Zum Inhalt springen
Ticket+We ♥ Events
Veranstalter-Login

Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher

YJAR GmbH, Elsterweg 2, 97437 Haßfurt · E-Mail: info@yjar.de · Telefon: +49 9521 6029037. Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt (§ 38 BDSG).

2. Rollenmodell beim Ticketkauf (B2B2C)

Ticket+ vermittelt Tickets im Namen und für Rechnung des jeweiligen Veranstalters. Für die im Rahmen des Ticketkaufs erhobenen Käuferdaten (Name, E-Mail, ggf. Telefon, Bestelldaten) ist der Veranstalter Verantwortlicher im Sinne der DSGVO; die YJAR GmbH verarbeitet diese Daten als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage eines Auftragsverarbeitungsvertrags, der Bestandteil der Veranstalter-AGB ist. Für den Betrieb der Plattform selbst (Konten, Sicherheit, Abrechnung) sowie für den optionalen Ticket+-Newsletter ist die YJAR GmbH eigenständig Verantwortlicher.

3. Welche Daten wir verarbeiten

  • Bestellungen: Name, E-Mail, optional Telefon, gekaufte Tickets, Beträge, Belege – zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und aufgrund handels-/steuerrechtlicher Pflichten (Art. 6 Abs. 1 lit. c, Aufbewahrung bis 10 Jahre).
  • Zahlung: Die Zahlungsabwicklung erfolgt durch Stripe bzw. PayPal als eigenständige Verantwortliche; Kartendaten erreichen unsere Systeme nicht.
  • Wohnsitz- und Zahlungsland bei Downloads: Kaufst du einen kostenpflichtigen Download, fragen wir dein Wohnsitzland und die Bestätigung deines Wohnsitzes in der EU ab und speichern zusätzlich das Land deiner Karte, deines Bankkontos (Lastschrift) bzw. deines PayPal-Kontos, das uns Stripe bzw. PayPal übermittelt. Beides brauchen wir, um den umsatzsteuerlichen Leistungsort zu bestimmen und nachzuweisen (§ 3a Abs. 5 UStG, Art. 24b und 24f MwSt-DVO) – Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO. Aufbewahrung zehn Jahre (Art. 63c MwSt-DVO, § 147 AO). Eine Ortung über die IP-Adresse findet nicht statt.
  • Steuerangaben von Veranstaltern (Plattformen-Steuertransparenzgesetz): Verkauft ein Veranstalter über Ticket+ Waren, überlässt er Parkplätze, Flächen oder Verkehrsmittel oder erbringt er persönliche Dienstleistungen, erheben und prüfen wir die gesetzlich vorgesehenen Angaben (u. a. Steuer-Identifikationsnummer, Registerangaben, bei Einzelpersonen Geburtsdatum bzw. Geburtsort, Finanzkonto) und melden sie mit den Vergütungen und Gebühren an das Bundeszentralamt für Steuern, das sie an Finanzbehörden im In- und Ausland weiterleitet – Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 13, 17, 18 PStTG. Aufbewahrung zehn Jahre ab Ende des Jahres der Erstellung, danach Löschung (§ 24 Abs. 3 PStTG). Die Prüfung der USt-IdNr. für den Warenverkauf (§ 25e UStG) stützen wir auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Haftungsausschluss).
  • Veranstalter-Konten: Registrierungs-, Firmen- und Auszahlungsdaten zur Vertragsdurchführung; Belegdaten werden an Lexware Office (Buchhaltung) übergeben.
  • Demo-Zugang: Name, E-Mail-Adresse und optional Organisationsname aus dem Demo-Formular – zur Zusendung des Testzugangs und für Rückfragen zum Test (Art. 6 Abs. 1 lit. b, vorvertraglich).
  • Abendkasse (für Veranstalter und deren Kassenpersonal): Nutzt ein Veranstalter die Ticket+ Abendkasse, verarbeiten wir in seinem Auftrag je Kassenvorgang den Namen des Kassierers, Zeitpunkte, die erfassten Positionen, Zahlart und Beträge, die Daten der technischen Sicherheitseinrichtung (TSE) sowie – falls angegeben – die E-Mail-Adresse für den Beleg (gekürzt protokolliert) und bei Rechnungen über 250 € Name und Anschrift des Kunden. Zu jedem Kassengerät speichern wir eine gehashte Gerätekennung und die Browserkennung (User-Agent) zur Zuordnung der Vorgänge (Geräteprotokoll). Belege können über einen geheimen Link (QR-Code) abgerufen werden. Bei Freikarten wird ein Grund und ggf. eine kurze Notiz ohne Namen gespeichert. Rechtsgrundlage ist die Erfüllung der Kassenführungs- und Belegpflichten des Veranstalters (Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 146, 146a AO); Aufbewahrung zehn Jahre (§ 147 AO).
  • Einlass: Scan-Protokolle (Ticketcode, Zeitpunkt, Tor) zur Einlasskontrolle und Betrugsprävention (Art. 6 Abs. 1 lit. b, f).
  • Verkaufsstellen (für Veranstalter und deren Vorverkaufsstellen): Richtet ein Veranstalter Verkaufsstellen ein (z. B. eine Touristinfo), verarbeiten wir in seinem Auftrag die Angaben zur Stelle (Name, Anschrift, Ansprechpartner, ggf. vereinbarte Provision), die Zugänge des Personals der Stelle (Name, E-Mail-Adresse, Rolle, zugeordnete Stelle), die Zuordnung der Verkäufe, Kassenvorgänge und Kontingente zur Stelle sowie die daraus erstellten Abrechnungen je Stelle und Zeitraum. Zweck ist die Abrechnung zwischen Veranstalter und Verkaufsstelle und die Kassenführung. Rechtsgrundlage ist die Vertragsdurchführung mit dem Veranstalter (Art. 6 Abs. 1 lit. b DSGVO) und die Erfüllung seiner Kassenführungs- und Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 146, 146a, 147 AO). Kassen- und Abrechnungsdaten bewahren wir zehn Jahre auf; Zugänge des Personals bestehen, bis der Veranstalter sie entfernt.
  • Gruppen- und Schulklassenanfragen: Fragst du für eine Gruppe oder Schulklasse an, verarbeiten wir im Auftrag des Veranstalters den Namen der Einrichtung, die Ansprechperson, E-Mail-Adresse, optional Telefonnummer, Personenzahl, Wunschtermin, Rechnungsadresse und deine Bemerkung, um die Anfrage zu bearbeiten und ggf. Plätze zu reservieren (Art. 6 Abs. 1 lit. b DSGVO). Kommt keine Buchung zustande, löschen wir die Anfrage nach zwölf Monaten; aus einer Buchung entstehende Belege bewahren wir nach den gesetzlichen Fristen auf.
  • Barrierefreie Plätze: Wählst du einen Rollstuhl- oder Begleitplatz oder buchst du ein kostenloses Begleitticket (Merkzeichen B), lässt dies Rückschlüsse auf deine Gesundheit zu (besondere Kategorie nach Art. 9 DSGVO). Wir verarbeiten diese Angabe im Auftrag des Veranstalters nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du im Bestellprozess erteilst, und ausschließlich zur Platzvergabe und Einlassorganisation. Du kannst die Einwilligung jederzeit für die Zukunft widerrufen; der Platz kann dann ggf. nicht mehr als barrierefreier Platz zugewiesen werden.
  • Hilfe-Assistent: Fragen im Hilfe-Assistenten werden auf unserem eigenen Server in Deutschland mit einem lokal betriebenen Sprachmodell beantwortet; E-Mail-Adressen, Bestellcodes, Telefonnummern und IBANs werden vorher automatisch entfernt. Inhalte werden nicht gespeichert, nur technische Metadaten (Zeitpunkt, Dauer) (Art. 6 Abs. 1 lit. f DSGVO).
  • Server-Logs: IP-Adresse, Zeitpunkt, abgerufene Seite – zur Betriebssicherheit (Art. 6 Abs. 1 lit. f), Löschung spätestens nach 30 Tagen.

4. Cookies

Wir selbst setzen ausschließlich technisch notwendige Cookies ein: „tp_session“ (Login für Veranstalter/Admin), „tp_buyer“ (Käufer-Login für „Meine Tickets“, 30 Tage), „tp_cart“ (Warenkorb-Reservierung, 24 h), „tp_ui“ (Anzeige des Portal-Links), „tp_sso“ (nur für Mitarbeiter der YJAR GmbH nach Anmeldung über das YJAR Portal: merkt sich diesen Anmeldeweg, 400 Tage), „tp_an“ (Zählung innerhalb eines Besuchs, 30 Minuten, keine Wiedererkennung) und an der Abendkasse „tp_pos_device“ (Gerätekennung, 400 Tage) sowie „tp_pos_cashier“ (Kassierer-Anmeldung, 12 Stunden). Deine Entscheidung im Consent-Banner speichern wir im lokalen Speicher deines Browsers („tp_consent“). Hierfür ist kein Cookie-Banner erforderlich (§ 25 Abs. 2 TDDDG). Einzelne Veranstalter können für ihre eigenen Events zusätzlich Meta-, Google- (GA4) oder TikTok-Pixel hinterlegen, um den Erfolg ihrer eigenen Werbung zu messen. Diese Pixel laden NICHT automatisch: Auf Event-Seiten mit konfigurierten Pixeln erscheint zuerst ein Consent-Banner; die Skripte werden erst nach deiner ausdrücklichen Zustimmung nachgeladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Zustimmung wird nichts geladen und keine Verbindung zu Meta/Google/TikTok aufgebaut.

5. Newsletter / Marketing-Pool

Nur mit deiner ausdrücklichen Einwilligung (Opt-in im Checkout oder auf der Newsletter-Seite, Art. 6 Abs. 1 lit. a DSGVO) informieren wir dich über zukünftige Kulturevents von Ticket+ (YJAR GmbH). Newsletter-Anmeldungen bestätigen wir im Double-Opt-In-Verfahren: Du erhältst zunächst eine E-Mail mit Bestätigungslink und wirst erst nach dessen Klick in den Verteiler aufgenommen. Opt-ins aus dem Checkout gelten als Bestandskundenkontakt (§ 7 Abs. 3 UWG; deine E-Mail ist durch den Kauf bereits verifiziert). Zeitpunkt und Herkunft der Einwilligung werden protokolliert. Du kannst dich jederzeit über den Abmeldelink in jeder E-Mail oder unter /newsletter abmelden; die Einwilligung ist frei widerruflich.

6. Empfänger

Zahlungsdienstleister (Stripe Payments Europe Ltd., PayPal (Europe) S.à r.l.), Buchhaltungssoftware (Lexware Office/Haufe), Hosting-/Infrastruktur-Dienstleister sowie – bezogen auf deine Bestellung – der jeweilige Veranstalter. Nur mit deiner Zustimmung im Consent-Banner (s. Abschnitt 4): Meta Platforms Ireland Ltd., Google Ireland Ltd. (GA4) bzw. TikTok Technology Limited, sofern der Veranstalter des jeweiligen Events ein entsprechendes Pixel hinterlegt hat. Speicherst du dein Ticket in Apple Wallet oder Google Wallet, gehen die Ticketdaten (Veranstaltung, Datum, Ort, Platz, Ticketcode und ggf. der Name der eintretenden Person) auf deinen Klick an Apple Distribution International Ltd. bzw. Google Ireland Ltd. (Art. 6 Abs. 1 lit. b DSGVO). Eine Übermittlung in Drittländer erfolgt nur, soweit die Dienstleister geeignete Garantien (EU-Standardvertragsklauseln / Angemessenheitsbeschluss) vorweisen.

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen. Wende dich dazu an info@yjar.de. Beschwerderecht: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Ansbach.

8. Datensicherheit

TLS-Verschlüsselung, gehashte Passwörter, Zugriff nach Rollenprinzip, Protokollierung sicherheitsrelevanter Aktionen. Ticket-QR-Codes sind zufällige, nicht erratbare Geheimnisse.