Datenschutz

Unexpected Fall
c/o Bob Mendler
Birkenweg 6, CH-3374 Wangenried, Schweiz
info@unexpectedfall.ch

Unexpected Fall ist eine Musikgruppe ohne eingetragene Rechtsform. Verantwortlich für die Datenbearbeitung sind die Bandmitglieder Marco Ryf, Sascha von Arx, Holger Neu und Bob Mendler. Für alle Fragen zum Datenschutz und für Anfragen zu deinen Rechten erreichst du uns unter info@unexpectedfall.ch.

Massgebend ist das Schweizer Bundesgesetz über den Datenschutz (DSG). Soweit für Besucherinnen und Besucher aus der EU oder dem EWR die Datenschutz-Grundverordnung (DSGVO) anwendbar ist, stützen wir uns auf folgende Rechtsgrundlagen:

• Vertrag oder vorvertragliche Massnahmen (Art. 6 Abs. 1 lit. b DSGVO) – Booking-Anfragen, Zugänge zum Veranstalterbereich
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) – externe Medien und Besuchsstatistik einschliesslich Kampagnenangaben
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) – Beantwortung allgemeiner Nachrichten und E-Mails, sicherer Betrieb der Website und Missbrauchsschutz

Wir treffen keine automatisierten Einzelentscheidungen und erstellen keine Werbeprofile.

Die Website wird bei Infomaniak Network SA in der Schweiz gehostet. Bei jedem Aufruf verarbeitet der Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer, Browser und Betriebssystem. Diese Server-Protokolle dienen dem Betrieb, der Fehlersuche und der Abwehr von Angriffen und werden nach Ablauf der beim Hoster vorgesehenen Frist automatisch gelöscht.

Zum Schutz der Formulare vor Missbrauch wird die IP-Adresse zudem kurzzeitig im Arbeitsspeicher des Servers für eine Begrenzung der Anfragen pro Zeitraum verwendet. Schriften und Bilder der Website werden von unserem eigenen Server ausgeliefert.

Wenn du das Kontakt- oder Booking-Formular nutzt, bearbeiten wir die Angaben, die du eingibst – beim Kontaktformular Name, E-Mail-Adresse, Betreff und Nachricht; beim Booking-Formular Veranstalter, Ansprechperson, E-Mail-Adresse und/oder Telefonnummer, bevorzugter Kontaktweg, Lokal und Ortschaft, Datum oder Zeitraum und Nachricht. Dazu speichern wir die Sprache, den Zeitpunkt sowie IP-Adresse und Browserkennung, um Missbrauch zu erkennen. Die Pflichtfelder brauchen wir, um deine Anfrage bearbeiten zu können; ohne sie lässt sich das Formular nicht abschicken. Eine gesetzliche Pflicht zur Angabe besteht nicht.

Die Anfrage wird in unserer Datenbank auf dem Server in der Schweiz gespeichert; du erhältst eine Referenznummer. Wir erhalten eine Benachrichtigung per E-Mail, und du erhältst in der Regel eine Eingangsbestätigung an die angegebene Adresse, sofern du eine E-Mail-Adresse angegeben hast. Diese E-Mails werden über Resend versendet. Eine Eingangsbestätigung ist keine Zusage für einen Auftritt.

Hast du der Besuchsstatistik zugestimmt, speichern wir für die laufende Sitzung die Kampagnenangaben aus dem Link (utm_source, utm_medium, utm_campaign, utm_content, utm_term) und den Namen der Website, von der du gekommen bist. Diese Angaben werden mit einer Kontakt- oder Booking-Anfrage übermittelt und mit ihr gespeichert, damit wir sehen, woher Anfragen kommen.

Schreibst du uns direkt an info@unexpectedfall.ch, wird deine E-Mail in unserem Postfach bei Infomaniak in der Schweiz gespeichert und zur Beantwortung verwendet.

Zum Schutz der Formulare vor automatisierten Spam-Einsendungen setzen wir Cloudflare Turnstile ein. Auf der Kontakt- und der Booking-Seite lädt dein Browser dafür ein Skript von Cloudflare, das technische Merkmale wie IP-Adresse sowie Browser- und Geräteangaben auswertet, um Bots zu erkennen. Das Ergebnis der Prüfung wird mit dem Formular an unseren Server gesendet und dort bei Cloudflare bestätigt. Cloudflare verwendet diese Merkmale zudem in eigener Verantwortung, um die Bot-Erkennung zu verbessern. Rechtsgrundlage ist unser berechtigtes Interesse am Missbrauchsschutz (Art. 6 Abs. 1 lit. f DSGVO). Ohne diese Prüfung kann das Formular nicht abgeschickt werden; du kannst uns stattdessen direkt an info@unexpectedfall.ch schreiben. Details: Datenschutzbestimmungen von Cloudflare zu Turnstile.

YouTube-Videos (über youtube-nocookie.com) und die 30-Sekunden-Hörproben von Spotify auf den Musik- und Lyrics-Seiten werden erst geladen, wenn du externe Medien erlaubst – im Cookie-Banner, auf der Cookie-Seite oder direkt beim Video bzw. bei der Hörprobe. Die Vorschaubilder der Videos liefern wir über unseren eigenen Server aus, ohne dass dein Browser dafür YouTube kontaktiert. Nach deiner Einwilligung erhalten YouTube (Google) bzw. Spotify technische Daten wie IP-Adresse und Browserangaben; YouTube kann im Player zudem eigene Speichertechniken einsetzen. Details: Datenschutzerklärung von Google, Datenschutzerklärung von Spotify.

Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Gewöhnliche Links zu Spotify, Apple Music, YouTube, Instagram, Facebook, Ticketanbietern oder anderen Websites übertragen erst Daten an diese Anbieter, wenn du ihnen folgst.

Wenn du der Besuchsstatistik zustimmst, lädt die Website Cloudflare Web Analytics. Der Dienst zählt Seitenaufrufe und Referrer, setzt nach Angaben von Cloudflare keine Cookies und erstellt keine Profile über einzelne Besucher. Details: Datenschutzerklärung von Cloudflare.

Es gibt keine Werbe-, Retargeting- oder Social-Media-Pixel.

Im Browser speichern wir nur, was für die Funktionen der Website nötig ist (Sprache, deine Einwilligung, Anzeigeeinstellungen) sowie – nach Einwilligung – Kampagnenangaben. Im Wartungsmodus setzt der Server ein zeitlich begrenztes Zugangscookie. Eine vollständige Übersicht findest du auf der Seite Cookies & Speicherung.

Gibst du im Veranstalterbereich einen Zugangscode ein, setzt der Server ein technisch notwendiges, signiertes Sitzungscookie (uf_veranstalter, HttpOnly, nur für den Veranstalterbereich, längstens bis zum Ablauf des Codes, bei einem Code ohne Ablaufdatum höchstens 7 Tage). Zu jedem Code führen wir eine Bezeichnung (z. B. Veranstalter oder Anlass), das Datum, die Gültigkeit, die freigegebenen Bereiche, eine interne Notiz, die Anzahl der Anmeldungen und den Zeitpunkt der letzten Nutzung sowie die Angaben zum Konzerttag (Status, Position im Programm, Zeiten, Name und Telefonnummer des Bandkontakts). Den Code speichern wir als Prüfwert und zusätzlich verschlüsselt, damit wir ihn bei Bedarf erneut anzeigen können; die verschlüsselte Kopie löschen wir 30 Tage, nachdem der Code gesperrt wurde oder abgelaufen ist. Anmeldungen, Abmeldungen und fehlgeschlagene Anmeldeversuche protokollieren wir mit IP-Adresse und Browserkennung zum Schutz vor Missbrauch und löschen diese Einträge nach 90 Tagen.

Beantwortest du im Veranstalterbereich die Fragen zum Konzert, speichern wir deine Antworten und Kommentare, die Angaben zu Load-in, Parkplatz, Abrechnung und Lautstärke (zum Beispiel Name und Telefonnummer einer Ansprechperson) und, falls du sie angibst, eine E-Mail-Adresse für unsere Antworten. Wir erhalten dazu eine Benachrichtigung per E-Mail. Unsere Antworten erscheinen auf der Seite und gehen über Resend an die angegebene Adresse.

Wir geben Personendaten an Dienstleister weiter, die sie für die beschriebenen Zwecke bearbeiten, und verkaufen keine Daten. YouTube (Google) und Spotify erhalten Daten erst nach deiner Einwilligung und bearbeiten sie auch für eigene Zwecke in eigener Verantwortung. Einige Anbieter bearbeiten Daten ausserhalb der Schweiz. Für Staaten auf der Liste des Bundesrats (Anhang 1 der Datenschutzverordnung, DSV) braucht es keine weiteren Garantien; das gilt auch für US-Unternehmen, die nach dem Swiss–US Data Privacy Framework zertifiziert sind. In den übrigen Fällen stützen wir uns auf Standardvertragsklauseln. Ausgenommen sind YouTube (Google) und Spotify: Mit ihnen haben wir keinen eigenen Vertrag, sie stützen sich auf ihre eigenen Garantien (siehe Tabelle). Eine Kopie unserer Standardvertragsklauseln erhältst du auf Anfrage an info@unexpectedfall.ch.

Wir bewahren Personendaten nur so lange auf, wie es für den jeweiligen Zweck nötig ist:

• Kontakt- und Booking-Anfragen: 24 Monate nach der letzten Aktivität, danach werden sie mit den zugehörigen Nachrichten und Notizen automatisch gelöscht. Verlangst du die Löschung, löscht die Band die Anfrage früher; sie bleibt dann noch 30 Tage wiederherstellbar und wird danach endgültig gelöscht.
• Zugangscodes für den Veranstalterbereich: solange eine Zusammenarbeit oder Folgekorrespondenz zu erwarten ist. Eine automatische Löschfrist besteht nicht; wir löschen sie von Hand, wenn sie nicht mehr benötigt werden oder du es verlangst.
• Antworten im Veranstalterbereich und die E-Mail-Adresse dafür: ein Jahr nach dem letzten Gültigkeitstag des Codes, danach werden sie automatisch gelöscht; mit dem Code auch früher.
• IP-Adresse und Browserkennung zu einer Anfrage und das Anmeldeprotokoll des Veranstalterbereichs: 90 Tage, danach werden sie automatisch gelöscht.
• Protokoll des Verwaltungsbereichs (Aktionen und Anmeldeversuche mit Zeitpunkt, IP-Adresse, Browserkennung und, falls angemeldet, E-Mail-Adresse der Person; bei Zugangscodes auch deren Bezeichnung, bei Anfragen die Referenznummer, auch nach dem Löschen der Anfrage, bei Einladungen und Testmails die Adresse des Empfängers): in der Datenbank ein Jahr, in einer Protokolldatei auf dem Server zwei Jahre, danach werden die Einträge automatisch gelöscht. Anmeldesitzungen im Verwaltungsbereich (IP-Adresse und Browserkennung): bis 30 Tage nach ihrem Ende.
• E-Mails an uns: solange sie für die Beantwortung oder eine laufende Zusammenarbeit nötig sind. Eine automatische Löschfrist besteht nicht. Sie bleiben im Postfach bei Infomaniak.
• Über Resend versendete E-Mails: solange unser Vertrag mit Resend besteht; nach Kündigung des Kontos löscht Resend die Daten innerhalb von 90 Tagen.
• Server-Protokolle: gemäss der automatischen Löschfrist des Hosters.
• Einstellungen im Browser: bis du sie löschst; Kampagnenangaben nur für die laufende Sitzung.

Sicherungen der Datenbank, der hochgeladenen Dateien und dieses Protokolls liegen auf unserem Server bei Infomaniak in der Schweiz. Tägliche Sicherungen werden nach rund zwei Wochen automatisch gelöscht. Vor Aktualisierungen der Website erstellen wir zusätzlich eine Sicherung der Datenbank; davon bleiben die fünf neuesten erhalten. Zusätzlich liegen verschlüsselte Kopien ausserhalb des Servers bei Backblaze B2 in den Niederlanden: tägliche Kopien der Datenbank während rund 37 Tagen, wöchentliche Kopien der hochgeladenen Dateien und des Protokolls während rund 35 Tagen und monatliche Kopien der Datenbank während rund 372 Tagen. Sie werden auf unserem Server verschlüsselt, bevor sie ihn verlassen; den Schlüssel verwalten wir selbst. Gelöschte Daten können noch in Sicherungen enthalten sein, bis diese gelöscht werden.

Im Rahmen des anwendbaren Rechts hast du insbesondere das Recht auf:

• Auskunft über die Personendaten, die wir über dich bearbeiten
• Berichtigung unrichtiger Daten
• Löschung deiner Daten, soweit keine Aufbewahrungspflicht entgegensteht
• Herausgabe oder Übertragung deiner Daten in einem gängigen elektronischen Format
• Widerspruch gegen eine Bearbeitung sowie – nach DSGVO – Einschränkung der Bearbeitung
• Widerruf einer Einwilligung mit Wirkung für die Zukunft

Schreib uns dazu an info@unexpectedfall.ch. Wir können einen Identitätsnachweis verlangen, damit Daten nicht an Unberechtigte gehen.

Widerspruchsrecht: Soweit wir Personendaten gestützt auf unser berechtigtes Interesse bearbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Schreib uns dazu an info@unexpectedfall.ch.

Du kannst beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten eine Anzeige einreichen (EDÖB, Feldeggweg 1, 3003 Bern); er entscheidet selbst, ob er tätig wird. Personen in der EU oder im EWR können sich zudem an die Datenschutz-Aufsichtsbehörde ihres Wohnsitzstaates wenden.

Die Website wird ausschliesslich verschlüsselt (HTTPS) ausgeliefert. Formulareingaben werden geprüft und in der Grösse begrenzt; der Verwaltungsbereich ist nur für von der Band berechtigte Personen zugänglich. Kein Online-System bietet absolute Sicherheit. Wir passen diese Erklärung an, wenn sich die Website oder die eingesetzten Dienste ändern; massgebend ist die hier veröffentlichte Fassung.