Datenschutzerklärung

Diese Erklärung gilt für den OA Team Hub (unser internes Betriebsportal) und die dort angebotene Probestunden-Anmeldung für Lübeck. Wir erklären, welche Daten wir verarbeiten, warum wir das dürfen, wie lange wir sie behalten und an wen sie gehen.

1. Verantwortlicher

Open Area Cansin Günay Rene Buckbesch GbR
Open Area Dance School
Hohenzollernring 71, 22763 Hamburg
Telefon: +49 40 22852111
E-Mail: info@openarea-dance.com

Weitere Angaben stehen im Impressum.

2. Wofür das Portal da ist

Der Team Hub dient der Organisation von Kursen, Raumbuchungen, Abrechnung und Kommunikation für Team-Mitglieder, Trainer:innen und ausgewählte Partner:innen sowie der IT-Sicherheit des Portals. Ohne Anmeldung zugänglich sind nur die Anmeldeseite, diese Erklärung, das Impressum, die Einladung zur Registrierung und die Probestunden-Anmeldung für Lübeck.

3. Anmeldung und Sicherheit (Team-Mitglieder)

• Konto: Name, E-Mail-Adresse, Rolle/Stufe und dein Passwort (nur als PBKDF2-Hash, nie im Klartext). Zweck: Konto und Zugang. Grundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Anmelde-Codes und Sitzungen: Der zweite Faktor (Code per E-Mail) und die Sitzung, die über ein Cookie mit deinem Konto verbunden wird. Zu jeder Sitzung speichern wir die vollständige IP-Adresse, den vollständigen User-Agent (Browser und Gerät) und eine Geräte-Kennung (Hash).
• Login-Versuche: E-Mail-Adresse, vollständige IP-Adresse, Ergebnis und Zeitpunkt (Schutz vor Passwort-Raten).
• Audit-Protokoll: sicherheitsrelevante Aktionen (Anmeldung, Änderungen, Zugriffe der Leitung) mit Zeitpunkt, vollständiger IP-Adresse und vollständigem User-Agent.
• Sicherheits-Zugriffsprotokoll (security_access_log): Bei jeder erfolgreichen Anmeldung speichern wir Name, E-Mail-Adresse, vollständige IP-Adresse, vollständigen User-Agent, Browsersprache, Geräte-Kennung und Zeitpunkt. Dazu kommen Angaben, die Cloudflare aus der IP-Adresse ableitet: der ungefähre Standort (Land, Region, Stadt, Postleitzahl, Zeitzone, ungefähre Koordinaten), der Netzbetreiber (ASN), das Cloudflare-Rechenzentrum, Verbindungsangaben (TLS, Protokoll) und ein Bot-Score, sofern Cloudflare ihn liefert.
• Geräteverzeichnis: Geräte-Kennung, eine Bezeichnung (zum Beispiel „iPhone · Vorname“) und die zuletzt gesehene IP-Adresse.

Zweck und Grundlage: Schutz vor unbefugtem Zugriff und gestohlenen Zugangsdaten, Erkennen von Missbrauch und Nachvollziehbarkeit bei Sicherheitsvorfällen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Wir speichern dafür bewusst die volle IP-Adresse, weil eine gekürzte Adresse einen Angriff nicht zuverlässig zuordnen lässt. Das Sicherheits-Zugriffsprotokoll sehen nur ausdrücklich freigeschaltete Administrator:innen. Du kannst dem aus Gründen deiner besonderen Situation widersprechen (siehe Abschnitt 10).

Bei der Zustimmung zu AGB und Datenschutz (Registrierung) halten wir Zeitpunkt, Version, einen Hash deiner Unterschrift, den User-Agent und eine gekürzte IP-Adresse (letztes Oktett entfernt) als Nachweis fest (Art. 6 Abs. 1 lit. b und f DSGVO).

4. Probestunden-Anmeldung Lübeck (Interessent:innen)

Wenn du dich über das öffentliche Formular für eine Probestunde in Lübeck anmeldest, verarbeiten wir Name, E-Mail-Adresse, optional Telefonnummer und Nachricht, den gewählten Kurs sowie deine IP-Adresse und den Zeitpunkt der Anmeldung.

• Zweck: Wir organisieren deine Probestunde, bestätigen sie dir per E-Mail und informieren unser Team über die Anmeldung. Erscheinst du zur Probestunde, tragen wir dich in die Anwesenheitsliste des Kurses ein. Die IP-Adresse nutzen wir nur gegen Missbrauch (zum Beispiel Massen-Anmeldungen).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen vor Vertragsschluss auf deine Anfrage); für die IP-Adresse Art. 6 Abs. 1 lit. f DSGVO (Schutz des Formulars vor Missbrauch).
• Pflichtangaben: Name und E-Mail-Adresse. Ohne sie können wir die Probestunde nicht organisieren. Telefonnummer und Nachricht sind freiwillig.
• Speicherdauer: Wir löschen die Anmeldung 6 Monate nach dem Absenden automatisch.
• Empfänger: Der E-Mail-Versand läuft über Resend (siehe Abschnitt 6). Unser Team erhält eine Benachrichtigung per E-Mail.

Zum Schutz vor Massen-Anmeldungen zählen wir Anfragen pro IP-Adresse und Stunde. Dafür speichern wir nur einen Hash der IP-Adresse, höchstens eine Stunde lang.

5. Weitere Daten im Team Hub

• Trainer:innen-Stammdaten: Name, Anschrift, Telefon, Notfallkontakt, Geburtsdatum, IBAN, Steuernummer bzw. Steuer-ID, Profiltext und Kurse. Zweck: Verträge, Abrechnung, Erreichbarkeit. Grundlage: Art. 6 Abs. 1 lit. b und c DSGVO.
• Kurslisten Lübeck: Namen der Kursteilnehmer:innen und ihre Anwesenheit. Die Namen kommen aus unserer Mitgliederverwaltung Virtuagym. E-Mail-Adressen aus Virtuagym übernehmen wir nicht in den Team Hub. Grundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Kurse).
• Fachdaten: Raumbuchungen und Rechnungen, Termine, Abwesenheiten, Vereinbarungen, Dokumente und Uploads, Videos, Nachrichten. Grundlage: Art. 6 Abs. 1 lit. b und c DSGVO (Vertrag, steuer- und handelsrechtliche Pflichten) sowie lit. f (interne Organisation).
• Hochgeladene Dateien: Vor der Ablage prüfen wir eine Prüfsumme (SHA-256) der Datei gegen die Datenbank bekannter Schadsoftware (Abschnitt 6). Dateiinhalte und Personendaten werden dabei nicht übermittelt.

6. Empfänger und Dienstleister

Diese Dienstleister verarbeiten Daten für uns:

• Cloudflare, Inc. (USA) — Hosting, Datenbank (D1), Dateispeicher (R2), Auslieferung und Schutz der Seite; liefert auch die Standortangaben aus Abschnitt 3 (Rechenzentren in Europa bevorzugt).
• Resend (Resend, Inc., USA) — Versand von E-Mails (Anmelde-Codes, Benachrichtigungen, Bestätigung der Probestunde).
• Dropbox (Dropbox, Inc., USA) — Ablage von Dokumenten.
• Google (Google Ireland Limited, Irland; Google LLC, USA) — Google Kalender zur Synchronisation der Raumbuchungen (Termin-Titel und Zeiten).
• Virtuagym (Niederlande) — Mitgliederverwaltung; Schnittstelle für die Namen in den Kurslisten.

Wir setzen diese Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein.

Weitere Empfänger, die nicht in unserem Auftrag handeln:

• PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg; PayPal Inc., USA) — Für die Zahlung der Raummiete bieten wir einen PayPal-Link an. Mit dem Klick verlässt du unser Portal; PayPal verarbeitet deine Zahlung als eigener Verantwortlicher. Auf der Raummiete-Seite im angemeldeten Bereich laden wir außerdem ein PayPal-Logo von den Servern von PayPal, dabei erhält PayPal deine IP-Adresse.
• abuse.ch (Schweiz) — erhält nur die Prüfsumme hochgeladener Dateien (Abschnitt 5). Für die Schweiz besteht ein Angemessenheitsbeschluss der EU.

Drittland USA: Cloudflare, Resend, Dropbox, Google und PayPal gehören zu Unternehmen in den USA oder haben dort Konzerngesellschaften. Soweit Daten dorthin gelangen, stützen wir uns auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), wenn der Anbieter zertifiziert ist (Cloudflare ist es), und sonst auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien bekommst du auf Anfrage.

7. Speicherdauer

• Sicherheits-Zugriffsprotokoll: 90 Tage, danach automatische Löschung.
• Probestunden-Anmeldungen (Lübeck): 6 Monate, danach automatische Löschung.
• Zähler gegen Massen-Anmeldungen (gehashte IP-Adresse): höchstens eine Stunde, danach automatische Löschung.
• Sitzung: bis zu 8 Stunden, mit „Angemeldet bleiben“ bis zu 30 Tage; danach läuft sie ab.
• Login-Versuche, Anmelde-Codes und Audit-Protokoll: nur so lange, wie es für den Schutz der Konten und die Nachvollziehbarkeit nötig ist; wir prüfen das regelmäßig und löschen, was nicht mehr gebraucht wird.
• Verträge, Rechnungen und Abrechnungsdaten: bis zum Ende der gesetzlichen Aufbewahrungsfristen (je nach Beleg 6 bis 10 Jahre nach § 147 AO und § 257 HGB).
• Alle übrigen Daten: bis der Zweck entfällt, bei Team-Mitgliedern bis zum Ende der Zusammenarbeit, soweit keine Aufbewahrungspflicht besteht.

Löschst du dein Konto, entfernen wir deine Kontodaten und trennen Protokolleinträge von deinem Konto. Protokolle im Sicherheits-Zugriffsprotokoll laufen danach spätestens nach 90 Tagen aus.

8. Cookies und lokaler Speicher

Wir verwenden ausschließlich technisch notwendige Cookies: das Sitzungs-Cookie nach der Anmeldung (HttpOnly, Secure, SameSite=Lax) und für den Kursbereich Lübeck ein Anmelde-Cookie (HttpOnly, Secure, SameSite=Strict, 8 Stunden). Dazu merkt sich dein Browser im lokalen Speicher, dass du den Cookie-Hinweis gesehen hast. Es gibt keine Tracking-, Werbe- oder Analyse-Dienste. Eine Einwilligung ist deshalb nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich.

9. Technische Sicherheit

Verschlüsselte Übertragung (TLS), Passwörter nur als PBKDF2-Hash, zweiter Faktor für interne Bereiche, Schutz vor Fremdanfragen (CSRF) und Begrenzung von Anfragen, Bindung von Administrator-Sitzungen an Gerät und IP-Adresse sowie ein strenges Rechte-Konzept: Kunden- und Finanzdaten sehen nur freigeschaltete Personen.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Team-Mitglieder können ihre Daten im Bereich „Einstellungen“ selbst exportieren und ihr Konto dort löschen.

Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Anfragen schickst du per E-Mail an info@openarea-dance.com. Du hast außerdem ein Beschwerderecht bei einer Aufsichtsbehörde, zum Beispiel beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit.

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

11. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung ändert. Es gilt die Fassung mit dem Stand oben auf dieser Seite.