Das Wichtigste zuerst

• Zum Stöbern im Programm brauchst du kein Konto und musst nichts angeben.
• Es gibt keine Werbe-Cookies, keine Reichweitenmessung, kein Tracking — deshalb auch keinen Cookie-Banner. Gesetzt wird ausschließlich ein Sitzungs-Cookie, wenn du dich anmeldest.
• Buchst du einen Workshop, brauchen wir Name und E-Mail-Adresse — für die Bestätigung, das Ticket und die Teilnehmerliste vor Ort. Mehr nicht. Zahlungsdaten erheben wir nie, weil es auf dieser Seite keine Bezahlfunktion gibt.
• Anbieter sehen von ihren Gästen nur Name und Personenzahl, keine Kontaktdaten.
• Nach der Saison werden Gastdaten automatisch anonymisiert. Die Buchung bleibt als reine Zahl in der Statistik erhalten, der Bezug zu dir verschwindet.
• Anwendung, Datenbank und Bilder liegen auf einem einzigen Server in Helsinki (Finnland) — innerhalb der Europäischen Union. Daten werden nicht in Länder außerhalb der EU übermittelt.
• Die Seite lädt genau einen fremden Host nach: die Kartenkacheln, und auch die nur, wenn du die Karte ansiehst. Schriften und alle übrigen Bestandteile kommen vom eigenen Server.

1. Verantwortlicher

Maker e.V.
Zwickauer Straße 355a
09117 Chemnitz
E-Mail: info@m4k3r.eu

Eine datenschutzbeauftragte Person ist nicht benannt. Die Pflicht dazu nach Art. 37 DSGVO in Verbindung mit § 38 BDSG greift erst, wenn mindestens 20 Personen ständig mit der Datenverarbeitung befasst sind; das ist hier nicht der Fall. Anfragen zum Datenschutz richtest du an die oben genannte Adresse.

2. Beim bloßen Besuch der Seite

Bei jedem Aufruf verarbeitet der Server technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge sowie Browser- und Betriebssystemangabe. Ohne diese Angaben kann eine Website technisch nicht ausgeliefert werden.

Zweck: Auslieferung der Seite, Stabilität und Abwehr von Angriffen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem sicheren, funktionierenden Betrieb.
Speicherdauer: Sieben Tage. Danach löscht der Webserver die Protokolldateien automatisch; eine Auswertung über diesen Zeitraum hinaus findet nicht statt.

3. Cookies

Diese Seite setzt genau ein Cookie, und zwar erst dann, wenn du dich anmeldest: eine zufällige Sitzungskennung, mit der der Server deine Anmeldung wiedererkennt. Das Cookie enthält keine Daten über dich, ist nur für den Server lesbar, wird nicht an Dritte übertragen und verfällt, wenn du dich abmeldest oder die Sitzung abläuft.

Weil dieses Cookie für einen von dir ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG), braucht es dafür keine Einwilligung und keinen Zustimmungsdialog. Analyse-, Marketing- oder Wiedererkennungs-Cookies gibt es nicht.

4. Buchung eines Workshops

Für eine Buchung erheben wir: Name, E-Mail-Adresse und die Anzahl der Personen. Dazu entstehen automatisch ein Buchungscode und eine QR-Kennung für den Einlass vor Ort.

Zweck: Durchführung der Buchung, Bestätigungs- und Stornomail, Teilnehmerliste und Einlass beim Anbieter.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsverhältnisses, das du mit der Buchung eingehst.
Pflichtangaben: Ohne Name und E-Mail-Adresse ist keine Buchung möglich; ohne Bestätigungsmail hättest du weder Ticket noch Stornomöglichkeit.

Buchen ist ohne Konto möglich. Du bekommst dann einen persönlichen Link, über den du deine Buchung ansehen und stornieren kannst. Dieser Link ist der Schlüssel zu genau dieser einen Buchung — bitte gib ihn nicht weiter.

5. Konto und Anmeldung

Legst du ein Konto an, speichern wir zusätzlich ein Passwort — nicht im Klartext, sondern als nicht umkehrbaren Prüfwert (Argon2id). Die Adresse wird per Bestätigungslink geprüft; erst danach ist das Konto nutzbar. Wird der Link nicht innerhalb von 24 Stunden benutzt, fällt die Registrierung automatisch zurück und das Passwort wird verworfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Konto), Art. 6 Abs. 1 lit. f DSGVO für die Adressbestätigung (Schutz davor, dass jemand ein Konto auf eine fremde E-Mail-Adresse anlegt).
Speicherdauer: solange das Konto besteht. Du kannst die Löschung jederzeit über die Kontaktadresse verlangen.

6. Anbieterkonten

Wer Workshops anbietet, hinterlegt zusätzlich Angaben zur Werkstatt: Anzeigename, Kontaktdaten, Adresse und optional eine Website. Diese Angaben sind zum Teil öffentlich sichtbar — nämlich genau die, die im Angebot als Anmelde- und Kontaktweg erscheinen. Das ist der Zweck der Sache: Besucher sollen den Anbieter erreichen können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Nicht öffentlich sind die internen Kontaktdaten des Anbieterkontos; sie erscheinen in keiner öffentlichen Datenausgabe dieser Seite.

7. Was der Anbieter über dich erfährt

Der Anbieter deines gebuchten Workshops sieht eine Teilnehmerliste mit Name, Personenzahl, Buchungsstatus und Check-in-Zeitpunkt. Deine E-Mail-Adresse, deine Telefonnummer oder andere Buchungen von dir sieht er nicht — auch nicht im Export der Liste.

8. E-Mail-Versand

Bestätigungen, Stornos, Bestätigungslinks und Passwort-Links verschicken wir über ein gewöhnliches E-Mail-Postfach. Dabei werden deine E-Mail-Adresse, dein Name und der Inhalt der Nachricht an den Postfachanbieter übertragen — anders lässt sich eine Mail nicht zustellen.

Auftragsverarbeiter: ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland. Es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Ein Versanddienst mit Öffnungsstatistik wird ausdrücklich nicht eingesetzt: Unsere Mails enthalten keine Zählpixel, und Links darin werden nicht über einen fremden Server umgeleitet. Wir erfahren also nicht, ob und wann du eine Mail geöffnet hast.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — ohne Mail keine Buchung.
Speicherdauer: Der Versandauftrag mit dem Mailtext wird bei uns nach 90 Tagen automatisch gelöscht.

9. Hosting und Serverstandort

Die gesamte Anwendung läuft auf einem einzigen Server, den wir bei einem Rechenzentrumsbetreiber angemietet haben. Auf dieser Maschine liegen die Anwendung selbst, die PostgreSQL-Datenbank, der Webserver (Caddy) und die von den Anbietern hochgeladenen Bilder. Weitere Dienstleister sind am Betrieb nicht beteiligt — es gibt keinen ausgelagerten Datenbankdienst und keinen fremden Bildspeicher.

Auftragsverarbeiter: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Sie verarbeitet die Daten ausschließlich in unserem Auftrag und nach unserer Weisung; es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Standort des Servers: Rechenzentrum Helsinki, Finnland. Der Anbieter ist ein deutsches Unternehmen, die Maschine selbst steht jedoch in Finnland — also innerhalb der Europäischen Union, aber nicht in Deutschland. Wir sagen das so deutlich, weil beides oft verwechselt wird.

Keine Übermittlung in Drittländer: Weder für den Betrieb noch für den Mailversand ist ein Unternehmen außerhalb der Europäischen Union beteiligt. Eine Übermittlung personenbezogener Daten in ein Drittland im Sinne der Art. 44 ff. DSGVO findet nicht statt. Die einzige Verbindung zu einem fremden Server geht von deinem Browser aus, wenn du die Karte öffnest — dazu Abschnitt 10.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem sicheren, verfügbaren Betrieb der Website; für die Buchungsdaten zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Beim Hochladen eines Bildes werden alle Zusatzinformationen der Bilddatei entfernt — insbesondere GPS-Koordinaten aus Handyfotos.

10. Karte

Die Karte wird in deinem Browser gezeichnet. Die Kartenkacheln — Straßen, Flüsse, Ortsnamen — lädt der Browser dabei von tiles.openfreemap.org nach, dem Kartendienst OpenFreeMap. Dabei wird deine IP-Adresse an diesen Server übertragen; ohne sie kämen die Kacheln nicht bei dir an. Weitere Daten übergeben wir nicht: keine Kennung, kein Cookie, kein Konto.

Das geschieht nur, wenn die Karte tatsächlich angezeigt wird. Wer im Programm nur die Liste durchsieht, bucht oder sein Konto verwaltet, baut keine Verbindung zu diesem Server auf. OpenFreeMap ist zugleich der einzige fremde Host, den diese Seite überhaupt aufruft — Schriften, Bilder und Skripte kommen alle vom eigenen Server.

OpenFreeMap ist ein frei zugängliches Open-Source-Projekt auf Grundlage von OpenStreetMap-Daten; es verlangt weder Registrierung noch Schlüssel und setzt keine Cookies. Die Angaben des Betreibers stehen unter openfreemap.org.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse daran, die Angebote auf einer Karte zeigen zu können, ohne dafür einen eigenen Kartendienst zu betreiben.

11. Fehlerprotokolle

Damit Störungen auffallen, bevor jemand sie meldet, werden Serverfehler technisch protokolliert: Fehlermeldung, betroffene Adresse ohne Suchparameter und Zeitpunkt. Absichtlich nicht protokolliert werden Cookies, Formularinhalte, Passwörter oder Buchungsinhalte.

Diese Protokolle bleiben auf demselben Server wie die Anwendung. Ein eigenständiger Dienst für Fehlerüberwachung ist nicht eingerichtet; es werden also keine Fehlerdaten an ein anderes Unternehmen übertragen.

12. Sicherungskopien

Damit ein technischer Fehler keine Daten vernichtet, wird einmal täglich eine Sicherung der Datenbank und der hochgeladenen Bilder erstellt. Sie liegt derzeit auf demselben Server, ist nur für den Systemzugang lesbar und wird nach Ablauf der Aufbewahrungsfrist automatisch entfernt. Eine zusätzliche, verschlüsselte Kopie an einem davon unabhängigen Ort ist vorbereitet.

Wird ein Datensatz gelöscht, verschwindet er aus diesen Sicherungen erst mit deren Ablauf — das ist technisch unvermeidbar und in Art. 17 DSGVO anerkannt.

13. Löschen und Anonymisieren

Diese Anwendung räumt automatisch auf:

• Gastbuchungen: Drei Monate nach Ende der jeweiligen Saison werden Name und E-Mail-Adresse von Gästen ohne Konto unwiderruflich unkenntlich gemacht. Die Buchung selbst bleibt als anonyme Zeile in der Statistik erhalten — sie sagt dann nur noch, dass an einem Termin so-und-so viele Plätze belegt waren.
• Unbestätigte Registrierungen: werden nach Ablauf des Bestätigungslinks (24 Stunden) automatisch zurückgesetzt, das Passwort wird verworfen.
• Versandaufträge für E-Mails: nach 90 Tagen gelöscht.
• Anmelde-Sitzungen und Einmal-Links: nach Ablauf, spätestens 7 Tage danach.
• Prüfprotokoll: Änderungen, die Verwaltende an Angeboten, Buchungen und Konten vornehmen, werden zur Nachvollziehbarkeit protokolliert. Dieses Protokoll bewahren wir zwölf Monate auf.
• Konten mit Login: bleiben, bis du sie löschen lässt.

14. Deine Rechte

Du hast jederzeit das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) und
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO).

Eine formlose Nachricht an die oben genannte Kontaktadresse genügt. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO) — zuständig ist die Behörde deines Wohnorts oder die am Sitz des Vereins. Für den Maker e.V. mit Sitz in Chemnitz ist das:

Die Sächsische Datenschutz- und Transparenzbeauftragte
Postfach 11 01 32, 01330 Dresden
(Besucheranschrift: Maternistraße 17, 01067 Dresden)
Telefon: 0351 85471-101
E-Mail: post@sdtb.sachsen.de

15. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung und kein Profiling im Sinne des Art. 22 DSGVO statt. Buchungen werden nach dem einzigen Kriterium „Platz frei oder nicht“ angenommen. Wir bilden keine Nutzungsprofile und werten das Verhalten auf dieser Seite nicht aus.

16. Stand und Änderungen

Stand dieser Erklärung: 22. August 2026. Ändert sich die Verarbeitung — etwa durch einen neuen Dienstleister oder einen anderen Serverstandort —, wird diese Seite angepasst.