Worum es hier geht

Diese Datenschutzerklärung gilt für den Online-Shop der Kleinwalsertal Tourismus eGen, in dem Du Tickets und andere Angebote kaufst, und für Dein Kundenkonto im Shop. Die Erklärung gilt auch für unsere Buchungsfläche, über die Du auf anderen Websites ohne Kundenkonto kaufst, und für die Seiten unserer Plattform unter app.shankha.de, die Du über Links in unseren E-Mails oder im Shop erreichst, etwa Ticketseiten und die Gutschein-Auskunft.

Du erfährst hier, welche Daten wir wofür verarbeiten, auf welcher Rechtsgrundlage, wer sie erhält und wie lange wir sie speichern. Maßgeblich sind die Datenschutz-Grundverordnung (DSGVO), das österreichische Datenschutzgesetz (DSG) und für Speicher in Deinem Browser § 165 Abs. 3 Telekommunikationsgesetz 2021 (TKG 2021).

Verantwortlich

Kleinwalsertal Tourismus eGen Walserstrasse 264 6992 Hirschegg Österreich

Telefon: +43 5517 5114 0 E-Mail: info@kleinwalsertal.com Firmenbuch: FN 388822y, Landesgericht Feldkirch

Mit allen Fragen zum Datenschutz und zu Deinen Rechten erreichst Du uns unter dieser Anschrift und E-Mail-Adresse.

Wenn Du die Seiten aufrufst

Shop, Buchungsfläche und Ticketseiten liegen bei Vercel, dem Hosting-Dienstleister unseres Plattformbetreibers. Bei jedem Aufruf verarbeitet Vercel Zugriffsdaten: Deine IP-Adresse, den Zeitpunkt, die aufgerufene Adresse und die Kennung Deines Browsers (Browserkennung, User-Agent). Die Seiten werden in Frankfurt am Main erzeugt und über ein weltweites Netz ausgeliefert. Die Protokolle, die Vercel uns dazu bereitstellt, bleiben höchstens 30 Tage erhalten.

Zur aufgerufenen Adresse gehört bei einem Ticketlink der Zugangsschlüssel des Tickets, bei einem Anmeldelink oder dem Bestätigungslink des Newsletters Deine E-Mail-Adresse in codierter, aber nicht verschlüsselter Form und nach einem Kauf, auf der Danke-Seite des Shops oder auf der Buchungsfläche, die Kennung Deines Bezahlvorgangs bei Stripe.

Um Missbrauch abzuwehren, zählen wir Anfragen je IP-Adresse. Diese Zähler hält der Server nur im Arbeitsspeicher; in eine Datenbank oder ein Protokoll schreiben wir sie nicht.

Stößt Dein Browser im Shop auf einen Inhalt, den unsere Sicherheitseinstellungen nicht vorsehen, meldet er das an unseren Server. Wir schreiben dann die betroffene Seite ohne Zusätze in der Adresse und die Adresse dieses Inhalts in das Server-Protokoll, ohne IP-Adresse. Solche Meldungen können auch ohne Angriff entstehen.

Zweck ist, die Seiten auszuliefern, den Betrieb abzusichern und Angriffe zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und funktionsfähiger Shop. Ohne diese Daten können wir Dir die Seiten nicht anzeigen.

Bilder und Karten von anderen Servern

Einige Inhalte lädt Dein Browser direkt von anderen Servern. Diese erhalten dabei Deine IP-Adresse, die Browserkennung und die Adresse unseres Shops oder unserer Plattform, aber nicht die genaue Unterseite.

Produkt- und Erlebnisbilder. Diese Bilder liegen in unserer Dateiablage bei Supabase. Supabase liefert sie über das Netz von Cloudflare aus. Cloudflare setzt dabei ein Cookie zur Erkennung von Bots (siehe „Speicher in Deinem Browser“).

Bilder aus Deskline. Bilder einiger Erlebnisse stammen aus dem Destinationsmanagementsystem Deskline der feratel media technologies AG. Dein Browser lädt sie direkt von einem Server, dessen Netz auf die feratel Schweiz AG registriert ist (siehe „Empfänger“).

Karte zum Treffpunkt. Hat ein Termin einen Treffpunkt, zeigt die Erlebnisseite ihn auf einer Karte. Die Kartenkacheln lädt Dein Browser beim Öffnen der Seite von OpenFreeMap, ohne dass Du etwas anklicken musst. OpenFreeMap erfährt dabei auch den angezeigten Kartenausschnitt, also die Gegend des Treffpunkts. Ausgeliefert werden die Kacheln über das Netz von Cloudflare.

Routenplanung. Der Link „Routenplanung“ öffnet OpenStreetMap erst, wenn Du ihn anklickst. Dann verlässt Du unseren Shop, und die OpenStreetMap Foundation verarbeitet Deine Daten in eigener Verantwortung.

Rechtsgrundlage für das Laden von Bildern und Karte ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Dir unsere Angebote mit Bildern und den Treffpunkt auf einer Karte zu zeigen. Anschriften und Übermittlungsgrundlagen stehen unter „Empfänger“.

Speicher in Deinem Browser

Manche Funktionen legen Einträge in Deinem Browser ab: Cookies sowie Einträge im lokalen Speicher (localStorage) und im Sitzungsspeicher (sessionStorage). Analyse- oder Werbe-Cookies setzen wir nicht. Die Einträge nennen wir mit dem Namen, unter dem Du sie in Deinem Browser findest.

Cookies

  • NEXT_LOCALE, 1 Jahr: merkt sich die Sprache, wenn Du über die Startadresse oder eine Adresse ohne Sprachangabe kommst.
  • konto_session, 30 Tage: hält Dich nach der Anmeldung angemeldet. Enthält Deine Kundenkennung, Deine E-Mail-Adresse, eine Sitzungskennung, die Kennung unseres Shops und das Ablaufdatum, ist signiert und für Skripte nicht lesbar.
  • konto_auth, 30 Tage: zeigt der Seite, dass Du angemeldet bist. Enthält keine Anmeldedaten.
  • __cf_bm, 30 Minuten: setzt Cloudflare für die Adresse supabase.co, wenn Dein Browser oder Dein E-Mail-Programm ein Bild aus unserer Dateiablage lädt, zur Erkennung von Bots.

Beim Abmelden löscht der Shop beide Konto-Cookies.

Lokaler Speicher und Sitzungsspeicher

  • vipani-cart:kwt-connect: wird beim ersten Aufruf des Shops leer angelegt und enthält Deinen Warenkorb mit Angeboten, Preisen und Mengen, sobald Du etwas hineinlegst. Ohne Ablaufdatum.
  • vipani-zahlschritt:kwt-connect: bei einem Kauf bei mehreren Anbietern die Kennung der gerade gestarteten Bezahlung und die Positionen dieses Schritts, bis Du auf die Danke-Seite zurückkehrst oder den nächsten Bezahlschritt startest.
  • vipani-wahl mit angehängter Kennung des Erlebnisses aus seiner Adresse: gewählter Termin und Anzahl, damit sie Anmeldung und Bezahlseite überstehen. Wird nach 30 Minuten nicht mehr verwendet und beim nächsten Öffnen dieser Erlebnisseite gelöscht.
  • vipani-kaufabsicht: Titel, Termin und Summe Deiner Auswahl für die Anmeldeseite. Wird nach 30 Minuten nicht mehr verwendet und bei der nächsten Auswahl überschrieben.
  • vastu-suche-zuletzt:kwt-connect: bis zu fünf zuletzt gewählte Suchtreffer, ohne Ablaufdatum.
  • vastu-herkunft-v1 (Sitzungsspeicher): über welche Seite oder Kampagne Du zu uns gekommen bist, bis Du den Browser schließt (siehe „Kauf und Bezahlung“).
  • gavaksa-korb mit angehängter Kennung der Buchungsfläche: Dein Warenkorb auf der Buchungsfläche mit Angeboten, Terminen und Mengen, solange er nicht leer ist. Ohne Ablaufdatum.
  • gavaksa-kasse mit angehängter Kennung der Buchungsfläche: beim Gang zur Kasse die Kennung des Bezahlvorgangs bei Stripe, damit die Buchungsfläche nach der Rückkehr nur den Warenkorb leert, der bezahlt wurde. Kehrst Du nach einem bezahlten Kauf zurück, wird der Eintrag gelöscht; brichst Du ab, bleibt er ohne Ablaufdatum stehen, bis ein erneuter Gang zur Kasse ihn ersetzt.

Die Buchungsfläche, die Ticketseiten und die Gutschein-Auskunft unter app.shankha.de setzen selbst keine Cookies.

Eine Einwilligung fragen wir für keinen dieser Einträge ab. Für vipani-cart:kwt-connect und gavaksa-korb, sobald der Warenkorb etwas enthält, sowie für vipani-zahlschritt:kwt-connect und vipani-wahl stützen wir uns auf § 165 Abs. 3 TKG 2021: Danach ist keine Einwilligung nötig, soweit ein Eintrag unbedingt erforderlich ist, damit ein Dienst funktioniert, den Du ausdrücklich nutzen möchtest. Die übrigen Einträge (NEXT_LOCALE, konto_session, konto_auth, __cf_bm, vipani-kaufabsicht, vastu-suche-zuletzt:kwt-connect, vastu-herkunft-v1 und gavaksa-kasse) dienen den Zwecken, die bei ihnen stehen. Die Verarbeitung der Daten in den Einträgen stützen wir auf Art. 6 Abs. 1 lit. b DSGVO, soweit sie für einen Kauf oder Dein Kundenkonto nötig ist, und im Übrigen auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist dann der jeweils genannte Zweck. Alle Einträge kannst Du in Deinem Browser löschen.

Suche

Suchst Du im Shop, schicken wir Deinen Suchbegriff an unseren Server und zeigen Dir die Treffer. Um zu erkennen, was Gäste suchen und nicht finden, protokollieren wir jede Suche mit Suchbegriff, Sprache, Zahl der Treffer, gewähltem Treffer und Zeitpunkt. Im Suchbegriff machen wir vorher E-Mail-Adressen, IBAN und Ziffernfolgen ab sechs Ziffern unkenntlich. IP-Adresse und Kundenkennung stehen nicht im Suchprotokoll. Nach 90 Tagen löschen wir die Einträge.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Angebot und Suche zu verbessern. Die Suche ist freiwillig.

Kundenkonto und Anmeldung

Kaufst Du direkt im Shop, führt Dich der Shop vor dem Bezahlen durch die Anmeldung mit Deiner E-Mail-Adresse; ohne Kundenkonto kaufst Du über unsere Buchungsfläche (siehe „Kauf und Bezahlung“). Wir schicken Dir einen sechsstelligen Code und einen Anmeldelink, beide 15 Minuten gültig. Ein Passwort gibt es nicht.

Dafür speichern wir Deine E-Mail-Adresse, die Zeitpunkte von Anforderung und Nutzung und die Zahl der Versuche. In diesen Einträgen speichern wir den Code nur als Prüfwert. Ein Prüfwert (Hash) ist eine aus einem Wert errechnete Zeichenfolge, aus der sich der Wert nicht ablesen lässt; wer den Wert kennt oder errät, kann ihn damit aber wiedererkennen. Seit dem 17.09.2026 bilden wir den Prüfwert des Codes zusätzlich mit einem geheimen Schlüssel. Über diese Einträge begrenzen wir auch, wie oft für eine Adresse ein Code angefordert werden kann. IP-Adresse und Browserkennung speichern wir bei der Anmeldung nicht in unseren Datenbanken. Zu Codes im Betreff älterer Einträge im Versandprotokoll und in den Zustellmeldungen siehe „E-Mails“.

Mit der ersten Anmeldung legen wir Dich im Kundenverzeichnis an, sofern Du dort noch nicht stehst, auch wenn Du danach nichts kaufst. Solange dort noch kein Vorname hinterlegt ist, fragen wir nach der Anmeldung danach; Nachname und Telefonnummer sind freiwillig, und den Schritt kannst Du überspringen. Nach der Anmeldung legen wir eine Sitzung an, die 30 Tage gilt; dazu speichern wir, wann Du zuletzt aktiv warst.

Im Konto kannst Du Vorname, Nachname, Telefonnummer und Adressen (Firma, Straße, Zusatz, PLZ, Ort, Bundesland, Land) hinterlegen. Deine E-Mail-Adresse änderst Du mit einem Bestätigungscode, den wir an die neue Adresse schicken; an die bisherige Adresse geht danach ein Hinweis mit der neuen Adresse. Das Konto zeigt Dir Bestellungen, Tickets und Belege.

Rechtsgrundlage für Anmeldung und Kundenkonto ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen). Die Anmeldung stellt sicher, dass Tickets und Belege an eine Adresse gehen, die Dir gehört, und dass Du Deine Tickets im Konto wiederfindest. Ohne E-Mail-Adresse ist keine Anmeldung möglich.

Gemeinsames Kundenverzeichnis. Deine Stammdaten (E-Mail-Adresse, Vorname, Nachname, Telefonnummer und Anschriften) führt unser Plattformbetreiber in einem Kundenverzeichnis, das auch andere Shops und Anwendungen auf seiner Plattform nutzen. Jede E-Mail-Adresse steht dort nur einmal. Bist Du auch bei einem dieser Shops oder einer dieser Anwendungen Kunde, gibt es für Dich deshalb nur einen Stammdatensatz: Angaben, die Du dort hinterlegt hast, erscheinen bei uns im Konto und im Kauf vorausgefüllt, und was Du bei uns einträgst oder änderst, sehen auch deren Betreiber. Das gilt auch für Angaben aus einem Kauf über unsere Buchungsfläche und aus einer Newsletter-Anmeldung. Änderst Du Deine E-Mail-Adresse, gilt die neue Adresse auch dort, und Du wirst in allen Shops dieser Plattform abgemeldet. Einwilligungen, Bestellungen und die Zuordnung zu unserem Shop führen wir getrennt. Die Anbieter von Erlebnissen in unserem Shop haben keinen Zugriff auf das Kundenverzeichnis.

Rechtsgrundlage für die gemeinsame Führung der Stammdaten ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, dass Du Deine Angaben für mehrere Shops und Anwendungen dieser Plattform nur einmal pflegen musst und sie dort überall aktuell sind. Du kannst dem widersprechen (siehe „Dein Widerspruchsrecht“).

Kauf und Bezahlung

Kauf ohne Kundenkonto. Unsere Buchungsfläche ist ein Fenster mit Angeboten und Warenkorb, das unsere Plattform unter app.shankha.de ausliefert. Es kann auf anderen Websites eingebettet sein, etwa auf www.kleinwalsertal.com; Dein Browser lädt es dort, sobald Du zu der Stelle der Seite kommst, an der es steht. Über die Buchungsfläche kaufst Du ohne Kundenkonto, auch Veranstaltungstickets. E-Mail-Adresse, Name, Rechnungsadresse und bei Ware zum Versand die Lieferadresse gibst Du dann nur auf der Bezahlseite von Stripe ein. Stripe legt dazu in unserem Stripe-Konto ein Kundenprofil an. Auch hier halten wir den Kaufversuch fest, allerdings ohne E-Mail-Adresse, Kundenkennung und Herkunft (siehe unten). Warenkorb und Bezahlvorgang merkt sich die Buchungsfläche in Deinem Browser (siehe „Speicher in Deinem Browser“). Nach dem Kauf legen wir Dich mit E-Mail-Adresse, Name und Rechnungsadresse im Kundenverzeichnis an oder ergänzen Deinen Eintrag und ordnen Dich unserem Shop zu (siehe unten und „Kundenkonto und Anmeldung“). Meldest Du Dich später im Shop mit derselben E-Mail-Adresse an, findest Du dort Bestellung und Tickets.

Buchungsfläche auf anderen Websites. Ist die Buchungsfläche in eine andere Website eingebettet, meldet sie dieser Website, wenn Du ein Angebot in den Warenkorb legst (mit der Kennung von Angebot und Termin) und wenn Du zur Kasse gehst (mit dem Betrag). So kann die Website das mit ihren eigenen Werkzeugen auswerten. Zur Bezahlseite von Stripe leitet Dich dann die Website weiter. Nach dem Kauf leitet Stripe Dich auf die Website zurück; deren Adresse trägt dann die Kennung Deines Bezahlvorgangs bei Stripe, und die Website reicht sie an die Buchungsfläche weiter. Was die Website mit diesen Angaben tut, steht in ihrer Datenschutzerklärung. Rechtsgrundlage für die Meldungen ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, dass die Website, auf der wir die Buchungsfläche anbieten, deren Nutzung nachvollziehen kann.

Bestellung. Für einen Kauf verarbeiten wir die gewählten Angebote, Termine, Mengen, Preise und Steuern, Deine E-Mail-Adresse, Deinen Namen und Deine Rechnungsadresse. Bestellst Du Ware zum Versand, kommt die Lieferadresse dazu. Freiwillig kannst Du eine Firma und eine UID-Nummer angeben; die UID-Nummer bleibt bei Stripe, die Firma vermerken wir zu Deiner Kundenkennung. Während Du bezahlst, halten wir die gewählten Plätze für Dich frei.

Erlebnisse anderer Anbieter. Steht vor dem Kauf „Du buchst bei …“, ist dieser Betrieb Dein Vertragspartner für das Erlebnis. Für diesen Vertrag erhält er beim Einlösen Deine Ticketangaben (Art. 6 Abs. 1 lit. b DSGVO) und verarbeitet sie in eigener Verantwortung (siehe „Einlass und Einlösung“). Deine E-Mail-Adresse und die Bestellnummer erhält er nicht.

Bezahlung bei Stripe. Startest Du angemeldet im Shop die Bezahlung, legen wir bei Stripe ein Kundenprofil für Dich an oder aktualisieren es: mit E-Mail-Adresse, Name (bei einer Firmenanschrift dem Firmennamen), Telefonnummer und, soweit vorhanden, Anschrift aus Deinem Konto, auch als Versandanschrift, sowie Deiner Kundenkennung und der Kennung unseres Shops. Das geschieht auch, wenn Du danach nicht bezahlst. Dann leiten wir Dich auf die Bezahlseite von Stripe. Dort gibst Du Name, Rechnungsadresse und Zahlungsdaten ein; Angaben aus Deinem Konto sind vorausgefüllt. Stripe berechnet die Umsatzsteuer. Kartendaten und ähnliche Zahlungsdaten sehen wir nicht; wir erhalten das Ergebnis der Zahlung. Auf der Bezahlseite setzt Stripe eigene Cookies. Erstattungen laufen ebenfalls über Stripe.

Herkunft des Besuchs. Kaufst Du über den Warenkorb des Shops, speichern wir mit der Bestellung, wie Du zu uns gekommen bist: die Art des Wegs (Suchmaschine, soziales Netzwerk, KI-Assistent, andere Seite oder direkt) und die verweisende Domain oder die Kampagnenangaben aus der Adresse (utm_source, utm_medium, utm_campaign). Dafür hält Dein Browser diese Angabe während des Besuchs im Sitzungsspeicher unter vastu-herkunft-v1 fest (siehe „Speicher in Deinem Browser“). Diese Angabe übertragen wir über den Bezahlvorgang bei Stripe in die Bestellung; sie geht damit auch an Stripe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist zu wissen, über welche Wege Gäste bei uns kaufen.

Kaufversuche. Startest Du die Bezahlung, halten wir den Kaufversuch fest, mit Angeboten, Betrag und Zeitpunkten, beim Kauf über den Warenkorb des Shops auch mit der Herkunft und, wenn Du angemeldet bist, mit E-Mail-Adresse und Kundenkennung. Später vermerken wir, ob er bezahlt oder abgebrochen wurde. Nach 180 Tagen löschen wir ihn. Personen, die unseren Shop betreuen, sehen die Kaufversuche mit der E-Mail-Adresse und können sich bei einem abgebrochenen Kauf bei Dir melden, um Dir weiterzuhelfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist nachzuvollziehen, ob und wo Käufe abgebrochen werden, und Gästen bei einem abgebrochenen Kauf weiterhelfen zu können. Du kannst dem widersprechen (siehe „Dein Widerspruchsrecht“).

Kundenverzeichnis. Nach dem Kauf legen wir Dich im Kundenverzeichnis an, sofern Du dort noch nicht stehst, ergänzen E-Mail-Adresse, Name, Telefonnummer und Rechnungsadresse, soweit dort noch nichts steht, und ordnen Dich unserem Shop zu. Dort vermerken wir auch Deine Kennung bei Stripe sowie Zahl, Summe und Datum Deiner letzten Bestellung bei uns. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Zahl, Summe und Datum der Bestellungen Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, unsere Kundenbeziehungen zu überblicken.

Belege. Zu Deiner Bestellung stellen wir einen Beleg als PDF aus, mit Name, Anschrift, E-Mail-Adresse, Positionen, Beträgen, Steuer und Belegnummer. Wir schicken ihn Dir per E-Mail und bewahren ihn auf.

Rechtsgrundlage für Bestellung und Bezahlung ist Art. 6 Abs. 1 lit. b DSGVO. Bestellungen und Belege bewahren wir nach Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 132 Bundesabgabenordnung (BAO) und § 212 Unternehmensgesetzbuch (UGB) auf. Ohne E-Mail-Adresse, Name und Rechnungsadresse können wir den Kauf nicht abschließen.

Tickets

Nach dem Kauf schicken wir Dir die Tickets per E-Mail, als PDF mit QR-Code und mit einem Link auf Deine Ticketseite unter app.shankha.de. Der Ticketlink ist der Zugang zu Deinem Ticket; von seinem Zugangsschlüssel speichern wir nur einen Prüfwert. Der QR-Code auf dem PDF, auf der Ticketseite und in der E-Mail enthält denselben Zugangsschlüssel. Wer ihn scannt oder abfotografiert, kann Deine Ticketseite öffnen; gib ihn deshalb nur zusammen mit dem Ticket weiter. Zu den Bildern in der E-Mail siehe „E-Mails“.

Zu jedem Ticket speichern wir die E-Mail-Adresse des Kaufs, die Zuordnung zu Bestellung, Buchung und Kundenkennung, Seriennummer, Termin und Status, nach dem Einlösen Zeitpunkt und Station, nach einer Namensänderung deren Zeitpunkt, nach einer Entwertung deren Zeitpunkt und Grund. Nutzt Du eine Wallet, kommt ein Prüfwert des Wallet-Codes dazu.

Name auf dem Ticket. Auf der Ticketseite oder im Konto kannst Du freiwillig einen Namen eintragen, etwa wenn Du das Ticket an eine andere Person weitergibst. Bis zur Einlösung kannst Du ihn ändern; entfernen lassen kannst Du ihn mit einer Nachricht an uns. Den Namen sehen die Stationen, an denen das Ticket gescannt wird (siehe „Einlass und Einlösung“). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Trägst Du den Namen einer anderen Person ein, haben wir ihn von Dir. Für diese Person ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, ein weitergegebenes Ticket der richtigen Person zuzuordnen. Bitte weise sie auf diese Erklärung hin.

Neuer Code und erneute Ticket-E-Mail. Im Konto kannst Du für ein Ticket einen neuen QR-Code erzeugen lassen. Der bisherige Code wird dann ungültig, auch bei einer Person, an die Du das Ticket weitergegeben hast. Forderst Du die Ticket-E-Mail im Konto erneut an, erhalten alle noch gültigen Tickets dieser Bestellung neue Codes; die bisherigen Codes und Wallet-Pässe dieser Tickets werden ungültig.

Umbuchung, Absage, Erinnerung. Buchst Du im Konto auf einen anderen Termin um, ändern wir die Buchung und bestätigen das per E-Mail. Sagen wir einen Termin ab, stornieren wir die Tickets, erstatten den Betrag über Stripe und informieren Dich per E-Mail. Am Vortag eines gebuchten Termins erinnern wir Dich per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Einlass und Einlösung

Beim Einlass wird der QR-Code Deines Tickets an einer Station gescannt, also an einem freigeschalteten Scangerät oder Tresen, auf Papier, auf dem Bildschirm oder in einer Wallet. Die Station zeigt dann Seriennummer, Status, ob, wann und an welcher Station das Ticket schon eingelöst wurde, den eingetragenen Namen (falls vorhanden), Angebot, Kategorie, Hinweise wie Bändchen, Gültigkeit, Terminbeginn und Personenzahl. E-Mail-Adresse und Bestellnummer zeigt sie nicht. Jeden Scan protokollieren wir mit Station, Ticket, Ergebnis und Zeitpunkt, ohne IP-Adresse.

Ist eine Station auf ein Angebot oder einen Anbieter beschränkt und wird dort ein anderes Ticket gescannt, zeigt sie dieselben Angaben an, löst das Ticket aber nicht ein. Das gilt auch an der Station eines Anbieters, an der Du ein Ticket vorzeigst, das nicht zu seinen Angeboten gehört.

Stationen, die einem Angebot zugeordnet sind und dafür ein Leserecht haben, sehen außerdem, wann und an welcher Station die Tickets dieses Angebots gescannt wurden, mit Ergebnis, Kategorie und Seriennummer, aber ohne Namen.

Einlösen können:

  • Personen, die für uns den Einlass übernehmen,
  • Sport & Mode Kessler in Riezlern als Einlöseort für Valley of Sound: Dort wird Dein Ticket gescannt und gegen ein Bändchen getauscht,
  • Anbieter von Erlebnissen an ihren eigenen Stationen, nur für Tickets ihrer eigenen Angebote.

Rechtsgrundlage für Scan und Einlösung ist Art. 6 Abs. 1 lit. b DSGVO. Für das Scan-Protokoll, den Scanverlauf und die Anzeige an einer Station, die das Ticket nicht einlöst, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die mehrfache Nutzung eines Tickets zu verhindern, nachzuvollziehen, wann und wo es eingelöst wurde, und jeder Station zu zeigen, um welches Ticket es sich handelt und ob sie es einlösen kann.

Ticket in Apple Wallet oder Google Wallet

Ein Veranstaltungsticket kannst Du im Konto und auf der Ticketseite in Apple Wallet oder Google Wallet übernehmen, solange es gültig und noch nicht eingelöst ist; für Erlebnisse gibt es das nicht. Das ist freiwillig; Dein Ticket gilt auch ohne Wallet. Welche Knöpfe Du siehst, richtet sich nach Deinem Gerät; das speichern wir nicht.

Auf dem Pass stehen kein Name und keine E-Mail-Adresse. Er enthält Veranstaltung, Datum, Uhrzeit, Preisstufe und was sie umfasst, Personenzahl, Einlöseort oder Treffpunkt, Gültigkeit, den Anbieter der Leistung oder, wenn ein anderes Unternehmen Dein Vertragspartner ist, dessen Namen, Seriennummer, Einlöse-Anleitung, einen Hinweis zur Einlösung, die Kleinwalsertal Tourismus eGen als Ausstellerin mit Anschrift, E-Mail-Adresse und Telefonnummer für Fragen zum Pass, eine technische Kennung des Tickets, seinen Gültigkeitsstatus und einen eigenen QR-Code für die Wallet. Dieser Code gilt nur für den Einlass und öffnet Deine Ticketseite nicht. Der Pass für Apple Wallet enthält zusätzlich eine Kennung der Bestellung und, falls vorhanden, die Koordinaten des Treffpunkts.

Apple Wallet. Tippst Du auf „Hinzufügen zu Apple Wallet“, laden wir die Pass-Datei auf Dein Gerät; beim Laden selbst übermitteln wir nichts an Apple. Fügst Du den Pass hinzu, sendet Dein Gerät seine Angaben an Apple. Laut Apple verknüpft Apple sie mit Deinem Apple Account, speichert sie, solange der Pass in Wallet ist, und löscht sie, wenn Du ihn entfernst. Der Pass enthält Termine und den Ort des Treffpunkts, damit Dein Gerät Dich zur passenden Zeit und am passenden Ort darauf hinweisen kann; das wertet Dein Gerät selbst aus. Apple verarbeitet diese Daten in eigener Verantwortung nach seiner Datenschutzrichtlinie.

Der Pass holt sich seinen Stand. Fügst Du den Pass hinzu, meldet sich Dein Gerät bei unserem Dienst unter app.shankha.de an. Dabei speichern wir die Seriennummer des Passes, die Kennung, unter der Apple Wallet Dein Gerät führt, und das Zustell-Token Deines Gerätes. Die Gerätekennung speichern wir nicht im Klartext, sondern nur als Prüfwert (SHA-256); aus ihm lässt sich die Kennung nicht zurückrechnen. Das Zustell-Token speichern wir, wie wir es bekommen: ohne es könnten wir Dein Gerät nicht erreichen. Name, E-Mail-Adresse und Anschrift gehören nicht dazu, und den Anfragen Deines Gerätes entnehmen wir nichts darüber hinaus.

Wozu das dient: Ändert sich etwas an Deinem Ticket, etwa weil Du es einlöst, weil wir es entwerten oder weil sich der Termin verschiebt, schicken wir Deinem Gerät über den Zustelldienst von Apple einen leeren Hinweis. Inhalt geht dabei nicht mit. Dein Gerät holt den neuen Stand danach selbst bei uns ab; erst dann sieht der Pass in Deiner Wallet aus wie das Ticket. Empfänger des Hinweises ist die Apple Distribution International Limited (siehe „Empfänger“). Solange wir diesen Hinweis nicht versenden, geht auch das Zustell-Token nicht an Apple.

Wie Du es beendest: Lösche den Pass aus Apple Wallet. Dein Gerät meldet sich dann bei uns ab, und wir löschen Seriennummer, Prüfwert und Zustell-Token dieser Anmeldung. Kommt diese Abmeldung nicht an, weil Dein Gerät sie nicht mehr senden kann, löschen wir die Angaben spätestens mit den Fristen unter „Wie lange wir Daten speichern“.

Die Anfragen Deines Gerätes nennen in ihrer Adresse die Kennung, unter der Apple Wallet Dein Gerät führt. Diese Adressen stehen in den Protokollen, die unser Hostinganbieter Vercel für uns führt (siehe „Empfänger“ und „Wie lange wir Daten speichern“).

Google Wallet. Tippst Du auf „Hinzufügen zu Google Wallet“, legen wir den Pass bei Google an und leiten Dich zu Google weiter. Wir übermitteln Google dabei die Angaben des Passes, eine technische Kennung des Tickets, seinen Status und Bilder zur Veranstaltung. Den Pass legen wir an, bevor Du zu Google kommst, also auch dann, wenn Du dort abbrichst. Erzeugst Du einen neuen Code oder forderst Du die Ticket-E-Mail erneut an, kennzeichnen wir einen schon angelegten Google-Pass als ungültig; löschen können wir ihn dort nicht. Speicherst Du den Pass, legt Google die Nutzung in Deinem Google-Konto ab; die Personalisierung in Google Wallet ist laut Google standardmäßig eingeschaltet. Für das Anlegen des Passes und die Übermittlung an Google sind wir verantwortlich, für die weitere Verarbeitung in Google Wallet ist es Google. Bei Deiner Bestellung vermerken wir, dass ein Google-Pass angelegt wurde.

Rechtsgrundlage für beide Wege ist Art. 6 Abs. 1 lit. b DSGVO, weil Du das Ticket auf Deinem Gerät haben möchtest.

Wertgutscheine

Wenn Du einen Wertgutschein kaufst, gestaltest Du ihn vor dem Bezahlen: Betrag, Motiv, Name und E-Mail-Adresse der beschenkten Person, Botschaft, Dein Name als Absender, Zustellart und Zustelltag. Wird die Gestaltung nicht bezahlt, löschen wir sie nach 7 Tagen. Zum bezahlten Gutschein speichern wir Gutscheinnummer, den Code nur als Prüfwert, Betrag, Motiv, Botschaft, Absender, die Angaben zur beschenkten Person, Deine E-Mail-Adresse und Kundenkennung, Zustellart und Zustellstand, eine etwaige Sperre mit Grund sowie jede Prüfung und Einlösung an einer Akzeptanzstelle. Die bezahlte Gestaltung bleibt mit denselben Angaben bei der Bestellung gespeichert. Je nach Zustellart schicken wir den Gutschein per E-Mail an die beschenkte Person oder an Dich; der Betreff einer Geschenk-E-Mail nennt den Absender.

Für die beschenkte Person. Name, E-Mail-Adresse und Botschaft sowie den Namen des Absenders haben wir von der Person, die den Gutschein gekauft hat. Wir nutzen sie, um den Gutschein zuzustellen und zuzuordnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, den Gutschein so zu überbringen, wie es gewünscht wurde. Du kannst dem widersprechen (siehe „Dein Widerspruchsrecht“). Wie lange wir diese Angaben speichern, steht unter „Wie lange wir Daten speichern“.

Restwert und Einlösung. Den Restwert kannst Du unter app.shankha.de/g mit dem Gutscheincode abfragen. Gibst Du einen Code ein, den es nicht gibt, speichern wir den Fehlversuch mit einem Prüfwert Deiner IP-Adresse, der mit einem geheimen Schlüssel gebildet wird, und löschen ihn nach 1 Tag; so verhindern wir, dass Codes erraten werden. Die Akzeptanzstellen, die wir für Gutscheine eingerichtet haben und die unter Hier gilt Dein Gutschein aufgeführt sind, sehen bei Prüfung und Einlösung nur Gutscheinnummer, Ausgabebetrag und Restwert.

Rechtsgrundlage für Kauf, Zustellung und Einlösung ist Art. 6 Abs. 1 lit. b DSGVO, für die Fehlversuche Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, Gutscheine vor Missbrauch zu schützen.

Newsletter

Im Fuß der Seiten steht ein Formular für den Kleinwalsertal-Newsletter. Es sendet Deine E-Mail-Adresse, freiwillig Deinen Vornamen, den Wortlaut und die Version der Einwilligung und den Shop, über den Du Dich anmeldest, direkt an unsere Plattform unter app.shankha.de. Dort prüfen wir die Anmeldung, auch auf Missbrauch, bevor wir etwas speichern; weisen wir sie ab, speichern wir davon nichts. Nehmen wir sie an, legen wir Dich mit E-Mail-Adresse und Vornamen im Kundenverzeichnis an oder ergänzen Deinen Eintrag (siehe „Kundenkonto und Anmeldung“). Die Anmeldung speichern wir mit Zeitpunkt, Deiner IP-Adresse und der Browserkennung und schicken Dir eine E-Mail mit einem Bestätigungslink. Erst mit dem Klick ist die Anmeldung wirksam; dabei speichern wir erneut Zeitpunkt, IP-Adresse und Browserkennung. Damit die Bestätigungs-E-Mail höchstens einmal am Tag hinausgeht, vermerken wir Deine E-Mail-Adresse mit dem Datum.

Solange noch kein Vorname hinterlegt ist, fragen wir nach der Anmeldung im Shop nach Deinen Stammdaten (siehe „Kundenkonto und Anmeldung“); in diesem Schritt kannst Du den Newsletter auch mit einem Häkchen bestellen. Deine E-Mail-Adresse ist dann schon durch die Anmeldung bestätigt; eine weitere Bestätigungs-E-Mail gibt es nicht. Wir speichern die Einwilligung mit Zeitpunkt, der Art der Erteilung und dem Bildschirm, auf dem Du das Häkchen gesetzt hast; IP-Adresse und Browserkennung Deines Geräts speichern wir dabei nicht.

Deine Einwilligung führen wir für unseren Shop getrennt von anderen Shops und Anwendungen der Plattform. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021). Den Nachweis der Einwilligung speichern wir nach Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, sie nachweisen zu können (Art. 7 Abs. 1 DSGVO). Die Anmeldung ist freiwillig; ohne sie erhältst Du keinen Newsletter.

Du kannst den Newsletter jederzeit über den Abmeldelink in jeder Ausgabe, im Kundenkonto unter „Profil“ oder mit einer Nachricht an info@kleinwalsertal.com abbestellen. Der Widerruf wirkt für die Zukunft.

Vertrag widerrufen

Mit dem Formular „Vertrag widerrufen“ kannst Du einen Widerruf elektronisch erklären. Wir verarbeiten Deinen Namen, die Bestellnummer, Deine E-Mail-Adresse und eine freiwillige Bemerkung, um den Widerruf Deiner Bestellung zuzuordnen und Dir den Eingang per E-Mail zu bestätigen. Deine IP-Adresse wird dabei technisch an unsere Plattform übermittelt, dort aber nicht in der Datenbank gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 13 Abs. 2 Fern- und Auswärtsgeschäfte-Gesetz (FAGG) und für Verträge, die ab dem 01.10.2026 geschlossen werden, § 13a FAGG, weil wir einen Rücktritt entgegennehmen und bestätigen müssen. Für die freiwillige Bemerkung und für Erklärungen zu Verträgen ohne Rücktrittsrecht, etwa zu Tickets für eine Veranstaltung an einem festen Termin, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, jede Erklärung zuzuordnen und zu beantworten. Ohne Name, Bestellnummer und E-Mail-Adresse können wir den Widerruf über das Formular nicht zuordnen; Du kannst ihn uns auch auf anderem Weg erklären.

E-Mails

Wir schicken Dir E-Mails, die zu Deinem Vorgang gehören: Anmeldecode und Anmeldelink, Code zum Ändern der E-Mail-Adresse, Hinweis an Deine bisherige Adresse nach einem Adresswechsel, Bestellbestätigung, Tickets, Beleg, Versandbestätigung bei Ware, Erstattung, Absage, Umbuchung, Terminerinnerung, Gutschein, Bestätigung eines Antrags auf Auskunft oder Löschung und die E-Mails, die unter „Newsletter“ und „Vertrag widerrufen“ beschrieben sind. Rechtsgrundlage ist jeweils die des Vorgangs.

Die E-Mails versenden wir über Resend. Resend verarbeitet dabei Empfängeradresse, Betreff, Inhalt und Anhänge und bewahrt E-Mail- und Protokolldaten nach eigenen Angaben 30 Tage auf, soweit nichts anderes vereinbart ist; Sicherungskopien bestehen nach eigenen Angaben 7 Tage.

Antwortest Du auf eine E-Mail des Shops, geht Deine Antwort an das Postfach der Absenderadresse. Dieses Postfach betreibt unser Plattformbetreiber bei Fastmail (siehe „Empfänger“).

Unsere E-Mails zeigen oben unser Logo. Dein E-Mail-Programm lädt es beim Anzeigen aus unserer Dateiablage bei Supabase über das Netz von Cloudflare. Die Ticket-E-Mail lädt außerdem das Bild des QR-Codes und die Wallet-Knöpfe von app.shankha.de; beim QR-Bild gehört der Zugangsschlüssel des Tickets zur aufgerufenen Adresse. Diese Server erhalten dabei Deine IP-Adresse und die Kennung Deines E-Mail-Programms, und Cloudflare kann das Cookie __cf_bm setzen. Zeigt Dein E-Mail-Programm keine Bilder an, lädt es nichts nach.

Über jeden Versand führen wir ein Protokoll mit Empfängeradresse, Betreff, Zweck, Ergebnis und Zustellstatus, auch bei fehlgeschlagenen Sendungen; Codes im Betreff ersetzen wir dabei durch Platzhalter. Nach 90 Tagen löschen wir es. Zusätzlich meldet Resend uns, ob eine E-Mail zugestellt wurde. Diese Meldungen speichern wir mit der Art der Meldung, dem Zeitpunkt und einem Prüfwert der Empfängeradresse (siehe „Kundenkonto und Anmeldung“), bei Newsletter-Ausgaben zusätzlich mit dem Betreff. Den Zustellstatus übernehmen wir in das Versandprotokoll. Ältere Einträge enthalten den Betreff noch vollständig, bei Anmelde-E-Mails also auch den Code: im Versandprotokoll Einträge vor dem 17.09.2026, bei den Zustellmeldungen Meldungen vor dem 17.09.2026, 00:10 Uhr. Ob Du eine E-Mail öffnest oder einen Link darin anklickst, werten wir nicht aus.

Rechtsgrundlage für Protokoll und Zustellmeldungen ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, beantworten zu können, ob eine E-Mail angekommen ist.

Empfänger

Deine Daten erhalten die folgenden Stellen, soweit sie sie für die beschriebenen Zwecke brauchen. Gehen Daten in ein Land außerhalb des Europäischen Wirtschaftsraums, nennen wir die Grundlage der Übermittlung.

Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sind die Klauseln, die die EU-Kommission mit dem Durchführungsbeschluss (EU) 2021/914 festgelegt hat. Die Anbieter binden sie in ihre Datenschutzvereinbarungen ein. Dort findest Du sie:

Plattformbetreiber. Ein IT-Dienstleister betreibt Shop, Kundenkonto, Buchungsfläche, Ticketseiten, unsere Plattform unter app.shankha.de und das Kundenverzeichnis technisch für uns, versendet die E-Mails, empfängt Antworten darauf und Anträge aus dem Kundenkonto und hat dafür Zugriff auf die hier beschriebenen Daten. Er setzt dafür unter anderem Vercel, Supabase, Resend und Fastmail ein. Das Kundenverzeichnis nutzen auch andere Shops und Anwendungen auf seiner Plattform (siehe „Kundenkonto und Anmeldung“).

Andere Shops und Anwendungen auf der Plattform. Betreiber anderer Online-Shops und Anwendungen, die das Kundenverzeichnis unseres Plattformbetreibers nutzen. Bist Du auch dort Kunde, nutzen sie dieselben Stammdaten im Kundenverzeichnis wie wir und sehen, was Du bei uns einträgst oder änderst.

Websites, in die unsere Buchungsfläche eingebettet ist, etwa www.kleinwalsertal.com. Diese Websites erhalten die Meldungen zu Warenkorb und Kasse und nach dem Kauf die Kennung Deines Bezahlvorgangs bei Stripe (siehe „Kauf und Bezahlung“) und verarbeiten sie nach ihrer eigenen Datenschutzerklärung.

Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Hosting und Auslieferung von Shop, Buchungsfläche und Ticketseiten. Rolle: Auftragsverarbeiter unseres Plattformbetreibers. Die Seiten werden in Frankfurt am Main erzeugt; laut Vercel liegt die Hauptverarbeitung in den USA, ausgeliefert wird über ein weltweites Netz. Übermittlung in die USA: Angemessenheitsbeschluss der EU-Kommission zum EU-US-Datenschutzrahmen (Art. 45 DSGVO, Vercel ist zertifiziert) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, 049513 Singapur. Datenbanken für unsere Plattform und das Kundenverzeichnis sowie Dateiablage für Bilder, Logo und Belege. Rolle: Auftragsverarbeiter unseres Plattformbetreibers. Die Daten liegen in Frankfurt am Main. Übermittlungen nach Singapur und in die USA stützt Supabase auf Standardvertragsklauseln.

Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Auslieferungsnetz, über das Supabase unsere Bilder und unser E-Mail-Logo und OpenFreeMap die Kartenkacheln ausliefern. Erhält dabei IP-Adresse und Anfragedaten; beim Laden aus unserer Dateiablage setzt Cloudflare das Cookie __cf_bm. Rolle: für unsere Bilder im Auftrag von Supabase, für die Kartenkacheln im Auftrag von OpenFreeMap tätig. Übermittlung in die USA: EU-US-Datenschutzrahmen (Cloudflare ist zertifiziert), ersatzweise Standardvertragsklauseln.

Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland. Zahlungsabwicklung über unser Stripe-Konto, Kundenprofil, Steuerberechnung und Erstattungen. Rolle: Vertragspartner und für die Zahlungsabwicklung Auftragsverarbeiter. Soweit Stripe in eigener Verantwortung handelt, etwa bei der Prüfung auf Betrug, bei Geldwäsche- und Identitätsprüfungen und bei der Weiterentwicklung eigener Produkte, ist laut Stripe die Stripe Technology Company Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland, verantwortlich, für zugelassene Zahlungsdienste die Stripe Technology Europe, Limited, ebenfalls in Dublin. Übermittlung in die USA: vorrangig EU-US-Datenschutzrahmen (Stripe, LLC ist zertifiziert), daneben Standardvertragsklauseln.

Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA. E-Mail-Versand und Zustellmeldungen. Rolle: Auftragsverarbeiter unseres Plattformbetreibers. Kontodaten, E-Mail-Metadaten und Protokolle liegen bei Resend in den USA; für Hosting und Versand setzt Resend unter anderem Amazon Web Services ein. Übermittlung in die USA: EU-US-Datenschutzrahmen (Resend ist zertifiziert) und Standardvertragsklauseln.

Fastmail Pty Ltd, PO Box 234, Collins Street West, VIC 8007, Australien. Postfach der Absenderadresse unserer E-Mails, das unser Plattformbetreiber dort führt: Hier gehen Antworten auf E-Mails des Shops mit ihrem Inhalt und Anträge aus dem Kundenkonto mit Deiner E-Mail-Adresse und Kundenkennung ein. Rolle: laut Fastmail für die Inhalte der E-Mails Auftragsverarbeiter seines Kunden, hier unseres Plattformbetreibers. Laut Fastmail stehen seine Server in den USA und in den Niederlanden, und Daten können unter anderem in die USA, nach Großbritannien, Australien, Indien und Österreich übermittelt werden; nach seiner Vereinbarung zur Auftragsverarbeitung darf Fastmail sie in jedes Land übermitteln, soweit der Dienst es erfordert. Für Australien und Indien besteht kein Angemessenheitsbeschluss der EU-Kommission. Übermittlungen aus dem Europäischen Wirtschaftsraum stützt Fastmail nach eigenen Angaben auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

feratel media technologies AG, Maria-Theresien-Straße 8, 6020 Innsbruck, Österreich. Betreibt das System Deskline, aus dem Bilder einiger Erlebnisse stammen. Diese Bilder lädt Dein Browser von einem Server, dessen Netz auf die feratel Schweiz AG, Rotkreuz, Schweiz, registriert ist; er erhält dabei die unter „Bilder und Karten von anderen Servern“ genannten Daten. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Entscheidung 2000/518/EG, fortgeltend nach Art. 45 Abs. 9 DSGVO).

Hyperknot Software Kft. (OpenFreeMap), Petofi Sandor utca 48., 2724 Ujlengyel, Ungarn. Kartenkacheln für die Karte zum Treffpunkt, ausgeliefert über Cloudflare. Rolle: Für das Einbinden der Karte sind wir verantwortlich, für die Verarbeitung bei OpenFreeMap ist es OpenFreeMap selbst. Nach eigenen Angaben setzt OpenFreeMap keine Cookies und protokolliert IP-Adressen nur bei Sicherheitsvorfällen, höchstens 30 Tage.

Apple Distribution International Limited, Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Apple Wallet, nur wenn Du einen Pass hinzufügst. Rolle: verarbeitet in eigener Verantwortung nach der Apple-Datenschutzrichtlinie. Apple speichert Daten in der Regel bei Apple Inc. in den USA und stützt die Übermittlung auf Standardvertragsklauseln. Über den Zustelldienst von Apple schicken wir außerdem den leeren Hinweis an Dein Gerät, wenn sich etwas an Deinem Ticket geändert hat (siehe „Ticket in Apple Wallet oder Google Wallet“); Apple erhält dafür das Zustell-Token Deines Gerätes, nicht aber den Inhalt der Änderung.

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Google Wallet, nur wenn Du „Hinzufügen zu Google Wallet“ antippst. Rolle: Für das Anlegen des Passes und die Übermittlung an Google sind wir verantwortlich, für die Verarbeitung in Google Wallet ist es Google. Übermittlung in die USA: EU-US-Datenschutzrahmen (Google LLC ist zertifiziert), sonst Standardvertragsklauseln.

Sport Kessler GmbH (Sport & Mode Kessler), Walserstraße 73, 6991 Riezlern, Österreich. Einlöseort für Tickets für Valley of Sound: Dort werden die Tickets gescannt und die Bändchen ausgegeben.

Anbieter von Erlebnissen. Der Betrieb, bei dem Du laut „Du buchst bei …“ buchst. Er erhält beim Einlösen an seiner Station Deine Ticketangaben und verarbeitet sie in eigener Verantwortung für seinen Vertrag mit Dir. Zeigst Du an der Station eines Anbieters ein Ticket vor, das nicht zu seinen Angeboten gehört, sieht er dieselben Angaben, kann das Ticket aber nicht einlösen (siehe „Einlass und Einlösung“).

Akzeptanzstellen für Gutscheine. Sie sehen bei Prüfung und Einlösung nur Gutscheinnummer, Ausgabebetrag und Restwert (siehe „Wertgutscheine“).

Behörden. Steuerbehörden und andere öffentliche Stellen, wenn wir gesetzlich dazu verpflichtet sind.

Wie lange wir Daten speichern

Für diese Daten gilt:

  • Zähler je IP-Adresse zur Missbrauchsabwehr: nur im Arbeitsspeicher des Servers.
  • Protokolle, die Vercel uns bereitstellt: höchstens 30 Tage.
  • E-Mail- und Protokolldaten bei Resend: nach Angaben von Resend 30 Tage, soweit nichts anderes vereinbart ist; Sicherungskopien 7 Tage.
  • Suchprotokoll: 90 Tage.
  • Versandprotokoll der E-Mails: 90 Tage.
  • Kaufversuche: 180 Tage.
  • Anmeldesitzung: gilt 30 Tage und wird 30 Tage nach Ablauf gelöscht.
  • Nicht bezahlte Gutschein-Gestaltungen: 7 Tage.
  • Fehlversuche bei der Gutschein-Auskunft: 1 Tag.
  • Anmeldung eines Gerätes für einen Pass in Apple Wallet: 30 Tage, nachdem das Ticket eingelöst oder entwertet wurde, sonst 30 Tage nach dem Ende des Termins oder nach dem Ende der Gültigkeit, spätestens 400 Tage nach der Anmeldung. Meldet sich Dein Gerät ab, löschen wir sofort.
  • Anmeldung eines Gerätes aus einem überholten Pass, nachdem Du einen neuen Code erzeugt hast: 24 Stunden.
  • Stand eines Passes in Apple Wallet: 30 Tage, nachdem die letzte Anmeldung zu diesem Ticket gelöscht wurde.
  • Anmeldungen und Pass-Stand werden außerdem sofort gelöscht, wenn das Ticket gelöscht wird oder wenn wir Deine Daten auf Deinen Antrag löschen.
  • Bestellungen und Belege: 7 Jahre ab Ende des Kalenderjahres (§ 132 BAO, § 212 UGB), länger nur, solange sie für ein laufendes Verfahren gebraucht werden.
  • Cookies und Browserspeicher: wie unter „Speicher in Deinem Browser“.
  • Stripe, Apple, Google und OpenFreeMap speichern, soweit sie selbst verantwortlich sind, nach ihren eigenen Fristen.

Für die folgenden Daten gibt es keine feste Frist, und wir löschen sie bisher nicht automatisch. Maßstab für die Dauer ist jeweils:

  • Stammdaten im Kundenverzeichnis, auch nach einem Kauf ohne Kundenkonto: solange Du Kunde unseres Shops oder eines anderen Shops oder einer Anwendung der Plattform bist, auch wenn Du Dein Konto nicht mehr nutzt.
  • Stammdaten nach einer Anmeldung ohne Kauf: dass Du Dich wieder anmelden und Deine Angaben weiter nutzen kannst.
  • Angaben aus einer Newsletter-Anmeldung, die Du nicht bestätigt hast: dass wir Deine Bestätigung zuordnen und nachweisen können, worauf sie sich bezieht.
  • Eine im Kauf angegebene Firma: wie die Stammdaten im Kundenverzeichnis.
  • Kundenprofil und Bezahlvorgänge in unserem Stripe-Konto, einschließlich der Herkunftsangabe: dass wir Zahlungen und Erstattungen zu Deinen Bestellungen abwickeln und nachvollziehen können.
  • Tickets samt eingetragenem Namen und Scan-Protokoll: die Abwicklung des Termins und danach, bis Ansprüche aus dem Ticketkauf verjährt sind, etwa Schadenersatzansprüche 3 Jahre ab Kenntnis (§ 1489 ABGB).
  • Gutscheine samt bezahlter Gestaltung, Prüfungen und Einlösungen: solange der Gutschein eingelöst werden kann. Unsere Gutscheine verfallen nicht; das Recht, einen Gutschein einzulösen, endet grundsätzlich erst nach 30 Jahren (§ 1478 ABGB).
  • Name, E-Mail-Adresse und Botschaft für die beschenkte Person: dass wir den Gutschein zustellen und Rückfragen zur Zustellung beantworten können. Bisher bleiben diese Angaben mit dem Gutschein und mit der bezahlten Gestaltung bei der Bestellung gespeichert.
  • Widerrufe: wie die Bestellung, zu der sie gehören.
  • Herkunftsangaben bei einer Bestellung: solange die Bestellung gespeichert ist; eine gesetzliche Pflicht, sie aufzubewahren, besteht nicht.
  • Nachweise von Einwilligungen: solange die Einwilligung gilt, und danach, solange wir Einwilligung und Widerruf nachweisen können müssen (Art. 7 Abs. 1 DSGVO).
  • Einträge zu Anmeldecodes: dass wir Anmeldungen prüfen und begrenzen können, wie oft für eine Adresse ein Code angefordert wird.
  • Zustellmeldungen von Resend: dass wir beantworten können, ob eine E-Mail angekommen ist.
  • Vermerk zur Bestätigungs-E-Mail des Newsletters: der Tag, für den er gilt.
  • Antworten auf unsere E-Mails und Anträge aus dem Kundenkonto im Postfach bei Fastmail: dass wir Dein Anliegen bearbeiten und die Bearbeitung nachweisen können. Laut Fastmail bleiben die Inhalte gespeichert, bis sie im Postfach gelöscht werden oder das Gesetz etwas anderes verlangt, längstens 12 Monate nach Ende der Kundenbeziehung zu Fastmail.

Möchtest Du, dass wir Daten aus dieser Liste löschen, wende Dich an die Anschrift oder E-Mail-Adresse unter „Verantwortlich“. Was ein Antrag auf Löschung im Kundenkonto bewirkt, steht unter „Deine Rechte“.

Deine Rechte

Du hast das Recht auf:

  • Auskunft über Deine Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit, soweit die Verarbeitung auf Deiner Einwilligung oder einem Vertrag beruht (Art. 20 DSGVO)
  • Widerspruch (Art. 21 DSGVO, siehe unten)

Eine Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Was bis dahin geschehen ist, bleibt rechtmäßig.

Wende Dich dafür an die Anschrift oder E-Mail-Adresse unter „Verantwortlich“. Auskunft und Löschung kannst Du auch im Kundenkonto unter „Daten“ (Seite „Daten & Rechte“) beantragen. Dann bestätigen wir Dir den Eingang per E-Mail und leiten den Antrag zur Bearbeitung mit Deiner E-Mail-Adresse und Kundenkennung an das Postfach weiter, in dem Antworten auf unsere E-Mails eingehen (siehe „E-Mails“). Die Frist dafür beträgt nach Art. 12 Abs. 3 DSGVO 1 Monat.

Ist Dein Eintrag im Kundenverzeichnis unserem Shop zugeordnet, weil Du bei uns gekauft oder den Newsletter bestellt hast, bewirkt ein Antrag auf Löschung:

  • Wir löschen Deine Anmeldesitzungen und die Kaufversuche, die Deiner Kundenkennung zugeordnet sind.
  • Wir löschen die Anmeldungen Deiner Geräte für Pässe in Apple Wallet.
  • Wir entfernen im Kundenverzeichnis die Verweise, mit denen Dein Eintrag für unseren Shop mit anderen Systemen verknüpft ist, etwa mit Deinem Kundenprofil bei Stripe.
  • Vom Nachweis Deiner Einwilligungen bei uns behalten wir Zweck, Art und Zeitpunkt, damit wir Einwilligung und Widerruf belegen können; IP-Adresse, Browserkennung und weitere Angaben aus dem Formular entfernen wir.
  • Führt Dich kein anderer Shop und keine andere Anwendung der Plattform mehr, entfernen wir außerdem Name, Telefonnummer und Anschriften und ersetzen Deine E-Mail-Adresse durch einen Prüfwert, über den sich die Adresse wiedererkennen lässt, wenn man sie kennt. Führt Dich ein anderer Shop oder eine andere Anwendung weiter, bleiben diese Stammdaten dafür bestehen.

Bestellungen, Belege, Tickets, Gutscheine, Widerrufe und das Versandprotokoll bleiben erhalten; wie lange, steht unter „Wie lange wir Daten speichern“. Nicht Teil dieses Ablaufs sind außerdem Einträge zu Anmeldecodes, Zustellmeldungen, der Vermerk zur Bestätigungs-E-Mail des Newsletters, eine im Kauf angegebene Firma, Dein Kundenprofil bei Stripe sowie Antworten und Anträge im Postfach. Deren Löschung kannst Du bei uns gesondert verlangen.

Hast Du Dich nur angemeldet oder eine Newsletter-Anmeldung nicht bestätigt, ohne bei uns zu kaufen, ist Dein Eintrag unserem Shop nicht zugeordnet, und der beschriebene Ablauf greift nicht. Schreib uns dann an die Anschrift oder E-Mail-Adresse unter „Verantwortlich“, damit wir Deinen Antrag einzeln bearbeiten können.

Dein Widerspruchsrecht

Verarbeiten wir Deine Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst Du dem jederzeit aus Gründen widersprechen, die sich aus Deiner besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Wir verarbeiten diese Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Der Widerspruch ist an keine Form gebunden. Schick ihn an die Anschrift oder E-Mail-Adresse unter „Verantwortlich“.

Beschwerde bei der Datenschutzbehörde

Meinst Du, dass wir Deine Daten nicht rechtmäßig verarbeiten, kannst Du Dich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO, § 24 DSG), etwa in dem Staat der EU oder des EWR, in dem Du lebst oder arbeitest. In Österreich ist das: Österreichische Datenschutzbehörde Barichgasse 40-42 1030 Wien Österreich Telefon: +43 1 52 152-0 E-Mail: dsb@dsb.gv.at

Keine automatisierten Entscheidungen

Wir selbst treffen keine automatisierten Entscheidungen im Einzelfall einschließlich Profiling nach Art. 22 DSGVO. Stripe prüft Zahlungen automatisiert auf Betrugsrisiken und kann eine Zahlung ablehnen; dafür ist Stripe verantwortlich.

Änderungen

Wir passen diese Erklärung an, wenn sich die beschriebene Verarbeitung ändert. Es gilt die hier veröffentlichte Fassung. Der Stand dieser Fassung steht oben unter der Überschrift.