Datenschutzerklärung
Transparente Information über die Verarbeitung personenbezogener Daten auf der Festival OS Plattform.
Stand: 26.10.2026
1. Allgemeine Hinweise
Diese Datenschutzerklärung informiert darüber, was mit personenbezogenen Daten passiert, wenn Sie Festival OS nutzen: die Website festival-os.io, die Anwendung für Veranstalter und Crew (app.festival-os.io), die Ticketshops und Einladungsseiten (shop.festival-os.io, invite.festival-os.io), die öffentlichen Seiten eines Events (z. B. Programm, Geländekarte, Ticket-Ansicht) sowie die E-Mails und Push-Mitteilungen, die die Plattform verschickt. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Wir verarbeiten Daten gemäß der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG).
2. Verantwortliche Stelle
Datenschutzrechtlich verantwortlich (Verantwortlicher) für den Betrieb von Festival OS ist:
Karl Hüper
Lendorfstr. 16, 30974 Wennigsen, Deutschland
E-Mail (Datenschutz & Support): [email protected]
Ein Datenschutzbeauftragter ist nicht benannt, weil die gesetzlichen Voraussetzungen dafür (§ 38 BDSG, Art. 37 DSGVO) nicht vorliegen.
3. Rollen: Plattformbetreiber vs. Veranstalter
Festival OS ist eine Software, mit der Veranstalter ihre Events planen und durchführen. Wer für welche Daten verantwortlich ist, hängt davon ab, wessen Zweck die Verarbeitung dient:
- Der Veranstalter ist verantwortlich: für die Daten, die rund um sein Event anfallen: Ticketkäufe und Gästelisten, Einlass, Warteliste, Crew und Schichten, Arbeitszeiten, Akkreditierung, Lieferanten und Anlieferungen, Fundbüro, Meldungen und Durchsagen. Vertragspartner beim Ticketkauf ist der Veranstalter; seine Kontaktdaten stehen im jeweiligen Shop. Für diese Daten handelt Karl Hüper als Auftragsverarbeiter nach Art. 28 DSGVO, also nur auf Weisung des Veranstalters. Anfragen zu diesen Daten richten Sie am besten direkt an den Veranstalter; wir leiten sie sonst weiter.
- Karl Hüper ist selbst verantwortlich: für den Betrieb und die Sicherheit der Plattform (Server-Logs, Missbrauchsschutz, Fehlerberichte), die Konten der Veranstalter und ihrer Teams, Support-Anfragen, die Website festival-os.io mit Demo-Anfrage und Reichweitenmessung sowie für die Ansprache möglicher Kunden (Abschnitt 6).
4. Welche Daten verarbeiten wir?
Zugriffsdaten (Server-Logs)
Beim Aufruf der Seiten und Schnittstellen: Datum/Uhrzeit, aufgerufene Seite/Endpunkte, IP-Adresse, User-Agent, Referrer. Die Web-Oberflächen liefert Cloudflare aus, die Schnittstelle (api.festival-os.io) unser eigener Server bei netcup (siehe Abschnitt 7).
Zweck
Betrieb, Stabilität, Fehleranalyse, Abwehr von Missbrauch/Angriffen.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO
Nutzerkonto / Login
E-Mail-Adresse, ggf. Name und Telefonnummer, Passwort-Hash/Authentifizierungsdaten, Rollen und Berechtigungen in Events. Wenn Sie „Mit Google anmelden“ wählen, erhalten wir von Google Ihre E-Mail-Adresse, Ihren Namen und ggf. Ihr Profilbild; Google erfährt dabei, dass Sie sich bei Festival OS anmelden.
Zweck
Login, Benutzerverwaltung, Zugriffsschutz.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b & f DSGVO
Ticketing und Einlass
Name, E-Mail und weitere vom Veranstalter abgefragte Angaben (z. B. Telefon, Altersangabe), Ticketart, Ticket-Code, Zahlungsart und -status, Zeitpunkt der Zustimmung zu AGB und Datenschutzerklärung, Einlasszeit und Scan-Protokoll. Unbezahlte Reservierungen werden nach Fristablauf automatisch als verfallen markiert (nicht gelöscht, siehe AGB); stornierte oder verfallene Tickets werden am Einlass abgewiesen.
Zweck
Ticketverkauf im Auftrag des Veranstalters, Einlasskontrolle, Nachweis, Missbrauchsschutz.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b & f DSGVO
Support/Kontakt
Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Nachricht und Kontaktdaten.
Zweck
Bearbeitung der Anfrage.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b oder f DSGVO
Zahlungsdaten
Betrag, Währung, Zahlungsart, Status, Bestell- bzw. Reservierungsnummer und bei Kartenzahlung die Stripe-Zahlungs-ID. Kartenzahlungen laufen über das eigene Stripe-Konto des Veranstalters: Die Zahlungsdaten geben Sie direkt im Zahlungsfeld von Stripe ein, Kartennummern erreichen unsere Server nie. PayPal ist nur ein Link auf die PayPal.me-Seite des Veranstalters; bei Überweisung und Barzahlung bestätigt der Veranstalter den Zahlungseingang selbst.
Zweck
Abwicklung von Ticketzahlungen, Zuordnung von Zahlungseingängen, Buchhaltung des Veranstalters.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b & c DSGVO
Pseudonymisierte technische Metadaten
Bei Reservierungen im Shop speichern wir SHA-256-Hashes von IP-Adresse und User-Agent. Für die Begrenzung von Anfragen an öffentliche Formulare (z. B. Warteliste, Demo-Anfrage, Ticket erneut senden) speichern wir kurzzeitig einen Hash der IP-Adresse bzw. E-Mail-Adresse. Die Klartext-IP wird dabei nicht gespeichert.
Zweck
Schutz vor Massen-Reservierungen und Missbrauch öffentlicher Formulare.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO
Demo-Anfrage (/demo-anfragen)
Wenn Sie unser mehrstufiges Anfrageformular ausfüllen, speichern wir die eingegebenen Daten (Name, E-Mail, Firma, Angaben zu Ihrem Event, ausgewählte Interessen, Nachricht) fortlaufend — auch wenn Sie das Formular nicht bis zum Ende ausfüllen. So können wir Sie bezüglich Ihrer Anfrage kontaktieren, auch wenn diese unvollständig geblieben ist. Diese Daten werden ausschließlich zur Bearbeitung Ihrer konkreten Anfrage verwendet, nicht für Newsletter oder sonstiges Marketing.
Zweck
Bearbeitung Ihrer Anfrage und Kontaktaufnahme dazu.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b & f DSGVO
Testzugang (Demo)
Wenn Sie einen Testzugang anfordern, speichern wir Ihre E-Mail-Adresse und schicken Ihnen einen Anmeldelink. Das Demo-Event wird nach Ablauf automatisch gelöscht, ein nie benutzter Testzugang nach 7 Tagen, das Anfrage-Protokoll nach 30 Tagen.
Zweck
Ausprobieren der Plattform mit Beispieldaten.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO
Sofort-Demo (festival-os.io/demo)
Auf festival-os.io/demo können Sie Festival OS sofort ausprobieren. Dafür erfassen wir Ihren Namen, Ihre E-Mail-Adresse sowie Name, Ort, Datum und Art Ihrer Veranstaltung. Wir legen daraus ein Wegwerf-Demo-Konto mit Beispieldaten an; diese Demo-Daten werden nach Ablauf der Demo gelöscht. Zum Schutz vor automatisierten Anfragen setzen wir auf dem Formular Cloudflare Turnstile ein (Anbieter Cloudflare, siehe Abschnitt 7); dabei werden technische Angaben Ihres Browsers an Cloudflare übermittelt. Ihre Angaben (Lead-Daten) speichern wir in unserem selbst gehosteten Kundenverwaltungssystem (CRM) 12 Monate nach der letzten Demo; reagieren Sie nicht auf unsere Nachfragen, löschen wir sie bereits nach 30 Tagen. Auf Wunsch schicken wir Ihnen eine E-Mail „Zurück zu deiner Demo“ mit einem Link zu Ihrer Demo. Wir können Sie nach Ihrer Demo außerdem einmalig zu unserem Angebot nachfassen. Werbliche Zusendungen darüber hinaus (z. B. Neuigkeiten) erhalten Sie nur mit Ihrer Einwilligung (siehe „Neuigkeiten per E-Mail“).
Zweck
Sofortiges Ausprobieren der Plattform, Rückkehr in Ihre Demo, Nachfassen zu unserem Angebot.
Rechtsgrundlage
Demo und Rückkehr-Mail: Art. 6 Abs. 1 lit. b DSGVO; Nachfassen zum Angebot: Art. 6 Abs. 1 lit. f DSGVO; Werbung nur mit Einwilligung: Art. 6 Abs. 1 lit. a DSGVO
Rückmeldung in der Demo („Wie war’s?“)
Am Ende der Demo können Sie uns freiwillig eine Rückmeldung geben: welche Bereiche Sie angesehen haben, Ihren Eindruck und einen Freitext. Wünschen Sie einen Anruf (Call), geben Sie dafür eine Kontaktangabe an. In der Demo-Datenbank speichern wir die Rückmeldung höchstens 30 Tage, in unserem CRM bis zur Erledigung.
Zweck
Verbesserung des Produkts, Beantwortung Ihrer Rückmeldung, Vereinbarung eines Gesprächs auf Ihren Wunsch.
Rechtsgrundlage
Art. 6 Abs. 1 lit. a DSGVO (Freiwilligkeit der Angaben); Kontaktangabe für einen gewünschten Call: Art. 6 Abs. 1 lit. b DSGVO
Neuigkeiten per E-Mail
Neuigkeiten zu Festival OS erhalten Sie nur, wenn Sie das ausdrücklich möchten und Ihre E-Mail-Adresse bestätigen (Double-Opt-in). Als Nachweis der Einwilligung speichern wir den Zeitpunkt, einen Hash Ihrer IP-Adresse und den User-Agent. Abmelden können Sie sich jederzeit über den Link in jeder Mail und über die List-Unsubscribe-Funktion Ihres Mailprogramms.
Zweck
Versand von Neuigkeiten, Nachweis der Einwilligung.
Rechtsgrundlage
Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar); Nachweis: Art. 6 Abs. 1 lit. f DSGVO
Warteliste
Vorname, Nachname, E-Mail-Adresse, optional Telefonnummer, Event und Status. Sie erhalten eine Bestätigungsmail. Verantwortlich ist der jeweilige Veranstalter.
Zweck
Benachrichtigung, wenn bei einem ausverkauften Event wieder Tickets frei werden.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO
Arbeitszeit & Standortprüfung beim Einstempeln (Crew)
Ein- und Ausstempelzeiten. Hat der Veranstalter die Standortprüfung eingeschaltet, liest die Crew-App den Gerätestandort nur im Moment des Einstempelns einmal aus und sendet ihn an unseren Server. Dort wird er mit dem Veranstaltungsgelände verglichen und sofort verworfen. Gespeichert wird nur das Ergebnis (z. B. „vor Ort“ oder „nicht geprüft“), keine Koordinaten, kein Bewegungsprofil, keine Ortung im Hintergrund.
Zweck
Erfassung der Arbeitszeit; auf Wunsch des Veranstalters Schutz vor Einstempeln fern vom Veranstaltungsgelände.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b & f DSGVO
Event-Organisation (im Auftrag des Veranstalters)
Je nach genutzten Funktionen: Crew-Profile, Schichten und Aufgaben, Akkreditierungen und Ausweise, Lieferanten und Fahrer (Name, Telefon), Fundsachen und Abholer, Meldungen der Einsatzleitung, Durchsagen und deren Lesebestätigungen. Was erfasst wird, legt der Veranstalter fest.
Zweck
Planung und Durchführung des Events durch den Veranstalter.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b, c & f DSGVO (Veranstalter)
Push-Mitteilungen
Wenn Sie Mitteilungen erlauben, speichern wir die vom Browser erzeugte Push-Adresse, die zugehörigen Schlüssel und den Browser-Typ. Die Mitteilung wird verschlüsselt über den Push-Dienst Ihres Browsers bzw. Betriebssystems zugestellt (Apple, Google, Mozilla oder Microsoft). Abschalten jederzeit in den Browser-Einstellungen.
Zweck
Schicht-Erinnerungen, Durchsagen und dringende Meldungen an die Crew.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO; Aktivierung nur auf Ihren Wunsch
Apple Wallet
Die Karte enthält Eventname, Datum, Ort, Ihren Namen, Ticketart und Ticket-Code. Fügen Sie sie hinzu, speichern wir eine Gerätekennung und ein Push-Token von Apple, damit Änderungen (z. B. neue Beginnzeit, Nachricht des Veranstalters) auf die Karte kommen. Apple erhält dafür nur eine leere Aktualisierungs- Nachricht.
Zweck
Ticket bzw. Ausweis in Apple Wallet, mit automatischer Aktualisierung.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO; nur wenn Sie die Karte hinzufügen
Karten und Ortssuche
Karten, Satellitenbilder und die Adresssuche kommen von Mapbox. Ihr Browser lädt sie direkt dort; Mapbox erhält dabei Ihre IP-Adresse, den Kartenausschnitt bzw. Suchbegriff und technische Nutzungsdaten. In den Planungswerkzeugen für Veranstalter laden wir zusätzlich Luftbilder der Vermessungsverwaltungen der Länder und Gebäudeumrisse aus OpenStreetMap (Overpass-API). Links „Route planen“ führen zu Google Maps bzw. Apple Karten; dort gelten deren Datenschutzbestimmungen.
Zweck
Geländeplan, Besucher- und Crew-Karte, Anfahrt, Adresssuche.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO
Fehlerberichte
Tritt in der App oder auf dem Server ein technischer Fehler auf, senden wir einen Fehlerbericht an einen von uns selbst betriebenen Fehler-Server (GlitchTip auf unserem netcup-Server): Fehlermeldung, aufgerufene Seite ohne Links oder Codes, Rolle, App-Version, Browser/Gerätetyp und Event-ID. Ein Filter entfernt vorher IP-Adressen, Namen, E-Mail-Adressen, Telefonnummern, Formulareingaben und Codes aus Links. Über neue Fehler wird der Betreiber per Push-Dienst Pushover benachrichtigt (nur Fehlertitel nach demselben Filter). Löschung der Fehlerberichte nach 30 Tagen.
Zweck
Technische Störungen (z. B. am Einlass) schnell erkennen und beheben.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO
Persönliche Demo-Links aus unseren E-Mails
Enthält eine unserer E-Mails einen persönlichen Demo-Link, läuft dieser über demo.festival-os.io. Links auf festival-os.io in unseren E-Mails tragen Kampagnen-Kennungen (UTM-Parameter) und einen Kontakt-Code; die Website meldet den Aufruf dann einmalig an demo.festival-os.io. Wir zählen dabei, ob der Link geöffnet wurde (ohne Ihre IP-Adresse zu speichern), und welche Bereiche der Demo angesehen wurden. Diese Angaben speichern wir beim Kontakt in unserem selbst gehosteten CRM auf unserem Server bei netcup.
Zweck
Erkennen, ob und woran Interesse besteht, damit wir sinnvoll nachfassen und Sie nicht unnötig anschreiben.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO
Reichweitenmessung auf festival-os.io
Nur auf der Website festival-os.io (nicht in App und Shops) zählen wir Seitenaufrufe und Klicks auf einzelne Schaltflächen mit Umami, selbst betrieben auf unserem Server. Umami setzt keine Cookies und speichert keine IP-Adressen; erfasst werden aufgerufene Seite, Referrer, Browser, Betriebssystem, Gerätetyp, Sprache und das aus der IP abgeleitete Land. Bei Aufrufen über Links aus unseren E-Mails erfasst Umami auch deren Kampagnen-Kennungen (UTM-Parameter) einschließlich des Kontakt-Codes, nicht aber Name oder E-Mail-Adresse. Zusätzlich zählen wir Vertriebsereignisse: Link geöffnet, Demo angesehen, Demo gestartet, Demo beendet und Rückmeldung gegeben (siehe „Persönliche Demo-Links“).
Zweck
Verstehen, welche Seiten, Schaltflächen und Vertriebsschritte (Demo-Ablauf) genutzt werden.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO
Eingehende E-Mails an [email protected]
E-Mails an [email protected] werden mit Unterstützung von Anthropic eingeordnet; außerdem werden Antwortentwürfe vorbereitet. Es wird nichts automatisch versendet; jede Antwort prüft und sendet der Betreiber selbst. Gespeichert werden nur eine Kurzfassung, der Betreff, der Absender und die Message-ID; sie werden nach 90 Tagen gelöscht. Postfach und Kalender des Betreibers liegen bei Apple (iCloud).
Zweck
Zügige und geordnete Bearbeitung eingehender Anfragen.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b oder f DSGVO
5. Cookies & Speicher im Browser
Wir setzen keine Analyse- oder Marketing-Cookies ein.
Für Login und Sitzung speichert die App ein Anmelde-Token im Browser-Speicher (Local Storage), außerdem einzelne Einstellungen (z. B. eine angefangene Einladung) und – für den Offline-Betrieb am Einlass – Dateien der App im Zwischenspeicher (Service Worker). Diese Speicherungen sind für die von Ihnen gewünschte Nutzung unbedingt erforderlich.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b & f DSGVO (technisch erforderlicher Betrieb/Sicherheit).
6. Ansprache von Veranstaltern und Vereinen
Wir sprechen Veranstalter, Vereine und andere Organisationen, die Feste und Veranstaltungen ausrichten, gezielt per E-Mail an, um ihnen Festival OS vorzustellen. Dieser Abschnitt erfüllt die Informationspflicht nach Art. 14 DSGVO gegenüber den angeschriebenen Organisationen und ihren Ansprechpersonen.
- Herkunft der Daten: Ein Programm durchsucht öffentlich zugängliche Veranstaltungs- und Vereinsverzeichnisse sowie die Websites der Organisationen und übernimmt nur dort veröffentlichte Angaben. Es beachtet die robots.txt der Websites.
- Welche Daten: Name der Organisation, Website und weitere Domains, veröffentlichte E-Mail-Adressen und Telefonnummer, Bundesland, Fundstelle, eine automatisch ermittelte Einordnung (z. B. Verein, Veranstalter) mit Begründung, Name des Festes, Status der Ansprache und Versandprotokoll. Sind in einer veröffentlichten Adresse Personennamen enthalten (z. B. [email protected]), betrifft das auch diese Person.
- Zweck und Rechtsgrundlage: Direktwerbung für Festival OS gegenüber Organisationen (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der Vorstellung unseres Angebots, vgl. Erwägungsgrund 47). Gespeichert wird in einem eigenen Kundenverwaltungssystem auf unserem Server bei netcup in Deutschland.
- Personalisierung: Den persönlichen Teil einer Mail kann ein KI-Sprachmodell der Anthropic, PBC (USA) vorschlagen. Dafür übermitteln wir Name der Organisation, Name des Festes, Domain, Einordnung und einen Textauszug der öffentlichen Startseite, keine E-Mail-Adressen oder Telefonnummern. Die Vorschläge werden automatisch auf ein festes Format geprüft und können vor dem Versand bearbeitet werden. Das Modell formuliert nur Text; eine automatisierte Entscheidung mit rechtlicher Wirkung nach Art. 22 DSGVO findet nicht statt.
- Quellen und Abmeldung: Kontaktdaten stammen nur aus öffentlich zugänglichen Quellen, etwa dem Impressum der Veranstaltung. Jede Mail enthält einen Weg zur Abmeldung. Abmeldungen kommen sofort auf eine Sperrliste.
- Versand: Die Mails verschicken wir über Resend (Absender [email protected]).
- Speicherdauer: Solange eine Ansprache in Betracht kommt bzw. bis zu Ihrem Widerspruch. Nach einem Widerspruch löschen wir den Eintrag und nehmen Domain und E-Mail-Adresse auf eine Sperrliste, damit Sie nicht erneut erfasst oder angeschrieben werden.
Widerspruchsrecht gegen Direktwerbung (Art. 21 Abs. 2 und 3 DSGVO)
Sie können der Verarbeitung Ihrer Daten für diese Ansprache jederzeit ohne Angabe von Gründen widersprechen. Es genügt eine kurze Antwort auf unsere Mail (z. B. „Abmelden“) oder eine Mail an [email protected]. Wir löschen dann Ihre Daten und setzen Domain und Adresse auf unsere Sperrliste.
7. Empfänger / Dienstleister
Wir setzen folgende Dienstleister ein. Soweit sie Daten in unserem Auftrag verarbeiten, geschieht das auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO und nur auf unsere Weisung.
netcup GmbH
Server für Datenbank, Anmeldung, Schnittstelle, Dateien, Mail-Warteschlange, Fehler-Server, Website-Statistik und Kundenverwaltung. Die Software darauf (u. a. Supabase) betreiben wir selbst.
Standort
Deutschland
Cloudflare, Inc.
Auslieferung der Web-Oberflächen (festival-os.io, app., shop., invite.festival-os.io) über Cloudflare Pages; dabei Verarbeitung von IP-Adresse und Zugriffsdaten. Außerdem Cloudflare Turnstile als Bot-Schutz im Formular der Sofort-Demo.
Standort
USA / weltweites Netz
Datenschutzinfos ansehen ↗Resend
Versand von E-Mails (Anmeldung, Tickets, Bestätigungen, Schicht-Mails, Durchsagen, Ansprache von Veranstaltern).
Standort
USA
Datenschutzinfos ansehen ↗Mapbox, Inc.
Karten, Satellitenbilder und Adresssuche (direkt aus Ihrem Browser abgerufen).
Standort
USA
Datenschutzinfos ansehen ↗Stripe
Kartenzahlung im Shop, über das eigene Stripe-Konto des Veranstalters. Stripe ist Dienstleister bzw. eigener Verantwortlicher im Verhältnis zum Veranstalter.
Standort
Irland (EU) / USA
Datenschutzinfos ansehen ↗Google Ireland Ltd.
Nur wenn Sie „Mit Google anmelden“ nutzen. Google ist dabei eigener Verantwortlicher.
Standort
Irland (EU) / USA
Datenschutzinfos ansehen ↗Push-Dienste (Apple, Google, Mozilla, Microsoft)
Zustellung von Push-Mitteilungen und Wallet-Aktualisierungen an Ihr Gerät, nur wenn Sie diese aktivieren.
Standort
USA / EU
Anthropic, PBC
Für die Ansprache von Veranstaltern (Abschnitt 6): Vorschläge für den persönlichen Teil einer Mail. Außerdem zum Einordnen eingehender E-Mails an [email protected] und zum Vorbereiten von Antwortentwürfen.
Standort
USA
Datenschutzinfos ansehen ↗Apple Distribution International Ltd.
Postfach und Kalender des Betreibers (iCloud), in denen E-Mails an [email protected] liegen.
Standort
Irland (EU) / USA
Datenschutzinfos ansehen ↗Pushover
Benachrichtigung des Betreibers über neue technische Fehler (gefilterte Fehlertitel).
Standort
USA
goQR.me (api.qrserver.com)
Erzeugt derzeit das QR-Code-Bild in der Ticket-Mail. Dabei wird der Ticket-Code übertragen; beim Öffnen der Mail lädt Ihr Mailprogramm das Bild dort.
Standort
Deutschland
Daten aus öffentlichen Kartendiensten der Länder (Luftbilder) und aus OpenStreetMap werden nur abgerufen; dabei erhalten diese Stellen technisch Ihre IP-Adresse. Wetterwarnungen holt unser Server beim Deutschen Wetterdienst nur anhand der Event-Koordinaten, ohne personenbezogene Daten.
Weitere Empfänger erhalten Daten nur, wenn dies erforderlich ist (z. B. rechtliche Verpflichtung) oder Sie eingewilligt haben. Eine vollständige Liste der Unterauftragnehmer stellen wir auf Anfrage zur Verfügung.
8. Übermittlung in Drittländer
Einige der genannten Anbieter sitzen in den USA oder setzen dort Unterauftragnehmer ein (Cloudflare, Resend, Mapbox, Anthropic, Pushover, Push-Dienste, ggf. Stripe und Google). Eine Übermittlung erfolgt nur, wenn ein angemessenes Schutzniveau besteht: entweder weil der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO) oder auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die etwa in den Auftragsverarbeitungsverträgen von Anthropic und Resend enthalten sind. Eine Kopie der Garantien erhalten Sie auf Anfrage.
9. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für die Zwecke erforderlich ist. Automatisch geschieht Folgendes:
- Server-Logs: nur für den zur Sicherheit und Fehleranalyse notwendigen Zeitraum.
- Nutzerkonto: bis zur Löschung/Deaktivierung, sofern keine Pflichten entgegenstehen.
- Ticket- und Einlassdaten: mindestens bis Eventabschluss; danach nach Vorgaben des jeweiligen Veranstalters.
- Belege bezahlter Tickets: bis zu 10 Jahre (§ 147 AO, Aufbewahrungspflicht des Veranstalters). Auf Verlangen anonymisieren wir vorher alle nicht aufbewahrungspflichtigen Angaben.
- Unbezahlte Reservierungen: verfallen automatisch: Kartenzahlung nach 15 Minuten, PayPal nach 48 Stunden, Überweisung nach 5 Tagen (höchstens bis Eventbeginn), „Bar vor Ort“ 2 Stunden nach Eventbeginn. Verfallene Reservierungen bleiben als „verfallen“ gekennzeichnet beim Event gespeichert.
- Hashes zur Anfragebegrenzung: 7 Tage.
- Fehlerberichte: 30 Tage.
- Push-Geräte: werden gelöscht, wenn sie 180 Tage lang nichts empfangen haben; versandte Push-Aufträge nach 7 Tagen.
- Kopien von Durchsagen und Erinnerungsmails: 30 Tage; Nachrichten auf Wallet-Karten werden nach 14 Tagen entfernt.
- Lieferanten- und Fundbüro-Angaben: Name und Telefon von Fahrern, Abholer von Fundsachen sowie Ortskontrollen und Lesebestätigungen werden 90 Tage nach Eventende gelöscht.
- Papierkorb: gelöschte Einträge werden nach 90 Tagen endgültig entfernt.
- Testzugänge: Demo-Event bei Ablauf, unbenutzter Zugang nach 7 Tagen, Anfrage-Protokoll nach 30 Tagen.
- Sofort-Demo: Demo-Daten nach Ablauf der Demo; Lead-Daten im CRM 12 Monate nach der letzten Demo, bei keiner Reaktion nach 30 Tagen.
- Rückmeldung in der Demo: in der Demo-Datenbank höchstens 30 Tage, im CRM bis zur Erledigung.
- Neuigkeiten per E-Mail: bis zur Abmeldung bzw. zum Widerruf; der Nachweis der Einwilligung, solange er für die Verteidigung gegen Ansprüche nötig ist.
- Eingehende E-Mails an [email protected]: Kurzfassung, Betreff, Absender und Message-ID 90 Tage.
- Daten zur Ansprache von Veranstaltern: siehe Abschnitt 6.
10. Sicherheit
Wir verwenden TLS-Verschlüsselung (https). Zugriffe in der Datenbank sind über Zeilenrechte auf die jeweils berechtigten Personen beschränkt; Zahlungsschlüssel der Veranstalter liegen verschlüsselt. Zusätzlich treffen wir technische und organisatorische Maßnahmen, um Daten vor Verlust, Zugriff und Manipulation zu schützen.
11. Ihre Rechte (Betroffenenrechte)
Sie haben nach DSGVO insbesondere das Recht auf:
Art. 15
Auskunft
Art. 16
Berichtigung
Art. 17
Löschung
Art. 18
Einschränkung
Art. 20
Datenübertragbarkeit
Art. 21
Widerspruch
Widerspruch (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Der Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit ohne Begründung widersprechen (siehe Abschnitt 6).
Anfragen: [email protected]
Auskunft, Datenexport & Löschung
Schreib formlos an [email protected], am besten von der E-Mail-Adresse, mit der du gebucht oder dich registriert hast. So können wir die Anfrage dir zuordnen, ohne dass Dritte an deine Daten kommen. Betrifft die Anfrage Daten eines Events, stimmen wir uns mit dem Veranstalter ab.
Wichtig: bei bezahlten Tickets unterliegen Buchungsbelege einer 10-jährigen Aufbewahrungspflicht (§ 147 AO). Bis dahin werden personenbezogene Felder anonymisiert, IDs und Beträge für die Buchhaltung beibehalten. Abgeschlossene Reservierungen und kostenlose Buchungen werden vollständig gelöscht.
12. Beschwerderecht
Sie haben das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig für uns ist:
Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
13. Gültigkeit und Änderungen
Diese Datenschutzerklärung gilt ab 26.10.2026. Wir passen sie an, wenn sich Funktionen, Rechtslage oder Datenverarbeitungen ändern.
Ein Produkt von
Karl Hüper
Festival OS wird entwickelt und betrieben von Karl Hüper aus Hannover.
festival-os.io