzone, Sprache, Deinen Status als Unternehmer oder Privatperson, als Unternehmer Name und Anschrift, Dein Profil (Foto, Text, Design), Deine Veranstaltungen und E-Mails sowie die Verbindung zu Deinem Stripe-Konto. Wir speichern, welche Fassung der AGB Du wann akzeptiert hast (mit IP-Adresse und Browserkennung als Nachweis), Kündigungen und Widerrufe sowie Gebührenvereinbarungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Nachweise Art. 6 Abs. 1 lit. c und f DSGVO. Nach Ende des Vertrags löschen wir die Daten, soweit wir sie nicht für Aufbewahrungspflichten, offene Buchungen, Erstattungen oder Rechtsansprüche brauchen.

Dein Profilfoto speichern wir bei UploadThing (Ping Labs, Inc., USA) als Auftragsverarbeiter; die Übermittlung in die USA stützt sich auf Standardvertragsklauseln der EU-Kommission. Name, Foto, Text und Veranstaltungen auf Deiner Seite sind öffentlich.

Hat ein Host für seine Veranstaltung einen Ort aus Google Maps gewählt, zeigt die Eventseite einen Kartenausschnitt, den Dein Browser von Google lädt. Dabei erhält Google Deine IP-Adresse und technische Angaben zu Deinem Browser. Sucht ein Host beim Anlegen eines Events nach einem Ort, gehen die Suchbegriffe an Google.

Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, den Ort einer Veranstaltung verständlich zu zeigen. Google kann Daten an die Google LLC in den USA übermitteln, die unter dem EU-US Data Privacy Framework zertifiziert ist.

Über die Buttons unter Deiner Buchung kannst Du sie in Deinen Kalender übernehmen oder Dein Ticket in Google Wallet speichern. Erst wenn Du Google Wallet wählst, übermitteln wir die Angaben des Tickets (Veranstaltung, Zeit, Ort, Host und Deinen Namen) an Google. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Schreibst Du einem Host über sein Kontaktformular, leiten wir Deinen Namen, Deine E-Mail-Adresse und Deine Nachricht an ihn weiter. Schreibst Du uns oder meldest Du einen Inhalt, verarbeiten wir dieselben Angaben, um Dein Anliegen zu bearbeiten.

E-Mails an unsere Adressen bei heldby.me nimmt die Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, als Auftragsverarbeiter entgegen und leitet sie an unsere Postfächer weiter. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework, unter dem das Unternehmen zertifiziert ist, und ergänzend auf Standardvertragsklauseln der EU-Kommission.

Zum Schutz vor Missbrauch zählen wir Anfragen und Zahlungsversuche je Absender. Dafür speichern wir nur einen nicht umkehrbaren Hash der IP-Adresse und löschen ihn, sobald er nicht mehr gebraucht wird.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO; das berechtigte Interesse liegt darin, Anfragen zu beantworten und die Plattform vor Missbrauch zu schützen.

Deine Daten erhalten nur die in dieser Erklärung genannten Stellen: der Host Deiner Buchung, Stripe sowie unsere Auftragsverarbeiter Amazon Web Services, Cloudflare, UploadThing und Google. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen, und erstellen keine Profile. Meldungen zu Inhalten prüfen Menschen.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, kannst Du dem aus Gründen, die sich aus Deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Für all das genügt eine formlose Nachricht an info@heldby.me. Du hast außerdem das Recht, Dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, zum Beispiel beim Bayerischen Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.

Ändert sich, wie heldby.me Daten verarbeitet, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung.