Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:
Christopher Eßmann & Matthias Czajka GbR
(Boller Battle Münster)
Landoisstraße 6
48149 Münster
Deutschland
E-Mail: muenster@bollerbattle.de
Telefon: +49 251 29795770

2. Allgemeines zur Datenverarbeitung

2.1 Umfang: Wir verarbeiten personenbezogene Daten unserer Nutzer:innen und Kund:innen grundsätzlich nur, soweit dies zur Bereitstellung unserer Leistungen sowie unserer Inhalte und Kommunikationskanäle erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung der Nutzer:innen oder auf Grundlage einer gesetzlichen Erlaubnis.

2.2 Rechtsgrundlagen: Maßgeblich sind insbesondere Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen).

2.3 Datenlöschung & Speicherdauer: Wir löschen oder anonymisieren personenbezogene Daten, sobald der Zweck der Speicherung entfällt – es sei denn, gesetzliche Aufbewahrungspflichten erfordern eine längere Speicherung. Es gelten diese Fristen:

3. Unser Buchungssystem

3.1 Betrieb und Speicherort: Die Online-Buchung läuft über ein eigenes Buchungssystem, das wir selbst betreiben – es gibt keinen Buchungsanbieter mehr, an den wir deine Daten weitergeben. Betrieben wird es auf der Infrastruktur der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Die Buchungsdatenbank liegt in der EU, das Archiv für Rechnungen, Fotos und die Dateien, die ihr hochladet, ist auf die EU festgelegt; beide Speicherorte sind nicht nachträglich verschiebbar. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Cloudflare ist zusätzlich unter dem EU-US Data Privacy Framework (DPF) zertifiziert.

3.2 Verarbeitete Daten: Im Buchungsvorgang erheben wir deinen Namen, deine E-Mail-Adresse, deine Telefonnummer, deine Rechnungsanschrift, den gewählten Termin, den Bollerwagen samt Paket und gewählten Extras sowie den Preis. Die Telefonnummer ist eine Pflichtangabe: Wir brauchen sie, um dich am Tourtag sowie bei Übergabe und Rückgabe des Wagens erreichen zu können, etwa wenn ihr nicht am Treffpunkt seid oder sich kurzfristig etwas ändert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Freiwillig sind deine Anmerkungen (z. B. gesundheitliche Einschränkungen oder Anlass der Feier); Firmenkunden können zusätzlich Firmenname, Umsatzsteuer-Identifikationsnummer und eine abweichende Rechnungsanschrift angeben. Kommst du über eine Anzeige oder einen Kampagnenlink zu uns, speichern wir außerdem die Kampagnenkennung aus der Adresse. An der Buchung vermerken wir zudem, über welche unserer Websites sie kam (nur die Domain, ohne Unterseite), und in welcher Sprache du gebucht hast (Deutsch oder Englisch), damit Mails und Buchungsportal dich in dieser Sprache erreichen.

Vor dem Bezahlen fragen wir außerdem, wo ihr zuerst von uns gehört habt. Du wählst eine Antwort aus einer Liste (etwa Instagram, Google oder eine Empfehlung); sie wird an deiner Buchung gespeichert. Wir werten die Antworten aus, um zu sehen, welche unserer Werbewege ankommen und wo sich Werbung lohnt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung unserer Werbewege). Die Antwort ist eine Pflichtangabe, sagt aber nichts über dich persönlich; wer nichts Passendes findet, wählt „Woanders". Mit der Anonymisierung nach § 3.7 wird sie gelöscht.

Außerdem vermerken wir an deiner Buchung, ob du sie mit einem Mobilgerät oder einem Computer abgeschlossen hast. Das leiten wir aus der Browserkennung ab, die dein Browser mit der Buchung ohnehin mitschickt; gespeichert wird nur das Ergebnis, nicht die Kennung selbst. Wir nutzen die Angabe, um zu sehen, auf welchen Geräten gebucht wird, und die Buchung dort zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer Buchungsstrecke, die auf allen Geräten funktioniert). Die Angabe allein lässt keinen Rückschluss auf dich zu und bleibt deshalb auch nach der Anonymisierung nach § 3.7 an der Buchung.

Deine IP-Adresse speichern wir in der Buchung nicht. Sie würde die Zuordnung von Werbung verbessern; dafür stünde ein personenbezogenes Datum drei Jahre in deiner Buchung, und das ist uns der Werbebericht nicht wert. Für den Betrieb der Server gilt § 13.1.

3.3 Zweck: Abwicklung des Buchungs- und Mietvertrages, Versand von Bestätigungen, Rechnungen und Erinnerungen, Bearbeitung von Rückfragen, Planung des Tagesbetriebs sowie Auswertung anonymisierter Buchungsdaten zu betriebswirtschaftlichen Zwecken.

3.4 Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für Rechnungen und deren Aufbewahrung zusätzlich Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).

3.5 Dein Buchungsportal: In deiner Bestätigungsmail steht ein persönlicher Link zu deiner Buchung. Er enthält einen zufälligen Zugangsschlüssel; wer ihn hat, sieht die Buchung – ein Passwort gibt es absichtlich nicht, weil wir dafür ein Konto von dir bräuchten, das niemand will. Behandle den Link deshalb wie eine Eintrittskarte. Mit der Anonymisierung nach § 3.7 wird er ungültig.

3.6 Wenn ihr euch die Kosten teilt: Wählst du die geteilte Zahlung, entsteht ein zweiter Link, den du an deine Gruppe weitergeben kannst. Dieser Einladungslink zeigt bewusst nicht deine vollständigen Daten: weder Nachname noch E-Mail-Adresse, Telefonnummer, Anschrift, Anmerkungen, Rechnung oder Fotos. Sie zeigt Termin, Leistung, Gesamtbetrag und offenen Anteil, deinen Vornamen und den Zahlstand der Gruppe; wer einen Anteil zahlt, kann dort freiwillig seinen Vornamen angeben, der dann ebenfalls erscheint. Von den Teilnehmer:innen verarbeiten wir Vorname, E-Mail-Adresse und die Zahlungsdaten ihres Anteils, um ihnen eine Zahlungsbestätigung zu schicken. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung der Zahlung und Art. 6 Abs. 1 lit. f DSGVO für unser Interesse, den Zahlungsstand für die Gruppe darzustellen.

3.7 Anonymisierung statt Löschung: 36 Monate nach deinem Termin entfernen wir automatisch alles, was allein dem Vertrag diente: Name, E-Mail-Adresse, Telefonnummer, Anschrift, Anmerkungen, interne Notizen, Kampagnenkennung, deine Antworten auf unsere Fragen im Buchungsformular, die Verknüpfung zur Ablaufmessung (§ 13.8a), die Teamnamen und Spielstände eurer Show (§ 3.9) und den Zugangsschlüssel deines Portals. Was Beleg ist – Rechnung, Zahlung, Rechnungsnummer –, bleibt bis zum Ende der zehnjährigen Aufbewahrungsfrist bestehen; auf der Rechnung selbst steht dein Name weiter, denn ohne ihn wäre sie kein gültiger Beleg. Die Buchung als solche wird nicht gelöscht, weil daran der lückenlose Rechnungsnummernkreis hängt. Möchtest du früher gelöscht werden, gilt § 16.

3.8 Euer Quiz: Habt ihr ein persönliches Quiz gebucht (Premium), schickt ihr uns über euer Buchungsportal (§ 3.5) Material dafür: Text, Dokumente oder Fotos mit Anekdoten, Insidern und Fakten über eure Gruppe. Darin stehen oft auch Namen und Geschichten von Personen, die nicht selbst gebucht haben, etwa vom Geburtstagskind oder von Kolleg:innen. Aus dem Material erstellen wir die Fragen und legen sie euch zur Freigabe vor. Die freigegebenen Fragen lassen wir vertonen, damit sie in eurer Show gesprochen werden. Dafür geht ihr Sprechtext an die Eleven Labs Inc., 169 Madison Ave #2484, New York, NY 10016, USA. Er kann Namen und Anekdoten aus eurem Material enthalten; das hochgeladene Material selbst erhält ElevenLabs nicht. ElevenLabs verarbeitet den Text in unserem Auftrag nach Art. 28 DSGVO; zur Übermittlung in die USA siehe § 14. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erstellung des bestellten Quiz), für die Angaben über Dritte im Material Art. 6 Abs. 1 lit. f DSGVO (euer und unser Interesse, ein Quiz über eure Gruppe zu machen). Bitte schickt uns nur, was die Betroffenen in ihrer Show auch hören dürfen, und keine Angaben zu Gesundheit oder ähnlich sensiblen Themen. Das Material löschen wir 30 Tage nach eurem Termin, Dateien wie Text, und mit ihm die Fragen, die wir daraus geschrieben haben. Die vertonte Runde liegt für eure Show unter einer eigenen, nirgends verlinkten Adresse; auch sie nehmen wir 30 Tage nach dem Termin vom Netz.

3.9 Das Ergebnis eurer Show: Spielt ihr die Show über unsere App, speichern wir am Ende das Ergebnis zu eurer Buchung: die Teamnamen, die ihr selbst eintippt, die Punktestände und den Spielverlauf. Daraus entsteht eure Urkunde, die ihr über einen eigenen Link aufrufen und weitergeben könnt. Die Teamnamen wählt ihr frei; tragt ihr dort echte Namen ein, stehen sie auch auf der Urkunde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mit der Anonymisierung nach § 3.7 entfernen wir Teamnamen, Stände und Verlauf, und der Link zur Urkunde wird ungültig; erhalten bleibt nur, wie viele Battles gespielt wurden.

3.10 Gutscheinkauf: Kaufst du einen Wertgutschein, erheben wir deinen Namen, deine E-Mail-Adresse und deine Rechnungsanschrift, bei Firmen auch den Firmennamen, sowie den Betrag. Freiwillig sind ein Name für die beschenkte Person, eine persönliche Nachricht auf dem Gutschein und, wenn wir den Gutschein direkt zustellen sollen, die E-Mail-Adresse der beschenkten Person und der Tag der Zustellung. Diese Angaben nutzen wir, um den Gutschein zu erstellen, zuzustellen und abzurechnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Angaben über die beschenkte Person Art. 6 Abs. 1 lit. f DSGVO (dein und unser Interesse, den Gutschein wie gewünscht zu übergeben). Deine E-Mail-Adresse sowie Name, Nachricht, E-Mail-Adresse und Zustelltag für die beschenkte Person entfernen wir 36 Monate nach Ablauf des Gutscheins. Name, Firma und Anschrift auf der Rechnung bleiben bis zum Ende der zehnjährigen Aufbewahrungsfrist bestehen, ebenso die Rechnung selbst. Wird eine Bestellung nicht bezahlt, löschen wir ihre Angaben 36 Monate nach der Bestellung. Der Gutscheincode selbst ist kein personenbezogenes Datum; wer ihn einlöst, bucht nach § 3.2.

3.11 Extra-Quizrunden: Kaufst du während einer Show oder auf unserer Kaufseite eine zusätzliche Quizrunde, erheben wir deine E-Mail-Adresse für die Zahlungsbestätigung sowie Betrag und Runde. Gehört der Kauf zu einer Buchung, gelten deren Fristen (§ 3.7). Ohne Buchung entfernen wir die E-Mail-Adresse 36 Monate nach dem Kauf; die Zahlungsbelege bleiben 10 Jahre. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Belege Art. 6 Abs. 1 lit. c DSGVO.

4. Zahlungsabwicklung

4.1 Anbieter: Zahlungen wickeln wir über die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland ab. Das gilt auch für Zahlungen per PayPal, Apple Pay und Google Pay – sie laufen technisch über Stripe. Klarna und Sofortüberweisung bieten wir nicht an.

4.2 Was wohin geht: An Stripe übermitteln wir den Betrag, eine Buchungskennung, deine E-Mail-Adresse und deine Rechnungsanschrift. Deine Zahlungsdaten selbst – Kartennummer, Bankverbindung, PayPal-Konto – sehen wir nie: Sie werden direkt im Bezahlfeld von Stripe erhoben und liegen ausschließlich dort. Von Stripe erhalten wir zurück, ob und wann bezahlt wurde, sowie eine Zahlungskennung.

4.3 Rechtsgrundlage und Drittland: Art. 6 Abs. 1 lit. b DSGVO. Stripe kann Daten an sein US-Mutterunternehmen übermitteln; die Rechtmäßigkeit stützt sich auf das EU-US Data Privacy Framework. Weitere Informationen stehen in der Datenschutzerklärung von Stripe.

4.4 Zahlung per Überweisung: Bezahlst du auf Rechnung, übermitteln wir die Rechnungsdaten im Rahmen des normalen Zahlungsverkehrs an die kontoführenden Banken.

5. E-Mails aus dem Buchungssystem

5.1 Versand: Bestätigungen, Rechnungen, Erinnerungen und Stornomitteilungen verschicken wir über Cloudflare Email Sending (Cloudflare, Inc.) auf Basis eines Auftragsverarbeitungsvertrags. Absenderdomain ist mail.bollerbattle-muenster.de.

5.2 Was wir speichern: Zu jeder verschickten Mail speichern wir Empfängeradresse, Betreff, den vollständigen Text und den Zustellstatus. Das ist kein Selbstzweck: Ohne diesen Nachweis lässt sich nicht klären, ob du deine Bestätigung bekommen hast – und eine Erinnerung, die zweimal rausginge oder gar nicht, fiele niemandem auf. Diese Einträge werden zusammen mit der Buchung anonymisiert (§ 3.7). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Nachweis des Versands).

5.3 Termindatei und Anhänge: Der Bestätigungsmail liegen je nach Fall deine Rechnung, ein Gutschein oder ein Kalendereintrag als Datei bei. Sie enthalten dieselben Daten wie die Buchung.

6. Übergabe & Rückgabe vor Ort

6.1 Identitätsprüfung: Bei der Übergabe des Bollerwagens gleichen wir bzw. unser bevollmächtigtes Personal vor Ort Name und Volljährigkeit der buchenden Person mit der Buchung ab. Es werden ausdrücklich keine Kopien, Fotos oder Erfassungen der Ausweisdaten angefertigt.

6.2 Externes Personal: Die Übergabe und Rücknahme erfolgt teilweise durch Mitarbeitende von Kooperationspartnern (z. B. Enchilada Münster) oder durch von uns beauftragte Aushilfen; beauftragte Aushilfen sind an unsere Weisungen gebunden und zur Vertraulichkeit verpflichtet. Wer die Übergabe übernimmt, erhält die Angaben, die dafür nötig sind: Name, Telefonnummer, Termin, Wagen und gebuchte Leistung. Die Telefonnummer dient allein der Verständigung am Termin, etwa wenn ihr nicht am Treffpunkt eintrefft. Diese Angaben werden erst sichtbar, wenn eine Person die konkrete Übergabe übernommen hat, und nur ihr; nach dem Termin stehen sie ihr nicht mehr zur Verfügung.

6.3 Vermittelte Bestellungen: Hast du im Buchungsvorgang Speisen oder Getränke als Extra ausgewählt, geben wir deine Bestellung und deinen Namen an den Kooperationspartner weiter, damit sie zu eurem Termin bereitsteht. Verkäufer ist in diesem Fall der Partner, nicht wir (AGB § 11.1). Hast du im Buchungsvorgang angegeben, vor Ort bestellen und dazu vorab kontaktiert werden zu wollen, geben wir zusätzlich Termin, Wagen sowie deine E-Mail-Adresse und Telefonnummer an den Kooperationspartner weiter. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit für die Zukunft widerrufen kannst.

6.4 Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Identitätssicherung und Schadensvorbeugung).

7. Ortung des Bollerwagens

7.1 Was verbaut ist: Unsere Bollerwagen sind zur Sicherung gegen Diebstahl mit einem GPS-Sender ausgestattet. Er gehört fest zum Wagen und lässt sich während der Tour nicht abschalten.

7.2 Wann wir hinsehen: Wir verfolgen eure Tour nicht mit. Den Standort rufen wir nur ab, wenn ein Wagen deutlich über die gebuchte Zeit hinaus nicht zurück ist oder als gestohlen gilt.

7.3 Personenbezug: Während der Mietzeit lässt sich die Position des Wagens der buchenden Person und ihrer Gruppe zuordnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse am Schutz eines Mietgegenstands im vierstelligen Wert, der sich frei im öffentlichen Raum bewegt. Wir halten die Verarbeitung für zumutbar, weil sie eine Sache und keinen Menschen beobachtet, weil sie anlassbezogen erfolgt und weil wir vorab darüber informieren. Du kannst ihr nach Art. 21 DSGVO widersprechen; in diesem Fall können wir den Wagen allerdings nicht herausgeben.

7.4 Speicherung: Die Positionen des Senders laufen über den Anbieter des Ortungsdienstes, der sie in unserem Auftrag verarbeitet (Art. 28 DSGVO) und nach seinen eigenen Fristen speichert. Wir selbst legen keinen Verlauf eurer Tour ab. Rufen wir einen Standort aus einem der Anlässe in 7.2 ab, halten wir ihn nur so lange fest, wie wir ihn zur Rückholung des Wagens oder zur Klärung eines Schadens brauchen.

7.5 Weitergabe: Bei einem Diebstahl geben wir die Standortdaten an die Polizei weiter (Art. 6 Abs. 1 lit. f DSGVO, Rechtsverfolgung). Darüber hinaus geben wir sie nicht weiter.

8. Foto- und Filmaufnahmen für Marketingzwecke

8.1 Unsere Aufnahmen: Während unserer Veranstaltungen können Foto- und Filmaufnahmen entstehen, die wir für Marketingzwecke (z. B. Social Media, Website) nutzen möchten. Eine Veröffentlichung erkennbarer Personen erfolgt ausschließlich auf Grundlage einer separat erteilten, freiwilligen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 22 KunstUrhG). Diese Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

8.2 Aufnahmen, die ihr uns schickt: Nach eurer Tour könnt ihr uns über einen eigenen Link eure Fotos und Videos schicken; als Dank gibt es einen Rabattcode. Hochladen könnt ihr nur mit einem Haken, mit dem ihr zusichert, dass die Aufnahmen von euch sind, alle Abgebildeten einverstanden sind (bei Kindern auch deren Eltern) und wir sie auf unseren eigenen Kanälen zeigen dürfen. Wir speichern die Dateien, den Zeitpunkt der Einwilligung, die Fassung ihres Wortlauts und, wenn du ihn angibst, deinen Instagram-Namen, damit wir euch markieren können. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 22 KunstUrhG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, eine Nachricht an muenster@bollerbattle.de genügt; dann nehmen wir die Aufnahmen von unseren Kanälen und verwenden sie nicht weiter. Die Dateien selbst löschen wir 90 Tage nach Eingang bzw. nach unserer Freigabe, nach einer Ablehnung oder deinem Widerruf nach 30 Tagen. Den Nachweis der Einwilligung und eines Widerrufs bewahren wir auf, damit sich später belegen lässt, was wir zeigen durften; den Instagram-Namen entfernen wir mit der Anonymisierung nach § 3.7.

9. Fotos von eurer Tour

Machen wir während eurer Tour Fotos, laden wir sie in eure Buchung hoch, schicken sie euch per E-Mail und stellen sie in eurem Buchungsportal (§ 3.5) bereit. Die Dateien liegen im EU-Archiv aus § 3.1 und sind nur über den Zugangsschlüssel eurer Buchung erreichbar. Anders als Rechnungen sind sie kein Beleg, sondern ein Andenken: Wir löschen sie deshalb 6 Monate nach dem Hochladen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, euch die Aufnahmen eurer eigenen Veranstaltung zukommen zu lassen). Eine Veröffentlichung findet daraus nicht statt – dafür gilt allein § 8.

10. Bewertungen nach der Tour

Nach eurem Termin kann eine E-Mail folgen, in der wir um eine Bewertung bitten; auch die Show-App fragt am Ende der Show danach. Gibst du dort eine Sternebewertung ab, speichern wir die Sternzahl, den Zeitpunkt und – wenn du eines schreibst – deinen Freitext, jeweils zu deiner Buchung. Rechtsgrundlage für die Bitte ist § 7 Abs. 3 UWG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO; du kannst ihr jederzeit widersprechen, und in jeder solchen E-Mail steht, wie. Bei der Anonymisierung nach § 3.7 entfernen wir den Freitext; die Sternzahl bleibt ohne Personenbezug erhalten.

11. Social-Media-Präsenz

Wir betreiben Profile auf sozialen Netzwerken (z. B. Instagram, Facebook, TikTok), um mit unseren Kund:innen zu kommunizieren und auf unser Angebot aufmerksam zu machen. Wenn du diese Profile besuchst oder mit ihnen interagierst, werden personenbezogene Daten durch den jeweiligen Plattformbetreiber verarbeitet. Wir haben darauf nur begrenzten Einfluss.

Rechtsgrundlage für die Verarbeitung deiner Daten durch uns ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Außendarstellung und Kundenkommunikation). Über die Datenverarbeitung durch die Plattformbetreiber informieren deren eigene Datenschutzerklärungen:

• Meta (Facebook, Instagram): facebook.com/privacy/policy
• TikTok: tiktok.com/legal/…/privacy-policy

Wir empfehlen, deine Datenschutzeinstellungen in diesen Netzwerken zu prüfen, bevor du mit uns interagierst.

12. Marketing-Kommunikation

Im Buchungsformular kannst du freiwillig ankreuzen, dass wir dir gelegentlich Neuigkeiten schicken dürfen. Ohne den Haken bekommst du keinen Newsletter, und deine Buchung hängt nicht davon ab. Setzt du ihn, speichern wir deine Einwilligung mit dem Zeitpunkt deiner Buchung. Derzeit verschicken wir noch keinen Newsletter. Bevor wir dir den ersten schicken, bekommst du eine E-Mail, in der du die Anmeldung bestätigst (Double-Opt-in); erst nach dieser Bestätigung erhältst du Newsletter. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 UWG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über den Abmelde-Link in jedem Newsletter oder per Nachricht an muenster@bollerbattle.de. Die Bitte um eine Bewertung nach § 10 ist davon unabhängig.

13. Website, E-Mail-Kommunikation & Tracking

13.1 Unsere Website & Hosting: Diese Website (bollerbattle-muenster.de) betreiben wir selbst. Sie wird als statische Website über Cloudflare Pages ausgeliefert, einen Dienst der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Beim Aufruf der Website und beim Aufruf unseres Buchungssystems verarbeitet Cloudflare technisch notwendige Verbindungsdaten (insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Browser-Informationen), um die Seite auszuliefern und die Sicherheit des Dienstes zu gewährleisten. Cloudflare ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und performanten Bereitstellung).

13.1a Reichweitenmessung ohne Cookies: Um zu erkennen, wie oft unsere Seiten aufgerufen werden, zählen wir die Aufrufe auf unserem Server mit. Dabei werden keine Cookies gesetzt, und es wird nichts aus dem Speicher deines Browsers gelesen. Ausgewertet wird nur, was dein Browser bei jedem Aufruf ohnehin mitschickt: Aus deiner IP-Adresse leitet Cloudflare das Land und den Netzbetreiber ab, aus der Browserkennung, ob du ein Mobilgerät oder einen Computer verwendest, und aus der zuvor besuchten Seite sowie angehängten Kampagnenangaben die Art der Herkunft (etwa Suchmaschine, soziales Netzwerk oder Werbeanzeige). Netzbetreiber, Browserkennung und Spracheinstellung nutzen wir außerdem, um automatisierte Programme zu erkennen. IP-Adresse, Browserkennung, Netzbetreiber und Spracheinstellung werden dabei nicht gespeichert. Gespeichert werden je Aufruf nur aufgerufene Seite, Zeitpunkt, Land, Gerätetyp, Art der Herkunft und ob der Aufruf von einem automatisierten Programm kam. Wir speichern keine Kennung und können die Angaben keiner Person zuordnen; auch zwei Aufrufe derselben Person sind für uns nicht als zusammengehörig erkennbar. Diese Einzelangaben liegen 90 Tage bei Cloudflare. Daraus bilden wir Summen je Tag und je Monat, die wir dauerhaft aufbewahren; sie enthalten nur Zählwerte nach Seite, Herkunft, Gerätetyp, Land und Stunde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, die Nutzung unserer Website in anonymer Form nachvollziehen zu können). Du kannst dieser Verarbeitung nach Art. 21 DSGVO widersprechen; die Kontaktdaten dafür stehen in § 1.

13.2 Website des Lizenzgebers: Die Website www.bollerbattle.de wird vom Lizenzgeber YellowShare GmbH betrieben. Für die Datenverarbeitung beim Besuch dieser Website gilt die Datenschutzerklärung des Lizenzgebers. Unser Buchungskalender ist dort als Widget eingebunden; für die darin erhobenen Daten gelten die §§ 3 bis 5 dieser Erklärung. Die Ablaufmessung nach § 13.8a findet dort nicht statt.

13.3 E-Mail-Kommunikation: Unsere Geschäfts-E-Mail-Adresse muenster@bollerbattle.de wird über den Lizenzgeber YellowShare GmbH bereitgestellt und über die Anwendung Webmail abgerufen. Bei E-Mail-Kommunikation mit uns werden die übermittelten Inhalte (Absender:in, Betreff, Nachrichtentext, Anhänge) auf den Servern des Lizenzgebers gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kundenkommunikation).

13.4 Kontaktformular des Lizenzgebers: Auf der Website www.bollerbattle.de/kontakt/ kannst du uns über ein Kontaktformular erreichen. Dabei wählst du den Standort „Münster" aus, sodass deine Anfrage direkt an uns weitergeleitet wird. Die übermittelten Daten (Name, E-Mail-Adresse, Nachrichteninhalt sowie ggf. weitere von dir freiwillig angegebene Daten) verarbeiten wir ausschließlich zur Bearbeitung deiner Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

13.5 Kontaktformular auf dieser Website: Auf bollerbattle-muenster.de/kontakt/ sowie in den Kontaktbereichen einzelner Seiten kannst du uns über ein Formular erreichen. Pflichtangaben sind Name, E-Mail-Adresse, Anlass und Nachricht – ohne sie können wir nicht antworten. Freiwillig sind Telefonnummer, Wunschtermin und Personenzahl; sie ersparen uns eine Rückfrage, ihr Fehlen hat aber keinen Nachteil. Beim Absenden übermitteln wir zusätzlich die Seite, von der aus du geschrieben hast. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Die Anfrage wird nicht in einer Datenbank gespeichert, sondern ausschließlich als E-Mail an unser Postfach muenster@bollerbattle.de zugestellt; technischer Dienstleister für den Versand ist die Cloudflare, Inc. (Email Sending) auf Basis eines Auftragsverarbeitungsvertrags. An die von dir angegebene Adresse schicken wir automatisch eine Bestätigung mit einer Kopie deiner Anfrage. Wir löschen die Anfrage, sobald sie abschließend bearbeitet ist und keine handels- oder steuerrechtlichen Aufbewahrungsfristen entgegenstehen; führt die Anfrage zu einer Buchung, gelten die Fristen aus § 2.3.

13.5a Spam-Schutz (Cloudflare Turnstile): Damit das Formular nicht von automatisierten Skripten missbraucht wird, prüft Cloudflare Turnstile (Cloudflare, Inc.) vor dem Absenden, ob die Eingabe von einem Menschen stammt. Dabei werden technische Merkmale deines Browsers und deine IP-Adresse verarbeitet; das dafür nötige Skript wird erst geladen, wenn du das erste Feld ausfüllst. Turnstile arbeitet ohne Werbe-Cookies und wertet dein Verhalten auf anderen Websites nicht aus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch); die Prüfung ist für den Betrieb des Formulars technisch erforderlich, eine Einwilligung ist dafür nicht vorgesehen. Wenn du das nicht möchtest, erreichst du uns gleichwertig per E-Mail, WhatsApp oder Telefon.

13.5b Platz für unsere Wagenbox vorschlagen: Auf bollerbattle-muenster.de/stellplatz/ kannst du uns eine Fläche vorschlagen, auf der wir eine Box für unsere Bollerwagen aufstellen und anmieten könnten. Pflichtangaben sind die Art des Platzes, deine Beziehung zu ihm (etwa Eigentum oder Geschäft), die Straße ohne Hausnummer, dein Name sowie eine Telefonnummer oder E-Mail-Adresse. Freiwillig sind Querstraße, passende Form der Box, Zugang, eine Nachricht und ein Foto vom Platz; gibst du uns nur einen Tipp (bollerbattle-muenster.de/stellplatz/tipp/), außerdem, wen wir ansprechen sollen und ob wir dich dabei als Tippgeber nennen dürfen. Kommst du über einen Link mit Herkunftsangabe (etwa aus einer Anzeige oder von einem Aushang), speichern wir diese Angabe mit, um zu sehen, welcher Weg zu Vorschlägen führt. Nennst du uns bei einem Tipp eine andere Person oder ein Geschäft, das wir ansprechen sollen, verarbeiten wir diese Angabe nur, um dort wegen des Platzes nachzufragen; gib bitte nur an, was dafür nötig ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Mietvertrags) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Prüfung von Hinweisen, etwa wenn du uns nur einen Tipp gibst).

Anders als eine Anfrage über das Kontaktformular wird ein Vorschlag in der Datenbank unseres Buchungssystems gespeichert (Cloudflare D1, siehe § 3), damit wir die Vorschläge vergleichen und nachverfolgen können. Dazu halten wir den Stand der Prüfung und eigene Notizen fest (etwa „angerufen, Besichtigung am Freitag“). Ein Foto verkleinert dein Browser vor dem Senden und speichert es neu; dabei fallen Ortsangaben und andere Kameradaten weg. Wir legen es im Archiv unseres Buchungssystems ab (Cloudflare R2, siehe § 3), sehen es nur im Backend an und löschen es zusammen mit dem Vorschlag. Bitte fotografiere den Platz ohne erkennbare Personen und Autokennzeichen. Gegen Missbrauch zählen wir, wie viele Vorschläge in der letzten Stunde von deinem Anschluss kamen; gespeichert wird dafür nur eine nicht umkehrbare Prüfsumme deiner IP-Adresse, die nach einer Stunde gelöscht wird (Art. 6 Abs. 1 lit. f DSGVO). Über jeden neuen Vorschlag benachrichtigt uns das System per E-Mail an muenster@bollerbattle.de, ohne deinen Namen und deine Kontaktdaten. Hast du eine E-Mail-Adresse angegeben, schicken wir dir eine Eingangsbestätigung; Versand wie in § 5. Kommt kein Mietvertrag zustande, löschen wir den Vorschlag spätestens zwölf Monate nach seinem Eingang und machen zugleich die Eingangsbestätigung in unserem Versandprotokoll unkenntlich. Kommt einer zustande, bewahren wir den Vorschlag für die Dauer des Mietvertrags auf; für die Vertragsunterlagen und eine gezahlte Tippprämie gelten danach die gesetzlichen Aufbewahrungsfristen.

13.6 WhatsApp Business: Wir bieten dir die Möglichkeit, uns über WhatsApp Business zu kontaktieren. Dabei werden personenbezogene Daten (insbesondere Telefonnummer, Nachrichteninhalt, Profilinformationen) von der WhatsApp Ireland Limited bzw. Meta Platforms Ireland Limited verarbeitet. Eine Übermittlung von Daten in die USA durch Meta ist möglich. Wir empfehlen dir, vor einer Kontaktaufnahme die Datenschutzhinweise von WhatsApp zu lesen. Rechtsgrundlage für die Verarbeitung deiner Daten durch uns ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an schneller und niedrigschwelliger Kundenkommunikation). Wenn du WhatsApp nicht nutzen möchtest, stehen dir gleichwertig E-Mail und Telefon zur Verfügung.

13.7 Cookies & Einwilligung: Auf dieser Website setzen wir drei Kategorien von Technologien ein. Statistik- und Marketing-Technologien werden erst nach deiner ausdrücklichen Auswahl im Cookie-Banner geladen:

• Technisch notwendig: Unser Buchungskalender setzt keine eigenen Cookies. Er merkt sich während des Bezahlens lediglich die Kennung deines Zahlungsvorgangs im Speicher des Browsertabs (sessionStorage); schließt du den Tab, ist sie weg. Im selben Speicher hält er deine getippten Angaben (etwa Name, Anschrift, Telefon, gewählter Tag), damit sie ein Neuladen der Seite überstehen. Haken wie AGB oder Newsletter, Codes und Zahlungsdaten gehören nicht dazu. Die Angaben verfallen nach zwei Stunden, sind nach der Buchung gelöscht, und mit „Eingaben leeren" entfernst du sie selbst. Zusätzlich speichern wir deine Cookie-Auswahl lokal in deinem Browser. Dein Buchungsportal und die Einladungsseite einer geteilten Zahlung setzen je ein technisch notwendiges Cookie, damit du nach einem Zwischenschritt (etwa der Zahlung) wieder bei deiner Buchung landest. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 Nr. 2 TDDDG. Die Ablaufmessung des Buchungskalenders (§ 13.8a) zählt nicht dazu: Sie läuft nur mit deiner Einwilligung in Statistik.
• Statistik (nur mit Einwilligung): Wenn du „Nur Statistik" oder „Alle akzeptieren" wählst, misst unser Buchungskalender den Ablauf deiner Buchung (§ 13.8a), und wir setzen Google Analytics 4 ein. Damit messen wir unter anderem Seitenaufrufe, Klicks auf Buchungs- und Kontaktmöglichkeiten sowie abgeschlossene Buchungen. Bei einer Buchung können insbesondere eine pseudonyme Transaktions-ID, Buchungswert, Währung und gebuchte Leistung verarbeitet werden. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die IP-Adresse wird für die Ableitung grober Standortinformationen verarbeitet und anschließend verworfen; sie wird von Google Analytics nicht protokolliert oder gespeichert.
• Marketing und Erfolgsmessung (nur mit Einwilligung): Wenn du „Alle akzeptieren" wählst, aktivieren wir zusätzlich die für die Zuordnung von Buchungen zu Google-Anzeigen erforderlichen Einwilligungssignale. Soweit eine Meta-Pixel-ID technisch hinterlegt ist, laden wir außerdem den Meta Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Dabei können Seitenaufrufe, Klicks, begonnene Buchungen und abgeschlossene Käufe samt Buchungswert und Währung an Meta übermittelt werden. Dieselben Ereignisse leitet unsere Website zusätzlich über ihren eigenen Server an die Meta Conversions API weiter, damit sie auch ankommen, wenn ein Werbeblocker den Pixel aufhält. Dabei gehen deine IP-Adresse, die Kennung deines Browsers (User-Agent), die aufgerufene Seite und, soweit vorhanden, die Meta-Kennungen aus den Cookies _fbp und _fbc bzw. die Klick-Kennung einer Meta-Anzeige aus der Adresse an Meta. Diese Weiterleitung geschieht nur nach deiner Einwilligung in Marketing. Eine Übermittlung an Google LLC bzw. Meta Platforms, Inc. in die USA ist möglich; beide Unternehmen sind nach dem EU-US Data Privacy Framework zertifiziert.

13.8 Serverseitige Messung einer Buchung (nur mit Einwilligung): Kommt eine Buchung zustande, meldet unser Server den Kauf zusätzlich an Google Analytics und – soweit eingerichtet – an die Meta Conversions API. Übermittelt werden dabei die Buchungskennung, der Wert, die Währung, die gebuchte Leistung, ein verwendeter Rabattcode, die Kampagnenangaben aus dem Link, über den du kamst, die Sitzungsnummer von Google Analytics sowie die Mess-Kennungen aus den Cookies _ga, _fbp und _fbc. Beide Wege senden dieselbe Ereignis-ID, damit nichts doppelt gezählt wird.

Zwei Dinge unterscheiden diese Meldung des Buchungssystems von der üblichen serverseitigen Messung. Erstens sendet das Buchungssystem bei dieser Kaufmeldung weder deine IP-Adresse noch die Kennung deines Browsers mit; anders als bei der Weiterleitung unserer Website nach § 13.7 fehlen diese Angaben hier bewusst. Zweitens meldet der Server nur dann etwas, wenn die genannten Cookies überhaupt vorhanden sind; sie entstehen erst durch deine Einwilligung. Ohne Einwilligung gibt es keine Kennung, und ohne Kennung keine Meldung. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Rechtsgrundlage für Statistik und Marketing ist jeweils deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Fußbereich widerrufen. Die Ablehnung ist ebenso einfach möglich wie die Einwilligung.

13.8a Ablaufmessung im Buchungskalender (nur mit Einwilligung): Hast du im Cookie-Banner dieser Website „Nur Statistik" oder „Alle akzeptieren" gewählt, meldet unser Buchungskalender an unser Buchungssystem, wie du dich durch die Buchung oder den Gutscheinkauf bewegst. Ohne diese Einwilligung sendet er nichts davon.

Erfasst werden die Schritte im Kalender: Monat geblättert, Tag, Uhrzeit, Wagen, Paket und Extras gewählt, Reservierung, Gutscheincode gültig oder ungültig, Formular begonnen, Zahlart gewählt, Zahlung gestartet, abgeschlossen oder abgebrochen, beim Gutscheinkauf und beim Start der Zahlung auch der Betrag. Bei einer Fehlermeldung im Formular erfassen wir nur, welches Feld betroffen war, nie deinen Eintrag. Hinzu kommen technische Fehler und wie lange der Kalender offen war. Außerdem erfassen wir den Pfad der Seite, auf der der Kalender eingebunden ist (ohne angehängte Parameter), die Kampagnenangaben aus der Adresse (utm_source, utm_medium, utm_campaign), den Namen der Website, von der du kamst, und ob eine Klick-Kennung einer Google- oder Meta-Anzeige vorlag; die Kennung selbst übernehmen wir nicht. Unser Server ergänzt den Gerätetyp (Mobilgerät oder Computer) und das Land aus der Verbindung und prüft, ob die Meldung von einem automatisierten Programm kommt. IP-Adresse und Browserkennung speichert er dabei nicht.

Zusammengehalten werden diese Angaben durch eine zufällige Kennung, die nur im Arbeitsspeicher des geöffneten Kalenders liegt. Sie steht in keinem Cookie und in keinem Speicher deines Browsers, und jedes Neuladen beginnt mit einer neuen. Buchst du, verknüpfen wir diese Kennung mit deiner Buchung; damit ist der Ablauf deiner Buchung dir zuordenbar. Wir nutzen die Angaben, um den Buchungsablauf zu verbessern, etwa um zu erkennen, an welchem Schritt Buchungen scheitern. Rechtsgrundlage ist deine Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Du widerrufst sie über „Cookie-Einstellungen" im Fußbereich; danach meldet der Kalender nichts mehr. Die einzelnen Schritte löschen wir nach 90 Tagen, damit endet auch die Zuordnung zu deiner Buchung. Vorher fassen wir sie zu Tagessummen zusammen, die keine Kennung enthalten und die wir dauerhaft aufbewahren.

13.9 Google Maps (Zwei-Klick-Lösung): Die Anfahrtskarte zu unserem Startpunkt binden wir erst ein, nachdem du aktiv auf „Karte anzeigen" geklickt hast. Erst dann werden Daten (insbesondere deine IP-Adresse) an Google übertragen. Rechtsgrundlage ist deine durch den Klick erklärte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ohne Klick fließen keine Daten an Google; alternativ verlinken wir die Route extern auf Google Maps.

14. Empfänger der Daten

Wir geben deine personenbezogenen Daten nur an folgende Kategorien von Empfängern weiter:

• Cloudflare, Inc. – Betrieb unseres Buchungssystems und seiner Datenbank, Archiv für Rechnungen, Fotos, hochgeladene Dateien und Sicherungen, Versand unserer E-Mails, Auslieferung der Website und Spam-Schutz des Formulars (§ 3.1, § 5, § 13.1, § 13.5a, § 13.5b) – auf Basis Art. 28 DSGVO
• Stripe Payments Europe, Limited – Zahlungsabwicklung, einschließlich PayPal, Apple Pay und Google Pay (§ 4)
• E-Mail- und Website-Dienstleister (YellowShare GmbH als Lizenzgeber) – zur Bereitstellung unserer Geschäfts-E-Mail-Adresse
• Google Ireland Limited – nur bei Einwilligung in Statistik bzw. Marketing oder nach Klick auf „Karte anzeigen" (§ 13.7 bis § 13.9)
• Meta Platforms Ireland Limited – nur bei Einwilligung in Marketing, auch über die Conversions API unserer Website, oder wenn du uns über WhatsApp Business kontaktierst (§ 13.6 und § 13.7)
• Eleven Labs Inc., New York, USA – Vertonung der freigegebenen Fragen eures Quiz (§ 3.8), auf Basis Art. 28 DSGVO
• Übergabe- und Kooperationspartner vor Ort (z. B. Enchilada Münster) – für die Übergabe des Wagens und für vermittelte Bestellungen (§ 6.2 und § 6.3)
• Anbieter des Ortungsdienstes für den GPS-Sender im Bollerwagen (§ 7) – auf Basis Art. 28 DSGVO
• Polizei – nur im Fall eines Diebstahls (§ 7.5)
• Steuerberater:in und ggf. Wirtschaftsprüfer:in – zur Erfüllung gesetzlicher Pflichten
• Behörden – nur soweit gesetzlich vorgeschrieben

Datenbank und Belegarchiv unseres Buchungssystems sind auf die EU festgelegt (§ 3.1). Einige unserer Dienstleister haben ihren Sitz in den USA oder gehören zu einem Unternehmen dort, sodass Daten in die USA gelangen können: (a) Cloudflare, Inc. beim Aufruf unserer Website und unseres Buchungssystems, beim Versand von E-Mails und beim Spam-Schutz des Formulars (§ 5, § 13.1, § 13.5a); (b) Stripe bei der Zahlungsabwicklung über sein US-Mutterunternehmen (§ 4.3); (c) Meta Platforms, Inc. bei Nutzung von WhatsApp Business durch dich (§ 13.6) und nach Einwilligung in Marketing (§ 13.7); (d) Google LLC nach Einwilligung in Statistik oder Marketing und beim Laden der Karte (§ 13.7 bis § 13.9); (e) Eleven Labs Inc., an die wir den Sprechtext eures Quiz selbst in die USA übermitteln (§ 3.8). Diese Übermittlungen stützen sich auf das EU-US Data Privacy Framework, nach dem die genannten Unternehmen zertifiziert sind; die EU-Kommission hat dafür am 10.07.2023 ein angemessenes Datenschutzniveau festgestellt (Art. 45 DSGVO). Mit ElevenLabs gelten zusätzlich die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) als Teil des Vertrags zur Auftragsverarbeitung.

15. Datenverarbeitung bei minderjährigen Teilnehmer:innen

15.1 Mindestalter: Boller Battle richtet sich an Erwachsene; Kinder und Jugendliche spielen in Begleitung mit. Vertragspartner:in (Hauptmieter:in) muss zwingend eine volljährige Person sein. Personen unter 18 Jahren dürfen nur teilnehmen, wenn eine volljährige Begleitperson dabei ist, die die Aufsicht übernimmt. Für Kinder ab 8 Jahren gibt es eine eigene Kinderversion; dort liegen die Aufsicht und die nötigen Einwilligungen bei den begleitenden Erwachsenen.

15.2 Jugendschutz: Bei der Durchführung der Touren beachten wir die Bestimmungen des Jugendschutzgesetzes (JuSchG), insbesondere § 9 JuSchG (Alkoholabgabe). Die Verantwortung für die Einhaltung der Jugendschutzbestimmungen vor Ort liegt bei der/dem volljährigen Hauptmieter:in sowie bei unserem Kooperationspartner Enchilada Münster (Ausgabe alkoholischer Getränke). Wir bzw. unsere Übergabepartner sind berechtigt, bei Zweifeln einen Altersnachweis zu verlangen.

15.3 Datenverarbeitung Minderjähriger: Werden im Rahmen einer Buchung Daten minderjähriger Mitspieler:innen erhoben, erfolgt dies ausschließlich auf Grundlage der Einwilligung der/des Erziehungsberechtigten gem. Art. 8 DSGVO. Eine eigenständige Einwilligung von Personen unter 16 Jahren in die Datenverarbeitung wird nicht eingeholt; in diesen Fällen ist die Zustimmung der/des Erziehungsberechtigten zwingend erforderlich.

15.4 Foto- und Filmaufnahmen Minderjähriger: Aufnahmen, auf denen Minderjährige erkennbar sind, werden ausschließlich nach ausdrücklicher Einwilligung der/des Erziehungsberechtigten veröffentlicht oder weiterverarbeitet. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

16. Deine Rechte

Du hast uns gegenüber folgende Rechte hinsichtlich der dich betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Auf Anfrage stellen wir dir die zu deiner Buchung gespeicherten Daten in einem gängigen Dateiformat zusammen. Beim Recht auf Löschung gilt die Einschränkung aus § 3.7: Was Beleg im Sinne der Abgabenordnung ist, müssen wir aufbewahren – alles Übrige entfernen wir.

Du hast zudem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist für uns:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
www.ldi.nrw.de

17. Sicherheit & Aktualität

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um deine Daten gegen zufällige oder vorsätzliche Manipulationen, Verlust, Zerstörung oder unberechtigten Zugriff zu schützen. Dazu gehören unter anderem die verschlüsselte Übertragung aller Seiten, ein durch Cloudflare Access geschützter Zugang zur Verwaltung und eine tägliche Sicherung der Buchungsdatenbank, die im selben EU-Archiv liegt wie die Belege. Unsere Sicherheitsmaßnahmen werden regelmäßig überprüft und an die technologische Entwicklung angepasst.

Die Sicherungen sind vollständige Abzüge der Buchungsdatenbank und enthalten damit alle Daten, die zu diesem Zeitpunkt darin standen. Die täglichen Abzüge bewahren wir 90 Tage auf. Den Abzug vom Ersten eines Monats bewahren wir 10 Jahre auf, weil er Buchungs- und Rechnungsdaten enthält, für die gesetzliche Aufbewahrungspflichten gelten (§ 147 AO, § 257 HGB), und weil sich nur mit ihm diese Unterlagen nach einem Datenverlust wiederherstellen lassen. Eine spätere Anonymisierung nach § 3.7 wirkt deshalb nicht rückwirkend auf ältere Sicherungen. Wir greifen auf sie nur zurück, um verlorene Daten wiederherzustellen; danach anonymisiert der tägliche Lauf erneut alles, dessen Frist abgelaufen ist, und Löschungen auf deinen Wunsch holen wir nach. Zusätzlich hält Cloudflare für die Datenbank einen Wiederherstellungsstand über 30 Tage vor. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den genannten Vorschriften sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Datenverlust).

Diese Datenschutzerklärung wird bei wesentlichen Änderungen aktualisiert; die jeweils aktuelle Fassung gilt.

Stand: Oktober 2026 · Christopher Eßmann & Matthias Czajka GbR · Landoisstraße 6, 48149 Münster · +49 251 29795770 · muenster@bollerbattle.de