Datenschutzerklärung

Verantwortlicher

Daniele Stumpo, Ekenknick 7, 22523 Hamburg, Deutschland. Für alle Anfragen zu Ihren Daten erreichen Sie uns unter support@getconvivio.com. Zur Benennung eines Datenschutzbeauftragten sind wir nicht verpflichtet.

Welche Daten wir verarbeiten

• Veranstalter-Konto: E-Mail, Passwort (geschützt gespeichert durch unseren Authentifizierungsanbieter), Name der Organisation.
• Gästedaten, die der Veranstalter oder die Gäste selbst über das Antwortformular eingeben: Namen, Antworten auf die (vom Veranstalter definierten) Formularfragen, gewählte Sprache, Zeitpunkte der Aufrufe der Einladung.
• In Galerie und Gästebuch hochgeladene Inhalte: Fotos, Videos, Audio-/Videobotschaften, mit optionalem Namen der hochladenden Person.
• Vom Veranstalter eingetragene Kontakte und Orte des Events (Namen, Fotos, Telefon, E-Mail, Adressen).
• Technische Daten: IP-Adresse (in Infrastruktur-Logs und für Missbrauchsschutz), zufällige Gerätekennung im Browser für Foto-Reaktionen (Gäste benötigen kein Konto) und aggregierbare Ereignisse des öffentlichen Bereichs (z. B. Aufruf der Startseite oder der Demo und Klick auf die wichtigsten Schaltflächen). Diese Ereignisse enthalten keine URL, E-Mail-Adresse oder Kennung, verwenden keine Cookies und werden nicht gesendet, wenn der Browser Do Not Track oder Global Privacy Control signalisiert.
• Kaufdaten: Betrag, gekauftes Paket, E-Mail- und Rechnungsadresse, Verbindungsland, Ausstellungsland der Karte sowie Zeitpunkt und Version der Einwilligung zum sofortigen Beginn der digitalen Leistung. Die Zahlung wickelt Stripe ab: Kartendaten gelangen weder in unsere Systeme noch werden sie dort gespeichert. Die Länderangaben dokumentieren den steuerlichen Leistungsort, wie es die EU-Regeln für digitale Leistungen verlangen. Wird beim Bezahlen die Telefonnummer abgefragt, speichern wir nur die Ländervorwahl (z. B. +49), nie die Nummer.
• Kontaktformular: Name, E-Mail und Text deiner Nachricht. Wir verwenden sie nur, um dir zu antworten; die Nachricht landet in unserem E-Mail-Postfach und wird nicht in unseren Datenbanken gespeichert (Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO).

Zwecke und Rechtsgrundlagen

• Erbringung des Dienstes — Event anlegen, Einladung anzeigen, Antworten sammeln, Galerie hosten, Service-E-Mails versenden (Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung). Ohne E-Mail und Passwort kann kein Konto angelegt werden; Gäste müssen keine Daten angeben außer denen, die sie selbst eintragen möchten.
• Sicherheit, Missbrauchsprävention und Verbesserung des öffentlichen Bereichs — Upload-Limits, IP-basierte Begrenzung von Anfragen, technische Logs und aggregierte Ereignisse ohne Kennungen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem sicheren und verständlichen Dienst).
• Gesetzliche Pflichten — steuer- und handelsrechtliche Pflichten bei Käufen (Art. 6 Abs. 1 lit. c DSGVO).
• Service-Kommunikation — Kaufbestätigungen, tägliche Zusammenfassung der Neuigkeiten Ihres Events, Hinweise zu Speicherplatz und Ablauf der Galerie, Erinnerung vor Ende der Testphase. Keine Marketing-E-Mails und kein Newsletter.
• Wir treffen keine automatisierten Entscheidungen und betreiben kein Profiling im Sinne von Art. 22 DSGVO.

Die Rolle des Veranstalters

Für die Daten seiner Gäste (Namen, Antworten, Fotos der Teilnehmer) entscheidet der Veranstalter, welche Daten sein Formular erhebt und wen er einlädt. Unterliegt der Veranstalter selbst der DSGVO (z. B. ein Unternehmen oder ein Verein), verarbeiten wir diese Daten in seinem Auftrag als Auftragsverarbeiter (Art. 28 DSGVO), ausschließlich zur Bereitstellung des Dienstes; einen Auftragsverarbeitungsvertrag stellen wir auf Anfrage bereit. Für private Feiern gelten unabhängig davon die in dieser Erklärung beschriebenen Garantien.

Wenn Sie Gast sind und die Entfernung eines Inhalts wünschen, der Sie betrifft, wenden Sie sich an den Veranstalter (er verfügt über Moderations- und Löschwerkzeuge) oder schreiben Sie uns direkt.

Auftragsverarbeiter und Drittlandübermittlungen

Wir setzen wenige Dienstleister ein, die alle durch einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) gebunden sind. Hat ein Anbieter seinen Sitz in den USA oder kann er von dort auf Daten zugreifen, stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (für zertifizierte Unternehmen) und/oder auf die Standardvertragsklauseln der Europäischen Kommission.

• Supabase (Supabase Inc., USA) — Datenbank, Dateispeicher und Authentifizierung; Server in der Region Frankfurt (Deutschland).
• Vercel (Vercel Inc., USA) — Hosting der Website; die Funktionen mit Datenzugriff laufen in der Region Frankfurt.
• Upstash (Upstash Inc., USA) — IP-basierter Missbrauchsschutz; die IP-Adresse wird höchstens 24 Stunden gespeichert.
• Resend (Resend Inc., USA) — Versand der Service-E-Mails über die Domain getconvivio.com.
• Stripe (Stripe Payments Europe Ltd., Irland) — Zahlungen, Belege und Rechnungen. Zur Zahlungsprüfung und Betrugsprävention handelt Stripe zusätzlich als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung.

Speicherdauer

• Galerie- und Gästebuchinhalte: für die Aufbewahrungsdauer des erworbenen Pakets (je nach Paket 6 oder 12 Monate, bei der Auswahl an jedem Paket angegeben), gerechnet ab dem von Ihnen gewählten Aktivierungsdatum der Galerie. Nach Ablauf und einer Frist von 30 Tagen werden Fotos, Videos und Botschaften automatisch endgültig gelöscht.
• Manuell Gelöschtes (Einladungen, Gäste, Fotos …) wird zunächst ausgeblendet und bleibt wiederherstellbar. Die endgültige Löschung erfolgt nach der 30-tägigen Karenzzeit, die auf den Paketablauf folgt.
• Kontodaten: solange das Konto aktiv ist. Die Löschung können Sie jederzeit per E-Mail verlangen.
• Kaufdaten und Rechnungen: für die steuer- und handelsrechtlichen Aufbewahrungsfristen (in der Regel 8 bis 10 Jahre).
• Aggregierte Ereignisse des öffentlichen Bereichs: 180 Tage. Technische Logs und Missbrauchsschutzdaten: für kurze, von den Infrastrukturanbietern definierte Zeiträume.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–22 DSGVO). Wenden Sie sich dazu an support@getconvivio.com. Außerdem können Sie sich bei einer Aufsichtsbehörde beschweren: Für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit; Sie können sich auch an die Behörde Ihres Wohnsitzlandes wenden.

Minderjährige

Der Dienst richtet sich an volljährige Veranstalter. Fotos und Inhalte, die Minderjährige zeigen, dürfen nur von Personen hochgeladen werden, die dazu berechtigt sind — typischerweise die Eltern oder Personen mit deren Einwilligung. Der Veranstalter kann unangemessene Inhalte über die Moderation entfernen.

Sicherheit

Private Galerien sind nur über Links mit persönlichem Code erreichbar; Dateien werden über zeitlich begrenzte signierte Links ausgeliefert. Von Gästen hochgeladene Fotos sind unmittelbar nach dem Upload in der Event-Galerie sichtbar; der Veranstalter kann sie jederzeit über die Moderationswerkzeuge ausblenden oder löschen. Aus hochgeladenen Bildern entfernen wir automatisch EXIF-Metadaten (einschließlich GPS-Position).

Änderungen dieser Erklärung

Bei wesentlichen Änderungen aktualisieren wir das Datum oben und informieren Veranstalter bei relevanten Änderungen per E-Mail oder in der Anwendung.