Datenschutz.

Verantwortlich für die Verarbeitung deiner Daten auf edf-niederwihl.de ist:

Der vertretungsberechtigte Vorstand und die vollständige Anbieterkennzeichnung stehen im Impressum.

Wir haben keinen Datenschutzbeauftragten bestellt. Dazu sind wir nicht verpflichtet: bei uns sind keine 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG). Für alle Fragen zum Datenschutz schreib uns einfach an die Adresse oben — dort liest ein Mensch mit.

Damit du den Rest im richtigen Licht liest — folgendes findet auf dieser Seite nicht statt:

• Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.
• Wir erstellen keine Nutzerprofile zu Werbe- oder Bewertungszwecken und treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung dir gegenüber (Art. 22 DSGVO). Die einzige automatisierte Prüfung ist die Bot-Erkennung beim Absenden von Formularen (§ 3) — sie bewertet die Anfrage, nicht deine Person.
• Wir setzen keine Werbe-Cookies, kein Retargeting, keine Social-Media-Pixel und keine Werbenetzwerke ein. Statistik-Cookies gibt es nur nach deiner Einwilligung (§ 9).
• Wir versenden keinen Newsletter und schreiben dich nach dem Fest nicht unaufgefordert an.
• Wir laden keine Schriftarten von fremden Servern. Alle Webfonts werden beim Bauen der Seite heruntergeladen und von unserer eigenen Domain ausgeliefert — dein Browser stellt dafür keine Verbindung zu Google Fonts her.

Für den reinen Seitenaufruf brauchst du kein Konto und musst nichts angeben. Technisch notwendig ist trotzdem eine Verarbeitung:

Server-Logfiles

Beim Abruf einer Seite überträgt dein Browser automatisch Daten, die unser Hoster kurzzeitig protokolliert — im Wesentlichen IP-Adresse, Zeitpunkt, aufgerufene URL, HTTP-Statuscode, übertragene Datenmenge, Referrer und User-Agent. Diese Daten sind nötig, um die Seite überhaupt ausliefern zu können, Angriffe zu erkennen und Fehler zu finden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und stabile Betrieb der Website. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt, und wir werten sie nicht personenbezogen aus.

Schutz vor automatisierten Zugriffen

Beim Absenden des Bestell-, Anmelde- und Kontaktformulars prüfen wir, ob die Anfrage von einem Menschen oder von einem Programm stammt. Die Prüfung läuft über Vercel BotID und kommt ohne Captcha aus — du musst also keine Ampeln anklicken. Sie setzt keine Cookies zu Werbezwecken und erstellt kein Profil über deinen Besuch.

Nur wenn eine Anfrage als automatisiert eingestuft wird, halten wir das fest: die betroffene Funktion, das Ergebnis der Prüfung, deine IP-Adresse und die Browserkennung. Anfragen von Menschen werden nicht protokolliert. Wir blockieren dabei nur das Kontaktformular — beim Ticketkauf und bei der Anmeldung wird ausschließlich mitgeschrieben, damit eine Fehleinschätzung dich nicht vom Kauf deiner Tickets aussperrt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, Spam, Missbrauch unseres E-Mail-Versands und automatisierte Angriffe auf den Ticketshop abzuwehren. Die Einträge werden mit allem anderen bis zum 31.12.2026 gelöscht (§ 15).

Hosting

Die Website wird bei Vercel Inc. (USA) betrieben, die für uns als Auftragsverarbeiterin nach Art. 28 DSGVO tätig ist; ein Auftragsverarbeitungsvertrag besteht. Vercel ist unter dem EU-US Data Privacy Framework zertifiziert (siehe § 14). Die Auslieferung erfolgt über ein weltweites Content-Delivery-Netz; für Besucher aus Europa antworten dabei europäische Standorte.

Wir speichern nur, was der Shop wirklich braucht — und was darüber hinausgeht, ausschließlich nach deiner Einwilligung. Für den Zugriff auf Informationen in deinem Endgerät gilt § 25 TDDDG (das frühere TTDSG, im Mai 2024 umbenannt). Technisch notwendige Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei; alles andere setzt deine Einwilligung nach § 25 Abs. 1 TDDDG voraus.

Ohne Einwilligung — technisch notwendig:

Deine Bestellanschrift bleibt nicht im Browser. Der Bestellvorgang speichert deinen Namen, deine Anschrift und deine Telefonnummer nicht auf deinem Gerät — sie werden nur an unseren Server übertragen und dort zu deiner Bestellung gespeichert. Im Browser liegen nur die oben genannten Sicherheits- und Anmeldedaten; dazu kann vorübergehend auch deine E-Mail-Adresse gehören. „Abmelden“ beendet die Firebase-Sitzung und entfernt zusätzlich die vorgemerkte E-Mail-Adresse.

Nur mit Einwilligung werden zusätzlich Dienste geladen, die selbst Informationen auf deinem Gerät speichern oder auslesen: Google Analytics und Microsoft Clarity (§ 9), die interaktive Karte (§ 10) und externe Videos (§ 11). Alles ist standardmäßig aus. Nach Zustimmung können dabei insbesondere _ga und_ga_… von Google (standardmäßig bis zu 2 Jahre) sowie_clck, _clsk und weitere Clarity-Cookies von Microsoft gesetzt werden. Deine Entscheidung kannst du jederzeit über den Link „Cookie-Einstellungen“ im Footer ändern oder widerrufen — der Widerruf ist genauso einfach wie die Zustimmung und gilt ab sofort.

Was wir erheben

Für eine Bestellung brauchen wir: Vorname, Nachname, E-Mail-Adresse, Straße, Hausnummer, PLZ und Ort. Die Telefonnummer ist freiwillig — wir rufen nicht an, aber bei einer kurzfristigen Änderung am Festtag ist sie hilfreich. Dazu kommen die Anzahl der Tickets und der Zahlbetrag.

Deine Zahlungsdaten sehen wir nicht. Kartennummer, IBAN oder PayPal-Zugang gibst du direkt bei unserem Zahlungsdienstleister ein; sie werden nie an unseren Server übertragen und wir speichern sie nirgends. Wir erfahren nur, ob die Zahlung geklappt hat, über welche Methode und über welchen Betrag.

Wozu und auf welcher Grundlage

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bestellung abwickeln, Tickets erzeugen, per E-Mail zustellen, Einlass kontrollieren, bei Rückfragen antworten.
• Rechtliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): steuer- und handelsrechtliche Aufbewahrungspflichten für Buchungsbelege.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Missbrauch und Mehrfacheinlösung von Tickets verhindern, technische Fehler nachvollziehen.

Stripe

Die Zahlung wickelt Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland ab. Wir übermitteln dorthin deinen Namen, deine E-Mail-Adresse, deine Anschrift, gegebenenfalls die Telefonnummer sowie Betrag und Anzahl der Tickets — Stripe legt dazu einen Kundendatensatz an.

Sobald du die Ticketseite aufrufst, lädt dein Browser Stripe.js und Stripe Elements — also bereits mit dem Bestellvorgang und nicht erst im Bezahlschritt. Stripe kann dabei Cookies und Sitzungsspeicher einsetzen sowie Geräte- und Nutzungssignale an Stripe übermitteln, um die Zahlungsfelder bereitzustellen, Zahlungen zu authentifizieren und Betrug zu verhindern. Diese Verarbeitung ist für den von dir gestarteten Ticketkauf erforderlich; sie gehört deshalb zur Kategorie „Notwendig“ und lässt sich im Cookie-Dialog nicht abschalten. Auf allen anderen Seiten wird Stripe nicht geladen.

Im Bezahlschritt bietet Stripe neben der Kartenzahlung weitere Zahlarten an — Apple Pay, Google Pay, PayPal, Klarna, Revolut Pay, Amazon Pay, iDEAL und Billie. Damit die passenden Schaltflächen erscheinen, prüft dein Browser schon beim Aufbau der Seite, welche dieser Dienste auf deinem Gerät und in deinem Land verfügbar sind; dabei können die jeweiligen Anbieter Kenntnis von deiner IP-Adresse und deinem Gerät erhalten. Entscheidest du dich für eine dieser Zahlarten, verarbeitet der jeweilige Anbieter deine Zahlungsdaten in eigener Verantwortung; es gelten dann zusätzlich dessen eigene Datenschutzhinweise. Eine SEPA-Lastschrift bieten wir nicht an.

Wichtig zur Einordnung: Stripe verarbeitet einen Teil dieser Daten in eigener Verantwortung — insbesondere zur Betrugsprävention und zur Erfüllung eigener geldwäscherechtlicher Pflichten. Insoweit sind wir dafür nicht verantwortlich; es gelten die Datenschutzhinweise von Stripe.

Speicherung bei uns

Bestellung und Kontaktdaten speichern wir in einer Firestore-Datenbank von Firebase (siehe § 13), deren Standort in der Europäischen Union liegt. Hast du bei der Bestellung ein Konto oder meldest dich später an, legen wir aus diesen Angaben ein Profil an, damit du sie beim nächsten Kauf nicht erneut eingeben musst (§ 6).

Für den Zugriff auf deine Tickets gibt es kein Passwort. Du gibst deine E-Mail-Adresse ein, bekommst einen einmaligen Anmeldelink zugeschickt und bist damit angemeldet. Wir verarbeiten dafür deine E-Mail-Adresse und den Zeitpunkt der Anmeldung; die Verwaltung übernimmt Firebase Authentication.

Wir haben uns bewusst gegen Passwörter entschieden: ein Passwort, das wir nie speichern, kann uns auch niemand entwenden. Anmeldelinks sind nur kurze Zeit und nur einmal gültig.

In deinem Konto stehen die Kontaktdaten aus § 5. Du kannst sie dort jederzeit selbst ändern; die Telefonnummer kannst du vollständig löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — ohne Anmeldung könnten wir dir deine Tickets nicht sicher zugänglich machen.

1. Das PDF. Nach der Zahlung erzeugen wir je Ticket ein PDF mit deinem Namen, dem Ticket-Code und einem QR-Code. Die Dateien liegen in Firebase Storage (EU) und sind über eine signierte, nicht erratbare Adresse erreichbar. Behandle den Link wie das Ticket selbst. Nach dem Fest werden die Dateien gelöscht (siehe § 15); spätestens am 31.12.2027 läuft die Adresse ohnehin ab.
2. Der QR-Code enthält keine persönlichen Daten. In ihm steht ausschließlich der Ticket-Code — eine zufällige Zeichenfolge. Wer ihn scannt, erfährt daraus weder deinen Namen noch deine Adresse.
3. Weitergabe. Überträgst du ein Ticket, geben wir die E-Mail-Adresse der empfangenden Person zu diesem Zweck in unsere Datenbank auf und senden ihr das neue Ticket zu. Der bisherige Code wird ungültig. Die empfangende Person sieht dabei nur deinen Vornamen — damit erkennbar ist, von wem das Ticket kommt. Deine Anschrift, deine Telefonnummer und der Rest deiner Bestellung bleiben ihr verborgen. Bitte übertrage nur an Personen, die damit einverstanden sind.
4. Am Einlass scannen wir den QR-Code und vermerken, dass dieser Code eingelöst wurde, mit Zeitpunkt. Ein Abgleich mit einem Ausweis findet nicht statt — unsere Tickets sind nicht personalisiert.

Über das Kontaktformular erheben wir deinen Namen, deine E-Mail-Adresse, das gewählte Thema und deine Nachricht. Wir speichern die Nachricht in unserer Datenbank und schicken sie zusätzlich in unser Vereinspostfach, damit wir dir antworten können. Du bekommst eine Kopie als Bestätigung.

Jede Nachricht erhält ein Aktenzeichen der Form [K-A3F2B7], das im Betreff beider E-Mails steht. Nur daran erkennen wir bei deiner Antwort, worum es ging — ohne dieses Kürzel müssten wir dein Postfach durchsuchen.

Das Postfach selbst liegt bei der STRATO AG in Deutschland; wir rufen es über IMAP ab, um Anfragen zu beantworten. Der Versand läuft über Amazon SES (§ 13).

Das Formular ist gegen Spam geschützt: ein für dich unsichtbares Zusatzfeld und eine Messung, wie schnell das Formular abgeschickt wurde. Beides wird nicht gespeichert und nur im Moment des Absendens ausgewertet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um deine Bestellung geht, sonst Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, Anfragen zu unserem Fest zu beantworten.

Wir möchten wissen, welche Seiten genutzt werden, ob sie schnell laden und wo etwas unverständlich ist. Google Analytics und Clarity werden erst nach deiner Zustimmung überhaupt geladen:

• Google Analytics 4 (Google Ireland Limited) — misst Seitenaufrufe und Wege durch den Shop. Wir betreiben den „Consent Mode“ im Basismodus: solange du nicht zustimmst, wird das Google-Skript nicht einmal geladen, und alle Einwilligungssignale stehen auf denied. Werbebezogene Signale bleiben dauerhaft auf denied, weil wir keine Werbung schalten.
• Microsoft Clarity (Microsoft Ireland Operations Limited) — erstellt auf der öffentlichen Startseite Heatmaps und Wiedergaben von Klicks, Scrollbewegungen und sichtbaren Seiteninteraktionen. Clarity läuft nicht im Shop, im Kontaktbereich, in „Meine Tickets“ oder im Adminbereich. Wir senden keine Namen, E-Mail-Adressen, Ticketcodes oder Nutzer-IDs an Clarity.

Clarity verarbeitet außerdem technische Angaben wie IP-Adresse, Browser, Gerät und Bildschirmgröße. Aufzeichnungen speichert Microsoft nach eigenen Angaben 30 Tage, Heatmaps und zusammengefasste Daten bis zu neun Monate. Mehr steht in der Datenschutzerklärung von Microsoft.

Rechtsgrundlage: deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ im Footer widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Cookielose Reichweiten- und Leistungsmessung

Vercel Web Analytics (Vercel Inc.) zählt Seitenaufrufe. Der Dienst verwendet weder Cookies noch lokalen Browserspeicher und verarbeitet nur zusammengefasste Daten sowie einen aus der Anfrage gebildeten Hash, der täglich verworfen wird und keine Wiedererkennung über Websites oder Tage hinweg erlaubt. Wir entfernen Abfrageparameter aus Messadressen, bevor sie versendet werden. Bestellnummern und Anmeldedaten gelangen so nicht in die Statistik.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, Reichweite und technische Qualität der Website mit möglichst wenigen Daten zu verstehen. Da Vercel keine Informationen in deinem Endgerät speichert oder daraus ausliest, ist dafür keine Einwilligung nach § 25 TDDDG nötig.

Auf der Startseite zeigen wir standardmäßig eine selbst gehostete Karte als Bilddatei. Dabei werden keine Daten an Dritte übertragen — sie kommt von unserem eigenen Server. Kartengrundlage ist OpenStreetMap (ODbL); das Bild wurde einmalig beim Erstellen der Seite aus OpenStreetMap-Kacheln erzeugt und liegt seitdem als Datei bei uns.

Erst wenn du auf „Interaktive Karte laden“ klickst, binden wir eine Google-Maps-Karte ein. Dabei erfährt Google Ireland Limited deine IP-Adresse und Angaben zu deinem Browser; Google kann diese Daten in die USA übermitteln und mit einem Google-Konto verknüpfen, falls du angemeldet bist. Der iframe wird ausschließlich nach deiner Zustimmung eingebunden — er wird nicht versteckt vorgeladen, und wir bauen auch keine Verbindung zu Google auf, solange du nicht zugestimmt hast.

Der Link „Route planen“ ist in beiden Fällen ein gewöhnlicher Link: Es wird nichts übertragen, bevor du ihn antippst — dann öffnet sich die Karten-App deines Geräts.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Ohne Zustimmung findest du den Festplatz genauso — das ist Absicht, denn eine Einwilligung ist nur freiwillig, wenn eine Ablehnung dich nichts kostet.

Im Bereich zur Froschenkapelle kannst du ein offizielles Live-Video ansehen. Ohne deine Zustimmung zeigen wir ausschließlich einen selbst erstellten Platzhalter; es wird dabei keine Verbindung zu YouTube aufgebaut und auch kein Vorschaubild von dort geladen.

Erst wenn du auf „Video laden“ klickst oder der Kategorie „Externe Videos“ zugestimmt hast, binden wir den Player von YouTube im erweiterten Datenschutzmodus über youtube-nocookie.com ein. Anbieter ist Google Ireland Limited. Beim Laden erhält Google insbesondere deine IP-Adresse, Browser- und Geräteinformationen und kann Daten in die USA übermitteln. Der Datenschutzmodus verhindert nicht jede Datenübertragung; deshalb bleibt die vorherige Einwilligung nötig.

Rechtsgrundlage: deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit über „Cookie-Einstellungen“ im Footer widerrufen.

Auf dem Fest fertigen wir Aufnahmen für die Öffentlichkeitsarbeit des Vereins an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, für die Veröffentlichung von Bildnissen zusätzlich § 23 Abs. 1 Nr. 3 KUG. Der Kauf eines Tickets ist ausdrücklich keine Einwilligung — eine daran gekoppelte Einwilligung wäre nicht freiwillig und damit unwirksam (Art. 7 Abs. 4 DSGVO).

Du kannst der Anfertigung und Veröffentlichung jederzeit widersprechen (Art. 21 DSGVO) — vor Ort beim Fotografen oder Ordnungsdienst, danach per E-Mail an kontakt@edf-niederwihl.de. Die Einzelheiten stehen in § 10 unserer AGB.

Wir geben Daten nur weiter, wo es für den Betrieb nötig ist. Mit allen Dienstleistern, die für uns weisungsgebunden arbeiten, bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind — etwa gegenüber Finanzbehörden oder auf richterliche Anordnung.

Deine Bestell-, Ticket- und Kontaktdaten liegen in der Europäischen Union. In folgenden Fällen können dennoch Daten in die USA gelangen:

• beim Hosting durch Vercel, etwa wenn der Support auf Protokolldaten zugreift,
• bei der Reichweitenmessung und der Google-Maps-Karte — einschließlich Microsoft Clarity, aber nur, wenn du eingewilligt hast.

Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO); die genannten Unternehmen sind danach zertifiziert. Ergänzend gelten Standardvertragsklauseln nach Art. 46 DSGVO.

Ehrlich dazugesagt: Dieser Beschluss ist rechtlich umstritten und wird derzeit überprüft. Ein erstes Verfahren dagegen wurde 2025 abgewiesen, ist aber in der Rechtsmittelinstanz noch offen. Trotz eines gültigen Angemessenheitsbeschlusses lässt sich nicht ausschließen, dass US-Behörden auf dort verarbeitete Daten zugreifen und dir dagegen keine mit der EU vergleichbaren Rechtsmittel zur Verfügung stehen. Genau deshalb sind Analytics und Karte einwilligungspflichtig — und alles, was den Ticketkauf betrifft, liegt in der EU.

Unser Grundsatz: Nach dem Fest wird gelöscht. Das Erntedankfest ist eine einmalige Veranstaltung — wir bauen keine Kundendatei auf und haben für deine Daten danach keine Verwendung mehr. Wir räumen deshalb bis zum 31. Dezember 2026 auf und löschen alles, was wir nicht gesetzlich aufbewahren müssen.

Die letzte Zeile ist die einzige Ausnahme, und sie liegt nicht in unserer Hand: Wer Geld einnimmt, muss die zugehörigen Belege acht Jahre aufbewahren; die Frist läuft ab dem Ende des Kalenderjahres. Wir behandeln diese Belege deshalb wie ein verschlossenes Archiv — sie werden ausschließlich noch für steuerliche Zwecke vorgehalten, für nichts anderes verwendet und in ihrer Verarbeitung eingeschränkt (Art. 18 DSGVO). Danach werden auch sie gelöscht.

Du hast uns gegenüber jederzeit das Recht auf:

• Auskunft darüber, welche Daten wir über dich verarbeiten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO) — dazu gehören insbesondere Foto- und Videoaufnahmen,
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Eine formlose E-Mail an kontakt@edf-niederwihl.de genügt. Wir antworten innerhalb eines Monats. Die Ausübung deiner Rechte ist kostenlos.

Beschwerderecht

Wenn du meinst, dass wir mit deinen Daten falsch umgehen, kannst du dich bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist:

Uns wäre es lieber, du schreibst uns zuerst — meistens ist so etwas ein Missverständnis, das sich in einer Mail klären lässt.

Nein — aber ohne sie können wir dir kein Ticket verkaufen. Die Angaben in § 5 sind für den Vertragsschluss erforderlich; ohne sie kommt keine Bestellung zustande. Die Telefonnummer ist freiwillig, und wenn du sie weglässt, hat das keinerlei Nachteil. Für den bloßen Besuch der Website musst du überhaupt nichts angeben.

Wir passen diese Hinweise an, wenn sich an unserer Website oder an der Rechtslage etwas ändert. Maßgeblich ist die jeweils hier veröffentlichte Fassung; das Datum der letzten Änderung steht am Ende der Seite. Für den Bayrischer Abend am Samstag, 03. Oktober 2026 gilt die Fassung, die zum Zeitpunkt deiner Bestellung abrufbar war.

Fragen dazu? Schreib an tickets@edf-niederwihl.de.