Datenschutzerklärung

Ballbuddy ist für Schüler:innen gemacht, und die meisten davon sind zwischen 16 und 19. Deshalb steht hier, was mit euren Daten passiert, in normalen Sätzen. Wenn etwas unklar bleibt, fragt nach: [email protected].

1. Wer verantwortlich ist

Verantwortlicher im Sinn von Art. 4 Z 7 DSGVO:

Ripix e.U., Inhaber Ing. Richard Großschädl
Grazbachgasse 56, 8010 Graz, Österreich
E-Mail: [email protected] · Telefon: +43 699 81423850

Eine Datenschutzbeauftragte müssen wir nicht bestellen. Für alle Fragen zum Datenschutz ist die oben genannte Adresse zuständig.

2. Kurzfassung

• Ohne Konto könnt ihr den Ballkalender und alle Ball-Seiten ansehen. Dabei werden keine Cookies für Werbung oder Statistik gesetzt.
• Wir setzen weder Google Analytics noch Werbe-Pixel ein. Deshalb gibt es auf dieser Website auch kein Cookie-Banner.
• Ein Konto braucht ihr nur, wenn euer Komitee mit Ballbuddy arbeitet.
• Unsere Datenbank steht in Frankfurt am Main, der Server in Falkenstein (Deutschland).
• Ihr könnt jederzeit Auskunft verlangen, Daten berichtigen oder löschen lassen (Abschnitt 11).

3. Wenn ihr die Website nur anschaut

Server-Logdaten. Beim Aufruf jeder Seite übermittelt euer Browser technische Daten, die unser Server kurzzeitig protokolliert: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, verweisende Seite sowie Browser- und Betriebssystemkennung. Wir brauchen diese Daten, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren. Die Protokolle werden nach 14 Tagen gelöscht und nicht mit anderen Daten zusammengeführt.
Rechtsgrundlage: berechtigtes Interesse an einem sicheren, funktionierenden Betrieb, Art. 6 Abs. 1 lit. f DSGVO.

Cookies. Wir verwenden ausschließlich Cookies, die für den Betrieb nötig sind. Nach § 165 Abs. 3 TKG 2021 brauchen sie keine Einwilligung:

Cookies für Werbung, Reichweitenmessung oder Profilbildung setzen wir nicht ein. Ihr könnt Cookies in eurem Browser löschen; danach müsst ihr euch neu anmelden.

Bilder und Schriften. Alle Bilder, Schriften und Skripte kommen von unseren eigenen Servern. Wir binden keine Google Fonts, keine Social-Media-Plugins und keine externen Werbenetzwerke ein.

4. Wenn ihr uns schreibt

Über das Kontaktformular verarbeiten wir Vor- und Nachname, E-Mail-Adresse, Telefonnummer (freiwillig), das gewählte Thema und eure Nachricht. Wir brauchen diese Daten, um zu antworten.

Damit Formulare nicht von Bots zugespamt werden, prüfen wir beim Absenden ein verstecktes Feld, den Zeitabstand zwischen Aufruf und Absenden und die Zahl der Anfragen je IP-Adresse. Die IP-Adresse bleibt dabei nur im Arbeitsspeicher und wird nicht gespeichert.

Rechtsgrundlage: vorvertragliche Maßnahmen und Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), bei allgemeinen Anfragen unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Anfragen löschen wir, sobald sie erledigt sind und keine Aufbewahrungspflicht mehr besteht, spätestens nach 24 Monaten.

Anfragen aus dem Kontaktformular, Buchungsanfragen und Anfragen zur Übernahme eines Balls leiten wir zusätzlich an unser eigenes Anfragesystem weiter, das wir für alle Marken von Ripix e.U. betreiben. Die Daten bleiben dabei bei uns, wir geben sie nicht an Dritte weiter.

5. Wenn ihr euren Ball übernehmt oder einen Ball eintragt

Wer einen Ball im Kalender übernehmen oder einen neuen eintragen möchte, gibt an: Vorname, Nachname, E-Mail-Adresse, Instagram-Handle und optional eine Nachricht. Dazu speichern wir, von welcher Seite die Anfrage kam.

Das Instagram-Handle brauchen wir, um zu prüfen, dass die Anfrage wirklich vom Komitee kommt und nicht von jemandem, der einen fremden Ball übernehmen will. Dafür schreiben wir euch über Instagram oder per E-Mail an. Wir sehen dabei nur euer öffentliches Profil; ihr müsst uns keinen Zugriff auf euer Konto geben.

Rechtsgrundlage: vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse daran, dass niemand einen fremden Ball übernimmt (Art. 6 Abs. 1 lit. f DSGVO). Abgelehnte Anfragen löschen wir nach 6 Monaten.

6. Erinnerungen an einen Ball

Ihr könnt euch ohne Konto an einen Ball erinnern lassen. Dafür speichern wir eure E-Mail-Adresse, den Ball, die gewählten Erinnerungen (7 Tage vorher, 1 Tag vorher, Ticket-Start) und einen zufälligen Bestätigungscode.

Nach der Anmeldung schicken wir eine Bestätigungsmail. Erst wenn ihr den Link darin anklickt, verschicken wir Erinnerungen (Double-Opt-in). Jede Mail enthält einen Abmeldelink. Nach dem Ball brauchen wir die Adresse nicht mehr und löschen sie.

Rechtsgrundlage: eure Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Ihr könnt sie jederzeit widerrufen, ohne dass das Folgen hat; die Verarbeitung bis zum Widerruf bleibt rechtmäßig.

7. Konto und Komitee-App

Konto. Für ein Konto brauchen wir eure E-Mail-Adresse und ein Passwort; Vorname und Nachname geben wir aus eurer Anfrage vor, ihr könnt sie ändern. Freiwillig sind Profilbild, Instagram-Handle und Spracheinstellung. Passwörter speichern wir ausschließlich als kryptografischen Hash, im Klartext sehen wir sie nie.

Inhalte in der App. Je nachdem, welche Apps euer Komitee einschaltet, entstehen weitere Daten: Beiträge und Kommentare (Info Hub), Aufgaben und Zuständigkeiten (Mission Control), Motto-Ideen und Stimmen (Motto Battle), Zuteilungen und Verkäufe (Ticket Radar), Aktivitäten und Punkte (Punkte Collector), Sponsordaten und Dateien (Sponsor Manager, Data Vault) sowie Benachrichtigungen.

Wer was sieht. Die Trennung liegt in der Datenbank, nicht in der Oberfläche: Jede Zeile gehört zu genau einem Ball, und die Datenbank gibt nur heraus, was zum eigenen Ball gehört. Innerhalb eures Balls sieht das Komitee die Verwaltungsdaten, Schüler:innen sehen ihre eigenen. Ein anderer Ball sieht nichts davon.

Protokoll. Wichtige Verwaltungsschritte halten wir in einem Protokoll fest, etwa Freischaltungen und Rollenwechsel. So bleibt nachvollziehbar, wer was geändert hat. Das Protokoll sehen nur wir als Betreiber.

Rechtsgrundlage: Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Für Protokolle und Missbrauchsabwehr stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer. Ball-Daten bewahren wir 12 Monate nach dem Ball auf, damit das nächste Komitee darauf zugreifen kann; danach löschen wir sie. Euer Konto könnt ihr jederzeit löschen lassen (Abschnitt 11).

8. Wenn ihr unter 18 seid

Ballbuddy richtet sich an Maturaklassen, viele Nutzer:innen sind minderjährig. In Österreich dürfen Jugendliche ab dem vollendeten 14. Lebensjahr selbst in die Verarbeitung ihrer Daten einwilligen, wenn es um Dienste der Informationsgesellschaft geht (§ 4 Abs. 4 DSG). Für Jüngere brauchen wir die Zustimmung der Erziehungsberechtigten.

Wir fragen nur ab, was für die Ballorganisation nötig ist. Wenn Erziehungsberechtigte möchten, dass wir Daten ihres Kindes löschen, genügt eine Nachricht an [email protected].

9. Sponsordaten und andere Daten Dritter

Im Sponsor Manager tragen Komitees Kontaktdaten von Firmen ein, oft mit Namen einer Ansprechperson. Diese Personen haben uns ihre Daten nicht selbst gegeben – wir informieren daher hier nach Art. 14 DSGVO:

• Verarbeitet werden Firmenname, Name und Funktion der Ansprechperson, E-Mail-Adresse, Telefonnummer, Adresse sowie Notizen des Komitees.
• Zweck ist die Organisation des Ballsponsorings durch das jeweilige Komitee.
• Die Daten stammen vom Komitee, das sie eingetragen hat.
• Sichtbar sind sie nur für dieses Komitee und für die zuständigen Personen, nie für andere Bälle und nie öffentlich.
• Gelöscht werden sie mit den übrigen Ball-Daten (Abschnitt 7).

Wer als Ansprechperson Auskunft oder Löschung möchte, schreibt an [email protected]; wir leiten die Anfrage an das zuständige Komitee weiter und löschen selbst, wo wir zuständig sind.

Wer wofür verantwortlich ist. Für die Daten, die ein Komitee selbst einträgt, ist das Komitee verantwortlich: Es entscheidet, wen es einträgt und wozu, und es beantwortet Auskunfts- und Löschanfragen dieser Personen (Punkt 7 der Nutzungsbedingungen). Wir sind für die Plattform verantwortlich – dafür, dass diese Daten sicher gespeichert sind, nur für den eigenen Ball sichtbar bleiben und mit den übrigen Ball-Daten gelöscht werden. Anfragen, die bei uns landen, leiten wir an das zuständige Komitee weiter.

10. An wen wir Daten weitergeben

Wir verkaufen keine Daten. Für den Betrieb arbeiten wir mit folgenden Dienstleistern zusammen, die Daten nur nach unserer Weisung verarbeiten (Auftragsverarbeitung nach Art. 28 DSGVO):

Sonst geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder ihr eingewilligt habt.

Partner-Portal. Dienstleister, die mit einem Ball zusammenarbeiten (etwa für Druck oder Fotografie), können in Ballbuddy ein eigenes Konto bekommen. Sie sehen die Basisdaten des Balls und die Namen der Komitee-Mitglieder, nie die Inhalte eurer Apps. Welchem Ball ein Partner zugeteilt ist, entscheiden wir gemeinsam mit dem Komitee.

11. Eure Rechte

Ihr habt jederzeit das Recht auf:

• Auskunft darüber, welche Daten wir über euch verarbeiten (Art. 15 DSGVO)
• Berichtigung falscher Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung, mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Eine Nachricht an [email protected] genügt. Wir antworten innerhalb eines Monats.

Wenn ihr glaubt, dass wir eure Daten nicht richtig verarbeiten, könnt ihr euch bei der Aufsichtsbehörde beschweren:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 52 152-0 · E-Mail: [email protected] · dsb.gv.at

12. Wie wir eure Daten schützen

• Alle Verbindungen laufen verschlüsselt über HTTPS.
• Passwörter speichern wir nur als Hash.
• Die Trennung zwischen Bällen erzwingt die Datenbank selbst, nicht die Oberfläche. Wir prüfen das bei jeder Änderung automatisiert.
• Dateien in eurem privaten Bereich sind nicht öffentlich erreichbar. Downloads laufen über Links, die nach 60 Sekunden ablaufen.
• Zugriff auf die Produktivsysteme hat nur der Betreiber, geschützt mit Zwei-Faktor-Authentifizierung.

13. Automatisierte Entscheidungen

Wir treffen keine automatisierten Entscheidungen im Sinn von Art. 22 DSGVO und erstellen keine Profile.

14. Änderungen

Wenn sich Ballbuddy weiterentwickelt, ändert sich auch diese Erklärung. Die jeweils gültige Fassung steht immer hier, mit dem Stand oben. Bei wesentlichen Änderungen informieren wir angemeldete Nutzer:innen zusätzlich per E-Mail oder in der App.