Stand: Oktober 2026

1. Verantwortlicher

Stefan Steinert
Finkenweg 44
91629 Weihenzell
E-Mail: whzoa@stefan-steinert.de

Diese Website, die WHZOA-ID und die WHZOA-App sind ein privates, nicht-kommerzielles Demo-Projekt. Das Festival und der genannte Veranstalter sind fiktiv. Die unten beschriebenen Datenverarbeitungen finden trotzdem tatsächlich statt, sobald du Website oder App nutzt.

2. Hosting und Server-Logfiles

Website, WHZOA-ID und Ticketshop werden auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betrieben. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Bei jedem Aufruf speichert der Webserver automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer-URL, übertragene Datenmenge, HTTP-Statuscode sowie Browser und Betriebssystem (User-Agent). Diese Daten sind technisch nötig, um die Seite auszuliefern und den Betrieb abzusichern (Art. 6 Abs. 1 lit. f DSGVO). Die Logfiles werden nach 90 Tagen gelöscht.

3. Cookies

Die Website setzt keine Tracking- oder Marketing-Cookies. Ein Session-Cookie (fe_typo_user) wird nur gesetzt, wenn du dich anmeldest. Es ist für die Anmeldung technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und wird beim Schließen des Browsers gelöscht.

4. Kontakt per E-Mail

Wenn du mir eine E-Mail schreibst, verarbeite ich deine E-Mail-Adresse und den Inhalt deiner Nachricht, um dein Anliegen zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Die Nachricht wird gelöscht, sobald sie erledigt ist und keine Aufbewahrungspflicht besteht.

5. WHZOA-ID (Benutzerkonto)

Für Anmeldung auf der Website und in der App gibt es ein zentrales Benutzerkonto, die WHZOA-ID (selbst betrieben unter whzoa-id.stefan-steinert.de). Verarbeitet werden die Daten, die du bei der Registrierung angibst (insbesondere Name, E-Mail-Adresse, Passwort als Hash) sowie technische Anmelde-Informationen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Deine Daten kannst du in der Kontoverwaltung der WHZOA-ID einsehen und ändern. Das Konto kannst du jederzeit löschen lassen, z. B. über die App (Profil → Daten löschen) oder per E-Mail.

6. Ticketshop

Der Ticketshop unter whzoa-ticket.stefan-steinert.de ist ein eigenständiger Dienst (Ticketshop-Software pretix). Dort verarbeite ich die Daten, die du bei einer Bestellung angibst (z. B. Name, E-Mail-Adresse, Bestelldaten), zur Abwicklung der Bestellung (Art. 6 Abs. 1 lit. b DSGVO). Da es sich um ein Demo-Projekt handelt, werden keine echten Tickets verkauft.

7. Externe Links

Die Website verlinkt auf externe Angebote, z. B. einen Discord-Server. Dabei werden erst dann Daten an den jeweiligen Anbieter übertragen, wenn du den Link anklickst. Für die Verarbeitung dort ist der jeweilige Anbieter verantwortlich.

8. Instagram-Feed

Auf der Website zeige ich Beiträge aus dem Instagram-Account des Projekts an. Anbieter von Instagram ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Die Beiträge werden über die Instagram-Schnittstelle abgerufen. Beim Anzeigen werden Bilder von Servern von Meta geladen, dabei wird deine IP-Adresse und Informationen zu deinem Browser an Meta übertragen. Eine Übermittlung an die Meta Platforms, Inc. in den USA ist möglich. Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Rechtsgrundlage ist mein berechtigtes Interesse an einer ansprechenden Darstellung des Projekts (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen findest du in der Datenschutzrichtlinie von Instagram: privacycenter.instagram.com/policy.

9. WHZOA-App

Die App nutzt Dienste von Google Firebase, angeboten von der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei kann es zu einer Übermittlung an die Google LLC in den USA kommen. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Mit Google besteht ein Vertrag zur Auftragsverarbeitung.

9.1 Inhalte

News, Bands, Running Order, Bühnen, Karteninhalte und Händler werden aus Cloud Firestore geladen. Dabei wird technisch deine IP-Adresse an Google übertragen (Art. 6 Abs. 1 lit. f DSGVO).

9.2 Anmeldung und Profil

Die Anmeldung erfolgt über die WHZOA-ID; Firebase Authentication speichert dazu eine Nutzer-ID sowie die von der WHZOA-ID übermittelten Profildaten (Name, E-Mail-Adresse). Lädst du ein Profilbild hoch, wird es in Firebase Cloud Storage gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Über „Daten löschen“ im Profil werden Konto und zugehörige Daten gelöscht.

9.3 Tickets

Wenn du ein Ticket in die App einfügst, wird der Ticket-Code an eine Cloud Function (Region Frankfurt, europe-west3) gesendet. Diese ruft aus dem Ticketshop den Namen des Ticketinhabers und die Ticketart ab. Das Ticket wird danach nur lokal auf deinem Gerät gespeichert (Art. 6 Abs. 1 lit. b DSGVO). Du kannst es in der App jederzeit entfernen.

9.4 Push-Benachrichtigungen

Wenn du Benachrichtigungen erlaubst, erzeugt Firebase Cloud Messaging ein Geräte-Token, und die App abonniert einen Benachrichtigungskanal für deine Sprache. Ich sehe dabei keine einzelnen Geräte. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie in den Einstellungen der App oder deines Geräts widerrufen.

9.5 Standort und Karte

Gibst du den Standort frei, wird deine Position auf der Festivalkarte angezeigt. Dafür verlässt der Standort dein Gerät nicht. Die Kartenkacheln werden von den Servern der OpenStreetMap Foundation (tile.openstreetmap.org, Vereinigtes Königreich) geladen. Dabei werden deine IP-Adresse und App-Kennung übertragen (Art. 6 Abs. 1 lit. f DSGVO). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.

9.6 Crowd Tracking (freiwillig)

Nur wenn du Standort und „Crowd Tracking“ aktivierst, überträgt die App etwa alle fünf Minuten, solange sie aktiv ist, deine Position (Breiten- und Längengrad) mit Zeitstempel an Cloud Firestore. Die Übertragung erfolgt unter einer zufällig erzeugten Kennung, die nicht mit deinem Konto, deinem Namen oder deinem Gerät verknüpft ist. Es wird jeweils nur die letzte Position gespeichert. Die Positionen werden im Verwaltungsbereich auf einer Karte dargestellt, um Besucherströme zu erkennen und die Sicherheit zu erhöhen. Zugriff darauf habe nur ich. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit in den Einstellungen widerrufen. Die gespeicherten Positionen werden nach 30 Tagen gelöscht.

9.7 Nutzungsstatistik, Absturzberichte, Leistungsmessung

Die App bietet drei optionale Dienste an, denen du einzeln zustimmen kannst. Ohne deine Zustimmung sind sie deaktiviert, und es werden keine Daten erhoben:

• Analytics (Google Analytics for Firebase): pseudonyme Nutzungsdaten, z. B. aufgerufene Bildschirme, App-Instanz-ID, Gerätetyp, Betriebssystem, App-Version und ungefährer Standort auf Basis der IP-Adresse, um zu verstehen, welche Bereiche der App genutzt werden. Die Daten werden nach 2 Monaten gelöscht.
• Absturzberichte (Firebase Crashlytics): Informationen zu Abstürzen und Fehlern, z. B. Fehlerverlauf, Gerätetyp, Betriebssystem, App-Version und eine Installations-ID, um Fehler zu beheben. Die Berichte werden nach 90 Tagen gelöscht.
• Performance-Messung (Firebase Performance Monitoring): Ladezeiten und Netzwerkperformance der App, um sie zu verbessern.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du entscheidest beim ersten Start der App und kannst deine Wahl jederzeit in den Einstellungen der App mit Wirkung für die Zukunft ändern. Widerrufst du die Einwilligung für Absturzberichte, werden noch nicht gesendete Berichte auf deinem Gerät gelöscht.

9.8 Lokal gespeicherte Daten

Einstellungen, Favoriten, gespeicherte Tickets und empfangene Benachrichtigungen werden nur lokal auf deinem Gerät gespeichert und beim Deinstallieren der App gelöscht.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Eine formlose E-Mail an die oben genannte Adresse genügt.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.