Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO ist:

Bayerisches Rotes Kreuz
Körperschaft des öffentlichen Rechts
vertreten durch das Präsidium
Bauernfeindstraße 17
80939 München
Telefon: (0 89) 92 41 - 0
Fax: (0 89) 92 41 - 12 00
E-Mail: info(at)brk.de

Weitere Angaben zu unserer Organisation entnehmen Sie bitte den Impressumsangaben auf unserer Internetseite www.brk.de/service/impressum.html.

2. Datenschutzbeauftragter

Bei allen Fragen zum Datenschutz steht Ihnen unser betrieblicher Datenschutzbeauftragter zur Verfügung:

Jochen Lotze
E-Mail: Datenschutz.lgst(at)brk.de
Telefon: 089 9241-1511

3. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzerinnen und Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen – insbesondere der Anmeldung zu und Durchführung von Veranstaltungen des Bayerischen Roten Kreuzes – erforderlich ist. Die Verarbeitung personenbezogener Daten erfolgt regelmäßig nur nach Einwilligung der Nutzerin bzw. des Nutzers oder auf Grundlage einer der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DS-GVO – Einwilligung (z. B. für freiwillige Einverständniserklärungen, Foto-/Video-Einwilligungen, SMS-Benachrichtigungen)
• Art. 6 Abs. 1 lit. b DS-GVO – Erfüllung eines Vertrags bzw. Durchführung vorvertraglicher Maßnahmen (z. B. Anmeldung, Ticketausstellung, Zahlungsabwicklung)
• Art. 6 Abs. 1 lit. c DS-GVO – Erfüllung einer rechtlichen Verpflichtung (z. B. steuer- und handelsrechtliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DS-GVO – Wahrung berechtigter Interessen (z. B. IT-Sicherheit, Missbrauchsprävention, Nachweis erbrachter Leistungen)
• Art. 9 Abs. 2 lit. a bzw. lit. i DS-GVO – bei besonderen Kategorien personenbezogener Daten (z. B. Gesundheitsdaten wie Allergien, medizinische Hinweise) auf Grundlage Ihrer ausdrücklichen Einwilligung

4. Bereitstellung der Website und Erstellung von Server-Logfiles

Bei jedem Aufruf unserer Website erfasst unser System automatisiert Daten und Informationen vom Computersystem des aufrufenden Rechners. Folgende Daten werden dabei technisch bedingt erhoben:

• IP-Adresse des zugreifenden Endgeräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene URL / Seite
• Browsertyp und -version, verwendetes Betriebssystem
• von der zugreifenden Website übermittelte URL (Referrer)
• Meldung, ob der Abruf erfolgreich war (HTTP-Statuscode)

Diese Daten werden in Logfiles unseres Hosting-Dienstleisters gespeichert, um die Auslieferung der Website zu ermöglichen, die Systemsicherheit und -stabilität zu gewährleisten und Missbrauch zu erkennen bzw. zu verfolgen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DS-GVO. Die IP-Adressen werden, soweit technisch möglich und zumutbar, gekürzt bzw. nach spätestens 30 Tagen gelöscht, sofern keine weitere Aufbewahrung zu Beweiszwecken erforderlich ist.

5. Cookies und Schriftarten

Diese Website verwendet ausschließlich technisch notwendige Cookies, keine Marketing- oder Tracking-Cookies und keine Analyse-/Statistik-Dienste (z. B. Google Analytics) Dritter. Konkret setzen wir ein:

• Session-Cookie zur Aufrechterhaltung Ihrer Anmeldesitzung bzw. des Anmeldevorgangs zu einer Veranstaltung (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DS-GVO, berechtigtes Interesse an einer funktionsfähigen Website; § 25 Abs. 2 Nr. 2 TTDSG)
• CSRF-Schutz-Cookie zur Absicherung von Formularübermittlungen gegen Angriffe (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DS-GVO, IT-Sicherheit)

Diese Cookies sind für den Betrieb der Website zwingend erforderlich und können nicht deaktiviert werden, ohne die Funktionsfähigkeit der Anmeldung einzuschränken. Eine Einwilligung ist hierfür nach § 25 Abs. 2 TTDSG nicht erforderlich.

Zur einheitlichen Darstellung von Schriftarten binden wir Webfonts über den Anbieter Bunny Fonts (Bunny Way d.o.o., Slowenien, EU) ein. Bunny Fonts speichert nach eigenen Angaben keine personenbezogenen Daten und keine IP-Adressen und übermittelt keine Daten an Dritte (z. B. Google); die Schriftarten werden auf europäischen Servern gehostet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DS-GVO (einheitliche und technisch stabile Darstellung unserer Website).

6. Eingebettete YouTube-Videos (2-Klick-Lösung)

Auf einzelnen Veranstaltungsseiten binden wir Videos des Dienstes YouTube ein. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Wir nutzen dafür eine datenschutzfreundliche 2-Klick-Lösung: Beim Aufruf der Seite wird zunächst nur ein lokal bei uns gespeichertes Vorschaubild angezeigt; es wird dabei keine Verbindung zu Servern von YouTube oder Google hergestellt.

Erst wenn Sie auf das Video klicken, wird es über den erweiterten Datenschutzmodus (youtube-nocookie.com) geladen. Dabei werden insbesondere Ihre IP-Adresse, Informationen zu Ihrem Browser und die aufgerufene Seite an YouTube übermittelt; YouTube kann dabei auch Cookies bzw. vergleichbare Technologien einsetzen. Eine Übermittlung in die USA kann nicht ausgeschlossen werden; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DS-GVO, § 25 Abs. 1 TDDDG, vormals TTDSG). Sie können die Einwilligung jederzeit für die Zukunft widerrufen, indem Sie die Seite neu laden bzw. die Cookies in Ihrem Browser löschen. Weitere Informationen: policies.google.com/privacy.

7. Anmeldung zu Veranstaltungen

Über unser Veranstaltungsportal können Sie sich zu Veranstaltungen des Bayerischen Roten Kreuzes (z. B. Kursen, Schulungen, Ausbildungen) anmelden. Im Rahmen der Anmeldung erheben und verarbeiten wir folgende Kategorien personenbezogener Daten:

• Stammdaten: Anrede, Vor- und Nachname, Geburtsdatum, E-Mail-Adresse, Telefon-/Mobilfunknummer, Anschrift
• Mitgliedschafts-/Zugehörigkeitsdaten: Mitgliedsnummer, Gliederung/Organisationseinheit, Funktion (sofern für die jeweilige Veranstaltung erhoben)
• Veranstaltungsbezogene Angaben: gewählte Ticketkategorie, gewählte Workshops, individuell von der Veranstaltung abgefragte Formularfelder (z. B. Ernährungshinweise, gesundheitliche Angaben, sonstige Freitextangaben)
• Besondere Kategorien personenbezogener Daten (Art. 9 DS-GVO): sofern von der jeweiligen Veranstaltung abgefragt, z. B. Allergien, Ernährungsbesonderheiten oder sonstige gesundheitsbezogene Hinweise – Angabe stets freiwillig und auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DS-GVO)
• Nachweisdaten: IP-Adresse und Zeitpunkt der Anmeldung (zu Nachweiszwecken), digitale Unterschrift, sofern die Veranstaltung eine Unterschrift vorsieht

Welche Angaben im Einzelfall abgefragt werden, hängt von der jeweiligen Veranstaltung ab und wird Ihnen im Anmeldeformular transparent angezeigt; als Pflichtfelder gekennzeichnete Angaben sind für die Durchführung der Anmeldung erforderlich, alle übrigen Angaben sind freiwillig.

Die Verarbeitung erfolgt zur Durchführung des Anmeldevorgangs sowie zur Organisation, Durchführung und Nachbereitung der jeweiligen Veranstaltung, einschließlich Ausstellung eines Tickets, Führung einer Warteliste, Erinnerungs- und Informations-E-Mails vor der Veranstaltung sowie – sofern vorgesehen – Ausstellung einer Teilnahmebescheinigung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DS-GVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen), für besondere Kategorien personenbezogener Daten zusätzlich Art. 9 Abs. 2 lit. a DS-GVO (Einwilligung).

8. Minderjährige und Erziehungsberechtigte

Sofern eine Veranstaltung auch für minderjährige Teilnehmende vorgesehen ist, erheben wir zusätzlich Name, Kontaktdaten (E-Mail, Telefon, Notfalltelefon), Anschrift und das Verhältnis zum minderjährigen Teilnehmenden der bzw. des Erziehungsberechtigten, um die erforderliche Einwilligung zur Teilnahme sowie zur medizinischen Notfallversorgung einzuholen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DS-GVO in Verbindung mit Art. 8 DS-GVO.

9. Einverständniserklärungen und digitale Unterschrift

Für bestimmte Veranstaltungen ist die Zustimmung zu Einverständniserklärungen (z. B. zur Teilnahme, zu Foto-/Videoaufnahmen oder zur medizinischen Notfallversorgung) erforderlich. Ihre Zustimmung sowie – sofern vorgesehen – Ihre auf dem Endgerät geleistete digitale Unterschrift werden gemeinsam mit Zeitstempel und IP-Adresse als Nachweis gespeichert und Ihnen als PDF-Dokument zur Verfügung gestellt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a und lit. b DS-GVO sowie – soweit Gesundheitsdaten betroffen sind – Art. 9 Abs. 2 lit. a DS-GVO.

10. Zahlungsabwicklung

Sofern eine Veranstaltung kostenpflichtig ist, bieten wir die Bezahlung per Kreditkarte, sonstigen von Stripe unterstützten Online-Zahlarten sowie – im Rahmen des Vor-Ort-Check-ins – per Kartenzahlung an einem Kartenterminal (Stripe Terminal) an. Die Zahlungsabwicklung erfolgt über den Zahlungsdienstleister

Stripe Payments Europe, Ltd.
1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland

Hierbei werden die zur Zahlungsabwicklung erforderlichen Daten (u. a. Name, Rechnungsanschrift, Zahlungsbetrag, Zahlungsmittelinformationen) an Stripe übermittelt. Zahlungsmitteldaten (z. B. vollständige Kartennummern) werden von uns nicht gespeichert; die Zahlungsabwicklung erfolgt direkt über die Systeme von Stripe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DS-GVO. Es kann im Rahmen der Zahlungsabwicklung zu einer Datenübermittlung in Drittländer (u. a. USA) kommen; Stripe hat sich hierfür zur Einhaltung der EU-Standardvertragsklauseln gemäß Art. 46 DS-GVO verpflichtet. Weitere Informationen entnehmen Sie der Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

11. Rechnungsstellung und Buchhaltung

Bei kostenpflichtigen Veranstaltungen erstellen wir Rechnungen bzw. Gutschriften unter Verwendung Ihrer Namens-, Kontakt- und Zahlungsdaten. Diese Unterlagen unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen (grundsätzlich 6 bzw. 10 Jahre gemäß § 257 HGB, § 147 AO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DS-GVO.

12. Digitale Tickets, QR-Check-in und Wallet-Pässe

Nach erfolgreicher Anmeldung erhalten Sie ein digitales Ticket mit einem individuellen QR-Code, das zum Check-in vor Ort dient und Ihren Namen sowie veranstaltungsbezogene Daten enthalten kann. Auf Wunsch können Sie Ihr Ticket zusätzlich als Apple-Wallet- bzw. Google-Wallet-Pass auf Ihrem Mobilgerät hinterlegen; die dafür erforderlichen Ticketdaten werden hierzu einmalig an die jeweiligen Wallet-Dienste von Apple Inc. bzw. Google Ireland Limited übermittelt und dort in Ihrem persönlichen Wallet gespeichert – ein weitergehender Zugriff unsererseits auf Ihr Wallet erfolgt nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DS-GVO.

13. E-Mail- und SMS-Kommunikation

Zur Durchführung des Anmeldeprozesses versenden wir automatisiert E-Mails (z. B. Anmelde- und Zahlungsbestätigung, Erinnerungen, Informationen vor der Veranstaltung, Teilnahmebescheinigungen). Der Versand erfolgt über unseren E-Mail-Versanddienstleister bzw. eigene Mailserver. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DS-GVO.

Sofern für eine Veranstaltung vorgesehen und von Ihnen genutzt, können wir Ihnen zusätzlich SMS- Benachrichtigungen (z. B. Zahlungslinks am Check-in) zusenden. Der Versand erfolgt über unseren SMS-Dienstleister seven.io (Seven Squared GmbH, Köln), an den hierfür Ihre Mobilfunknummer sowie der Nachrichteninhalt übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. a DS-GVO.

14. Empfänger und Auftragsverarbeiter

Zur Erbringung der oben beschriebenen Leistungen setzen wir folgende Dienstleister ein, mit denen – soweit erforderlich – Auftragsverarbeitungsverträge gemäß Art. 28 DS-GVO abgeschlossen wurden:

• Hosting- und Infrastruktur-Dienstleister (Bereitstellung der Server und der Datenbank)
• Stripe Payments Europe, Ltd. (Zahlungsabwicklung, siehe Ziffer 10)
• Seven Squared GmbH / seven.io (SMS-Versand, siehe Ziffer 13)
• unser E-Mail-Versanddienstleister (Versand automatisierter System-E-Mails)
• Bunny Way d.o.o. / Bunny Fonts (Bereitstellung von Webfonts, siehe Ziffer 5)
• Apple Inc. bzw. Google Ireland Limited, ausschließlich soweit Sie die Wallet-Funktion aktiv nutzen (siehe Ziffer 12)
• Google Ireland Limited / YouTube, ausschließlich wenn Sie ein eingebettetes Video per Klick laden (siehe Ziffer 6)

Eine Übermittlung Ihrer Daten an sonstige Dritte erfolgt nur, soweit dies zur Vertragsdurchführung erforderlich ist, wir gesetzlich dazu verpflichtet sind oder Sie zuvor eingewilligt haben. Innerhalb des Bayerischen Roten Kreuzes erhalten die für die Organisation und Durchführung der jeweiligen Veranstaltung zuständigen Mitarbeitenden bzw. Gliederungen Zugriff auf die für diese Veranstaltung erforderlichen Daten.

15. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorschreiben. Im Einzelnen:

• Anmelde- und Teilnahmedaten: für die Dauer der Veranstaltungsorganisation sowie anschließend zu Nachweiszwecken (z. B. Ausbildungsnachweise) bis zu 10 Jahre
• Rechnungs- und Zahlungsdaten: 10 Jahre gemäß § 147 AO bzw. 6 Jahre gemäß § 257 HGB
• Einverständniserklärungen und digitale Unterschriften: für die Dauer der gesetzlichen bzw. satzungsmäßigen Nachweispflichten
• Server-Logfiles: max. 30 Tage, soweit keine Sicherheitsvorfälle eine längere Speicherung erfordern

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

16. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulationen, Verlust, Zerstörung oder gegen den Zugriff unberechtigter Personen zu schützen. Die Übertragung Ihrer Daten erfolgt ausschließlich verschlüsselt über eine TLS/SSL- gesicherte Verbindung. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

17. Ihre Rechte als betroffene Person

Ihnen stehen hinsichtlich Ihrer personenbezogenen Daten folgende Rechte zu:

• Auskunftsrecht (Art. 15 DS-GVO)
• Recht auf Berichtigung (Art. 16 DS-GVO)
• Recht auf Löschung (Art. 17 DS-GVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DS-GVO)
• Recht auf Datenübertragbarkeit (Art. 20 DS-GVO)
• Widerspruchsrecht gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DS-GVO (Art. 21 DS-GVO)
• Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DS-GVO)

Zur Ausübung dieser Rechte wenden Sie sich bitte an unseren Datenschutzbeauftragten (Ziffer 2) oder an die in Ziffer 1 genannte verantwortliche Stelle.

18. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27 (Schloss)
91522 Ansbach
www.lda.bayern.de

19. Pflicht zur Bereitstellung von Daten

Im Rahmen einer Veranstaltungsanmeldung müssen Sie die als Pflichtfelder gekennzeichneten personenbezogenen Daten bereitstellen, die zur Durchführung der Anmeldung und – bei kostenpflichtigen Veranstaltungen – der Zahlungsabwicklung erforderlich sind. Ohne diese Angaben können wir Ihre Anmeldung nicht bearbeiten. Alle übrigen Angaben erfolgen freiwillig.

20. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DS-GVO findet nicht statt.

21. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Datenschutzerklärung.