Datenschutz­erklärung

Diese Erklärung informiert Sie darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website besuchen, ein Kundenkonto anlegen und einen Kurs buchen, zu welchen Zwecken dies geschieht und welche Rechte Ihnen zustehen.

Hinter vielen Absätzen steht in Klammern die Rechtsgrundlage nach der Datenschutz-Grundverordnung (DSGVO). „lit. a“ bezeichnet die Einwilligung, „lit. b“ die Erfüllung des Vertrags mit Ihnen, „lit. c“ eine rechtliche Verpflichtung und „lit. f“ unser berechtigtes Interesse, also einen eigenen Grund, der Ihre Interessen, Grundrechte und Grundfreiheiten nicht überwiegen darf. Einer Verarbeitung nach lit. f können Sie widersprechen (siehe Ihre Rechte).

1. Verantwortliche

Verantwortlich für die Verarbeitung Ihrer Daten ist:

MUSIK-Spielkiste, Inhaberin Carolin Käser
Isidor-Gistl-Straße 10a, 94258 Frauenau
Telefon: 0151 15513637
E-Mail: hallo@musikspielkiste.de

Mit allen Fragen zum Datenschutz können Sie sich an uns wenden. Eine Datenschutzbeauftragte ist nach dem Gesetz nicht erforderlich, deshalb haben wir keine benannt.

2. Besuch der Website

Analyse-, Werbe- und Tracking-Dienste setzen wir nicht ein. Schriften und Bilder liegen auf unserem eigenen Server, Karten oder Videos anderer Anbieter binden wir nicht ein. Auf diesen Seiten setzen wir selbst keine Cookies. Was Cloudflare im Browser ablegt, steht unter Cookies.

Damit die Seite bei Ihnen ankommt, verarbeiten die beteiligten Dienstleister Ihre IP-Adresse (die Nummer, unter der Ihr Gerät im Internet erreichbar ist), Datum und Uhrzeit, die aufgerufene Adresse, die übertragene Datenmenge und Angaben zu Browser und Betriebssystem. Wir möchten damit sicherstellen, dass die Seite sicher und schnell läuft (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Unser eigener Webserver führt keine Zugriffsprotokolle.

Server

Website und Buchung laufen auf einem Server in Helsinki (Finnland, EU). Dreivio, die bei uns die Technik betreut, mietet ihn für uns bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen. Dort liegen auch die Datenbank der Buchung und ihre Sicherungen. Hetzner verarbeitet die Daten nur in der EU oder im Europäischen Wirtschaftsraum. Das ergibt sich aus dem Vertragsmuster zur Auftragsverarbeitung, das Hetzner anbietet (siehe Dienstleister).

Eine zweite Kopie der Datenbanksicherung liegt bei einem anderen Anbieter, damit sie auch bei einem Ausfall des Servers erhalten bleibt: bei der Schwarz Digits Cloud GmbH & Co. KG, Am Campus 1, 74177 Bad Friedrichshall, die ihre Cloud unter dem Namen STACKIT anbietet, in einem Rechenzentrum in Deutschland. Die Sicherung wird verschlüsselt, bevor sie den Server verlässt. STACKIT kann sie nicht lesen, den Schlüssel haben nur wir. Für die Auftragsverarbeitung gilt der Vertrag, den STACKIT dafür anbietet (siehe Dienstleister).

Cloudflare

Unsere Seiten und die Buchung unter buchen.musikspielkiste.de sind über Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA erreichbar. Cloudflare nimmt jede Anfrage entgegen, schützt die Seite vor Angriffen und automatisierten Zugriffen und liefert Bilder und Dateien aus einem Zwischenspeicher aus. Weil Cloudflare die verschlüsselte Verbindung entgegennimmt und weiterleitet, laufen auch Ihre Eingaben im Konto und bei der Buchung durch die Systeme von Cloudflare. Dabei verarbeitet Cloudflare vor allem Ihre IP-Adresse und technische Verbindungsdaten, auch in den USA (siehe Verarbeitung außerhalb der EU).

Cloudflare nennt keine feste Speicherdauer. Es speichert die Daten, solange sie für Schutz und Auslieferung der Seite nötig sind, höchstens aber so lange, wie der Vertrag besteht. Wir wollen Seite und Buchung vor Angriffen, Überlastung und Bots (Programmen, die automatisch Anfragen stellen) schützen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Cloudflare arbeitet dabei für uns. Für Daten, die es zur Sicherheit des eigenen Netzwerks auswertet, ist Cloudflare selbst verantwortlich; Näheres steht in der Datenschutzerklärung von Cloudflare (englisch).

Bot-Erkennung: Wir nutzen den Bot-Schutz von Cloudflare. Dazu lädt Ihr Browser ein kleines Programm von unserer eigenen Adresse, das Eigenschaften des Browsers prüft. Dabei setzt Cloudflare Cookies (siehe Cookies).

Links zu anderen Seiten

Wir verlinken auf Google Maps (Kartenansicht unserer Kursorte), auf Facebook, Instagram und WhatsApp und auf Seiten unserer Partner (Bayerisches Rotes Kreuz, Kreisverband Freyung-Grafenau, Hebammenpraxis Sonnenlicht). Diese Inhalte binden wir nicht ein. Erst mit einem Klick auf einen Link verlassen Sie unsere Seite. Dann gelten die Datenschutzhinweise des jeweiligen Anbieters, bei Google Maps die der Google Ireland Limited, bei Facebook und Instagram die der Meta Platforms Ireland Limited und bei WhatsApp die der WhatsApp Ireland Limited.

3. Kundenkonto und Anmeldung

Zum Buchen benötigen Sie ein Kundenkonto. Dafür geben Sie Ihre E-Mail-Adresse ein, und wir senden Ihnen einen sechsstelligen Code und einen Anmeldelink. Beide gelten 10 Minuten und nur ein Mal. Mit der ersten Eingabe des Codes oder dem Öffnen des Anmeldelinks entsteht Ihr Konto.

Den Code selbst speichern wir nicht, sondern nur einen Prüfwert: eine Art Fingerabdruck, aus dem sich der Code nicht zurückrechnen lässt. Dazu kommen Ihre E-Mail-Adresse, die Gültigkeit und die Zahl der Versuche. So können wir je Adresse höchstens 10 Codes am Tag versenden und das Erraten verhindern.

Nach der Anmeldung hält Sie ein Cookie angemeldet, bis zu 30 Tage lang. Jede Nutzung verlängert diese Zeit, spätestens nach 90 Tagen melden Sie sich neu an. Zu jeder Anmeldung speichern wir einen Prüfwert, den Zeitpunkt der letzten Nutzung und, sofern die Seite sie mitsendet, eine kurze Gerätebezeichnung wie „Safari auf dem iPhone“. So erkennen Sie Ihre Geräte und können sich überall ausloggen. Ihre IP-Adresse gehört nicht dazu.

Das Konto benötigen wir für den Vertrag über Ihren Kurs (Art. 6 Abs. 1 lit. b DSGVO). Die Prüfwerte, die Grenzen und der Schutz vor Missbrauch (siehe unten) dienen Ihrem und unserem Interesse, Ihr Konto vor fremdem Zugriff zu schützen (lit. f).

Schutz vor Missbrauch

Damit niemand massenhaft Codes anfordert oder errät, zählen wir Anfragen je IP-Adresse und je E-Mail-Adresse. Diese Zähler liegen nur im Arbeitsspeicher des Servers und verschwinden spätestens nach einer Stunde.

Bevor wir einen Code versenden oder eine Kündigung oder einen Widerruf über das Formular annehmen, prüft Cloudflare Turnstile, ob ein Mensch die Seite bedient. Meist läuft die Prüfung unsichtbar im Hintergrund; nur wenn Cloudflare unsicher ist, erscheint ein Kästchen zum Anklicken. Ein Prüfprogramm von Cloudflare wertet dabei in Ihrem Browser Ihre IP-Adresse, technische Merkmale der verschlüsselten Verbindung und die Kennung Ihres Browsers aus. Das Ergebnis sendet unser Server zusammen mit Ihrer IP-Adresse zur Bestätigung an Cloudflare. Wir wollen die Anmeldung und die Formulare zum Kündigen und Widerrufen vor automatisierten Anfragen schützen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).

Für diese Prüfung arbeitet Cloudflare in unserem Auftrag. Dieselben Angaben nutzt Cloudflare außerdem in eigener Verantwortung, um Turnstile zu verbessern. Beides beschreibt Cloudflare im Turnstile-Datenschutz-Zusatz (englisch: Addendum). Eine Speicherfrist nennt Cloudflare dort nicht.

4. Buchung: erforderliche Angaben und Zwecke

Die erforderlichen Angaben benötigen wir für den Vertrag. Fehlen sie, können wir die Buchung leider nicht annehmen. Gesetzlich verpflichtet sind Sie zu diesen Angaben nicht.

Beim Grund einer Abmeldung genügt ein Stichwort, Angaben zur Gesundheit benötigen wir nicht. Den Grund speichern wir, bis Sie das Kind oder Ihr Konto löschen.

Wenn wir ausnahmsweise für Sie buchen, am Telefon oder per Mail, tragen wir dieselben Angaben selbst ein und können den Namen einer Begleitperson ergänzen. Er steht dann auf der Anwesenheitsliste, damit die Kursleiterin weiß, wer kommt (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern ihn, bis Sie das Kind oder Ihr Konto löschen. Bitte geben Sie diese Erklärung an die Begleitperson weiter. Den Link zu dieser Erklärung erhalten Sie dann mit jeder Mail.

Zu Ihrer Buchung speichern wir außerdem Buchungsnummer, Kurs, Preise, Rabatte, Fristen, Zahlungen, Erstattungen und Rechnungen. Dazu kommt, ob Ihr Kind einen Platz hat, auf der Warteliste steht oder abgemeldet ist.

Die Buchungsseite berechnet Preise, den Geschwisterpreis und den Preis für Familien, die schon einmal dabei waren, nach festen Regeln. Ob Ihre Familie schon dabei war, erkennt sie an früheren Buchungen. Bei Familien aus der Zeit vor der Online-Buchung gleicht sie Ihre E-Mail-Adresse mit einer Liste ab, auf der die Familien stehen, die bei Picktime bereits einen bezahlten Kurs begonnen hatten (siehe Anmeldung über Picktime bis zum Start der Online-Buchung). Wurde Ihre Adresse dort nicht erkannt, setzen wir auf Anfrage ein Häkchen. Zu Ihrem Konto und zu einer Buchung können wir außerdem eine kurze interne Notiz anlegen, zum Beispiel nach einem Telefonat.

Vor dem Absenden bestätigen Sie, dass Sie mit den Teilnahmebedingungen einverstanden sind und diese Datenschutzerklärung gelesen haben. Wir speichern, welche Fassung das war und wann Sie bestätigt haben, damit wir belegen können, unter welchen Bedingungen Sie gebucht haben. Das Häkchen ist keine Einwilligung in die Datenverarbeitung: Wir benötigen die Angaben für den Vertrag.

Rechtsgrundlage für Konto, Buchung, Warteliste, Abmeldung und Zahlung ist der Vertrag mit Ihnen, auch schon vor dem Vertragsschluss (Art. 6 Abs. 1 lit. b DSGVO). Für den Nachweis der bestätigten Fassung und für interne Notizen gilt unser berechtigtes Interesse an einer nachvollziehbaren Buchung (lit. f).

5. Adressvorschläge bei der Eingabe

Tragen Sie Ihre Anschrift ein, schlagen wir Ihnen im Feld „Straße und Hausnummer“ bei der Eingabe passende Adressen vor. Die Vorschläge stammen von Google Maps (Places API).

Ihr Browser kommuniziert dabei nicht mit Google, sondern nur mit unserem Server. Dieser sendet den Text, den Sie in dieses Feld eingeben (ab dem dritten Zeichen), zusammen mit einer zufälligen Kennung für diesen einen Vorgang an Google. Ihre IP-Adresse, Ihr Name, Ihre E-Mail-Adresse und Angaben zu Ihrem Gerät werden nicht mit übermittelt. Wählen Sie einen Vorschlag, holt unser Server dazu Straße, Hausnummer, Postleitzahl und Ort bei Google und trägt sie in Ihre Felder ein. Die Vorschläge speichern wir nicht. In Ihrem Konto bleibt nur, was Sie am Ende selbst bestätigen.

Google verarbeitet diese Eingaben, um die Vorschläge zu berechnen, und ist dabei eigenständig verantwortlich. Für die Google Maps Platform gelten die Datenschutzbedingungen von Google für zwei Verantwortliche (business.safety.google/controllerterms), die Bedingungen der Google Maps Platform und die Datenschutzerklärung von Google (policies.google.com/privacy). Google ist ein Unternehmen mit Sitz in den USA und verarbeitet Daten auch dort. Nach eigener Angabe ist Google LLC nach dem EU-US Data Privacy Framework zertifiziert und nutzt, wo nötig, Standardvertragsklauseln (policies.google.com/privacy/frameworks).

Rechtsgrundlage ist unser berechtigtes Interesse, Ihnen die Eingabe der Anschrift zu erleichtern und Tippfehler zu vermeiden (Art. 6 Abs. 1 lit. f DSGVO). Die Vorschläge können Sie am Feld mit einem Tipp ausschalten, dann wird nichts an Google übermittelt. Widersprechen können Sie auch später (Art. 21 DSGVO): Eine Nachricht an uns genügt.

6. Daten Ihres Kindes

Von Ihrem Kind speichern wir den Vornamen, das Geburtsdatum und Ihre Entscheidung zu Fotos. Den Nachnamen Ihres Kindes fragen wir nicht ab, Angaben zur Gesundheit wie Allergien ebenfalls nicht. Teilen Sie der Kursleiterin von sich aus etwas zur Gesundheit Ihres Kindes mit, nutzen wir es nur, damit sie in der Stunde darauf achten kann, und geben es nur an die Kursleiterinnen weiter, die Ihr Kind betreuen. Mit Ihrer Mitteilung willigen Sie ausdrücklich ein (Art. 9 Abs. 2 lit. a DSGVO). Diese Einwilligung können Sie jederzeit widerrufen.

Mit dem Geburtsdatum prüft die Buchung, ob Ihr Kind zum Kursbeginn ins Alter der Gruppe passt. Passt es nicht, nimmt die Online-Buchung den Platz leider nicht an. Eine Ausnahme ist nach Rücksprache mit uns möglich.

Löschen Sie ein Kind aus Ihrem Konto, löschen wir seine Angaben. Das ist möglich, sobald Ihr Kind in keinem Kurs mehr einen Platz, einen Wartelistenplatz oder ein Platzangebot hat, der nicht vorbei ist, und keine Zahlung oder Erstattung mehr offen ist.

War Ihr Kind schon in einem Kurs, bleibt die Buchung ohne Namen erhalten: Statt des Vornamens steht dort „Gelöscht“, vom Geburtsdatum bleibt nur das Jahr. Die Begleitperson und den Grund einer Abmeldung entfernen wir. So stimmen unsere Buchhaltung und die Zahlen je Altersgruppe weiterhin. Auf einer bereits ausgestellten Rechnung bleibt der Vorname stehen (siehe Rechnungen).

Die Angaben zu Ihrem Kind benötigen wir für den Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Weil Ihr Kind selbst nicht Vertragspartner ist, gilt zugleich unser gemeinsames Interesse, den Kurs für Ihr Kind durchzuführen (lit. f).

7. Empfänger und Zugriff

Wir sehen alle Angaben zu Ihrem Konto und Ihren Buchungen in der Verwaltung der Buchung und drucken daraus die Listen für die Kurse. Die Kursleiterin Ihres Kurses erhält die Anwesenheitsliste ihrer Gruppe mit Vorname und Alter Ihres Kindes, Ihrem Namen, Ihrer Handynummer und dem Namen der Begleitperson. So weiß sie, wer kommt, und kann Sie im Notfall erreichen. Die Kursleiterinnen nutzen die Angaben nur für ihren Kurs und geben sie nicht weiter. Ausgedruckte Listen vernichten wir nach dem Ende des Kurses.

Dreivio betreut die Technik in unserem Auftrag und hat dafür ebenfalls Zugang zur Verwaltung. Die Verwaltung erreichen nur wir und Dreivio, mit einer Anmeldung in zwei Schritten.

Rechnungen und Buchungsbelege erhält unsere Steuerberaterin, die unsere Buchhaltung und Steuern erledigt. Sie ist zur Verschwiegenheit verpflichtet. Rechtsgrundlage sind die steuerliche Buchführungspflicht (Art. 6 Abs. 1 lit. c DSGVO) und unser berechtigtes Interesse an einer ordentlichen Buchhaltung (lit. f).

Außerdem verarbeiten unsere Dienstleister Daten für uns. Behörden, etwa dem Finanzamt, geben wir Daten, wenn ein Gesetz uns dazu verpflichtet (Art. 6 Abs. 1 lit. c DSGVO).

8. Zahlung über Stripe, Link und PayPal

Bezahlen können Sie direkt bei der Buchung, über den Zahlungsdienst Stripe. Unsere Vertragspartnerin bei Stripe ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Das Bezahlformular auf unserer Buchungsseite stammt von Stripe. Ihre Karten- oder Kontodaten und was das Formular sonst abfragt, zum Beispiel das Land, gehen von dort direkt an Stripe. Unser Server erhält sie nicht.

Wir senden Stripe den Betrag und Ihre Buchungs- oder Gutscheinnummer. Beim Kauf eines Gutscheins gehen außerdem die Beschreibung „MUSIK-Spielkiste Gutschein“ und die interne Kennung des Gutscheins (nicht der Gutscheincode) an Stripe, aber keine E-Mail-Adresse und kein Name. Von Stripe erfahren wir, ob die Zahlung erfolgreich war, mit welcher Zahlart Sie bezahlt haben und unter welcher Kennung Stripe die Zahlung führt. Ein Kundenkonto für Sie legen wir bei Stripe nicht an. Im Stripe-Konto der MUSIK-Spielkiste können außerdem Angaben aus dem Bezahlformular zu sehen sein, etwa die Zahlart und die letzten Ziffern einer Karte. Wir und Dreivio sehen sie nur, um Fragen zu einer Zahlung zu klären. Erstattungen laufen auf demselben Weg zurück. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

Für die Abwicklung Ihrer Zahlung arbeitet Stripe in unserem Auftrag (Art. 28 DSGVO). Für die Betrugs- und Geldwäscheprüfung und für die Verbesserung der eigenen Dienste ist Stripe selbst verantwortlich. Dafür erhebt Stripe beim Bezahlen auch Angaben zu Ihrem Gerät und Browser. Dabei können auch Stripe-Gesellschaften in den USA beteiligt sein. Näheres steht in der Datenschutzerklärung von Stripe.

Je nach Zahlart verarbeiten auch Apple (Apple Pay) oder Google (Google Pay) Ihre Daten nach ihren eigenen Datenschutzbestimmungen.

Mit „Link“ bezahlen Sie über ein Konto, das Sie bei Stripe haben oder dort anlegen. Dafür fragt das Formular Ihre E-Mail-Adresse und Ihre Handynummer ab, und Stripe kann Ihre Zahldaten für spätere Zahlungen speichern. Das entscheiden Sie selbst. Ihr Link-Konto führt Stripe nach den eigenen Datenschutzhinweisen zu Link. Bezahlen Sie mit Link, gibt Stripe uns zusätzlich die Angaben weiter, die Sie dort hinterlegt haben, etwa Name und Kontaktdaten. Im Stripe-Konto der MUSIK-Spielkiste können sie zu sehen sein.

Wählen Sie „PayPal“, leitet Sie das Bezahlformular zu PayPal weiter. Dort melden Sie sich mit Ihrem PayPal-Konto an und bestätigen die Zahlung, danach kehren Sie zu uns zurück. Was Sie bei PayPal eingeben, zum Beispiel Ihre Anmeldedaten, verarbeitet PayPal in eigener Verantwortung, nicht in unserem Auftrag. Wir erhalten diese Daten nicht. Zuständig ist die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Von Stripe erfahren wir wie bei jeder Zahlung, ob sie erfolgreich war. Näheres steht in der Datenschutzerklärung von PayPal.

Haben Sie ausnahmsweise bar oder per Überweisung bezahlt und erhalten eine Erstattung, fragen wir Sie bei Bedarf nach Ihrer IBAN. Die IBAN nutzen wir nur für die Rückzahlung. Danach steht sie in unseren Kontoauszügen, die wir nach dem Steuerrecht aufbewahren.

9. Rechnungen

Für jede bezahlte Buchung erhalten Sie eine Rechnung als PDF per Mail, bei einer Erstattung eine Gutschrift, also einen Beleg über das erstattete Geld. Darauf stehen Ihr Name und Ihre Anschrift, der Kurs mit Zeitraum und dem Vornamen Ihres Kindes, die Preise und die Zahlart. Wir speichern jede Rechnung unverändert, so wie Sie sie erhalten haben, zusammen mit der E-Mail-Adresse, an die sie ging. In Ihrem Konto können Sie sie jederzeit herunterladen.

Rechnungen und Buchungsbelege bewahren wir acht Jahre auf, gezählt ab dem Ende des Kalenderjahres, in dem die Rechnung entstanden ist. Das verlangt das Steuerrecht (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14b Umsatzsteuergesetz und § 147 Abgabenordnung). In Ausnahmefällen dauert es länger, solange das Finanzamt die Unterlagen noch für eine offene Steuerfestsetzung benötigt. Das gilt auch, wenn Sie Ihr Konto löschen. Nach Ablauf der Frist löschen wir die Rechnungen von Hand, bei der nächsten Durchsicht unserer Buchführung.

10. Gutscheine und Rabattcodes

Sie können bei uns einen Gutschein kaufen und verschenken, und bei der Buchung können Sie einen Gutschein- oder Rabattcode eingeben. Dafür speichern wir:

• beim Kauf eines Gutscheins den Betrag, den Zeitpunkt, die E-Mail-Adresse und die Kennung Ihres Kontos, Ihre Zustimmung zu den Gutscheinbedingungen und die Kenntnisnahme der Widerrufsbelehrung mit Zeitpunkt sowie, wenn Sie sie angeben, den Namen der beschenkten Person und die Widmung,
• die Zahlung. Sie läuft über Stripe, wie unter Zahlung über Stripe, Link und PayPal beschrieben,
• den Gutscheincode. Wir speichern ihn verschlüsselt und zusätzlich als Prüfwert, mit dem wir ihn beim Einlösen finden. In Protokollen und Fehlermeldungen steht nur das Ende des Gutscheincodes,
• beim Einlösen, welcher Gutschein oder Rabattcode zu welcher Buchung gehört und welcher Betrag abgezogen wurde. Das Guthaben eines Gutscheins führen wir in einer Buchführung, in der nichts nachträglich geändert wird.

Die Gutscheinbedingungen und die Widerrufsbelehrung stehen auf der Seite Gutscheinbedingungen. Den Gutscheincode und das PDF zu einem gekauften Gutschein senden wir Ihnen per Mail. Den Gutscheincode sehen Sie außerdem in Ihrem Konto unter „Meine Gutscheine“. Wer ihn kennt, kann den Gutschein einlösen. Wir sehen bei der Buchung nur den Gutscheincode, nicht, wer ihn weitergegeben hat.

Damit niemand Gutscheincodes errät, zählen wir je Konto, wie oft ein Gutschein- oder Rabattcode nicht erkannt wurde. Dieser Zähler liegt nur im Arbeitsspeicher des Servers und verschwindet nach spätestens 15 Minuten (siehe Speicherdauer).

Rechtsgrundlage ist der Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Gutscheine, Einlösungen und Zahlungen gehören zu unserer Buchhaltung. Wir bewahren sie so lange auf, wie das Steuerrecht es verlangt, mindestens acht Jahre ab dem Ende des Kalenderjahres der letzten Bewegung, also des Kaufs, einer Einlösung oder einer Rückbuchung (lit. c in Verbindung mit § 147 Abgabenordnung).

Beschenkte Person. Name und Widmung einer beschenkten Person erhalten wir von Ihnen. Wir nutzen sie für Mail und PDF des Gutscheins, für die Anzeige unter „Meine Gutscheine“ und in der Verwaltung, in der wir und Dreivio Gutscheine suchen und zuordnen (Art. 6 Abs. 1 lit. b und f DSGVO). Wir entfernen sie, wenn Sie Ihr Konto löschen. Die beschenkte Person kann sich mit Fragen an uns wenden. Bitte informieren Sie sie darüber.

Konto mit Guthaben. Haben Sie einen gültigen Gutschein mit Guthaben, löschen wir Ihr Konto nicht von selbst, bevor der Gutschein abgelaufen oder aufgebraucht ist. Löschen Sie es selbst, bleibt der Gutschein gültig. Wir entfernen dann Ihre E-Mail-Adresse am Gutschein, den Namen der beschenkten Person und die Widmung und können Ihnen den Gutscheincode nicht noch einmal senden.

Von uns ausgestellte Gutscheine. Wir können einen Gutschein auch selbst ausstellen, zum Beispiel gegen Barzahlung, als Geschenk oder als Entschädigung. Dafür speichern wir die E-Mail-Adresse der Person, die ihn erhält, ihren Namen, eine Widmung, wenn es eine gibt, und eine Notiz, die nur wir sehen. Rechtsgrundlage ist der Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO), bei einem Geschenk oder einer Entschädigung unser berechtigtes Interesse, den Gutschein der richtigen Person zuzuordnen (lit. f). Mit dem Löschen Ihres Kontos entfernen wir auch diese Angaben.

11. E-Mails von uns

Wir senden Ihnen nur Mails zu Ihrem Konto und Ihrer Buchung, keine Werbung und keinen Newsletter. Zum Beispiel erhalten Sie von uns:

• Ihren Anmeldecode,
• die Bestätigung Ihrer Buchung, die Rechnung und bei einer Erstattung die Gutschrift,
• den Gutscheincode und das PDF zu einem Gutschein, den Sie gekauft haben,
• eine Nachricht, wenn von der Warteliste ein Platz frei wird,
• Antworten auf Abmeldungen und Kündigungen,
• Nachrichten zu einer Abmeldung, einer abgelaufenen Reservierung oder einem geänderten Preis bei Geschwistern,
• Nachrichten zu einem Termin, der ausfällt und nachgeholt wird, oder zu einem abgesagten Kurs,
• die Bestätigung, dass Ihr Konto gelöscht ist.

Das Zählen von Öffnungen und Klicks haben wir für jede Mail abgeschaltet: Unsere Mails enthalten keine Zählpixel (unsichtbare Mini-Bilder, die melden, ob eine Mail geöffnet wurde), und Links führen direkt zu uns. In jeder Mail an Sie steht unten der Link „Datenschutz“ zu dieser Erklärung.

Rechtsgrundlage für diese Mails ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Vier Wochen bevor wir ein ungenutztes Konto löschen, erhalten Sie einen Hinweis, damit Sie es auf Wunsch behalten können (lit. f).

Die Mails versenden wir über den Versanddienst Mailjet, einen Dienst der Sinch-Gruppe. Mailjet arbeitet für uns (Art. 28 DSGVO) und verarbeitet Ihre E-Mail-Adresse und den Inhalt der Mail, nach eigener Angabe in Rechenzentren von Google Cloud in Frankfurt (Deutschland) und Saint-Ghislain (Belgien).

Wie lange Mailjet Angaben zu versandten Mails speichert, hängt vom Tarif ab: Für Statistiken nennt Mailjet 90 Tage im kostenlosen und 13 Monate in einem bezahlten Tarif. Endet unser Vertrag mit Mailjet, löscht Mailjet unsere Daten innerhalb von 90 Tagen.

Kommt eine Mail nicht an, meldet Mailjet uns das. Das gilt auch, wenn jemand eine Mail als Spam meldet oder weitere Mails abbestellt. Dann speichern wir die E-Mail-Adresse, die Art der Meldung, den Zeitpunkt, einen kurzen Grund, die kurze Meldung von Mailjet und eine Kennung der Mail (Art der Mail und, falls vorhanden, Buchungsnummer, aber keine Namen). Wir erhalten einen Hinweis und können Sie dann auf anderem Weg erreichen. Diese Einträge löschen wir nach 90 Tagen. Unser Interesse: zu erkennen, wenn eine wichtige Mail Sie nicht erreicht (Art. 6 Abs. 1 lit. f DSGVO).

Antworten Sie auf eine Mail, landet Ihre Nachricht in unserem Postfach (siehe nächster Abschnitt).

12. Kontaktaufnahme per Telefon, E-Mail und Messenger

Wenn Sie uns schreiben oder anrufen, verarbeiten wir Ihre Angaben (Name, Kontaktdaten, Inhalt der Nachricht), um Ihnen zu antworten. Rechtsgrundlage ist bei Fragen zu Kursen und Buchungen Art. 6 Abs. 1 lit. b DSGVO, bei sonstigen Anfragen unser Interesse, Ihnen zu antworten (lit. f).

Unser E-Mail-Postfach läuft über Microsoft 365 (Exchange Online). Microsoft speichert und verarbeitet die Daten von Kunden aus der EU nach eigener Angabe in der EU (EU-Datengrenze). In Einzelfällen, etwa zur Sicherheit oder bei einer Störung, können Daten trotzdem in die USA gelangen (siehe Verarbeitung außerhalb der EU). Wie lange wir Nachrichten aufbewahren, steht unter Speicherdauer.

Auf unserer Seite verlinken wir WhatsApp, Facebook und Instagram. Schreiben Sie uns dort, verarbeitet auch der Anbieter Ihre Nachricht, Ihre Telefonnummer oder Ihr Profil, nach eigenen Bestimmungen und in eigener Verantwortung. Bei WhatsApp ist das die WhatsApp Ireland Limited, bei Facebook und Instagram die Meta Platforms Ireland Limited, beide in Dublin (Merrion Road, Dublin 4, Irland). Beide geben Daten auch an Meta-Unternehmen in den USA weiter (siehe Verarbeitung außerhalb der EU). Persönliche Nachrichten bei WhatsApp sind Ende-zu-Ende verschlüsselt, WhatsApp kann sie nicht lesen.

Für die Statistik zu unserer Facebook-Seite (Seiten-Insights) sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Das Wesentliche der Vereinbarung steht in der Seiten-Insights-Ergänzung von Meta.

Fragen Sie nach der Einzelförderung für Menschen mit Behinderung und teilen uns dabei etwas zu Ihrer Gesundheit oder Behinderung mit, nutzen wir das nur, um das Angebot mit Ihnen abzusprechen und durchzuführen. Mit Ihrer Nachricht willigen Sie ausdrücklich ein (Art. 9 Abs. 2 lit. a DSGVO). Diese Einwilligung können Sie jederzeit widerrufen. Wir bewahren die Angaben so lange auf, wie wir sie für die Stunden benötigen.

Verträge hier kündigen

Unten auf jeder Seite können Sie einen Vertrag auch ohne Anmeldung kündigen. Dafür verarbeiten wir die Angaben aus dem Formular (Name, E-Mail-Adresse, Buchungsnummer und Name des Kindes, soweit Sie sie angeben, Art der Kündigung, Grund und gewünschter Zeitpunkt) und den Zeitpunkt des Eingangs. Wir bestätigen Ihnen den Eingang per Mail und bearbeiten die Kündigung (Art. 6 Abs. 1 lit. b und c DSGVO, § 312k BGB). Beim Grund genügt ein Stichwort, Angaben zur Gesundheit benötigen wir nicht.

Die Kündigung gehört zu keinem Konto. Deshalb steht sie nicht in der Datei, die Sie aus Ihrem Konto herunterladen können, und sie verschwindet auch nicht, wenn Sie Ihr Konto löschen. Wir löschen sie 24 Monate nach dem Eingang.

Vertrag widerrufen

Unten auf jeder Seite können Sie den Kauf eines Gutscheins auch ohne Anmeldung widerrufen. Dafür verarbeiten wir die Angaben aus dem Formular (Name, E-Mail-Adresse und, soweit Sie sie angeben, welchen Vertrag Sie widerrufen möchten) und den Zeitpunkt des Eingangs. Wir bestätigen Ihnen den Eingang per Mail und bearbeiten den Widerruf (Art. 6 Abs. 1 lit. b und c DSGVO, § 356a BGB). Auch hier prüft Cloudflare Turnstile vorher, ob ein Mensch die Seite bedient.

Der Widerruf gehört zu keinem Konto. Deshalb steht er nicht in der Datei, die Sie aus Ihrem Konto herunterladen können, und er verschwindet auch nicht, wenn Sie Ihr Konto löschen. Wir löschen ihn 24 Monate nach dem Eingang. Die Rückzahlung selbst steht in der Buchführung des Gutscheins und bleibt, wie oben beschrieben.

13. Fotos

Fotos, auf denen Ihr Kind zu erkennen ist, nehmen wir nur auf, speichern wir nur und zeigen wir nur, wenn Sie dies in Ihrem Konto erlauben. Sie entscheiden für jedes Kind einzeln. Den genauen Text zeigt Ihnen Ihr Konto beim Häkchen, jede Fassung trägt ein Datum. Die Erlaubnis ist freiwillig und hat keinen Einfluss auf die Buchung (Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 22 Kunsturhebergesetz).

Mit Ihrer Erlaubnis zeigen wir Fotos auf musikspielkiste.de, auf unseren Seiten bei Instagram und Facebook sowie auf Flyern und Aushängen, immer ohne Namen. Wir speichern Ihre Erlaubnis mit dem Zeitpunkt und der Fassung des Textes, dem Sie zugestimmt haben.

Sie können die Erlaubnis jederzeit im Konto zurücknehmen oder uns Bescheid geben (Art. 7 Abs. 3 DSGVO). Dann löschen wir Ihre Erlaubnis samt Zeitpunkt und Textfassung und nehmen die Bilder zeitnah heraus. Was vorher geschehen ist, bleibt erlaubt.

Auf der Website zeigen wir Fotos aus unseren Kursen und von einer Veranstaltung. Fotos, auf denen Kinder erkennbar sind, veröffentlichen wir mit der Einwilligung der Sorgeberechtigten. Zeigen wir sie in sozialen Medien, verarbeitet auch Meta sie (siehe Verarbeitung außerhalb der EU). Fotos aus den Kursen speichern wir nur, solange wir sie für die Website, für Instagram und Facebook, für Flyer oder Aushänge benötigen. Sind Sie selbst mit auf einem Foto, gilt Ihre Erlaubnis auch für Sie. Sind andere Begleitpersonen zu erkennen, fragen wir sie vorher selbst, und auf Gruppenfotos zeigen wir nur Kinder, für die eine Erlaubnis vorliegt.

Dazu gehört auch: Bilder im Internet können weltweit abgerufen und kopiert werden, und bereits gedruckte Flyer lassen sich nicht zurückholen.

14. Cookies und ähnliche Techniken

Ein Cookie ist eine kleine Datei, die Ihr Browser auf Ihrem Gerät ablegt. Wir legen auf Ihrem Gerät nur etwas ab oder lesen etwas von dort, wenn die Seite, die Anmeldung oder die Zahlung es unbedingt benötigt. Wir gehen davon aus, dass dafür keine Einwilligung nötig ist (§ 25 Abs. 2 Nr. 2 des Gesetzes über den Datenschutz bei digitalen Diensten, TDDDG). Cookies für Werbung oder Analyse gibt es bei uns keine, deshalb fragen wir Sie auch nicht in einem Cookie-Banner.

Das Prüffeld von Turnstile vor dem Anmeldecode, der Kündigung und dem Widerruf legt nach der Cookie-Übersicht von Cloudflare kein eigenes Cookie an. Cloudflare stuft seine Cookies als unbedingt erforderlich ein. Wir sehen das genauso, denn ohne Schutz vor automatisierten Zugriffen sind Seite und Buchung nicht sicher. Dafür gilt außerdem unser berechtigtes Interesse, Seite und Buchung vor Angriffen und Bots zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Stripe lädt seine Bezahlfunktion erst, wenn Sie zum Bezahlen kommen. Vorher setzt Stripe nichts.

Ihr Browser hält außerdem einen kurzlebigen Zugangsschlüssel, 15 Minuten gültig, nur im Arbeitsspeicher der geöffneten Seite und nirgends sonst. Laden Sie die Seite neu, holt sie sich mit dem Cookie einen neuen. Wählen Sie PayPal, Apple Pay oder Google Pay, öffnet sich eine Seite oder ein Fenster des jeweiligen Anbieters. Dort gelten dessen eigene Cookie-Hinweise.

15. Dienstleister

Den technischen Betrieb von Server und Buchung übernimmt Dreivio (Rosi-Obermüller-Straße 9, 94161 Ruderting) für uns und nach unseren Weisungen. Für Website und Buchung nutzen wir die folgenden Dienste. In der letzten Spalte steht, wer über die Daten entscheidet: „arbeitet für uns“ bedeutet, dass der Anbieter die Daten nur für uns und nach unseren Weisungen verarbeitet (Art. 28 DSGVO). „Entscheidet selbst“ bedeutet, dass der Anbieter selbst entscheidet, was er mit den Daten macht, und dies in seiner eigenen Datenschutzerklärung erläutert. Das gilt auch für Meta und WhatsApp, wenn Sie uns dort schreiben oder wir dort etwas zeigen.

16. Verarbeitung außerhalb der EU

Der Server mit der Datenbank steht in der EU. Einige Anbieter sitzen jedoch in den USA oder arbeiten mit Gesellschaften dort, und was über Cloudflare läuft, kann auch in den USA verarbeitet werden. Dafür gibt es zwei Schutzwege. Das EU-US Data Privacy Framework (DPF) ist ein Zertifizierungsprogramm, mit dem sich US-Firmen auf EU-Datenschutzregeln verpflichten. Die EU-Kommission hat am 10.07.2023 festgestellt, dass es ein angemessenes Schutzniveau bietet (Art. 45 DSGVO). Standardvertragsklauseln sind Musterverträge der EU-Kommission, in denen sich der Anbieter zum Schutz der Daten verpflichtet (Art. 46 Abs. 2 lit. c DSGVO). Am 16.10.2026 haben wir im öffentlichen Verzeichnis des DPF (dataprivacyframework.gov) nachgesehen:

• Cloudflare, Inc.: zertifiziert (Status im Verzeichnis: „aktiv“, die jährliche Erneuerung wird gerade geprüft). Falls die Zertifizierung ausläuft, gelten laut Cloudflare die Standardvertragsklauseln.
• Stripe, LLC: zertifiziert. Wo Stripe zusätzlich einen Übertragungsweg benötigt, nutzt es nach eigener Angabe die Standardvertragsklauseln.
• Microsoft Corporation: zertifiziert.
• Meta Platforms, Inc. (für Facebook und Instagram) und WhatsApp LLC: zertifiziert. Bei Meta Platforms, Inc. steht im Verzeichnis „aktiv“, die jährliche Erneuerung wird gerade geprüft.
• Mailjet: Die Mails laufen über Rechenzentren in der EU. Für Übermittlungen innerhalb der Sinch-Gruppe nennt Mailjet die Standardvertragsklauseln und das DPF (innerhalb der Gruppe ist Mailgun Technologies, Inc. zertifiziert).
• PayPal: PayPal schreibt in seiner Datenschutzerklärung, dass es Daten auch in den USA und anderen Ländern verarbeiten lässt und dafür unternehmensinterne Vereinbarungen, Mustervertragsklauseln oder Ausnahmeregelungen nutzt. Im DPF-Verzeichnis haben wir PayPal nicht gefunden.
• Google: Google ist ein Unternehmen mit Sitz in den USA. Es betrifft nur den Text, den Sie in das Feld „Straße“ eingeben und der zu dem Vorgang gehört (siehe Abschnitt „Adressvorschläge bei der Eingabe“). Google ist dabei eigenständig verantwortlich und nutzt nach eigener Angabe das Data Privacy Framework (Google LLC ist zertifiziert) und, wo nötig, Standardvertragsklauseln.
• Picktime, Inc.: Für die Übermittlung an Picktime sehen wir die Standardvertragsklauseln der EU-Kommission vor, dafür bietet Picktime Kunden aus der EU einen Auftragsverarbeitungsvertrag an. Im DPF-Verzeichnis haben wir Picktime nicht gefunden.

Wo wir selbst Daten an einen nicht zertifizierten Anbieter übermitteln, stützen wir uns auf Standardvertragsklauseln. Eine Kopie der Garantien erhalten Sie auf Anfrage bei uns.

17. Speicherdauer

Ihr Konto bleibt bestehen, bis Sie es löschen oder drei Jahre nicht nutzen. Rechnungen bewahren wir acht Jahre auf. Alle Fristen im Überblick:

Zu den Fehlermeldungen: Tritt bei Ihrem Aufruf ein Fehler auf, kann die Meldung Ihre IP-Adresse und die aufgerufene Adresse enthalten. Wir benötigen sie, um Störungen und Angriffe zu erkennen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).

18. Sicherheit

Alle Verbindungen zu Ihnen sind verschlüsselt (HTTPS). Die Datenbank liegt in einem internen Netz ohne Zugang zum Internet. Anmeldecodes und angemeldete Geräte speichern wir nur als Prüfwerte. Die Verwaltung erreichen nur wir und Dreivio mit einer Anmeldung in zwei Schritten. Unsere Datenbanksicherungen sind verschlüsselt. Änderungen an Buchungen und Zahlungen halten wir in einem Protokoll fest, ohne Namen und Anschriften (Art. 32 DSGVO, Art. 6 Abs. 1 lit. f DSGVO).

19. Automatisierte Entscheidungen

Wir bewerten Sie nicht automatisch anhand Ihrer Daten (Profiling). Die Buchung entscheidet jedoch nach festen Regeln, die für alle gleich gelten und auf unserer Seite stehen, automatisch über Plätze, Warteliste, Alterscheck, Preise und Rabatte. Das benötigen wir für den Vertrag mit Ihnen (Art. 22 Abs. 2 lit. a DSGVO). Passt eine Regel für Sie nicht, wenden Sie sich bitte an uns. Wir prüfen das und entscheiden selbst.

20. Ihre Rechte

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an die oben genannten Kontaktdaten. Ihnen stehen folgende Rechte zu:

• Auskunft über Ihre Daten (Art. 15 DSGVO). In Ihrem Konto können Sie alle Angaben aus Ihrem Konto und Ihren Buchungen selbst als Datei herunterladen: Konto, Kinder, Buchungen, Zahlungen, Rechnungen, Gutscheine mit ihren Buchungen (ohne den Gutscheincode selbst, den Sie unter „Meine Gutscheine“ sehen), Rabattcode-Einlösungen und angemeldete Geräte. Dazu kommen unsere Notizen zu Ihrem Konto und Ihren Buchungen und die Einträge aus unserem Protokoll zu Ihrem Konto. Einträge zu ganzen Kursen, etwa wer die Teilnehmerliste angesehen hat, und technische Prüfwerte stehen nicht darin; die Verwaltung erscheint dort als „Verwaltung“. Mails, Nachrichten, Meldungen über nicht zugestellte Mails, Kündigungen und Widerrufe erhalten Sie auf Anfrage von uns.
• Berichtigung (Art. 16). Name, Handynummer und Anschrift ändern Sie im Konto selbst, eine neue E-Mail-Adresse tragen wir für Sie ein.
• Löschung (Art. 17). Sie können Ihr Konto selbst löschen. Läuft noch ein Kurs, eine Warteliste oder eine Erstattung, ist das erst danach möglich. Wir helfen Ihnen gern. Rechnungen bewahren wir weiter auf, weil wir dazu verpflichtet sind.
• Einschränkung der Verarbeitung (Art. 18): Sie können verlangen, dass wir Ihre Daten vorerst nur noch speichern und nicht mehr nutzen.
• Datenübertragbarkeit (Art. 20): Sie können Ihre Daten in einem gängigen Dateiformat (JSON) erhalten, um sie anderweitig zu verwenden. Die Datei aus Ihrem Konto hat dieses Format.
• Widerruf einer Einwilligung, etwa für Fotos, jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3). Was bis dahin geschehen ist, bleibt erlaubt.

Beschwerde

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig für uns ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach. Das Beschwerdeformular finden Sie auf www.lda.bayern.de.

21. Anmeldung über Picktime bis zum Start der Online-Buchung

Dieser Abschnitt betrifft Sie nur, wenn Sie Ihr Kind bisher über Picktime angemeldet haben.

Bis zum Start der Online-Buchung lief die Anmeldung über Picktime (Picktime, Inc., 115 Wild Basin Rd South, Austin, Texas, USA). Kurse, die schon vorher begonnen haben, laufen bis zu ihrem Ende weiter über Picktime, längstens bis Februar 2027. Dort liegen die Angaben aus dem Anmeldeformular: Name, Anschrift, E-Mail-Adresse und Handynummer der Eltern, Vorname und Geburtsdatum des Kindes und der gebuchte Kurs, dazu abgesagte Termine mit dem Grund, falls jemand einen genannt hat, und Wartelisteneinträge.

Die Daten liegen bei Google Cloud, in welchem Land, nennt Picktime nicht. Picktime arbeitet nach eigener Angabe für uns als Auftragsverarbeiter (Art. 28 DSGVO). Für die Internetseiten von Picktime gelten zusätzlich dessen Datenschutzhinweise; Picktime setzt dort eigene Cookies und Analyse-Werkzeuge ein.

Bezahlt haben Sie diese Kurse per Überweisung oder PayPal. Bei PayPal verarbeitet die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, Ihre Zahlung in eigener Verantwortung. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

Übernahme in die Online-Buchung

Anmeldungen aus Picktime für Kurse und Einzelstunden, die nach dem Start der Online-Buchung beginnen (in Tiefenbach ab dem 29.10.2026, sonst ab dem 30.11.2026), haben wir in unsere Online-Buchung übernommen. So stimmen die freien Plätze, und Sie finden Ihren Kurs in Ihrem Konto. Dafür haben wir Ihre Angaben eingetragen: Ihren Namen, Ihre Anschrift, Handynummer und E-Mail-Adresse, Vorname und Geburtsdatum Ihres Kindes, den Kurs und den Vermerk, dass Sie bereits bezahlt haben. In der Buchung vermerken wir, dass sie aus Picktime stammt. Eine neue Rechnung gibt es dafür nicht.

Mit der Übernahme haben Sie ein Konto bei uns, und wir haben Ihnen eine Mail gesendet. Anmelden können Sie sich wie oben beschrieben mit einem Code an Ihre E-Mail-Adresse (siehe Kundenkonto und Anmeldung). Für diese Anmeldungen gelten die Bedingungen von damals weiter. Ansonsten gilt für das Konto und die Buchung alles, was in dieser Erklärung steht. Rechtsgrundlage ist der Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO).

Der Preis für Familien, die schon dabei waren

Damit Sie den Preis für Familien, die schon dabei waren, nicht erst beantragen müssen, haben wir aus den Daten von Picktime eine Liste erstellt: die E-Mail-Adressen der Familien, die dort einen Kurs begonnen und bezahlt hatten. In unsere Online-Buchung haben wir daraus nur einen Prüfwert je Adresse übernommen, eine Art Fingerabdruck, aus dem sich die Adresse nicht zurückrechnen lässt. Namen, Kinder und Buchungen stehen nicht dabei, und niemand kann die Prüfwerte in der Verwaltung ansehen oder ändern.

Melden Sie sich mit Ihrer E-Mail-Adresse an, vergleicht unser Server den Prüfwert Ihrer Adresse mit dieser Liste. Steht er darauf, berechnet die Buchungsseite für Kurse den Preis für Familien, die schon dabei waren. Anmelden geht nur mit dem Code aus der Mail an diese Adresse, den Preis erhält also nur, wer das Postfach lesen kann. Melden Sie sich mit einer anderen Schreibweise oder einer anderen Adresse an als bei Picktime, erkennt der Server Sie nicht. Geben Sie uns dann bitte Bescheid, wir setzen das Häkchen. Rechtsgrundlage ist der Vertrag mit Ihnen, auch schon vor dem Vertragsschluss, weil wir damit den Preis richtig berechnen (Art. 6 Abs. 1 lit. b DSGVO). Wann wir die Liste löschen, steht unter Speicherdauer.

Umgang mit den Daten bei Picktime

Für die Übernahme haben wir die Anmeldungen aus Picktime als Kopie gespeichert: die Angaben aus dem Formular, die Buchungen mit Kurs, Ort, Preis und Zahlstatus, abgesagte Termine, Wartelisteneinträge und Rechnungen. Wir benutzen diese Kopie nur, um Familien in die Online-Buchung zu übernehmen. Wir legen sie getrennt vom Rest und vor fremdem Zugriff geschützt ab und löschen sie, sobald wir sie dafür nicht mehr benötigen. Davon ausgenommen sind Unterlagen, die wir nach dem Steuerrecht aufbewahren müssen, zum Beispiel Rechnungen und Zahlungsbelege (Art. 6 Abs. 1 lit. b, c und f DSGVO).

Sind die Kurse vorbei, die noch über Picktime laufen, kündigen wir Picktime und löschen unser Konto dort. Nach den Datenschutzhinweisen von Picktime sind damit auch alle Daten auf der Plattform gelöscht. Was danach von Ihren Picktime-Daten bleibt, steht unter Speicherdauer.

22. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Buchung, unsere Dienstleister oder die Rechtslage ändern. Jede Fassung trägt ein Datum. Beim Buchen speichern wir, welche Fassung Sie bestätigt haben.

Stand: 23. Oktober 2026 · Fassung: 2026-10-23

Zur Startseite