Zum Inhalt springen
MuckerBooker
Anmelden

Datenschutzerklärung

1. Verantwortlicher

TM Merch GmbH, Karl-Heinrich-Str. 8, 37235 Hessisch Lichtenau, vertreten durch die Geschäftsführer Hendrik Simon und Marcel Hofsommer. E-Mail: info@tm-merch.de

2. Welche Daten wir verarbeiten

  • Konto: E-Mail-Adresse und Passwort (verschlüsselt gespeichert), Zeitpunkt und Version deiner Zustimmung zu Nutzungsbedingungen und Kenntnisnahme dieser Erklärung (Art. 6 Abs. 1 lit. b DSGVO).
  • Öffentliches Profil: Alle Angaben, die du selbst einträgst und aktiv veröffentlichst (Name, Ort, Beschreibung, Gewerke, Details, Profilbild sowie optional Kontakt-E-Mail, Telefon, Website). Die Veröffentlichung steuerst du selbst über den Sichtbarkeits-Schalter (Art. 6 Abs. 1 lit. b DSGVO).
  • Buchungen, Gesuche, Bewerbungen, Nachrichten: Inhalte, die du im Rahmen der Plattform-Funktionen erstellst; sichtbar nur für die jeweils Beteiligten (Art. 6 Abs. 1 lit. b DSGVO).
  • Bewertungen und Verfügbarkeiten: Bewertungen nach abgeschlossenen Buchungen (öffentlich am bewerteten Profil) sowie dein Verfügbarkeitskalender (öffentlich nur als frei/belegt, ohne Details) (Art. 6 Abs. 1 lit. b DSGVO).
  • Kalender-Feed (iCal): Auf Wunsch erzeugst du unter „Verfügbarkeit“ einen geheimen Abo-Link, mit dem deine Kalender-App (z. B. Apple, Google, Outlook) deine bestätigten Buchungen (Datum und Veranstaltungsname) und deine geblockten Tage abruft. Wer den Link kennt, kann diese Daten ohne Anmeldung abrufen. Er wird nur dir bzw. dem Team-Mitglied angezeigt, das ihn erzeugt, und zwar einmalig. Wir speichern nur einen nicht umkehrbaren Hashwert des Links und den Zeitpunkt der Erstellung, den Link selbst nicht. Der Abruf durch deine Kalender-App erfolgt über unseren Server; der Kalenderanbieter erhält die Feed-Inhalte in deinem Auftrag (Art. 6 Abs. 1 lit. b DSGVO).
  • Medien und Tech-Rider: Von dir hochgeladene Galerie-Bilder sind öffentlich sichtbar; dein Tech-Rider ist nur für dich und deine Buchungspartner abrufbar (Art. 6 Abs. 1 lit. b DSGVO).
  • Team und Einladungen: Profile können von mehreren Personen verwaltet werden. Der Profil-Inhaber sieht dazu die E-Mail-Adressen der Mitglieder (Art. 6 Abs. 1 lit. b DSGVO). Lädt ein Inhaber jemanden per E-Mail ein, speichern wir die eingegebene Adresse nur für die Einladung; wird sie nicht innerhalb von 14 Tagen angenommen, löschen wir die Adresse automatisch — bei Annahme sofort (Art. 6 Abs. 1 lit. f DSGVO, Anbahnung der Zusammenarbeit). Dasselbe gilt für Plattform-Einladungen, mit denen Nutzer andere Bands, Venues oder Dienstleister zu MuckerBooker einladen: Die Adresse dient nur dem Versand der Einladung, wird nach 14 Tagen ohne Annahme gelöscht und bei Annahme sofort aus der Einladung entfernt.
  • Merkliste: Du kannst dir andere Profile auf einer Merkliste merken. Wir speichern dazu, welches Profil welches andere Profil wann gemerkt hat. Die Liste sehen nur die Mitglieder des merkenden Profils; gemerkte Profile werden nicht benachrichtigt und sehen weder die Liste noch einen Zähler. Ist ein gemerktes Profil vorübergehend nicht öffentlich (z. B. unveröffentlicht oder gesperrt), blenden wir es in der Liste aus; der Eintrag bleibt bestehen und erscheint wieder, sobald das Profil wieder öffentlich ist. Ein Eintrag bleibt gespeichert, bis du ihn entfernst oder eines der beiden Profile gelöscht wird (Art. 6 Abs. 1 lit. b DSGVO; soweit dabei Daten des gemerkten Profils verarbeitet werden, Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse und das der Nutzer ist die Vorauswahl von Geschäftspartnern auf Grundlage öffentlich gestellter Profile). Auf Anfrage teilen wir dir mit, auf wie vielen Merklisten dein Profil steht, nicht aber, wer es gemerkt hat (Art. 15 Abs. 4 DSGVO).
  • Rechnungs- und Vertragsdaten: Für Vertrags-PDFs und die Rechnungsstellung zwischen Buchungspartnern kannst du Rechnungsdaten hinterlegen (Firmenname, Anschrift, USt-IdNr. oder Steuernummer, optional Leitweg-ID, Kleinunternehmer-Status nach § 19 UStG) sowie an einer Buchung eine Anzahlung vereinbaren. Diese Daten sind nur für dich, dein Team und die Partner bestätigter Buchungen sichtbar (Art. 6 Abs. 1 lit. b DSGVO). Ein Vertragsentwurf (PDF) wird bei jedem Abruf neu aus den aktuellen Buchungsdaten erzeugt und nicht gespeichert. Stellt eine der Parteien den Vertrag aus, speichern wir den Vertragsinhalt (inklusive der Rechnungsangaben beider Seiten) unveränderlich an der Buchung — sichtbar nur für die Beteiligten und ihre Teams, gelöscht mit der Buchung bzw. dem Konto (Art. 6 Abs. 1 lit. b DSGVO). Die Aufbewahrung von Verträgen und Rechnungen (z. B. nach § 147 AO) obliegt weiterhin den Vertragsparteien selbst.
  • KI-Rider-Analyse (Claude API): Auf Wunsch analysieren wir deinen hochgeladenen Tech-Rider mit der Claude-API von Anthropic. Die Analyse startest ausschließlich du selbst; dabei wird das PDF an Anthropic übertragen (Anthropic Ireland Ltd.; Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, Art. 45 DSGVO, ergänzend über EU-Standardvertragsklauseln, Art. 46 Abs. 2 lit. c DSGVO; die Inhalte werden von Anthropic nicht zum Training von KI-Modellen verwendet). Enthält dein Rider Kontaktdaten Dritter (etwa deines Technik-Teams), werden diese mit übertragen (Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse ist die Bereitstellung der von dir ausdrücklich gestarteten Analysefunktion). Die Ergebnisse werden dir als Vorschläge angezeigt und erst nach deiner Bestätigung ins Profil übernommen (Art. 6 Abs. 1 lit. b DSGVO). Zur Missbrauchsvermeidung speichern wir einen Tageszähler deiner Analysen (Profil-ID, Datum, Anzahl), der nach 30 Tagen automatisch gelöscht wird. Ein optional eingegebener eigener API-Key wird nur für die eine Anfrage verwendet und nicht gespeichert — mit eigenem Key bist du selbst Vertragspartner von Anthropic.
  • Zahlungen (Stripe): Vereinbarte Anzahlungen können über den Zahlungsdienstleister Stripe bezahlt werden. Die Zahlung findet auf den Seiten von Stripe statt — Kartendaten erreichen uns nie. Wir speichern nur den Zahlungsstatus und eine Zahlungsreferenz an der Buchung (Art. 6 Abs. 1 lit. b DSGVO). Stripe verarbeitet deine Daten teilweise in eigener Verantwortung; Details in der Datenschutzerklärung von Stripe.
  • Moderation und Meldungen: Du kannst Profile, Gesuche und Bewertungen melden. Wir speichern dazu die Meldung mit deinem Profil, dem gemeldeten Inhalt und deiner Begründung — einsehbar nur für unser Moderationsteam. Bei Verstößen können wir Profile sperren; den Sperrstatus und die Begründung speichern wir am Konto und teilen dir die Begründung per E-Mail mit. Moderations-Entscheidungen protokollieren wir intern in einem Audit-Log (Art. 6 Abs. 1 lit. f DSGVO — Sicherheit und Integrität der Plattform). Einer auf berechtigte Interessen gestützten Verarbeitung kannst du aus Gründen deiner besonderen Situation widersprechen (Art. 21 DSGVO); unabhängig davon kannst du eine Überprüfung der Sperrentscheidung über den in der Mitteilung und im Impressum genannten Kontakt verlangen. Bearbeitete Meldungen löschen wir 90 Tage nach der Entscheidung automatisch, Audit-Log-Einträge nach 12 Monaten. Über die Entscheidung zu deiner Meldung informieren wir dich in der App (Glocke und „Meine Meldungen“); dort findest du auch, wie du eine Entscheidung überprüfen lassen kannst. Entfernen wir eine Bewertung oder schließen wir ein Gesuch, teilen wir dem Profil-Inhaber die Begründung per E-Mail an seine Konto-Adresse mit; diese Mitteilung ist gesetzlich vorgeschrieben (Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 17 DSA) und lässt sich nicht abbestellen.
  • E-Mail-Benachrichtigungen: Versand über den Dienstleister Resend bei Anfragen, Status-Updates, Bewerbungen, Nachrichten und Team-Einladungen (einzeln abbestellbar in den Profil-Einstellungen) sowie für Konto-E-Mails wie Registrierungs-Bestätigung und Passwort-Zurücksetzen. Konto- und Vertrags-E-Mails verarbeiten wir nach Art. 6 Abs. 1 lit. b DSGVO; Einladungen an noch nicht registrierte Personen nach Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: die von dir veranlasste Anbahnung einer Zusammenarbeit). Details zu Resend unter „Hosting und Auftragsverarbeiter“. Die einmalige Hinweis-Nachricht vor Aufnahme einer Venue in unser Verzeichnis (Abschnitt 3) läuft nicht über Resend, sondern aus unserem eigenen Postfach oder über das Kontaktformular der Venue.
  • Benachrichtigungen in der App: Über neue Anfragen, Nachrichten, Bewerbungen, Bewertungen und die Entscheidung zu deinen Meldungen informieren wir dich zusätzlich in der App (Glocke). Gespeichert werden dazu dein Konto, das betroffene Profil, die Art des Ereignisses, ein Verweis auf die Seite und ob du den Eintrag gelesen hast — keine Inhalte und keine Namen anderer Nutzer. Bei Team-Profilen erhalten alle Mitglieder des Profils die Benachrichtigung; wer die Handlung selbst ausgelöst hat, nicht. Diese Benachrichtigungen sind Teil des Dienstes und lassen sich nicht abschalten (Art. 6 Abs. 1 lit. b DSGVO); die E-Mail-Benachrichtigungen kannst du davon unabhängig abbestellen. Gelesene Einträge löschen wir 90 Tage nach dem Lesen, alle Einträge spätestens nach 12 Monaten, beim Verlassen eines Teams die Einträge zu diesem Profil sofort und mit dem Konto alle.
  • Kontaktformular: Name, E-Mail-Adresse, Betreff und Nachricht leiten wir als E-Mail an uns weiter, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO bei vertraglichem Bezug, sonst lit. f — berechtigtes Interesse an der Bearbeitung von Anfragen). Auf der Plattform wird die Anfrage nicht gespeichert; in unserem Postfach löschen wir sie, sobald das Anliegen erledigt ist und keine Aufbewahrungspflicht besteht. Zum Schutz vor Missbrauch zählen wir Anfragen je IP-Adresse (nur als Hash, 1 Stunde).
  • Produkt-Umfragen: Gelegentlich bitten wir dich um Feedback zur Weiterentwicklung der Plattform. Die Teilnahme ist freiwillig (Art. 6 Abs. 1 lit. f DSGVO — Produktverbesserung). Deine Antworten speichern wir ohne Profil-Bezug, nur mit deinem Konto-Typ; getrennt davon vermerken wir, dass dein Profil teilgenommen hat (verhindert Doppelteilnahme), sowie — nur wenn du es ankreuzt — deine Einwilligung, dich zu Produktthemen zu kontaktieren. Umfragedaten löschen wir nach Abschluss der Auswertung, spätestens nach 12 Monaten automatisch.
  • Missbrauchsschutz: Wir begrenzen, wie oft Anmeldung, Registrierung, Passwort-Zurücksetzen, Meldungen und Einladungen hintereinander ausgeführt werden können. Dazu speichern wir kurzzeitig pseudonymisierte Zähler (Hash-Werte, bei nicht angemeldeten Zugriffen aus der IP-Adresse abgeleitet — die Adresse selbst speichern wir nicht); sie werden nach spätestens 24 Stunden automatisch gelöscht (Art. 6 Abs. 1 lit. f DSGVO — Sicherheit der Plattform).

3. Öffentliches Venue-Verzeichnis

Damit Bands Spielstätten auch dann finden, wenn diese noch kein Profil haben, führen wir ein Verzeichnis von Live-Musik-Venues. Die Einträge erstellen wir selbst aus öffentlich zugänglichen Quellen — der Website und dem Impressum der jeweiligen Venue sowie der freien Datenbank Wikidata (Lizenz CC0). Wir übernehmen ausschließlich Angaben zur Spielstätte: Name, Veranstaltungsadresse, Website, Kapazität, Art der Venue und eine von uns formulierte, rein sachliche Kurzbeschreibung; keine Telefonnummern, keine E-Mail-Adressen, keine Namen von Personen, keine Fotos. Jeder Eintrag ist als „nicht von der Venue bestätigt“ gekennzeichnet und nennt Quelle und Stand; in Übersichten und Suchergebnissen erscheinen nur Name und Ort, die Einzelheiten stehen auf der Eintragsseite.

Betreibst du eine Venue als Einzelunternehmen oder Personengesellschaft, können diese Angaben personenbezogen sein; wir verarbeiten sie dann auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse ist ein vollständiges, neutrales Verzeichnis für die Vermittlung von Live-Musik; deine Daten stammen aus deinen eigenen öffentlichen Angaben, mit denen du gefunden werden möchtest. In diesem Fall informieren wir dich vor der Veröffentlichung einmalig per E-Mail an die Adresse aus deinem Impressum oder über das Kontaktformular auf deiner Website (Art. 14 DSGVO); die Nachricht senden wir aus unserem eigenen Postfach, nicht über die Plattform. Die Adresse speichern wir nur bis zum Versand des Hinweises, nicht in unserer Datenbank; dort vermerken wir nur Zeitpunkt, Kanal und Textversion des Hinweises.

Du kannst deinen Eintrag jederzeit übernehmen („Das ist meine Venue“) oder ohne Angabe von Gründen widersprechen (Art. 21 DSGVO) — über unser Kontaktformular oder per E-Mail an info@tm-merch.de; ein Konto brauchst du dafür nicht. Wir entfernen den Eintrag dann innerhalb weniger Werktage und merken uns nur, dass diese Venue nicht erneut aufgenommen werden soll (Website-Domain, ein Prüfwert aus Name und Postleitzahl, gegebenenfalls die Wikidata-Kennung des Eintrags und die Art des Widerspruchs — keine weiteren Daten). Einträge, deren Quelle wir seit 24 Monaten nicht neu geprüft haben, nehmen wir automatisch aus der Anzeige.

Beantragst du die Übernahme eines Eintrags, speichern wir dazu deine dienstliche E-Mail-Adresse und eine optionale Notiz, bis wir entschieden haben — höchstens 30 Tage; danach löschen wir beide Angaben sofort, den Vermerk über die Entscheidung nach 90 Tagen (Art. 6 Abs. 1 lit. b DSGVO). Unser Team sieht dabei auch die E-Mail-Adresse deines Kontos, um den Antrag zu prüfen und dir zu antworten. Nach der Übernahme ist der Verzeichnis-Eintrag nicht mehr öffentlich — dein Profil tritt an seine Stelle. Löschst du später dein Konto, bleibt der übernommene Verzeichnis-Eintrag ausgeblendet; er erscheint nicht wieder.

4. Hosting und Auftragsverarbeiter

Datenbank, Authentifizierung und Datei-Speicher werden bei Supabase (Supabase, Inc.) in der Region Frankfurt am Main, Deutschland, betrieben. Das Web-Hosting erfolgt auf einem Server von Hostinger (Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaca, Zypern) im Rechenzentrum Frankfurt am Main, Deutschland. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Für den Versand unserer System- und Benachrichtigungs-E-Mails setzen wir Resend ein (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Das betrifft auch Konto-E-Mails wie Registrierungs-Bestätigung und Passwort-Zurücksetzen, die unser Auth-System (Supabase Auth) über die von uns konfigurierte Resend-SMTP-Anbindung versendet. Resend verarbeitet dabei — soweit in der jeweiligen E-Mail enthalten — deinen Namen und deine E-Mail-Adresse sowie Betreff und Inhalt der Nachricht in unserem Auftrag (Vertrag nach Art. 28 DSGVO — Resend Data Processing Addendum). Die Verarbeitung findet in den USA statt; eine EU-Verarbeitungsregion bietet Resend nicht an. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), solange Resend entsprechend zertifiziert ist; ergänzend enthält das Resend Data Processing Addendum EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Das DPA ist unter resend.com/legal/dpa abrufbar.

Für die Abwicklung von Anzahlungen setzen wir Stripe ein (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland). Stripe verarbeitet Zahlungsdaten teilweise in unserem Auftrag (Vertrag nach Art. 28 DSGVO — Stripe Data Processing Agreement) und teilweise als eigener Verantwortlicher, etwa zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten. Dabei können Daten an die Stripe, Inc. in den USA übermittelt werden; diese Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend über EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Details: stripe.com/de/privacy.

Für die optionale KI-Analyse von Tech-Ridern setzen wir die Claude-API von Anthropic ein (Anthropic Ireland, Limited, Dublin, Irland). Anthropic verarbeitet die übermittelten Dokumente in unserem Auftrag (Vertrag nach Art. 28 DSGVO — Anthropic Data Processing Addendum). Dabei können Daten an die Anthropic, PBC in den USA übermittelt werden; diese Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend über die im Anthropic Data Processing Addendum enthaltenen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Details: anthropic.com/legal/privacy.

5. Cookies und lokaler Speicher

Für die Anmeldung setzen wir Session-Cookies ein, die unbedingt erforderlich sind, um den von dir ausdrücklich gewünschten Anmeldedienst bereitzustellen (Supabase Auth). Für diese Cookies ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Tracking- oder Werbe-Cookies setzen wir nicht ein.

Wenn du die Sprache umschaltest, speichern wir deine Auswahl (Deutsch oder Englisch) im Cookie „muckerbooker_locale“ für ein Jahr. Es dient ausschließlich dazu, deine gewünschte Sprache bei weiteren Besuchen beizubehalten.

Wenn du zwischen hellem und dunklem Design umschaltest, speichert dein Browser deine Auswahl unter dem Schlüssel „theme“ im Local Storage deines Geräts. Der Wert wird nicht an uns übertragen und dient ausschließlich dazu, dein gewünschtes Design bei weiteren Besuchen beizubehalten (§ 25 Abs. 2 Nr. 2 TDDDG); solange du nicht umschaltest, gilt deine Systemeinstellung und es wird nichts gespeichert.

6. Speicherdauer und Löschung

Deine Daten bleiben gespeichert, solange dein Konto besteht. Du kannst dein Konto jederzeit in den Profil-Einstellungen löschen — dabei werden dein Profil und alle zugehörigen Inhalte (Gewerke, Anfragen, Gesuche, Bewerbungen, Nachrichten, Benachrichtigungen, Benachrichtigungs-Einstellungen, Merkliste, Kalender-Feed, Profilbild, Galerie-Bilder, Tech-Rider und Team-Mitgliedschaften) unwiderruflich entfernt. Löscht der Inhaber eines Team-Profils sein Konto, wird das Profil auch für die übrigen Mitglieder gelöscht. Offene Team-Einladungen verfallen nach 14 Tagen und werden automatisch gelöscht. Ein Kalender-Feed wird ungültig, sobald du ihn erneuerst, ein Mitglied aus dem Team-Profil entfernt wird oder sein Konto löscht oder das Profil gelöscht wird. Server-Zugriffsprotokolle, die den Feed-Link enthalten können, löschen wir nach spätestens 14 Tagen. Meldungen, die du abgegeben hast, und Meldungen über deine Inhalte werden mit deinem Konto gelöscht; interne Moderations-Protokolle entfernen wir spätestens nach Ablauf der oben genannten Fristen. Hinterlegte Rechnungsdaten werden mit deinem Konto gelöscht. Ausgestellte Verträge werden mit der zugehörigen Buchung gelöscht, sobald eine der Parteien ihr Konto löscht — lade Vertrags-PDFs daher vor einer Kontolöschung herunter und sichere Zahlungsbelege (z. B. Stripe-Quittung, Kontoauszug), wenn du sie aufbewahren musst.

Für Einträge im Venue-Verzeichnis gelten die Fristen aus Abschnitt 3: Nach einem Widerspruch entfernen wir den Eintrag innerhalb weniger Werktage und behalten nur den dort beschriebenen Sperrvermerk; Einträge, deren Quelle wir seit 24 Monaten nicht neu geprüft haben, nehmen wir automatisch aus der Anzeige; übernommene Einträge bleiben auch nach einer Kontolöschung ausgeblendet; die Angaben eines Übernahme-Antrags löschen wir mit der Entscheidung, spätestens nach 30 Tagen, den Entscheidungsvermerk nach 90 Tagen. Gelöschte Daten können für kurze Zeit noch in technischen Sicherungskopien unserer Auftragsverarbeiter enthalten sein; diese werden im regulären Rückhaltefenster überschrieben und nicht für andere Zwecke verwendet.

Einträge im Moderations-Audit-Log, die dein Konto betreffen, bleiben nach der Kontolöschung bis zu 12 Monate bestehen (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO); sie enthalten keine E-Mail-Adresse.

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Wende dich dazu an info@tm-merch.de. Gegen einen Eintrag im Venue-Verzeichnis kannst du auch ohne Konto und ohne Angabe von Gründen widersprechen — über das Kontaktformular oder per E-Mail (siehe Abschnitt 3).

Stand: 18.10.2026 · Version 2026-10-18