events wird geladen…
Zum Inhalt springen
events
Anmelden EN

Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher

Rafael Alex
Ullsteinstraße 16
90763 Fürth
Deutschland

E-Mail: events@rafaelalex.de

2. Erhebung und Verarbeitung personenbezogener Daten

Ich erhebe und verarbeite personenbezogene Daten nur, soweit dies zur Bereitstellung meiner Dienste erforderlich ist.

2.1 Bei der Registrierung

  • Name
  • E-Mail-Adresse
  • Passwort (verschlüsselt gespeichert)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.2 Bei der Nutzung als Gast

  • Name (freiwillige Angabe)
  • E-Mail-Adresse (erforderlich bei Einladung durch Organisator; für Einladungs-E-Mails und Erinnerungen; Gäste ohne Konto erhalten zusätzlich bis zu zwei Folge-Mails zu einem kostenlosen Konto)
  • Anmeldestatus (Zu-/Absage)
  • Sternebewertung (1–5) nach dem Event (freiwillig; wird dem Veranstalter in einer Zusammenfassung mitgeteilt)
  • Ernährungshinweise und Allergien (freiwillig, sofern der Veranstalter danach fragt)
  • Angaben zu Begleitpersonen, die Sie als Gast eintragen (Name, bei Kindern optional Alter)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, Teilnahme am Event).

2.3 Social Login

Bei Anmeldung über Google, Facebook oder Apple erhalte ich: Name, E-Mail-Adresse und Profilbild-URL (Apple stellt kein Profilbild bereit). Zugangstokens verwerfe ich nach der Anmeldung; sie werden nicht gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Datenschutzerklärungen der Anbieter: Google, Meta/Facebook, Apple.

2.4 Push-Benachrichtigungen (optional)

Wenn Sie Push-Benachrichtigungen aktivieren, speichere ich einen technischen Subscription-Endpunkt Ihres Browsers (keine personenbezogenen Daten, lediglich eine zufällige URL des jeweiligen Browser-Push-Dienstes) sowie kryptografische Schlüssel zur Verschlüsselung der Nachrichten. In der nativen mobilen App werden Push-Benachrichtigungen über Firebase Cloud Messaging (FCM) (Google LLC) zugestellt. Dafür wird ein gerätespezifisches Token an Firebase übermittelt. Auf iOS werden Nachrichten über den Apple Push Notification Service (APNs) (Apple Inc.) weitergeleitet. Firebase verarbeitet Daten gemäß der Google-Datenschutzerklärung. Apple verarbeitet Daten gemäß der Apple-Datenschutzerklärung. Diese Daten werden ausschließlich zur Zustellung von Push-Benachrichtigungen verwendet und können jederzeit in den Benachrichtigungseinstellungen widerrufen werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

2.5 Mobile App (iOS und Android)

Mein Dienst ist als native iOS-App (App Store) und Android-App (Google Play) verfügbar. Dabei gilt folgende zusätzliche Datenverarbeitung: Kontaktezugriff: Bei erteilter Berechtigung kann die App auf Ihre Gerätekontakte zugreifen, um das Einladen von Gästen zu vereinfachen. Kontaktdaten werden nur zu diesem Zweck verwendet und nicht auf meinen Servern gespeichert. Kamera- und Fotozugriff: Bei erteilter Berechtigung können Sie Fotos direkt aus der Kamera oder Fotomediathek in ein Event hochladen. Bilder werden erst bei bewusstem Hochladen an meine Server übertragen. Kein Tracking: Die App verwendet weder App Tracking Transparency (iOS) noch Advertising ID (Android), es erfolgt keine plattformübergreifende Nachverfolgung. Plattformdienste: Google Play Services (Android, Basis-Funktionalität für Push-Benachrichtigungen) und Apple-Dienste (iOS, App-Attest und Push) verarbeiten technische Telemetriedaten gemäß den Datenschutzrichtlinien der jeweiligen Anbieter. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.6 Kinder-Events

Bei Events, die Kinder als Teilnehmer oder Begleitpersonen vorsehen, auch bei gemischten Events für Erwachsene und Kinder, können Kindername, optional das Alter sowie, je nach Einstellung des Veranstalters, die Telefonnummer eines Elternteils und eine Abholzeit erfasst werden. Diese Daten werden ausschließlich für die Organisation des jeweiligen Events verwendet und nach Event-Löschung entfernt. Die Eingabe erfolgt durch die Eltern oder den Veranstalter, nicht durch Kinder selbst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.7 Wichteln (Secret Santa)

Aktiviert ein Veranstalter das Wichteln-Modul, ermittelt der Dienst per Zufallszuweisung, wer wen beschenkt. Gespeichert wird ausschließlich die Zuordnung von schenkender zu beschenkter Person pro Event sowie optionale Ausschlusspaare (etwa Paare, die sich nicht gegenseitig ziehen sollen). Im Wichteln-Modus werden Wunschlisten-Einträge automatisch so eingeschränkt, dass nur die zugeloste schenkende Person die Wünsche der beschenkten Person sieht, nicht die übrigen Gäste. Die Zuordnung wird den Gästen über einen persönlichen Link mitgeteilt. Der zugehörige Zugangs-Token wird ausschließlich als SHA-256-Hash gespeichert; der Klartext existiert nur im versendeten Link. Bei einer Neuauslosung werden alle bisherigen Zuordnungen und Token ungültig. Mit Löschung des Events oder eines Gastes werden die zugehörigen Wichtel-Daten entfernt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, Teilnahme am Event).

3. Cookies

Ich verwende ausschließlich technisch notwendige Cookies:

  • Session-Cookie: Authentifizierung und CSRF-Schutz (Laufzeit: 120 Minuten)
  • XSRF-TOKEN: Schutz vor Cross-Site-Request-Forgery (Laufzeit: Session)
  • Gast-Token: Wiedererkennung von Gästen ohne Account (Laufzeit: 90 Tage)
  • Remember-Me: Optionale Daueranmeldung bei aktiver Auswahl durch den Nutzer (Laufzeit: 5 Jahre)

Da ausschließlich technisch notwendige Cookies verwendet werden, ist keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG).

4. Zahlungsabwicklung

Für kostenpflichtige Funktionen nutze ich Stripe (Stripe, Inc.) als Zahlungsdienstleister. Stripe ist unter dem EU-US Data Privacy Framework zertifiziert. Bei einem Kauf werden Ihre Zahlungsdaten (Kreditkartendaten, Rechnungsadresse) direkt von Stripe erhoben und verarbeitet. Ich speichere keine vollständigen Zahlungsdaten, lediglich eine Stripe-Kunden-ID und Transaktionsreferenzen. Stripe verarbeitet Daten gemäß ihrer Datenschutzerklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Veranstalter, die kostenpflichtige Tickets anbieten, verbinden ihr eigenes Stripe-Express-Konto über Stripe Connect. Dabei erhebt Stripe die persönlichen und bankbezogenen Daten des Veranstalters (Name, IBAN/Bankverbindung, Steueridentifikation) direkt im Rahmen des Onboardings. Ich speichere diese Finanzdaten nicht, lediglich eine Stripe-Connect-Konto-ID. Dieses Stripe-Konto lösche ich bei einer Kontolöschung nicht mit, weil darüber noch Auszahlungen und Erstattungen laufen können; der Veranstalter kann es bei Bedarf direkt bei Stripe schließen, dort gelten die Aufbewahrungs- und Löschregeln von Stripe. Gästezahlungen für Tickets werden direkt über das verbundene Stripe-Konto des Veranstalters abgewickelt; ich erhalte ausschließlich eine Plattformgebühr. In der nativen mobilen App werden In-App-Käufe (Event-Credits, Lifetime-Zugang) über den jeweiligen App-Store (Apple App Store bzw. Google Play) abgewickelt. Ich nutze RevenueCat (RevenueCat, Inc., USA) zur Verwaltung von In-App-Käufen. RevenueCat ist unter dem EU-US Data Privacy Framework zertifiziert. RevenueCat erhält eine anonymisierte App-User-ID und Kaufbelege. Zahlungsdaten werden ausschließlich vom App Store verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Weitere Informationen: revenuecat.com/privacy. Veranstalter können für Ticketzahlungen alternativ einen PayPal.Me-Benutzernamen hinterlegen; Gäste werden dann zur direkten Zahlung via PayPal geleitet. Ich speichere dafür den Benutzernamen und einen anonymisierbaren Link-Schnappschuss pro erstelltem Ticket. Veranstalter können in den Event-Einstellungen außerdem einen beliebigen externen HTTPS-Zahlungs- oder Pool-Link mit einer optionalen Beschriftung hinterlegen. Ich speichere diese Angaben als Teil der Event-Einstellungen. Beim Öffnen eines externen Links verlassen Gäste den Dienst; der jeweilige Drittanbieter verarbeitet die beim Aufruf und bei einer Zahlung anfallenden Daten nach seinen eigenen Datenschutzbestimmungen. Ich verarbeite und erfasse diese externen Zahlungen nicht. Der Veranstalter ist für das verlinkte Ziel verantwortlich.

5. E-Mail-Versand (Resend)

Für den Versand von E-Mails (Einladungen, Erinnerungen, Benachrichtigungen, Passwort-Reset) nutze ich Resend (Resend, Inc., USA). Dabei werden E-Mail-Adresse, Name und Nachrichteninhalt an Resend übermittelt. Resend ist unter dem EU-US Data Privacy Framework zertifiziert. Es besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Zustellung von Benachrichtigungen). Weitere Informationen: resend.com/legal/privacy-policy

Antwortadresse (Reply-To) bei Event-Mails: Bei Einladungen, Erinnerungen und Benachrichtigungen rund um ein Event setze ich die persönliche E-Mail-Adresse des Veranstalters als Reply-To. Antwortet ein Gast direkt auf eine solche E-Mail, geht die Antwort an den Veranstalter und nicht an mich. Für Gäste ist die E-Mail-Adresse des Veranstalters daher im Mail-Programm sichtbar. Veranstalter, die ihre persönliche Adresse nicht offenlegen möchten, können stattdessen mit einer separaten E-Mail-Adresse (z. B. einem Alias) ein Konto anlegen.

6. Datenweitergabe und Auftragsverarbeitung

Personenbezogene Daten werden nicht an Dritte weitergegeben, es sei denn, dies ist zur Erbringung meiner Dienste erforderlich. Folgende Auftragsverarbeiter werden eingesetzt: E-Mail-Versand (Resend), Zahlungsabwicklung (Stripe), In-App-Kaufverwaltung (RevenueCat), Push-Benachrichtigungen (Firebase Cloud Messaging, Apple Push Notification Service), Fehler-Monitoring (Sentry). Mit allen Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO. Für US-Dienstleister (Stripe, Resend, Sentry, Google/Firebase, RevenueCat) besteht ein angemessenes Datenschutzniveau durch Zertifizierung im EU-US Data Privacy Framework und/oder Standardvertragsklauseln (SCCs).

7. Datenlöschung und Aufbewahrungsfristen

Registrierte Nutzer können ihr Konto und alle zugehörigen Daten jederzeit in den Kontoeinstellungen löschen. Bei Kontolöschung werden persönliche Daten sofort anonymisiert oder gelöscht. Die eigenen Events des Nutzers werden dabei sofort endgültig entfernt, einschließlich hochgeladener Bilder. Fotos, die der Nutzer in Events anderer hochgeladen hat, werden gelöscht. Kommentare und Reaktionen in Events anderer bleiben ohne Namen erhalten, damit Unterhaltungen lesbar bleiben. Fahrgemeinschaften, Übernachtungsangebote und Gesuche, die der Nutzer in Events anderer angeboten hat, werden gelöscht; Mitfahr- und Übernachtungsanfragen sowie Benachrichtigungen, Push-Abonnements und API-Token des Nutzers ebenfalls. Bei einer Kontolöschung erhält der Betreiber außerdem eine interne Benachrichtigung: Die E-Mail nennt Name und E-Mail-Adresse des gelöschten Kontos und unterliegt der Aufbewahrung des Betreiber-Postfachs, die Benachrichtigung in der App enthält nur den Namen und wird 90 Tage nach dem Lesen automatisch entfernt.

Aufbewahrungsfristen im Überblick:

  • Event-Daten: Löscht ein Gastgeber ein Event, wird es 90 Tage vorgehalten und dann endgültig entfernt. Bei Kontolöschung werden die eigenen Events sofort entfernt.
  • Gast-Daten: werden bei Kontolöschung anonymisiert. Entfernt werden Name, E-Mail und alle freiwilligen Zusatzangaben, also Ernährungshinweise und Allergien, Angaben zu Begleitpersonen sowie bei Kinder-Events Kindername, Telefonnummer des Elternteils und Abholzeit
  • Zahlungsdaten, einschließlich App-Store-Kaufbelegen: 10 Jahre (gesetzliche Aufbewahrungspflicht nach § 147 AO, § 257 HGB), nach Kontolöschung ohne Bezug zum Konto
  • Server-Logfiles: 14 Tage
  • Fehler-Logs (Sentry): 90 Tage

8. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

  • Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die von mir verarbeiteten Daten verlangen.
  • Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
  • Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
  • Einschränkungsrecht (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
  • Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem maschinenlesbaren Format anfordern. Dies ist in den Kontoeinstellungen unter „Datenexport“ möglich.
  • Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f (berechtigtes Interesse) jederzeit widersprechen.
  • Widerrufsrecht (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung (z. B. Push-Benachrichtigungen, Kontaktezugriff) können Sie jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
  • Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständige Behörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Für die Ausübung Ihrer Rechte kontaktieren Sie mich unter events@rafaelalex.de.

9. Automatisierte Entscheidungsfindung

Ich verwende keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO.

10. Webanalyse (Rybbit Analytics)

Diese Anwendung nutzt Rybbit Analytics, einen datenschutzfreundlichen Webanalysedienst, gehostet auf Servern in Deutschland (Betreiber der Instanz: maki-it.de). Rybbit ist vollständig cookieless und DSGVO-konform. Es werden keine personenbezogenen Daten gesammelt und keine Cookies gesetzt. Die Analyse erfolgt vollständig anonymisiert ohne Tracking einzelner Nutzer.

Gemäß § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) ist für diese Art der Analyse keine Einwilligung erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der Analyse des Nutzerverhaltens zur Optimierung der Anwendung). Weitere Informationen: rybbit.io

11. Server-Logfiles

Der Hosting-Provider erhebt bei jedem Seitenaufruf automatisch Informationen in Server-Logfiles, die Ihr Browser übermittelt: IP-Adresse, aufgerufene URL, Datum und Uhrzeit des Zugriffs, HTTP-Statuscode, übertragene Datenmenge, Referrer-URL, Browser-Typ und Betriebssystem. Diese Daten werden ausschließlich zur Sicherstellung eines störungsfreien Betriebs und zur Missbrauchserkennung verwendet. Eine Zusammenführung mit anderen Datenquellen erfolgt nicht. Die Logfiles werden nach 14 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Betriebssicherheit).

12. Fehler-Monitoring (Sentry)

Diese Anwendung nutzt Sentry (Functional Software, Inc., USA) zur Erkennung und Analyse technischer Fehler. Sentry ist unter dem EU-US Data Privacy Framework zertifiziert. Bei einem Anwendungsfehler werden technische Daten wie Fehlermeldungen, Stack Traces und aufgerufene URL übermittelt. Personenbezogene Daten (IP-Adressen, Passwörter, Tokens, E-Mail-Adressen, Namen) werden vor der Übermittlung automatisch entfernt. Die Verarbeitung erfolgt auf Servern in der EU (Frankfurt). Fehler-Logs werden nach 90 Tagen gelöscht. Es besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der Betriebsstabilität und Fehlerbeseitigung). Weitere Informationen: sentry.io/privacy

13. Standortsuche und Entfernungsangaben (OpenStreetMap)

Für die Standortsuche und die Anzeige von Entfernungen nutzt diese Anwendung die Nominatim-API der OpenStreetMap Foundation (OSMF, Großbritannien: EU-Angemessenheitsbeschluss vorhanden). Übermittelt werden dabei die eingegebene Adresse bei Events, Fahrten und Übernachtungen sowie optional der Ort einer Suchanfrage (Gesuch), jeweils ohne Namen. Die Anfrage an Nominatim läuft über meinen Anwendungsserver, sodass nicht Ihre IP-Adresse, sondern nur die meines Servers an die OSMF-Server übertragen wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung einer Standortsuche und Entfernungsanzeige). Weitere Informationen: osmfoundation.org/wiki/Privacy_Policy

14. Kartenkacheln (OpenStreetMap)

Öffnen Sie bei einer Fahrt oder Übernachtung „Auf Karte zeigen“, lädt Ihr Browser die Kartenkacheln direkt von den Servern von tile.openstreetmap.org (OpenStreetMap Foundation, Großbritannien: EU-Angemessenheitsbeschluss vorhanden). Dabei werden Ihre IP-Adresse und Ihr Browser-User-Agent an die OSMF-Server übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung einer Kartenansicht). Weitere Informationen: osmfoundation.org/wiki/Privacy_Policy

15. Hosting

Diese Website wird bei Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) auf Servern in der EU gehostet. Es besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Die Datenübertragung erfolgt verschlüsselt über HTTPS. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen Bereitstellung des Dienstes).