Datenschutzerklärung

Verantwortlich ist die FeyaTech UG (haftungsbeschränkt), Pestalozzistraße 25, 22305 Hamburg, Deutschland („wir“, „uns“), vertreten durch die Geschäftsführerin Feyza Barutcu. E-Mail: hello@eventroll.eu, Kontaktformular: https://eventroll.eu/de/contact.

Wir sind gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, und haben keinen benannt.

Für die Fotos in einem Event entscheidet der Gastgeber, wen er einlädt und was mit dem Album geschieht. Gegenüber den Gästen ist der Gastgeber für das Album verantwortlich; wir verarbeiten die Fotos in seinem Auftrag, um den Dienst zu erbringen. Nutzt ein Unternehmen den Dienst (zum Beispiel für eine Firmenveranstaltung), schließen wir auf Anfrage einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab.

• Kontodaten: Ihre E-Mail-Adresse und, wenn Sie sich mit Google anmelden, Ihr Name und Profilbild. Wir nutzen sie, um Ihr Konto anzulegen und Sie mit einem einmaligen Code per E-Mail oder über Google anzumelden. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Eventdaten: Name, Art, Datum und Uhrzeit des Events sowie Ihre Einstellungen (zum Beispiel PIN, Upload-Zeiten, Limit pro Handy, Farbe der Einladungskarte). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Zahlungsdaten: Zahlungen wickelt Stripe ab. Wir erhalten Zahlungsstatus, Betrag, Plan, Rechnungsland und Rechnungsdaten, nie Ihre vollständige Kartennummer. Rechnungen bewahren wir für die handels- und steuerrechtlichen Fristen auf (in der Regel 8 bis 10 Jahre). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.
• Bestell- und Servicemails: Bestellbestätigung, Rechnung, Hinweise zu Ihrem Event (zum Beispiel „Album fertig“ und Erinnerungen vor der Löschung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Schutz vor Missbrauch bei der Anmeldung: Cloudflare Turnstile prüft Ihren Browser auf Anzeichen automatisierter Zugriffe. Rechtsgrundlage: berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Gäste brauchen kein Konto. Wenn Sie einen Event-Link öffnen und Fotos senden, verarbeiten wir:

• die Fotos, die Sie auswählen, als Originaldatei sowie ein kleines Vorschaubild, das Ihr Browser erstellt. Originaldateien bleiben unverändert; eingebettete Metadaten (EXIF) wie Aufnahmezeit, Kameramodell und, falls Ihr Handy sie gespeichert hat, der Aufnahmeort bleiben in der Datei, die der Gastgeber herunterlädt. Die Ortsangabe können Sie vor dem Event in den Kamera-Einstellungen abschalten. RAW-Fotos werden bereits in Ihrem Browser in das darin enthaltene JPEG umgewandelt; nur dieses wird hochgeladen;
• Ihren Namen, nur wenn Sie einen eingeben;
• eine zufällige Geräte-ID in einem Cookie für dieses Event, damit das Limit pro Handy funktioniert und der Gastgeber ein Handy sperren kann, das unerwünschte Inhalte hochlädt;
• einen gesalzenen, nicht umkehrbaren Hashwert aus IP-Adresse und Browserkennung, um Missbrauch zu erkennen;
• die Prüfung durch Cloudflare Turnstile und, falls der Gastgeber eine PIN festgelegt hat, die eingegebene PIN (wir speichern Ihre Eingabe nicht; Fehlversuche sind begrenzt);
• den Zeitpunkt, zu dem Sie bestätigt haben, dass Sie die Bedingungen akzeptieren und die Fotos teilen dürfen.

Rechtsgrundlage: Bereitstellung des Uploads an den Gastgeber, an den Sie Fotos senden (Art. 6 Abs. 1 lit. b DSGVO), und unser berechtigtes Interesse an einem sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Wer Ihre Fotos sieht: nur der Gastgeber des Events. Andere Gäste sehen Ihre Fotos nie; Alben sind nicht öffentlich und werden nicht von Suchmaschinen erfasst.

Wir sehen uns keine Fotos an. Speicherung, Vorschaubilder und die automatische Prüfung unten laufen, ohne dass ein Mensch die Fotos betrachtet. Eine Person in unserem Unternehmen öffnet ein Foto nur, wenn das Gesetz es verlangt, zum Beispiel um einer Meldung rechtswidriger Inhalte oder einer behördlichen Anfrage nachzugehen, oder wenn der Gastgeber uns ausdrücklich um Unterstützung bei bestimmten Fotos bittet. Ein solcher Zugriff beschränkt sich auf die betroffenen Fotos.

Automatische Prüfung auf explizite Inhalte: Ein kleines Vorschaubild jedes Fotos wird automatisch auf explizite sexuelle Inhalte geprüft. Ein markiertes Foto wird nicht gelöscht; es wird aus Album und Downloads des Gastgebers herausgehalten, und der Gastgeber kann es unscharf anzeigen und entscheiden, ob er es behält. Die Prüfung identifiziert keine Personen; ihr Ergebnis wird zusammen mit dem Foto gelöscht. Rechtsgrundlage: unser berechtigtes Interesse und das des Gastgebers, Events frei von expliziten Inhalten zu halten (Art. 6 Abs. 1 lit. f DSGVO).

Meldungen: Meldet ein Gastgeber ein Foto als rechtswidrig, speichern wir Zeitpunkt und Grund, verbergen das Foto für alle und werden per E-Mail mit Event- und Fotonummer informiert, nie mit dem Bild. Das Foto wird mit den übrigen Fotos des Events am Ende des Download-Zeitraums gelöscht, sofern die Behörden nicht verlangen, es länger aufzubewahren. Bei Verdacht auf eine Straftat, insbesondere Darstellungen sexuellen Kindesmissbrauchs, geben wir die Meldung und die Daten zum Upload an die zuständigen Behörden weiter. Rechtsgrundlage: rechtliche Verpflichtungen und berechtigtes Interesse am Vorgehen gegen rechtswidrige Inhalte (Art. 6 Abs. 1 lit. c und f DSGVO).

Beim Aufruf einer Seite verarbeitet unser Hosting-Anbieter technische Daten, die Ihr Browser sendet (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem), um die Seite auszuliefern und abzusichern. Diese Protokolle werden nach höchstens 30 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Begrenzung von Zugriffen: Um Missbrauch zu verhindern, zählen wir Anfragen pro IP-Adresse (zum Beispiel beim Hochladen, beim Kontaktformular und bei der PIN-Eingabe). Dafür wird die IP-Adresse bei Upstash höchstens eine Stunde gespeichert und dann automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Kontaktformular: Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht nutzen wir nur, um Ihnen zu antworten, und löschen sie, wenn die Sache erledigt ist, spätestens nach 12 Monaten. Die Bot-Prüfung erfolgt mit Cloudflare Turnstile. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Widerrufsfunktion (https://eventroll.eu/de/withdraw): Ihren Namen, die Bestellnummer und Ihre E-Mail-Adresse nutzen wir, um den Widerruf zuzuordnen, Ihnen den Eingang zu bestätigen und ihn abzuwickeln. Rechtsgrundlage: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO, § 356a BGB). Wir bewahren die Angaben als Nachweis auf, solange Ansprüche aus dem Vertrag geltend gemacht werden können, höchstens drei Jahre.

Produktanalyse und Fehlerüberwachung: Derzeit setzen wir keine Analyse- oder Fehlerüberwachungsdienste ein. Sollten wir künftig PostHog (EU Cloud, ohne Cookies) oder Sentry nutzen, ergänzen wir diese Erklärung vorher.

Schriftarten werden von unserem eigenen Server geladen; es werden keine Daten an Google Fonts übertragen.

• Fotos und Vorschaubilder: endgültig gelöscht am Ende des Download-Zeitraums Ihres Plans, gerechnet ab dem Tag, an dem das Event endet (7, 14, 21 oder 30 Tage bei Mini, Standard, Pro oder VIP; 7 Tage, solange kein Plan gewählt ist). Gastgeber können einzelne Fotos, alle Fotos eines Handys oder das ganze Event jederzeit früher löschen.
• Eventeinstellungen und Daten zu Gästen (Namen, Geräte-IDs, Hashwerte, Zustimmungszeitpunkte): gelöscht zusammen mit den Fotos.
• Kontodaten: solange Ihr Konto besteht; gelöscht innerhalb von 30 Tagen, nachdem Sie die Löschung verlangt haben, außer Daten, die wir gesetzlich aufbewahren müssen (zum Beispiel Rechnungen).
• Anmeldecodes: gültig 10 Minuten, nur als Hashwert gespeichert.

Wir setzen nur Dienstleister ein, die an einen Auftragsverarbeitungsvertrag gebunden sind und Daten nach unseren Weisungen verarbeiten:

• Vercel Inc. – Hosting der Website (EU-Region Frankfurt);
• Neon Inc. – Datenbank (Frankfurt);
• Cloudflare Inc. – Speicherung der Fotos (R2, EU-Jurisdiktion), Bot-Schutz (Turnstile) und E-Mail-Weiterleitung;
• Stripe Payments Europe Ltd. (Irland) – Zahlungen und Rechnungen;
• Resend Inc. – Versand von Anmelde-, Bestell- und Servicemails;
• Upstash Inc. – Begrenzung von Zugriffen (EU-Region);
• Sightengine SAS (Paris) – automatische Prüfung von Vorschaubildern auf explizite Inhalte; die Bilder werden nach der Prüfung nicht gespeichert;
• Google Ireland Ltd. – nur, wenn Sie „Mit Google anmelden“ wählen.
• Google Ireland Ltd. (Gmail) – Postfach, an das E-Mails an unsere Adresse weitergeleitet werden (Kontaktformular, Widerrufe, Meldungen, Anfragen).

Einige dieser Unternehmen haben ihren Sitz in den USA. Soweit Daten dorthin übermittelt werden können, stützen wir uns auf das EU-US Data Privacy Framework oder auf die Standardvertragsklauseln der EU-Kommission.

Wir verkaufen keine personenbezogenen Daten und verwenden Ihre Fotos weder für Werbung noch zum Training von KI-Modellen.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Wenden Sie sich dafür an hello@eventroll.eu. Als Gast können Sie die Löschung eines Fotos auch direkt beim Gastgeber verlangen; nennen Sie uns bitte den Event-Link, damit wir es finden.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem EU-Staat, in dem Sie wohnen oder arbeiten. Für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

Pflicht zur Bereitstellung: Für ein Gastgeberkonto brauchen wir Ihre E-Mail-Adresse, für eine Bestellung die Zahlungsdaten bei Stripe; ohne sie können wir den Vertrag nicht erfüllen. Gäste müssen nur Fotos auswählen; der Name ist freiwillig.

Automatisierte Entscheidungen: Wir treffen keine Entscheidungen, die allein auf automatisierter Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Die automatische Prüfung auf explizite Inhalte markiert nur; ob ein Foto bleibt, entscheidet der Gastgeber.

Alle Verbindungen sind verschlüsselt (HTTPS). Fotos liegen in einem privaten Speicher und werden nur über kurzlebige signierte Links ausgeliefert. Der Zugang zu den Produktivsystemen ist auf die Personen beschränkt, die ihn brauchen, durch Zwei-Faktor-Authentifizierung geschützt und wird nicht genutzt, um Fotos anzusehen, außer wie in Abschnitt 3 beschrieben.

Gastgeberkonten sind Personen ab 18 Jahren vorbehalten. Gäste unter 16 Jahren sollten Fotos nur mit Erlaubnis eines Elternteils oder Erziehungsberechtigten hochladen.

Wir passen diese Erklärung an, wenn sich der Dienst oder das Recht ändert. Das Datum oben zeigt die aktuelle Fassung. Bei wesentlichen Änderungen informieren wir Gastgeber per E-Mail.