Datenschutzerklärung
Stand:
1. Verantwortliche
Wir für unseren Dienst, die Räume für die Daten, die sie im Dienst führen.
Verantwortlich für die Verarbeitungen, die diese Erklärung beschreibt, ist die GatherMatter e.U., Meierhof 222, 8112 Gratwein-Straßengel, Österreich, E-Mail hi@trara.app („wir“). Gathermatter und Trara sind zwei Namen desselben Dienstes unter gathermatter.org und trara.app; diese Erklärung gilt für beide. Einen Datenschutzbeauftragten haben wir nicht bestellt, weil das Gesetz es für uns nicht verlangt.
Die Daten, die ein Raum (eine Veranstalterin, ein Verein oder ein Artist) im Dienst über seine Gäste, Mitglieder, Crew und Kontakte führt, verarbeiten wir im Auftrag dieses Raums nach Art. 28 DSGVO (Auftragsverarbeitungsvertrag unter /avv). Verantwortlich dafür ist der Raum. Fragen und Anträge zu diesen Daten richten Sie an ihn; was bei uns ankommt, leiten wir weiter.
Wenn Sie ein Ticket kaufen, ist die Veranstalterin oder der Veranstalter für Ihre Bestellung verantwortlich. Wir verarbeiten Ihre Bestelldaten daneben als eigene Verantwortliche, soweit wir sie für unseren Dienst brauchen: für Ihr Konto, die Zahlung über Stripe, die Abwehr von Betrug und Rückbuchungen, den Support und unsere Buchhaltung.
2. Welche Daten
Was wir verarbeiten, nach Bereichen.
2.1 Konto
- Vor- und Nachname, E-Mail-Adresse
- Ihre Bestätigung bei der Anmeldung, dass Sie mindestens 14 Jahre alt sind
- freiwillig: Telefonnummer, Organisation, Profilbild, Geburtsdatum
- Sprache und Zeitzone
2.2 Anmeldung
Eine Anmeldung mit Passwort bieten wir nicht an.
- Sechsstellige Anmeldecodes, die wir per E-Mail schicken; sie gelten 30 Minuten und lassen sich einmal verwenden.
- bei Anmeldung mit Google oder Apple eine Kennung dieses Kontos, nie Ihr Passwort dort
- Sitzungen mit IP-Adresse und Browserkennung. Unter Ich › Konto sehen Sie Ihre Geräte und die Zeitpunkte ihrer Anmeldung und letzten Aktivität.
- ob ein Konto gesperrt ist. Ein gesperrtes Konto kann sich nicht anmelden.
2.3 Einstellungen
- Sprache und Darstellung
- welche Benachrichtigungen Sie auf welchem Weg bekommen
- Reihenfolge Ihrer Räume und die zuletzt geöffnete Seite je Raum
- Ihre Cookie-Auswahl, nur in Ihrem Browser
2.4 Push
Wenn Sie Push-Benachrichtigungen einschalten, auch auf einem Gerät der Crew, speichern wir die Adresse und die Schlüssel, die Ihr Browser dafür ausgibt. Die Benachrichtigungen laufen verschlüsselt über den Push-Dienst Ihres Browsers.
2.5 Kalender
Für Ihren persönlichen Kalender erzeugen wir einen geheimen Link. Wer ihn hat, sieht Ihre Events, Schichten und Aufgaben; geben Sie ihn daher nicht weiter.
2.6 Bestellungen
Kartendaten speichern wir nie. Sie gehen direkt an Stripe.
- Name, E-Mail-Adresse, freiwillig Telefonnummer und Organisation
- Namen und Angaben der Personen auf den Tickets, und was eine Veranstalterin im Checkout zusätzlich abfragt
- Bestellung, Beträge, Gebühren, Zahlungsart, Erstattungen
- Gutscheine: Name und E-Mail-Adresse von Käufer:in und Empfänger:in, Nachricht, Zustelldatum
- bei einer Rückbuchung (Dispute): Name, E-Mail-Adresse, Eventdatum und die Einlass-Scans, die wir Stripe als Nachweis schicken
2.7 Tickets, Einlass
- Tickets mit QR-Code und dem Namen darauf
- Einlass-Scans: wann, an welchem Eingang, wer gescannt hat und mit welchem Gerät
- Wallet-Pässe: Für Apple Wallet erzeugen wir einen Pass mit Name, Ticket- und Bestellnummer und Event und speichern die Gerätekennung und das Push-Token, über das Apple den Pass aktualisiert. Für Google Wallet legen wir den Pass mit denselben Angaben bei Google an.
- Weitergabe: Name und E-Mail-Adresse der Person, die ein Ticket annimmt; die weitergebende Person sieht den Namen
- Weiterverkauf: Angebot, Preis, die Bestellung der kaufenden Person und die Erstattung an die verkaufende Person
- Warteliste: Ihre E-Mail-Adresse, bis die Ticketart wieder frei ist
2.8 Räume, Mitglieder
- Mitgliedschaften mit Zugang (Inhaber:in, Admin, Mitglied) und Funktionen
- Einladungen in einen Raum
- das Aktivitätsprotokoll: wer was im Raum geändert hat
- Gagen, Honorarnoten und Gutschriften: Name, Anschrift, Land, UID-Nummer, Steuernummer und IBAN der Artists und die Unterschrift mit Zeitpunkt, IP-Adresse und Browserkennung
2.9 Crew
Für den Einlass ohne Netz speichert das Gerät die Namen der Gäste (nach Voreinstellung des Events), Ticket- und Bestellnummern, Prüfwerte und den Einlassstatus, nie Kontaktdaten oder Notizen, und löscht sie mit Ende der Gültigkeit, spätestens beim ersten Öffnen nach 7 Tagen. Die Telefonnummer einer Schichtleitung sehen Helfer:innen nur, wenn die Leitung sie teilt.
- Name, freiwillig E-Mail-Adresse und Telefonnummer
- Dienste, Schichten, Stunden und Vergütung
- die Bindung an ein Gerät: Im Browser liegt ein Cookie mit einem Geheimnis, bei uns nur ein Prüfwert davon; je Person höchstens zwei Geräte
- Codes für den Verkauf an der Kasse, die wir per E-Mail schicken
- welche Person mit welchem Gerät was am Einlass getan hat
2.10 Nachrichten
- Chat zwischen Konten: Nachrichten und Dateien; Dateien laufen nach 14 Tagen ab, wenn niemand sie verlängert
- Nachrichten zur Bestellung zwischen Gast und Veranstalter:in: Bleibt eine Nachricht 15 Minuten ungelesen, schicken wir sie per E-Mail. Antworten auf E-Mails an Gäste gehen an die bestätigte Kontaktadresse der Veranstalterin oder des Veranstalters, Antworten auf E-Mails an Veranstalter:innen an die E-Mail-Adresse des Gastes. E-Mails, die an die Adresse einer Veranstalterin gehen, verarbeiten wir nicht.
- die bestätigte Kontaktadresse eines Raums; Gäste sehen sie vor dem Kauf
- das Kontaktformular auf Profilen: Wir schicken die Nachricht an die bestätigte Adresse des Raums, mit Ihrer Adresse als Antwortadresse, und speichern sie nicht
- Updates, die eine Veranstalterin an die Gäste eines Events schickt
- die E-Mails, die wir verschicken, mit Zustellstatus; ob Sie eine E-Mail öffnen oder einen Link anklicken, erfassen wir nicht
2.11 Medien, Alben
Aus öffentlich gezeigten Bildern entfernen wir Standortangaben (EXIF und GPS).
- Dateien, Bilder, Videos und Audio, die Sie hochladen
- Uploads über Freigabe-Links: Name, freiwillig E-Mail-Adresse, Instagram, Website und Nachricht, ein Prüfwert der IP-Adresse und Ihre Zustimmung zu den Bedingungen des Uploads
- bei Freigabe-Links ohne Konto ein zufälliger Schlüssel in Ihrem Browser, damit wir uns Ihre Zustimmung merken
2.12 Support
Wenn Sie uns über /support oder per E-Mail an hi@trara.app, support@trara.app oder support@gathermatter.org schreiben, speichern wir Ihre E-Mail-Adresse, Ihren Namen, die Nachrichten und den Bezug zu Bestellung, Event oder Raum. E-Mails erreichen uns über unser E-Mail-Konto bei Migadu und über Postmark. Für Antworten kann unser Team einen Entwurf mit KI erstellen lassen; abgeschickt wird nur, was ein Mensch geprüft hat. Links mit Zugangsschlüsseln in E-Mails, die wir verschickt haben, sieht unser Team nur maskiert.
2.13 Meldungen
Wenn Sie über /report einen Inhalt melden, speichern wir Ihren Namen und Ihre E-Mail-Adresse, die Adresse des Inhalts, den Grund, Ihre Beschreibung und Ihre Erklärung, in gutem Glauben zu melden, dazu unsere Entscheidung und ihre Begründung. Bei einer Meldung von Darstellungen sexuellen Missbrauchs von Kindern dürfen Sie anonym bleiben; dann speichern wir nur die Adresse, die Zeiten und einen Hinweis an die Polizei, nie eine Kopie des Inhalts.
Ihren Namen und Ihre E-Mail-Adresse geben wir nicht an den gemeldeten Raum weiter, außer ein Gericht oder eine Behörde verlangt es. Grundlage sind Art. 16 und 17 der Verordnung (EU) 2022/2065 (DSA).
2.14 Supportzugriff
Braucht ein Raum unsere Hilfe, kann eine Person aus unserem Support-Team mit Angabe eines Grundes für 60 Minuten in den Raum sehen (Supportzugriff). Jede aufgerufene Seite und jede Änderung protokollieren wir mit Person, Zeit und Grund; Änderungen stehen im Aktivitätsprotokoll des Raums, als Supportzugriff gekennzeichnet. Eigentum, Abo, Auszahlungen und Finanzen, die Verwaltung von Mitgliedern und Funktionen und das Löschen des Raums erreicht der Supportzugriff nicht.
Außerhalb eines Supportzugriffs kann unser Support eine Bestellung über ihre Nummer oder die E-Mail-Adresse finden, um Tickets erneut zu schicken, und die E-Mails einsehen, die wir verschickt haben. Auch das protokollieren wir.
2.15 Statistik, Fehler
Nur wenn Sie Statistik erlauben (Punkt 8): Vercel Web Analytics und Speed Insights messen Seitenaufrufe und Ladezeiten ohne Cookies und ohne Kennung, die über Tage hinweg gleich bleibt. Auf unseren Informationsseiten zählt Vercel Web Analytics dann auch Klicks auf die Schaltfläche zum Start, auf eine Zielgruppenseite und auf den Sprachwechsel sowie die erste Nutzung des Gebührenrechners, jeweils mit Seite, Sprache und gewähltem Ziel.
Eine eigene Statistik führen wir nicht mehr: Wir erfassen selbst keine Seitenaufrufe. Früher haben wir auf öffentlichen Eventseiten mit Einwilligung Seitenaufrufe mit Adresse, Herkunftsseite und Kampagnenangaben erfasst, dazu Ladezeiten, den ungefähren Ort (Land, Region, Stadt, Anfang der Postleitzahl; ohne IP-Adresse), Gerät, Browser, Betriebssystem und Sprache, eine zufällige Kennung, die täglich wechselte, und eine Sitzungskennung, die nach 30 Minuten endete. Diese Erfassung ist beendet. Alle dabei gespeicherten Einträge haben wir mit der Umstellung in einem einmaligen Löschlauf aus unserer Datenbank gelöscht, unabhängig von ihrem Alter; Bestellungen hat er nicht berührt. Die Kennung, die diese Statistik im Speicher Ihres Browsers abgelegt hat (gm_an_vid), lesen wir nicht mehr und entfernen sie bei Ihrem nächsten Besuch.
Fehler im Browser, auf dem Server und im Backend melden wir an Sentry, ohne IP-Adresse und mit gekürzten Adressen. Sentry löscht Fehlerberichte nach 90 Tagen. Eine Fehlermeldung des Backends kann Angaben enthalten, die zur Anfrage gehörten, etwa eine E-Mail-Adresse.
2.16 Vormerkungen
Teilnehmende unseres Partnerprogramms konnten früher Organisationen vormerken, die sie selbst ansprechen wollten. Diese Daten erhielten wir nicht von Ihnen, sondern von der Partnerin oder dem Partner: den Namen der Organisation, optional den Namen einer Ansprechperson und eine Notiz, nie eine E-Mail-Adresse oder Telefonnummer. Wir haben niemanden davon kontaktiert. Neue Vormerkungen gibt es nicht mehr.
Zweck war die Zuordnung eines später angelegten Raums zur Empfehlung (Art. 6 Abs. 1 lit. f DSGVO). Die Daten geben wir nicht weiter und löschen sie spätestens zwölf Monate nach der Vormerkung. Ihre Rechte nach Punkt 7 üben Sie unter hi@trara.app aus (Art. 14 DSGVO).
2.17 Empfehlungen
Legen Sie einen Raum über den Empfehlungslink oder mit dem Code eines Partners an, ordnen wir ihn dem Partner zu. Das Cookie gm_ref (30 Tage) setzen wir nur, wenn Sie auf der Seite des Empfehlungslinks das Empfehlungsangebot nutzen; das bloße Öffnen des Links speichert nichts. Das Cookie ist für dieses von Ihnen ausdrücklich angeforderte Angebot notwendig. Der Partner erfährt den Namen Ihres Raums, wann Sie ihn angelegt haben, ob und wann Sie Tickets verkauft haben, wann Ihre Testphase des kostenpflichtigen Pakets endet, ob und wann Sie das kostenpflichtige Paket gebucht haben, monatlich oder jährlich, und welches Guthaben er daraus erhält. Umsätze, Bestellungen, Kunden- und Kontaktdaten erfährt er nicht.
Zweck ist die Abrechnung des Partnerprogramms und die Information des Partners (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem jederzeit nach Art. 21 DSGVO widersprechen, an hi@trara.app; Ihr Angebot zum Testen des kostenpflichtigen Pakets bleibt davon unberührt. Der Partner darf die Angaben nur nutzen, um sein Guthaben nachzuvollziehen. Wir speichern die Zuordnung, solange Ihr Raum besteht; der Partner sieht sie nur, solange aus Ihrem Raum Guthaben entstehen kann (sechs Monate ab der Zuordnung zum Partner).
2.19 Daten von Dritten
Den Namen auf einem Ticket und die Angaben zu Empfänger:innen eines Gutscheins gibt uns die kaufende Person. Daten zu Crew, Mitgliedern und Artists gibt uns der Raum. Firmenbuch-, Vereins- und UID-Angaben stammen aus öffentlichen Registern.
3. Zwecke, Grundlagen
Warum wir Daten verarbeiten und auf welcher Grundlage.
| Zweck | Daten | Rechtsgrundlage (DSGVO) |
|---|---|---|
| Konto, Anmeldung, Einstellungen | 2.1 bis 2.5 | Art. 6 Abs. 1 lit. b (Vertrag) |
| Mindestalter prüfen | Ihre Bestätigung, mindestens 14 Jahre alt zu sein | Art. 6 Abs. 1 lit. f (Art. 8 DSGVO, § 4 Abs. 4 DSG) |
| Bestellungen, Tickets, Einlass, Weitergabe, Weiterverkauf | 2.6, 2.7 | Art. 6 Abs. 1 lit. b |
| Zahlung, Abwehr von Betrug und Rückbuchungen | 2.6, Sitzungen | Art. 6 Abs. 1 lit. b und f (Schutz vor Betrug und Zahlungsausfall) |
| Buchhaltung, Steuern, Aufbewahrung | Bestellungen, Rechnungen, Gagen | Art. 6 Abs. 1 lit. c (§ 132 BAO) |
| Räume, Crew, Nachrichten | 2.8 bis 2.10 | Art. 6 Abs. 1 lit. b; für Daten, die ein Raum führt, ist der Raum verantwortlich (wir sind Auftragsverarbeiterin, Art. 28 DSGVO) |
| Medien und Alben | 2.11 | Art. 6 Abs. 1 lit. b; lit. f (Missbrauchsabwehr) |
| Support | 2.12 | Art. 6 Abs. 1 lit. b und f (Hilfe, Nachweis) |
| Meldungen nach dem DSA | 2.13 | Art. 6 Abs. 1 lit. c (Art. 16, 17 DSA) |
| Supportzugriff und Protokolle | 2.14 | Art. 6 Abs. 1 lit. f (Hilfe, Nachweis) |
| Sicherheit und Fehleranalyse | Sitzungen, Fehlerberichte | Art. 6 Abs. 1 lit. f (Betrieb, Fehlerbehebung) |
| Statistik | 2.15 | Art. 6 Abs. 1 lit. a (Einwilligung, § 165 Abs. 3 TKG 2021) |
| Push | 2.4 | Art. 6 Abs. 1 lit. a |
| Übersetzungen mit KI | Ihre Texte | Art. 6 Abs. 1 lit. b |
| Partnerprogramm | 2.16, 2.17 | Art. 6 Abs. 1 lit. f (Abrechnung mit dem Partner); für Partner lit. b |
| Karten auf Eventseiten | IP-Adresse beim Laden der Karte | Art. 6 Abs. 1 lit. f (Anfahrt zeigen) |
| Newsletter einer Veranstalterin | 2.18 | Art. 6 Abs. 1 lit. a (verantwortlich: die Veranstalterin) |
4. Empfänger
Wer Daten von uns bekommt und wofür.
Wir verkaufen keine personenbezogenen Daten und geben keine an Werbetreibende weiter.
Diese Dienstleister verarbeiten Daten in unserem Auftrag und sind an einen Vertrag nach Art. 28 DSGVO gebunden. Die Liste für die Daten der Räume steht unter /subprocessors.
| Dienstleister | Wofür | Daten | Ort |
|---|---|---|---|
| Convex, Inc. | Datenbank, Backend, Dateien | alle Daten des Dienstes | EU (Irland) |
| Stripe Payments Europe, Ltd. (Stripe, Inc., USA) | Zahlungen, Erstattungen und Auszahlungen | Name, E-Mail-Adresse, Bestell- und Zahlungsangaben | EU (Irland); Anbieter in den USA |
| Vercel Inc. | Hosting, Serverfunktionen; Statistik nur mit Einwilligung | IP-Adresse, Anfragen | Funktionen in der EU (Frankfurt), Auslieferung weltweit |
| BunnyWay d.o.o. | Dateispeicher, Auslieferung, Video | Dateien, IP-Adresse beim Abruf | Speicher in Deutschland, Auslieferung weltweit |
| netcup GmbH | unser Server für Uploads, Audio und die Status-Seite | Dateien während des Uploads, Fehlermeldungen | EU (Deutschland) |
| ActiveCampaign, LLC (Postmark) | E-Mails senden und Support-Mails empfangen | E-Mail-Adresse, Name, Inhalt | USA |
| Migadu-Mail GmbH | unser E-Mail-Konto für hi@trara.app und support@ | Support-Mails | Schweiz, Server in Frankreich |
| Functional Software, Inc. (Sentry) | Fehlerberichte | Fehlerkontext | EU (Deutschland) |
| OpenRouter, Inc. und die Anbieter der KI-Modelle | Übersetzung, Datumseingaben, Entwürfe für den Support | die übermittelten Texte | USA und weitere Länder; ohne Speicherung und ohne Training |
4.1 Weitere Empfänger
- Für eigene Zwecke, etwa Geldwäscheprävention, die Prüfung der Räume, die verkaufen, und Betrugsabwehr, ist Stripe selbst verantwortlich.
- Veranstalter:innen erhalten die Daten Ihrer Bestellung, Ihrer Tickets und Ihrer Nachrichten zur Bestellung.
- Partner erhalten die Angaben aus Punkt 2.17.
- Google erhält bei der Anmeldung mit Google und für Google Wallet die nötigen Angaben, Apple bei der Anmeldung mit Apple und für Updates von Wallet-Pässen.
- Der Push-Dienst Ihres Browsers (etwa von Google, Mozilla, Apple oder Microsoft) stellt verschlüsselte Benachrichtigungen zu.
- Karten auf Eventseiten laden über unseren Server. Er ruft Kartenkacheln, Schriftzeichen und Kartensymbole von CARTO (CartoDB Inc., USA) ab und speichert sie im Cache. Ihre IP-Adresse wird dabei nicht an CARTO weitergegeben.
- Adressen, die Sie suchen, fragen wir über unseren Server bei OpenStreetMap (Nominatim) ab, ohne Ihre IP-Adresse.
- Firmenbuch-, ZVR- und UID-Nummern eines Raums prüfen wir in den öffentlichen Registern (Firmenbuch, Vereinsregister, VIES).
- Unsere Steuerberatung erhält Buchhaltungsunterlagen, soweit sie für unsere Steuern nötig sind.
- Behörden und Gerichte, wenn wir dazu verpflichtet sind.
5. Drittländer
Wie wir Daten außerhalb der EU schützen.
Die Datenbank liegt in Irland, die Serverfunktionen in Frankfurt, Dateien in Deutschland, Fehlerberichte in Deutschland. Postmark und OpenRouter verarbeiten Daten in den USA. Mehrere Dienstleister (Convex, Vercel, Sentry, Postmark) sind Unternehmen mit Sitz in den USA, auch wenn sie Daten in der EU speichern; auch Google, Apple und Stripe haben ihren Sitz dort. Solche Übermittlungen stützen wir auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, sonst auf Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO). Für die Schweiz und das Vereinigte Königreich gelten Angemessenheitsbeschlüsse. Eine Kopie der Garantien erhalten Sie unter hi@trara.app.
6. Speicherdauer
Wie lange wir Daten aufbewahren.
Löschen Sie Ihr Konto (Ich › Konto), entfernen wir nach 14 Tagen Ihren Namen, Ihre E-Mail-Adresse und weitere Angaben aus Konto, Anmeldung, Bestellungen, Support-Anfragen, Meldungen, Crew und Mitgliedschaften. Chat-Nachrichten bleiben für die anderen Teilnehmenden, ohne Ihren Namen. Was wir nach § 132 BAO aufbewahren müssen, behalten wir ohne Ihren Namen. Daten, die ein Raum über Sie führt, etwa den Namen auf einem Ticket, löscht der Raum. Convex erstellt täglich Sicherungskopien der Produktionsdatenbank. Aus diesen Sicherungskopien verschwinden gelöschte Angaben spätestens 7 Tage später.
| Daten | Dauer |
|---|---|
| Konto | bis Sie es löschen; danach 14 Tage Frist, dann entfernen wir Ihre Angaben |
| Sitzungen | 30 Tage, bei Nutzung verlängert |
| Anmeldecodes | 30 Minuten |
| Bestellungen, Rechnungen, Gagen, Gutschriften | 7 Jahre (§ 132 BAO), nach einer Kontolöschung ohne Ihren Namen |
| Nachrichten zur Bestellung | solange der Raum besteht; nach einer Kontolöschung ohne Ihren Namen |
| Chat | Nachrichten bleiben ohne Ihren Namen; Dateien 14 Tage, wenn niemand sie verlängert |
| Crew | 24 Monate nach dem letzten Einsatz anonymisiert, ohne Einsatz 24 Monate nach der Einladung |
| Einlass-Daten auf Geräten | bis zum Ende der Gültigkeit, spätestens beim ersten Öffnen nach 7 Tagen |
| Versendete E-Mails | 90 Tage; E-Mails zu einem Gespräch (Bestellung, Support) 365 Tage, dann ohne Inhalt und Empfänger; Ticket-PDFs bis 3 Tage nach dem Event |
| Support-Anfragen | 3 Jahre nach der Erledigung |
| Meldungen (DSA) | 3 Jahre nach der Entscheidung |
| Protokolle des Supportzugriffs | solange der Raum besteht |
| Statistik (Vercel) | nach den Fristen von Vercel: für uns bis zu 24 Monate abrufbar; eine längere Speicherung behält sich Vercel vor |
| Fehlerberichte | Sentry löscht Fehlerberichte nach 90 Tagen |
| Push | bis Sie Push ausschalten oder Ihr Browser die Zustellung ablehnt |
| Wallet-Geräte | 180 Tage nach der letzten Nutzung |
| Medien und Uploads über Freigabe-Links | bis Sie oder der Raum sie löschen |
| Datenexport | 7 Tage |
| Sicherungskopien der Datenbank | 7 Tage; gelöschte Angaben sind spätestens 7 Tage nach der Löschung auch daraus verschwunden |
| Einwilligungen und Zustimmungen | solange daraus Ansprüche möglich sind |
| Zuordnung im Partnerprogramm | solange Ihr Raum besteht; in den Abrechnungsunterlagen 7 Jahre |
| Geburtsdatum, wenn Sie es im Konto angeben | bis Sie es entfernen oder das Konto löschen |
7. Ihre Rechte
Welche Rechte Sie haben und wie Sie sie nutzen.
Schreiben Sie an hi@trara.app. Wir antworten binnen eines Monats und kostenlos. Ihre Daten exportieren und Ihr Konto löschen können Sie auch selbst unter Ich › Konto; der Export kommt als JSON-Datei und ist 7 Tage abrufbar.
Widerspruch: Stützen wir eine Verarbeitung auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), können Sie ihr aus Gründen Ihrer besonderen Situation jederzeit widersprechen.
Name und E-Mail-Adresse brauchen wir für Konto und Bestellung; ohne sie können wir den Vertrag nicht erfüllen. Weitere Angaben sind freiwillig.
- Auskunft über Ihre Daten (Art. 15)
- Berichtigung (Art. 16)
- Löschung (Art. 17)
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20)
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
- Widerruf einer Einwilligung für die Zukunft (Art. 7 Abs. 3); bis zum Widerruf bleibt die Verarbeitung rechtmäßig. Bei Cookies über „Cookie-Einstellungen“ in der Fußzeile der Seiten und unter Ich › Konto
9. E-Mails
Welche E-Mails wir schicken.
Wir schicken E-Mails, die zum Dienst gehören: Anmeldecodes, Bestellbestätigungen und Tickets, Nachrichten, Erinnerungen an Schichten und Hinweise zu Ihrem Konto (Art. 6 Abs. 1 lit. b DSGVO). Welche Benachrichtigungen Sie bekommen, stellen Sie unter Ich › Konto ein. Werbung schicken wir nicht.
10. Mindestalter
Der Dienst ist ab 14 Jahren.
Ein Konto können Sie ab 14 Jahren anlegen (Art. 8 DSGVO, § 4 Abs. 4 DSG). Bei der Anmeldung bestätigen Sie, dass Sie mindestens 14 Jahre alt sind; ein Geburtsdatum fragen wir dafür nicht ab.
Meinen Sie, dass ein Kind unter 14 Jahren ein Konto hat, schreiben Sie an hi@trara.app; wir löschen es dann.
11. Sicherheit
Wie wir Daten schützen.
Bei einer Verletzung des Schutzes Ihrer Daten informieren wir die Datenschutzbehörde binnen 72 Stunden (Art. 33 DSGVO) und Sie unverzüglich, wenn ein hohes Risiko für Sie besteht (Art. 34 DSGVO).
- verschlüsselte Übertragung (TLS)
- Geheimnisse wie Gerätebindungen und Codes nur als Prüfwert, Zugangslinks verschlüsselt
- Zugriff auf die Daten eines Raums nur für seine Mitglieder nach ihrem Zugang und ihren Funktionen; unser Team nur über den protokollierten Supportzugriff
- Hosting in der EU für Datenbank, Serverfunktionen und Dateien
12. Beschwerde
Wo Sie sich beschweren können.
Sie können sich bei der österreichischen Datenschutzbehörde beschweren: Barichgasse 40-42, 1030 Wien, dsb.gv.at, dsb@dsb.gv.at.
Schreiben Sie uns gern zuerst an hi@trara.app; wir klären das schnell.
13. KI
KI hilft, entscheidet aber nichts über Sie.
Wir setzen KI ein, um die Texte von Events und Tickets beim Speichern zu übersetzen, um Datumsangaben zu lesen, die Sie frei eintippen und die unser Programm nicht selbst versteht, und um Entwürfe für Antworten unseres Support-Teams zu schreiben. Die Texte gehen dafür über OpenRouter an Anbieter von KI-Modellen, die sie weder speichern noch zum Training nutzen.
Automatisierte Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie ähnlich erheblich beeinträchtigen, treffen wir nicht (Art. 22 DSGVO).
14. Trara-App
Die Trara-App speichert den Sitzungsschlüssel Ihres Kontos und Ihren Crew-Pass im geschützten Schlüsselbund (Keychain) des Geräts. Der Crew-Pass verbindet das Gerät mit Ihrer Person; bei uns liegen ein Prüfwert des Geheimnisses und die Gerätebezeichnung. Sie können den Zugang des Geräts widerrufen. Für die Verarbeitung gelten die Grundlagen für Konto, Anmeldung und Crew in Punkt 3.
Die folgenden Absätze zu Berechtigungen gelten nur, wenn die installierte App die genannte Funktion enthält. Eine Version ohne diese Funktion fordert die Berechtigung nicht an und verarbeitet die entsprechenden Daten nicht.
Kamera, nur bei einer Version mit Ticketscanner: Die Kamera liest Ticket-QR-Codes auf dem Gerät. Bilder werden weder gespeichert noch an uns geschickt. Der gelesene Ticket-Code und das Scan-Ergebnis werden für den Einlass verarbeitet.
Offline-Einlass und lokales Netzwerk, nur bei einer Version mit diesen Funktionen: Das Gerät speichert die Einlassdaten aus Punkt 2.9 bis zum Ende der Gültigkeit, spätestens bis zum ersten Öffnen nach 7 Tagen. Über das lokale Netzwerk gleichen Geräte am selben Einlass ihren Einlassstatus miteinander ab. Dieser direkte Abgleich läuft ohne unseren Server; die spätere Synchronisierung übermittelt Einlassaktionen an unseren Dienst.
Push, nur bei einer Version mit App-Benachrichtigungen: Wenn Sie zustimmen, speichern wir das von Apple ausgegebene Push-Token mit dem Gerät, um Benachrichtigungen zuzustellen. Apple verarbeitet das Token zur Zustellung. Sie können die Berechtigung in den Geräteeinstellungen widerrufen.
Tap to Pay auf dem iPhone, nur bei einer Version mit Kartenzahlungen am Einlass: Stripe Terminal verarbeitet die Kartenzahlung und Angaben zu Zahlung, Händler und Gerät. Der Terminal SDK benötigt während der Kartenzahlung Zugriff auf den Gerätestandort zur Standortprüfung. Kartendaten gehen an Stripe; wir speichern keine Kartennummern. Die Grundlagen für Zahlungen und Betrugsabwehr sowie die Empfänger stehen in den Punkten 3 und 4. Bietet diese Version einen Beleg per E-Mail an, wird die eingegebene Adresse zur Zustellung des Belegs verarbeitet.
Die App verwendet keine Werbe-Kennung und kein Tracking über andere Apps oder Websites. Für Auskunft, Datenexport und Kontolöschung gelten die Punkte 6 und 7. Im Web erreichen Sie die Kontolöschung unter /me/account/data. Nach dem Abmelden oder dem Entfernen eines Crew-Passes ist der jeweilige Zugang auf dem Gerät nicht mehr nutzbar; ein serverseitiger Widerruf sperrt den Zugang ebenfalls.
15. Änderungen
Wie wir Sie über Änderungen informieren.
Ändern wir diese Erklärung wesentlich, informieren wir Sie per E-Mail oder im Dienst. Die Fassung erkennen Sie am Datum oben.