Datenschutz.

Verantwortlich für die Verarbeitung personenbezogener Daten auf STADTSELECT ist:

E-Mail: support.stadtselect@gmail.com

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte können Sie uns jederzeit über diese E-Mail-Adresse kontaktieren.

Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb, die Sicherheit und die Bereitstellung unserer Plattform erforderlich ist oder eine andere rechtliche Grundlage besteht.

Abhängig von Ihrer Nutzung können insbesondere folgende Daten verarbeitet werden:

• Technische Verbindungsdaten, beispielsweise IP-Adresse, Browserinformationen und Zugriffszeitpunkte
• Registrierungs- und Kontodaten
• Freiwillige Profilangaben, insbesondere eine Stadt oder ein selbst hinterlegtes Geburtsdatum
• Gespeicherte Favoriten und aktivierte Vorteile
• Standortdaten bei standortabhängigen Funktionen
• Nutzungs- und Aktivierungsstatistiken
• Unternehmens- und Ansprechpartnerdaten bei Partnerbewerbungen
• Inhalte von Nachrichten und Anfragen
• Stammkundschaft und Nachweise über Werbeeinwilligungen
• Postfachnachrichten, geschützte Anhänge sowie Zustell- und Lesestatus
• Persönliche Angebotsberechtigungen und bestätigte QR-Einlösungen

Die jeweilige Rechtsgrundlage ergibt sich aus den nachfolgenden Abschnitten.

Unsere Plattform wird über die technische Infrastruktur von Vercel bereitgestellt.

Beim Aufruf unserer Website werden technisch notwendige Informationen verarbeitet. Dazu können insbesondere die IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seiten, Browsertyp, Betriebssystem und technische Fehlerdaten gehören.

Diese Verarbeitung dient der Bereitstellung der Website, der Gewährleistung eines stabilen Betriebs, der Fehleranalyse und dem Schutz vor missbräuchlichen Zugriffen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im sicheren und funktionsfähigen Betrieb der Plattform.

Vercel verfügt über eine international verteilte Infrastruktur. Dabei kann eine Verarbeitung personenbezogener Daten auch außerhalb der Europäischen Union stattfinden.

Weitere Informationen: Datenschutz bei Vercel

Sie können STADTSELECT in bestimmten Bereichen ohne Registrierung nutzen.

Wenn Sie ein Mitgliedskonto erstellen, verarbeiten wir insbesondere Ihren Namen, Ihre E-Mail-Adresse und technische Angaben, die zur Authentifizierung und Kontoverwaltung erforderlich sind. Die Angabe einer Stadt ist bei der Registrierung nicht erforderlich. Sie können später freiwillig einen Ort in Ihrem Profil hinterlegen.

Die Anmeldung, E-Mail-Bestätigung und Verwaltung der Zugangsdaten erfolgen über Supabase Auth.

Freiwilliges Geburtsdatum: In Ihrem persönlichen Profil können Sie freiwillig ein Geburtsdatum hinterlegen; für die Registrierung oder Nutzung von STADTSELECT ist dies nicht erforderlich. Dieses Datum wird getrennt von öffentlich sichtbaren Unternehmens- und Kundeninformationen im geschützten Kontobereich gespeichert. Es ist für andere Nutzer und teilnehmende Unternehmen nicht sichtbar. Derzeit wird es ausschließlich als persönliche Profilangabe verwaltet.

Nach der ersten Eintragung können Sie das Datum einmal unmittelbar korrigieren. Danach ist jeweils eine erneute Änderung nach 150 Tagen möglich. Zur Einhaltung dieser Frist speichern wir die Zahl der Änderungen und den Zeitpunkt der letzten Änderung. Das hinterlegte Datum kann jederzeit wieder entfernt werden; die Metadaten zur Änderungsfrist bleiben während der Kontonutzung bestehen, damit die Frist durch erneutes Eintragen nicht umgangen wird. Bei endgültiger Kontolöschung werden diese Daten über die Kontoverknüpfung entfernt. Rechtsgrundlagen: Art. 6 Abs. 1 lit. a DSGVO für die freiwillige Datumsangabe; Art. 6 Abs. 1 lit. f DSGVO für die begrenzten Änderungsmetadaten zur Verhinderung der Umgehung der Änderungsfrist. Die Datumsangabe können Sie jederzeit entfernen.

Die Daten werden verwendet, um Ihr Benutzerkonto einzurichten, den Zugang zu schützen und Ihnen die persönlichen Funktionen von STADTSELECT bereitzustellen. Registrierte Mitglieder erhalten eine Mitgliedskennung mit dem Präfix M. Bei der freiwilligen Sicherung eines vorhandenen Gastprofils bleibt die technische Benutzerkennung erhalten; bereits gesammelte Stempel und zugeordnete Prämien bleiben deshalb demselben Konto zugeordnet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO zur Durchführung des Nutzungsverhältnisses.

Die Registrierung ist freiwillig. Ohne Benutzerkonto stehen bestimmte Funktionen, beispielsweise persönliche Favoriten und Mitgliedervorteile, nicht zur Verfügung.

Persönliche Einstellungen: Für die individuelle Darstellung in Standard und Pure sowie die angepasste Navigation werden Bedien- und Ansichtseinstellungen abhängig von ihrer Funktion im Browser oder im Konto gespeichert. Diese Verarbeitung dient der Bereitstellung der gewählten Benutzeroberfläche (Art. 6 Abs. 1 lit. b DSGVO).

Registrierte Mitglieder können Unternehmen als Favoriten speichern und Vorteile sowie Aktionen nutzen.

Hierfür können wir folgende Informationen verarbeiten:

• Gespeicherte Partnerunternehmen
• Aktivierte Vorteile und Aktionen
• Zeitpunkt und Gültigkeitsdauer von Aktivierungen
• Zugeordnete Partnerstandorte
• Persönliche Nutzungs- und Aktivitätsübersichten

Diese Daten werden benötigt, um persönliche Funktionen bereitzustellen, Nutzungslimits einzuhalten und eine mehrfache unzulässige Verwendung bestimmter Angebote zu verhindern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Digitale Treueprogramme und Stempelguthaben: Bei der freiwilligen Teilnahme an Stempelprogrammen werden insbesondere die technische Benutzerkennung, das betreffende Unternehmen und gegebenenfalls der Standort, die zugeordneten Kartenprogramme, Stempelstände, bestätigte Stempel- und Prämienvorgänge sowie deren Zeitpunkte verarbeitet. Je nach Programm werden Zwischenprämien und eingelöste Stempelguthaben erfasst. Die Bestätigung erfolgt über berechtigte Unternehmensmitarbeiter oder Standortleiter.

Digitale Mehrfachkarten und Leistungsguthaben: Bei der Nutzung von Mehrfachkarten verarbeiten wir die technische Benutzerkennung, das Kartenprogramm und das Unternehmen, gutgeschriebene und eingelöste Leistungseinheiten, das aktuelle Restguthaben sowie die dazugehörigen Buchungen. Buchungsnachweise können den beteiligten Unternehmensstandort, die berechtigte ausführende Person, Datum und Uhrzeit sowie bei einer Gutschrift den vom Partner erfassten Paketbetrag enthalten. Der Erwerb und die Bezahlung der Leistung erfolgen derzeit direkt beim jeweiligen Partner; STADTSELECT verarbeitet die digitale Zuordnung und Buchung, nicht die Zahlung selbst.

QR-Codes und Einlösungen: Zur Zuordnung und Prüfung persönlicher Karten, Stempel, Prämien und aktivierter Angebote können zeitlich begrenzt gültige QR-Codes beziehungsweise technische Prüftoken verwendet werden. Ihre Gültigkeit, die berechtigte Einlösung und die Verhinderung von Doppelbuchungen werden serverseitig geprüft. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die freiwillig genutzten persönlichen Plattformfunktionen und, soweit erforderlich, Art. 6 Abs. 1 lit. f DSGVO für die Sicherheit und den Schutz vor missbräuchlicher Nutzung.

Favoriten und Stammgeschäfte: Ein gespeicherter Favorit begründet für sich genommen keine Stammkundenbeziehung und keine Werbeeinwilligung. Werden Sie Stammkunde eines bestimmten Unternehmens, verarbeiten wir die Zuordnung zum Unternehmen und den Beitrittszeitpunkt. Der Stammkundenstatus kann berechtigten Geschäftskonten angezeigt werden. Die Verarbeitung dient der von Ihnen gewünschten Stammkundenfunktion (Art. 6 Abs. 1 lit. b DSGVO). Näheres zur zugehörigen Werbeeinwilligung finden Sie in Abschnitt 5.

STADTSELECT unterscheidet die persönliche Favoritenliste von der Stammkundenfunktion. Durch das Speichern eines Favoriten entsteht keine Erlaubnis für Werbenachrichten. Bei der Stammkundenfunktion wählen Sie bewusst ein bestimmtes Unternehmen aus, um mit diesem über das persönliche Postfach verbunden zu bleiben und insbesondere Neuigkeiten sowie Angebote zu erhalten.

Im gegenwärtigen Beitrittsdialog ist die ausdrückliche Bestätigung erforderlich, dass Sie Neuigkeiten und Angebote dieses Unternehmens im Postfach erhalten möchten. Ohne diese Bestätigung wird die Stammkundschaft nicht eingerichtet. Andere Funktionen der Plattform und die Favoritenliste bleiben unabhängig davon nutzbar. Die Bestätigung betrifft jeweils nur das ausgewählte Unternehmen.

Für den Nachweis der Erklärung werden die technische Kontokennung, das Unternehmen, die Einwilligungsfassung und der Zeitpunkt der Zustimmung sowie gegebenenfalls spätere Widerrufs- oder Ungültigkeitsereignisse verarbeitet. Der tatsächliche Versand wird anhand des aktuellen Stammkundenstatus und des gespeicherten Einwilligungsnachweises geprüft.

Die Verwaltung der gewählten Stammkundenbeziehung dient der Bereitstellung dieser Funktion (Art. 6 Abs. 1 lit. b DSGVO). Soweit für den Versand von Werbenachrichten eine Einwilligung erforderlich ist, gelten Art. 6 Abs. 1 lit. a und Art. 7 DSGVO sowie die einschlägigen Vorschriften über elektronische Werbung. Die Erklärung kann mit Wirkung für die Zukunft widerrufen werden. Im vorhandenen Ablauf erfolgt dies über „Stammgeschäfte“ durch Beendigung der betreffenden Stammkundschaft. Damit endet auch der Stammkundenstatus; Favoriten sind davon unabhängig.

Eine bereits erfolgte rechtmäßige Verarbeitung wird durch den späteren Widerruf nicht rückwirkend unzulässig. Für frühere Nachrichten, Einwilligungsnachweise und Einlösungen gelten die beschriebenen Aufbewahrungsregeln.

STADTSELECT ermöglicht die Nutzung bestimmter Vorteile und Aktionen ausschließlich in unmittelbarer Nähe eines teilnehmenden Partnerstandorts.

Wenn Sie einen solchen Vorteil aktivieren möchten, fragt Ihr Browser nach der Freigabe Ihres aktuellen Standorts.

Bei erteilter Freigabe werden die aktuellen geografischen Koordinaten und die vom Gerät gemeldete Genauigkeit zur Prüfung an unsere technische Infrastruktur übermittelt.

Die Standortdaten werden verwendet, um festzustellen, ob die Aktivierung am vorgesehenen Partnerstandort zulässig ist. Bei der Stempelvergabe durch berechtigte Mitarbeiter können deren Standort und die gemeldete Genauigkeit ebenfalls zur Prüfung der Berechtigung am Unternehmensstandort herangezogen werden.

Die Standortprüfung erfolgt serverseitig über Supabase. Die dabei übermittelten Koordinaten werden nicht als dauerhafter Standortverlauf in den Aktivierungsdatensätzen gespeichert.

Für die Nutzung der Kartenansicht können Standortdaten zusätzlich verwendet werden, um Partner und Veranstaltungen in Ihrer Nähe anzuzeigen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei der Nutzung vertraglich bereitgestellter Mitgliederfunktionen beziehungsweise Art. 6 Abs. 1 lit. f DSGVO bei standortgebundenen öffentlichen Funktionen. Unser berechtigtes Interesse besteht in der ordnungsgemäßen Bereitstellung und dem Schutz standortgebundener Angebote vor missbräuchlicher Aktivierung.

Die Freigabe Ihres Standorts erfolgt über die Einstellungen Ihres Browsers oder Endgeräts. Sie können diese Berechtigung jederzeit widerrufen.

Ohne Standortfreigabe können Funktionen, die eine Standortprüfung voraussetzen, nicht genutzt werden.

Über eine Unternehmensnachricht können berechtigte Empfänger einen exklusiven Vorteil, eine Aktion, ein Event oder ein Geschenk erhalten. Dafür speichern wir eine persönliche Berechtigung, das zugehörige Unternehmen, gegebenenfalls den einlösbaren Standort, Angebotsbeschreibung und Bedingungen, Gültigkeitszeitraum sowie den aktuellen Einlösestatus. Das jeweilige Unternehmen bleibt grundsätzlich für die versprochene Leistung verantwortlich.

Zur Einlösung kann ein zeitlich begrenzter zufälliger QR-Prüfcode ausgegeben werden. Beim Scan prüfen berechtigte Geschäftskonten unter anderem die persönliche Berechtigung, den zulässigen Unternehmensstandort, die Gültigkeit und die noch nicht erfolgte Einlösung. Dabei können Zeitpunkt, Berechtigung, ausführende Person und Standort der bestätigten Einlösung dokumentiert werden. Der QR-Code selbst muss keine persönliche Kundenkennung oder Angebotsdetails im Klartext enthalten. Die technische Prüfung verhindert doppelte Einlösungen desselben einmaligen Anspruchs.

Die Datenverarbeitung für die gewählte Angebots- und Einlösefunktion beruht grundsätzlich auf Art. 6 Abs. 1 lit. b DSGVO; notwendige Sicherheits- und Missbrauchskontrollen können im rechtlich zulässigen Umfang ergänzend Art. 6 Abs. 1 lit. f DSGVO unterfallen. Für erforderliche Standortprüfungen gelten die Angaben in Abschnitt 6.

Auch nicht registrierte Besucher können öffentlich zugängliche Partnerprofile, Vorteile, Aktionen und Events entdecken.

Wenn Sie ohne bestätigtes Mitgliedskonto einen dafür freigegebenen Vorteil vor Ort aktivieren, wird über Supabase Auth bei Bedarf ein pseudonymes, temporäres Gastkonto mit einer zufälligen technischen Benutzerkennung eingerichtet. Eine E-Mail-Adresse ist dafür nicht erforderlich. Die zugehörige Authentifizierungssitzung wird im Browser gespeichert. Die Benutzerkennung ermöglicht die Zuordnung zur Gastaktivierung und die Verhinderung mehrfacher Einlösungen innerhalb des vorgesehenen Zeitfensters.

Für die Missbrauchsprüfung wird bei einer solchen Gastaktivierung ein aus der technischen Benutzerkennung abgeleiteter Hashwert zusammen mit dem Angebot und dem Aktivierungszeitpunkt gespeichert. Der Hashwert wird nach 24 Stunden beim nächsten stündlichen Bereinigungslauf entfernt; der Aktivierungseintrag kann ohne diesen Wert für statistische Zählungen erhalten bleiben. Diese Verarbeitung ist pseudonym und während der Zuordnungsdauer nicht anonym.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, soweit die Verarbeitung zur Bereitstellung und Missbrauchsverhinderung erforderlich ist.

Die Speicherung und der Zugriff auf die für die Authentifizierung erforderlichen Browserinformationen unterliegen zusätzlich den Anforderungen des § 25 TDDDG. Einzelheiten erläutern wir im Abschnitt „Cookies und lokale Speicherung“.

Digitale Stempelkarten und persönliche Kartenfunktionen ohne E-Mail-Registrierung: Wenn Sie eine Stempelkarte, eine Mehrfachkarte oder „Mein Gastprofil“ nutzen, können wir über Supabase Auth auf Ihren Wunsch ein pseudonymes Gastkonto mit einer zufälligen Benutzerkennung einrichten. Eine E-Mail-Adresse wird dafür nicht benötigt. Die zugehörige Sitzung wird im Browser gespeichert. Wir verarbeiten die Benutzerkennung sowie Stempelkarten, bestätigte Stempelvorgänge und eingelöste Prämien, um Ihren Fortschritt bereitzustellen und Doppelgutschriften zu verhindern. Die Stempel bestätigt ein berechtigter Mitarbeiter des jeweiligen Unternehmens. Gastprofile erhalten eine interne, fortlaufende Kennung mit dem Präfix G, die im Gastbereich angezeigt wird. Diese Kennung allein gewährt keinen Zugang zum Konto.

Das temporäre Gastkonto wird automatisch 30 Tage nach der letzten aktiven Nutzung entfernt; die Bereinigung läuft täglich, sodass die tatsächliche Löschung spätestens beim nächsten erfolgreichen Lauf erfolgt. Als aktive Nutzung gelten insbesondere das bewusste Öffnen des Gastprofils, die Aktivierung einer Stempelkarte sowie bestätigte Stempel- und Prämienvorgänge. Bloße Seitenaufrufe außerhalb des Gastprofils, automatische QR-Code-Erneuerungen und Hintergrundabfragen verlängern die Frist nicht. Für die Frist führen wir im geschützten Datenbankbereich nur die Gast-Benutzerkennung, den Zeitpunkt der letzten Aktivität und das Ablaufdatum. Mit Ablauf werden das temporäre Auth-Konto und seine personenbezogenen Stempel-/Treuedaten über die bestehenden Löschverknüpfungen gelöscht; statistische Daten ohne direkte Benutzerkennung können im beschriebenen Umfang erhalten bleiben. Bestehende Gastprofile haben ab Einführung dieser Regel zunächst volle 30 Tage. Eine berechtigte Aufbewahrungssperre kann ausnahmsweise eine Löschung verzögern. Das Gastkonto lässt sich auf demselben Gerät mit den vorhandenen Browserdaten erneut verwenden. Nach Löschen der Browsersitzung oder beim Wechsel des Geräts ist der Zugriff ohne vorherige Sicherung des Kontos normalerweise nicht wiederherstellbar. Wenn Sie das Gastprofil freiwillig mit einer bestätigten E-Mail-Adresse verknüpfen, endet die Gast-Ablauffrist; die bisherige Benutzerkennung und damit der Stempelfortschritt bleiben erhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die auf Ihren Wunsch bereitgestellte Stempelkartenfunktion.

Wenn sich ein Unternehmen als STADTSELECT Partner bewirbt, verarbeiten wir die übermittelten Angaben.

Hierzu können insbesondere Unternehmensname, Anschrift, Kontaktdaten, Ansprechpartner, Position im Unternehmen, Brancheninformationen, Standorte, Öffnungszeiten und eingereichte Unternehmenslogos gehören.

Diese Informationen dienen der Prüfung und Bearbeitung der Bewerbung, der Kontaktaufnahme und gegebenenfalls der Einrichtung einer Partnerschaft.

Bei einer Freigabe können Unternehmensname, Beschreibung, Standorte, Kontaktdaten, Logos sowie veröffentlichte Vorteile, Aktionen und Veranstaltungen öffentlich auf STADTSELECT dargestellt werden.

Personenbezogene Angaben von Ansprechpartnern werden nur veröffentlicht, soweit hierfür eine entsprechende Grundlage besteht.

Wünsche und Feedback von Partnern: Wenn Sie als Partner eine Idee, neue Funktion, Verbesserung oder Problemmeldung einreichen, speichern wir das zugeordnete Unternehmen, die Konto-Kennung, Kategorie, Titel, Nachricht, Einreichungszeit und die Bearbeitungsentscheidung einschließlich einer möglichen Antwort. Diese Angaben sind nur für das einreichende Partnerkonto und die berechtigte Administration sichtbar. Sie dienen der Bearbeitung von Vorschlägen und der Weiterentwicklung der Plattform. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten und sicheren Weiterentwicklung). Wenn Sie einen Wunsch in Ihrem Partnerbereich entfernen, verschwindet er nur aus Ihrer Ansicht; die Administration behält ihn für die Bearbeitung beziehungsweise dokumentierte Entscheidung, bis er dort gelöscht wird. Sie können jederzeit eine datenschutzrechtliche Löschanfrage an den oben genannten Kontakt richten; entgegenstehende gesetzliche Aufbewahrungsgründe werden geprüft.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung der Anbahnung oder Durchführung eines Vertrags mit der betroffenen Person dient, ansonsten Art. 6 Abs. 1 lit. f DSGVO zur Bearbeitung geschäftlicher Anfragen und Verwaltung von Partnerbeziehungen.

Kundenverwaltung und Geschäftsrollen: Partner, Standortleiter und Mitarbeiter können je nach zugewiesener Berechtigung und Unternehmensstandort erforderliche Kundeninformationen zuordnen oder einsehen. Dazu gehören insbesondere Kundenkennungen und angezeigte Namen, die Teilnahme an Kundenprogrammen, Stammkundenstatus, bestätigte Scans, Kartenstände, Buchungen und die jeweils ausführende Person. Die Daten dürfen nur im Rahmen der vorgesehenen Berechtigungen verarbeitet werden. Für eigenständige Kundenbeziehungen und Verarbeitung außerhalb von STADTSELECT bleiben die beteiligten Unternehmen verantwortlich, soweit dies rechtlich zutrifft.

STADTSELECT erfasst bestimmte Nutzungsereignisse, um Partnerunternehmen Informationen über die Nutzung ihrer veröffentlichten Inhalte bereitzustellen.

Hierzu gehören insbesondere:

• Aufrufe von Partnerprofilen
• Aufrufe einzelner Vorteile, Aktionen und Events
• Aktivierungen durch Gäste und registrierte Mitglieder
• Statistische Auswertungen nach Zeiträumen

Aufrufe von Partnerprofilen und Angebotsdetails werden ohne dauerhafte Besucherkennung in Tageszählern erfasst. Die Zahlen beschreiben Seiten- und Angebotsaufrufe, nicht eindeutig identifizierte Besucher; mehrfache Aufrufe können mehrfach gezählt werden.

Für Gastaktivierungen wird nach Ablauf der technischen Prüfzeit nur noch der Aktivierungszeitpunkt ohne Sitzungskennung für die statistische Auswertung aufbewahrt. Bei angemeldeten Mitgliedern werden Aktivierungen zur Bereitstellung persönlicher Funktionen ihrem Benutzerkonto zugeordnet.

Partnerunternehmen erhalten statistische Auswertungen über die Nutzung ihrer Inhalte. Personenbezogene Konto- und Standortdaten einzelner Nutzer werden ihnen nicht allein aufgrund dieser Statistikfunktion offengelegt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO für notwendige betriebliche Auswertungen, soweit die Interessenabwägung dies zulässt. Für darüber hinausgehende einwilligungspflichtige Analyseverfahren gilt Art. 6 Abs. 1 lit. a DSGVO.

Erweiterte Statistiken: Im Partnerbereich stehen derzeit bis zu 28 statistische Kennzahlen aus den Bereichen Reichweite, Favoriten und Stammkunden, erfasste Kundenkontakte, Angebote, Treueprogramme, Mehrfachkarten und Postfach zur Verfügung. Berechtigte Geschäftskonten können Zeitreihen und Vergleichszeiträume von bis zu 366 Tagen darstellen und die verfügbaren statistischen Werte als CSV-Datei exportieren. Die Auswertung erfolgt grundsätzlich als Unternehmens- oder Standortaggregation und nicht als personenbezogene Besucherübersicht. Der zugrunde liegende Nachweis einzelner Buchungen und Zustellungen kann gleichwohl personenbezogen sein; insbesondere kleine Zahlen sind nicht ausnahmslos anonym.

STADTSELECT verwendet Browsertechnologien, die zur Bereitstellung verschiedener Funktionen erforderlich sein können.

Hierzu zählen insbesondere:

Authentifizierung und Sitzung: Speicherung von Informationen zur Verwaltung der Anmeldung und zur Aufrechterhaltung einer Benutzersitzung.

Lokale Einstellungen: Speicherung technisch notwendiger Anzeige- und Bedienungseinstellungen im Browser. Die Registrierung erfordert keine Stadtauswahl.

Mitgliederfunktionen: Speicherung lokaler Informationen, beispielsweise zu letzten Besuchen oder bereits angezeigten Hinweisen.

Gastaktivierungen: Für öffentlich nutzbare Gastvorteile kann eine technische Supabase-Authentifizierungssitzung eines pseudonymen Gastkontos verwendet werden. Es wird keine zusätzliche, ausschließlich für die Aktivierung im sessionStorage erzeugte Besucherkennung vorausgesetzt. Aufrufstatistiken benötigen keine eigene Browserkennung.

Gastprofil, Treueprogramme und Mehrfachkarten: Bei der gewünschten Nutzung persönlicher Kartenfunktionen wird eine Authentifizierungssitzung, insbesondere im localStorage, gespeichert. Sie ermöglicht die Wiedererkennung Ihres pseudonymen Gastkontos sowie Ihrer Stempel, Prämien und Mehrfachkartenguthaben ohne E-Mail-Registrierung.

Hierfür können insbesondere localStorage und sessionStorage eingesetzt werden.

Technisch unbedingt erforderliche Speicherungen können nach § 25 Abs. 2 TDDDG ohne gesonderte Einwilligung erfolgen.

Soweit eine Speicherung oder ein Zugriff nicht unbedingt erforderlich ist, muss die gesetzlich erforderliche Einwilligung vorab eingeholt werden.

Weitere lokale Einstellungen: Gespeichert werden können insbesondere die Pure-/Standard-Auswahl, angepasste Navigationsbereiche, ausgewählte Such- und Filteroptionen sowie die Anzeigeauswahl für statistische Kennzahlen. Lokal gespeicherte Einstellungen können durch Entfernen der Browserdaten gelöscht werden. Für diese Einstellungen ist kein eigenständiges Werbetracking vorgesehen.

STADTSELECT verwendet eine interaktive Karte auf Grundlage von MapLibre und Kartenmaterial von OpenFreeMap.

Beim Laden der Karte stellt der Browser eine Verbindung zu den Servern des Kartenanbieters her. Dabei können technisch bedingt Informationen wie die IP-Adresse und Browserdaten verarbeitet werden.

Weitere Informationen: Datenschutz bei OpenFreeMap

Für die Ermittlung geografischer Koordinaten von Unternehmensadressen verwenden wir außerdem den Geokodierungsdienst Nominatim der OpenStreetMap Foundation. Dabei werden die zur Standortbestimmung erforderlichen Adressangaben über unseren Server an den Dienst übermittelt.

Weitere Informationen: Datenschutz bei OpenStreetMap

STADTSELECT bietet darüber hinaus Links zur Routenplanung über Google Maps an. Erst beim Öffnen eines solchen Links wird die entsprechende Website von Google aufgerufen, auf der die Datenschutzbestimmungen von Google gelten.

Weitere Informationen: Datenschutz bei Google

Die Verarbeitung im Zusammenhang mit der Darstellung und Nutzung der Kartenfunktionen erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, soweit berechtigte Interessen und die Rechte der betroffenen Personen dies zulassen. Für gegebenenfalls einwilligungspflichtige Zugriffe auf Endgeräte gilt ergänzend § 25 TDDDG.

Wir nutzen Supabase als technischen Dienstleister für die Verwaltung von Benutzerkonten, Unternehmensdaten, veröffentlichten Inhalten, Aktivierungen und weiteren Plattformfunktionen.

Die primäre Datenbank unseres Projekts befindet sich in Frankfurt am Main, Deutschland.

Supabase kann im Rahmen seiner technischen Leistungen weitere Dienstleister einsetzen. Eine Verarbeitung oder ein erforderlicher Zugriff außerhalb der Europäischen Union kann insbesondere bei Support-, Sicherheits- oder Betriebsprozessen stattfinden.

Weitere Informationen: Datenschutz bei Supabase

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre E-Mail-Adresse, den Inhalt Ihrer Nachricht sowie weitere von Ihnen übermittelte Angaben.

Die Bearbeitung erfolgt zur Beantwortung Ihrer Anfrage, zur Bearbeitung bestehender Geschäftsbeziehungen oder zur Durchführung vorvertraglicher Maßnahmen.

Für unsere Kontaktadresse verwenden wir den E-Mail-Dienst Gmail von Google.

Für bestimmte automatische Nachrichten im Zusammenhang mit Partnerbewerbungen, Partnerfreigaben und Einladungen von Mitarbeitern verwenden wir außerdem den Versanddienst Resend. Dabei werden die für den Versand erforderlichen Empfänger- und Nachrichteninformationen verarbeitet.

Resend verarbeitet und speichert Daten unter anderem in den USA.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder lit. f DSGVO, abhängig vom Anlass der Kontaktaufnahme.

Weitere Informationen:

• Datenschutz bei Google
• Datenschutz bei Resend

Plattform-Postfach: Interne Systemmitteilungen und Nachrichten teilnehmender Unternehmen werden im geschützten STADTSELECT-Postfach bereitgestellt und sind von einem Versand gewöhnlicher E-Mails zu unterscheiden. Weitere Angaben zu Datenkategorien und Rechtsgrundlagen finden Sie in Abschnitt 13.

Registrierte Nutzer verfügen über ein geschütztes persönliches Postfach. STADTSELECT kann darin dienstbezogene Systemmitteilungen bereitstellen. Berechtigte Partner und Standortleiter dürfen im Rahmen der freigegebenen Berechtigungen und Versandgrenzen Nachrichten an aktuelle empfangsberechtigte Stammkunden senden. Für normale Mitglieder und Mitarbeiter besteht keine eigenständige Funktion für Unternehmens-Werbeversand.

Verarbeitet werden insbesondere die Benutzerkennung des Absenders und Empfängers, die jeweilige Rolle, gegebenenfalls Unternehmen und Standort, Betreff und Inhalt, Versand- und Zustellzeitpunkt, persönlicher Lese- und Ausblendestatus, die Empfängerwahl und notwendige Versand- und Berechtigungsnachweise. Nachrichten können bis zu drei geschützte Bilder enthalten, auf die nur berechtigte Personen Zugriff erhalten sollen.

Die Verarbeitung von Systemmitteilungen und persönlicher Postfachnutzung dient grundsätzlich dem Nutzungsverhältnis (Art. 6 Abs. 1 lit. b DSGVO). Notwendige Maßnahmen zur Sicherheitskontrolle und Missbrauchsvermeidung können im rechtlich zulässigen Umfang auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden. Für einwilligungsbedürftige Unternehmenswerbung gelten die Angaben in Abschnitt 5.

Das Öffnen einer Nachricht kann den Lesestatus speichern. Nutzer können Nachrichten aus ihrem Postfach ausblenden; die zugrunde liegenden Nachrichten und rechtlich erforderliche Zustell-, Einwilligungs- oder Einlösungsnachweise können davon unabhängig gespeichert bleiben.

Zur Bereitstellung von STADTSELECT setzen wir externe technische Dienstleister ein. Dazu gehören insbesondere Vercel, Supabase, Resend und die im Zusammenhang mit E-Mail- und Kartenfunktionen genannten Anbieter.

Personenbezogene Daten können dabei im erforderlichen Umfang an diese Dienstleister übermittelt werden.

Einzelne Verarbeitungsvorgänge können außerhalb des Europäischen Wirtschaftsraums stattfinden, insbesondere in den Vereinigten Staaten.

Soweit erforderlich, müssen solche Übermittlungen durch einen Angemessenheitsbeschluss gemäß Art. 45 DSGVO oder geeignete Garantien gemäß Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln, abgesichert sein.

Geschäftskonten als Empfänger: Bei Kundenprogrammen, Stammkundschaft und Einlösungen werden die erforderlichen Kundendaten an die berechtigten Unternehmensrollen über die Plattform bereitgestellt. Eine darüber hinausgehende Verwendung für externe Werbezwecke ist allein durch die Plattformteilnahme nicht gestattet. Die rechtliche Verantwortlichkeit der beteiligten Unternehmen für einzelne Datenverarbeitungen richtet sich nach deren tatsächlicher Ausgestaltung.

Wir speichern personenbezogene Daten grundsätzlich nur, solange diese zur Erfüllung des jeweiligen Verarbeitungszwecks benötigt werden oder gesetzliche Aufbewahrungspflichten bestehen.

Für die einzelnen Datenkategorien gelten insbesondere folgende Kriterien:

Benutzerkonten: Kontodaten werden grundsätzlich für die Dauer des bestehenden Benutzerkontos verarbeitet. Bei einer Kontolöschung werden die betroffenen Daten nach Maßgabe der technischen Löschverfahren und bestehender gesetzlicher Pflichten gelöscht.

Favoriten und Mitgliedsaktivierungen: Diese Daten werden für persönliche Funktionen, die Durchsetzung von Nutzungslimits und gegebenenfalls zur Bearbeitung berechtigter Ansprüche benötigt. Beim regulären Löschen eines Mitgliedskontos werden die mit dem Benutzerkonto verknüpften Datensätze nach Maßgabe der Datenbankverknüpfungen entfernt. Zur Erhaltung bisheriger Partnerstatistiken werden vor der Löschung gesonderte Statistikdaten ohne Benutzerkennung abgelegt: Zeitpunkt und zugehöriges Angebot bei früheren Aktivierungen, Zeitpunkt und zugehöriges Unternehmen bei Favoriten sowie der Zeitpunkt der letzten Aktivierung je Unternehmen zur Zählung bisheriger einmaliger Nutzer. Diese Daten sind nicht mit dem gelöschten Benutzerkonto verknüpft; die Möglichkeit einer indirekten Wiedererkennung anhand einzelner Zeitangaben kann jedoch nicht vollständig ausgeschlossen werden. Die statistischen Aufzeichnungen bleiben nur so lange erhalten, wie sie für die Partnerauswertungen benötigt werden.

Aufrufstatistiken: Partner- und Angebotsaufrufe werden als Tageszähler ohne Besucherkennungen gespeichert, solange sie für die bereitgestellten Partnerstatistiken benötigt werden.

Gastaktivierungen: Der aus der technischen Gast-Benutzerkennung abgeleitete Hashwert wird nach 24 Stunden bei der nächsten stündlichen Bereinigung entfernt. Statistische Aktivierungseinträge ohne diesen Hashwert bleiben zur Auswertung von Gesamtzahlen und Zeiträumen erhalten.

Gastprofile, Stempelkarten und Mehrfachkarten: Ungesicherte, pseudonyme Gastkonten werden nach 30 Tagen ohne aktive Gastprofil- oder Treueprogramm-Nutzung beim nächsten täglichen Löschlauf automatisch entfernt. Dabei werden die mit dem Konto verbundenen persönlichen Karten, Stempel, Prämien und digitalen Mehrfachkartenguthaben nach Maßgabe der technischen Löschverknüpfungen entfernt. Die Löschung des Plattformkontos beseitigt nicht automatisch bereits bestehende gesetzliche oder vertragliche Ansprüche aus beim Partner bezahlten Leistungen. Bei vor Einführung bereits bestehenden Gastkonten beginnt die 30-Tage-Frist mit Einführung der Regel. Eine dokumentierte Aufbewahrungssperre kann die Löschung bei einem berechtigten Ausnahmegrund verzögern. Reine Aufrufe anderer Seiten und QR-Code-Hintergrundaktualisierungen verlängern die Frist nicht. Eine Löschung der lokalen Sitzung entfernt lediglich den Zugang vom Gerät; die serverseitige Löschung erfolgt nach der Ablauffrist. Nach erfolgreicher Umwandlung in ein bestätigtes Mitgliedskonto gilt diese automatische Gastkontolöschung nicht mehr. Für Auskunfts- und Löschrechte können Sie sich jederzeit an den Datenschutzkontakt wenden.

Partnerbewerbungen: Während der Prüfung und Bearbeitung speichern wir die hierfür erforderlichen Angaben. Endgültig abgelehnte Bewerbungen werden grundsätzlich zwölf Monate nach der Ablehnung automatisch gelöscht, sofern kein dokumentierter Aufbewahrungsgrund entgegensteht. Genehmigte Bewerbungen können für die Dauer der Partnerschaft und danach im rechtlich notwendigen Umfang als Nachweis der Geschäftsbeziehung aufbewahrt werden.

Geschäftliche Unterlagen: Soweit gesetzliche Aufbewahrungspflichten bestehen, gelten die entsprechenden gesetzlichen Fristen.

Interne Verwaltungs- und Änderungshistorie: Einträge über wesentliche administrative Vorgänge werden grundsätzlich nach vier vollständigen Folgekalenderjahren ab dem jeweiligen Ereignisjahr gelöscht. Im Einzelfall erfolgt eine längere Aufbewahrung, soweit dies zur Erfüllung rechtlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Ansprüchen erforderlich ist.

Technische Protokolldaten: Protokolle für Betrieb, Sicherheit und Fehleranalyse werden nur im erforderlichen Umfang gespeichert. Aufbewahrungszeiten bei Vercel, Supabase und anderen technischen Dienstleistern hängen von deren Diensten und Konfigurationen ab; sie können von den Löschfristen unserer eigenen Datenbank abweichen.

Support-Anfragen und Beschwerden: Wir verarbeiten die freiwillig angegebenen Kontaktdaten, die Anfrage, die Bearbeitungsschritte und unsere Antwort zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Meldungen mutmaßlich rechtswidriger Inhalte werden zusätzlich zur Erfüllung gesetzlicher Verpflichtungen geprüft (Art. 6 Abs. 1 lit. c DSGVO). Meldungen und die von Ihnen angegebenen URLs sind nur einer berechtigten Administration zugänglich. Bei einer abgeschlossenen gewöhnlichen Support-Anfrage werden die Daten grundsätzlich zwölf Monate nach der Entscheidung entfernt, bei Meldungen rechtswidriger Inhalte nach drei Jahren, sofern keine gesetzliche Pflicht oder dokumentierte Aufbewahrungssperre eine längere Speicherung erfordert. Technische Missbrauchsschutz-Zählwerte werden nach maximal 48 Stunden bereinigt.

E-Mail-Korrespondenz: Nachrichten werden gelöscht, sobald sie für die Bearbeitung nicht mehr benötigt werden und keine gesetzlichen Aufbewahrungspflichten oder sonstigen berechtigten Gründe für eine weitere Speicherung vorliegen. Dies gilt auch für Nachrichten zu Partnerbewerbungen und Supportfällen. Der E-Mail-Versand für Supportanfragen erfolgt über Resend.

Stempel-, Prämien- und Mehrfachkartenbuchungen: Persönlich zugeordnete Programmstände, Buchungsverläufe und Prüfnachweise werden grundsätzlich so lange gespeichert, wie sie zur Bereitstellung und Abrechnung der jeweiligen Kartenfunktion, zur Verhinderung von Doppelbuchungen oder zur Wahrung berechtigter Ansprüche benötigt werden. Beim Löschen des zugehörigen Plattformkontos greifen die vorgesehenen Datenbank-Löschverknüpfungen; etwaige gesetzliche Aufbewahrungspflichten und berechtigte Nachweisinteressen sind davon zu unterscheiden. Für vom Partner tatsächlich entgegengenommene Zahlungen und dessen steuerliche Unterlagen ist der jeweilige Partner verantwortlich.

Stammkundschaft und Einwilligungsnachweise: Die aktuelle Stammkundenbeziehung wird bis zu ihrer Beendigung oder der Löschung des zugehörigen Kontos verarbeitet. Bei Beendigung endet auch die Berechtigung für weitere Werbenachrichten des Unternehmens. Historische Erklärungs-, Widerrufs- und Nachweisereignisse können für die rechtlich erforderliche Dokumentation und zur Wahrung berechtigter Ansprüche darüber hinaus gespeichert bleiben. Eine feste zusätzliche Löschfrist wird dafür derzeit nicht zugesagt.

Sie haben im Rahmen der gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft über Ihre verarbeiteten personenbezogenen Daten gemäß Art. 15 DSGVO
• Berichtigung unrichtiger Daten gemäß Art. 16 DSGVO
• Löschung Ihrer Daten gemäß Art. 17 DSGVO
• Einschränkung der Verarbeitung gemäß Art. 18 DSGVO
• Datenübertragbarkeit gemäß Art. 20 DSGVO
• Widerspruch gegen bestimmte Verarbeitungen gemäß Art. 21 DSGVO
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft gemäß Art. 7 Abs. 3 DSGVO

Zur Ausübung Ihrer Rechte können Sie sich jederzeit an support.stadtselect@gmail.com wenden.

Registrierte Mitglieder können bestimmte Kontodaten außerdem selbst verwalten und eine Datenexport- oder Kontolöschfunktion verwenden.

Sie haben darüber hinaus das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für nicht öffentliche Unternehmen in Bayern ist insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zuständig.

Website: www.lda.bayern.de

Werbewiderruf: Im bestehenden Funktionsumfang beenden Sie unter „Stammgeschäfte“ die betreffende Stammkundenbeziehung und damit die Berechtigung für zukünftige Werbenachrichten dieses Unternehmens. Bereits bestätigte Scans oder Buchungen bleiben von der Beendigung grundsätzlich unberührt. Datenschutzanliegen können zusätzlich per E-Mail an uns gerichtet werden.

Die Nutzung öffentlich zugänglicher Inhalte ist grundsätzlich auch ohne ein persönliches Benutzerkonto möglich.

Bestimmte Angaben sind jedoch erforderlich, wenn Sie sich registrieren, persönliche Vorteile nutzen oder eine Partnerbewerbung einreichen möchten.

Wenn Sie die hierfür erforderlichen Daten nicht bereitstellen, können die betreffenden Funktionen gegebenenfalls nicht angeboten werden.

STADTSELECT verwendet automatisierte technische Prüfungen, insbesondere zur Einhaltung von Aktivierungsbedingungen und Nutzungslimits.

Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO ist nach dem derzeitigen Funktionsumfang nicht vorgesehen.

Partnerbewerbungen werden durch die Plattformverwaltung geprüft.

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor unbefugtem Zugriff, Verlust und Missbrauch zu schützen.

Hierzu gehören insbesondere verschlüsselte Datenübertragungen, technische Zugriffsbeschränkungen und eine rollenbasierte Berechtigungsverwaltung.

Wir können diese Datenschutzerklärung aktualisieren, wenn sich gesetzliche Anforderungen, eingesetzte Dienstleister oder Funktionen von STADTSELECT ändern.

Die jeweils aktuelle Fassung wird auf unserer Website veröffentlicht.