Datenschutz zu Buchungen & Gutscheinen

1. Verantwortliche und Kontakt

Feuer & Flamme – Kerzenwerkstatt Berlin
Inhaberin: Claudia Mann
Chodowieckistraße 2, 10405 Berlin
E-Mail: info@feuer-flamme-berlin.de
Telefon: +49 1515 0811149

Claudia ist auch deine Ansprechpartnerin für Auskunft, Berichtigung und Löschung deiner Daten.

2. Workshop-, Gruppen- und Schulanfragen

Wir verarbeiten den Namen der Kontaktperson, E-Mail-Adresse, Telefonnummer, Teilnehmerzahlen, gewünschte Termine und die dazugehörige Kommunikation. Dazu kommen Bearbeitungsstand, Terminbestätigung, Absagen und gegebenenfalls Ersatzvorschläge. Bei Schulklassen erfassen wir die Zahl der Schülerinnen und Schüler sowie der Begleitpersonen. Schule oder Organisation und zusätzliche Wünsche sind freiwillige Angaben.

Für Kinder unter sechs Jahren benötigen wir nur die Anzahl. Bitte übermittle keine Namen einzelner Kinder, Geburtsdaten oder Gesundheitsangaben.

Wir nutzen diese Angaben, um Anfragen zu bearbeiten, passende Gruppen zusammenzubringen und Termine abzustimmen und durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO (vorvertragliche Maßnahmen und Vertragserfüllung). Name, E-Mail, Telefonnummer und die notwendigen Angaben zur Gruppe und zum Termin sind Pflichtfelder des Formulars. Die Telefonnummer dient insbesondere dem persönlichen Kontakt bei kurzfristigen Terminänderungen. Ohne Pflichtangaben lässt sich das Formular nicht absenden; du kannst dich auch direkt an die Werkstatt wenden.

Schulklassen können einen Wunschtermin über das Formular anfragen. Exklusive Gruppen und Events fragen telefonisch an; die Werkstatt trägt diese Wünsche in das System ein. Die Hinweise auf dieser Seite gelten auch für diese Einträge.

Eine Anfrage ist noch keine Terminbestätigung. Claudia entscheidet über die Bestätigung. Empfehlungen zu bereits angefragten Zeiten sind keine Entscheidung mit rechtlicher Wirkung. Andere Gäste sehen keine Namen oder Kontaktdaten.

3. Hosting und Formularschutz

Die Anwendung läuft bei Cloudflare. Dabei werden insbesondere IP-Adresse, Zeitpunkt sowie Browser-, Geräte- und Verbindungsdaten zur Bereitstellung und Absicherung verarbeitet. Unsere beiden D1-Datenbanken sind mit EU-Jurisdiktion eingerichtet. Dies bedeutet nicht, dass sämtliche Verarbeitung durch Cloudflare ausschließlich in der EU stattfindet.

Zur Begrenzung missbräuchlicher Zugriffe verwendet die Anwendung zeitlich begrenzte, gesalzene Hashwerte der IP-Adresse. Diese Kennungen sind pseudonym. Die Zugriffslimit-Tabelle enthält die rohe IP-Adresse nicht; Cloudflare verarbeitet sie für die Verbindung und den Formularschutz.

Bei freigegebenen Onlineformularen verwenden wir Cloudflare Turnstile. Dabei werden technische Signale wie IP-Adresse, Browser- und Verbindungseigenschaften zur Erkennung automatisierter Zugriffe verarbeitet. Cloudflare verarbeitet diese Signale für den Schutz unserer Website in unserem Auftrag und zur Verbesserung seiner Bot-Erkennung auch in eigener Verantwortung. Einzelheiten und Kontaktmöglichkeiten findest du in der Turnstile-Datenschutzerklärung.

Rechtsgrundlage für den erforderlichen Schutz und zuverlässigen Betrieb ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt darin, automatisierte Falschanfragen und Angriffe zu verhindern und die Erreichbarkeit der Terminverwaltung zu sichern.

4. E-Mails und Dienstleister

Für automatische Nachrichten verwenden wir Resend (Plus Five Five, Inc., USA). Nach Freischaltung des Versands übermitteln wir die Empfängeradresse sowie Betreff und Nachrichtentext, beispielsweise mit Name, Teilnehmerzahl, Termin und einem persönlichen Antwortlink. Dazu gehören Eingangsbestätigungen, Terminbestätigungen, Absagen und Ersatzterminangebote. Die Telefonnummer wird nicht als eigenes Feld an die Versand-API übergeben.

Resend speichert E-Mail- und Protokolldaten in den USA. Die Versandregion Irland bestimmt den Versandweg und ist keine Zusage europäischer Speicherung. Resend nennt Standardvertragsklauseln als Grundlage für Übermittlungen aus dem EWR. Informationen und eine Kopie der Regelungen findest du im Resend-Datenschutzvertrag. Für Cloudflare gelten dessen Datenschutzvereinbarung und Übermittlungsgarantien.

Absender ist buchung@mail.feuer-flamme-berlin.de. Antworten gehen an info@feuer-flamme-berlin.de. Die Versandfunktion verwendet reine Textnachrichten ohne eigene Zählpixel. Die Angaben werden für Anfragebearbeitung und Terminabstimmung verarbeitet, nicht für einen Werbeverteiler.

Zugriff erhalten Claudia und von ihr befugte Personen, soweit dies für Bearbeitung oder technische Wartung erforderlich ist. Persönliche Ersatzterminlinks ermöglichen die Bearbeitung des jeweiligen Vorschlags; bitte gib sie nicht an andere Personen weiter.

5. Speicherdauer und Löschung

Operative Anfrage- und Buchungsdaten einschließlich des zugehörigen Postausgangs werden grundsätzlich 14 Tage nach dem tatsächlichen Workshopende gelöscht. Bei endgültig stornierten Anfragen beginnt diese Frist mit der Absage. Bei unbestätigten Anfragen zählt das Ende aller Terminoptionen und Ersatzabstimmungen; bei freien Schul- oder Gruppenwünschen das Ende des Wunschtages. Bloßes Ansehen oder spätere Bearbeitungen starten keine neue Frist.

Eine laufende Abstimmung, ungeklärte Versandvorgänge, offene Ansprüche oder gesetzliche Pflichten können eine längere Speicherung erfordern. Begründete Ausnahmen erhalten ein Ablaufdatum und werden überprüft. Gesetzlich aufzubewahrende Geschäfts- oder Zahlungsunterlagen sind getrennt von der kurzfristigen operativen Terminverwaltung zu behandeln.

Verschlüsselte tägliche Sicherungen haben eine eigene Frist von sieben Tagen. Ein getrenntes Löschjournal mit einer regulären Frist von 38 Tagen verhindert bei einer Wiederherstellung das erneute Einspielen bereits gelöschter Anfragen. Offene Löschvorgänge bleiben geschützt. Hinzu kommen technisch bedingte Wiederherstellungshistorien der Anbieter.

Resend nennt für reguläre E-Mail- und Logdaten 30 Tage sowie sieben Tage für Sicherungen. Die Löschung in unserer Anwendung löscht diese Kopien und Nachrichten in Empfängerpostfächern nicht automatisch. Bei einem berechtigten vorzeitigen Löschverlangen veranlasst Claudia die Prüfung der betroffenen Anbieter- und Postfachkopien. Korrespondenz im Werkstattpostfach wird nach ihrem Zweck und gegebenenfalls bestehenden Aufbewahrungspflichten gesondert behandelt.

6. Cookies, Speicher und Gutscheinauswahl

Für die Kundenanfrage ist kein Kundenkonto nötig. Die Werkstattanmeldung verwendet ein notwendiges Sitzungscookie namens ff_session mit einer maximalen Laufzeit von zwölf Stunden. Der Formularschutz kann zusätzliche technische Verbindungs- und Prüfdaten verarbeiten; siehe Abschnitt 3. Die Anwendung enthält keine eigene Werbe- oder Besucheranalyse.

Für die Wiederaufnahme einer Gutscheinbestellung speichert die Anwendung eine zufällige Bestell- und Zugriffskennung im Sitzungsspeicher deines Browsers (sessionStorage). Diese Kennungen sind für den von dir angeforderten Bezahlvorgang erforderlich. Sie enthalten nicht dein PayPal-Passwort oder deine Zahlungsdaten.

7. Gutscheinbestellungen und PayPal

Für einen Gutscheinkauf verarbeiten wir Name, E-Mail-Adresse, Gutscheinwert, gewünschte Ausgabeart, Bestellnummer und Zahlungsstatus. Beim Briefversand kommen Empfängername und Lieferanschrift innerhalb Deutschlands hinzu. Die Angaben sind für Kauf, Zahlung, Gutschein-Ausgabe und gegebenenfalls Widerruf oder Erstattung erforderlich (Art. 6 Abs. 1 Buchst. b DSGVO).

Für die Zahlung leiten wir dich zu PayPal weiter. An PayPal übermitteln wir die Bestellkennung, Beschreibung, den Gutscheinwert und gegebenenfalls Briefporto sowie die für den Briefversand erforderliche Empfängeranschrift. PayPal verarbeitet die Zahlung in eigener Verantwortung und kann Daten international übermitteln. Einzelheiten findest du in der PayPal-Datenschutzerklärung. Dein PayPal-Passwort, Karten- oder Bankzugangsdaten erhält unsere Anwendung nicht.

Die Anwendung prüft den Zahlungseingang direkt bei PayPal und speichert Bestell- und Zahlungskennungen, Betrag, Bearbeitungsstand, Gutscheincode sowie Ausgabe- und Einlösezeitpunkte. Sie speichert keine vollständigen PayPal-Kontoauszüge oder unverarbeiteten Zahlungsbenachrichtigungen. Die Werkstatt erhält die notwendigen Bestell- und Kontaktdaten per E-Mail. Digitale Gutscheine mit Code, Bestellbelege, Ausgabehinweise und Widerrufsbestätigungen werden über Resend versandt; die Hinweise in Abschnitt 4 gelten entsprechend.

Gutscheinbestellungen werden getrennt von Workshop-Anfragen gespeichert und verschlüsselt mitgesichert. Die 14-Tage-Löschung der Workshop-Anfragen gilt nicht für diese Kauf- und Zahlungsunterlagen. Wir speichern Bestelldaten, solange sie für Abwicklung, Einlösung, Widerruf oder offene Ansprüche benötigt werden. Unterlagen mit gesetzlichen Aufbewahrungspflichten werden für deren Dauer auf Grundlage von Art. 6 Abs. 1 Buchst. c DSGVO aufbewahrt; anschließend werden nicht mehr erforderliche personenbezogene Daten gelöscht. Claudia prüft Löschanfragen und notwendige Archivunterlagen gesondert.

8. Deine Rechte

Nach den gesetzlichen Voraussetzungen kannst du Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Soweit wir Daten aufgrund berechtigter Interessen verarbeiten, kannst du aus Gründen deiner besonderen Situation widersprechen (Art. 21 DSGVO). Wende dich dazu an Claudia unter den oben angegebenen Kontaktdaten. Zur Vermeidung einer unberechtigten Weitergabe prüfen wir erforderlichenfalls deine Identität.

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, beispielsweise bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit.