Datenschutzerklärung

1Verantwortlicher und Geltungsbereich

Verantwortlich für die Verarbeitung personenbezogener Daten ist:

Diese Datenschutzerklärung gilt für die Best of Hildesheim Community Card, also für die Apps für iOS und Android, die Web-Plattform der Community Card, unseren Newsletter und unseren Instagram-Kanal. Für die übrige Website bestofhildesheim.de gilt deren eigene Datenschutzerklärung.

Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu gesetzlich nicht verpflichtet sind. Bei Fragen zum Datenschutz erreichen Sie uns unter info@bestofhildesheim.de.

2Das Wichtigste in Kürze

3Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, wenn eine Rechtsgrundlage besteht. Das sind insbesondere Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, etwa steuerliche Aufbewahrungspflichten) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen). Bei jeder Verarbeitung nennen wir die jeweilige Rechtsgrundlage.

4Benutzerkonto

Bei der Registrierung verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort (nur als Hashwert, nie im Klartext), einen Bestätigungscode oder Bestätigungslink sowie technische Kontodaten wie Benutzerkennung, Rolle, Registrierungszeitpunkt, Sitzungsdaten und den Status der E-Mail-Bestätigung. Auf der Website können Sie sich alternativ über einen zeitlich begrenzten Anmeldelink anmelden, den wir Ihnen per E-Mail senden. Die App speichert Ihre Anmeldung verschlüsselt auf Ihrem Gerät und merkt sich die zuletzt verwendete E-Mail-Adresse, damit Sie sie nicht erneut eingeben müssen.

Zweck ist die Einrichtung und Verwaltung Ihres Kontos und Ihre Anmeldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne E-Mail-Adresse können wir kein Konto einrichten. Die Daten speichern wir, bis Sie Ihr Konto löschen.

5Community Card und Einlösungen

Wenn Sie die Community Card nutzen, verarbeiten wir Ihren Mitgliedschaftsstatus, Art und Laufzeit Ihrer Mitgliedschaft, Ihre Kartennummer und die Kennung des QR-Codes auf Ihrer Karte. Zu jeder Einlösung verarbeiten wir den gewählten Vorteil, den Partner und seinen Standort, den Zeitpunkt der Einlösung und gegebenenfalls die Mitarbeiterin oder den Mitarbeiter des Partners, der die Einlösung zugeordnet ist. Das gilt auch für Vorteile bei Veranstaltungen.

Zwecke sind die Bereitstellung der Vorteile, die Prüfung Ihrer Berechtigung und die Einhaltung von Nutzungsgrenzen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Außerdem nutzen wir die Daten, um Missbrauch zu verhindern und Partnern anonyme Einlösestatistiken bereitzustellen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist der Schutz der Plattform vor Missbrauch und der Nachweis der Einlösungen gegenüber unseren Partnern.

Partner sehen bei Einlösungen weder Ihren Namen noch Ihre E-Mail-Adresse noch eine Kennung, über die Sie wiedererkannt werden könnten. Sie erhalten nur Angaben zu Vorteil, Rabatthöhe und Zeitpunkt sowie gegebenenfalls den Namen ihrer eigenen Mitarbeiterin oder ihres eigenen Mitarbeiters.

Auf Ihrer Community Card stehen Ihr Name (oder, wenn Sie keinen Namen angegeben haben, Ihre E-Mail-Adresse), Ihre Kartennummer und ein QR-Code. Wenn Sie Ihre Karte vorzeigen, kann die Person, der Sie sie zeigen, diese Angaben sehen. Scannen Mitarbeitende eines Partners den QR-Code, wird ihnen nur angezeigt, ob die Karte gültig ist.

Den Personenbezug von Einlösedaten löschen wir, wenn Sie Ihr Konto löschen, spätestens aber 24 Monate nach der Einlösung. Danach bleiben nur anonyme Statistiken erhalten.

6Standort und Karte

Die App und die Website zeigen Ihnen auf einer Karte, wo sich unsere Partner befinden. Wenn Sie die Standortfreigabe erteilen, zeigen wir zusätzlich Ihre eigene Position auf der Karte an und richten die Karte darauf aus. Die App fragt die Freigabe erst, wenn Sie auf der Karte Ihren Standort anzeigen lassen möchten; auf der Website fragt Ihr Browser nach.

Ihr Standort wird ausschließlich auf Ihrem Gerät verarbeitet. Er wird weder an unsere Server noch an Dritte übermittelt. Wir speichern ihn nicht und erstellen daraus keine Bewegungsprofile.

Rechtsgrundlage für den Zugriff auf den Standort Ihres Geräts ist Ihre Einwilligung, die Sie über die Standortfreigabe erteilen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können die Freigabe jederzeit in den Einstellungen Ihres Geräts oder Browsers widerrufen. Die Karte funktioniert dann weiter, nur ohne Anzeige Ihrer Position.

Das Kartenmaterial laden wir aus einer eigenen Kartendatei, die bei unserem Hosting-Dienstleister Supabase in Frankfurt am Main liegt (Ziffer 10). Ein externer Kartendienst erhält beim Anzeigen der Karte keine Daten (Ziffer 15).

7Veranstaltungen

Veranstaltungen zeigen wir auf der Plattform nur an. Eine Anmeldung oder ein Ticketkauf über die Plattform findet nicht statt, deshalb verarbeiten wir dafür keine Daten und geben keine Daten an Veranstalter weiter. Speichern Sie eine Veranstaltung als Favorit, gilt Ziffer 17. Nutzen Sie einen Mitgliedervorteil bei einer Veranstaltung, gilt Ziffer 5.

8Zahlungen über die Website (Stripe, PayPal)

Zahlungen für Mitgliedschaften auf der Website und Zahlungen von Partnern wickeln wir über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, ab. Stripe erhält die für die Zahlung erforderlichen Daten, etwa Name, E-Mail-Adresse, Zahlungsmittel und Betrag, sowie eine interne Kennung, mit der wir die Zahlung Ihrem Konto zuordnen. Wir erhalten nur den Zahlungsstatus und Transaktionsdaten, keine vollständigen Karten- oder Kontodaten. Schlägt eine Zahlung fehl, informieren wir Sie per E-Mail und senden Ihnen einen Link zur Zahlungsseite von Stripe.

Stripe verarbeitet einen Teil der Daten in eigener Verantwortung, etwa zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten wie der Geldwäscheprävention. Dabei können Daten an Stripe, Inc. in den USA übermittelt werden; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: stripe.com/de/privacy

Wählen Sie im Bezahlvorgang PayPal, werden Sie zu PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, weitergeleitet. PayPal verarbeitet Ihre Daten dort in eigener Verantwortung. Weitere Informationen: paypal.com/de/legalhub/paypal/privacy-full

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO. Rechnungs- und Buchungsbelege bewahren wir acht Jahre auf (§ 147 AO, § 257 HGB).

9Käufe in der App (Apple, Google, RevenueCat)

Kaufen Sie eine Mitgliedschaft in der App, erfolgt die Zahlung über Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland) beziehungsweise Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Apple und Google verarbeiten Ihre Zahlungsdaten in eigener Verantwortung. Wir erhalten nur Informationen über Kauf, Laufzeit und Abo-Status.

Zur Prüfung und Zuordnung der Käufe setzen wir RevenueCat, Inc., 1032 E Brandon Blvd #3003, Brandon, FL 33511, USA, als Auftragsverarbeiter ein. Verarbeitet werden Kaufbelege, Abo-Status und eine pseudonyme Nutzerkennung (Ihre Benutzerkennung bei uns, ohne Name oder E-Mail-Adresse). Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO); RevenueCat ist nicht unter dem EU-US Data Privacy Framework zertifiziert. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage unter info@bestofhildesheim.de. Soweit Apple und Google Daten an ihre Muttergesellschaften Apple Inc. und Google LLC in den USA übermitteln, stützen sie sich auf das EU-US Data Privacy Framework, unter dem beide zertifiziert sind.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

10Hosting und Datenbank

Die Web-Plattform und unsere Schnittstellen betreiben wir bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Die Anwendung läuft in der Region Frankfurt am Main.

Datenbank, Benutzerkonten und Dateien, etwa Bilder der Partner und die Kartendatei, speichern wir bei Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, in der Region Frankfurt am Main (eu-central-1). Bilder und die Kartendatei lädt Ihr Gerät direkt von Supabase. Soweit Supabase von außerhalb der EU auf Daten zugreift, etwa für Support oder Sicherheit, geschieht dies auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO); eine Kopie erhalten Sie auf Anfrage unter info@bestofhildesheim.de. Vercel ist unter dem EU-US Data Privacy Framework zertifiziert, sodass Übermittlungen an Vercel in die USA auf dem Angemessenheitsbeschluss der EU-Kommission beruhen (Art. 45 DSGVO).

Beide Anbieter sind als Auftragsverarbeiter nach Art. 28 DSGVO für uns tätig. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und zuverlässiger Betrieb der Plattform.

11Server-Protokolle

Beim Aufruf der App und der Web-Plattform verarbeiten unsere Server technisch bedingt Ihre IP-Adresse, Datum und Uhrzeit, Geräte- und Browserinformationen, die aufgerufene Funktion und Fehlermeldungen.

Zwecke sind die Auslieferung der Inhalte, die Fehleranalyse und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit und Stabilität der Plattform. Die Protokolle löschen wir nach spätestens 30 Tagen, es sei denn, ein konkreter Sicherheitsvorfall erfordert eine längere Aufbewahrung.

12E-Mail-Versand

System-E-Mails wie Bestätigungscodes, Anmeldelinks, die Bestätigung Ihrer Registrierung, Bestell-, Kündigungs- und Widerrufsbestätigungen, Zahlungserinnerungen und Hinweise zum Ende einer Mitgliedschaft sowie unseren Newsletter versenden wir über Amazon Simple Email Service der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, in der Region Frankfurt am Main. Verarbeitet werden Ihre E-Mail-Adresse und der Inhalt der Nachricht. AWS ist als Auftragsverarbeiter für uns tätig. Ein Zugriff durch Konzerngesellschaften in den USA ist nicht ausgeschlossen; Amazon ist unter dem EU-US Data Privacy Framework zertifiziert.

Zu jeder versendeten E-Mail speichern wir ein Versandprotokoll mit Empfänger, Betreff, Zeitpunkt und Inhalt, um den Versand nachweisen und Fehler beheben zu können. Diese Protokolle löschen wir nach zwölf Monaten, soweit sie nicht als Geschäftsbriefe länger aufzubewahren sind (Ziffer 23).

Rechtsgrundlage für System-E-Mails ist Art. 6 Abs. 1 lit. b und lit. c DSGVO, für den Newsletter gilt Ziffer 13, für die Versandprotokolle Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Nachweis und die Zuverlässigkeit unseres E-Mail-Versands.

13Newsletter und Informationen per E-Mail

Wenn Sie unseren Newsletter abonnieren, informieren wir Sie per E-Mail über neue Partner, Vorteile und Veranstaltungen in Hildesheim. Sie können den Newsletter bei der Registrierung, in den Einstellungen der App oder über ein Anmeldeformular abonnieren. Bei einer Anmeldung über ein Formular senden wir Ihnen zuerst eine E-Mail mit einem Bestätigungslink; erst nach Ihrer Bestätigung erhalten Sie den Newsletter (Double-Opt-in). Wir speichern den Zeitpunkt Ihrer Anmeldung und Bestätigung als Nachweis. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Sind Sie zahlendes Mitglied, informieren wir Sie außerdem im Rahmen von § 7 Abs. 3 UWG per E-Mail über neue Vorteile und Funktionen Ihrer Mitgliedschaft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Information unserer Mitglieder über ihre Mitgliedschaft.

Wir werten nicht aus, ob Sie unsere E-Mails öffnen oder Links darin anklicken. Sie können den Newsletter und die Informationen per E-Mail jederzeit abbestellen, über den Abmeldelink in jeder E-Mail oder in den Einstellungen der App. Wir entfernen Ihre Adresse dann aus dem Verteiler. Den Nachweis einer Einwilligung bewahren wir bis zu drei Jahre nach ihrem Widerruf auf.

14Push-Benachrichtigungen

Push-Benachrichtigungen versenden wir über Firebase Cloud Messaging, einen Dienst von Google (Google Ireland Limited, Irland, und Google LLC, USA), auf iOS zusätzlich über den Apple Push Notification Service von Apple. Verarbeitet werden eine Gerätekennung für Push-Nachrichten (Push-Token), Gerätetyp, App-Version, Spracheinstellung und der Inhalt der Nachricht. Google ist dabei als Auftragsverarbeiter für uns tätig. Daten können an Google LLC in die USA übermittelt werden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, die Übermittlung beruht damit auf dem Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Auf iOS erhält Apple (Apple Inc., USA) für die Zustellung den Push-Token und den Inhalt der Nachricht; auch Apple Inc. ist unter dem EU-US Data Privacy Framework zertifiziert.

Hinweise auf neue Vorteile, Partner und Veranstaltungen erhalten Sie nur, wenn Sie diese in der App ausdrücklich aktiviert haben (Art. 6 Abs. 1 lit. a DSGVO). Hinweise zu Ihrer Mitgliedschaft, etwa zu deren Ende, beruhen auf Art. 6 Abs. 1 lit. b DSGVO und setzen voraus, dass Push-Benachrichtigungen auf Ihrem Gerät erlaubt sind. Sie können Push-Benachrichtigungen jederzeit in der App oder in den Einstellungen Ihres Geräts abschalten. Den Push-Token löschen wir, wenn Sie sich abmelden, Benachrichtigungen deaktivieren oder Ihr Konto löschen.

15Kartenmaterial und Adressermittlung

Das Kartenmaterial stammt aus einer eigenen Kartendatei, die wir aus Daten von OpenStreetMap (© OpenStreetMap-Mitwirkende) mit Protomaps erstellt haben und bei Supabase in Frankfurt am Main speichern (Ziffer 10). Beim Anzeigen der Karte werden keine Daten an einen externen Kartendienst übermittelt.

Um aus den Adressen von Partnern und Veranstaltungsorten die Koordinaten für die Karte zu ermitteln, übermitteln unsere Server die eingegebene Adresse an MapTiler AG, Höfnerstrasse 98, 6314 Unterägeri, Schweiz, oder ersatzweise an den Dienst Nominatim der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Ihre IP-Adresse erhalten diese Dienste nicht, weil die Anfrage von unserem Server ausgeht. Für die Schweiz und das Vereinigte Königreich bestehen Angemessenheitsbeschlüsse der EU-Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Darstellung der Standorte unserer Partner und Veranstaltungen.

Die Funktion „Route“ öffnet die Karten-App auf Ihrem Gerät, etwa Apple Karten oder Google Maps. Erst dort gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

16Analyse, Personalisierung und Einwilligungen

Wir setzen keine externen Analyse- oder Werbedienste ein. Mit Ihrer Einwilligung nutzen wir zwei eigene Funktionen, die Sie getrennt erlauben können: im Einwilligungsbanner der Website und im Einwilligungsdialog der App.

Analyse

Wir zählen, welche Seiten der Website und welche Bereiche der App aufgerufen werden, um die Community Card zu verbessern. Gespeichert werden der aufgerufene Bereich (ohne Suchbegriffe) und der Zeitpunkt. Auf der Website speichern wir dafür eine zufällig erzeugte Besucherkennung in einem Cookie mit einer Laufzeit von zwölf Monaten. Sind Sie angemeldet, ordnen wir die Aufrufe zusätzlich Ihrem Benutzerkonto zu; in der App ist das immer der Fall. Wir werten die Daten nur zusammengefasst aus, geben sie nicht an Dritte weiter und löschen sie nach 14 Monaten.

Personalisierung

Wir speichern, welche Vorteile, Partner und Veranstaltungen Sie aufrufen, als Favorit speichern oder einlösen, und zeigen Ihnen daraus im Bereich „Für dich“ passende Vorschläge. Außerdem ermitteln wir aus den Aktivitäten aller Nutzer, die eingewilligt haben, zusammengefasst, welche Angebote gerade beliebt sind; einzelne Personen sind dabei nicht erkennbar. Die Daten bleiben bei uns. Widerrufen Sie die Einwilligung oder löschen Sie Ihr Konto, zeichnen wir nichts mehr auf und löschen die gespeicherten Aktivitäten.

Rechtsgrundlagen und Widerruf

Rechtsgrundlagen für Analyse und Personalisierung sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Technisch notwendige Speicherungen auf Ihrem Gerät, etwa für Ihre Anmeldung und Ihre Auswahl im Einwilligungsbanner, erfolgen ohne Einwilligung nach § 25 Abs. 2 Nr. 2 TDDDG. Ihre Auswahl im Banner speichern wir sechs Monate in einem Cookie.

Sind Sie angemeldet, speichern wir Ihre Auswahl in Ihrem Konto, damit sie auf all Ihren Geräten gilt. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Link „Cookie-Einstellungen“ im Fußbereich der Website oder unter „Datenschutz-Einstellungen“ in der App.

17Favoriten und Einstellungen

Wenn Sie Partner, Vorteile oder Veranstaltungen als Favoriten speichern oder Einstellungen vornehmen, ordnen wir diese Ihrem Konto zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten speichern wir, bis Sie sie entfernen oder Ihr Konto löschen.

18Kontakt und Feedback

Wenn Sie uns per E-Mail, Telefon oder über die Feedback-Funktion der App kontaktieren, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten. Bei einer Nachricht über die App ordnen wir sie Ihrem Konto zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Beantwortung Ihrer Anfrage und die Verbesserung der Community Card. Wir löschen die Anfrage zwölf Monate nach ihrem Abschluss, soweit keine Aufbewahrungspflicht besteht.

19Kündigung und Widerruf

Wenn Sie über die Schaltflächen „Verträge hier kündigen“ oder „Vertrag widerrufen“, in der App oder per E-Mail kündigen oder widerrufen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, die Angaben zu Ihrem Vertrag, den Inhalt Ihrer Erklärung sowie Datum und Uhrzeit des Eingangs. Zweck ist die Ausführung und Bestätigung Ihrer Erklärung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k und § 356a BGB. Als Geschäftsunterlagen bewahren wir diese Angaben sechs Jahre auf (§ 257 HGB).

20Partner und Partner-Dashboard

Für die Partnerschaft verarbeiten wir die Angaben aus dem Partnerauftrag oder der Registrierung im Partner-Portal, insbesondere Firma, Anschrift, Kategorie, Beschreibung, Website, Telefonnummer und E-Mail-Adresse des Unternehmens, Namen und Kontaktdaten der Ansprechpersonen sowie Rechnungs- und Zahlungsdaten. Die Angaben zum Unternehmen veröffentlichen wir im Partnerprofil. Die Zahlung erfolgt per Überweisung oder über Stripe (Ziffer 8). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Ansprechpersonen, die nicht selbst Vertragspartner sind, Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Durchführung der Partnerschaft. Geschäftsbriefe bewahren wir sechs Jahre, Rechnungen acht Jahre auf.

Legen Partner Mitarbeitende im Partner-Dashboard an, erhalten diese ein eigenes Benutzerkonto. Wir verarbeiten deren Namen, E-Mail-Adressen, Rollen, zugeordnete Standorte und die ihnen zugeordneten Einlösungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine sichere und nachvollziehbare Verwaltung der Partnerzugänge. Die Daten speichern wir, bis der Zugang entfernt wird oder die Partnerschaft endet.

Nutzen Partner bei der Wahl eines Veranstaltungsorts die Standortbestimmung ihres Geräts, wird der gewählte Punkt über unseren Server in eine Adresse umgewandelt (Ziffer 15) und als Ort der Veranstaltung gespeichert.

Einen Partner-Newsletter erhalten Ansprechpersonen nur mit ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Er wird wie in Ziffer 13 beschrieben über Amazon SES versendet und kann jederzeit abbestellt werden.

21Unser Instagram-Kanal

Wir betreiben den Instagram-Kanal @bestofhildesheim. Für die Verarbeitung der Daten von Besucherinnen und Besuchern des Kanals sind wir gemeinsam mit der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, verantwortlich (Art. 26 DSGVO). Meta stellt uns anonymisierte Statistiken zur Nutzung des Kanals bereit. Die Vereinbarung mit Meta finden Sie unter facebook.com/legal/terms/page_controller_addendum. Ihre Rechte können Sie am wirksamsten direkt bei Meta geltend machen. Meta übermittelt Daten auch an Meta Platforms, Inc. in den USA; das Unternehmen ist unter dem EU-US Data Privacy Framework zertifiziert.

Wenn Sie uns auf Instagram schreiben oder kommentieren, verarbeiten wir Ihre Nachricht, um zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Kommunikation mit unserer Community.

22Empfänger im Überblick

Für jeden Empfänger nennen wir die Aufgabe, seine Rolle und, falls Daten in ein Land außerhalb der EU gelangen, die Grundlage dafür nach Art. 44 ff. DSGVO.

• Vercel Inc., USA: Betrieb der Web-Plattform (Auftragsverarbeiter). USA: EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO).
• Supabase Pte. Ltd., Singapur: Datenbank, Konten, Dateien und Kartendatei, gespeichert in Frankfurt (Auftragsverarbeiter). Zugriffe von außerhalb der EU: Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Amazon Web Services EMEA SARL, Luxemburg: E-Mail-Versand und Newsletter (Auftragsverarbeiter). Mögliche Zugriffe durch Konzerngesellschaften in den USA: EU-US Data Privacy Framework.
• RevenueCat, Inc., USA: Prüfung von App-Käufen (Auftragsverarbeiter). USA: Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Stripe Payments Europe, Limited, Irland: Zahlungen auf der Website und Zahlungen von Partnern. Übermittlungen an Stripe, Inc., USA: EU-US Data Privacy Framework.
• PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg: Zahlungen per PayPal (eigener Verantwortlicher).
• Apple Distribution International Ltd., Irland, und Google Ireland Limited, Irland: App-Käufe (eigene Verantwortliche). Übermittlungen an Apple Inc. bzw. Google LLC, USA: EU-US Data Privacy Framework.
• Google Ireland Limited und Google LLC (Firebase Cloud Messaging) sowie Apple Inc. (Push Notification Service): Zustellung von Push-Benachrichtigungen. USA: EU-US Data Privacy Framework.
• MapTiler AG, Schweiz: Ermittlung von Koordinaten zu Adressen von Partnern und Veranstaltungsorten. Schweiz: Angemessenheitsbeschluss.
• OpenStreetMap Foundation, Vereinigtes Königreich: Ermittlung von Koordinaten (ersatzweise). Vereinigtes Königreich: Angemessenheitsbeschluss.
• Meta Platforms Ireland Limited, Irland: Instagram-Kanal (gemeinsam Verantwortliche). Übermittlungen an Meta Platforms, Inc., USA: EU-US Data Privacy Framework.

Wo wir uns auf Standardvertragsklauseln stützen, erhalten Sie eine Kopie auf Anfrage unter info@bestofhildesheim.de. Welche Unternehmen unter dem EU-US Data Privacy Framework zertifiziert sind, können Sie unter dataprivacyframework.gov/list prüfen.

23Speicherdauer im Überblick

• Kontodaten, Favoriten und Einstellungen: bis zur Löschung des Kontos
• Einlösedaten: Personenbezug wird bei Kontolöschung, spätestens nach 24 Monaten entfernt
• Standortdaten: werden nicht an uns übermittelt und nicht gespeichert
• Newsletter-Abonnement: bis zur Abmeldung
• Analyse-Daten: 14 Monate
• Personalisierungsdaten: bis zum Widerruf der Einwilligung oder zur Löschung des Kontos
• Versandprotokolle von E-Mails: zwölf Monate, soweit keine Aufbewahrungspflicht besteht
• Rechnungs- und Buchungsbelege: acht Jahre
• Geschäftsbriefe und E-Mails mit steuerlicher Bedeutung: sechs Jahre
• Server-Protokolle: höchstens 30 Tage
• Supportanfragen und Feedback: zwölf Monate nach Abschluss
• Nachweise über Einwilligungen: bis zu drei Jahre nach Widerruf
• Kündigungs- und Widerrufserklärungen: sechs Jahre

24Löschung Ihres Kontos

Sie können Ihr Konto jederzeit in der App oder auf der Website löschen oder die Löschung per E-Mail an info@bestofhildesheim.de verlangen. Wir löschen dann Profil, Mitgliedskarte, Favoriten, Einstellungen, Personalisierungsdaten und Push-Token und beenden Ihr Newsletter-Abonnement. Einlösedaten löschen oder anonymisieren wir. Rechnungs- und Buchungsbelege müssen wir wegen gesetzlicher Pflichten aufbewahren; sie sind für jede andere Nutzung gesperrt.

Sind Sie zugleich für einen Partner tätig, etwa als Inhaber oder Mitarbeitende mit Zugang zum Partner-Dashboard, oder als Administrator, steht das der Löschung nicht entgegen: Wir entfernen mit Ihrem Konto auch diese Zugänge und Ihre dort gespeicherten Angaben. Das Unternehmen des Partners bleibt bestehen; waren Sie dessen einziger Inhaber-Zugang, informieren wir den Partner, damit er eine neue Ansprechperson benennen kann.

Eine in der App über Apple oder Google abgeschlossene Monatsmitgliedschaft endet nicht automatisch mit der Löschung des Kontos. Bitte kündigen Sie sie in der Abo-Verwaltung Ihres Store-Kontos.

25Datensicherheit

Wir schützen Ihre Daten durch verschlüsselte Übertragung (TLS), Passwörter, die nur als Hashwert gespeichert werden, rollenbasierte Zugriffsrechte, Zugriffsbeschränkungen direkt auf Datenbankebene, sichere Anmeldeverfahren und Protokollierung. Wir überprüfen unsere Maßnahmen regelmäßig.

26Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Schreiben Sie uns dazu an info@bestofhildesheim.de.

27Widerspruchsrecht

28Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, www.lfd.niedersachsen.de.

29Mindestalter

Die Community Card richtet sich an Personen ab 16 Jahren. Wir verarbeiten nicht wissentlich Daten jüngerer Personen.

30Keine automatisierten Entscheidungen

Wir treffen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und bilden keine Profile zu Werbezwecken. Die Vorschläge im Bereich „Für dich“ beruhen nur mit Ihrer Einwilligung auf Ihrer bisherigen Nutzung (Ziffer 16).

31Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Plattform, unsere Dienstleister oder die Rechtslage ändern. Die aktuelle Fassung finden Sie jederzeit in der App und auf der Website.