Datenschutz und Bedingungen

Wer Tickets verkauft, verarbeitet Daten von Menschen: einen Namen, eine E-Mail-Adresse, manchmal eine Anschrift. Dazu gehören Regeln. Dieser Artikel erklärt in gewöhnlicher Sprache, was diese Regeln beinhalten, was wir für Sie geregelt haben und — der Teil, der am häufigsten vergessen wird — was Sie selbst schreiben müssen, bevor Ihr erstes Ticket verkauft ist.

Das ist keine Rechtsberatung. Es ist eine Anleitung, geschrieben von Menschen, die Software machen. Geht es um viel Geld, um Minderjährige oder um sensible Daten, legen Sie es einer Juristin oder Ihrem Dachverband vor.

Was ist die DSGVO?

Die DSGVO — Datenschutz-Grundverordnung, auf Englisch GDPR — ist das europäische Gesetz über personenbezogene Daten. Sie gilt seit 2018 in der gesamten Europäischen Union, und sie gilt auch für einen Heimatverein mit achtzig Mitgliedern.

Was sie im Kern sagt, in fünf Sätzen:

• Sie erheben nur Daten, die Sie wirklich brauchen.
• Sie sagen vorab, wofür Sie sie verwenden.
• Sie bewahren sie nicht länger auf als nötig.
• Sie schützen sie angemessen vor Diebstahl und Verlust.
• Wer in Ihrem Bestand steht, darf fragen, was Sie über ihn haben, und darf verlangen, dass es gelöscht wird.

Ein personenbezogenes Datum ist alles, womit Sie einen Menschen bezeichnen können: ein Name, eine E-Mail-Adresse, eine Telefonnummer, manchmal sogar eine Bestellnummer, die Sie einer Person zuordnen können. Ein Zähler „312 Besucher" ist das nicht.

Verantwortlicher und Auftragsverarbeiter

Das ist der Teil, der am häufigsten falsch verstanden wird, und er bestimmt, an wen sich ein Besucher mit einer Frage wenden muss.

Das Gesetz kennt zwei Rollen:

• Der Verantwortliche entscheidet, warum und wie Daten verwendet werden.
• Der Auftragsverarbeiter führt das aus, im Auftrag, und macht nichts anderes damit.

Der Vergleich, der hängen bleibt: Sie sind der Eigentümer des Archivs, wir sind der Aktenschrank mit Schloss. Sie entscheiden, was hineinkommt, wer hineinschauen darf und wann es wieder heraus darf. Der Schrank bewahrt auf und bewacht, aber er liest nicht mit und ruft Ihre Besucher nicht an.

Eine andere Art, es zu sehen: Ihr Verein mietet einen Saal. Der Saalbetreiber sorgt für die Tür und das Schloss; Sie entscheiden, wer hineindarf.

Daten	Verantwortlicher	Auftragsverarbeiter
Ihr eigenes Konto, Ihre Rechnungen, Ihre Supportanfragen	Wir	—
Name, E-Mail, Bestellungen, Tickets, Scans Ihrer Besucher	Ihre Organisation	Wir

Praktisch bedeutet das: Verlangt ein Besucher Auskunft über seine Daten oder deren Löschung, entscheiden Sie darüber, nicht wir. Landet so eine Anfrage bei uns, leiten wir sie innerhalb von fünf Werktagen an Sie weiter und teilen dem Besucher mit, an wen er sich wenden muss. Nachsehen, was Sie über jemanden haben, können Sie selbst im Bildschirm Bestellungen. Eine Kopie der Daten einer Person bereitstellen oder sie löschen können Sie in der Verwaltung nicht selbst: Fragen Sie uns, dann erledigen wir das für Sie.

---

Die vier Texte, die wir liefern

Auf der öffentlichen Website stehen vier juristische Dokumente. Sie verweisen aufeinander und tragen alle dasselbe Versionsdatum, damit Sie in einer Akte sagen können, welche Fassung Sie verwendet haben.

Dokument	Worum es geht
Impressum	Wer den Dienst betreibt: Name, Anschrift, Unternehmensnummer, Umsatzsteuer-Identifikationsnummer, Kontakt
Datenschutzerklärung	Welche personenbezogenen Daten verarbeitet werden, wofür, wie lange und mit wem sie geteilt werden
Allgemeine Geschäftsbedingungen	Die Vereinbarungen zwischen Ihrer Organisation und uns: Abonnement, Zahlung, Verfügbarkeit, Haftung
Auftragsverarbeitungsvertrag	Was wir mit den Daten Ihrer Besucher tun, in Ihrem Auftrag

Den Auftragsverarbeitungsvertrag müssen Sie nicht gesondert unterschreiben: Er ist Teil der Allgemeinen Geschäftsbedingungen. Akzeptieren Sie diese bei Ihrer Registrierung, akzeptieren Sie ihn mit. Die Fassung, die Sie akzeptiert haben, wird bei Ihrer Organisation gespeichert — Sie können also jederzeit nachschauen, womit Sie einverstanden waren.

Braucht eine Förderakte oder eine Ausschreibung trotzdem ein unterschriebenes Exemplar auf eigenem Briefpapier, schreiben Sie uns. Wir unterschreiben es.

Achtung: Diese vier Texte handeln von uns und von Ihnen. Sie sagen Ihrem Besucher nichts über Ihre Veranstaltung. Das ist das nächste Kapitel, und das ist Ihre Arbeit.

---

Was Sie vorab brauchen

• Einen halben Tag, um zwei Texte zu schreiben: Ihre eigenen Bedingungen und Ihre eigene Datenschutzerklärung.
• Einen Ort, an dem Sie diese Texte veröffentlichen, meist Ihre eigene Website. In der Verwaltung tragen Sie nur den Link zu Ihren Bedingungen ein, nicht den Text selbst.
• Den Namen, die Anschrift und die Unternehmens- oder Vereinsnummer Ihrer Organisation, plus eine E-Mail-Adresse, an die sich jemand wenden kann.
• Eine Entscheidung Ihres Vorstands über zwei Fragen: Was tun Sie bei einer Absage, und bis wann darf jemand stornieren?
• Die Rolle Eigentümer, um diesen Link unter Einstellungen → Organisation einzutragen.
• Sind Sie sich bei der Mehrwertsteuer unsicher: die Nummer Ihres Steuerberaters.

---

Was Sie selbst regeln

Verkaufen Sie Tickets an Besucher, sind Sie gegenüber diesem Besucher der Verkäufer. Das bringt vier Dinge mit sich, die wir nicht für Sie tun können.

1. Ihre eigenen Allgemeinen Geschäftsbedingungen

Das sind die Vereinbarungen zwischen Ihnen und Ihrem Besucher. Stellen Sie sie auf eine Seite Ihrer eigenen Website und fügen Sie den Link unter Einstellungen → Organisation, Reiter Erscheinungsbild, im Feld Link zu Ihren Bedingungen ein. Ihr Besucher sieht diesen Link beim Bezahlen, neben dem Kästchen, mit dem er Ihren Bedingungen zustimmt, und unten in Ihrem Ticketshop. Tragen Sie nichts ein, stimmt er zwar immer noch „den Bedingungen von“ Ihrer Organisation zu, kann sie aber nirgends lesen.

Was hineingehört, jeweils mit einem Beispiel dessen, was ein kleiner Verein dort schreibt:

Was	Beispiel
Bei einer Absage	„Findet die Vorstellung nicht statt, erstatten wir den Ticketpreis innerhalb von 30 Tagen vollständig zurück. Reservierungsgebühren werden nicht erstattet."
Bei einer Verlegung	„Wird das Datum verlegt, bleibt Ihr Ticket für den neuen Termin gültig. Können Sie nicht, teilen Sie es uns vor dem neuen Termin mit, und Sie bekommen Ihr Geld zurück."
Weiterverkauf	„Sie dürfen Ihr Ticket an jemand anderen weitergeben. Einen Weiterverkauf zu einem höheren als dem Ticketpreis gestatten wir nicht."
Stornieren bis wann	„Stornieren können Sie bis 7 Tage vor dem Essen über essen@ihrverein.de. Danach ist Ihr Ticket nicht mehr erstattungsfähig, denn der Einkauf ist dann getätigt."
Zu spät kommen	„Die Führung beginnt pünktlich um 14 Uhr. Wer später kommt, schließt sich der Gruppe an, hat aber keinen Anspruch auf Erstattung des verpassten Teils."
Hausordnung	„Hunde sind an der Leine willkommen, außer im Kellersaal. Geraucht werden darf nur draußen. Die Organisation kann jemandem bei Trunkenheit oder störendem Verhalten den Zutritt verweigern."
Haftung	„Die Organisation haftet nicht für Verlust oder Diebstahl persönlicher Gegenstände."
Wer Sie sind	„Theaterverein Die Weiche vzw, Dorfstraße 3, 9000 Irgendwo, Unternehmensnummer 0123.456.789."

Achtung: Schreiben Sie sie in der Sprache, in der Sie verkaufen, und halten Sie sie kurz. Drei Bildschirme Text liest niemand; zehn klare Zeilen schon. Und halten Sie sie fair — eine Bedingung, die gegenüber einem Verbraucher offensichtlich unangemessen ist, hält vor Gericht ohnehin nicht stand.

2. Ihre eigene Datenschutzerklärung

Sie bestimmen, warum Sie die Daten Ihrer Besucher erheben und wie lange Sie sie aufbewahren. Unsere Datenschutzerklärung sagt, was die Plattform mit diesen Daten tut; sie ersetzt die Ihre nicht. Beim Bezahlen verlinken wir auf unsere; für Ihre gibt es kein eigenes Feld. Stellen Sie sie auf Ihre eigene Website und verweisen Sie in Ihren Bedingungen darauf — oder stellen Sie beides auf dieselbe Seite.

Fünf Fragen, die Sie beantworten, mit einem Beispiel:

Frage	Beispiel für einen kleinen Verein
Was erheben Sie?	„Bei einer Bestellung: Ihren Namen, Ihre E-Mail-Adresse und das, was Sie bestellt haben. Bei einem Essen auch Ihre Menüwahl und ob Sie Allergien angeben."
Warum?	„Um Ihnen Ihr Ticket zustellen zu können, um Sie zu benachrichtigen, wenn sich etwas ändert, und um zu wissen, wie viele Portionen wir kochen müssen."
Wie lange?	„Ihre Bestelldaten bewahren wir 7 Jahre auf, weil unsere Buchhaltung das verlangt. Ihre E-Mail-Adresse für den Newsletter bewahren wir auf, bis Sie sich abmelden."
Mit wem teilen Sie sie?	„Mit unserer Ticketplattform, die sie in unserem Auftrag verarbeitet, und mit unserem Zahlungsanbieter für die Zahlung. Darüber hinaus mit niemandem. Wir verkaufen keine Adressen."
An wen kann sich jemand wenden?	„Schreiben Sie an datenschutz@ihrverein.de oder an Theaterverein Die Weiche vzw, Dorfstraße 3, 9000 Irgendwo. Sie können Ihre Daten anfordern, berichtigen oder löschen lassen."

Diese letzte Adresse ist nicht optional. Eine Datenschutzerklärung ohne einen Ort, an dem jemand eine Frage stellen kann, ist keine Datenschutzerklärung.

Achtung: Verschicken Sie Newsletter? Dann ist das ein eigener Zweck, und dafür holen Sie eine gesonderte Einwilligung ein. Eine E-Mail-Adresse, die Sie bekommen haben, um ein Ticket zuzustellen, ist keine Einwilligung, dreimal im Jahr etwas dorthin zu schicken.

3. Das Widerrufsrecht

Wer online etwas kauft, hat normalerweise vierzehn Tage Bedenkzeit. Für Veranstaltungen zu einem festen Termin gilt in der Europäischen Union in der Regel kein vierzehntägiges Widerrufsrecht — sonst könnte jemand eine Karte kaufen, hingehen und sie danach zurückverlangen.

Sagen Sie das ausdrücklich in Ihren Bedingungen, denn ein Besucher geht sonst davon aus, dass er dieses Recht sehr wohl hat.

Ein Satz, der genügt: „Für Tickets für eine Veranstaltung zu einem bestimmten Termin gilt kein gesetzliches Widerrufsrecht von 14 Tagen. Ihr Kauf ist endgültig, abgesehen von dem, was oben zum Stornieren steht."

Verkaufen Sie etwas, das keinen festen Termin hat — einen Gutschein, eine Jahreskarte, die zu jedem Zeitpunkt beginnt —, gehen Sie nicht einfach davon aus, dass dieselbe Ausnahme gilt. Fragen Sie das nach.

4. Mehrwertsteuer und Buchhaltung

Sie bestimmen, ob und welche Mehrwertsteuer Sie auf Ihre Tickets berechnen. Die Plattform rechnet das, was Sie einstellen; sie gibt keine Steuerberatung.

Was ein kleiner Verein in der Praxis dort einträgt: Viele Vereine fallen unter eine Befreiung und berechnen 0 %, mit einem Hinweis wie „Von der Mehrwertsteuer befreit" auf dem Ticket. Andere Vereine sind für ihr Essen sehr wohl umsatzsteuerpflichtig, aber nicht für ihre Vorstellung. Genau dieser Unterschied ist die Art von Frage, für die Sie einmal Ihren Steuerberater anrufen, statt zu raten.

Bedenken Sie auch, dass Sie als Verkäufer Ihren Umsatz selbst belegen können müssen. Verkaufen Sie an der Tür, hilft das Kassenjournal dabei; siehe Die Thekenkasse.

---

Zahlungsdaten verarbeiten wir nicht

Kartennummern, Kontonummern und alles Weitere, was zu einer Zahlung gehört, gehen unmittelbar an den Zahlungsanbieter, den Sie selbst anbinden. Wir sehen nur, ob eine Zahlung geglückt ist und um welchen Betrag es ging. Das Geld kommt ebenfalls unmittelbar auf Ihr Konto; wir sind nicht dazwischen. Siehe Ihren Zahlungsanbieter anbinden.

---

Aufbewahrungsfristen

Die vollständige Liste steht in der Datenschutzerklärung. Die Fristen, die Sie am häufigsten brauchen:

Was	Wie lange	Warum
Bestellungen, Tickets und Scans	Solange Sie Kunde sind, plus das, was Sie selbst angeben	Sie bestimmen das als Verantwortlicher
Ihre Daten nach dem Ende Ihres Abonnements	30 Tage zum Exportieren, danach weg	Genug Zeit, um Ihren Export zu erstellen
Rechnungen	10 Jahre	Bulgarisches Buchhaltungsgesetz, auf uns anwendbar
Ihre eigenen Buchhaltungsunterlagen in Belgien	7 Jahre	Belgisches Wirtschaftsgesetzbuch (WER), auf Sie anwendbar
Serverprotokolle	90 Tage	Lang genug, um einen Vorfall zu untersuchen

Brauchen Sie für Ihre eigene Branche eine strengere Frist, lassen Sie es uns wissen.

---

Wer sieht Ihre Daten sonst noch?

Nur Dienstleister, die wir brauchen, damit die Plattform läuft. Die vollständige Liste mit Name, Land und Verwendungszweck steht in der Datenschutzerklärung und im Auftragsverarbeitungsvertrag. Diese beiden Listen kommen aus derselben Quelle, damit sie nicht auseinanderlaufen können.

Kommt ein Dienstleister dazu oder fällt einer weg, teilen wir das mindestens dreißig Tage vorher per E-Mail mit. Sind Sie damit nicht einverstanden, können Sie kostenfrei kündigen.

Ihre Daten bleiben in der Europäischen Union, mit drei Ausnahmen, die Sie selbst in der Hand haben: ein Ticket in Apple Wallet oder Google Wallet und Stripe als Zahlungsanbieter. Für alle drei gelten die Standardvertragsklauseln der Europäischen Kommission oder das EU-US Data Privacy Framework.

---

Cookies

Nur funktionale: die Sitzung, das CSRF-Token und das Cookie, das Sie angemeldet hält — und auf einem Tablet, das Sie als Kasse gekoppelt haben, ein Cookie, das dieses Gerät wiedererkennt. Keine Analyse, keine Werbung, keine Tracker und keine Schriftarten oder Skripte von einem fremden Server. Ihre Sprachwahl steckt in der Adresse der Seite und nicht in einem Cookie.

Deshalb steht auf der Website auch kein Cookie-Banner. Das ist keine Nachlässigkeit: Für Cookies, die zwingend nötig sind, um den Dienst zu erbringen, ist keine Einwilligung erforderlich.

---

Wenn doch etwas schiefgeht

Stellen wir eine Datenschutzverletzung fest, die Ihre Besucher betrifft, informieren wir Sie innerhalb von 48 Stunden nach der Feststellung — nicht innerhalb von 72, denn diese 72 Stunden sind die Frist, innerhalb derer Sie Ihre Aufsichtsbehörde informieren müssen, und die halten Sie nur ein, wenn Sie es früher von uns hören. Sie bekommen von uns, was wir in diesem Moment wissen, und was wir noch nicht wissen, sagen wir ehrlich dazu.

---

Beschwerde einlegen

Sind Sie nicht zufrieden damit, wie wir mit Daten umgehen, sagen Sie es uns zuerst — die meisten Dinge sind schneller in Ordnung gebracht, als ein Verfahren dauert. Sie können sich auch unmittelbar an eine Aufsichtsbehörde wenden: an die bulgarische CPDP (cpdp.bg), unsere federführende Aufsichtsbehörde, oder, wenn Sie in Belgien wohnen, an die Datenschutzbehörde (gegevensbeschermingsautoriteit.be).

---

Häufige Fehler

• Unsere Datenschutzerklärung als Ihre eigene verwenden. Die handelt von der Plattform. Ihr Besucher kauft bei Ihnen und muss Ihren Text lesen können.
• Keinen Link zu Ihren Bedingungen eintragen. Dann kann Ihr Besucher beim Bezahlen nirgends lesen, wozu er zustimmt, und bei der ersten Absage haben Sie keinerlei Vereinbarung, auf die Sie verweisen können.
• E-Mail-Adressen aus dem Ticketverkauf für einen Newsletter verwenden. Das ist ein anderer Zweck. Holen Sie dafür eine gesonderte Einwilligung ein.
• Behaupten, es gebe sehr wohl vierzehn Tage Bedenkzeit. Oder nichts dazu sagen, was auf dasselbe hinausläuft, sobald jemand danach fragt.
• Mehr abfragen, als Sie brauchen. Ein Geburtsdatum, eine Personenkennziffer oder eine Anschrift für ein Ticket, das per Mail kommt: Lassen Sie es sein. Was Sie nicht haben, können Sie nicht verlieren.

---

Was ist, wenn …

Was ist, wenn ein Besucher verlangt, alle seine Daten zu löschen?

Dann entscheiden Sie. Schauen Sie zuerst, ob Sie sie noch brauchen: Eine Bestellung, die in Ihrer Buchhaltung steckt, dürfen Sie in der Regel aufbewahren, bis Ihre gesetzliche Frist um ist. Der Rest kann weg. Suchen Sie die Person unter Bestellungen heraus und sagen Sie uns, was weg darf: Das Löschen oder Anonymisieren übernehmen wir für Sie.

Was ist, wenn ich keine eigenen Bedingungen habe und trotzdem schon verkauft habe?

Schreiben Sie sie nachträglich, stellen Sie sie online und tragen Sie den Link unter Einstellungen → Organisation, Reiter Erscheinungsbild, ein. Ab dann gelten sie für neue Bestellungen. Für das, was schon verkauft ist, fallen Sie auf das Gesetz zurück und auf das, was Sie in Ihrer Kommunikation zugesagt haben — ein Grund, es nicht aufzuschieben.

Was ist, wenn meine Veranstaltung abgesagt wird?

Tun Sie, was in Ihren eigenen Bedingungen steht, und tun Sie es schnell. Mailen Sie jedem, der ein Ticket hat, sagen Sie, was mit seinem Geld geschieht und wann. Schweigen kostet Sie mehr Goodwill als eine Rückerstattung, die zwei Wochen dauert.

Was ist, wenn sich ein Besucher über unseren Umgang mit Daten beschwert?

Schicken Sie ihn zu Ihnen, nicht zu uns: Sie sind der Verantwortliche. Kommen Sie nicht weiter, helfen wir Ihnen mit den Fakten. Ein Besucher darf sich daneben jederzeit an seine eigene Aufsichtsbehörde wenden.

Was ist, wenn ein Fördergeber einen unterschriebenen Vertrag verlangt?

Schreiben Sie uns. Wir unterschreiben ein Exemplar auf Briefpapier. Der Inhalt ist derselbe wie der, den Sie bei Ihrer Registrierung bereits akzeptiert haben.

---

Häufige Fragen

Muss ich den Auftragsverarbeitungsvertrag gesondert unterschreiben? Nein. Er steckt in den Allgemeinen Geschäftsbedingungen, die Sie bei Ihrer Registrierung akzeptiert haben. Für eine Akte unterschreiben wir auf Wunsch ein gesondertes Exemplar.

Braucht mein kleiner Verein wirklich eine Datenschutzerklärung? Ja. Die DSGVO macht keine Ausnahme nach Größe. Die gute Nachricht: Für einen Verein, der nur Namen und E-Mail-Adressen erhebt, genügt eine Seite.

Darf ich die Beispielsätze aus diesem Artikel übernehmen? Ja, gern — passen Sie sie an Ihre eigene Lage an. Es sind Beispiele, um Ihnen auf die Sprünge zu helfen, und kein von einer Juristin geprüfter Mustertext.

Brauche ich auf meiner eigenen Ticketseite einen Cookie-Banner? Für die Seiten, die wir liefern, nicht: Darauf stehen nur funktionale Cookies. Bauen Sie den Ticketshop mit Analysewerkzeugen in Ihre eigene Website ein, geht es um Ihre Cookies und Ihren Banner.

Wo sehe ich, welche Fassung der Bedingungen ich akzeptiert habe? Die wird bei Ihrer Organisation gespeichert. Fragen Sie uns, wenn Sie das Exemplar brauchen, das Sie seinerzeit akzeptiert haben.