Datenschutzerklärung

Stand: 7. November 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf gotonic.de ist Tobias Nicklaus, handelnd unter Tonic System Solutions, Schauenburgerstraße 116, 24118 Kiel, E-Mail: kontakt@gotonic.de. Ein Datenschutzbeauftragter ist nicht bestellt, da hierzu keine gesetzliche Pflicht besteht.

2. Wer für welche Daten verantwortlich ist

• Für den Betrieb der Website, Veranstalterkonten, die Statistik zu Seitenaufrufen und Registrierungen und die Kommunikation mit uns sind wir Verantwortlicher.
• Wenn Sie ein Ticket kaufen, verarbeiten wir Ihre Bestelldaten im Auftrag des jeweiligen Veranstalters. Verantwortlicher für den Ticketkauf ist der Veranstalter, der auf der Veranstaltungsseite und in Ihrer Bestellbestätigung genannt ist.
• Die Zahlungsabwicklung übernimmt Stripe in eigener Verantwortung.

3. Aufruf der Website und Server-Logdateien

Beim Aufruf unserer Website werden automatisch IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, verweisende Seite sowie Browser und Betriebssystem verarbeitet. Dies dient der Auslieferung der Website, der Fehleranalyse und dem Schutz vor Missbrauch, etwa durch Begrenzung zu vieler Anfragen. Dafür zählen wir Anfragen je IP-Adresse, je nach Funktion zusätzlich je E-Mail-Adresse, Konto, Bestellung oder Browser, den wir an einer zufälligen Kennung in einem Cookie erkennen. Bei Kündigung und Widerruf zählen wir außerdem die Bestätigungen je Empfängeradresse und je Erklärung. Statt dieser Angaben speichern wir nur pseudonymisierte Prüfwerte und löschen sie nach höchstens zwei Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Logdateien werden spätestens nach sieben Tagen gelöscht.

Die Website wird bei Vercel Inc. gehostet. Die Server stehen in Frankfurt am Main.

Fehler auf dem Server halten wir in einem Fehlerprotokoll fest, ohne IP-Adresse und ohne Inhalte von Anfragen. Bei kritischen Fehlern, etwa bei Zahlungen oder im Mailversand, senden wir über Amazon SES eine Warnmail an unser Postfach bei Microsoft (Nr. 6 und Nr. 13). Sie enthält nur Fehlerart, Zeitpunkt und technische Kennungen, etwa die Kennung einer Bestellung, aber keine Namen, E-Mail-Adressen oder IP-Adressen von Ticketkäufern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist ein sicherer Betrieb der Plattform. Einträge im Fehlerprotokoll löschen wir 90 Tage nach dem letzten Auftreten des Fehlers, Warnmails 90 Tage nach dem Versand.

4. Ticketkauf

Beim Ticketkauf verarbeiten wir im Auftrag des Veranstalters Vor- und Nachname, E-Mail-Adresse, weitere vom Veranstalter abgefragte Angaben, gekaufte Tickets, Preis, Zeitpunkt, verwendete Rabattcodes, den Zahlungsstatus und die Zahlart. Fragt der Veranstalter zu jedem Ticket Angaben ab, etwa den Namen des Gastes, verarbeiten wir auch diese Daten der Gäste, für die Sie Tickets kaufen. Vollständige Kartendaten erhalten wir nicht.

Zwecke sind die Abwicklung des Kaufs, der Versand der Tickets, die Einlasskontrolle und Erstattungen. Rechtsgrundlage des Veranstalters ist Art. 6 Abs. 1 lit. b DSGVO, für die Daten der Gäste sein berechtigtes Interesse, die Tickets zuzuordnen (Art. 6 Abs. 1 lit. f DSGVO), für gesetzliche Aufbewahrungspflichten Art. 6 Abs. 1 lit. c DSGVO.

Anfragen zu Ihren Rechten können Sie an den Veranstalter oder an uns richten. Wir leiten sie an den Veranstalter weiter.

Die Datenschutzhinweise des Veranstalters für den Ticketkauf finden Sie auf der jeweiligen Veranstaltungsseite.

5. Zahlungsabwicklung

Zahlungen werden über Stripe Payments Europe, Ltd., Dublin, Irland abgewickelt. Stripe verarbeitet Zahlungsdaten in eigener Verantwortung, auch zur Betrugsprävention, und kann Daten in die USA übermitteln. Details finden Sie in der Datenschutzerklärung von Stripe unter stripe.com/de/privacy. Der Veranstalter sieht in seinem Stripe-Konto einzelne Angaben zu Ihrer Zahlung, etwa die Zahlart und bei Karten die Kartenmarke und die letzten vier Ziffern, aber nicht die vollständigen Kartendaten. Bei Kartenzahlung bietet Stripe außerdem Link an, mit dem Sie Ihre Zahlungsdaten auf Wunsch bei Stripe für spätere Käufe speichern können. Dafür gelten die Datenschutzbestimmungen von Stripe. Wählen Sie Klarna, werden die erforderlichen Daten an die Klarna Bank AB (publ), Schweden, übermittelt, die die Zahlung in eigener Verantwortung abwickelt und dabei auch Identität und Bonität prüfen kann. Bei Zahlarten wie iDEAL, Bancontact oder EPS wirkt zusätzlich Ihre Bank mit. Bei Apple Pay und Google Pay gelten ergänzend die Datenschutzbestimmungen von Apple und Google.

6. E-Mail-Versand

Bestellbestätigungen, Tickets und Konto-E-Mails versenden wir über Amazon Simple Email Service der Amazon Web Services EMEA SARL, Luxemburg, mit Rechenzentren in Stockholm, Schweden. Verarbeitet werden E-Mail-Adresse und Inhalt der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Meldet der Mailserver des Empfängers eine Adresse als dauerhaft unzustellbar oder markiert der Empfänger eine E-Mail als Spam, sperren wir die Adresse für weitere E-Mails. In unserer Datenbank speichern wir dafür nur einen pseudonymisierten Prüfwert der Adresse und ihre Domain. Zusätzlich setzt Amazon SES die Adresse selbst auf die Unterdrückungsliste unseres Kontos, die für alle E-Mails gilt, die wir über Amazon SES versenden. Die Sperre heben wir auf, wenn Sie uns mitteilen, dass die Adresse wieder erreichbar ist oder Sie wieder E-Mails erhalten möchten. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist ein zuverlässiger Mailversand. Werbung per E-Mail senden wir nur an Veranstalter nach Nr. 7, nicht an Käufer.

7. Veranstalterkonto

Für Veranstalter speichern wir Name, Organisation, Kontaktdaten, die Angabe zum Unternehmerstatus, Veranstaltungsdaten, die Kennung des verbundenen Stripe-Kontos und Abrechnungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO. Die Identitätsprüfung führt Stripe durch. Name und Kontaktdaten des Veranstalters veröffentlichen wir auf seinen Veranstaltungsseiten, im Checkout, in Bestellbestätigungen und auf den Seiten, die wir für seine Veranstaltungen erzeugen, damit Käufer ihren Vertragspartner kennen und erreichen. Bei Veranstaltern, die nicht als Unternehmer handeln, sind das Name, verantwortliche Person, Anschrift, gegebenenfalls mit dem Zusatz „c/o“, und E-Mail-Adresse, nicht die Telefonnummer. Name und Anschrift verlangt auch § 18 Abs. 1 Medienstaatsvertrag. Rechtsgrundlage für die Veröffentlichung der verantwortlichen Person ist Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse der Käufer und unser eigenes ist, dass Käufer wissen, wer für die Veranstaltung einsteht. Dass der Veranstalter diese Angaben bestätigt hat und, bei einer Anschrift mit „c/o“, dass ihr Inhaber zugestimmt hat, speichern wir mit dem Zeitpunkt. Kündigungen und Widerrufe, die über die Plattform eingehen, speichern wir mit Inhalt, Datum und Uhrzeit des Eingangs als Nachweis.

Die E-Mail-Adresse, die Sie bei der Registrierung oder später im Profil für Ihr Konto angeben, können wir auch nutzen, um Sie per E-Mail über neue Funktionen und ähnliche Leistungen der Plattform GoTonic zu informieren. Andere E-Mail-Adressen, etwa die für Käufer veröffentlichte oder die von Helfern mit eigenem Zugang, nutzen wir dafür nicht. Rechtsgrundlage ist unser berechtigtes Interesse an Werbung für eigene Leistungen (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG). Sie können dem jederzeit widersprechen, per E-Mail an kontakt@gotonic.de oder über den Abmeldelink in jeder dieser E-Mails, ohne dass Ihnen andere als die Übermittlungskosten nach den Basistarifen entstehen. Nach einem Widerspruch nutzen wir die E-Mail-Adresse nicht mehr dafür.

8. Schutz von Anmeldung und Registrierung

Bei der Anmeldung und der Registrierung prüfen wir mit Cloudflare Turnstile der Cloudflare, Inc., USA, ob die Anfrage von einem Menschen stammt, auch für Teamzugänge von Helfern. Das gilt ebenso, wenn Sie vor einer Passwortänderung Ihr bisheriges Passwort bestätigen. Dabei werden IP-Adresse, Browser- und Geräteinformationen sowie technische Merkmale der Sitzung an Cloudflare übermittelt, auch in die USA. Cloudflare verarbeitet diese Daten für die Prüfung in unserem Auftrag und nutzt sie nach eigenen Angaben in eigener Verantwortung auch, um die Erkennung automatisierter Zugriffe zu verbessern. Grundlage der Übermittlung ist das EU-US Data Privacy Framework. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist der Schutz der Konten vor automatisierten Angriffen. Soweit dafür Informationen auf Ihrem Gerät gespeichert oder ausgelesen werden, ist das für die sichere Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

9. Gruppenkäufe

Bei Gruppenkäufen zeigt der geteilte Link die Mitglieder der Gruppe mit dem Anzeigenamen, den jedes Mitglied beim Beitritt selbst wählt, und ob sie ihr Ticket schon gekauft haben. Diese Angaben sehen alle, die den Link kennen. Für den Beitritt speichern wir außerdem die E-Mail-Adresse, die für andere Mitglieder nicht sichtbar ist. Die Verarbeitung erfolgt im Auftrag des Veranstalters zur Koordination des Gruppenkaufs.

10. Einlasskontrolle

Beim Einlass werden Ticketkennung, Zeitpunkt der Prüfung, das prüfende Konto und die Kennung des Geräts gespeichert. Dies erfolgt im Auftrag des Veranstalters zur Vermeidung von Mehrfacheinlässen.

11. Statistik

Wir zählen Aufrufe der Veranstaltungsseiten und unserer eigenen Seiten, etwa der Startseite, der Preisseite, der Rechtsseiten und der Registrierung. Bereiche nach einer Anmeldung, Bestell-, Gruppen- und Vorschauseiten sowie der Einlass werden nicht gezählt. Zwecke sind die Verbesserung der Plattform und der Veranstaltungsseiten und Statistiken für Veranstalter.

Dafür halten wir nur fest, welche Seite aufgerufen wurde, bei Veranstaltungsseiten mit dem Zeitpunkt, bei unseren eigenen Seiten als Zahl je Tag. Weitere Angaben aus dem Aufruf, etwa die verweisende Seite, die Browserkennung oder Parameter im Link, werten wir dafür nicht aus. IP-Adressen speichern wir dafür nicht, Cookies oder andere Speicher auf Ihrem Gerät nutzen wir dafür nicht.

Veranstalter sehen für ihre Veranstaltungen zusammengefasste Zahlen: Aufrufe, Warenkörbe und bezahlte Bestellungen je Tag. Wir sehen dieselben Zahlen für alle Veranstaltungen sowie Zahlen zu unseren eigenen Seiten und zu Registrierungen. Für eigene Zwecke nutzen wir aus Bestellungen nur Summen je Veranstaltung und Tag, die wir nicht mit anderen Daten verknüpfen. Wir bilden keine Profile, verfolgen niemanden über andere Websites und geben die Zahlen eines Veranstalters nicht an Dritte weiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, die Plattform und die Veranstaltungsseiten zu verbessern und Veranstaltern eine Auswertung ihres Ticketverkaufs zu ermöglichen.

12. Cookies und ähnliche Technologien

Wir verwenden nur technisch notwendige Cookies und vergleichbare Speicher, etwa für Anmeldung, Sitzung und Sicherheit. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b und f DSGVO. Analyse- oder Werbewerkzeuge anderer Anbieter setzen wir nicht ein. Für unsere eigene Statistik (Nr. 11) nutzen wir keine Cookies oder anderen Speicher auf Ihrem Gerät.

Schriftarten sind lokal eingebunden. Beim Seitenaufruf wird keine Verbindung zu Servern von Google hergestellt.

13. Kontaktaufnahme

Wenn Sie uns per E-Mail, telefonisch oder über das Kontaktformular kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Nachrichten aus dem Kontaktformular leiten wir über unseren E-Mail-Versand an unser Postfach weiter. Unser Postfach liegt bei Microsoft 365 (Exchange Online) der Microsoft Ireland Operations Limited, Dublin, Irland. Microsoft speichert die Nachrichten in unserem Auftrag nach dem Datenschutznachtrag von Microsoft in Rechenzentren in der EU. Betrifft Ihre Anfrage eine Bestellung, geben wir sie an den Veranstalter weiter, soweit er sie bearbeiten muss. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder f DSGVO. Die Daten werden gelöscht, wenn die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

14. Social-Media-Präsenzen

Wir sind auf Instagram (Meta Platforms Ireland Ltd.) und TikTok (TikTok Technology Limited, Irland) vertreten. Für Statistiken zu unseren Profilen sind wir mit dem jeweiligen Anbieter gemeinsam verantwortlich (Art. 26 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Informationen zur Datenverarbeitung finden Sie in den Datenschutzhinweisen der Anbieter.

15. Dienstleister und Übermittlung in Drittländer

16. Speicherdauer

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Kontodaten löschen wir mit Löschung des Kontos. Angaben aus einer Registrierung, die nicht abgeschlossen wird, löschen wir nach sieben Tagen, wenn die E-Mail-Adresse nicht bestätigt oder kein Passwort festgelegt wurde, außerdem sofort bei einer neuen Registrierung mit derselben Adresse und wenn auf der Seite „Passwort festlegen“ „Diese Angaben stammen nicht von mir“ gewählt wird. Die Zustimmungen aus der Registrierung bleiben als Nachweis gespeichert, ohne Angaben, die sie einer Person zuordnen. Eigene Abrechnungsdaten bewahren wir nach den steuer- und handelsrechtlichen Fristen auf, in der Regel sechs bis zehn Jahre. Daten aus Ticketkäufen löschen wir im Auftrag des Veranstalters spätestens zwölf Monate nach der Veranstaltung, nach Ende des Nutzungsvertrags spätestens nach 30 Tagen, soweit keine gesetzliche Speicherpflicht besteht. Zahlen und Einträge zu Seitenaufrufen und die Summen für eigene Zwecke enthalten keine Angaben, die sie einer Person zuordnen, wir bewahren sie als Statistik auf. In den täglichen Datensicherungen unseres Datenbankanbieters bleiben gelöschte Daten noch bis zu sieben Tage erhalten.

17. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Der Nutzung Ihrer Daten für Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO).

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel.

18. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Für einen Ticketkauf sind Name und E-Mail-Adresse erforderlich, ohne sie können wir keine Tickets ausstellen. Eine automatisierte Entscheidungsfindung nach Art. 22 DSGVO findet bei uns nicht statt. Automatisierte Betrugsprüfungen bei der Zahlung führt Stripe in eigener Verantwortung durch.