Datenschutzerklärung

1. Verantwortlicher

Open Area Cansin Günay Rene Buckbesch GbR (Open Area Dance School)
vertreten durch die Gesellschafter Cansin Günay und René Buckbesch
Hohenzollernring 71, 22763 Hamburg
E-Mail: info@openarea-dance.com

Wir sind nicht verpflichtet, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen (§ 38 BDSG). Die allgemeine Datenschutzerklärung unserer Webseite finden Sie unter openarea-dance.com.

2. Welche Daten wir erheben

Wir erheben folgende personenbezogene Daten: Name, Anschrift, Geburtsdatum, E-Mail-Adresse, Telefonnummer, Vertrags- und Zahlungsdaten (IBAN und SEPA-Mandat; Kartenzahlungen über Stripe), IP-Adresse bei Login und Online-Vertrag (30 Tage), Nutzungsdaten (Check-ins, Kursbuchungen, Punkte).

2a. Zwecke der Verarbeitung

Wir verarbeiten Ihre Daten zu folgenden Zwecken: Verwaltung von Mitgliedschaften und Verträgen, Durchführung des SEPA-Lastschriftverfahrens, Bearbeitung von Probetraining-Anfragen (einschließlich Entfernungsprüfung anhand der Adresse für den richtigen Probestunden-Tarif), Bestätigung des Online-Vertrags per E-Mail- und SMS-Code, Versand von Kurs- und Buchungsbestätigungen, Erfüllung gesetzlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB).

2b. Check-in am Tresen: IP-Adresse, Gerätekennung, Foto

Beim Check-in am Tresen oder über das Schülerportal speichern wir zusätzlich: die IP-Adresse Ihres Geräts, eine nicht rückrechenbare Gerätekennung (ein Hash-Wert, kein Klartext) und optional ein Foto zum Abgleich mit Ihrem Profil. Zweck ist ausschließlich der Schutz vor Missbrauch der Mitgliedschaft (z. B. Weitergabe des Check-in-Zugangs an Dritte). IP-Adresse und Gerätekennung werden nach 90 Tagen automatisch gelöscht. Das Foto wird bis zum Ende Ihrer Mitgliedschaft aufbewahrt.

3. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Basis von: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), lit. b (Vertragserfüllung), lit. c (gesetzliche Verpflichtung), lit. f (berechtigte Interessen).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (lit. f) verarbeiten, können Sie jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

4. Speicherdauer

Vertragsdaten speichern wir bis zum Vertragsende. Danach bewahren wir nur auf, was das Gesetz verlangt (§ 147 AO, § 257 HGB): Buchungsbelege und Rechnungen 8 Jahre, Bücher und Jahresabschlüsse 10 Jahre, Geschäftsbriefe 6 Jahre. IP-Adressen aus Login und Online-Vertrag löschen wir nach 30 Tagen, IP-Adresse und Gerätekennung beim Check-in nach 90 Tagen. Probestunden-Anfragen ohne Vertrag werden nach 90 Tagen pseudonymisiert. Einwilligungen gelten bis zum Widerruf.

5. Dienstleister und Empfänger

Wir setzen folgende Dienstleister ein. Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

• Hetzner Online GmbH, Deutschland — Server und Datenbank von OA Studio
• Stripe Payments Europe Ltd., Irland — Kartenzahlungen; eigene Verantwortlichkeit für Zahlungs- und Betrugsprüfung
• Commerzbank AG, Deutschland — SEPA-Lastschriften und Überweisungen (eigene Verantwortlichkeit)
• Google Ireland Ltd. (Google Workspace) — E-Mail-Versand und Postfächer, z. B. Bestätigungen und Belege
• Twilio Inc., USA — SMS-Bestätigungscode beim Online-Vertrag
• Anthropic PBC, USA (Claude) — KI-Unterstützung bei internen Verwaltungsaufgaben, z. B. Sortieren und Entwürfe im Postfach; keine automatischen Entscheidungen
• Cloudflare Inc., USA — Schutz und Auslieferung der Webseite und des Schülerportals
• Photon (komoot GmbH, Deutschland) — Adresssuche und Entfernungsprüfung bei der Probestunde
• Dropbox Inc., USA — interne Dateiablage, z. B. Unterlagen und Kursvideos
• Web-Push-Dienste der Browser (Apple, Google, Mozilla) — nur wenn Sie Benachrichtigungen erlauben

Bei Empfängern in den USA erfolgt die Übermittlung auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO) oder der EU-Standardvertragsklauseln (Art. 46 DSGVO). Wir verkaufen keine Daten und nutzen keine Werbe- oder Analyse-Dienste.

6. Ihre Rechte

Sie haben das Recht auf: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und Widerruf einer Einwilligung (Art. 7 Abs. 3). Wenden Sie sich an info@openarea-dance.com. Die Angabe von Name, Anschrift, Kontakt- und Zahlungsdaten ist für den Vertrag nötig; ohne sie können wir keinen Vertrag schließen. Automatisierte Entscheidungen nach Art. 22 DSGVO finden nicht statt.

7. Beschwerderecht

Sie haben das Recht, sich bei der Datenschutzbehörde zu beschweren: Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg, datenschutz@hmbdi.hamburg.de

8. Cookies

Wir verwenden nur technisch notwendige Cookies und Browser-Speicher (Anmeldung, Sicherheit, Geräte-Kopplung, Einstellungen). Das ist nach § 25 Abs. 2 TDDDG ohne Einwilligung erlaubt. Analyse-, Tracking- oder Werbe-Cookies setzen wir nicht.

9. Sicherheit

Alle Datenübertragungen erfolgen verschlüsselt (TLS). Zugriff auf personenbezogene Daten hat nur berechtigtes Personal mit eigenem, geschütztem Konto; Änderungen werden protokolliert. Passwörter und Gerätekennungen speichern wir nur als Hash, Gesundheitshinweise verschlüsselt. Wir sichern die Daten regelmäßig.

10. Änderungen

Diese Datenschutzerklärung kann aktualisiert werden. Die aktuelle Version ist stets unter /datenschutz abrufbar.

11. Kunden-iPad und Geräte-Kopplung

Am Tresen steht ein iPad nur für Sie. Das Personal schickt eine Ansicht auf genau dieses Gerät. Das iPad speichert nach der einmaligen Kopplung unter /display/kunde/koppeln ein Geräte-Geheimnis im Browser. In unserer Datenbank liegt nur ein Hash, nicht das Geheimnis selbst. Gekoppelte Geräte können wir sperren; danach gilt der alte Code nicht mehr. Über das iPad sehen Sie keine Daten anderer Personen.

12. Notfallkontakt und Gesundheitshinweis

Sie können Name und Telefon einer Person angeben, die wir im Notfall anrufen dürfen (Art. 6 Abs. 1 lit. d und f DSGVO). Einen Gesundheitshinweis speichern wir nur, wenn Sie ausdrücklich einwilligen (Art. 9 Abs. 2 lit. a DSGVO). Der Hinweis wird verschlüsselt abgelegt, nicht im Klartext. Ohne Häkchen speichern wir keinen Hinweis. Die Einwilligung können Sie jederzeit widerrufen.

13. Abholberechtigte

Bei Kindern können Sie eintragen, wer das Kind abholen darf (Name, Beziehung, Telefon, optional ein Datum). Die Liste gehört nur zu diesem Kind. Andere Kinder sehen Sie nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Vertrag und Schutz des Kindes).

14. Foto- und Video-Einwilligung

Fotos und kurze Videos für Website/Social Media und für Aufführungen sind getrennt ankreuzbar. Beides ist freiwillig (Art. 6 Abs. 1 lit. a DSGVO). Bei Personen unter 18 Jahren stimmen die Erziehungsberechtigten zu. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

15. Fundsachen-Fotos

Wenn Sie am iPad eine Fundsache mit Foto melden, speichern wir Beschreibung, Ort und das Bild nur intern (Art. 6 Abs. 1 lit. f DSGVO). Fundsachen-Fotos löschen wir nach 90 Tagen. Die Meldung selbst kann ohne Bild stehen bleiben.

16. Belege per E-Mail

Nach einer Zahlung können Sie am iPad eine E-Mail angeben. Wir schicken den Kassenbon an diese Adresse. Zusätzlich gibt es einen Link zum Bon ohne Login. Der Link gilt 90 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (Vertrag und gesetzliche Aufbewahrung). Der Versand läuft über Google Workspace, siehe Abschnitt 5.

17. Zahlung am Kunden-iPad (Stripe)

Sie können vorne per QR-Code mit dem eigenen Handy zahlen (Stripe Checkout). Kartendaten geben Sie nicht auf dem Studio-iPad ein. Stripe verarbeitet die Zahlung wie in Abschnitt 5 beschrieben. Stattdessen können Sie Bar am Tresen oder Karte am Lesegerät wählen; das Personal bucht das dann an der Kasse.