DATENSCHUTZ · VERSION 2026-01

Datenschutzerklärung

Diese Hinweise beschreiben die Datenverarbeitung im Bewerbungsportal sowie bei Schichtplanung, Kommunikation und Arbeitszeiterfassung des Macher Festivals. Sie gelten für die öffentliche Bewerbung und die anschließende interne Bearbeitung.

1. Verantwortlicher

Macher Festival GmbH
Macher Festival GmbH
Rudolf-Diesel-Straße 9
64319 Pfungstadt
Deutschland

Datenschutzanfragen: shop@thereallifeguys.de

Das Impressum wird zentral auf der Macher-Festival-Website geführt.

2. Allgemeine Hinweise zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies für das Bewerbungsverfahren, die Einsatz- und Schichtplanung, die Kommunikation, die Arbeitszeiterfassung oder den sicheren Betrieb des Portals erforderlich ist. Bewerberdaten werden serverseitig verarbeitet. Das Bewerbungsformular legt keine vollständigen Bewerberdatensätze im lokalen Browserspeicher oder in URL-Parametern ab.

3. Bewerbung

Über das öffentliche Formular können sich Interessierte für eine Beschäftigung beim Macher Festival bewerben. Die Angaben werden intern geprüft, zur Kontaktaufnahme genutzt und mit einem Bearbeitungsstatus versehen. Eine Ablehnung, Annahme oder Terminvereinbarung erfolgt durch berechtigte Mitarbeitende.

4. Welche Bewerberdaten verarbeitet werden

Das Formular verarbeitet Vorname, Nachname, E-Mail-Adresse, Telefonnummer, bevorzugte Kontaktart, tageweise Verfügbarkeit mit Uhrzeiten, gewünschte Wochenstunden, maximale Tagesstunden, Vorerfahrung und optionalen Freitext über Erfahrung und Person. Hinzu kommen die Motivationsbestätigung, Bewerbungsstatus, Eingangs- und Änderungszeitpunkte sowie erforderliche interne Bearbeitungsdaten wie Notizen, Statusverlauf und gegebenenfalls ein interner Ablehnungsgrund.

5. Zweck der Verarbeitung

Die Daten dienen der Prüfung und Durchführung des Bewerbungsverfahrens, der Kontaktaufnahme, der Entscheidung über die Begründung eines Beschäftigungsverhältnisses, der späteren Einsatzplanung und - soweit eine Person eingesetzt wird - der Organisation und Dokumentation der Arbeitszeit. Protokolle helfen, sicherheitsrelevante und organisatorische Vorgänge nachvollziehbar zu halten.

6. Rechtsgrundlage

Soweit die Verarbeitung für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist, erfolgt sie auf Grundlage von § 26 Abs. 1 Satz 1 BDSG. Ergänzend kann Art. 6 Abs. 1 Buchstabe b DSGVO einschlägig sein. Gesetzlich erforderliche Verarbeitungen erfolgen auf Art. 6 Abs. 1 Buchstabe c DSGVO; Sicherheits- und Missbrauchsschutz kann auf Art. 6 Abs. 1 Buchstabe f DSGVO beruhen. Unser berechtigtes Interesse liegt dann im sicheren, verfügbaren und nachvollziehbaren Betrieb des Portals.

Die Kenntnisnahme dieser Erklärung ist keine pauschale Einwilligung. Sollte für einen gesonderten freiwilligen Vorgang eine Einwilligung erforderlich sein, wird diese separat eingeholt. Eine erteilte Einwilligung kann mit Wirkung für die Zukunft widerrufen werden.

7. Bewerber-Verfügbarkeit und Schichtplanung

Verfügbarkeiten und gewünschter Arbeitsumfang werden zur Einsatzplanung verarbeitet. Verfügbarkeitsangaben bleiben von verbindlichen Schichtzuweisungen getrennt. Geplante Schichten enthalten Datum, Beginn, Ende, Einsatzort, Status sowie erforderliche interne Hinweise und Änderungsprotokolle.

8. E-Mail-Kommunikation

Die hinterlegte E-Mail-Adresse kann für Nachrichten zum Bewerbungsverfahren, Intervieweinladungen, Zusagen oder Absagen, Schichtinformationen, Schichtpläne, Erinnerungen und die Zustellung eines persönlichen Master-QR-Codes genutzt werden. Versandstatus, Betreff, Empfänger, Zeitpunkt und ein begrenzter technischer Fehlerhinweis können protokolliert werden. SMTP-Zugangsdaten werden nicht im Adminportal angezeigt.

E-Mail-/SMTP-Anbieter: strato.de

9. Arbeitszeit- und Anwesenheitserfassung

Bei eingesetzten Personen können geplante Schichten, tatsächlicher Check-in, Pausenbeginn, Pausenende, Check-out, Anwesenheitsdauer, Pausendauer, Nettoarbeitszeit, Abweichung vom geplanten Beginn, Pünktlichkeitsstatus sowie manuelle Zeitkorrekturen mit Korrekturgrund verarbeitet werden. Die Serverzeit ist maßgeblich. Ereignisse werden nachvollziehbar protokolliert; Korrekturen ersetzen die ursprünglichen Ereignisse nicht.

Arbeitszeit kann als mit geplanter Schicht oder deutlich als ohne geplante Schicht gekennzeichnet sein. Beide Arten werden der Person zugeordnet, in internen Übersichten berücksichtigt und in Arbeitszeitexporten ausgegeben.

10. QR-Codes

Schichtbezogene QR-Codes

Ein Schicht-QR ist genau einer bestätigten Schicht zugeordnet und nur innerhalb des dafür vorgesehenen Zeitfensters verwendbar.

Persönliche Master-QR-Codes

Ein persönlicher Master-QR ist einer freigeschalteten Person zugeordnet und kann am registrierten Check-in-Gerät auch ohne passende Schicht Arbeitszeit erfassen. In diesem Fall verlangt das Gerät vor dem Check-in eine bewusste Bestätigung. Die Nutzung kann gesperrt und der QR-Code erneuert werden.

Die QR-Codes enthalten keine unmittelbar lesbaren Namen, E-Mail-Adressen, Telefonnummern oder Schichtdaten. Sie enthalten ein opakes technisches Merkmal; die Zuordnung erfolgt serverseitig. Ein Master-QR allein ermöglicht keinen Check-in über eine gewöhnliche öffentliche Webseite.

11. Kiosk-System

Das registrierte Check-in-Tablet verarbeitet nur die für Zeiterfassung und Bedienung erforderlichen Informationen. In der öffentlich sichtbaren Anwesenheitsliste erscheinen Vorname und Anfangsbuchstabe des Nachnamens sowie aktueller Arbeits- oder Pausenstatus. Vollständige Kontaktdaten werden dort nicht angezeigt. Das Tablet authentifiziert sich gegenüber dem Server.

12. Protokoll- und Sicherheitsdaten

Zum Schutz und zur Nachvollziehbarkeit können Request-Zeitpunkte, gekürzte technische Fehlerangaben, pseudonymisierte Rate-Limit-Schlüssel, Geräte- und Audit-Ereignisse sowie die handelnde interne Benutzerkennung verarbeitet werden. QR-Rohwerte und Geheimschlüssel gehören nicht in normale Anwendungslogs. Eine dauerhafte invasive Geräte-Fingerprinting-Lösung wird für die Bewerbung nicht eingesetzt.

13. Schutz vor automatisierten Eingaben / Cloudflare Turnstile

Das Bewerbungsformular nutzt Cloudflare Turnstile im Managed Mode, um automatisierte Eingaben und Missbrauch zu erkennen. Hierbei verarbeitet Cloudflare technisch notwendige Browser- und Netzwerksignale. Der vom Browser erzeugte Prüfwert wird vom Server über die Siteverify-Schnittstelle validiert; ohne erfolgreiche Prüfung wird keine Bewerbung gespeichert. Bewerbungsinhalte werden nicht als Teil dieser Bot-Prüfung an Turnstile übermittelt. Zusätzlich nutzen wir ein unsichtbares Köderfeld, eine Mindest-Ausfüllzeit und ein begrenztes IP-basiertes Rate-Limit.

Weitere Informationen: Datenschutzhinweise zu Cloudflare Turnstile.

14. Empfänger und Auftragsverarbeiter

Zugriff erhalten nur intern berechtigte Personen und technisch erforderliche Dienstleister. Dazu können Hosting, E-Mail-/SMTP-Versand und - bei aktivierter Funktion - Cloudflare Turnstile gehören. Dienstleister dürfen Daten nur entsprechend ihrer vertraglichen Aufgabe verarbeiten.

Hostinganbieter: Hetzner.com

15. Mögliche Drittlandübermittlung

Bei einzelnen technischen Dienstleistern kann eine Verarbeitung außerhalb der EU beziehungsweise des Europäischen Wirtschaftsraums nicht ausgeschlossen sein. Ob und auf welcher Transfergrundlage dies im konkreten Betrieb geschieht, muss anhand der tatsächlich gewählten Anbieter und Verträge dokumentiert werden.

The Real Life Guys GmbH

16. Speicherdauer und Löschung

Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck sowie gesetzliche Nachweis- und Aufbewahrungspflichten erforderlich ist. Die im konkreten Betrieb festgelegten Fristen sind:

Abgelehnte Bewerbungen

TODO_AUFBEWAHRUNGSFRIST_ABGELEHNTE_BEWERBUNGEN

Angenommene Bewerbungen / Beschäftigtendaten

TODO_AUFBEWAHRUNGSFRIST_BESCHAEFTIGTENDATEN

Schichtdaten

TODO_AUFBEWAHRUNGSFRIST_SCHICHTDATEN

Arbeitszeitdaten

TODO_AUFBEWAHRUNGSFRIST_ARBEITSZEITDATEN

E-Mail-Protokolle

TODO_AUFBEWAHRUNGSFRIST_EMAIL_PROTOKOLLE

Security-/Audit-Logs

TODO_AUFBEWAHRUNGSFRIST_AUDIT_LOGS

Eine Bewerbung kann im Adminportal nach einer bewussten Bestätigung gelöscht oder anonymisiert werden. Gesetzliche Pflichten und erforderliche Nachweise sind dabei vorab zu berücksichtigen.

17. Betroffenenrechte

Betroffene Personen können nach Maßgabe der gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Soweit die Verarbeitung auf einem berechtigten Interesse beruht, kann ein Widerspruchsrecht bestehen. Eine tatsächlich erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Zur Ausübung der Rechte dient der oben genannte Datenschutzkontakt.

18. Beschwerderecht bei einer Datenschutzaufsichtsbehörde

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Die für den tatsächlichen Sitz des Verantwortlichen zuständige Behörde muss vor Produktivbetrieb geprüft und in den internen Datenschutzunterlagen dokumentiert werden: TODO_ZUSTAENDIGE_DATENSCHUTZAUFSICHT.

19. Aktualisierung dieser Datenschutzerklärung

Diese Erklärung wird angepasst, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Die im Bewerbungszeitpunkt bestätigte Fassung wird mit der Versionskennung 2026-01 und dem Zeitpunkt der Kenntnisnahme dokumentiert. Historische Bewerbungen werden bei einer späteren Textänderung nicht nachträglich umgeschrieben.