Datenschutzerklärung

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:

TONALi gGmbH
Kleiner Kielort 8
20144 Hamburg

Telefon: +49 40 53 26 62 71
E-Mail: info@tonali.de

Vertretungsberechtigte Geschäftsführer: Amadeus Templeton, Boris Matchin

Registergericht: Amtsgericht Hamburg, HRB 113743
Umsatzsteuer-Identifikationsnummer: DE274969618

Unseren externen Datenschutzbeauftragten erreichen Sie unter:

Arne Platzbecker
HABEWI GmbH & Co. KG
Palmaille 96
22767 Hamburg

Telefon: 040 46008966
E-Mail: platzbecker@habewi.de

Wenn Sie sich in einer Datenschutzangelegenheit direkt an ihn wenden möchten, ist das jederzeit möglich; eine Begründung brauchen Sie dafür nicht.

Diese Datenschutzerklärung gilt für die Website tonali.de einschließlich aller Unterseiten und der englischsprachigen Fassung. Sie gilt nicht für die Angebote Dritter, auf die wir verlinken — etwa unsere Profile in sozialen Netzwerken, unser Newsletter-System oder externe Ticket- und Spendenportale. Für diese Angebote gelten die Datenschutzerklärungen der jeweiligen Anbieter; wir weisen an den betreffenden Stellen gesondert darauf hin.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen — also zum Beispiel Ihr Name, Ihre E-Mail-Adresse oder Ihre IP-Adresse. Verarbeitung ist jeder Umgang mit solchen Daten, vom Erheben über das Speichern bis zum Löschen.

Diese Website wurde neu aufgebaut und bewusst datensparsam gestaltet. Konkret heißt das:

• Wir setzen keine Webanalyse und kein Tracking ein. Es gibt keine Reichweitenmessung, keine Profilbildung und keine Werbe-Cookies.
• Beim einfachen Aufruf der Website werden keine Cookies gesetzt, die eine Einwilligung erfordern würden. Ein Cookie-Banner ist deshalb nicht erforderlich.
• Schriften, Bilder und Skripte der Website werden von unseren eigenen Servern ausgeliefert. Es findet kein Abruf von Google Fonts oder vergleichbaren Diensten statt.
• Alle Anwendungsserver und die Datenbank stehen in der Europäischen Union (Frankfurt am Main).

Wo dennoch Daten an Dritte fließen — etwa beim Absenden des Kontaktformulars oder beim Spenden —, beschreiben wir das in den folgenden Abschnitten einzeln.

Wenn Sie unsere Website aufrufen, überträgt Ihr Browser technisch notwendige Daten an den Server, der die Seite ausliefert. Ohne diese Daten kann die Seite Ihnen nicht angezeigt werden. Verarbeitet werden:

• Ihre IP-Adresse
• Datum und Uhrzeit des Abrufs
• die aufgerufene Adresse (URL) und der HTTP-Statuscode
• die übertragene Datenmenge
• die zuvor besuchte Seite (Referrer), sofern Ihr Browser sie übermittelt
• Browsertyp, Browserversion und Betriebssystem

Zweck der Verarbeitung ist die Auslieferung der Website, die Gewährleistung der Systemsicherheit und die Aufklärung von Störungen und Angriffsversuchen. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen und sicheren Webauftritt, Art. 6 Abs. 1 lit. f DSGVO.

Technischer Betreiber der Hosting-Infrastruktur ist Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, für uns tätig als Auftragsverarbeiter. Die Anwendungsserver, die Ihre Anfragen beantworten, sind auf die Region Frankfurt am Main (eu-central-1) festgelegt. Die Auslieferung statischer Inhalte erfolgt über ein weltweites Content-Delivery-Netzwerk; dabei kann der Abruf über einen Standort außerhalb der EU laufen. Zu den Drittlandübermittlungen siehe Abschnitt 19.

Serverseitige Zugriffsprotokolle werden regelmäßig gelöscht oder anonymisiert, sobald sie für den Betrieb und die Sicherheit der Website nicht mehr erforderlich sind.

Die Texte, Bilder und Termine dieser Website liegen in einer Datenbank sowie in einem Medienspeicher, die von Supabase betrieben werden (Supabase Inc., 970 Toa Payoh North, Singapur, mit Sitz der europäischen Verarbeitung in der Region Frankfurt am Main). Supabase ist für uns als Auftragsverarbeiter tätig.

Beim reinen Lesen der Website werden dort keine personenbezogenen Daten über Sie gespeichert. Personenbezogene Daten entstehen erst, wenn Sie uns aktiv etwas übermitteln — etwa über das Kontaktformular (Abschnitt 8).

Ein Cookie ist eine kleine Textdatei, die eine Website auf Ihrem Endgerät ablegt. Das Speichern von Informationen auf Ihrem Endgerät und das Auslesen bereits gespeicherter Informationen ist nur mit Ihrer Einwilligung zulässig, es sei denn, es ist für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 TDDDG).

Beim gewöhnlichen Besuch dieser Website setzen wir keine Cookies. Es gibt keine Analyse-, Marketing- oder Personalisierungs-Cookies, und wir binden keine Dienste ein, die solche Cookies setzen würden.

In zwei Fällen kann es dennoch zu einer Speicherung auf Ihrem Endgerät kommen:

• Wenn Sie auf unserer Spendenseite das Spendenformular nutzen, setzt der Anbieter dieses Formulars gegebenenfalls eigene Cookies, die für die Abwicklung der Spende erforderlich sind (Abschnitt 11).
• Auf nicht öffentlichen Vorschauversionen dieser Website, die nur mit einem Passwort erreichbar sind, wird nach erfolgreicher Anmeldung ein technisch notwendiges Cookie gesetzt, das diese Anmeldung merkt. Dieses Cookie erreicht Sie als normale Besucherin oder normaler Besucher der veröffentlichten Website nicht.

Sie können Cookies jederzeit in den Einstellungen Ihres Browsers löschen oder deren Speicherung von vornherein unterbinden.

Auf dieser Website können Sie uns über ein Formular erreichen. Erhoben werden dabei:

• Name (Pflichtangabe)
• E-Mail-Adresse (Pflichtangabe)
• Telefonnummer (freiwillig)
• Ihre Nachricht (freiwillig)
• Ihre Bestätigung, dass Sie diese Datenschutzhinweise gelesen haben und mit der Kontaktaufnahme einverstanden sind (Pflichtangabe)

Zusätzlich speichern wir den Zeitpunkt des Absendens und die Adresse der Seite, von der aus Sie das Formular abgeschickt haben. Zum Schutz vor automatisierten Massenzusendungen speichern wir außerdem eine mit einem geheimen Zusatz gebildete Prüfsumme Ihrer IP-Adresse. Die IP-Adresse selbst wird dabei nicht gespeichert, und die Prüfsumme lässt sich nicht in die IP-Adresse zurückrechnen.

Zweck der Verarbeitung ist die Bearbeitung Ihres Anliegens und die dafür erforderliche Kommunikation. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie — soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist — Art. 6 Abs. 1 lit. b DSGVO. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Nach dem Absenden erhalten Sie automatisch eine Eingangsbestätigung per E-Mail. Ihre Anfrage wird gleichzeitig an die zuständige Stelle bei uns weitergeleitet und in unserem internen System gespeichert, damit wir sie bearbeiten und ihren Verlauf nachvollziehen können.

Wir löschen Ihre Anfrage, sobald sie abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Wenn Sie uns unabhängig vom Formular schreiben oder anrufen, verarbeiten wir die dabei anfallenden Daten — insbesondere Ihren Namen, Ihre Kontaktdaten und den Inhalt Ihres Anliegens — ausschließlich zur Bearbeitung Ihrer Anfrage.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage der Anbahnung oder Durchführung eines Vertrags dient, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen nach Art. 6 Abs. 1 lit. f DSGVO.

Bitte beachten Sie, dass unverschlüsselte E-Mail auf dem Übertragungsweg von Dritten mitgelesen werden könnte. Für vertrauliche Inhalte bieten wir Ihnen gern einen anderen Weg an.

Unseren Newsletter versenden wir über die CleverReach GmbH & Co. KG, Schafjückenweg 2, 26180 Rastede, die für uns als Auftragsverarbeiter tätig ist. Die Anmeldung erfolgt über ein Formular des Anbieters; Ihre Daten werden dort erhoben und gespeichert.

Wir verwenden das Double-Opt-in-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail, in der Sie die Anmeldung bestätigen. Erst danach nehmen wir Sie in den Verteiler auf. Bei der Anmeldung speichern wir zusätzlich den Zeitpunkt und die technischen Angaben zur Bestätigung, um die Einwilligung nachweisen zu können.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können den Newsletter jederzeit abbestellen; jede Ausgabe enthält dafür einen Abmeldelink. Nach der Abmeldung löschen wir Ihre Daten aus dem Verteiler; den Nachweis der Einwilligung bewahren wir so lange auf, wie wir ihn zur Verteidigung gegen Ansprüche benötigen.

Auf unserer Spendenseite binden wir ein Spendenformular der twingle GmbH ein (Tiniusstraße 9–11, 13089 Berlin). Beim Aufruf dieser Seite wird ein Skript des Anbieters von dessen Servern geladen; dabei wird Ihre IP-Adresse an den Anbieter übermittelt. Der Anbieter kann in diesem Zusammenhang eigene Cookies setzen.

Wenn Sie spenden, geben Sie Ihre Angaben direkt im Formular des Anbieters ein. Verarbeitet werden dort insbesondere Ihr Name, Ihre Kontaktdaten, der Spendenbetrag und die von Ihnen gewählten Zahlungsdaten. Die eigentliche Zahlungsabwicklung übernehmen die jeweiligen Zahlungsdienstleister; wir erhalten keine vollständigen Zahlungsdaten.

Rechtsgrundlage für die Abwicklung Ihrer Spende ist Art. 6 Abs. 1 lit. b DSGVO, für das Einbinden des Formulars unser berechtigtes Interesse an einer einfachen und sicheren Spendenmöglichkeit nach Art. 6 Abs. 1 lit. f DSGVO. Für steuerliche Zwecke und zur Ausstellung von Zuwendungsbestätigungen verarbeiten wir Spendendaten auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO und bewahren sie entsprechend den handels- und steuerrechtlichen Fristen auf.

Auf dieser Website veröffentlichen wir unsere Termine und Veranstaltungen. Der Aufruf dieser Seiten erfordert keine Anmeldung und keine Angabe personenbezogener Daten.

Ein Ticketverkauf findet über diese Website nicht statt. Für den Kartenkauf verlinken wir auf das jeweilige Vorverkaufssystem; dort gilt die Datenschutzerklärung des betreffenden Anbieters.

Damit wir technische Fehler bemerken und beheben können, setzen wir den Dienst Sentry ein (Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA). Der Dienst wird in der EU-Region betrieben; die Daten werden in der Europäischen Union gespeichert.

Tritt in Ihrem Browser oder auf unserem Server ein Fehler auf, wird ein Fehlerbericht erzeugt. Er enthält technische Angaben wie die Fehlermeldung, die aufgerufene Adresse, den Zeitpunkt sowie Angaben zu Browser und Betriebssystem und kann die IP-Adresse enthalten. Vor dem Versand entfernen wir bekannte vertrauliche Felder wie Cookies und Zugangsdaten automatisch.

Eine Aufzeichnung Ihrer Sitzung (Session Replay) findet nicht statt. Wir haben diese Funktion ausdrücklich abgeschaltet. Von den Aufrufen wird zudem nur eine Stichprobe zur Messung der Antwortzeiten ausgewertet.

Rechtsgrundlage ist unser berechtigtes Interesse an einem fehlerfreien und sicheren Betrieb dieser Website, Art. 6 Abs. 1 lit. f DSGVO.

Für den technischen Betrieb werten wir strukturierte Protokolldaten aus. Sie werden vom Hoster an den Dienst Axiom weitergeleitet (Axiom, Inc., USA), der in der EU-Region betrieben wird. Die Protokolle enthalten technische Angaben zum Ablauf einer Anfrage; Zugangsdaten und als vertraulich erkannte Felder werden vor dem Schreiben automatisch entfernt.

Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und nachvollziehbaren Betrieb, Art. 6 Abs. 1 lit. f DSGVO.

Formulare und Programmierschnittstellen dieser Website sind gegen automatisierte Massenanfragen geschützt. Dazu zählen wir Anfragen je Absender innerhalb eines Zeitfensters. Für diese Zählung verwenden wir einen Dienst zur kurzzeitigen Zwischenspeicherung (Upstash, Inc., USA). Die Zähler verfallen automatisch nach kurzer Zeit.

Rechtsgrundlage ist unser berechtigtes Interesse am Schutz unserer Systeme vor Missbrauch und Überlastung, Art. 6 Abs. 1 lit. f DSGVO.

Automatische E-Mails dieser Website — etwa die Eingangsbestätigung zu Ihrer Formularanfrage — versenden wir über den Dienstleister Resend (Resend, Inc., USA), der für uns als Auftragsverarbeiter tätig ist. Übermittelt werden dabei Ihre E-Mail-Adresse sowie Betreff und Inhalt der Nachricht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise unser berechtigtes Interesse an einer zuverlässigen Zustellung nach Art. 6 Abs. 1 lit. f DSGVO.

Wir verlinken auf unsere Profile bei Instagram und Facebook (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland) sowie bei YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Es handelt sich dabei um einfache Links, nicht um eingebettete Schaltflächen oder Zählpixel. Erst wenn Sie einen solchen Link anklicken, werden Daten an das jeweilige Netzwerk übertragen; ab diesem Zeitpunkt gilt dessen Datenschutzerklärung.

Für die Verarbeitung Ihrer Daten auf den Plattformen selbst sind wir gemeinsam mit dem jeweiligen Anbieter verantwortlich, soweit es um die Statistiken über die Nutzung unserer Profile geht. Auf die dortige Verarbeitung haben wir nur begrenzten Einfluss.

Innerhalb unserer Organisation erhalten nur die Stellen Zugriff auf Ihre Daten, die ihn zur Erfüllung ihrer Aufgaben benötigen. Darüber hinaus setzen wir Dienstleister ein, die für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig sind und an unsere Weisungen gebunden sind:

• unser IT-Dienstleister für Entwicklung, Betrieb und Wartung dieser Website
• Vercel Inc., USA: Hosting und Auslieferung der Website, Anwendungsserver in Frankfurt am Main
• Supabase Inc.: Datenbank und Medienspeicher, Region Frankfurt am Main
• Functional Software, Inc. (Sentry), EU-Region: Fehlerprotokollierung
• Axiom, Inc., EU-Region: Betriebsprotokolle
• Upstash, Inc.: Schutz vor missbräuchlicher Nutzung
• Resend, Inc.: Versand automatischer E-Mails
• CleverReach GmbH & Co. KG, Rastede: Versand des Newsletters
• twingle GmbH, Berlin: Spendenformular und Spendenabwicklung

Eine Weitergabe an andere Empfänger erfolgt nur, wenn Sie eingewilligt haben, wir gesetzlich dazu verpflichtet sind oder es zur Durchsetzung unserer Rechte erforderlich ist. Ihre Daten werden nicht verkauft.

Wir haben unsere Infrastruktur so gewählt, dass die Verarbeitung Ihrer Daten in der Europäischen Union stattfindet. Eine Übermittlung in Länder außerhalb der EU beziehungsweise des EWR kann dennoch vorkommen, insbesondere weil einige der oben genannten Dienstleister ihren Sitz in den Vereinigten Staaten haben und dort für Wartung und Support auf die Systeme zugreifen können.

Diese Übermittlungen stützen wir auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO und, soweit der jeweilige Anbieter zertifiziert ist, auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework nach Art. 45 DSGVO. Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage unter den in Abschnitt 1 genannten Kontaktdaten.

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder wie es gesetzliche Aufbewahrungsfristen vorschreiben. Danach werden die Daten gelöscht oder anonymisiert.

• Server-Logfiles: bis sie für Betrieb und Sicherheit der Website nicht mehr erforderlich sind
• Fehlerberichte und Betriebsprotokolle: bis der Zweck der Auswertung entfällt
• Formularanfragen: bis zur abschließenden Bearbeitung, darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen
• Newsletter-Daten: bis zum Widerruf Ihrer Einwilligung
• Spenden- und Belegdaten: entsprechend den handels- und steuerrechtlichen Fristen, in der Regel bis zu zehn Jahre

Wir treffen technische und organisatorische Maßnahmen nach dem Stand der Technik, um Ihre Daten gegen Verlust, Veränderung und unbefugten Zugriff zu schützen. Dazu gehören insbesondere:

• die verschlüsselte Übertragung aller Seiten und Formulare über HTTPS
• Sicherheitsvorgaben im Browser (unter anderem Content-Security-Policy, Referrer-Policy und Permissions-Policy), die das Nachladen fremder Inhalte einschränken
• eine mandantengetrennte Datenhaltung mit Zugriffsregeln unmittelbar in der Datenbank, sodass Inhalte einer Organisation für andere nicht erreichbar sind
• ein Rollen- und Rechtekonzept für redaktionelle Zugänge sowie protokollierte Anmeldungen
• die automatische Entfernung vertraulicher Felder aus Protokollen und Fehlerberichten
• regelmäßige Aktualisierung der eingesetzten Softwarekomponenten

Sie haben uns gegenüber die folgenden Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft darüber, ob und welche Daten wir über Sie verarbeiten (Art. 15 DSGVO)
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Herausgabe der von Ihnen bereitgestellten Daten in einem gängigen Format und Übertragung an einen anderen Verantwortlichen (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an die in Abschnitt 1 oder 2 genannten Kontaktdaten.

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender Daten Widerspruch einzulegen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Werden Ihre Daten zum Zweck der Direktwerbung verarbeitet, können Sie der Verarbeitung jederzeit ohne Angabe von Gründen widersprechen; danach findet eine Verarbeitung zu diesem Zweck nicht mehr statt.

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

Für uns zuständig ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Straße 22, 20459 Hamburg
Telefon: 040 428544040
E-Mail: mailbox@datenschutz.hamburg.de

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Wir bewerten Sie nicht automatisiert und treffen keine Sie betreffenden Entscheidungen allein auf Grundlage einer automatisierten Verarbeitung.

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, unsere Angebote oder die eingesetzte Technik ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.

Stand: 8. September 2026