Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Kristian Költzsch
Sollner Straße 6
81479 München
Deutschland

Telefon: +49 (89) 41 17 06 01
E-Mail: datenschutz@koeltzsch.com

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen nach § 38 BDSG nicht vorliegen (weniger als 20 Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt). Anfragen zum Datenschutz richten Sie bitte direkt an die verantwortliche Stelle (Abschnitt 1).

3. Zuständige Aufsichtsbehörde

Da der Verantwortliche seinen Sitz in Bayern hat, ist zuständige Aufsichtsbehörde:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Telefon: +49 (981) 180093-0
E-Mail: poststelle@lda.bayern.de
Web: www.lda.bayern.de

Sie haben das Recht, sich bei der Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO).

4. Zwecke der Verarbeitung und Rechtsgrundlagen

Wir verarbeiten Ihre personenbezogenen Daten nur, soweit eine gesetzliche Rechtsgrundlage dies erlaubt. Im Einzelnen verarbeiten wir folgende Daten zu folgenden Zwecken:

4.1 Benutzerkonto und Anmeldung

Daten: Vor- und Nachname, E-Mail-Adresse, Passwort (gehasht), optionale 2FA-Konfiguration, Rollen- und Berechtigungszuweisungen
Zweck: Authentifizierung, Identifikation des Nutzers, Zugriffssteuerung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / Nutzungsvertrag)

4.2 Marktverwaltung und Veranstaltungsplanung

Daten: Mandanten-Stammdaten (Rechtsform, Steuernummer, USt-IdNr., Adresse, Bankverbindung), Beschicker- und Betriebsdaten (Firma, Kontaktpersonen, Sortimente, Strombedarf), Veranstaltungs- und Standplanungsdaten (Märkte, Termine, Standzuweisungen), Antrags-, Vertrags- und Rechnungsdaten, Daten der mobilen Markttagteilnahme (Anwesenheit, Zählerstände, digitale Unterschrift)
Zweck: Erfüllung des Kernzwecks der Anwendung (Verwaltung von Wochenmärkten, Jahrmärkten und Veranstaltungen für Marktverwaltungen öffentlicher und privater Betreiber)
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

4.3 E-Mail-Versand (TAN, Passwort-Reset, Benachrichtigungen)

Daten: E-Mail-Adresse, Vor-/Nachname, Inhalt der jeweiligen Nachricht
Zweck: Versand von Authentifizierungs-Codes (TAN), Einladungs- und Passwort-Reset-Links, Benachrichtigungen über Bewerbungs-Status, Lizenz-Aktivierungen und Rechnungs-Ereignisse
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kontosicherheit)
Versand-Infrastruktur: Der Versand erfolgt über einen SMTP-Server, dessen Konfiguration in den Anwendungseinstellungen hinterlegt ist. Empfänger der E-Mail (Sie als Nutzer) und die Inhaltsdaten werden an diesen SMTP-Server übermittelt.

4.4 Schutz vor Missbrauch und Bot-Erkennung

Daten: IP-Adresse, User-Agent, Zeitstempel, abgeleitete Geo-Daten (Land, Region, Stadt, ISP)
Zweck: Erkennung und Sperrung automatisierter Angriffe (Brute-Force, Scraping, Bot-Traffic), Schutz der Anmeldemaske
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Verfügbarkeit der Anwendung)

4.5 Audit-Trail (Nachvollziehbarkeit von Änderungen)

Daten: Benutzer-ID, Zeitstempel, Art der Änderung, geänderte Datensätze
Zweck: Revisionssicherheit, Nachvollziehbarkeit administrativer Eingriffe
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit und Beweisbarkeit)

4.6 DSGVO-Einwilligung

Daten: Datum der Zustimmung, akzeptierte Version der Datenschutzerklärung
Zweck: Nachweis der erteilten Einwilligung gemäß Art. 7 Abs. 1 DSGVO
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung zur Nachweisführung)

4.7 Reichweitenmessung (Session-Zählung und Seitenaufrufe)

Daten: Ein technischer Sitzungs-Cookie mit dem konstanten Wert 1 ohne personenbezogenen Inhalt sowie serverseitige Zähler pro Seitenpfad (Pfad, Aufruf-Zähler, Zeitstempel des letzten Aufrufs). Es werden keine IP-Adressen, User-Agents oder sonstigen identifizierenden Merkmale in der Statistik gespeichert.
Zweck: Ermittlung der Gesamtzahl unterschiedlicher Besuchssitzungen und der Aufrufhäufigkeit einzelner Seiten, um die Nutzung der Anwendung beurteilen und Inhalte gezielt verbessern zu können.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einfachen, datensparsamen Reichweitenmessung des eigenen Auftritts). Eine Profilbildung findet nicht statt; eine Identifizierung der Besucher ist über die gespeicherten Daten nicht möglich.
Widerspruchsrecht: Sie können dieser Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen (siehe Abschnitt 9). Praktisch genügt es, den unter Abschnitt 7.2 genannten Cookie standplatz_sess im Browser zu blockieren oder zu löschen — dann erfolgt keine weitere Session-Zählung.

5. Empfänger und Übermittlung in Drittländer

Personenbezogene Daten werden grundsätzlich nicht an Dritte weitergegeben. Eine Ausnahme bildet die folgende Verarbeitung, bei der eine Übermittlung an einen Dienstleister außerhalb des Europäischen Wirtschaftsraums (EWR) stattfindet:

5.1 Geolokalisierung von IP-Adressen (ipinfo.io)

Empfänger: IPinfo.io (ipinfo.io), 535 Mission Street, 14th Floor, San Francisco, CA 94105, USA
Übermittelte Daten: Die IP-Adresse des Anfragenden
Zweck: Anreicherung der IP-Adresse mit Land, Region, Stadt und Provider-Informationen, um die Bot-Erkennung (Abschnitt 4.4) bewerten zu können
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit)
Drittlandtransfer: Die Übermittlung erfolgt in die USA. Eine Übermittlungsgrundlage besteht über die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Hinweis: Trotz dieser Garantien kann das in den USA bestehende Datenschutzniveau im Einzelfall hinter dem EU-Niveau zurückbleiben; insbesondere können US-Behörden unter bestimmten Voraussetzungen Zugriff auf Daten verlangen.
Widerspruchsrecht: Sie können dieser Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen (siehe Abschnitt 9).

Eine darüber hinausgehende Übermittlung an Dritte findet nur statt, wenn Sie ausdrücklich eingewilligt haben, eine gesetzliche Verpflichtung dazu besteht oder die Weitergabe zur Rechtsverfolgung oder zur Wahrung berechtigter Interessen erforderlich ist.

6. Hosting und technischer Betrieb

Die Anwendung wird auf einer eigenen Infrastruktur des Verantwortlichen am Sitz in München (Deutschland) betrieben. Es kommt kein externer Hosting-Dienstleister zum Einsatz. Damit findet beim Hosting selbst keine Übermittlung personenbezogener Daten an Dritte oder in Drittländer statt.

Der Zugriff auf die Anwendung erfolgt ausschließlich über eine TLS-/SSL-verschlüsselte Verbindung (HTTPS), um die Vertraulichkeit und Integrität der übertragenen Daten zu gewährleisten.

Sämtliche eingesetzten Schriftarten, Icons und sonstigen statischen Ressourcen werden lokal von unserem Server ausgeliefert. Es findet keine Einbindung externer Content-Delivery-Networks (CDN) statt, sodass beim Seitenaufruf keine IP-Adressen an Dritte (z. B. Google Fonts, jsDelivr) übermittelt werden.

7. Cookies und ähnliche Technologien

Diese Anwendung verwendet Cookies in zwei klar voneinander getrennten Kategorien: technisch notwendige Cookies (Abschnitt 7.1) und einen einzelnen Reichweitenmessungs-Cookie (Abschnitt 7.2). Tracking-, Marketing- oder Drittanbieter-Cookies werden nicht eingesetzt.

7.1 Technisch notwendige Cookies

Diese Cookies sind für den Betrieb der Anwendung zwingend erforderlich. Für sie ist nach § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, seit 14.05.2024 Nachfolger des TTDSG) keine Einwilligung erforderlich, da sie für die Bereitstellung des vom Nutzer ausdrücklich gewünschten Dienstes unbedingt erforderlich sind.

Authentifizierungs-Cookie (.AspNetCore.Identity.Application): Hält Ihre Anmeldung über die Dauer der Sitzung aufrecht. HttpOnly, SameSite=Lax. Lebensdauer ist an die Anmeldedauer gekoppelt.
Antiforgery-Cookie (.AspNetCore.Antiforgery.*): Schutz vor Cross-Site-Request-Forgery (CSRF). HttpOnly, läuft am Ende der Browser-Sitzung ab.
Status-Nachrichten-Cookie (Identity.StatusMessage): Kurzlebige Übergabe von Hinweistexten zwischen den Identity-Seiten (Login, Passwort-Reset, 2FA-Setup). Wird unmittelbar nach Anzeige der Nachricht gelöscht. HttpOnly, SameSite=Strict.
Blazor-Server-Circuit-Cookie: Verwaltet die aktive SignalR-Sitzung zwischen Browser und Server, ohne die die interaktiven Blazor-Komponenten nicht funktionieren. HttpOnly, SameSite=Lax, läuft am Ende der Browser-Sitzung ab.

7.2 Reichweitenmessungs-Cookie

Cookie-Name: standplatz_sess
Inhalt: Der feste Wert 1. Es werden keine personenbezogenen Daten, keine IP-Adresse und keine Identifikatoren in diesem Cookie abgelegt.
Zweck: Erkennung, ob ein Browser bereits in der aktuellen Sitzung gezählt wurde, um den globalen Sitzungs-Zähler nicht doppelt zu erhöhen. Damit ermöglicht der Cookie eine einfache, datensparsame Reichweitenmessung der Anwendung.
Eigenschaften: HttpOnly, SameSite=Lax, ohne Ablaufdatum (Session-Cookie) — wird automatisch beim Schließen des Browsers gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Betreibers an einer datensparsamen Reichweitenmessung des eigenen Auftritts). Es findet keine Profilbildung statt, eine Identifizierung der Besucher ist über die gespeicherten Daten nicht möglich (vgl. Abschnitt 4.7).
Widerspruchsrecht: Sie können der Setzung dieses Cookies und der damit verbundenen Verarbeitung jederzeit widersprechen, indem Sie den Cookie standplatz_sess in den Einstellungen Ihres Browsers blockieren oder löschen. Die Funktion der Anwendung bleibt dadurch vollständig erhalten.

8. Speicherdauer

Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie es zur Erfüllung der jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorsehen. Im Einzelnen gelten folgende Fristen:

Benutzerkonto-Daten (Abschnitt 4.1, 4.2): Werden gespeichert, solange das Konto besteht. Eine automatische Löschung inaktiver Konten erfolgt nicht; Sie können Ihre Löschung jederzeit nach Art. 17 DSGVO beantragen (siehe Abschnitt 9).
IP-Tracking-Einträge (Abschnitt 4.4): Maximal 90 Tage. Anschließend werden die Einträge automatisch gelöscht.
Audit-Trail (Abschnitt 4.5): Wird für den Lebenszyklus des betroffenen Datensatzes aufbewahrt, längstens jedoch im Rahmen handels- und steuerrechtlicher Aufbewahrungsfristen (bis zu 10 Jahre nach § 147 AO).
DSGVO-Einwilligungen (Abschnitt 4.6): Drei Jahre nach Widerruf oder Beendigung der Nutzung, zum Nachweis der Einwilligung.
E-Mail-Versand-Daten (Abschnitt 4.3): Der Versand erfolgt transient; Versand-Logs werden in der Anwendung selbst nicht dauerhaft gespeichert.
Reichweitenmessungs-Daten (Abschnitt 4.7): Pfad-bezogene Aufruf-Zähler werden ohne Personenbezug unbegrenzt aggregiert vorgehalten. Der Sitzungs-Cookie standplatz_sess endet automatisch mit dem Schließen des Browsers.

9. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen folgende Rechte zu:

Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft darüber verlangen, welche Daten wir über Sie verarbeiten.
Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
Löschungsrecht / „Recht auf Vergessenwerden" (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine Aufbewahrungspflichten entgegenstehen.
Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können verlangen, dass wir die Verarbeitung einschränken.
Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, dass wir Ihnen Ihre Daten in einem strukturierten, gängigen, maschinenlesbaren Format zur Verfügung stellen.
Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten, die auf einem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) beruht, jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Dies betrifft insbesondere die in Abschnitt 4.4 (Bot-Erkennung), Abschnitt 4.7 (Reichweitenmessung — vgl. Abschnitt 7.2) und Abschnitt 5.1 (ipinfo.io) beschriebenen Verarbeitungen.
Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Beschwerderecht (Art. 77 DSGVO): Sie können sich bei der zuständigen Aufsichtsbehörde beschweren (siehe Abschnitt 3).

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die in Abschnitt 1 genannten Kontaktdaten.

10. Aktualität dieser Erklärung

Diese Datenschutzerklärung wird laufend an Änderungen der Rechtslage sowie an Änderungen unserer Dienste und der Datenverarbeitung angepasst. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.