Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Datenschutzanfragen können jederzeit an die genannte E-Mail-Adresse gerichtet werden.

2. Zwecke und Rechtsgrundlagen

Personenbezogene Daten werden nur verarbeitet, soweit dies für den sicheren Betrieb der Website, die Bearbeitung von Anfragen, die Vorbereitung oder Erfüllung von Verträgen, die Organisation von Terminen und Veranstaltungen, die Zahlungsabwicklung oder die Erfüllung gesetzlicher Pflichten erforderlich ist.

• Art. 6 Abs. 1 lit. b DSGVO: Verträge und vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO: gesetzliche Pflichten, insbesondere handels- und steuerrechtliche Vorgaben
• Art. 6 Abs. 1 lit. f DSGVO: berechtigte Interessen, insbesondere sicherer, stabiler und wirtschaftlicher Betrieb sowie Missbrauchsschutz
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung, wenn diese ausdrücklich eingeholt wird
• Art. 9 Abs. 2 DSGVO: nur soweit ausnahmsweise besondere Kategorien personenbezogener Daten verarbeitet werden und eine gesetzliche Ausnahme vorliegt

Pflichtfelder in Formularen und Buchungssystemen kennzeichnen Angaben, die für die Bearbeitung einer Anfrage oder den Abschluss und die Durchführung eines Vertrags erforderlich sind. Ohne diese Angaben kann die jeweilige Anfrage oder Buchung gegebenenfalls nicht bearbeitet werden.

Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung sowie Profiling finden nach aktuellem Stand nicht statt.

3. Hosting und Server-Protokolle

Die Website und die eigenen Buchungssysteme werden bei der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, gehostet. Beim Abruf können insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte Datei, Referrer, Browser, Betriebssystem, übertragene Datenmenge und Statuscode in Server-Protokollen verarbeitet werden.

Die Verarbeitung dient der technischen Bereitstellung, Fehleranalyse, IT-Sicherheit und Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Protokolldaten werden nach den technischen Vorgaben des Hostings und den Erfordernissen der IT-Sicherheit gelöscht oder anonymisiert, sobald sie für diese Zwecke nicht mehr benötigt werden. Bei einem konkreten Sicherheitsvorfall kann eine längere Aufbewahrung zur Aufklärung erforderlich sein.

Soweit IONOS personenbezogene Daten im Auftrag verarbeitet, erfolgt dies auf Grundlage einer Vereinbarung zur Auftragsverarbeitung.

4. Cookies und lokale Speicherung

Die öffentliche BERGSPORT-JA-Website setzt keine Analyse-, Werbe- oder Profilingdienste ein. Es findet keine Reichweitenmessung statt und das Verhalten der Besucherinnen und Besucher wird nicht zu Werbezwecken ausgewertet.

Beim ersten Besuch wird eine transparente Auswahl angeboten. Notwendige Funktionen bleiben immer aktiv. Die optionale Komfortfunktion wird erst nach einer ausdrücklichen Einwilligung aktiviert. Eine Ablehnung hat keinen Einfluss auf die Nutzbarkeit der Website.

Rechtsgrundlage für die optionale Komfortspeicherung ist die erteilte Einwilligung nach § 25 Abs. 1 TDDDG. Soweit damit personenbezogene Daten verarbeitet werden sollten, beruht diese Verarbeitung zusätzlich auf Art. 6 Abs. 1 Buchst. a DSGVO. Die Speicherung der getroffenen Einwilligungsentscheidung ist erforderlich, um die gewählte Einstellung technisch zu berücksichtigen.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ im Fußbereich der Website geändert oder widerrufen werden. Wird die Komfortfunktion deaktiviert, wird das optionale Popup-Cookie gelöscht. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Die eigenständigen Buchungssysteme können zusätzlich technisch notwendige Sitzungs-Cookies verwenden, damit Buchungs-, Zahlungs- und Sicherheitsfunktionen korrekt ausgeführt werden. Einzelheiten werden in den jeweiligen Datenschutzhinweisen beschrieben.

5. Kontaktformular

Beim Absenden des Kontaktformulars werden Name, E-Mail-Adresse, optional Telefonnummer, Thema, gewünschter Zeitraum, Nachricht und die Bestätigung des Datenschutzhinweises verarbeitet. Die Verarbeitung erfolgt zur Bearbeitung der Anfrage nach Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

Das Formular sendet die Anfrage per E-Mail an BERGSPORT JA. Nach aktuellem technischen Stand legt das Kontaktformular keine eigenständige Kundendatenbank an. Ein Honeypot-Feld und eine technisch notwendige Sitzungssperre dienen dem Spamschutz. Die IP-Adresse wird nicht in den Inhalt der versendeten Anfrage aufgenommen.

6. E-Mail, Telefon und Messenger

Bei Kontaktaufnahme per E-Mail oder Telefon werden die übermittelten Daten verarbeitet, um die Anfrage zu beantworten und gegebenenfalls einen Vertrag vorzubereiten oder durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

Wenn eine Person BERGSPORT JA eigeninitiativ über WhatsApp kontaktiert, werden die dort übermittelten Daten zusätzlich durch WhatsApp Ireland Limited verarbeitet. Die Nutzung ist freiwillig; alternativ stehen Telefon und E-Mail zur Verfügung. Bei Messenger-Diensten kann eine Verarbeitung außerhalb der Europäischen Union nicht ausgeschlossen werden. Es gelten ergänzend die Datenschutzhinweise des jeweiligen Anbieters.

7. Eigene Buchungssysteme

Für eigene Buchungssysteme werden – abhängig vom Angebot – insbesondere Name, Kontaktdaten, gebuchte Leistung, Termin oder Zeitraum, Teilnehmerzahl, Alters- oder Leistungsgruppe, Buchungsnummer, Preis, Zahlungsstatus, Kommunikation, Änderungen und Stornierungen verarbeitet.

Die Datenverarbeitung dient der Darstellung freier Kapazitäten, dem Vertragsschluss, der Durchführung des Angebots, der Kundenkommunikation, dem Missbrauchsschutz und der Dokumentation. Rechtsgrundlage ist überwiegend Art. 6 Abs. 1 lit. b DSGVO; sicherheitsbezogene Protokollierungen können zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO beruhen.

8. Onlinezahlungen über VR Payment

Für zahlungspflichtige Onlinebuchungen in den eigenen BERGSPORT-JA-Buchungssystemen wird die Zahlungsinfrastruktur der VR Payment GmbH, Platz der Republik, 60325 Frankfurt am Main, genutzt. Der eigentliche Bezahlvorgang erfolgt über eine von VR Payment bereitgestellte Zahlungsseite.

Zur Zahlungsabwicklung werden die dafür erforderlichen Angaben an VR Payment und – abhängig von der gewählten Zahlart – an weitere beteiligte Zahlungsdienstleister übermittelt. Dazu können insbesondere Betrag, Währung, Buchungs- und Transaktionsreferenz, Zahlungsstatus, technische Transaktionsdaten sowie die für die jeweilige Zahlart erforderlichen Zahlungsinformationen gehören.

BERGSPORT JA erhält für die Buchungsabwicklung insbesondere Zahlungsstatus und Referenzdaten. Vollständige Karten- oder Kontozugangsdaten werden nicht im eigenen BERGSPORT-JA-Buchungssystem gespeichert.

9. Kutsch- und Schlittenfahrten

Für öffentliche und private Fahrten können insbesondere Name, Kontaktdaten, Teilnehmerzahl, gewählte Fahrt, Termin, Zusatzleistungen, planungsrelevante Hinweise, Kommunikation, Änderungen und Stornierungen verarbeitet werden. Öffentliche Fahrten können bar vor Ort bezahlt werden; bei online zu zahlenden privaten oder individuell freigegebenen Angeboten erfolgt die Zahlungsabwicklung über das unter Ziffer 8 beschriebene VR-Payment-Verfahren.

10. Skikurse und Saisons Camps

Bei Skikursen und Saisons Camps werden im eigenen BERGSPORT-JA-Buchungssystem insbesondere Anmelde- und Kontaktdaten, Daten der teilnehmenden Kinder, Geburtsdatum oder Alter, Könnensstufe, Kurs- und Standortauswahl, Gruppenzuordnung, gegebenenfalls betreuungsrelevante Angaben, Buchungsstatus und Zahlungsstatus verarbeitet.

Soweit einzelne Übergangsangebote noch über Yolawo bereitgestellt werden, kann die Website weiterhin auf Buchungsmasken der Yolawo GmbH, Freiburger Straße 5, 79199 Kirchzarten, verlinken oder diese einbinden. Für solche Buchungen gelten ergänzend die dort bereitgestellten Datenschutzhinweise. Onlinezahlungen im eigenen System erfolgen nach Ziffer 8 über VR Payment.

11. Externe Skiverleih-Buchung

Für die Online-Reservierung von Leihmaterial kann auf die externe Plattform Alpy.com, vormals ALPINRESORTS.com, verlinkt werden. Erst beim Anklicken des Links wird die externe Plattform aufgerufen. Die dortige Erhebung und Verarbeitung von Buchungs- und Zahlungsdaten erfolgt nach den Datenschutzhinweisen des dort ausgewiesenen Betreibers in eigener Verantwortung.

12. Daten von Kindern und Jugendlichen

Bei Skikursen, Camps, Gruppenangeboten oder Verleihleistungen können Daten minderjähriger Teilnehmender verarbeitet werden. Dazu gehören insbesondere Name, Alter oder Geburtsjahr, Leistungsstand, gebuchtes Angebot, Gruppenzuordnung und gegebenenfalls ein Notfallkontakt.

Die Verarbeitung erfolgt zur Vorbereitung und Durchführung des mit der erziehungsberechtigten Person geschlossenen Vertrags sowie zur sicheren Organisation des Angebots nach Art. 6 Abs. 1 lit. b DSGVO. Es werden nur die für das jeweilige Angebot erforderlichen Angaben erhoben.

13. Gesundheits- und Mobilitätsangaben

Angaben zu Beschwerden, Verletzungen, körperlichen Einschränkungen oder Mobilitätshilfen können Gesundheitsdaten im Sinne von Art. 9 DSGVO darstellen. Solche Angaben werden online nur erhoben, wenn sie für die sichere Durchführung oder eine individuell gewünschte Anpassungsleistung tatsächlich erforderlich sind.

Soweit eine Verarbeitung erforderlich ist, wird vorab eine passende gesetzliche Grundlage oder eine ausdrückliche Einwilligung vorgesehen. Detaillierte medizinische Angaben sollen nicht unaufgefordert über allgemeine Freitextfelder übermittelt werden.

14. E-Mail-Versand und Kalenderdateien

Buchungsbestätigungen, Änderungen, Stornierungen und Erinnerungen werden über die bei IONOS beziehungsweise Microsoft eingerichtete E-Mail-Infrastruktur versendet. Dabei werden Empfängeradresse, Betreff, Inhalt, Versandzeitpunkt und technische Statusdaten verarbeitet.

Kalenderdateien können im ICS-Format bereitgestellt werden. Erst wenn eine solche Datei in einen externen Kalenderdienst importiert wird, verarbeitet dieser Anbieter die enthaltenen Termindaten nach seinen eigenen Datenschutzbestimmungen. Eine automatische Kalender-Synchronisierung wird erst aktiviert, wenn sie technisch eingerichtet und in dieser Datenschutzerklärung konkret beschrieben ist.

15. Karten, soziale Netzwerke und externe Links

Google Maps, Instagram, Facebook und weitere externe Angebote werden nach aktuellem Stand nur verlinkt und nicht automatisch in die Seite eingebettet. Beim bloßen Besuch der BERGSPORT-JA-Website werden daher über diese normalen Links keine Inhalte der Anbieter geladen. Erst beim Anklicken wird die externe Seite aufgerufen.

16. Empfänger und Drittlandübermittlungen

Empfänger personenbezogener Daten können Hosting-, E-Mail-, Zahlungs-, IT- und Buchungsdienstleister, Steuerberatung, Behörden oder sonstige Stellen sein, soweit die Übermittlung für den jeweiligen Zweck erforderlich oder gesetzlich vorgeschrieben ist.

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die gesetzlichen Voraussetzungen erfüllt sind, etwa aufgrund eines Angemessenheitsbeschlusses oder geeigneter Garantien. Bei externen Diensten gelten ergänzend deren Datenschutzhinweise.

17. Speicherdauer

Daten werden gelöscht, sobald der jeweilige Zweck entfällt und keine gesetzlichen Aufbewahrungs-, Nachweis- oder Verjährungsfristen entgegenstehen.

• Kontaktanfragen: bis zum Abschluss der Bearbeitung und anschließend nur, soweit eine weitere Aufbewahrung für Anschlussfragen oder Rechtsnachweise erforderlich ist.
• Buchungs- und Vertragsdaten: für die Vertragsdurchführung und danach innerhalb der gesetzlichen Verjährungs- und Nachweisfristen.
• Steuer- und Geschäftsunterlagen: je nach Dokumentart grundsätzlich sechs, acht oder zehn Jahre.
• Technische Protokolle und Testdaten: nur so lange, wie sie für Sicherheit, Fehleranalyse und Funktionsprüfung erforderlich sind.

18. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Außerdem besteht das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für private Unternehmen mit Sitz in Bayern ist regelmäßig das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, zuständig.

19. Datensicherheit und Aktualisierung

BERGSPORT JA setzt angemessene technische und organisatorische Maßnahmen ein, darunter TLS-Verschlüsselung, Zugriffsbeschränkungen, getrennte Verwaltungsbereiche, sichere Passwörter, Backups und regelmäßige Aktualisierungen. Ein absoluter Schutz elektronischer Datenübertragung und -speicherung kann dennoch nicht garantiert werden.

Diese Datenschutzerklärung wird angepasst, sobald sich tatsächlich eingesetzte Funktionen, Anbieter oder gesetzliche Anforderungen ändern.