Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher und Kontakt

Verantwortlich für die in dieser Datenschutzerklärung beschriebenen Verarbeitungen ist:

Aller Ende Anfang UG (haftungsbeschränkt)
Mollstraße 1a
10178 Berlin
Deutschland
Geschäftsführer: Jason Salomon Rinnert
Registergericht: Amtsgericht Berlin-Charlottenburg, HRB 219805 B

Weitere Angaben finden Sie im Impressum.

Wir betreiben die Software „Eventium“ (Eventium Suite) und die Website, auf der Sie diese Erklärung lesen (zusammen „Eventium“, „wir“, „uns“).

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter datenschutz@eventium.app, unter info@allerendeanfang.de oder postalisch unter der oben genannten Anschrift.

2. Überblick: unsere zwei Rollen

Eventium ist eine Software für Unternehmen, die in Projekten arbeiten (zum Beispiel Eventagenturen, Locations, Caterer, Technik- und Verleihbetriebe, Agenturen und andere Dienstleister). Dabei verarbeiten wir personenbezogene Daten in zwei grundlegend verschiedenen Rollen.

2.1 Wir als Verantwortliche

Für die Daten, die wir für eigene Zwecke verarbeiten, sind wir selbst verantwortlich. Dazu gehören der Besuch unserer Website, die Warteliste, Ihre Kontaktaufnahme mit uns, die Registrierung und das Nutzerkonto, das Abonnement und dessen Abrechnung, unsere Systemnachrichten, der Support, die Sicherheit der Plattform sowie die Erfassung des Verbrauchs für die Abrechnung. Diese Verarbeitungen beschreiben die Abschnitte 4 bis 17, soweit dort nicht ausdrücklich eine Verarbeitung im Auftrag einer Organisation genannt ist (etwa bei KI-Funktionen in Abschnitt 15 und bei Firmenlogos in Abschnitt 16).

2.2 Wir als Auftragsverarbeiter

Unsere Kunden (die Organisationen, die Eventium nutzen) verwalten in Eventium eigene Daten: zum Beispiel Kontakte und Firmen in der Kundenverwaltung, Projekte, Angebote, Rechnungen, Dienstpläne und Zeiten ihrer Mitarbeitenden, Nachrichten und E-Mails, Dateien, Daten im Kundenportal und in Website-Anfragen sowie Eingaben in KI-Funktionen. Für diese Daten ist die jeweilige Organisation Verantwortliche; wir verarbeiten sie ausschließlich in ihrem Auftrag und nach ihren Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Näheres, insbesondere für Kunden unserer Kunden, finden Sie in Abschnitt 18.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Bei den einzelnen Verarbeitungen nennen wir die jeweils maßgebliche Rechtsgrundlage:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung;
• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags mit Ihnen oder Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage;
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung einer rechtlichen Verpflichtung, insbesondere handels- und steuerrechtlicher Aufbewahrungspflichten;
• Art. 6 Abs. 1 lit. f DSGVO – Wahrung unserer berechtigten Interessen oder der berechtigten Interessen Dritter, sofern nicht Ihre Interessen, Grundrechte und Grundfreiheiten überwiegen;
• § 25 Abs. 1 TDDDG – Einwilligung in das Speichern von Informationen auf Ihrem Endgerät oder den Zugriff darauf;
• § 25 Abs. 2 Nr. 2 TDDDG – Speichern und Zugriff, soweit dies unbedingt erforderlich ist, damit wir einen von Ihnen ausdrücklich gewünschten digitalen Dienst bereitstellen können.

Eventium richtet sich ausschließlich an Unternehmen. Soweit wir Daten von Ansprechpartnern, Mitarbeitenden oder sonstigen Nutzern unserer Kunden verarbeiten, die nicht selbst unsere Vertragspartner sind, stützen wir dies auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, unseren Vertrag mit dem jeweiligen Kunden zu erfüllen und dessen Nutzern den vereinbarten Zugang bereitzustellen.

Soweit wir Daten nicht bei Ihnen selbst erheben, stammen sie von der Organisation, die Sie eingeladen oder als Ansprechpartner hinterlegt hat, von Partnern im Dienstleister-Netzwerk oder, bei Zahlungsdaten, von Stripe.

4. Aufruf der Website und der Anwendung

Hosting und Auslieferung. Unsere Website und die Anwendung werden über die Plattform der Vercel Inc. (USA) ausgeliefert. Die serverseitigen Funktionen der Anwendung laufen in der Vercel-Region Frankfurt am Main. Statische Inhalte werden über das weltweite Auslieferungsnetz (CDN) von Vercel bereitgestellt; welcher Netzknoten eine Anfrage beantwortet, hängt von Ihrem Standort ab.

Datenbank, Anmeldung, Dateispeicher und Echtzeit-Funktionen (zum Beispiel das gleichzeitige Bearbeiten und Anwesenheitsanzeigen) betreiben wir bei der Supabase Inc. (USA); unser Datenbankprojekt liegt in der Region Frankfurt am Main (EU).

Server-Protokolle. Bei jedem Aufruf verarbeiten unsere Dienstleister technisch notwendige Daten, die Ihr Browser übermittelt:

• IP-Adresse,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Adresse (URL) und übertragene Datenmenge,
• Referrer-URL (die zuvor besuchte Seite), soweit übermittelt,
• Browsertyp und -version, Betriebssystem,
• Statuscode der Antwort.

Zweck: Auslieferung der Website und der Anwendung, Gewährleistung von Stabilität und Sicherheit, Erkennung und Abwehr von Angriffen und Fehlern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und funktionsfähigen Bereitstellung); soweit dabei Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, § 25 Abs. 2 Nr. 2 TDDDG.

Speicherdauer: Server-Protokolle werden höchstens 30 Tage aufbewahrt, es sei denn, ein konkreter Sicherheitsvorfall erfordert eine längere Aufbewahrung zur Aufklärung; dann bis zu dessen Abschluss.

Empfänger: Vercel Inc. (USA) und Supabase Inc. (USA) als Auftragsverarbeiter. Zur Übermittlung in die USA siehe Abschnitt 20.

Schriften werden von unseren eigenen Servern geladen; dabei werden keine Daten an Schriftenanbieter übermittelt.

5. Reichweitenmessung mit Vercel Analytics

Wir nutzen Vercel Analytics der Vercel Inc. (USA), um die Nutzung unserer Website und Anwendung in zusammengefasster Form auszuwerten (zum Beispiel welche Seiten wie häufig aufgerufen werden). Dabei werden verarbeitet: aufgerufene Seite (URL-Pfad), Referrer, Gerätekategorie, Browser und Betriebssystem sowie das Land bzw. die Region des Zugriffs.

Vercel Analytics setzt keine Cookies, greift aber zur Messung auf Angaben Ihres Browsers zu. Nach den Angaben von Vercel werden IP-Adressen nicht gespeichert; Besuche werden nicht über mehrere Tage oder Websites hinweg einer Person zugeordnet. Auf Seiten, deren Adresse Zugangsschlüssel enthält (zum Beispiel Kundenportal und Gastzugänge), übermitteln wir die Adresse nur ohne diese Schlüssel.

Zweck: Verbesserung unseres Angebots und Fehlererkennung anhand zusammengefasster Nutzungsstatistiken.

Rechtsgrundlage: Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie über die Cookie-Einstellungen erteilen und jederzeit mit Wirkung für die Zukunft widerrufen können. Ohne Einwilligung wird Vercel Analytics nicht geladen.

Speicherdauer: Wir erhalten von Vercel nur zusammengefasste Statistiken, keine einzelnen Aufrufe. Diese Statistiken stehen uns nur für den Zeitraum zur Verfügung, den unser Vertrag mit Vercel für die Auswertung vorsieht; danach löscht Vercel sie. Wir exportieren und speichern keine Rohdaten.

Empfänger: Vercel Inc. (USA) als Auftragsverarbeiter; zur Übermittlung in die USA siehe Abschnitt 20.

6. Cookies und vergleichbare Technologien

Wir verwenden Cookies sowie den lokalen Speicher Ihres Browsers (Local Storage und Session Storage). Beim ersten Besuch zeigen wir Ihnen einen Hinweis zur Einwilligungsverwaltung. Ihre Auswahl können Sie jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile ändern; im Kundenportal stellen unsere Kunden die Einstellungen in ihrem eigenen Erscheinungsbild bereit.

6.1 Unbedingt erforderliche Technologien

Ohne sie können Sie sich nicht anmelden oder die Anwendung nicht bedienen. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG; für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Beim Abmelden löscht die Anwendung den lokalen Speicher und den Zwischenspeicher des Browsers mit Ausnahme der Anmelde- und Einwilligungsdaten.

6.2 Reichweitenmessung

Vercel Analytics (Abschnitt 5) setzt keine Cookies, greift aber zur Messung auf Angaben Ihres Browsers zu; es wird nur mit Ihrer Einwilligung geladen.

6.3 Marketing und funktionale Zusatzdienste

Derzeit setzen wir keine Dienste für Marketing oder funktionale Zusatzzwecke ein. Soweit die Einwilligungsverwaltung Kategorien wie „Marketing“ oder „Funktional“ aufführt, sind die dort genannten Dienste nicht aktiv und werden auch bei erteilter Einwilligung nicht geladen. Sollten wir solche Dienste künftig einsetzen, werden sie ausschließlich nach Ihrer vorherigen Einwilligung geladen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), und wir ergänzen diese Datenschutzerklärung vor der Aktivierung.

7. Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, soweit angegeben, und den Inhalt Ihrer Nachricht, um Ihr Anliegen zu bearbeiten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag mit uns oder dessen Anbahnung zielt; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: bis zur abschließenden Bearbeitung; handelt es sich um Geschäftsbriefe, für die Dauer der gesetzlichen Aufbewahrungsfristen (Abschnitt 21).

8. Warteliste und Interesse am Dienstleister-Netzwerk

Über unsere Warteliste können Sie sich vormerken lassen, entweder um Eventium zu nutzen oder um dem Dienstleister-Netzwerk beizutreten. Wir verarbeiten dabei Ihren Namen, Ihre E-Mail-Adresse und Ihre Telefonnummer, optional Ihren Firmennamen und Ihre Branche, die gewählte Interessenrichtung sowie den Zeitpunkt und die Fassung Ihrer Einwilligung. Zum Schutz vor automatisierten Eintragungen nutzen wir ein unsichtbares Prüffeld und begrenzen die Zahl der Eintragungen je IP-Adresse; die IP-Adresse wird dafür nur kurzzeitig im Arbeitsspeicher gehalten und nicht dauerhaft gespeichert. Nach der Eintragung senden wir Ihnen eine Bestätigung per E-Mail.

Zweck: Information über den Start und Kontaktaufnahme per E-Mail und Telefon zu Ihrer Anmeldung.

Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: bis Sie Ihre Einwilligung widerrufen oder sich der Zweck erledigt hat, etwa weil Sie ein Kundenkonto eröffnet haben oder uns mitteilen, dass Sie kein Interesse mehr haben.

Empfänger: Supabase (Speicherung), Resend (Bestätigungs-E-Mail).

9. Registrierung, Nutzerkonto und Organisation

Für die Nutzung von Eventium legen Sie ein Nutzerkonto und eine Organisation an oder werden von einer Organisation eingeladen. Wir verarbeiten:

• Kontodaten: E-Mail-Adresse, Passwort (ausschließlich als Hash gespeichert), Vor- und Nachname, optional Telefonnummer, Profilbild und Geburtsdatum;
• Organisationsdaten: Firmenname, Anschrift, Umsatzsteuer-Identifikationsnummer, Telefonnummer, Logo, gewählte Subdomain;
• Mitgliedschaftsdaten: Zugehörigkeit zu Organisationen, Rolle und Rechte, Sitzart, Status (aktiv/deaktiviert);
• Nachweise: Zeitpunkt, zu dem Sie bei der Registrierung die AGB bestätigt, diese Datenschutzerklärung zur Kenntnis genommen, Ihre Unternehmereigenschaft bestätigt und der Testphasen-Bedingung zugestimmt haben, jeweils mit der Fassung des bestätigten Texts; Fassung, Zeitpunkt und annehmende Person beim Abschluss des Auftragsverarbeitungsvertrags.

Zweck: Einrichtung und Verwaltung des Zugangs, Zuordnung zur Organisation, Durchsetzung von Rechten und Rollen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Nutzern, die nicht selbst unsere Vertragspartner sind, Art. 6 Abs. 1 lit. f DSGVO (Abschnitt 3); für die Nachweise Art. 6 Abs. 1 lit. f DSGVO (Nachweis des Vertragsschlusses und der Zustimmungen).

Speicherdauer: für die Dauer der Mitgliedschaft bzw. des Vertrags. Gehört ein Nutzerkonto keiner Organisation mehr an oder löschen Sie Ihr Konto, informieren wir Sie per E-Mail; nach 30 Tagen wird das Konto gelöscht. Personalstammdaten löschen wir, sobald die Person keiner Organisation mehr angehört. Nachweise bewahren wir auf, solange Ansprüche aus dem Vertrag geltend gemacht werden können.

10. Abonnement, Testphase und Abrechnung

Abonnement, Testphase, Zahlungen und unsere Rechnungen wickeln wir über Stripe ab (Stripe Payments Europe, Limited, Dublin, Irland). Beim Abschluss leiten wir Sie auf eine Bezahlseite von Stripe weiter; dort erfassen Sie Rechnungsanschrift, Steuernummer bzw. Umsatzsteuer-Identifikationsnummer und Ihr Zahlungsmittel. Die Verwaltung des Abonnements (Zahlungsmittel ändern, Rechnungen abrufen, kündigen) erfolgt über das Kundenportal von Stripe. Vollständige Kartendaten erhalten wir nicht; sie werden ausschließlich von Stripe verarbeitet.

Wir verarbeiten: Organisation und Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, gewählten Tarif, Zahlungsintervall, Anzahl und Art der Sitze, Verbrauch (Abschnitt 14), Zahlungsstatus, Rechnungen und Gutschriften sowie die Stripe-Kundenkennung.

Zweck: Vertragsdurchführung, Abrechnung, Forderungsmanagement, Erfüllung steuer- und handelsrechtlicher Pflichten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO, § 257 HGB und § 14 UStG.

Empfänger: Stripe als Zahlungsdienstleister. Für die Zahlungsabwicklung und zur Erfüllung eigener gesetzlicher Pflichten (etwa zur Geldwäsche- und Betrugsprävention) handelt Stripe in eigener Verantwortung; für die Abonnement- und Rechnungsverwaltung ist Stripe unser Auftragsverarbeiter. Informationen zur Datenverarbeitung durch Stripe finden Sie unter https://stripe.com/de/privacy. Darüber hinaus erhalten unsere Steuerberatung und die Finanzverwaltung Abrechnungsdaten, soweit dies gesetzlich erforderlich ist.

Speicherdauer: siehe Abschnitt 21 (Abrechnungsdaten nach Vertragsende bis zum Ablauf der gesetzlichen Aufbewahrungsfristen).

Zahlungen der Kunden unserer Kunden. Soweit diese Funktion freigeschaltet ist, können Organisationen über Eventium Online-Zahlungen ihrer eigenen Kunden über ein eigenes Stripe-Konto entgegennehmen. Vertragspartner von Stripe ist dann die Organisation; für die Daten der Zahlenden ist die Organisation verantwortlich (Abschnitt 18).

11. Systemnachrichten und transaktionale E-Mails

Wir senden Ihnen E-Mails, die zur Nutzung erforderlich sind, zum Beispiel Einladungen, Anmelde- und Sicherheitsnachrichten, Hinweise zur Testphase und zum Abonnement, Benachrichtigungen aus der Anwendung, Hinweise zur Löschung einer Organisation mit Löschdatum und Export-Link (an Inhaber und Administratoren) sowie Bestätigungen. Werbliche Newsletter versenden wir nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Nutzern, die nicht selbst Vertragspartner sind, Art. 6 Abs. 1 lit. f DSGVO.

Empfänger: Resend (Plus Five Five, Inc., USA) als Versanddienst.

Speicherdauer: Versandprotokolle für die Dauer des Vertrags; nach Löschung einer Organisation werden Nachrichteninhalte im Versandprotokoll sofort unkenntlich gemacht und die Empfängeradressen nach 90 Tagen gelöscht.

12. Support und Support-Zugriff

Wenn Sie sich mit einer Frage oder Störung an uns wenden, verarbeiten wir Ihre Kontaktdaten, Ihr Anliegen und – soweit für die Lösung nötig – Informationen aus Ihrem Konto.

Zur Analyse und Behebung von Störungen kann unsere Plattform-Administration die Anwendung vorübergehend aus der Sicht eines Nutzers aufrufen („Support-Zugriff“). Ein Support-Zugriff ist zeitlich auf 30 Minuten je Sitzung begrenzt und wird mit Begründung protokolliert: handelnde Administratorin bzw. handelnder Administrator, betroffenes Nutzerkonto und Organisation, Grund, Beginn und Ende sowie die IP-Adresse der Administration. Inhalte, die wir während eines Support-Zugriffs sehen, verarbeiten wir im Auftrag der Organisation (Abschnitt 18).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Support im Rahmen des Vertrags); für das Protokoll Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit und Kontrolle privilegierter Zugriffe) sowie Art. 6 Abs. 1 lit. c in Verbindung mit Art. 32 DSGVO.

Speicherdauer: Support-Vorgänge bis zur Erledigung, danach nach Abschnitt 21; das Protokoll der Support-Zugriffe ein Jahr.

13. Sicherheit, Missbrauchsabwehr und Plattform-Administration

Zum Schutz der Plattform begrenzen wir die Zahl von Anfragen an öffentliche Schnittstellen (zum Beispiel Warteliste, Anfrageformulare, Kundenportal); die dafür verwendete IP-Adresse wird nur im Arbeitsspeicher gehalten. Anmeldungen an der Plattform-Administration werden mit E-Mail-Adresse, IP-Adresse, Zeitpunkt und Ergebnis protokolliert, um Angriffe durch wiederholtes Ausprobieren von Passwörtern zu erkennen und abzuwehren; Sitzungen der Plattform-Administration werden mit IP-Adresse und Browserkennung gespeichert. Verstöße gegen unsere AGB und Missbrauch der Plattform verfolgen wir anhand der dafür erforderlichen Daten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Systeme und der Abwehr von Missbrauch) sowie Art. 6 Abs. 1 lit. c in Verbindung mit Art. 32 DSGVO.

Speicherdauer: Protokolle von Anmeldeversuchen und Sitzungen der Plattform-Administration höchstens 90 Tage, bei konkreten Vorfällen bis zu deren Abschluss einschließlich etwaiger Rechtsverfolgung.

14. Nutzungs- und Verbrauchserfassung

Für die Abrechnung erfassen wir je Organisation die Zahl und Art der Sitze sowie den Verbrauch von KI-Funktionen (zum Beispiel Funktion, Zeitpunkt, verwendetes Modell, Umfang der Anfrage und Kosten). Inhalte der KI-Anfragen gehören nicht zu dieser Verbrauchserfassung. Den Verbrauch zeigen wir der Organisation im Kundenkonto an; hat die Organisation ein Kostenlimit festgelegt, versenden wir Hinweise zu diesem Limit über die Benachrichtigungen der Anwendung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Abrechnungsunterlagen Art. 6 Abs. 1 lit. c DSGVO.

Speicherdauer: für die Dauer des Vertrags; abrechnungsrelevante Daten bis zum Ablauf der gesetzlichen Aufbewahrungsfristen.

Zusätzlich erfassen wir technische Nutzungs- und Betriebsdaten wie aufgerufene Funktionen, Zeitpunkte sowie Fehler- und Leistungsdaten. Wir nutzen sie zur Fehlerbehebung, zur Sicherheit und zur Kapazitätsplanung (Art. 6 Abs. 1 lit. f DSGVO) und werten sie für die Weiterentwicklung von Eventium nur zusammengefasst und anonymisiert aus.

15. KI-Funktionen

Eventium bietet an vielen Stellen KI-gestützte Funktionen an, etwa Diktat und Transkription von Sprachaufnahmen, Textentwürfe für Nachrichten, Zusammenfassungen, Aufgabenerkennung, Auswertung von Dokumenten und importierten Webseiten, Layoutvorschläge im Raumplaner, Bild- und Grafikerzeugung, einen Hilfe-Chat sowie KI-gestützte Assistenten und Automationen. Je nach Funktion werden die dafür nötigen Inhalte an einen KI-Anbieter übermittelt, zum Beispiel eingegebener oder diktierter Text, Sprachaufnahmen beim Diktat, Projekt-, Kontakt- und Aufgabendaten, Nachrichten- und E-Mail-Inhalte, Dokumente oder Bilder. Diese Inhalte können personenbezogene Daten enthalten.

Anbieter:

• Anthropic (Textmodelle; Anthropic, PBC, USA),
• OpenAI (Text- und Einbettungsmodelle, Transkription von Sprachaufnahmen; OpenAI Ireland Ltd., Irland, mit möglicher Verarbeitung in den USA),
• Google (Gemini-Modelle für Bild- und Grafikerzeugung; Google LLC, USA, bzw. bei Anbindung über das Vercel AI Gateway Vercel Inc. als Vermittler),
• Vercel AI Gateway (Vercel Inc., USA) als Vermittlungsschicht.

Anfragen werden je Funktion entweder über das Vercel AI Gateway oder direkt an den Anbieter geleitet. Für Anfragen, die über das Vercel AI Gateway geleitet werden, haben wir die Einstellung „Zero Data Retention“ aktiviert. Das Gateway leitet diese Anfragen dann nur an Modellanbieter weiter, die nach den Bedingungen von Vercel Anfrageinhalte nicht über die Bearbeitung hinaus speichern; Vercel sieht für einzelne Funktionen Ausnahmen vor. Zur Beschleunigung wiederholter Anfragen können Anbieter Teile von Anfragen kurzzeitig zwischenspeichern (Caching). Assistenten- und Agentenfunktionen sowie die Transkription von Sprachaufnahmen werden direkt an den jeweiligen Anbieter übermittelt. Bei direkter Anbindung bewahrt der Anbieter Anfrageinhalte nach seinen Bedingungen befristet zur Missbrauchserkennung auf, soweit für unser Konto keine kürzere Aufbewahrung eingestellt ist; die jeweils geltende Frist ergibt sich aus den Datenkontrollen unseres Anbieterkontos und ist in unserer Verarbeitungsdokumentation festgehalten. Auf Anfrage an datenschutz@eventium.app teilen wir Ihnen die Fristen mit. Wir selbst verwenden die Inhalte unserer Kunden nicht, um KI-Modelle zu trainieren.

Rolle und Rechtsgrundlage: Soweit KI-Funktionen Inhalte einer Organisation verarbeiten, handeln wir als Auftragsverarbeiter der Organisation und die Anbieter als unsere Unterauftragsverarbeiter (Abschnitt 18). Soweit Sie den Hilfe-Chat zu Fragen über Eventium nutzen, verarbeiten wir Ihre Eingaben zur Beantwortung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Organisationen können ausgewählte KI-Funktionen in den Einstellungen unter „KI“ steuern; nicht jede Funktion lässt sich einzeln abschalten.

Ergebnisse von KI-Funktionen sind Vorschläge. Sie werden von den Nutzern geprüft, übernommen oder verworfen; die KI trifft keine Entscheidungen mit rechtlicher Wirkung gegenüber Personen (Abschnitt 23).

16. Firmenlogos in der Anwendung

Hinterlegen Nutzer einer Organisation bei einer Firma in der Kundenverwaltung eine Website oder E-Mail-Adresse, ermittelt Eventium automatisch ein passendes Logo. Dazu fragen unsere Server anhand des Domainnamens der Firma beim Logo-Dienst logo.dev (Logo.dev, USA) und, falls dort kein Logo gefunden wird, beim Favicon-Dienst von Google an. Dabei wird nur der Domainname übermittelt. Das gefundene Logo lädt anschließend Ihr Browser direkt beim jeweiligen Dienst; dabei erhält der Dienst Ihre IP-Adresse und die üblichen Browserangaben.

Rolle: Die Logo-Ermittlung ist Teil der Kundenverwaltung der Organisation. Beide Datenflüsse – die Abfrage durch unsere Server und den Abruf des Logos durch Ihren Browser – verarbeiten wir im Auftrag der Organisation, die für diese Daten verantwortlich ist (Abschnitt 18); Logo.dev und Google sind dabei unsere Unterauftragsverarbeiter.

Empfänger: Logo.dev (USA); Google (Favicon-Dienst unter gstatic.com). Zur Übermittlung in Drittländer siehe Abschnitt 20.

17. Dienstleister-Netzwerk

Im Dienstleister-Netzwerk können Organisationen ein Profil pflegen, Partnerschaften eingehen und Partnern Anfragen und Aufträge übermitteln. Wir verarbeiten dafür Profil- und Kontaktdaten der Organisation und ihrer Ansprechpartner sowie die Daten der Partnerschaften und der darüber vermittelten Kommunikation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Ansprechpartner, die nicht selbst Vertragspartner sind, Art. 6 Abs. 1 lit. f DSGVO.

Beauftragt eine Organisation einen Partner, gibt sie die für den Auftrag nötigen Daten (zum Beispiel Projekt- und Kontaktdaten) an den Partner weiter; darauf weist Eventium beim Beauftragen hin. Der Partner verarbeitet diese Daten in eigener Verantwortung; Eventium stellt nur die technische Verbindung bereit und ist nicht Partei der Verträge zwischen Organisationen und ihren Partnern.

18. Verarbeitung im Auftrag unserer Kunden

Für alle Daten, die Organisationen in Eventium einstellen, hochladen, empfangen oder erzeugen, ist die jeweilige Organisation Verantwortliche im Sinne der DSGVO. Dazu gehören insbesondere:

• Kontakte, Firmen und Ansprechpartner in der Kundenverwaltung,
• Projekte, Angebote, Unterschriften, Rechnungen, Mahnungen und Zahlungseingänge,
• Dienstpläne, Arbeitszeiten, Abwesenheiten, Checklisten und Personalstammdaten von Mitarbeitenden,
• Nachrichten, E-Mails (auch eingehende E-Mails und E-Mails, die über einen eigenen E-Mail-Server der Organisation versendet werden), Kommentare und Notizen,
• Dateien im Upload-Center,
• Daten im Kundenportal, in Website-Anfrageformularen und Konfiguratoren sowie bei Gastzugängen,
• Inhalte, die an KI-Funktionen übergeben werden,
• die Ermittlung von Firmenlogos in der Kundenverwaltung (Abschnitt 16),
• Aktivitäts- und Änderungsprotokolle der Organisation.

Wir verarbeiten diese Daten ausschließlich im Auftrag und nach Weisung der Organisation auf Grundlage des Auftragsverarbeitungsvertrags und nicht zu eigenen Zwecken. Die von uns eingesetzten Unterauftragsverarbeiter nennt Abschnitt 19.

Hinweis für Kunden unserer Kunden, Website-Besucher und Mitarbeitende unserer Kunden. Wenn Sie über ein Kundenportal, einen Gastzugang, ein Anfrageformular auf der Website eines Unternehmens oder als Mitarbeitende eines Unternehmens mit Eventium in Berührung kommen, ist für Ihre Daten im Kundenportal, im Anfrageformular und in den Personalfunktionen das Unternehmen verantwortlich, mit dem Sie in Kontakt stehen. Für Ihr Nutzerkonto selbst (Anmeldung, Profil, Mitgliedschaften) sind wir verantwortlich (Abschnitt 9). Für die Daten, für die das Unternehmen verantwortlich ist, gelten dessen Datenschutzhinweise. Bitte richten Sie Auskunfts-, Berichtigungs-, Lösch- und sonstige Anfragen dazu an dieses Unternehmen; erreicht uns eine solche Anfrage, leiten wir sie an das Unternehmen weiter, soweit wir es erkennen können, und unterstützen es bei der Beantwortung.

Zu Ihrer Orientierung beschreiben wir, welche Daten die Technik dabei erfasst:

• Anfrageformulare: Vor- und Nachname, E-Mail-Adresse, optional Telefonnummer und Firma, die vom Unternehmen festgelegten Formularfelder, Ihre Nachricht und gewählte Leistungen oder Pakete.
• Kundenportal: Ihre Eingaben, Nachrichten, Dateien und Freigaben. Nehmen Sie ein Angebot im Portal an oder unterschreiben Sie es, werden zum Nachweis Ihr Name, Zeitpunkt, Ihre IP-Adresse, die Browserkennung (User-Agent), der bestätigte Einwilligungstext und die gesetzten Häkchen gespeichert.
• Mitarbeitende: Dienstplan-, Zeit- und Abwesenheitsdaten sowie die vom Arbeitgeber hinterlegten Personalstammdaten.

Unabhängig davon gilt für den technischen Aufruf dieser Seiten Abschnitt 4 und für die Reichweitenmessung Abschnitt 5.

Ende des Vertrags mit der Organisation. Endet der Vertrag, wird die Organisation gelöscht oder endet eine Testphase ohne Abonnement, beginnt eine Frist von 30 Tagen. In dieser Zeit ist der Zugriff gesperrt; die Organisation erhält einen Gesamtexport ihrer Daten. Nach Ablauf der Frist löschen wir sämtliche Daten der Organisation einschließlich der Belege an deren Kunden; Einzelheiten, etwa zur Verlängerung der Frist bei einem fehlerhaften Export, regeln unsere AGB. Gesetzliche Aufbewahrungspflichten für diese Belege erfüllt die Organisation selbst mit ihrem Export. Endet der Vertrag, während die Organisation nach unseren AGB gesperrt ist, ruht die Frist, solange die Sperre andauert; die Daten verarbeiten wir in dieser Zeit weiterhin nur im Auftrag der Organisation. Über die Frist hinaus speichern wir Daten der Organisation nur, soweit wir gesetzlich oder durch eine behördliche oder gerichtliche Anordnung dazu verpflichtet sind.

19. Empfänger und Unterauftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit es für die beschriebenen Zwecke erforderlich ist, Sie eingewilligt haben, wir gesetzlich dazu verpflichtet sind oder es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nötig ist. Wir verkaufen keine personenbezogenen Daten.

Organisationen können für den E-Mail-Versand einen eigenen E-Mail-Server einbinden; der Versand erfolgt dann vorrangig über diesen von der Organisation gewählten Anbieter, für den die Organisation verantwortlich ist.

20. Übermittlung in Drittländer

Einige Empfänger haben ihren Sitz in den USA oder können Daten dort verarbeiten. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind: soweit der Empfänger nach dem EU-U.S. Data Privacy Framework zertifiziert ist, auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO); im Übrigen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), gegebenenfalls ergänzt um zusätzliche Schutzmaßnahmen. Eine Kopie der Garantien können Sie über datenschutz@eventium.app anfordern.

21. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Ergänzend zu den Angaben in den einzelnen Abschnitten gilt:

• Server-Protokolle: höchstens 30 Tage (Abschnitt 4).
• Einwilligungs-Cookie: 365 Tage.
• Nutzerkonto ohne Organisation oder auf eigenen Wunsch: Löschung 30 Tage nach Ankündigung per E-Mail.
• Daten der Organisationen (Auftragsverarbeitung): Löschung nach Ablauf der 30-tägigen Frist nach Vertragsende, Löschung der Organisation oder Ende der Testphase ohne Abonnement (Abschnitt 18).
• Unsere eigenen Abrechnungsunterlagen: Nach der Löschung einer Organisation bewahren wir die Abonnement- und Rechnungsdaten mit Name, Rechnungsanschrift und Umsatzsteuer-Identifikationsnummer der Organisation bis zum Ablauf der gesetzlichen Aufbewahrungsfristen auf (§ 147 AO, § 257 HGB: derzeit zehn Jahre für Bücher und Abschlüsse, acht Jahre für Buchungsbelege wie Rechnungen, sechs Jahre für Handels- und Geschäftsbriefe; die Frist beginnt mit dem Ende des Kalenderjahres). Alle übrigen Angaben werden gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.
• Löschprotokoll: Ein Protokoll über die durchgeführte Löschung ohne personenbezogene Inhalte bewahren wir zum Nachweis auf, solange die Abrechnungsunterlagen bestehen (Art. 6 Abs. 1 lit. f DSGVO).
• Versandprotokoll von E-Mails: Inhalte werden mit der Löschung unkenntlich gemacht, Empfängeradressen nach 90 Tagen gelöscht.
• Protokoll der Support-Zugriffe: ein Jahr.
• Protokolle der Plattform-Administration: höchstens 90 Tage (Abschnitt 13).
• Warteliste: bis zum Widerruf oder zur Erledigung des Zwecks (Abschnitt 8).
• Reichweitenmessung: nur zusammengefasste Statistiken für den in unserem Vertrag mit Vercel vorgesehenen Auswertungszeitraum (Abschnitt 5).
• KI-Anfragen bei direkter Anbindung: nach der in den Datenkontrollen des jeweiligen Anbieterkontos eingestellten Frist (Abschnitt 15).
• Sicherungskopien: Datensicherungen der Plattform werden im Rahmen ihres festen Sicherungszyklus überschrieben; gelöschte Daten sind danach auch aus den Sicherungen entfernt.

Können Daten nicht gelöscht werden, weil sie aufbewahrt werden müssen, schränken wir ihre Verarbeitung auf diesen Zweck ein.

22. Pflicht zur Bereitstellung

Ob Sie personenbezogene Daten bereitstellen müssen, hängt vom Zweck ab:

• Freiwillig: die Eintragung in die Warteliste, die Kontaktaufnahme per E-Mail, optionale Angaben im Nutzerkonto (zum Beispiel Telefonnummer, Profilbild, Geburtsdatum) und die Einwilligung in die Reichweitenmessung. Ohne diese Angaben entstehen Ihnen keine Nachteile bei der Nutzung von Eventium.
• Für den Vertragsschluss erforderlich: die bei der Registrierung und beim Abschluss des Abonnements als Pflichtangaben gekennzeichneten Daten. Ohne sie können wir keinen Vertrag schließen und keinen Zugang bereitstellen.
• Vertraglich geschuldet: Als Kunde sind Sie nach unseren AGB verpflichtet, vollständige und zutreffende Angaben zu Firma, Anschrift, Rechnungsanschrift und Umsatzsteuer-Identifikationsnummer zu machen und aktuell zu halten. Fehlen sie, können wir das Abonnement nicht ordnungsgemäß abrechnen.
• Technisch erforderlich: die bei jedem Aufruf übermittelten technischen Daten (Abschnitt 4); ohne sie können wir die Seiten nicht ausliefern.

Eine gesetzliche Pflicht zur Bereitstellung besteht für Sie gegenüber uns nicht.

23. Keine automatisierte Entscheidungsfindung

Wir setzen keine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO ein, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Ergebnisse von KI-Funktionen sind Vorschläge, über deren Verwendung Menschen entscheiden. Automationen, die eine Organisation in Eventium selbst einrichtet, verantwortet die Organisation.

24. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch (Art. 21 DSGVO, siehe Abschnitt 25),
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO, siehe Abschnitt 26).

Angemeldete Nutzer können ihre Kontodaten in den Einstellungen unter „Sicherheit“ im Bereich „Daten und Datenschutz“ selbst exportieren; Inhaber einer Organisation können einen Gesamtexport der Organisation anfordern. Für alle Anliegen genügt eine Nachricht an datenschutz@eventium.app. Zum Schutz Ihrer Daten können wir vor der Bearbeitung einen Nachweis Ihrer Identität verlangen.

Betreffen Ihre Anliegen Daten, die wir im Auftrag einer Organisation verarbeiten (Abschnitt 18), wenden Sie sich bitte an diese Organisation.

25. Widerspruchsrecht nach Art. 21 DSGVO

26. Widerruf von Einwilligungen

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an datenschutz@eventium.app oder – für Cookies und vergleichbare Technologien einschließlich der Reichweitenmessung – über die Cookie-Einstellungen in der Fußzeile. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

27. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61
10555 Berlin
E-Mail: mailbox@datenschutz-berlin.de

28. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten vor Verlust, Manipulation und unberechtigtem Zugriff zu schützen, unter anderem:

• verschlüsselte Übertragung (TLS),
• Speicherung von Passwörtern ausschließlich als Hash,
• Trennung der Daten je Organisation auf Datenbankebene (Row-Level-Security),
• private Dateispeicher mit Zugriff über kurzlebige, signierte Links,
• verschlüsselte Speicherung von Zugangsdaten zu eigenen E-Mail-Servern der Organisationen,
• Rechte- und Rollenkonzept nach dem Need-to-know-Prinzip,
• Protokollierung privilegierter Zugriffe der Plattform-Administration,
• Begrenzung von Anmeldeversuchen und Anfragen,
• regelmäßige Sicherheitsaktualisierungen.

29. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung. Über wesentliche Änderungen, die bestehende Nutzerkonten betreffen, informieren wir per E-Mail oder in der Anwendung.