Rechtliches

Daten­schutz

Datenschutzerklärung für das Vereinsheim, den Mitgliederbereich vom 1. FC Hoffnungsvoll

1. Wer ist verantwortlich?

Johannes Günther
Geschäftsbezeichnung: LiDR
Geisinger Weg 20/A
70439 Stuttgart
E-Mail: johannes.guenther@lidr.studio

Weitere Angaben findest du im Impressum.

2. Hosting, Server und Protokolle

Das Vereinsheim läuft auf Firebase und Google Cloud. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

• Datenbank (Firestore), Server-Funktionen (Cloud Functions) und Medienspeicher (Cloud Storage) stehen in Frankfurt am Main.
• Die Seiten selbst (Texte, Gestaltung, Skripte) liefert Google über ein weltweites Servernetz aus, jeweils vom nächstgelegenen Standort.

Wenn du das Vereinsheim aufrufst, verarbeitet Google technisch notwendige Daten: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, Browser und Betriebssystem, die vorher besuchte Seite (falls dein Browser sie mitschickt) sowie Antwortcode und Datenmenge. Anfragen an unseren Server werden protokolliert und die Protokolle nach 30 Tagen automatisch gelöscht. Wir schauen sie nur an, um Fehler zu finden und Missbrauch abzuwehren. Zugangscodes, Anmelde-Links und Sitzungskennungen landen bewusst nicht in den Protokollen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse: ein sicherer und stabiler Betrieb.

Google gehört zum US-Konzern Google LLC. Ein Zugriff aus den USA lässt sich daher nicht ausschließen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO). Zusätzlich gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

3. Login mit Mitgliedskarte

Der Login mit Karte läuft über den Login-Dienst nfc-auth.fc-hoffnungsvoll.de. Ihn betreibt corner in unserem Auftrag (Art. 28 DSGVO). Die vollständigen Firmenangaben von corner ergänzen wir hier in Kürze.

• Tippst du deine Karte an, prüft corner die Karte. Vor dem ersten Zugang meldest du dich bei corner einmal mit deiner E-Mail-Adresse an (Fan-Konto).
• Danach setzt corner auf nfc-auth.fc-hoffnungsvoll.de ein technisch notwendiges Cookie („__Host-access“). Es gilt 90 Tage und verlängert sich, solange du das Vereinsheim nutzt. Pro Karte sind höchstens drei Browser gleichzeitig angemeldet.
• Öffnest du eine Seite im Vereinsheim, fragt dein Browser bei corner nach, ob du angemeldet bist. corner antwortet mit einer digital signierten Bestätigung, die 2 Minuten gilt. Darin stehen nur deine Mitgliedsnummer, eine Kennung deiner Karte und wie lange deine Mitgliedschaft gilt. Unser Server prüft die Bestätigung und speichert sie nicht.
• Deinen Namen und deine E-Mail-Adresse bekommen wir von corner nicht.

Bei corner gespeichert sind: der Status deiner Karte, deine Anmeldesitzungen, die E-Mail-Adresse deines Fan-Kontos mit dem Zeitpunkt deiner Zustimmung und welche Karte zu welchem Fan-Konto gehört. Die Codes auf den Karten protokolliert corner nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Wir stellen dir den Mitgliederbereich im Rahmen deiner Mitgliedschaft bereit. Das Cookie ist dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

4. Login ohne Karte (per E-Mail-Link)

Mitgliederliste

Die Daten aus deinem Mitgliedsantrag verwalten wir bei Brevo (Abschnitt 9). Dafür gelten die Datenschutzhinweise, die du beim Antrag bekommen hast. Für das Vereinsheim übernehmen wir davon nur Mitgliedsnummer, E-Mail-Adresse und Vorname aller bestätigten Mitglieder in unsere Datenbank in Frankfurt. Die Kopie wird stündlich aktualisiert. Wer austritt, ist nach dem nächsten Abgleich nicht mehr darin und kann sich nicht mehr anmelden. Wir brauchen die Kopie, um beim Login Nummer und Adresse abzugleichen und dich in der Anmelde-Mail mit Vornamen anzusprechen.

Anmelde-Link

Du gibst Mitgliedsnummer und E-Mail-Adresse ein. Nur wenn beides zum selben Mitglied passt, schicken wir dir über Brevo einen Link. Die Antwort auf der Seite ist immer gleich. So kann niemand herausfinden, wer Mitglied ist. Der Link gilt 15 Minuten und nur einmal. Wir speichern ihn nur als nicht umkehrbaren Prüfwert (Hash).

Sitzung

Öffnest du den Link, setzen wir ein technisch notwendiges Cookie („__session“). Es endet, wenn du den Browser schließt. Spätestens nach 24 Stunden ist die Sitzung auf unserem Server ungültig. Auch die Sitzung speichern wir nur als Prüfwert, zusammen mit deiner Mitgliedsnummer. Mit „Abmelden“ (unten auf jeder Seite) löschst du sie sofort.

Schutz vor Missbrauch

Wir zählen, wie oft pro Stunde ein Link angefordert wird, pro Mitgliedsnummer und insgesamt. Die Zähler enthalten keine E-Mail-Adresse und werden nach 2 Stunden gelöscht. Abgelaufene Links und Sitzungen löschen wir automatisch, spätestens beim nächsten stündlichen Aufräumen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Zähler Art. 6 Abs. 1 lit. f DSGVO (Schutz deines Zugangs und unseres Dienstes). Das Cookie ist unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

5. Fotos, Demos und Videos

Fotos, Demos und Vorschaubilder liegen in einem nicht öffentlichen Speicher bei Google Cloud in Frankfurt. Nach dem Login erzeugt unser Server dafür Links, die 15 Minuten gelten. Dein Browser lädt die Dateien direkt von storage.googleapis.com. Dabei sieht Google deine IP-Adresse (Abschnitt 2).

Videos sind nur verlinkt, nicht eingebettet. Erst wenn du ein Video antippst, öffnet sich YouTube, ein Dienst der Google Ireland Limited. Ab dann gilt die Datenschutzerklärung von Google. Dasselbe gilt für Links zu Spotify sowie zum Merch- und zum Ticket-Shop: Dort gelten die Datenschutzhinweise der jeweiligen Anbieter.

6. Gewinnspiele und Gästeliste

Machst du bei einem Gewinnspiel mit oder stellst eine Gästelisten-Anfrage, speichern wir deine Mitgliedsnummer, deinen Namen und deine E-Mail-Adresse. Beim Weihnachtsgewinnspiel kommt deine Adresse dazu, bei Gästelisten-Anfragen das Konzert oder Festival und deine Begründung. Außerdem speichern wir den Zeitpunkt und ob du per Karte oder per E-Mail angemeldet warst.

Wir nutzen die Daten nur, um die Aktion durchzuführen: Auslosung oder Auswahl, Benachrichtigung per E-Mail und Versand des Gewinns. Für den Versand geben wir Name und Adresse an das Versandunternehmen weiter. Öffentlich nennen wir dich nur, wenn du ausdrücklich zustimmst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit den Teilnahmebedingungen.

Die Daten werden automatisch gelöscht:

• VIP-Ticket: 60 Tage nach Teilnahmeschluss, also ab dem 14.01.2027
• Weihnachtsgewinnspiel: 60 Tage nach Teilnahmeschluss, also ab dem 30.01.2027
• Gästelisten-Anfragen: 90 Tage nach Eingang

Daten von Gewinnerinnen und Gewinnern bewahren wir darüber hinaus nur auf, solange wir sie für die Abwicklung des Gewinns brauchen oder gesetzlich aufbewahren müssen.

7. Bewertungen der Demos

Bewertest du eine Demo mit Sternen, speichern wir deine Mitgliedsnummer, die Demo, die Sterne und den Zeitpunkt. So siehst du deine Bewertung beim nächsten Mal wieder, und wir erfahren, wie neue Songs ankommen. Ausgewertet wird nur zusammengefasst, nicht pro Person. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Funktion des Mitgliederbereichs) und lit. f DSGVO (unser Interesse, zu erfahren, wie neue Songs ankommen).

Verlässt du den Fanclub, löschen wir deine Bewertungen beim nächsten stündlichen Abgleich. Sonst bleiben sie gespeichert, solange es das Vereinsheim gibt. Du kannst jederzeit verlangen, dass wir sie löschen.

8. Cookies und Speicher im Browser

Es gibt nur zwei Cookies, beide technisch notwendig und ohne Einwilligung erlaubt (§ 25 Abs. 2 Nr. 2 TDDDG):

• __Host-access von corner auf nfc-auth.fc-hoffnungsvoll.de: Login mit Karte, 90 Tage, verlängert sich bei Nutzung (Abschnitt 3)
• __session von uns: Login per E-Mail-Link, endet mit dem Schließen des Browsers, höchstens 24 Stunden (Abschnitt 4)

Darüber hinaus legen wir nichts im Speicher deines Browsers ab. Es gibt kein Tracking, keine Reichweitenmessung, keine Werbung, keine Social-Media-Plugins und keine Schriften von fremden Servern.

9. Wer deine Daten bekommt

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland: Hosting, Datenbank, Medienspeicher, Protokolle (Auftragsverarbeitung)
• Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Tochter der Brevo SAS, Paris: Mitgliederliste und Versand der Anmelde-Mails (Auftragsverarbeitung). Brevo verarbeitet dafür deine E-Mail-Adresse, deinen Vornamen, den Inhalt der Mail und Versanddaten wie den Zustellstatus.
• corner: Login mit Mitgliedskarte (Auftragsverarbeitung, Abschnitt 3)
• Versandunternehmen: nur Name und Adresse von Gewinnerinnen und Gewinnern

Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.

10. Sicherungen

Die Datenbank wird täglich gesichert. Die Sicherungen werden nach 7 Tagen automatisch gelöscht. Gelöschte Daten können also noch bis zu 7 Tage in einer Sicherung stehen.

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen (Art. 21). Schreib uns dafür einfach an johannes.guenther@lidr.studio.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

12. Musst du Daten angeben?

Für den Mitgliederbereich brauchen wir deine Mitgliedsnummer, entweder über die Karte oder über den E-Mail-Login. Gewinnspiele, Gästelisten-Anfragen und Bewertungen sind freiwillig. Ohne die Angaben kannst du dort nur nicht mitmachen.

Stand: 30. Oktober 2026