Datenschutzerklärung

Verantwortlich für die Datenbearbeitung ist:

Samichlaus Obfelden
informelle Gruppe, vertreten durch Stefan und Lukas Felder

Adresse: wird ergänzt. Bis dahin erreichen Sie uns über das Kontaktformular.

Kontakt für Datenschutzanfragen: Kontaktformular

Nachfolgend «Samichlaus Obfelden», «wir» oder «uns» genannt.

Wir bearbeiten Personendaten nur soweit, wie dies für den Betrieb unserer Website, die Organisation der Samichlaus-Besuche, die Kommunikation mit den Familien oder die Sicherheit unseres Systems erforderlich ist.

• Es werden nur Daten erhoben, die für den jeweiligen Zweck erforderlich oder sinnvoll sind.
• Personendaten werden nur für die angegebenen Zwecke verwendet.
• Der Zugriff auf Buchungs- und Kinderdaten wird auf die Personen beschränkt, welche diese für ihre Aufgabe benötigen.
• Personendaten werden nicht verkauft.
• Personendaten werden nicht für kommerzielle Werbung oder Profiling verwendet.
• Kinderdaten und hochgeladene Fotos werden nicht öffentlich zugänglich gemacht.
• Nicht mehr benötigte Daten werden nach den in dieser Datenschutzerklärung beschriebenen Fristen gelöscht oder anonymisiert.

Beim Aufruf unserer Website können technisch bedingt Daten über die Verbindung zwischen Ihrem Gerät und unserem Server bzw. den dafür eingesetzten technischen Dienstleistern bearbeitet werden. Dazu können insbesondere gehören:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. angeforderte Datei
• Browsertyp und Betriebssystem
• technische Verbindungs- und Fehlerdaten
• Informationen zur Abwehr missbräuchlicher oder schädlicher Zugriffe

Diese Daten werden insbesondere benötigt, um die Website auszuliefern, ihre technische Funktionsfähigkeit sicherzustellen, Fehler zu erkennen und Angriffe oder Missbrauch abzuwehren.

Zur Begrenzung von Missbrauch (z. B. Login- oder Kontaktformular) können IP-Adressen kurzzeitig im Arbeitsspeicher des Servers gespeichert werden, derzeit für etwa 15 Minuten. Sie werden nicht in der Buchungsdatenbank abgelegt.

Für die Nutzung des Online-Buchungssystems muss ein Benutzerkonto angelegt werden. Dabei bearbeiten wir insbesondere:

• E-Mail-Adresse
• Informationen über den Verifizierungsstatus der E-Mail-Adresse
• Passwort (nur als nicht umkehrbarer Hash, nicht im Klartext)
• Anmelde- und Sitzungsinformationen
• technisch erforderliche Informationen zur Kontoverwaltung
• Informationen im Zusammenhang mit Passwort-Zurücksetzungen oder Magic-Links

Die E-Mail-Adresse muss vor einer Buchung bestätigt werden. Zur Anmeldung können ein Passwort oder ein Magic-Link verwendet werden. Verifizierungs-, Login- und Wiederherstellungslinks sind nur für einen begrenzten Zeitraum gültig.

Kontolöschung

Sie können Ihr Benutzerkonto unter «Meine Buchung» selbst löschen. Alternativ können Sie die Löschung über das Kontaktformular verlangen, soweit keine Daten aus rechtlichen oder organisatorisch notwendigen Gründen noch aufbewahrt werden müssen.

Besteht noch eine aktive Buchung, muss diese zuerst storniert werden oder mit uns geklärt werden, weil gewisse Angaben bis zur Durchführung oder Stornierung des Besuchs benötigt werden.

Bei der Buchung eines Samichlaus-Besuchs bearbeiten wir insbesondere folgende Angaben:

• Vorname und Nachname
• E-Mail-Adresse
• Telefonnummer
• Strasse und Hausnummer, allfälliger Adresszusatz
• Postleitzahl und Ortschaft
• Anzahl Kinder
• gewünschter Besuchstermin
• allfällige freiwillige Nachricht
• Status und Verlauf der Buchung

Die angegebene Adresse wird als Besuchsort verwendet. Wir benötigen diese Daten insbesondere, um:

• die Buchung entgegenzunehmen und zu bestätigen
• festzustellen, ob die Adresse in unserem regulären Besuchsgebiet liegt
• Samichlaus-Routen und Teams zu planen
• mit der buchenden Person Kontakt aufzunehmen
• den Samichlaus-Besuch durchzuführen
• Änderungen und Stornierungen zu verwalten

Eine stornierte Buchung gibt den Zeitslot wieder frei. Die zugehörigen Personendaten können intern noch gespeichert bleiben, bis sie nach den unten genannten Fristen oder im Rahmen einer Kontolöschung entfernt werden.

Falls kein geeigneter Termin verfügbar ist oder sich die Besuchsadresse ausserhalb unseres regulären Buchungsgebiets befindet, kann eine Eintragung auf der Warteliste erfolgen. Dabei bearbeiten wir grundsätzlich dieselben Kontakt- und Adressdaten wie bei einer Buchung sowie die angegebenen Wunschzeiten.

Die Daten werden verwendet, um zu prüfen, ob nachträglich ein Besuch angeboten werden kann. Wird ein Wartelisteneintrag in eine Buchung umgewandelt, werden die dafür erforderlichen Daten in die Buchung übernommen. Wird die Anfrage abgelehnt oder von der betroffenen Person zurückgezogen, werden die Daten nach Ablauf der vorgesehenen Aufbewahrungsfrist gelöscht.

Für die Vorbereitung eines Samichlaus-Besuchs können im Samichlaus-Dossier Angaben zu den teilnehmenden Kindern erfasst werden. Dazu können insbesondere gehören:

• Vorname und Nachname
• Geburtsdatum
• Geschlecht
• positive Eigenschaften oder Erlebnisse
• verbesserungswürdige Punkte
• besondere Hinweise für den Samichlaus
• Zuordnung zu einer bestimmten Buchung

Alternativ können Angaben für einen gemeinsamen Vortrag für mehrere Kinder erfasst werden. Diese Informationen werden ausschliesslich verwendet, um den jeweiligen Samichlaus-Besuch vorzubereiten und durchzuführen.

Wir bitten ausdrücklich darum, keine unnötigen besonders persönlichen, intimen oder sensiblen Informationen über Kinder einzutragen. Insbesondere sollen keine Angaben zu gesundheitlichen Problemen, Diagnosen, Religion, familiären Konflikten oder anderen besonders privaten Umständen erfasst werden, sofern dies für die Durchführung des Besuchs nicht unbedingt erforderlich ist.

Die Kinderdaten werden in der Regel nicht vom Kind selbst, sondern von der buchenden Person übermittelt. Die buchende Person muss berechtigt sein, die entsprechenden Angaben für die Organisation und Durchführung des Samichlaus-Besuchs zur Verfügung zu stellen.

Bei minderjährigen Kindern soll die Buchung insbesondere durch eine erziehungsberechtigte Person oder mit deren Zustimmung erfolgen. Wer Angaben über andere Personen erfasst, beispielsweise über einen weiteren Elternteil oder eine andere anwesende Person, soll nur solche Angaben übermitteln, die für den Samichlaus-Besuch erforderlich sind.

Im Samichlaus-Dossier können zusätzlich Angaben zu weiteren Personen gemacht werden, die während des Besuchs anwesend sein können. Dabei können insbesondere der Name sowie Hinweise für einen möglichen Vortrag des Samichlaus gespeichert werden. Diese Angaben werden ausschliesslich für die Vorbereitung und Durchführung des betreffenden Besuchs verwendet.

Damit das Samichlaus-Team Geschenke oder Säckli finden kann, kann die buchende Person Angaben zum Geschenkversteck hinterlegen. Diese Informationen sind nur für die Organisation und Durchführung des jeweiligen Besuchs bestimmt. Sie werden denjenigen Personen zugänglich gemacht, welche den betreffenden Besuch vorbereiten oder durchführen.

Im Samichlaus-Dossier können bis zu drei Fotos hochgeladen werden, beispielsweise:

• vom Geschenkversteck
• vom Hauseingang
• vom Briefkasten
• von anderen für das Auffinden des Besuchsortes notwendigen Gegebenheiten

Die hochgeladenen Fotos werden ausschliesslich für die Vorbereitung und Durchführung des jeweiligen Samichlaus-Besuchs verwendet. Sie werden insbesondere nicht für Werbung, soziale Medien oder andere Veröffentlichungen verwendet. Der Abruf ist auf die buchende Person und die Administration beschränkt; die Fotos sind nicht öffentlich zugänglich.

Wir empfehlen, nur Bilder hochzuladen, die für den Besuch tatsächlich benötigt werden. Personen und insbesondere Kinder sollen auf den Fotos nach Möglichkeit nicht erkennbar abgebildet sein. Die buchende Person darf nur Fotos hochladen, zu deren Übermittlung sie berechtigt ist.

Für das Hochladen von Fotos kann ein zeitlich begrenzter QR-Code bzw. Upload-Link angeboten werden. Damit können Fotos während einer begrenzten Zeit auch ohne erneute Anmeldung hochgeladen werden. Ein solcher Link ist derzeit ungefähr 30 Minuten gültig.

Personen, die einen solchen Link erhalten, sollten ihn vertraulich behandeln und nicht an unberechtigte Dritte weitergeben. Nach Ablauf wird der Link ungültig. Die über diesen Weg hochgeladenen Dateien werden der entsprechenden Buchung zugeordnet und anschliessend gleich behandelt wie direkt im Benutzerkonto hochgeladene Dateien.

Nicht alle Helferinnen und Helfer erhalten automatisch Zugriff auf sämtliche gespeicherten Daten. Zugriff soll nur erhalten, wer die betreffenden Informationen für die Organisation, Vorbereitung oder Durchführung eines Besuchs benötigt. Dazu können insbesondere gehören:

• Koordination und Administration
• der für den Besuch zuständige Samichlaus
• gegebenenfalls weitere Mitglieder des betreffenden Samichlaus-Teams
• Personen, welche technische Aufgaben für das Buchungssystem wahrnehmen

Insbesondere die Kinderdossiers, Angaben zum Geschenkversteck und hochgeladenen Fotos sollen nur für den jeweils notwendigen Personenkreis zugänglich sein. Personen mit Zugriff auf solche Daten sind angehalten, diese vertraulich zu behandeln und ausschliesslich für den jeweiligen Samichlaus-Besuch zu verwenden.

Wir verwenden E-Mail insbesondere für:

• Verifizierung der E-Mail-Adresse
• Magic-Links und Passwort-Zurücksetzungen
• Buchungs-, Änderungs- und Stornierungsbestätigungen
• Wartelisteninformationen
• Erinnerungen an das Samichlaus-Dossier
• Informationen des zugeteilten Samichlaus-Teams
• organisatorische Rückfragen

Dabei werden die für die Zustellung erforderliche E-Mail-Adresse sowie der Inhalt der jeweiligen Nachricht über unseren E-Mail-Dienstleister übertragen. Wir verwenden diese Kommunikationsmöglichkeiten derzeit nicht für kommerzielle Newsletter oder Werbe-E-Mails.

Wenn Sie uns über das Kontaktformular kontaktieren, bearbeiten wir insbesondere Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht sowie allfällige weitere Angaben, die Sie freiwillig machen.

Die Nachricht wird per E-Mail an uns zugestellt und in der Regel nicht in der Buchungsdatenbank gespeichert. Sie verbleibt so lange im E-Mail-Postfach, wie dies zur Bearbeitung und nachvollziehbaren Erledigung der Anfrage erforderlich ist, in der Regel höchstens 12 Monate nach Abschluss der Anfrage.

Wir bitten darum, über das Kontaktformular keine unnötigen vertraulichen oder besonders schützenswerten Personendaten zu übermitteln.

Die Daten des Buchungssystems werden nach aktuellem Stand auf einer von uns betriebenen Infrastruktur in der Schweiz gespeichert. Die zentrale Datenbank wird lokal auf einem Server in der Schweiz geführt. Auch hochgeladene Dateien wie Fotos des Geschenkverstecks werden grundsätzlich auf unserer lokalen Infrastruktur gespeichert.

Die Verwendung von Dienstleistern wie Cloudflare und Purelymail kann jedoch dazu führen, dass bestimmte Daten zusätzlich über Systeme im Ausland übertragen oder dort bearbeitet werden. Weitere Informationen dazu finden Sie nachfolgend.

Für die sichere öffentliche Erreichbarkeit unserer Website verwenden wir Dienste von:

Cloudflare, Inc.
101 Townsend Street
San Francisco, California 94107
USA

Cloudflare stellt insbesondere die technische Verbindung zwischen dem öffentlich erreichbaren Internet und unserem Webserver bereit. Dabei kann Cloudflare insbesondere IP-Adresse, technische Verbindungsdaten, Angaben zu Browser und Gerät, Zeitpunkt und Art der Anfrage, Sicherheits- und Protokolldaten sowie je nach technischer Verarbeitung auch Daten bearbeiten, die über die Verbindung übertragen werden.

Cloudflare kann Daten in den USA und weiteren Ländern bearbeiten. Cloudflare erklärt, für Datenübermittlungen aus der Schweiz in die USA insbesondere das Swiss-U.S. Data Privacy Framework zu verwenden, soweit dieses anwendbar ist, sowie gegebenenfalls weitere geeignete Garantien wie Standardvertragsklauseln. Weitere Informationen zur Datenbearbeitung durch Cloudflare finden sich in der Datenschutzerklärung von Cloudflare.

Für den Versand und Empfang von E-Mails verwenden wir den Dienst Purelymail. Anbieter ist derzeit:

Add Rabbit LLC / Purelymail
502 W 7th St, Suite 100
Erie, PA 16502
USA

Im Rahmen des E-Mail-Versands können insbesondere E-Mail-Adresse, Absender- und Empfängerinformationen, Datum und Uhrzeit, technische E-Mail-Metadaten, Betreff und Inhalt der versendeten bzw. empfangenen Nachricht über diesen Anbieter bearbeitet werden. Dies betrifft beispielsweise Buchungsbestätigungen, Login-Links, Erinnerungsmails und sonstige Kommunikation mit uns.

Purelymail ist ein Anbieter in den USA und nutzt gemäss eigenen Angaben unter anderem Infrastruktur von Amazon Web Services. Dabei können Personendaten in die USA übermittelt werden. Weitere Angaben finden sich in der Datenschutzerklärung von Purelymail.

Unsere Website verwendet technisch notwendige Cookies. Insbesondere wird für angemeldete Benutzer ein Session-Cookie verwendet, damit das System die Anmeldung während der Nutzung wiedererkennen kann.

Nach aktuellem Stand werden insbesondere folgende Cookies eingesetzt:

• user_session – Benutzeranmeldung und Sitzungsverwaltung. Es ist als HttpOnly konfiguriert, wird mit SameSite=Lax verwendet und kann eine Gültigkeitsdauer von bis zu 30 Tagen haben.
• admin_session – nur nach Anmeldung im Administrationsbereich, Gültigkeit derzeit 24 Stunden, ebenfalls HttpOnly und SameSite=Lax.

Diese Cookies sind für die Nutzung des Benutzerkontos, des Buchungssystems bzw. der Administration technisch erforderlich. Nach aktuellem Stand setzen wir keine Cookies für personalisierte Werbung oder vergleichbare Marketingzwecke ein.

Sollten künftig Analyse-, Marketing- oder andere nicht technisch notwendige Dienste eingesetzt werden, wird diese Datenschutzerklärung entsprechend angepasst und, soweit erforderlich, eine entsprechende Auswahl- bzw. Einwilligungsmöglichkeit bereitgestellt.

Wir verwenden die erhobenen Personendaten nicht für automatisierte Bonitätsprüfungen, Werbeprofile oder vergleichbare automatisierte Bewertungen von Personen. Die Zuteilung von Samichlaus-Teams und die Einsatzplanung erfolgen aufgrund organisatorischer Kriterien wie Termin, Ort, Kapazität und Routenplanung.

Wir verkaufen oder vermieten Personendaten nicht. Personendaten werden insbesondere nicht an Unternehmen weitergegeben, damit diese eigene Werbung an die betroffenen Familien oder Kinder richten können. Eine Bekanntgabe an Dritte erfolgt nur, soweit dies für den Betrieb unserer technischen Infrastruktur, die Kommunikation, die Organisation des Besuchs oder aufgrund einer gesetzlichen Verpflichtung erforderlich ist.

Wir speichern Personendaten grundsätzlich nur so lange, wie dies für den jeweiligen Zweck erforderlich ist.

Kinderdossiers und Fotos

Angaben über Kinder, Vortragstexte, Verbesserungspunkte, Geschenkverstecke und hochgeladene Fotos werden nach Abschluss der jeweiligen Samichlaus-Saison gelöscht, spätestens bis zum 31. Januar des Folgejahres. Für die Saison 2026 bedeutet dies eine Löschung spätestens bis zum 31. Januar 2027. Diese Daten werden nicht für die Vorbereitung zukünftiger Samichlaus-Besuche aufbewahrt.

Buchungs- und Wartelistendaten

Buchungs- und Wartelistendaten werden gelöscht oder auf das notwendige Minimum reduziert, sobald sie für die Organisation und Nachbearbeitung der betreffenden Saison nicht mehr benötigt werden, spätestens bis zum 31. März des Folgejahres.

Benutzerkonten

Kontodaten werden so lange gespeichert, wie das Benutzerkonto besteht. Sie können Ihr Konto jederzeit unter «Meine Buchung» löschen oder die Löschung über das Kontaktformular verlangen.

Kontaktanfragen

Korrespondenz über das Kontaktformular wird per E-Mail bearbeitet und in der Regel höchstens 12 Monate nach Abschluss der Anfrage im Postfach aufbewahrt.

Technische Protokolldaten

Technische Protokoll- und Sicherheitsdaten werden grundsätzlich nur so lange gespeichert, wie sie für Betrieb, Fehleranalyse und Sicherheit benötigt werden. Kurzzeitige Rate-Limit-Einträge im Arbeitsspeicher entfallen nach wenigen Minuten bzw. beim Neustart des Servers.

Ausnahmen von diesen Fristen können bestehen, wenn eine längere Aufbewahrung aufgrund gesetzlicher Verpflichtungen, zur Abklärung eines Sicherheitsvorfalls oder zur Geltendmachung bzw. Abwehr von Rechtsansprüchen erforderlich ist.

Wir treffen angemessene technische und organisatorische Massnahmen zum Schutz der bearbeiteten Personendaten. Dazu gehören je nach Art der Daten und des Systems insbesondere:

• Beschränkung der Zugriffsberechtigungen
• Benutzerkonten und Authentifizierung
• E-Mail-Verifizierung
• zeitlich begrenzte Magic-Links, Wiederherstellungslinks und Upload-Links
• technisch geschützte Session-Cookies
• verschlüsselte Übertragung über HTTPS
• Beschränkung des administrativen Zugriffs
• regelmässige Wartung der eingesetzten Systeme

Trotz angemessener Sicherheitsmassnahmen kann bei Datenübertragungen und IT-Systemen keine absolute Sicherheit garantiert werden.

Betroffene Personen haben im Rahmen des anwendbaren Datenschutzrechts insbesondere das Recht:

• Auskunft darüber zu verlangen, ob und welche Personendaten über sie bearbeitet werden
• unrichtige Personendaten berichtigen zu lassen
• unter den gesetzlichen Voraussetzungen die Löschung von Personendaten zu verlangen
• einer bestimmten Datenbearbeitung zu widersprechen
• gegebenenfalls die Einschränkung einer Datenbearbeitung zu verlangen
• unter den gesetzlichen Voraussetzungen die Herausgabe oder Übertragung bestimmter Personendaten zu verlangen

Anfragen können über das Kontaktformular gestellt werden.

Wir können bei einer Anfrage geeignete Angaben verlangen, um sicherzustellen, dass die anfragende Person tatsächlich zur betreffenden Person bzw. zum betreffenden Benutzerkonto gehört. Bei Anfragen betreffend Daten minderjähriger Kinder kann zusätzlich geprüft werden, ob die anfragende Person berechtigt ist, die entsprechenden Rechte für das Kind wahrzunehmen.

Die Löschung des Kontos ist unter «Meine Buchung» möglich und kann zusätzlich über das Kontaktformular verlangt werden. Mit der Löschung des Kontos werden die damit verbundenen Personendaten gelöscht, soweit sie nicht aus einem zulässigen Grund noch benötigt werden.

Besteht noch eine aktive Buchung, kann vor der Löschung eine Klärung erforderlich sein, da gewisse Angaben bis zur Durchführung oder Stornierung des Besuchs benötigt werden.

Unser Angebot richtet sich an Familien, wobei die eigentlichen Samichlaus-Besuche insbesondere Kinder betreffen. Das Online-Buchungssystem selbst richtet sich jedoch nicht an Kinder. Buchungen und die Erfassung von Kinderdaten sollen durch volljährige bzw. entsprechend berechtigte Personen erfolgen.

Wir verwenden Daten von Kindern ausschliesslich im Zusammenhang mit der Vorbereitung und Durchführung des Samichlaus-Besuchs und nicht für Werbung, Profilbildung oder kommerzielle Zwecke. Die Daten sollen nach Abschluss der jeweiligen Saison zeitnah gelöscht werden.

Wir können diese Datenschutzerklärung ändern, wenn sich unser Angebot, unser Buchungssystem, die eingesetzten Dienstleister oder die rechtlichen Anforderungen ändern. Es gilt die jeweils auf unserer Website veröffentlichte aktuelle Fassung. Bei wesentlichen Änderungen der Datenbearbeitung werden wir die betroffenen Personen soweit erforderlich zusätzlich informieren.

Bei Fragen zum Datenschutz oder zur Bearbeitung Ihrer Personendaten können Sie sich an uns wenden:

Stand: 26. August 2026