Datenschutzerklärung

Bolle-Events
Inhaber: Sven Bollwig
Fritz-Winter-Str. 58
59199 Bönen
E-Mail: info@bolle-events.de

Einen Datenschutzbeauftragten gibt es nicht. Er ist bei dieser Größe gesetzlich nicht vorgeschrieben. Fragen zum Datenschutz beantworten wir unter der oben genannten Adresse.

Eventlotse ist eine Planungshilfe für Feiern und Veranstaltungen. Wer ein Konto anlegt, plant damit sein eigenes Event: Aufgaben, Budget, Gäste, Dienstleister, Zeitplan.

Dabei treffen zwei Gruppen von Menschen aufeinander, und für beide gilt etwas anderes:

• Gastgeber legen ein Konto an und tragen ihre Planung ein, darunter auch Angaben über ihre Gäste.
• Gäste haben kein Konto. Sie kommen über einen Code auf ihre Einladungsseite und antworten dort.
• Dienstleister, Helfer und Partner kommen in der Planung vor, weil man mit ihnen zusammenarbeitet. Sie greifen selbst nicht auf die App zu.

Zum Anlegen eines Kontos brauchen wir eine E-Mail-Adresse und ein Passwort. Das Passwort wird nie im Klartext gespeichert, sondern nur als nicht umkehrbarer Prüfwert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Daten lässt sich kein Konto führen und die App nicht nutzen.

Zu einem Event gehört eine Gästeliste. Darin können stehen: Vor- und Nachname, Anschrift, Telefonnummer, E-Mail-Adresse, ob jemand zu- oder abgesagt hat, ob es sich um ein Kind handelt, der Essenswunsch, Angaben zu Allergien und Unverträglichkeiten, die Zuordnung zu einem Tisch sowie Notizen.

Diese Daten trägt der jeweilige Gastgeber ein. Er entscheidet, was er erfasst, und er ist dafür verantwortlich. Wir speichern sie und stellen die Werkzeuge dafür bereit.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Das berechtigte Interesse ist die Organisation der Veranstaltung, zu der die betroffenen Personen eingeladen sind.

Gäste erhalten mit ihrer Einladung einen Code. Damit gelangen sie auf eine Seite, auf der sie zusagen oder absagen, ihren Essenswunsch angeben, Allergien nennen und eine Nachricht hinterlassen können. Ein Konto ist dafür nicht nötig.

Die Seite zeigt ausschließlich die Angaben zur eigenen Einladung: den Namen des Haushalts, die zugehörigen Personen und die wenigen Angaben zum Fest. Andere Gäste, das Budget oder sonstige Planungsdaten sind dort nicht abrufbar.

Dazu kommt, was der Gastgeber für seine Gäste hinterlegt hat: ein Begrüßungstext, die Anschrift der Veranstaltung, Angaben zu Anfahrt, Dresscode, Übernachtung und Geschenken sowie die Programmpunkte, die er dafür einzeln freigegeben hat. Alles andere aus seinem Zeitplan bleibt unsichtbar.

Der Gastgeber kann außerdem ein Foto für den Kopf der Seite hochladen. Das ist freiwillig. Anders als alle übrigen Dateien liegt dieses eine Bild in einem öffentlich lesbaren Speicher, denn ein Gast ist nicht angemeldet und könnte es sonst nicht sehen. Wer die vollständige Adresse kennt, kann es also auch ohne Einladungscode abrufen. Die Adresse besteht aus zwei zufälligen Kennungen, ist nicht zu erraten und wird nirgends aufgelistet. Wir weisen den Gastgeber beim Hochladen darauf hin.

Wenn die Anschrift der Veranstaltung eingetragen ist, zeigt die Seite einen Link zu einer Kartensuche bei Google. Es ist ein einfacher Link und keine eingebettete Karte: Erst wenn ein Gast ihn anklickt, verbindet sich sein Browser mit Google. Solange er das nicht tut, fließen von dieser Seite keine Daten dorthin.

Wir halten fest, wann ein Code zum ersten Mal eingelöst wurde und wann eine Antwort einging. Das dient allein dem Gastgeber, damit er weiß, bei wem er noch nachfragen muss.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, mit Ausnahme der Allergien (siehe nächster Abschnitt).

Angaben zu Allergien und Unverträglichkeiten sind Gesundheitsdaten. Sie gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und werden deshalb besonders behandelt.

Die Angabe ist freiwillig. Wer das Feld leer lässt, kann trotzdem zusagen. Wer etwas einträgt, willigt damit ein, dass diese Angabe gespeichert und an den Gastgeber sowie von dort an das Catering weitergegeben wird, damit beim Essen darauf Rücksicht genommen werden kann. Rechtsgrundlage ist Art. 9 Abs. 2 lit. a DSGVO.

Die Einwilligung kann jederzeit widerrufen werden. Am einfachsten geht das über denselben Link: Das Feld leeren und die Antwort erneut abschicken. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Zu einer Veranstaltung gehören Menschen, mit denen man zusammenarbeitet. Auch über sie werden Angaben gespeichert:

• Dienstleister wie Fotografin, Caterer oder DJ: Name, Art der Leistung, Telefonnummer, E-Mail-Adresse, Website, Preise, Zahlungen und Notizen.
• Helferinnen und Helfer: Name, Aufgabe, Telefonnummer, E-Mail-Adresse, ein vereinbarter Stundensatz sowie die geplanten und tatsächlichen Arbeitszeiten je Tag. Daraus entsteht eine Abrechnung, die sich ausdrucken lässt.
• Sponsoren und Standbetreiber: Firma, Ansprechpartner, Telefonnummer, E-Mail-Adresse, vereinbarte Beträge und Sachleistungen.

Ein Teil dieser Angaben ist streng genommen kein personenbezogenes Datum: Der Name und die Anschrift einer GmbH gehören keinem Menschen. Sobald aber eine Person dahintersteht, also eine Einzelunternehmerin, ein freiberuflicher Fotograf oder eine namentlich genannte Ansprechpartnerin, sind es personenbezogene Daten, und dann gilt alles hier Beschriebene.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Anbahnung und Abwicklung eines Vertrags geht, und Art. 6 Abs. 1 lit. f DSGVO für die Pflege der geschäftlichen Kontakte. Das berechtigte Interesse ist die Organisation der Veranstaltung.

Helferdaten können in einer Kontaktkartei gespeichert werden, die nicht am einzelnen Event hängt, sondern am Konto. So muss jemand, der jedes Jahr an der Bar hilft, nicht jedes Mal neu erfasst werden. Diese Kartei wird gelöscht, wenn das Konto gelöscht wird, oder auf Verlangen der betroffenen Person.

Zu einem Event lassen sich Dateien ablegen, etwa Angebote, Verträge oder Rechnungen. Was darin steht, bestimmt allein derjenige, der sie hochlädt. Solche Dateien können personenbezogene Daten enthalten, zum Beispiel den Namen und die Anschrift eines Vertragspartners.

Die Dateien liegen im selben Speicher wie die übrigen Daten, also in Frankfurt am Main, und sind ausschließlich über das Konto erreichbar, zu dem das Event gehört. Ein öffentlicher Link entsteht dabei nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Wer eine Datei löscht, löscht sie vollständig, auch aus dem Speicher.

Im Normalfall sehen wir eure Eventdaten nicht. Wir haben keine Liste, in der wir eure Gäste, euer Budget oder eure Dokumente aufrufen könnten, und keinen Generalschlüssel, mit dem sich das umgehen ließe.

Es gibt genau eine Ausnahme, und ihr entscheidet darüber. Wenn ihr uns über den Support ein Problem meldet, können wir euch um Einsicht in genau dieses eine Event bitten. Wir müssen dabei einen Grund angeben, den ihr lesen könnt. Erst wenn ihr auf diese Anfrage hin freigebt, sehen wir etwas. Wir können uns die Einsicht nicht selbst erteilen.

Eine Freigabe umfasst die Inhalte des Events einschließlich der hochgeladenen Dokumente. Wir können währenddessen nur lesen, nichts ändern und nichts löschen. Die Freigabe endet nach 24 Stunden von allein, und ihr könnt sie jederzeit vorher mit einem Klick beenden.

Jeder Aufruf wird protokolliert, jeder geöffnete Bereich und jedes geöffnete Dokument einzeln. Dieses Protokoll steht in eurem Konto unter „Mein Konto“, ihr müsst es nicht anfordern. Auch Anfragen, die ihr abgelehnt habt, bleiben dort sichtbar.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um eure eigenen Daten geht. Soweit dabei Daten eurer Gäste sichtbar werden, handeln wir in eurem Auftrag nach Art. 28 DSGVO und auf eure Weisung.

Beim Aufruf der Seite fallen technische Daten an, wie sie im Internet üblich sind: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browsertyp. Sie entstehen beim Betrieb der Server, dienen der Sicherheit und der Fehlersuche und werden nicht mit anderen Daten zusammengeführt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Eventlotse setzt keine Cookies zu Werbe- oder Analysezwecken. Es gibt keine Zählpixel, keine Reichweitenmessung und keine Weitergabe an Werbenetzwerke. Deshalb gibt es auch kein Einwilligungsbanner.

Verwendet werden nur zwei Dinge, beide technisch notwendig: ein Cookie, das die Anmeldung eines Gastgebers aufrechterhält, und ein Eintrag im lokalen Speicher des Browsers, der sich merkt, ob die helle oder die dunkle Ansicht gewählt wurde.

Die verwendeten Schriften werden von unserem eigenen Server ausgeliefert. Es entsteht dabei keine Verbindung zu Google oder einem anderen Schriftanbieter.

Wir betreiben Eventlotse nicht auf eigenen Rechnern. Zwei Anbieter sind beteiligt, mit beiden bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO:

• Supabase (Supabase, Inc., San Francisco, USA) stellt die Datenbank und die Anmeldung bereit. Das Datenbankprojekt liegt in der Region eu-central-1, also in Frankfurt am Main.
• Vercel (Vercel, Inc., San Francisco, USA) betreibt die Server, auf denen die App läuft. Sie sind auf die Region fra1 festgelegt, ebenfalls Frankfurt am Main.

Die Daten werden also innerhalb der EU gespeichert und verarbeitet. Beide Unternehmen haben ihren Sitz in den USA, weshalb ein Zugriff aus einem Drittland nicht vollständig auszuschließen ist. Für diesen Fall gelten die Standardvertragsklauseln der EU-Kommission.

Für die Daten, die ein Gastgeber über seine Gäste einträgt, ist der Gastgeber selbst verantwortlich. Wird Eventlotse von Dritten genutzt, verarbeiten wir diese Daten in deren Auftrag. Dafür wird ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen.

Geschlossen wird er direkt im Konto, mit einem Häkchen beim ersten Öffnen der App. Art. 28 Abs. 9 DSGVO erlaubt das elektronische Format ausdrücklich, ein Ausdruck mit Unterschrift ist nicht nötig. Wir halten fest, wer wann welcher Fassung zugestimmt hat. Ändert sich der Vertrag, legen wir die neue Fassung vor.

Dafür speichern wir den Namen und die Anschrift, die ihr beim Abschluss angebt, dazu den Zeitpunkt und die Fassung des Vertrages. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, denn Art. 28 DSGVO verpflichtet uns zu diesem Vertrag. Diese Angaben bleiben so lange gespeichert, wie der Vertrag gilt, und werden mit dem Konto gelöscht.

Der Vertrag steht jederzeit zum Nachlesen und Ausdrucken bereit: Auftragsverarbeitungsvertrag. Er nennt auch die technischen Schutzmaßnahmen im Einzelnen.

Daten zu einem Event bleiben erhalten, solange das Konto und das Event bestehen. Das ist Absicht: Man schaut auch Jahre später noch nach, was damals was gekostet hat.

Wird ein Event gelöscht, verschwinden die zugehörigen Daten mit. Wird ein Konto gelöscht, verschwinden alle Events dieses Kontos. Unabhängig davon löschen wir auf Verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Ihr habt jederzeit das Recht auf

• Auskunft über die zu euch gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Eine Nachricht an info@bolle-events.de genügt. Seid ihr als Gast eingetragen und wisst nicht, wer euch eingetragen hat, schreibt uns trotzdem. Wir stellen den Kontakt her.

Ihr könnt euch bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist für uns:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2 bis 4
40213 Düsseldorf

Es findet keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO statt.

Wenn sich die App ändert, ändert sich diese Erklärung mit. Das Datum oben zeigt, wann sie zuletzt angepasst wurde.