Datenschutzerklärung

Wir informieren Sie nachfolgend darüber, welche personenbezogenen Daten wir beim Betrieb dieser Website verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage das geschieht und welche Rechte Ihnen zustehen (Artikel 13 und 14 der Datenschutz-Grundverordnung, DSGVO).

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Stadt Pforzheim — Kulturamt
[TODO: Straße und Hausnummer]
[TODO: PLZ] Pforzheim
Telefon: [TODO]
E-Mail: [TODO: offizielle E-Mail-Adresse des Kulturamts]

Die vollständigen Angaben zum Diensteanbieter finden Sie im Impressum.

2. Behördlicher Datenschutzbeauftragter

[TODO: Name, Anschrift und E-Mail-Adresse der oder des behördlichen Datenschutzbeauftragten der Stadt Pforzheim eintragen — die Benennung ist für öffentliche Stellen nach Artikel 37 DSGVO in Verbindung mit § 13 LDSG Baden-Württemberg verpflichtend und muss hier veröffentlicht werden.]

3. Allgemeines zu Rechtsgrundlagen

Als öffentliche Stelle verarbeiten wir personenbezogene Daten überwiegend zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt (Artikel 6 Absatz 1 Buchstabe e DSGVO in Verbindung mit § 4 LDSG Baden-Württemberg). Wo eine Verarbeitung zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, stützen wir sie auf Artikel 6 Absatz 1 Buchstabe b DSGVO.

[TODO: Endgültige Festlegung der Rechtsgrundlagen je Verarbeitung durch das Rechtsamt / den DSB — die nachfolgenden Angaben sind ein fachlicher Vorschlag.]

4. Aufruf der Website und Hosting

Diese Website wird bei der Vercel Inc. (bzw. der Vercel Germany GmbH) betrieben. Die Auslieferung erfolgt aus der Region Frankfurt am Main (fra1). Beim Aufruf einer Seite verarbeitet der Betrieb technisch notwendige Verbindungsdaten in Server-Protokollen, insbesondere IP-Adresse, Datum und Uhrzeit der Anfrage, angeforderte Adresse, Statuscode, übertragene Datenmenge, Referrer und Browserkennung.

• Zweck: technische Bereitstellung, Stabilität und Abwehr von Angriffen.
• Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe e DSGVO in Verbindung mit § 4 LDSG Baden-Württemberg, hilfsweise Artikel 6 Absatz 1 Buchstabe f DSGVO.
• Speicherdauer: entsprechend der Protokollierung des Betreibers [TODO: konkrete Aufbewahrungsdauer der Vercel-Logs eintragen].
• Auftragsverarbeitung: Es besteht ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO [TODO: vor Go-Live abschließen und Datum ergänzen].

5. Datenbank und Dateispeicher

Buchungs-, Organisations- und Anmeldedaten werden in einer Datenbank der Supabase-Plattform in der Region eu-central-1 (Frankfurt am Main, Europäische Union) gespeichert. Hochgeladene Veranstaltungsbilder liegen im selben Rechenzentrumsstandort.

• Rechtsgrundlage: wie bei der jeweiligen Verarbeitung, für die die Daten erhoben wurden (siehe Abschnitte 7 und 8).
• Auftragsverarbeitung: Vertrag nach Artikel 28 DSGVO [TODO: Bestand prüfen und Datum ergänzen].

6. E-Mail-Versand

Für den Versand der systemseitigen E-Mails (zum Beispiel Anmeldebestätigungen, Statusmitteilungen zu Buchungen, Einladungen zu Organisationskonten) setzen wir den Dienstleister Resend ein. Übermittelt werden die Empfängeradresse, der Betreff und der Inhalt der jeweiligen Nachricht.

• Zweck: zuverlässige Zustellung transaktionaler Nachrichten. Es findet kein Werbeversand und keine Erfolgsmessung (kein Öffnungs- oder Klick-Tracking) statt.
• Rechtsgrundlage: Die Nachrichten sind notwendiger Bestandteil der jeweiligen Grundverarbeitung (Artikel 6 Absatz 1 Buchstabe e beziehungsweise Buchstabe b DSGVO).
• Drittlandbezug: Der Anbieter hat seinen Sitz in den Vereinigten Staaten. Eine Übermittlung in ein Drittland kann daher nicht ausgeschlossen werden. Sie wird auf die Standardvertragsklauseln der Europäischen Kommission nach Artikel 46 Absatz 2 Buchstabe c DSGVO gestützt [TODO: Abschluss bestätigen, ergänzende Maßnahmen dokumentieren].
• Speicherdauer beim Dienstleister: Die Protokolle des Versanddienstleisters enthalten auch Nachrichteninhalte. Die Aufbewahrungsdauer ist auf das technisch mögliche Minimum eingestellt [TODO: konfigurierte Dauer eintragen].
• Auftragsverarbeitung: Vertrag nach Artikel 28 DSGVO [TODO: vor Go-Live abschließen].

7. Konten von Organisationen und Buchungsanfragen

Kulturschaffende, Vereine und Institutionen können ein Konto beantragen, um Termine im Kulturraum anzufragen und ihre Veranstaltungen zur Veröffentlichung einzureichen.

• Verarbeitete Daten: Name der Organisation, Rechtsform, Anschrift, Name und Kontaktdaten der ansprechbaren Person, E-Mail-Adresse, Telefonnummer sowie alle Angaben, die Sie im Rahmen einer Buchungsanfrage oder einer Veranstaltungsbeschreibung machen.
• Zweck: Prüfung der Registrierung, Vergabe und Verwaltung von Terminen, Kommunikation zum Vorgang, Veröffentlichung freigegebener Veranstaltungen.
• Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe e DSGVO in Verbindung mit § 4 LDSG Baden-Württemberg, hilfsweise Artikel 6 Absatz 1 Buchstabe b DSGVO.
• Ein Zugangskonto wird erst angelegt, nachdem das Kulturamt die Registrierung freigegeben hat. Zuvor werden Ihre Angaben ausschließlich zur Prüfung gespeichert.
• Speicherdauer: Abgelehnte Registrierungen werden 90 Tage nach der Ablehnung automatisch gelöscht. Freigegebene Organisationskonten bestehen, bis sie durch das Kulturamt gelöscht werden — auf Ihren Wunsch oder wenn sie nicht mehr genutzt werden. Angaben zu Belegungen des Raums bleiben in anonymisierter Form als Belegungshistorie erhalten.

8. Anmeldung zu Veranstaltungen

Für Veranstaltungen mit begrenzter Platzzahl können Sie sich ohne Benutzerkonto anmelden.

• Verarbeitete Daten: ausschließlich Ihr Name, Ihre E-Mail-Adresse und die Zahl der Personen. Weitere Angaben werden nicht erhoben; insbesondere speichern wir zu Ihrer Anmeldung weder Ihre IP-Adresse noch Ihre Browserkennung.
• Zweck: Platzvergabe, Bestätigung der Anmeldung, Möglichkeit zur Stornierung sowie Information bei Änderungen oder Absage der Veranstaltung.
• Empfänger: Die Anmeldeliste wird der veranstaltenden Organisation und dem Kulturamt zur Durchführung der Veranstaltung zugänglich gemacht.
• Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe b DSGVO (Durchführung der Anmeldung als vorvertragliche beziehungsweise vertragliche Maßnahme).
• Speicherdauer: Anonymisierung 30 Tage nach Veranstaltungsende — danach liegen keine personenbezogenen Daten mehr vor. Die Anonymisierung läuft automatisiert. Erhalten bleibt nur eine anonyme Zeile für die Belegungsstatistik, die keinen Bezug mehr zu Ihrer Person zulässt. Das gilt auch für stornierte Anmeldungen.

Stornierungslinks

Die Bestätigungs-E-Mail enthält einen persönlichen Link, mit dem Sie Ihre Anmeldung selbst stornieren können. In unserer Datenbank wird dieser Link nur als kryptografischer Prüfwert gespeichert, nicht im Klartext. Nach einer Stornierung verliert der Link seine Gültigkeit. Bitte geben Sie ihn nicht an Dritte weiter.

9. Schutz vor missbräuchlicher Nutzung

Um automatisierte Massenanfragen an Formularen (Anmeldung, Registrierung, Anmeldung am Konto) zu unterbinden, zählen wir Anfragen pro Zeitfenster. Dazu speichern wir keine IP-Adresse, sondern ausschließlich einen nicht umkehrbaren Prüfwert (SHA-256 über IP-Adresse und einen geheimen Zusatzwert).

• Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe e DSGVO in Verbindung mit § 4 LDSG Baden-Württemberg, hilfsweise Artikel 6 Absatz 1 Buchstabe f DSGVO (Sicherheit des Dienstes).
• Speicherdauer: weniger als 24 Stunden; die Werte werden automatisiert gelöscht.

10. Protokoll des E-Mail-Versands

Wir protokollieren, welche systemseitige Nachricht zu welchem Vorgang versendet wurde, um Zustellprobleme nachvollziehen zu können. Das Protokoll enthält keine Nachrichteninhalte, sondern nur die Art der Nachricht, den Zeitpunkt, den Zustellstatus, die Empfängeradresse sowie interne Vorgangsnummern.

• Speicherdauer: Bei Nachrichten an Besucherinnen und Besucher einer Veranstaltung wird die Empfängeradresse 30 Tage nach dem Ende der Veranstaltung entfernt, bei allen übrigen Nachrichten nach 90 Tagen.

11. Cookies und ähnliche Techniken

Diese Website setzt keine Cookies für Analyse, Reichweitenmessung, Werbung oder Profilbildung ein. Ein Einwilligungsbanner ist deshalb nicht erforderlich.

• Wenn Sie die Seiten nur ansehen und sich für Veranstaltungen anmelden, werden auf Ihrem Gerät keine Cookies gesetzt.
• Nur wenn Sie sich als Organisation oder als Mitarbeitende des Kulturamts anmelden, werden Sitzungs-Cookies gesetzt. Sie sind unbedingt erforderlich, um den angemeldeten Zustand zu halten, und daher nach § 25 Absatz 2 Nummer 2 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) einwilligungsfrei. Sie werden mit dem Abmelden beziehungsweise nach Ablauf der Sitzung ungültig.
• Schriftarten, Videos und Analysewerkzeuge werden nicht von fremden Servern nachgeladen. Die Startseite bindet jedoch unmittelbar eine Karte von OpenStreetMap ein. Beim Aufruf der Startseite stellt Ihr Browser deshalb eine Verbindung zu OpenStreetMap her; dabei werden insbesondere Ihre IP-Adresse, Zeitpunkt und der aufgerufene Kartenausschnitt an den externen Anbieter übertragen. Das Karten-iframe erhält durch referrerPolicy="no-referrer" keine aufrufende Seitenadresse. Es gelten ergänzend die Datenschutzbestimmungen von OpenStreetMap. Die rechtliche Freigabe dieser unmittelbaren Einbindung ist vor dem öffentlichen Betrieb durch die Datenschutzbeauftragten des Betreibers zu bestätigen.

12. Empfänger und Auftragsverarbeiter im Überblick

• Vercel — Betrieb und Auslieferung der Website (Region Frankfurt am Main).
• Supabase — Datenbank und Dateispeicher (Region Frankfurt am Main).
• Resend — Versand transaktionaler E-Mails (Sitz USA, Standardvertragsklauseln).
• Die jeweils veranstaltende Organisation — ausschließlich für die Anmeldeliste ihrer eigenen Veranstaltung.

Eine darüber hinausgehende Weitergabe an Dritte findet nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet.

13. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Artikel 15 DSGVO)
• Recht auf Berichtigung (Artikel 16 DSGVO)
• Recht auf Löschung (Artikel 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Artikel 18 DSGVO)
• Recht auf Datenübertragbarkeit (Artikel 20 DSGVO)
• Recht auf Widerspruch gegen Verarbeitungen, die auf Artikel 6 Absatz 1 Buchstabe e oder f DSGVO beruhen (Artikel 21 DSGVO)

Bitte richten Sie Ihr Anliegen an das Kulturamt oder an die oder den behördlichen Datenschutzbeauftragten (Abschnitte 1 und 2). Bitte beachten Sie, dass Anmeldedaten nach Ablauf der oben genannten Frist anonymisiert sind und danach nicht mehr Ihrer Person zugeordnet werden können; eine Auskunft ist dann nicht mehr möglich.

14. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
[TODO: Anschrift, Telefonnummer und E-Mail-Adresse vor Go-Live verifizieren]

15. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Artikel 22 DSGVO findet nicht statt. Über Registrierungen, Buchungsanfragen und Veröffentlichungen entscheiden Mitarbeitende des Kulturamts.

16. Pflicht zur Bereitstellung

Die Angabe Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Sie ist jedoch erforderlich, um eine Anmeldung zu einer Veranstaltung oder eine Buchungsanfrage bearbeiten zu können. Ohne diese Angaben können wir diese Leistungen nicht erbringen.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung.

Stand: [TODO: Datum der Freigabe durch Rechtsamt/DSB]