Datenschutzerklärung

Inhalt17 Abschnitte

Datenschutzinformationen für die App spraud inklusive der Browserversionen von spraud unter https://app.spraud.de und https://web.spraud.de und für die Webseite https://spraud.de

1. Information über die Erhebung personenbezogener Daten und Kontaktdaten des Verantwortlichen

1.1. Im Folgenden informieren wir, fusionDev GmbH (im Folgenden „wir“ oder „uns“), über die Verarbeitung personenbezogener Daten in Bezug auf die Nutzung der App spraud inklusive der Browserversionen von spraud unter https://app.spraud.de und https://web.spraud.de (die App-Version und die Browserversionen im Folgenden zusammengefasst „App“) und unsere Webseite https://spraud.de in unserem Unternehmen, sofern die Nutzer betroffene Personen sind (im Folgenden „Nutzer“). Personenbezogene Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) sind alle Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen, z. B. Name, Adresse, E-Mail-Adresse, Nutzerverhalten.

1.2. Auch wenn Formulierungen in diesem Text im generischen Maskulinum verfasst sein können, sind selbstverständlich alle Geschlechter gleichermaßen angesprochen.

1.3. Der für die Verarbeitung von personenbezogenen Daten Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) ist diejenige natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

1.4. Verantwortlicher für die Datenverarbeitung ist die

fusionDev GmbH, vertreten durch Geschäftsführer Daniel Bucher
Hauptstraße 101, 79297 Winden im Elztal
Deutschland
Telefon: 07685 6179825
E-Mail: info@spraud.de

Eingetragen im Handelsregister des Amtsgerichts Freiburg unter HRB 736117.

2. Rechtsgrundlagen für die Verarbeitung personenbezogener Daten, Rechtsgrundlage für die Speicherung von Informationen in der Endeinrichtung des Nutzers und den Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind

2.1. Rechtsgrundlagen für die Verarbeitung personenbezogener Daten durch uns sind:

Verarbeitungsvorgänge, bei denen wir eine Einwilligung für einen bestimmten Verarbeitungszweck einholen, erfolgen grundsätzlich auf Grundlage von Art. 6 Abs. 1 Uabs. 1 lit. a) DSGVO und gegebenenfalls Art. 9 Abs. 2 lit. a) DSGVO.

Die Verarbeitung personenbezogener Daten, welche wir zur Erfüllung vertraglicher oder vorvertraglicher Pflichten benötigen, erfolgt auf Grundlage von Art. 6 Abs. 1 Uabs. 1 lit. b) DSGVO.

Ist die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung (z.B. gesetzliche Aufbewahrungspflichten nach § 257 HGB, § 147 AO) erforderlich, der der Verantwortliche unterliegt, so dient Art. 6 Abs. 1 Uabs. 1 lit. c) DSGVO als Rechtsgrundlage.

Ist die Verarbeitung zur Wahrnehmung unserer berechtigten Interessen oder denen eines Dritten erforderlich und überwiegen die Interessen, Grundfreiheiten und Grundrechte des Betroffenen nicht, so dient uns Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO als Rechtsgrundlage für die Verarbeitung personenbezogener Daten.

2.2. In Ausnahmefällen können auch weitere Rechtsgrundlagen insbesondere aus Art. 6 Abs. 1 Uabs. 1 DSGVO und Art. 9 DSGVO einschlägig sein.

2.3. Eine Verarbeitung kann auch auf mehreren Rechtsgrundlagen beruhen.

2.4. Für die Speicherung von Informationen in der Endeinrichtung des Nutzers und den Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, insb. Cookies, ist § 25 Abs. 1 TDDDG (Einwilligung) oder § 25 Abs. 2 Nr. 2 TDDDG (Zurverfügungstellung eines vom Nutzer ausdrücklich gewünschten digitalen Diensts) die Rechtsgrundlage.

3. Datenverarbeitung in Bezug auf die Webseite https://spraud.de

In Bezug auf https://spraud.de (auch „unsere Webseite“) verarbeiten wir personenbezogene Daten wie folgt:

3.1. Informatorische Nutzung unserer Webseite

Bei der informatorischen Nutzung unserer Webseite, also wenn der Nutzer keine anderweitigen Informationen übermittelt, erheben wir nur die personenbezogenen Daten, die der Browser des Nutzers an unseren Server übermittelt und die für uns technisch erforderlich sind, um die Nutzung der Webseite zu ermöglichen, die Stabilität und Sicherheit der Webseite und unserer Systeme zu gewährleisten und um mit Nutzern zu interagieren sowie für die Fehleridentifikation, Behebung und Anonymisierung für eine datensparsame und cookielose statistische Auswertung. Rechtsgrundlage ist Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO. Verarbeitet werden primär die folgenden personenbezogenen Daten:

IP-Adresse
Datum und Uhrzeit der Serveranfrage
Verweisseite, aufgerufene Seite, sowie Klicks auf ausgehende Links (z. B. zu den App-Stores)
Statuscode, übertragene Datenmenge
Gerätetyp, Browserkennung (daraus Browsertyp und -version), Betriebssystem
Herkunftsland

Speicherdauer: Maximal 14 Tage.

3.2. Vormerkung

Wenn sich der Nutzer für eine Benachrichtigung, dass spraud für eine bestimmte Stadt verfügbar ist, registriert (vormerken) und dies im Double-Opt-In-Verfahren bestätigt, werden die folgenden Daten verarbeitet, um die Vormerkung zu verarbeiten und den Nutzer zu informieren:

die E-Mail-Adresse des Nutzers
die Postleitzahl des Nutzers (daraus leiten wir die Stadt bzw. Region ab)
Zeitpunkt der Eintragung und der Bestätigung im Rahmen des Double-Opt-In

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. a) DSGVO.

Speicherdauer: Die Daten in Bezug auf das Vormerken werden ohne Bestätigung im Rahmen des Double-Opt-In nach 30 Tagen gelöscht. Bestätigte Vormerkungen werden spätestens 180 Tage nach der Eintragung gelöscht.

4. Datenverarbeitung in Bezug auf die App inklusive der Web-Fassungen

In Bezug auf die App, inklusive der Web-Fassungen, verarbeiten wir personenbezogene Daten wie folgt. Für unsere Webseite (https://spraud.de) gilt Ziffer 3.

Es finden mit folgenden Ausnahmen dieselben Verarbeitungsvorgänge statt:

Nur die iOS- und Android-App hat die nativen Funktionen: Standort, Kamera und Fotos, Mikrofon, Push, Live-Aktivität (iOS), Kauf von spraud+ im Store, Geräteprüfung bei der Registrierung und beim App-Start (Apple DeviceCheck, Google Play Integrity) und einen verschlüsselten Gerätespeicher für Anmeldedaten und Push-Token.

Im Browser (app.spraud.de und web.spraud.de) stehen einzelne Funktionen der App nicht zur Verfügung, etwa Push-Mitteilungen, Live-Aktivität, Kauf von spraud+ und Geräteprüfung; die Web-Fassung unter web.spraud.de ist zudem auf die ohne Gerätestandort sinnvollen Funktionen beschränkt. Soweit eine Funktion nicht zur Verfügung steht, findet die zugehörige Verarbeitung nicht statt.

4.1. Quellen und Arten personenbezogener Daten, Verarbeitungszwecke und Rechtsgrundlagen im Einzelnen

4.1.1. Bei der informatorischen Nutzung der App, also wenn der Nutzer keine anderweitigen Informationen übermittelt, erheben wir nur die personenbezogenen Daten, die das Endgerät des Nutzers an unseren Server übermittelt und die für uns technisch erforderlich sind, um die Nutzung der App, die Kommunikation und Interaktion zwischen uns und der App auf dem Endgerät zu ermöglichen, die Stabilität und Sicherheit der App und unserer Systeme zu gewährleisten und um mit dem Nutzer zu interagieren sowie für die Fehleridentifikation und Behebung. Rechtsgrundlage ist Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO. Verarbeitet werden primär die folgenden personenbezogenen Daten.

IP-Adresse
Datum und Uhrzeit der Anfrage
Zeitzonendifferenz zur Greenwich Mean Time (GMT)
angefragter Bereich
Zugriffsstatus/HTTP-Statuscode
jeweils übertragene Datenmenge
Browser- oder Gerätekennung
Kontokennung (bei angemeldeten Nutzern)
Version der App

4.1.2. Speicherdauer: Wir löschen oder anonymisieren die vorstehenden personenbezogenen Daten entsprechend den gesetzlichen Verpflichtungen, etwa sobald die Daten für die Zwecke, für die wir sie nach den vorstehenden Zwecken erhoben oder verwendet haben, nicht mehr erforderlich sind. Die bei der informatorischen Nutzung der App gespeicherten Daten werden spätestens nach 14 Tagen gelöscht oder anonymisiert.

4.2. Registrierung, Benutzerverwaltung und grundlegende Funktionen

Bei der Registrierung, Benutzerverwaltung und für grundlegende Funktionen in der App sowie für Informationen über Änderungen, gebuchte Leistungen und rechtliche Themen sowie zur Kommunikation mit dem Nutzer verarbeiten wir, sofern eingegeben:

E-Mail-Adresse
Profildaten wie Nutzername (selbst gewählt, kann pseudonym sein) und alter Nutzername (für 30-tägige Reservierung), Vorname, Profilbild, Heimatstadt
Geburtsdatum
Daten zur Registrierung wie Registrierungszeitpunkt, Authentifizierungsdaten, Zeitpunkt und Version der Zustimmung des Nutzers zu Nutzungsbedingungen und Kenntnisnahme Datenschutzhinweise, Registrierung über QR-Code-Aushang ja/nein, Telefonnummer und Prüfwert zur Telefonnummer (zur SMS-Verifikation), Einladungscode und einladende Person
Vom Nutzer blockierte andere Nutzer
Herkunft der Anmeldung (Code, gegebenenfalls Spot)
Verschiedene Interaktionen mit der App wie Onlinestatus, Anmeldesitzungen
Punktestand, Erfahrungslevel (zur Vergabe von Erfahrungspunkten und Vergabe von Gimmicks etc.), freigeschaltete Abzeichen sowie Zähler der jeweiligen Aktivitätsart
Stand und Protokoll der Einwilligungen
Meldungen von Nutzern, inklusive Melder, Grund, Status, Moderationsentscheidungen, Einsprüche
Verwaltungsprotokoll (unsere Interaktionen mit dem Nutzer, z.B. Moderationsentscheidungen)

Sofern sich der Nutzer für eine neue Stadt vormerken lässt, verarbeiten wir zusätzlich die dafür eingegebene Postleitzahl und die Kontokennung.

Das Geburtsdatum verwenden wir für eine Altersprüfung und, sofern vom Nutzer genutzt, Interaktionen in Bezug auf den Geburtstag.

Für die Anmeldung in der App per E-Mail-Adresse werden die eingegebenen Daten wie E-Mail-Adresse und Passwort verarbeitet. Für die Anmeldung in der App über Google oder Apple erhalten wir von diesen Anbietern die zur Anmeldung nötigen Daten (E-Mail-Adresse, Anzeigename, technische Kennung) und verarbeiten diese; zur Prüfung des Anmelde-Tokens wird dabei der jeweilige Anbieter kontaktiert. Bei Anmeldung mit Apple oder Google wird deren Identitätsnachweis verarbeitet, um eine sichere Anmeldung zu gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. b) DSGVO (Vertragserfüllung) sowie unser berechtigtes Interesse (Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO) an der Bereitstellung einer stabilen und sicheren App inklusive der Bereitstellung der verschiedenen Features sowie in Bezug auf die SMS-Bestätigung unser berechtigtes Interesse an der Abwehr von Mehrfachkonten und missbräuchlicher Nutzung.

Speicherdauer: Bis zur Löschung des Nutzerkontos. Bei Löschung des Kontos werden personenbezogene Daten je nach Wunsch des Nutzers entweder sofort oder innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Blockierungen werden gespeichert, solange die Blockierung besteht: Sie endet, wenn der Nutzer sie aufhebt oder wenn eines der beiden Konten gelöscht wird.

4.3. Vormerkung

Wenn sich der Nutzer für eine Benachrichtigung, dass spraud für eine bestimmte Stadt verfügbar ist, registriert (vormerken), werden die folgenden Daten verarbeitet, um die Vormerkung zu verarbeiten und den Nutzer zu informieren:

Nutzerkennung
eingegebene Postleitzahl und Stadt-Zuordnung

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. a) DSGVO (Einwilligung).

Speicherdauer: Bis zum Widerruf der Einwilligung oder Löschung des Benutzerkontos.

4.4. Standortdaten (Geolocation)

In Bezug auf standortbasierte Dienste verarbeiten wir:

GPS-Koordinaten des Endgeräts (Breitengrad, Längengrad)

Zweck der Verarbeitung ist die Anzeige von Spots und Sessions in der Nähe des Nutzers (hyperlokaler Feed), die Berechnung der Entfernung zu Spots und die Zuordnung neuer Spots zu einem geographischen Bereich. Ohne Standortfreigabe ist der Bezugspunkt die vom Nutzer gewählte Heimatstadt aus einem Ortskatalog.

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. b) DSGVO (Vertragserfüllung für die standortgestützten Funktionen).

Speicherdauer: Die exakten Koordinaten des Endgeräts werden nur kurz zur Beantwortung der jeweiligen Anfrage verarbeitet und nicht dauerhaft gespeichert. Länger speichern wir bei einem Check-in, an welchem Spot oder Venue und wann er erfolgte, bei Spots zusätzlich eine grobe Ortszelle von etwa 5 km² (Speicherdauer bei Spots 90 Tage, bei Venues 7 Tage). Für die Statistik speichern wir nur solche groben Ortszellen (90 Tage), bei Tour-Stempeln zusätzlich die gerundete Entfernung zur Station (180 Tage). Beim Anlegen des Spots speichern wir den genauen Standort beim Anlegen (Speicherdauer bis zur Kontolöschung).

4.5. Spots und nutzergenerierte Inhalte

Sofern der Nutzer Spots erstellt oder Inhalte hochlädt, verarbeiten wir:

Beiträge (inklusive Ortsnamen und den auf etwa 110 Meter vergröberten Ort) mit Text und Fotos im Feed, Kommentare, Likes, Bewertungen mit Freitext sowie gemerkte Beiträge und Spots
Fotos, die der Nutzer hochlädt, inklusive Metadaten und bei Events Zuordnung zum Event, wobei die Metadaten grundsätzlich entfernt werden und nur bei Feed-Beiträgen die Aufnahmezeit und Live-Kennzeichen verarbeitet werden
Beschreibungstexte und Tags und weitere Informationen, die der Nutzer eingibt
Genaue GPS-Koordinaten des Endgeräts im Moment des Anlegens des Spots (zur Lokalisierung des Spots) (Kartenanzeige, 25-Meter-Umkreis für Check-ins)
Zeitpunkt der Erstellung
Zuordnung zum Nutzerkonto des Nutzers
Ggfs. Likes auf Albumfotos

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. b) DSGVO für die Vertragserfüllung, z.B. Bereitstellung von App-Funktionen; Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO für die Herkunftsprüfung, Bildprüfung und Moderation (berechtigtes Interesse an echten, aktuellen Inhalten; berechtigtes Interesse an einer sicheren, rechtskonformen Plattform und am Schutz abgebildeter Personen).

Speicherdauer: Bis zur Löschung durch den Nutzer oder Entfernung durch Moderation. Löscht der Nutzer einen eigenen Beitrag, wird er sofort aus dem laufenden Betrieb entfernt; eine Kopie bleibt noch 30 Tage ausschließlich für Moderations- und Missbrauchsfälle vorhanden und wird danach endgültig gelöscht. Bei Kontolöschung werden die Inhalte des Nutzers und diese Kopien gelöscht.

4.6. Event- und Tour-Teilnahme, Sessions, Check-ins

In Bezug auf Veranstaltungen verarbeiten wir:

Zusage zu einer Veranstaltung
Art des Zugangs (z.B. kostenloses Ticket, Gästeliste)
Check-in während eines laufenden Events am Veranstaltungsort
Event, Zeitpunkt, Art des Check-ins
Reservierungen (Zeitfenster, Gruppengröße, freiwillige Notiz, Warteliste)
Stempelkarten (gesammelte Stempel, eingelöste Prämie; bis zur Kontolöschung), eingelöste Aktionen
Einlass-Scans (mit scannender Person, Gerät und grober Ortszelle; 180 Tage)
Abos von Venues, über die Nutzer deren Programmbeiträge bekommen

Bei Erstellung oder Teilnahme an Sessions und Teilnahme an einer Tour verarbeiten wir:

Session-Teilnahme (welche Nutzer an welcher Session teilnehmen)
Zeitpunkt und Ort der Session
Session-Status (geplant, aktiv, abgeschlossen; Beitrittsanfragen, Terminvorschläge, Abstimmungen, Anwesenheit, „unterwegs“-Status)
Teilnahme und Anwesenheit am Start einer Kiez-Tour
Stempel je Station, Wiedersehens-Wahl
Grober Standort
Gruppen (Nummer, Route, Startstation)

Bei Check-ins verarbeiten wir den Check-in (Ort als vergröberte Rasterzelle, Zeitpunkt).

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. b) DSGVO (Vertragserfüllung), Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO (berechtigtes Interesse an der Zurverfügungstellung der Funktionen, Missbrauchsverhinderung; Ermöglichung des Zugangs des Nutzers zum Event-Album („wer dabei war, sieht das Album“) und der Schutz der Alben vor dem Zugriff durch Nicht-Teilnehmer; Ermöglichung des Zugangs inklusive Weitergabe an Veranstaltungsbetreiber zur Zugangsgewährung).

Speicherdauer: Reservierungen (90 Tage nach Zeitfenster); Einlass-Scans (180 Tage); Wiedersehens-Wahl 30 Tage (Wahlfenster 72 Stunden), Check-ins an Spots (Speicherdauer 90 Tage), Check-ins an Venues (Speicherdauer 7 Tage), Ortszellen für Statistik (Speicherdauer 90 Tage), Tour-Stempel (Speicherdauer 180 Tage). Ansonsten: Bis zur Löschung des Nutzerkontos. Abgeschlossene oder abgesagte Sessions werden 30 Tage nach ihrer Archivierung vollständig gelöscht, einschließlich Teilnahmedaten, Terminabstimmungen und des zugehörigen Gruppenchats.

4.7. Bonds, Communities, Buds

Ein Bond ist ein fester Kreis von Nutzern, der aus einer Session entstehen kann, mit eigenem Bond-Chat und gemeinsamer Terminplanung. In Bezug auf Bonds verarbeiten wir:

die Mitgliedschaft des Nutzers in dem Bond und die übrigen Mitglieder
den Zeitpunkt des Beitritts und die Rolle des Nutzers in dem Bond
die Referenz zur gemeinsamen Runde, aus der der Bond entstanden ist

Eine Community ist ein Profil für regelmäßige Sessions einer Gruppe oder Initiative mit Inhaber, bis zu drei Moderatoren und Abonnenten, die über einen Link auch ohne Anmeldung abrufbar ist. In diesem Zusammenhang verarbeiten wir von den betroffenen Personen (Inhaber, Moderatoren, Abonnenten, Session-Teilnehmer):

Name Inhaber, Moderatoren und Abonnenten mit Benachrichtigungswunsch
Push an Abonnenten bei neuer Session
Erinnerung an Teilnehmer einer Session dieser Community
Beitritt zur Community mit Herkunftskennzeichen (z.B. aus Link).

Wenn der Nutzer sich mit einzelnen Personen als „Buds“ verbindet, verarbeiten wir:

die Verbindung zwischen den beiden Konten
Status der Verbindung (angefragt, bestätigt)
den Zeitpunkt

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. b) DSGVO (Vertragserfüllung), Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO (berechtigtes Interesse an der Zurverfügungstellung der Funktionen).

Speicherdauer Bonds: Wird ein Bond aufgelöst oder inaktiv, wird er archiviert: Der Bond und sein Nachrichtenverlauf sind für alle Beteiligten nicht mehr zugänglich, die Mitgliedschaftsdaten bleiben jedoch zunächst gespeichert. Mitgliedschaft, Rolle und Beitrittszeitpunkt und (archivierte) Bonds werden bis zur Kontolöschung gespeichert. Nachrichten werden nach 365 Tagen und Einladungen werden mit ihrem Ablauf gelöscht.

Speicherdauer Communities: Bis zur Kontolöschung der jeweiligen Person, sofern keine Übergabe erfolgt.

Speicherdauer Buds: Bis zur Auflösung durch eine der beiden Seiten, längstens bis zur Löschung eines der Konten.

4.8. Messaging

In Bezug auf die Messaging-Funktion der App verarbeiten wir:

Nachrichteninhalte, Metadaten der Nachrichten
Absender und Empfänger (Nutzer-IDs)
Zeitstempel
Zustellstatus

Wir haben technischen Zugriff auf Nachrichtentexte und nutzen diesen ausschließlich zur Erfüllung gesetzlicher Pflichten (z. B. Moderation gemeldeter Inhalte). Wir prüfen Nachrichten unmittelbar vor der Zustellung automatisiert auf Verstöße gegen unsere Sicherheitsregeln (z. B. verbotene Symbole, Drohungen). Die Prüfung erfolgt transient, d.h. der Klartext wird dafür weder protokolliert noch dauerhaft gespeichert. Bilder und Sprachnachrichten im Chat werden nur nach Meldung geprüft.

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO (berechtigtes Interesse an der Zurverfügungstellung der Funktionen und Sicherstellung der Einhaltung der App-Regeln und Eindämmung von Rechtsverstößen); die Prüfung ist auf das für den Schutz der Kommunikationsteilnehmer Erforderliche beschränkt (§ 3 TDDDG).

Speicherdauer: Nachrichten werden höchstens 365 Tage gespeichert und danach automatisch gelöscht (einschließlich verschickter Bilder und Sprachnachrichten); endet ein Chat bzw. Bond früher, wird der Verlauf entsprechend früher archiviert und unzugänglich. Eine eigene Nachricht lässt sich 24 Stunden lang für alle zurücknehmen; eine Kopie bleibt 30 Tage ausschließlich für die Moderation. Bei Kontolöschung werden alle eigenen Nachrichten des Nutzers unwiderruflich gelöscht.

4.9. Push-Benachrichtigungen, Live-Aktivitäten

Mit der Einwilligung des Nutzers senden wir Push-Benachrichtigungen an das Endgerät des Nutzers, inklusive Anzeige eines Check-ins als Live-Aktivität (z. B. bei neuen Sessions in der Nähe, Bond-Anfragen, Nachrichten). Dafür speichern wir:

Device Token (von Apple APNs oder Google FCM)
für die iOS-Live-Anzeige ein kurzlebiges Token
Zeitpunkt der letzten Nutzung
Plattform (iOS/Android)
Benachrichtigungseinstellungen
Benachrichtigungsliste

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. a) DSGVO (Einwilligung). Der Nutzer kann Push-Benachrichtigungen jederzeit in den Geräteeinstellungen oder in der App deaktivieren.

Speicherdauer: Die Daten werden grundsätzlich bis zum Widerruf der Einwilligung gespeichert, spätestens aber nach 12 Monaten ohne Nutzung. Das Token der Live-Aktivität wird 24 Stunden und die Benachrichtigungsliste in der App 90 Tage gespeichert.

4.10. Einsatz von Cookies und ähnlichen Technologien in der App

4.10.1. Zusätzlich zu den zuvor genannten Daten werden bei der Nutzung unserer App Cookies oder vergleichbare Datensätze auf dem Endgerät des Nutzers, u.a. im lokalen Speicher des Browsers oder in der App, gespeichert (zusammengefasst „Cookies“). Bei Cookies handelt es sich um kleine Datensätze, die auf dem genutzten Endgerät gespeichert werden und durch welche der Stelle, die den Cookie setzt (hier durch uns), bestimmte Informationen zufließen. Cookies können keine Programme ausführen oder Viren auf das Endgerät des Nutzers übertragen.

4.10.2. Wir setzen in unserer App technisch notwendige Cookies ein, um die App zu betreiben. Diese technisch notwendigen Cookies gewährleisten, dass die App nutzbar ist, indem sie Grundfunktionen ermöglichen. Ohne diese Cookies würde die App nicht richtig funktionieren. Rechtsgrundlage für die Speicherung und den Zugriff auf die Cookies ist § 25 Abs. 2 Nr. 2 TDDDG. Rechtsgrundlage für einen anderweitigen Einsatz der Cookies ist die Einwilligung (§ 25 Abs. 1 TDDDG).

Rechtsgrundlage für die dazugehörige Datenverarbeitung ist Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO, wobei unser berechtigtes Interesse in der Zurverfügungstellung einer funktionsfähigen App liegt.

4.10.3. Wir verwenden folgende Cookies:

Cookie-Name	Zweck	Maximale Speicherdauer bis	Nur mit Einwilligung
spraud_session	Anmeldesitzung	7 Tage, spätestens bis zur Abmeldung	nein
spraud_access_token	Zugangstoken für die Schnittstelle	24 Stunden, spätestens bis zur Abmeldung	nein
spraud_csrf	Schutz gegen Anfragefälschung	7 Tage, spätestens bis zur Abmeldung	nein
spraud_role	Rolle für die Seitenführung (Verwaltung, Moderation)	7 Tage, spätestens bis zur Abmeldung	nein
spraud_venue, spraud_promoter	Kennzeichen für Venue- beziehungsweise Promoter-Modus	7 Tage, spätestens bis zur Abmeldung	nein
spraud_goweb	Einmalkennung bei Weiterleitung von app. zu web.	60 Sekunden, spätestens bis zur Abmeldung	nein
venue_login_nonce	Einmalkennung für den Anmeldelink des Venue-Cockpits	15 Minuten, spätestens bis zur Abmeldung	nein
spraud_app	Kennzeichen „native App“	1 Jahr, spätestens bis zur Abmeldung	nein
locale	Sprachwahl	1 Jahr, spätestens bis zur Abmeldung	nein
analytics-consent	Spiegel der Statistik-Einwilligung (ja oder nein)	180 Tage, spätestens bis zur Abmeldung	nein
Einwilligungsspeicher	Stand der vier Kategorien (notwendig, Statistik, Push, Personalisierung)	bis zur Änderung	nein
Client-Kennung für Statistik	pseudonyme Kennung für Nutzungs- und Fehlerstatistik	Bis Widerruf der Einwilligung	Ja
Abfrage-Zwischenspeicher	zuletzt geladene eigene Daten für schnellen Start	10 Minuten	nein
Quittierte Rechtstext-Version	vermeidet wiederholte Hinweise	bis zur Änderung	nein
Onboarding- und Berechtigungs-Merker	ob Onboarding und Push-Abfrage bereits gezeigt wurden	bis zur Abmeldung	nein
Registrierungsentwurf	Eingaben der Registrierung bei Abbruch (enthält E-Mail)	bis zum Abschluss	nein
Offline-Einlassliste (nur Venue-Team)	Namensliste der Tagestickets für den Einlass ohne Netz	höchstens 12 Stunden	nein
Ortsnamen zu Koordinaten	Zwischenspeicher	24 Stunden	nein
Nutzer-Zwischenspeicher (Sitzungsspeicher)	Benutzernamen und Profile für die Anzeige	60 Sekunden, bis Tab-Ende	nein
Komfort-Einstellungen	etwa 20 Einträge ohne Personenbezug (gewählter Tab, Ansicht, Hinweise gesehen)	bis zur Änderung	nein

Zusätzlich speichert die App und nicht die Webversionen verschiedene weitere Informationen wie Push-Token und Registrierungsstatus, Anmeldedaten, Status der Live-Aktivität und Benachrichtigungseinstellungen.

4.11. Käufe in der App (spraud+)

Bei Buchung von spraud+, einem kostenpflichtigen Abonnement für Zusatzfunktionen, verarbeiten wir

Kaufbestätigung (einen signierten Kaufbeleg mit Produktkennung, Kaufzeitpunkt, Betrag, Währung, Laufzeitende und einer Transaktionskennung des App-Stores, über den das Abonnement erworben wurde), welche wir auf Echtheit prüfen
die Zuordnung zum Nutzerkonto des Nutzers, das gekaufte Produkt, Kaufzeitpunkt, Laufzeit sowie der Status des Abos (aktiv, gekündigt, abgelaufen).

Über einen automatischen Benachrichtigungsdienst der Stores erfahren wir außerdem, wenn sich der Status ändert (z. B. Verlängerung, Kündigung, Rückerstattung), damit die Funktionen des Nutzers korrekt freigeschaltet oder beendet werden.

Wir verarbeiten keine Zahlungsdaten (Kreditkarte, Bankverbindung und Rechnungsanschrift). Inwiefern dies vom jeweiligen App-Store-Betreiber verarbeitet wird, erklärt dieser in seinen Datenschutzinformationen.

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. b) DSGVO (Vertragserfüllung und Bereitstellung der geschuldeten Funktionen, soweit ein Vertrag mit dem Nutzer besteht); ansonsten berechtigtes Interesse (Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO) an einer Vertragserfüllung gegenüber dem Vertragspartner des Nutzers und an Echtheitsprüfung des Kaufbelegs zusätzlich (Schutz vor missbräuchlicher Freischaltung).

Speicherdauer: Die vorgenannten Daten verarbeiten wir für die Dauer des Abos. Darüber hinaus verarbeiten wir den Kaufbeleg, soweit steuer- und handelsrechtliche Aufbewahrungspflichten bestehen; sie werden dann vom Konto des Nutzers gelöst und nur noch als Beleg vorgehalten.

4.12. Sicherheitsprotokoll, Integritätsprüfung

Sicherheitsrelevante Vorgänge im Konto des Nutzers (z. B. Anmeldung, Änderungen an Konto- oder Sicherheitseinstellungen, Meldungen, Moderationsvorgänge) protokollieren wir, um Missbrauch zu erkennen und im Streitfall nachvollziehen zu können. Verarbeitet werden dabei die Kennung des Nutzerkontos, IP-Adresse, Browser- bzw. Gerätekennung, die ausgeführte Aktion und der Zeitpunkt. Inhaltliche Angaben aus den Eingaben des Nutzers werden vor dem Speichern herausgefiltert; insbesondere Standortdaten werden nicht in dieses Protokoll übernommen. Zudem können wir über Apple bzw. Google prüfen lassen, ob die App auf einem unveränderten Gerät und in einer echten Installation läuft (Apple DeviceCheck / Google Play Integrity). Wir verarbeiten dabei das Prüfergebnis. Zusätzlich setzen wir über Apple DeviceCheck bzw. Google Play Integrity zwei Vermerke am Gerät: dass dort bereits ein Konto genutzt wurde und dass eines davon dauerhaft gesperrt wurde. Die Vermerke liegen bei Apple bzw. Google, bleiben auch nach einer Neuinstallation der App oder einer Kontolöschung bestehen und werden von uns nicht zurückgesetzt. Geprüft wird bei der Registrierung und bei jedem App-Start. Wird auf einem Gerät mit früher dauerhaft gesperrtem Konto ein neues Konto angelegt, prüft ein Mensch den Fall und kann das neue Konto sperren; automatisch gesperrt wird nie. Soweit wir dies einstellen, ist die Registrierung nur in der App mit gültiger Prüfung möglich. Zweck ist die Abwehr automatisierter Missbrauchsversuche, manipulierter App-Kopien, von Mehrfachkonten und der Umgehung von Sperren.

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO (berechtigtes Interesse an Betrugserkennung und Sicherstellung der Funktionsfähigkeit und Sicherheit der App, Missbrauchsprävention, Nachweisführung).

Speicherdauer: 365 Tage und Prüfergebnis nach Integritätscheck maximal 180 Tage.

4.13. Rückmeldungen aus der App

Sendet der Nutzer über die App eine Rückmeldung (Fehlermeldung oder Verbesserungsvorschlag), verarbeiten wir den Text des Nutzers, optional ein vom Nutzer angehängtes Bildschirmfoto sowie technische Angaben zur Einordnung (aufgerufener Bereich der App, Gerätemodell, App-Version) und die Zuordnung zum Nutzerkonto, damit wir zurückfragen können.

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO (Verbesserung und Fehlerbehebung).

Speicherdauer: bis zur Erledigung des Anliegens; bei Kontolöschung werden Rückmeldungen gelöscht.

4.14. Wiederholungsschutz im Feed, Feed-Personalisierung

Um soweit wie möglich zu verhindern, dass dem Nutzer im Feed bereits angezeigte Beiträge (Veranstaltungen, Orte und Gruppen sind nicht erfasst) angezeigt werden, verarbeiten wir den letzten Zeitpunkt, an dem der Nutzer den Feedbereich aufgerufen hat.

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO (Funktionieren der App).

Speicherdauer: Bis zur Kontolöschung.

Nur wenn der Nutzer die entsprechende Einwilligung erteilt, verarbeiten wir die Interaktionen des Nutzers in der App, um ihn einer Nutzerkohorte zuzuordnen, die die Sortierung des Feeds des Nutzers beeinflusst, und eine Nutzungsstatistik (Nutzungs- und Fehlerereignisse ohne Nutzerkennung, mit einer zufälligen Client-Kennung) zu berechnen.

Ohne diese Einwilligung wird der Feed des Nutzers ausschließlich nach neutralen Kriterien sortiert (Nähe, Aktualität, allgemeine Beliebtheit).

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. a) DSGVO (Einwilligung).

Speicherdauer: Die Daten für die Personalisierung werden bis zum Widerruf der Einwilligung gespeichert und die Rohdaten für die Nutzungsstatistik 90 Tage; beides jedoch maximal bis zur Löschung des Nutzerkontos, je nachdem, was früher eintritt.

4.15. Besondere Datenverarbeitungen in Bezug auf Geschäftskunden wie Venue-Betreiber

Sofern Geschäftskunden wie Venue-Betreiber betroffene Personen sind, verarbeiten wir zusätzlich insbesondere:

Verifizierungsantrag mit Kontaktdaten und optional Verifizierungsnachweise oder Vor-Ort-Bestätigung durch einen Promoter
Team-Einladungen und Rollen
Rechnungsdaten (insb. Firma, Anschrift, USt-IdNr., Rechnungs-E-Mail, Rechnungspositionen) und Zahlungseingänge (Betrag, Datum, Name des Zahlers, bei Überweisung die IBAN)
Bestell-Links und Druckbestellungen (Lieferadresse mit Name und Telefonnummer, Druckvorlage mit Logo und Namen der Location)
Vertragsinhalte, rechtliche Erklärungen und Kommunikation mit uns
(aggregierte) Statistiken, insbesondere Wochenbericht, Live-Auslastung
Offline-Einlassliste für Venue-Teams

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. b) DSGVO (Anbahnung und Durchführung von Verträgen, insb. Rechnungsstellung und Zahlungsverwaltung), Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO (berechtigtes Interesse an einer funktionierenden App und effektiven Geschäftsprozessen).

Speicherdauer: Grundsätzlich gesetzliche Aufbewahrungsfristen. Zusagen und Anwesenheit bis zur Kontolöschung; Anwesenheitszähler 7 Tage; rechtliche Erklärungen grundsätzlich dauerhaft; Verifizierungsantrag mit Kontaktdaten und optional Nachweisdokument 90 Tage nach Entscheidung, Team-Einladungen 7 Tage, Bestell-Links 14 Tage, Offline-Einlassliste für Venue-Teams 12 Stunden, Verifizierungsnachweise 90 Tage nach Entscheidung, nicht angenommene Übergaben 24 Stunden nach Ablauf.

5. Datenverarbeitung bei Kommunikation mit uns außerhalb der App

Sofern der Nutzer mit uns außerhalb der App kommuniziert z.B. per E-Mail, so werden die in der Nachricht eingegebenen Daten und je nach Kommunikationsweg noch weitere Daten an uns übermittelt und gespeichert. Die Verarbeitung der personenbezogenen Daten dient uns allein zur Bearbeitung der Kontaktaufnahme.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 Uabs. 1 lit. a) DSGVO) und subsidiär die Vertragserfüllung und -anbahnung (Art. 6 Abs. 1 Uabs. 1 lit. b) DSGVO) und unser berechtigtes Interesse an einer effektiven und sicheren Kommunikation (Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO).

Speicherdauer: Die Daten werden gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Für die personenbezogenen Daten aus der Nachricht ist dies dann der Fall, wenn die jeweilige Konversation mit dem Nutzer beendet ist und keine gesetzliche Aufbewahrungspflicht besteht. Beendet ist die Konversation dann, wenn sich aus den Umständen entnehmen lässt, dass der betroffene Sachverhalt abschließend geklärt ist und keine rechtliche Wirkung mehr entfaltet.

6. Quellen der verarbeiteten Daten

Sofern die Daten nicht beim Nutzer erhoben wurden, stammen diese insbesondere von hochladenden Nutzern (bei auf Fotos abgebildeten Personen), Venue-Betreibern o. ä. (Gast auf Gästeliste), einladenden Personen (bei Annahme einer Einladung).

7. Datenweitergabe an andere Nutzer

Im Rahmen der Appnutzung werden bestimmte Daten für andere eingeloggte Nutzer in der App sichtbar, insbesondere: Benutzername, Profilbild, Beschreibung, Level, Abzeichen, Kosmetik, Abonnenten und Abonnements, Heimatstadt (in gewählter Stufe), Registrierungsdatum, Online-Status (je nach Einstellung), vom Nutzer erstellte Spots.

Je nach Art der Verbindung der Nutzer und des Events können Nutzer noch weitere Daten sehen (z.B. Vorname, die Album-Fotos des Nutzers).

Ohne Anmeldung in der App ist folgendes sichtbar: Vorschau zu Spots und Sessions nach Klick auf geteilten Link. Die Session-Vorschau zeigt nur Zähler und Kurzinfo, keine Namen. Bei einer Geburtstagssession zeigt die Session-Vorschau ein Abzeichen, das den Geburtstag des Gastgebers auf etwa drei Wochen eingrenzt. Auch das Profil einer Community ist ohne Anmeldung abrufbar.

8. Datenweitergabe an Venue-Betreiber

Je nach Interaktion des Nutzers erhält der Venue-Betreiber die in dem Zusammenhang erforderlichen personenbezogenen Daten des Nutzers, dies können insbesondere sein: Reservierungen (Benutzername, Profilbild, Gruppengröße, Notiz), Gästeliste (Benutzername, Zusage, Einlassstatus), Einlass- und Aktions-Scans (Benutzername, Profilbild), Offline-Einlassliste auf dem Gerät (12 Stunden), Bewertungen und Beiträge zur Location.

9. Datenlöschung

9.1. Löschung des Nutzerkontos

Bei Löschung des Nutzerkontos werden je nach Wunsch des Nutzers entweder sofort oder innerhalb von 30 Tagen gelöscht, insbesondere:

alle personenbezogenen Profildaten
alle Nachrichten
alle Bond-Verbindungen
alle hochgeladenen Fotos (einschließlich Event-Album-Fotos)
Session-Teilnahme-Daten
Event-Teilnahme-Datensätze und die Likes des Nutzers

Ein vom Nutzer angeforderter Datenexport wird spätestens 7 Tage nach Bereitstellung, bei Kontolöschung sofort gelöscht.

9.2. Löschung einzelner Inhalte

Löscht der Nutzer einen eigenen Beitrag oder Kommentar, wird er sofort aus dem laufenden Betrieb entfernt und ist für niemanden mehr sichtbar; zugehörige Kommentare, Likes und Bilder werden mitgelöscht. Für längstens 30 Tage bleibt eine Kopie ausschließlich für Moderations- und Missbrauchsfälle vorhanden (Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO), danach wird sie endgültig gelöscht. Löscht der Nutzer sein Konto, werden auch diese Kopien mitgelöscht.

Entfernt unsere Moderation einen Inhalt, bleibt er in nicht mehr sichtbarem Zustand gespeichert, solange ein Einspruch dagegen möglich ist; nur so lässt sich ein zu Unrecht entfernter Inhalt wiederherstellen.

10. Empfängerkreis und Drittstaatentransfer

10.1. Innerhalb unseres Unternehmens haben jeweils die Personen Zugriff auf die genannten personenbezogenen Daten, die für die entsprechende Verarbeitung zuständig sind. Zudem setzen wir externe Dienstleister, insbesondere Auftragsverarbeiter nach Art. 28 DSGVO, ein, soweit wir Leistungen nicht oder nicht sinnvoll selbst vornehmen können. Diese externen Dienstleister sind dabei vor allem Anbieter von IT-Dienstleistungen und Telekommunikationsdiensten. Zur Bereitstellung unserer Dienste setzen wir insbesondere folgende Empfänger ein:

Hetzner Online GmbH: Hosting, Datenbank, Objektspeicher, Mailserver, Backup-Speicher. Verarbeitungsort: EU
Apple Inc.: Push-Benachrichtigungen und Live-Aktivitäten für iOS-Geräte (APNs), „Mit Apple anmelden“ und Geräteprüfung bei Registrierung und App-Start. Verarbeitungsort: USA, EU
Google LLC: Push-Benachrichtigungen für Android-Geräte (FCM), die technische Prüfung des Anmelde-Tokens bei „Mit Google anmelden“ und Geräteprüfung bei Registrierung und App-Start. Verarbeitungsort: USA, EU
Apple Inc. und Google LLC im Rahmen der Käufe in der App (In-App-Kauf von spraud+)
LOX24 GmbH: Versand der Bestätigungs-SMS. Verarbeitungsort: EU
Cloudprinter.com B.V.: Druck und Versand von Print-Materialien, nur für Geschäftskunden, die Druckprodukte bestellen (Übermittlung von Firmenname, Name der Ansprechperson, Lieferanschrift, Telefonnummer und E-Mail-Adresse). Verarbeitungsort: EU
PayPal (Europe) S.à r.l. et Cie, S.C.A.: Zahlungsabwicklung für Geschäftskunden. Verarbeitungsort: EU
Haufe Service Center GmbH: Buchhaltungssoftware (Lexware Office), insb. für Rechnungsstellung und Verwaltung von Zahlungen. Verarbeitungsort: EU

10.2. Gelegentlich sind wir für die Erfüllung der in diesen Datenschutzhinweisen beschriebenen Zwecke bzw. zur Erbringung unserer Leistungen auf unter Umständen außerhalb der EU bzw. Europäischen Wirtschaftsraums (EWR) ansässige, vertraglich verbundene Fremdunternehmen oder anderweitige Kooperationspartner sowie externe Dienstleister angewiesen, beispielsweise Logistikunternehmen, IT-Dienstleister, Wirtschaftsberater und Finanzinstitute. In solchen Fällen werden Informationen an diese Unternehmen bzw. Einzelpersonen weitergegeben, um diesen die weitere Bearbeitung zu ermöglichen. Soweit es sich dabei um Stellen außerhalb der EU bzw. des EWR handelt, stellen wir ein angemessenes Datenschutzniveau etwa durch den Abschluss entsprechender Verträge mit dem Datenempfänger sicher. Eine derartige Verarbeitung erfolgt ausschließlich zur Erfüllung der vertraglichen und geschäftlichen Verpflichtungen und aus Interesse an effektiven Geschäftsabläufen (Rechtsgrundlage ist Art. 6 Abs. 1 Uabs. 1 lit. b) oder lit. f) jeweils iVm Art. 44 ff. DSGVO). Sofern vorhanden, stützen wir die Übertragung auf sog. Angemessenheitsbeschlüsse der EU-Kommission, die den Drittstaaten einen Datenschutz bescheinigen, der mit dem EU- bzw. EWR-Standard vergleichbar ist. Bei der Übertragung in die USA stellen wir zudem sicher, dass die Empfänger nach dem EU-US Data Privacy Framework entsprechend zertifiziert sind. Sofern ein Angemessenheitsbeschluss nicht vorhanden ist, achten wir darauf, dass der Datenschutz ausreichend gewährleistet ist. Möglich ist dies über bindende Unternehmensvorschriften, Standard-Vertragsklauseln der Europäischen Kommission zum Schutz personenbezogener Daten gem. Art. 46 Abs. 1, 2 lit. c) DSGVO (die Standard-Vertragsklauseln sind verfügbar unter https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32021D0915), Zertifikate oder anerkannte Verhaltenskodizes.

Dies betrifft insbesondere:

Apple Inc. (USA), Push/Live-Aktivitäten und „Mit Apple anmelden“ und die Geräteprüfung: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c) DSGVO)
Google LLC (USA), Push (FCM) und „Mit Google anmelden“ und die Geräteprüfung: Angemessenheitsbeschluss in Kombination mit der Data-Privacy-Zertifizierung (Art. 45 DSGVO), ergänzend EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c) DSGVO)

Weitere Informationen hierzu sind unter den oben angegebenen Kontaktdaten erhältlich.

11. Weitergabe von Daten an andere Empfänger

Unter Umständen erfolgt (über die bereits zuvor genannten Fälle hinaus) eine Weitergabe der personenbezogenen Daten zu den oben genannten Zwecken; im Einzelnen:

11.1. Wenn es zur Aufklärung oder Verfolgung rechtswidriger bzw. missbräuchlicher Vorfälle erforderlich ist, werden personenbezogene Daten an unsere rechtlichen Berater, die Strafverfolgungsbehörden sowie gegebenenfalls an geschädigte Dritte weitergeleitet. Dies geschieht jedoch nur dann, wenn konkrete Anhaltspunkte für ein gesetzwidriges bzw. missbräuchliches Verhalten vorliegen. Eine Weitergabe kann auch dann stattfinden, wenn dies der Durchsetzung von vertraglichen Regelungen zwischen uns und unseren Geschäfts- und Vertragspartnern (insbesondere Rechnungsempfängern) dient.

11.2. Wir sind zudem gesetzlich verpflichtet, auf Anfrage bestimmten öffentlichen Stellen Auskunft zu erteilen. Dies sind vor allem Strafverfolgungsbehörden, Behörden, die bußgeldbewehrte Ordnungswidrigkeiten verfolgen, und die Finanzbehörden.

11.3. Im Rahmen der Weiterentwicklung unseres Geschäfts kann es dazu kommen, dass sich die Struktur unseres Unternehmens wandelt, indem die Rechtsform geändert wird, Tochtergesellschaften, Unternehmensteile oder Bestandteile gegründet, gekauft oder verkauft werden. Bei solchen Transaktionen werden ggfs. die personenbezogenen Daten zusammen mit dem zu übertragenden Teil des Unternehmens weitergegeben. Bei jeder Weitergabe von personenbezogenen Daten an Dritte in dem vorbeschriebenen Umfang tragen wir dafür Sorge, dass dies in Übereinstimmung mit diesen Datenschutzinformationen und den einschlägigen Datenschutzgesetzen erfolgt.

12. Verarbeitungsdauer

12.1. Für die von uns vorgenommene Datenverarbeitung geben wir in diesen Datenschutzinformationen jeweils an, wie lange die personenbezogenen Daten des Nutzers bei uns verarbeitet werden. Soweit keine ausdrückliche Speicherdauer angegeben wird, werden die personenbezogenen Daten des Nutzers gelöscht oder anonymisiert, wenn die Verarbeitung nicht mehr erforderlich ist oder die rechtlichen Voraussetzungen für eine weitere Verarbeitung nicht mehr vorliegen. Technisch bedingt kann die Verarbeitungsdauer durch Backups, welche regelmäßig aktualisiert werden, leicht abweichen.

12.2. Dabei gilt grundsätzlich:

Bei der Datenverarbeitung aufgrund einer erteilten Einwilligung wird diese beendet, sobald die Einwilligung für die Zukunft von der betroffenen Person widerrufen wird; es werden dann die personenbezogenen Daten gelöscht oder die Verarbeitung wird eingeschränkt.

Bei der Verarbeitung zur Vertragserfüllung und zur Erhaltung von Beweismitteln im Rahmen der gesetzlichen Verjährungsvorschriften bemisst sich die Speicherdauer nach der jeweiligen Verjährungsfrist und der Vertragsdauer. Nach den §§ 195 ff des Bürgerlichen Gesetzbuches (BGB) können diese Verjährungsfristen bis zu 30 Jahre betragen, wobei die regelmäßige Verjährungsfrist 3 Jahre beträgt und der Beginn von dort festgelegten Faktoren abhängt.

Zur Erfüllung gesetzlicher Aufbewahrungspflichten, die sich z.B. ergeben können aus dem Handelsgesetzbuch (HGB), der Abgabenordnung (AO), dem Geldwäschegesetz (GwG) sowie Wertpapierhandelsgesetz (WpHG) bemisst sich die Speicherdauer der nötigen personenbezogenen Daten nach den jeweils dort vorgegebenen Fristen zur Aufbewahrung bzw. Dokumentation, welche in der Regel sechs bis zehn Jahre betragen.

Sofern die Datenverarbeitung im berechtigten Interesse des Verantwortlichen oder eines Dritten erfolgt, werden die personenbezogenen Daten gelöscht, sobald dieses Interesse nicht mehr besteht. Hierbei können Ausnahmen gelten, sodass unter Umständen auch nur eine Einschränkung der Datenverarbeitung erfolgen muss.

Eine (ggf. eingeschränkte) Weiterverarbeitung kann insbesondere im Falle einer (drohenden) Rechtsstreitigkeit oder eines sonstigen rechtlichen Verfahrens über die angegebene Zeit hinaus erfolgen.

Sofern eine Verarbeitung auf mehreren Rechtsgrundlagen basiert, ist grundsätzlich jeweils die längste angegebene Verarbeitungsdauer maßgeblich.

13. Keine Verpflichtung zur Bereitstellung personenbezogener Daten

Es besteht grundsätzlich keine gesetzliche oder vertragliche Verpflichtung, die Webseite oder unsere App zu nutzen und uns damit personenbezogene Daten zur Verfügung zu stellen; es kann jedoch sein, dass wir bestimmte Leistungen nur eingeschränkt oder gar nicht erbringen können, wenn der Nutzer uns die personenbezogenen Daten nicht zur Verfügung stellt. Beispielsweise ist ohne Angabe der Pflichtangaben bei der Registrierung keine Registrierung und keine Appnutzung möglich oder ohne Bereitstellung des Gerätestandortes sind beispielsweise manche Lokalisierungsfunktionen nicht vorhanden.

14. Datensicherheit

Wir bedienen uns geeigneter technischer und organisatorischer Sicherheitsmaßnahmen, um die Daten des Nutzers gegen zufällige oder vorsätzliche Manipulation, teilweisen oder vollständigen Verlust, Zerstörung oder gegen den unbefugten Zutritt Dritter zu schützen. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

Insbesondere verwenden wir:

Verschlüsselte Datenübertragung (TLS/HTTPS)
Serverseitig verschlüsselte Speicherung aller Chat-Nachrichten, mit einem eigenen Schlüssel je Chat
Verschlüsselte Speicherung sensibler Daten wie Zugangs-Token; Passwörter selbst speichern wir nicht, die Anmeldung läuft über unseren eigenen Anmeldedienst
Regelmäßige Sicherheitsupdates
Zugriffsbeschränkungen und Berechtigungskonzepte

15. Automatisierte Entscheidungsfindung (einschließlich Profiling)

15.1. Automatisierte Inhalte-Prüfung

Zum Schutz der Community werden eingestellte Inhalte (Texte, Bilder inklusive automatischer Texterkennung, Profilbilder) automatisiert geprüft, vollständig auf unseren eigenen Servern, ohne Cloud-Dienste Dritter. Diese Prüfung kann ohne menschliches Zutun dazu führen, dass

ein Inhalt beim Einstellen abgelehnt wird,
ein bereits eingestellter Inhalt vorläufig ausgeblendet wird („Quarantäne“, für andere nicht mehr sichtbar), oder
der Nutzer nach mehreren Meldungen anderer Teilnehmer automatisch aus einer Session entfernt wird.

Wiederholter Missbrauch der Meldefunktionen durch einen Nutzer kann sanktioniert werden.

Der Nutzer kann gegen die Entscheidungen Einspruch einlegen.

Kontosperren werden dagegen nicht automatisch verhängt, sondern von Menschen entschieden; der Nutzer wird mit Grund und Dauer informiert.

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO (berechtigtes Interesse an einer funktionierenden Plattform, Verhinderung von rechtswidrigen Inhalten) und Art. 6 Abs. 1 Uabs. 1 lit. c) DSGVO (Erfüllung von gesetzlichen Pflichten insbesondere aus dem Digital Services Act, soweit anwendbar).

15.2. Verbindliche Zusagen (No-Show-Regel)

Damit zugesagte Sessions und gemeinsame Reservierungen verlässlich stattfinden, halten wir fest, wenn der Nutzer seine Teilnahme bestätigt hat, dann aber weder vor Ort eingecheckt noch rechtzeitig abgesagt hat („No-Shows“). Solche Ereignisse werden längstens 30 Tage gespeichert und nur dem Nutzer selbst sowie unserer Moderation angezeigt. Bei Häufung von No-Shows können automatisiert Maßnahmen gegenüber dem Nutzer ergriffen werden (eine engere Bindung seines Platzes in Sessions, eine Pause für den Beitritt zu Sessions und für Reservierungen); gegen die Pause besteht die Möglichkeit des Einspruchs.

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO (berechtigtes Interesse an der Durchführung von Veranstaltungen und der Zurverfügungstellung für andere Nutzer).

15.3. Sortierung des Feeds bei häufigen Meldungen

Werden Beiträge einer Person überdurchschnittlich oft von anderen Nutzern gemeldet, werden ihre Beiträge im Feed schwächer gewichtet. Das ist eine reine Anzeige-Dämpfung zur Missbrauchsvorbeugung; Inhalte werden dadurch weder entfernt noch gesperrt, und es entsteht keine rechtliche oder ähnlich erhebliche Wirkung.

Rechtsgrundlage: Art. 6 Abs. 1 Uabs. 1 lit. f) DSGVO (berechtigtes Interesse an einer funktionierenden Plattform, Verhinderung von Manipulation und Belästigung der anderen Nutzer).

15.4. Rechte des Nutzers in Bezug auf automatisierte Entscheidungen

Jede automatisierte Entscheidung kann der Nutzer anfechten, direkt über „Einspruch einlegen“ in der Benachrichtigung oder unter Einstellungen → Datenschutz → Deine Rechte. Ein Mensch prüft die Anfechtung des Nutzers innerhalb von 14 Tagen; der Nutzer erhält das Ergebnis mit Begründung als Benachrichtigung, und bei Erfolg wird der Inhalt des Nutzers automatisch wiederhergestellt. In der Benachrichtigung über eine Ausblendung nennen wir dem Nutzer die maßgeblichen Gründe.

16. Rechte der betroffenen Person

16.1. Die Rechte der betroffenen Person bezüglich der verarbeiteten personenbezogenen Daten können uns gegenüber unter den eingangs angegebenen Kontaktdaten jederzeit geltend gemacht werden. Bezüglich ihrer personenbezogenen Daten hat die betroffene Person das Recht:

16.2. gemäß Art. 15 DSGVO Auskunft über die von uns verarbeiteten Daten zu verlangen. Insbesondere kann die betroffene Person Auskunft über die Verarbeitungszwecke, die Kategorie der Daten, die Kategorien von Empfängern, gegenüber denen die Daten offengelegt wurden oder werden, die geplante Speicherdauer, das Bestehen eines Rechts auf Berichtigung, Löschung, Einschränkung der Verarbeitung oder das Recht Widerspruch zu erheben, das Bestehen eines Beschwerderechts, die Herkunft der Daten, sofern diese nicht bei uns erhoben wurden, sowie über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und ggf. aussagekräftigen Informationen zu deren Einzelheiten verlangen;

16.3. gemäß Art. 16 DSGVO unverzüglich die Berichtigung unrichtiger oder die Vervollständigung der bei uns gespeicherten Daten zu verlangen;

16.4. gemäß Art. 17 DSGVO die Löschung der bei uns gespeicherten Daten zu verlangen, soweit nicht die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist;

16.5. gemäß Art. 18 DSGVO die Einschränkung der Verarbeitung der Daten zu verlangen, soweit die Richtigkeit der Daten von der betroffenen Person bestritten wird oder die Verarbeitung unrechtmäßig ist;

16.6. gemäß Art. 20 DSGVO die Daten, die die betroffene Person uns bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen („Datenübertragbarkeit“);

16.7. gemäß Art. 7 Abs. 3 DSGVO eine einmal erteilte Einwilligung, also den freiwilligen, in informierter Weise und unmissverständlich durch eine Erklärung oder eine sonstige eindeutige bestätigende Handlung verständlich gemachten Willen, dass die betroffene Person mit der Verarbeitung der betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke einverstanden ist, jederzeit uns gegenüber zu widerrufen. Dies hat zur Folge, dass wir die Datenverarbeitung, die auf dieser Einwilligung beruhte, für die Zukunft nicht mehr fortführen dürfen;

16.8. Manche der Rechte können auch direkt in der App ausgeübt werden (in der Regel über „Einstellungen“).

16.9. gemäß Art. 77 DSGVO das Recht, jederzeit Beschwerde bei einer Aufsichtsbehörde einzulegen, insbesondere bei einer Aufsichtsbehörde in dem Mitgliedstaat des Aufenthaltsorts, des Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen datenschutzrechtliche Bestimmungen verstößt.

Für Baden-Württemberg ist dies beispielsweise:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Postfach 10 29 32, 70025 Stuttgart oder Heilbronner Straße 35, 70191 Stuttgart
Telefon: 0711 615541-0
E-Mail: poststelle@lfdi.bwl.de

Eine Liste der Landesdatenschutzbehörden findet sich unter https://www.bfdi.bund.de/DE/Service/Anschriften/Laender/Laender-node.html.

17. DARÜBER HINAUS KANN DIE BETROFFENE PERSON GEMÄSS ART. 21 DSGVO WIDERSPRUCH GEGEN DIE VERARBEITUNG EINLEGEN, SOFERN DIE VERARBEITUNG AUFGRUND ART. 6 ABS. 1 UABS. 1 LIT. E) DSGVO (WAHRNEHMUNG ÖFFENTLICHER INTERESSEN) ODER ART. 6 ABS. 1 UABS. 1 LIT. F) DSGVO (BERECHTIGTE INTERESSEN DES VERANTWORTLICHEN) ERFOLGT. DIES IST INSBESONDERE DER FALL, WENN DIE VERARBEITUNG NICHT ZUR ERFÜLLUNG EINES VERTRAGS MIT DER BETROFFENEN PERSON ERFORDERLICH IST. IM FALLE EINES BEGRÜNDETEN WIDERSPRUCHS PRÜFEN WIR DIE SACHLAGE UND WERDEN ENTWEDER DIE DATENVERARBEITUNG EINSTELLEN BZW. ANPASSEN ODER DER BETROFFENEN PERSON UNSERE ZWINGENDEN SCHUTZWÜRDIGEN GRÜNDE AUFZEIGEN, AUFGRUND DERER WIR DIE VERARBEITUNG FORTFÜHREN. WERDEN PERSONENBEZOGENE DATEN VERARBEITET, UM DIREKTWERBUNG ZU BETREIBEN, SO HAT DIE BETROFFENE PERSON DAS RECHT, JEDERZEIT WIDERSPRUCH GEGEN DIE VERARBEITUNG SIE BETREFFENDER PERSONENBEZOGENER DATEN ZUM ZWECKE DERARTIGER WERBUNG EINZULEGEN; DIES GILT AUCH FÜR DAS PROFILING, SOWEIT ES MIT SOLCHER DIREKTWERBUNG IN VERBINDUNG STEHT.

18. Änderung dieser Datenschutzhinweise

Durch die Weiterentwicklung unserer internen Prozesse, Angebote und der App oder aufgrund geänderter gesetzlicher beziehungsweise behördlicher Vorgaben kann es notwendig werden, diese Datenschutzhinweise zu ändern. Die jeweils aktuellen Datenschutzhinweise können jederzeit in der App oder auf der Webseite abgerufen werden.