Datenschutzerklärung

Max Barghahn, Rothenbaumchaussee 22, 20148 Hamburg
E-Mail: ofc@unabsteigbar-jetzt-wirklich.de

Bei der Registrierung und Nutzung dieser Website verarbeiten wir:

• Vor- und Nachname, E-Mail-Adresse, Passwort (nur verschlüsselt gespeichert)
• HSV Supporters-Club-Nummer sowie deine fanclubinterne Mitgliedsnummer und dein Beitrittsdatum
• Anschrift (Straße, PLZ, Ort) und Handynummer
• Angaben zu deinen Ticket-Bewerbungen: gewünschte Anzahl, deine Sitzplatzpräferenz (bevorzugte und alternative Blöcke bzw. Tribünen im Stadionplan — je Spiel und als Standard in deinem Profil), Maximalbudget, Kommentare, gewählter Sitznachbar, Zu- und Absagen. Innerhalb des Fanclubs sehen andere Mitglieder in der Spieltag-Ansicht, in welchem Block du mit zugeteilter Karte sitzt (Vorname und Block).
• Zugeteilte Karten mit Block, Reihe und Platz, Ticketpreis und Zahlungsstatus. Die Ticketdateien selbst (PDF und Wallet-Datei) speichern wir, bis das Spiel vorbei ist. Beim Öffnen wird die Datei von unserem eigenen Server ausgeliefert; es entsteht dabei keine Verbindung zu Dritten. Dein Browser darf sie zwischenspeichern, damit sie am Stadion auch ohne Netz verfügbar ist.
• Zahlungsbezogene Angaben (Betrag, offen oder bezahlt) – keine Kontodaten oder Kartennummern; die Zahlung selbst läuft außerhalb dieser Website über PayPal
• Buchungen in der Fanclub-Kasse, soweit sie dir zuordenbar sind
• Deine Stimmen bei Abstimmungen sowie Angebote und Interessensbekundungen in der Ticketbörse
• Deine Einstellungen: Standard-Ticketwünsche inklusive Sitzplatzpräferenz, Bestätigung der Ticketberechtigung, Freigabe deiner HSV-Nummer für Fanclub-Bewerbungen sowie deine Benachrichtigungseinstellungen (welche Themen du per E-Mail bzw. Push-Mitteilung erhalten möchtest)
• Aktivierst du Push-Mitteilungen, speichern wir eine technische Geräteadresse (Push-Endpunkt und Schlüssel), über die dein Browser bzw. dein Gerät Mitteilungen empfängt. Die Zustellung läuft über den Push-Dienst deines Geräteherstellers (Apple bzw. Google); Inhalte sind dabei verschlüsselt. Du kannst die Mitteilungen jederzeit im Profil oder in den Geräteeinstellungen abschalten — die Geräteadresse wird dann gelöscht
• Die Fanclub-Verwaltung wird über Aktivitäten im Mitgliederbereich informiert (Bewerbung, Zusage, Rückgabe, Börsenangebot, Aufnahmeantrag sowie einmal täglich über eine Anmeldung). Das dient der Organisation des Fanclubs; die Angaben sind ohnehin für die Verwaltung einsehbar
• Standort am Spieltag (freiwillig): Teilst du auf der Seite „Fanclub im Stadion" aktiv deinen Standort, speichern wir deine aktuelle Position (Breiten- und Längengrad), solange du teilst. Sichtbar ist sie ausschließlich für Mitglieder, die für dasselbe Spiel ebenfalls gerade teilen. Es wird nur die letzte Position gespeichert, keine Bewegungshistorie. Das Teilen ist nur im Zeitfenster um den Anstoß möglich, endet mit einem Klick sofort und wird spätestens nach dem Spiel automatisch gelöscht
• Kontaktformular: Schreibst du uns über das Formular, speichern wir Name, E-Mail-Adresse, Anliegen und Nachricht, um dir antworten zu können. Die Angaben sind nur für die Fanclub-Verwaltung einsehbar und werden spätestens 90 Tage nach Erledigung deines Anliegens automatisch gelöscht
• Deine Postleitzahl wird zusätzlich genutzt, um in deinem Profil die Luftlinie zum Stadion anzuzeigen. Die Berechnung erfolgt vollständig auf unserem Server; es werden dabei keine Daten an Dritte übermittelt.
• Zum gefahrlosen Ausprobieren markiert das System Daten, die während eines eingeschalteten Testmodus neu angelegt werden, automatisch als Testdaten. Diese sind über eine eigene Aufräum-Funktion gezielt und vollständig löschbar, ohne echte Mitgliederdaten zu berühren.
• Zur Mitgliederverwaltung speichern wir den Zeitpunkt deiner letzten Nutzung des Portals (auf 10 Minuten genau). Er ist ausschließlich für Administratoren sichtbar und hilft z. B. zu erkennen, wen Einladungen nicht erreichen.
• Administratoren können für Mitglieder ohne hinterlegte E-Mail-Adresse einen einmaligen, eine Stunde gültigen Anmeldelink erzeugen und persönlich übermitteln (z. B. per WhatsApp vom eigenen Gerät). Die Erzeugung wird protokolliert; die Übermittlung erfolgt außerhalb dieser Website.
• Aus Sicherheitsgründen protokollieren wir Anmelde- und Registrierungsversuche. Dabei wird deine IP-Adresse nur gekürzt gespeichert (der letzte Block wird entfernt), zusammen mit Zeitpunkt und Erfolg. Diese Einträge werden nach 30 Tagen automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor automatisierten Angriffen und Massenanmeldungen).
• Änderungen im Mitgliederbereich werden in einem Protokoll festgehalten (wer wann was geändert hat), damit Vorgänge nachvollziehbar bleiben. Tritt beim Aufbau einer Seite ein technischer Fehler auf, wird dieser mit Seitenpfad, Fehlermeldung und — falls angemeldet — deinem Namen erfasst, damit wir ihn beheben können. Beide Protokolle sind ausschließlich für Administratoren einsehbar und werden nach 90 Tagen automatisch gelöscht.

Wir verarbeiten diese Daten ausschließlich, um die Ticket-Bewerbung und -Verteilung innerhalb des Fanclubs zu organisieren, die Fanclub-Kasse zu führen und dich über Fristen, Zuteilungen und Zahlungen zu informieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung der Vereinbarung zwischen dir und dem Fanclub). Für die freiwilligen Zusatzfunktionen — Push-Mitteilungen und das Standortteilen am Spieltag — ist die Rechtsgrundlage deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit im Profil bzw. mit einem Klick widerrufen kannst. Für Anfragen über das Kontaktformular gilt Art. 6 Abs. 1 lit. b DSGVO.

Supabase (Supabase Inc., USA) hostet unsere Datenbank, die Ticketdateien und den Login. Serverstandort: Irland (EU-Region eu-west-1). Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Bestandteil der Nutzungsbedingungen; für Übermittlungen in Drittländer gelten die EU-Standardvertragsklauseln.

Resend (Resend Inc., USA) versendet in unserem Auftrag E-Mails (Erinnerungen, Zahlungsaufforderungen, Zugangsdaten) und nimmt weitergeleitete Ticket-Mails entgegen. Serverstandort: Irland, EU. Leitet ein Administrator die Ticket-Bestätigung des HSV an unsere Empfangsadresse weiter, verarbeitet Resend diese Mail samt Anhängen und stellt sie unserem System bereit; Resend speichert eingegangene Mails bis zu 30 Tage. Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Vercel (Vercel Inc., USA) betreibt die Website. Beim Aufruf verarbeitet Vercel technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserkennung) in Server-Protokollen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und störungsfreier Betrieb). Es besteht ein Auftragsverarbeitungsvertrag.

PayPal: Die Zahlung wickelst du direkt über einen PayPal.me-Link ab. Wir speichern keine Zahlungsdaten; es gilt die Datenschutzerklärung von PayPal.

HSV-Ticketing / eventimsports: Die Wallet-Links zu deinen Karten führen auf Server des HSV-Ticketdienstleisters. Erst wenn du einen solchen Link antippst, entsteht eine Verbindung dorthin und deine IP-Adresse wird an diesen Anbieter übertragen. Es gelten dann dessen Datenschutzbestimmungen.

Die Fanclub-Kasse ist aus Transparenzgründen für alle angemeldeten, freigegebenen Mitglieder einsehbar (Buchungen inkl. zugehörigem Namen). Wählst du einen Sitznachbarn aus, wird dessen Name und Bereichswunsch dir angezeigt und umgekehrt. Im Übrigen sehen andere Mitglieder von deinen Angaben nur zusammengefasste Zahlen (z. B. Gesamtzahl der Bewerbungen), keine Einzeldetails.

In der Statistik ist für alle freigegebenen Mitglieder sichtbar, wie viele Karten jedes Mitglied in der laufenden Saison erhalten hat. Das dient der Nachvollziehbarkeit der fairen Verteilung.

Stellst du in der Ticketbörse eine Karte ein, sehen die anderen Mitglieder dein Angebot mit deinem Namen. Meldest du Interesse an einem Angebot, erhält die anbietende Person deinen Namen, deine Nachricht und deine Handynummer, damit ihr euch abstimmen könnt.

Wir speichern deine Daten, solange du Mitglied bist bzw. dein Konto besteht. Nach einer Sperrung deines Kontos bleiben die Daten zunächst erhalten (z. B. für die Kassenbuchführung), werden aber nach Aufforderung gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

• Protokolle über Anmelde- und Registrierungsversuche: 30 Tage, dann automatische Löschung
• Weitergeleitete Ticket-Mails bei Resend: bis zu 30 Tage
• Ticketdateien: bis zum Ende der Saison, danach löschen wir sie; du kannst deine Karten jederzeit selbst herunterladen
• Kassenbuchungen: solange die Fanclub-Kasse geführt wird, längstens 10 Jahre — damit Einnahmen und Ausgaben gegenüber den Mitgliedern dauerhaft nachvollziehbar bleiben (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO)

Wir setzen ausschließlich technisch notwendige Cookies zur Anmeldung (Session-Cookies von Supabase Auth) ein. Es findet kein Tracking und keine Analyse deines Nutzungsverhaltens statt.

Die auf dieser Website verwendeten Schriftarten werden beim Erstellen der Seite lokal eingebunden und beim Aufruf der Website von unserem eigenen Server ausgeliefert. Es findet keine Verbindung zu Servern von Google oder anderen Anbietern statt.

Reichen die verfügbaren Karten nicht für alle Wünsche, erstellt das System einen Verteilungsvorschlag nach festen, für alle nachvollziehbaren Regeln: Zuerst wird der Mindestwunsch berücksichtigt, und zwar bei denjenigen zuerst, die in der laufenden Saison bisher die wenigsten Karten erhalten haben. Über die endgültige Verteilung entscheidet immer ein Mensch — der Vorschlag lässt sich jederzeit ändern. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

Du hast jederzeit das Recht auf:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO) – vieles kannst du direkt in deinem Profil selbst ändern
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde, z. B. dem Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit

Mindestalter: Der Mitgliederbereich richtet sich an Personen ab 16 Jahren. Jüngere können nur mit Zustimmung eines Erziehungsberechtigten aufgenommen werden — sprich uns in dem Fall bitte vorher an.

Eine Übersicht aller zu dir gespeicherten Daten kannst du dir jederzeit selbst im Mitgliederbereich unter „Meine Daten" anzeigen lassen, ausdrucken oder speichern. Dort kannst du auch die Löschung deiner Daten beantragen.

Wende dich ansonsten einfach an ofc@unabsteigbar-jetzt-wirklich.de.