Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Eventhelden mieten – Markus Schuh
Robert-Koch-Str. 8, 86343 Königsbrunn
Telefon: 08231/6057694
E-Mail: impressum@handh.de
USt-IdNr.: DE206837730

[Prüfhinweis für den Anwalt: Prüfen, ob angesichts der Verarbeitung von Kinderdaten trotz voraussichtlich fehlender gesetzlicher Pflicht (Art. 37 DSGVO / § 38 BDSG bei diesem Geschäftsumfang wohl nicht erforderlich) eine freiwillige Bestellung eines Datenschutzbeauftragten als Vertrauenssignal sinnvoll ist.]

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Vermittlungsleistungen erforderlich ist oder eine gesetzliche Erlaubnis bzw. Ihre Einwilligung vorliegt. Je nach Zweck stützen wir uns auf Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), lit. b (Vertragserfüllung), lit. c (rechtliche Verpflichtung) oder lit. f DSGVO (berechtigtes Interesse) — die jeweilige Grundlage wird unten konkret benannt.

3. Bereitstellung der Website, Server-Logfiles

Bei jedem Aufruf unserer Website erfasst unser System automatisiert Daten des aufrufenden Rechnersystems (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browsertyp, Referrer-URL). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (technisch fehlerfreie Bereitstellung, Systemsicherheit). Die IP-Adresse wird [Prüfhinweis: technisch verifizieren — gekürzt/anonymisiert gespeichert oder vollständig? Formulierung entsprechend anpassen]. Die Logfiles werden für [Prüfhinweis: konkrete Frist des Hosters STRATO erfragen, üblich 7–14 Tage] gespeichert und danach automatisiert gelöscht.

4. Cookies / Session-Cookie

Wir setzen ausschließlich ein technisch notwendiges Session-Cookie zur Absicherung der Buchungsstrecke ein (Formularzustand während des Buchungsvorgangs). Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt. Da das Cookie zur Erbringung des von Ihnen ausdrücklich gewünschten Telemediendienstes unbedingt erforderlich ist, ist gemäß § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, vormals TTDSG) keine Einwilligung erforderlich; ein Cookie-Consent-Banner entfällt. Datenschutzrechtliche Grundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das Cookie wird mit Ende der Browser-Sitzung automatisch gelöscht.

5. Buchungsformular

5.1 Erhobene Daten. Bei einer Buchung erheben wir: Name, Telefonnummer, E-Mail-Adresse, Besuchsadresse und die gewählte Zahlungsart. Die Verarbeitung erfolgt zur Durchführung des Vermittlungsvertrags auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

5.2 Geokodierung der Adresse. Die Besuchsadresse wird zum Zweck der Routen- und Einsatzplanung geokodiert. [Prüfhinweis für den Anwalt — zwingend zu klären: Welcher Dienst wird zur Geokodierung genutzt (Google Maps Platform, HERE, selbstgehostetes OpenStreetMap/Nominatim o. Ä.)? Der Anbieter ist als Empfänger zu benennen; bei US-Anbietern ist ein zusätzlicher Drittlandtransfer offenzulegen. Zusätzlich technisch zu verifizieren: Findet bereits während der Eingabe eine Live-Adressvervollständigung (Autocomplete) statt, die Daten an den Dienst überträgt, bevor das Formular abgesendet wurde bzw. bevor ein Vertrag oder eine Einwilligung vorliegt? In diesem Fall ist die Übermittlung gesondert und mit eigener Rechtsgrundlage (regelmäßig Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an nutzerfreundlicher Eingabe) zu benennen.] Bis zur Klärung: „Zur Geokodierung nutzen wir den Dienst [ANBIETER]. Empfänger der Adressdaten ist [ANBIETER], [Sitz/Drittlandbezug]."

5.3 Zahlungsart. Je nach gewählter Zahlungsart verarbeiten wir Daten zur Abwicklung entweder über unseren Zahlungsdienstleister Stripe (siehe Ziffer 8) oder vermerken die vor-Ort-Barzahlung intern zur Provisionsabrechnung mit dem Darsteller.

6. Angaben zu Kindern („Goldenes Buch")

6.1 Freiwilligkeit. Die Angabe von Vorname, Alter, Hobbys und individuellen Lob-Anlässen Ihres Kindes ist freiwillig und erfolgt ausschließlich auf Ihre eigene Eingabe hin. Die Buchung ist auch ohne diese Angaben vollständig möglich. Betroffene Person dieser Daten ist Ihr Kind; Sie geben die Angaben in Ihrer Rolle als Erziehungsberechtigte(r) ein.

6.2 Rechtsgrundlage: Einwilligung kraft elterlicher Vertretungsmacht. Da es sich um Daten eines Minderjährigen handelt, holen wir Ihre Einwilligung als sorgeberechtigter Elternteil bzw. gesetzlicher Vertreter ein (Art. 6 Abs. 1 lit. a DSGVO). Rechtsgrundlage Ihrer Befugnis, stellvertretend für Ihr Kind einzuwilligen, ist die elterliche Sorge nach §§ 1626, 1629 BGB. Die Einwilligung wird über ein gesondertes, von der eigentlichen Buchung getrenntes Ankreuzfeld eingeholt und deckt sowohl die Speicherung der Angaben als auch die KI-gestützte Textvorschlags-Erstellung (Ziffer 6.3) ab.

[Prüfhinweis für den Anwalt: Art. 8 DSGVO (besondere Bedingungen für Einwilligungen von Kindern bei Diensten der Informationsgesellschaft) ist nach hier vertretener Auffassung nicht unmittelbar einschlägig, da ein Elternteil im eigenen Namen bucht und im Rahmen der elterlichen Sorge Daten über das Kind mitteilt, statt dass sich der Dienst direkt an das Kind richtet. Diese Einordnung — Grundlage für den Verzicht auf ein Art.-8-Altersverifizierungsverfahren — sollte anwaltlich bestätigt werden.]

6.3 KI-gestützte Textvorschläge. Aus den freiwillig mitgeteilten Angaben erzeugt eine interne, nicht öffentlich zugängliche Funktion im Bereich unserer Darsteller mittels der Anthropic-KI-API zwei Textvorschläge für die persönliche Ansprache Ihres Kindes. Die Textvorschläge werden niemals automatisiert an Sie oder Ihr Kind ausgespielt: Der Darsteller (ein Mensch) wählt aus, überarbeitet nach eigenem Ermessen und trägt den Text persönlich vor. Es findet keine ausschließlich automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt, da stets eine menschliche Überprüfung zwischengeschaltet ist und die KI-Ausgabe keine rechtliche oder ähnlich erhebliche Wirkung Ihnen oder Ihrem Kind gegenüber entfaltet.

6.4 Übermittlung an Anthropic PBC (USA) — Drittlandtransfer. Zur Erzeugung der Textvorschläge werden die Angaben zum Kind an Anthropic PBC, San Francisco, USA, übermittelt. Die USA sind datenschutzrechtlich ein Drittland. Nach unserer Kenntnis werden über die API übermittelte Daten von Anthropic nicht standardmäßig zum Training von KI-Modellen verwendet; [Prüfhinweis: dies anhand der aktuell gültigen Anthropic-API-Geschäftsbedingungen verifizieren und ggf. mit Datum/Fundstelle belegen, bevor eine entsprechende Aussage in die veröffentlichte Fassung übernommen wird].

[Prüfhinweis für den Anwalt — zentral zu klären:

• Ist Anthropic PBC zum Veröffentlichungszeitpunkt auf der offiziellen DPF-Liste (dataprivacyframework.gov) als zertifiziert gelistet, und deckt die Zertifizierung das konkret genutzte API-Produkt ab? Falls ja: Transfer auf Art. 45 Abs. 1 DSGVO i. V. m. dem Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework stützen.
• Falls nicht (oder nicht abgedeckt): Transfer auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) stützen; dann ist eine Transfer Impact Assessment (TIA) durchzuführen (interne Dokumentation, nicht zwingend Teil der öffentlichen Erklärung), insbesondere zu US-Überwachungsgesetzen (FISA 702, EO 12333), unter Berücksichtigung der hier eher geringen Sensibilität der Daten (Vorname/Alter/Hobbys, keine Art.-9-Kategorien).
• Besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit Anthropic, und deckt er diese Verarbeitung ab?

Formulierungsplatzhalter bis zur Klärung: „Rechtsgrundlage der Übermittlung ist [Art. 45 DSGVO i. V. m. dem Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework / Art. 46 Abs. 2 lit. c DSGVO in Form von EU-Standardvertragsklauseln]. Eine Kopie der getroffenen Garantien können Sie über die in Ziffer 1 genannten Kontaktdaten anfordern."]

6.5 Widerrufsrecht. Sie können Ihre Einwilligung zur Verarbeitung der Kinderdaten (einschließlich der KI-gestützten Textvorschlagserstellung) jederzeit mit Wirkung für die Zukunft widerrufen, z. B. formlos per E-Mail. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO). Nach Widerruf werden die Angaben gelöscht, sofern der Besuch noch nicht stattgefunden hat; andernfalls erfolgt die Löschung nach Ziffer 9.

7. Spracherkennung beim „Goldenen Buch"

Für die optionale Diktierfunktion beim Ausfüllen der Angaben zum Kind kann die im Browser integrierte Spracherkennung genutzt werden.

[Blockierender Prüf- und Klärungspunkt — vor Veröffentlichung technisch zwingend zu verifizieren: Ob die Verarbeitung tatsächlich vollständig lokal im Browser stattfindet, hängt von der eingesetzten Browser-Engine ab: Safari/WebKit verarbeitet die SpeechRecognition-API häufig on-device; Chrome/Chromium sendet das Audiosignal in vielen Konstellationen zur Umwandlung an Google-Server. Eine Datenschutzerklärung darf keine Unsicherheit über die eigene Datenverarbeitung kommunizieren (Bestimmtheitsgebot aus Art. 13/14 DSGVO) — die im Ausgangsentwurf vorgesehene Formulierung „nach unserer derzeitigen Kenntnis... teils lokal, teils über Server..." ist daher NICHT go-live-fähig und darf so nicht veröffentlicht werden. Vor Veröffentlichung ist entweder (a) die Funktion technisch auf eine nachweislich lokale Verarbeitung zu beschränken (z. B. Einsatz nur dort, wo On-Device-Verarbeitung sichergestellt ist), oder (b) diese Ziffer nach abschließender technischer Prüfung eindeutig zu formulieren und Google (bzw. der jeweilige Browser-Anbieter) als weiterer Empfänger/Auftragsverarbeiter mit Rechtsgrundlage, DPF/SCC-Status und ggf. TIA analog Ziffer 6.4 zu benennen; die Einwilligung nach Ziffer 6.2 ist dann ausdrücklich auf diese Verarbeitung zu erstrecken.]

8. Zahlungsabwicklung

Bei Auswahl der Zahlungsart „Kreditkarte/Vorkasse" erfolgt die Zahlungsabwicklung über unseren Zahlungsdienstleister Stripe. Hierbei werden die zur Zahlungsabwicklung erforderlichen Daten (u. a. Name, Zahlungsbetrag, Bestelldaten) übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit Stripe im Rahmen der Zahlungsabwicklung zusätzlich Daten zur Betrugsprävention (z. B. Stripe Radar) verarbeitet, erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Zahlungsbetrug). Kartendaten selbst werden nicht bei uns, sondern ausschließlich in der PCI-DSS-zertifizierten Umgebung von Stripe verarbeitet.

[Prüfhinweis für den Anwalt: Exakte Vertragsentität benennen (regelmäßig Stripe Payments Europe, Ltd., Irland, als EU-Verarbeiter; ggf. zusätzlicher Drittlandbezug zur Stripe, Inc., USA) und Übermittlungsgrundlage (DPF/SCC) analog Ziffer 6.4 prüfen und einsetzen.]

Bei Barzahlung vor Ort erfolgt keine Übermittlung von Zahlungsdaten an Dritte; wir verarbeiten lediglich interne Abrechnungsdaten zur Provisionsermittlung mit dem Darsteller.

9. Speicherfristen

Buchungs-/Rechnungsdaten: 10 Jahre nach Ablauf des Kalenderjahres der Rechnungsstellung (§ 147 AO, § 257 HGB).
Vertragskorrespondenz ohne steuerliche Relevanz: 3 Jahre, gerechnet ab dem Ende des Jahres, in dem der jeweilige Anspruch entstanden ist und der Gläubiger von den anspruchsbegründenden Umständen Kenntnis erlangt hat (regelmäßige Verjährungsfrist, § 195, § 199 Abs. 1 BGB).
Angaben „Goldenes Buch" (Kinderdaten, KI-Textvorschläge): [Prüfhinweis: vom Unternehmen festzulegen — Empfehlung: spätestens wenige Wochen nach dem Besuchstermin automatisiert löschen, sofern kein Folgeauftrag besteht] (Art. 6 Abs. 1 lit. a i. V. m. Zweckerreichung).
Bewerberdaten (Darsteller): bei Nichtberücksichtigung 6 Monate nach Abschluss des Auswahlverfahrens; bei Zusammenarbeit Dauer der Zusammenarbeit zzgl. gesetzlicher Aufbewahrungsfristen (Art. 6 Abs. 1 lit. f DSGVO). [Prüfhinweis: Die 6-Monats-Orientierungsfrist stammt aus arbeitsrechtlicher Praxis (AGG-Nachweislogik) und ist auf freie Subunternehmer nicht ohne Weiteres übertragbar — bitte eigenständig herleiten oder bestätigen.]
Rückruf-Formular: Löschung nach Erledigung, spätestens [Prüfhinweis: Frist festlegen, üblich 6 Monate] (Art. 6 Abs. 1 lit. f DSGVO).
Server-Logfiles: 7–14 Tage (Art. 6 Abs. 1 lit. f DSGVO).

10. Kontaktaufnahme (Rückruf-Formular, E-Mail)

Bei Nutzung des Rückruf-Formulars auf der Kontaktseite (Name, Telefon, Nachricht) oder bei E-Mail-Kontaktaufnahme verarbeiten wir Ihre Angaben zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist, je nach Inhalt, Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) oder Art. 6 Abs. 1 lit. f DSGVO (sonstige Anfragen).

11. Bewerbung als Darsteller

11.1 Im Rahmen des Bewerbungsformulars erheben wir die zur Auswahlentscheidung erforderlichen Angaben sowie eine E-Mail-Verifizierung. Zweck der Verifizierung ist die Nachvollziehbarkeit im Ernstfall (Rückverfolgbarkeit einer verantwortlichen Person), nicht primär Spamschutz. Rechtsgrundlage ist sowohl Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen im Hinblick auf eine Zusammenarbeit als selbstständiger Subunternehmer) als auch, soweit es um das genannte Sicherheits- und Rückverfolgungsinteresse geht, Art. 6 Abs. 1 lit. f DSGVO.

11.2 Wir fragen die Bereitschaft zur künftigen Vorlage eines polizeilichen Führungszeugnisses als reine Ja/Nein-Angabe ab; ein Upload oder eine inhaltliche Prüfung des Zeugnisses findet aktuell nicht statt. Es werden somit derzeit keine Daten über strafrechtliche Verurteilungen im Sinne von Art. 10 DSGVO verarbeitet, sondern lediglich eine Erklärung zur Bereitschaft.

[Prüfhinweis für den Anwalt: Sollte künftig eine tatsächliche Einsichtnahme in Führungszeugnisse eingeführt werden, ist diese Ziffer entsprechend zu erweitern (Art. 10 DSGVO, strengere Löschfristen, ggf. reiner Sichtvermerk ohne Kopie/Speicherung). Bereits jetzt zu prüfen: Auch die bloße Checkbox-Frage nach der Bereitschaft berührt thematisch strafrechtsbezogene Daten und sollte auf korrekte Rechtsgrundlage und Verhältnismäßigkeit hin geprüft werden.]

12. Empfänger und Auftragsverarbeiter (Übersicht)

Hostinganbieter (STRATO), Deutschland — Serverbetrieb Website/Datenbank, Auftragsverarbeiter, kein Drittland.
Anthropic PBC, USA — KI-gestützte Textvorschläge (Ziffer 6.3–6.4), Drittlandtransfer, siehe Prüfhinweis dort.
Stripe — Zahlungsabwicklung Kreditkarte, siehe Prüfhinweis Ziffer 8.
Geokodierungsdienst — Umwandlung Adresse in Koordinaten, [Prüfhinweis: Anbieter benennen].
Google/Apple (nur bei serverseitiger Spracherkennung) — Speech-to-Text, siehe Ziffer 7.
E-Mail-/Transaktionsmail-Versanddienst (sofern nicht durch STRATO selbst betrieben) — Versand von Buchungsbestätigungen u. Ä., [Prüfhinweis: Dienst benennen, sofern vorhanden].
Steuerberater — Verarbeitung von Buchhaltungs-/Rechnungsdaten im Rahmen der steuerlichen Beratung, Auftragsverarbeiter bzw. eigenständig Verantwortlicher je nach Ausgestaltung, [Prüfhinweis: Verhältnis klären].
Darsteller (selbstständige Subunternehmer) — Durchführung des Hausbesuchs, Deutschland, eigenständig Verantwortliche, siehe Ziffer 12.1.

12.1 Zur Durchführung Ihres Besuchs übermitteln wir die hierfür notwendigen Daten (Name des Kindes, Adresse, Terminzeit, ggf. Angaben zum „Goldenen Buch") an den zugewiesenen Darsteller. Rechtsgrundlage dieser Übermittlung ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des mit Ihnen geschlossenen Vermittlungsvertrags). Da der Darsteller als selbstständiger Subunternehmer im eigenen Namen tätig wird, verarbeitet er diese Daten regelmäßig als eigenständig Verantwortlicher für die Durchführung des Besuchs, nicht als unser Auftragsverarbeiter.

[Prüfhinweis für den Anwalt: Diese Einordnung ist anwaltlich zu bestätigen, da sie von der vertraglichen Ausgestaltung mit den Darstellern abhängt. Ist sie zutreffend, sollte der Darsteller vertraglich (Subunternehmervertrag) zu eigenen Datenschutzpflichten verpflichtet werden (Löschung nach dem Besuch, Vertraulichkeit der Kinderdaten, keine Zweckentfremdung der KI-Textvorschläge).]

13. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Bestimmungen folgende Rechte hinsichtlich der Sie bzw. — soweit Sie als Elternteil handeln — Ihr Kind betreffenden Daten: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21, gegen auf Art. 6 Abs. 1 lit. f gestützte Verarbeitungen), Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO, insbesondere zum „Goldenen Buch"), sowie Beschwerderecht bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO) — zuständig ist regelmäßig das Bayerische Landesamt für Datenschutzaufsicht, Promenade 27, 91522 Ansbach.

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, sobald sich die von uns durchgeführten Datenverarbeitungen ändern. Maßgeblich für die Beurteilung einer konkreten Verarbeitung ist stets die zum Zeitpunkt dieser Verarbeitung (z. B. der Erhebung Ihrer Daten) auf unserer Website veröffentlichte Fassung dieser Erklärung.

Stand: 25.09.2026 (Entwurf, erarbeitet von einem 5-köpfigen KI-Expertengremium mit Synthese und Gegenprüfung — wartet auf anwaltliche Freigabe)