2HOT 2PAY · App

DATENSCHUTZHINWEISE FÜR 2HOT 2PAY

Stand 16. September 2026

Diese Hinweise erklären die Datenverarbeitung bei Registrierung und Nutzung von 2HOT 2PAY. Sie betreffen Creator-Konten, den Partnerzugang, Angebote, Check-ins und den Betrieb der Plattform. Du erfährst, welche Angaben ein Venue erhält und was bei einer Accountlöschung geschieht. Die Hinweise sind keine pauschale Einwilligung.

1 Verantwortliches Unternehmen

Verantwortlich für die in diesen Hinweisen beschriebenen Verarbeitungen ist die 2H2P UG (haftungsbeschränkt), Marienstraße 10, 40212 Düsseldorf. Das Unternehmen wird durch den Geschäftsführer Michael Huss vertreten und ist beim Amtsgericht Düsseldorf unter HRB 78654 eingetragen.

Du erreichst uns für Datenschutzfragen und die Ausübung deiner Rechte unter info@2hot2pay.com oder postalisch unter der oben genannten Anschrift.

2 Konto und Creator Profil

Für ein Creator-Konto verarbeiten wir Vor- und Nachname, Geburtsdatum, Mobilnummer, Profilfoto, ausgewählte Stadt und Instagram-Angaben. Eine E-Mail-Adresse benötigen wir insbesondere, wenn sie als Anmelde- oder Wiederherstellungskanal dient. Weitere angebotene Profilangaben, etwa ein zusätzlicher Social-Media-Handle, sind freiwillig und können wieder entfernt werden. Wir führen außerdem eine Konto-ID, Einstellungen, den Prüf- und Freigabestatus sowie den Zeitpunkt und die Version deiner Vertragserklärungen. Pflichtfelder sind bei der Eingabe gekennzeichnet.

Das Geburtsdatum dient der Prüfung des Mindestalters von 18 Jahren. Telefonnummer und Profilangaben unterstützen die persönliche Prüfung auf echte, eindeutig zuordenbare Accounts und die Klärung von Zugangs- oder Buchungsproblemen. Über die Mobilnummer kann dazu eine Kontaktaufnahme erforderlich sein. Ein privates Social-Media-Profil und eine private Nutzung von 2HOT 2PAY sind möglich; eine gewerbliche Tätigkeit als Influencer ist keine allgemeine Voraussetzung. Für Partnerkonten verarbeiten wir Unternehmens- und Ansprechpartnerdaten, Zugriffsrechte sowie vereinbarungs- und abrechnungsbezogene Angaben.

Die angegebene Mobilnummer wird in einem eigenen Schritt bestätigt. Dafür senden wir über die WhatsApp Business Platform der Meta Platforms Ireland Limited eine Nachricht mit einem einmaligen Bestätigungscode an diese Nummer. Übermittelt werden dabei die Telefonnummer und der Code. Wir speichern die Nummer, den Bestätigungsstatus und den Zeitpunkt der Bestätigung; der Code selbst wird nur für seine kurze Gültigkeitsdauer vorgehalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für den angefragten Zugang und Art. 6 Abs. 1 lit. f DSGVO für die Prüfung auf Mehrfach- und Falschanmeldungen. Meta Platforms Ireland Limited verarbeitet die Zustellung der Nachricht in eigener Verantwortung nach seinen eigenen Hinweisen; zu Empfängern außerhalb Europas siehe Abschnitt 10. Steht kein WhatsApp zur Verfügung, kann die Nummer nach Rücksprache mit dem Support auf einem anderen Weg bestätigt werden; wir halten dabei den Grund fest.

Für die angefragte Registrierung und Durchführung des Nutzungsverhältnisses gilt Art. 6 Abs. 1 lit. b DSGVO; zur notwendigen Missbrauchsprüfung stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse ist, falsche Identitäten und Mehrfachnutzungen zu verhindern. Die Prüfung muss dafür erforderlich und verhältnismäßig sein. Ohne die jeweils erforderlichen Angaben können wir das Konto oder die betroffene Funktion nicht bereitstellen. Gesetzlich vorgeschriebene Vertrags- und Abrechnungsunterlagen verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO. Daten von Ansprechpartnern eines Partnerunternehmens, die nicht selbst Vertragspartei sind, verarbeiten wir zur geschäftlichen Kommunikation auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

3 Instagram und weitere Social Media Angaben

Für die Anmeldung über Instagram wird eine Verbindung zu Meta hergestellt. Wir verarbeiten die Konto-ID, den Instagram-Handle, die Kontoart, die Followerzahl und die für die Verbindung erforderlichen technischen Berechtigungsdaten. Diese Angaben werden aus der Verbindung bezogen oder bei einer manuellen Profilprüfung anhand deiner Angaben und der von dir zugänglich gemachten Nachweise geprüft. Ein privates oder technisch nicht unterstütztes Instagram-Konto kann eine manuelle Prüfung erfordern.

Wir erhalten dein Instagram-Passwort nicht und rufen für diesen Dienst keine privaten Nachrichten, Adressbücher, Followerlisten oder vollständigen Konto-Insights ab. Bei einer manuellen Prüfung übermittle bitte nur die angeforderten Nachweise und decke nicht benötigte Inhalte ab.

Zur persönlichen Prüfung kann ein sechsstelliger Bestätigungscode gehören, den wir als Direktnachricht an das angegebene Instagram-Konto senden und den du in der App eingibst. Gespeichert wird, dass und wann der Code bestätigt wurde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO und unser Interesse, fremde oder erfundene Profile auszuschließen.

Wir nutzen die zur angefragten Anmeldung und Kontozuordnung erforderlichen Daten nach Art. 6 Abs. 1 lit. b DSGVO; ergänzende Missbrauchsprüfungen erfolgen nach Art. 6 Abs. 1 lit. f DSGVO. Eine technische Freigabe bei Meta ist nicht automatisch eine Einwilligung für beliebige weitere Zwecke. Eine zusätzliche Verarbeitung, die eine Einwilligung benötigt, wird gesondert erläutert und erst nach dieser Einwilligung begonnen. Du kannst die Verbindung über die Meta-Einstellungen entziehen. Danach endet der weitere Abruf; ein von dieser Verbindung abhängiger Login funktioniert dann möglicherweise nicht mehr. Eine alternative Anmeldung klärst du mit dem Support. Meta Platforms Ireland Limited verarbeitet Daten für seine eigenen Dienste in eigener Verantwortung; siehe privacycenter.instagram.com/policy/.

4 Welche Angebote dir angezeigt werden

Angebote werden nach ausgewählter Stadt, Angebotsbedingungen, Profilkategorien, Freigaben, Level und bisherigen Einlösungen zugeordnet. Dazu bewerten wir Profil- und Nutzungsdaten, etwa ob ein Vorteil im betreffenden Zeitraum bereits genutzt wurde. Diese Zuordnung kann Profiling darstellen. Wir stützen sie auf Art. 6 Abs. 1 lit. b DSGVO, soweit sie für den angefragten personalisierten Dienst erforderlich ist.

Die Stadtauswahl benötigt keinen GPS-Standort deines Geräts. Öffnest du einen externen Karten- oder Routendienst über einen Link, verarbeitet dessen Anbieter die dabei anfallenden Daten nach seinen eigenen Hinweisen.

5 Voucher Check in und Gästelisten

Bei Buchung, Check-in oder Einlösung speichern wir Konto- und Deal-ID, Venue oder Veranstaltung, Zeitpunkt und Status. Damit bestätigen wir die Berechtigung, führen Gästelisten und erkennen bereits genutzte Leistungen. Die Verarbeitung zur Abwicklung des gewünschten Angebots erfolgt nach Art. 6 Abs. 1 lit. b DSGVO. Erforderliche Prüfungen verdächtiger Mehrfach- oder Scheineinlösungen stützen wir auf Art. 6 Abs. 1 lit. f DSGVO und unser Interesse an einem verlässlichen Betrieb.

Beim gewöhnlichen Check-in erhält das Venue deinen Vornamen, dein Profilfoto, deinen Instagram-Handle und deine Followerzahl. Hinzu kommen die Angaben zum konkreten Angebot und dessen Einlösestatus. Nachname, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Level und dein Verlauf bei anderen Partnern sind nicht Bestandteil dieser Standardansicht. Dein Profil wird nicht als öffentliches Creator-Verzeichnis bereitgestellt.

Für besondere Events, Gästelisten oder personalisierte Tickets können zusätzlich dein vollständiger Name, deine E-Mail-Adresse oder Telefonnummer benötigt werden, etwa zur Ticketzustellung oder Einlassorganisation. Vor deiner Anmeldung nennt der Deal die konkreten Angaben, ihren Empfänger und den Zweck. Wir übermitteln nur die dafür erforderlichen Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Ein Hinweis im Deal erlaubt keine beliebige Datensammlung und keine automatische Übernahme in Werbung. Wer diese zusätzliche Übermittlung nicht möchte, kann auf das betreffende Angebot verzichten und die übrigen verfügbaren Funktionen weiter nutzen.

6 Verlauf Punkte Level und Empfehlungen

Dein Konto enthält einen Verlauf der Check-ins, Einlösungen und Eventanmeldungen einschließlich Absagen und geklärter Beanstandungen. Punkte werden für die in der App beschriebenen Ereignisse gutgeschrieben. Level sind davon getrennte Freigabestufen: Sie können anhand von Profildaten vorbelegt und nach persönlicher Prüfung festgelegt oder angepasst werden. Wir speichern die jeweilige Einstufung und für bereits gebuchte Angebote die maßgebliche Berechtigung.

Neben der aus Profilangaben abgeleiteten Stufe kann 2HOT 2PAY eine zusätzliche interne Einstufung vergeben, die weitere Angebote freischaltet. Sie beruht auf einer persönlichen Einschätzung, wird gemeinsam mit einem Grund und dem Zeitpunkt gespeichert und ist keine ausschließlich automatisierte Entscheidung. Auf Anfrage erläutern wir dir deine Einstufung und lassen sie prüfen.

Nach einer Veranstaltung können wir dich fragen, ob sie wie angekündigt stattgefunden hat. Deine Antwort speichern wir zu deinem Konto und zu der betreffenden Veranstaltung. Sie dient der Prüfung von Beschwerden über ausgefallene oder erheblich abweichende Events; mehrere übereinstimmende Rückmeldungen können dazu führen, dass wir die Angebote des Partners vorsorglich pausieren und den Fall prüfen. Der Partner erfährt das Ergebnis der Prüfung, erhält aber keine einzelnen Antworten mit Zuordnung zu deinem Konto. Die Antwort ist freiwillig und wirkt sich nicht nachteilig auf deinen Account aus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO und unser Interesse an verlässlichen Angeboten.

Für die interne Betreuung fassen wir vorhandene Check-ins zu einer Übersicht zusammen, die den zuletzt besuchten Partnerstandort und den Zeitpunkt zeigt, auch als Markierung auf einer Karte. Grundlage sind ausschließlich die Check-ins, die du selbst bei einem Partner ausgelöst hast, und die Adresse dieses Standorts. Eine Standortermittlung über dein Gerät findet nicht statt: Die App fragt keinen GPS-Standort ab, verfolgt keine Bewegungen und zeichnet keine Aufenthaltsorte außerhalb eines Check-ins auf. Zugriff haben nur Beschäftigte von 2H2P, die diese Übersicht für Betreuung, Support oder die Prüfung von Missbrauchsfällen benötigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Bei einer Empfehlung erfassen wir den verwendeten persönlichen Code oder Link, die Verknüpfung zwischen empfehlendem Konto und Neuregistrierung, den für die Belohnung maßgeblichen Freigabeschritt und die gutgeschriebenen Punkte. Ein Zugriff auf das Adressbuch ist dafür nicht erforderlich. Wird der Empfehlungslink über eine andere App geteilt, verarbeitet deren Anbieter die innerhalb seines Dienstes anfallenden Daten.

Wir benötigen diese Informationen für den Verlauf, die korrekte Punktevergabe, Angebotsberechtigungen und die Klärung von Fehlern nach Art. 6 Abs. 1 lit. b DSGVO. Die Dokumentation konkreter Missbrauchs- oder Streitfälle beruht auf Art. 6 Abs. 1 lit. f DSGVO. Ein gemeldeter No-Show wird nicht ohne Prüfung als feststehendes Fehlverhalten behandelt. Du kannst falsche Einträge oder Einstufungen über den Support prüfen lassen.

7 Nachrichten Anfragen und Support

Bei einer Anfrage verarbeiten wir deinen Nachrichtentext, Kontaktdaten und die zur Klärung nötigen Konto- oder Dealangaben. Freiwillige Anhänge sollten nur benötigte Informationen enthalten. Für Anfragen zu einem Vertrag oder seiner Anbahnung gilt Art. 6 Abs. 1 lit. b DSGVO, für sonstige Anliegen unser berechtigtes Interesse an ihrer Beantwortung nach Art. 6 Abs. 1 lit. f DSGVO.

Notwendige Kontomitteilungen und Nachrichten zur angefragten Anmeldung oder Buchung dienen der Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO. Reine Sicherheitswarnungen können auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Werbung ist von diesen Mitteilungen getrennt. Soweit sie angeboten wird, holen wir dafür eine gesonderte freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ein. Eine Ablehnung beeinträchtigt den Account nicht; ein Widerruf ist jederzeit über info@2hot2pay.com oder eine angebotene Abmeldefunktion möglich. Eine Betriebssystemfreigabe für Benachrichtigungen ersetzt keine erforderliche Werbeeinwilligung.

8 Technischer Betrieb und externe Links

Beim Betrieb entstehen insbesondere IP-Adresse, Browser- und Geräteangaben, Zeitpunkte, Sitzungskennungen, angeforderte Funktionen sowie Fehler- und Sicherheitsprotokolle. Die für die Verbindung und Sitzung erforderliche Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b DSGVO. Fehlerbehebung und erforderlicher Schutz gegen Angriffe beruhen auf Art. 6 Abs. 1 lit. f DSGVO und unserem Interesse an sicheren Konten und einem funktionsfähigen Dienst.

Für Anmeldung und Schutz vor unbefugten Anfragen verwenden wir technisch notwendige Cookies oder vergleichbare Speicherfunktionen nach § 25 Abs. 2 Nr. 2 TDDDG. Nicht notwendige Speicherzugriffe und Tracking benötigen eine vorherige Information und, soweit gesetzlich verlangt, Einwilligung nach § 25 Abs. 1 TDDDG sowie eine Rechtsgrundlage für die anschließende Verarbeitung. Diese Hinweise ersetzen keine solche Einwilligung.

Die Karte in der App wird von uns selbst bereitgestellt. Beim Laden des Kartenmaterials wird keine Anfrage an einen Kartenanbieter außerhalb unseres Betriebs ausgelöst. Öffnest du dagegen einen Routen- oder Kartenlink zu einem externen Dienst, gilt der folgende Absatz.

Externe Shop-, Social-Media- oder Kartenlinks führen zu einem anderen Anbieter. Dieser verarbeitet die beim Aufruf anfallenden Daten nach seinen eigenen Hinweisen. Für den hier beschriebenen Plattformbetrieb erhalten wir keine individuellen Bestellinhalte aus externen Shops.

9 Empfänger personenbezogener Daten

Innerhalb von 2H2P greifen nur Personen auf Daten zu, die sie für ihre Aufgabe benötigen. Für Infrastruktur und Betrieb können weisungsgebundene Dienstleister der Kategorien Hosting, Datenspeicherung und Sicherung, technische Wartung und Nachrichtenversand eingesetzt werden. Sie erhalten auftragsbezogenen Zugriff und werden, soweit sie als Auftragsverarbeiter handeln, vertraglich nach Art. 28 DSGVO verpflichtet. Die Auswahl eines Dienstleisters erweitert die hier beschriebenen Zwecke nicht.

Venues und Veranstalter erhalten die in Abschnitt 5 genannten Daten. Soweit sie über Einlass, Ticketzustellung oder die notwendige eigene Dokumentation entscheiden, sind sie dafür eigenständig datenschutzrechtlich verantwortlich. Bei Fragen zur Plattformübermittlung hilft dir 2H2P, bei Fragen zur anschließenden Verarbeitung der betreffende Partner. Meta ist für seine eigenen Instagram-Dienste verantwortlich. Rechtsberater und zuständige Behörden erhalten Daten nur, soweit eine konkrete Rechtsangelegenheit oder gesetzliche Pflicht dies erfordert.

Auch bei einem besonderen Event werden Kontaktdaten nicht automatisch für die Werbung des Partners freigegeben. Der Partner braucht dafür eine gesonderte Rechtsgrundlage und muss dich über seine Verarbeitung informieren. Wir verkaufen die beim Check-in übermittelten Kontaktdaten nicht als Werbeadressliste.

10 Verarbeitung außerhalb Europas

Bei der Nutzung von Instagram können nach den Angaben von Meta auch Empfänger außerhalb des Europäischen Wirtschaftsraums beteiligt sein. Für Übermittlungen, die wir veranlassen, müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein. Ein Angemessenheitsbeschluss kommt nur für das erfasste Land beziehungsweise den erfassten Empfänger in Betracht. Andernfalls sind geeignete Garantien erforderlich, insbesondere Standardvertragsklauseln und, wo nötig, ergänzende Schutzmaßnahmen. Auskunft zu den tatsächlich eingesetzten Garantien und eine Kopie erhältst du über info@2hot2pay.com. Weitere Auslandsübermittlungen durch neue technische Dienste müssen vor deren Einsatz konkret geprüft und in diesen Hinweisen ergänzt werden.

11 Speicherdauer und Accountlöschung

Profildaten bleiben gespeichert, solange sie für das aktive Konto benötigt werden. Nicht mehr benötigte freiwillige Angaben werden entfernt. Manuell eingereichte Prüfnachweise werden nach Abschluss der Prüfung gelöscht, spätestens nach 90 Tagen, sofern nicht ein konkreter Streit- oder Missbrauchsfall eine begrenzte weitere Speicherung rechtfertigt. Bei Supportfällen richtet sich die Dauer nach ihrer Bearbeitung und einer notwendigen anschließenden Klärung; eine unbegrenzte Speicherung für bloß mögliche spätere Zwecke ist nicht vorgesehen.

Nach einer Accountlöschung endet der Zugang; gewöhnliche Profil- und Kontodaten werden innerhalb von 30 Tagen gelöscht oder tatsächlich anonymisiert. Personenbezogene Restdaten dürfen nur zweckgebunden länger bleiben, etwa zur Erfüllung konkreter gesetzlicher Aufbewahrungspflichten oder zur Klärung eines dokumentierten Anspruchs oder Missbrauchsfalls. Wir beschränken dann den Zugriff und prüfen, wann der Grund entfällt. Das Entfernen von Namen allein macht einen weiterhin zuordenbaren Check-in-Verlauf nicht anonym; für solche Daten gelten die Datenschutzregeln weiter. Sicherungskopien werden geschützt, nicht im laufenden Betrieb genutzt und im festgelegten Sicherungszyklus überschrieben. Nach einer Wiederherstellung müssen bereits ausgeführte Löschungen erneut berücksichtigt werden.

12 Einstellungen und Datenschutzrechte

Profildaten und angebotene Nachrichteneinstellungen kannst du im Konto ändern. Eine Instagram-Verbindung lässt sich über Meta entziehen; mögliche Folgen für die Anmeldung erläutert Abschnitt 3. Datenschutzrechte können unabhängig von einem aktiven Account ausgeübt werden.

Nach Maßgabe der DSGVO hast du das Recht auf Auskunft und eine Kopie deiner Daten, Berichtigung, Löschung, Einschränkung der Verarbeitung und Übertragung geeigneter Daten in einem gängigen Format. Gegen eine Verarbeitung aufgrund berechtigter Interessen kannst du aus Gründen deiner besonderen Situation Widerspruch einlegen. Gegen Direktwerbung ist ein Widerspruch jederzeit ohne Begründung möglich. Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen; die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt.

Anträge können an info@2hot2pay.com gesendet werden. Zum Schutz des Kontos dürfen wir angemessene Angaben zur Identitätsprüfung verlangen. Wir antworten grundsätzlich innerhalb eines Monats; gesetzlich zulässige Verlängerungen und Ausnahmen bleiben vorbehalten. Die Bearbeitung ist im Regelfall kostenfrei.

13 Beschwerden bei einer Aufsichtsbehörde

Betroffene Personen dürfen sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem EU- oder EWR-Staat ihres Wohn- oder Arbeitsorts oder am Ort des vermuteten Verstoßes. Für 2H2P in Nordrhein-Westfalen ist insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf, poststelle@ldi.nrw.de, zuständig.

14 Kontoprüfung und automatisierte Verarbeitung

Angebotsanzeigen, Punktebuchungen und die Prüfung bereits genutzter Vorteile können automatisiert erfolgen. Den Zweck der verwendeten Kategorien und Level erläutert Abschnitt 4. Über die Aufnahme und dauerhafte Sperrung eines Accounts entscheidet eine Person. Du kannst Fehler menschlich überprüfen lassen. Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO.

15 Änderungen dieser Hinweise

Wir passen diese Hinweise an, wenn sich die App, unsere Datenverarbeitung oder die rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung wird in der App oder über den zugehörigen 2HOT 2PAY Dienst bereitgestellt. Auf wesentliche Änderungen weisen wir in geeigneter Form hin. Erfordert eine neue Verarbeitung eine Einwilligung, fragen wir sie ab, bevor wir uns darauf stützen.