Datenschutzerklärung

1. Wer wir sind

Royal Palace Madrid Tickets („wir“, „uns“, „unser“) ist ein unabhängiger Buchungs-Concierge-Service. Wir sind der Verantwortliche für die personenbezogenen Daten, die Sie uns im Zusammenhang mit der Buchung von Tickets für Royal Palace of Madrid zur Verfügung stellen.

In Datenschutzangelegenheiten erreichen Sie uns unter [email protected].

2. Was wir erheben und warum

Wir erheben nur die Mindestangaben, die für die Abwicklung Ihrer Buchung und den Betrieb der Website erforderlich sind.

2.1 Buchungsinformationen

• Ihr Name — erforderlich, um Ihr Ticket bei zu kaufen.
• Ihre E-Mail-Adresse — wir senden hierhin Ihr Ticket, Besuchserinnerungen und Korrespondenz.
• Ihr Besuchsdatum und Zeitfenster — erforderlich, um Ihr Ticket zu sichern.
• Zahlungsdaten — direkt von Stripe verarbeitet; wir sehen oder speichern Ihre Kartennummer niemals. Stripe übermittelt uns nur ein Token und die letzten vier Ziffern, zu Abstimmungszwecken.

2.2 Analyse- und Leistungsdaten der Website

• Anonymisierte Nutzungsdaten: aufgerufene Seiten, Klicks, ungefähre geografische Region (nur auf Stadt-Ebene), Gerätetyp, Browser.
• Sitzungsaufzeichnungen über Microsoft Clarity oder ContentSquare (maskiert — wir können nicht sehen, was Sie in Formularfelder eingeben).
• Google Analytics 4 mit aktivierter IP-Anonymisierung.

2.3 Support-Korrespondenz

Wenn Sie uns schreiben, behalten wir den Verlauf, damit wir Ihnen ordnungsgemäß helfen können. Wir geben ihn nicht an Dritte weiter.

3. Rechtsgrundlage (DSGVO, für Besucher aus EU/UK/EWR)

Wir stützen uns auf folgende Rechtsgrundlagen gemäß Artikel 6 DSGVO:

• Vertragserfüllung — zum Verkauf und zur Lieferung Ihres Tickets (Art. 6 Abs. 1 lit. b).
• Berechtigtes Interesse — anonymisierte Analyse zur Verbesserung der Website (Art. 6 Abs. 1 lit. f).
• Einwilligung — für nicht notwendige Cookies wie Werbe-Pixel (Art. 6 Abs. 1 lit. a), erhoben über unser Cookie-Banner. Sie können Ihre Einwilligung jederzeit widerrufen.
• Rechtliche Verpflichtung — zur Einhaltung des anwendbaren Steuer- und Buchhaltungsrechts.

4. An wen wir Ihre Daten weitergeben

Wir geben Ihre Daten nur an die für den Betrieb des Service erforderlichen Auftragsverarbeiter weiter:

Auftragsverarbeiter	Zweck	Standort
Stripe, Inc.	Zahlungsabwicklung	USA / Irland (EU)
	Ausstellung des von Ihnen gekauften Tickets	Land der Sehenswürdigkeit
Google Workspace	Hosting unserer E-Mail (Buchungs-Posteingang)	USA / EU
Cloudflare, Inc.	Hosting der Website, CDN, Sicherheit	Globales Netzwerk
Cloudways (DigitalOcean)	Hosting des Buchungs-Backends und der Bestelldaten	EU-Region
Google (Analytics 4)	Anonymisierte Website-Analyse	USA / EU
Microsoft Clarity / ContentSquare	Maskierte Sitzungswiedergabe	USA / EU

Jeder Auftragsverarbeiter ist durch eine Auftragsverarbeitungsvereinbarung und (sofern anwendbar) die Standardvertragsklauseln der Europäischen Kommission für Übermittlungen außerhalb der EU/des EWR gebunden. Wir verkaufen Ihre Daten niemals. Wir teilen sie zu Werbezwecken nicht über unser eigenes Google-/Meta-Conversion-Tracking hinaus.

5. Internationale Datenübermittlungen

Ihre Daten können in Rechtsräumen mit im Wesentlichen gleichwertigem Datenschutzniveau wie in der EU/dem EWR übermittelt und verarbeitet werden. Wir stützen uns für alle Übermittlungen außerhalb der EU/des EWR auf die Standardvertragsklauseln (SCC) der Europäischen Kommission.

6. Wie lange wir Ihre Daten aufbewahren

• Buchungsdaten — 7 Jahre, zur Einhaltung des anwendbaren Steuer- und Aufbewahrungsrechts.
• Support-E-Mail-Verläufe — 2 Jahre, dann gelöscht.
• Analysedaten — 26 Monate (GA4-Standard), durchgehend anonymisiert.
• Marketing-Einwilligungen — wir entfernen Sie auf Anfrage sofort von allen nicht transaktionalen Listen.

7. Ihre Rechte

Unabhängig von Ihrem Standort können Sie uns bitten:

• Eine Kopie der über Sie gespeicherten Daten bereitzustellen.
• Unrichtige Daten zu korrigieren.
• Ihre Daten zu löschen (vorbehaltlich der oben genannten gesetzlichen Aufbewahrungspflichten).
• Ihre Daten in maschinenlesbarer Form an einen anderen Anbieter zu übertragen.
• Einer Verarbeitung zu widersprechen, mit der Sie nicht einverstanden sind.
• Eine zuvor erteilte Einwilligung zu widerrufen.

Um eines dieser Rechte auszuüben, schreiben Sie an [email protected]. Wir antworten innerhalb von 30 Tagen. Wenn Sie sich in der EU/im EWR/im UK befinden und mit unserer Antwort nicht zufrieden sind, können Sie sich bei Ihrer nationalen Datenschutzbehörde beschweren.

8. Cookies

Wir verwenden eine kleine Anzahl von Cookies. Unbedingt erforderliche Cookies halten die Website am Laufen (Sprachpräferenz, Währungswahl, Kassenstatus). Analyse-Cookies helfen uns, die Website zu verbessern (anonymisiert). Werbe-Cookies verfolgen Conversions (nur mit Ihrer Einwilligung gesetzt). Siehe unsere Cookie-Richtlinie für die vollständige Liste und um Ihre Einstellungen zu ändern.

9. Kinder

Unser Service richtet sich nicht an Kinder unter 16 Jahren. Sollten wir feststellen, dass wir versehentlich personenbezogene Daten eines Kindes unter 16 Jahren ohne Zustimmung der Eltern erhoben haben, werden wir diese löschen.

10. Sicherheit

Unsere Website wird über HTTPS bereitgestellt, Zahlungen sind über Stripe PCI-DSS-konform, und der Zugriff auf unsere Buchungsdaten ist auf den kleinen Personenkreis beschränkt, der ihn für seine Arbeit benötigt. Kein System ist vollkommen sicher; sollte es jemals zu einem Vorfall kommen, der Ihre personenbezogenen Daten betrifft, benachrichtigen wir Sie und die zuständige Behörde gemäß DSGVO innerhalb von 72 Stunden.

11. Änderungen dieser Richtlinie

Bei einer wesentlichen Änderung aktualisieren wir das Datum „Zuletzt aktualisiert“ oben und benachrichtigen alle Betroffenen per E-Mail. Geringfügige Klarstellungen erhalten lediglich ein neues Datum.